← Back to LumaDeck

Privacy Policy

Last updated: 21 August 2026 · Effective date: 12 August 2026

This Privacy Policy explains how CJ Development ("we", "us", "our"), the operator of LumaDeck, collects, uses, and protects your personal data when you use the LumaDeck web application and related services (the "Service"). We comply with the EU General Data Protection Regulation (GDPR), Regulation (EU) 2016/679, and Spanish data protection law (LOPDGDD).

1. Data Controller

Jaime Constán Nava, trading as CJ Development (sole trader)
Tax ID (NIF): 73998352S
Address: Cantarrana 1, 46137 Playa de la Pobla de Farnals, Valencia, Spain
Email: privacy [at] lumadeck.app
Website: lumadeck.app (also reachable via lumadeck.es)

2. What data we collect

2.1 Account data

• Email address (required for authentication)
• Display name (optional)
• Profile picture URL (only if you sign in via Google OAuth)
• Encrypted authentication tokens managed by Supabase Auth

2.2 Usage data

• Subscription tier (free / pro) and purchase history
• Saved show configuration metadata (settings, pad references, media names, and branding — never the media files or custom shader source)

2.3 Newsletter and launch-list data

If you voluntarily join a LumaDeck newsletter or launch list, we store your email address, language, signup source, the consent wording version, consent and withdrawal timestamps, and random internal identifiers. We also keep an append-only history of consent and unsubscribe events so we can demonstrate and respect your choice. Registration for a LumaDeck account or receipt of the welcome gift does not subscribe you to marketing.

Every marketing or launch email includes a signed unsubscribe link. The link contains no email address or other direct personal data. Opening it does not unsubscribe you; the confirmation button or a standards-compliant one-click request does. After withdrawal, we keep the minimum suppression record needed to ensure that we do not send further marketing to that address unless you explicitly subscribe again.

2.4 Payment data

We do not store your card details. Payments are processed directly by Stripe, a PCI-DSS Level 1 provider. We only retain a Stripe customer ID and subscription status to manage your account.

2.5 Audio and microphone

If you grant microphone access, the audio is processed locally in your browser for visual reactivity. No audio is transmitted, recorded, or stored on our servers.

2.6 Cookies and local storage

LumaDeck does not set first-party cookies, does not show ads, and does not use advertising cookies. Stripe's payment library is not loaded during normal use of the visual engine. If you are signed in and choose to start a payment, Stripe.js is loaded for Checkout and Stripe may use cookies or similar technologies and receive transaction, device and connection information for fraud prevention, authentication, security, and payment-service analytics. Stripe states that these fraud signals are not sold or shared with advertisers. See Stripe's Privacy Center.

What we do use is first-party local storage, kept in your own browser:

• Your preferences — interface language, and the way you have arranged your pads, scenes and packs.
• Your creative and controller data — videos and images, custom GLSL shader source and versions, MIDI mappings, and MIDI device names. These remain in this browser and are never uploaded to LumaDeck. Deleting browser storage removes them from this device.
• Your session — if you sign in, the token that keeps you signed in. Strictly necessary to provide the Service.
• An anonymous analytics id — a random identifier (ld_anon_id) that lets us count a returning visitor as one person instead of two. It is not your name, your email or your IP, it is never linked to your account, it is not shared with anyone, and it is never used to build a profile of you or to advertise to you. It expires 13 months after it was created (it is not renewed by your visits) and is then replaced by a new random one. Clearing your browser storage erases it.

2.7 Analytics

We measure how the Service is used so we can improve it. Both analytics systems run on our own infrastructure (OVH, France), under CJ Development's direct control. No analytics data is sent to Google, Meta, or any advertising network.

• Traffic analytics — a self-hosted Umami instance records page visits: which page, where you arrived from, approximate country, and the general type of browser and device. It is cookieless and does not track you across other websites.
• Product analytics — our own events, recording which features are used (for example: a scene change, loading a video, opening the pricing view, or using a generic “custom shader” action). These tell us what works and what gets in the way. They contain no content of yours: never your videos, images, audio, text, GLSL source, shader identity, MIDI mappings, or MIDI device names. Events are never linked to your account, whether or not you are signed in: they carry only the anonymous id above and a per-visit session id. This is audience measurement in the strict sense, which is why we do not ask for prior consent.

Neither system records the audio from your microphone, and neither uploads your media. See 2.5 and 2.6.

3. Legal basis for processing

• Contract performance (Art. 6(1)(b) GDPR): account creation, subscription management, payment processing.
• Legitimate interest (Art. 6(1)(f) GDPR): security, fraud prevention, service improvement.
• Consent (Art. 6(1)(a) GDPR): microphone access, marketing emails (if you opt in).
• Legal obligation (Art. 6(1)(c) GDPR): tax records and accounting required by Spanish law.

4. How we use your data

• Provide and maintain the Service
• Process payments and manage subscriptions
• Authenticate you and protect your account
• Sync your shows across devices
• Send transactional emails (receipts, password resets)
• Send launch and product emails only when you have voluntarily opted in
• Detect abuse, fraud, and security incidents

5. Data sharing

We share data only with processors necessary to deliver the Service:

• Stripe (payments) — Ireland/US. Stripe receives payment-session, account/contact, device and connection information only after you choose to start a payment, and may use cookies or similar technologies for Checkout, authentication, fraud/loss prevention, security and service analytics.
• OVH (hosting) — EU (France). Our servers sit in their data centre; the software on them is ours.
• Resend / Plus Five Five, Inc. (email delivery) — United States. To deliver an email, Resend receives at least the recipient address, message content and delivery metadata. Resend acts as our processor under its Data Processing Addendum.
• Google (sign-in with Google) — Ireland/US, only if you choose "Continue with Google". Google receives your IP address and the authentication request and acts as an independent controller under its own privacy policy; we receive your email address, name and avatar URL. Email/password sign-in sends nothing to Google.

Your account database and our analytics remain on our own servers. We run Supabase as self-hosted software on our OVH machine in France — we do not use Supabase's cloud, so your data is not sent to Supabase as a company. The same goes for our analytics, which run on our own infrastructure. Email recipient data and message content are sent to Resend only when an email must be delivered. (Previous versions of this policy listed Supabase as an external processor. That was inaccurate: the data has always stayed on our own server.)

We never sell your personal data, and we do not share it with advertising networks.

6. International transfers

Your account database and our analytics are stored in the EU (France). Data may reach the United States through Stripe when you start a payment, through Resend when we deliver an email, and through Google only if you sign in with Google. Resend states that its primary processing takes place in the United States and incorporates the European Commission's Standard Contractual Clauses into its DPA for transfers not covered by an adequacy decision; it also states participation in the EU-US Data Privacy Framework. Stripe describes its applicable transfer safeguards in its privacy documentation.

7. Data retention

• Account data: kept while your account is active. Deleted within 30 days of account deletion.
• Payment records: 6 years (Spanish tax law).
• Server logs and security events: kept only for as long as they are needed to operate and secure the Service, and then deleted.
• Analytics events: 14 months, then deleted automatically. They carry no content of yours and no identifier of your account — only the anonymous id described in 2.6 and a session id.
• Active newsletter consent: kept while you remain subscribed. Consent events are retained as evidence of your choices while necessary for compliance.
• After unsubscribe: the address and minimum suppression record are retained so your withdrawal is respected. You may request erasure; where a minimal suppression entry remains necessary to prevent further marketing, we restrict it to that purpose.

8. Your rights (GDPR)

You have the right to:

• Access your personal data (Art. 15)
• Rectify inaccurate data (Art. 16)
• Erase your data ("right to be forgotten", Art. 17)
• Restrict processing (Art. 18)
• Portability — receive your data in a machine-readable format (Art. 20)
• Object to processing based on legitimate interest (Art. 21)
• Withdraw consent at any time
• Lodge a complaint with the Spanish DPA (AEPD)

To withdraw marketing consent, use the unsubscribe link included in every launch or product email; the change is applied immediately by our system. To exercise any other right, or if the link does not work, email privacy [at] lumadeck.app. We respond within 30 days.

9. Security

We use industry-standard measures: TLS 1.3 in transit, Row-Level Security on the database, signed webhooks for payment events, and secrets kept out of the code base. No system is 100% secure, but we work continuously to protect your data.

10. Children

LumaDeck is not directed at children under 16. We do not knowingly collect data from minors. If you believe a child has registered, contact us.

11. Changes to this policy

We may update this policy. Material changes that reduce your rights or expand how we process personal data will be announced via email or in-app notification at least 30 days before they take effect. Accuracy corrections and clarifications may apply when published.

12. Contact

Questions? Email privacy [at] lumadeck.app or visit our contact page.

← Volver a LumaDeck

Política de privacidad

Última actualización: 21 de agosto de 2026 · Fecha de efecto: 12 de agosto de 2026

Esta Política de privacidad explica cómo CJ Development ("nosotros"), operador de LumaDeck, recoge, usa y protege tus datos personales cuando utilizas la aplicación web LumaDeck y los servicios relacionados (el "Servicio"). Cumplimos el Reglamento General de Protección de Datos de la UE (RGPD), Reglamento (UE) 2016/679, y la legislación española de protección de datos (LOPDGDD).

1. Responsable del tratamiento

Jaime Constán Nava, que opera bajo la marca CJ Development (empresario individual)
NIF: 73998352S
Domicilio: Cantarrana 1, 46137 Playa de la Pobla de Farnals, Valencia, España
Correo: privacy [at] lumadeck.app
Web: lumadeck.app (también accesible desde lumadeck.es)

2. Qué datos recogemos

2.1 Datos de cuenta

• Dirección de correo electrónico (necesaria para autenticarte)
• Nombre visible (opcional)
• URL de la foto de perfil (solo si inicias sesión con Google)
• Tokens de autenticación cifrados gestionados por Supabase Auth

2.2 Datos de uso

• Plan (gratuito / Pro) e historial de compras
• Metadatos de configuración de los shows guardados (ajustes, referencias de pads, nombres de medios y marca — nunca los archivos de medios ni el código de shaders propios)

2.3 Newsletter y lista de lanzamiento

Si te apuntas voluntariamente a una newsletter o lista de lanzamiento de LumaDeck, guardamos tu correo, idioma, origen del alta, la versión del texto de consentimiento, las marcas de tiempo de consentimiento y retirada, e identificadores internos aleatorios. También conservamos un historial de solo adición de los eventos de consentimiento y baja para poder demostrar y respetar tu decisión. Registrarte en LumaDeck o recibir el regalo de bienvenida no te suscribe a marketing.

Todo correo de marketing o lanzamiento incluye un enlace de baja firmado. El enlace no contiene tu correo ni otros datos personales directos. Abrirlo no te da de baja; lo hace el botón de confirmación o una petición de un clic conforme al estándar. Tras la retirada conservamos el registro mínimo de supresión necesario para no volver a enviarte marketing a esa dirección salvo que te suscribas de nuevo de forma explícita.

2.4 Datos de pago

No almacenamos los datos de tu tarjeta. Los pagos los procesa directamente Stripe, proveedor PCI-DSS nivel 1. Solo conservamos un identificador de cliente de Stripe y el estado de la suscripción para gestionar tu cuenta.

2.5 Audio y micrófono

Si concedes acceso al micrófono, el audio se procesa localmente en tu navegador para la reactividad visual. Ningún audio se transmite, graba ni almacena en nuestros servidores.

2.6 Cookies y almacenamiento local

LumaDeck no instala cookies propias, no muestra anuncios y no usa cookies publicitarias. La librería de pagos de Stripe no se carga durante el uso normal del motor visual. Si has iniciado sesión y decides iniciar un pago, se carga Stripe.js para el Checkout y Stripe puede usar cookies o tecnologías similares y recibir información de la transacción, del dispositivo y de la conexión para prevención del fraude, autenticación, seguridad y analítica del servicio de pago. Stripe declara que esas señales antifraude no se venden ni se comparten con anunciantes. Consulta el Centro de privacidad de Stripe.

Lo que sí usamos es almacenamiento local propio, guardado en tu navegador:

• Tus preferencias: idioma de la interfaz y cómo has organizado tus pads, escenas y packs.
• Tus datos creativos y de controladora: vídeos e imágenes, código y versiones de tus shaders GLSL, mapeos MIDI y nombres de dispositivos MIDI. Permanecen en este navegador y nunca se suben a LumaDeck. Borrar el almacenamiento del navegador los elimina de este dispositivo.
• Tu sesión: si inicias sesión, el token que te mantiene identificado. Estrictamente necesario para prestar el Servicio.
• Un identificador anónimo de analítica: un identificador aleatorio (ld_anon_id) que nos permite contar a un visitante que vuelve como una persona y no como dos. No es tu nombre, tu correo ni tu IP, nunca se vincula a tu cuenta, no se comparte con nadie y nunca se usa para perfilarte ni para publicidad. Caduca a los 13 meses de su creación (tus visitas no lo renuevan) y entonces se sustituye por otro aleatorio. Borrar el almacenamiento del navegador lo elimina.

2.7 Analítica

Medimos cómo se usa el Servicio para mejorarlo. Los dos sistemas de analítica corren en nuestra propia infraestructura (OVH, Francia), bajo control directo de CJ Development. Ningún dato de analítica se envía a Google, Meta ni a ninguna red publicitaria.

• Analítica de tráfico: una instancia autogestionada de Umami registra visitas a páginas: qué página, desde dónde llegaste, país aproximado y tipo general de navegador y dispositivo. Es sin cookies y no te sigue por otros sitios web.
• Analítica de producto: nuestros propios eventos, que registran qué funciones se usan (por ejemplo: un cambio de escena, cargar un vídeo, abrir la vista de precios o una acción genérica de "shader propio"). Nos dicen qué funciona y qué estorba. No contienen ningún contenido tuyo: nunca tus vídeos, imágenes, audio, textos, código GLSL, identidad de shaders, mapeos MIDI ni nombres de dispositivos MIDI. Los eventos nunca se vinculan a tu cuenta, hayas iniciado sesión o no: llevan solo el identificador anónimo descrito arriba y un identificador de sesión por visita. Es medición de audiencia en sentido estricto, y por eso no pedimos consentimiento previo.

Ninguno de los dos sistemas graba el audio de tu micrófono ni sube tus medios. Ver 2.5 y 2.6.

3. Base jurídica del tratamiento

• Ejecución de contrato (art. 6.1.b RGPD): creación de cuenta, gestión de suscripciones, procesamiento de pagos.
• Interés legítimo (art. 6.1.f RGPD): seguridad, prevención del fraude, mejora del servicio.
• Consentimiento (art. 6.1.a RGPD): acceso al micrófono, correos de marketing (si te apuntas).
• Obligación legal (art. 6.1.c RGPD): registros fiscales y contables exigidos por la legislación española.

4. Para qué usamos tus datos

• Prestar y mantener el Servicio
• Procesar pagos y gestionar suscripciones
• Autenticarte y proteger tu cuenta
• Sincronizar tus shows entre dispositivos
• Enviar correos transaccionales (recibos, restablecimiento de contraseña)
• Enviar correos de lanzamiento y producto solo si te has apuntado voluntariamente
• Detectar abusos, fraude e incidentes de seguridad

5. Con quién compartimos datos

Compartimos datos únicamente con los encargados necesarios para prestar el Servicio:

• Stripe (pagos) — Irlanda/EE. UU. Stripe recibe información de la sesión de pago, de cuenta/contacto, del dispositivo y de la conexión solo después de que decidas iniciar un pago, y puede usar cookies o tecnologías similares para el Checkout, autenticación, prevención de fraude y pérdidas, seguridad y analítica del servicio.
• OVH (alojamiento) — UE (Francia). Nuestros servidores están en su centro de datos; el software que corre en ellos es nuestro.
• Resend / Plus Five Five, Inc. (envío de correo) — Estados Unidos. Para entregar un correo, Resend recibe al menos la dirección del destinatario, el contenido del mensaje y metadatos de entrega. Resend actúa como nuestro encargado conforme a su Acuerdo de tratamiento de datos.
• Google (inicio de sesión con Google) — Irlanda/EE. UU., solo si eliges "Continuar con Google". Google recibe tu dirección IP y la solicitud de autenticación y actúa como responsable independiente conforme a su propia política de privacidad; nosotros recibimos tu correo, nombre y URL de avatar. El inicio de sesión con correo y contraseña no envía nada a Google.

Tu base de datos de cuenta y nuestra analítica permanecen en nuestros propios servidores. Ejecutamos Supabase como software autogestionado en nuestra máquina de OVH en Francia — no usamos la nube de Supabase, así que tus datos no se envían a Supabase como empresa. Lo mismo ocurre con la analítica, que corre en nuestra infraestructura. Los datos del destinatario y el contenido de los mensajes se envían a Resend solo cuando hay que entregar un correo. (Versiones anteriores de esta política listaban Supabase como encargado externo. Era inexacto: los datos siempre han estado en nuestro propio servidor.)

Nunca vendemos tus datos personales ni los compartimos con redes publicitarias.

6. Transferencias internacionales

Tu base de datos de cuenta y nuestra analítica se almacenan en la UE (Francia). Los datos pueden llegar a Estados Unidos a través de Stripe cuando inicias un pago, de Resend cuando entregamos un correo y de Google solo si inicias sesión con Google. Resend declara que su procesamiento principal tiene lugar en Estados Unidos e incorpora las Cláusulas Contractuales Tipo de la Comisión Europea en su DPA para las transferencias no cubiertas por una decisión de adecuación; también declara su participación en el Marco de Privacidad de Datos UE-EE. UU. Stripe describe sus garantías de transferencia en su documentación de privacidad.

7. Conservación de los datos

• Datos de cuenta: mientras la cuenta esté activa. Se eliminan en los 30 días siguientes a la baja de la cuenta.
• Registros de pago: 6 años (legislación fiscal española).
• Logs del servidor y eventos de seguridad: se conservan solo el tiempo necesario para operar y proteger el Servicio, y después se eliminan.
• Eventos de analítica: 14 meses, después se eliminan automáticamente. No llevan contenido tuyo ni identificador de tu cuenta — solo el identificador anónimo descrito en 2.6 y un identificador de sesión.
• Consentimiento de newsletter activo: mientras sigas suscrito. Los eventos de consentimiento se conservan como prueba de tus decisiones mientras sea necesario para el cumplimiento.
• Tras la baja: se conservan la dirección y el registro mínimo de supresión para respetar tu retirada. Puedes solicitar el borrado; cuando una entrada mínima de supresión siga siendo necesaria para evitar más marketing, la limitamos a ese fin.

8. Tus derechos (RGPD)

Tienes derecho a:

• Acceder a tus datos personales (art. 15)
• Rectificar datos inexactos (art. 16)
• Suprimir tus datos ("derecho al olvido", art. 17)
• Limitar el tratamiento (art. 18)
• Portabilidad: recibir tus datos en un formato legible por máquina (art. 20)
• Oponerte al tratamiento basado en interés legítimo (art. 21)
• Retirar el consentimiento en cualquier momento
• Reclamar ante la autoridad española de protección de datos (AEPD)

Para retirar el consentimiento de marketing usa el enlace de baja incluido en todo correo de lanzamiento o producto; nuestro sistema aplica el cambio de inmediato. Para ejercer cualquier otro derecho, o si el enlace no funciona, escribe a privacy [at] lumadeck.app. Respondemos en un plazo de 30 días.

9. Seguridad

Aplicamos medidas estándar del sector: TLS 1.3 en tránsito, seguridad a nivel de fila en la base de datos, webhooks firmados para los eventos de pago y secretos fuera del código. Ningún sistema es 100 % seguro, pero trabajamos continuamente para proteger tus datos.

10. Menores

LumaDeck no está dirigido a menores de 16 años. No recogemos a sabiendas datos de menores. Si crees que un menor se ha registrado, contáctanos.

11. Cambios en esta política

Podemos actualizar esta política. Los cambios sustanciales que reduzcan tus derechos o amplíen el tratamiento de datos personales se anunciarán por correo electrónico o aviso en la aplicación al menos 30 días antes de su entrada en vigor. Las correcciones de exactitud y aclaraciones pueden aplicarse desde su publicación.

12. Contacto

¿Dudas? Escribe a privacy [at] lumadeck.app o visita nuestra página de contacto.