Política de Privacidad de Kandelolabs

Versión: 7 de noviembre de 2026

Esta política explica qué datos personales trata el servicio Kandelolabs (en adelante, el "Servicio"), para qué y durante cuánto tiempo. Es informativa: no forma parte del contrato. "Cliente" es la empresa, el profesional o el particular que contrata el Servicio; "usuario" es cada persona con cuenta, incluidos los miembros del equipo del Cliente.

1. Responsable

Responsable: Sistemas de Innovación Bosa Digital, S.L. (en adelante, la "Sociedad"), NIF B24887549.
Domicilio: Calle Hernán Cortés 17, planta 2ª, 03600 Elda (Alicante), España.
Contacto de privacidad: admin@bosadis.com.
Delegado de Protección de Datos: la Sociedad no ha designado un Delegado de Protección de Datos porque no está obligada a ello. Para cualquier cuestión de privacidad, escriba al contacto de privacidad indicado arriba.

2. Qué datos tratamos

Cuenta:
correo electrónico, nombre que se muestra, idioma e identificador interno;
la contraseña, gestionada por nuestro proveedor de autenticación;
si se entra con Google, los datos básicos de identidad que facilita Google.
Equipo:
espacios de trabajo y nombre de cada uno;
miembros, roles e invitaciones (con el correo de la persona invitada).
Contenido que aporta el usuario:
la descripción del producto: nombre, atributos, palabras clave, etc.;
las fotografías de referencia;
el logotipo, si se sube.
Contenido generado: los textos e imágenes A+ y el paquete de descarga.
Créditos y facturación:
movimientos de créditos;
plan y estado de la suscripción;
identificadores de cliente, suscripción y factura de Stripe.

No guardamos los datos completos de la tarjeta.

Datos de facturación (obligatorios para comprar, guardados en Stripe):
si se compra como empresa o profesional o como particular;
nombre y apellidos o razón social, país y dirección;
número fiscal (NIF o número de IVA intracomunitario), cuando se facilita;
para las empresas de otro Estado de la Unión Europea, el resultado de la comprobación del número de IVA en VIES: la fecha, si es válido, el número de consulta y el nombre que consta en VIES.
Solicitud de inicio inmediato (solo particulares): la fecha y la versión del texto de la casilla que se marca antes de cada compra, junto a la referencia del pago, y el correo de confirmación que se envía.
Aceptaciones:
versión y fecha de aceptación de los Términos y Condiciones, con una huella de la dirección IP calculada con una clave secreta (no la IP en claro);
versión y fecha de aceptación de la Regla de cobro, con la dirección IP en claro y su huella con clave.
Direcciones IP de acceso y de compra: la dirección IP en claro de cada inicio de sesión (con cualquier método) y de cada inicio de un proceso de compra; en las de compra, también su huella con clave.
Uso y seguridad:
registros de las generaciones y de su estado;
contadores y límites de uso;
rechazos de moderación;
avisos de error.
Valoraciones y avisos del usuario: los "me gusta / no me gusta" de cada módulo y los avisos de rechazo de Amazon que el usuario nos envía, con el motivo que escriba.
Correos del Servicio: destinatario, plantilla, asunto y estado de cada correo.

Fotografías con personas. El usuario puede subir fotografías en las que aparezcan personas. El Servicio no realiza reconocimiento facial ni identificación biométrica. Quien sube imágenes de terceros identificables debe tener una base legal para hacerlo e informar a esas personas.

3. Para qué y con qué base legal

| Finalidad | Base legal |

|---|---|

| Crear y gestionar la cuenta y el equipo, generar el contenido, gestionar créditos y suscripción | Ejecución del contrato |

| Facturación y obligaciones contables y fiscales, incluida la comprobación en VIES del número de IVA de las empresas de la Unión Europea | Obligación legal |

| Información y confirmación del derecho de desistimiento, y prueba de la solicitud de inicio inmediato (particulares) | Obligación legal y ejecución del contrato |

| Seguridad, moderación de contenidos, prevención del fraude y del abuso, límites de uso | Interés legítimo |

| Defensa ante disputas de pago (IP de acceso, de compra y de aceptación de la Regla de cobro) | Interés legítimo de la Sociedad en acreditar sus cobros ante bancos y emisores de tarjetas |

| Atención al cliente, reclamaciones y mejora del Servicio (incluidas las valoraciones) | Interés legítimo |

No enviamos comunicaciones comerciales. Si en el futuro lo hacemos, pediremos el consentimiento cuando la ley lo exija.

La Sociedad no usa el contenido ni las fotografías de los usuarios para entrenar modelos de inteligencia artificial, ni hace analítica de comportamiento con fines publicitarios.

4. Quién recibe los datos

Para prestar el Servicio recurrimos a estos proveedores:

| Proveedor | Qué recibe | Ubicación y garantías (según la documentación del proveedor, consultada el 27-10-2026) |

|---|---|---|

| **Supabase** | Autenticación, base de datos y almacenamiento de archivos (todos los datos de la cláusula 2) | UE (Frankfurt). Actúa como encargado del tratamiento. Si un subencargado trata datos fuera del Espacio Económico Europeo, las transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea incluidas en su contrato de tratamiento de datos |

| **Vercel** | Aloja la aplicación: todas las peticiones a la web pasan por sus servidores, incluidas la dirección IP y las cookies de sesión | UE (Frankfurt) para las funciones de la aplicación; su red entrega las páginas desde el servidor más cercano al usuario. Actúa como encargado del tratamiento. Las transferencias fuera del Espacio Económico Europeo se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea incluidas en su contrato de tratamiento de datos |

| **Anthropic** | Planifica el A+, escribe los textos y analiza las fotografías. Recibe la descripción del producto, los textos generados y **las fotografías de referencia** que el usuario elige para cada A+, reducidas y sin metadatos, nunca su nombre de archivo. Las fotografías se analizan juntas al pulsar "Continuar" o "Generar". Recibe también un identificador seudónimo del usuario, nunca su correo. No recibe el logotipo. | EE. UU. Actúa como encargado del tratamiento. Las transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea incluidas en su contrato de tratamiento de datos. Según sus condiciones comerciales, no puede entrenar modelos con los datos que recibe de Kandelolabs. Borra los datos enviados por la API en un plazo de 30 días, salvo que incumplan su política de uso (hasta 2 años) o que la ley exija más |

| **OpenAI** | Genera las imágenes y modera el contenido. Recibe la instrucción de imagen y las fotografías de referencia que se usan en cada módulo, y el logotipo en el módulo de cierre. Su servicio de moderación revisa la descripción del producto y cada fotografía y logotipo que se sube. Recibe también el identificador seudónimo del usuario. | EE. UU. Actúa como encargado del tratamiento; para clientes del Espacio Económico Europeo, el contrato de tratamiento de datos se celebra con OpenAI Ireland Ltd. Las transferencias fuera del Espacio Económico Europeo se amparan en las cláusulas contractuales tipo de la Comisión Europea o en una decisión de adecuación. Según su documentación, los datos enviados por la API no se usan para entrenar sus modelos salvo que el cliente lo autorice expresamente, y los registros de control de abusos se conservan hasta 30 días, salvo que la ley exija más |

| **Inngest** | Coordina las tareas en segundo plano. Recibe identificadores internos (de generaciones, espacios de trabajo, fotografías y, al terminar el cierre de una cuenta, del usuario), el estado de cada tarea, recuentos y totales de coste, y mensajes técnicos de error. No recibe correos, nombres, descripciones de producto, textos generados, fotografías, nombres de archivo ni direcciones IP | EE. UU., según su documentación oficial (no ofrece elegir región). Actúa como encargado del tratamiento. Solo recibe identificadores internos, que no permiten identificar a nadie sin acceder a nuestra base de datos, y declara la certificación de seguridad SOC 2 Type II |

| **Sentry** | Avisos de error de la aplicación. Se configuran para excluir los datos del usuario, las cookies, las cabeceras y los cuerpos de las peticiones | UE. Actúa como encargado del tratamiento. Para las transferencias a EE. UU. declara el Marco de Privacidad de Datos UE-EE. UU. y, como respaldo, las cláusulas contractuales tipo de la Comisión Europea |

| **Stripe** | Pagos, suscripciones, cálculo de impuestos y facturas: correo, datos de facturación (cláusula 2), datos de factura, identificador del espacio de trabajo, resultado de VIES y prueba de la solicitud de inicio inmediato | Actúa como encargado del tratamiento y, para algunos fines propios, como responsable independiente. Las transferencias se amparan en las cláusulas contractuales tipo de la Comisión Europea y en el Marco de Privacidad de Datos UE-EE. UU. |

| **Comisión Europea (VIES)** | Solo para empresas de otro Estado de la Unión Europea: el número de IVA del Cliente, para comprobar que es válido, y el de la Sociedad como solicitante | UE. Es un servicio público oficial; la Comisión Europea actúa como responsable de su propio tratamiento |

| **Asesoría fiscal y contable** de la Sociedad | Las facturas y los datos de facturación necesarios para la contabilidad y las declaraciones de impuestos | España. Actúa como encargado del tratamiento, con contrato de encargo |

| **Resend**, si se activa el envío de correos | Correo del destinatario y texto de cada correo | Actúa como encargado del tratamiento. Las transferencias se amparan en las cláusulas contractuales tipo de la Comisión Europea y en el Marco de Privacidad de Datos UE-EE. UU. |

| **Google**, si se activa el acceso con Google | Los datos necesarios para iniciar sesión | Hoy no está activado; esta fila se actualizará si se activa. |

| **Cloudflare (Turnstile)**, si se activa la verificación anti-robots | Los datos técnicos del navegador necesarios para la verificación | Actúa como encargado del tratamiento. Las transferencias se amparan en las cláusulas contractuales tipo de la Comisión Europea, en el Marco de Privacidad de Datos UE-EE. UU. y en su certificación de reglas de privacidad transfronterizas |

| **Plausible**, si se activa la estadística de la web pública | Visitas a la web pública. Está diseñado para funcionar sin cookies | UE (Alemania). Actúa como encargado del tratamiento; según su documentación, no guarda la IP ni el navegador del visitante |

Personal de la Sociedad. El personal autorizado de la Sociedad puede consultar desde un panel interno, con verificación en dos pasos:

datos de cuenta y de equipo;
generaciones;
valoraciones;
avisos de rechazo de Amazon;
disputas de pago.

Lo hace solo para soporte, facturación, prevención del fraude y mejora del Servicio. Las acciones que realiza desde el panel quedan registradas.

5. Transferencias internacionales

Algunos proveedores tratan datos fuera del Espacio Económico Europeo, sobre todo en EE. UU. Cada generación implica enviar a Anthropic y a OpenAI la descripción del producto y las fotografías elegidas.

Las transferencias se amparan en las garantías que indica para cada proveedor la tabla de la cláusula 4:

las cláusulas contractuales tipo aprobadas por la Comisión Europea, incluidas en el contrato de tratamiento de datos de cada proveedor;
y, cuando el proveedor está adherido, el Marco de Privacidad de Datos UE-EE. UU.

Puede pedir información sobre estas garantías en admin@bosadis.com.

6. Cuánto tiempo conservamos los datos

| Datos | Plazo |

|---|---|

| Imágenes generadas | 30 días desde que se generan. Después se eliminan automáticamente, de forma definitiva tras un periodo de gracia de 7 días. Las imágenes que nunca llegaron a entregarse se eliminan antes |

| Paquete de descarga (ZIP) | 7 días; se elimina automáticamente y se puede volver a generar mientras existan las imágenes |

| Fotografías de referencia y logotipo | Mientras exista el producto; se eliminan al borrar el producto o la cuenta |

| Datos de cuenta | Mientras la cuenta esté activa; al cerrarla, ver la cláusula 7 |

| IP en claro de cada inicio de sesión, de cada compra y de la aceptación de la Regla de cobro | 18 meses; se borran automáticamente al cumplirse el plazo, también si la cuenta se ha cerrado antes |

| Huella con clave de la IP de la aceptación de la Regla de cobro y de las compras | 5 años desde la aceptación o la compra, plazo general de prescripción de las acciones contractuales (artículo 1964 del Código Civil), con la única finalidad de acreditar la aceptación o el cobro ante una reclamación. Se eliminarán al cumplirse el plazo |

| Registro de correos enviados | El destinatario y el texto de cada correo se borran automáticamente a los 30 días; se conservan el tipo de correo, el asunto y si se envió |

| Movimientos de créditos, datos de facturación, facturas y referencias de facturación, resultados de VIES, pruebas de la solicitud de inicio inmediato, generaciones y aceptaciones | 6 años (artículo 30 del Código de Comercio), o más si hay una reclamación en curso. Tras el cierre de la cuenta se conservan sin datos que identifiquen directamente a la persona. Se eliminarán al cumplirse el plazo |

| Copias de seguridad | El proveedor de base de datos realiza copias de seguridad automáticas diarias que conserva durante un periodo limitado según el plan contratado y que se sobrescriben de forma periódica. Además, la Sociedad realiza una copia de seguridad mensual que conserva durante 3 meses; las copias anteriores se eliminan. |

| Datos en los sistemas de los proveedores | Según el contrato de tratamiento de datos de cada proveedor. Anthropic borra los datos recibidos por la API en un plazo de 30 días, o hasta 2 años si incumplen su política de uso. OpenAI conserva hasta 30 días los registros de control de abusos |

7. Cierre de la cuenta: qué se elimina y qué se conserva

El usuario puede cerrar su cuenta desde la aplicación. Si es propietario de un espacio de trabajo con otros miembros, primero debe transferir la propiedad. Si es su único miembro, el espacio de trabajo se elimina con la cuenta.

| Qué pasa | Datos |

|---|---|

| **Se elimina** | Las fotografías de referencia y los logotipos que subió; las membresías de equipo; las invitaciones pendientes a su correo, que se anulan; la huella con clave de la IP de aceptación de los Términos; el acceso, porque la cuenta queda bloqueada y no se puede volver a entrar con ella |

| **Se seudonimiza** | El correo, que se sustituye por uno ficticio; el nombre, que se borra; los nombres de archivo; los correos de las invitaciones; el nombre del espacio de trabajo eliminado. Los registros se mantienen unidos a un identificador interno que, con acceso privilegiado, en teoría podría volver a relacionarse con la persona |

| **Se conserva, y por qué** | Los movimientos de créditos, los datos de facturación y las facturas (en Stripe), las referencias de facturación, las pruebas de la solicitud de inicio inmediato, las generaciones y las aceptaciones, sin datos que identifiquen directamente a la persona, por obligaciones contables y para atender posibles reclamaciones; las IP en claro de acceso, compra y aceptación de la Regla de cobro, hasta cumplir 18 meses, y sus huellas con clave (de compra y de aceptación de la Regla), hasta cumplir 5 años, para la defensa ante disputas de pago y reclamaciones |

Los datos que se conservan quedan con acceso restringido al personal autorizado. Solo se usan para atender obligaciones legales o reclamaciones, y se eliminarán al cumplirse los plazos de la cláusula 6.

8. Sus derechos

El usuario puede ejercer los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición:

Acceso y portabilidad: desde la aplicación puede descargar en un archivo JSON:
su perfil, sus equipos, proyectos y generaciones;
sus movimientos de créditos y los datos de sus fotografías;
sus aceptaciones y los registros de IP;
los correos enviados, sus valoraciones y sus avisos de rechazo de Amazon.
Supresión: puede cerrar la cuenta desde la aplicación (cláusula 7).
Otros derechos: escribiendo a admin@bosadis.com. Podemos pedirle información para comprobar su identidad.

También puede reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

9. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas al riesgo:

control de acceso por roles;
verificación en dos pasos para el panel interno;
conexiones cifradas.

La huella con clave de las IP es una técnica de seudonimización, no de anonimización.

Si se produce una brecha de seguridad, la notificaremos a la Agencia Española de Protección de Datos en un plazo de 72 horas desde que tengamos conocimiento de ella, salvo que sea improbable que suponga un riesgo para las personas. También la notificaremos a los afectados cuando el riesgo sea alto (artículos 33 y 34 del RGPD).

10. Cambios

La versión y la fecha figuran al principio. Los cambios importantes se comunicarán en la aplicación y, cuando el Servicio envíe correos, también por correo electrónico.

La Política de Cookies explica las cookies que usa el Servicio.