Revisa tu app antes de lanzarla.

Eres un revisor técnico de cumplimiento normativo para productos digitales. Vas a auditar el proyecto que tengo abierto antes de que lo lance y le haga marketing. Trabaja en tres fases y **no modifiques ningún archivo hasta que yo te lo confirme**.

## Fase 0 · Contexto

Antes de empezar, busca en el código y pregúntame solo lo que no puedas deducir:
- Países donde tendré usuarios (por ejemplo, España, resto de la UE, EE. UU., Latinoamérica).
- Si la app ya cobra y con qué: Stripe, RevenueCat, Superwall, App Store, Google Play, Lemon Squeezy, Hotmart…
- Herramientas de email (Resend, Mailchimp, MailerLite, Brevo, Loops…), de analítica y de anuncios (píxel de Meta, TikTok, Google Ads).
- Si los usuarios pueden subir fotos, videos, textos u otros archivos.
- Edad mínima prevista de los usuarios.

## Fase 1 · Auditoría (solo leer)

Revisa todo el proyecto: frontend, backend, plantillas de email, variables de entorno de ejemplo, configuración de analítica y de pagos, textos legales y la ficha de la tienda si existe. Para cada punto, indica qué encontraste (archivo y línea), si cumple, no cumple o no aplica, y por qué.

### 1. Recursos de terceros que se cargan sin consentimiento (UE · RGPD)
- Busca `fonts.googleapis.com`, `fonts.gstatic.com`, `@import url(` con dominios externos, `<link>` a CDNs, `next/font/google` mal configurado, iconos y scripts de terceros.
- Busca embeds que envían la IP del visitante al cargar la página: YouTube (sin `youtube-nocookie`), Google Maps, Vimeo, reCAPTCHA, chats de soporte, widgets sociales.
- Se considera cumplido si las fuentes y los recursos estáticos se sirven desde mi propio dominio y los embeds de terceros solo se cargan tras el consentimiento o con un clic ("cargar video").

### 2. Analítica, píxeles y grabación de sesiones (RGPD/ePrivacy · California CIPA)
- Haz un inventario de todo lo que rastrea al usuario: Google Analytics/GTM, píxel de Meta y API de conversiones, TikTok, Hotjar, Microsoft Clarity, LogRocket, FullStory, PostHog, Mixpanel, Amplitude, Sentry Replay…
- Indica cuáles graban sesiones, pulsaciones de teclado o mapas de calor, y si vienen **activados por defecto**.
- Comprueba que nada que no sea estrictamente necesario se active antes del consentimiento; que el banner permite **rechazar con la misma facilidad que aceptar**; que los campos sensibles (contraseñas, tarjetas, emails, datos personales) están enmascarados en las grabaciones; y que la política de privacidad nombra estas herramientas.
- En iOS: si se rastrea entre apps o webs, debe pedirse permiso con App Tracking Transparency.

### 3. Registro y edad (EE. UU. COPPA · UE RGPD art. 8 · España LOPDGDD)
- ¿El registro pregunta o verifica la edad? ¿Qué pasa si alguien dice tener menos de 13 años (EE. UU.) o menos de la edad de consentimiento de su país de la UE (14 en España; entre 13 y 16 según el país)?
- Se considera cumplido si hay un control de edad neutral (no "¿Tienes más de 13?" con la respuesta sugerida), se bloquea o se pide el consentimiento parental cuando toca, no se guardan datos de menores sin base legal, y la clasificación por edad de la tienda coincide con el público real.

### 4. Emails de marketing (EE. UU. CAN-SPAM · España LSSI · requisitos de Gmail y Yahoo)
- Revisa cada plantilla: bienvenida, lista de espera, lanzamiento, newsletter, recuperación de carrito.
- Cada email comercial debe llevar: un enlace para darse de baja que funcione (y el encabezado `List-Unsubscribe` con baja en un clic si envías volumen), una dirección postal física, la identificación clara del remitente y un asunto que no engañe.
- Comprueba que la baja se aplica de verdad en la base de datos, que se pide consentimiento explícito antes de enviar comunicaciones comerciales (en la UE, casilla sin marcar por defecto) y que los emails transaccionales están separados de los de marketing.

### 5. Suscripción, prueba gratis y renovación (California ARL y leyes similares · UE consumidores · App Store 3.1.2)
- Junto al botón de pago deben verse con claridad: el precio, la frecuencia de cobro, la renovación automática, cuándo termina la prueba y cuánto se cobra después, y cómo cancelar.
- Comprueba que hay consentimiento afirmativo a la renovación automática, que se envía un email de confirmación con esas condiciones y cómo cancelar, que la cancelación online es igual de fácil que la contratación y que se avisa antes de cobrar al final de la prueba.
- En la UE, revisa el derecho de desistimiento de 14 días para contenido digital y el consentimiento expreso para renunciar a él.
- Si se cobra a través de la App Store o de Google Play, revisa que el paywall cumple sus normas (precio total, periodo, enlaces a términos y privacidad, restaurar compras).

### 6. Contenido que suben los usuarios y copyright (EE. UU. DMCA · UE DSA)
- Si los usuarios pueden subir fotos, videos u otros archivos: debe haber términos de uso, un canal para denunciar contenido que infringe derechos, un procedimiento de retirada y una política contra quien infringe de forma repetida.
- Si hay usuarios en EE. UU., hay que designar un agente DMCA en la U.S. Copyright Office (copyright.gov; la tasa es de 6 $ y se renueva cada 3 años) y publicar sus datos en la web.
- Revisa también los recursos propios: licencias de fuentes, imágenes, iconos, música y contenido generado con IA.

### Extra · Fallos frecuentes en apps hechas con IA
- **Textos legales:** aviso legal con la identidad del titular (obligatorio en España), política de privacidad, política de cookies y términos. Comprueba que existen, que están enlazados en el pie y en el registro, y que describen lo que la app hace de verdad.
- **Borrar la cuenta:** Apple exige poder borrarla desde la app si se puede crear en ella. En general, el usuario debe poder pedir el acceso a sus datos y su eliminación.
- **Claves y secretos expuestos:** busca claves de API (OpenAI, Anthropic, Stripe secret, Supabase service role, Firebase admin) en el frontend, en el repositorio o en variables `NEXT_PUBLIC_` / `VITE_`.
- **Datos de usuarios mal protegidos:** reglas de Supabase/Firebase (RLS) abiertas, endpoints sin autenticación, archivos subidos públicos por defecto.
- **Afirmaciones de marketing:** promesas de resultados, testimonios o "precios tachados" que no se puedan demostrar.

## Fase 2 · Informe

Entrégame:
1. Una tabla con todos los puntos: Cumple / No cumple / No aplica / Necesito un dato.
2. Los arreglos ordenados por prioridad: **bloquea el lanzamiento**, **importante** y **mejora**.
3. Para cada arreglo: qué vas a cambiar, en qué archivos y el texto exacto que propones (por ejemplo, el texto junto al botón de suscripción o el pie de los emails).
4. Lo que no se arregla con código y tengo que hacer yo (por ejemplo, registrar el agente DMCA, configurar la dirección postal en la herramienta de email o revisar los textos con un profesional).

## Fase 3 · Arreglos (solo cuando te lo confirme)

- Haz cambios mínimos, de uno en uno, y explica cada uno.
- No borres datos de usuarios ni cambies precios.
- Al terminar, vuelve a revisar los puntos que fallaban y enumera cada cambio con el archivo que tocaste.

**Reglas:** no inventes leyes, artículos ni cifras; si no estás seguro, dilo y márcalo como "revisar con un profesional". Esto es una revisión técnica, no asesoría legal.