# Política de privacidad {#privacy-policy}

*En vigor desde el 6 de noviembre de 2026*

Esta política explica qué información recopila Hybermedia Co., Limited, con domicilio en Room A08, 2/F, Lee Ka Industrial Building, 8 Ng Fong Street, San Po Kong, Kowloon, Hong Kong, que presta el Servicio bajo el nombre Hyperouter (“Hyperouter”, “nosotros”), cuando usted usa hyperouter.app, la API de Hyperouter, Hyperouter Chat y Hyperouter Studio (el “Servicio”), cómo la usamos y qué opciones tiene usted. Somos responsables de esta información. Los pagos con tarjeta, cuando se ofrecen, los procesa Stripe, que recibe directamente los datos de su tarjeta conforme a su propia política de privacidad.

## 1. Resumen {#p1}

- Conservamos cifradas las entradas y salidas de cada solicitud durante 180 días para cumplir nuestras obligaciones legales. Solo las facilitamos a las autoridades que presenten un requerimiento legal válido. Nunca se usan para entrenar modelos, nunca se muestran en el panel y nunca se venden.
- No vendemos información personal y no usamos su contenido para entrenar modelos.
- Sus prompts se envían al proveedor de modelos que atiende cada solicitud. Usted controla qué proveedores pueden recibirlos.
- Conservamos los metadatos de las solicitudes (modelo, proveedor, número de tokens, coste, hora) para poder facturarle y mantener el Servicio en funcionamiento.

## 2. Información que recopilamos {#p2}

### Información que usted nos proporciona

- **Datos de cuenta y de contacto:** nombre, correo electrónico, empresa y todo lo que incluya al solicitar acceso o escribirnos.
- **Información de pago:** no operamos ningún procesador de pagos y no guardamos datos de tarjetas ni de monederos. Cuando paga una recarga, nos indica la referencia del pago en un ticket de soporte; nuestro equipo comprueba el pago y acredita su saldo, y la referencia, el importe y la comisión quedan anotados en el libro de créditos de su cuenta. Cualquier captura de pantalla del pago que adjunte al ticket se almacena junto con el ticket.

### Información recopilada automáticamente

- **Metadatos de las solicitudes:** marca de tiempo, ID de la clave de API, modelo, proveedor, número de tokens, coste, latencia, código de estado y el campo opcional `user` que usted envíe.
- **Datos técnicos:** dirección IP, user agent y encabezados de las solicitudes, que se usan para seguridad, prevención de abusos y limitación de velocidad.

## 3. Prompts y salidas {#p3}

Los prompts, los archivos y las salidas de los modelos pasan por nuestros sistemas para ser enrutados y devueltos. Para cumplir nuestras obligaciones legales, conservamos una copia de las entradas y salidas de cada solicitud durante 180 días; después se elimina automáticamente. Las entradas son la solicitud que usted envía, con sus prompts, los archivos que sube y los archivos que descargamos de los enlaces que usted indica para atenderla. Las salidas son la respuesta, en streaming o no, y las imágenes y vídeos generados para usted.

Esta copia se cifra antes de almacenarse. Solo la facilitamos a las autoridades que presenten un requerimiento legal válido, y solo los ingenieros que responden a ese requerimiento pueden leerla. Nunca se usa para entrenar modelos, nunca se muestra en el panel ni la devuelve la API, y nunca se vende.

Para atender una solicitud, enviamos su contenido al proveedor de modelos seleccionado para ella. Los proveedores lo procesan conforme a sus propios términos; algunos pueden retener datos durante un tiempo limitado para vigilar abusos.

## 4. Cómo usamos la información {#p4}

- para prestar, enrutar y facturar las solicitudes, y para mostrarle su consumo y su gasto;
- para emitir claves de API y responder a sus correos;
- para detectar y prevenir fraudes, abusos e incidentes de seguridad;
- para medir el rendimiento de los proveedores y mejorar el enrutamiento, usando solo metadatos;
- para enviar avisos del servicio, como cambios en estas políticas o en los precios;
- para cumplir obligaciones legales, fiscales y contables.

Cuando se aplica el RGPD, nos basamos en la ejecución de nuestro contrato con usted, en nuestros intereses legítimos para operar un servicio seguro y en el cumplimiento de obligaciones legales.

## 5. Con quién compartimos la información {#p5}

- **Proveedores de modelos,** que reciben el contenido de la solicitud necesario para atenderla.
- **Proveedores de servicios** que alojan nuestra infraestructura o envían correo en nuestro nombre, con contratos que limitan su uso de los datos.
- **Autoridades,** cuando la ley lo exija o para proteger los derechos, la seguridad o los bienes de nuestros usuarios o de terceros. La copia de sus entradas y salidas (sección 3) se facilita únicamente en respuesta a un requerimiento legal válido.
- **Un sucesor,** si Hyperouter participa en una fusión, adquisición o venta de activos, sujeto a esta política.

## 6. Conservación {#p6}

| Datos | Se conservan durante |
| --- | --- |
| Prompts, archivos y salidas | 180 días, cifrados, para cumplir obligaciones legales (sección 3) |
| Un prompt reescrito (`prompt_expand`), legible por la API | 30 días |
| Metadatos de las solicitudes | Tanto como el libro de créditos: cada solicitud es el registro de facturación de su cargo |
| Libro de créditos y referencias de pago | Lo que exija la normativa fiscal y contable, normalmente 7 años |
| Registros de inicio de sesión y de sesiones (IP, user agent) | 90 días |
| Registro de auditoría de los cambios en su cuenta, claves y créditos, con la IP de origen | No se elimina: es el registro permanente de quién cambió qué |
| Tickets de soporte y sus archivos adjuntos | No se eliminan, tampoco tras cerrar la cuenta: son el registro de lo que se pidió, se pagó y se reembolsó |
| Correos de solicitud de acceso | Hasta que se cierre la solicitud, más 12 meses |

### Cierre de su cuenta

Puede cerrar su cuenta usted mismo en la página Account del panel. El cierre surte efecto de inmediato y no se puede deshacer.

- **De inmediato:** todas las claves de API, tokens de acceso al panel y sesiones dejan de funcionar, y sus endpoints de webhook se desactivan. Las solicitudes que ya estén en curso terminan y se cobran como de costumbre. Nadie podrá volver a iniciar sesión en la cuenta.
- **Se eliminan cuando no queda nada pendiente en ninguna dirección:** sus inicios de sesión vinculados de Google y GitHub, passkeys, aplicación de autenticación, códigos de recuperación, registro de inicio de sesión y sesiones se eliminan, y el nombre, el correo electrónico y la foto de perfil de la cuenta se sustituyen por valores genéricos. Si no queda crédito y no hay ninguna solicitud en curso, esto ocurre al cerrar la cuenta.
- **Si queda crédito,** lo reembolsamos descontando la comisión por recarga, como establecen los Términos, y le escribimos al correo de su cuenta para gestionar el reembolso. La eliminación anterior se realiza una vez hecho el reembolso; hasta entonces conservamos su correo electrónico para poder contactarle.
- **Se conservan:** el libro de créditos, los metadatos de las solicitudes, los tickets de soporte y el registro de auditoría permanecen durante los plazos de la tabla anterior, vinculados al ID de la cuenta y no a su nombre ni correo. La copia cifrada de las entradas y salidas se elimina 180 días después de cada solicitud (sección 3), esté o no cerrada la cuenta.

## 7. Seguridad {#p7}

El tráfico hacia el Servicio se cifra en tránsito con TLS. Las claves de API se almacenan con hash. La copia de sus entradas y salidas se cifra con AES-256 antes de almacenarse. El acceso a los sistemas de producción se limita al personal que lo necesita. Ningún sistema es perfectamente seguro; si tenemos conocimiento de una brecha que afecte a su información personal, se lo notificaremos conforme a la ley.

## 8. Sus derechos {#p8}

Según dónde resida, puede tener derecho a acceder a su información personal, rectificarla, eliminarla o exportarla, a oponerse a determinados tratamientos o limitarlos, y a retirar su consentimiento. Los residentes en California pueden solicitar que les informemos de lo que recopilamos y pedirnos que lo eliminemos; no vendemos ni compartimos información personal para publicidad conductual entre contextos.

Para presentar una solicitud, escriba a [account@hyperouter.app](mailto:account@hyperouter.app) desde la dirección de su cuenta. Responderemos en un plazo de 30 días. También puede presentar una reclamación ante la autoridad de protección de datos de su país.

## 9. Transferencias internacionales {#p9}

Nosotros y nuestros proveedores podemos tratar información en países distintos del suyo. Cuando sea necesario, aplicamos garantías adecuadas, como las Cláusulas Contractuales Tipo, para estas transferencias.

## 10. Cookies {#p10}

hyperouter.app no usa cookies publicitarias ni de analítica. El sitio carga fuentes desde Google Fonts, que recibe su dirección IP cuando lo visita. Las áreas con sesión iniciada pueden usar cookies estrictamente necesarias para mantener su sesión.

## 11. Menores {#p11}

El Servicio no está dirigido a menores de 18 años y no recopilamos a sabiendas su información. Si cree que un menor nos ha facilitado información, contáctenos y la eliminaremos.

## 12. Cambios {#p12}

Podemos actualizar esta política. Publicaremos aquí la nueva versión con una nueva fecha de entrada en vigor y, si los cambios son sustanciales, lo notificaremos por correo electrónico a los titulares de cuentas antes de que entren en vigor.

## 13. Contacto {#p13}

Preguntas o solicitudes sobre privacidad: [account@hyperouter.app](mailto:account@hyperouter.app).