Política de privacidad

5.1 Datos de registro y cuenta

• Al registrarte, recopilamos:
• • Dirección de correo electrónico (campo obligatorio)
• • Nombre de usuario (campo obligatorio)
• • Contraseña (cifrada con bcrypt, de al menos 8 caracteres)
• • Tipo de cuenta (personal o de empresa)
• • Fecha de registro
• • Autenticación de dos factores (2FA): opcional, pero recomendada
• Finalidad: gestión y administración de su cuenta, autenticación y seguridad
• Los datos de la autenticación de dos factores (2FA) solo se almacenan localmente en tu dispositivo (escaneo del código QR). Nosotros solo almacenamos el estado de activación.
• Nota: También puede registrarse o iniciar sesión a través de Google, Meta (Facebook), LinkedIn, TikTok o X; consulte el apartado 5.1a para conocer los datos y autorizaciones que se solicitan en cada caso.
• Para protegernos contra los registros automatizados (bots), utilizamos Cloudflare Turnstile (véase el apartado 10a.2).

5.1a Registro e inicio de sesión a través de terceros (inicio de sesión mediante redes sociales)

• Además del registro clásico con correo electrónico y contraseña, puede registrarse o iniciar sesión en PostMaestro.ai a través de los siguientes proveedores externos. Estas conexiones sirven exclusivamente para la creación de cuentas y el inicio de sesión, y son independientes de los enlaces a redes sociales para publicar entradas (véase el apartado 5.5); en cada caso se solicitan permisos OAuth (ámbitos) propios, con un nivel de acceso claramente más limitado:
• • Google (ámbitos: openid, profile, email): se transmiten el ID de Google, la dirección de correo electrónico, el nombre y los apellidos, la foto de perfil y el idioma
• • Inicio de sesión en Meta / Facebook (ámbitos: public_profile, email): se transmiten el ID de Facebook, la dirección de correo electrónico, el nombre y los apellidos, la foto de perfil y el idioma
• • Inicio de sesión en Instagram Business (ámbito: instagram_business_basic): se transmiten el ID de Instagram, el nombre de usuario, el nombre de perfil y la foto de perfil (no se transmite la dirección de correo electrónico, ya que esta se solicita por separado durante el proceso de alta).
• • LinkedIn (OpenID Connect, ámbitos: openid, profile, email): se transmiten el ID de LinkedIn, la dirección de correo electrónico, el nombre y los apellidos, la foto de perfil y el idioma
• • Kit de inicio de sesión de TikTok (ámbitos: user.info.basic, user.info.profile): se transmiten el OpenID de TikTok, el nombre de usuario, el nombre que se muestra y la foto de perfil (TikTok no proporciona ninguna dirección de correo electrónico; hasta que se introduzca durante el proceso de registro, se utiliza internamente una dirección provisional).
• • X / Twitter (OAuth 2.0 con PKCE, ámbitos: users.read, users.email, tweet.read): se transmiten el X-ID, el nombre de usuario, el nombre que aparece en el perfil, la foto de perfil y, si se ha facilitado a X, la dirección de correo electrónico verificada
• Estos ámbitos de acceso solo permiten consultar los datos básicos del perfil para la creación de la cuenta. No se publican entradas, no se leen mensajes ni se concede acceso a tus contactos.
• Si una dirección de correo electrónico ya registrada vuelve a registrarse a través de otro proveedor, identificamos la cuenta existente a partir de la dirección de correo electrónico (sin tener en cuenta las mayúsculas y minúsculas) y vinculamos posteriormente el nuevo identificador del proveedor (vinculación de cuentas), en lugar de crear una cuenta duplicada.
• Si lo tiene activado en su configuración de seguridad, cada vez que inicie sesión (incluso mediante inicio de sesión a través de redes sociales), le enviaremos una notificación por correo electrónico con la hora, el dispositivo, el navegador y la ubicación aproximada. La ubicación se determina a partir de su dirección IP a través del proveedor externo ipinfo.io (véase el apartado 10a.1).
• Eliminación de la cuenta de Meta: Para el inicio de sesión a través de Meta (Facebook/Instagram), proporcionamos los puntos de retorno (callback) exigidos por Meta para la revocación de la autorización y la eliminación de datos. Si elimina la aplicación en la configuración de su cuenta de Facebook o solicita allí la supresión de datos, recibiremos automáticamente la solicitud correspondiente y facilitaremos el estado de tramitación a través de una URL de estado indicada por Meta.

5.2 Perfiles y datos de las marcas

• Al crear un perfil de marca, guardamos:
• - Marca y descripción
• - URL del sitio web (para Brand Analyser)
• - Directrices y documentos de marca cargados
• - Análisis de los datos de la marca (colores, fuentes, tono de voz)
• - Logotipo y recursos visuales
• - Definiciones de los grupos destinatarios
• - Sector y categoría
• Finalidad: Creación de contenidos adaptados al mercado, gestión de la identidad de marca

5.3 Datos de contenido (entradas, medios, campañas)

• Al utilizar la función de creación de contenidos, almacenamos:
• • Publicaciones en redes sociales creadas y programadas (texto, pies de foto, hashtags)
• • Imágenes, vídeos y gráficos subidos y generados
• • Datos de las campañas y plantillas
• • Validación de ideas (datos de «swipe» en el Idea Generator)
• • Documentos de investigación
• • Estado del contenido (borrador, en revisión, programado, publicado)
• • Fechas y plataformas de publicación
• • Datos de etiquetado y procedencia de los contenidos multimedia generados (clase de contenido, estado de etiquetado, estado de los metadatos), así como su confirmación de la revisión editorial de los textos generados
• Objetivo: gestión de contenidos, planificación, automatización, archivo y cumplimiento de las obligaciones de transparencia en materia de IA
• Siempre que sea técnicamente posible, los archivos multimedia generados incluirán información de identificación, metadatos o indicadores técnicos similares que indiquen que se trata de contenidos generados por IA o asistidos por IA (véase el apartado 8.2).

5.4 Datos de uso y análisis

• Almacenamos datos para mejorar la plataforma:
• - Horas de inicio de sesión y duración de la sesión
• - Características y funciones utilizadas
• - Datos de consumo y facturación de tokens
• - Informes de errores y datos de rendimiento
• - Comentarios y solicitudes de asistencia
• Finalidad: Mejora de la plataforma, análisis de errores, asistencia, facturación

5.5 Enlaces a plataformas de redes sociales (publicación)

• Si conecta cuentas de redes sociales para publicar contenido (LinkedIn, Instagram, Facebook, Threads, X, YouTube, TikTok, Wix, WordPress, su propia página web), cada plataforma solicita a través de OAuth únicamente los permisos (ámbitos) necesarios para ello. Estas conexiones son independientes del inicio de sesión a través de redes sociales para acceder a la cuenta (véase el apartado 5.1a).
• Los tokens de acceso y de actualización de OAuth se almacenan en la base de datos cifrados con AES-256-GCM según la plataforma (véase la sección 10). Los tokens caducados y no renovables se invalidan automáticamente.
• Para garantizar la publicación y la programación puntuales, la zona horaria se obtiene principalmente del proveedor de la plataforma correspondiente (siempre que la plataforma lo permita, por ejemplo, en Facebook, Instagram, Wix, WordPress o YouTube) o se toma de la configuración manual que usted haya establecido. Si una plataforma no admite la consulta de la zona horaria (como LinkedIn, donde, por motivos de protección de datos, no se generan datos derivados de la ubicación), deducimos la zona horaria principalmente a partir del país (Country) indicado en el perfil de la marca y, en su defecto, a partir del idioma o de la zona horaria predeterminada de la marca.
• En los apartados siguientes se describe, para cada plataforma, qué datos se tratan, para qué se utilizan y cuándo se eliminan. Los datos de las plataformas se utilizan exclusivamente para la gestión de la presencia en línea del cliente correspondiente.
• Puedes desconectar cualquier conexión en cualquier momento desde los ajustes. Además, te recomendamos que revoques el permiso de la aplicación directamente en la plataforma correspondiente (por ejemplo, en los ajustes de tu cuenta de LinkedIn o Meta).

5.6 Datos de las cuentas de equipo y de empresa

• En el caso de las cuentas de empresa con varios usuarios, almacenamos además:
• • Miembros del equipo y sus funciones
• • Permisos y control de acceso (incluido el acceso basado en roles a los perfiles de marca y a las conexiones con redes sociales; solo los roles autorizados reciben notificaciones sobre conexiones a punto de caducar)
• • Flujos de trabajo de aprobación y comentarios
• • Registros de actividad (registro de auditoría)
• Objetivo: colaboración en equipo, control de acceso, cumplimiento normativo

5.7 Notificaciones (en la aplicación, push y correo electrónico)

• PostMaestro.ai le informa sobre las actividades que tienen lugar en su cuenta, como comentarios y menciones, generaciones completadas, publicaciones, invitaciones al equipo, facturación, seguridad y mantenimiento. Para ello, tratamos:
• • Notificaciones en tu bandeja de entrada (campanilla), incluyendo el estado de lectura y de ocultación
• • Tus ajustes de notificaciones por canal, categoría, área y grupo de equipo
• • Para las notificaciones push (aplicación móvil y navegador): token del dispositivo, un identificador aleatorio del dispositivo, nombre del dispositivo, plataforma, versión de la aplicación y hora del último uso
• • Si la aplicación está abierta en un dispositivo en ese momento (señal de visibilidad, válida durante 90 segundos), para que no recibas ninguna notificación push adicional en el dispositivo que estés utilizando en ese momento
• Enviamos las notificaciones push a través de Firebase Cloud Messaging (Google) y las notificaciones por correo electrónico a través de SendGrid (véase el apartado 6.3).
• Puede activar o desactivar las notificaciones opcionales en Ajustes → Notificaciones para cada canal; las notificaciones push también se pueden configurar en los ajustes de su dispositivo o navegador.
• Las notificaciones necesarias para el uso de tu cuenta (por ejemplo, problemas de pago, obligación de utilizar la autenticación de dos factores, mantenimiento o cambios en las condiciones generales) se enviarán, independientemente de estos ajustes, a través de la aplicación y por correo electrónico. Las notificaciones de inicio de sesión quedan excluidas de esta norma y son opcionales (véase el apartado 12.1). En casos excepcionales —por ejemplo, en caso de trabajos de mantenimiento o avisos relacionados con la seguridad—, también podemos mostrar anuncios en la aplicación y mediante notificaciones push, independientemente de la configuración de categorías que haya establecido; dichos avisos se marcan como «Importantes».
• Solo recibirá correos electrónicos publicitarios (por ejemplo, sobre nuevas funciones) si se ha suscrito al boletín informativo (apartado 6).

5.8 Noticias, investigación y RSS

• La plataforma ofrece una función de noticias que utiliza de serie la investigación asistida por IA (a través de Perplexity AI) para ofrecer noticias relevantes del sector. También puede añadir sus propios canales RSS. Al hacerlo, procesamos:
• - Consultas y preferencias temáticas en la búsqueda de noticias con ayuda de la IA
• - Las URL de los canales RSS que ha añadido
• - Sus preferencias y categorías para estos feeds
• - Artículos leídos o guardados
• La plataforma recupera el contenido de los canales de terceros a través de nuestros servidores, de modo que su dirección IP no se transmite a los operadores de los canales RSS. Al utilizar la búsqueda de noticias asistida por IA, sus consultas de búsqueda se transmiten a Perplexity AI (véase la sección 7.3).
• Finalidad: Proporcionar noticias personalizadas del sector, investigación e inspiración de contenidos.

6.1 Procedimiento de doble confirmación

Tras registrarse a través de la página web, recibirá un correo electrónico con un enlace de confirmación. Solo después de hacer clic en él le incluiremos en la lista de distribución. Los registros no confirmados se eliminan al cabo de 30 días; no enviamos ningún recordatorio.

Al registrarse en la aplicación, confirma la suscripción haciendo clic en el enlace que aparece en el correo electrónico de confirmación de tu cuenta, en el que te lo indicamos expresamente.

Esto evita que se registren direcciones de correo electrónico ajenas.

6.2 Justificante de su consentimiento

Para poder demostrar que ha dado su consentimiento (art. 7, apartado 1, del RGPD), registramos el registro, la confirmación y la baja, indicando la fecha y hora, el origen, la dirección IP, el identificador del navegador y la versión del texto de consentimiento mostrado.

Conservamos este registro durante 3 años tras su baja y, posteriormente, lo eliminamos automáticamente.

6.3 SendGrid (envío de correos electrónicos)

Para el envío del boletín informativo, así como de los correos electrónicos de servicio y notificaciones, utilizamos SendGrid (Twilio Inc., EE. UU.).

SendGrid procesa su dirección de correo electrónico y el contenido del correo en nuestro nombre y nos notifica los eventos técnicos de entrega (entregado, no entregable, marcado como spam, baja). Utilizamos estos eventos para mantener actualizada la lista de distribución: las direcciones en las que no se puede entregar el correo y las denuncias de spam dan lugar al bloqueo de la dirección.

Hemos celebrado con SendGrid un contrato de encargado del tratamiento (AVV) de conformidad con el artículo 28 del RGPD. SendGrid está certificado según el Marco de Protección de Datos UE-EE. UU.

Más información: https://www.twilio.com/legal/privacy

Política de privacidad de Twilio (SendGrid)

6.4 Seguimiento del boletín informativo

Actualmente no medimos ni las aperturas ni los clics.

Antes de introducir este tipo de estadísticas, le informaremos con antelación y, en la medida en que sea necesario, recabaremos su consentimiento.

6.5 Cancelación de la suscripción

Puede darse de baja del boletín informativo en cualquier momento:

• a través del enlace de baja que aparece en cada correo electrónico o de la función de baja de tu programa de correo electrónico

• A través del formulario que aparece al final de esta sección: introduzca su dirección de correo electrónico y le enviaremos un enlace para confirmar la baja.

• En su cuenta de PostMaestro, en Configuración → Notificaciones

• por correo electrónico a support@postmaestro.ai

Tras darse de baja, ya no recibirá más boletines informativos. Su dirección dejará de figurar en la lista de distribución; solo se conservará el registro previsto en el apartado 6.2.

8.1 Divulgación de la interacción con un sistema de inteligencia artificial

• En PostMaestro.ai interactúas directamente con sistemas de IA. Todas las funciones que generan, evalúan, resumen, traducen o reformulan contenidos están basadas en IA y se identifican como tales en la interfaz de usuario.
• La indicación se muestra antes de la primera interacción, de forma clara, comprensible y claramente diferenciada del resto de elementos de control (art. 50, apartado 1, de la Ley de IA de la UE).
• Publicamos estas indicaciones de forma accesible y las adaptamos a los requisitos de accesibilidad reconocidos (art. 50, apartado 5, de la Ley de Accesibilidad de la UE).
• Las respuestas y sugerencias de la IA pueden ser incompletas, obsoletas o objetivamente erróneas. No constituyen asesoramiento jurídico, fiscal, médico ni financiero.

8.2 Etiquetado legible por máquina de los contenidos generados

• De conformidad con el artículo 50, apartado 2, de la Ley de la UE sobre IA, los contenidos generados por sistemas de IA que produzcan imágenes, audio, vídeo o texto sintéticos deben identificarse, en un formato legible por máquina, como generados o manipulados artificialmente. La identificación debe ser eficaz, interoperable, sólida y fiable.
• Aplicamos este requisito mediante varios procedimientos complementarios, ya que, según el estado actual de la técnica, ningún procedimiento por sí solo alcanza la robustez exigida:
• • Metadatos de origen en el archivo: incorporamos metadatos estandarizados directamente en los archivos de imagen y vídeo. Esto incluye el campo IPTC «Digital Source Type» (con los valores «trainedAlgorithmicMedia» para contenidos totalmente sintéticos y «compositeWithTrainedAlgorithmicMedia» para grabaciones reales procesadas con IA), descripciones Dublin Core («AI GENERATED»), datos EXIF, así como un espacio de nombres XMP específico (https://postmaestro.ai/ns/ai-transparency/1.0/) con información sobre el sistema de IA, la versión del modelo, la clase de contenido, la fecha de creación y el estado de etiquetado.
• • Content Credentials (C2PA): las imágenes, los vídeos y los archivos de audio reciben además un certificado de origen firmado criptográficamente según el estándar C2PA (más detalles en el apartado 8.2a).
• • Marcas de agua del proveedor: en la medida en que el proveedor de modelos correspondiente incluya marcas de agua invisibles, estas se mantendrán y no se eliminarán. En el caso de los modelos de imágenes de Google Gemini, se trata del método de marca de agua SynthID.
• • Validación: Tras la escritura, volvemos a leer la marca y registramos un estado por cada archivo (pendiente, válido, ausente, eliminado). Si la incrustación falla, imponemos una marca visible en el caso de las clases de contenido sensibles.
• • Resistencia al cambio de formato: en caso de que una plataforma o un paso de conversión elimine los metadatos, la marca óptica grabada seguirá siendo efectiva como mecanismo de protección principal (véase el apartado 8.3).
• Estado de transposición y plazo: Las obligaciones de transparencia del artículo 50 de la Ley de IA de la UE son de aplicación desde el 2 de agosto de 2026. Para los sistemas de IA que, como PostMaestro.ai, ya se encontraban en el mercado antes de esa fecha, se aplica un período transitorio hasta el 2 de diciembre de 2026. Implementaremos íntegramente los procedimientos descritos anteriormente dentro de ese plazo y documentaremos internamente el estado de la implementación.
• Una simple referencia en esta declaración de protección de datos no cumple por sí sola lo dispuesto en el artículo 50, apartado 2, de la Ley de IA de la UE. Lo determinante es la marca legible por máquina que figure en el propio archivo.

8.2a Certificados de origen firmados (C2PA Content Credentials)

• Además de los metadatos del apartado 8.2, dotamos a las imágenes generadas y editadas por IA (JPEG, PNG, WebP), vídeos (MP4) y archivos de audio (MP3, WAV) con un certificado de procedencia firmado criptográficamente, de acuerdo con el estándar abierto de la Coalition for Content Provenance and Authenticity (C2PA). Las plataformas y las herramientas de verificación pueden leer este certificado y mostrarlo, por ejemplo, como el símbolo «CR» (Content Credentials).
• El 18 de octubre de 2026, la C2PA confirmó a PostMaestro.ai en su Programa de Conformidad como un producto generador conforme (Nivel de garantía 1).
• Contenido de la declaración: Nombre y versión del software («PostMaestro.ai»), tipo de creación (generado íntegramente por IA o editado por IA), nombre del sistema o modelo de IA utilizado, fecha de creación, si se ha incluido una marca de IA visible, así como la firma digital. En el caso de las modificaciones y de los archivos multimedia que se hayan facilitado como plantilla al modelo de IA (p. ej., fotos de referencia, de productos o de personas, logotipos), la certificación incluirá sus nombres de archivo, formato de archivo y un valor hash criptográfico. Si una imagen de origen ya lleva un certificado C2PA, este se mantiene. No se incrustan imágenes de vista previa de las imágenes de origen.
• No se incluyen el nombre, la dirección de correo electrónico ni los identificadores de cuenta del usuario o de su empresa. Los nombres de los archivos de las plantillas se mantienen tal y como se subieron; no asigne nombres de archivo que contengan datos personales (p. ej., «max-mustermann.jpg») si no desea que estos aparezcan en el medio publicado.
• La firma se realiza con un certificado de Nexaluna AI Solutions UG (de responsabilidad limitada). La clave privada de firma se encuentra en el Servicio de gestión de claves de AWS (región de Fráncfort), donde está protegida en módulos de seguridad de hardware y no sale de dicho servicio. Que una herramienta de verificación muestre que el certificado es fiable depende de si conoce la entidad certificadora emisora (por ejemplo, a través de la lista de confianza C2PA).
• Marca de tiempo: para que la firma siga siendo verificable incluso tras la caducidad del certificado, se le puede añadir la marca de tiempo de un servicio de marca de tiempo. En este caso, solo se transmite un valor hash, ni el archivo ni los datos personales.
• La prueba forma parte del archivo y se publica junto con él. En el nivel «Sin etiquetado de la UE», no se incluye ninguna prueba de origen. Las plataformas que recodifican o convierten los archivos al subirlos pueden eliminar el certificado; esto no afecta a una marca visible grabada de forma permanente (véase el apartado 8.3).

Base jurídica: art. 6, apartado 1, letra c) del RGPD, en relación con el art. 50, apartado 2, del Reglamento (UE) 2024/1689 (etiquetado legible por máquina de contenidos generados por IA), así como el art. 6, apartado 1, letra b), del RGPD (suministro de la función de etiquetado acordada contractualmente).

8.3 Sus obligaciones como operador en relación con los «deepfakes» y el etiquetado visible de la UE

• Si publica contenidos generados por PostMaestro.ai, se le considera «operador» (Operator) según la Ley de IA de la UE. La obligación de divulgación prevista en el artículo 50, apartado 4, de la Ley de IA de la UE para contenidos de imagen, vídeo y audio que se asemejen de forma engañosa a personas, lugares o acontecimientos reales («deepfakes») le afecta directamente.
• Logotipos oficiales de la UE: Para cumplir con esta obligación, PostMaestro.ai proporciona los logotipos oficiales de la Comisión Europea, que se incorporan directamente en el material gráfico en formato de imagen vectorial:
• 1. «AI GENERATED» (insignia en forma de pastilla): Para contenidos gráficos y multimedia generados de forma totalmente sintética.
• 2. «AI MODIFIED» (etiqueta en forma de pastilla): Para imágenes o fotografías reales existentes que hayan sido modificadas o retocadas mediante IA generativa.
• 3. «AI» (icono redondo): para contenidos de voz sintética, así como alternativa para formatos de imagen extremadamente estrechos o vistas previas pequeñas en las que el texto resultaría ilegible.
• Tres niveles de clasificación: antes de la publicación, puede elegir entre tres niveles para cada medio en el menú de la UE:
• • Insignia de IA + metadatos (estándar para contenidos generados): insignia óptica de la UE incrustada, además de metadatos de archivo XMP/IPTC legibles por máquina y certificado de origen C2PA firmado (véase 8.2a).
• • Solo metadatos: metadatos de procedencia XMP/IPTC completos y legibles por máquina, así como el certificado de procedencia C2PA en el archivo, pero sin insignia visible en la imagen.
• • Sin etiquetado de la UE: renuncia total a las insignias visibles, eliminación de los metadatos de origen de la IA del archivo y ausencia de certificado de origen C2PA.
• Restricciones obligatorias para contenidos sensibles: en el caso de las imágenes fotorrealistas de personas (clase de contenido A1) y las voces sintéticas (clase de contenido V1), la indicación visible es obligatoria por ley. Mientras el conmutador de la Ley de IA de la UE de la marca esté activo para el idioma en cuestión, el sistema desactivará para estas clases las opciones «Solo metadatos» y «Sin etiquetado de la UE» («LABEL_REQUIRED»). Si el conmutador está desactivado para un idioma porque los contenidos no están destinados al mercado de la UE, el usuario puede cambiar a «Solo metadatos»; la etiqueta legible por máquina se mantiene en todo momento («METADATA_REQUIRED»). El usuario es responsable del cumplimiento de las obligaciones de etiquetado en el mercado de destino correspondiente.
• Tiene la obligación de comprobar, bajo su propia responsabilidad y antes de la publicación, si el modo elegido cumple los requisitos de la Ley de IA de la UE y las directrices de la plataforma de destino correspondiente.

8.3a Diseño cromático de las insignias, comprobación del contraste y composición

• Para que la marca legal no afecte a la calidad visual de su publicación y, al mismo tiempo, siga siendo legible, PostMaestro.ai ofrece opciones de diseño flexibles:
• • Variantes de color disponibles: en el menú de la UE puede elegir entre cinco variantes: «Auto» (predeterminado), «Negro», «Blanco», «Negro 50 % transparente» y «Blanco 50 % transparente».
• • Modo predeterminado «Auto»: selecciona automáticamente una etiqueta semitransparente al 50 % con el contraste óptimo respecto al fondo: blanco al 50 % en las esquinas oscuras y negro al 50 % en las esquinas claras.
• • Planificación de la composición con IA: Nuestros agentes de indicaciones (Visual Agent, Thumbnail Agent, Visual Creator) planifican de forma proactiva, al crear las indicaciones, un rincón de la imagen (disclosureCorner) tranquilo y con pocos detalles, libre de textos, rostros o logotipos, y proponen un color adecuado (disclosureStyle).
• • Comprobación algorítmica del contraste: durante el renderizado, el sistema mide la luminancia real y la desviación estándar de la esquina de destino. Si el brillo real de la imagen difiere de la propuesta del agente, el renderizador corrige automáticamente el color para evitar representaciones ilegibles (por ejemplo, una insignia oscura sobre una sombra oscura).

8.3b Subidas propias («Sin imagen generada por IA») y ciclo de vida de las versiones sin etiquetar

• No se producen clasificaciones erróneas de los medios reales: los archivos que usted mismo haya subido o los medios reales de la biblioteca de contenidos son reconocidos por el sistema como no generados por IA (aiOrigin: false) y se marcan en la interfaz con un estado gris neutro como «Imagen sin IA». Por defecto, no se aplica ninguna etiqueta de IA a estos archivos multimedia.
• Etiquetado voluntario con IA: si lo desea, también puede añadir de forma voluntaria una etiqueta de la UE y metadatos a sus propias subidas (por ejemplo, en el caso de directrices internas de la empresa o ediciones híbridas). Esta etiqueta voluntaria se puede eliminar en cualquier momento.
• Versión provisional sin etiquetar (Clean Source): Para que puedas cambiar con flexibilidad entre los distintos niveles («Insignia + metadatos», «Solo metadatos», «Sin etiquetado») hasta el momento de la publicación, PostMaestro.ai guarda, durante la fase de borrador, una versión sin etiquetar de la imagen en el almacenamiento protegido.
• Eliminación irrevocable tras la publicación: en cuanto se publica una entrada (estado «published»), se activa nuestro proceso automático de limpieza de datos (post-media-cleanup): todas las versiones preliminares sin etiquetar se eliminan de forma irrevocable de nuestros servidores. El estado de publicación de la entrada queda fijado de forma permanente, de modo que no es posible eliminar posteriormente ninguna marca sin que se detecte.

Periodo de conservación: Los borradores sin marcar solo permanecen en nuestros sistemas hasta el momento de la publicación o hasta que se elimine el borrador de la entrada.

8.4 Textos generados por IA y responsabilidad editorial

• En lo que respecta a los textos, el artículo 50 de la Ley de Inteligencia Artificial de la UE tiene un alcance mucho más limitado que en el caso de las imágenes, el audio y el vídeo. Solo existe la obligación de divulgación cuando se cumplen las tres condiciones siguientes:
• 1. El texto ha sido generado o manipulado mediante inteligencia artificial.
• 2. Se publica el texto.
• 3. La publicación tiene por objeto informar a la ciudadanía sobre asuntos de interés público, como noticias, opiniones políticas o sociales y aportaciones a los debates públicos.
• La obligación de identificación no se aplica cuando el contenido haya sido sometido a una revisión humana o a un control editorial y una persona física o jurídica asuma la responsabilidad editorial de la publicación.
• No existe una obligación general de identificar todos los textos generados por IA. Quien utilice la IA como herramienta de apoyo, revise los textos desde el punto de vista editorial y asuma la responsabilidad de los mismos, no está sujeto, por regla general, a ninguna obligación adicional de identificación.
• PostMaestro.ai está diseñado precisamente para eso: los textos generados son propuestas. Antes de programarlos o publicarlos, solicitamos una confirmación expresa de que ha revisado el texto y asume la responsabilidad editorial. Registramos esta confirmación indicando la hora, la cuenta de usuario y la versión del texto, para que la excepción quede documentada.
• La nota que aparece en la aplicación dice: «Este texto es una propuesta. Por favor, revíselo antes de su publicación. Al revisarlo, asume la responsabilidad editorial».
• Sin esta verificación, no podrá publicar los textos generados como contenidos de responsabilidad editorial; en tal caso, podría aplicarse la obligación de divulgación prevista en el artículo 50, apartado 4, de la Ley de IA de la UE.

8.5 Ausencia de reconocimiento de emociones y de categorización biométrica

• PostMaestro.ai no utiliza sistemas de reconocimiento de emociones ni deduce emociones, estados emocionales o intenciones a partir de datos biométricos.
• No realizamos ninguna clasificación biométrica, ni reconocimiento facial, ni identificación biométrica, ni reconocimiento de características protegidas como el origen étnico, las opiniones políticas, la religión, la afiliación sindical, la salud o la orientación sexual.
• Las funciones de evaluación, como «Idea Validation», «Brand Analyser» o los análisis de rendimiento, se refieren exclusivamente a contenidos, datos sobre marcas y de alcance, y no a personas ni a características biométricas.
• Por lo tanto, las obligaciones de información previstas en el artículo 50, apartado 3, de la Ley de Inteligencia Artificial de la UE para los sistemas de reconocimiento de emociones y de categorización biométrica no son de aplicación en nuestro caso.

8.6 Usos prohibidos: representaciones íntimas sin consentimiento y representaciones de abuso infantil

• El artículo 5 de la Ley de IA de la UE prohíbe los sistemas de IA cuyo resultado, razonablemente previsible, sean representaciones íntimas no consentidas (NCII) o representaciones de abuso sexual infantil (CSAM). Como proveedores de una herramienta general de generación de imágenes y vídeos, evaluamos este riesgo de abuso ya en la fase de diseño y establecemos medidas de protección técnicas.
• Medidas de protección aplicadas:
• • Filtros de entrada que bloquean las indicaciones pertinentes antes incluso de que se invoquen los modelos de imagen y vídeo
• • Los filtros de salida y la configuración de seguridad de los proveedores de modelos utilizados
• • Bloqueo de contenidos dirigidos a menores en un contexto sexual o que muestren imágenes íntimas de personas identificables
• • Desactivación de las funciones «Persona» y «Voice» sin el consentimiento documentado del interesado (véase el apartado 5.9)
• • Registro de las solicitudes bloqueadas para la detección de abusos, así como la posibilidad de bloquear las cuentas afectadas
• Cualquier uso de la plataforma con estos fines está estrictamente prohibido y dará lugar al bloqueo inmediato de la cuenta, así como, si hay indicios de delitos, a la intervención de las autoridades competentes.
• Denunciar un uso indebido: tanto usted como terceros pueden denunciar infracciones en cualquier momento en info@nexaluna.ai, indicando en el asunto «Denunciar uso indebido de la IA». Examinaremos las denuncias recibidas con carácter prioritario y le confirmaremos su recepción.
• Documentamos internamente nuestra evaluación de riesgos realizada en la fase de diseño, los filtros utilizados y la tramitación de las notificaciones, y los presentamos cuando así lo soliciten las autoridades competentes.

8.7 Distribución de funciones: proveedores y operadores

• El proveedor, en el sentido de la Ley de IA de la UE, es Nexaluna AI Solutions UG (de responsabilidad limitada) para el sistema de IA PostMaestro.ai. Nos incumben las obligaciones del proveedor, en particular el marcado legible por máquina de los resultados, de conformidad con el artículo 50, apartado 2, y la divulgación de la interacción con la IA, de conformidad con el artículo 50, apartado 1.
• Se le considera operador en cuanto utilice la plataforma bajo su responsabilidad y publique los contenidos generados. Le incumben las obligaciones propias del operador, en particular la obligación de divulgación prevista en el artículo 50, apartado 4, en el caso de los «deepfakes» y de los textos de interés público.
• Los modelos básicos utilizados proceden de terceros (véase el apartado 7). Sus proveedores son los proveedores de los respectivos modelos de IA; nosotros somos los proveedores del sistema de IA basado en ellos.
• Mantenemos internamente un registro de todos los modelos utilizados con la asignación de funciones correspondiente y lo actualizamos cuando se producen cambios.
• En lo que respecta a la competencia en materia de IA, según el artículo 4 de la Ley de IA de la UE, formamos a nuestros empleados en el manejo de los sistemas de IA que utilizamos y documentamos dichas formaciones.

8.8 Supervisión y reclamaciones

• Desde el 29 de julio de 2026, la Agencia Federal de Redes es la autoridad competente en materia de vigilancia del mercado, el punto de contacto central y la oficina de reclamaciones para la Ley de IA de la UE en Alemania.
• Agencia Federal de Redes, Tulpenfeld 4, 53113 Bonn, https://www.bundesnetzagentur.de
• Puede presentar reclamaciones sobre la transparencia de la IA en cualquier momento a través de ese canal. Le rogamos que se ponga en contacto con nosotros previamente en info@nexaluna.ai para que podamos resolver su consulta de inmediato.