Política de privacidad de OZ Creator

Vigente desde el 1 de octubre de 2026. Última actualización: 10 de octubre de 2026.

1. Quién es responsable

OZ Creator (también llamado OZ Media Engine) es un servicio de DELCOR-MULTIMEDIA S.A.S. (RUC 1793219667001), sociedad por acciones simplificada del Ecuador, con domicilio en Eloy Alfaro y Mariana de Jesús, Edificio Gaia, Quito, Ecuador, que opera con el nombre comercial Agencia OZ, con equipo en Guayaquil, Ecuador ("Agencia OZ", "nosotros"). Es la responsable del tratamiento de los datos. Los cobros los hace Reputation Dynamics LLC (645 NE 125th Street, Suite 201-F, North Miami, FL 33161, EE. UU.) por cuenta de Agencia OZ. Contacto de privacidad: privacidad@agenciaoz.com.

2. Qué es OZ Creator

Es una plataforma para medios, marcas y agencias ("clientes"). Cada medio sube su propio contenido, OZ Creator le aplica la identidad visual de ese medio y lo publica en las cuentas de redes sociales que el propio cliente conecta (Facebook, Instagram, Threads, TikTok, YouTube, X y Bluesky). También muestra las métricas de lo publicado.

3. Qué datos tratamos

De las personas usuarias del panel (dueños y equipo del cliente): nombre, correo, número de WhatsApp (para invitaciones, para confirmar el registro con un código y para avisos), rol, contraseña (guardada solo como huella cifrada), sesiones, dirección IP y registros de actividad.
De facturación: razón social o nombre, RUC o cédula, dirección y correo de facturación, plan contratado, e identificadores de suscripción y pago de PayPal. No recibimos ni guardamos números de tarjeta: los procesa PayPal.
Contenido del cliente: videos, imágenes, textos, logos, fondos y plantillas de marca, y las transcripciones y textos generados a partir de ese contenido.
De las redes conectadas: tokens de acceso (guardados cifrados), identificadores y nombres de páginas, cuentas, perfiles y canales, número de seguidores, identificadores y enlaces de las publicaciones hechas con OZ Creator, y sus métricas públicas o de rendimiento (vistas, me gusta, comentarios, compartidos). No leemos mensajes privados ni datos demográficos de la audiencia.
Técnicos: cookies de sesión estrictamente necesarias para mantener la sesión iniciada. No usamos cookies de publicidad ni de analítica de terceros.

4. Para qué los usamos y con qué base legal

Prestar el servicio contratado (procesar y publicar el contenido, programar, mostrar métricas, soporte). Base: ejecución del contrato.
Cobrar y emitir los comprobantes de pago (invoices). Base: contrato y obligación legal (normativa tributaria).
Seguridad, prevención de abuso y cumplimiento de las políticas de cada red. Base: interés legítimo y obligación legal.
Avisos operativos por WhatsApp o correo (publicación fallida, token por vencer). Base: contrato.
No vendemos datos, no los usamos para publicidad propia ni para entrenar modelos de inteligencia artificial.

5. Inteligencia artificial

Para redactar títulos y textos, transcribir y moderar el contenido antes de publicarlo, enviamos el texto o el audio necesario a proveedores de IA (OpenAI, Anthropic) o lo procesamos en servidores propios. Estos proveedores actúan como encargados del tratamiento y, según sus condiciones comerciales para uso por API, no usan esos datos para entrenar sus modelos.

6. Quién más trata los datos

Infraestructura: Railway (servidores y base de datos, Estados Unidos) y Cloudflare R2 (almacenamiento de archivos, en la infraestructura de Cloudflare).
IA: OpenAI y Anthropic (Estados Unidos).
Pagos: PayPal.
Mensajería: WhatsApp (Meta) y Telegram, solo para avisos operativos. Correo: Fastmail.
Avisos al teléfono de la app OZ Creator: Apple Push Notification service (Apple) en iPhone y Firebase Cloud Messaging (Google) en Android, ver el punto 18.
Las redes sociales que el cliente conecta, que reciben el contenido que el cliente decide publicar: Meta (Facebook, Instagram, Threads), TikTok, Google/YouTube, X y Bluesky. Cada una trata esos datos según su propia política.

7. Transferencias internacionales

Parte de los proveedores están fuera del Ecuador (principalmente en Estados Unidos). Hacemos esas transferencias con las garantías que exige la LOPDP: cláusulas contractuales con cada proveedor.

8. Cuánto tiempo guardamos los datos

Tokens de redes: mientras la cuenta esté conectada. Se borran al desconectar.
Contenido y archivos de trabajo: mientras la cuenta esté activa.
Métricas de publicaciones: mientras el cliente tenga el servicio activo (las de YouTube, además, según el punto 10).
Registros técnicos y respaldos cifrados: mientras la cuenta esté activa.
Cuando una cuenta se da de baja, sus datos se borran a los 30 días, salvo lo que la ley obligue a conservar (por ejemplo, facturas).

9. Seguridad

Los tokens se guardan cifrados (AES-256-GCM). Cada cuenta de cliente está aislada de las demás en la base de datos. Dentro de una cuenta, cada persona del equipo ve las métricas de los medios que tiene asignados y quién de su equipo mandó cada publicación; el dueño o administrador de la cuenta ve además las fallas y los envíos de toda la cuenta. Las conexiones van cifradas. El acceso interno es mínimo y queda registrado.

10. Datos de Google y YouTube

OZ Creator usa los Servicios API de YouTube. Al conectar un canal de YouTube, la persona acepta los Términos del servicio de YouTube, y sus datos también se rigen por la Política de privacidad de Google. Además de desconectar el canal desde OZ Creator, la persona puede revocar el acceso en la página de seguridad de Google: https://security.google.com/settings/security/permissions. Si el acceso se revoca desde OZ Creator, borramos los datos de YouTube obtenidos con ese acceso en un máximo de 7 días; si se revoca desde Google, en un máximo de 30 días. Las estadísticas de videos se actualizan o se borran según las políticas para desarrolladores de YouTube.

11. Datos de Meta, TikTok y X

Solo usamos los permisos necesarios para publicar el contenido del cliente y leer las métricas de lo publicado. La persona puede quitar el acceso en cualquier momento: desde OZ Creator (Redes → Desconectar) o desde la configuración de cada red (Facebook: Configuración → Apps y sitios web; Instagram: Apps y sitios web; Threads: Configuración → Cuenta → Sitios web y apps; TikTok: Configuración → Seguridad → Apps; X: Configuración → Seguridad → Apps conectadas).

12. Derechos (LOPDP)

Toda persona puede pedir acceso, rectificación y actualización, eliminación, oposición, portabilidad y suspensión del tratamiento, escribiendo a privacidad@agenciaoz.com. Respondemos en un máximo de 15 días. Si la respuesta no es satisfactoria, la persona puede acudir a la Superintendencia de Protección de Datos Personales.

13. Pedidos de autoridades

Si una autoridad pública nos pide datos personales de usuarios: (a) revisamos, con asesoría legal, que el pedido sea legal y que la autoridad sea competente; (b) si lo consideramos ilegal, lo impugnamos por las vías que permite la ley; (c) entregamos solo los datos mínimos necesarios para cumplirlo; y (d) dejamos constancia de cada pedido, de nuestra respuesta, del fundamento legal y de las personas que intervinieron.

14. Cómo pedir que se borren tus datos

Ver Eliminación de datos. Por correo a privacidad@agenciaoz.com con el asunto "Eliminar mis datos"; al quitar la app desde Facebook, Instagram o Threads (Meta nos avisa y te damos un código de seguimiento); o, si eres cliente, desde "Mi cuenta → Dar de baja". El borrado se completa en un máximo de 30 días.

15. Datos de terceros dentro del contenido

El cliente decide qué publica y es responsable de tener los derechos y los consentimientos de las personas que aparecen en su contenido. Para ese contenido, Agencia OZ actúa como encargada del tratamiento por cuenta del cliente.

16. Menores de edad

OZ Creator es un servicio para empresas y profesionales. No está dirigido a menores de 18 años.

17. Cambios

Si cambiamos esta política, actualizamos la fecha y avisamos a los clientes por correo o en el panel antes de que el cambio aplique.

18. App móvil OZ Creator

La app OZ Creator para iPhone y Android es otra forma de entrar a la misma cuenta del panel. Además de lo de los puntos anteriores:

Sesión en el teléfono: al entrar, la app guarda en el almacenamiento seguro del sistema (Keychain en iPhone, Keystore en Android) los códigos de la sesión, los datos básicos de la persona usuaria y sus preferencias de la app. No guarda la contraseña. Al tocar «Cerrar sesión» se borran del teléfono los datos de la sesión.
Face ID, Touch ID o huella: viene apagado. Si la persona lo prende en Ajustes, la app pide Face ID, Touch ID o la huella para abrirse. Es solo un candado del propio teléfono: la verificación la hace el sistema operativo y los datos biométricos nunca salen del teléfono; ni la app ni Agencia OZ los reciben ni los guardan.
Avisos (notificaciones): si la persona los permite, el teléfono nos entrega su identificador para notificaciones: en iPhone, el token de Apple Push Notification service (Apple); en Android, el token de Firebase Cloud Messaging (Google). Lo guardamos con la persona, la cuenta, la sesión de la app, la versión de la app (se pone al día cuando la app se actualiza), el idioma del teléfono y los tipos de aviso que eligió, y lo usamos solo para mandarle los avisos de su cuenta (envío listo, publicado, errores y, a quien aprueba, lo que espera su aprobación). Para que el aviso llegue, Apple (en iPhone) o Google (en Android) reciben solo ese token, el título y el texto corto del aviso y el número interno del envío al que lleva; nunca los videos, las fotos ni su contenido. El token se borra cuando la persona cierra sesión en la app, y se desactiva si su sesión se cierra desde otro lado o si Apple o Google nos indican que ya no es válido. El registro de qué avisos se mandaron se borra a los 7 días.
Lo que se manda desde el teléfono: solo las fotos y videos que la persona elige (de la galería, de la cámara o compartidos desde otra app) y los links que decide mandar. Se suben a nuestro almacenamiento (Cloudflare R2) y se tratan como el resto del contenido del cliente (puntos 3 y 8). La app pide permiso para la cámara o las fotos solo cuando la persona usa esa opción.
Portapapeles: en el inicio, la app mira si hay un link copiado para ofrecer mandarlo (en iPhone solo consulta si hay un link y lo lee cuando la persona toca la tarjeta; en Android lee el texto copiado para reconocer el link). Lo copiado se queda en el teléfono: solo llega a nuestros servidores el link que la persona decide mandar.
Cómo borrarlo: «Cerrar sesión» en la app borra del teléfono los datos de la sesión y de nuestros servidores el token de avisos de ese teléfono. Los avisos se pueden apagar por tipo en los Ajustes de la app o en los ajustes de notificaciones del teléfono. Para borrar la cuenta y todos sus datos, ver el punto 14.

English summary

OZ Creator is operated by DELCOR-MULTIMEDIA S.A.S. (doing business as Agencia OZ), Eloy Alfaro y Mariana de Jesús, Edificio Gaia, Quito, Ecuador. Payments are processed by Reputation Dynamics LLC, 645 NE 125th Street, Suite 201-F, North Miami, FL 33161, USA, on behalf of Agencia OZ. We process account, billing, content and connected-account data only to publish our customers' own content to the social accounts they connect and to show the performance of those posts. We do not sell data or use it for advertising. Within an account, each team member sees the metrics of the outlets assigned to them and which team member sent each post; the account owner or administrator also sees the account's failed posts and submissions. YouTube users: the YouTube Terms of Service and the Google Privacy Policy apply, and access can be revoked at https://security.google.com/settings/security/permissions. If access is revoked from OZ Creator, we delete the YouTube data within 7 days; if it is revoked from Google, within 30 days. Stored YouTube statistics are refreshed at least every 30 days or deleted. Requests from public authorities: we review the legality of each request, challenge it if we consider it unlawful, disclose only the minimum information necessary, and document every request, our response, the legal reasoning and the people involved. Mobile app (iPhone and Android): the session is kept in the phone's secure storage (Keychain/Keystore) and removed on sign-out; the optional Face ID / Touch ID / fingerprint lock is verified by the phone's operating system and biometric data never leaves the device; if notifications are allowed, we store the device's push token (Apple Push Notification service on iPhone, Google Firebase Cloud Messaging on Android) only to send the account's own notices; Apple or Google receive only that token, the short notice title and text and an internal item ID, never the videos, photos or their content (the token is deleted on sign-out and deactivated if the session is revoked elsewhere or Apple or Google reports it invalid); only the photos, videos and links the user chooses to send are uploaded. Data deletion: /eliminar-datos or privacidad@agenciaoz.com.