Política de privacidad

Última actualización: 15 de octubre de 2026 (versión de la beta)

1. Quién es el responsable

Cúmulo lo gestiona Lucas Jose Garcia, residente en Dublín (Irlanda). Para cualquier cosa sobre tus datos: contacto@cumulo.chat. Dirección postal: The Stevedore Building, Grand Canal Harbour, Dublin 8, D08 KP4V, Irlanda.

2. Qué datos tratamos, para qué y durante cuánto tiempo

Lista de espera (mientras Cúmulo está en beta privada)

• Qué: tu email, la fecha, el texto exacto que aceptaste y, si llegaste desde un anuncio, de qué campaña venías (las etiquetas «utm» del enlace). Nada más.
• Para qué: avisarte una vez cuando Cúmulo abra.
• Base legal: tu consentimiento (la casilla que marcas). Puedes retirarlo cuando quieras escribiéndonos.
• Cuánto tiempo: hasta que te avisemos del lanzamiento (después lo borramos) o hasta que nos pidas que lo borremos. Al apuntarte no te mandamos ningún correo; el aviso del lanzamiento llevará un enlace para darte de baja con un clic.

Tu cuenta

• Qué: nombre, email, nombre de usuario si lo pones, la contraseña guardada cifrada (nunca legible) y las fechas de alta y de entrada.
• Para qué: que puedas entrar y usar Cúmulo. Base legal: el contrato (los Términos).
• Cuánto tiempo: mientras tengas la cuenta. Si te registras y no confirmas tu email, la cuenta se borra sola a la semana.

Lo que haces en Cúmulo

• Qué: tus conversaciones, los archivos que adjuntas y el consumo de nubes de cada mensaje e imagen.
• Para qué: darte el servicio (que veas tus conversaciones) y cobrarte lo que usas. Base legal: el contrato.
• Cuánto tiempo: hasta que lo borres tú o borres tu cuenta. El registro del consumo de nubes se conserva mientras tengas la cuenta.
• Las imágenes del Estudio no se guardan en nuestro servidor, ni su descripción: te las enviamos para que las veas y las descargues. Solo anotamos el modelo, el formato, la fecha, lo que costó y si la imagen llevaba su marca de procedencia de IA. Las imágenes llevan esa marca dentro (metadatos Content Credentials o C2PA del proveedor del modelo, o una de Cúmulo): dice que están hechas con IA, con qué modelo y cuándo, pero nada sobre ti.
• Las descripciones del Estudio pasan antes por un filtro automático (otro modelo de IA) que rechaza las que no se permiten. Si se rechaza una, anotamos el tipo de rechazo y la fecha (no la descripción); con 5 rechazos en una hora, el Estudio se pausa 24 horas para esa cuenta.

Fotos que subes al Estudio para editarlas

• Qué: si quieres, puedes subir una foto al Estudio y pedir un cambio («hazlo estilo dibujo animado», «pon a mi perro en la Luna»). Antes de enviarla, tu navegador la reduce y le quita los datos de la cámara (posición GPS, modelo de la cámara, fecha…); nuestro servidor lo vuelve a comprobar y los quita si quedara alguno.
• Adónde va: la foto y tu descripción se envían a través de OpenRouter (Estados Unidos) a un modelo que la revisa automáticamente (de OpenAI, Estados Unidos) y al modelo que crea la imagen: OpenAI en «Equilibrado» y «Máxima calidad», y Black Forest Labs (Alemania) en «Rápido». Igual que con los mensajes, solo con proveedores que se comprometen a no usarla para entrenar sus modelos.
• Revisión automática: antes de editarla, otro modelo de IA mira la foto junto con el cambio que pides y la rechaza si aparece algún menor de edad (o alguien que lo parece) o un personaje público o político conocido, o si incluye contenido sexual o desnudos, violencia gráfica, documentos de identidad o personales (DNI, pasaporte, tarjetas…) o cambios que humillen, comprometan o suplanten a una persona real. Si se rechaza, no se edita ni se cobra; anotamos el tipo de rechazo y la fecha (no la foto ni la descripción). Con 5 rechazos en una hora (de fotos o de descripciones), el Estudio se pausa 24 horas para esa cuenta, y con 3 fotos rechazadas en 24 horas, la edición con foto se pausa 7 días; las pausas quedan anotadas (cuenta, fechas y número de rechazos) para revisarlas.
• Lo que NO guardamos: la foto, la descripción y la imagen que sale. La foto solo está en la memoria del servidor mientras se atiende tu petición y no se escribe en la base de datos, en el disco ni en los registros.
• Lo que SÍ guardamos: que la imagen se hizo con foto, el tipo de archivo, su ancho y alto en píxeles y lo que pesa; y que marcaste la casilla «Tengo derecho a usar esta foto y no la usaré para hacerme pasar por otra persona», con la versión de ese texto (la del 14 de octubre de 2026) y la fecha. Se conserva como el resto del consumo del Estudio, mientras tengas la cuenta.
• Personas que salen en la foto: si en tu foto aparecen otras personas, sus imágenes se tratan solo para hacer el cambio que pides y no se guardan. Al marcar la casilla nos confirmas que tienes derecho a usar la foto; si alguien que sale en una foto quiere ejercer sus derechos, puede escribirnos a contacto@cumulo.chat.
• Base legal: el contrato (es el servicio que nos pides) y, para la revisión automática y el bloqueo, nuestro interés legítimo en evitar usos ilegales o dañinos del Estudio.
• No reconocemos caras: ni Cúmulo ni la revisión identifican a quién sale en la foto ni crean datos para reconocer a nadie. La revisión solo comprueba qué se ve y qué cambio se pide, también si sale un menor o un personaje público conocido, para no editar esa foto; no anota quién es ni guarda nada de la foto.

Búsqueda en internet (solo si la activas)

• Qué: si activas «Buscar en internet» en el chat, tu mensaje (o la búsqueda que se hace a partir de él) se envía a través de OpenRouter al buscador Exa (Exa Labs, Estados Unidos), que devuelve unos pocos resultados de webs públicas. La IA los lee junto con tu pregunta para responderte, con enlaces a las fuentes. A Exa no le enviamos tu nombre ni tu email.
• Lo que guardamos: la respuesta y sus enlaces quedan en tu conversación, como cualquier otro mensaje. Además anotamos que ese mensaje buscó, con qué modelo, la fecha y las nubes que costó (no la pregunta), para cobrarte y comprobar el gasto.
• Base legal: el contrato: solo se busca cuando tú lo activas, y es el servicio que pides.
• Transferencia: Exa está en Estados Unidos (ver el apartado 3).

Dictado por voz

• El botón del micrófono usa el reconocimiento de voz de tu propio navegador. El audio lo procesa quien decida tu navegador: Google en Chrome y Samsung Internet, Microsoft en Edge y Apple en Safari (a veces en el propio aparato). Lo hacen como responsables independientes, según sus propias políticas de privacidad; Cúmulo no elige el proveedor ni tiene contrato con él para esto.
• Cúmulo no recibe ni guarda tu audio. Solo recibimos el texto si tú lo envías como mensaje, y entonces se trata como cualquier otro mensaje.
• Es opcional: solo se activa cuando pulsas el micrófono y das permiso al navegador. Se puede desactivar en Ajustes → Voz.

Pagos

• Qué: el pack que compras, el importe, la fecha, las nubes, el email de tu cuenta y el país de tu dirección de facturación y de tu tarjeta (solo el país). Nunca vemos ni guardamos los datos de tu tarjeta: el pago lo hace Stripe en su propia página.
• Para qué: darte las nubes, comprobar que la compra se hace desde la Unión Europea (de momento solo vendemos allí) y cumplir con las obligaciones fiscales y contables. Base legal: el contrato y la obligación legal.
• Cuánto tiempo: el que marque la ley fiscal, aunque borres la cuenta.

Correos que te mandamos

• Solo los necesarios: confirmar tu email, recuperar tu contraseña, avisarte de que ha cambiado y, si te apuntaste, el aviso del lanzamiento. No mandamos publicidad.
• Los envía Brevo, que registra si se abren (con una imagen invisible en el correo) para comprobar que llegan.

Seguridad y control de abusos

• Captcha: el registro y la lista de espera usan Cloudflare Turnstile para comprobar que eres una persona. Al cargarse, Cloudflare recibe tu dirección IP y datos técnicos de tu navegador.
• Límites por conexión: para evitar que alguien cree cuentas o apunte emails en serie, guardamos una huella cifrada de tu conexión (no la dirección IP tal cual) durante 2 a 8 días.
• Nubes de regalo una sola vez: para que las 500 nubes de bienvenida no se consigan varias veces, guardamos una huella cifrada de tu email (no el email). Esta huella se conserva aunque borres la cuenta: así, si vuelves a registrarte con el mismo email, no recibes el regalo otra vez. No permite saber tu email sin la clave del servidor.
• Registros técnicos del servidor: los errores (por ejemplo, un intento de entrar con la contraseña equivocada) se anotan con el email y la dirección IP, y se borran solos en unos 14 días.
• Base legal: nuestro interés legítimo en proteger el servicio y evitar fraudes.

Medición de anuncios con Meta (solo si aceptas las cookies)

• Qué: si pulsas «Aceptar» en el aviso de cookies, el píxel de Meta recoge en nuestras páginas y en el chat tu dirección IP, datos técnicos de tu navegador, las páginas de Cúmulo que visitas y estos hechos: apuntarte a la lista de espera, crear una cuenta y comprar un pack (con su importe). Usa las cookies _fbp y _fbc. No enviamos a Meta tu email, tu nombre ni tus conversaciones.
• Para qué: saber qué anuncios de Facebook e Instagram nos traen visitas, registros y compras, y que Meta los muestre a quien le pueda interesar Cúmulo.
• Base legal: tu consentimiento. Si no aceptas, no se carga nada de Meta. Puedes retirarlo cuando quieras con «Configurar cookies» (en el pie de la portada y en la Política de cookies).
• Quién lo recibe: Meta Platforms Ireland Limited (Dublín, Irlanda). Para la recogida y el envío de estos datos, Cúmulo y Meta son responsables conjuntos; lo que Meta haga después con ellos lo decide Meta, según su política (facebook.com/privacy/policy), y es ante Meta donde puedes ejercer tus derechos sobre ese uso (también ante nosotros).
• Cuánto tiempo: las cookies de Meta duran 3 meses en tu navegador; tu elección en el aviso, 6 meses. Lo que conserve Meta, según su política.

Cuando nos escribes

Los correos a contacto@cumulo.chat los reenvía nuestro proveedor de dominio (Porkbun) a una cuenta de Gmail (Google) del responsable. Los guardamos lo necesario para atenderte.

3. Las inteligencias artificiales

• Cuando escribes un mensaje, adjuntas un archivo, pides una imagen o subes una foto al Estudio, lo enviamos a OpenRouter (Estados Unidos), que lo pasa al proveedor del modelo que elegiste (por ejemplo OpenAI, Google, Anthropic, xAI o quien aloje DeepSeek; en el Estudio, OpenAI o Black Forest Labs) para generar la respuesta. Si activas «Buscar en internet», OpenRouter consulta además el buscador Exa.
• Solo usamos proveedores que se comprometen a no guardar tus datos para entrenar sus modelos (es un ajuste que activamos en cada petición). Algunos proveedores pueden conservar los mensajes un tiempo limitado para vigilar abusos, según sus propias políticas.
• A OpenRouter le enviamos un identificador interno de tu cuenta (un número, no tu nombre ni tu email) para controlar abusos y el consumo.
• Los títulos de las conversaciones los escribe también una IA, a partir de tu primer mensaje.
• No tomamos decisiones automáticas sobre ti con efectos legales; la revisión automática del Estudio solo decide si una imagen se genera o no (y, si se insiste mucho, pausa el Estudio 24 horas o la edición con foto 7 días); si crees que se ha equivocado, escríbenos.

4. Dónde están tus datos y quién nos ayuda

• Servidor: Hetzner, en Núremberg (Alemania).
• Copias de seguridad: cada 6 horas, cifradas, en Hetzner, en Helsinki (Finlandia). Se guardan hasta 12 meses, así que lo que borras puede seguir en una copia hasta que esa copia caduque. Además, una vez por semana se guarda una copia en el ordenador del responsable, en Irlanda.
• Proveedores que tratan datos por encargo nuestro: Hetzner (servidor y copias, Alemania y Finlandia), OpenRouter y los proveedores de los modelos (respuestas de la IA y Estudio, también con fotos: OpenAI, Black Forest Labs y otros; EE. UU., Alemania y otros países), Exa (búsqueda en internet, solo si la activas; EE. UU.), Stripe (pagos), Brevo (correos, Francia), Cloudflare (captcha, EE. UU.), Meta (medición de anuncios, solo si aceptas las cookies; Irlanda y EE. UU., como responsable conjunto, no por encargo), Porkbun (dominio y reenvío del correo de contacto, EE. UU.) y Google (Gmail, donde llegan los correos de contacto).
• El dictado por voz no pasa por nosotros: lo hace el proveedor de tu navegador (Google, Microsoft o Apple), como responsable independiente (ver «Dictado por voz»).

5. Tus derechos

Puedes pedirnos en cualquier momento ver tus datos, corregirlos, borrarlos, llevártelos en un formato habitual, oponerte o limitar su uso, y retirar tu consentimiento (por ejemplo, salir de la lista de espera o retirar el permiso de las cookies de Meta con «Configurar cookies»). Escríbenos a contacto@cumulo.chat desde el email de tu cuenta y te respondemos en un plazo máximo de un mes. También puedes borrar tus conversaciones y tu cuenta desde los ajustes del chat.

Si crees que no lo hemos hecho bien, puedes reclamar ante la autoridad de protección de datos de Irlanda (Data Protection Commission, dataprotection.ie) o ante la de tu país (en España, la Agencia Española de Protección de Datos, aepd.es).

6. Menores

Cúmulo no está pensado para menores. Para crear una cuenta tienes que ser mayor de edad.

7. Cambios

Si cambiamos esta política, publicaremos aquí la nueva versión con su fecha y, si el cambio es importante, te avisaremos por email.