Política de Privacidad

En FlirtMaster tu privacidad no es una declaración: es una decisión de arquitectura. Servidores en Alemania, embeddings self-hosted, mensajes nunca compartidos con terceros para entrenamiento. Esta política explica qué datos tratamos, por qué, durante cuánto tiempo y cómo ejercer tus derechos.

1. Quién es responsable de tus datos

El responsable es Codelabs Studio, S.L. (CIF B88708797), con domicilio en Paseo Federico García Lorca 6, 3.º E, 29130 Alhaurín de la Torre (Málaga, España), titular de las marcas Memchats y FlirtMaster, con email de contacto hola@memchats.com. Para asuntos de protección de datos, escribe a dpo@memchats.com.

FlirtMaster es la edición de citas de Memchats: el mismo servicio, del mismo responsable, con su propia marca y funciones de mejora de tu perfil. Las dos ediciones comparten la cuenta única de Codelabs Studio (la misma con la que entras en AvatarSuite, AudioMap y el resto de productos de la empresa), así que esta política vale igual para ambas.

2. Qué datos tratamos

2.1 Datos de cuenta

• Email, nombre y el identificador de tu cuenta en nuestro servidor de identidad (Keycloak, alojado por nosotros)
• Idioma de la aplicación, deducido de tu navegador al darte de alta y modificable
• Plan de suscripción y estado de facturación
• Si declaras ser mayor de edad para usar Citas, la fecha en que lo declaraste

Entrar con Google o con Apple. Si eliges uno de estos proveedores, él te autentica y nos envía tu email, tu nombre si lo compartes y un identificador de tu cuenta en ese proveedor. Nunca recibimos tu contraseña, tus contactos ni otros datos de tu cuenta de Google o Apple. Apple te permite ocultar tu email: en ese caso recibimos una dirección de reenvío de Apple. Google y Apple tratan ese inicio de sesión como responsables independientes, según sus propias políticas. Si ya tenías una cuenta con el mismo email y el proveedor lo da por verificado, las vinculamos para que sigas teniendo una sola cuenta con todos tus datos; no se vincula nunca por un email no verificado.

2.2 Conversaciones que tú importas y memoria

Cuando importas un export de WhatsApp, Telegram, email, capturas de pantalla o notas de voz, almacenamos:

• Texto plano de los mensajes, almacenado en nuestra base de datos en servidor dedicado de acceso restringido (sin cifrado de disco)
• Metadatos: timestamps, sender (alias), canal de origen
• Embeddings vectoriales (representación matemática) calculados localmente con bge-m3 self-hosted
• Memoria estructurada derivada (rasgos, compromisos, eventos timeline) generada por LLMs
• Los ficheros originales (exportaciones, capturas, audios) en Cloudflare R2, cifrados en reposo por el proveedor

2.3 Citas: tus propios datos

• Tu perfil de voz: cómo escribes (tonos, idiomas, lo que nunca dirías, las correcciones que haces a los mensajes propuestos). Sirve para que los mensajes que te sugerimos suenen a ti
• Los mensajes sugeridos y la red social donde conoces a cada persona

2.4 Análisis de tu propio perfil de citas (solo FlirtMaster)

En FlirtMaster puedes subir capturas de tu propio perfil de una app de citas y tu descripción para recibir una crítica y versiones reescritas. Las capturas se envían al modelo de lenguaje para analizarlas y no se guardan. Guardamos solo el último resultado (la crítica y las reescrituras), que se sustituye cada vez que repites el análisis. En Memchats esta función no existe.

2.5 Fotos de perfil generadas a partir de las tuyas (solo FlirtMaster)

Cuando esta función esté disponible, podrás subir fotos tuyas para que las mejoremos y generemos fotos nuevas de ti en distintas escenas. Solo se admiten fotos de ti mismo y solo si tienes 18 años o más. La base jurídica es tu consentimiento explícito (artículo 6.1.a del RGPD), que das aceptando un texto concreto antes de subir nada (versión 2026-09-24.profile-self-adult-2; si lo aceptaste antes con la versión anterior, sigue siendo válido hasta el 30 de noviembre de 2026); guardamos ese texto, su versión, la fecha, y la IP y el navegador desde los que lo aceptaste, como prueba. Puedes retirarlo en cualquier momento pidiendo el borrado de tus fotos: se borran tus fotos originales, todo lo generado a partir de ellas y sus variantes, y la declaración se conserva revocada y sin IP ni navegador.

El procesamiento lo hace AvatarSuite, otro producto de Codelabs Studio: no es un tercero, es la misma empresa. Tus fotos no son datos biométricos del artículo 9 RGPD: no extraemos ninguna plantilla facial de ellas ni las usamos para identificarte a ti ni a nadie (considerando 51 del RGPD, que reserva esa categoría a las imágenes tratadas con medios técnicos específicos de identificación unívoca); sirven solo para generar fotos nuevas tuyas. Aun así pedimos tu consentimiento explícito para esta función (artículo 6.1.a), con el texto descrito arriba. Las fotos generadas llevan en sus metadatos una marca que dice que están hechas con inteligencia artificial.

2.6 Notificaciones

• El identificador de tu dispositivo para enviarte notificaciones push (Firebase Cloud Messaging y, en iPhone, Apple Push Notification Service)
• Si usas Citas, un aviso diario de conversaciones que se enfrían (como mucho uno al día, a las 19:00 de Madrid). Es discreto por diseño: dice solo cuántas conversaciones esperan tu respuesta, sin nombres, sin redes y sin contenido, para que nadie que vea tu pantalla bloqueada sepa de quién se trata

2.7 Datos de uso

• Logs de errores via Sentry (sin contenido de mensajes; solo stack traces)
• Eventos de producto (registro, mejora de plan, qué plan, qué vertiente de Alma), sin contenido
• Si usas el teclado de FlirtMaster, eventos técnicos del teclado (sin el texto que escribes), que se borran a los 90 días

2.8 La demo

Puedes probar FlirtMaster sin registrarte. La demo usa datos ficticios que sembramos nosotros, no guarda nada que escribas y la sesión se borra entera a las 24 horas. Para evitar abusos limitamos cuántas demos se abren desde una misma conexión, para lo que usamos tu dirección IP de forma transitoria.

2.9 Conectar FlirtMaster a otras herramientas (MCP y API)

Si creas una clave de API y conectas FlirtMaster a un asistente externo (por ejemplo, un cliente MCP), los datos que ese asistente pida viajan a él porque tú lo decides. Ese proveedor no es encargado nuestro: trata esos datos según sus propias condiciones. Las fotos de las personas de Citas no se entregan nunca por esta vía.

Si pasas a otro producto de Codelabs Studio desde FlirtMaster (por ejemplo, de Memchats a FlirtMaster o a AudioMap), te llevamos con la sesión abierta mediante un enlace firmado que contiene tu identificador de cuenta y tu email, caduca en 60 segundos y solo se puede usar una vez.

3. Datos de terceros (importante)

3.1 Las personas de tus conversaciones

Cuando importas un chat con María, María no firmó consentimiento. FlirtMaster trata estos datos como uso personal análogo a un diario:

• Los datos de la contraparte quedan bajo tu cuenta: no se comparten con otras cuentas ni se usan para entrenar modelos
• Tú ves un alias estable ("contacto-1a2b" o el nombre que tú asignes), no los datos identificativos crudos
• Los ficheros originales que subes quedan bajo tu cuenta en Cloudflare R2, cifrados en reposo por el proveedor, y nunca se procesan sin tu acción explícita
• Si una persona aparece en tu chat y solicita borrado de sus datos en FlirtMaster vía dpo@memchats.com, lo procesamos en 30 días

3.2 Las personas que guardas en Citas

En Citas subes capturas de los perfiles públicos de personas que conoces en apps de citas (Tinder, Bumble, Badoo…) y de tus conversaciones con ellas. De esas capturas extraemos y guardamos, solo en tu cuenta:

• Su nick y la red donde la conociste, con el historial de redes por las que ha pasado la conversación
• Lo que su perfil dice de ella: edad, distancia, lugar que declara, si vive allí o está de paso, qué busca, si tiene o quiere hijos, idiomas, su descripción e intereses
• Recortes de las fotos de su perfil, con una breve descripción de lo que se ve, para que puedas recordarla
• Los mensajes que os habéis escrito, como en cualquier otra conversación

Para qué: para que recuerdes a cada persona y escribas mejor, con tu voz. Base jurídica: interés legítimo (artículo 6.1.f del RGPD), el tuyo en organizar tu propia vida social y el nuestro en prestarte el servicio, ponderado frente a los derechos de esas personas; puedes pedir la ponderación completa en dpo@memchats.com. Las garantías que la equilibran son estas, y están en el código, no solo en esta página:

• Nunca se usan para entrenar modelos, nunca se indexan en buscadores, nunca se comparten con otras cuentas ni se venden
• No aparecen en tus listas ni búsquedas generales: solo en la sección de Citas, para que nadie las vea si enseñas la app
• Las fotos no tienen ninguna URL pública: se sirven solo a tu sesión, comprobando en cada petición que son tuyas
• Se guardan mientras esa persona siga en tu cuenta. Al borrar la persona o tu cuenta se borran en cascada su ficha, su historial, sus fotos y los ficheros de las fotos en el almacenamiento
• No se deben subir datos de categorías especiales (salud, orientación sexual, religión…) más allá de lo que la persona publica en su propio perfil, ni perfiles de menores de edad: lo prohíben nuestros términos

No podemos avisar a cada una de estas personas porque no tenemos sus datos de contacto (artículo 14.5.b del RGPD): esta sección es la información pública de este tratamiento. Si crees que tus datos están en FlirtMaster, escribe a dpo@memchats.com indicando tu nick y la red (y, si puedes, una captura de tu perfil). Buscaremos en todas las cuentas y, si te encontramos, borraremos tu ficha y tus fotos. Atendemos tu oposición (artículo 21) sin pedirte más justificación, en el plazo máximo de un mes.

4. Para qué usamos los datos y con qué base jurídica

• Prestarte el servicio (tu cuenta, tus conversaciones, tu memoria, Citas, las sugerencias, las notificaciones): ejecución del contrato (artículo 6.1.b)
• Datos de terceros en tus conversaciones y en Citas: interés legítimo (artículo 6.1.f), ver el apartado 3
• Mejora del producto: análisis agregado y anonimizado de uso (ej: "qué % de las consultas a Alma son de la vertiente legal"): interés legítimo
• Seguridad: detectar abusos, fraude, infracciones; registrar errores: interés legítimo
• Fotos de perfil generadas (FlirtMaster) y cookie de marketing: tu consentimiento (artículo 6.1.a), que puedes retirar cuando quieras
• Facturación: obligación legal (artículo 6.1.c) de conservar las facturas
• Comunicación: emails transaccionales (welcome, password reset, alertas) y, opcionalmente, newsletter (opt-in)

Nunca usamos tus datos para entrenar modelos de IA. Nunca los vendemos. Nunca los compartimos con anunciantes. No tomamos decisiones automatizadas con efectos jurídicos sobre ti (artículo 22): los análisis y sugerencias son propuestas que tú decides usar o no.

5. Con quién compartimos datos

Solo con los proveedores que necesitamos para prestar el servicio, que tratan los datos por cuenta nuestra y con contrato de encargo. Lo que alojamos nosotros (base de datos, colas, embeddings, correo, identidad, analítica y la pasarela que enruta las llamadas a los modelos) está en servidores de Hetzner en Alemania.

• Hetzner Online GmbH (Alemania): servidor dedicado con la base de datos Postgres, Redis, los procesos de trabajo, Keycloak, el correo (Mailcow) y la analítica (Plausible)
• Google (Gemini, vía Google AI o Vertex AI): el modelo de lenguaje que escribe las respuestas de Alma, lee las capturas y extrae las fichas de Citas. Google LLC está adherida al Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de 10 de julio de 2023)
• Firebase Cloud Messaging (Google): entrega de notificaciones push. Misma base de transferencia que el punto anterior
• Apple (Apple Push Notification Service): entrega de notificaciones en iPhone. Apple ofrece cláusulas contractuales tipo de la Comisión Europea para estas transferencias
• Cloudflare R2: almacenamiento de los ficheros originales y de las fotos de Citas, cifrados en reposo, en la región de Cloudflare de Europa Occidental. Esa región no lleva la garantía contractual de jurisdicción UE de Cloudflare, así que la transferencia se cubre con su adhesión al Marco de Privacidad de Datos UE-EE. UU. y con cláusulas contractuales tipo
• Stripe (Stripe Payments Europe, Irlanda): procesamiento de pagos. No tenemos acceso a tu tarjeta. Las transferencias a Stripe en EE. UU. se cubren con las cláusulas contractuales tipo de su acuerdo de tratamiento
• Sentry (Functional Software, Inc., EE. UU.): registro de errores sin contenido de mensajes. Adherida al Marco de Privacidad de Datos UE-EE. UU.
• Transcripción de notas de voz: la hace AudioMap, otro producto de Codelabs Studio, con un modelo propio en Alemania o con AssemblyAI en su región de la UE
• Generación de fotos de perfil (solo FlirtMaster, cuando esté disponible): AvatarSuite, de Codelabs Studio, encarga la generación a un proveedor de modelos de imagen en EE. UU. (Replicate, Inc.). Esta función no se activará hasta que esa transferencia esté cubierta por cláusulas contractuales tipo

Google y Apple, cuando los usas para iniciar sesión, actúan como responsables independientes y no como encargados nuestros. Lista resumida también en /security.

6. RGPD y DPA (Acuerdo de Procesamiento de Datos)

Si eres empresa o procesas datos de empleados/clientes con FlirtMaster, podemos firmar un DPA específico. Solicítalo en dpo@memchats.com con asunto "DPA request".

7. Tus derechos

Bajo RGPD tienes derecho a:

• Acceder: pedir copia de tus datos. Desde Ajustes puedes descargarla tú mismo en formato JSON estructurado
• Rectificar: corregir datos incorrectos
• Borrar: solicitar eliminación completa. Desde Ajustes el borrado se programa y se ejecuta 30 días después; durante esos 30 días puedes entrar y cancelarlo, y la cuenta funciona con normalidad. Más detalle en borrado de datos
• Portabilidad: exportar tus datos a otro servicio
• Oposición: oponerte a los tratamientos basados en interés legítimo
• Limitación: pedir que dejemos de tratar tus datos mientras se resuelve una reclamación
• Retirar tu consentimiento, cuando sea la base del tratamiento, sin que afecte a lo hecho antes
• Reclamación: ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid, www.aepd.es) o la autoridad de control de tu país

Para ejercer estos derechos: dpo@memchats.com, desde el email de tu cuenta. Respondemos en un mes como máximo. Si la petición llega desde otro email, podemos pedirte que confirmes que la cuenta es tuya.

8. Retención

• Cuenta activa: mientras la cuenta exista
• Cuenta cancelada: 30 días de gracia, luego eliminación de la base de datos activa y de los ficheros almacenados
• Borrado pedido desde Ajustes: la cuenta se purga 30 días después de la petición, no en el momento. Ese plazo existe para que puedas arrepentirte: cancelarlo antes de que venza deja la cuenta y la suscripción exactamente como estaban
• Personas de Citas y sus fotos: mientras sigan en tu cuenta; se borran al borrar a la persona o la cuenta
• Análisis de tu propio perfil (FlirtMaster): solo el último, hasta que lo repitas o borres la cuenta. Las capturas no se guardan
• Fotos de perfil y lo generado con ellas (FlirtMaster): hasta que retires el consentimiento o borres la cuenta
• Sesiones de demo: 24 horas
• Eventos del teclado: 90 días
• Copias de seguridad: hasta 45 días. Una cuenta eliminada desaparece de la base de datos activa en el plazo indicado, pero puede permanecer en copias de seguridad ya realizadas hasta que estas rotan. No se restauran para otro fin que recuperar el servicio ante un incidente
• Logs operativos: 90 días
• Datos de facturación: 6 años (obligación fiscal española)

9. Cookies

Usamos sólo cookies estrictamente necesarias:

• next-auth.session-token: sesión autenticada (HttpOnly, Secure, SameSite=Lax)
• NEXT_LOCALE: el idioma en el que quieres ver la aplicación
• cl_consent: tu elección sobre cookies y la fecha en que la tomaste, para que el servidor pueda obedecerla y para poder demostrarla (180 días)

No usamos Google Analytics, Facebook Pixel, ni herramientas similares, y no construimos ningún perfil de comportamiento. Sí medimos audiencia con Plausible, que alojamos nosotros en la Unión Europea (analytics.codelabs.studio): cuenta visitas y páginas vistas, no pone ninguna cookie, no te sigue entre sitios web y no guarda nada que permita identificarte. Por eso no te pedimos permiso para ello. Las otras métricas que recogemos son las de errores y rendimiento de Sentry, ya listadas arriba.

Existe además una cookie de marketing, cl_attr, que registra de dónde vino tu visita (origen, medio, campaña, página de aterrizaje y, si llegas desde un anuncio, el identificador de clic de la plataforma) durante 90 días. La pone FlirtMaster desde su propio dominio, nunca un tercero, y se guarda únicamente si aceptas marketing: jamás antes de que lo hagas. FlirtMaster todavía no muestra banner de cookies, así que hoy no se guarda ninguna.

Retirar mi consentimiento

10. Edad mínima

FlirtMaster no está dirigido a menores de 16 años. No recopilamos conscientemente datos de menores. Si descubrimos que un menor ha creado cuenta, la eliminamos inmediatamente.

Citas, y FlirtMaster entero, es solo para mayores de 18 años. Antes de usarlo por primera vez te pedimos que lo declares, y guardamos la fecha. Tampoco se pueden guardar en Citas perfiles de menores de edad.

11. Cambios a esta política

Si cambiamos materialmente esta política, te avisaremos por email con 30 días de antelación y publicaremos el changelog en /changelog. La fecha de "última actualización" arriba siempre indica la versión vigente.

12. Contacto

Email general: hola@memchats.com
Privacidad: dpo@memchats.com
Soporte: hola@memchats.com