Política de privacidad

5.1 Datos de registro y cuenta

• Al registrarte, recopilamos:
• • Dirección de correo electrónico (campo obligatorio)
• • Nombre de usuario (campo obligatorio)
• • Contraseña (cifrada con bcrypt, de al menos 8 caracteres)
• • Tipo de cuenta (personal o de empresa)
• • Fecha de registro
• • Autenticación de dos factores (2FA): opcional, pero recomendada
• Finalidad: gestión y administración de su cuenta, autenticación y seguridad
• Los datos de la autenticación de dos factores (2FA) solo se almacenan localmente en tu dispositivo (escaneo del código QR). Nosotros solo almacenamos el estado de activación.
• Nota: También puede registrarse o iniciar sesión a través de Google, Meta (Facebook), LinkedIn, TikTok o X; consulte el apartado 5.1a para conocer los datos y autorizaciones que se solicitan en cada caso.
• Para protegernos contra los registros automatizados (bots), utilizamos Cloudflare Turnstile (véase el apartado 10a.2).

5.1a Registro e inicio de sesión a través de terceros (inicio de sesión mediante redes sociales)

• Además del registro clásico con correo electrónico y contraseña, puede registrarse o iniciar sesión en PostMaestro.ai a través de los siguientes proveedores externos. Estas conexiones sirven exclusivamente para la creación de cuentas y el inicio de sesión, y son independientes de los enlaces a redes sociales para publicar entradas (véase el apartado 5.5); en cada caso se solicitan permisos OAuth (ámbitos) propios, con un nivel de acceso claramente más limitado:
• • Google (ámbitos: openid, profile, email): se transmiten el ID de Google, la dirección de correo electrónico, el nombre y los apellidos, la foto de perfil y el idioma
• • Inicio de sesión en Meta / Facebook (ámbitos: public_profile, email): se transmiten el ID de Facebook, la dirección de correo electrónico, el nombre y los apellidos, la foto de perfil y el idioma
• • Inicio de sesión en Instagram Business (ámbito: instagram_business_basic): se transmiten el ID de Instagram, el nombre de usuario, el nombre de perfil y la foto de perfil (no se transmite la dirección de correo electrónico, ya que esta se solicita por separado durante el proceso de alta).
• • LinkedIn (OpenID Connect, ámbitos: openid, profile, email): se transmiten el ID de LinkedIn, la dirección de correo electrónico, el nombre y los apellidos, la foto de perfil y el idioma
• • Kit de inicio de sesión de TikTok (ámbitos: user.info.basic, user.info.profile): se transmiten el OpenID de TikTok, el nombre de usuario, el nombre que se muestra y la foto de perfil (TikTok no proporciona ninguna dirección de correo electrónico; hasta que se introduzca durante el proceso de registro, se utiliza internamente una dirección provisional).
• • X / Twitter (OAuth 2.0 con PKCE, ámbitos: users.read, users.email, tweet.read): se transmiten el X-ID, el nombre de usuario, el nombre que aparece en el perfil, la foto de perfil y, si se ha facilitado a X, la dirección de correo electrónico verificada
• Estos ámbitos de acceso solo permiten consultar los datos básicos del perfil para la creación de la cuenta. No se publican entradas, no se leen mensajes ni se concede acceso a tus contactos.
• Si una dirección de correo electrónico ya registrada vuelve a registrarse a través de otro proveedor, identificamos la cuenta existente a partir de la dirección de correo electrónico (sin tener en cuenta las mayúsculas y minúsculas) y vinculamos posteriormente el nuevo identificador del proveedor (vinculación de cuentas), en lugar de crear una cuenta duplicada.
• Si lo tiene activado en su configuración de seguridad, cada vez que inicie sesión (incluso mediante inicio de sesión a través de redes sociales), le enviaremos una notificación por correo electrónico con la hora, el dispositivo, el navegador y la ubicación aproximada. La ubicación se determina a partir de su dirección IP a través del proveedor externo ipinfo.io (véase el apartado 10a.1).
• Eliminación de la cuenta de Meta: Para el inicio de sesión a través de Meta (Facebook/Instagram), proporcionamos los puntos de retorno (callback) exigidos por Meta para la revocación de la autorización y la eliminación de datos. Si elimina la aplicación en la configuración de su cuenta de Facebook o solicita allí la supresión de datos, recibiremos automáticamente la solicitud correspondiente y facilitaremos el estado de tramitación a través de una URL de estado indicada por Meta.

5.2 Perfiles y datos de las marcas

• Al crear un perfil de marca, guardamos:
• - Marca y descripción
• - URL del sitio web (para Brand Analyser)
• - Directrices y documentos de marca cargados
• - Análisis de los datos de la marca (colores, fuentes, tono de voz)
• - Logotipo y recursos visuales
• - Definiciones de los grupos destinatarios
• - Sector y categoría
• Finalidad: Creación de contenidos adaptados al mercado, gestión de la identidad de marca

5.3 Datos de contenido (entradas, medios, campañas)

• Al utilizar la función de creación de contenidos, almacenamos:
• • Publicaciones en redes sociales creadas y programadas (texto, pies de foto, hashtags)
• • Imágenes, vídeos y gráficos subidos y generados
• • Datos de las campañas y plantillas
• • Validación de ideas (datos de «swipe» en el Idea Generator)
• • Documentos de investigación
• • Estado del contenido (borrador, en revisión, programado, publicado)
• • Fechas y plataformas de publicación
• • Datos de etiquetado y procedencia de los contenidos multimedia generados (clase de contenido, estado de etiquetado, estado de los metadatos), así como su confirmación de la revisión editorial de los textos generados
• Objetivo: gestión de contenidos, planificación, automatización, archivo y cumplimiento de las obligaciones de transparencia en materia de IA
• Siempre que sea técnicamente posible, los archivos multimedia generados incluirán información de identificación, metadatos o indicadores técnicos similares que indiquen que se trata de contenidos generados por IA o asistidos por IA (véase el apartado 8.2).

5.4 Datos de uso y análisis

• Almacenamos datos para mejorar la plataforma:
• - Horas de inicio de sesión y duración de la sesión
• - Características y funciones utilizadas
• - Datos de consumo y facturación de tokens
• - Informes de errores y datos de rendimiento
• - Comentarios y solicitudes de asistencia
• Finalidad: Mejora de la plataforma, análisis de errores, asistencia, facturación

5.5 Enlaces a plataformas de redes sociales (publicación)

• Si conectas cuentas de redes sociales para publicar contenido (Instagram, Facebook, Threads, WhatsApp Business, LinkedIn, X, YouTube, TikTok, Wix, WordPress, tu propia página web), cada plataforma solicita a través de OAuth únicamente los permisos (ámbitos) necesarios para ello. Estas conexiones son independientes del inicio de sesión a través de redes sociales para acceder a la cuenta (véase el apartado 5.1a). En este proceso, almacenamos:
• • Tokens de acceso y de actualización de OAuth por cada plataforma, almacenados en la base de datos cifrados con AES-256-GCM (véase el apartado 10)
• • ID de cuenta, página o canal de la plataforma, así como nombre de usuario, foto de perfil o logotipo
• • En LinkedIn, además: páginas de empresa que gestionas (ID, nombre, logotipo) para seleccionar el destino de la publicación
• • En Facebook/Instagram/WhatsApp: vínculos detectados automáticamente entre la página de Facebook, la cuenta empresarial de Instagram y la cuenta empresarial de WhatsApp («transferencia» de las cuentas vinculadas al establecer la conexión)
• • Fecha de caducidad del token de acceso para la renovación automática (por ejemplo, en X y Wix)
• • En el caso de WordPress o una página web propia: los datos de acceso que hayas introducido (contraseña de aplicación o URL del punto final y clave secreta) en lugar del token de OAuth
• Estos datos se utilizan exclusivamente para publicar, en su nombre, contenidos en las cuentas vinculadas y para mostrar las estadísticas correspondientes (Analytics) dentro de PostMaestro.ai. El acceso a mensajes privados o contactos se realiza exclusivamente en el marco de la función de gestor de comunidades que haya activado (Facebook Messenger, Instagram Direct, WhatsApp).
• Puedes desconectar cualquier conexión en cualquier momento desde los ajustes. Además, te recomendamos que revoques el permiso de la aplicación directamente en la plataforma correspondiente (por ejemplo, en los ajustes de la cuenta de Meta).

5.6 Datos de la cuenta del equipo y de la empresa

• Para las cuentas de empresa con varios usuarios, también almacenamos datos:
• - Los miembros del equipo y sus funciones
• - Autorizaciones y control de acceso
• - Flujos de trabajo de aprobación y comentarios
• - Registros de actividad (registro de auditoría)
• Finalidad: colaboración en equipo, control de acceso, cumplimiento de normas

5.7 Notificaciones push (aplicación móvil)

• Si utiliza nuestra aplicación móvil y activa las notificaciones push, tratamos:
• • Token del dispositivo (Device Token) para el envío de notificaciones
• • Preferencias de notificaciones
• Para el envío de notificaciones push utilizamos Firebase Cloud Messaging (Google).
• Puede desactivar las notificaciones push en cualquier momento en los ajustes de su dispositivo.

5.8 Noticias, investigación y RSS

• La plataforma ofrece una función de noticias que utiliza de serie la investigación asistida por IA (a través de Perplexity AI) para ofrecer noticias relevantes del sector. También puede añadir sus propios canales RSS. Al hacerlo, procesamos:
• - Consultas y preferencias temáticas en la búsqueda de noticias con ayuda de la IA
• - Las URL de los canales RSS que ha añadido
• - Sus preferencias y categorías para estos feeds
• - Artículos leídos o guardados
• La plataforma recupera el contenido de los canales de terceros a través de nuestros servidores, de modo que su dirección IP no se transmite a los operadores de los canales RSS. Al utilizar la búsqueda de noticias asistida por IA, sus consultas de búsqueda se transmiten a Perplexity AI (véase la sección 7.3).
• Finalidad: Proporcionar noticias personalizadas del sector, investigación e inspiración de contenidos.

6.1 Procedimiento de doble inclusión

Tras inscribirse en el boletín, recibirá un correo electrónico de confirmación.

Sólo se le añadirá a la lista de distribución del boletín de noticias después de hacer clic en el enlace de confirmación.

Esto sirve para protegerle contra el uso indebido de su dirección de correo electrónico.

6.2 SendGrid (envío de correos electrónicos)

Utilizamos SendGrid (Twilio Inc., EE.UU.) para enviar boletines informativos.

SendGrid procesa su dirección de correo electrónico en nuestro nombre para enviar el boletín.

Hemos suscrito un acuerdo de tramitación de pedidos (AVV) con SendGrid de conformidad con el art. 28 del GDPR.

SendGrid cuenta con la certificación EU-US Data Privacy Framework.

Más información: https://www.twilio.com/legal/privacy

Política de privacidad de Twilio (SendGrid)

6.3 Seguimiento del boletín

Actual: Sin seguimiento de las tasas de apertura ni de los clics

Previsto: Opt-in para estadísticas de boletines (tasa de apertura, seguimiento de clics)

Se le informará antes de activar el seguimiento y podrá dar o denegar su consentimiento.

6.4 Anulación

Puede darse de baja del boletín en cualquier momento:

- A través del enlace para darse de baja de cada boletín electrónico

- Por correo electrónico a newsletter@nexaluna.ai

- En la configuración de su cuenta (si está disponible)

Tras la cancelación, sus datos se eliminarán de la lista de distribución del boletín.

8.1 Divulgación de la interacción con un sistema de inteligencia artificial

• En PostMaestro.ai interactúas directamente con sistemas de IA. Todas las funciones que generan, evalúan, resumen, traducen o reformulan contenidos están basadas en IA y se identifican como tales en la interfaz de usuario.
• La indicación se muestra antes de la primera interacción, de forma clara, comprensible y claramente diferenciada del resto de elementos de control (art. 50, apartado 1, de la Ley de IA de la UE).
• Publicamos estas indicaciones de forma accesible y las adaptamos a los requisitos de accesibilidad reconocidos (art. 50, apartado 5, de la Ley de Accesibilidad de la UE).
• Las respuestas y sugerencias de la IA pueden ser incompletas, obsoletas o objetivamente erróneas. No constituyen asesoramiento jurídico, fiscal, médico ni financiero.

8.2 Etiquetado legible por máquina de los contenidos generados

• De conformidad con el artículo 50, apartado 2, de la Ley de la UE sobre IA, los contenidos generados por sistemas de IA que produzcan imágenes, audio, vídeo o texto sintéticos deben identificarse, en un formato legible por máquina, como generados o manipulados artificialmente. La identificación debe ser eficaz, interoperable, sólida y fiable.
• Aplicamos este requisito mediante varios procedimientos complementarios, ya que, según el estado actual de la técnica, ningún procedimiento por sí solo alcanza la robustez exigida:
• • Metadatos de origen en el archivo: Durante la exportación, incluimos metadatos XMP e IPTC en los archivos multimedia generados, en concreto el campo IPTC «Digital Source Type» con el valor «trainedAlgorithmicMedia», así como información sobre el sistema de IA utilizado, la versión del modelo y la fecha de generación.
• • Content Credentials (C2PA): Para los archivos de imagen y vídeo generados, incorporamos en el proceso de salida una indicación de origen firmada criptográficamente según el estándar C2PA.
• • Marcas de agua del proveedor: en la medida en que el proveedor de modelos correspondiente incluya marcas de agua invisibles, estas se mantendrán y no se eliminarán. En el caso de los modelos de imágenes de Google Gemini, se trata del método de marca de agua SynthID.
• • Validación: Tras la escritura, volvemos a leer la marca y registramos un estado para cada archivo («pendiente», «válido», «faltante», «eliminado»). Si la incrustación falla, en el caso de las clases de contenido sensible, imponemos una marca visible.
• La marca se establece en el servidor antes de que un archivo se almacene o se envíe, para que conserve su integridad durante el renderizado, la subida y la descarga. Desde el punto de vista técnico, no se puede descartar que terceros o plataformas de destino eliminen los metadatos al volver a subir, comprimir o recortar el archivo. En ese caso, la marca visible seguirá siendo su garantía (véase el apartado 8.3).
• Estado de transposición y plazo: Las obligaciones de transparencia del artículo 50 de la Ley de IA de la UE son de aplicación desde el 2 de agosto de 2026. Para los sistemas de IA que, al igual que PostMaestro.ai, ya se encontraban en el mercado antes de esa fecha, se aplica un período transitorio hasta el 2 de diciembre de 2026. Implementaremos íntegramente los procedimientos descritos anteriormente dentro de ese plazo y documentaremos internamente el estado de la implementación.
• Una simple referencia en esta declaración de protección de datos no basta para cumplir lo dispuesto en el artículo 50, apartado 2, de la Ley de IA de la UE. Lo determinante es la marca legible por máquina que figure en el propio archivo.

8.3 Sus obligaciones como operador en relación con los deepfakes

• Si publica contenidos generados con PostMaestro.ai, usted es el «operador» en el sentido de la Ley de IA de la UE. En este caso, la obligación de divulgación prevista en el artículo 50, apartado 4, de la Ley de IA de la UE recae sobre usted y no sobre nosotros.
• Si crea o edita contenidos de imagen, audio o vídeo que se parezcan de forma engañosa a personas, objetos, lugares, instituciones o acontecimientos reales («deepfakes»), deberá indicar, al publicarlos, que dichos contenidos han sido generados o manipulados artificialmente.
• Según las directrices de la Comisión Europea, esta obligación se aplica independientemente de que exista intención de engañar y también cuando no aparezca representada ninguna persona real concreta. Por lo tanto, suele ser aplicable a las publicaciones en las redes sociales.
• Para facilitar esta tarea, ponemos a tu disposición: una marca visible como configuración predeterminada para las clases de contenido sensible, una sugerencia de texto informativo para la exportación y una nota en el proceso de publicación.
• La configuración predeterminada es siempre «marcado». La desactivación debe quedar documentada: registramos la hora, la cuenta de usuario, el espacio de trabajo y la versión del texto de confirmación. En el caso de las representaciones fotorrealistas de personas y las voces sintéticas, no es posible desactivar esta función.
• No podrá eliminar, desactivar, eludir ni alterar el funcionamiento de los mecanismos de identificación y divulgación que ponemos a su disposición (véase el apartado 6.4 de las Condiciones Generales).
• Esta obligación se suma a los requisitos de identificación establecidos por la plataforma de redes sociales correspondiente. Debe comprobar usted mismo si, en cada caso concreto, existe la obligación de divulgación.

8.4 Textos generados por IA y responsabilidad editorial

• En lo que respecta a los textos, el artículo 50 de la Ley de Inteligencia Artificial de la UE tiene un alcance mucho más limitado que en el caso de las imágenes, el audio y el vídeo. Solo existe la obligación de divulgación cuando se cumplen las tres condiciones siguientes:
• 1. El texto ha sido generado o manipulado mediante inteligencia artificial.
• 2. Se publica el texto.
• 3. La publicación tiene por objeto informar a la ciudadanía sobre asuntos de interés público, como noticias, opiniones políticas o sociales y aportaciones a los debates públicos.
• La obligación de identificación no se aplica cuando el contenido haya sido sometido a una revisión humana o a un control editorial y una persona física o jurídica asuma la responsabilidad editorial de la publicación.
• No existe una obligación general de identificar todos los textos generados por IA. Quien utilice la IA como herramienta de apoyo, revise los textos desde el punto de vista editorial y asuma la responsabilidad de los mismos, no está sujeto, por regla general, a ninguna obligación adicional de identificación.
• PostMaestro.ai está diseñado precisamente para eso: los textos generados son propuestas. Antes de programarlos o publicarlos, solicitamos una confirmación expresa de que ha revisado el texto y asume la responsabilidad editorial. Registramos esta confirmación indicando la hora, la cuenta de usuario y la versión del texto, para que la excepción quede documentada.
• La nota que aparece en la aplicación dice: «Este texto es una propuesta. Por favor, revíselo antes de su publicación. Al revisarlo, asume la responsabilidad editorial».
• Sin esta verificación, no podrá publicar los textos generados como contenidos de responsabilidad editorial; en tal caso, podría aplicarse la obligación de divulgación prevista en el artículo 50, apartado 4, de la Ley de IA de la UE.

8.5 Ausencia de reconocimiento de emociones y de categorización biométrica

• PostMaestro.ai no utiliza sistemas de reconocimiento de emociones ni deduce emociones, estados emocionales o intenciones a partir de datos biométricos.
• No realizamos ninguna clasificación biométrica, ni reconocimiento facial, ni identificación biométrica, ni reconocimiento de características protegidas como el origen étnico, las opiniones políticas, la religión, la afiliación sindical, la salud o la orientación sexual.
• Las funciones de evaluación, como «Idea Validation», «Brand Analyser» o los análisis de rendimiento, se refieren exclusivamente a contenidos, datos sobre marcas y de alcance, y no a personas ni a características biométricas.
• Por lo tanto, las obligaciones de información previstas en el artículo 50, apartado 3, de la Ley de Inteligencia Artificial de la UE para los sistemas de reconocimiento de emociones y de categorización biométrica no son de aplicación en nuestro caso.

8.6 Usos prohibidos: representaciones íntimas sin consentimiento y representaciones de abuso infantil

• El artículo 5 de la Ley de IA de la UE prohíbe los sistemas de IA cuyo resultado, razonablemente previsible, sean representaciones íntimas no consentidas (NCII) o representaciones de abuso sexual infantil (CSAM). Como proveedores de una herramienta general de generación de imágenes y vídeos, evaluamos este riesgo de abuso ya en la fase de diseño y establecemos medidas de protección técnicas.
• Medidas de protección aplicadas:
• • Filtros de entrada que bloquean las indicaciones pertinentes antes incluso de que se invoquen los modelos de imagen y vídeo
• • Los filtros de salida y la configuración de seguridad de los proveedores de modelos utilizados
• • Bloqueo de contenidos dirigidos a menores en un contexto sexual o que muestren imágenes íntimas de personas identificables
• • Desactivación de las funciones «Persona» y «Voice» sin el consentimiento documentado del interesado (véase el apartado 5.9)
• • Registro de las solicitudes bloqueadas para la detección de abusos, así como la posibilidad de bloquear las cuentas afectadas
• Cualquier uso de la plataforma con estos fines está estrictamente prohibido y dará lugar al bloqueo inmediato de la cuenta, así como, si hay indicios de delitos, a la intervención de las autoridades competentes.
• Denunciar un uso indebido: tanto usted como terceros pueden denunciar infracciones en cualquier momento en info@nexaluna.ai, indicando en el asunto «Denunciar uso indebido de la IA». Examinaremos las denuncias recibidas con carácter prioritario y le confirmaremos su recepción.
• Documentamos internamente nuestra evaluación de riesgos realizada en la fase de diseño, los filtros utilizados y la tramitación de las notificaciones, y los presentamos cuando así lo soliciten las autoridades competentes.

8.7 Distribución de funciones: proveedores y operadores

• El proveedor, en el sentido de la Ley de IA de la UE, es Nexaluna AI Solutions UG (de responsabilidad limitada) para el sistema de IA PostMaestro.ai. Nos incumben las obligaciones del proveedor, en particular el marcado legible por máquina de los resultados, de conformidad con el artículo 50, apartado 2, y la divulgación de la interacción con la IA, de conformidad con el artículo 50, apartado 1.
• Se le considera operador en cuanto utilice la plataforma bajo su responsabilidad y publique los contenidos generados. Le incumben las obligaciones propias del operador, en particular la obligación de divulgación prevista en el artículo 50, apartado 4, en el caso de los «deepfakes» y de los textos de interés público.
• Los modelos básicos utilizados proceden de terceros (véase el apartado 7). Sus proveedores son los proveedores de los respectivos modelos de IA; nosotros somos los proveedores del sistema de IA basado en ellos.
• Mantenemos internamente un registro de todos los modelos utilizados con la asignación de funciones correspondiente y lo actualizamos cuando se producen cambios.
• En lo que respecta a la competencia en materia de IA, según el artículo 4 de la Ley de IA de la UE, formamos a nuestros empleados en el manejo de los sistemas de IA que utilizamos y documentamos dichas formaciones.

8.8 Supervisión y reclamaciones

• Desde el 29 de julio de 2026, la Agencia Federal de Redes es la autoridad competente en materia de vigilancia del mercado, el punto de contacto central y la oficina de reclamaciones para la Ley de IA de la UE en Alemania.
• Agencia Federal de Redes, Tulpenfeld 4, 53113 Bonn, https://www.bundesnetzagentur.de
• Puede presentar reclamaciones sobre la transparencia de la IA en cualquier momento a través de ese canal. Le rogamos que se ponga en contacto con nosotros previamente en info@nexaluna.ai para que podamos resolver su consulta de inmediato.