Política de privacidad
Actualizado: octubre 2026
En caso de discrepancias entre la versión alemana y una traducción, prevalece la versión alemana.
§ 1 Responsable del tratamiento
El responsable del tratamiento en el sentido del Reglamento General de Protección de Datos (RGPD) es:
Alex Trupp NordvindAI (empresa individual) Vahrenwalder Str. 213 30165 Hannover Alemania Teléfono: +49 176 43198566 Correo electrónico: alex.trupp@nordvind-ai.de Sitio web: https://community.nordvind-ai.de
No se ha designado un delegado de protección de datos, ya que no se cumplen los requisitos legales.
§ 2 Resumen de los tratamientos
NordvindAI es un estudio basado en IA: a partir de una foto y una grabación de voz se crea un avatar digital con el que se generan vídeos cortos verticales («Reels»).
Tipos de datos tratados:
- Dirección de correo electrónico (registro, inicio de sesión, pedido)
- Contraseña (almacenada cifrada; no aplica al iniciar sesión con Google)
- Foto y grabación de voz para crear el avatar y el clon de voz
- Su consentimiento para el tratamiento de foto/voz, incluida la fecha y hora
- Temas y guiones introducidos para la generación de vídeos
- Vídeos, guiones y subtítulos generados
- Datos contractuales y de pago (plan, estado de pago, ID de cliente de Stripe; datos de tarjeta solo en Stripe)
- Datos de uso (número de vídeos generados, cupo)
- al conectar canales sociales: tokens de acceso e ID del canal
- si se activa: la suscripción push de su navegador
- Datos de registro (dirección IP, tipo de navegador, horas de acceso — por parte de los proveedores de infraestructura)
§ 3 Bases jurídicas
- Consentimiento (art. 6.1.a y art. 9.2.a RGPD; § 25, apdo. 1 TDDDG): foto y voz para avatar/clon de voz, cookies de análisis y marketing, notificaciones push, conexión de canales sociales
- Ejecución de un contrato (art. 6.1.b RGPD): cuenta, generación de vídeos, procesamiento de pagos, cancelación
- Intereses legítimos (art. 6.1.f RGPD): seguridad, prevención de abusos, funcionamiento del sistema
- Obligación legal (art. 6.1.c RGPD): obligaciones de conservación mercantiles y fiscales
§ 4 Medidas de seguridad
- Cifrado TLS de todas las conexiones
- Almacenamiento cifrado de contraseñas
- Row Level Security (RLS) en la base de datos — acceso solo a los propios datos
- URL firmadas y de validez limitada para el acceso a medios
- Acceso restringido a la infraestructura y a las claves de API
§ 5 Registro y cuenta de usuario
Puede crearse una cuenta con correo electrónico y contraseña, a través de Google (OAuth; Google Ireland Limited) o en el marco de un pedido; en este último caso se utiliza la dirección de correo electrónico indicada en el checkout y el acceso se facilita mediante un enlace mágico (magic link).
Se almacenan: dirección de correo electrónico, en su caso la contraseña cifrada, ID de usuario y fecha de registro.
Base jurídica: art. 6.1.b RGPD. Puede eliminar su cuenta en cualquier momento en los ajustes de la cuenta; después, no será posible volver a registrarse con la misma dirección de correo electrónico durante 30 días (protección contra abusos).
§ 6 Creación del avatar y del clon de voz
Para su avatar de IA, usted sube una foto y una breve grabación de voz. Antes de subirlas, otorga su consentimiento expreso marcando usted mismo la casilla correspondiente; almacenamos la fecha y hora del consentimiento.
Su foto se transmite a HeyGen (HeyGen Technology Inc., EE. UU.) para crear el avatar fotográfico, y su grabación de voz a ElevenLabs (Eleven Labs Inc., EE. UU.) para crear el clon de voz. Para la síntesis de voz puede utilizarse además Google Gemini (Google Ireland Limited); en ese caso solo se transmite el texto del guion.
La foto y la voz pueden permitir identificarle de forma inequívoca; el tratamiento se basa exclusivamente en su consentimiento (art. 9.2.a RGPD). Puede retirarlo en cualquier momento con efectos para el futuro — por correo electrónico o eliminando el avatar o la cuenta; en ese caso, gestionaremos la eliminación en los proveedores de servicios en la medida en que sea técnicamente posible.
HeyGen: https://www.heygen.com/privacy-policy ElevenLabs: https://elevenlabs.io/privacy Google: https://policies.google.com/privacy
§ 7 Generación de vídeos e investigación de B-roll
Para crear sus vídeos tratamos los temas y guiones que usted introduce. Los hooks, los guiones y el control de calidad del material visual los elabora Anthropic (Anthropic Ireland, Limited / Anthropic, PBC, EE. UU.); el material de fondo generado por IA lo produce xAI (SpaceXAI LLC, EE. UU.).
En la búsqueda automática de B-roll, nuestros servidores buscan material de vídeo de acceso público (p. ej., en YouTube o X) a partir de términos de búsqueda derivados de su tema y descargan fragmentos adecuados; no se transmiten datos personales suyos a estas plataformas.
Los vídeos terminados se almacenan en Cloudflare R2 mientras los conserve en su galería; puede eliminarlos en cualquier momento.
Base jurídica: art. 6.1.b RGPD.
Anthropic: https://www.anthropic.com/legal/privacy xAI: https://x.ai/legal/privacy-policy
§ 8 Procesamiento de pagos
Procesamos los pagos a través de Stripe (Stripe Payments Europe, Ltd., Dublín, Irlanda; Stripe, Inc., EE. UU.). Ofrecemos compras individuales y suscripciones mensuales.
A Stripe se transmiten su dirección de correo electrónico, en su caso su ID de usuario, así como el plan y sus consentimientos del pedido (fecha y hora, versión de las Condiciones generales). Los datos de pago (p. ej., datos de tarjeta) los trata exclusivamente Stripe; nosotros almacenamos el ID de cliente de Stripe y el estado de la suscripción y del pago. Stripe.js solo se carga en las páginas de pedido y pago, donde instala cookies para la detección de fraude (§ 25, apdo. 2, n.º 2 TDDDG).
Base jurídica: art. 6.1.b y 6.1.c RGPD (conservación de justificantes contables: 8 o 10 años).
Stripe: https://stripe.com/es/privacy
§ 10 Alojamiento e infraestructura
La aplicación funciona en Cloudflare (Cloudflare, Inc., EE. UU.): Cloudflare Workers y Containers (ejecución y renderizado de vídeo), Cloudflare R2 (almacenamiento de medios), CDN y protección DDoS. En cada acceso, Cloudflare trata datos de registro del servidor (dirección IP, marca de tiempo, URL solicitada, código de estado, referente, navegador/sistema operativo).
Base jurídica: art. 6.1.f RGPD (funcionamiento seguro y estable).
Cloudflare: https://www.cloudflare.com/privacypolicy/
§ 11 Base de datos, correo electrónico y notificaciones
Las cuentas, perfiles, metadatos de vídeo y la autenticación los gestiona Supabase (Supabase Pte. Ltd., Singapur; servidores de base de datos en la UE: AWS, región de Estocolmo). Enviamos los correos transaccionales (p. ej., enlaces de inicio de sesión, confirmaciones de pedido, avisos de vídeos terminados) a través de Resend (Resend, Inc., EE. UU.).
Solo recibirá notificaciones push si las permite en su navegador. Para ello almacenamos la suscripción push de su navegador; la entrega se realiza a través del servicio push del fabricante de su navegador (p. ej., Google, Mozilla, Apple). Puede revocar el permiso en cualquier momento en los ajustes o en el navegador.
Base jurídica: art. 6.1.b RGPD; para las notificaciones push, art. 6.1.a RGPD y § 25, apdo. 1 TDDDG.
Supabase: https://supabase.com/privacy Resend: https://resend.com/legal/privacy-policy
§ 13 Destinatarios y encargados del tratamiento
Utilizamos los siguientes proveedores de servicios:
- Cloudflare, Inc. (EE. UU.): alojamiento, renderizado, CDN, almacenamiento de medios
- Supabase Pte. Ltd. (Singapur; servidores en la UE): base de datos, autenticación
- Stripe Payments Europe, Ltd. / Stripe, Inc.: procesamiento de pagos
- HeyGen Technology Inc. (EE. UU.): avatar fotográfico y vídeo de avatar
- Eleven Labs Inc. (EE. UU.): clon de voz y síntesis de voz
- Google Ireland Limited: síntesis de voz (Gemini), inicio de sesión con Google, publicación en YouTube; Tag Manager, Analytics y Ads solo previo consentimiento
- Anthropic Ireland, Limited / Anthropic, PBC (EE. UU.): generación de textos con IA, revisión de imágenes
- SpaceXAI LLC (xAI, EE. UU.): generación de material de fondo con IA
- Resend, Inc. (EE. UU.): envío de correos electrónicos
- Meta Platforms Ireland Limited: solo si conecta su cuenta de Instagram
Con los encargados del tratamiento existen contratos conforme al art. 28 RGPD.
§ 14 Transferencias a terceros países
Varios proveedores de servicios tienen su sede fuera del Espacio Económico Europeo. La base de la transferencia para cada destinatario es:
- Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación, art. 45 RGPD), complementado con cláusulas contractuales tipo: Cloudflare, Stripe, HeyGen, ElevenLabs, Google, Resend, Meta, Microsoft
- Cláusulas contractuales tipo de la Comisión Europea (art. 46.2.c RGPD), integradas en los respectivos contratos de encargo del tratamiento: Anthropic, SpaceXAI (xAI), Supabase (Singapur; la base de datos se aloja en la UE)
Su foto y su voz se envían exclusivamente a HeyGen y ElevenLabs, ambas certificadas conforme al Marco de Privacidad de Datos. Los datos se cifran en tránsito y en reposo.
§ 15 Plazo de conservación
- Foto, grabación de voz y prueba del consentimiento: hasta la retirada del consentimiento o la eliminación del avatar o de la cuenta
- Vídeos generados: hasta que usted los elimine o hasta la eliminación de la cuenta
- Datos de la cuenta: mientras dure el uso; se eliminan al eliminar la cuenta
- Datos de facturación y contables: conforme a los plazos de conservación mercantiles y fiscales (8 o 10 años)
- Declaraciones de cancelación y confirmaciones: hasta que venza el plazo de prescripción (3 años)
- Registros del servidor y de la aplicación (Cloudflare): como máximo 7 días
Tras eliminar la cuenta, no es posible volver a registrarse con la misma dirección de correo electrónico durante 30 días.
§ 16 Sus derechos
- Acceso (art. 15 RGPD)
- Rectificación (art. 16 RGPD)
- Supresión (art. 17 RGPD) — también mediante «Eliminar cuenta» en los ajustes de la cuenta
- Limitación del tratamiento (art. 18 RGPD)
- Portabilidad de los datos (art. 20 RGPD)
- Oposición a tratamientos basados en intereses legítimos (art. 21 RGPD)
- Retirada de los consentimientos otorgados con efectos para el futuro (art. 7.3 RGPD)
Basta con un mensaje informal a alex.trupp@nordvind-ai.de.
§ 17 Derecho a presentar una reclamación
Puede presentar una reclamación ante una autoridad de control de protección de datos (art. 77 RGPD). La autoridad competente para nosotros es: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, https://www.lfd.niedersachsen.de
§ 18 Menores de edad
Nuestro servicio no está dirigido a personas menores de 18 años. No recopilamos a sabiendas datos de menores.
§ 19 Etiquetado de IA (Reglamento de IA de la UE)
Los vídeos creados con nuestro servicio contienen contenido generado por IA (vídeo de avatar, voz y, en su caso, B-roll generado por IA). Conforme al art. 50 del Reglamento (UE) 2024/1689 de Inteligencia Artificial, los etiquetamos de forma visible en el vídeo y de forma legible por máquina en los metadatos del archivo de vídeo.
§ 20 Sin decisiones automatizadas
No se toman decisiones automatizadas, incluida la elaboración de perfiles, con efectos jurídicos (art. 22 RGPD).
§ 21 Modificaciones
Adaptamos esta política de privacidad cuando cambian la situación legal o el servicio. La versión vigente está siempre disponible en https://community.nordvind-ai.de/privacy.
§ 12 Conexión de canales sociales
Si lo desea, puede conectar su cuenta de Instagram (Meta Platforms Ireland Limited) o su canal de YouTube (Google Ireland Limited) para publicar vídeos directamente. Para ello almacenamos los tokens de acceso emitidos por el proveedor y el ID de su canal, y transmitimos el vídeo con su descripción al proveedor correspondiente solo siguiendo sus instrucciones. Puede desconectar la conexión en cualquier momento en «Conexiones».
Base jurídica: art. 6.1.a y 6.1.b RGPD.
Meta: https://www.facebook.com/privacy/policy Google: https://policies.google.com/privacy