Política de Privacidad

El responsable del tratamiento de los datos personales descritos en esta política es Quetzal Tech, S.L. (Sociedad Unipersonal), con domicilio social en Alameda Principal, 24, planta 1ª, puerta 3, 29005 Málaga, España, y dirección de contacto hello@quetzaltech.es. La identificación societaria completa está en el Aviso legal.

No hemos designado Delegado de Protección de Datos porque no estamos obligados a ello. Las cuestiones de protección de datos se dirigen a la dirección anterior y las atiende el administrador de la sociedad.

Datos de cuenta. Tu dirección de correo, nombre y datos de autenticación al crear una cuenta.

Cuentas sociales conectadas. Cuando conectas Instagram, Facebook, LinkedIn, TikTok, X o YouTube, las plataformas nos conceden tokens de acceso OAuth. Estos tokens se almacenan cifrados en una bóveda de secretos dedicada, nunca en texto plano, y se usan exclusivamente para publicar el contenido que apruebas y leer el rendimiento de tus propias publicaciones.

Contenido y métricas de rendimiento. Las instrucciones que escribes, los borradores que Quetzal genera, los recursos que subes y las métricas de interacción de tus publicaciones (recogidas a la 1, 6, 24 y 72 horas tras publicar).

Vídeos, audio y fotos que subes. Cuando subes grabaciones, audio o tu voz para una edición, Quetzal transcribe lo que se dice y los modelos de IA analizan el vídeo y sus fotogramas (escenas, caras para encuadrar, texto en pantalla, los mejores momentos) para poder cortarlo, encuadrarlo y subtitularlo. Las fotos de una persona real que subes para crear un avatar solo se usan dentro de tu espacio de trabajo para hacer vídeos de esa persona, y puedes eliminar el avatar, con todas sus fotos y clips, cuando quieras desde el estudio de avatares.

Datos de facturación. Si contratas un plan de pago, nuestro proveedor de pagos recoge directamente tus datos de pago. Nosotros recibimos y conservamos el estado de la suscripción, el plan y los registros de factura, nunca el número completo de tu tarjeta.

Cuando conectas una cuenta recibimos de esa plataforma, sobre esa cuenta, únicamente lo que permiten los permisos que has concedido: la identidad del perfil (nombre, identificador y avatar de la cuenta o página), la capacidad de publicar el contenido que has aprobado y las métricas de tus propias publicaciones (impresiones, reacciones, comentarios, veces compartido, clics, número de seguidores). Cuando activas la automatización de comentarios o mensajes, recibimos además los comentarios y mensajes dirigidos a tu cuenta para que la función pueda responder. Aparte, el feed de respuestas de Quetzal Engage lee publicaciones públicas de otras personas en X con el acceso propio de Quetzal, no con el tuyo; lo explicamos en su propia sección más abajo.

Usamos estos datos solo para prestar las funciones que has activado, dentro de tu propio espacio de trabajo. No los usamos para crear perfiles publicitarios, no los combinamos con datos de otros clientes para identificar a personas y no los cedemos a nadie salvo a los encargados enumerados más abajo. El uso de la información recibida de las API de Meta se ajusta a las Meta Platform Terms y a las Políticas para desarrolladores, y se aplican condiciones equivalentes para el resto de plataformas conectadas.

Desconectar una cuenta revoca nuestros tokens de inmediato y detiene toda recogida posterior. Eliminar tu espacio de trabajo borra los datos ya recibidos, según se describe en eliminación de datos.

Para prestar el servicio: generar borradores con tu voz de marca, programar y publicar lo que apruebas y medir su rendimiento. Base jurídica: ejecución del contrato contigo (art. 6.1.b RGPD).

Para mejorar tus resultados: tus propias métricas de rendimiento, con tu consentimiento, orientan qué contenido te propone el sistema a continuación. Base jurídica: ejecución del contrato y tu consentimiento cuando activas el uso compartido opcional de datos (arts. 6.1.a y 6.1.b RGPD).

Para mantener el servicio seguro y operativo: autenticación, prevención de abusos, diagnóstico de errores y filtrado de seguridad. Base jurídica: nuestro interés legítimo en operar un servicio seguro (art. 6.1.f RGPD).

Para facturarte y cumplir nuestras obligaciones: facturación y registros fiscales y contables. Base jurídica: ejecución del contrato y cumplimiento de una obligación legal (arts. 6.1.b y 6.1.c RGPD).

Los datos externos de las plataformas se usan solo como contexto al redactar y nunca se entrenan en los pesos de los modelos.

Quetzal usa modelos de IA para redactar textos, imágenes y vídeo a partir de tus instrucciones y materiales de marca. Son propuestas de contenido, no decisiones sobre ti: no se publica nada sin tu aprobación y ningún tratamiento automatizado produce efectos jurídicos o similarmente significativos sobre ti en el sentido del art. 22 RGPD. Cuando activas el piloto automático, autorizas la publicación por adelantado mediante los ajustes que tú controlas, y puedes retirar esa autorización en cualquier momento.

No vendemos tus datos. No compartimos tu contenido ni tus métricas con anunciantes. No publicamos nada sin tu aprobación o sin el mandato de piloto automático que hayas configurado.

Para operar el servicio nos apoyamos en estos encargados. Cada uno recibe solo los datos que necesita para su función:

• Supabase: base de datos, inicio de sesión, almacenamiento de archivos y la bóveda cifrada de secretos. Unión Europea (París).
• Vercel: alojamiento y entrega de la web y de la aplicación. Las funciones se ejecutan en la Unión Europea (París); las páginas se sirven a través de la red global de Vercel, que es una empresa estadounidense.
• Hetzner: nuestros propios servidores, donde se renderizan los vídeos, se procesan las grabaciones que subes y se hace la investigación de tendencias. Unión Europea (Helsinki, Finlandia).
• Inngest: ejecuta los trabajos en segundo plano, que llevan los datos del trabajo mientras se ejecuta. Estados Unidos.
• Google: los modelos Gemini en Vertex AI (texto y análisis de imágenes y de los vídeos que subes), Google Analytics (ver Cookies) y Google Workspace (nuestro correo). Vertex AI puede tratar una petición en cualquier región de Google, también fuera de la Unión Europea.
• Anthropic: los modelos Claude, para redactar y revisar textos. Estados Unidos.
• OpenRouter y fal: acceso a modelos de IA de texto, imagen y vídeo, entre ellos los modelos de imagen de OpenAI. Estados Unidos.
• Runware: acceso a los modelos que pintan nuestras imágenes. Empresa del Reino Unido, con servidores en la Unión Europea y en Estados Unidos.
• ElevenLabs y Groq: generación de voz y transcripción del audio y los vídeos que subes. Estados Unidos.
• Zernio: publicación en Instagram, Facebook, TikTok y LinkedIn, y lectura de sus comentarios y mensajes, en las cuentas conectadas a través de este servicio. Unión Europea (España).
• FxTwitter: un servicio público con el que leemos publicaciones y perfiles públicos de X. Solo recibe el identificador de la publicación o la cuenta pública que se lee. Fuera de la Unión Europea.
• Jina AI: descarga páginas web públicas, como la web que nos pides leer. Solo recibe la dirección de esa página. Jina AI GmbH (Alemania), parte de Elastic.
• Stripe: pagos, suscripciones y facturas. Unión Europea y Estados Unidos.
• Resend: envío de nuestros correos. Estados Unidos.
• PostHog: analítica de producto (ver Cookies). Unión Europea.

Las bibliotecas de imágenes y música (Pexels, Pixabay, Jamendo, Freesound) solo reciben palabras de búsqueda, nunca datos personales. Las redes sociales que conectas (Meta, X, LinkedIn, TikTok, YouTube) no son encargados nuestros: son las plataformas en las que publicas y se rigen por sus propias políticas de privacidad.

Cuando un proveedor trata datos fuera de la Unión Europea, la transferencia se ampara en una decisión de adecuación de la Comisión Europea (como la del Reino Unido) o en sus Cláusulas Contractuales Tipo y, si el proveedor está certificado, en el Marco de Privacidad de Datos UE–EE. UU. Puedes pedirnos las garantías aplicables a cualquiera de ellos en hello@quetzaltech.es.

Los tokens de acceso y los secretos se almacenan cifrados en una bóveda dedicada, nunca en texto plano y nunca expuestos al navegador. Cada espacio de trabajo está aislado a nivel de base de datos, de modo que los datos de un cliente no pueden leerse desde la sesión de otro. El acceso a los datos de producción se limita a lo que exige la operación del servicio.

La policía, los juzgados, la Agencia Tributaria o un organismo regulador pueden pedir a una empresa datos sobre sus usuarios. Tenemos una política escrita sobre qué ocurre cuando nos los piden a nosotros, porque una empresa pequeña es justo donde un requerimiento improcedente tiene más posibilidades de prosperar.

Comprobamos la legalidad del requerimiento antes de entregar nada. Exigimos una resolución judicial, un decreto de la fiscalía o una habilitación legal que nombre la obligación. Verificamos a la autoridad por sus propios canales publicados, comprobamos que tiene competencia sobre nosotros en España y comprobamos que lo que se pide está realmente dentro del título que lo ampara. Un correo informal o una llamada no son un título habilitante y se responden pidiendo uno.

Impugnamos los requerimientos que consideramos ilícitos. Cuando uno es desproporcionado, está mal notificado, excede la competencia de quien lo emite o no se apoya en ningún título, pedimos que se acote, rechazamos la parte no amparada y nos oponemos por las vías legales disponibles con asistencia letrada. No entregamos nada mientras la impugnación esté pendiente, salvo que un juzgado nos ordene lo contrario.

Entregamos el mínimo. Nunca una base de datos, un espacio de trabajo ni una cuenta entera cuando lo que se pide son registros concretos: solo los campos nombrados, de la persona nombrada, en el periodo nombrado. El contenido de mensajes y comentarios se entrega únicamente cuando el título lo alcanza de forma expresa. Los tokens de acceso y las credenciales no se entregan a nadie, en ningún caso.

Documentamos todos los requerimientos, incluidos los que rechazamos y aquellos en los que no se entrega nada, dejando constancia de la autoridad, el título, nuestra revisión y su razonamiento, la impugnación y su resultado, y exactamente qué se entregó. Ese registro se conserva seis años.

Cuando la ley nos lo permite, te avisamos de que tus datos han sido requeridos y de qué se entregó. Si el requerimiento alcanza datos que obtuvimos de una plataforma conectada como Meta, se lo notificamos a esa plataforma y remitimos allí a la autoridad, porque es el origen de esos datos. La única excepción a todo este proceso es un riesgo inminente de muerte o de daño físico grave, en el que podemos entregar lo imprescindible de inmediato y documentarlo ese mismo día.

A 15 de septiembre de 2026 no hemos recibido ningún requerimiento, de ningún tipo, de ninguna autoridad de ningún país, sobre los datos personales de ningún usuario. Eso incluye los requerimientos por motivos de seguridad nacional. Actualizaremos esta página cuando eso cambie.

Puedes solicitar acceso a los datos personales que tenemos sobre ti, pedir su rectificación o supresión, obtener una copia portable, limitar u oponerte al tratamiento y retirar cualquier consentimiento que hayas prestado. La retirada no afecta al tratamiento ya realizado. Escribe a hello@quetzaltech.es y responderemos en un plazo de 30 días.

También puedes eliminar tus datos por ti mismo en cualquier momento; consulta eliminación de datos. Si consideras que hemos tratado tus datos indebidamente, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es) o ante la autoridad de control de tu país de residencia.

Conservamos tus datos mientras tu cuenta esté activa. Cuando el propietario elimina un espacio de trabajo desde Ajustes, se borran sus publicaciones, conexiones, materiales de marca, archivos subidos y generados, analíticas, feeds de Engage, comentarios y mensajes, se cancela su suscripción y se destruyen sus tokens de conexión. Los tokens cifrados de las cuentas desconectadas se eliminan en el momento de la desconexión. Algunos registros se conservan a propósito: los de facturación y fiscales, durante el plazo que exige la legislación española, actualmente seis años; los de uso y coste, sin el vínculo con el espacio eliminado; y las bibliotecas compartidas de investigación pública que se describen en la sección de Engage. Eliminar un espacio de trabajo no elimina tu cuenta de acceso (tu correo y tu nombre): para borrarla, escribe a hello@quetzaltech.es y la eliminamos en un plazo de 30 días.

Quetzal es un producto para empresas y no se dirige a menores. No recogemos conscientemente datos de personas menores de 18 años. Si crees que un menor ha creado una cuenta, escríbenos y la eliminaremos.

Si tu plan incluye Engage y configuras un feed de respuestas, Quetzal lee en X las publicaciones públicas que coinciden con el feed que definiste (palabras, una lista pública de X o tu sector) a través de la API oficial de X o del servicio público FxTwitter, con el acceso propio de Quetzal, nunca con el tuyo. De cada publicación guarda el texto, el identificador, la hora y los contadores públicos (me gusta, respuestas, reposts, guardados, visualizaciones), y los datos públicos del perfil de su autor: nombre, usuario, biografía, avatar, insignia de verificación y número de seguidores. Con ellos ordena qué publicaciones merece la pena responder y sugiere cuentas con las que conviene hablar. Para ordenar las publicaciones y redactar respuestas, el texto de la publicación lo tratan nuestros proveedores de modelos de IA, que figuran en Encargados y transferencias internacionales. Quienes escribieron esas publicaciones no son usuarios de Quetzal, y este párrafo es cómo se lo contamos.

Finalidad y base jurídica. La única finalidad es mostrarte, dentro de tu propio espacio de trabajo, conversaciones públicas en las que quizá quieras participar, y ayudarte a redactar una respuesta que luego envías tú. La base jurídica es el interés legítimo nuestro y de nuestros clientes en participar en conversaciones públicas en X (art. 6.1.f RGPD), limitado a información que el autor ya hizo pública en X. Nunca contactamos a nadie de forma automática: Quetzal no publica, no da me gusta, no sigue ni envía nada al autor, cada respuesta la escribe una persona que pulsa el propio botón Responder de X, y los datos nunca se venden, no se usan para publicidad ni se comparten con otros clientes.

Conservación. Las publicaciones y los datos de perfil que muestra un feed se guardan en el espacio de trabajo que los leyó mientras ese espacio exista, y se eliminan con él. Las cuentas que un cliente oculta se guardan como un identificador y un usuario, para que sigan ocultas.

Bibliotecas compartidas de investigación. Aparte, y fuera de cualquier espacio de trabajo, Quetzal guarda datos públicos que usa para investigar tendencias para todos sus clientes: el perfil público de X y las publicaciones públicas recientes de las cuentas que Engage ha consultado, y qué cuentas públicas siguen a cuáles (para sugerir con quién hablar); y publicaciones públicas con sus contadores públicos en nuestras bibliotecas de contenido viral, de competidores y de sector, procedentes de X, LinkedIn, Instagram, TikTok, YouTube y Facebook. Solo contienen lo que la cuenta ya hizo público, se usan únicamente como contexto para investigar y redactar, y no se eliminan cuando un cliente borra su espacio de trabajo. Cuando una publicación desaparece de su red, solo conservamos sus identificadores y borramos su texto y los datos de su autor.

Si eres autor de una publicación o titular de una cuenta y quieres que la retiremos, o quieres oponerte a este tratamiento, escribe a hello@quetzaltech.es con tu usuario y la retiraremos de todos los espacios de trabajo y de estas bibliotecas en un plazo de 30 días.

Quetzal Engage es una extensión de Chrome opcional. Lo que lee depende de dónde estés. En x.com, lee la única publicación a la que estás respondiendo (su texto, su identificador, su autor, su número de respuestas, sus visualizaciones y su hora), y solo cuando pulsas su botón Borrador sobre esa caja de respuesta. En cualquier otro sitio, lee únicamente el texto que seleccionas y envías desde el menú del clic derecho. Nunca lee tu feed, nunca lee tus cookies ni tu sesión de X, y no puede ver ninguna página en la que no tenga un botón o una entrada de menú.

Envía a quetzaltech.app, por una conexión cifrada, solo lo que necesita para redactar: ese texto; en X, el identificador de la publicación, el usuario de su autor y el número de respuestas, las visualizaciones y la hora que muestra esa publicación (para su puntuación); el enfoque o las ideas que escribas para el borrador y el tono que elijas; y el rol que escribes para decir quién responde. Quetzal lo usa para generar borradores de respuesta con tu voz de marca y para valorar si la publicación merece respuesta. Guarda un único token de conexión en el navegador, que puedes revocar en cualquier momento desde Ajustes, Extensión, o pulsando Desconectar dentro de la propia extensión; revocarlo detiene por completo el acceso de la extensión a Quetzal.

Nunca publica, da me gusta, sigue ni comenta por ti. Todo borrador que escribe se coloca para que tú lo leas, edites y envíes: en X rellena la caja de respuesta que ya tienes abierta, y en el resto de sitios muestra el borrador en su propio panel para que lo copies y lo pegues. La extensión también puede mostrarte sugerencias, como publicaciones o cuentas, que Quetzal ya encontró en sus propios servidores para tu espacio de trabajo; mostrar una sugerencia no es una acción tomada en tu nombre, y nada se envía ni se publica sin que tú pulses el botón propio de la plataforma.

Desinstalar la extensión, o revocar su token de conexión, elimina su acceso de inmediato: deja de leer y de enviar nada más. El texto que le envías y los borradores que escribe a partir de él se guardan como contenido ordinario de tu espacio de trabajo, igual que cualquier borrador hecho dentro de Quetzal: se guardan en tu espacio de trabajo y cuentan para los borradores mensuales de tu cuenta. Se conservan mientras tu cuenta esté activa y se eliminan con ella, como se explica en Conservación. La redacción la llevan a cabo los proveedores de modelos de IA que se enumeran más arriba, en Encargados y transferencias internacionales.

Las cookies estrictamente necesarias mantienen el producto funcionando y están siempre activas: una cookie de sesión que mantiene tu sesión iniciada, además de q-lang (tu preferencia de idioma) y q-theme (modo claro u oscuro). No requieren consentimiento.

Las cookies de analítica son opcionales y están desactivadas por defecto. Mientras no las aceptes, nuestras dos herramientas de analítica, PostHog y Google Analytics, funcionan sin cookies: cuentan visitas anónimas sin guardar nada en tu dispositivo y sin identificarte. Si las aceptas, instalan sus propias cookies (ph_* y _ga*) para ver cómo transcurre una visita entre páginas; puedes retirar el consentimiento cuando quieras y dejan de hacerlo. No usamos ninguna cookie de publicidad. Tu elección se guarda en una cookie q-consent; cámbiala cuando quieras desde «Preferencias de cookies» en el pie de página. Nuestras herramientas gratis de IA solo funcionan cuando aceptas las cookies: entonces guardan una cookie q-tool-visitor, un identificador aleatorio sin nombre ni correo, para contar tus pruebas gratis de cada herramienta (solo almacenamos un hash con clave de ese identificador).

Cuando cambiamos esta política actualizamos la fecha del encabezado. Si un cambio afecta de forma sustancial a cómo tratamos tus datos, te lo comunicamos en el producto o por correo antes de que entre en vigor.

Preguntas sobre esta política: hello@quetzaltech.es.