Política de Privacidad de BabyMix

1. Quién trata tus datos

El responsable del tratamiento es Secure Online Managements SL, con NIF ESB01794866 y domicilio en C/ Creueta 20, 08870 Sitges (Barcelona), España (en adelante, "nosotros"). Puedes escribirnos a support@som.company para cualquier asunto relacionado con esta política o con tus derechos.

Esta política se aplica a la aplicación Android BabyMix (com.babymix.app) y al servicio que la sostiene. No se aplica a Google Play, a tu galería del sistema ni a las apps con las que decidas compartir un resultado.

2. Resumen en una página

3. Qué datos tratamos, para qué y con qué base legal

3.1 Identificadores de sesión

Cuando abres la app por primera vez, el teléfono genera un identificador aleatorio (installId, un UUID v4) y lo guarda en el almacenamiento cifrado de Android. Ese identificador viaja a nuestro servidor junto con un veredicto de Play Integrity (apartado 3.2) y a cambio recibes un token de sesión (JWT) y un identificador interno de cuenta (userId).

• Qué guardamos: installId, userId, la fecha de creación de la cuenta y, si tu teléfono lo envía, un identificador de dispositivo opcional (deviceId). En la versión actual la app Android no envía ningún deviceId; el servidor lo acepta porque otras integraciones del portafolio lo usan.
• Para qué: identificar tu cuenta sin obligarte a registrarte, llevar tu saldo de créditos y asociar tus generaciones a alguien.
• Base legal: ejecución del contrato (art. 6.1.b RGPD). Sin un identificador no hay forma de saber de quién son los créditos ni a quién entregar el resultado.

Identificador de control de abuso. Para que los 3 créditos gratuitos de bienvenida no puedan reclamarse una y otra vez borrando la cuenta, guardamos aparte una fila con un hash SHA-256 del identificador de instalación (o de dispositivo, si lo hubiera). Esa fila sobrevive deliberadamente al borrado de la cuenta y contiene únicamente el identificador de la app y el hash: ni fotos, ni saldo, ni nada que te describa. Base legal: interés legítimo en prevenir el fraude (art. 6.1.f RGPD).

3.2 Play Integrity

Antes de crear una sesión pedimos a Google un veredicto de Play Integrity sobre la instalación y el dispositivo, y lo verificamos contra la API de Google Play Integrity.

• Qué guardamos: el veredicto en texto (por ejemplo PLAY_RECOGNIZED,MEETS_DEVICE_INTEGRITY) y la fecha en que se obtuvo.
• Para qué: impedir que instalaciones manipuladas o emuladores acuñen créditos gratuitos en bucle. Sin veredicto válido no se crea la sesión y no se conceden créditos.
• Base legal: interés legítimo en prevenir el fraude (art. 6.1.f RGPD).
• Nota técnica: el token de integridad va vinculado a tu installId mediante un hash (base64url(sha256(installId))), de modo que un token no sirve para otra instalación.

3.3 Las fotos que subes

Es el dato más sensible que tratamos y el que recibe el trato más estricto.

Antes de salir del teléfono. La app analiza la foto en el propio dispositivo con ML Kit (detección de rostro de Google, que funciona sin conexión) para comprobar que hay una cara, que es frontal y que hay luz suficiente. Una foto que no pasa esa comprobación no se sube a ningún sitio. La app también reduce la imagen a un máximo de 1536 px de lado y la recomprime en JPEG antes de subirla, así que no enviamos el original de tu cámara.

La subida. La foto se sube directamente desde tu teléfono a nuestro almacenamiento en Cloudflare R2 mediante una URL firmada, con un límite de 10 MB y solo en formato JPEG, PNG o WebP. Cada archivo se guarda bajo una ruta que contiene el identificador de la app y el tuyo, y solo tu sesión puede referirse a él.

Moderación. Toda foto de entrada pasa por moderación automática antes de que se llame a ningún proveedor de IA (apartado 4).

Generación. Para producir el resultado entregamos al proveedor de IA una URL firmada con una hora de validez desde la que descarga la foto, más las instrucciones de generación. El proveedor no recibe tus identificadores, ni tu saldo, ni nuestras credenciales de almacenamiento (apartado 5).

Cuánto duran. Las fotos de entrada se borran automáticamente a las 24 horas. Los resultados y los archivos intermedios siguen las reglas del apartado 6.

• Para qué: generar exactamente lo que has pedido, y nada más.
• Base legal: ejecución del contrato (art. 6.1.b RGPD). La subida es una acción deliberada tuya: no accedemos a tu galería, tú eliges cada archivo desde el selector de fotos del sistema.
• Lo que no hacemos: no entrenamos modelos con tus fotos, no las usamos para mejorar nuestros prompts, no las vendemos, no las mostramos a nadie más y no construimos con ellas un perfil tuyo ni una base de datos de caras.

Reconocimiento facial. BabyMix no te identifica ni te reconoce: no mantenemos ninguna base de datos de caras conocidas contra la que comparar, y las fotos no se utilizan para autenticar a nadie. La función "parecido %" compara el bebé generado con las dos fotos de ese mismo trabajo y devuelve dos porcentajes; los datos intermedios de esa comparación no se conservan. Aun así, tratamos las fotos con la misma cautela que un dato de categoría especial: se borran solas, no salen de la finalidad para la que las subiste y puedes eliminarlas cuando quieras.

3.4 Los resultados generados

Guardamos la imagen (o el vídeo de 5 segundos) que produce el modelo, junto con los datos técnicos del trabajo: plantilla usada, parámetros elegidos (sexo, edad, mezcla), proveedor que respondió, duración, coste en créditos, si lleva marca de agua y los porcentajes de parecido.

La versión gratuita se sirve ya marcada con agua desde el servidor: la app nunca recibe una imagen sin marcar que no hayas pagado.

Los resultados se borran automáticamente a las 24 horas (versión gratuita) o a los 7 días (versión de pago). La fila técnica del trabajo, ya sin ningún archivo asociado, se conserva hasta 30 días para poder resolver reclamaciones de créditos y después se elimina.

3.5 "Mis fotos" está en tu teléfono

Cuando un resultado te gusta, la app lo guarda en el almacenamiento privado de la aplicación, en una base de datos SQLite local. Esa galería no se sincroniza, no se copia a nuestro servidor y no la vemos. Si desinstalas la app o borras sus datos, desaparece. Si además pulsas "Guardar en HD" o "Guardar vídeo", el archivo se copia a la galería del sistema de tu teléfono, donde ya lo gestionas tú.

3.6 Créditos y compras

Las compras se hacen dentro de Google Play, a través de RevenueCat. Nosotros no vemos ni guardamos datos de tu tarjeta ni de tu cuenta de pago: Google los trata y nos comunica el resultado.

• Qué guardamos: el identificador de la transacción de la tienda, el producto comprado (babymix_weekly, babymix_annual o babymix_pack_100), el estado y la fecha de fin del periodo, y el movimiento de créditos correspondiente (concesión, gasto, devolución) con su motivo.
• Para qué: darte lo que has pagado, aplicar el orden de consumo y las caducidades, evitar que una misma compra se acredite dos veces y poder atender una reclamación o un reembolso.
• Base legal: ejecución del contrato (art. 6.1.b RGPD) y obligación legal en lo que afecta a la contabilidad y a la fiscalidad (art. 6.1.c RGPD).

3.7 Anuncios recompensados

BabyMix muestra únicamente anuncios recompensados de Google AdMob, y solo cuando tú pulsas el botón para ver uno a cambio de un crédito. No hay banners, ni intersticiales, ni anuncios al abrir la app, ni en esta versión ni en ninguna otra.

Cuando terminas de ver un anuncio, AdMob nos envía una llamada firmada de verificación en servidor (SSV) que contiene tu userId, un identificador de transacción del anuncio y la etiqueta babymix. Guardamos ese identificador de transacción y un contador diario para no conceder el mismo crédito dos veces ni superar los 3 anuncios al día.

Google AdMob es responsable del tratamiento de los datos publicitarios que recoge por su cuenta, incluido el identificador de publicidad de Android. La app declara el permiso com.google.android.gms.permission.AD_ID porque lo exigen las bibliotecas de Google y de AppsFlyer (apartado 3.8). Las políticas de Google están en https://policies.google.com/technologies/partner-sites y los ajustes de publicidad de tu dispositivo te permiten restablecer o borrar ese identificador.

Consentimiento publicitario en la UE. Si te encontramos en el Espacio Económico Europeo, el Reino Unido o Suiza, la publicidad personalizada requiere tu consentimiento previo. La app te lo pide con el formulario de consentimiento de Google (User Messaging Platform) al abrir la app, antes de cargar ningún anuncio y de activar la medición de campañas del apartado 3.8: sin tu respuesta no se solicita ningún anuncio y, si no consientes, el anuncio que se pide es no personalizado. Puedes revisar tu elección más adelante desde Perfil (opciones de privacidad).

3.8 Analítica, errores y avisos

• Firebase Analytics. Registramos eventos de uso (instalación, fin del onboarding, fotos subidas, generación pedida / terminada / fallida, resultado visto, compartir, paywall visto, compra, anuncio recompensado, guardado en HD). La lista exacta de eventos y sus parámetros te la facilitamos si nos la pides. Cada evento lleva tres parámetros comunes: el identificador de la app, el país y si tienes plan activo. Vinculamos los eventos a tu cuenta fijando el user_id de Firebase a tu userId. Nunca enviamos a analítica: fotos, URL firmadas, claves de almacenamiento, prompts, installId, el token de sesión ni el motivo detallado de un rechazo de moderación.
• Firebase Crashlytics. Informes de fallo: traza de la excepción, modelo de dispositivo y versión del sistema. Sirven para arreglar lo que se rompe.
• Firebase Cloud Messaging. Si aceptas notificaciones, guardamos el token de envío de tu dispositivo para avisarte de que una generación ha terminado. El mensaje es de datos: contiene el identificador del trabajo y su estado, y es la app quien redacta el aviso en tu idioma. El token se borra con la cuenta y también cuando Google nos dice que ha caducado.
• Firebase Remote Config. Parámetros de configuración remota (precios de partida, textos de prueba). No envía datos personales.
• AppsFlyer (medición de campañas). Si llegas a BabyMix desde un anuncio, AppsFlyer nos dice qué campaña te trajo, para pagar a cada red publicitaria solo por las instalaciones que consigue de verdad. Al abrir la app, su SDK recibe el referente de instalación de Google Play, el identificador de publicidad de Android, el identificador de AppsFlyer de esa instalación, la dirección IP, el modelo del dispositivo, las versiones del sistema y de la app, y tu userId; después registra cada apertura de la app. RevenueCat le comunica, de servidor a servidor, las pruebas, compras y renovaciones con su importe, asociadas a ese identificador de AppsFlyer. Si llegaste desde un anuncio, AppsFlyer avisa a la red publicitaria que lo mostró (por ejemplo, AppLovin) de la instalación y de esas compras, con su importe y el identificador de publicidad, para que nos cobre la instalación y optimice sus campañas. En el EEE, el Reino Unido y Suiza AppsFlyer no se activa sin tu consentimiento en el formulario de Google del apartado 3.7, y si lo retiras desde las opciones de privacidad se detiene; fuera de esas zonas funciona desde el primer arranque. No recibe fotos, prompts ni el token de sesión.
• Base legal: interés legítimo en entender el uso del producto y mantenerlo en pie (art. 6.1.f RGPD); consentimiento (art. 6.1.a) allí donde la normativa local lo exija, a través del formulario mencionado en el apartado 3.7.

3.9 País aproximado

Nuestro servidor deduce un código de país de dos letras a partir de la cabecera geográfica que añade nuestro proveedor de red (por ejemplo cf-ipcountry), derivada de la dirección IP de la conexión. Lo guardamos junto a la cuenta.

• Para qué: saber en qué mercados se usa la app, cumplir la limitación geográfica del apartado 13 y detectar abusos.
• Qué no es: no es tu ubicación precisa. La app no pide ni usa ningún permiso de localización, no accede al GPS y no registra coordenadas.
• La app envía además, a analítica, la región configurada en tu dispositivo, que también es información de país.

3.10 Google Sign-In (opcional)

Puedes vincular una cuenta de Google solo si quieres recuperar tus créditos al cambiar de teléfono. No es obligatorio para usar nada de la app.

Si lo haces, verificamos el token de Google y guardamos únicamente el identificador estable de la cuenta (el campo sub del token). No guardamos tu correo, tu nombre ni tu foto de perfil: aunque el token de Google los incluya, nuestro servidor los descarta. Base legal: ejecución del contrato (art. 6.1.b RGPD).

3.11 Lo que no tratamos

No pedimos ni recogemos: nombre, apellidos, correo electrónico, teléfono, dirección postal, fecha de nacimiento, contactos, calendario, SMS, historial de llamadas, micrófono, ubicación precisa, datos de salud, ni ninguna lista de apps instaladas. La app no lee tu galería: cada foto la eliges tú en el selector del sistema y solo llega esa.

4. Moderación automática

Ninguna foto llega a un modelo de IA sin pasar antes por moderación, y ningún resultado se sirve sin una segunda pasada.

• A la entrada. Cada foto se analiza con Sightengine en busca de desnudez, contenido sexual, violencia y sangre, y para comprobar la edad aparente de las caras. En los roles "madre" y "padre", una cara que el clasificador considera de un menor provoca el rechazo automático de la generación. Si la moderación rechaza una foto, no se llama al proveedor de IA y el crédito se devuelve; la app te muestra un mensaje neutro, sin detallar qué disparó el rechazo.
• A la salida. El resultado se vuelve a analizar antes de guardarse donde la app pueda leerlo. La moderación de salida cubre hoy las imágenes; para los vídeos generados está pendiente el punto de análisis de vídeo del proveedor, por lo que el vídeo solo se ofrece con plan activo.
• Si la moderación no puede responder, la generación se detiene: preferimos fallar y devolver el crédito antes que servir algo que nadie ha revisado.
• Qué guardamos de esto. Únicamente un veredicto asociado a un hash SHA-256 del contenido, con una caducidad de 24 horas, para no pagar dos análisis por la misma imagen. Esa fila no contiene tu identificador ni la foto.
• Los parámetros de generación son cerrados. Puedes elegir sexo, edad y proporción de mezcla de una lista; no existe ningún campo de texto libre que llegue al modelo. Las instrucciones del modelo viven solo en nuestro servidor y fijan siempre un contexto de retrato familiar con el bebé vestido.
• Base legal: interés legítimo y cumplimiento de las políticas de Google Play y de nuestras obligaciones de seguridad infantil (arts. 6.1.f y 6.1.c RGPD).

5. Proveedores de IA

La generación la ejecutan modelos de terceros. En cada llamada interviene un solo proveedor, con otro de respaldo si el primero falla:

Lo que reciben: una URL firmada de una hora por cada foto de entrada (que usan para descargarla) y las instrucciones de generación. Lo que no reciben: tu installId, tu userId, tu saldo, tu correo, tu país ni las credenciales de nuestro almacenamiento.

Nuestro compromiso, que debe estar reflejado en el contrato de encargo con cada proveedor antes de publicar la app: las fotos se usan exclusivamente para producir tu resultado, no se emplean para entrenar ni afinar modelos y no se conservan más allá de lo necesario para esa llamada.

6. Cuánto conservamos cada cosa

7. Con quién compartimos

No vendemos datos personales. Los compartimos únicamente con proveedores que los tratan por nuestra cuenta y siguiendo nuestras instrucciones, o con quien lo exija la ley.

También podremos comunicar datos a autoridades competentes cuando exista una obligación legal, y a nuestros asesores en caso de una reclamación.

8. Transferencias internacionales

Algunos de esos proveedores están fuera del Espacio Económico Europeo. En esos casos la transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Comisión Europea, en una decisión de adecuación cuando exista, o en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor esté certificado. Puedes pedirnos copia de las garantías aplicables escribiendo a support@som.company.

9. Seguridad

• Todo el tráfico entre la app y el servicio viaja cifrado con TLS.
• Los archivos se almacenan en un bucket privado. La app nunca recibe credenciales de almacenamiento: solo URL firmadas y caducas (15 minutos para subir, 1 hora para descargar).
• Cada clave de archivo lleva incorporado el identificador de su dueño y el servidor comprueba esa propiedad en cada petición: una sesión no puede leer ni moderar el archivo de otra.
• La sesión es un JWT con identificador único por emisión; el installId se guarda en el almacenamiento cifrado de Android.
• El saldo y el cobro de créditos se deciden siempre en el servidor; la app nunca suma ni resta créditos por su cuenta.
• Hay límites de frecuencia en los extremos sensibles y límites de gasto diario en los proveedores de IA.

Si detectamos una violación de seguridad que suponga un riesgo para tus derechos, lo notificaremos a la Agencia Española de Protección de Datos (AEPD, https://www.aepd.es) en un plazo de 72 horas y, cuando el riesgo sea alto, también a ti.

10. Menores de edad

BabyMix es una aplicación para personas adultas. No está dirigida a menores de 18 años, no forma parte del programa "Diseñado para familias" de Google Play y no recogemos conscientemente datos de menores.

• Las fotos en los roles de madre y padre deben ser de personas adultas. El clasificador de edad rechaza automáticamente las que parecen de un menor, se devuelve el crédito y no se genera nada.
• El modo "Mi bebé" acepta la foto de un bebé o niño pequeño únicamente si eres su madre, padre o tutor legal y subes la imagen en esa condición. Al usarlo declaras que lo eres.
• No permitimos subir la foto de un menor que no esté a tu cargo, ni usar la app para crear imágenes de menores en ningún otro contexto. Las instrucciones del modelo fijan siempre un retrato familiar con el bebé vestido, y no existe ningún campo de texto libre con el que desviarlas.
• Si crees que un menor nos ha facilitado datos, escríbenos a support@som.company y los eliminaremos.

11. Tus derechos

Tienes derecho a acceder a tus datos, rectificarlos, suprimirlos, limitar u oponerte a su tratamiento, a la portabilidad y a retirar tu consentimiento cuando el tratamiento se base en él, sin que ello afecte a lo ya hecho.

La vía más rápida es la propia app: Perfil → "Privacidad" → "Gestionar mis datos". También puedes usar el formulario público en https://babymix-30feb.web.app/delete-account o escribirnos a support@som.company.

Qué borra exactamente DELETE /account:

Qué se conserva a propósito, y por qué:

• El hash del identificador de instalación que impide volver a reclamar los créditos gratuitos. Es un valor irreversible, sin datos personales legibles (interés legítimo en prevenir el fraude).
• El identificador de los eventos de compra ya procesados, sin vínculo con tu cuenta, para que un reenvío de la tienda no acredite dos veces la misma compra.
• Los veredictos de moderación, indexados por hash del contenido y con caducidad de 24 horas, que no contienen tu identificador.
• El contador diario de anuncios del dispositivo, que rota cada día. Hoy esa fila conserva además el identificador del primer usuario que la creó en el día; está previsto dejar de guardarlo.
• Los asientos contables de compras ya efectuadas, en la medida en que la ley fiscal obligue a conservarlos, y ya disociados de tu cuenta.

Si consideras que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD, https://www.aepd.es) (en España, la Agencia Española de Protección de Datos, https://www.aepd.es) o ante la autoridad de control de tu país de residencia.

12. Residentes en California y otros estados de EE. UU.

En los últimos doce meses hemos recogido las categorías de información descritas en el apartado 3: identificadores (identificador de instalación y de cuenta, identificador de publicidad), información comercial (historial de compras), actividad en internet (eventos de uso), datos de geolocalización aproximada (país) e información audiovisual (las fotos que subes). El origen y la finalidad de cada categoría están en ese mismo apartado.

• No vendemos información personal ni la compartimos para publicidad conductual entre contextos, tal y como la CCPA/CPRA define esos términos.
• Tienes derecho a saber, suprimir y corregir tu información, y a no sufrir un trato discriminatorio por ejercerlos. Usa la misma vía del apartado 11.
• Información sensible: las fotos con rostros pueden considerarse información sensible. Solo las usamos para prestarte el servicio que has pedido, nunca para inferir características tuyas con fines propios, así que no procede una solicitud de limitación de uso.

13. Dónde está disponible la app

BabyMix se publica únicamente en un grupo de países (Estados Unidos, Reino Unido, Canadá, Australia, Alemania, Francia, España, Italia y Países Bajos) y su interfaz está en español, inglés, alemán y francés. Esa limitación se aplica desde la configuración de distribución de Google Play. La app no está pensada para su uso fuera de esos mercados.

14. Cambios en esta política

Si cambiamos algo relevante, publicaremos la nueva versión en https://babymix-30feb.web.app/privacy con una fecha de entrada en vigor nueva y, cuando el cambio te afecte de forma significativa, te avisaremos dentro de la app. La versión vigente es siempre la publicada en esa dirección.

15. Contacto

Secure Online Managements SL C/ Creueta 20, 08870 Sitges (Barcelona), España Correo: support@som.company Borrado de cuenta: https://babymix-30feb.web.app/delete-account