Política de privacidad

1. Datos que recopilamos

• Datos de la cuenta: nombre, correo y datos de perfil, gestionados a través de nuestro proveedor de autenticación (Clerk). Almacenamos un id interno de usuario, las membresías del espacio de trabajo y los roles.
• Datos del espacio y contenido: los prompts, archivos, imágenes, audio, video, transcripciones, conversaciones y canvas que subes o generas, junto con sus metadatos (títulos, marcas de tiempo, visibilidad).
• Datos de facturación: plan, estado de la suscripción, consumo de créditos y registros de transacciones. Los datos de tarjeta los recopila y almacena nuestro procesador de pagos (Stripe), no nosotros.
• Datos de uso y dispositivo: registros, ubicación aproximada derivada de la IP, tipo de dispositivo y navegador, y eventos de analítica de producto sobre cómo se usa el Servicio.
• Actividad de la sesión: cuando lo consientes, registramos repeticiones de tus interacciones con el Servicio (clics, navegación y contenido de la página) a través de nuestro proveedor de analítica de producto para diagnosticar problemas y mejorar la usabilidad, con los campos sensibles enmascarados.
• Comunicaciones: los mensajes que nos envías (por ejemplo, solicitudes de soporte) y los eventos de entrega de correo transaccional.

2. Cómo usamos tus datos

Usamos los datos personales para:

• Prestar, proteger y mantener el Servicio, incluidas la autenticación, el almacenamiento y la generación con IA.
• Procesar pagos, medir créditos y aplicar los límites de plan y de gasto.
• Comunicarnos contigo sobre tu cuenta, la seguridad y los cambios del servicio.
• Entender y mejorar cómo se usa el Servicio y desarrollar nuevas funciones.
• Detectar, prevenir y responder a fraude, abuso e incidentes de seguridad.
• Cumplir obligaciones legales y hacer valer nuestros términos.

No vendemos tus datos personales. No usamos tu contenido para entrenar, ajustar ni mejorar de ningún otro modo ningún modelo de aprendizaje automático o de inteligencia artificial, ya sea desarrollado por un tercero o por nosotros, y no permitimos que otros lo hagan. Cuando tu contenido lo procesan los proveedores de IA de terceros que figuran en nuestra página de Subprocesadores para generar el resultado que pides, dichos proveedores actúan como nuestros subprocesadores y pueden procesar tu contenido únicamente para proporcionar ese resultado; seleccionamos proveedores que ofrecen términos respetuosos de la privacidad y activamos con ellos las opciones que excluyen el entrenamiento y, cuando se ofrecen, las de retención cero.

3. Bases legales (RGPD)

Cuando se aplica el RGPD, nos basamos en las siguientes bases legales:

• Ejecución de un contrato: para prestarte el Servicio que contrataste y procesar la facturación.
• Interés legítimo: para proteger, analizar y mejorar el Servicio, siempre que tus intereses y derechos no prevalezcan sobre los nuestros.
• Consentimiento: para cookies y analítica opcionales cuando se requiere, y para ciertas comunicaciones de marketing; puedes retirarlo en cualquier momento.
• Obligación legal: para conservar registros (por ejemplo, fiscales y contables) y atender requerimientos legales.

4. Cómo compartimos los datos

Compartimos datos personales con subprocesadores que nos ayudan a operar el Servicio: alojamiento, autenticación, pagos, almacenamiento, correo, inferencia de IA y analítica. Cada uno está vinculado por un acuerdo de tratamiento de datos y solo puede tratar datos siguiendo nuestras instrucciones. La lista vigente está en nuestra página de Subprocesadores.

También podemos compartir datos con los administradores de tu espacio de trabajo (que pueden gestionar tu membresía y contenido en ese espacio) y con autoridades o asesores cuando lo exija la ley o para proteger nuestros derechos, a los usuarios o al Servicio. Si Endless participa en una fusión o adquisición, los datos podrían transferirse como parte de esa operación, sujetos a esta política.

5. Asistentes de IA que conectas

Puedes conectar un asistente de IA, como ChatGPT o Claude, a Endless mediante nuestro servidor MCP en mcp.endless.app. Inicias sesión en Endless y apruebas la conexión; el asistente recibe entonces un token de acceso que actúa como tu cuenta. Solo puede acceder a lo que tu cuenta ve en la app de Endless, y a nada de otro espacio de trabajo del que no seas miembro.

Mediante esa conexión el asistente puede leer: el id de tu cuenta y los espacios de trabajo a los que perteneces, con tu rol en cada uno; los recursos, proyectos, chats, canvas y skills del espacio de trabajo que elijas; y el saldo de créditos del espacio y tu límite de gasto. También puede, por indicación tuya, guardar en ese espacio archivos que le señales, desde un enlace público o desde un archivo que subas a través de él, e iniciar trabajo que gasta los créditos del espacio: transcribir un enlace público de video o audio, generar imágenes, video o audio, y obtener datos públicos de redes sociales (perfiles, publicaciones, búsquedas y tendencias). No puede editar ni eliminar contenido existente. Además elige en qué espacio de trabajo actúa, elección que guardamos 90 días.

Lo que el asistente lee se le envía, y su proveedor (por ejemplo, OpenAI o Anthropic) trata esos datos según sus propios términos y política de privacidad, no los nuestros. El trabajo que el asistente inicia pasa por los mismos subprocesadores que en la app: un enlace que importas se descarga del sitio que lo aloja; las transcripciones y las generaciones las procesan los proveedores de inferencia de IA que figuran en nuestra página de Subprocesadores; y los datos públicos de redes sociales se obtienen a través de RapidAPI, que recibe el nombre de usuario, el enlace o los términos de búsqueda que pide el asistente y nada de tu espacio de trabajo.

Por cada llamada a una herramienta registramos el nombre de la herramienta, el resultado, un código de error si falló, cuánto tardó, tu id de usuario y el id del espacio de trabajo. No registramos los argumentos que envía el asistente ni los resultados que devolvemos. También enviamos esos mismos datos a nuestro proveedor de analítica de producto. Conservamos estos registros mientras exista tu cuenta y los eliminamos con ella. Un contador por minuto que usamos para limitar el uso caduca al cabo de un minuto.

Para detener el acceso, desconecta Endless en la configuración del asistente. Para revocar todos los tokens de acceso emitidos a un asistente, o para cualquier otra solicitud sobre estos datos, escribe a privacy@endless.app.

6. Transferencias internacionales de datos

Endless y varios de nuestros subprocesadores están ubicados en Estados Unidos y otros países fuera del EEE/Reino Unido. Cuando transferimos datos personales internacionalmente aplicamos garantías adecuadas: el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado, o las Cláusulas Contractuales Tipo de la Comisión Europea (con el Addendum del Reino Unido cuando corresponda), junto con medidas técnicas y organizativas adicionales.

7. Conservación y eliminación de datos

Conservamos los datos personales mientras tu cuenta esté activa y según sea necesario para prestar el Servicio. Puedes mover contenido a la papelera y restaurarlo dentro de un plazo limitado; los recursos en la papelera se eliminan automáticamente a los 30 días.

Cuando eliminas tu cuenta aplicamos un borrado lógico: la cuenta se desactiva, se le reasigna un identificador anonimizado aleatorio (un id «del_») y los datos personales se eliminan o se anonimizan de forma irreversible. Podemos conservar registros limitados cuando sea necesario por motivos legales, fiscales o de seguridad, y las copias de seguridad se renuevan de forma rotativa.

8. Tus derechos

Según dónde residas, puedes tener derecho a:

• Acceso: obtener una copia de los datos personales que tenemos sobre ti.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar la eliminación de tus datos personales (el «derecho al olvido»).
• Portabilidad: recibir tus datos en un formato estructurado y legible por máquina.
• Limitación y oposición: limitar u oponerte a ciertos tratamientos, incluidos la elaboración de perfiles y el marketing directo.
• Retirar el consentimiento: cuando el tratamiento se base en el consentimiento, sin afectar al tratamiento previo.

Para ejercer cualquiera de estos derechos, escribe a privacy@endless.app. Responderemos dentro del plazo que exige la ley. También tienes derecho a presentar una reclamación ante tu autoridad de protección de datos.

9. Cookies y analítica

Usamos cookies estrictamente necesarias para mantener tu sesión y proteger el Servicio. Con tu consentimiento, también usamos cookies de analítica: para analítica de producto y repetición de sesiones (PostHog) y, cuando está habilitado, medición de tráfico web y marketing (Google Analytics, Meta y LinkedIn). En las regiones donde se requiere consentimiento (como el EEE, el Reino Unido y California) un banner te permite aceptar o rechazar las cookies no esenciales, o elegir por categoría; en todos los casos puedes cambiar tu elección cuando quieras desde «Configuración de cookies» en el pie de página, y respetamos Global Privacy Control como una solicitud de rechazar las cookies no esenciales.

10. Seguridad

Aplicamos medidas técnicas y organizativas para proteger los datos personales, incluidos el cifrado en tránsito, controles de acceso acotados y credenciales de servicio de mínimo privilegio. Ningún sistema es perfectamente seguro, pero trabajamos para proteger tus datos y para notificarte a ti y a las autoridades competentes las brechas que lo requieran conforme a la ley.

11. Menores

El Servicio no está dirigido a menores de 16 años y no recopilamos deliberadamente sus datos personales. Si crees que un menor nos ha facilitado datos, contáctanos y los eliminaremos.

12. Cambios en esta política

Podemos actualizar esta política a medida que el Servicio evolucione o cambie la ley. Publicaremos la política actualizada con una nueva fecha de vigencia y, para cambios sustanciales, daremos un aviso adicional en el Servicio.

13. Ley aplicable

Esta política y cualquier disputa relacionada con ella se rigen por las leyes del Estado de Delaware, Estados Unidos, con exclusión de sus normas sobre conflicto de leyes. Esto no te priva de los derechos imperativos de protección de datos que te correspondan conforme a la ley de tu país de residencia, incluido tu derecho a presentar una reclamación ante tu autoridad de control local.

14. Contacto

Para cualquier consulta o solicitud de privacidad, escribe a privacy@endless.app.