Política de privacidad

Versión 2.8 · Última actualización: 6 de octubre de 2026

La presente Política de privacidad (en adelante, la «Política») explica qué datos personales trata la sociedad que opera el SaaS System Kiult (en adelante, el «Responsable del tratamiento» o «Kiult»), con qué fines, sobre qué base jurídica, durante cuánto tiempo los conserva y qué derechos le asisten como interesado. Esta Política cumple con el Reglamento (UE) 2016/679 (RGPD), el Reglamento de Inteligencia Artificial (AI Act), el Reglamento de Servicios Digitales (DSA) y la Ley n.º 18/2018 Rec. de protección de datos personales.

1. Responsable del tratamiento y contacto

El responsable del tratamiento de los datos personales en el sentido del art. 4, punto 7, del RGPD es:

Quin.Online, s.r.o.
Domicilio social: Cabanova 34, 841 02 Bratislava, República Eslovaca
Número de identificación (IČO): 50 042 106
Número de identificación fiscal (DIČ): 2120155444
Número de IVA (IČ DPH): SK2120155444
Inscripción: Registro Mercantil del Tribunal Municipal Bratislava III, sección: Sro, inserción n.º 107399/B
(en adelante, el «Responsable del tratamiento», la «Sociedad» o «Kiult»).

En materia de protección de datos personales, contacte con nosotros en privacy@kiult.com. Si se ha designado un delegado de protección de datos (Data Protection Officer, DPO), está disponible en la misma dirección con el asunto «DPO».

Autoridad de control: Tiene derecho a presentar una reclamación ante una autoridad de control de protección de datos. En Eslovaquia es la Oficina de Protección de Datos Personales de la República Eslovaca, Hraničná 12, 820 07 Bratislava 27, www.uoou.sk. También puede presentar una reclamación ante la autoridad de control del país de su residencia habitual, de su lugar de trabajo o del lugar de la presunta infracción.

2. Qué datos tratamos

Tratamos las siguientes categorías de datos personales:

• Datos de la cuenta: dirección de correo electrónico, nombre (si lo facilita), estado de verificación del correo electrónico, plan elegido y estado de la suscripción, contraseña (conservada exclusivamente como hash criptográfico, nunca en forma legible).
• Datos de edad: mes y año de nacimiento (sin el día — minimización de datos) para verificar el cumplimiento del umbral de edad de 16 años. No recopilamos el día de nacimiento.
• Contenido que usted sube o crea: instrucciones de texto (prompts), fotografías, audio y vídeo que aporte como entrada, y el contenido generado por la IA. El tratamiento de las entradas subidas se rige por el régimen de no conservación (zero-retention) conforme al punto 5.
• Voz del avatar: el Sistema crea la voz del avatar de forma automática a partir de una descripción verbal (tono, ritmo, acento). En los planes Pro y Max puede, en su lugar, crear su propia voz leyendo en voz alta, en la aplicación, una frase que el Sistema le muestra; la grabación sirve exclusivamente como plantilla de la voz de ese avatar. El Sistema no permite subir un archivo de audio ya existente como voz. Detalles en el punto 6.
• Datos de pago: los pagos son tratados por pasarelas de pago de terceros (Stripe, GoPay). Kiult no almacena números de tarjetas de pago; solo recibimos confirmaciones de pago e identificadores de transacción.
• Datos técnicos y operativos: dirección IP (y el país derivado de ella mediante la base de datos IP Geolocation by DB-IP, licencia CC-BY-4.0, a efectos de la selección de la pasarela de pago y del tipo de IVA), tipo de dispositivo y navegador (user-agent), registros de acceso y registros de seguridad.
• Registros de actividad (registro de auditoría): por motivos de seguridad, prevención del abuso y fines contables, mantenemos un registro de auditoría operativo de determinadas acciones en la cuenta — en particular el inicio de sesión y los eventos de autenticación, el consumo de renderizado (minutos), los movimientos de créditos (abono/cargo), los consentimientos otorgados para compartir y el contacto con el soporte. Con cada registro se conservan la hora, la dirección IP y el user-agent. No realizamos elaboración de perfiles con fines de marketing ni seguimos su avance en el proceso de creación con fines publicitarios.
• Identificador criptográfico de origen (metaseal): el vínculo entre el identificador invisible incorporado al contenido generado y la cuenta del creador — para la prevención e investigación del abuso (véanse los puntos 8 y 10).
• Datos de las organizaciones autorizadas para el Detector: en el caso de las organizaciones a las que damos acceso al Detector sin límite diario (Condiciones de uso, Section 8B punto 7), tratamos el nombre de la organización, el nombre y el correo electrónico de la persona de contacto, el nombre de usuario, la contraseña (exclusivamente como hash criptográfico) y los registros de las comprobaciones (hora, organización y resultado de cada capa de marcado). No conservamos los archivos comprobados.

3. Fines y base jurídica del tratamiento (art. 6 RGPD)

Cada tratamiento tiene una base jurídica determinada:

• Ejecución de un contrato (art. 6, apdo. 1, letra b): creación y gestión de la cuenta, prestación de servicios generativos, gestión de la suscripción y de los pagos, entrega de las salidas.
• Consentimiento (art. 6, apdo. 1, letra a): cookies/analítica opcionales y publicación de contenido en la Sección de Creaciones Compartidas. Puede retirar el consentimiento en cualquier momento sin que ello afecte a la licitud del tratamiento previo a la retirada.
• Interés legítimo (art. 6, apdo. 1, letra f): seguridad del SaaS System, prevención del abuso y del fraude, moderación de contenidos, protección de los derechos de terceros y cooperación con las autoridades. Tiene derecho a oponerse al tratamiento basado en esta base (punto 9).
• Cumplimiento de una obligación legal (art. 6, apdo. 1, letra c): obligaciones contables y fiscales, obligaciones derivadas del AI Act y del DSA, y respuesta a solicitudes legales de las autoridades.

Voz propia del avatar (art. 9 del RGPD): Consideramos la grabación de la voz propia a que se refiere el punto 6 un dato biométrico y solo la tratamos sobre la base del consentimiento del art. 6.1.a) y del consentimiento explícito del art. 9.2.a) del RGPD, que usted otorga al confirmar el consentimiento y que, al mismo tiempo, pronuncia en voz alta en la frase leída. No comparamos voces ni las utilizamos para identificar a una persona o verificar su identidad. No tratamos otras categorías especiales de datos personales del art. 9 del RGPD. La verificación automatizada de edad descrita en el punto 4 no extrae ni almacena plantillas biométricas y no sirve para identificar a una persona.

Detector para organizaciones autorizadas: Tratamos los datos de las personas de contacto de las organizaciones autorizadas y los registros de las comprobaciones sobre la base del interés legítimo (art. 6.1.f) del RGPD), que consiste en poner la detección del marcado legible por máquina de los contenidos generados por IA a disposición de quienes examinan el origen de los contenidos y en poder acreditar quién realizó una comprobación. Los interesados son las personas de contacto de estas organizaciones.

Carga de la prueba del consentimiento: De conformidad con el art. 7, apdo. 1, del RGPD, el Responsable del tratamiento registra y conserva pruebas técnicas del otorgamiento del consentimiento (marca temporal, dirección IP en el momento del otorgamiento del consentimiento y versión de las condiciones/del consentimiento) durante toda la vigencia del consentimiento y durante 3 años tras su retirada, a efectos de acreditar la licitud del tratamiento realizado sobre la base del consentimiento.

4. Barrera de edad y protección de los menores

El SaaS System está destinado exclusivamente a personas de 16 años o más. Verificamos la edad mediante la fecha de nacimiento (mes + año) indicada en el registro. Las fotografías y vídeos subidos de personas reales se guardan, hasta su verificación, como mucho en un almacenamiento temporal aislado (cuarentena) y pasan por un control automatizado de edad (GATE 0) en la memoria antes de llegar a la biblioteca o a cualquier procesamiento posterior; toda entrada evaluada como representación de una persona menor de edad se rechaza y se elimina de la cuarentena de forma inmediata e irreversible. No tratamos conscientemente datos personales de personas menores de 16 años sin el consentimiento verificable del representante legal conforme al art. 8 del RGPD.

El control automatizado (GATE 0) se realiza exclusivamente en la memoria de acceso aleatorio (RAM) en tiempo real. Durante este proceso no se extraen, conservan ni tratan de forma permanente datos biométricos (por ejemplo, vectores faciales o plantillas biométricas) con el fin de identificar de manera unívoca a una persona en el sentido del art. 9 del RGPD. Si una entrada (fotografía o vídeo) se evalúa como representación de una persona menor de edad o como contenido NSFW inadmisible, se borra de forma inmediata e irreversible de la cuarentena y de la RAM, y no llega ni a la biblioteca ni a ningún procesamiento posterior.

5. Contenido subido y no conservación de las entradas

Tratamos el material subido (fotos, audio, vídeo) exclusivamente con el fin de prestar el servicio que usted solicita. Las entradas que sirven únicamente como base para la generación (por ejemplo, vídeo de origen en la edición del rostro, fotografías de referencia) se eliminan automáticamente al finalizar la generación y no se conservan en su biblioteca («Mis medios»). En la biblioteca se conserva exclusivamente el contenido generado o compartido por usted. Las entradas rechazadas por la puerta de seguridad se eliminan de inmediato de la cuarentena y no llegan a la biblioteca. Usted es responsable de la licitud y legitimidad del material subido (véanse las Condiciones de uso); Kiult no verifica los derechos ni los consentimientos relativos al material subido. De una entrada leída por el modelo visual antes de la generación, solo permanece junto al proyecto una descripción automática de la toma (composición, luz, colores, entorno); no identifica a personas y se elimina junto con el proyecto. Las fotos y los fotogramas de vídeo a partir de los cuales se crea la descripción se envían al modelo Gemini (Google, punto 11) solo después de un control de seguridad en nuestro servidor.

6. Voz del avatar: a partir de una descripción o la suya propia

La voz del avatar se crea de una de estas dos formas:

• A partir de una descripción (por defecto). El Sistema crea la voz de forma automática a partir de una descripción verbal de la voz (tono, ritmo, acento) que deduce de su instrucción de texto. La muestra generada no procede de la voz de ninguna persona física y no es un dato biométrico; se trata sobre la base de la ejecución del contrato (art. 6.1.b) del RGPD) y se guarda como plantilla para que el personaje suene igual en todas las escenas.
• Su propia voz (planes Pro y Max). En la aplicación, usted lee en voz alta una frase aleatoria que le muestra el Sistema y confirma su consentimiento. La voz de la grabación debe ser suya o de una persona que lea la frase ella misma y esté de acuerdo. El Sistema no permite subir un archivo de audio ya existente como voz.
• Qué hacemos con la grabación: una transcripción automática del habla comprueba que la grabación contiene la frase leída; después sirve exclusivamente como plantilla de la voz de ese avatar al generar sus intervenciones. No comparamos voces ni identificamos a nadie, no utilizamos la grabación para ningún otro fin ni para entrenar modelos y no la facilitamos a terceros.
• Base jurídica: el consentimiento y el consentimiento explícito de los arts. 6.1.a) y 9.2.a) del RGPD (punto 3). Puede retirar su consentimiento en cualquier momento eliminando la voz en el detalle del avatar; la grabación se borra entonces definitivamente y el avatar recibe una voz creada a partir de la descripción.
• Marca de agua: cada salida de audio que pronuncia el avatar —con una voz creada a partir de una descripción o con su propia voz— contiene una marca de agua sonora inaudible (AudioSeal) que indica su origen artificial, de conformidad con el art. 50.2 del Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial). La grabación en sí no se marca como salida de IA: es su grabación.
• Supresión: suprimimos la muestra generada y la grabación de su propia voz cuando se sustituyen, cuando se elimina la voz o el avatar y, a más tardar, cuando se elimina la cuenta.

7. Cookies y seguimiento

Cookies propias y almacenamiento local. Kiult no almacena su inicio de sesión en cookies propias — el token de inicio de sesión (JWT) se conserva en el almacenamiento local del navegador (localStorage) de su dispositivo y sirve exclusivamente para mantener la sesión iniciada y para la seguridad (base jurídica: ejecución de un contrato / interés legítimo). Se trata de un tratamiento técnicamente necesario que no requiere consentimiento.

Cookies de terceros (estrictamente necesarias). En los pagos y en el inicio de sesión pueden instalarse cookies técnicamente necesarias de nuestros socios directamente desde sus dominios: las pasarelas de pago Stripe y GoPay (por ejemplo, para la prevención del fraude y el procesamiento del pago) y el proveedor de inicio de sesión Google (si utiliza esta opción). Estas cookies son gestionadas por los proveedores correspondientes conforme a sus propias políticas de privacidad; son necesarias para el funcionamiento del pago o del inicio de sesión.

Protección del Detector (Google reCAPTCHA). Si abre el Detector sin iniciar sesión, solo entonces se carga el servicio Google reCAPTCHA (Google Ireland Limited), que distingue a las personas de los programas automatizados. Para ello trata datos técnicos sobre su dispositivo y su navegador (por ejemplo, la dirección IP, datos del navegador y su interacción con la página) y puede instalar sus propias cookies. La base jurídica es nuestro interés legítimo en proteger el Detector gratuito frente a abusos automatizados (art. 6.1.f) del RGPD). reCAPTCHA no se carga para los usuarios que han iniciado sesión ni en ninguna otra parte de Kiult. Google también puede tratar los datos fuera del EEE (en EE. UU., sobre la base de la decisión de adecuación relativa al Marco de Privacidad de Datos UE-EE. UU.); los detalles figuran en la política de privacidad y las condiciones de servicio de Google.

Sin analítica ni marketing. Kiult no utiliza cookies analíticas ni de marketing propias y no instala herramientas de seguimiento de terceros (por ejemplo, Google Analytics, Meta Pixel y similares). Si en el futuro deseáramos introducir cookies analíticas o de marketing opcionales, lo haríamos exclusivamente sobre la base de su consentimiento, que podrá retirar en cualquier momento; hasta la introducción de tal funcionalidad no utilizamos dichas cookies. Puede gestionar la configuración de cookies (incluidas las cookies de terceros) en su navegador.

8. Transparencia de la IA y moderación (AI Act, DSA)

De conformidad con el AI Act, todas las salidas de imagen, vídeo y audio se marcan automáticamente con una marca de agua invisible legible por máquina que identifica el contenido como obra de la IA; en el caso de las salidas de audio se trata de una marca de agua sonora (AudioSeal, véase el punto 6). Las salidas de imagen y vídeo se complementan además con un identificador criptográfico de origen (metaseal), que permite determinar retrospectivamente la generación concreta; en las salidas de audio esta función la cumple el manifiesto C2PA firmado, ya que la capacidad de la marca de agua sonora solo basta para señalar el origen de IA. Moderamos los contenidos mediante una combinación de herramientas automatizadas y supervisión humana; las decisiones graves y los recursos son valorados por una persona. La toma de decisiones automatizada no produce efectos jurídicos respecto de usted sin la posibilidad de revisión humana — puede recurrir una decisión de retirada de contenido o de suspensión de la creación (véanse las Condiciones de uso, Section 8A).

Además del marcado legible por máquina, le ofrecemos la opción de una indicación perceptible para una persona. Al guardar una salida, usted elige si el Sistema SaaS incrusta en ella una indicación visible «generado por IA» en el idioma de sus ajustes; sin esa elección, la salida no lleva indicación visible. En el archivo que se reproduce dentro del Sistema SaaS la indicación no se incrusta nunca: reproducir no es publicar. Los medios que usted haya subido no se marcan; marcar su propia toma como generada por IA sería una afirmación falsa. La obligación de divulgar visiblemente el contenido que constituya una ultrafalsificación conforme al artículo 50, apartado 4, del Reglamento (UE) 2024/1689 (Reglamento de IA) corresponde al responsable del despliegue, es decir, a quien publique el contenido; si es usted quien publica la salida, le corresponde a usted, y esta opción le ayuda a cumplirla. Cuando la indicación esté en el archivo, está prohibido eliminarla, recortarla o taparla (véanse las Condiciones de uso, Section 8).

En los vídeos con sonido marcamos también la pista de audio, en los fragmentos en los que ha intervenido la IA (por ejemplo, voz o música generadas); su sonido sin modificar no se marca. La etiqueta visible solo está en la imagen: si utiliza el audio del vídeo por separado, la etiqueta no lo acompaña.

9. Sus derechos como interesado (art. 15 a 22 RGPD)

Tiene derecho a: acceder a sus datos; a la rectificación de datos inexactos; a la supresión («derecho al olvido»); a la limitación del tratamiento; a la portabilidad de los datos en un formato estructurado y legible por máquina; a oponerse al tratamiento basado en el interés legítimo; y a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado con efectos jurídicos. Cuando el tratamiento se base en el consentimiento, tiene derecho a retirarlo en cualquier momento. Ejercerá sus derechos a través de la sección Soporte o en privacy@kiult.com; atenderemos la solicitud, como regla general, en el plazo de un mes. Asimismo, tiene derecho a presentar una reclamación ante una autoridad de control (punto 1).

10. Plazo de conservación

Conservamos los datos únicamente durante el tiempo necesario para el fin correspondiente:

• Datos de la cuenta y contenido — durante la existencia de la cuenta activa; tras la eliminación de la cuenta los suprimimos, salvo que la ley exija una conservación más prolongada.
• Entradas subidas (material de base) — no conservación, eliminadas tras la generación (punto 5); la descripción automática de la toma permanece con el proyecto y se elimina con él.
• Datos enviados al modelo Gemini (punto 11) — Google no los utiliza para entrenar sus modelos y tenemos desactivada la memoria caché; Google solo puede conservarlos si su control automático detecta una sospecha de abuso del servicio, durante un máximo de 90 días y dentro de la UE.
• Voz del avatar: la muestra generada mientras exista el avatar (al volver a generarla se suprime la anterior); la grabación de su propia voz hasta que se elimine la voz, el avatar o la cuenta (punto 6). Conservamos el registro del consentimiento a su propia voz —sin la grabación y sin su transcripción— como prueba del consentimiento conforme al punto 3.
• Datos de las organizaciones autorizadas para el Detector: mientras dure el acceso y 1 año después de que finalice; los registros de las comprobaciones, como los registros de seguridad, por regla general 3 años como máximo.
• Documentos contables y fiscales — durante el plazo exigido por la normativa fiscal y contable.
• Registros de seguridad (registro de auditoría) — durante el plazo necesario para la prevención e investigación del abuso y el cumplimiento de las obligaciones legales, como regla general no más de 3 años desde la creación del registro, salvo que una normativa específica exija otra cosa.
• Identificador criptográfico de origen (metaseal) y registros conexos — conservamos el vínculo entre el identificador de código invisible (metaseal) presente en el contenido generado y el ID de la cuenta de usuario durante la existencia de la cuenta y, posteriormente, durante un plazo de 3 años desde la eliminación de la cuenta o desde la generación de la obra, a efectos de la prevención de la delincuencia, la protección de los derechos de autor y de propiedad intelectual de terceros, el ejercicio de pretensiones jurídicas y el cumplimiento de las obligaciones derivadas del Reglamento de Servicios Digitales (DSA).

11. Destinatarios y encargados del tratamiento (terceros)

Para la operativa recurrimos a proveedores (encargados del tratamiento) a los que solo damos acceso a los datos necesarios para la prestación del servicio: pasarelas de pago (Stripe, GoPay), el proveedor de alojamiento e infraestructura de IA/cómputo y el proveedor de servicios de correo electrónico. Con los encargados del tratamiento tenemos celebrados contratos de tratamiento de datos conforme al art. 28 del RGPD. No vendemos datos personales.

Google — modelo Gemini (Vertex AI). El guion y las escenas de un vídeo, los mensajes del asistente de creación, las descripciones de los personajes, de su voz, de los entornos y de los objetos, las letras de canciones, los acontecimientos del mundo en vivo de los avatares (Live) y las descripciones automáticas del material de base los escribe el modelo Gemini, que Google Cloud EMEA Limited (Irlanda) opera para nosotros como encargado del tratamiento, sobre la base del acuerdo de tratamiento de datos de Google Cloud. Solo le enviamos lo que necesita para escribir el texto: su encargo y sus mensajes en el asistente, las descripciones de los personajes y de los entornos, el idioma y el formato del vídeo, y las fotos y los fotogramas de vídeo que usted haya añadido como material de base o como adjunto en el chat de creación — estos últimos, solo después de un control de seguridad en nuestro servidor. No le enviamos grabaciones de voz ni datos de pago. El tratamiento se realiza en centros de datos situados en la Unión Europea y Google no utiliza estos datos para entrenar sus modelos.

A efectos de determinar el tipo de IVA, verificar el país de residencia y seleccionar la pasarela de pago localmente competente, utilizamos la base de datos IP Geolocation by DB-IP (facilitada bajo licencia CC-BY-4.0). El tratamiento de la dirección IP con este fin se realiza de forma automatizada con el objetivo de determinar el país de conexión, comparándose la dirección IP con esta base de datos de geolocalización en nuestro lado; la propia dirección IP no se vende ni se transmite al proveedor de la base de datos (DB-IP) y no se utiliza para fines distintos de la clasificación geográfica de la transacción.

12. Transferencias a terceros países

Tratamos los datos preferentemente dentro del Espacio Económico Europeo (EEE). Si en un caso concreto se produjera una transferencia a un tercer país fuera del EEE, la garantizaríamos sobre la base de garantías adecuadas conforme al art. 46 del RGPD (por ejemplo, las cláusulas contractuales tipo de la Comisión Europea) o de una decisión de adecuación. Google trata los datos para el modelo Gemini (punto 11) en centros de datos situados en la Unión Europea. Si Google los pusiera a disposición de sus subencargados fuera del EEE, la transferencia estaría garantizada por el acuerdo de tratamiento de datos de Google Cloud sobre la base de una decisión de adecuación o de las cláusulas contractuales tipo.

13. Elaboración de perfiles y decisiones automatizadas

Utilizamos sistemas automatizados para controles de seguridad (GATE 0–3), moderación y prevención del abuso. No realizamos elaboración de perfiles con fines de marketing que produzca efectos jurídicos respecto de usted sin la posibilidad de revisión humana. Las decisiones con impacto significativo (retirada de contenido, suspensión de la creación) son revisables por una persona.

14. Compartición y «Sharables»

El contenido que decida compartir se pondrá a disposición según el modo de compartición que elija — bien directamente a un usuario registrado concreto mediante un token de acceso único, bien en la sección interna Shared Creations. Los medios compartidos a través de la función «Sharables» se abren únicamente dentro de la cuenta Kiult del destinatario (ecosistema interno cerrado) y no están disponibles para su descarga directa al dispositivo. Las condiciones de licencia de dicha compartición se regulan en las Condiciones de uso (Section 4).

15. Seguridad

Adoptamos medidas técnicas y organizativas adecuadas para proteger los datos (hash de contraseñas, control de accesos, separación de almacenamientos). Sin embargo, ninguna transmisión por internet es completamente segura y no podemos garantizar una seguridad absoluta.

16. Modificaciones de esta Política

Podemos actualizar esta Política. Le informaremos de las modificaciones sustanciales por un medio adecuado (por ejemplo, por correo electrónico o mediante un aviso en la aplicación). La versión vigente está siempre disponible en el SaaS System con indicación de la fecha de la última actualización.