Política de privacidad
Formo Casa · Versión provisional del 18 de octubre de 2026.
Esta versión describe los tratamientos previstos en el servicio. Están pendientes de completar la identificación legal del responsable, los detalles contractuales de los proveedores, las bases de determinados tratamientos opcionales y sus plazos efectivos de conservación. Su publicación no acredita por sí sola el cumplimiento del RGPD.
1. Responsable y contacto
El titular del servicio se presenta bajo la denominación Plataforma IA. Puedes contactar sobre privacidad en [email protected]. Su nombre o identificación legal completa y dirección profesional están pendientes de completar, al igual que los datos de un delegado de protección de datos si resultase aplicable.
El prestador actúa como responsable cuando determina los fines y medios de tratamientos como la cuenta, la contratación, la seguridad o el soporte. Si trata datos de los clientes de un usuario profesional únicamente siguiendo sus instrucciones, deberán determinarse los respectivos roles y formalizarse el acuerdo de encargo necesario. Esta política no sustituye ese acuerdo ni la información que el cliente deba facilitar a las personas afectadas.
2. Datos que podemos tratar y su origen
- Cuenta: identificador del proveedor de acceso, correo, nombre de usuario o perfil y estado de verificación. Proceden de ti o de los datos que facilite el proveedor de acceso según los permisos y la configuración.
- Proyectos: instrucciones, fotografías, bocetos, referencias, máscaras, imágenes y vídeos generados, contexto, álbumes, galería e historial. Los materiales que envías pueden contener información personal o confidencial.
- Contratación: plan, créditos, compras, consumo e identificadores de cliente, pago o suscripción necesarios para la facturación y conciliación. El servicio admite Stripe para pagos; los datos concretos dependen de la contratación y de la configuración aplicable.
- Datos técnicos: datos del navegador, dirección IP que puedan registrar los servicios de alojamiento, rutas, versiones, identificadores de petición, estados y errores necesarios para operar y proteger el servicio.
- Analítica y diagnóstico: páginas vistas, eventos de uso, compras, suscripciones y consumo vinculados a un identificador de cuenta; errores técnicos y datos de operación. PostHog y Sentry pueden intervenir cuando estén configurados.
- Observabilidad de IA: si está activa, las trazas de generación pueden incluir entradas, salidas y metadatos vinculados a identificadores de usuario, sesión o petición, también en PostHog. No debe entenderse que ese proveedor recibe únicamente visitas a páginas.
- Soporte: lo que escribas en tus consultas o feedback, usuario, fecha y referencia de la petición. Puedes adjuntar voluntariamente información técnica de versiones, ruta, idioma, navegador, proyecto, modelo y peticiones o errores recientes. Esa instantánea no incluye los textos de generación, imágenes, cuerpos ni cabeceras de las peticiones; el mensaje libre sí contiene lo que tú escribas.
Los datos necesarios para autenticarte, ejecutar una operación o tramitar un pago deben facilitarse para realizar esa función. Si faltan, puede no ser posible prestarla. Adjuntar información técnica al feedback y consentir tratamientos opcionales no es obligatorio.
Si incluyes datos de otras personas en fotografías, referencias o proyectos, debes disponer de autorización o base jurídica suficiente y evitar datos innecesarios. Cuando el prestador actúe como responsable, se evaluarán sus obligaciones de informar también a esas personas; la aceptación de los términos no las elimina.
3. Finalidades y bases jurídicas
- Crear la cuenta y prestar las funciones solicitadas: ejecución del contrato o medidas precontractuales a petición del usuario, cuando el tratamiento sea necesario para ello.
- Gestionar compras, suscripciones y créditos: ejecución del contrato; las obligaciones fiscales, contables o de protección de datos se atienden sobre la base de la obligación legal aplicable.
- Proteger las cuentas y prevenir abuso: interés legítimo en la seguridad del servicio y sus usuarios, sujeto a necesidad, proporcionalidad y ponderación, u otra base legal aplicable al caso.
- Atender consultas y soporte: ejecución del contrato para la asistencia necesaria o interés legítimo en responder consultas y resolver incidencias, según su contexto.
- Analítica, diagnóstico y observabilidad: deben distinguirse por finalidad y necesidad. La base jurídica y el alcance de los tratamientos opcionales están pendientes de verificación; no se consideran automáticamente necesarios para generar una imagen ni autorizados por aceptar los términos.
La política de privacidad facilita información. Iniciar sesión o aceptar los Términos y condiciones no equivale a consentir publicidad, analítica opcional, grabaciones de sesión ni el uso promocional de tus proyectos. Cuando un tratamiento requiera consentimiento, deberá solicitarse por separado antes de realizarlo y permitir rechazo y retirada con facilidad equivalente.
Puedes retirar los consentimientos otorgados sin que ello afecte a la licitud del tratamiento anterior. No se promete que los proveedores de IA nunca utilicen datos para mejorar modelos sin haber comprobado su modalidad contractual y configuración.
4. Proveedores y destinatarios
Las funciones del servicio pueden utilizar Clerk para autenticación; Google Gemini para generación y edición; FAL para determinadas funciones de imágenes o vídeo; Stripe para pagos; PostHog para analítica, registros y posible observabilidad de IA; y Sentry para diagnóstico de errores.
También intervienen los proveedores de alojamiento, base de datos, almacenamiento de archivos, correo y copias de seguridad. Si se ha configurado una herramienta externa para notificar feedback, puede recibir un resumen del mensaje y sus identificadores. Los nombres legales, contratos, ubicaciones, subencargados y destinatarios concretos de la configuración activa están pendientes de completar.
Las funciones de generación pueden enviar las instrucciones, imágenes, referencias y parámetros necesarios al proveedor del modelo solicitado. El acceso debe limitarse a personas autorizadas y a proveedores que lo necesiten para su función. También podrán comunicarse datos a autoridades u otros destinatarios cuando exista obligación o justificación legal.
El papel de cada proveedor depende de su contrato y de las finalidades que realice: no todos actúan necesariamente como encargados para todos los datos.
5. Transferencias internacionales
No se afirma que todos los datos permanezcan en la Unión Europea. Pueden existir tratamiento o accesos desde fuera del Espacio Económico Europeo según los proveedores y sus subencargados.
Los países y garantías efectivamente aplicables están pendientes de verificar y completar. Para una transferencia deben comprobarse una decisión de adecuación aplicable al destinatario u otras garantías válidas, como cláusulas contractuales tipo con la evaluación y medidas complementarias que correspondan. Puedes solicitar información y una copia de las garantías disponibles en [email protected].
6. Conservación y eliminación
El criterio es conservar cada dato solo durante el tiempo necesario para su finalidad y las obligaciones aplicables: cuenta y proyectos para prestar las funciones solicitadas; facturación durante los plazos legales de sus documentos; soporte, seguridad y telemetría durante el periodo mínimo justificado para su finalidad; y datos imprescindibles para gestionar reclamaciones durante los plazos que correspondan.
Los plazos concretos y los ciclos de purga de archivos, registros, proveedores y copias de seguridad están pendientes de confirmar. No se promete borrado inmediato ni que eliminar la cuenta del proveedor de acceso suprima automáticamente todos los proyectos, archivos o copias en otros sistemas. Las conservaciones legales deben limitarse a los datos necesarios y con acceso restringido.
Puedes solicitar información y supresión en [email protected]. Se valorarán las excepciones legales aplicables y se informará de la respuesta.
7. Tus derechos
Puedes solicitar acceso, rectificación, supresión, limitación del tratamiento, oposición y, cuando proceda, portabilidad. Si un tratamiento se basa en interés legítimo, puedes oponerte por motivos relacionados con tu situación particular, en los términos previstos en el RGPD. Si existiese mercadotecnia directa, puedes oponerte a ella en cualquier momento. También puedes retirar los consentimientos otorgados.
Escribe a [email protected], preferiblemente desde el correo de tu cuenta. Si existen dudas razonables, podemos solicitar información adicional proporcionada para verificar tu identidad. No envíes contraseñas, tokens ni datos completos de tarjeta. No es necesario aceptar nuevos términos para ejercer tus derechos.
Responderemos sin dilación indebida y, como regla general, en un mes. Cuando proceda ampliar el plazo por la complejidad o el número de solicitudes, se informará dentro del primer mes del motivo y de la ampliación, que podrá ser de hasta otros dos meses. El ejercicio es gratuito salvo las excepciones legales.
Puedes reclamar ante una autoridad de protección de datos competente, en particular en tu residencia habitual, trabajo o lugar de la presunta infracción. En España puedes dirigirte a la Agencia Española de Protección de Datos, sin obligación de reclamar primero al prestador.
8. Cookies y almacenamiento en el dispositivo
La autenticación utiliza tecnologías de Clerk. La aplicación guarda preferencias y datos del espacio de trabajo en el almacenamiento del navegador y archivos de galería en IndexedDB, separados por cuenta. Esas copias locales son distintas de las del servidor; cerrar sesión no equivale a eliminarlas todas.
La configuración de analítica del navegador utiliza memoria y desactiva la autocaptura y grabación de sesión. Esto no significa que todo el servicio carezca de cookies ni que sus eventos vinculados a una cuenta sean anónimos.
El inventario completo de tecnologías, proveedores, finalidades y duración, y los controles para las tecnologías opcionales, están pendientes de completar. Las tecnologías que requieran consentimiento no quedan autorizadas por el mero acceso. La base jurídica del tratamiento posterior de datos debe evaluarse por separado, incluidos los envíos desde el servidor.
9. IA, seguridad y cambios
La generación de una imagen no constituye por sí sola una decisión automatizada con efectos jurídicos o similares significativos. La existencia de otros tratamientos de ese tipo, incluidos controles de cuenta o fraude, está pendiente de verificar. Si existieran, deberá facilitarse la información sobre lógica, consecuencias, base y garantías que corresponda.
La seguridad requiere medidas técnicas y organizativas adecuadas, controles de acceso y gestión de incidentes. No se ofrece seguridad absoluta ni se limita mediante esta política el derecho a reclamar por daños de protección de datos.
Los cambios de finalidades, destinatarios o bases jurídicas se comunicarán con la información que corresponda. Si un nuevo tratamiento exige consentimiento, deberá obtenerse antes de realizarlo; actualizar una fecha o continuar usando el servicio no lo sustituye.