Política de privacidad

5.1 Datos de registro y cuenta

• Al registrarte, recopilamos:
• • Dirección de correo electrónico (campo obligatorio)
• • Nombre de usuario (campo obligatorio)
• • Contraseña (cifrada con bcrypt, de al menos 8 caracteres)
• • Tipo de cuenta (personal o de empresa)
• • Fecha de registro
• • Autenticación de dos factores (2FA): opcional, pero recomendada
• Finalidad: gestión y administración de su cuenta, autenticación y seguridad
• Los datos de la autenticación de dos factores (2FA) solo se almacenan localmente en tu dispositivo (escaneo del código QR). Nosotros solo almacenamos el estado de activación.
• Nota: También puede registrarse o iniciar sesión a través de Google, Meta (Facebook), LinkedIn, TikTok o X; consulte el apartado 5.1a para conocer los datos y autorizaciones que se solicitan en cada caso.
• Para protegernos contra los registros automatizados (bots), utilizamos Cloudflare Turnstile (véase el apartado 10a.2).

5.1a Registro e inicio de sesión a través de terceros (inicio de sesión mediante redes sociales)

• Además del registro clásico con correo electrónico y contraseña, puede registrarse o iniciar sesión en PostMaestro.ai a través de los siguientes proveedores externos. Estas conexiones sirven exclusivamente para la creación de cuentas y el inicio de sesión, y son independientes de los enlaces a redes sociales para publicar entradas (véase el apartado 5.5); en cada caso se solicitan permisos OAuth (ámbitos) propios, con un nivel de acceso claramente más limitado:
• • Google (ámbitos: openid, profile, email): se transmiten el ID de Google, la dirección de correo electrónico, el nombre y los apellidos, la foto de perfil y el idioma
• • Inicio de sesión en Meta / Facebook (ámbitos: public_profile, email): se transmiten el ID de Facebook, la dirección de correo electrónico, el nombre y los apellidos, la foto de perfil y el idioma
• • Inicio de sesión en Instagram Business (ámbito: instagram_business_basic): se transmiten el ID de Instagram, el nombre de usuario, el nombre de perfil y la foto de perfil (no se transmite la dirección de correo electrónico, ya que esta se solicita por separado durante el proceso de alta).
• • LinkedIn (OpenID Connect, ámbitos: openid, profile, email): se transmiten el ID de LinkedIn, la dirección de correo electrónico, el nombre y los apellidos, la foto de perfil y el idioma
• • Kit de inicio de sesión de TikTok (ámbitos: user.info.basic, user.info.profile): se transmiten el OpenID de TikTok, el nombre de usuario, el nombre que se muestra y la foto de perfil (TikTok no proporciona ninguna dirección de correo electrónico; hasta que se introduzca durante el proceso de registro, se utiliza internamente una dirección provisional).
• • X / Twitter (OAuth 2.0 con PKCE, ámbitos: users.read, users.email, tweet.read): se transmiten el X-ID, el nombre de usuario, el nombre que aparece en el perfil, la foto de perfil y, si se ha facilitado a X, la dirección de correo electrónico verificada
• Estos ámbitos de acceso solo permiten consultar los datos básicos del perfil para la creación de la cuenta. No se publican entradas, no se leen mensajes ni se concede acceso a tus contactos.
• Si una dirección de correo electrónico ya registrada vuelve a registrarse a través de otro proveedor, identificamos la cuenta existente a partir de la dirección de correo electrónico (sin tener en cuenta las mayúsculas y minúsculas) y vinculamos posteriormente el nuevo identificador del proveedor (vinculación de cuentas), en lugar de crear una cuenta duplicada.
• Si lo tiene activado en su configuración de seguridad, cada vez que inicie sesión (incluso mediante inicio de sesión a través de redes sociales), le enviaremos una notificación por correo electrónico con la hora, el dispositivo, el navegador y la ubicación aproximada. La ubicación se determina a partir de su dirección IP a través del proveedor externo ipinfo.io (véase el apartado 10a.1).
• Eliminación de la cuenta de Meta: Para el inicio de sesión a través de Meta (Facebook/Instagram), proporcionamos los puntos de retorno (callback) exigidos por Meta para la revocación de la autorización y la eliminación de datos. Si elimina la aplicación en la configuración de su cuenta de Facebook o solicita allí la supresión de datos, recibiremos automáticamente la solicitud correspondiente y facilitaremos el estado de tramitación a través de una URL de estado indicada por Meta.

5.2 Perfiles y datos de las marcas

• Al crear un perfil de marca, guardamos:
• - Marca y descripción
• - URL del sitio web (para Brand Analyser)
• - Directrices y documentos de marca cargados
• - Análisis de los datos de la marca (colores, fuentes, tono de voz)
• - Logotipo y recursos visuales
• - Definiciones de los grupos destinatarios
• - Sector y categoría
• Finalidad: Creación de contenidos adaptados al mercado, gestión de la identidad de marca

5.3 Datos de contenido (entradas, medios, campañas)

• Al utilizar la función de creación de contenidos, almacenamos:
• • Publicaciones en redes sociales creadas y programadas (texto, pies de foto, hashtags)
• • Imágenes, vídeos y gráficos subidos y generados
• • Datos de las campañas y plantillas
• • Validación de ideas (datos de «swipe» en el Idea Generator)
• • Documentos de investigación
• • Estado del contenido (borrador, en revisión, programado, publicado)
• • Fechas y plataformas de publicación
• • Datos de etiquetado y procedencia de los contenidos multimedia generados (clase de contenido, estado de etiquetado, estado de los metadatos), así como su confirmación de la revisión editorial de los textos generados
• Objetivo: gestión de contenidos, planificación, automatización, archivo y cumplimiento de las obligaciones de transparencia en materia de IA
• Siempre que sea técnicamente posible, los archivos multimedia generados incluirán información de identificación, metadatos o indicadores técnicos similares que indiquen que se trata de contenidos generados por IA o asistidos por IA (véase el apartado 8.2).

5.4 Datos de uso y análisis

• Almacenamos datos para mejorar la plataforma:
• - Horas de inicio de sesión y duración de la sesión
• - Características y funciones utilizadas
• - Datos de consumo y facturación de tokens
• - Informes de errores y datos de rendimiento
• - Comentarios y solicitudes de asistencia
• Finalidad: Mejora de la plataforma, análisis de errores, asistencia, facturación

5.5 Enlaces a plataformas de redes sociales (publicación)

• Si conectas cuentas de redes sociales para publicar contenido (LinkedIn, Instagram, Facebook, Threads, WhatsApp Business, X, YouTube, TikTok, Wix, WordPress, tu propia página web), cada plataforma solicita a través de OAuth únicamente los permisos (ámbitos) necesarios para ello. Estas conexiones son independientes del inicio de sesión a través de redes sociales para acceder a la cuenta (véase el apartado 5.1a).
• Los tokens de acceso y de actualización de OAuth se almacenan en la base de datos cifrados con AES-256-GCM según la plataforma (véase la sección 10). Los tokens caducados y no renovables se invalidan automáticamente.
• En los apartados siguientes se describe, para cada plataforma, qué datos se tratan, para qué se utilizan y cuándo se eliminan. Los datos de las plataformas se utilizan exclusivamente para la gestión de la presencia en línea del cliente correspondiente.
• Puedes desconectar cualquier conexión en cualquier momento desde los ajustes. Además, te recomendamos que revoques el permiso de la aplicación directamente en la plataforma correspondiente (por ejemplo, en los ajustes de tu cuenta de LinkedIn o Meta).

5.6 Datos de la cuenta del equipo y de la empresa

• Para las cuentas de empresa con varios usuarios, también almacenamos datos:
• - Los miembros del equipo y sus funciones
• - Autorizaciones y control de acceso
• - Flujos de trabajo de aprobación y comentarios
• - Registros de actividad (registro de auditoría)
• Finalidad: colaboración en equipo, control de acceso, cumplimiento de normas

5.7 Notificaciones (en la aplicación, push y correo electrónico)

• PostMaestro.ai le informa sobre las actividades que tienen lugar en su cuenta, como comentarios y menciones, generaciones completadas, publicaciones, invitaciones al equipo, facturación, seguridad y mantenimiento. Para ello, tratamos:
• • Notificaciones en tu bandeja de entrada (campanilla), incluyendo el estado de lectura y de ocultación
• • Tus ajustes de notificaciones por canal, categoría, área y grupo de equipo
• • Para las notificaciones push (aplicación móvil y navegador): token del dispositivo, un identificador aleatorio del dispositivo, nombre del dispositivo, plataforma, versión de la aplicación y hora del último uso
• • Si la aplicación está abierta en un dispositivo en ese momento (señal de visibilidad, válida durante 90 segundos), para que no recibas ninguna notificación push adicional en el dispositivo que estés utilizando en ese momento
• Enviamos las notificaciones push a través de Firebase Cloud Messaging (Google) y las notificaciones por correo electrónico a través de SendGrid (véase el apartado 6.3).
• Puede activar o desactivar las notificaciones opcionales en Ajustes → Notificaciones para cada canal; las notificaciones push también se pueden configurar en los ajustes de su dispositivo o navegador.
• Las notificaciones necesarias para el uso de tu cuenta (por ejemplo, problemas de pago, obligación de utilizar la autenticación de dos factores, mantenimiento o cambios en las condiciones generales) se enviarán, independientemente de estos ajustes, a través de la aplicación y por correo electrónico. Las notificaciones de inicio de sesión quedan excluidas de esta norma y son opcionales (véase el apartado 12.1). En casos excepcionales —por ejemplo, en caso de trabajos de mantenimiento o avisos relacionados con la seguridad—, también podemos mostrar anuncios en la aplicación y mediante notificaciones push, independientemente de la configuración de categorías que haya establecido; dichos avisos se marcan como «Importantes».
• Solo recibirá correos electrónicos publicitarios (por ejemplo, sobre nuevas funciones) si se ha suscrito al boletín informativo (apartado 6).

5.8 Noticias, investigación y RSS

• La plataforma ofrece una función de noticias que utiliza de serie la investigación asistida por IA (a través de Perplexity AI) para ofrecer noticias relevantes del sector. También puede añadir sus propios canales RSS. Al hacerlo, procesamos:
• - Consultas y preferencias temáticas en la búsqueda de noticias con ayuda de la IA
• - Las URL de los canales RSS que ha añadido
• - Sus preferencias y categorías para estos feeds
• - Artículos leídos o guardados
• La plataforma recupera el contenido de los canales de terceros a través de nuestros servidores, de modo que su dirección IP no se transmite a los operadores de los canales RSS. Al utilizar la búsqueda de noticias asistida por IA, sus consultas de búsqueda se transmiten a Perplexity AI (véase la sección 7.3).
• Finalidad: Proporcionar noticias personalizadas del sector, investigación e inspiración de contenidos.

6.1 Procedimiento de doble confirmación

Tras registrarse a través de la página web, recibirá un correo electrónico con un enlace de confirmación. Solo después de hacer clic en él le incluiremos en la lista de distribución. Los registros no confirmados se eliminan al cabo de 30 días; no enviamos ningún recordatorio.

Al registrarse en la aplicación, confirma la suscripción haciendo clic en el enlace que aparece en el correo electrónico de confirmación de tu cuenta, en el que te lo indicamos expresamente.

Esto evita que se registren direcciones de correo electrónico ajenas.

6.2 Justificante de su consentimiento

Para poder demostrar que ha dado su consentimiento (art. 7, apartado 1, del RGPD), registramos el registro, la confirmación y la baja, indicando la fecha y hora, el origen, la dirección IP, el identificador del navegador y la versión del texto de consentimiento mostrado.

Conservamos este registro durante 3 años tras su baja y, posteriormente, lo eliminamos automáticamente.

6.3 SendGrid (envío de correos electrónicos)

Para el envío del boletín informativo, así como de los correos electrónicos de servicio y notificaciones, utilizamos SendGrid (Twilio Inc., EE. UU.).

SendGrid procesa su dirección de correo electrónico y el contenido del correo en nuestro nombre y nos notifica los eventos técnicos de entrega (entregado, no entregable, marcado como spam, baja). Utilizamos estos eventos para mantener actualizada la lista de distribución: las direcciones en las que no se puede entregar el correo y las denuncias de spam dan lugar al bloqueo de la dirección.

Hemos celebrado con SendGrid un contrato de encargado del tratamiento (AVV) de conformidad con el artículo 28 del RGPD. SendGrid está certificado según el Marco de Protección de Datos UE-EE. UU.

Más información: https://www.twilio.com/legal/privacy

Política de privacidad de Twilio (SendGrid)

6.4 Seguimiento del boletín informativo

Actualmente no medimos ni las aperturas ni los clics.

Antes de introducir este tipo de estadísticas, le informaremos con antelación y, en la medida en que sea necesario, recabaremos su consentimiento.

6.5 Cancelación de la suscripción

Puede darse de baja del boletín informativo en cualquier momento:

• a través del enlace de baja que aparece en cada correo electrónico o de la función de baja de tu programa de correo electrónico

• A través del formulario que aparece al final de esta sección: introduzca su dirección de correo electrónico y le enviaremos un enlace para confirmar la baja.

• En su cuenta de PostMaestro, en Configuración → Notificaciones

• por correo electrónico a support@postmaestro.ai

Tras darse de baja, ya no recibirá más boletines informativos. Su dirección dejará de figurar en la lista de distribución; solo se conservará el registro previsto en el apartado 6.2.

8.1 Divulgación de la interacción con un sistema de inteligencia artificial

• En PostMaestro.ai interactúas directamente con sistemas de IA. Todas las funciones que generan, evalúan, resumen, traducen o reformulan contenidos están basadas en IA y se identifican como tales en la interfaz de usuario.
• La indicación se muestra antes de la primera interacción, de forma clara, comprensible y claramente diferenciada del resto de elementos de control (art. 50, apartado 1, de la Ley de IA de la UE).
• Publicamos estas indicaciones de forma accesible y las adaptamos a los requisitos de accesibilidad reconocidos (art. 50, apartado 5, de la Ley de Accesibilidad de la UE).
• Las respuestas y sugerencias de la IA pueden ser incompletas, obsoletas o objetivamente erróneas. No constituyen asesoramiento jurídico, fiscal, médico ni financiero.

8.2 Etiquetado legible por máquina de los contenidos generados

• De conformidad con el artículo 50, apartado 2, de la Ley de la UE sobre IA, los contenidos generados por sistemas de IA que produzcan imágenes, audio, vídeo o texto sintéticos deben identificarse, en un formato legible por máquina, como generados o manipulados artificialmente. La identificación debe ser eficaz, interoperable, sólida y fiable.
• Aplicamos este requisito mediante varios procedimientos complementarios, ya que, según el estado actual de la técnica, ningún procedimiento por sí solo alcanza la robustez exigida:
• • Metadatos de origen en el archivo: Durante la exportación, incluimos metadatos XMP e IPTC en los archivos multimedia generados, en concreto el campo IPTC «Digital Source Type» con el valor «trainedAlgorithmicMedia», así como información sobre el sistema de IA utilizado, la versión del modelo y la fecha de generación.
• • Content Credentials (C2PA): Para los archivos de imagen y vídeo generados, incorporamos en el proceso de salida una indicación de origen firmada criptográficamente según el estándar C2PA.
• • Marcas de agua del proveedor: en la medida en que el proveedor de modelos correspondiente incluya marcas de agua invisibles, estas se mantendrán y no se eliminarán. En el caso de los modelos de imágenes de Google Gemini, se trata del método de marca de agua SynthID.
• • Validación: Tras la escritura, volvemos a leer la marca y registramos un estado para cada archivo («pendiente», «válido», «faltante», «eliminado»). Si la incrustación falla, en el caso de las clases de contenido sensible, imponemos una marca visible.
• La marca se establece en el servidor antes de que un archivo se almacene o se envíe, para que conserve su integridad durante el renderizado, la subida y la descarga. Desde el punto de vista técnico, no se puede descartar que terceros o plataformas de destino eliminen los metadatos al volver a subir, comprimir o recortar el archivo. En ese caso, la marca visible seguirá siendo su garantía (véase el apartado 8.3).
• Estado de transposición y plazo: Las obligaciones de transparencia del artículo 50 de la Ley de IA de la UE son de aplicación desde el 2 de agosto de 2026. Para los sistemas de IA que, al igual que PostMaestro.ai, ya se encontraban en el mercado antes de esa fecha, se aplica un período transitorio hasta el 2 de diciembre de 2026. Implementaremos íntegramente los procedimientos descritos anteriormente dentro de ese plazo y documentaremos internamente el estado de la implementación.
• Una simple referencia en esta declaración de protección de datos no basta para cumplir lo dispuesto en el artículo 50, apartado 2, de la Ley de IA de la UE. Lo determinante es la marca legible por máquina que figure en el propio archivo.

8.3 Sus obligaciones como operador en relación con los deepfakes

• Si publica contenidos generados con PostMaestro.ai, usted es el «operador» en el sentido de la Ley de IA de la UE. En este caso, la obligación de divulgación prevista en el artículo 50, apartado 4, de la Ley de IA de la UE recae sobre usted y no sobre nosotros.
• Si crea o edita contenidos de imagen, audio o vídeo que se parezcan de forma engañosa a personas, objetos, lugares, instituciones o acontecimientos reales («deepfakes»), deberá indicar, al publicarlos, que dichos contenidos han sido generados o manipulados artificialmente.
• Según las directrices de la Comisión Europea, esta obligación se aplica independientemente de que exista intención de engañar y también cuando no aparezca representada ninguna persona real concreta. Por lo tanto, suele ser aplicable a las publicaciones en las redes sociales.
• Para facilitar esta tarea, ponemos a tu disposición: una marca visible como configuración predeterminada para las clases de contenido sensible, una sugerencia de texto informativo para la exportación y una nota en el proceso de publicación.
• La configuración predeterminada es siempre «marcado». La desactivación debe quedar documentada: registramos la hora, la cuenta de usuario, el espacio de trabajo y la versión del texto de confirmación. En el caso de las representaciones fotorrealistas de personas y las voces sintéticas, no es posible desactivar esta función.
• No podrá eliminar, desactivar, eludir ni alterar el funcionamiento de los mecanismos de identificación y divulgación que ponemos a su disposición (véase el apartado 6.4 de las Condiciones Generales).
• Esta obligación se suma a los requisitos de identificación establecidos por la plataforma de redes sociales correspondiente. Debe comprobar usted mismo si, en cada caso concreto, existe la obligación de divulgación.

8.4 Textos generados por IA y responsabilidad editorial

• En lo que respecta a los textos, el artículo 50 de la Ley de Inteligencia Artificial de la UE tiene un alcance mucho más limitado que en el caso de las imágenes, el audio y el vídeo. Solo existe la obligación de divulgación cuando se cumplen las tres condiciones siguientes:
• 1. El texto ha sido generado o manipulado mediante inteligencia artificial.
• 2. Se publica el texto.
• 3. La publicación tiene por objeto informar a la ciudadanía sobre asuntos de interés público, como noticias, opiniones políticas o sociales y aportaciones a los debates públicos.
• La obligación de identificación no se aplica cuando el contenido haya sido sometido a una revisión humana o a un control editorial y una persona física o jurídica asuma la responsabilidad editorial de la publicación.
• No existe una obligación general de identificar todos los textos generados por IA. Quien utilice la IA como herramienta de apoyo, revise los textos desde el punto de vista editorial y asuma la responsabilidad de los mismos, no está sujeto, por regla general, a ninguna obligación adicional de identificación.
• PostMaestro.ai está diseñado precisamente para eso: los textos generados son propuestas. Antes de programarlos o publicarlos, solicitamos una confirmación expresa de que ha revisado el texto y asume la responsabilidad editorial. Registramos esta confirmación indicando la hora, la cuenta de usuario y la versión del texto, para que la excepción quede documentada.
• La nota que aparece en la aplicación dice: «Este texto es una propuesta. Por favor, revíselo antes de su publicación. Al revisarlo, asume la responsabilidad editorial».
• Sin esta verificación, no podrá publicar los textos generados como contenidos de responsabilidad editorial; en tal caso, podría aplicarse la obligación de divulgación prevista en el artículo 50, apartado 4, de la Ley de IA de la UE.

8.5 Ausencia de reconocimiento de emociones y de categorización biométrica

• PostMaestro.ai no utiliza sistemas de reconocimiento de emociones ni deduce emociones, estados emocionales o intenciones a partir de datos biométricos.
• No realizamos ninguna clasificación biométrica, ni reconocimiento facial, ni identificación biométrica, ni reconocimiento de características protegidas como el origen étnico, las opiniones políticas, la religión, la afiliación sindical, la salud o la orientación sexual.
• Las funciones de evaluación, como «Idea Validation», «Brand Analyser» o los análisis de rendimiento, se refieren exclusivamente a contenidos, datos sobre marcas y de alcance, y no a personas ni a características biométricas.
• Por lo tanto, las obligaciones de información previstas en el artículo 50, apartado 3, de la Ley de Inteligencia Artificial de la UE para los sistemas de reconocimiento de emociones y de categorización biométrica no son de aplicación en nuestro caso.

8.6 Usos prohibidos: representaciones íntimas sin consentimiento y representaciones de abuso infantil

• El artículo 5 de la Ley de IA de la UE prohíbe los sistemas de IA cuyo resultado, razonablemente previsible, sean representaciones íntimas no consentidas (NCII) o representaciones de abuso sexual infantil (CSAM). Como proveedores de una herramienta general de generación de imágenes y vídeos, evaluamos este riesgo de abuso ya en la fase de diseño y establecemos medidas de protección técnicas.
• Medidas de protección aplicadas:
• • Filtros de entrada que bloquean las indicaciones pertinentes antes incluso de que se invoquen los modelos de imagen y vídeo
• • Los filtros de salida y la configuración de seguridad de los proveedores de modelos utilizados
• • Bloqueo de contenidos dirigidos a menores en un contexto sexual o que muestren imágenes íntimas de personas identificables
• • Desactivación de las funciones «Persona» y «Voice» sin el consentimiento documentado del interesado (véase el apartado 5.9)
• • Registro de las solicitudes bloqueadas para la detección de abusos, así como la posibilidad de bloquear las cuentas afectadas
• Cualquier uso de la plataforma con estos fines está estrictamente prohibido y dará lugar al bloqueo inmediato de la cuenta, así como, si hay indicios de delitos, a la intervención de las autoridades competentes.
• Denunciar un uso indebido: tanto usted como terceros pueden denunciar infracciones en cualquier momento en info@nexaluna.ai, indicando en el asunto «Denunciar uso indebido de la IA». Examinaremos las denuncias recibidas con carácter prioritario y le confirmaremos su recepción.
• Documentamos internamente nuestra evaluación de riesgos realizada en la fase de diseño, los filtros utilizados y la tramitación de las notificaciones, y los presentamos cuando así lo soliciten las autoridades competentes.

8.7 Distribución de funciones: proveedores y operadores

• El proveedor, en el sentido de la Ley de IA de la UE, es Nexaluna AI Solutions UG (de responsabilidad limitada) para el sistema de IA PostMaestro.ai. Nos incumben las obligaciones del proveedor, en particular el marcado legible por máquina de los resultados, de conformidad con el artículo 50, apartado 2, y la divulgación de la interacción con la IA, de conformidad con el artículo 50, apartado 1.
• Se le considera operador en cuanto utilice la plataforma bajo su responsabilidad y publique los contenidos generados. Le incumben las obligaciones propias del operador, en particular la obligación de divulgación prevista en el artículo 50, apartado 4, en el caso de los «deepfakes» y de los textos de interés público.
• Los modelos básicos utilizados proceden de terceros (véase el apartado 7). Sus proveedores son los proveedores de los respectivos modelos de IA; nosotros somos los proveedores del sistema de IA basado en ellos.
• Mantenemos internamente un registro de todos los modelos utilizados con la asignación de funciones correspondiente y lo actualizamos cuando se producen cambios.
• En lo que respecta a la competencia en materia de IA, según el artículo 4 de la Ley de IA de la UE, formamos a nuestros empleados en el manejo de los sistemas de IA que utilizamos y documentamos dichas formaciones.

8.8 Supervisión y reclamaciones

• Desde el 29 de julio de 2026, la Agencia Federal de Redes es la autoridad competente en materia de vigilancia del mercado, el punto de contacto central y la oficina de reclamaciones para la Ley de IA de la UE en Alemania.
• Agencia Federal de Redes, Tulpenfeld 4, 53113 Bonn, https://www.bundesnetzagentur.de
• Puede presentar reclamaciones sobre la transparencia de la IA en cualquier momento a través de ese canal. Le rogamos que se ponga en contacto con nosotros previamente en info@nexaluna.ai para que podamos resolver su consulta de inmediato.