Política de Privacidad de MULYAI

Documento legal de la beta controlada.

POLÍTICA DE PRIVACIDAD DE MULYAI — ESPAÑOL
Versión: MULYAI-PRIVACY-v1.1-2026-09-25
Fecha de entrada en vigor: 25 de septiembre de 2026
Responsable del tratamiento: Gabriel Lagziel, Via Malaga 4, 20143 Milan, Italy
Contacto: gabriellagziel@gmail.com
Teléfono: +39 388 748 9687
1. RESUMEN
MULYAI está diseñado con un enfoque local-first. Tu Work Memory permanece en tu dispositivo. MULYAI no recibe por defecto el contenido sensible de tu trabajo.
El servicio central de MULYAI sí procesa datos personales limitados necesarios para registro/operación de la cuenta, seguridad del dispositivo/Control Plane, aceptación legal, soporte, telemetría de fiabilidad/valor del producto, entrega del sitio web y seguridad. Esta Política explica qué se procesa, por qué, durante cuánto tiempo se conserva, quién lo recibe y cuáles son tus derechos.
2. ALCANCE
Esta Política se aplica al sitio web de MULYAI, al flujo de registro/descarga de la beta abierta a nivel mundial, al Control Plane/backend central, a la telemetría de producto aprobada, a los canales de soporte/contacto, a Investor Wanted / Investor Access, al email de autenticación/servicio, a la entrega de artefactos de software/modelo y a los sistemas owner/admin. También explica el límite entre el tratamiento central y la Work Memory local en tu ordenador.
No autoriza el procesamiento de tu contenido de trabajo por LLM externos/en la nube en la beta actual. El razonamiento de IA por defecto es local. Un cambio futuro material —como IA en la nube que reciba contenido de trabajo, telemetría más amplia, tracking publicitario o uso empresarial para monitorizar empleados— requiere una nueva evaluación de privacidad/legal antes de activarse.
3. RESPONSABLE DEL TRATAMIENTO
Gabriel Lagziel
Via Malaga 4
20143 Milan, Italy
Email: gabriellagziel@gmail.com
Teléfono: +39 388 748 9687
4. INFORMACIÓN QUE RECOPILAMOS CENTRALMENTE
A. Registro / perfil del cliente
Obligatorio: nombre completo, correo electrónico, país, confirmación de tener al menos 18 años y aceptación legal.
Opcional: teléfono, ciudad, profesión/área, situación laboral, nombre de empresa.
Condicional: si seleccionas “empleado por una empresa”, si utilizarás MULYAI para trabajo relacionado con ese empleador.
También creamos un Customer ID interno y registros de cuenta/estado necesarios para operar la beta.
B. Evidencia de aceptación legal
Conservamos evidencia mínima del estado legal presentado/aceptado: referencia interna del cliente, fecha y hora de aceptación, versión aceptada de los Términos Beta, versión de Privacidad, idioma/contexto y hecho de aceptación/confirmación de mayoría de edad cuando sea necesario.
C. Datos de cliente/dispositivo y autorización
La beta utiliza un Device/Install ID generado por el producto asociado a un Customer ID seudónimo, además de información acotada de credenciales/clave pública/fingerprint del dispositivo y estado de autorización de cuenta/dispositivo. No utilizamos fingerprinting invasivo de hardware como modelo canónico de identidad.
D. Telemetría de producto/valor/salud compatible con la privacidad
MULYAI puede enviar una instantánea acumulativa agregada localmente por cliente/dispositivo registrado y por día local. El esquema aprobado se limita a app/build/versión/canal; tiempo acumulado de observación/ejecución; recuentos de Patterns y Skills; Agents propuestos, cualificados y activos; ejecuciones y Verified Results; Time Returned verificado; Value Returned agregado y verificado cuando exista un cálculo documentado; y campos acotados de salud del producto/dispositivo y códigos de salud permitidos.
La telemetría se asocia con un Customer ID seudónimo + Device/Install ID generado por el producto. Los campos directos del perfil como nombre, email, teléfono o empresa no se incluyen en la carga útil de telemetría.
El esquema prohíbe contenido de trabajo de texto libre, metadatos arbitrarios y descripciones semánticas de lo que haces.
E. Soporte/contacto
El flujo estándar recoge email de respuesta + mensaje. Si se necesitan diagnósticos, los solicitamos por separado para que puedas decidir qué enviar. Los diagnósticos no deben agruparse automáticamente con Work Memory. No envíes contraseñas, claves privadas, credenciales ni datos sensibles innecesarios.
F. Datos de sitio web / servidor / seguridad
Cuando utilizas el sitio/backend, los proveedores de infraestructura pueden procesar información técnica ordinaria necesaria para prestar y proteger el servicio, como dirección IP, timestamps, metadatos de solicitudes/rutas, información del navegador/user-agent y eventos de seguridad/rate-limit.
G. Evidencia de administración/seguridad
Los registros de acceso privilegiado y auditoría de seguridad pueden contener identidad del administrador, referencias de acción/objetivo, timestamps y metadatos de seguridad acotados. Estos registros no deben contener tu Work Memory ni semántica privada del trabajo.
H. Datos de release/descarga/entrega de modelo
Podemos procesar versión/canal de release, identificadores/hashes/estado de firma de artefactos, grants/tokens de descarga acotados y estado de update/release necesarios para suministrar y proteger la beta. Los artefactos compartidos de software/modelo pueden almacenarse en Cloudflare R2. El bucket R2 actual de MULYAI es privado y está configurado en la ubicación Cloudflare Eastern Europe (EEUR).
I. Investor Wanted / Investor Access
Si solicitas acceso a materiales privados para inversores, podemos recopilar nombre, email, company/fund opcional, URL de LinkedIn opcional, nota opcional, estado de verificación del email, estado de acceso/revocación, información de autenticación/sesión y metadatos acotados de seguridad/auditoría. Investor Access es independiente del registro como cliente beta y se utiliza para evaluar, proporcionar y proteger el acceso privado para inversores.
J. Autenticación y email de servicio
Procesamos la dirección de email y metadatos acotados de entrega/autenticación necesarios para enviar confirmaciones, sign-in, seguridad, descarga, avisos necesarios de servicio/legales y soporte iniciado por el usuario. La política actual es service-only: los emails de registro no se utilizan para newsletters, ventas ni marketing promocional.
5. DATOS QUE PERMANECEN LOCALES POR DEFECTO
La Work Memory de MULYAI y el contexto sustantivo del trabajo observado permanecen por defecto en tu dispositivo. En la beta actual de Windows, la Work Memory está cifrada localmente con SQLCipher y el material de la clave está protegido para el usuario actual de Windows mediante Windows DPAPI.
Los sistemas centrales de MULYAI no deben recibir mediante la telemetría beta normal contenido de Work Memory; nombres de archivos/rutas; contenido de documentos/texto extraído; prompts o mensajes privados; capturas de pantalla/píxeles; contenido del portapapeles; datos completos de pulsaciones/keylogging; historial del navegador/URL; contenido de cuentas/aplicaciones; nombres de Pattern/Skill/Agent o semántica de tareas; autoridad de ejecución local; contraseñas, API keys o claves privadas.
MULYAI puede procesar esta información localmente en tu ordenador como parte de la función de asistente personal. El procesamiento local sigue sujeto a controles del usuario, IA local y controles locales de eliminación/restablecimiento tal como estén realmente implementados. El proveedor no recibe centralmente estos datos por defecto.
6. FINALIDADES Y BASES JURÍDICAS
Registro del cliente/cuenta/descarga/prestación del servicio: RGPD art. 6(1)(b), medidas/contrato necesarios para proporcionar la beta, además del art. 6(1)(c) cuando exista una obligación legal específica.
Evidencia de aceptación/versión legal: art. 6(1)(f), interés legítimo en demostrar el estado contractual/legal y defender reclamaciones, y art. 6(1)(c) cuando corresponda.
Seguridad, autenticación, autorización de cuenta/dispositivo, prevención de abusos y auditoría: art. 6(1)(f), intereses legítimos en proteger usuarios/servicio y, cuando corresponda, art. 6(1)(c).
Telemetría de producto/valor/salud: art. 6(1)(f), intereses legítimos en fiabilidad, soporte, operación del producto y verificación de si MULYAI devuelve valor, equilibrados mediante agregación local, una instantánea diaria, allowlist estricta, ausencia de semántica de trabajo, retención limitada y mecanismo de oposición cuando sea aplicable el artículo 21.
Información opcional de profesión/empleo/empresa: art. 6(1)(f) para investigación limitada de cliente/producto y comprensión GTM, con recopilación opcional y transparente. No es necesaria para proporcionar MULYAI ni constituye consentimiento general de marketing.
Soporte: art. 6(1)(b) y/o art. 6(1)(f), según la solicitud.
Email de autenticación/servicio: art. 6(1)(b), art. 6(1)(f) y/o art. 6(1)(c), según corresponda, para operación de la cuenta, seguridad, comunicaciones necesarias de servicio/legales y soporte.
Solicitudes Investor Access y seguridad de la private investor room: art. 6(1)(f), interés legítimo en responder a solicitudes, gestionar relaciones con inversores y proteger materiales no públicos; el art. 6(1)(b) también puede aplicarse cuando el tratamiento sea necesario para medidas precontractuales solicitadas.
El marketing directo no queda autorizado por el reconocimiento/aceptación de Términos y Privacidad. La beta actual no utiliza los emails de registro para marketing promocional.
7. POR QUÉ LA TELEMETRÍA NO ES VIGILANCIA DEL TRABAJO
Necesitamos datos centrales limitados para saber si el producto funciona correctamente, dar soporte a un dispositivo/cliente, comprender el rendimiento longitudinal de producto/valor y más adelante fundamentar una facturación de Agents aprobada. La monitorización evento por evento del trabajo no es necesaria para esas finalidades. Por eso la beta utiliza una instantánea diaria agregada localmente y prohíbe semántica de trabajo, nombres de archivos, contenido y telemetría de texto libre.
8. DESTINATARIOS / ENCARGADOS DEL TRATAMIENTO
La infraestructura conocida actualmente incluye:
- Supabase, Inc. — PostgreSQL gestionado, Storage, Auth y Edge Functions/backend de Control Plane. Región primaria verificada del proyecto MULYAI: eu-west-1 (Irlanda).
- Vercel, Inc. — alojamiento web, CDN/edge global, despliegue y capa same-origin de rewrite/proxy de API.
- Cloudflare, Inc. — almacenamiento/entrega privada R2 para artefactos compartidos de software/modelo. El bucket actual mulyai-releases está configurado en la ubicación Cloudflare Eastern Europe (EEUR); el acceso público y Public Development URL están deshabilitados.
- Resend — servicio de email transaccional/autenticación utilizado para el email de servicio de MULYAI.
- Amazon Web Services / Amazon SES — infraestructura de entrega de email utilizada por Resend para el correo transaccional de MULYAI.
- Google/Gmail — si la correspondencia de soporte/servicio se gestiona mediante la dirección Gmail publicada.
- GitHub — integración de código fuente/CI/despliegue; no está destinado a recibir Work Memory del cliente ni telemetría ordinaria de la aplicación.
La beta actual no aprueba OpenAI, Anthropic, Google Gemini ni otro LLM externo como encargado del tratamiento de tu Work Memory/contenido de trabajo.
No se aprueba ningún proveedor de crash analytics/session replay/publicidad para la beta actual. Stripe/procesamiento de pagos no está activo durante la beta gratuita.
9. TRANSFERENCIAS INTERNACIONALES
La región primaria del proyecto MULYAI en Supabase es Irlanda. Supabase es un proveedor con sede en EE. UU. y puede utilizar subencargados/soporte autorizados fuera del EEE sujetos a su DPA y salvaguardas de transferencia aplicables.
Vercel opera infraestructura distribuida globalmente y puede procesar datos de solicitudes en Estados Unidos y otras regiones.
El bucket Cloudflare R2 actual está configurado en la ubicación Eastern Europe (EEUR) de Cloudflare. Cloudflare puede seguir utilizando infraestructura corporativa/de soporte/subprocesadores globales sujeta a sus salvaguardas contractuales y de transferencia aplicables.
El email transaccional/autenticación se envía mediante Resend e infraestructura Amazon SES/AWS y puede implicar tratamiento fuera del EEE sujeto a las salvaguardas aplicables de los proveedores.
Cuando se transfieran datos personales del EEE a un país sin decisión de adecuación, deben aplicarse DPA, Cláusulas Contractuales Tipo u otra salvaguarda lícita del Capítulo V del RGPD. Minimizamos los datos transmitidos y mantenemos un registro de encargados/transferencias.
10. RETENCIÓN
No utilizamos un único período de retención para todo.
Perfil ordinario del cliente: se conserva mientras sea necesario para la relación de cuenta/beta; tras el cierre/eliminación de la cuenta, los campos ordinarios del perfil se eliminan del backend activo en un plazo de 30 días, salvo que una base legal/de seguridad específica exija conservarlos más tiempo.
Instantáneas diarias de telemetría: 12 meses móviles mientras sean atribuibles. Tras el cierre/eliminación de la cuenta, dentro de 30 días debemos romper irreversiblemente la vinculación entre Customer ID y Device/Install ID para que cualquier historial restante sea realmente anónimo. Si la anonimización irreversible no puede demostrarse, la telemetría afectada se elimina dentro de 30 días.
Evidencia de aceptación/versión legal: registro mínimo durante el período aplicable de reclamaciones/defensa. Para Italia, la regla operativa actual es 10 años después del cierre/eliminación de la cuenta, salvo que la ley aplicable exija otro período.
Investor Access: las solicitudes incompletas/abandonadas pueden eliminarse tras hasta 90 días de inactividad. Los datos de acceso aprobado se conservan mientras el acceso permanezca activo. Tras revocación/cierre, registros acotados de solicitud/acceso/seguridad pueden conservarse hasta 12 meses por motivos de seguridad, auditoría y defensa de reclamaciones, salvo legal hold o período obligatorio más largo.
Email de autenticación/servicio: el estado de cuenta/autenticación se conserva según sea necesario para la relación de cuenta y la seguridad. Los logs de entrega/proveedor siguen el ciclo operativo/proveedor documentado más corto razonablemente necesario para seguridad y troubleshooting y no se utilizan para marketing.
Soporte/contacto: los registros ordinarios cerrados se eliminan como máximo 90 días después del cierre, salvo legal/security hold específico; los diagnósticos enviados por el usuario solo se conservan durante el tiempo razonablemente necesario.
Logs operativos/de seguridad de servidor/CDN: el período práctico más corto; el objetivo de MULYAI es no más de 30 días para logs ordinarios, con retención más larga solo por una necesidad concreta de incidente/legal o un ciclo de vida inevitable del proveedor que quede documentado.
Artefactos R2 compartidos: los artefactos compartidos de software/modelo no son registros del perfil del cliente y pueden conservarse mientras sean necesarios para distribuir releases compatibles. Los metadatos acotados de grant/download están sujetos a las reglas aplicables de retención de cuenta/seguridad. Los Data Access Logs a nivel de objeto de R2 están actualmente deshabilitados.
Registros lógicos de acceso de administradores de sistema en Italia: un período congruo no inferior a seis meses; MULYAI utiliza seis meses como mínimo operativo de cumplimiento, salvo que otra regla o una investigación de seguridad/legal hold/necesidad de reclamaciones específica requiera más.
Facturación/impuestos: no están activos durante la beta gratuita. Si se activan, se aplican por separado las reglas legales de retención contable/fiscal.
Backups: la eliminación en sistemas activos debe propagarse a través del ciclo de vida documentado de backups. Las cuentas eliminadas no deben restaurarse para uso ordinario desde copias de seguridad; los datos restaurados deben volver a eliminarse/suprimirse antes del tratamiento normal.
11. CIERRE DE CUENTA Y WORK MEMORY LOCAL
Cerrar/eliminar tu cuenta de cliente revoca la autorización central de cuenta/dispositivo e inicia la eliminación/anonimización central conforme a las reglas anteriores. No elimina silenciosamente la Work Memory local de tu ordenador.
La Work Memory local permanece bajo control local del usuario. Utiliza los controles locales de eliminación/restablecimiento/desinstalación del producto si también quieres eliminar los datos locales. La revocación central comercial/de cuenta nunca debe utilizarse para retener como rehén la Work Memory local.
12. TUS DERECHOS RGPD
Sujeto a la legislación aplicable, puedes tener derecho a:
- acceder a datos personales e información sobre el tratamiento;
- corregir datos de perfil inexactos;
- eliminar datos personales cuando se aplique el derecho;
- limitar el tratamiento;
- oponerte al tratamiento basado en intereses legítimos;
- portabilidad de datos cuando sea aplicable el artículo 20;
- presentar una reclamación ante una autoridad de control competente, incluido el Garante italiano cuando corresponda.
Para ejercer un derecho, contacta con gabriellagziel@gmail.com o utiliza una vía disponible de privacidad dentro del producto/cuenta. Podemos verificar tu identidad de manera proporcionada. Normalmente respondemos sin demora indebida y dentro de un mes, sujeto a prórrogas legalmente permitidas.
Ante una oposición a telemetría/segmentación basada en interés legítimo, evaluaremos si existen motivos legítimos imperiosos que prevalezcan sobre la oposición o si debe detenerse el tratamiento. El marketing directo, si se introdujera, se detendría ante una oposición válida conforme a la ley aplicable.
13. DECISIONES AUTOMATIZADAS / PERFILADO
La beta aprobada no está destinada a tomar decisiones exclusivamente automatizadas que produzcan efectos jurídicos o de importancia similar sobre ti conforme al artículo 22 del RGPD. MULYAI puede aprender localmente trabajo recurrente y proponer automatización, pero la beta aprobada no es un sistema empresarial de puntuación de empleados/contratación/crédito/seguros/decisión sobre servicios esenciales. Si esto cambia, el modelo de privacidad/legal debe reabrirse antes de la activación.
14. SEGURIDAD
El diseño actual de la beta utiliza minimización de datos, TLS, acceso controlado al backend, identidad administrativa separada/mínimo privilegio, identificadores seudónimos, IA local, allowlists estrictas de telemetría y evidencia de auditoría.
En la beta actual de Windows, la Work Memory está cifrada localmente mediante SQLCipher y el material de la clave está protegido para el usuario actual de Windows mediante Windows DPAPI. La Work Memory y la semántica privada del trabajo se mantienen deliberadamente fuera del sistema central por defecto.
El instalador beta actual de Windows puede carecer de firma Authenticode. MULYAI comunica ese estado antes de la descarga y no presenta el instalador como firmado. Siguen siendo obligatorios los controles de integridad/versión y la entrega segura; la firma de código debe revisarse antes de una distribución general/de pago más amplia.
Ningún sistema de seguridad es perfecto. Si se produce una violación de datos personales, MULYAI sigue su runbook de incidentes/brechas y los requisitos de notificación aplicables, incluida la comunicación a la autoridad y a los usuarios cuando corresponda.
15. COOKIES / LOCAL STORAGE / TRACKING
Política beta aprobada: únicamente almacenamiento estrictamente necesario/funcional; sin Google Analytics, Meta Pixel, píxeles publicitarios, retargeting, session replay, heatmaps ni behavioral advertising profiling.
El almacenamiento de sitio/navegador identificado actualmente incluye:
- clave localStorage “mulyai-language” para preferencia de idioma;
- sessionStorage para el token actual de Investor Access durante la sesión del navegador;
- cookie de refresh de Investor denominada “mulyaiInvestorRefresh” con atributos HttpOnly, Secure, SameSite=Lax y Max-Age de 30 días.
La infraestructura de autenticación/seguridad también puede utilizar mecanismos técnicos estrictamente necesarios para prestar el servicio solicitado.
La homepage actual en vivo de mulyai.com no carga Google Fonts desde fonts.googleapis.com/fonts.gstatic.com.
Según las directrices del Garante italiano, no se requiere un banner de consentimiento únicamente por cookies/storage técnicos o estrictamente necesarios; sigue siendo necesaria información transparente. Si posteriormente se añaden tracking no esencial o tecnologías de marketing, se bloquearán/estarán sujetas a las reglas de consentimiento aplicables.
16. MENORES
La beta abierta es para adultos de 18 años o más. No ofrecemos intencionadamente el registro beta a menores ni recopilamos fecha de nacimiento. Si sabemos que una cuenta se creó incumpliendo el requisito de edad, podemos cerrarla y tratar los datos conforme a la ley aplicable.
17. INFORMACIÓN DEL EMPLEADOR / TERCEROS
Si utilizas MULYAI para trabajo relacionado con un empleador, eres responsable de contar con los derechos/permisos necesarios para el uso local. MULYAI no contacta por defecto con tu empleador y no recibe centralmente por defecto el contenido sustantivo de tu trabajo. Esto no elimina las propias obligaciones de MULYAI respecto de los datos que realmente recibe.
18. TRANSPARENCIA DE IA
MULYAI es un sistema de IA. En la beta utiliza IA local para aprender/razonar sobre trabajo recurrente y está destinado a asistencia personal de productividad/trabajo.
Cuando los usuarios interactúan directamente con funcionalidad de IA, MULYAI debe dejar clara la naturaleza de IA de la interacción cuando no sea ya evidente por las circunstancias. MULYAI mantiene medidas proporcionadas de AI literacy adecuadas a su contexto de operación/uso.
La beta no se ofrece para puntuación/evaluación de rendimiento de empleados, ranking de contratación, análisis biométrico/emocional, elegibilidad de crédito/seguros/servicios esenciales, decisiones policiales/migratorias/judiciales u otros fines automatizados de alto impacto. Si esto cambia, el modelo de privacidad/legal debe reabrirse antes de la activación.
19. CAMBIOS
Los cambios materiales en categorías de datos, finalidades, IA en la nube, telemetría, encargados, tracking, tratamiento Investor Access o arquitectura de ejecución/control requieren una privacy impact review y, cuando corresponda, una Política actualizada antes de activarse.
Las revisiones legales materiales reciben una nueva versión/fecha de entrada en vigor y una nueva aceptación cuando sea necesario. Las versiones ya aceptadas y su evidencia se conservan y no se sobrescriben silenciosamente.
20. IDIOMA
Esta Política está destinada a estar alineada por versión en inglés, italiano, hebreo y español. Para usuarios en Italia, la versión italiana prevalece en caso de conflicto en la medida permitida por la ley; fuera de Italia, el inglés es la versión de referencia salvo que la legislación local obligatoria exija otra cosa.
21. AUTORIDAD DE CONTROL
Puedes presentar una reclamación ante una autoridad competente de protección de datos. En Italia: Garante per la protezione dei dati personali. La información oficial actual de contacto/reclamación está disponible en el sitio web del Garante.
© 2026 Gabriel Lagziel. Todos los derechos reservados.
.