Política de Privacidad

Somos el responsable del tratamiento de los datos personales que recopilamos para gestionar nuestro negocio: datos de cuenta, espacio de trabajo, facturación, soporte, seguridad y sitio web.

Cuando nuestros clientes empresariales envían contenido a través de los Servicios, como prompts, archivos y los resultados generados a partir de ellos, cualquier dato personal contenido en ese contenido lo tratamos como encargado del tratamiento o proveedor de servicios por cuenta del cliente y siguiendo sus instrucciones, y se aplica nuestro Adenda de Tratamiento de Datos. Si eres usuario de uno de los productos de nuestros clientes, ponte en contacto con ese cliente en relación con tus datos; las solicitudes que recibamos las remitiremos a él.

2.1 Datos de la cuenta y del espacio de trabajo. Tu dirección de correo electrónico, tu nombre si lo indicas, los nombres de los espacios de trabajo, la pertenencia a equipos y los roles, y tus ajustes. Inicias sesión con códigos de un solo uso que te enviamos por correo, así que no guardamos contraseñas.

2.2 Claves de API. El nombre, el prefijo y los límites de cada clave. El secreto completo se te muestra una sola vez y nosotros lo guardamos únicamente como un hash unidireccional.

2.3 Datos de facturación. Tus compras, el saldo y el registro de Créditos, los Créditos promocionales, los recibos y las facturas, y los identificadores de nuestro procesador de pagos. Los datos de la tarjeta los recopila y almacena nuestro procesador de pagos; nunca recibimos el número completo de tu tarjeta.

2.4 Datos de uso. Por cada solicitud: la hora, el modelo, el endpoint y la clave de API utilizados; los recuentos de tokens, imágenes o vídeos; el coste y el precio de lista; el estado y los códigos de error; la latencia; y cuál de nuestras rutas la atendió. Los usamos para facturarte, mostrar tu historial de solicitudes, operar y mejorar los Servicios y mantenerlos seguros.

2.5 Contenido que envías a través de los Servicios.

• Solicitudes de chat y texto a través de la API: procesamos los prompts y las respuestas en memoria mientras atendemos la solicitud y no los almacenamos.
• Chats del Playground: los chats que mantienes en el Playground se guardan en tu cuenta para que puedas volver a abrirlos. Solo tú puedes verlos y conservamos los 300 más recientes de cada espacio de trabajo hasta que los elimines. Los archivos adjuntos a un chat no se guardan con él.
• Imágenes que añades en el Playground: las imágenes que subes, pegas o arrastras en el Playground se guardan en las subidas recientes de tu espacio de trabajo para que puedas volver a usarlas. Todos los miembros del espacio de trabajo pueden verlas y se eliminan a los 30 días.
• Imágenes: las imágenes generadas y los prompts que las produjeron se almacenan para que puedas verlas y descargarlas, y se eliminan a los 30 días.
• Vídeos: el prompt, los ajustes y las imágenes de referencia que envíes se almacenan para producir y entregar el vídeo. El vídeo, el prompt y las imágenes de referencia se eliminan a los 30 días. Un registro del trabajo sin ese contenido (hora, modelo, duración, estado y coste) permanece en tu historial de facturación.
• Detalles de errores: cuando falla un intento de atender una solicitud, conservamos el mensaje de error devuelto hasta 30 días para diagnosticar problemas. Estos mensajes pueden citar ocasionalmente parte de una solicitud o de una respuesta.
• El contenido se envía a los Proveedores de infraestructura para generar resultados (véase la Sección 4). No usamos tu contenido para entrenar modelos de inteligencia artificial ni lo vendemos.

2.6 Comunicaciones. Las solicitudes de soporte y los mensajes que nos envías, incluidos el nombre, la dirección de correo electrónico y la empresa que indicas en nuestra página de Soporte, y los registros de los correos que te enviamos, como los códigos de inicio de sesión y de confirmación, los recibos, las alertas de cuenta y las novedades de producto, incluido si se abrió un correo de producto.

2.7 Datos de dispositivo y registros. La dirección IP, la información del navegador y del dispositivo, y las marcas de tiempo y los eventos de seguridad cuando usas los sitios web, el panel o la API, conservados en nuestros registros de servidor. También conservamos registros de acceso de las direcciones IP y los dispositivos utilizados para iniciar sesión, usar el panel, guardar una tarjeta, realizar un pago y llamar a la API, con cuándo se vio cada uno por primera y por última vez, para prevenir el fraude y responder a disputas de pago. Además, anotamos en tu cuenta los países desde los que usas el panel, tal como los deriva Cloudflare de tu dirección IP, con cuándo se vio cada uno por primera y por última vez, para que nuestro equipo de soporte pueda ayudarte cuando nos contactes. Cuando solicitas un código de inicio de sesión o de registro, Cloudflare Turnstile comprueba que quien lo pide es una persona y no un script automatizado, y para ello recibe tu dirección IP y señales de tu navegador. También registramos la red desde la que se crea cada cuenta nueva, para limitar los registros automatizados.

2.8 Cookies y almacenamiento local. Aparte de las cookies de medición de anuncios de Meta, Google y X y de nuestro registro de cuál de nuestros anuncios has clicado (2.9), solo usamos lo que los Servicios necesitan para funcionar: mantener tu sesión iniciada, para lo que usamos el almacenamiento local de tu navegador y una cookie que dura hasta que cierras sesión (hasta 400 días, renovada cuando visitas) y recordar preferencias como el tema y el idioma que eliges (una cookie que dura un año). Nuestra propia analítica web (2.10) no instala cookies ni guarda nada en tu dispositivo. El proveedor que aloja nuestro sitio web también recopila estadísticas anónimas de visitas, como qué páginas se visitan y con qué frecuencia, y puede instalar una cookie para ello.

2.9 Medición de anuncios (Meta, Google y X). Para medir nuestros anuncios en Facebook e Instagram, nuestros sitios web cargan el Meta Pixel, que instala las cookies de Meta (_fbp, y _fbc cuando llegas desde un anuncio de Meta) e informa a Meta de qué páginas de nuestro sitio visitas. Cuando te registras, haces tu primera solicitud a la API con éxito y compras saldo, también se lo comunicamos a Meta directamente desde nuestros servidores, con tu dirección de correo electrónico y tu ID de cuenta en forma de hash, tu dirección IP y tu navegador, los valores de las cookies de Meta y, en el caso de una compra, el importe. Para medir nuestros anuncios en Google, nuestros sitios web también cargan Google tag para Google Ads, que instala las cookies de Google (_gcl_au, y _gcl_aw o _gcl_gb con el ID de clic, como gclid, cuando llegas desde un anuncio de Google) e informa a Google de qué páginas de nuestro sitio visitas. Cuando te registras, haces tu primera solicitud a la API con éxito y compras saldo, tu navegador informa a Google Ads, con un ID para el evento, tu dirección de correo electrónico en forma de hash (las conversiones mejoradas de Google), tu dirección IP y tu navegador, los valores de las cookies de Google y, en el caso de una compra, el importe; la primera solicitud a la API y las compras se envían la próxima vez que abras nuestro panel. Usamos Google Ads solo para medir nuestros anuncios, no para mostrarte anuncios personalizados. Para medir nuestros anuncios en X, nuestros sitios web también cargan el píxel de X, que instala las cookies de X (_twpid y _twsid, y _twclid con el ID de clic, twclid, cuando llegas desde un anuncio de X) e informa a X de qué páginas de nuestro sitio visitas; X también puede leer cookies que instaló en sus propios sitios web. Cuando te registras, tu navegador informa a X, con un ID para el evento, tu dirección IP y tu navegador, y el ID de clic de X; no enviamos tu dirección de correo electrónico a X. Cuando llegas desde uno de nuestros anuncios de Meta o Google, también guardamos en el almacenamiento local de tu navegador, durante un máximo de 90 días, las etiquetas de campaña de la dirección del anuncio (como los nombres o IDs de la campaña y del anuncio) y cuándo hiciste clic, para que, si creas una cuenta otro día, nuestra analítica web (2.10) pueda saber de qué anuncio viniste; no enviamos este registro a Meta ni a Google. En el Espacio Económico Europeo, el Reino Unido y Suiza, todo esto ocurre solo si lo permites en nuestro banner. En el resto del mundo está activado salvo que lo desactives con Tus opciones de privacidad, al pie de nuestras páginas, y tratamos una señal Global Privacy Control de tu navegador como una desactivación. Al desactivarlo se detienen el Meta Pixel, Google tag y el píxel de X, se eliminan de tu navegador las cookies que instalaron en nuestros sitios web y nuestro registro de qué anuncio has clicado, y se eliminan los identificadores que guardamos para ellos.

2.10 Analítica del sitio web. Para entender cómo nos encuentra la gente y cómo usa nuestros sitios web, registramos las páginas que visitas en zurelay.com (no el panel con sesión iniciada) y cuánto tiempo permanece cada una a la vista, el sitio web o la app desde el que llegaste, las etiquetas de campaña de la dirección (parámetros UTM), si llegaste desde un clic en un anuncio (el nombre del parámetro de clic del anuncio, como gclid, no su valor), el país que deducimos de tu dirección IP y tu tipo de dispositivo, navegador y sistema operativo. Para esto no instalamos cookies ni almacenamos nada en tu dispositivo. Para contar visitantes sin identificarlos, combinamos tu dirección IP y los datos de tu navegador con un valor aleatorio que se sustituye cada día y conservamos solo el código resultante, de modo que las visitas de días distintos no se puedan vincular; no conservamos tu dirección IP. Cuando creas una cuenta, registramos la visita desde la que te registraste ese día y, cuando la medición de anuncios (2.9) está activada y llegaste desde un anuncio de Google o Meta en un día anterior, qué plataforma y qué anuncio (sus etiquetas de campaña) fue, para saber qué fuentes y qué anuncios nos traen clientes.

Cuando se aplican el GDPR, el UK GDPR o leyes similares, nos basamos en las bases jurídicas que se indican entre corchetes.

• Crear y gestionar tu cuenta y tus espacios de trabajo, autenticarte, atender tus solicitudes y almacenar los archivos que generas (ejecución de nuestro contrato contigo).
• Cobrar los Servicios, procesar pagos y promociones, prevenir el fraude y mantener registros fiscales y contables (contrato, obligación legal y nuestro interés legítimo en cobrar y en prevenir el fraude).
• Proteger los Servicios, supervisar su fiabilidad, prevenir el abuso y hacer cumplir nuestros Términos (intereses legítimos).
• Prestar asistencia y enviar mensajes de servicio, como recibos, avisos de seguridad y cambios en nuestros términos (contrato e intereses legítimos).
• Entender y mejorar los Servicios, principalmente mediante datos de uso agregados o desidentificados (intereses legítimos).
• Entender cómo nos encuentra la gente y cómo usa nuestros sitios web, y qué fuentes traen clientes, tal como se describe en 2.10 (intereses legítimos).
• Medir y mejorar nuestra publicidad en Meta, Google y X, tal como se describe en 2.9 (tu consentimiento cuando la ley lo exija; si no, nuestros intereses legítimos; puedes desactivarlo en cualquier momento).
• Para enviarte noticias, consejos y ofertas sobre nuestros productos, como correos de bienvenida y un bono en tu primer depósito, y para ver cuáles de ellos se abren, donde la ley lo permite. Todos incluyen un enlace para darte de baja, y darte de baja no detiene los códigos de inicio de sesión, los recibos ni otros mensajes de servicio (consentimiento o interés legítimo).
• Para cumplir la ley, responder a solicitudes legales y establecer, ejercer o defender reclamaciones legales (obligación legal e interés legítimo).

• Proveedores de infraestructura. Los desarrolladores de modelos de inteligencia artificial, las plataformas en la nube, los revendedores independientes y otros proveedores de capacidad de modelos que elegimos y verificamos para atender las solicitudes reciben el contenido y los parámetros necesarios para generar una respuesta. Los procesan conforme a sus propios términos y prácticas, que pueden incluir registrarlos, conservarlos o revisarlos y usarlos para mejorar sus servicios, y pueden estar ubicados en Estados Unidos o en otros países. No les enviamos tu nombre, tu dirección de correo electrónico ni tus datos de facturación.
• Proveedores de servicios. Empresas que nos ofrecen alojamiento, bases de datos, almacenamiento, procesamiento de pagos, envío de correos, protección contra bots y herramientas de soporte, bajo contratos que limitan el uso que hacen de los datos personales a prestarnos servicios.
• Tu espacio de trabajo. Los miembros y administradores de un espacio de trabajo pueden ver los datos de ese espacio según sus roles.
• Cuestiones legales y de seguridad. Cuando creemos de buena fe que la divulgación es necesaria para cumplir la ley o una solicitud legal, hacer cumplir nuestros Términos, proteger los derechos, la propiedad o la seguridad de cualquier persona, o investigar fraudes o abusos, incluida la denuncia de material de abuso sexual infantil a las autoridades.
• Transmisiones empresariales. En relación con una fusión, adquisición, financiación, reorganización o venta de activos, sujeto a esta Política.
• Meta (medición de anuncios). Meta Platforms recibe los datos descritos en 2.9 para medir nuestros anuncios y mostrárselos a personas que probablemente encuentren útil el Servicio. Meta los usa conforme a sus propios términos y política de privacidad, como responsable independiente cuando se aplica el RGPD.
• Google (medición de anuncios). Google LLC recibe los datos descritos en 2.9 para medir nuestros anuncios en Google. Google los usa conforme a sus propios términos y política de privacidad, y le indicamos a Google que no los use para personalizar anuncios.
• X (medición de anuncios). X Corp. recibe los datos descritos en 2.9 para medir nuestros anuncios en X y mostrárselos a personas que probablemente encuentren útil el Servicio. X los usa conforme a sus propios términos y política de privacidad.
• Con tu consentimiento o siguiendo tus instrucciones.

No vendemos datos personales a cambio de dinero. Enviar datos a Meta, Google y X para la medición de anuncios (2.9) puede considerarse "compartir" con fines de publicidad conductual entre contextos, o "publicidad dirigida", según algunas leyes estatales de Estados Unidos. Puedes optar por no participar en cualquier momento con Tus opciones de privacidad al pie de nuestras páginas, y respetamos Global Privacy Control.

Zurelay tiene su sede en Estados Unidos. Nosotros y nuestros Proveedores de servicios y de infraestructura tratamos datos personales en Estados Unidos y en otros países, que pueden tener leyes de protección de datos distintas de las del lugar donde vives. Cuando la ley lo exige, aplicamos garantías reconocidas, como las Cláusulas Contractuales Tipo de la Comisión Europea, para las transferencias hacia nosotros. Algunos Proveedores de infraestructura ofrecen sus servicios solo con sus propios términos estándar, así que puede que no podamos establecer esas garantías con ellos.

Podemos conservar los datos por más tiempo cuando la ley lo exija, para resolver disputas o para hacer cumplir nuestros acuerdos. Las copias de seguridad se eliminan según su calendario habitual.

Protegemos los datos personales con medidas adecuadas al riesgo, incluidos el cifrado en tránsito, el almacenamiento de las claves de API solo como hashes unidireccionales, el cifrado en reposo que ofrecen nuestros proveedores de alojamiento y la limitación del acceso a los sistemas de producción a las personas que lo necesitan. Ningún sistema es totalmente seguro, por lo que no podemos garantizar la seguridad de los datos personales. Es tu responsabilidad mantener seguras tus claves de API y tu cuenta de correo electrónico.

Según dónde vivas, puedes tener derecho a acceder a tus datos personales, corregirlos o eliminarlos, recibir una copia de ellos, oponerte a su tratamiento o restringirlo, retirar tu consentimiento y oponerte a la venta o al uso compartido de datos personales o a la publicidad dirigida (no vendemos datos personales; para oponerte a que se compartan para la medición de anuncios, usa Tus opciones de privacidad al pie de nuestras páginas o activa Global Privacy Control en tu navegador). Si estás en el Espacio Económico Europeo, el Reino Unido o Suiza, también puedes presentar una reclamación ante tu autoridad de protección de datos. Para dejar de recibir noticias sobre productos, usa el enlace para darte de baja en cualquiera de esos correos.

Para ejercer un derecho, escribe a help@zurelay.com con “Privacy request” en el asunto. Verificaremos tu identidad antes de actuar, podremos pedir a un agente autorizado prueba de su autoridad y responderemos dentro del plazo que exija la ley. Si rechazamos una solicitud, puedes apelar respondiendo a nuestra respuesta. No te discriminaremos por ejercer tus derechos. Las solicitudes sobre contenido que nuestros clientes enviaron a través de los Servicios se remitirán al cliente correspondiente.

Los Servicios están destinados a empresas y no se dirigen a menores. No recopilamos a sabiendas datos personales de personas menores de 18 años. Si crees que un menor nos ha proporcionado datos personales, contáctanos y los eliminaremos.

Podemos actualizar esta Política periódicamente. Publicaremos la Política actualizada con una nueva fecha y, si los cambios son importantes, te lo notificaremos por correo electrónico o en los Servicios.

Puedes enviar tus preguntas y solicitudes sobre privacidad a Zurelay LLC en help@zurelay.com. Si necesitas ayuda con tu cuenta o con los Servicios, abre una solicitud en nuestra página de Soporte (zurelay.com/support).