GerarAI
Iniciar sesión

Política de privacidad

Última revisión editorial: 27 de octubre de 2026.

Este texto es informativo y no constituye asesoramiento jurídico.

1. Responsable del tratamiento

2. Qué datos tratamos

Datos de cuenta (email, nombre, país y preferencias de inversión que decidas facilitar), datos de cartera y operaciones, tesis, claims y evidencia, watchlist, reglas y alertas, documentos que subas y su metadata, notas y memoria de investigación, y mensajes que envíes al asistente. También registramos telemetría técnica del chat (ruta, modelo, latencia y, temporalmente, la pregunta) para operar y mejorar el servicio.

No pedimos datos de salud, ideología, religión ni datos biométricos. No vendemos datos personales. El tratamiento que hagan los proveedores de IA depende de sus condiciones y de la configuración elegida.

3. Finalidades y base jurídica

  • Prestar el servicio que solicitas (cuenta, cartera, tesis, watchlist, alertas, documentos y asistente): ejecución del contrato.
  • Proteger la cuenta, prevenir abusos y operar y mejorar el servicio (incluida la telemetría técnica del chat): interés legítimo.
  • Cumplir obligaciones legales: obligación legal.

4. Proveedores y subencargados

El servicio se apoya en los siguientes proveedores:

  • Modelos de lenguaje: OpenCode (modelos DeepSeek), Groq, Google (Gemini) y OpenRouter, según la configuración de proveedores. Intervienen en las funciones con IA y reciben el contexto enviado por esas funciones, que puede incluir datos de investigación y de cartera.
  • Proveedores de datos de mercado: Finnhub, Financial Modeling Prep, Yahoo Finance, SEC EDGAR, CNMV, FRED, GDELT, CelesTrak y otras fuentes gratuitas configuradas. Estas consultas se hacen por ticker y no incluyen tus datos personales.
  • Hosting y bases de datos: Vercel (frontend, con las funciones en la región de Fráncfort, fra1), Oracle Cloud (servidor del motor de datos en la región eu-madrid-1, Madrid, España), MongoDB Atlas (cuentas y datos auxiliares) y PostgreSQL en el propio servidor.
  • Almacenamiento y búsqueda: MinIO o Garage (documentos), Qdrant (índice vectorial) y Redis (colas y caché), todos en el propio servidor.
  • Copias de seguridad: Cloudflare R2, cuando está configurado.
  • Correo saliente: SMTP para avisos y restablecimiento de contraseña, mediante el servidor SMTP configurado.

Regiones y transferencias internacionales: el frontend se ejecuta en la región de Fráncfort (fra1) de Vercel. Los proveedores de modelos de lenguaje y el resto de servicios externos pueden tratar datos fuera de la Unión Europea conforme a sus condiciones.

5. Conservación

  • Documentos financieros: por defecto 2.555 días (7 años), configurable con FINANCIAL_DOCUMENT_RETENTION_DAYS. La purga requiere activar la tarea de conservación y desactivar el modo de prueba sin borrado. Por defecto está apagada y en modo de prueba sin borrado; esos plazos no garantizan un borrado automático. Cuando se ejecuta la purga, se borran el original, los fragmentos y los vectores, y se conserva una referencia tombstone sin contenido para que las decisiones históricas sigan siendo auditables.
  • Preguntas crudas de telemetría del chat: por defecto 90 días, configurable con CHAT_TELEMETRY_RETENTION_DAYS.
  • Solicitudes de acceso: por defecto 365 días, configurable con ACCESS_REQUEST_RETENTION_DAYS; el borrado automático por TTL en MongoDB solo se activa si el operador lo habilita expresamente.
  • Copias de seguridad: el script local permite configurar cuántas conservar (8 por defecto); no es una garantía de ejecución. Además, cuando está configurada, una copia en Cloudflare R2 cuya caducidad fija la regla de expiración del bucket.

6. Tus derechos

Puedes solicitar acceso, rectificación, supresión, limitación, portabilidad y oposición. Desde /security puedes descargar una copia en JSON de tus datos estructurados y metadatos (perfil, cartera, tesis, claims y evidencia, watchlist, alertas, conocimiento, planes y ajustes) y borrar tu cuenta y todos sus datos. La exportación no incluye los archivos originales de los documentos que hayas subido: de cada documento solo viajan sus metadatos y el recuento de fragmentos. El borrado elimina PostgreSQL, documentos originales, vectores y sesiones; es irreversible.

También puedes reclamar ante la Agencia Española de Protección de Datos (AEPD, www.aepd.es).

7. Seguridad y código fuente

Aplicamos aislamiento por cuenta, autenticación firmada entre frontend y data engine, y restricciones de acceso a datos. Ningún sistema es infalible: si detectas un problema de seguridad, usa el canal de contacto indicado arriba.

El código de GerarAI se publica bajo la licencia AGPL-3.0. Puedes consultarlo en github.com/nicogarrr/gerarai. El código fuente correspondiente a la versión desplegada debe estar disponible para los usuarios del servicio.

8. Cambios

Podemos actualizar esta política para reflejar cambios legales o técnicos. La fecha de la última revisión y los cambios relevantes se publicarán en esta página.

Consulta también los términos de uso y la metodología.