Seguridad y privacidad

Playlistation nunca ve tu contraseña de Spotify. Inicias sesión en la propia web de Spotify, Spotify te muestra los permisos que se piden y le entrega a Playlistation un token limitado a esos permisos. El texto legal es la política de privacidad.

Iniciar sesión con Spotify

Spotify muestra una pantalla de consentimiento con lo que Playlistation podrá hacer, en cada inicio de sesión. Acepta, y Spotify te devuelve a la app con un código de un solo uso que la API de Playlistation canjea por un token de acceso y un token de renovación. Rechaza, y no se crea nada. Funciona con cuentas de Spotify gratuitas y Premium.

Los permisos que se piden

Seis permisos, y por qué hace falta cada uno:

• user-library-read: leer tus Canciones que te gustan. Es todo el producto; cada playlist inteligente se construye a partir de ellas.
• playlist-modify-public y playlist-modify-private: crear playlists y añadir o quitar sus canciones, sea la playlist pública o privada.
• playlist-read-private: ver tus playlists privadas, para que Playlistation pueda leer las playlists que ha creado cuando son privadas, y darse cuenta de cuándo has eliminado una en Spotify.
• user-read-private: los datos de tu perfil. Playlistation solo conserva el país; tu nombre visible y tu avatar vienen con el perfil sin este permiso.
• user-read-email: tu dirección de correo, usada para las facturas de Stripe si te suscribes y como la dirección desde la que escribes para ejercer tus derechos.

Playlistation no pide cambiar tus Canciones que te gustan, controlar la reproducción, leer tu historial de escucha ni subir imágenes.

Qué se guarda

En tu cuenta: tu id de Spotify, tu nombre visible, tu correo, la URL de tu avatar, el país cuando Spotify lo envía, el idioma de la interfaz, el número de canciones de tus Canciones que te gustan, cuándo estuviste activo por última vez, tu plan y una copia del registro de suscripción de Stripe (un id de cliente, nunca los datos de la tarjeta), las estadísticas de tu biblioteca, los tokens de acceso y de renovación de Spotify, y un token de sesión por cada dispositivo en el que has iniciado sesión.

Vinculado a tu cuenta: tus playlists inteligentes con sus filtros y el último resultado de coincidencia de cada canción, las playlists que se te han sugerido y los avisos de idioma que hayas enviado.

Compartido con todos los usuarios: la caché de canciones. Cada canción que Playlistation ha visto se guarda una vez, indexada por su id de Spotify, con su título, artistas, álbum, duración y portada, más sus géneros y el idioma detectado. Es una copia del catálogo de Spotify, no un registro de a quién le gusta qué, y no está vinculada a tu cuenta.

Nunca se guarda: tu contraseña de Spotify, el número de tu tarjeta ni el audio en sí.

Sesiones

Iniciar sesión crea un token aleatorio de 40 caracteres, guardado en tu navegador y en tu cuenta, que acompaña a cada petición a la API. No tiene fecha de caducidad: sigue siendo válido hasta que usas Cerrar sesión en Ajustes, que revoca solo el token de ese dispositivo, o hasta que Spotify desconecta la app, lo que elimina todas las sesiones a la vez. El token de acceso de Spotify dura poco y se renueva en segundo plano con el token de renovación.

Dónde está alojado

La API y su base de datos, donde se guarda todo lo anterior, funcionan en un servidor alquilado a OVH en Roubaix, Francia; la web también. Los archivos de la propia app, la interfaz que carga tu navegador, se sirven desde Firebase Hosting, un servicio de Google; allí no se guarda ningún dato de cuenta.

Terceros

• Stripe gestiona el pago. Checkout recibe tu correo y tu id de usuario como referencia; Stripe recoge tu tarjeta y tu dirección de facturación, y Playlistation solo guarda el id de cliente y el registro de suscripción que devuelve. Consulta Planes y facturación.
• Featurebase proporciona el portal de sugerencias y el chat dentro de la app. El chat de la app solo se carga después de que aceptes las cookies. Cuando lo hace, Playlistation firma un token con tu id de Playlistation, tu correo, tu nombre visible, tu idioma y tu avatar para que tus mensajes y publicaciones queden en tu cuenta. Todo lo que escribes en el chat o en el portal lo procesa Featurebase. Rechaza las cookies y el módulo nunca se carga; el portal público sigue funcionando de forma anónima.
• PostHog (servidores en la UE) recibe estadísticas de uso. En el navegador solo arranca después de que aceptes las cookies, registra visitas a páginas y eventos de producto, y nunca graba tu pantalla. La API también registra eventos de producto por su parte, vinculados a tu id de usuario con tu id de Spotify, tu nombre visible, tu avatar, tu idioma, tu país, tu plan y el tamaño de tu biblioteca, nunca tu correo. Esos eventos del servidor no ponen ninguna cookie y no dependen de la respuesta sobre las cookies.
• Sentry recibe informes de errores. Cuando algo falla, el informe lleva tu id de usuario, tu correo, tu nombre visible y tu plan, y para un error en la app una repetición de la sesión en la que ocurrió. El texto en pantalla es visible en esa repetición; todo lo que hayas escrito en un campo se enmascara.

No se vende nada a nadie, y no hay ningún rastreador publicitario.

Revocar el acceso desde Spotify

Puedes cortar el acceso de Playlistation desde el lado de Spotify en cualquier momento, en la página Gestionar aplicaciones de Spotify. La próxima vez que la API intente renovar su token, Spotify lo rechaza; entonces Playlistation cierra tu sesión en todas partes y aparca tus playlists en Error, fuera de la rotación de actualizaciones. Las playlists se quedan en Spotify y tu cuenta sigue existiendo hasta que la elimines. Volver a iniciar sesión lo reconecta todo.

Tus derechos

Para acceder a tus datos, corregirlos o borrarlos, escribe a dpo@playlistation.app desde la dirección de correo de tu cuenta de Spotify. Borrar no necesita un correo: Eliminar tu cuenta lo hace desde la app.