Code Ahead Lda (que opera VULK en vulk.dev) es el responsable del tratamiento de la información personal recopilada a través del Servicio. Esta página resume cómo cumplimos el Reglamento General de Protección de Datos de la UE (Reglamento (UE) 2016/679, "RGPD").
1. ¿Quién es el responsable del tratamiento?
Code Ahead Lda, sociedad de responsabilidad limitada registrada en Portugal con NIF 519071948 y domicilio social en Vila do Conde. Para cualquier comunicación relacionada con privacidad:
- Usa el formulario de contacto con el tema "Privacidad / DPO"
- Correo postal: Code Ahead Lda, Vila do Conde, Portugal
2. Bases jurídicas del tratamiento
Nos basamos en las siguientes bases jurídicas del artículo 6:
- Contrato (art. 6(1)(b)) — para prestar el servicio en el que te registras (cuenta, generación, facturación, despliegue).
- Consentimiento (art. 6(1)(a)) — para emails de marketing, cookies no esenciales y seguimiento analítico.
- Obligación legal (art. 6(1)(c)) — para la facturación fiscal (conservación de 7 años según la legislación portuguesa) y la respuesta a solicitudes legales.
- Intereses legítimos (art. 6(1)(f)) — prevención del fraude, seguridad del servicio y analítica de producto que no identifica a personas.
3. Qué recopilamos
- Datos de cuenta — email, nombre, hash de contraseña (Argon2id), identificadores OAuth.
- Datos de facturación — nombre, país, método de pago (tokenizado por Stripe; nunca vemos los números de tarjeta).
- Datos de proyecto — prompts, archivos fuente generados, despliegues, créditos de uso.
- Datos técnicos — IP, agente de usuario, huella del dispositivo (limitada), marcas de tiempo de sesión.
4. Tus derechos conforme al RGPD
Tienes los siguientes derechos, que puedes ejercer gratis:
- Artículo 15 — derecho de acceso: descargar una copia de todos los datos personales que conservamos.
- Artículo 16 — derecho de rectificación: corregir datos inexactos.
- Artículo 17 — derecho de supresión («derecho al olvido»): eliminar tu cuenta y los datos asociados, salvo obligaciones de conservación.
- Artículo 18 — derecho a la limitación del tratamiento: suspender el tratamiento mientras una disputa esté pendiente de resolución.
- Artículo 20 — derecho a la portabilidad: exportar tus datos en un formato legible por máquina (JSON).
- Artículo 21 — derecho de oposición: oponerte al marketing o a tratamientos de perfilado.
- Artículo 22 — Decisiones automatizadas: no te sometemos a decisiones basadas únicamente en tratamientos automatizados que produzcan efectos legales o similares de importancia.
- Artículo 77 — Presentar una reclamación: ante tu autoridad de control. En Portugal: CNPD.
Respondemos a las solicitudes verificadas de ejercicio de derechos en un plazo de 30 días. También puedes gestionar la mayoría de tus datos desde la configuración de tu cuenta.
5. Subencargados del tratamiento
Trabajamos con estos subencargados. Todos han firmado con nosotros un acuerdo de tratamiento de datos (DPA):
| Proveedor | Finalidad | Región |
|---|---|---|
| AWS RDS | Base de datos principal (PostgreSQL 16) | UE (Fráncfort) |
| Hetzner | Servidores de la aplicación y vistas previas de proyectos | UE (Falkenstein, Alemania) |
| Cloudflare | CDN, DDoS, Workers, almacenamiento de objetos R2 | Procesamiento global; jurisdicción R2: predeterminada (sin restricción a la UE) |
| Stripe | Facturación de suscripciones + 3DS | EE. UU. / UE |
| OpenRouter | Pasarela de modelos de IA | EE. UU. |
| Vertex AI (Google) | Inferencia de la familia Gemini | Regiones de la UE cuando estén disponibles |
| Anthropic | Inferencia de Claude | EE. UU. |
| OpenAI | Inferencia de la familia GPT-5 | EE. UU. |
| Replicate | Generación de imagen y vídeo | EE. UU. |
| Tencent Cloud | Generación de modelos 3D | Singapur |
| Resend | Email transaccional | EE. UU. |
| Sentry | Monitorización de errores (con eliminación de datos personales identificables) | UE (almacenamiento de datos) |
| Google Analytics 4 | Analítica del sitio (Consent Mode: sin cookies sin consentimiento) | EE. UU. |
| Microsoft Clarity | Grabaciones de sesión y mapas de calor en vulk.dev, solo tras el consentimiento | EE. UU. |
| Meta | Medición de conversiones de anuncios (Pixel solo tras el consentimiento; Conversions API en el registro y el pago) | EE. UU. |
Para transferencias fuera de la UE, usamos las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea. La lista de subencargados se actualiza al menos una vez al año; las incorporaciones relevantes se anuncian por email.
6. Transferencias internacionales
La infraestructura principal está alojada en la UE. Cuando se realizan transferencias a países fuera de la UE (por ejemplo, inferencia de IA en endpoints de OpenAI/Anthropic en EE. UU.), se protegen mediante SCC y, cuando están disponibles, certificaciones del Marco de Privacidad de Datos UE-EE. UU. La generación de modelos 3D se ejecuta en Tencent Cloud en Singapur, con las mismas garantías.
7. Acuerdo de tratamiento de datos (DPA)
Los clientes de Business y Enterprise pueden firmar un DPA que refleje lo dispuesto en el artículo 28(3) del RGPD. Solicítalo a través del formulario de contacto con el tema "Ventas / Enterprise".
8. Notificación de brechas
En caso de una brecha de datos personales que pueda suponer un riesgo para tus derechos, notificaremos a la autoridad de control en un plazo de 72 horas y a los usuarios afectados sin demora indebida (artículos 33 y 34 del RGPD).
9. Menores
VULK no está dirigido a personas menores de 16 años. No tratamos datos de menores de forma consciente. Si crees que un menor se ha registrado, contáctanos de inmediato y eliminaremos la cuenta.
10. Cambios
Los cambios sustanciales en esta declaración del RGPD se comunicarán por email al menos 14 días antes de que entren en vigor. La versión más reciente estará siempre en /gdpr.