Política de privacidad

Última revisión: septiembre de 2026. Los puntos marcados como pendiente aún no están definidos y los estamos completando.

1. Quién es el responsable

El responsable de este sitio y de los datos que se tratan en él es:

[PENDIENTE DE DEFINIR POR EL RESPONSABLE]
Nombre o razón social, NIF/CIF, domicilio y dirección de contacto legal. En cuanto se publiquen, aparecerán aquí completos.

Para cualquier consulta sobre privacidad puedes escribirnos desde la página de contacto.

2. Qué datos tratamos cuando usas las herramientas

Tu texto se procesa para ejecutar la herramienta que has elegido: es imprescindible para generarte la respuesta. Lo que no hacemos es guardarlo. Cada uso deja un registro técnico de metadatos, nunca el contenido de tu consulta.

Ese registro (usage_logs) puede contener: qué herramienta usaste, cuándo, si terminó bien o con error, cuánto tardó, qué modelo atendió la petición, cuántos tokens se consumieron y el coste estimado. Si estabas identificado, también se guarda el identificador de tu cuenta.

Tu dirección IP

La IP se guarda solo cuando es necesaria, y no siempre:

Si usas las herramientas de forma anónima, guardamos tu IP únicamente en los usos que consumen cuota (los que llegan al servicio), porque es lo que permite aplicar el límite diario anónimo y detectar abuso.
Si has iniciado sesión, no guardamos tu IP en el registro de uso: tu cuenta ya te identifica y la IP no aporta nada.
Si la petición se rechaza por haber superado un límite, el registro se guarda sin IP: ese registro no se usa para calcular el límite, así que no necesita guardarla.

La IP se utiliza además, solo mientras dura cada petición, para aplicar límites por minuto que evitan el uso abusivo. Esos límites se cuentan en memoria y no se guardan en la base de datos.

Lo que nunca se guarda en el registro de uso

Resumido: el texto no se guarda en nuestra base de datos (lo que sí guardamos, como los mensajes del formulario de contacto, se explica en su propio apartado). En el registro de uso:

El texto que escribes (la consulta, el mensaje, el motivo, el destinatario, el tema, etc.).
La respuesta generada ni el resultado que obtienes.
Tu contraseña ni su hash, tus tokens de sesión y las claves de acceso al proveedor de IA.

El campo de error del registro, cuando lo hay, contiene solo mensajes fijos de CarmIA (por ejemplo, que se alcanzó el límite diario) o un mensaje genérico sobre el tipo de fallo del proveedor de IA. Nunca contiene tu texto ni la respuesta completa del proveedor.

3. Tu texto se envía a un proveedor de IA externo

Para poder generar la respuesta, el texto que escribes en una herramienta se envía desde nuestros servidores al servicio de inteligencia artificial de Google (Gemini), que es el proveedor que utiliza esta web.

Lo que sale de nuestros servidores es únicamente lo necesario para generar la respuesta: el texto que has escrito y los campos que has rellenado (por ejemplo, el destinatario, el motivo o el tono). También se envía una instrucción fija escrita por CarmIA para indicar al modelo cómo debe responder. Tu email, tu contraseña y el resto de datos de tu cuenta no se envían al proveedor de IA.

Consejo: no escribas datos que no necesites para la tarea. Evita incluir información sensible, números de cuenta, contraseñas, documentos de identidad o datos de salud o de terceros. Puedes usar las herramientas de forma anónima precisamente para eso.

4. Cuentas de usuario

Si te registras, guardamos tu dirección de email y una versión cifrada de tu contraseña (un hash con bcrypt, del que no se puede recuperar la contraseña original). La contraseña nunca se guarda en texto legible y nunca se envía al proveedor de IA.

5. Sesiones

Cuando inicias sesión se crea un registro de sesión con la fecha de inicio y de caducidad. En la base de datos no se guarda el identificador de sesión en sí, sino una huella criptográfica (SHA-256) del mismo, de modo que si alguien accediera a la base de datos no podría suplantar tus sesiones abiertas. La sesión dura 14 días.

Cuando esa sesión caduca, deja de autenticar. La fila puede permanecer en la base de datos hasta 30 días más antes de eliminarse automáticamente. Son dos cosas distintas: la duración de la sesión (14 días) y la conservación de su registro (30 días después de caducar).

6. Formulario de contacto

Si nos escribes por el formulario de contacto guardamos tu nombre, tu email y tu mensaje para poder responderte. No se utilizan con fines publicitarios. Se conservan 365 días desde que los envías, se haya respondido o no, y después se eliminan automáticamente. Puedes pedir su eliminación antes indicando tu email de contacto.

7. Qué es un hash y por qué no guardamos contraseñas

Tu contraseña se transforma mediante bcrypt en una cadena irreversible. Al iniciar sesión, comparamos tu contraseña con esa cadena. Esto significa que ni siquiera nosotros podemos leer tu contraseña: solo podemos comprobar si la que introduces coincide.

8. Proveedores externos

Esta web utiliza un único proveedor externo:

Google Gemini (servicio de IA): recibe el texto que escribes en las herramientas, y solo mientras se genera la respuesta.

No utilizamos analítica, publicidad, cookies de terceros, fuentes o scripts externos de ningún tipo. Todo el contenido de la web se sirve desde nuestros propios servidores.

9. Cookies

Usamos dos cookies técnicas, y ninguna más. Las dos son precisas para que la web funcione:

utilia_session: mantiene tu sesión iniciada.
utilia_csrf: protege tus acciones frente a ataques de suplantación de identidad.

No utilizamos cookies analíticas, publicitarias ni de terceros. Puedes consultar la política de cookies completa, donde se detalla qué contiene cada una y durante cuánto tiempo.

10. Conservación de los datos

Estos son los plazos de conservación que aplicamos. Todos se cuentan desde la fecha del dato y se aplican automáticamente, sin que tengas que pedir nada:

Registro de uso de las herramientas (365 días): se elimina lo registrado hace más de un año. El plazo se cuenta desde la fecha de la consulta.
Mensajes del formulario de contacto (365 días): se eliminan los enviados hace más de un año, estén respondidos o no. El plazo se cuenta desde el envío, no desde la respuesta.
Sesiones (14 días de duración, y hasta 30 días más): la sesión deja de ser válida a los 14 días; su registro se elimina 30 días después de caducar.

Los registros de uso que siguen dentro del plazo se conservan porque los necesitamos para los límites de uso, el control del coste de la IA, las estadísticas y la detección de abuso.

Si además quieres que eliminemos antes tus datos, puedes pedirlo por la vía de contacto indicando tu email.

11. Tus derechos

Puedes ejercer los siguientes derechos sobre tus datos:

Acceso: consultar los datos que tenemos sobre ti desde tu página de perfil.
Exportación (portabilidad): obtener una copia de tus datos. Está disponible, pero todavía no hay un botón en la web: escribe a contacto pidiendo la exportación de los datos asociados a tu email y te la enviaremos. Lo que recibirás es: tu email, tu fecha de registro, si tienes plan premium, el número de consultas que has hecho y la fecha de la última, los mensajes que nos has enviado desde ese email y el número de sesiones que tienes abiertas. No incluye contraseñas, hashes, tokens de sesión, direcciones IP ni el detalle consulta a consulta de tu registro de uso.
Supresión (derecho al olvido): eliminar tu cuenta y tus datos. También disponible bajo solicitud por contacto. Al suprimir tu cuenta: se elimina tu cuenta, se borran tus sesiones, tus datos de historial y favoritos, y se eliminan los mensajes de contacto enviados con tu email. Los registros de uso de las herramientas no se borran, porque los necesitamos para estadísticas y para controlar el coste: quedan sin tu identificador de cuenta y conservan únicamente datos técnicos (herramienta, fecha, estado, tiempo, modelo, tokens y coste). En ellos no queda ni tu email, ni tu nombre, ni tu contraseña, ni su hash, ni ningún token ni tu IP.

Todavía no tenemos una forma en la propia web de cambiar tu email o tu contraseña, ni de ejercer la rectificación, la oposición o la limitación del tratamiento. Mientras tanto, si necesitas corregir algún dato, escríbenos por contacto y lo gestionamos de forma manual.

12. Seguridad

Tu contraseña se guarda cifrada con hash. Las claves de acceso al proveedor de IA nunca se exponen al navegador. Limitamos el uso por IP y por usuario para evitar el uso abusivo y la automatización masiva: existe un límite diario de consultas distinto para usuarios anónimos, registrados y premium, y límites por minuto. Tu página de perfil muestra el límite diario que te corresponde.

13. Cambios en esta política

Si actualizamos esta política, cambiaremos la fecha de la parte superior y ampliaremos esta sección explicando qué ha cambiado.

14. Información pendiente de confirmar

Queremos ser transparentes sobre lo que todavía no podemos afirmar. Estos puntos están pendientes de confirmar con el proveedor de IA y no queremos inventar nada:

Si el proveedor de IA utiliza el texto enviado para entrenar o mejorar sus modelos.
Durante cuánto tiempo conserva el texto recibido.
En qué servidores se procesa y si implica transferencia de datos fuera del Espacio Económico Europeo.
Si existe un acuerdo de encargo de tratamiento entre las partes.

Completaremos esta sección en cuanto disposamos de esa información verificada en la documentación oficial del proveedor.