Política de privacidad

Quiénes somos

CarFlex Studio lo opera Nobiliti S.A.S., una sociedad colombiana, NIT 902.081.249-5, inscrita en la Cámara de Comercio de Cartagena, con domicilio en Calle 30 #20-145, Pie de la Popa, Cartagena de Indias, Bolívar, Colombia. Puedes escribirnos a info@carflexstudio.com.

En este producto conviven dos relaciones distintas, y importa en cuál estás. Frente al negocio que se suscribe, somos responsables del tratamiento de los datos de su cuenta. Frente a las fotografías de los clientes de ese negocio, el responsable es el negocio y nosotros actuamos por instrucción suya, como encargados: él decide a quién se le toma la foto, para qué y cuándo se borra.

Qué datos tratamos

• Del suscriptor: nombre, correo, teléfono, nombre del negocio y país, plan e historial de facturación. Los números de tarjeta nunca llegan hasta nosotros — mira Pagos, más abajo.
• De la persona fotografiada: la fotografía, las imágenes generadas a partir de ella y, si el negocio la escribe, una etiqueta de texto libre para volver a encontrar el proyecto. Opcionalmente una marca de género, usada sólo para redactar la instrucción que se le manda al modelo.
• Datos técnicos: dirección IP, dispositivo y navegador, y los registros de eventos necesarios para operar y asegurar el servicio, incluidas las imágenes generadas y el consumo de cada cuenta.

No pedimos ni guardamos historias talleres, diagnósticos, documentos de identidad ni datos de tarjetas. CarFlex Studio no es un sistema de historia taller y no guarda historia de ningún cliente.

Con qué fundamento los tratamos

Para prestar el servicio que contrataste, facturarlo, mantenerlo seguro y disponible, cumplir obligaciones tributarias y contables y —sólo con tu autorización previa, y sólo con el titular de la cuenta— escribirte sobre el producto. Bajo la Ley 1581 de 2012, el tratamiento de datos personales se apoya en la autorización del titular, y el negocio que usa CarFlex Studio es quien tiene que obtenerla de la persona fotografiada.

Las fotografías

Se guardan cifradas en un depósito privado. No son públicas: para ver una, la aplicación emite un enlace firmado que caduca solo. No las vendemos, no entrenamos nada con ellas y no le damos a nadie el derecho de hacerlo. El único tercero al que llegan es el proveedor de inteligencia artificial que hace la edición — mira la sección de más abajo, porque lo que ese proveedor puede hacer lo manda su contrato, no el nuestro.

El negocio puede borrar una edición o un proyecto entero cuando quiera. Borrar elimina también los archivos guardados, no sólo el registro en la base de datos.

Autorización de la persona fotografiada

Antes de generar, la aplicación le exige al profesional confirmar que tiene la autorización de la persona para tratar su imagen. Conseguir esa autorización, guardar prueba de ella y atender su revocatoria es responsabilidad del negocio, según la Ley 1581 de 2012 y sus decretos reglamentarios. Cada imagen que produce la plataforma queda marcada como una edición hecha con inteligencia artificial.

Pagos

Nuestra única pasarela de pago es Lemon Squeezy, que actúa como comerciante registrado: lleva el cobro, emite la factura y maneja los impuestos de venta de tu país. Los datos de la tarjeta se escriben en sus sistemas y nunca llegan a los nuestros — recibimos el resultado del pago, el monto y un identificador, y nada más. Las suscripciones se cobran en dólares estadounidenses.

Qué pueden hacer con una imagen los proveedores de IA

Para producir una edición, la fotografía tiene que salir de nuestros servidores y llegar a un proveedor de inteligencia artificial. Ese proveedor no está atado a esta política: está atado a sus propias condiciones, que escribe él, que puede cambiar y que puedes leer — cada una está enlazada en la lista de abajo. Lo que sigue es lo que esas condiciones permiten hoy, dicho sin rodeos.

• Procesan la imagen para responder la petición. De eso se trata: van la fotografía y la instrucción, vuelve la imagen editada.
• La guardan durante una ventana corta. Estos proveedores suelen retener lo que se les envía por un periodo limitado —del orden de treinta días— para investigar abusos y atender requerimientos legales, y después lo borran.
• Sistemas automáticos de seguridad la inspeccionan, y por eso algunas peticiones vuelven rechazadas. El contenido que esos sistemas marcan puede acabar revisado por una persona del proveedor.
• Pueden conservar datos agregados, sin contenido: cuántas peticiones, cuánto tardaron, si fallaron.
• El entrenamiento es la línea que no cruzamos. Las imágenes van sólo por las API empresariales de los proveedores, cuyas condiciones dicen que el contenido enviado no se usa para entrenar sus modelos. Las versiones gratuitas y de consumo de esos mismos productos suelen decir lo contrario, y la aplicación no las usa nunca.

Elegimos proveedores por esas condiciones y las volvemos a revisar, pero no podemos prometer en nombre de otro. Si un cliente no acepta que su fotografía la procese un tercero en el exterior, la respuesta honesta es no fotografiarlo: no existe una versión de este producto en la que la imagen se quede en tu local.

Quién más toca los datos

Nos apoyamos en los proveedores de abajo para operar el servicio. Cada uno recibe sólo lo que su función necesita, y ninguno está autorizado a usar tus datos para fines propios.

• Railway · Estados Unidos
  Alojamiento de la aplicación y la base de datos donde viven las cuentas, los planes y el registro de ediciones. Sus condiciones
• Cloudflare R2 · Estados Unidos / red global
  Almacenamiento cifrado de cada fotografía y de cada imagen generada. Sus condiciones
• Google (Gemini API) · Estados Unidos
  El modelo de IA que hace la edición. Recibe la fotografía y la instrucción, y devuelve el resultado. Sus condiciones
• OpenAI · Estados Unidos
  Proveedor de IA alterno, para cuando el principal rechaza la petición o falla. Sus condiciones
• Anthropic · Estados Unidos
  Proveedor de IA alterno, para cuando el principal rechaza la petición o falla. Sus condiciones
• fal.ai · Estados Unidos
  Proveedor de IA alterno, para cuando el principal no puede completar una edición. Sus condiciones
• Lemon Squeezy · Estados Unidos
  Nuestra única pasarela de pago y comerciante registrado. Lleva el cobro, la factura y los impuestos de venta. Nosotros nunca recibimos ni guardamos números de tarjeta. Sus condiciones
• Resend · Estados Unidos
  Correo transaccional: verificación del alta, avisos de facturación y los envíos que el negocio le hace a su propio cliente. Sus condiciones
• Twilio · Estados Unidos
  Envío por WhatsApp, cuando el negocio lo activa. Recibe el número de quien recibe y el mensaje o la imagen que se manda. Sus condiciones
• Google Analytics · Search Console · Firebase · Estados Unidos
  Medición agregada del tráfico del sitio público y notificaciones push de la aplicación móvil. Ninguno recibe la fotografía de un cliente. Sus condiciones

Estos proveedores tratan datos fuera de Colombia, sobre todo en Estados Unidos. Los usamos porque ofrecen al menos el nivel de protección que exige la ley colombiana, y los contratamos bajo condiciones que los limitan a tratar los datos por instrucción nuestra.

Analítica y cookies

El sitio público mide tráfico agregado con Google Analytics y está registrado en Google Search Console. Ninguno de los dos tiene acceso a la aplicación ni a la fotografía de ningún cliente.

El sitio guarda en tu dispositivo dos preferencias pequeñas —el idioma y el tema claro u oscuro— y, cuando inicias sesión, el testigo de sesión que te mantiene dentro. No se escribe nada más en tu navegador, y nada de eso se usa para publicidad.

Cuánto tiempo los guardamos

Las fotografías y las ediciones viven mientras la cuenta las conserve: las borras cuando quieras y se van para siempre. Cuando se cierra una cuenta, borramos su contenido en un plazo de 30 días. Los registros de facturación —pagos y facturas— se guardan por el periodo que exige la ley tributaria, separados de tus fotografías y de tu contenido.

Tus derechos

Puedes conocer, actualizar, rectificar y suprimir tus datos, pedirnos prueba de la autorización otorgada y revocarla. Escribe a info@carflexstudio.com desde la dirección de la cuenta y respondemos dentro de los plazos legales: quince días hábiles para una consulta y quince para un reclamo, prorrogables una vez según la Ley 1581. Si eres la persona fotografiada y no el suscriptor, dirígete primero al negocio que tomó la foto: él decide sobre esa imagen y nosotros actuamos por instrucción suya.

Para cerrar una cuenta y borrar todo lo que hay en ella, mira Eliminar tu cuenta.

Seguridad

El tráfico viaja por TLS, las imágenes están en un depósito privado al que sólo se llega con enlaces firmados que caducan, las credenciales y las llaves de los proveedores se guardan cifradas, y cada cuenta ve únicamente sus propios datos. Ningún sistema es inmune: si alguna vez una brecha afecta tus datos, te lo diremos a ti y a la autoridad competente como exige la ley.

Menores de edad

El servicio es de uso profesional y para personas adultas. Generar ediciones a partir de fotografías de menores está prohibido por los términos y condiciones, y la cuenta que lo haga queda suspendida.

Cambios en esta política

Si la cambiamos, actualizamos la fecha de arriba y, cuando el cambio sea importante —un fin nuevo, un tipo de proveedor nuevo—, avisamos por correo a los titulares de las cuentas antes de que entre en vigor.