Privacy
Last updated 3 October 2026.
This notice explains what data Riffbase processes when you use riffbase.org or a workspace hosted in the cloud, why, for how long, and what you can do about it. If you install Riffbase on your own server, what applies is self-hosting privacy. The rules of the service are in the terms.
Who is responsible
Data controller: Andrea Osma Rafael. Contact for anything related to privacy: [email protected].
What data, what for, and on what basis
- Waitlist. Your email, the IP you signed up from, the language of the messages, and the status of your signup. It is used to tell you when Riffbase launches and to give you access to the beta. Legal basis: your consent when you sign up (art. 6.1.a GDPR), which you can withdraw at any time by asking to leave the list. Kept while you are on the list; deleted when you leave.
- Account on riffbase.org. Your email, a hash of your password (never the password itself), and your sessions. Used to sign you in and manage your bands. Legal basis: providing the service you sign up for (art. 6.1.b GDPR). Kept while the account exists and 30 days after it is closed.
- Band workspace in the cloud. Each member’s email, name, and role, and what the band uploads: songs, lyrics, scores, setlists, recordings, and calendar events. Legal basis: providing the service (art. 6.1.b GDPR). Kept while the workspace is active and 30 days after it is closed, so it can be exported.
- Security and logs. IP addresses and access logs. Used to prevent abuse and find faults. Legal basis: the legitimate interest in keeping the service secure (art. 6.1.f GDPR). Kept for up to 90 days.
- Visit statistics. Plausible counts homepage visits in aggregate, without cookies and without a persistent identifier. Legal basis: the legitimate interest in knowing how the website is used (art. 6.1.f GDPR). Only aggregate figures are kept.
- Optional integrations. Google Drive and Instagram only receive data if someone with admin rights connects them from settings. Legal basis: providing the service the band asked for (art. 6.1.b GDPR). Kept until they are disconnected.
Your email is needed to join the waitlist; without it there is no way to let you know. Account data is needed to use the service. What you upload is up to you.
No automated decisions are made and no profiles are built.
Who handles the data
Data is never sold or handed over. Only these providers handle it, on Riffbase’s behalf and under a data processing agreement:
- Hetzner (Germany): servers for the website and the band workspaces, and backups.
- Cloudflare (United States): the network the website’s traffic goes through.
- Resend (United States): sending emails.
- Plausible (European Union): visit statistics.
- Google and Meta: only if an admin connects Google Drive or Instagram.
Backups are also kept on Riffbase’s own servers in Spain. Beyond this, data would only be disclosed to authorities when the law requires it.
Cloudflare and Resend are US companies. Those transfers rely on the EU-US Data Privacy Framework or, failing that, on the European Commission’s standard contractual clauses. You can ask for a copy of these safeguards at [email protected].
Cookies
riffbase.org uses a single cookie, riffbase_org_session, and only if you sign in: it keeps you signed in for 30 days. A hosted workspace uses an equivalent one, riffbase_session. The account cannot work without them, so no consent is asked for them. The language and theme you pick are saved in your browser (lang and theme), not in a cookie, and never leave it. There are no advertising or tracking cookies.
Your rights
You can ask to access your data, correct it, delete it, restrict its use, take it with you, or object to its use, and you can withdraw your consent at any time (without affecting what was done before). Write to [email protected] saying which right you want to exercise. You will get an answer within a month; in complex cases this can be extended by two more months, and you will be told.
If you think your data has not been handled properly, you can file a complaint with the Spanish Data Protection Agency (aepd.es).
Minors
Riffbase is not meant for children under 14. Below that age, consent from a parent or guardian is required.
Changes to this notice
If something important changes, it will be announced on the website and, to anyone with an account, by email.
Privacidad
Última actualización: 3 de octubre de 2026.
Este aviso explica qué datos trata Riffbase cuando usas riffbase.org o un espacio alojado en la nube, para qué, durante cuánto tiempo y qué puedes hacer al respecto. Si instalas Riffbase en tu propio servidor, lo que aplica es la privacidad del autoalojado. Las normas del servicio están en las condiciones.
Quién es responsable
Responsable del tratamiento: Andrea Osma Rafael. Contacto para cualquier tema de privacidad: [email protected].
Qué datos se tratan, para qué y con qué base
- Lista de espera. Tu correo, la IP desde la que te apuntaste, el idioma de los mensajes y el estado de tu alta. Sirven para avisarte del lanzamiento de Riffbase y darte acceso a la beta. Base jurídica: tu consentimiento al apuntarte (art. 6.1.a RGPD), que puedes retirar cuando quieras pidiendo la baja. Se conservan mientras sigas en la lista y se borran al darte de baja.
- Cuenta en riffbase.org. Tu correo, un hash de tu contraseña (nunca la contraseña tal cual) y tus sesiones. Sirven para iniciar sesión y gestionar tus bandas. Base jurídica: prestar el servicio en el que te das de alta (art. 6.1.b RGPD). Se conservan mientras exista la cuenta y 30 días después de cerrarla.
- Espacio de banda en la nube. El correo, el nombre y el rol de cada miembro, y lo que sube la banda: canciones, letras, partituras, setlists, grabaciones y eventos del calendario. Base jurídica: prestar el servicio (art. 6.1.b RGPD). Se conservan mientras el espacio esté activo y 30 días después de cerrarlo, para poder exportarlo.
- Seguridad y registros. Direcciones IP y registros de acceso. Sirven para prevenir abusos y detectar fallos. Base jurídica: el interés legítimo en mantener el servicio seguro (art. 6.1.f RGPD). Se conservan hasta 90 días.
- Estadísticas de visitas. Plausible cuenta las visitas a la portada de forma agregada, sin cookies y sin identificador persistente. Base jurídica: el interés legítimo en saber cómo se usa la web (art. 6.1.f RGPD). Solo se guardan cifras agregadas.
- Integraciones opcionales. Google Drive e Instagram solo reciben datos si alguien con permisos de administración los conecta desde los ajustes. Base jurídica: prestar el servicio que la banda ha pedido (art. 6.1.b RGPD). Se conservan hasta que se desconectan.
El correo es necesario para apuntarte a la lista; sin él no hay forma de avisarte. Los datos de cuenta son necesarios para usar el servicio. Lo que subas lo decides tú.
No se toman decisiones automatizadas ni se elaboran perfiles.
Quién trata los datos
Los datos no se venden ni se ceden. Solo los tratan estos proveedores, por cuenta de Riffbase y con un contrato de encargado del tratamiento:
- Hetzner (Alemania): servidores de la web y de los espacios de banda, y copias de seguridad.
- Cloudflare (Estados Unidos): red por la que pasa el tráfico de la web.
- Resend (Estados Unidos): envío de correos.
- Plausible (Unión Europea): estadísticas de visitas.
- Google y Meta: solo si un administrador conecta Google Drive o Instagram.
Las copias de seguridad se guardan también en servidores propios de Riffbase en España. Fuera de esto, solo se comunicarían datos a las autoridades cuando una ley lo exija.
Cloudflare y Resend son empresas estadounidenses. Esas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. o, en su defecto, en las cláusulas contractuales tipo de la Comisión Europea. Puedes pedir copia de estas garantías en [email protected].
Cookies
riffbase.org usa una sola cookie, riffbase_org_session, y solo si inicias sesión: mantiene tu sesión abierta 30 días. Un espacio alojado usa otra equivalente, riffbase_session. Sin ellas la cuenta no funciona, por eso no se pide permiso para usarlas. El idioma y el tema que eliges se guardan en tu navegador (lang y theme), no en una cookie, y no salen de él. No hay cookies de publicidad ni de seguimiento.
Tus derechos
Puedes pedir acceder a tus datos, corregirlos, borrarlos, limitar su uso, llevártelos u oponerte a que se usen, y retirar tu consentimiento cuando quieras (sin que eso afecte a lo hecho antes). Escribe a [email protected] indicando qué derecho quieres ejercer. La respuesta llega en un mes como máximo; en casos complejos puede ampliarse dos meses más, y se te avisa.
Si crees que tus datos no se han tratado bien, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (aepd.es).
Menores
Riffbase no está pensado para menores de 14 años. Por debajo de esa edad hace falta el consentimiento de la madre, el padre o el tutor legal.
Cambios en este aviso
Si cambia algo importante, se anunciará en la web y, a quien tenga cuenta, por correo.