POLÍTICA DE PRIVACIDAD

Vendy Studio

Versión 05 - Última actualización: 22/10/2026

La presente Política de Privacidad tiene por objeto informar a los usuarios de la plataforma Vendy Studio («la Plataforma») de las condiciones en las que sus datos personales son recogidos, utilizados y protegidos, de conformidad con el Reglamento (UE) 2016/679 («RGPD»).

1. IDENTIDAD DEL RESPONSABLE DEL TRATAMIENTO

El responsable del tratamiento es: Vendy Studio

Prestador de la plataforma:

VLA STUDIO - D. François Vella
Domicilio social: 1A Rue Marcel Sembat, 62880 Vendin-le-Vieil, Francia
Contacto por correo electrónico: contact@vendystudio.fr

El sitio web está alojado por: Vercel Inc. Dirección: 340 S Lemon Ave #4133, Walnut, CA 91789, EE. UU.

2. DATOS PERSONALES RECOGIDOS

En el marco del uso del Servicio, Vendy Studio puede recoger las siguientes categorías de datos:

Datos de identificación: dirección de correo electrónico, identificador de cuenta;
Datos de conexión: registros técnicos, dirección IP, tipo de navegador, fechas y horas de conexión;
Datos de navegación (medición de audiencia): información relativa al uso de la Plataforma (páginas visitadas, eventos, identificadores de cookies de medición de audiencia), según sus elecciones;
Datos de pago: información relativa a las transacciones (a través de Stripe, sin acceso a los datos bancarios completos);
Contenidos subidos: fotografías de prendas (que pueden contener datos personales si el usuario no respeta las reglas);
Datos de uso: número de generaciones, consumo de créditos, preferencias funcionales;
Intercambios con el soporte: cuando escribe a contact@vendystudio.fr: dirección de correo electrónico y nombre del remitente, asunto y contenido del mensaje, fecha de recepción, archivos adjuntos (las imágenes JPG, PNG y WebP se conservan junto con la solicitud; los demás archivos adjuntos figuran únicamente en la copia técnica del mensaje recibido), encabezados técnicos del mensaje (identificador, encaminamiento, resultados de los controles de autenticación del remitente, como SPF, DKIM y DMARC), así como nuestras respuestas; en su caso, los datos de su cuenta útiles para la tramitación de la solicitud, cuando la dirección de envío corresponda a una cuenta;
Datos de desistimiento: nombre, apellidos, dirección de correo electrónico, referencia del pedido (o fecha e importe de la compra) y mensaje libre, facilitados a través del formulario de desistimiento en línea — accesible SIN cuenta: por tanto, pueden referirse a una persona no registrada.
Datos de prevención de abusos (cuentas múltiples): en el momento del registro, forma normalizada de la dirección de correo electrónico, huella irreversible (hash) de la dirección IP e identificador técnico aleatorio del dispositivo (cookie «vs_did»), utilizados exclusivamente para verificar el cumplimiento del límite de una cuenta gratuita por persona y por hogar (CGU/CGV, art. 5.1 bis). La dirección IP nunca se conserva en claro. Tras la supresión de una cuenta, solo puede conservarse una huella seudonimizada de estos datos (hash criptográfico con clave secreta, no reversible), en las condiciones del apartado 6.

El Servicio no está destinado a tratar datos sensibles en el sentido del RGPD. No obstante, en caso de subida no conforme por parte del usuario (p. ej., una fotografía que contenga una persona identificable, una vivienda, una etiqueta con un nombre), podrán tratarse de forma incidental datos personales — y potencialmente sensibles. En tal caso, Vendy Studio se reserva el derecho de suprimir el contenido en cuestión y/o de restringir el acceso al Servicio de conformidad con las Condiciones.

3. FINALIDADES Y BASES JURÍDICAS

Los datos se tratan para las siguientes finalidades:

Prestación del Servicio (creación de cuenta, generación de imágenes, gestión de créditos) – Ejecución del contrato;
Gestión de los pagos y prevención del fraude – Ejecución del contrato / interés legítimo;
Seguridad y estabilidad de la Plataforma – Interés legítimo;
Medición de audiencia (Google Analytics) – Consentimiento;
Publicidad, medición de campañas y atribución de conversiones – Consentimiento;
Mejora del Servicio (estadísticas agregadas) – Interés legítimo;
Comunicaciones relativas al Servicio – Ejecución del contrato;
Prospección comercial (en su caso) – Consentimiento;
Recepción, acuse de recibo, tramitación y conservación como prueba de las declaraciones de desistimiento – Obligación legal (función de desistimiento en línea, art. 11 bis de la Directiva 2011/83/UE; art. 6.1.c RGPD).
Tramitación de las solicitudes dirigidas al soporte (recepción, acuse de recibo automático, respuesta y seguimiento) – Ejecución del contrato o de medidas precontractuales; Interés legítimo (responder a las personas que nos contactan) para las demás solicitudes. Se le puede enviar un acuse de recibo automático: únicamente acredita la recepción de su mensaje, sin implicar aceptación ni rechazo de su solicitud, y solo se envía a direcciones de envío autenticadas;
Asistencia del soporte mediante inteligencia artificial: los mensajes recibidos son analizados por un sistema de IA para identificar su objeto, consultar, en modo de solo lectura, la información de su cuenta útil para la solicitud (créditos, compras, generaciones y sus imágenes, intercambios anteriores con el soporte, solicitudes de desistimiento, suscripción) y preparar un borrador de respuesta y, en su caso, propuestas de operaciones. No se envía ninguna respuesta ni se realiza ninguna operación sin haber sido revisada y validada por una persona; no se adopta ninguna decisión que produzca efectos jurídicos sobre usted o le afecte significativamente de modo similar basada únicamente en un tratamiento automatizado (art. 22 RGPD). Únicamente el acuse de recibo, de contenido fijo, se envía automáticamente. Base jurídica: Ejecución del contrato o de medidas precontractuales (clientes); Interés legítimo (otras personas: tramitar con rapidez las solicitudes que se nos dirigen);
Control de la autenticidad de los mensajes recibidos y filtrado de los mensajes no solicitados (protección contra la suplantación de identidad y el phishing) – Interés legítimo;
Conservación, como prueba, de las solicitudes de ejercicio de derechos y de las declaraciones de desistimiento recibidas por correo electrónico – Obligación legal (art. 6.1.c RGPD) e Interés legítimo (formulación, ejercicio o defensa de reclamaciones);
Prevención del abuso de las ventajas gratuitas (límite de una cuenta gratuita por persona y por hogar, detección de cuentas múltiples) – Interés legítimo. En caso de detección, solo se ven afectadas las ventajas gratuitas; está previsto un examen manual de las reclamaciones (contact@vendystudio.fr);
Conservación, tras la supresión de una cuenta, de una huella seudonimizada para impedir la obtención reiterada de créditos gratuitos mediante la supresión y posterior recreación de una cuenta – Interés legítimo.

4. DESTINATARIOS DE LOS DATOS

Recurrimos a proveedores que actúan como encargados del tratamiento en el sentido del RGPD, para prestar el Servicio:

Alojamiento / infraestructura: Vercel (alojamiento de la aplicación, registros técnicos).
Base de datos y almacenamiento: Supabase (almacenamiento de las fotografías de prendas y de las imágenes generadas, base de datos, incluidos los intercambios con el soporte y sus imágenes adjuntas).
Generación de imágenes: Google (GenAI) (generación de imágenes a partir de fotografías de prendas).
Generación y mejora de imágenes (modelos adicionales): Replicate (generación y mejora/reescalado de imágenes a partir de fotografías de prendas).
Medición de audiencia: Google (Google Analytics, desplegado a través de Google Tag Manager) (estadísticas de tráfico de la Plataforma).
Publicidad y atribución: Meta Platforms Ireland Ltd (píxel de Meta) (medición de la eficacia de las campañas y atribución de conversiones).
Pago: Stripe (procesamiento de pagos y prevención del fraude).
Correo electrónico: Resend (envío de correos electrónicos transaccionales).
Mensajería: OVH SAS (alojamiento del buzón contact@vendystudio.fr, recepción de los correos electrónicos dirigidos al soporte y envío de nuestras respuestas y acuses de recibo; Francia).
Asistencia de IA del soporte: Google (API Gemini, oferta de pago: los contenidos transmitidos no se utilizan para entrenar los modelos de Google) (análisis de los mensajes recibidos por el soporte, consulta de solo lectura de la información de la cuenta útil para la solicitud y preparación de borradores de respuesta, revisados y validados por una persona antes de cualquier envío).

También podemos compartir determinados datos con proveedores estrictamente necesarios para la seguridad (prevención del fraude, mitigación de abusos) y el buen funcionamiento del Servicio.

Ningún dato se vende ni se alquila a terceros.

5. TRANSFERENCIAS FUERA DE LA UNIÓN EUROPEA

Algunos de nuestros proveedores pueden tratar datos fuera del Espacio Económico Europeo (en particular según las operaciones de alojamiento, infraestructura o soporte).

Cuando se producen tales transferencias, nos apoyamos en garantías adecuadas en el sentido del RGPD, en particular las cláusulas contractuales tipo (CCT) de la Comisión Europea y, cuando resulte necesario, medidas complementarias.

El tratamiento de asistencia de IA del soporte encomendado a Google puede realizarse fuera del Espacio Económico Europeo, en particular en Estados Unidos. En tal caso, nos basamos en la decisión de adecuación relativa al Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) cuando el destinatario esté certificado en él y/o en las cláusulas contractuales tipo de la Comisión Europea.

Puede solicitar información sobre estas garantías escribiendo a contact@vendystudio.fr.

6. PLAZOS DE CONSERVACIÓN

Datos de cuenta: durante toda la duración de la relación contractual; se eliminan en cuanto se suprime la cuenta, lo que puede hacer en cualquier momento desde su espacio «Mi cuenta»;
Datos de pago y documentos contables: obligaciones contables legales (10 años). Tras la supresión de la cuenta, los asientos de compra (fecha, importe, número de créditos, referencia de transacción de Stripe) se conservan sin vínculo directo con la cuenta (art. 17.3.b RGPD); la referencia de transacción permite localizar en Stripe el pago correspondiente. Nuestro proveedor de pagos Stripe conserva sus propios datos de transacción conforme a sus obligaciones legales;
Registros técnicos: de 6 a 12 meses;
Imágenes subidas y generadas: el período estrictamente necesario para prestar el Servicio, con posterior supresión o anonimización; supresión automática 10 días después de la fecha de generación (30 días para los miembros Premium: suscripción activa o Pase de 30 Días activo). Este plazo se amplía a treinta (30) días en la galería de los miembros Premium (suscripción activa o Pase de 30 Días activo), conforme al artículo 4.5 de las CGU/CGV.
Datos de marketing: hasta la retirada del consentimiento;
Datos de prevención de abusos: huella de dirección IP e identificador de dispositivo suprimidos a más tardar doce (12) meses después del registro; la forma normalizada de la dirección de correo electrónico se conserva durante la duración de existencia de la cuenta. Tras la supresión de una cuenta que haya recibido créditos gratuitos (o a la que se hayan denegado dichos créditos por aplicación del límite por hogar), se conserva doce (12) meses una huella seudonimizada (hash criptográfico con clave secreta, no reversible) de la dirección de correo electrónico normalizada, del identificador de dispositivo y, si el registro data de menos de diez (10) días, de la huella de la dirección IP (únicamente durante esos diez días), con el único fin de impedir la obtención reiterada de créditos gratuitos;
Supresión de cuenta: el código de confirmación (con hash) se conserva siete (7) días; un registro técnico del procedimiento (identificador técnico de la cuenta, sin dirección de correo electrónico) se conserva noventa (90) días; un registro de la supresión, sin dirección de correo electrónico (identificador técnico, saldos de créditos en la fecha de supresión), se conserva cinco (5) años como prueba; los registros técnicos residuales vinculados a la cuenta se eliminan automáticamente en los días siguientes. Las copias de seguridad de la base de datos, conservadas como máximo treinta (30) días, se sobrescriben al término de dicho plazo; en caso de restauración, las supresiones realizadas entretanto se vuelven a aplicar;
Intercambios con el soporte: veinticuatro (24) meses después del cierre de la solicitud y, como máximo, veinticuatro (24) meses después del último intercambio; imágenes adjuntas: noventa (90) días después de su recepción; copia técnica íntegra del mensaje recibido (incluidos todos sus archivos adjuntos): treinta (30) días; mensajes identificados como no solicitados (spam, prospección, notificaciones automáticas): como máximo sesenta (60) días después de su último mensaje. Al suprimirse su cuenta, los intercambios con el soporte vinculados a su cuenta o a su dirección de correo electrónico se eliminan, con la única salvedad de las declaraciones de desistimiento recibidas por correo electrónico que se indican a continuación;
Análisis y borradores de respuesta producidos por la IA del soporte: se conservan junto con el intercambio al que se refieren, durante los mismos plazos. El proveedor de IA (Google) conserva sus propios registros técnicos con arreglo a sus condiciones (Google: cincuenta y cinco (55) días para la detección de abusos);
Declaraciones de desistimiento recibidas por correo electrónico: el intercambio en el que se declara un desistimiento por correo electrónico se conserva cinco (5) años desde la declaración, como prueba (art. 17.3.b y 17.3.e RGPD). Si su cuenta se suprime antes de esa fecha, solo se conserva hasta su vencimiento el mensaje que contiene la declaración (con su contenido, su fecha y la dirección de correo electrónico de envío, necesarios como prueba); el resto del intercambio se elimina;
Declaraciones de desistimiento: cinco (5) años desde la declaración. Se conservan como prueba INCLUSO tras la supresión de la cuenta (art. 17.3.b y 17.3.e RGPD): la dirección de correo electrónico se enmascara entonces, mientras que el nombre, los apellidos y el eventual mensaje se conservan por ser necesarios para identificar el contrato afectado.

7. DERECHOS DE LOS INTERESADOS

De conformidad con el RGPD, usted dispone de los siguientes derechos:

Derecho de acceso, rectificación y supresión;
Derecho de limitación y de oposición;
Derecho a la portabilidad de los datos;
Derecho a retirar su consentimiento en cualquier momento;
Derecho a presentar una reclamación ante la autoridad de control competente en materia de protección de datos de su país de residencia.

Puede suprimir su cuenta usted mismo, en cualquier momento, desde su espacio «Mi cuenta» (botón «Eliminar mi cuenta»), previa confirmación mediante un código enviado a su dirección de correo electrónico; la supresión es inmediata, salvo que esté en curso una solicitud de desistimiento o un litigio de pago (CGU/CGV, art. 14.2). Los datos ya transmitidos, con su consentimiento, a nuestros socios de medición de audiencia y de publicidad siguen sujetos a sus propios plazos de conservación.

También puede ejercer todos sus derechos, incluido el derecho de supresión, escribiendo a: contact@vendystudio.fr

Los correos electrónicos intercambiados con el soporte también se conservan en nuestra mensajería (OVH): una solicitud de supresión, al igual que la supresión de su cuenta, se aplica también a ella, con la misma salvedad de las declaraciones de desistimiento conservadas como prueba.

8. SEGURIDAD DE LOS DATOS

Vendy Studio aplica medidas técnicas y organizativas adecuadas para proteger los datos (controles de acceso, cifrado, gestión de claves, registro de actividad, copias de seguridad).

No obstante, ningún sistema está completamente exento de riesgos.

9. VIOLACIÓN DE LA SEGURIDAD DE LOS DATOS

En caso de violación de la seguridad de los datos personales que pueda entrañar un riesgo para los derechos y libertades de las personas, Vendy Studio lo notificará a la autoridad de control competente y, en su caso, a los interesados, de conformidad con el RGPD.

10. MODIFICACIÓN DE LA POLÍTICA

La presente Política puede modificarse en cualquier momento.

La versión aplicable es la publicada en la Plataforma en la fecha de uso del Servicio.