Política de privacidad

Melodystats está gestionado por PE Ishtvan Komonii, empresario individual (фізична особа-підприємець) registrado en Ucrania para actividades de programación informática y afines. Esa persona es el responsable del tratamiento de los datos personales que aquí se describen.

• Domicilio registrado: Petliury Street 4, apt. 210, Lviv 79054, Ukraine.
• Correo electrónico: contact@melodystats.me

No hay delegado de protección de datos, y tampoco es obligatorio designarlo: Melodystats no somete a nadie a observación a gran escala ni tiene por objeto tratar categorías especiales de datos. Toda cuestión de protección de datos se dirige a la dirección indicada arriba, y llega a la persona que escribió el código.

Abarca el sitio de Melodystats en melodystats.me y nada más. No abarca Spotify —su cuenta de Spotify se rige por la propia política de privacidad de Spotify— ni ningún otro sitio al que usted llegue desde un enlace de aquí.

No le pedimos que lo acepte. Leer una página no es consentimiento, y seguir navegando tampoco. Casi todo lo que ocurre aquí se apoya en la conexión que usted establece al autorizar Spotify: se trata de un contrato que usted ha solicitado, y su base es el art. 6.1.b) del RGPD. Cuando la base es realmente el consentimiento —hoy eso es la analítica, y nada más— se solicita por separado, y usted puede retirarlo desde «Ajustes de cookies», en el pie de todas las páginas.

En este sitio no hay formulario de registro. No hay cuenta, no hay contraseña y no hay ningún campo, en ninguna parte, que le pida escribir un dato personal. Todo lo personal que hay aquí ha llegado desde Spotify porque usted lo autorizó.

Solo hay una vía de entrada: usted autoriza a Melodystats desde su cuenta de Spotify. Spotify emite entonces un token que lleva una lista fija de permisos. Nada de lo que sigue es un dato público, y nada de ello nos lo aporta usted voluntariamente: Spotify es la fuente de cada dato personal que obra en nuestro poder.

Melodystats puede leer:

• su perfil: nombre visible, dirección de correo electrónico, país, tipo de suscripción, número de seguidores y foto de perfil;
• sus artistas top y sus canciones top, en los tres periodos que calcula Spotify (aproximadamente las últimas cuatro semanas, los últimos seis meses y varios años);
• sus últimas 50 reproducciones;
• la canción que suena en ese momento en su reproductor de Spotify;
• sus canciones guardadas —las 2 000 más recientes para las páginas que usted consulta, hasta 10 000 cuando pide un archivo de su biblioteca— y sus álbumes guardados;
• los artistas a los que sigue;
• sus playlists, incluidas las privadas.

No puede escribir absolutamente nada en su cuenta de Spotify. Todos los permisos que solicita son permisos de lectura.

Melodystats no solicita permiso para controlar la reproducción, de modo que no puede iniciar, detener ni saltar nada en sus dispositivos. No solicita permiso para modificar su biblioteca, de modo que no puede añadir ni quitar nada de sus canciones que le gustan. Cuando una canción ya está en su lista de canciones que le gustan se muestra un corazón junto a ella, y eso es todo lo que hace el corazón: señala las guardadas y no puede hacer nada más. No solicita permiso para crear ni modificar playlists: puede leer las suyas para contarlas, y no puede hacerles nada. Y nunca escribe en su perfil de Spotify.

A partir de estos datos, el sitio elabora lecturas sobre usted: géneros, décadas, una puntuación de rareza, una personalidad musical, una paleta de colores tomada de las portadas de sus álbumes. El historial de escucha puede dejar entrever cosas que la mayoría de la gente llamaría privadas: creencias, política, quiénes son. Esas lecturas existen para dibujar su propia página. No se comparten con nadie, no se venden a nadie y no se usan para nada más. Lo que usted decida exportar o publicar es decisión suya, no nuestra.

Puede consultar la autorización y cancelarla en cualquier momento en spotify.com/account/apps. En cuanto lo haga, Melodystats ya no podrá leer nada.

No hay decisiones automatizadas. Nada de lo que hay aquí produce efectos jurídicos sobre usted ni le afecta significativamente de modo similar. Las lecturas son descripciones, no decisiones, y ninguna persona ni ninguna máquina actúa sobre ellas.

No se le exige nada. Facilitar estos datos no es una obligación legal ni contractual. Es sencillamente aquello de lo que está hecho el sitio: sin la conexión con Spotify no hay nada que calcular ni nada que mostrar.

No hay base de datos. Nada relativo a usted se escribe en un disco, en una copia de seguridad ni en un registro nuestro.

Sí hay una caché, y merece describirse con exactitud, porque decir «no almacenamos nada» no sería cierto. Para que una segunda página no vuelva a pedir todo lo que ya pidió la primera, lo que devuelve Spotify se guarda en la memoria del propio proceso del servidor. Esa memoria:

• está indexada mediante una huella SHA-256 unidireccional y truncada de su token de actualización de Spotify —el token en sí no se almacena nunca y no puede recuperarse a partir de la clave—;
• no se comparte nunca entre oyentes: dos personas no pueden acabar en el mismo espacio de nombres;
• está limitada a 200 entradas en total para el conjunto de quienes usan ese servidor, y se descartan primero las menos usadas recientemente;
• no se escribe nunca en disco, no se respalda nunca, no se envía nunca a ninguna parte;
• desaparece cuando el servidor se reinicia, y cada despliegue lo reinicia.

Cuánto vive cada tipo de entrada:

Una precisión, para que la tabla no se lea como más estricta de lo que es: una entrada que acaba de caducar puede servirse una vez más mientras se obtiene una copia nueva por detrás de su página, durante, como máximo, otro periodo igual al doble de su propia duración. El límite máximo de cualquier elemento de esa tabla es, por tanto, el triple de la cifra indicada: tres horas para el perfil, noventa minutos para las listas top.

Su sesión no se conserva en nuestro servidor en absoluto. Vive en una cookie de su propio navegador, y cerrar sesión la destruye. Véase la sección siguiente.

Todo lo que este sitio guarda, para qué sirve y si usted puede decir que no. Nada de esto es una cookie publicitaria, y nada de esto se comparte con una red publicitaria.

ms_session es aquí el único objeto crítico para la seguridad. Contiene los tokens que Spotify emitió para su cuenta, cifrados con AES-256-GCM bajo una clave que solo tiene el servidor. Está marcada como httpOnly, de modo que ningún script de la página puede leerla; como SameSite=Lax, de modo que otro sitio no puede hacer que su navegador la envíe; y como Secure, de modo que en producción no viaja nunca por HTTP sin cifrar. Cerrar sesión la destruye, y revocar en spotify.com/account/apps deja sin valor lo que contiene.

Las tres cookies de preferencia llevan un ajuste y ningún identificador. Los dos elementos de almacenamiento del navegador no salen nunca de su navegador.

Melodystats usa Google Analytics 4, y solo si usted dice que sí.

• La etiqueta de Google no está en la página hasta que usted acepta. Ni cargada y retenida, ni cargada con un indicador activado: ausente. Si usted no ha respondido, eso cuenta como un no.
• Aceptar y rechazar están en la misma fila del banner, a un clic cada uno y con el mismo peso visual. No hay botón de descartar, porque descartar no es consentir, y el banner no bloquea nunca la página que hay detrás.
• Su respuesta se guarda en la cookie ms_consent durante 182 días. Pasado ese plazo, el banner vuelve a preguntar en lugar de dar por supuesto que la respuesta anterior sigue vigente.
• Retirar el consentimiento es tan fácil como darlo. Abra «Ajustes de cookies» en el pie de cualquier página. Pasar de aceptado a rechazado recarga la página, de modo que nada de lo medido en esa sesión continúa.
• Cuando sí se ejecuta, está configurada con anonymize_ip, y Google establece las cookies _ga y _ga_<id> indicadas arriba.
• Qué mide. Páginas vistas y eventos de interacción con nombre: iniciar y cerrar sesión, compartir una imagen, exportar un archivo, abrir una función desde la cuadrícula de la página de inicio, cambiar el idioma, el tema o el periodo, y usar los enlaces de contacto y de donación. Un evento de página no encontrada registra la dirección que no llevaba a ninguna parte, y un evento de avería registra el código de referencia o el tipo del error, nunca su mensaje ni su contenido. Cada evento anota si el visitante tenía la sesión iniciada o era un invitado; nada de ello lleva su nombre, su identidad de Spotify ni nada de lo que usted haya escuchado.
• La analítica solo se ejecuta en el sitio en producción. No se carga nunca en desarrollo.

Google Ireland Limited actúa como encargado del tratamiento para los visitantes del EEE y del Reino Unido, y los datos llegan a Google LLC en Estados Unidos. En la sección siguiente se explica cómo se realiza esa transferencia.

Cada uno actúa conforme a sus propias condiciones escritas, como encargado del tratamiento o —en el caso de los servidores de imágenes— sencillamente como alojamiento de un archivo que su navegador solicita. A ninguno de ellos le entregamos sus datos para que los use con fines propios.

No se vende nada. Aquí no hay ninguna red publicitaria, ningún intermediario de datos, ningún seguimiento de afiliación, y no se elabora ningún perfil para nadie que no sea usted. Los datos personales llegan a un tercero únicamente cuando la ley lo exige —una orden judicial o un requerimiento lícito de una autoridad competente— y solo en la medida en que lo exija.

Transferencias fuera del EEE y fuera de Ucrania. Vercel y Google están en Estados Unidos. Para los lectores del EEE y del Reino Unido eso constituye una transferencia con arreglo a los arts. 44 a 49 del RGPD, realizada al amparo del EU–US Data Privacy Framework cuando el destinatario está certificado en él y, en caso contrario, al amparo de las Standard Contractual Clauses de la Comisión Europea. Dado que el responsable del tratamiento está establecido en Ucrania, esas mismas transferencias se realizan al amparo del art. 29 de la Ley de Ucrania «On Personal Data Protection», por el motivo de que la transferencia es necesaria para ejecutar la conexión que usted ha solicitado.

Si usted apoya a Melodystats en Patreon y pide que se le acredite, su nombre de pila y la inicial de su apellido aparecen en la página de mecenas, como «Oleksandr K.» y no con el nombre completo. Esto se hace con su conformidad, es todo lo que se publica y no se usa para nada más.

Escriba a contact@melodystats.me y el crédito se retirará en el siguiente despliegue del sitio. No tiene que dar ninguna razón.

Cuando el RGPD le sea aplicable, todos los derechos siguientes son suyos, y ninguno de ellos cuesta nada:

• Acceso: una copia de los datos personales que se conservan sobre usted. Este aviso ya es la mayor parte de esa respuesta: no hay base de datos, así que lo que existe es una entrada de caché que caduca dentro de los plazos indicados en Dónde se conservan sus datos.
• Rectificación: la corrección de cualquier cosa que sea incorrecta. Casi todo lo que hay aquí procede de Spotify, así que la corrección corresponde normalmente a su perfil de Spotify; se refleja aquí en la siguiente lectura de datos.
• Supresión: cierre sesión y revoque en spotify.com/account/apps. La cookie de sesión se destruye, los tokens dejan de funcionar y las entradas en caché caducan por sí solas. Escríbanos si desea que se lo confirmemos.
• Limitación y oposición: incluida la oposición al tratamiento basado en el interés legítimo que se indica en Por qué, y sobre qué base jurídica.
• Portabilidad: la mayoría de las páginas que muestran una lectura llevan un control de exportación: CSV, XLSX o JSON de los datos que hay detrás de esa página. Su biblioteca guardada, y cómo ha ido creciendo mes a mes, se obtienen de la misma manera desde su perfil. Donde está el control no tiene que pedírnoslo; donde una página no lo tenga, escríbanos y le construiremos el mismo archivo.
• Retirar el consentimiento: para la analítica, en cualquier momento, desde «Ajustes de cookies» en el pie de página. La retirada detiene la medición futura; no puede deshacer lo que ya se midió, que es lo único que la retirada nunca puede hacer.
• No ser objeto de decisiones automatizadas: aquí no hay ninguna de la que pueda ser objeto.

Escriba a contact@melodystats.me. Tendrá una respuesta en el plazo de un mes y, si una solicitud resulta ser complicada, se le comunicará dentro de ese mes y no después.

Reclamaciones. Si se encuentra en el EEE, puede reclamar ante la autoridad de control del lugar donde reside, del lugar donde trabaja o del lugar donde crea que algo ha ido mal. En Ucrania la autoridad es el Verkhovna Rada Commissioner for Human Rights. No está obligado a escribirnos primero, aunque suele ser más rápido.

• El inicio de sesión es OAuth 2.0 con PKCE. Ninguna contraseña llega jamás a Melodystats, porque Melodystats no tiene contraseñas.
• La cookie de sesión está cifrada con AES-256-GCM bajo una clave que solo tiene el servidor, y es httpOnly, SameSite=Lax y Secure.
• Nada relativo a usted se escribe en disco, así que no hay ninguna base de datos que vulnerar ni ninguna copia de seguridad que filtrar.
• La clave de la caché es un hash unidireccional; su token de actualización no puede recuperarse a partir de ella, y ese resumen no sale nunca del servidor.

Ningún sistema es perfectamente seguro, y este aviso no fingirá lo contrario. Si ocurre algo que ponga sus datos en riesgo, lo diremos: a usted, y a la autoridad de control cuando la ley lo exija.

Melodystats no está dirigido a menores. Para usarlo hace falta una cuenta de Spotify, y Spotify fija su propia edad mínima para su país.

Cuando se aplica el RGPD, la edad a la que usted puede aceptar por sí mismo un servicio en línea es de 16 años, salvo que su país la haya rebajado —no puede bajar de los 13—. Por debajo de esa edad tiene que aceptar por usted un progenitor o tutor.

Aquí no hay ningún formulario ni ningún perfil propio, así que no tenemos manera de comprobar la edad de nadie. Esto es una norma, no una barrera. Si cree que un menor ha conectado Spotify con Melodystats, revocar la autorización en spotify.com/account/apps lo detiene de inmediato: no se puede leer nada más, y las entradas en caché caducan dentro de los plazos indicados en Dónde se conservan sus datos. Escriba a contact@melodystats.me si desea ayuda para hacerlo o la confirmación de que está hecho.

Melodystats se opera desde Ucrania, por lo que la Ley de Ucrania «On Personal Data Protection» (n.º 2297-VI) se aplica al responsable del tratamiento, incluidos sus deberes sobre los fines de la recogida, sobre la notificación de las transferencias a terceros, sobre la seguridad y sobre los motivos para enviar datos al extranjero.

El sitio se ofrece a lectores del EEE, en sus propios idiomas, por lo que el RGPD se aplica en paralelo a ese tratamiento en virtud del art. 3.2.a).

Cuando ambas normas fijan estándares distintos, Melodystats aplica el más exigente en lugar de elegir el más cómodo. Las reclamaciones se dirigen al Verkhovna Rada Commissioner for Human Rights en Ucrania, o a su propia autoridad nacional de control en el EEE.

Este aviso lleva una sola fecha, en la parte superior de la página, y esa es su versión. No hay una segunda marca que la contradiga.

• Una corrección que no cambia lo que ocurre —una errata, una frase más clara— surte efecto en el momento en que se publica.
• Todo cambio en qué se recoge, para qué o quién lo recibe se anuncia en el sitio antes de que surta efecto, y cuando el cambio requiera su consentimiento se le volverá a preguntar en lugar de comunicárselo sin más. Seguir usando Melodystats no se considera aceptación de un cambio sustancial.

PE Ishtvan Komonii, Petliury Street 4, apt. 210, Lviv 79054, Ukraine.

contact@melodystats.me, para cualquier cuestión de este aviso, incluidos todos los derechos recogidos en Sus derechos. Llega a una persona, no a una cola.

Los Términos y condiciones rigen su uso del sitio en sí.