Política de privacidad

5.1 Datos de registro y de la cuenta

• Al registrarte, recopilamos:
• • Dirección de correo electrónico (campo obligatorio)
• • Nombre de usuario (campo obligatorio)
• • Contraseña (encriptada con bcrypt, de al menos 8 caracteres)
• • Tipo de cuenta (personal o empresarial)
• • Fecha de registro
• • Autenticación de dos factores (2FA): opcional, pero recomendada
• Finalidad: Proporcionar y administrar su cuenta, autenticación, seguridad
• Los datos de la autenticación de dos factores (2FA) se guardan únicamente de forma local en tu dispositivo (escaneo del código QR). Nosotros solo guardamos el estado de activación.
• Nota: También puede registrarse o iniciar sesión a través de Google, Meta (Facebook), LinkedIn, TikTok o X; consulte la sección 5.1a para conocer los datos y las autorizaciones que se solicitan en cada caso.
• Para protegernos contra los registros automatizados (bots), utilizamos Cloudflare Turnstile (véase la sección 10a.2).

5.1a Registro e inicio de sesión a través de terceros (inicio de sesión con redes sociales)

• Además del registro clásico con correo electrónico y contraseña, puedes registrarte o iniciar sesión en PostMaestro.ai a través de los siguientes proveedores externos. Estas conexiones sirven exclusivamente para crear una cuenta e iniciar sesión, y son independientes de los enlaces a redes sociales para publicar entradas (véase la sección 5.5); en cada caso se solicitan autorizaciones OAuth (ámbitos) propias, con un nivel de acceso significativamente más limitado:
• • Google (ámbitos: openid, profile, email): se transmiten el ID de Google, la dirección de correo electrónico, el nombre y apellido, la foto de perfil y el idioma
• • Inicio de sesión con Meta / Facebook (ámbitos: public_profile, email): se transmiten el ID de Facebook, la dirección de correo electrónico, el nombre y apellido, la foto de perfil y el idioma
• • Inicio de sesión en Instagram Business (alcance: instagram_business_basic): se transmiten el ID de Instagram, el nombre de usuario, el nombre de perfil y la foto de perfil (no se transmite la dirección de correo electrónico; esta se solicita por separado durante el proceso de registro)
• • LinkedIn (OpenID Connect, ámbitos: openid, profile, email) — se transmiten el ID de LinkedIn, la dirección de correo electrónico, el nombre y apellido, la foto de perfil y el idioma
• • Kit de inicio de sesión de TikTok (ámbitos: user.info.basic, user.info.profile): se transmiten el Open-ID de TikTok, el nombre de usuario, el nombre que se muestra y la foto de perfil (TikTok no proporciona una dirección de correo electrónico; hasta que se ingrese durante el proceso de incorporación, se utiliza internamente una dirección provisional).
• • X / Twitter (OAuth 2.0 con PKCE, ámbitos: users.read, users.email, tweet.read) —se transmiten el X-ID, el nombre de usuario, el nombre que se muestra, la foto de perfil y, si se ha habilitado en X, la dirección de correo electrónico verificada—
• Estos scopes solo permiten leer los datos básicos del perfil para crear una cuenta. No se publican entradas, no se leen mensajes y no se otorga acceso a tus contactos.
• Si una dirección de correo electrónico ya registrada se vuelve a registrar a través de otro proveedor, identificamos la cuenta existente por la dirección de correo electrónico (sin distinguir entre mayúsculas y minúsculas) y vinculamos posteriormente el nuevo ID del proveedor (vinculación de cuentas), en lugar de crear una cuenta duplicada.
• Siempre que esté activado en tu configuración de seguridad, cada vez que inicies sesión (incluso mediante inicio de sesión con redes sociales), te enviaremos una notificación por correo electrónico con la hora, el dispositivo, el navegador y la ubicación aproximada. La ubicación se determina a partir de su dirección IP mediante el proveedor externo ipinfo.io (véase la sección 10a.1).
• Eliminación de la cuenta de Meta: Para el inicio de sesión a través de Meta (Facebook/Instagram), proporcionamos los puntos de retorno (callback) exigidos por Meta para la revocación de la autorización y la eliminación de datos. Si eliminas la aplicación en la configuración de tu cuenta de Facebook o solicitas allí la eliminación de datos, recibiremos automáticamente la solicitud correspondiente y publicaremos el estado de procesamiento en una URL de estado indicada por Meta.

5.2 Perfiles de marcas y datos de marcas

• Al crear un perfil de marca, guardamos:
• • Nombre de la marca y descripción
• • URL del sitio web (para Brand Analyzer)
• • Directrices y documentos de marca cargados
• • Datos de marca analizados (colores, fuentes, tono de voz)
• • Logotipo y recursos visuales
• • Definiciones de grupos objetivo
• • Sector y categoría
• Objetivo: Creación de contenidos acordes con la marca, gestión de la identidad de marca.

5.3 Datos de contenido (publicaciones, medios, campañas)

• Al utilizar la función de creación de contenido, almacenamos:
• • Publicaciones en redes sociales creadas y programadas (texto, leyendas, hashtags)
• • Imágenes, videos y gráficos subidos y generados
• • Datos de campañas y plantillas
• • Validación de ideas (datos de deslizamiento en el Idea Generator)
• • Documentos de investigación
• • Estado del contenido (Borrador, En revisión, Programado, Publicado)
• • Fechas y plataformas de publicación
• • Datos de identificación y origen de los medios generados (clase de contenido, estado de identificación, estado de los metadatos), así como su confirmación de la revisión editorial de los textos generados
• Objetivo: gestión de contenidos, planificación, automatización, archivo y cumplimiento de las obligaciones de transparencia en materia de IA
• En la medida en que sea técnicamente posible, los archivos multimedia generados contienen información de identificación, metadatos o indicadores técnicos similares que indican que se trata de contenido generado por IA o asistido por IA (véase la sección 8.2).

5.4 Datos de uso y análisis

• Para mejorar la plataforma, guardamos:
• • Horas de inicio de sesión y duración de la sesión
• • Características y funciones utilizadas
• • Consumo de tokens y datos de facturación
• • Informes de errores y datos de rendimiento
• • Comentarios y solicitudes de asistencia
• Finalidad: mejora de la plataforma, análisis de errores, asistencia técnica, facturación.

5.5 Enlaces a plataformas de redes sociales (publicación)

• Cuando conectas cuentas de redes sociales para publicar (LinkedIn, Instagram, Facebook, Threads, WhatsApp Business, X, YouTube, TikTok, Wix, WordPress, tu propio sitio web), cada plataforma solicita a través de OAuth únicamente los permisos (ámbitos) necesarios para ello. Estas conexiones son independientes del inicio de sesión social para acceder a la cuenta (véase la sección 5.1a).
• Los tokens de acceso y de actualización de OAuth se almacenan en la base de datos cifrados con AES-256-GCM según la plataforma (véase la sección 10). Los tokens vencidos y no renovables se invalidan automáticamente.
• En las secciones siguientes se describe, para cada plataforma, qué datos se procesan, para qué se utilizan y cuándo se eliminan. Los datos de la plataforma se utilizan exclusivamente para la administración de la presencia en línea del cliente correspondiente.
• Puedes desconectar cualquier conexión en cualquier momento desde la configuración. Además, te recomendamos que revoques el permiso de la app directamente en la plataforma correspondiente (por ejemplo, en la configuración de tu cuenta de LinkedIn o Meta).

5.6 Datos de la cuenta del equipo y de la empresa

• En el caso de las cuentas de empresa con varios usuarios, también guardamos:
• • Miembros del equipo y sus funciones
• • Permisos y control de acceso
• • Flujos de trabajo de aprobación y comentarios
• • Registros de actividad (registro de auditoría)
• Propósito: colaboración en equipo, control de acceso, cumplimiento normativo

5.7 Notificaciones (en la app, push y correo electrónico)

• PostMaestro.ai te informa sobre los eventos que ocurren en tu cuenta, por ejemplo, comentarios y menciones, generaciones completadas, publicaciones, invitaciones al equipo, facturación, seguridad y mantenimiento. Para ello, procesamos:
• • Notificaciones en tu bandeja de entrada (campanilla), incluyendo el estado de lectura y de ocultación
• • Tus configuraciones de notificaciones por canal, categoría, área y grupo de equipo
• • Para las notificaciones push (aplicación móvil y navegador): token del dispositivo, un identificador aleatorio del dispositivo, nombre del dispositivo, plataforma, versión de la aplicación y la hora del último uso
• • Si la aplicación está abierta en un dispositivo en este momento (señal de visibilidad, válida por 90 segundos), para que no recibas una notificación push adicional en el dispositivo que estás usando actualmente
• Enviamos las notificaciones push a través de Firebase Cloud Messaging (Google) y las notificaciones por correo electrónico a través de SendGrid (véase la sección 6.3).
• Puede activar o desactivar las notificaciones opcionales en Configuración → Notificaciones para cada canal; además, puede configurar las notificaciones push en la configuración de su dispositivo o navegador.
• Las notificaciones necesarias para el uso de tu cuenta (por ejemplo, problemas de pago, obligación de autenticación de dos factores, mantenimiento, cambios en los Términos y Condiciones) se enviarán, independientemente de esta configuración, a través de la app y por correo electrónico. Las notificaciones de inicio de sesión están excluidas de esto y son opcionales (véase la sección 12.1). En casos excepcionales —como trabajos de mantenimiento o avisos relacionados con la seguridad—, también podemos mostrar avisos en la app y mediante notificaciones push, independientemente de su configuración de categorías; dichos avisos se marcan como «Importantes».
• Solo recibirá correos electrónicos promocionales (por ejemplo, sobre nuevas funciones) si se ha suscrito al boletín informativo (sección 6).

5.8 Noticias, investigación y fuentes RSS

• La plataforma ofrece una función de noticias que, de forma predeterminada, utiliza búsquedas basadas en IA (a través de Perplexity AI) para proporcionar noticias relevantes del sector. Además, puede agregar sus propios canales RSS. Para ello, procesamos:
• • Búsquedas y preferencias temáticas para la búsqueda de noticias asistida por IA
• • Las URL de los canales RSS que hayas agregado
• • Sus preferencias y categorizaciones para estos feeds
• • Artículos leídos o guardados
• La plataforma recupera el contenido de los feeds de terceros a través de nuestros servidores, por lo que su dirección IP no se transmite a los operadores de los feeds RSS. Al utilizar la búsqueda de noticias basada en IA, sus consultas de búsqueda se envían a Perplexity AI (véase la sección 7.3).
• Objetivo: Ofrecer noticias personalizadas del sector, recursos de investigación e inspiración para la creación de contenido

6.1 Procedimiento de doble confirmación

Después de registrarse a través del sitio web, recibirá un correo electrónico con un enlace de confirmación. Solo después de hacer clic en él lo incluiremos en la lista de distribución. Eliminamos los registros no confirmados después de 30 días; no enviamos recordatorios.

Al registrarte en la aplicación, confirmas la suscripción al dar clic en el enlace que aparece en el correo electrónico de confirmación de tu cuenta, en el cual te lo indicamos por separado.

Esto evita que se registren direcciones de correo electrónico ajenas.

6.2 Prueba de su consentimiento

Para poder demostrar que ha dado su consentimiento (art. 7, inc. 1 del RGPD), registramos el registro, la confirmación y la baja con la hora, el origen, la dirección IP, el identificador del navegador y la versión del texto de consentimiento que se mostró.

Conservamos este registro durante 3 años después de que te des de baja y, posteriormente, lo eliminamos automáticamente.

6.3 SendGrid (envío de correos electrónicos)

Para el envío del boletín informativo, así como de los correos electrónicos de servicio y notificaciones, utilizamos SendGrid (Twilio Inc., EE. UU.).

SendGrid procesa su dirección de correo electrónico y el contenido del correo en nuestro nombre y nos informa de los eventos técnicos de entrega (entregado, no entregable, reportado como spam, dado de baja). Utilizamos estos eventos para mantener actualizada la lista de distribución: las direcciones no entregables y las denuncias de spam provocan el bloqueo de la dirección.

Hemos celebrado un contrato de procesamiento de datos (CPD) con SendGrid de conformidad con el art. 28 del RGPD. SendGrid cuenta con la certificación del Marco de Privacidad de Datos UE-EE. UU.

Más información: https://www.twilio.com/legal/privacy

Política de privacidad de Twilio (SendGrid)

6.4 Seguimiento del boletín informativo

Actualmente no medimos ni las aperturas ni los clics.

Antes de implementar este tipo de estadísticas, le informaremos con anticipación y, en caso necesario, solicitaremos su consentimiento.

6.5 Cancelar suscripción

Puede darse de baja del boletín informativo en cualquier momento:

• a través del enlace para darse de baja que aparece en cada correo electrónico o mediante la función para darse de baja de tu programa de correo electrónico

• A través del formulario que se encuentra al final de esta sección: Ingresa tu dirección de correo electrónico y te enviaremos un enlace para confirmar tu baja

• en su cuenta de PostMaestro, en Configuración → Notificaciones

• por correo electrónico a support@postmaestro.ai

Después de darse de baja, ya no recibirá boletines informativos. Su dirección ya no figurará en la lista de distribución; solo se conservará el comprobante conforme a la sección 6.2.

8.1 Divulgación de la interacción con un sistema de inteligencia artificial

• En PostMaestro.ai interactúas directamente con sistemas de IA. Todas las funciones que generan, evalúan, resumen, traducen o reescriben contenidos están respaldadas por IA y se identifican como tales en la interfaz de usuario.
• La indicación se muestra antes de la primera interacción, de manera clara, comprensible y claramente diferenciada del resto de elementos de control (art. 50, inc. 1, de la Ley de IA de la UE).
• Ofrecemos esta información de manera accesible y la adaptamos a los requisitos de accesibilidad reconocidos (art. 50, párr. 5, de la Ley de Accesibilidad de la UE).
• Las respuestas y sugerencias de la IA pueden ser incompletas, estar desactualizadas o contener errores de hecho. No constituyen asesoramiento legal, fiscal, médico ni financiero.

8.2 Etiquetado legible por máquina de los contenidos generados

• De conformidad con el artículo 50, párrafo 2, de la Ley de IA de la UE, los contenidos generados por sistemas de inteligencia artificial que produzcan imágenes, audio, video o texto sintéticos deben marcarse en un formato legible por máquina como generados o manipulados artificialmente. La marca debe ser eficaz, interoperable, robusta y confiable.
• Aplicamos este requisito mediante varios procedimientos complementarios, ya que, según el estado actual de la técnica, ningún procedimiento por sí solo alcanza la robustez requerida:
• • Metadatos de origen en el archivo: Al exportar, incluimos metadatos XMP e IPTC en los archivos multimedia generados, en particular el campo IPTC «Digital Source Type» con el valor «trainedAlgorithmicMedia», así como información sobre el sistema de IA utilizado, la versión del modelo y la fecha de generación.
• • Credenciales de contenido (C2PA): Para los archivos de imagen y video generados, incorporamos en el proceso de salida una indicación de origen firmada criptográficamente según el estándar C2PA.
• • Marcas de agua del proveedor: En la medida en que el proveedor de modelos en cuestión incluya marcas de agua invisibles, estas se conservarán y no se eliminarán. En el caso de los modelos de imágenes de Google Gemini, se trata del método de marca de agua SynthID.
• • Validación: Después de la escritura, volvemos a leer la marca y registramos un estado por archivo (pendiente, válido, faltante, eliminado). Si la incrustación falla, exigimos una identificación visible en el caso de las clases de contenido sensible.
• La marca se aplica en el servidor antes de que un archivo se almacene o se envíe, para que resista el proceso de renderización, la carga y la descarga. Desde el punto de vista técnico, no se puede descartar que terceros o plataformas de destino eliminen los metadatos al volver a subir, comprimir o recortar el archivo. En ese caso, la marca visible seguirá siendo su garantía (véase 8.3).
• Estado de implementación y plazo: Las obligaciones de transparencia del artículo 50 de la Ley de IA de la UE entrarán en vigor a partir del 2 de agosto de 2026. Para los sistemas de IA que, al igual que PostMaestro.ai, ya se encontraban en el mercado antes de esa fecha, se aplica un período de transición hasta el 2 de diciembre de 2026. Implementaremos por completo los procedimientos descritos anteriormente dentro de este plazo y documentaremos internamente el estado de la implementación.
• Una simple referencia en esta política de privacidad no cumple por sí sola con el art. 50, párr. 2, de la Ley de IA de la UE. Lo que es determinante es la marca legible por máquina que se encuentra en el propio archivo.

8.3 Sus obligaciones como operador en relación con los deepfakes

• Si publicas contenido generado con PostMaestro.ai, eres el «operador» en el sentido de la Ley de IA de la UE. En este caso, la obligación de divulgación prevista en el artículo 50, párrafo 4, de la Ley de IA de la UE recae sobre ti y no sobre nosotros.
• Si creas o editas contenido de imagen, audio o video que se parezca de manera engañosa a personas, objetos, lugares, instituciones o eventos reales («deepfakes»), debes revelar al publicarlo que el contenido ha sido generado o manipulado artificialmente.
• Según las directrices de la Comisión Europea, esta obligación se aplica independientemente de que exista o no intención de engañar, e incluso cuando no se represente a ninguna persona real concreta. Por lo tanto, suele ser aplicable a las publicaciones en redes sociales.
• Para facilitar el proceso, ofrecemos: una marca visible como configuración predeterminada para las clases de contenido sensible, una sugerencia de texto de aviso al exportar y una nota en el proceso de publicación.
• La configuración predeterminada es siempre «marcado». La desactivación debe documentarse: registramos la hora, la cuenta de usuario, el área de trabajo y la versión del texto de confirmación. En el caso de representaciones fotorrealistas de personas y voces sintéticas, no es posible desactivar esta función.
• No debe eliminar, desactivar, eludir ni interferir con el funcionamiento de los mecanismos de identificación y divulgación que ponemos a su disposición (véase la sección 6.4 de los Términos y Condiciones).
• Esta obligación se suma a los requisitos de identificación de la plataforma de redes sociales correspondiente. Debes verificar por tu cuenta si, en cada caso concreto, existe la obligación de divulgar dicha información.

8.4 Textos generados por IA y responsabilidad editorial

• En el caso de los textos, el artículo 50 de la Ley de Inteligencia Artificial de la UE tiene un alcance mucho más limitado que en el caso de las imágenes, el audio y el video. Solo existe la obligación de divulgación cuando se cumplen las tres condiciones siguientes:
• 1. El texto fue generado o manipulado por inteligencia artificial.
• 2. Se publica el texto.
• 3. La publicación tiene como objetivo informar al público sobre asuntos de interés público, como noticias, opiniones políticas o sociales y contribuciones a debates públicos.
• La obligación de identificación no aplica cuando el contenido haya sido sometido a una revisión humana o a un control editorial y una persona física o jurídica asuma la responsabilidad editorial de la publicación.
• No existe una obligación general de identificar todos los textos generados por IA. Quien utilice la IA como herramienta de apoyo, revise los textos desde el punto de vista editorial y se haga responsable de ellos, por lo general no está sujeto a ninguna obligación adicional de identificación.
• PostMaestro.ai está diseñado precisamente para eso: los textos generados son sugerencias. Antes de programarlos o publicarlos, solicitamos una confirmación expresa de que has revisado el texto y que asumes la responsabilidad editorial. Registramos esta confirmación con la fecha y hora, la cuenta de usuario y la versión del texto, para que la excepción quede documentada.
• La nota en la aplicación dice: «Este texto es una propuesta. Por favor, revísalo antes de publicarlo. Al revisarlo, asumes la responsabilidad editorial».
• Sin esta verificación, no pueden publicar los textos generados como contenidos de responsabilidad editorial; en tal caso, podría aplicarse la obligación de divulgación prevista en el art. 50, párr. 4, de la Ley de IA de la UE.

8.5 Sin reconocimiento de emociones ni categorización biométrica

• PostMaestro.ai no utiliza sistemas de reconocimiento de emociones ni deduce emociones, estados emocionales o intenciones a partir de datos biométricos.
• No realizamos categorización biométrica, ni reconocimiento facial, ni identificación biométrica, ni reconocimiento de características protegidas como el origen étnico, las opiniones políticas, la religión, la afiliación sindical, la salud o la orientación sexual.
• Las funciones de evaluación, como la validación de ideas, el analizador de marca o los análisis de desempeño, se refieren exclusivamente a contenidos, datos de marca y de alcance; no a personas ni a características biométricas.
• Por lo tanto, las obligaciones de información previstas en el artículo 50, párrafo 3, de la Ley de Inteligencia Artificial de la UE para los sistemas de reconocimiento de emociones y de categorización biométrica no se aplican en nuestro caso.

8.6 Uso prohibido: representaciones íntimas sin consentimiento y representaciones de abuso infantil

• El artículo 5 de la Ley de IA de la UE prohíbe los sistemas de IA cuyo resultado razonablemente previsible sean representaciones íntimas no consentidas (NCII) o representaciones de abuso sexual infantil (CSAM). Como proveedores de una herramienta general de generación de imágenes y videos, evaluamos este riesgo de abuso ya desde la fase de diseño y establecemos medidas de protección técnicas.
• Medidas de protección implementadas:
• • Filtros de entrada que bloquean las indicaciones pertinentes incluso antes de invocar los modelos de imagen y video
• • Los filtros de salida y la configuración de seguridad de los proveedores de modelos utilizados
• • Bloqueo de contenidos dirigidos a menores en un contexto sexual o que muestren imágenes íntimas de personas identificables
• • Desactivación de las funciones de «Persona» y «Voice» sin el consentimiento documentado de la persona afectada (véase la sección 5.9)
• • Registro de las solicitudes bloqueadas para la detección de abusos, así como la posibilidad de bloquear las cuentas afectadas
• Cualquier uso de la plataforma con estos fines está estrictamente prohibido y dará lugar al bloqueo inmediato de la cuenta, así como, si hay indicios de delitos, a la intervención de las autoridades competentes.
• Denunciar un uso indebido: tanto usted como terceros pueden denunciar infracciones en cualquier momento en info@nexaluna.ai con el asunto «Denunciar uso indebido de IA». Revisamos las denuncias recibidas de manera prioritaria y confirmamos su recepción.
• Documentamos internamente nuestra evaluación de riesgos realizada durante la fase de diseño, los filtros utilizados y el procesamiento de los reportes, y los presentamos cuando así lo soliciten las autoridades competentes.

8.7 Distribución de funciones: proveedores y operadores

• El proveedor, en el sentido de la Ley de IA de la UE, es Nexaluna AI Solutions UG (de responsabilidad limitada) para el sistema de IA PostMaestro.ai. Nos corresponden las obligaciones del proveedor, en particular el marcado legible por máquina de los resultados conforme al art. 50, párr. 2, y la divulgación de la interacción con la IA conforme al art. 50, párr. 1.
• Se considera que usted es el operador desde el momento en que utiliza la plataforma bajo su responsabilidad y publica los contenidos generados. Le incumben las obligaciones del operador, en particular la obligación de divulgación prevista en el artículo 50, párrafo 4, en el caso de los deepfakes y de los textos de interés público.
• Los modelos básicos utilizados provienen de terceros (véase la sección 7). Sus proveedores son los proveedores de los respectivos modelos de IA; nosotros somos los proveedores del sistema de IA basado en ellos.
• Llevamos un registro interno de todos los modelos utilizados con la asignación de funciones correspondiente y lo actualizamos cuando hay cambios.
• En cuanto a la competencia en IA según el artículo 4 de la Ley de IA de la UE, capacitamos a nuestros empleados en el manejo de los sistemas de IA que utilizamos y documentamos las capacitaciones.

8.8 Supervisión y quejas

• Desde el 29 de julio de 2026, la Agencia Federal de Redes es la autoridad competente de vigilancia del mercado, el punto de contacto central y la oficina de quejas para la Ley de IA de la UE en Alemania.
• Agencia Federal de Redes, Tulpenfeld 4, 53113 Bonn, https://www.bundesnetzagentur.de
• Puede presentar sus quejas sobre la transparencia de la IA en ese sitio en cualquier momento. Le pedimos que se ponga en contacto con nosotros previamente a través de info@nexaluna.ai para que podamos resolver su inquietud de inmediato.