Aviso de privacidad

Quién es responsable de tus datos

Universal Music Group México, S.A. de C.V., con domicilio en Río Tigris 33, colonia Cuauhtémoc, C.P. 06500, Ciudad de México, México, es responsable del tratamiento de los datos personales que se recaban en elmalilla.com.mx, el sitio oficial de El Malilla, y en la comunidad Malibandid@s que vive dentro del sitio (las páginas /malifandom).

Quien atiende tus solicitudes sobre datos personales es el Delegado de Protección de Datos de UMG. Escribe a privacy.officer@umusic.com o usa el formulario de solicitudes de privacidad: https://privacy.universalmusic.com/contact.

Qué datos recabamos

En los formularios de interés y de newsletter pedimos tu correo electrónico, que es obligatorio, y tu nombre, que es opcional. Junto con eso guardamos qué pediste, desde qué formulario lo pediste, la fecha, la versión del texto de consentimiento y de este aviso que aceptaste, y que tu correo todavía no está verificado. No pedimos datos sensibles.

Para crear una cuenta de Malibandid@s pedimos un nombre visible, tu correo y una contraseña. El nombre lo eliges tú, se ve en la comunidad y puedes cambiarlo en tu cuenta. Las cuentas creadas antes con un alias siguen funcionando igual. La contraseña no se guarda: guardamos una transformación con scrypt y una sal aleatoria, que no permite recuperarla ni leerla. También guardamos el origen del registro, la fecha de creación, el estado de la cuenta, tu aceptación de los términos, del aviso y de tu mayoría de edad con su versión y fecha, y, si activaste una invitación del equipo, quién te invitó.

En las cuentas nuevas el correo es obligatorio y una misma dirección solo puede tener una cuenta; en las creadas antes con un alias es opcional. Sirve para confirmar que la dirección es tuya y para ayudarte a recuperar la contraseña si la olvidas. Hasta que lo confirmes, una cuenta nueva puede entrar y leer, pero no escribir en la comunidad. Lo guardamos junto a tu cuenta con la fecha en que lo escribiste y, cuando lo confirmes, la fecha de verificación. Los enlaces de verificación y de recuperación son de un solo uso y caducan (24 horas el de verificación, 1 hora el de recuperación); del enlace solo guardamos una huella, nunca el enlace en claro.

Esos dos correos los envía nuestro proveedor de envío, Resend (Plus Five Five, Inc., Estados Unidos), desde hola@elmalilla.com.mx. Resend recibe tu dirección y el mensaje solo para entregarlo, por nuestra cuenta y conforme a nuestras instrucciones, y conserva un registro técnico del envío (destinatario, fecha y si se entregó) durante 30 días. La interfaz nunca te dice que se envió algo que el proveedor no aceptó. Tu correo de la cuenta no se cruza con la lista del newsletter y no te suscribe a nada.

Para mantener tu sesión usamos una cookie técnica firmada. Contiene el identificador interno de tu cuenta, una versión de sesión y su caducidad; no contiene tu alias, tu correo ni tu contraseña. Dura como máximo 14 días, no la puede leer el JavaScript de la página y se invalida al cerrar sesión, al cambiar la contraseña o al suspender la cuenta.

Para escribir, reaccionar o proponer temas en la comunidad te pedimos completar un perfil con dos datos: tu edad, como número entero, y tu género, con la opción «Prefiero no decirlo», que también te deja participar. La edad la declaras tú una sola vez y sirve para comprobar que tienes 18 años o más; es una declaración, no una verificación: no pedimos fecha de nacimiento ni documentos. Si declaras menos de 18, no guardamos la cifra, solo una marca de que no puedes participar. De forma opcional puedes añadir tu ciudad y tu país (con su código, como MX); puedes cambiarlos o borrarlos cuando quieras. Estos datos no se muestran en la comunidad ni junto a tus mensajes: allí solo se ve tu nombre visible. No los completamos por nuestra cuenta ni los cruzamos con la lista del newsletter, y completarlos no te suscribe a nada.

Dentro de la comunidad guardamos lo que publicas: tus conversaciones, los temas que propones, tus mensajes del chat, tus comentarios, respuestas y reacciones, con tu nombre visible (o tu alias, si tu cuenta es anterior), la fecha y el contenido que escribiste. Las reacciones no son anónimas: se guardan con tu cuenta, una por persona y por cada publicación o mensaje. Si bloqueas a otra cuenta, guardamos ese bloqueo y su fecha para dejar de mostrarte lo que publica; el bloqueo es privado y la otra persona no recibe aviso.

La moderación deja registro. Cuando reportas algo guardamos el reporte con tu alias, el motivo que elijas, la nota que escribas y la fecha. Cuando el equipo oculta una publicación o un comentario, cierra una conversación o suspende una cuenta, guardamos la acción, la fecha, el alias del moderador y el elemento afectado. Ese registro es interno, no se muestra en la comunidad y sirve para sostener la decisión y atender reclamaciones.

No guardamos tu dirección IP junto con tu registro ni con tu cuenta. Para frenar el abuso, el servidor usa en su memoria temporal un identificador derivado de la IP y límites de intentos por ventana de tiempo, y dentro de la comunidad guarda las marcas de tiempo de tus últimas escrituras para limitar cuántas veces puedes publicar seguido. Nada de eso lleva tu correo. Nuestro proveedor de alojamiento registra por su cuenta datos técnicos de las visitas, como la dirección IP y el navegador, para operar y proteger el sitio.

Para funcionar, el sitio carga bibliotecas de código desde servidores públicos (Google Hosted Libraries, Google Fonts, jsDelivr y unpkg) y Google Tag Manager, que reciben datos técnicos de tu visita, como la dirección IP y el navegador. A través de Google Tag Manager se carga Google Analytics 4, de Google LLC (Estados Unidos), que recibe datos técnicos y de navegación de tu visita, como las páginas que ves, el tiempo, de qué sitio llegas, tu dispositivo y tu ubicación aproximada, y guarda en tu navegador sus cookies _ga. Las páginas para restablecer tu contraseña o activar una invitación no cargan nada de estos servidores. Los reproductores de Spotify y YouTube se cargan cuando pulsas reproducir, con una excepción: el televisor de la comunidad. Al entrar a la sala con tu cuenta se carga el reproductor de YouTube en su modo de privacidad mejorada (youtube-nocookie.com) y empieza sin sonido cuando está a la vista, salvo que tu dispositivo pida reducir el movimiento o tu navegador no permita el inicio automático; en esos casos se carga o empieza solo cuando pulsas «Iniciar reproducción». En ese momento esos servicios reciben datos de tu visita conforme a sus propias políticas. Ninguno de ellos recibe lo que escribes en los formularios ni lo que publicas en la comunidad.

Además, si lo aceptas, el propio sitio cuenta qué páginas se ven y cuánto tiempo están a la vista; ese tiempo se pausa cuando la pestaña está oculta. No te lo preguntamos por nuestra cuenta: si quieres, lo eliges en «Preferencias de medición», al pie de cada página, con dos opciones, «Aceptar» y «No medir». Solo medimos si eliges «Aceptar»; mientras no elijas no medimos nada, y cerrar ese panel, navegar por el sitio o crear tu cuenta no cuentan como aceptar. De cada página vista guarda solo su dirección, sin parámetros, y ese tiempo: no usa cookies, no guarda tu dirección IP y no lleva nada que te identifique ni que permita reconocer tu siguiente visita. En la sala de la comunidad mide también, de la misma forma y sin tu cuenta, cuánto tiempo estuvo reproduciéndose el video, lo que no indica si lo viste o lo escuchaste. Estos datos se guardan en el almacenamiento del sitio en Vercel y no se miden en el panel del equipo ni en las páginas con enlaces de un solo uso. Si tu navegador envía la señal Global Privacy Control, no medimos. Esta medición propia es independiente de Google Analytics: aceptarla o elegir «No medir» solo decide sobre ella y no cambia lo que hace Google Analytics.

Para qué usamos tus datos

Usamos tus datos solo para estas cosas:

• Guardar tu interés en la comunidad y avisarte por correo cuando haya novedades que pediste.
• Enviarte por correo el newsletter de El Malilla, solo si lo pediste con su propia casilla.
• Crear tu cuenta de Malibandid@s, darte acceso a la comunidad y proteger ese acceso, por ejemplo bloqueando una cuenta un rato tras varios intentos fallidos.
• Verificar tu correo y ayudarte a recuperar tu contraseña.
• Comprobar, con la edad que declaras, que tienes 18 años o más antes de dejarte escribir, reaccionar o proponer temas, y pedirte el género para completar tu perfil de participación (con la opción «Prefiero no decirlo»).
• Usar tu género y, si los das, tu ciudad y tu país solo de forma agregada, sin identificarte, para entender quién forma la comunidad y, cuando el sitio lo ofrezca, ayudarte a descubrir novedades y fechas cerca de ti dentro del propio sitio. No los usamos para enviarte publicidad ni mensajes.
• Mostrar dentro de la comunidad tus conversaciones, temas aprobados, mensajes del chat, comentarios, respuestas y reacciones, junto a tu nombre visible (o tu alias, si tu cuenta es anterior).
• Respetar los bloqueos que hagas, para dejar de mostrarte lo que publica una cuenta.
• Moderar la comunidad: revisar lo que se envía antes de publicarlo, atender reportes, ocultar contenido, cerrar conversaciones y suspender cuentas, y guardar el registro de esas decisiones.
• Evitar registros duplicados, respetar tus bajas y proteger los formularios y el acceso contra el abuso.

Hoy solo enviamos los correos de tu cuenta: la verificación de tu dirección y la recuperación de tu contraseña. Todavía no enviamos el newsletter ni avisos de novedades; antes de hacerlo actualizaremos este aviso y respetaremos las preferencias y bajas que tengas guardadas.

Crear una cuenta gratuita y suscribirte al newsletter son cosas distintas. Crear tu cuenta no te suscribe a nada, y dejar tu correo en un formulario no crea una cuenta ni te da acceso a la comunidad.

El contenido exclusivo se irá incorporando; crear la cuenta no promete una fecha ni un contenido determinado. No usamos tus datos para otras finalidades, no los vendemos y no los compartimos con terceros para publicidad.

Qué se ve de ti en la comunidad

La comunidad Malibandid@s es un espacio cerrado: solo entran las cuentas registradas. Ahí verás las publicaciones oficiales del equipo, una selección de videos oficiales de YouTube y un chat moderado con canales, y podrás proponer temas, escribir en el chat, comentar, responder y reaccionar. Las publicaciones y los mensajes del equipo llevan una marca que depende de los permisos de la cuenta, no del nombre elegido.

Tu nombre visible (o tu alias, si tu cuenta es anterior) es público dentro de la comunidad: aparece junto a todo lo que publicas, comentas o reaccionas, y lo ven las demás cuentas registradas. Elige uno con el que estés a gusto y no uses tu nombre completo si no quieres que se vea.

Tu perfil dentro de la comunidad muestra solo tu nombre visible (o tu alias) y cuántas conversaciones has abierto. Tu correo, tu edad, tu género, tu ciudad y tu país no se muestran nunca, ni a otras cuentas ni en la comunidad; tampoco mostramos tu contraseña, tus datos de registro ni ningún identificador interno.

Puedes bloquear a otra cuenta cuando quieras: dejas de ver lo que publica y ella no recibe ningún aviso. Ese bloqueo solo lo vemos nosotros para aplicarlo.

Lo que escribes lo decides tú. No publiques datos personales tuyos ni de terceros que no quieras que se vean: una vez publicado, lo pueden leer, copiar o captar todas las cuentas registradas, y eso no lo podemos deshacer aunque después borres el mensaje.

Moderación y registros

Puedes reportar una publicación, una conversación, un comentario o una respuesta. Eliges un motivo de una lista y puedes añadir una nota corta. Guardamos el reporte con tu alias, el motivo, la nota y la fecha, para revisarlo. La persona reportada no ve quién la reportó.

Antes de aparecer en la comunidad, cada conversación, tema propuesto, comentario o respuesta nueva la revisa una persona editora del equipo, que decide si se publica. Mientras tanto solo la ves tú, con su estado. Si no se publica, te mostramos el motivo y sigue visible solo para ti. Guardamos la decisión, su fecha, el motivo y quién la tomó; ese registro es interno.

Los mensajes del chat no esperan a una persona editora: antes de publicarse, el texto de cada mensaje se revisa automáticamente con el servicio de moderación de OpenAI, que solo recibe ese texto, sin tu nombre, tu alias ni tu cuenta, para detectar odio, acoso, contenido sexual o violencia. Si no detecta nada, el mensaje se publica al momento; si lo detecta, no se publica y solo tú ves el motivo; si el servicio no responde, el mensaje espera a que lo revise el equipo. Los mensajes no se pueden editar. Una vez publicados se ven en el chat durante 10 minutos y después se quitan; los guardamos internamente, sin mostrarlos, con el resultado de esa revisión, para atender reportes y casos de abuso. Los stickers son gráficos del propio sitio y no se envían a ese servicio. Cada cuenta puede enviar hasta 100 mensajes al día. Si alguien publica algo ofensivo, puedes reportarlo: el equipo puede ocultarlo y suspender la cuenta.

Solo las personas editoras del equipo y las cuentas con papel de moderación ven la cola de reportes y pueden ocultar contenido, volver a mostrarlo, cerrar o reabrir una conversación y suspender una cuenta. Cada una de esas acciones queda registrada con la fecha y el alias de quien la hizo, y el reporte relacionado se marca como atendido.

Esos registros son internos: no se muestran en la comunidad. Cuando el equipo retira un mensaje, una conversación o un comentario, deja de verse en la comunidad en ese mismo momento, para todas las personas. Su texto se conserva internamente, sin publicarse, durante 30 días desde la retirada, solo para revisar la decisión si la reclamas o si llega un reporte relacionado. Pasado ese plazo, el texto deja de estar disponible también para el equipo y se borra automáticamente del almacenamiento en cuanto vuelve a haber actividad en la comunidad o en el panel. De la retirada queda solo un registro mínimo, sin el texto: qué elemento fue, de qué cuenta, quién lo retiró, cuándo y por qué. Ese registro no es anónimo, porque sigue ligado a tu cuenta; a los 12 meses de la retirada deja de estar disponible para el equipo y se borra de la misma forma. Los demás registros de moderación los conservamos mientras la cuenta exista y el tiempo necesario para sostener la decisión o atender una reclamación, y después los suprimimos.

Dónde se guardan y qué proveedores intervienen

El sitio está alojado en Vercel Inc. (Estados Unidos). Tus datos de contacto, los de tu cuenta y lo que publicas en la comunidad se guardan en un almacenamiento privado de Vercel Blob en Estados Unidos, cifrado en reposo. Vercel trata esos datos por nuestra cuenta y conforme a nuestras instrucciones, como encargado, bajo sus términos de tratamiento de datos.

Solo acceden a esos registros las personas autorizadas por el responsable, incluido el equipo que opera el sitio y modera la comunidad, con las credenciales del proyecto. Tus datos no se guardan en el código del sitio, en el gestor de contenidos ni en herramientas de analítica: a Google Analytics solo llegan los datos de navegación descritos en «Qué datos recabamos», y la medición propia del sitio no guarda nada que te identifique.

La moderación automática del chat la hace OpenAI, L.L.C. (Estados Unidos), como encargado: recibe solo el texto de cada mensaje del chat. Según su documentación para su servicio de moderación, no usa ese texto para entrenar sus modelos ni lo conserva.

Los correos de tu cuenta los envía Resend (Plus Five Five, Inc.), en Estados Unidos, como encargado.

Transferencias

No transferimos tus datos personales a terceros. Los proveedores que los tratan por nuestra cuenta, como el de alojamiento, no reciben una transferencia. Si en el futuro fuera necesaria una transferencia que requiera tu consentimiento, te lo pediremos antes.

Cómo acceder, corregir o eliminar tus datos, oponerte o retirar tu consentimiento

Puedes pedir en cualquier momento acceder a tus datos, corregirlos, cancelarlos (eliminarlos), oponerte a su uso o retirar el consentimiento que diste para tu cuenta o para el newsletter. Escribe a privacy.officer@umusic.com o usa el formulario https://privacy.universalmusic.com/contact, e indica:

• Tu nombre y el medio donde quieres recibir la respuesta.
• El alias de tu cuenta o el correo que registraste, y cualquier dato que ayude a localizar tu registro.
• Qué derecho quieres ejercer o qué consentimiento retiras y, si pides una corrección, qué dato hay que corregir.
• Si actúas en nombre de otra persona, el documento que acredite tu representación.

Te responderemos en un plazo máximo de 20 días hábiles y, si procede, lo haremos efectivo dentro de los 15 días hábiles siguientes. Esos plazos solo pueden ampliarse una vez, por un periodo igual y con justificación. El trámite es gratuito.

Si tu cuenta tiene un correo verificado, podemos comprobar por esa vía que eres tú; si no, para eliminar o cambiar una cuenta pedimos datos que solo tú puedas conocer. Saber un alias o un nombre no basta para que alguien toque tu cuenta.

Si pides eliminar tu cuenta, borramos tu alias, tu contraseña y, si lo dejaste, tu correo. Lo que publicaste en la comunidad se retira o se desvincula de tu alias, salvo lo que tengamos que conservar para sostener una decisión de moderación.

Retirar tu consentimiento no tiene efectos hacia atrás. Cuando enviemos el newsletter o avisos de novedades, cada correo incluirá un enlace para darte de baja. Los correos de tu cuenta (verificación y recuperación) no llevan baja porque solo salen cuando tú los pides.

Si no quedas conforme con la respuesta o no la recibes a tiempo, puedes acudir a la Secretaría Anticorrupción y Buen Gobierno, autoridad encargada de la protección de datos personales en posesión de particulares.

Cómo limitar el uso de tus datos

Solo marcas la casilla de lo que quieres; ninguna viene marcada, y la casilla de la cuenta y la del newsletter son independientes. Puedes darte de baja del newsletter, dejar tu cuenta sin correo o pedir que se elimine tu cuenta escribiendo a privacy.officer@umusic.com o mediante el formulario https://privacy.universalmusic.com/contact.

Si te das de baja, conservamos en una lista de supresión solo un identificador derivado de tu correo (no el correo) para no volver a escribirte, aunque vuelvas a llenar un formulario, salvo que nos pidas expresamente reactivarlo.

Puedes cambiar tu elección sobre la medición propia de visitas cuando quieras en «Preferencias de medición», al pie de cada página: si eliges «No medir», dejamos de hacer la medición propia desde ese momento. Esa elección solo controla la medición propia del sitio y no detiene Google Analytics. Para limitar Google Analytics, bloquea sus cookies en tu navegador o usa el complemento de inhabilitación que ofrece Google. Tu elección sobre la medición propia se guarda solo en tu navegador, sin cookies; si borras los datos del sitio en tu navegador, tu elección se borra y no medimos hasta que vuelvas a elegir «Aceptar».

Cuánto tiempo conservamos tus datos

Conservamos los datos de contacto mientras mantengas tu solicitud, y como máximo 24 meses desde tu última solicitud si en ese tiempo no hemos empezado a enviar correos o no has confirmado tu suscripción.

Las cuentas de Malibandid@s, los datos de tu perfil y lo que publicas en la comunidad se conservan mientras la cuenta siga activa; los datos opcionales del perfil los puedes borrar tú en cualquier momento. Se eliminan cuando lo pidas o cuando la comunidad deje de funcionar.

Cuando pidas la cancelación o termine ese plazo, bloqueamos tus datos (los guardamos sin usarlos) solo el tiempo que la ley exija y después los suprimimos. La lista de supresión conserva solo el identificador derivado de tu correo, para respetar tu baja.

De la medición propia, cada página vista se guarda por separado solo el día en que ocurre; después queda únicamente el total por día y por página.

Personas menores de edad

Los formularios y las cuentas son solo para personas de 18 años o más. Cada formulario pide declararlo con una casilla, que guardamos con su fecha y la versión del texto. Para participar en la comunidad te pedimos además tu edad como número entero, una sola vez; es una declaración tuya, no una verificación. No pedimos fecha de nacimiento ni documentos.

Si una madre, padre o tutor nos avisa de que una persona menor de edad dejó sus datos o creó una cuenta, eliminamos la cuenta y sus datos y conservamos únicamente el identificador derivado del correo en la lista de supresión, para no volver a guardarlos.

Cambios a este aviso

Publicaremos cualquier cambio en esta misma página, con su nueva versión y fecha. Si un cambio implica usar tus datos para una finalidad distinta, te pediremos tu consentimiento antes de hacerlo. Cuando enviemos correos, también te avisaremos por ese medio de los cambios importantes.