Política de privacidad

1. Responsable del tratamiento

• Responsable: PUERTO INNOVA SL (en adelante, «Pictulab» o «nosotros»)
• NIF: B25904202
• Domicilio: C/ dels Caus, 6, 46870 Ontinyent, Valencia (España)
• Registro: Registro Mercantil de Valencia, Hoja V-231231
• Contacto para privacidad: [email protected]
• Teléfono: +34 672 38 63 31

Por el volumen y la naturaleza de los tratamientos que realizamos, no estamos obligados a designar un Delegado de Protección de Datos (art. 37 RGPD y art. 34 LOPDGDD). Cualquier cuestión sobre privacidad puede dirigirse a la dirección de contacto indicada, que atiende directamente la dirección de la empresa.

2. A quién se aplica esta política

Esta política se aplica a los tratamientos que realizamos como responsables respecto de:

• Visitantes del sitio web pictulab.com y de sus subdominios.
• Personas usuarias registradas de la aplicación web, de la app móvil para Android e iOS, de la API y del servidor MCP de Pictulab, incluidos los miembros de equipos.
• Clientes que compran tokens o contratan un plan de suscripción.
• Personas que se suscriben al boletín, contactan con soporte o con el equipo comercial.
• Contactos profesionales de empresas con las que mantenemos o queremos iniciar una relación comercial.

Cuando un cliente utiliza Pictulab para tratar datos personales de terceros (por ejemplo, fotografías de personas que sube a la plataforma o datos de su tienda online conectada), el cliente es el responsable de esos datos y Pictulab actúa como encargado del tratamiento, tratándolos únicamente para prestarle el servicio y siguiendo sus instrucciones, conforme al artículo 28 RGPD y a lo previsto en los Términos de Servicio.

3. Datos personales que tratamos

Tratamos únicamente los datos necesarios para cada finalidad. Según cómo te relaciones con nosotros, pueden ser:

• Datos de cuenta: nombre, dirección de correo electrónico, contraseña (almacenada solo como hash irreversible, nunca en claro), teléfono si decides facilitarlo, idioma, zona horaria y preferencias de la cuenta y de notificaciones.
• Datos de inicio de sesión con terceros: si accedes con Google o GitHub, recibimos de ese proveedor tu identificador, nombre y correo electrónico. No recibimos tu contraseña de esos servicios.
• Datos de seguridad y acceso: dirección IP, navegador y dispositivo (user agent), fecha y hora de los inicios de sesión y de los intentos fallidos, sesiones activas y, si activas la verificación en dos pasos, el secreto necesario para validarla.
• Datos de equipos: pertenencia a equipos, rol, invitaciones enviadas y recibidas (incluido el correo de la persona invitada).
• Datos de facturación: nombre o razón social, NIF/CIF o número de IVA intracomunitario, dirección postal, país, historial de compras, suscripciones y facturas emitidas.
• Datos de pago: los pagos los procesa Stripe. Pictulab no recibe ni almacena el número completo de tu tarjeta; solo identificadores de cliente y de transacción, el estado del pago y datos básicos del medio de pago (por ejemplo, la marca y los últimos cuatro dígitos).
• Contenido que subes o generas: prompts, parámetros, imágenes, vídeos y demás archivos que subes o generas, carpetas y proyectos, y los metadatos asociados (modelo utilizado, fecha, tamaño).
• Datos de uso del servicio: consumo de tokens, operaciones realizadas y, si utilizas la API, registros de las peticiones (incluidos IP, user agent y parámetros enviados) para facturación, límites de uso, seguridad y soporte.
• Integraciones que conectes: si vinculas servicios externos (por ejemplo, Google Drive, Dropbox, un almacenamiento S3/FTP/SFTP o una tienda WooCommerce o PrestaShop), las credenciales o autorizaciones necesarias y los datos que tú decidas intercambiar con ellos.
• Comunicaciones: mensajes y adjuntos que nos envías a soporte o por correo, y los datos técnicos de entrega de los correos que te enviamos (entrega, rebote, apertura y clic).
• Programa de recomendación: el código de invitación utilizado y la relación entre la persona que recomienda y la recomendada, para asignar las recompensas.
• Origen de la cuenta: cuando creas una cuenta guardamos de dónde llegaste a Pictulab (por ejemplo, el buscador, un enlace de invitación o una herramienta gratuita), sin cookies, para saber qué canales funcionan. Este dato no se comparte con terceros ni se usa para publicidad.
• Datos de navegación: información obtenida mediante cookies y tecnologías similares, según se describe en la Política de Cookies.
• App móvil: en la app tratamos los mismos datos de cuenta, contenido y uso que en la web. Solo pide permiso para guardar imágenes en tu galería, y únicamente cuando lo solicitas; no accede a tus contactos ni a tu ubicación y no utiliza identificadores publicitarios. Si denuncias una imagen desde la app, la tratamos como una comunicación con soporte.

No solicitamos categorías especiales de datos (art. 9 RGPD). Te pedimos que no las incluyas en prompts, archivos ni mensajes de soporte si no es imprescindible.

Los datos marcados como obligatorios en cada formulario son necesarios para prestar el servicio; si no los facilitas, no podremos atender tu solicitud. Garantizas que los datos que nos aportas son veraces y que, si facilitas datos de terceros (por ejemplo, al invitar a un compañero), estás legitimado para hacerlo.

4. Finalidades y bases jurídicas

Para cada finalidad indicamos la base que la legitima conforme al artículo 6 RGPD:

Cuando el tratamiento se basa en el interés legítimo, hemos ponderado ese interés frente a tus derechos y expectativas razonables. Puedes solicitarnos información sobre esa ponderación y oponerte al tratamiento en cualquier momento (véase el apartado 10).

5. Inteligencia artificial y tu contenido

Para ejecutar una generación o edición, enviamos tu prompt, los parámetros y, en su caso, las imágenes de referencia al proveedor del modelo que hayas elegido (véase el apartado 7). El resultado se devuelve a Pictulab y se guarda en tu biblioteca.

• No entrenamos modelos con tus prompts, imágenes ni archivos. Pictulab no desarrolla modelos propios de IA.
• Los proveedores de modelos actúan como encargados o subencargados del tratamiento y solo pueden usar los datos para devolver el resultado, conforme a sus condiciones para uso empresarial por API. Algunos pueden conservar temporalmente las peticiones para detectar abusos, según sus propias políticas.
• La función de mejorar prompt envía tu texto a un modelo de lenguaje para reescribirlo; solo se ejecuta cuando la solicitas.
• Varias herramientas gratuitas de la web (quitar fondo, convertir o redimensionar imágenes, herramientas PDF, conversión de vídeo a GIF) funcionan íntegramente en tu navegador: los archivos no salen de tu dispositivo ni llegan a nuestros servidores.
• No tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos en ti o te afecten significativamente de modo similar (art. 22 RGPD). Los sistemas automáticos de detección de abusos pueden bloquear una petición concreta, y siempre puedes pedir que una persona la revise.

6. Contenido que compartes

Tu contenido es privado por defecto y solo lo ven tú y los miembros de tu equipo. Se hace accesible a terceros únicamente cuando tú lo decides:

• Al crear un enlace para compartir un proyecto, carpeta o imagen, cualquier persona que tenga el enlace podrá verlo y, salvo que lo desactives, descargarlo. Puedes fijar una caducidad y revocar el enlace en cualquier momento; registramos el número de visitas.
• Al marcar una imagen como pública, esta queda accesible mediante su dirección.
• Si publicas o exportas contenido a servicios de terceros mediante integraciones, esos terceros lo tratarán conforme a sus propias políticas.

Ten especial cuidado al compartir imágenes en las que aparezcan personas identificables: necesitas su autorización.

7. Destinatarios y encargados del tratamiento

No vendemos ni cedemos tus datos personales a terceros con fines propios de estos. Solo los comunicamos a:

• Proveedores de servicios (encargados del tratamiento) que necesitamos para prestar el servicio, con los que tenemos suscritos los acuerdos exigidos por el artículo 28 RGPD.
• Administraciones públicas, jueces y tribunales, cuando exista una obligación legal (por ejemplo, la Agencia Tributaria).
• Otros miembros de tu equipo, que ven el contenido y la actividad compartida en ese equipo, y los terceros a los que tú mismo des acceso mediante enlaces o integraciones.
• Asesores profesionales (gestoría, abogados), sujetos a deber de confidencialidad, cuando sea necesario.
• En caso de reorganización, fusión o venta del negocio, al adquirente, que asumiría los mismos compromisos de esta política.

Los proveedores con acceso a datos personales, agrupados por categorías, son:

Identificamos por su nombre a los proveedores con los que te relacionas directamente al pagar o iniciar sesión. Puedes solicitarnos en cualquier momento la identidad de los demás encargados y subencargados escribiendo a [email protected]; si eres cliente y Pictulab trata datos por tu cuenta, te informaremos además de cualquier cambio en ellos.

8. Transferencias internacionales

Algunos de los proveedores indicados están ubicados, o pueden acceder a los datos, fuera del Espacio Económico Europeo, principalmente en Estados Unidos. En esos casos, la transferencia se ampara en:

• La decisión de adecuación de la Comisión Europea relativa al Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework), para las entidades certificadas en él.
• Las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión 2021/914), junto con las medidas complementarias que resulten necesarias.

Puedes solicitar información sobre las garantías aplicadas y obtener una copia de ellas escribiendo a [email protected].

9. Plazos de conservación

Conservamos los datos solo durante el tiempo necesario para la finalidad para la que se recogieron. Después, los mantenemos bloqueados (art. 32 LOPDGDD), a disposición exclusiva de jueces, tribunales y autoridades, durante los plazos de prescripción de las posibles responsabilidades, y finalmente los suprimimos.

10. Tus derechos

En cualquier momento puedes ejercer gratuitamente los siguientes derechos:

• Acceso: saber si tratamos tus datos y obtener una copia.
• Rectificación: corregir datos inexactos o incompletos. Muchos puedes cambiarlos tú mismo desde los ajustes de tu cuenta.
• Supresión: pedir que eliminemos tus datos. Puedes eliminar tu cuenta desde los ajustes de tu cuenta, en la web o en la app móvil (Cuenta → Borrar cuenta), o escribiéndonos a [email protected] desde el correo de tu cuenta, también si accediste con Google o GitHub. Más detalle en Eliminar tu cuenta.
• Oposición: oponerte a los tratamientos basados en el interés legítimo, incluida la mercadotecnia, que dejaremos de hacer de inmediato.
• Limitación: pedir que suspendamos el tratamiento mientras se comprueba una reclamación.
• Portabilidad: recibir los datos que nos has facilitado en un formato estructurado y de uso común, y que los transmitamos a otro responsable. Puedes descargar tus imágenes y archivos en cualquier momento desde la aplicación.
• Retirada del consentimiento, sin que ello afecte a la licitud del tratamiento previo.
• No ser objeto de decisiones individuales automatizadas con efectos jurídicos o significativos.

Para ejercerlos, escribe a [email protected] desde el correo asociado a tu cuenta o por correo postal a nuestro domicilio, indicando el derecho que ejerces. Solo te pediremos información adicional si es necesaria para confirmar tu identidad. Responderemos en el plazo de un mes, prorrogable dos meses más en casos complejos, de lo que te informaríamos.

Si consideras que no hemos atendido correctamente tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es) o ante la autoridad de control de tu país de residencia en la UE. Te agradeceremos que antes nos escribas para intentar resolverlo.

11. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD), entre ellas:

• Cifrado de las comunicaciones mediante HTTPS/TLS.
• Contraseñas almacenadas con funciones de hash robustas (bcrypt) y claves de API guardadas únicamente en forma de hash.
• Cookies de sesión protegidas (HttpOnly, Secure y SameSite) y sesiones con caducidad.
• Aislamiento de los datos por equipo, control de accesos por roles y registro de las acciones administrativas.
• Enlaces para compartir con identificadores aleatorios no adivinables, revocables y con caducidad opcional.
• Copias de seguridad de la base de datos y monitorización de la infraestructura.

Si se produjera una violación de la seguridad de los datos personales, la notificaremos a la AEPD en un máximo de 72 horas y, cuando suponga un alto riesgo para tus derechos, te informaremos sin dilación indebida (arts. 33 y 34 RGPD).

12. Menores de edad

Pictulab está dirigido exclusivamente a personas mayores de 18 años. No recabamos conscientemente datos de menores. Si detectamos que un menor ha creado una cuenta, la eliminaremos junto con sus datos. Si eres madre, padre o tutor y crees que un menor nos ha facilitado datos, escríbenos a [email protected].

13. Cookies

Utilizamos cookies técnicas necesarias y, solo si lo aceptas, cookies de analítica. Toda la información, la lista de cookies y la forma de cambiar tu decisión están en la Política de Cookies.

14. Cambios en esta política

Podemos actualizar esta política para reflejar cambios legales o del servicio (por ejemplo, la incorporación de un nuevo proveedor). Indicaremos siempre la fecha de la última actualización y, si el cambio es relevante, te lo comunicaremos por correo electrónico o mediante un aviso en la aplicación antes de que entre en vigor.