Acuerdo de Tratamiento de Datos (DPA)

Versión 1.1 · Última actualización: 10 de noviembre de 2026 · En vigor desde el 10 de noviembre de 2026

El presente Acuerdo de Tratamiento de Datos («DPA») forma parte de los Términos de Servicio entre Jacopo Di Loreto (AFTERTOUCH LABS DI DI LORETO JACOPO), Via Europa 18, 66020 San Giovanni Teatino (CH), Italia, número de IVA IT02882890698 («encargado del tratamiento», «nosotros») y un cliente profesional («responsable del tratamiento», «usted») que usa LIA para sus propios usuarios, por ejemplo una escuela, un estudio o un sello discográfico. Se aplica cuando el responsable del tratamiento está establecido en el Espacio Económico Europeo (EEE), el Reino Unido o Suiza, o cuando el RGPD se aplica al tratamiento del responsable del tratamiento. Para las personas que usan LIA para sí mismas, el responsable del tratamiento somos nosotros y se aplica nuestra Política de Privacidad.

1. Definiciones

Los términos del presente DPA tienen el significado que se les da en el Reglamento (UE) 2016/679 («RGPD»). «Datos Personales» significa cualquier información relativa a una persona física identificada o identificable.

2. Objeto y Duración

El encargado del tratamiento trata los Datos Personales por cuenta del responsable del tratamiento únicamente para prestar el Servicio LIA tal como se describe en los Términos de Servicio. El presente DPA permanece en vigor durante la vigencia del contrato de servicio y durante los plazos de conservación posteriores a su finalización (§11).

3. Naturaleza y Finalidad del Tratamiento

El tratamiento se limita a las operaciones necesarias para prestar el Servicio LIA:

• gestión de la cuenta: inicio de sesión, plan y pagos;
• chats, escritos, dictados o hablados en Talk Mode, y su tratamiento por parte del proveedor de inteligencia artificial;
• lectura del set de Ableton Live abierto y de la lista de plugins instalados mediante la app LIA y el LIA Bridge, y escritura en Live del trabajo solicitado;
• memoria del chat, registros de trabajos, consumo del plan, minutos de voz y segundos de dictado;
• Comunidad y Soporte;
• seguridad, monitorización de errores y copias de seguridad.

4. Categorías de Datos Personales y Personas Interesadas

Interesados: los usuarios a los que el responsable del tratamiento autoriza a usar LIA (por ejemplo estudiantes, personal, músicos, colaboradores externos).

Datos Personales: direcciones de correo electrónico y, si un usuario inicia sesión con otra cuenta, el identificador, el nombre, el nombre de usuario y la imagen de perfil que ese servicio nos transmite; contraseñas, que el proveedor de autenticación guarda solo como hash irreversible; nombres de perfil y el nombre elegido en Ajustes; metadatos del plan, de la suscripción, de los códigos canjeados y de los pagos (sin datos de la tarjeta), las solicitudes de desistimiento y el código de socio utilizado, si los hay, y el nombre, el correo electrónico y la dirección de facturación en los avisos del proveedor de pagos; cuando un usuario acepta en la app los Términos y la Política de Privacidad o pide iniciar un plan de inmediato, el registro de esa aceptación o solicitud; mensajes del chat, incluido el texto de las llamadas de Talk Mode y los mensajes dictados que el usuario envía; datos leídos del set de Live (tempo, tonalidad, pistas y sus nombres, dispositivos y sus parámetros, mezclador y niveles, clips con sus notas MIDI, localizadores, nombres de presets) y la lista de plugins; memoria del chat, registros de trabajos y contadores de uso, incluidos los minutos de voz y los segundos de dictado; posts, comentarios, votos, reportes y sanciones de la Comunidad; mensajes y capturas de pantalla del Soporte; preferencias de notificación y el permiso «Usar mis chats para mejorar LIA»; datos técnicos como la versión de la app, el sistema y el idioma, errores y trazas técnicas de las llamadas a los modelos; estadísticas del sitio y de los correos electrónicos vinculadas a la cuenta (páginas vistas; entrega, apertura y clics de los correos); direcciones IP, con el país y el navegador o la versión de la app, conservadas completas en los registros de acceso del servidor durante unos 30 días y en los registros de inicio de sesión y de seguridad durante 12 meses. El encargado del tratamiento no conserva ningún audio: el audio de Talk Mode va de la app directamente al proveedor de voz, y el audio del dictado pasa por el servidor de LIA solo para convertirse en texto.

El Servicio no está pensado para categorías especiales de datos (art. 9 RGPD). El responsable del tratamiento no debe pedir a sus usuarios que introduzcan esos datos en LIA.

5. Obligaciones del Encargado del Tratamiento

1. Tratar los Datos Personales únicamente conforme a las instrucciones documentadas del responsable del tratamiento, incluidas las transferencias a terceros países (art. 28.3.a RGPD). Los Términos de Servicio, el presente DPA y los ajustes que el responsable del tratamiento usa en la app constituyen las instrucciones del responsable del tratamiento.
2. Asegurar que las personas autorizadas para tratar los Datos Personales estén obligadas a respetar la confidencialidad.
3. Aplicar medidas técnicas y organizativas apropiadas (art. 32 RGPD), véase §9.
4. Recurrir a subencargados únicamente con la autorización general por escrito del responsable del tratamiento (véase §8).
5. Asistir al responsable del tratamiento en la respuesta a las solicitudes de los interesados (art. 15 a 22 RGPD) y en las obligaciones de los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento.
6. Notificar al responsable del tratamiento sin dilación indebida cualquier violación de Datos Personales (art. 33 RGPD), véase §10.
7. A elección del responsable del tratamiento, suprimir o devolver todos los Datos Personales al final de los servicios (art. 28.3.g RGPD), véase §11.
8. Poner a disposición la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y permitir auditorías, realizadas con un preaviso razonable, en horario laboral y sin acceso a los datos de otros clientes (art. 28.3.h RGPD).

6. Obligaciones del Responsable del Tratamiento

El responsable del tratamiento confirma que dispone de una base jurídica (art. 6 RGPD) para los Datos Personales tratados en virtud del presente DPA, que ha informado a los interesados de conformidad con los artículos 13 y 14 del RGPD y, cuando los usuarios sean menores de 16 años, que ha obtenido el consentimiento de los padres antes de darles acceso a LIA.

7. Lugar del tratamiento y transferencias internacionales

El servidor de LIA funciona en un servidor virtual alquilado en Alemania (Hostinger), y la base de datos y la autenticación están en la región de la Unión Europea de Supabase. Algunos subencargados tratan datos fuera del EEE, en particular el proveedor de inteligencia artificial (OpenAI, Estados Unidos). Estas transferencias se rigen por:

• el EU-US Data Privacy Framework (DPF), cuando el destinatario está certificado;
• en caso contrario, las Cláusulas Contractuales Tipo (CCT) adoptadas mediante la Decisión de Ejecución (UE) 2021/914 de la Comisión, Módulo 3 (de encargado a subencargado).

8. Subencargados del Tratamiento

El responsable del tratamiento otorga al encargado del tratamiento una autorización general para recurrir a subencargados. Los subencargados actuales, con su país, se indican en los §4 y §5 de nuestra Política de Privacidad. La lista completa, con la base de la transferencia y el acuerdo de tratamiento de datos de cada uno, está disponible previa solicitud en privacy@liaplugin.com: la enviamos en un plazo de 7 días. El encargado del tratamiento informará al responsable del tratamiento de cualquier cambio previsto con al menos 30 días de antelación; el responsable del tratamiento podrá oponerse por motivos razonables relacionados con la protección de datos y, si no se encuentra una solución, podrá dar por terminado el servicio sin penalización. El encargado del tratamiento impone a cada subencargado obligaciones de protección de datos equivalentes a las del presente DPA y sigue siendo responsable de ellos.

9. Medidas de Seguridad (Artículo 32 RGPD)

• Cifrado en tránsito (TLS) para el sitio, la app y el servidor.
• Base de datos gestionada por Supabase con cifrado en reposo; copias de seguridad nocturnas del servidor y de la base de datos, cifradas en el servidor antes de salir hacia el almacenamiento de copias (Backblaze, Estados Unidos).
• Inicio de sesión verificado en cada solicitud al servidor de LIA, con límites por cuenta; reglas de la base de datos que permiten a cada usuario ver solo sus propios datos.
• Servicios internos del servidor accesibles solo desde el propio servidor o desde nuestra red privada; acceso administrativo solo con claves SSH o desde paneles protegidos por un acceso específico.
• Registros de acceso sin query strings y sin cabeceras que contengan claves o tokens; eliminación automática de registros y trazas al final de su plazo de conservación.

10. Notificación de Violaciones de Datos Personales

El encargado del tratamiento notificará al responsable del tratamiento sin dilación indebida, y en cualquier caso en un plazo de 48 horas desde que tenga conocimiento de ella, cualquier violación que afecte a los Datos Personales tratados en virtud del presente DPA, para que el responsable del tratamiento pueda cumplir su plazo de 72 horas. La notificación incluirá, en la medida en que se conozca en ese momento:

• la naturaleza y el alcance aproximado de la violación;
• las categorías y el número aproximado de interesados y de registros afectados;
• las consecuencias probables y las medidas adoptadas o propuestas;
• un contacto para más información: privacy@liaplugin.com.

11. Fin de los servicios

Cuando finaliza el contrato de servicio, y a petición escrita del responsable del tratamiento, el encargado del tratamiento suprime o devuelve todos los Datos Personales, salvo los que deba conservar por ley (por ejemplo, los registros de pagos y los documentos fiscales). Los datos suprimidos desaparecen de las copias de seguridad cifradas en un plazo de 63 días.

12. Responsabilidad

La responsabilidad en virtud del presente DPA se rige por los Términos de Servicio, salvo cuando ello limite los derechos de los interesados previstos en el artículo 82 del RGPD.

13. Ley Aplicable y Jurisdicción

El presente DPA se rige por las leyes de la República Italiana. El tribunal competente es el del domicilio social del responsable del tratamiento, o si éste se encuentra fuera del EEE, el tribunal de Abruzzo, Italia. Las reclamaciones relativas al tratamiento de sus Datos Personales pueden presentarse ante la autoridad de control competente. En España: AEPD (Agencia Española de Protección de Datos), C/ Jorge Juan, 6, 28001 Madrid.

14. Contacto

Para cualquier asunto relacionado con el presente DPA: privacy@liaplugin.com