Legal

Política de privacidad

Última actualización: 2026-09-15

TryPrimero es un servicio de IT Nest Limited, Office 3906, 39/F, The Center, 99 Queen’s Road Central, Central, Hong Kong (número de registro mercantil 77297048) («nosotros», el responsable del tratamiento). Operamos el sitio tryprimero.com, la app de iOS y el bot de Telegram. Esta política cubre los tres, y es especialmente detallada sobre el sitio web porque ahora procesa fotos por sí mismo en lugar de enviarte a otro sitio.

En corto: tu foto se usa para generar tu prueba y para nada más. No se vende, no se usa para publicidad, no se usa para entrenar modelos de IA y nunca se envía a nuestro proveedor de analítica.

1. Las fotos que subes

Cuando usas la prueba –con sesión iniciada o sin ella– la foto viaja cifrada por TLS desde tu navegador a nuestros servidores y de ahí a nuestro proveedor de imagen con IA, fal.ai, que la aloja y ejecuta el modelo que produce tu resultado. Tanto la foto que enviaste como la imagen resultante se guardan en el almacenamiento de fal.ai bajo una URL imposible de adivinar.

Antes de procesar nada, cada foto pasa una comprobación de seguridad automática. Una foto que no la pasa se rechaza y nunca llega al modelo.

No usamos tus fotos para entrenar modelos, no las publicamos y no se las damos a nadie salvo al proveedor de IA que genera tu resultado. Nuestra analítica (sección 6) nunca las recibe: excluimos de ella las zonas de subida y las imágenes de resultado, y no grabamos sesiones.

2. Tu cuenta

El inicio de sesión lo gestiona Firebase Authentication (Google LLC): es la misma cuenta que la app de iOS, y por eso tu saldo es el mismo en todas partes. Recibimos un identificador de usuario, tu email y, si el proveedor lo entrega, tu nombre visible.

En nuestra base de datos, asociados a ese identificador, guardamos tu saldo de pruebas, tus compras y tu historial de generaciones. Si la analítica está activada en tu navegador, al iniciar sesión la analítica recogida en ese navegador, incluidas tus visitas anteriores, queda vinculada a tu identificador de cuenta (sección 6). Tu dirección de correo nunca se envía a la analítica.

Si inicias sesión con Apple y eliges ocultar tu correo, solo vemos la dirección de retransmisión que Apple nos da.

3. Correos que enviamos

Si pides un código de acceso, te enviamos un correo con un código de 6 dígitos a través de Resend (Plus Five Five, Inc.), nuestro proveedor de email. Si la dirección aún no tiene cuenta, escribir el código la crea. Guardamos tu dirección, un hash con clave del código (nunca el código), cuántas veces se escribió un código incorrecto y el identificador del mensaje del proveedor, que nos permite distinguir «no lo enviamos» de «lo enviamos y no llegó». Un código caduca a los 10 minutos, funciona una sola vez y deja de valer tras 5 intentos fallidos. Cuando salga la app de iOS, usará los mismos códigos para la misma cuenta.

Si creaste tu cuenta en el sitio web, no has comprado nada (ni en el sitio ni en la app) y no te has dado de baja, te enviamos un correo más, al menos 24 horas después del registro: un aviso breve de que tu prueba está guardada en tu cuenta, con un enlace a los packs. Se envía una sola vez por cuenta y nunca se repite. Incluye un enlace para darte de baja y una cabecera de baja con un clic para los clientes de correo, y sus enlaces llevan etiquetas de campaña (parámetros utm) sin ningún identificador personal para medir si fue útil. Darte de baja solo detiene este correo; los códigos de acceso siguen funcionando. Las cuentas creadas en la app de iOS nunca lo reciben.

El seguimiento de clics y de aperturas está desactivado. Todos los enlaces de nuestros correos apuntan a tryprimero.com y a ningún otro sitio.

Los registros de tokens usados o caducados se borran a los 7 días.

4. Pagos

Los pagos con tarjeta los procesa Stripe en su propia página de pago. Nunca vemos, recibimos ni guardamos los datos de tu tarjeta. Lo que nos llega es el identificador de la sesión de pago, el importe, la moneda y qué pack compraste: lo justo para abonar tu cuenta y responder a una consulta de facturación.

Las compras en la app de iOS las procesa Apple y las del bot, Telegram. En ambos casos tampoco vemos credenciales de pago.

5. Cookies, identificadores de dispositivo y límites

La prueba gratis tiene que limitarse a una por dispositivo, y el formulario de acceso tiene que estar protegido para que no se use para enviar correo a desconocidos. Ambas cosas exigen reconocer un dispositivo sin saber quién eres. Lo hacemos con un pequeño identificador de dispositivo propio, una huella de navegador poco precisa (tamaño de pantalla, zona horaria, idioma, plataforma) y tu dirección IP; las dos últimas se guardan solo como hashes unidireccionales con sal, nunca en claro.

Cloudflare Turnstile puede mostrarte una comprobación rápida de «no soy un robot» antes de tu primera acción. Al superarla recibes un token firmado de 45 minutos para no repetirla.

Si la analítica está activada (sección 6), el código de PostHog, servido desde nuestro sitio, guarda otro identificador aleatorio de analítica, un identificador de sesión y los datos de campaña de tus visitas en una cookie propia y en almacenamiento del navegador cuyos nombres empiezan por ph_. Ese identificador no es el identificador de dispositivo anterior y nunca se combinan. Tu elección sobre la analítica se guarda 12 meses en la cookie tp_consent, con su fecha y un identificador de consentimiento aleatorio.

Otros valores se quedan solo en tu navegador: tp_cc (mientras dure la pestaña, el país que indica nuestra CDN, solo para elegir qué reglas de consentimiento se aplican), tp_pending_job (qué prueba terminada espera a que inicies sesión), tp_claim y tp_unsub (mientras dure la pestaña, para que una compra o una baja se completen si recargas la página) y tp_analytics / tp_analytics_s (solo para la analítica; se borran cuando está desactivada).

La lista completa de cookies e identificadores, con finalidad y duración, está en la Política de cookies. Puedes rechazar la analítica con Configuración de cookies y bloquear o borrar cookies en los ajustes del navegador; si bloqueas nuestras propias cookies, no podrás mantener la sesión iniciada.

6. Analítica

Usamos PostHog (PostHog, Inc., 2261 Market St. #4008, San Francisco, CA 94114, EE. UU.) para la analítica de producto. PostHog actúa como encargado del tratamiento y los datos se guardan en la nube europea de PostHog, en Fráncfort (Alemania). Las peticiones pasan normalmente por nuestro propio dominio y, si no, van directamente a los servidores europeos de PostHog. No usamos Google Analytics, píxeles publicitarios ni rastreadores entre sitios.

Si estás en el EEE, el Reino Unido, Suiza, Turquía o Quebec, o no podemos saber dónde estás, la analítica permanece desactivada hasta que la aceptes en el aviso de cookies. En el resto del mundo está activada por defecto y puedes desactivarla cuando quieras. Si tu navegador envía la señal Global Privacy Control, la tratamos como una exclusión y la analítica sigue desactivada en ese navegador salvo que la actives tú. Puedes cambiar tu elección en cualquier momento con Configuración de cookies (también en el pie de cada página). Rechazar o desactivar la analítica no cambia cómo funciona el sitio.

Con la analítica activada, PostHog recibe:

• las páginas que ves y la página de la que vienes, incluidos los parámetros de campaña y los identificadores de clic de anuncios de la dirección (como utm_source o gclid);
• el tipo de dispositivo, el navegador, el sistema operativo, el tamaño de pantalla y el idioma;
• una ubicación aproximada (como país y ciudad) derivada de tu dirección IP, que después se descarta;
• clics y envíos de formularios, incluido el texto del botón o enlace que pulsas, pero no lo que escribes en los campos;
• clics de frustración (clics repetidos) y clics sin efecto;
• mapas de calor de dónde se hace clic y hasta dónde se desplaza la página;
• el rendimiento de la página (lo rápido que carga y responde);
• mensajes de error y detalles técnicos (trazas de pila) cuando algo falla en una página;
• los pasos de la prueba, el acceso y el pago, por ejemplo que se añadió una foto (su formato y tamaño, nunca la foto), que se generó un resultado, que se eligió un pack o que se completó una compra;
• tu elección sobre la analítica, con su fecha y un identificador de consentimiento aleatorio, cuando la aceptas;
• después de iniciar sesión, tu identificador de cuenta, tu saldo de pruebas y si aún te queda la prueba gratis.

PostHog no recibe tu dirección de correo, tus fotos ni tus resultados, ni lo que escribes, y no grabamos sesiones.

Usamos estos datos para entender cómo se usa el sitio, corregir errores y páginas lentas, mejorar la prueba y medir qué páginas, campañas y anuncios traen a personas que se registran o compran. No los vendemos, no los compartimos para publicidad comportamental entre contextos y no los usamos para tomar decisiones sobre ti.

Los eventos de analítica se conservan hasta 7 años y después se borran. Si lo pides, borramos el perfil de analítica vinculado a tu cuenta junto con sus eventos (sección 9).

Aparte, el sitio envía un pequeño evento a nuestro propio servidor cuando usas la prueba o pulsas un botón que sale del sitio. Solo lleva el nombre del evento (como upload, result, locked, unlock, paywall_view o click_bot), la página y el idioma, y nuestro servidor lo escribe en su registro, no en una base de datos. Sigue la misma elección de analítica: si la analítica está desactivada, no se envía.

El sitio lo sirve Cloudflare, que procesa metadatos normales de la petición (IP, agente de usuario, marcas de tiempo) para entregar páginas, bloquear ataques y producir recuentos agregados de tráfico. Cloudflare actúa como encargado del tratamiento.

7. Bases jurídicas

En el EEE, el Reino Unido y Suiza (y, para la analítica, también en Turquía y Quebec) nos basamos en:

• Ejecución de un contrato: generar tu prueba, mantener tu saldo, entregar lo que compraste y enviar códigos de acceso.
• Interés legítimo: evitar el abuso de la prueba gratis y del formulario de acceso, mantener el servicio seguro y disponible, y enviar el único correo recordatorio descrito en la sección 3 (puedes darte de baja cuando quieras). Lo limitamos con hashes con sal y plazos de conservación cortos.
• Obligación legal: conservar registros de transacciones cuando lo exige la normativa fiscal o contable.
• Consentimiento: para las cookies de analítica y almacenamiento similar (sección 6). Puedes retirarlo cuando quieras con Configuración de cookies. Retirarlo no afecta al tratamiento anterior, y rechazarlo no afecta al servicio.

En el resto del mundo, el servicio se basa igualmente en el contrato contigo y en las obligaciones legales anteriores. Para la analítica:

• Brasil: interés legítimo (LGPD art. 7, IX), con la exclusión descrita en la sección 6.
• Corea del Sur: un interés legítimo que prevalece claramente sobre tus derechos (PIPA art. 15(1)(6)), limitado a los datos de la sección 6 y con el método para oponerte descrito allí.
• México: tu consentimiento tácito una vez que este aviso de privacidad está a tu disposición, que puedes revocar cuando quieras con Configuración de cookies o por correo.
• Japón: usamos la información personal solo para los fines de uso publicados en esta política (APPI art. 21).
• Estados Unidos, Hong Kong y otros países: este aviso, con la exclusión descrita en la sección 6.

8. Tus derechos

Si estás en el EEE, el Reino Unido o Suiza, tienes derecho a acceder a tus datos, corregirlos, suprimirlos, limitar u oponerte al tratamiento, recibirlos en formato portable, retirar tu consentimiento en cualquier momento y reclamar ante una autoridad de protección de datos, en particular la del lugar donde vives o trabajas.

Estés donde estés, puedes desactivar la analítica en cualquier momento con Configuración de cookies, y respetamos la señal Global Privacy Control como exclusión. Borrar las cookies y los datos de este sitio también elimina el identificador de analítica, pero elimina igualmente tu elección, así que el aviso puede volver a aparecer.

En Japón puedes pedirnos que te revelemos, corrijamos, dejemos de usar o borremos los datos personales que tenemos sobre ti. En Corea del Sur puedes pedir acceder a tu información personal, corregirla o borrarla, pedir que suspendamos su tratamiento y retirar tu consentimiento; las vías de reclamación disponibles están en la sección 13.

Aviso en el momento de la recogida (California). Estas son las categorías de información personal que recopilamos, de dónde vienen, para qué las usamos y cuánto tiempo las conservamos:

No vendemos ninguna de estas categorías ni las compartimos para publicidad comportamental entre contextos, y nunca lo hemos hecho. No usamos información personal sensible para inferir características sobre ti. Si estás en California, tienes derecho a saber qué recopilamos, a suprimirlo, a corregirlo y a excluirte de la venta o el intercambio de información personal. Ejercer un derecho nunca empeorará tu servicio.

No tomamos decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos sobre ti o te afecten de forma similarmente significativa. La comprobación de seguridad automática de la sección 1 solo decide si una foto puede procesarse; si rechaza una foto, puedes usar otra.

Para ejercer cualquiera de estos derechos, escribe a [email protected] desde la dirección de tu cuenta. Respondemos en un plazo de 30 días.

9. Borrar tu cuenta

Escribe a [email protected] y borraremos el registro de tu cuenta, tu saldo, tu historial de generaciones y tus registros de compra, salvo cuando la ley nos obligue a conservar un registro de la transacción, y borraremos el perfil de analítica vinculado a tu cuenta junto con sus eventos. Las pruebas anónimas del sitio ya se borran automáticamente a los 30 días, y la analítica que nunca se vinculó a una cuenta se borra al terminar su plazo de conservación.

Borrar tu cuenta la borra en todas partes: sitio, app y bot son una sola cuenta.

10. Transferencias internacionales

Nuestros encargados son PostHog, Inc. (EE. UU.; datos de analítica guardados en Alemania), fal (Features & Labels Inc., EE. UU. y otros países), Google LLC (Firebase Authentication, EE. UU.), Plus Five Five, Inc. (Resend, EE. UU.), Stripe (para nuestra cuenta, Stripe Payments Europe, Limited, Irlanda; Stripe también trata datos en EE. UU. y otros países) y Cloudflare, Inc. (EE. UU., con una red mundial). Las transferencias de datos desde el EEE, el Reino Unido y Suiza se amparan en el Marco de Privacidad de Datos UE-EE. UU. y sus extensiones para el Reino Unido y Suiza cuando el proveedor está certificado, y en las Cláusulas Contractuales Tipo de las condiciones de tratamiento de datos de cada proveedor.

Para usuarios en Japón: todos estos encargados son empresas de países extranjeros. Les confiamos datos personales mediante contratos que les exigen medidas equivalentes a las que impone la APPI (art. 28(1)), y tomamos las medidas necesarias para que las sigan aplicando. Si lo pides, te informamos del país de que se trate, de su sistema de protección de la información personal y de las medidas que aplica el destinatario (art. 28(3)).

Para usuarios en Corea del Sur (PIPA art. 28-8): transferimos información personal al extranjero como se indica a continuación. Las transferencias a fal, Google, Resend, Stripe y Cloudflare son necesarias para prestar el servicio y se informan en esta política. La transferencia a PostHog es solo para analítica y puedes rechazarla cuando quieras en Configuración de cookies, sin ningún efecto en el servicio.

Tratamientos que encargamos a terceros (PIPA art. 26):

• PostHog, Inc.: analítica de uso
• Cloudflare, Inc.: entrega del sitio y comprobaciones de seguridad
• Google LLC (Firebase): inicio de sesión
• fal (Features & Labels Inc.): generación de imágenes y almacenamiento de fotos y resultados
• Stripe: procesamiento de pagos
• Plus Five Five, Inc. (Resend): envío de correos

11. Menores

TryPrimero no es para niños. Debes tener al menos 13 años, y al menos 16 donde tu país fije esa edad de consentimiento digital. En Corea del Sur debes tener al menos 14 años. No tratamos conscientemente la foto de un menor; si crees que tenemos una, escríbenos y la borraremos.

12. Seguridad

Todo viaja por TLS. Los tokens de acceso se guardan como hashes unidireccionales. En nuestros servidores, tu dirección IP, la huella del navegador y el identificador de dispositivo usado para los límites se guardan solo como hashes unidireccionales con sal. Los identificadores de analítica son valores aleatorios que no derivan de ninguno de ellos; PostHog usa tu dirección IP solo para obtener una ubicación aproximada y después la descarta. La sesión vive en una cookie httpOnly que JavaScript no puede leer. Ningún sistema es perfecto, pero el diseño asume una brecha y guarda lo mínimo posible.

Conocimiento del entorno externo: nuestros encargados tienen su sede o guardan datos en Estados Unidos, Irlanda y Alemania, y algunos de ellos (Stripe, fal y la red de Cloudflare) también tratan datos en otros países. Hemos comprobado los sistemas de protección de la información personal de esos países antes de usar a estos encargados.

13. Cambios y contacto

Si esta política cambia de forma sustancial, actualizamos la fecha de arriba y, cuando el cambio te afecta, lo indicamos en el sitio.

El responsable del tratamiento es IT Nest Limited, Office 3906, 39/F, The Center, 99 Queen’s Road Central, Central, Hong Kong (número de registro mercantil 77297048). Dudas, solicitudes o un asunto de protección de datos: [email protected].

Contacto de privacidad (para Corea, el departamento responsable de la privacidad y las reclamaciones): IT Nest Limited, equipo de privacidad, [email protected].

Cuando termina un plazo de conservación, o cuando nos pides borrar datos y ninguna ley nos obliga a conservarlos, los destruimos sin demora: los registros electrónicos se borran de forma que no puedan recuperarse y los registros en papel, si los hay, se trituran. Los datos que la ley nos obliga a conservar, como los registros de transacciones, se guardan separados de los demás datos, solo durante el plazo legal, y no se usan para nada más.

Si estás en Corea del Sur y necesitas ayuda ante una vulneración de tus derechos de privacidad, también puedes acudir a:

• Comité de Mediación de Conflictos sobre Información Personal: 1833-6972, www.kopico.go.kr
• Centro de Denuncias de Vulneraciones de la Información Personal (KISA): 118, privacy.kisa.or.kr
• Fiscalía Suprema, División de Investigación Cibernética: 1301, www.spo.go.kr
• Agencia Nacional de Policía de Corea (denuncias de ciberdelitos): 182, ecrm.police.go.kr