Política de privacidad de Metatonía

BORRADOR PARA REVISIÓN LEGAL. No publicar sin completar los campos entre corchetes y sin la revisión de un profesional que conozca la normativa de protección de datos aplicable al Responsable. Las afirmaciones sobre el funcionamiento técnico se contrastaron con el código del repositorio (rama prototipo-bandas-de-prueba, 2026-11-06); lo que no pudo verificarse se señala en LEEME-revision.md.

Versión: [NÚMERO DE VERSIÓN] · Fecha de entrada en vigor: [FECHA] · Última actualización: [FECHA]

Los bloques marcados «[SOLO CON LA LICENCIA DE PAGO]» describen un tratamiento de datos que todavía no existe. No deben publicarse hasta que la licencia de pago esté implementada y en uso.

---

1. Quién es el Responsable

El responsable del tratamiento descrito en esta política (en adelante, «el Responsable») es [NOMBRE O RAZÓN SOCIAL], con domicilio en [DIRECCIÓN, PAÍS] y correo electrónico de contacto [CORREO]. En esta política, «Metatonía» designa la aplicación móvil del mismo nombre y, cuando se indique expresamente, el servicio de sincronización opcional (en adelante, «el Servicio de Buzón»).

2. Resumen

1. Metatonía no tiene cuentas de usuario. La aplicación no solicita nombre, correo electrónico, número de teléfono ni contraseña. Solo si el Usuario escribe por su cuenta al Responsable (soporte, comentarios), se aplica la sección 16.
2. Los datos que el Usuario introduce (canciones, acordes, servicios, nombres de integrantes) se almacenan en el teléfono del Usuario.
3. Si el Usuario no activa la sincronización por internet, Metatonía no envía esos datos a ningún servidor del Responsable. Excepción: al unirse a un grupo con un código de invitación (MT2: o MT3:), la aplicación consulta el Servicio de Buzón antes de que el Usuario decida si activa la sincronización (sección 4).
4. Si el Usuario activa la sincronización, la aplicación envía al Servicio de Buzón una copia del grupo cifrada en el teléfono. El Responsable no recibe la clave de cifrado y no puede leer el contenido.
5. Existen datos técnicos que el Servicio de Buzón sí recibe (sección 5) y datos técnicos que componentes de terceros incluidos en la aplicación pueden enviar (sección 7). Ambos se describen a continuación.

3. Datos que permanecen en el teléfono

Los siguientes datos se almacenan únicamente en el dispositivo del Usuario y el Responsable no tiene acceso a ellos, salvo que el Usuario los envíe por su propia iniciativa (secciones 8 y 9):

• el repertorio, los acordes, los servicios y las listas de integrantes de cada grupo;
• los ajustes de la aplicación (por ejemplo, la notación de los acordes).

Además, la aplicación guarda en el teléfono un identificador aleatorio de la instalación y, en versiones de prueba, el código de prueba si el Usuario lo introdujo. Estos dos datos no permanecen solo en el teléfono: cuando la aplicación se comunica con el Servicio de Buzón, los envía en los términos de la sección 5.

Micrófono. El afinador utiliza el micrófono únicamente mientras la pestaña del afinador está abierta y la aplicación está en primer plano. El audio se analiza en el teléfono; el código de la aplicación no lo guarda en archivos ni lo envía a ningún servidor.

Fotografías y PDF. Cuando el Usuario elige una foto o un PDF para importar una canción, el texto se reconoce en el teléfono mediante ML Kit, cuyo modelo de reconocimiento está incluido en la aplicación. La aplicación no envía la imagen ni el texto reconocido a servidores del Responsable. La sección 7 describe lo que el proveedor del componente indica sobre datos técnicos.

4. Sincronización por internet (opcional)

La sincronización se decide por grupo y por teléfono. Al crear un grupo, la aplicación muestra el interruptor «Sincronizar con la banda por internet» ya encendido (el Usuario puede apagarlo antes de crear el grupo, y después en la pestaña Grupo). Al unirse a un grupo con un código, la sincronización no se enciende: la aplicación pregunta.

Unirse a un grupo con un código de invitación. Para unirse con MT2: o MT3:, la aplicación calcula el nombre del buzón del grupo y descarga del Servicio de Buzón el contenido cifrado de ese buzón. Esta consulta se produce aunque el Usuario no active después la sincronización y supone que el servidor recibe el nombre del buzón, la dirección IP de la conexión y la hora de la consulta (la consulta de lectura no envía el permiso de escritura ni el identificador de instalación). Unirse no activa la sincronización: la aplicación pregunta al Usuario después.

Cuando la sincronización está activada:

1. La aplicación genera, a partir de la clave del grupo (su identificador secreto o, si el grupo ha cambiado de clave, un secreto nuevo que transporta el código de clave nueva MT3:), tres valores: un permiso de escritura, una clave de cifrado y el nombre del buzón (que es el resultado de aplicar una función hash al permiso de escritura).
2. La aplicación cifra el grupo con la clave de cifrado (AES-256-GCM) antes de enviarlo.
3. La aplicación envía al Servicio de Buzón el contenido cifrado y el permiso de escritura, este último únicamente para que el servidor compruebe que la subida corresponde al buzón.
4. El servidor no recibe la clave de cifrado ni el identificador secreto del grupo, y no guarda el permiso de escritura.

Consecuencia importante. Quien conozca el código de invitación del grupo, un código de cambios o una copia de seguridad del grupo puede leer y modificar todo el contenido. El Usuario es responsable de compartir esos códigos únicamente con las personas que desee incluir. El Responsable no puede distinguir entre usuarios autorizados y no autorizados: no existen cuentas.

5. Datos que recibe el Servicio de Buzón

El Servicio de Buzón recibe y trata los datos de la tabla siguiente cuando la sincronización está activada. Al unirse a un grupo con un código de invitación (sección 4) recibe, aunque la sincronización no se active después, el nombre del buzón, la dirección IP y la hora de la consulta; el resto de los datos de la tabla solo los recibe con la sincronización activada.

El Servicio de Buzón no recibe: nombres de personas, títulos de canciones, letras, acordes, contenido de los servicios, correo electrónico, número de teléfono, identificadores publicitarios ni la ubicación.

Limitaciones que el Usuario debe conocer:

• Leer un buzón no exige permiso: quien conozca el nombre de un buzón puede descargar su contenido cifrado. Sin la clave de cifrado no puede abrirlo y, sin el permiso de escritura, no puede escribir en él. El nombre del buzón no se puede adivinar, pero quien lo conozca (por ejemplo, un antiguo integrante) puede descargarlo.
• Los datos del Servicio de Buzón no están asociados a una persona identificada, pero el Responsable no puede excluir que un tercero pueda relacionar una dirección IP, un nombre de buzón y unas horas de conexión.
• Desactivar la sincronización en un teléfono no elimina lo ya enviado al servidor: esos datos desaparecen automáticamente al cumplirse el plazo de 90 días sin actualizaciones.
• Hoy no es posible atender una solicitud individual de borrado. El Servicio de Buzón no ofrece un procedimiento para borrar un buzón a petición del Usuario antes del plazo de 90 días, y la aplicación no muestra al Usuario el nombre de su buzón, por lo que el Responsable no puede localizar los datos de una persona concreta. Los datos desaparecen automáticamente al cumplirse el plazo indicado. [REVISAR: si la normativa aplicable exige un procedimiento de borrado, debe construirse antes de publicar esta política.]

6. Infraestructura

El Servicio de Buzón funciona sobre la infraestructura de Cloudflare, Inc. (Cloudflare Workers y la base de datos D1). Como proveedor de infraestructura, Cloudflare puede tratar datos técnicos de las conexiones (como la dirección IP) conforme a sus propias políticas, que el Responsable no controla. [REVISAR: indicar el contrato o las condiciones que rigen la relación con Cloudflare, y la ubicación del tratamiento, que no se ha verificado.] El Responsable no ha activado los registros de peticiones del proveedor.

7. Componentes de terceros incluidos en la aplicación

ML Kit (Google). La aplicación incluye ML Kit para reconocer texto en fotografías y PDF. El modelo de reconocimiento se ejecuta en el teléfono. La página de divulgación de datos publicada por Google (modificada por Google el 2025-05-14, según las notas internas del proyecto; no se ha vuelto a consultar) indica que el SDK de ML Kit puede recoger información del dispositivo (fabricante, modelo, versión de Android), de la aplicación (nombre del paquete y versiones), identificadores por instalación, métricas de rendimiento, tamaño de la entrada y de la salida (no su contenido), tipo de evento y códigos de error, con fines de diagnóstico y analítica de uso, y enviarlos mediante conexión cifrada. La página de Google no ofrece ninguna forma de desactivar esta recogida para el reconocimiento de texto, y el Responsable no ha aplicado hasta ahora ninguna otra medida para impedirla. En una medición realizada en un solo teléfono el 2026-10-29, con la sincronización apagada, no se observó tráfico de red de la aplicación; esa medición no constituye una garantía (un solo dispositivo, una sola lectura y diez minutos de observación). El Responsable no recibe estos datos.

Copia de seguridad del sistema operativo. El sistema Android puede copiar los datos de la aplicación, incluidos los grupos, a la cuenta de Google del Usuario si este tiene activada la copia de seguridad del sistema. Esta copia la realiza el sistema operativo y no el Responsable; se produce con la sincronización activada o desactivada. El Usuario puede gestionarla en los ajustes de su teléfono.

Compartir. Cuando el Usuario comparte un código o un archivo mediante el menú de compartir del sistema, el contenido lo recibe la aplicación o el servicio que el Usuario elija (por ejemplo, una aplicación de mensajería), que lo trata conforme a sus propias condiciones.

8. Copias de seguridad y códigos de cambios

El Usuario puede guardar copias de un grupo (archivo .metatonia) y generar códigos de cambios (MT1:) o de invitación (MT2:, MT3:). Estos archivos y códigos contienen el repertorio completo, o el identificador secreto del grupo, y no están protegidos por contraseña. Su almacenamiento y envío son responsabilidad del Usuario.

9. «Reportar un problema»

La función «Reportar un problema» prepara un texto que el Usuario envía, si lo desea, mediante el menú de compartir del sistema. El texto contiene: versión y número de compilación de la aplicación, tipo de compilación (de prueba o normal), versión del sistema operativo, si la sincronización está activada y su estado, la última vez que sincronizó correctamente, el desfase del reloj respecto del servidor, el número de espacios omitidos en la última descarga y, en versiones de prueba, si hay un código de prueba guardado (sí o no, nunca el código). No contiene el identificador del grupo, códigos, nombre del buzón, nombres de personas, de canciones ni de grupos. La aplicación abre directamente el menú de compartir del sistema con ese texto y no ofrece una pantalla propia para editarlo; que el Usuario pueda modificarlo antes de enviarlo depende de la aplicación de destino que elija. El texto no se envía automáticamente: solo se envía si el Usuario lo comparte.

10. Licencia de pago

[SOLO CON LA LICENCIA DE PAGO — no publicar hasta que exista.]

Cuando exista la licencia de pago:

1. El pago lo procesa la tienda de aplicaciones. El Responsable no recibe los datos de la tarjeta ni otros datos de pago del Usuario. La tienda trata esos datos conforme a sus propias condiciones.
2. Datos que el Servicio de Buzón recibirá y guardará al canjear una compra: el token de compra emitido por la tienda (que el Responsable utiliza para comprobar con la tienda el estado de la compra y que mantiene confidencial), el identificador del producto adquirido, el número de pedido, el estado de la compra, la fecha de vencimiento y el código de licencia generado. Estos datos se asocian al código de licencia y, por tanto, a los buzones que se den de alta con él.
3. Datos que no recibirá: nombre, correo electrónico, cuenta de la tienda ni identificadores del dispositivo.
4. Conservación. El token de compra se eliminará transcurridos [365] días desde el vencimiento o la revocación de la licencia; el resto de datos de la licencia se conservarán mientras sean necesarios para atender reclamaciones y [PLAZO LEGAL]. [REVISAR por el profesional: plazos de conservación legalmente exigibles.]
5. Visibilidad del estado de la licencia. El Servicio de Buzón informa a los teléfonos del grupo de si la licencia del grupo está activa y de su fecha de vencimiento. Esa información es visible para cualquier persona que conozca el nombre del buzón, incluidas las personas que hayan dejado el grupo.
6. Código de licencia. El código se guarda en el teléfono del líder, en los ajustes locales de la aplicación. Si el teléfono tiene activada la copia de seguridad del sistema, el código puede incluirse en ella (sección 7).

11. Cómo se protegen los datos

El cifrado del contenido se realiza en el teléfono (AES-256-GCM). La comunicación con el Servicio de Buzón se realiza únicamente por HTTPS. La aplicación no cifra la base de datos local donde guarda el grupo en el teléfono (no incluye ningún componente de cifrado de bases de datos); su protección corresponde al sistema operativo y al bloqueo del teléfono. Ningún sistema es completamente seguro y el Responsable no puede garantizar una seguridad absoluta.

12. Derechos del Usuario

[SECCIÓN QUE DEBE REDACTAR EL PROFESIONAL SEGÚN LA NORMATIVA APLICABLE.] En términos generales, y sin perjuicio de lo que establezca la normativa aplicable, el Usuario puede dirigirse a [CORREO] para ejercer los derechos que esa normativa le reconozca respecto de los datos que el Responsable trate. Debe tenerse en cuenta que, al no existir cuentas ni datos identificativos del Usuario, el Responsable solo podrá localizar datos si el Usuario aporta un dato que los identifique (por ejemplo, el nombre del buzón), y que los datos de los componentes de terceros (sección 7) y de la tienda de aplicaciones los controlan esos terceros.

13. Menores de edad

[SECCIÓN QUE DEBE REDACTAR EL PROFESIONAL. Metatonía no está dirigida específicamente a menores; no se ha realizado ninguna verificación de edad. Decidir el texto y la edad mínima según la normativa y las condiciones de la tienda.]

14. Cambios en esta política

El Responsable podrá modificar esta política. La versión vigente estará disponible en [URL]. Cuando el cambio afecte al tratamiento de datos, la aplicación [mostrará un aviso]. [REVISAR: la aplicación ya muestra un aviso de versión de prueba, con número de versión propio; decidir si el aviso de privacidad de la versión comercial usa el mismo mecanismo.]

15. Sitio web y descarga de la aplicación

El sitio web de Metatonía no usa cookies, ni analítica, ni formularios que envíen datos, ni servicios de terceros incorporados en las páginas (las tipografías se sirven desde el propio sitio). Aun así, como en cualquier sitio, quien lo aloja ve los datos de la conexión de quien lo visita (por ejemplo, la dirección IP y la página pedida) y los trata conforme a sus propias condiciones: [ALOJAMIENTO DE LA WEB: a completar por el Responsable]. El archivo de instalación (APK) de la versión de prueba se descarga desde la dirección que muestra la página de descarga, que puede ser de otro proveedor, y este también ve la dirección IP de quien descarga: [ALOJAMIENTO DEL APK: a completar por el Responsable]. El Responsable no recibe esos datos de conexión salvo que el proveedor los ponga a su disposición.

16. Mensajes que el Usuario envía al Responsable

Si el Usuario escribe al correo de contacto (por ejemplo, para pedir soporte o para decir si compraría la licencia), el Responsable recibe el mensaje y la dirección de correo desde la que se envía, y los datos que el Usuario decida incluir. Los usa únicamente para contestarle y, en el caso de los comentarios sobre la licencia, para valorar la demanda, y no los cede a terceros salvo que lo exija la ley. [PLAZO DE CONSERVACIÓN DE LOS MENSAJES: a completar por el Responsable.] El proveedor del correo trata esos mensajes conforme a sus propias condiciones. La aplicación no envía estos mensajes por sí sola: solo salen si el Usuario los escribe. Se recomienda no incluir en ellos códigos de invitación, códigos de cambios ni copias del grupo.

17. Contacto

[NOMBRE] · [CORREO] · [URL DE LA PÁGINA DEL PRODUCTO]