Política de privacidad

1. Datos que recopilamos

• Datos de la cuenta: nombre, correo y datos de perfil, gestionados a través de nuestro proveedor de autenticación (Clerk). Almacenamos un id interno de usuario, las membresías del espacio de trabajo y los roles.
• Datos del espacio y contenido: los prompts, archivos, imágenes, audio, video, transcripciones, conversaciones y canvas que subes o generas, junto con sus metadatos (títulos, marcas de tiempo, visibilidad).
• Datos de facturación: plan, estado de la suscripción, consumo de créditos y registros de transacciones. Nuestro procesador de pagos (Stripe) recopila y almacena los datos completos de tu tarjeta. Nosotros guardamos una copia solo de la marca de la tarjeta, los últimos cuatro dígitos, la fecha de vencimiento, el tipo de tarjeta (crédito o débito), el país emisor y el nombre de facturación, para mostrar qué tarjeta tienes registrada.
• Datos de uso y dispositivo: registros, ubicación aproximada derivada de la IP, tipo de dispositivo y navegador, y eventos de analítica de producto sobre cómo se usa el Servicio.
• Actividad de la sesión: cuando la analítica está activada para ti (consulta la sección 9), registramos repeticiones de tu uso de la app de Endless a través de nuestro proveedor de analítica de producto para diagnosticar problemas y mejorar la usabilidad. Una repetición registra solo el diseño de la página, la navegación y los clics: todo el texto y los campos de formulario se enmascaran, y no se registran imágenes, video, audio ni otros medios. No registramos repeticiones en nuestro sitio de marketing.
• Comunicaciones: los mensajes que nos envías (por ejemplo, solicitudes de soporte) y los eventos de entrega de correo transaccional.
• Datos de contacto comercial: cuando te registras con un correo de trabajo, creas un espacio de trabajo, indicas el sitio web de tu empresa durante la configuración inicial o contactas a nuestro equipo de ventas, recopilamos tu nombre, tu correo, el dominio de tu empresa y cómo nos encontraste (por ejemplo, parámetros de campaña e identificadores de clic en anuncios). La sección 4 describe cómo investigamos la empresa y hacemos el seguimiento.
• Datos de MOD y Dual: MOD y Dual son productos anteriores de Endless. Cuando un espacio de trabajo de uno de ellos pide pasar a Endless, lo copiamos en un espacio de trabajo de Endless: sus miembros (nombre, correo y rol), su contenido (por ejemplo, chats, transcripciones, archivos, tableros, voces, atajos, programaciones y las cuentas de redes sociales que sigue), su registro de cliente de facturación y sus créditos restantes. Cuando te registras, también comprobamos si tu correo tiene una cuenta de MOD o Dual y, si la tiene, vinculamos las cuentas.

2. Cómo usamos tus datos

Usamos los datos personales para:

• Prestar, proteger y mantener el Servicio, incluidas la autenticación, el almacenamiento y la generación con IA.
• Procesar pagos, medir créditos y aplicar los límites de plan y de gasto.
• Comunicarnos contigo sobre tu cuenta, la seguridad y los cambios del servicio.
• Entender y mejorar cómo se usa el Servicio y desarrollar nuevas funciones.
• Detectar, prevenir y responder a fraude, abuso e incidentes de seguridad.
• Cumplir obligaciones legales y hacer valer nuestros términos.

No vendemos tus datos personales. No usamos tu contenido para entrenar, ajustar ni mejorar de ningún otro modo ningún modelo de aprendizaje automático o de inteligencia artificial, ya sea desarrollado por un tercero o por nosotros, y no permitimos que otros lo hagan. Cuando tu contenido lo procesan los proveedores de IA de terceros que figuran en nuestra página de Subprocesadores para generar el resultado que pides, dichos proveedores actúan como nuestros subprocesadores y pueden procesar tu contenido únicamente para proporcionar ese resultado; seleccionamos proveedores que ofrecen términos respetuosos de la privacidad y activamos con ellos las opciones que excluyen el entrenamiento y, cuando se ofrecen, las de retención cero.

3. Bases legales (RGPD)

Cuando se aplica el RGPD, nos basamos en las siguientes bases legales:

• Ejecución de un contrato: para prestarte el Servicio que contrataste, procesar la facturación y trasladar un espacio de trabajo desde MOD o Dual cuando ese espacio lo pide.
• Interés legítimo: para proteger, analizar y mejorar el Servicio, siempre que tus intereses y derechos no prevalezcan sobre los nuestros.
• Interés legítimo en el desarrollo comercial: para investigar la empresa que hay detrás de un correo de trabajo o de un sitio web de empresa y hacer el seguimiento de los registros de empresas y las consultas de ventas. Puedes oponerte en cualquier momento escribiendo a privacy@endless.app.
• Consentimiento: para cookies y analítica opcionales cuando se requiere, y para ciertas comunicaciones de marketing; puedes retirarlo en cualquier momento.
• Obligación legal: para conservar registros (por ejemplo, fiscales y contables) y atender requerimientos legales.

4. Cómo compartimos los datos

Compartimos datos personales con subprocesadores que nos ayudan a operar el Servicio: alojamiento, autenticación, pagos, almacenamiento, correo, inferencia de IA, analítica, gestión de la relación con clientes (CRM), soporte al cliente y seguridad. Cada uno está vinculado por un acuerdo de tratamiento de datos y solo puede tratar datos siguiendo nuestras instrucciones. La lista vigente está en nuestra página de Subprocesadores.

También podemos compartir datos con los administradores de tu espacio de trabajo (que pueden gestionar tu membresía y contenido en ese espacio) y con autoridades o asesores cuando lo exija la ley o para proteger nuestros derechos, a los usuarios o al Servicio. Si Endless participa en una fusión o adquisición, los datos podrían transferirse como parte de esa operación, sujetos a esta política.

Personal de Endless. Un número limitado de personas del equipo de Endless puede ver datos de cuenta, facturación y uso (por ejemplo, nombres y correos de los miembros, nombres de espacios de trabajo, planes, suscripciones, facturas, saldos de créditos y recuentos de uso) para dar soporte, gestionar la facturación y prevenir el fraude y el abuso. Cada persona del equipo tiene solo los permisos de personal con nombre que le asignamos (por ejemplo, leer datos de facturación o modificar créditos), y cada cambio que el equipo hace con nuestras herramientas internas, incluido un intento rechazado, queda registrado en un registro de auditoría de solo anexado. Nuestras herramientas internas no muestran tu contenido (tus prompts, archivos, chats y resultados generados), y ningún permiso de personal da acceso a él. El equipo de Endless no puede invitarse a sí mismo a tu espacio de trabajo.

Seguimiento comercial. Cuando te registras con un correo de trabajo, creas un espacio de trabajo, indicas el sitio web de tu empresa durante la configuración inicial o contactas a nuestro equipo de ventas, investigamos tu empresa a partir de fuentes públicas: leemos el sitio web de la empresa (mediante Exa) y su cuenta pública de Instagram (mediante RapidAPI), y usamos un modelo de IA (mediante Vercel AI Gateway) para resumir la empresa, su sector, su tamaño y su país. Estos proveedores reciben el dominio de la empresa y la información pública de la empresa, no tu correo. Después creamos o actualizamos tu registro de contacto y de empresa en nuestro CRM (HubSpot), con tu nombre, tu correo, el resumen de la empresa, cómo nos encontraste, tu id de usuario de Endless y, cuando la analítica está activada para ti, tu dirección IP y el agente de usuario de tu navegador para la medición de anuncios (sección 9). Para un nuevo contacto comercial, nuestro equipo de ventas recibe un aviso en nuestra herramienta de mensajería interna (Slack) con tu nombre, tu correo, tu empresa, el nombre del espacio de trabajo y cualquier mensaje que nos hayas enviado. Cuando no hay un dominio de empresa (por ejemplo, un correo personal como Gmail y ningún sitio web de empresa), no hacemos nada de esto, salvo que contactes a nuestro equipo de ventas.

5. Asistentes de IA que conectas

Puedes conectar un asistente de IA, como ChatGPT o Claude, a Endless mediante nuestro servidor MCP en mcp.endless.app. Inicias sesión en Endless y apruebas la conexión; el asistente recibe entonces un token de acceso que actúa como tu cuenta. Solo puede acceder a lo que tu cuenta ve en la app de Endless, y a nada de otro espacio de trabajo del que no seas miembro.

Mediante esa conexión el asistente puede leer: el id de tu cuenta y los espacios de trabajo a los que perteneces, con tu rol en cada uno; los recursos, proyectos, chats, canvas y skills del espacio de trabajo que elijas; y el saldo de créditos del espacio y tu límite de gasto. También puede, por indicación tuya, guardar en ese espacio archivos que le señales, desde un enlace público o desde un archivo que subas a través de él, e iniciar trabajo que gasta los créditos del espacio: transcribir un enlace público de video o audio, generar imágenes, video o audio, y obtener datos públicos de redes sociales (perfiles, publicaciones, búsquedas y tendencias). No puede editar ni eliminar contenido existente. Además elige en qué espacio de trabajo actúa, elección que guardamos 90 días.

Lo que el asistente lee se le envía, y su proveedor (por ejemplo, OpenAI o Anthropic) trata esos datos según sus propios términos y política de privacidad, no los nuestros. El trabajo que el asistente inicia pasa por los mismos subprocesadores que en la app: un enlace que importas se descarga del sitio que lo aloja; las transcripciones y las generaciones las procesan los proveedores de inferencia de IA que figuran en nuestra página de Subprocesadores; y los datos públicos de redes sociales se obtienen a través de RapidAPI, que recibe el nombre de usuario, el enlace o los términos de búsqueda que pide el asistente y nada de tu espacio de trabajo.

Por cada llamada a una herramienta registramos el nombre de la herramienta, el resultado, un código de error si falló, cuánto tardó, tu id de usuario y el id del espacio de trabajo. No registramos los argumentos que envía el asistente ni los resultados que devolvemos. También enviamos esos mismos datos a nuestro proveedor de analítica de producto. Conservamos estos registros mientras exista tu cuenta. Cuando eliminas tu cuenta, los eliminamos o los anonimizamos de forma irreversible, y conservamos los registros anonimizados para medir el uso. Nuestro proveedor de analítica de producto conserva su copia durante su plazo de conservación. Un contador por minuto que usamos para limitar el uso caduca al cabo de un minuto.

Para detener el acceso, desconecta Endless en la configuración del asistente. Para revocar todos los tokens de acceso emitidos a un asistente, o para cualquier otra solicitud sobre estos datos, escribe a privacy@endless.app.

6. Transferencias internacionales de datos

Endless y varios de nuestros subprocesadores están ubicados en Estados Unidos y otros países fuera del EEE/Reino Unido. Cuando transferimos datos personales internacionalmente aplicamos garantías adecuadas: el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado, o las Cláusulas Contractuales Tipo de la Comisión Europea (con el Addendum del Reino Unido cuando corresponda), junto con medidas técnicas y organizativas adicionales.

7. Conservación y eliminación de datos

Conservamos los datos personales mientras tu cuenta esté activa y según sea necesario para prestar el Servicio. Puedes mover contenido a la papelera y restaurarlo dentro de 30 días; pasados 30 días, los recursos y las skills de la papelera se eliminan automáticamente.

Eliminación de la cuenta. Puedes eliminar tu cuenta desde la configuración de tu cuenta. Cuando lo haces, tu identidad de inicio de sesión se elimina en nuestro proveedor de autenticación. En nuestros registros se eliminan tu nombre, tus correos, tu foto, tu nombre de usuario, tus datos de idioma y zona horaria y los vínculos con tus cuentas de MOD, Dual y soporte, y tu id de usuario se sustituye por un identificador anonimizado aleatorio (un id «del_»). Nuestra copia de tus conversaciones de soporte se elimina, y tu contacto en nuestro proveedor de soporte al cliente se archiva. Un espacio de trabajo en el que eres el único miembro se elimina con tu cuenta (ver más abajo); si eres el único administrador, primero eliges un nuevo administrador. Los canvas de los que eres propietario se cierran. El resto del contenido que creaste en un espacio de trabajo con otros miembros permanece en ese espacio, porque pertenece al espacio de trabajo.

Eliminación de un espacio de trabajo. Un administrador puede eliminar un espacio de trabajo. Cuando se elimina, nadie puede volver a abrirlo ni abrir su contenido; se eliminan su nombre, su dirección y su logotipo; su identificador se sustituye por un identificador anonimizado aleatorio; y se eliminan su registro de cliente en nuestro procesador de pagos y su registro de empresa en nuestro proveedor de soporte al cliente.

Registros que conservamos después de la eliminación. Conservamos sin límite de tiempo registros de uso anonimizados: recuentos, estados, duraciones, créditos y costos de chats, llamadas a herramientas, generaciones, recursos y llamadas a proveedores de IA y de datos. No contienen contenido, y los ids de usuario y de espacio de trabajo que contienen se sustituyen por los mismos identificadores anonimizados aleatorios. Conservamos el registro de auditoría de las acciones del personal, con tus ids anonimizados de la misma forma. También conservamos registros cuando es necesario por motivos legales, fiscales o de seguridad. El texto de error de una importación desde MOD o Dual, que puede repetir partes de los datos importados, se elimina 90 días después de la importación. Hacemos una copia de seguridad de nuestra base de datos cada 12 horas, y cada copia se elimina a los 2 días.

8. Tus derechos

Según dónde residas, puedes tener derecho a:

• Acceso: obtener una copia de los datos personales que tenemos sobre ti.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar la eliminación de tus datos personales (el «derecho al olvido»).
• Portabilidad: recibir tus datos en un formato estructurado y legible por máquina.
• Limitación y oposición: limitar u oponerte a ciertos tratamientos, incluidos la elaboración de perfiles y el marketing directo.
• Retirar el consentimiento: cuando el tratamiento se base en el consentimiento, sin afectar al tratamiento previo.

Para ejercer cualquiera de estos derechos, escribe a privacy@endless.app. Responderemos dentro del plazo que exige la ley. También tienes derecho a presentar una reclamación ante tu autoridad de protección de datos.

9. Cookies y analítica

Usamos cookies estrictamente necesarias para mantener tu sesión y proteger el Servicio. También usamos cookies de analítica y tecnologías similares: para analítica de producto y repetición de sesiones (PostHog) y, cuando está habilitado, medición de tráfico web y marketing (Google Analytics, Meta y LinkedIn). En el EEE, el Reino Unido, Suiza y California, y siempre que no podemos saber dónde estás, solo funcionan después de que las aceptas en nuestro banner de cookies. En el resto de lugares están activadas por defecto. En todos los casos puedes cambiar tu elección cuando quieras desde «Configuración de cookies» en el pie de página, y respetamos Global Privacy Control como una solicitud de rechazar las cookies no esenciales.

Cuando la analítica está activada para ti y has iniciado sesión, el píxel de Meta también recibe tu correo y tu nombre, convertidos en hash en tu navegador antes de enviarse, y tu id de usuario de Endless. Cuando la analítica está activada para ti, nuestros servidores también informan a Google Analytics, Meta y LinkedIn de registros, inicios de pago, inicios de prueba, compras, consultas de ventas y cambios en tu estado como contacto comercial en nuestro CRM, a través de nuestro propio gestor de etiquetas del lado del servidor. Estos informes pueden contener tu correo convertido en hash, tu nombre, tu id de usuario de Endless, tu dirección IP, el agente de usuario de tu navegador e identificadores de clic en anuncios. Meta y LinkedIn usan estos datos para medir y mejorar nuestra publicidad, como responsables independientes según sus propios términos y políticas de privacidad.

10. Seguridad

Aplicamos medidas técnicas y organizativas para proteger los datos personales, incluidos el cifrado en tránsito, controles de acceso acotados, permisos de personal con nombre con un registro de auditoría de solo anexado de los cambios del personal y credenciales de servicio de mínimo privilegio. Ningún sistema es perfectamente seguro, pero trabajamos para proteger tus datos y para notificarte a ti y a las autoridades competentes las brechas que lo requieran conforme a la ley.

11. Menores

El Servicio no está dirigido a menores de 16 años y no recopilamos deliberadamente sus datos personales. Si crees que un menor nos ha facilitado datos, contáctanos y los eliminaremos.

12. Cambios en esta política

Podemos actualizar esta política a medida que el Servicio evolucione o cambie la ley. Publicaremos la política actualizada con una nueva fecha de vigencia y, para cambios sustanciales, daremos un aviso adicional en el Servicio.

13. Ley aplicable

Esta política y cualquier disputa relacionada con ella se rigen por las leyes del Estado de Delaware, Estados Unidos, con exclusión de sus normas sobre conflicto de leyes. Esto no te priva de los derechos imperativos de protección de datos que te correspondan conforme a la ley de tu país de residencia, incluido tu derecho a presentar una reclamación ante tu autoridad de control local.

14. Contacto

Para cualquier consulta o solicitud de privacidad, escribe a privacy@endless.app.