Política de Privacidad

① La Empresa recopila los siguientes datos personales para la prestación de sus servicios:

Datos obligatorios: dirección de correo electrónico, contraseña (cifrada), alias, historial de uso del servicio, registro de acceso e información del dispositivo (sistema operativo, navegador, dirección IP).

Datos opcionales: imagen de perfil, fecha de nacimiento, género y áreas de interés.

Inicio de sesión con redes sociales: información básica del perfil proporcionada por la plataforma correspondiente (nombre, correo electrónico, foto de perfil).

Datos recopilados automáticamente: cookies, frecuencia de acceso, patrones de uso del servicio y metadatos de las conversaciones con el agente de IA.

② Métodos de recopilación: los datos se recopilan de forma automática o directa durante el registro, el uso del servicio, las consultas de clientes o la participación en eventos.

Los datos personales recopilados se utilizarán exclusivamente para los siguientes fines: prestación del servicio y gestión de cuentas; identificación y autenticación de usuarios; mejora de la calidad del servicio del agente de IA (tras su anonimización); oferta de servicios y recomendaciones personalizadas; análisis estadístico del uso del servicio; atención al cliente y gestión de reclamaciones; envío de notificaciones y anuncios de eventos relacionados con el servicio (con consentimiento opcional); cumplimiento de obligaciones legales y resolución de disputas; filtrado de contenido perjudicial y garantía de la seguridad del servicio; respuesta a situaciones de crisis y notificación a las autoridades competentes conforme a la ley.

① Al darse de baja del servicio, los datos personales se destruirán sin dilación. No obstante, se conservarán durante el periodo especificado en los siguientes casos:

Registros de contratos o cancelación de suscripciones: 5 años (Ley de Comercio Electrónico).

Registros de pagos y suministro de bienes o servicios: 5 años (Ley de Comercio Electrónico).

Registros de reclamaciones de consumidores o resolución de disputas: 3 años (Ley de Comercio Electrónico).

Registros de acceso: 3 meses (Ley de Protección del Secreto de las Comunicaciones).

Registros de operación de servicios de IA conforme a la Ley Básica de Inteligencia Artificial: 5 años.

Registros de filtrado de contenido y moderación: 5 años.

② Una vez que el periodo de conservación expire o se cumpla la finalidad del tratamiento, los datos personales correspondientes se destruirán en un plazo de cinco días.

① Como norma general, la Empresa no cede los datos personales de los usuarios a terceros, salvo en los siguientes casos:

- Si el usuario ha otorgado su consentimiento previo.

- Por imperativo legal o a petición de las autoridades competentes con fines de investigación, conforme a los procedimientos establecidos por la ley.

② Al utilizar servicios de IA externos, el contenido de la conversación (contexto mínimo) puede transitar por los servidores de dicho proveedor. Los datos transferidos se minimizan y cifran, y su periodo de conservación se rige por la política de cada proveedor (la Empresa no garantiza su eliminación inmediata).

③ Successful Companion local vault turns (Privacy Art. 8 ⑧·⑨) are not routed to external AI servers under clause ②. Local inference runs XenLook 4b-Ko on your device; the company does not provide that plaintext to third-party AI providers.

La empresa podrá encargar el tratamiento de datos personales a terceros para mejorar sus servicios. En tal caso, se informará sobre los detalles del encargo conforme a la legislación aplicable y se supervisará al encargado para garantizar que trate los datos personales de forma segura.

① El usuario (o su representante legal) podrá ejercer en cualquier momento los siguientes derechos: solicitar el acceso a sus datos personales, su rectificación, supresión o la limitación de su tratamiento.

② Puede ejercer sus derechos a través de la configuración del servicio o por correo electrónico ([email protected]). La empresa atenderá su solicitud sin dilación indebida.

③ El usuario puede solicitar el acceso, la descarga o la eliminación de los historiales de conversación de su agente de IA.

④ El cuerpo de la conversación del vault local se almacena en su dispositivo; acceso, eliminación y exportación son locales. La empresa no puede ofrecer acceso en servidor (art. 6 ①–③) para contenido fuera de chat-history; registros de cuenta según art. 3.

① La empresa utiliza cookies para ofrecer a cada usuario servicios personalizados.

② El usuario puede rechazar el almacenamiento de cookies a través de la configuración de su navegador web. En tal caso, el uso de algunas funciones del servicio podría verse limitado.

③ Las cookies expiran al cerrar el navegador o al finalizar la sesión.

① En modo nube (predeterminado), las conversaciones pueden usarse para calidad y mejora del modelo, con desidentificación. Los apartados ①·② no aplican al vault local Companion (⑧·⑨).

② En modo nube, puede consentir o rechazar el uso de datos de diálogo para entrenamiento; el rechazo no perjudica el servicio.

③ «Modo privado» es una función separada aún no ofrecida; difiere del vault local Companion (⑧). Para no almacenar en servidor hoy, véase ⑧·⑨.

④ Por defecto, el chat y la búsqueda con IA se procesan en la nube (p. ej. Google Vertex AI, DeepSeek). La bóveda local Companion solo procesa en su dispositivo si opta por separado; el texto en claro de esos turnos no se almacena en las bases de datos de la empresa.

⑤ Puede revocar en cualquier momento su consentimiento para el uso de los datos de conversación con la IA para su entrenamiento. Al hacerlo, puede solicitar la eliminación de los datos de entrenamiento existentes.

⑥ La empresa publicará un informe de transparencia sobre el uso de los datos al menos una vez al año.

⑦ Los usuarios sujetos al RGPD de la UE pueden ejercer su derecho a la portabilidad de los datos.

⑧ Vault local Companion (opcional, experimental): tras consentimiento legal y daemon local, el texto claro de esas vueltas no se guarda en la BD de chat (chat-history). Puede mostrarse brevemente en el navegador; las vueltas locales exitosas no se envían a servidores de la empresa. Contenido en su ruta local; usted es responsable del respaldo y la seguridad.

⑨ En vault local pueden procesarse datos mínimos de cuenta (inicio de sesión, IP, cookies, registros) según art. 3. Si el daemon falla, no hay envío automático a la nube; art. 8 ①·② solo al volver al modo nube.

⑩ (Base legal) El vault local se activa con **consentimiento separado** (PIPA art. 15(2)): fin—experimentos de diálogo en coreano en su dispositivo; datos—texto de la vuelta (no en BD de la empresa); conservación—ruta local; rechazo—modo nube sin perjuicio. Revocación/reconsentimiento vía asistente on y `COMPANION_VAULT_LEGAL_VERSION`. Adjuntos/medios pueden excluirse en v1. Filtro L1 en el navegador.

La empresa adopta las siguientes medidas para garantizar la seguridad: medidas administrativas (elaboración de un plan de gestión interna, minimización del personal que trata datos personales y su formación), medidas técnicas (cifrado de datos personales, gestión de permisos de acceso, uso de programas de seguridad, conservación de registros de acceso) y medidas físicas (control de acceso a salas de servidores y almacenamiento de datos).

① La empresa recabará el consentimiento del representante legal para recopilar datos personales de menores de 14 años.

② El representante legal de un menor de 14 años podrá solicitar el acceso, la rectificación o la supresión de los datos personales del menor.

① Para prestar servicios de IA, sus datos de conversación (contexto mínimo) pueden transferirse a proveedores internacionales, incluidos Google LLC (Vertex AI Gemini), Anthropic (Claude vía Vertex AI), DeepSeek, xAI (Grok), OpenAI (imágenes), Suno (música) y Fal.ai (vídeo). En planes de pago, las consultas de búsqueda web se envían a Google LLC. El plan Explorer gratuito no ofrece búsqueda web. La infraestructura puede enrutarse por Cloudflare, Inc.

② En caso de transferencia internacional, se informará al usuario y se solicitará su consentimiento sobre los datos transferidos, el país de destino, la fecha y el método de transferencia, así como la finalidad de uso y el periodo de conservación por parte del destinatario.

③ El texto claro de vueltas exitosas del vault local no se transfiere al extranjero (art. 8 ⑧·⑨). Las transferencias en modo nube siguen art. 11 ①·② y art. 12.

④ Para regiones GDPR (UE/Reino Unido): transferencias basadas en SCC de la UE (2021/914) y DPA de procesadores (p. ej., Google Cloud). EE. UU.: SCC y DPA. China (DeepSeek): consentimiento PIPL.

La empresa designa a un Responsable de Protección de Datos (CPO) para supervisar las operaciones relacionadas con el tratamiento de datos personales.

Responsable de Protección de Datos: Nam Ki-yeon (Co-CEO) · [email protected] · 1833-6972 (Comité de Mediación de Disputas sobre Información Personal)

Para solicitar reparación por la vulneración de sus datos personales, el usuario puede consultar a las siguientes instituciones:

Comité de Mediación de Disputas sobre Información Personal: 1833-6972 (sin prefijo nacional) (www.kopico.go.kr)

Centro de Denuncias de Infracciones de Información Personal: 118 (sin prefijo nacional) (privacy.kisa.or.kr)

Fiscalía Suprema: 1301 (sin prefijo nacional) (www.spo.go.kr)

Agencia Nacional de Policía: 182 (sin prefijo nacional) (ecrm.cyber.go.kr)

Esta política entra en vigor en su fecha de implementación. Cualquier adición, eliminación o modificación de su contenido debida a cambios en la legislación, las políticas o la tecnología de seguridad se notificará a través de los avisos del servicio con al menos siete días de antelación a su entrada en vigor.

① En caso de una incidencia de seguridad que afecte a los datos personales, la empresa notificará sin demora al usuario afectado, informándole de la incidencia, los datos comprometidos, las medidas para minimizar los daños y la información de contacto.

② Si se vulneran los datos personales de usuarios de la UE, se notificará a la autoridad de control en un plazo de 72 horas, conforme al artículo 33 del RGPD. Si se prevé un riesgo elevado, también se informará sin demora al usuario, conforme al artículo 34.

③ A los usuarios de China se les notificará la vulneración de acuerdo con el artículo 57 de la Ley de Protección de la Información Personal (PIPL). Para los usuarios de Corea, se tomarán una o más medidas sin demora, de conformidad con el artículo 34 de la Ley de Protección de Datos Personales.

① La empresa no toma decisiones totalmente automatizadas mediante IA que produzcan efectos jurídicos para el usuario. Todas las decisiones importantes conllevan una revisión humana.

② Los usuarios de la UE tienen derecho a solicitar la intervención humana en el tratamiento automatizado, de acuerdo con el artículo 22 del RGPD. Pueden ejercer este derecho contactando a [email protected].

③ Si un usuario se opone a una decisión automatizada o solicita una revisión humana, la empresa le notificará el resultado del proceso en un plazo de siete días hábiles.

Esta Política de Privacidad entrará en vigor el 1 de junio de 2026.