Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recogidos a través de tucm.es y de la aplicación TuCM es:

• Cox Security SL (en adelante, "TuCM" o "nosotros")
• CIF: B06790224
• Domicilio: Paseo de la Castellana, 194 — BJ, 28046 Madrid (Madrid), España
• Correo electrónico: info@tucm.es
• Teléfono: +34 659 811 913

2. Qué datos tratamos

2.1. Datos que nos facilitas directamente

• Datos de contacto y registro: nombre, correo electrónico, contraseña (cifrada con bcrypt), teléfono.
• Datos de tu negocio: descripción de tu actividad, audiencia, objetivos, tono de marca, fechas clave y cualquier otra información que nos proporciones para configurar tu plan de contenido.
• Materiales que subes: imágenes, vídeos, textos y demás archivos que cargas en la plataforma para que la IA los utilice como referencia.

2.2. Datos obtenidos de Meta (Instagram y Facebook)

Cuando conectas tu cuenta de Instagram a TuCM mediante "Inicio de sesión con Facebook", obtenemos de Meta, con tu consentimiento expreso, los siguientes datos:

• Identificadores de tu cuenta de Instagram Business y de la Página de Facebook vinculada.
• Token de acceso de larga duración, que conservamos cifrado con AES-256-GCM.
• Información pública del perfil: nombre de usuario, biografía, foto, número de seguidores y de seguidos.
• Contenido publicado: posts, carruseles, reels e historias publicadas en tu cuenta.
• Métricas e insights: alcance, impresiones, interacciones, datos demográficos agregados.
• Comentarios y mensajes directos recibidos en tu cuenta, en la medida necesaria para responderlos en tu nombre.

Solo solicitamos los permisos estrictamente necesarios para prestar el servicio (instagram_basic, instagram_content_publish, instagram_manage_comments, instagram_manage_insights, pages_show_list, pages_read_engagement, business_management).

2.3. Datos generados por el uso del servicio

• Contenido generado por IA a partir de tus instrucciones (textos, imágenes, vídeos).
• Registros técnicos de la actividad en la plataforma: fecha y hora de acceso, dirección IP, navegador, eventos de uso.
• Datos de Telegram: identificador de chat de los destinatarios que vincules para recibir avisos y aprobaciones.
• Datos de facturación: registros de consumo, presupuesto y costes asociados a tu cuenta.

3. Para qué los usamos

Tratamos tus datos para las siguientes finalidades:

• Prestar el servicio de gestión automática de Instagram contratado: planificación, generación, publicación, respuesta a comentarios y medición.
• Enviar avisos y solicitudes de aprobación a través de Telegram a los destinatarios que tú vincules.
• Mejorar y personalizar el servicio, incluido el ajuste automático del plan de contenido a partir de las métricas de tu cuenta.
• Cumplir las obligaciones legales (fiscales, contables, de protección de datos) que nos resulten aplicables.
• Comunicarnos contigo para soporte técnico, incidencias y novedades del servicio.
• Garantizar la seguridad de la plataforma, prevenir fraudes y abusos.

No vendemos tus datos. No los usamos para entrenar modelos de IA de terceros. El contenido que generas en TuCM se procesa exclusivamente para prestarte el servicio.

4. Base jurídica

Tratamos tus datos amparados en las siguientes bases jurídicas del artículo 6 del RGPD:

• Ejecución del contrato (art. 6.1.b): para prestarte el servicio que has contratado.
• Consentimiento (art. 6.1.a): cuando conectas tu cuenta de Meta y autorizas los permisos solicitados.
• Cumplimiento de obligaciones legales (art. 6.1.c): para conservar facturas, cumplir requerimientos fiscales y atender peticiones de autoridades competentes.
• Interés legítimo (art. 6.1.f): para garantizar la seguridad, prevenir abusos y mejorar el servicio sin afectar a tus derechos.

5. Con quién los compartimos

Para prestar el servicio compartimos datos estrictamente necesarios con los siguientes proveedores, todos ellos sometidos a un contrato de encargo del tratamiento:

Proveedor	Uso	Localización
Meta Platforms, Inc.	Conexión con Instagram y Facebook (lectura, publicación, métricas)	EE. UU. / UE
Anthropic, PBC	Generación de texto y planificación con modelos Claude	EE. UU.
OpenAI, L.L.C.	Tareas auxiliares de procesamiento de lenguaje	EE. UU.
Black Forest Labs (vía fal.ai)	Generación de imágenes (Flux 2 Pro)	EE. UU.
Runway AI, Inc.	Generación de vídeo	EE. UU.
Telegram FZ-LLC	Mensajería de avisos y aprobaciones	EAU / global
Proveedor de hosting	Infraestructura y almacenamiento	UE (España)

Solo enviamos a estos proveedores los datos imprescindibles para la tarea concreta que ejecutan. Las credenciales de tu cuenta de Meta no se comparten nunca con ningún proveedor de IA.

6. Transferencias internacionales

Algunos proveedores se ubican fuera del Espacio Económico Europeo. Las transferencias se amparan en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914/UE), complementadas con medidas técnicas adicionales (cifrado en tránsito y en reposo). Puedes solicitar copia de las cláusulas escribiendo a info@tucm.es.

7. Plazos de conservación

Aplicamos retención automática a todos los datos. Cada categoría tiene un plazo máximo tras el cual se eliminan o anonimizan, salvo obligación legal en contrario.

7.1. Datos personales y de cuenta

• Datos de cuenta (alias, email, contraseña hasheada): mientras mantengas tu cuenta activa. Si cancelas o solicitas la eliminación, se borran en un máximo de 30 días naturales (en la práctica unas horas).
• Datos fiscales (NIF, dirección, datos de facturación): mientras mantengas la cuenta. Si te eliminas, se conservan únicamente los datos imprescindibles para las facturas ya emitidas, durante el plazo fiscal obligatorio.
• Tokens de acceso a Meta: mientras estén vigentes; se revocan inmediatamente al desconectar la cuenta o solicitar la eliminación.
• Material UGC sin usar (fotos/vídeos que subes y nunca llegamos a publicar): se borran del disco y de nuestros registros a los 30 días de su subida.
• Material publicado: el fichero original se borra inmediatamente tras publicarse en Instagram. Solo conservamos el caption, los hashtags y el enlace al post publicado, suficiente para informes históricos.

7.2. Datos fiscales y de facturación (obligación legal)

• Facturas fiscales emitidas: 6 años desde la emisión (Ley General Tributaria art. 66, normativa fiscal española aplicable a Cox Security SL).
• Movimientos de saldo y consumo de IA cobrado al cliente: 4 a 6 años como base imponible del IVA y de los registros contables.
• Suscripciones y datos contractuales: durante toda la vigencia + plazos de prescripción legal aplicables.

7.3. Registros técnicos y de auditoría

• Auditoría de operaciones admin: 2 años.
• Solicitudes de eliminación procesadas: 2 años tras completarse, como prueba del cumplimiento de tu derecho de supresión.
• Logs detallados de llamadas a IA: 1 año (los agregados se conservan más tiempo para fiscalidad).
• Logs de OAuth con Meta: 1 año (forense en caso de problemas de conexión).
• Logs de digest mensual: 1 año.
• Logs generales del sistema y métricas de piezas: 90 días.
• Logs del runner de estrategia: 90 días.
• Logs de notificaciones de Telegram procesadas: 30 días.
• Logs de errores de parsing: 30 días.
• Logs de autenticación e intentos de login: 30 días.
• Tokens de recuperación de contraseña caducados: 7 días.
• Buffers temporales de media en Telegram: 7 días.

7.4. Comunicaciones

• Correos de soporte: 3 años desde el último contacto.

Estos plazos se aplican mediante un proceso automático que se ejecuta diariamente. Puedes ver el estado actual desde tu panel en Configuración → Política de datos.

8. Tus derechos

De acuerdo con el RGPD y la LOPDGDD, puedes ejercer en cualquier momento los siguientes derechos:

• Acceso: saber qué datos tuyos tenemos.
• Rectificación: corregir datos inexactos.
• Supresión ("derecho al olvido"): eliminar tus datos cuando ya no sean necesarios. Consulta la página de eliminación de datos.
• Limitación del tratamiento.
• Portabilidad: recibir tus datos en formato estructurado.
• Oposición al tratamiento basado en interés legítimo.
• Revocación del consentimiento en cualquier momento, sin efectos retroactivos.
• No ser objeto de decisiones automatizadas con efectos jurídicos sobre ti.

Para ejercer cualquiera de ellos, escríbenos a info@tucm.es indicando tu identidad y el derecho que deseas ejercer. Responderemos en un plazo máximo de un mes.

Si consideras que no atendemos correctamente tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

9. Seguridad

Aplicamos las medidas técnicas y organizativas exigidas por el RGPD:

• Cifrado AES-256-GCM para tokens, credenciales de Meta y secretos de bots de Telegram.
• Cifrado en tránsito (TLS 1.2+) en todas las comunicaciones.
• Aislamiento total entre cuentas: ningún dato se comparte entre clientes.
• Hasheo bcrypt para contraseñas.
• Control de acceso por roles y registro de actividad.
• Copias de seguridad cifradas y políticas de retención.

10. Menores de edad

TuCM está dirigido exclusivamente a personas mayores de 18 años o con capacidad legal para contratar. No recogemos datos de menores de forma consciente. Si detectamos que un usuario es menor, eliminaremos su cuenta y datos asociados.

11. Cambios en esta política

Podemos actualizar esta política para reflejar cambios legales o del servicio. La versión vigente siempre estará disponible en esta URL, con su fecha de última actualización. Si los cambios son sustanciales, te avisaremos por correo electrónico antes de que entren en vigor.

12. Contacto

Si tienes cualquier duda sobre esta política o sobre el tratamiento de tus datos:

• Correo: info@tucm.es
• Dirección postal: Cox Security SL, Paseo de la Castellana, 194 — BJ, 28046 Madrid, España.