Política de privacidad

Última actualización: 29 de octubre de 2026

Alleviate Lab ("nosotros") opera Duct (getduct.ai), una plataforma de inteligencia multiherramienta que conecta tus herramientas de publicidad, análisis, producto y búsqueda, sintetiza lo que cambió entre ellas y — solo cuando apruebas un cambio específico — aplica ese cambio de vuelta a la herramienta conectada. Esta Política de Privacidad explica qué recopilamos, por qué, con quién lo compartimos, cuánto tiempo lo conservamos y cómo eliminarlo.

1. Datos de usuario de Google a los que accedemos

Duct accede a los datos de usuario de Google solo a través de las APIs oficiales de Google, y solo para las cuentas y propiedades de Google que conectes explícitamente. No se accede a nada hasta que completes la pantalla de consentimiento de Google, y cada ámbito a continuación se solicita para el propósito indicado junto a él.

Iniciar sesión

Fuentes de datos conectadas

Cada conector a continuación es opcional y se conecta por separado. Puedes conectar ninguno, algunos o todos ellos, y desconectar cualquiera de ellos en cualquier momento.

2. Cambios que Duct realiza en tu nombre

Algunos de los alcances anteriores permiten escrituras. Queremos ser precisos al respecto, porque es la parte de Duct que interactúa con tus cuentas activas:

• Nada se escribe automáticamente. Duct propone un conjunto de cambios, te muestra el antes y el después exacto de cada cambio individual, y no aplica nada hasta que lo apruebes explícitamente en la app.
• La aprobación es por conjunto de cambios, no general. Aprobar un cambio no autoriza cambios futuros.
• Los cambios se registran y son reversibles donde la API subyacente lo permite. Cada cambio aplicado se escribe en un registro de auditoría de tu proyecto.
• Los informes funcionan sin acceso de escritura. Si prefieres solo lectura, conecta los ámbitos de solo lectura y rechaza el resto; los informes de Duct seguirán funcionando.

3. Cómo usamos los datos de usuario de Google

• Autenticación: Para verificar tu identidad y mantener tu sesión
• Informes y hallazgos: Para obtener datos de tus propiedades conectadas y generar los informes, alertas y auditorías que solicites
• Cambios aprobados: Para aplicar los cambios específicos que apruebes a la cuenta conectada que seleccionaste
• Soporte: Para diagnosticar un problema que nos reportes, usando los datos mínimos necesarios

Usamos los datos de usuario de Google solo para proporcionar y mejorar estas funciones orientadas al usuario. No los usamos para ningún otro propósito.

4. Uso limitado de los datos de usuario de Google

Específicamente, nosotros no:

• Usar o transferir datos de usuario de Google para servir publicidad de cualquier tipo, incluyendo publicidad dirigida, personalizada, de retargeting o basada en intereses
• Vender, alquilar o transferir datos de usuario de Google a intermediarios de datos, revendedores de información o a cualquier tercero para sus propios fines
• Usar datos de usuario de Google para determinar la solvencia crediticia o para fines de préstamo
• Usar datos de usuario de Google para construir o enriquecer bases de datos o perfiles independientes
• Usar datos de usuario de Google para desarrollar, mejorar o entrenar modelos de IA o aprendizaje automático generalizados o no personalizados
• Permitir a los humanos leer los datos de usuario de Google, excepto cuando hayas dado consentimiento explícito para un problema específico, cuando sea necesario por motivos de seguridad o para cumplir con la ley aplicable, o cuando los datos hayan sido agregados y anonimizados

Las repeticiones de sesión y el análisis de clics en la app web nunca registran datos de usuario de Google: todo el texto en pantalla se enmascara en tu navegador antes de que se envíe nada (sección 11).

5. Otras fuentes de datos que conectas

Google es una de varias fuentes que Duct puede conectar. Cada una es opcional, conectada individualmente por ti, y se accede a ella a través de la API oficial del proveedor utilizando las credenciales que autorices. Duct lee las métricas necesarias para construir tus informes, y escribe solo los cambios que hayas aprobado explícitamente.

• Publicidad: Meta Ads, Apple Search Ads, OpenAI Ads
• Análisis de producto y comportamiento: Mixpanel, Microsoft Clarity
• Experimentación: GrowthBook
• Ingresos y facturación: Stripe, RevenueCat
• CRM: HubSpot
• Publicación y análisis social: PostBridge, que a su vez conecta las cuentas sociales que autorizas (TikTok, Instagram, YouTube, LinkedIn, X, Pinterest, Facebook, Google Business Profile)

Los compromisos de esta política — no venta de tus datos, no uso publicitario, no entrenamiento de modelos, eliminación bajo solicitud — se aplican a los datos de estas fuentes exactamente como se aplican a los datos de usuario de Google.

6. Content Studio: subidas y publicación

Si utilizas las funciones de contenido de Duct:

• Los archivos que subes (imágenes, video, activos de marca) se almacenan para que puedan adjuntarse a borradores y publicaciones publicadas.
• Medios generados. Las imágenes y videos creados en Duct son producidos por servicios de IA generativa de terceros, que reciben el prompt y cualquier imagen de referencia que proporciones.
• Publicación. Cuando programas o publicas una publicación, su contenido y medios se transmiten a PostBridge y a la plataforma social que seleccionaste, bajo los propios términos y política de privacidad de esa plataforma.
• Datos de investigación públicos. Duct puede recuperar contenido y métricas disponibles públicamente de plataformas sociales para informar recomendaciones. Estos son datos públicos, no datos sobre ti o tu audiencia individualmente.

No subas material para el que no tengas derechos de uso, ni archivos que contengan datos personales de otras personas más allá de lo que tu publicación requiera.

7. La app de escritorio de Duct

La app de escritorio es una ventana nativa alrededor del mismo Duct que usarías en un navegador. Vale la pena ser preciso sobre lo que eso significa, porque "app de escritorio" suena como "todo se queda aquí" y eso no es lo que ofrecemos:

• La app que distribuimos se comunica con nuestros servidores. No lleva su propia copia del backend de Duct. Tus proyectos, informes, memorias de agente, registro de actividad, cargas y autorizaciones de conectores son almacenados por nosotros, exactamente como cuando usas Duct en un navegador — que es también lo que te permite iniciar sesión en un segundo ordenador y encontrar tu trabajo allí. Las secciones 12 a 14 cubren cómo lo almacenamos, compartimos y eliminamos.
• Tus claves de proveedor de IA permanecen en tu máquina. Viven en el llavero de tu sistema operativo y se envían con una solicitud solo cuando un trabajo necesita ejecutarse. Nunca las almacenamos, y la opción de guardar una clave con nosotros que ofrece la versión del navegador está deliberadamente desactivada en la app de escritorio.
• El inicio de sesión y la autorización del conector abren el navegador de tu sistema en lugar de una ventana incrustada, para que mantengas las protecciones de tu navegador, y ninguna credencial se lleva en el enlace que te devuelve a la app.
• La app de escritorio no establece cookies y nunca te preguntará sobre ellas. Sus eventos de uso e informes de errores van a PostHog, que en la app de escritorio mantiene todo en memoria y no escribe nada en tu máquina, por lo que ninguna de las cookies de la sección 11 existe allí y no hay nada a lo que dar consentimiento. Una barra de consentimiento frente a una aplicación que acabas de abrir no es una pregunta por la que valga la pena interrumpir a nadie.
• Los informes de errores y los datos de uso están activados por defecto en la app que distribuimos, y un solo interruptor en Preferencias los desactiva ambos. Una vez que lo tocas, tu respuesta se guarda y no se aplica ninguna configuración predeterminada de nuevo. Un informe de errores contiene el error y el seguimiento de la pila que lo causó; los datos de uso son las pantallas y funciones que abres, nunca tus claves API de proveedor, tus datos o cualquier cosa que generes. Si has iniciado sesión, ambos llevan tu ID de cuenta. Si construyes Duct tú mismo, ambos están desactivados por defecto, porque entonces no somos nosotros quienes lo ejecutamos.
• La app de escritorio nunca graba una repetición de tu sesión. La repetición de sesión (sección 11) solo existe en nuestro sitio web y en la app web en un navegador.
• Las comprobaciones de actualización contactan a nuestro host de lanzamiento para preguntar si existe una versión más reciente. Esta solicitud revela tu dirección IP y la versión que estás ejecutando.
• Puedes ejecutar todo tú mismo en su lugar. El código fuente es público y se puede construir con el backend dentro de la app o alojado en tu propio servidor. Entonces no guardamos nada y esta política no tiene nada que describir — consulta la sección 16.

8. Trae tus propias claves de proveedor de IA

Puedes proporcionar tus propias claves API para proveedores de IA en lugar de usar las de Duct:

• En la app de escritorio, las claves se almacenan en el llavero de tu sistema operativo. Se envían con una solicitud para que el trabajo que pediste pueda ejecutarse, y nunca las almacenamos; la opción de guardar una clave con nosotros está desactivada allí.
• En la app web, una clave que pegas se mantiene para esa sesión del navegador y se envía con cada solicitud. Si eliges guardarla para no tener que pegarla de nuevo, se cifra en reposo, se descifra solo para hacer una solicitud en tu nombre, nunca es devuelta por nuestra API y nunca se escribe en los registros. Puedes eliminarla en cualquier momento.
• Cuando usas tu propia clave, tu uso es facturado por ese proveedor bajo tu cuenta y está sujeto a los términos y la política de privacidad de ese proveedor.
• La configuración de datos del proveedor es tuya para configurar. Si un proveedor retiene o entrena con lo que recibe se rige por la política de tu cuenta con ese proveedor, no por nosotros — consulta la nota sobre el enrutamiento en la sección 12.

9. Auditorías de sitios web e informes de leads

Nuestra herramienta pública de auditoría SEO recopila la dirección de correo electrónico y la URL del sitio web que envías, recupera páginas de ese sitio web para analizarlas, y te envía por correo electrónico el informe resultante. Almacenamos el envío y el informe para poder reenviarlo y para poder contactarte sobre Duct. Solo envía un sitio web que poseas o para el que estés autorizado a realizar una auditoría. Pregúntanos en [email protected] para eliminar un envío.

10. Proyectos de equipo

Los proyectos de Duct se pueden compartir. Si invitas a alguien, enviamos una invitación a la dirección de correo electrónico que proporciones. Los miembros de un proyecto pueden ver las fuentes conectadas, los informes, los hallazgos y el historial de actividad de ese proyecto, junto con el nombre, el correo electrónico y la foto de perfil de otros miembros. Cualquier persona con el rol adecuado también puede ver y aprobar cambios propuestos en las cuentas conectadas. Invita solo a las personas a las que tengas intención de dar ese acceso.

11. Otra información que recopilamos

Datos de uso

Recopilamos análisis de producto —páginas visitadas, funciones utilizadas, en qué haces clic, la velocidad de carga de las páginas— para ver qué páginas generan un registro y dónde Duct te dificulta el uso. En nuestro sitio web y en la app web en un navegador, esto se ejecuta a través de PostHog, que sigue la elección de cookies descrita a continuación.

No usamos Google Analytics, Google Tag Manager ni ningún otro gestor de etiquetas. Dejamos de hacerlo en octubre de 2026, y nuestro sitio web elimina en tu próxima visita las cookies que establecieron antes (_ga, _gcl_au).

PostHog también registra repeticiones de sesión: una reconstrucción de la página y dónde hiciste clic, para que podamos ver dónde una visita salió mal. Lo que una repetición oculta está oculto en tu navegador, antes de que algo lo abandone:

• En nuestro sitio web, todo lo que escribes en un campo.
• En la app web, todo lo que escribes, y también todo el texto en pantalla, imágenes, documentos incrustados, gráficos y video. Una repetición de la app muestra el diseño, tus clics y dónde fuiste, nunca los datos de la página. Cuando PostHog cuenta un clic en la app, registra qué elemento fue clicado, no el texto en él.

Las repeticiones nunca incluyen los registros de la consola de tu navegador. No registramos pulsaciones de teclas ni contenido de formularios.

Cuando has iniciado sesión, nuestros servidores también registran las acciones que realizas en Duct, como iniciar un plan de contenido o aprobar o aplicar un cambio, con tu ID de cuenta. Tu perfil de PostHog guarda tu dirección de correo electrónico y nombre, para que podamos contactarte sobre un problema que encuentres.

Llamadas a modelos de IA

Por cada llamada que Duct hace a un modelo de IA, solo registramos metadatos: el modelo, el número de tokens, el tiempo que tardó, su coste y cualquier error. Nunca el prompt o el texto de la respuesta.

Cookies y tecnologías similares

Las cookies de análisis se establecen solo después de que las aceptas. Si estás en el EEE, el Reino Unido o Suiza, preguntamos antes de que se establezca cualquier cosa, y nada más que las entradas estrictamente necesarias a continuación existe hasta que elijas. En otros lugares, el análisis está activado por defecto y puedes desactivarlo en cualquier momento — el enlace Configuración de cookies en nuestro pie de página, y en el menú de la cuenta dentro de la app, reabre la elección en cada página.

Rechazar significa que PostHog no se carga en absoluto, en lugar de cargarse en un modo restringido. Si rechazas después de haber aceptado previamente, detenemos PostHog, eliminamos las cookies a continuación y la copia de PostHog de ellas en el almacenamiento de tu navegador, y recargamos la página.

El token de autenticación descrito en Datos almacenados localmente a continuación también es estrictamente necesario: sin él no puedes mantener la sesión iniciada.

Diagnósticos

Cuando algo falla en la app web, envía a PostHog un informe de error: el seguimiento de la pila, tu navegador, la ruta de la página sin su cadena de consulta y, si has iniciado sesión, tu ID de cuenta. La app web también envía cuánto tiempo tardó cada página en cargar y responder (métricas web), lo cual es solo tiempo y nada más. Los informes de error y el tiempo de carga de la página en la app web se envían aceptes o no las cookies de análisis, porque no almacenan nada en tu dispositivo: se mantienen en la memoria para esa página y desaparecen cuando la abandonas. En nuestro sitio web, ambos forman parte de los análisis y siguen tu elección de cookies.

Nuestros servidores reportan sus propios errores a PostHog de la misma manera, junto con algunas líneas de registro que graban cuándo un servidor se inicia y se detiene. Configuramos el informe de errores para evitar capturar datos de usuario de Google, pero un informe puede contener incidentalmente un identificador como un ID de propiedad.

Actividad y memoria del agente

Duct registra un registro de actividad de las acciones significativas en un proyecto, y almacena notas duraderas que sus agentes derivan de tus datos (por ejemplo, un patrón estacional recurrente) para que los informes mejoren con el tiempo. Ambos están limitados a tu proyecto, son visibles para ti y se eliminan con él.

Datos almacenados localmente

Almacenamos un token de autenticación en el almacenamiento local de tu navegador para mantener tu sesión iniciada. Contiene tu nombre, correo electrónico y foto de perfil, y expira después de 7 días.

12. Cómo compartimos y almacenamos datos

No vendemos tus datos. Los compartimos solo con los proveedores de servicios a continuación, solo según sea necesario para operar Duct, y solo bajo términos que los restringen a ese propósito:

PostHog, Inc. es una empresa estadounidense y almacena lo que recibe en su región de EE. UU. El envío de datos desde la UE se basa en las Cláusulas Contractuales Estándar de la UE en el acuerdo de procesamiento de datos de PostHog.

Cuando los datos de una fuente conectada se envían a un proveedor de modelos de IA, se envían únicamente para producir el resultado que solicitaste. Nunca los usamos para entrenar modelos, y nunca permitimos que un proveedor lo haga en nuestro nombre. Anthropic, OpenAI y Google se utilizan bajo términos de API que excluyen los datos enviados del entrenamiento por defecto.

OpenRouter es un enrutador, no un proveedor de modelos, y merece una nota específica. Reenvía una solicitud al proveedor subyacente que seleccione la configuración de enrutamiento, y esos proveedores difieren en si registran o entrenan con lo que reciben. Cuando proporcionas tu propia clave de OpenRouter, esa configuración de enrutamiento es tuya: el comportamiento de retención y entrenamiento de una solicitud se rige por la política de datos establecida en tu cuenta de OpenRouter, y debes configurarla para que coincida con los compromisos que necesitas. Recomendamos habilitar la política de datos de registro cero y no entrenamiento de OpenRouter antes de conectar una clave. Duct no utiliza tus datos para entrenamiento, independientemente de la ruta que se tome.

También podemos divulgar datos cuando lo exija la ley, y a una entidad sucesora en caso de fusión o adquisición, en cuyo caso esta política seguirá aplicándose hasta que se te notifique lo contrario.

13. Seguridad de los datos

• Los tokens de OAuth y las claves de proveedor guardadas se cifran en reposo usando cifrado simétrico Fernet, se almacenan en el servidor por usuario y nunca se exponen al navegador
• Todos los datos en tránsito están cifrados vía HTTPS/TLS
• El acceso a los datos de un proyecto requiere tanto autenticación como una membresía verificada de ese proyecto; un no miembro no puede leer los datos de otro proyecto
• Seguimos el principio de mínimo privilegio para el acceso interno a los datos

14. Retención y eliminación de datos

Eliminar tus datos

• Desconectar una fuente: elimínala en la página Conexiones en Duct. Sus credenciales almacenadas se eliminan en ese momento.
• Revocar el acceso de Duct en Google: visita myaccount.google.com/permissions y elimina Duct. Esto funciona tengas o no una cuenta de Duct.
• App de escritorio: eliminar el directorio de datos de la app elimina la base de datos local y su contenido; las claves de proveedor se eliminan de tu llavero cuando las eliminas en la app.
• Eliminar tu cuenta y todos los datos asociados: envía un correo electrónico a [email protected]. Procesamos las solicitudes de eliminación en un plazo de 30 días y confirmamos por correo electrónico cuando se completan.

15. Tus derechos

Estamos basados en España y procesamos datos personales bajo el RGPD de la UE. Tienes derecho a acceder, corregir, exportar, restringir el procesamiento o eliminar tus datos personales, y a oponerte al procesamiento. Nuestra base legal es la ejecución de nuestro contrato contigo para operar el producto; interés legítimo para seguridad y diagnóstico, incluyendo los informes de errores y eventos del lado del servidor en la sección 11; y tu consentimiento para cookies de análisis y repeticiones de sesión donde lo solicitamos. Ejerce cualquiera de estos derechos en [email protected]; también tienes derecho a presentar una queja ante tu autoridad de supervisión local (en España, la AEPD).

Los datos pueden ser procesados fuera del EEE por los proveedores listados en la sección 12, bajo mecanismos de transferencia que incluyen las Cláusulas Contractuales Estándar de la UE.

16. Código abierto y autoalojamiento

El código fuente de Duct se publica bajo la licencia MIT. Esta política cubre el servicio alojado que operamos en getduct.ai y app.getduct.ai, y la app de escritorio oficial que distribuimos.

No cubre una instancia del software que otra persona ejecute. Si utilizas una implementación de Duct operada por un tercero, o una que ejecutes tú mismo, el operador de esa implementación es el controlador de datos y esta política no se aplica a ella. Publicar el código no nos da acceso a ningún dato contenido en una implementación que no operamos.

17. Estado beta y cambios

Duct se encuentra actualmente en beta, y las características y prácticas de manejo de datos pueden evolucionar. Actualizaremos esta política según sea necesario, revisaremos la fecha en la parte superior y notificaremos a los usuarios sobre cambios importantes por correo electrónico a la dirección de su cuenta antes de que el cambio entre en vigor.

18. Privacidad de los niños

Duct no está destinado a ser utilizado por personas menores de 18 años. No recopilamos intencionadamente información de niños.

19. Contacto

Para preguntas de privacidad, solicitudes de acceso o eliminación de datos:

• Correo electrónico: [email protected]
• Responsable del tratamiento de datos: Alleviate Lab
• Ubicación: Spain
• Sitio web: getduct.ai