Política de privacidad

1. Datos que recopilamos

• Datos de la cuenta: nombre, correo y datos de perfil, gestionados a través de nuestro proveedor de autenticación (Clerk). Almacenamos un id interno de usuario, las membresías del espacio de trabajo y los roles.
• Datos del espacio y contenido: los prompts, archivos, imágenes, audio, video, transcripciones, chats y canvas que subes o generas, junto con sus metadatos (títulos, marcas de tiempo, visibilidad).
• Datos de facturación: plan, estado de la suscripción, consumo de créditos y registros de transacciones. Los datos de tarjeta los recopila y almacena nuestro procesador de pagos (Stripe), no nosotros.
• Datos de uso y dispositivo: registros, ubicación aproximada derivada de la IP, tipo de dispositivo y navegador, y eventos de analítica de producto sobre cómo se usa el Servicio.
• Actividad de la sesión: cuando lo consientes, registramos repeticiones de tus interacciones con el Servicio (clics, navegación y contenido de la página) a través de nuestro proveedor de analítica de producto para diagnosticar problemas y mejorar la usabilidad, con los campos sensibles enmascarados.
• Comunicaciones: los mensajes que nos envías (por ejemplo, solicitudes de soporte) y los eventos de entrega de correo transaccional.

2. Cómo usamos tus datos

Usamos los datos personales para:

• Prestar, proteger y mantener el Servicio, incluidas la autenticación, el almacenamiento y la generación con IA.
• Procesar pagos, medir créditos y aplicar los límites de plan y de gasto.
• Comunicarnos contigo sobre tu cuenta, la seguridad y los cambios del servicio.
• Entender y mejorar cómo se usa el Servicio y desarrollar nuevas funciones.
• Detectar, prevenir y responder a fraude, abuso e incidentes de seguridad.
• Cumplir obligaciones legales y hacer valer nuestros términos.

No vendemos tus datos personales. No usamos tu contenido para entrenar, ajustar ni mejorar de ningún otro modo ningún modelo de aprendizaje automático o de inteligencia artificial, ya sea desarrollado por un tercero o por nosotros, y no permitimos que otros lo hagan. Cuando tu contenido lo procesan los proveedores de IA de terceros que figuran en nuestra página de Subprocesadores para generar el resultado que pides, dichos proveedores actúan como nuestros subprocesadores y pueden procesar tu contenido únicamente para proporcionar ese resultado; seleccionamos proveedores que ofrecen términos respetuosos de la privacidad y activamos opciones de no-entrenamiento y, cuando se ofrece, de retención cero con dichos proveedores.

3. Bases legales (RGPD)

Cuando se aplica el RGPD, nos basamos en las siguientes bases legales:

• Ejecución de un contrato: para prestarte el Servicio que contrataste y procesar la facturación.
• Interés legítimo: para proteger, analizar y mejorar el Servicio, siempre que tus intereses y derechos no prevalezcan sobre los nuestros.
• Consentimiento: para cookies y analítica opcionales cuando se requiere, y para ciertas comunicaciones de marketing; puedes retirarlo en cualquier momento.
• Obligación legal: para conservar registros (por ejemplo, fiscales y contables) y responder a solicitudes legítimas.

4. Cómo compartimos los datos

Compartimos datos personales con subprocesadores que nos ayudan a operar el Servicio: alojamiento, autenticación, pagos, almacenamiento, correo, inferencia de IA y analítica. Cada uno está vinculado por un acuerdo de tratamiento de datos y solo puede tratar datos siguiendo nuestras instrucciones. La lista vigente está en nuestra página de Subprocesadores.

También podemos compartir datos con los administradores de tu espacio de trabajo (que pueden gestionar tu membresía y contenido en ese espacio) y con autoridades o asesores cuando lo exija la ley o para proteger nuestros derechos, a los usuarios o al Servicio. Si Endless participa en una fusión o adquisición, los datos podrían transferirse como parte de esa operación, sujetos a esta política.

5. Transferencias internacionales de datos

Endless y varios de nuestros subprocesadores están ubicados en Estados Unidos y otros países fuera del EEE/Reino Unido. Cuando transferimos datos personales internacionalmente aplicamos garantías adecuadas: el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado, o las Cláusulas Contractuales Tipo de la Comisión Europea (con el Addendum del Reino Unido cuando corresponda), junto con medidas técnicas y organizativas adicionales.

6. Conservación y eliminación de datos

Conservamos los datos personales mientras tu cuenta esté activa y según sea necesario para prestar el Servicio. Puedes mover contenido a la papelera y restaurarlo dentro de un plazo limitado; los assets en la papelera se purgan automáticamente a los 30 días.

Cuando eliminas tu cuenta aplicamos un borrado lógico: la cuenta se desactiva, se le reasigna un identificador anonimizado aleatorio (un id «del_») y los datos personales se eliminan o se anonimizan de forma irreversible. Podemos conservar registros limitados cuando sea necesario por motivos legales, fiscales o de seguridad, y las copias de seguridad se renuevan de forma rotativa.

7. Tus derechos

Según dónde residas, puedes tener derecho a:

• Acceso: obtener una copia de los datos personales que tenemos sobre ti.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar la eliminación de tus datos personales (el «derecho al olvido»).
• Portabilidad: recibir tus datos en un formato estructurado y legible por máquina.
• Limitación y oposición: limitar u oponerte a ciertos tratamientos, incluidos la elaboración de perfiles y el marketing directo.
• Retirar el consentimiento: cuando el tratamiento se base en el consentimiento, sin afectar al tratamiento previo.

Para ejercer cualquiera de estos derechos, escribe a privacy@endless.app. Responderemos dentro del plazo que exige la ley. También tienes derecho a presentar una reclamación ante tu autoridad de protección de datos.

8. Cookies y analítica

Usamos cookies estrictamente necesarias para mantener tu sesión y proteger el Servicio. Con tu consentimiento, también usamos cookies de analítica: para analítica de producto y repetición de sesiones (PostHog) y, cuando está habilitado, medición de tráfico web y marketing (Google Analytics). En las regiones donde se requiere consentimiento (como el EEE, el Reino Unido y California) un banner te permite aceptar o rechazar las cookies no esenciales, o elegir por categoría; en todos los casos puedes cambiar tu elección cuando quieras desde «Configuración de cookies» en el pie de página, y respetamos Global Privacy Control como una solicitud de rechazar las cookies no esenciales.

9. Seguridad

Aplicamos medidas técnicas y organizativas para proteger los datos personales, incluidos el cifrado en tránsito, controles de acceso acotados y credenciales de servicio de mínimo privilegio. Ningún sistema es perfectamente seguro, pero trabajamos para proteger tus datos y para notificarte a ti y a las autoridades competentes las brechas que lo requieran conforme a la ley.

10. Menores

El Servicio no está dirigido a menores de 16 años y no recopilamos deliberadamente sus datos personales. Si crees que un menor nos ha facilitado datos, contáctanos y los eliminaremos.

11. Cambios en esta política

Podemos actualizar esta política a medida que el Servicio evolucione o cambie la ley. Publicaremos la política actualizada con una nueva fecha de vigencia y, para cambios sustanciales, daremos un aviso adicional en el Servicio.

12. Ley aplicable

Esta política y cualquier disputa relacionada con ella se rigen por las leyes del Estado de Delaware, Estados Unidos, sin perjuicio de sus normas de conflicto de leyes. Esto no te priva de los derechos imperativos de protección de datos que te correspondan conforme a la ley de tu país de residencia, incluido tu derecho a presentar una reclamación ante tu autoridad de control local.

13. Contacto

Para cualquier consulta o solicitud de privacidad, escribe a privacy@endless.app.