Política de Privacidad

0. Ámbito

Clonify trata datos personales en dos roles distintos. Como responsable del tratamiento, tratamos los datos personales de los creadores que usan Clonify en prueba, con un plan de pago o con Clonify Studio. Como encargado del tratamiento, tratamos los datos personales de los visitantes que interactúan con el clon publicado de un creador, por cuenta de ese creador.

A. Datos del creador (cliente Clonify)

En esta sección, Clonify actúa como responsable del tratamiento.

A.1 Responsable

• Denominación: Marea Kiss LLC
• Domicilio: 30 N Gould St, Ste R, Sheridan, WY 82801, USA
• Email: privacy@clonify.com

A.2 Datos que recogemos

• Cuenta: email, nombre, foto de perfil, subdominio, preferencia de idioma.
• Facturación: datos fiscales, país, plan suscrito, historial de pagos. Los datos de tarjeta son procesados por el proveedor de pagos; Clonify no almacena números de tarjeta.
• Contenido subido: audios, vídeos, documentos, URLs y artefactos derivados (transcripciones, embeddings, grafo de conocimiento, perfil de voz). Para importar contenido público que nos indicas (webs, vídeos de YouTube o Instagram) usamos Firecrawl, Supadata y Webshare, que solo reciben esas direcciones públicas.
• Clon de voz (opcional): si activas la voz, las muestras de audio que subes se envían a ElevenLabs para crear la voz del clon. Sube solo tu propia voz o una que tengas permiso para usar.
• Programa de afiliados (opcional): si recomiendas Clonify, tu código, los clientes que se te atribuyen, las comisiones generadas y la cuenta de PayPal donde te pagamos. PayPal trata el pago según sus propias condiciones.
• Técnicos: dirección IP, user agent, cookies de sesión, registros de errores.
• Uso: páginas visitadas, acciones en el panel, consumo de cuota y, solo con consentimiento, una repetición protegida de la navegación con el texto de la interfaz y los campos personales ocultos.
• Medición publicitaria opcional: solo con consentimiento, identificadores de clic y navegador de Meta, páginas visitadas y eventos de registro, prueba, suscripción y primera compra. El email y los identificadores locales incluidos en eventos de servidor se normalizan y se protegen mediante hash seguro antes del envío.

A.3 Finalidades y base jurídica

• Prestación del servicio, autenticación, facturación, soporte — ejecución del contrato (art. 6.1.b RGPD).
• Obligaciones fiscales y contables — obligación legal (art. 6.1.c).
• Analítica de producto, prevención de fraude, mejora del servicio — interés legítimo (art. 6.1.f).
• Repetición de sesión protegida y opcional para detectar bloqueos de uso — consentimiento (art. 6.1.a RGPD). Puede rechazarse sin afectar al servicio.
• Medición, atribución y mejora de audiencias publicitarias de Meta, de forma opcional — consentimiento (art. 6.1.a RGPD). Permanece desactivada hasta aceptarla y puede rechazarse sin afectar al servicio.
• Comunicaciones comerciales sobre nuevas funcionalidades y servicios similares — interés legítimo basado en relación contractual previa (art. 21.2 LSSI-CE), con baja en cada email.

A.4 Conexión con Google Calendar (datos de usuario de Google)

Conectar tu cuenta de Google es opcional y solo aplica si usas el módulo de Reuniones. Al conectarla, Clonify solicita dos permisos de Google Calendar mediante el flujo OAuth de Google, y lee la dirección de email de la cuenta conectada para mostrarte qué calendario está vinculado:

• Ver tu disponibilidad (calendar.freebusy): leemos únicamente los tramos ocupados/libres de tu calendario principal, para ocultar en tu página pública de reservas las horas en las que ya estás ocupado.
• Ver y editar eventos (calendar.events): creamos, actualizamos y eliminamos en tu calendario únicamente los eventos que corresponden a las reservas gestionadas por Clonify, para que cada reunión aparezca en tu agenda y no haya doble reserva.

Lo que NO hacemos: no leemos, modificamos ni almacenamos el resto de eventos de tu calendario, ni usamos los datos de Google Calendar para publicidad, elaboración de perfiles ni ningún fin distinto de la sincronización de reservas descrita arriba. Solo gestionamos los eventos que la propia Clonify genera a partir de tus reservas.

Almacenamiento y revocación: guardamos los tokens de acceso y de refresco de Google cifrados en reposo y los usamos solo para las operaciones anteriores. Puedes revocar el acceso en cualquier momento desde Clonify (Reuniones → Integraciones) o desde la página de permisos de tu cuenta de Google; al revocarlo, dejamos de acceder a tu calendario.

El uso y la transferencia por parte de Clonify de la información recibida de las APIs de Google, incluidos los YouTube API Services, hacia cualquier otra aplicación se ajustará a la Política de Datos de Usuario de los Servicios de las API de Google, incluidos sus requisitos de Uso Limitado (Limited Use).

A.5 Conexión con Google Drive (datos de usuario de Google)

Conectar Google Drive es opcional y solo aplica si usas el conector "Carpeta de Google Drive" para alimentar tu Conocimiento en Clonify. Al conectarlo, Clonify solicita un único permiso mediante el flujo OAuth de Google:

• Ver y descargar tus archivos de Drive (drive.readonly): leemos los archivos de la carpeta que tú eliges, y de sus subcarpetas, para que su contenido alimente a tu clon. Necesitamos acceso de lectura en lugar de un selector puntual de archivos porque el sentido del conector es que los archivos que añadas MÁS ADELANTE a esa carpeta entren solos, y esos archivos todavía no existen cuando das el consentimiento.

Qué hacemos con ellos: descargamos los archivos de esa carpeta, transcribimos los vídeos y audios, extraemos el texto de los PDFs, de los archivos de texto y de los Documentos, Hojas y Presentaciones de Google, lo dividimos en fragmentos y lo indexamos, para que tu clon pueda responder con ese contenido. La estructura de subcarpetas se replica dentro de Clonify. Una vez al día revisamos la carpeta y traemos lo nuevo o lo modificado.

Lo que NO hacemos: nunca escribimos, modificamos ni borramos nada en tu Drive — el acceso es de solo lectura. No accedemos a archivos fuera de la carpeta que has seleccionado. No usamos los datos de Google Drive para publicidad, elaboración de perfiles ni ningún fin distinto de alimentar el clon que has configurado. Borrar un archivo en Drive no lo borra de tu Conocimiento: te avisamos y decides tú.

Almacenamiento y revocación: guardamos los tokens de acceso y de refresco de Google cifrados en reposo y los usamos solo para las operaciones anteriores. Puedes desconectar la carpeta en cualquier momento desde Clonify (en Conocimiento) o revocar el acceso desde la página de permisos de tu cuenta de Google; al revocarlo, dejamos de acceder a tu Drive. El contenido ya incorporado permanece en tu Conocimiento hasta que lo borres.

A.6 Con quién compartimos los datos de usuario de Google

No vendemos los datos de usuario de Google ni los cedemos a terceros con fines publicitarios. Los compartimos, transferimos o comunicamos únicamente a los siguientes proveedores, que actúan como encargados del tratamiento bajo un acuerdo de tratamiento de datos y solo en la medida necesaria para prestar las funcionalidades descritas arriba:

• Cloudflare R2 — almacenamiento temporal: solo pasan por él los vídeos y audios de esa carpeta, para poder enviarlos a transcribir, y el archivo se borra en cuanto la transcripción termina. Los PDFs, los archivos de texto y los Documentos, Hojas y Presentaciones de Google se procesan en memoria y no se guardan ahí.
• AssemblyAI Inc. — transcribe a texto los vídeos y audios de esa carpeta.
• OpenAI L.L.C. — convierte el texto extraído en los vectores numéricos con los que se busca, y genera respuestas del clon.
• Anthropic PBC — modelos de lenguaje que generan las respuestas del clon a partir de ese contenido.
• Cohere Inc. — reordena por relevancia los fragmentos recuperados antes de que lleguen al modelo.
• Neon Inc. — la base de datos PostgreSQL donde se guardan el texto extraído y sus vectores.
• Vercel Inc. — alberga y ejecuta la aplicación que realiza las operaciones anteriores.

La lista anterior describe la conexión con Google Drive (A.5). La conexión con Google Calendar (A.4) implica menos proveedores: los datos de calendario solo pasan por Neon, como base de datos, y Vercel, como alojamiento que ejecuta la sincronización — nunca llegan a los proveedores de transcripción ni de modelos de lenguaje. La conexión con YouTube tiene su propia explicación en el apartado A.9.

Cada uno de estos proveedores aparece en la sección C con su ubicación y su acuerdo de tratamiento de datos. Fuera de ellos, solo comunicamos datos de usuario de Google cuando la ley lo exige. No usamos los datos de usuario de Google para desarrollar, mejorar ni entrenar modelos de inteligencia artificial o aprendizaje automático generalizados o no personalizados, y nuestros proveedores los tratan bajo contrato sin usarlos para entrenar los suyos.

A.7 Conexión de leads de anuncios de Facebook e Instagram

Conectar una cuenta de Meta es opcional. Cuando un creador la activa, Clonify lee el identificador y nombre visible del usuario de Meta, los identificadores y nombres de las páginas que administra, el identificador y usuario de cualquier cuenta profesional de Instagram vinculada, y los identificadores y nombres de los formularios de anuncios para clientes potenciales. Los tokens de acceso y de página se guardan cifrados en reposo.

Los permisos pages_show_list, pages_read_engagement, pages_manage_ads y leads_retrieval se usan únicamente para listar las páginas y formularios autorizados por el creador y recuperar los leads generados por esos formularios. pages_manage_metadata se usa únicamente para suscribir o desuscribir las páginas elegidas de las notificaciones de leads en tiempo real. Con esta conexión, Clonify no crea ni modifica campañas o anuncios, ni lee o gestiona mensajes, comentarios o reseñas.

El creador puede desconectar Meta en cualquier momento desde Configuración → Leads de Facebook e Instagram. Esto revoca las suscripciones de Clonify a las páginas y elimina los tokens y metadatos de conexión guardados; los contactos ya importados permanecen en el CRM del creador hasta que este los elimine. Una solicitud de eliminación de datos de Meta también borra la conexión asociada a ese usuario de Meta.

A.8 Conectar tu propia IA (Claude, ChatGPT, Cursor y otras)

Conectar una IA externa a tu cuenta es opcional. Al hacerlo, autorizas desde una pantalla de Clonify a esa aplicación (por ejemplo Claude de Anthropic, ChatGPT de OpenAI o Cursor) a usar tu cuenta con tus mismos permisos: puede leer la información a la que tú tienes acceso (conversaciones de tu clon, contactos, ventas, cursos, correos y el conocimiento de tu clon) y crear, cambiar o borrar contenido cuando se lo pidas.

Clonify solo entrega a esa aplicación los datos que pide cada acción que ejecuta, en el momento en que la ejecuta. Lo que la aplicación haga después con ellos se rige por sus propias condiciones y su política de privacidad, que aceptas con ella. Si la información incluye datos de tus contactos o alumnos, eres tú, como responsable de esos datos, quien decide compartirlos con la IA que conectas.

Para mantener la conexión solo guardamos un identificador de la aplicación, la dirección a la que vuelve y unos códigos de acceso que nunca conservamos de forma legible (solo su huella). El código de acceso caduca a la hora y se renueva mientras sigas usando la conexión; si pasan 60 días sin usarla, deja de funcionar. Puedes desconectarla cuando quieras en Configuración → Conecta tu IA: todos los códigos dejan de funcionar al momento.

A.9 Publicar en redes sociales

Conectar una red es opcional. Lo haces tú desde Marketing → Redes sociales, con la sesión de tu cuenta de Clonify. Puedes conectar una Página de Facebook, una cuenta profesional de Instagram, un perfil de Threads, un canal de YouTube, una cuenta de TikTok, y un perfil de LinkedIn o las páginas de empresa de LinkedIn que administras. Las redes se abren por fases, y esa pantalla muestra cuáles están disponibles en tu cuenta. Cada una tiene su sección más abajo. Pinterest, Bluesky y Google Business no están disponibles.

Cuando conectas una red, Clonify guarda el identificador y el nombre de la cuenta o la Página, el usuario público y un token de acceso cifrado. No guardamos tu contraseña de esa red. Con ese permiso publicamos solo lo que programas (texto, enlace y la imagen o el vídeo cuya dirección nos das) y leemos cifras agregadas de esa publicación y de la cuenta: impresiones, alcance, reacciones, comentarios, compartidos, guardados, clics y seguidores, según lo que cada red entregue. Esta conexión no lee los mensajes privados ni responde comentarios. Los mensajes de Instagram del clon siguen siendo una conexión distinta, en los Canales de cada clon.

La app de escritorio de Clonify programa publicaciones en las mismas cuentas conectadas. No abre una conexión propia. Puedes desconectar una cuenta cuando quieras: borramos el token y cancelamos lo que aún no se ha publicado. Lo ya publicado sigue en la red hasta que lo borres allí. Si pides a Meta que elimine tus datos, desconectamos las cuentas asociadas a ese usuario de Meta y te dejamos un código de confirmación en la página de instrucciones.

Cómo pedir la eliminación de los datos de redes

Conexión con YouTube (datos de usuario de Google)

Conectar tu canal de YouTube es opcional y solo aplica si publicas vídeos desde Clonify. Las redes se abren por fases: en Marketing → Redes sociales ves si ya está disponible en tu cuenta y la conectas tú. Para esta conexión, Clonify usa los YouTube API Services. Al conectar aceptas los Términos de servicio de YouTube, y se aplica la Política de privacidad de Google. Clonify solicita dos permisos mediante el flujo OAuth de Google:

• youtube.upload: subir a tu canal el vídeo o el Short que programas, con el título, la descripción, la privacidad y la miniatura que eliges.
• youtube.readonly: saber qué canal has conectado (identificador, nombre, usuario, foto y suscriptores) y leer las visitas, los me gusta y el número de comentarios de los vídeos que Clonify subió por ti.

Qué guardamos. Los datos del canal indicados arriba; los tokens de acceso y de renovación de Google, cifrados; y de cada publicación, el título, la descripción, las direcciones del vídeo y de la miniatura, las opciones elegidas, el estado, el identificador del vídeo en YouTube y sus cifras. No guardamos tu contraseña de Google. El archivo del vídeo no se conserva: pasa por memoria mientras se sube a YouTube.

Para qué. Solo para publicar lo que programas y enseñarte su resultado. No editamos ni borramos vídeos de tu canal, no leemos el resto de tus vídeos ni el texto de los comentarios, y no escribimos comentarios. No vendemos estos datos, no los usamos para publicidad ni para entrenar modelos de IA. Solo salen hacia Google y hacia los proveedores que alojan el servicio (Neon y Vercel, en la sección C). Si preguntas por ellos a tu asistente de Clonify, pasan por los modelos de lenguaje de la sección C solo para responderte; si los pides desde una IA externa que has conectado, se aplica el apartado A.8.

El uso y la transferencia por parte de Clonify de la información recibida de las APIs de Google, incluidos los YouTube API Services, hacia cualquier otra aplicación se ajustará a la Política de Datos de Usuario de los Servicios de las API de Google, incluidos sus requisitos de Uso Limitado (Limited Use).

Cuánto tiempo. Los tokens, mientras el canal siga conectado: los borramos al desconectarlo o en cuanto vemos que has retirado el permiso. Con el canal conectado, sus datos y las cifras se actualizan cada pocas horas; lo que YouTube lleve 30 días sin confirmar se borra. A los 7 días de desconectar o de detectar que has retirado el permiso borramos los datos del canal, las cifras y el identificador de cada vídeo. Lo que escribiste tú (título, descripción, direcciones y opciones) sigue en tu historial hasta que pidas borrarlo o se apliquen los plazos de la sección D al cerrar tu cuenta de Clonify.

Cómo revocar y borrar. Desconecta el canal en Marketing → Redes sociales: borramos los tokens al momento, pedimos a Google que retire el permiso y cancelamos lo que aún no se ha publicado. También puedes quitar Clonify en https://myaccount.google.com/permissions: Google no nos avisa, pero lo vemos la próxima vez que usamos la conexión, normalmente en unas horas. Entonces borramos los tokens y se aplica el mismo plazo de 7 días. Para borrar antes los datos, o lo que escribiste, escribe a privacy@clonify.com. Lo ya publicado sigue en YouTube hasta que lo borres allí.

Conexión con TikTok

Conectar TikTok es opcional y solo aplica si publicas vídeos desde Clonify. Lo autorizas tú en la pantalla de TikTok (Login Kit), que muestra estos permisos:

• user.info.basic: saber qué cuenta has conectado (identificador, nombre y foto), para enseñártela en Marketing → Redes sociales y antes de publicar.
• video.publish: publicar en tu cuenta el vídeo que confirmas en Clonify, con el texto, la portada, la privacidad, las interacciones y la declaración de contenido comercial que eliges.
• video.list: leer las vistas, los me gusta, los comentarios y los compartidos de los vídeos que Clonify publicó para ti. Es opcional: sin él se publica igual, pero no hay cifras.

Qué guardamos. El identificador de la cuenta, su nombre, su usuario y su foto; los tokens de acceso y de renovación de TikTok, cifrados; y de cada publicación, el texto, la dirección del vídeo, las opciones elegidas, el estado y las cifras. No guardamos tu contraseña de TikTok. El archivo del vídeo no se conserva: si Clonify tiene que subirlo, pasa por memoria y se envía a TikTok.

Para qué. Solo para publicar lo que confirmas y enseñarte su resultado. No leemos tus otros vídeos, tus mensajes ni tus seguidores. No vendemos estos datos, no los usamos para publicidad ni para entrenar modelos de IA, y solo salen hacia TikTok y hacia los proveedores que alojan el servicio (Neon y Vercel, en la sección C). Si preguntas por ellos a tu asistente de Clonify, pasan por los modelos de lenguaje de la sección C solo para responderte; si los pides desde una IA externa que has conectado, se aplica el apartado A.8.

Cuánto tiempo. Los tokens, mientras la cuenta siga conectada: los borramos al desconectarla. Las cifras de un vídeo se actualizan mientras está conectada. El nombre de la cuenta y el historial de publicaciones siguen en tu panel después de desconectar, hasta que pidas borrarlos o se apliquen los plazos de la sección D al cerrar tu cuenta de Clonify.

Cómo revocar y borrar. Desconecta la cuenta en Marketing → Redes sociales: borramos los tokens al momento y cancelamos lo que aún no se ha publicado. También puedes quitar Clonify en TikTok (Ajustes y privacidad → Seguridad → Apps con permiso): dejamos de tener acceso, pero TikTok no nos avisa, así que desconéctala también en Clonify para borrar los tokens. Para borrar el resto de datos, escribe a privacy@clonify.com. Lo ya publicado sigue en TikTok hasta que lo borres allí.

Conexión con LinkedIn

Conectar LinkedIn es opcional y solo aplica si publicas desde Clonify. Tu perfil personal y tus páginas de empresa son dos conexiones independientes: las autorizas por separado en la pantalla de LinkedIn y puedes tener solo una. Estos son los permisos.

Perfil personal:

• openid, profile: saber qué miembro conecta su cuenta y enseñarte su nombre y su foto en Marketing → Redes sociales y al publicar.
• w_member_social: publicar en tu perfil el texto, la imagen o el vídeo que programas en Clonify.
• r_member_social: leer cuántas reacciones y comentarios tiene lo que Clonify publicó en tu perfil. Solo se pide si LinkedIn concede este permiso a Clonify; sin él, el perfil publica igual, pero no hay cifras.

Páginas de empresa:

• rw_organization_admin: ver qué páginas administras, para que elijas dónde publicar, y leer los seguidores de la página y las visitas, el alcance y los clics de lo que Clonify publicó. No cambiamos la configuración, los roles ni los administradores de la página.
• w_organization_social: publicar en la página que eliges el texto, la imagen o el vídeo que programas en Clonify.
• r_organization_social: leer cuántas reacciones y comentarios tiene lo que Clonify publicó en la página.

Qué guardamos. Del perfil, tu identificador de miembro, tu nombre y la dirección de tu foto. De cada página, su identificador, su nombre y su dirección pública en LinkedIn, y tu identificador de miembro. De las dos conexiones, los permisos concedidos y los tokens de acceso y, si LinkedIn lo concede, de renovación, siempre cifrados. De cada publicación, el texto, el enlace, la dirección del archivo, la hora, el estado y las cifras agregadas. No guardamos tu contraseña de LinkedIn ni pedimos tu correo. El archivo no se conserva: Clonify lo descarga de la dirección que nos das, lo envía a LinkedIn y no se queda con una copia.

Para qué. Solo para publicar lo que programas y enseñarte su resultado. No comentamos, no reaccionamos, no mandamos mensajes y no leemos tu red de contactos, tus mensajes ni otras publicaciones. No vendemos estos datos, no los usamos para publicidad ni para entrenar modelos de IA, y solo salen hacia LinkedIn y hacia los proveedores que alojan el servicio (Neon y Vercel, en la sección C). Si preguntas por ellos a tu asistente de Clonify, pasan por los modelos de lenguaje de la sección C solo para responderte; si los pides desde una IA externa que has conectado, se aplica el apartado A.8.

Cuánto tiempo. Los tokens, mientras la cuenta siga conectada: los borramos al desconectarla. El acceso de LinkedIn caduca a los 60 días y solo se renueva solo si LinkedIn da token de renovación; si no, tendrás que volver a conectar. Las cifras se actualizan mientras la cuenta está conectada. El nombre de la cuenta y el historial de publicaciones siguen en tu panel después de desconectar, hasta que pidas borrarlos o se apliquen los plazos de la sección D al cerrar tu cuenta de Clonify.

Cómo revocar y borrar. Desconecta tu perfil y cada página en Marketing → Redes sociales: borramos los tokens al momento y cancelamos lo que aún no se ha publicado. También puedes quitar Clonify en LinkedIn (Ajustes y privacidad → Privacidad de los datos → Servicios permitidos): dejamos de tener acceso, pero LinkedIn no nos avisa, así que desconéctala también en Clonify para borrar los tokens. Para borrar el resto de datos, escribe a privacy@clonify.com. Lo ya publicado sigue en LinkedIn hasta que lo borres allí.

Conexión con Facebook, Instagram y Threads

Conectar estas redes para publicar es opcional. Lo autorizas tú en la pantalla de Meta, Instagram o Threads. Es una conexión distinta de los leads de anuncios (A.7) y de los mensajes del clon en Instagram. Estos son los permisos.

• pages_show_list, pages_manage_posts, pages_read_engagement, read_insights, pages_read_user_content: en Facebook, ver las Páginas que administras, publicar en la que conectas lo que programas y leer las cifras agregadas de la Página y de esas publicaciones, incluidas sus visitas, clics, reacciones, comentarios y compartidos. También te enseñamos los últimos comentarios de esas publicaciones (autor, texto y fecha), solo para que los leas. No leemos las cifras de tus anuncios.
• instagram_business_basic, instagram_business_content_publish, instagram_business_manage_insights: en Instagram, si entras con Instagram, identificar tu cuenta profesional, publicar lo que programas y leer sus cifras agregadas.
• instagram_basic, instagram_content_publish, instagram_manage_insights, pages_show_list, pages_read_engagement: lo mismo si conectas la cuenta de Instagram vinculada a una Página de Facebook.
• threads_basic, threads_content_publish, threads_manage_insights: en Threads, identificar tu perfil, publicar lo que programas y leer sus cifras agregadas.

Qué guardamos. Tu identificador de usuario de Meta, y de cada Página o cuenta su identificador, su nombre, su usuario público y, en Instagram y Threads, la dirección de su foto; los permisos concedidos; los tokens de acceso y, cuando la conexión pasa por Facebook, tu token de usuario para renovarlos, siempre cifrados; los seguidores; y de cada publicación, el texto, el enlace, las direcciones de los archivos, la hora, el estado, su identificador en la red y sus cifras. No guardamos tu contraseña. Los comentarios de Facebook se leen cuando abres la publicación y no se guardan. Los archivos no se conservan: la red los recoge de la dirección que nos das.

Para qué. Solo para publicar lo que programas y enseñarte su resultado. No leemos mensajes privados ni respondemos comentarios con esta conexión. No vendemos estos datos ni los usamos para publicidad o para entrenar modelos de IA. Solo salen hacia Meta y hacia los proveedores que alojan el servicio (Neon y Vercel, en la sección C). Si preguntas por ellos a tu asistente de Clonify, pasan por los modelos de lenguaje de la sección C solo para responderte; si los pides desde una IA externa que has conectado, se aplica el apartado A.8.

Cuánto tiempo. Los tokens, mientras la cuenta siga conectada: los borramos al desconectarla o al recibir una petición de eliminación de Meta. Las cifras se actualizan cada pocas horas mientras está conectada. Los datos de la cuenta y el historial de publicaciones siguen en tu panel después de desconectar, hasta que pidas borrarlos o se apliquen los plazos de la sección D al cerrar tu cuenta de Clonify.

Cómo revocar y borrar. Desconecta la cuenta en Marketing → Redes sociales: borramos los tokens al momento y cancelamos lo que aún no se ha publicado. También puedes quitar Clonify desde Meta (Configuración → Tus aplicaciones y sitios web): dejamos de tener acceso, pero para borrar los tokens desconéctala también en Clonify o pide la eliminación como se explica abajo. Para borrar el resto de datos, escribe a privacy@clonify.com. Lo ya publicado sigue en la red hasta que lo borres allí.

A.10 Clonify Studio (app de escritorio)

Clonify Studio es una app gratuita que se instala en tu ordenador y trabaja con la IA que conectas tú. Para usarla necesitas una cuenta de Clonify, a la que se aplica el resto de esta política. Este apartado explica qué se queda en tu ordenador, qué va a esa IA y qué recibe Clonify.

En tu ordenador. Tus vídeos, tus pizarras y tus creaciones se guardan en tu ordenador, y los vídeos y audios se transcriben allí con Whisper. Las claves de API que añadas se guardan en tu ordenador, cifradas con el sistema cuando este lo permite. Studio se actualiza y baja los programas que necesita desde GitHub y otros repositorios públicos, que reciben tu dirección IP como en cualquier descarga.

Permisos. De serie, tu IA solo lee la carpeta de cada creación y lo que pones en la pizarra, y solo escribe en esa creación. Puedes darle acceso completo a tu ordenador en una pizarra concreta. Esa opción está apagada de serie. La app también lee tus skills y las sesiones de tus creaciones en la carpeta de Claude Code de tu ordenador, sin enviarlas a Clonify. Al abrirse, Studio se añade también a tu Claude Code y a tu Codex, si los tienes, con sus comandos oficiales, para que puedas lanzar tus plantillas desde ellos. Esa conexión solo funciona dentro de tu ordenador y con una clave, y puedes quitarla en Conexiones.

Tu IA. Studio lanza los programas oficiales Claude Code y Codex. Entras en tu cuenta de Anthropic o de OpenAI en la pantalla de cada empresa, y Studio no lee ni guarda esas credenciales. Lo que tu IA necesita para trabajar, como tus indicaciones, textos, transcripciones, imágenes o fotogramas, va a Anthropic o a OpenAI con tu cuenta y se rige por sus condiciones y su política de privacidad. Si conectas una clave de otro servicio, lo que le pidas va directamente a ese servicio. Desde Studio, tu IA puede consultar tu cuenta de Clonify como se explica en A.8 y crear borradores, pero no enviar, publicar ni borrar. Mientras trabaja con esos límites de serie, tampoco llega a tus contactos, compras, conversaciones, alumnos, citas ni respuestas.

Lo que recibe Clonify.

• Tu cuenta y tu plaza: tu correo, tu nombre si entras con Google, el enlace de invitación por el que llegaste y tus respuestas a las preguntas del inicio.
• Señales de uso: cuándo pide la app permiso a Clonify o usa créditos, y su versión. La primera vez que la usas, además, manda a PostHog un evento anónimo por cada pantalla de inicio, para ver dónde se queda la gente, con la versión y el sistema operativo. La app no nos cuenta qué creas, salvo que aceptes la grabación que se explica más abajo.
• Créditos: compras, saldo y movimientos, con la herramienta, el modelo y el coste de cada uso. El pago lo trata Stripe.
• Lo que envías por Feedback, con sus capturas.
• Lo que publicas en la Comunidad: plantillas, portadas, valoraciones y comentarios. Una IA de Anthropic lee los textos de cada plantilla y el equipo la revisa antes de publicarla.
• Lo que tu IA o tú subís a tu cuenta de Clonify, como borradores y fotos.

Tus respuestas y lo que has hecho en Studio quedan como etiquetas en tu contacto de la cuenta de Clonify, para saber qué enseñarte y escribirte sobre Studio y Clonify. Cada correo comercial lleva su baja, como se indica en A.3.

Herramientas con créditos. Son opcionales. Lo que pides pasa por Clonify hacia su proveedor: la imagen a Google (Gemini), la voz a ElevenLabs, el vídeo y la limpieza de audio a fal.ai, y Claude por créditos a Anthropic. Clonify no guarda el contenido de esas peticiones, solo lo necesario para cobrarlas y seguirlas, como el modelo, la duración y el coste. Si clonas tu voz, tu grabación va a ElevenLabs con tu consentimiento, y guardamos cuándo lo diste, su texto y una huella del audio. Puedes quitarla, y entonces se borra también de ElevenLabs.

Grabación opcional. Al terminar la presentación inicial, Studio te ofrece grabar tus primeros 10 minutos de uso para ver cómo se usa. Está apagado de serie, y la base es tu consentimiento. Si aceptas, la grabación de esa ventana va a PostHog junto a tu correo y tu número de cuenta. Se ve lo que aparece en la ventana, incluida la pizarra, salvo lo que escribes en los campos, tus claves y las rutas de tus archivos. Mientras graba lo avisa arriba, y puedes pararla cuando quieras.

Lo que está en tu ordenador lo controlas tú. Para borrar tu cuenta o ejercer tus derechos sobre lo que recibe Clonify, escribe a privacy@clonify.com.

B. Datos de contactos y visitantes tratados para un creador

Cuando un visitante interactúa con el clon de un creador, el creador es el responsable del tratamiento y Clonify es el encargado del tratamiento, regulado por el Anexo de Tratamiento de Datos (DPA).

B.1 Datos que tratamos

• Identificadores: email y nombre opcional al identificarse vía OTP; identificador anónimo en cookie cuando permanece anónimo.
• Conversaciones: transcripciones completas de los mensajes con el clon.
• Perfil de memoria: resumen generado por IA más cinco campos agnósticos (contexto, objetivo, problema, restricciones, próximo paso) derivados de la conversación, para personalizar respuestas futuras.
• Técnicos: dirección IP, user agent, idioma, página de origen.
• Anuncios para leads de Meta: Cuando el creador activa la conexión, tratamos el nombre, email, teléfono y las respuestas a las preguntas de los formularios seleccionados. Conservamos las preguntas y opciones necesarias para interpretar esas respuestas, la fecha del envío y los datos de origen que Meta facilite sobre la página, formulario, campaña, conjunto de anuncios, anuncio y plataforma. Estos datos se muestran en la ficha del contacto. El creador es el responsable de estos datos y determina el contenido, la base jurídica y la conservación de su formulario de anuncio.
• Canales conectados: si el creador conecta WhatsApp, Instagram o Discord, tratamos los mensajes que se intercambian ahí con el clon. Esas plataformas también los tratan según sus propias condiciones con el visitante.
• Reuniones: las reservas y, cuando el creador graba una reunión, la grabación y su transcripción automática. Antes de entrar se avisa a los participantes de que la sesión puede grabarse.
• Exámenes: respuestas, nota y, si el creador activa la vigilancia, las incidencias del navegador (salir de pantalla completa, cambiar de pestaña, copiar o pegar). Las respuestas abiertas puede corregirlas la IA. Si el creador deja esa nota como definitiva, el alumno puede pedirle que la revise.
• Verificación de identidad en exámenes: si un examen la exige, Stripe compara una foto del documento de identidad del alumno con un selfie. Es un dato biométrico, así que solo se hace después de que el alumno dé su consentimiento explícito en pantalla (art. 9.2.a RGPD). Clonify guarda únicamente el resultado y el nombre verificado, no las imágenes, que quedan en Stripe.
• Cookies: ver la Política de Cookies.

B.2 Clickwrap OTP

Cuando un visitante introduce el código único recibido por email, acepta los términos del visitante y esta política. La aceptación queda registrada con fecha y vinculada al email.

B.3 Elaboración de perfiles (art. 22 RGPD)

El perfil de memoria es un tratamiento automatizado destinado a personalizar el comportamiento del clon. No produce efectos jurídicos ni decisiones que afecten significativamente al visitante. Los visitantes pueden resetear o suprimir su perfil escribiendo a privacy@clonify.com, o seguir de forma anónima para evitar crearlo.

B.4 Inteligencia artificial

El clon se presenta siempre como una IA: una etiqueta en la ventana del chat, un primer mensaje en WhatsApp, Instagram y Discord, y el saludo de las llamadas de voz. Si alguien pregunta en serio si habla con una persona, dice que es un clon de IA. Clonify no usa los datos de creadores ni de visitantes para entrenar modelos de IA, propios ni ajenos, ni para mejorar el clon de otro creador. Los modelos de lenguaje que generan las respuestas (OpenAI y Anthropic) se usan por su API, en condiciones en las que no emplean esos datos para entrenar sus modelos.

C. Subencargados

Recurrimos a los siguientes subencargados, vinculados por un acuerdo de tratamiento con garantías adecuadas (Cláusulas Contractuales Tipo para proveedores en EE.UU.). Los que tratan datos de la audiencia de los creadores figuran también en el DPA.

La analítica de PostHog y las grabaciones protegidas en páginas públicas de marketing o durante los primeros 14 días de una cuenta nueva solo se activan tras aceptar analítica. El registro de fallos técnicos (qué se rompió, en qué página y con qué navegador, sin identificarte ni guardar nada en tu dispositivo) se envía a PostHog sin necesidad de consentimiento, por interés legítimo en mantener el servicio en funcionamiento. La medición de Meta y Google Ads, incluidas las campañas de YouTube, solo se activa tras aceptar publicidad y cuando esas herramientas están configuradas.

D. Conservación

Clonify aplica un calendario de retención tipo soft-delete inspirado en Shopify:

• Tenant activo: datos del creador conservados indefinidamente mientras la suscripción esté activa. Datos de visitantes conservados 3 años desde la última interacción.
• Tenant cancelado: el workspace pasa a estado "suspendido", los datos de visitantes se conservan durante un periodo de gracia de 90 días.
• Pasados 90 días: datos de visitantes eliminados. Se conserva un esqueleto mínimo del tenant (facturación, datos fiscales) durante 4 años por obligación fiscal española; después se elimina.
• Solicitud de borrado del visitante: atendida de forma inmediata, con independencia del estado del tenant.

E. Tus derechos

Conforme al RGPD y la LOPDGDD tienes derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y a no ser objeto de decisiones automatizadas (ARSULIPO).

Para ejercerlos, escribe a privacy@clonify.com acreditando tu identidad. Respondemos en un plazo máximo de 30 días. Si eres visitante de un clon, trasladaremos la solicitud al creador correspondiente (responsable) cuando proceda.

También puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) o la autoridad de control de tu país.

F. Seguridad

Aplicamos medidas técnicas y organizativas: aislamiento multi-tenant garantizado por revisión de código y lint, TLS en tránsito, cifrado en reposo de Neon, rate limiting en endpoints sensibles, OTP en flujos sensibles, control de acceso basado en roles y fijación de CORS.

G. Transferencias internacionales

Marea Kiss LLC está establecida en Estados Unidos, y la base de datos principal y el alojamiento de la aplicación se encuentran en EE.UU. (Virginia). Varios subencargados están también en Estados Unidos. Las transferencias se amparan en Cláusulas Contractuales Tipo (Decisión 2021/914 de la Comisión) y, cuando aplica, en el marco EU-US Data Privacy Framework.

H. Menores

Clonify se dirige a personas mayores de 16 años. No recogemos conscientemente datos de menores de esa edad.

I. Modificaciones

Podemos modificar esta política para reflejar cambios legales o del servicio. Los cambios sustanciales se notificarán por email o mediante un aviso visible en la plataforma.