Política de Privacidad

Última actualización: 20 de octubre de 2026 · Versión 2.4 (sustituye a la versión 2.3 del 20 de octubre de 2026) Entrada en vigor: inmediata (completa la información sobre tratamientos ya existentes, § 14). Las versiones anteriores están disponibles previa solicitud en privacy@hahoowa.app.

Resumen (nivel 1)

• ¿Quién trata sus datos? Hahoowa Medias Services SARL AU (Casablanca, Marruecos).
• ¿Dónde están? Nuestra base de datos y sus archivos están alojados en la Unión Europea (AWS, región de París). Algunos proveedores situados fuera de la UE tratan una parte, en particular el vídeo de los directos (sección 4).
• ¿Los vendemos? No. Nunca.
• ¿Publicidad? Elegida según su idioma, su país y la ciudad de su perfil, nunca según su comportamiento ni según datos sensibles, y nunca dirigida a los menores (§ 8).
• ¿Leemos sus mensajes privados? No — no analizamos el texto de sus mensajes. Solo las imágenes y los mensajes de voz compartidos se verifican contra los contenidos prohibidos.
• ¿En los directos? Por defecto, usted apoya con discreción: los demás espectadores no ven ni su nombre ni su foto cuando envía un regalo, y su llegada no se anuncia (§ 2.4).
• ¿Sus derechos? Acceso, rectificación, supresión, oposición, portabilidad — ejercitables en un único lugar: privacy@hahoowa.app o Ajustes → «Exportar mis datos» / «Eliminar mi cuenta».
• ¿Alguna pregunta? privacy@hahoowa.app, nuestro contacto de protección de datos.

El detalle completo sigue a continuación (nivel 2).

1. Quién es responsable de sus datos

Responsable del tratamiento:

• Hahoowa Medias Services SARL AU — 7, rue Ahmed Touki, Casablanca, Marruecos. Explotador de la plataforma y entidad contratante.

Formalidades ante la CNDP (ley 09-08) — en curso; cada número se inscribirá aquí en cuanto se reciba:

• declaraciones de los tratamientos: acuse de recibo n.º … de … ;
• autorizaciones previas: autorización n.º … de … ;
• transferencias de datos fuera de Marruecos: autorización n.º … de … .

Hahoowa Medias Services SARL AU determina los fines y medios de los tratamientos aquí descritos. Usted puede ejercer sus derechos a través de privacy@hahoowa.app.

Representante en la Unión Europea (art. 27 RGPD): designación en curso — entre tanto, privacy@hahoowa.app es su punto de contacto y el de las autoridades de la UE; los datos de contacto del representante se publicarán aquí en cuanto sea designado.

Contacto de protección de datos: privacy@hahoowa.app.

Anuncios entre usuarios. Cuando usted publica un anuncio, este puede contener datos personales (los suyos y, a veces, los de terceros). Conforme a la jurisprudencia europea (TJUE, Russmedia, C-492/23, 2 de diciembre de 2025), actuamos como corresponsables del tratamiento respecto de esos datos: nuestra moderación previa detecta los contenidos manifiestamente problemáticos, y ofrecemos una vía de supresión rápida (privacy@hahoowa.app, asunto «Dato en un anuncio»). Usted sigue siendo responsable de lo que decide publicar: no difunda datos de terceros sin base jurídica.

2. Qué recogemos, por qué, sobre qué base y durante cuánto tiempo

Tratamos únicamente lo que el Servicio necesita. La tabla siguiente cruza, por finalidad: las categorías de datos, la base jurídica (RGPD art. 6; ley marroquí 09-08), el plazo de conservación y los destinatarios (detallados en la sección 4).

No recogemos números de tarjeta ni datos sensibles (salud, religión, opiniones, orientación) — salvo que usted los publique voluntariamente, en cuyo caso es responsable de ello. Los plazos anteriores son máximos que nos comprometemos a respetar, salvo donde la tabla indica que todavía no se aplica ningún plazo: a su vencimiento, los datos se suprimen o se anonimizan de forma irreversible.

Posición de un anuncio. La página de un anuncio solo muestra su ciudad y su barrio. Sin embargo, sus coordenadas acompañan al anuncio en los datos que nuestros servidores envían a las aplicaciones y a los navegadores, y sirven para clasificarlo por distancia («Cerca de mí»). Para no publicar la posición exacta de un lugar privado, elija la ciudad manualmente en lugar de «Usar mi ubicación».

2.1 Expediente profesional: publicación pública

El art. 30(2) del DSA nos obliga a mostrar la información de los vendedores profesionales en la plataforma. Una vez aprobado su expediente, los siguientes campos son públicos, en cada uno de sus anuncios y en su escaparate: razón social, dirección, ciudad, teléfono y correo electrónico profesionales, tipo y número de inscripción, fecha de la autocertificación. El formulario se lo indica antes del envío. Utilice datos de contacto profesionales — esa es su vocación. Toda modificación del expediente suspende la publicación hasta su revalidación; la supresión de la cuenta suprime el expediente.

2.2 Verificación de identidad y datos bancarios

• Por qué. Antes de cualquier pago de ganancias, comprobamos que usted tiene 18 años y que es la persona que va a cobrar (prevención del fraude y de la suplantación de identidad).
• Cómo. Las imágenes de su documento y de su selfie se conservan en un almacenamiento privado, nunca publicado. Solo las consulta el equipo encargado de las verificaciones, mediante enlaces válidos durante 5 minutos, y cada consulta queda registrada. El selfie se compara con el documento por una persona, a simple vista: no se utiliza ningún reconocimiento facial ni ningún otro tratamiento biométrico automatizado.
• IBAN. Su IBAN está cifrado; la aplicación solo muestra sus 4 últimos caracteres. Solo se descifra para realizar una transferencia, por una persona autorizada, y cada visualización queda registrada. El nombre del titular se compara con su nombre verificado.
• Conservación. Véase la tabla anterior.

2.3 Saldo y compras

Las compras de saldo se realizan a través de la App Store o de Google Play: estas cobran el pago y no nos transmiten ni su nombre ni sus datos de tarjeta, solo el producto, la transacción y su estado. Las vinculamos a su cuenta mediante un identificador de cliente aleatorio, distinto de su identificador público. Antes de su primer gasto en un servicio ejecutado de inmediato, se registra su consentimiento a la ejecución inmediata (Términos y Condiciones, art. 3.4).

2.4 Lo que los demás ven de usted durante un directo

• Importes. El público no ve ningún total: ni lo que usted ha gastado, ni lo que ha recibido un directo. La clasificación de apoyos muestra puestos. El público ve el regalo enviado, cuyo precio figura en el catálogo, y un superchat muestra su nivel. El anfitrión ve lo que recibe.
• Nombre y foto. Por defecto, usted apoya con discreción: los demás espectadores ven «Un apoyo», sin su nombre ni su foto, y su llegada a un directo no se anuncia. Si activa «Mostrar mi nombre» (en la hoja de regalos, o «Mi nombre en los directos» en Ajustes → Privacidad → Directos), una pantalla le muestra primero lo que todos verán; después, su nombre y su foto acompañan sus regalos, su puesto en la clasificación y su llegada, visibles para todos los espectadores, incluidos los que no tienen cuenta. Esta visualización se basa en su consentimiento (RGPD art. 6(1)(a); ley 09-08 art. 4) y solo es posible para una cuenta que haya declarado tener 18 años o más; cada activación y cada retirada se registran, con su fecha, la versión del texto mostrado y el idioma. Usted lo retira en cualquier momento en el mismo lugar. El ajuste se aplica en el momento de la visualización: cuando vuelve al modo discreto, sus regalos anteriores vuelven a ser anónimos, salvo una animación ya mostrada y las capturas de pantalla que otros hayan podido hacer.
• Lo que siempre sigue siendo visible. El anfitrión ve siempre su identidad y lo que le regala (para darle las gracias o bloquearle), al igual que el equipo de Hahoowa (moderación). Sus mensajes escritos y sus superchats van siempre firmados con su nombre: usted mismo los publica, y cada cual responde de lo que escribe. Un superchat muestra además su nivel (1 $, 5 $, 25 $ o 100 $); por tanto, puede dar una indicación de su puesto en la clasificación.
• Menores. Una cuenta declarada o identificada como de un menor no puede gastar nada y permanece siempre en modo discreto (§ 11).
• Datos tratados. La elección «Mostrar mi nombre» se registra en su cuenta y en el registro de consentimientos; figura en su exportación de datos y nunca se muestra en su perfil público. Las normas de los directos prohíben revelar quién se esconde detrás de «Un apoyo».

3. La supresión de su cuenta

Cuando usted suprime su cuenta (Ajustes → Cuenta → Eliminar mi cuenta), la supresión surte efecto de inmediato:

1. Sistemas activos: su perfil se anonimiza; sus anuncios, Spots, Drops, publicaciones y comentarios se retiran de las superficies públicas; sus mensajes enviados se vacían de su contenido; su grafo social (seguimientos, bloqueos, favoritos, reacciones), su expediente profesional, sus tokens de notificación y su telemetría personal se suprimen físicamente; sus archivos multimedia se borran de nuestros servidores, incluidas las fotos, la muestra de voz y los archivos de trabajo de sus presentadores, y los vídeos que usted encargó al estudio de IA; sus directos se retiran, sus repeticiones dejan de ser accesibles y su grabación de vídeo se suprime en nuestro proveedor (Mux) — salvo que una denuncia en curso de examen obligue a conservarla, en cuyo caso sigue siendo inaccesible para el público y solo se conserva el tiempo necesario para tramitar esa denuncia; los mensajes que usted escribió en los chats de los directos se suprimen; su cuenta de cobro se suprime, y las imágenes de su verificación de identidad se borran en la purga diaria siguiente; su cuenta de autenticación se suprime.
2. Copias de seguridad: las copias técnicas de seguridad expiran definitivamente en un plazo máximo de 30 días.

El derecho de supresión se ofrece a todos los usuarios, no solo en la UE. Sobreviven a la supresión, de forma limitada y justificada: los asientos financieros (libro del saldo, ganancias, pagos con los datos fijados en cada solicitud, renuncia a las ganancias — obligación contable, 10 años, RGPD art. 17(3)); los expedientes de moderación (denuncias, decisiones, sanciones, recursos: 5 años — constatación y defensa de derechos); las líneas de pedidos y de anuncios necesarias para la integridad de las transacciones de los demás usuarios y para los litigios, quedando su perfil anonimizado en ellas y sus datos de contacto de comprador borrados 30 días después del cierre del pedido. Hoy no se borran: la voz clonada en WaveSpeed, que no ofrece ningún medio técnico para suprimirla y a la que solicitamos su supresión (§ 2, «Presentadores y voces») y las solicitudes de contacto que usted ha recibido o enviado (§ 2, «Solicitudes de contacto»). Previa solicitud, le entregamos una prueba de supresión con sello de tiempo.

Dinero restante. La parte no gastada de su saldo se pierde (Términos y Condiciones, art. 3.5): la pantalla de supresión muestra su importe y le pide que marque que acepta perderlo; esta aceptación queda registrada. Las ganancias de creador no retiradas no bloquean la supresión: puede solicitar su pago, o renunciar a ellas expresamente, por el importe exacto mostrado (Términos y Condiciones, art. 3.12). La supresión sigue siendo imposible mientras tenga, como vendedor, pedidos por cumplir, un pago en curso o suscriptores de pago activos (Términos y Condiciones, art. 12.4).

4. Con quién compartimos — nuestros encargados y corresponsables

No vendemos sus datos. Solo los compartimos con los prestadores necesarios para el Servicio, vinculados por contrato (art. 28 RGPD), y con los servicios que usted elige utilizar (inicio de sesión con Google, Apple o Facebook, ubicación de su teléfono, notificaciones de su navegador), que son responsables de su parte. La lista actualizada se mantiene en la presente política:

«CCT o DPF»: cláusulas contractuales tipo de la Comisión Europea, o Data Privacy Framework UE–EE. UU. para las empresas certificadas en él (sección 5). MaxMind suministra la base de geolocalización por dirección IP que consultamos en nuestros propios servidores: no recibe ningún dato. Un prestador retirado del producto deja de recibir dato alguno (HeyGen, retirado en julio de 2026, es un ejemplo de ello). Hahoowa ya no utiliza ningún proveedor de pago con tarjeta bancaria: Stripe, utilizado hasta septiembre de 2026, ya no recibe ningún dato; el historial de esos pagos (importe, fecha, últimos cuatro dígitos de la tarjeta) permanece en nuestros asientos de facturación (10 años).

5. Dónde residen sus datos y las transferencias internacionales

Almacenamiento. La base de datos, los medios y las cachés se alojan en AWS en la Unión Europea (París). No conservamos una segunda copia de esta base fuera de la UE.

Dos flujos salen de la UE:

1. Administración desde Marruecos. La plataforma se explota desde Casablanca; su operador administra allí los sistemas (incluido el examen de los documentos de identidad y la ejecución de las transferencias). Hahoowa aplica el RGPD a estos datos, dondequiera que se consulten: cifrado en reposo y en tránsito, acceso con privilegios mínimos, registro de las consultas sensibles.
2. Encargados del tratamiento. Los de la sección 4 situados fuera de la UE reciben únicamente los datos descritos; están cubiertos por las cláusulas contractuales tipo de la Comisión Europea o por el Data Privacy Framework UE–EE. UU., para las empresas certificadas en él.

Sentido Marruecos → extranjero. La ley marroquí 09-08 regula las transferencias de datos fuera de Marruecos (autorización previa de la CNDP hacia un país que no garantiza una protección suficiente). Estas formalidades están en curso; sus números figurarán en el § 1 en cuanto se reciban. Puede obtener copia de las garantías aplicables en privacy@hahoowa.app.

6. Análisis automatizado de los contenidos (moderación) y de los mensajes

Contenidos públicos. Cada contenido que usted publica — incluidos su nombre visible, su biografía, sus fotos de perfil y de portada y las imágenes de su escaparate — se analiza automáticamente (por Google Gemini y nuestros sistemas) para detectar lo que está prohibido (véanse las Normas de la comunidad). Este análisis se basa en nuestro interés legítimo en ofrecer un servicio seguro y lícito. Ninguna decisión que produzca efectos jurídicos significativos se adopta de forma totalmente automatizada sin posibilidad de recurso humano: los casos sensibles (difamación, suplantación, información falsa peligrosa, publicidad política) los resuelve siempre un humano, y usted puede impugnar cualquier decisión (Términos y Condiciones, art. 9; DSA arts. 20-22; RGPD art. 22).

Directos. Durante un directo, nuestros servidores toman aproximadamente una imagen por minuto, tanto del anfitrión como del invitado en pantalla, y la someten a un análisis automático. La imagen no se conserva; solo se conserva el veredicto. Un directo contrario a las normas puede interrumpirse automáticamente: su repetición se retira y su autor no puede iniciar un directo durante 24 horas; un invitado que infringe las normas es retirado de la pantalla. Los mensajes del chat, incluidos los superchats, se analizan justo después de su publicación; un superchat rechazado se retira y se reembolsa (Términos y Condiciones, art. 3.6.2). Una denuncia de «peligro inmediato» alerta a nuestro equipo de forma prioritaria. En los directos emitidos desde un software, un sistema localiza la posición de la persona en la imagen (un simple recuadro, sin identificación) para colocar las animaciones; estas posiciones no se conservan.

Pedidos y soporte. Cuando usted responde con texto libre al mensaje de WhatsApp que confirma un pedido y nuestro sistema no entiende la respuesta, Gemini la lee para deducir su intención; en caso de duda, no se confirma ni se cancela nada: el pedido vuelve al vendedor. Cuando la clasificación automática está activada, Gemini lee también sus solicitudes de ayuda para determinar su idioma, su tema y su urgencia; una persona del equipo las tramita. El asistente de compra responde a sus preguntas sobre un anuncio a partir de la ficha únicamente, y le remite al vendedor para todo lo demás.

Mensajes privados. No analizamos el texto de sus mensajes privados, y nunca los utilizamos con fines publicitarios o de elaboración de perfiles. Las imágenes y los mensajes de voz compartidos en un mensaje privado se analizan automáticamente contra las categorías prohibidas (protección de los usuarios y de los menores, interés legítimo); solo el veredicto se conserva en los registros de moderación. Para avisarle de un mensaje nuevo, la notificación muestra el nombre del remitente y el comienzo del mensaje (140 caracteres como máximo); este texto pasa por Expo y después por Apple o Google, o por el servicio de notificaciones de su navegador (§ 4). Un mensaje de voz, una foto o un documento solo se anuncia por su tipo.

7. Sistemas de recomendación

El feed «Para ti», el directorio «Directo», la búsqueda y las sugerencias se clasifican mediante sistemas automatizados cuyos principales parámetros se describen en los Términos y Condiciones (art. 7). Usted puede influir en esta clasificación y desactivar la personalización sin sesión iniciada (véase la sección 9, identificador hahoowa_did). Nunca basamos una recomendación en datos sensibles. La clasificación de apoyos de un directo se calcula a partir de los regalos y superchats recibidos en ese directo; no sirve para nada más.

8. Publicidad

Se le muestra una publicidad si usted cumple los criterios elegidos por el anunciante, entre los siguientes: el idioma de la aplicación, el país estimado a partir de su dirección IP (en su defecto, el de su cuenta), la ciudad declarada en su perfil (una ciudad, una lista de ciudades, una región o un radio alrededor de una ciudad) y el uso de su cuenta (creador o comprador). A un visitante sin cuenta solo se le segmenta por su idioma y su país. Ni su historial, ni su perfil de gustos, ni sus intereses, ni su edad sirven para elegir las publicidades. Una publicación patrocinada seleccionada ocupa después su lugar en el feed entre los demás contenidos, en una posición calculada como el resto del feed (§ 7). No practicamos ninguna segmentación basada en datos sensibles, ni ninguna publicidad dirigida a los menores (DSA arts. 26(3) y 28(2)). Si toca «Me interesa» en una publicidad, el nombre, el correo electrónico y el teléfono de su cuenta se transmiten al anunciante, que puede volver a contactarle. Cada publicidad está etiquetada como «Patrocinado», incluido un directo promocionado de pago. Las impresiones y los clics se cuentan para facturar al anunciante y limitar la repetición de un mismo anuncio; se conservan 13 meses (§ 2). La publicidad política de pago está prohibida (Términos y Condiciones, art. 6.2).

9. Cookies y almacenamiento en su dispositivo (web y aplicación)

Hahoowa no carga ningún rastreador de terceros: ni píxel publicitario, ni suite de analítica de audiencia, ni grabador de sesión. Lo que almacenamos:

Pedimos su acuerdo antes de crear el identificador de personalización. «Rechazar» es tan sencillo y visible como «Aceptar» (ningún dark pattern). Si usted rechaza, el identificador no se crea — y cualquier identificador existente se suprime. La pregunta se vuelve a plantear al menos cada 13 meses. Puede cambiar de opinión en cualquier momento mediante el enlace «Cookies» del pie de página.

En la aplicación móvil. La aplicación no integra ninguna herramienta publicitaria ni de medición de audiencia de terceros; comunica sus fallos a Sentry (sección 4). Guarda en su teléfono su sesión, su idioma, para un visitante la respuesta a la pregunta de edad de los directos, y el enlace de invitación abierto antes de su registro (30 días como máximo, como hw_ref). La regla de la web se aplica al identificador de dispositivo hahoowa_did, que personaliza el feed sin sesión iniciada: solo se envía a nuestros servidores con su consentimiento; sin consentimiento, la aplicación funciona sin él.

10. Sus derechos

Usted puede en todo momento: acceder a sus datos, rectificarlos, suprimirlos (sin perjuicio de las conservaciones legales de la sección 3), oponerse a un tratamiento (por ejemplo, el marketing o la medición de audiencia), limitar su tratamiento, ejercer la portabilidad (exportación legible por máquina — Ajustes → «Exportar mis datos») y retirar cualquier consentimiento, incluida la visualización de su nombre en los directos.

Estos derechos le asisten tanto si está en la UE (RGPD) como en Marruecos (ley 09-08), en California (CCPA) o en cualquier otro lugar. Contacto: privacy@hahoowa.app desde la dirección de su cuenta, o directamente en los Ajustes. Respondemos en 30 días (rectificaciones en 10 días hábiles para los residentes marroquíes, conforme a la práctica de la CNDP). Una cuenta sancionada conserva el acceso a sus derechos: la página «Estado de la cuenta», la exportación y la supresión siguen siendo accesibles.

Puede presentar una reclamación ante su autoridad: CNDP (Marruecos), CNIL (Francia) o la autoridad de su Estado miembro, el fiscal general de su estado (EE. UU.), etc.

11. Menores

• Cuentas: 18 años o más. Las cuentas están reservadas a las personas de 18 años o más, que lo declaran al registrarse (Términos y Condiciones, art. 4).
• Ver directos sin cuenta: 13 años o más. El visitante indica su mes y año de nacimiento; la respuesta permanece en su dispositivo y no se nos envía ningún dato de edad. Por debajo de 13 años, los directos no se muestran.
• Dinero: 18 años o más. La compra de saldo, los regalos, los superchats, la promoción de un directo y cualquier otro gasto están reservados a las cuentas que han declarado tener 18 años o más. Un visitante no puede comprar ni enviar nada.
• Cuenta de un menor. Una cuenta declarada como de un menor, o de la que sabemos que la utiliza un menor, queda restringida de inmediato: sin gastos, sin emisión, apoyos siempre discretos. Se cierra 14 días después, mediante el procedimiento de supresión de la sección 3; se lo avisamos en la aplicación y por correo electrónico, con la fecha. Hasta entonces, puede exportar sus datos, y el cierre se anula si la declaración fue un error corregido a través del soporte. Si su saldo contiene compras, no se pierden: el soporte ayuda a que la tienda las reembolse antes del cierre. No recogemos a sabiendas otros datos sobre menores.
• Publicidad. A un visitante sin cuenta solo se le segmenta por su idioma y su país; ninguna publicidad se dirige a los menores (§ 8).
• Padres. Los controles parentales del dispositivo (Tiempo de uso y «Solicitar compra» en Apple, Family Link y las aprobaciones de compra en Google) permiten bloquear las compras integradas. Si su hijo menor de 18 años ha creado una cuenta, escriba a privacy@hahoowa.app.

12. Procedencia de los contenidos generados por IA

Los vídeos e imágenes producidos por los estudios de IA de Hahoowa llevan una etiqueta visible «Generado por IA» y se inscriben en un registro interno de procedencia que permite identificarlos en todas las superficies por las que circulan — es nuestra aplicación de la transparencia de los contenidos sintéticos (AI Act, art. 50). Este marcado no es un dato personal que le concierna; identifica el origen sintético del contenido.

13. Seguridad

Cifrado TLS en tránsito; cifrado en reposo de las bases de datos y de los medios (AWS); cifrado adicional de los IBAN con una clave dedicada (AWS KMS); almacenamiento privado de los documentos de identidad; contraseñas conservadas únicamente en forma de huella (hash); control de acceso por roles con privilegios mínimos; registro de las acciones de administración sensibles (incluida la consulta de un documento de identidad o de un IBAN). Ningún sistema es perfectamente seguro: utilice una contraseña fuerte y única, y avísenos en privacy@hahoowa.app de cualquier incidente que sospeche.

14. Modificaciones

Las modificaciones que amplían un tratamiento o reducen sus derechos se notifican en la aplicación y por correo electrónico al menos 30 días antes de su entrada en vigor. Las que refuerzan su protección (por ejemplo, un ajuste por defecto más discreto), o que completan la información sobre tratamientos ya existentes, se aplican desde su publicación, con aviso. Las versiones anteriores están disponibles previa solicitud en privacy@hahoowa.app.

15. Contacto

• Contacto de protección de datos: privacy@hahoowa.app
• Representante en la UE (art. 27 RGPD): designación en curso — contacto provisional privacy@hahoowa.app
• Autoridades de control: CNDP (Marruecos), CNIL (Francia) o su autoridad nacional
• Dirección postal: véase el art. 20 de los Términos y Condiciones