Política de privacidad

Última actualización 30 de octubre de 2026. Esta es la versión completa. Nada importante está oculto en letra pequeña.

1. Quién es responsable

El titular y operador del servicio de hellojames.io es Golan Europe S.L. ("nosotros"), el responsable del tratamiento de datos a efectos del Reglamento General de Protección de Datos de la UE (RGPD).

Protremix Technology Limited desarrolla y mantiene el software para nosotros y actúa como nuestro encargado del tratamiento, únicamente conforme a nuestras instrucciones por escrito. Encontrará más datos de la empresa en la página de aviso legal.

Para cualquier cuestión sobre sus datos, escriba a legal@hellojames.io.

Contacto para cualquier cosa en esta página: privacy@hellojames.io. Para notificaciones legales: legal@hellojames.io.

2. De quién son los datos

Normalmente hay dos personas distintas implicadas, y tienen derechos distintos.

• El titular de la cuenta. A menudo una hija o un hijo adulto, un cónyuge, una persona cuidadora o una persona trabajadora social que configura el servicio y lo paga.
• La persona que habla con James. A veces es la misma persona, a menudo no. Todo en esta política se aplica a esa persona como titular de los datos por derecho propio, con independencia de quién esté pagando.

Si está configurando James para otra persona, nos está diciendo que tiene la capacidad para hacerlo y que se lo dirá. James también se lo dice él mismo: en la primera conversación dice que es una inteligencia artificial, quién lo configuró y pregunta si está bien hablar. Si dicen que no, se detiene. Su negativa prevalece sobre los deseos del titular de la cuenta.

3. Qué recogemos

Lo que no recogemos

• No hay grabaciones de audio. El habla se procesa en directo y nunca se escribe en un archivo en nuestros sistemas.
• No hay huella de voz ni identificación biométrica de la persona que habla con un amigo.
• No hay números de tarjetas de pago. Los pagos los gestiona Stripe en su propia página de pago. El número de la tarjeta va directamente a Stripe y nunca llega a nuestros servidores.
• No hay identificadores publicitarios, ni píxeles de seguimiento, ni analíticas de terceros, ni botones de redes sociales.
• No hay solicitudes a Google Fonts ni a ningún otro servicio de fuentes. Nuestras fuentes están alojadas en nuestro propio servidor.

Cómo contamos las visitas sin rastrear a nadie

Queremos saber si el sitio está ayudando a las personas, por ejemplo cuántas personas han probado hoy la demostración. Lo hacemos con un contador sencillo en nuestro propio servidor. Cuando ocurre uno de estos pasos, un total diario aumenta en uno: se abrió la página de inicio, se pulsó «Probar ahora», empezó una demostración, una demostración duró dos minutos o más, se envió un enlace de inicio de sesión, alguien inició sesión, se creó un compañero, se pagó una suscripción.

Eso es todo lo que almacena: la fecha, el paso y una cifra. No almacena ninguna dirección IP, ninguna cookie, ninguna huella digital del dispositivo ni identificadores de ningún tipo, por lo que no puede saber quién es usted ni vincular un paso con otro. No se envía nada a ninguna empresa externa de analítica.

4. Cookies

Utilizamos una sola cookie, y únicamente para mantener su sesión iniciada. Se llama «js», es estrictamente necesaria y se elimina cuando cierra la sesión o al cabo de 7 días. También guardamos algunos pequeños ajustes en el almacenamiento local de su navegador, como el idioma que eligió y el hecho de que ya ha visto nuestro aviso de cookies. Estos ajustes nunca salen de su dispositivo.

No utilizamos cookies de seguimiento, ni cookies de analítica, ni cookies publicitarias. Como la única cookie que utilizamos es estrictamente necesaria, la ley no nos exige pedir su consentimiento. Nuestro breve aviso simplemente le informa de ella.

Si llega a través del enlace de invitación de un amigo, una segunda cookie, «jref», guarda su breve código de invitación durante 30 días para que la invitación cuente cuando cree una cuenta. No contiene nada sobre usted. Quien le invitó solo ve que un amigo se ha unido o ha pagado, con su correo abreviado, nunca su nombre ni nada de lo que le haya contado a James.

Cuando paga, se le lleva a la página de pago de Stripe en checkout.stripe.com. Allí Stripe instala sus propias cookies, para seguridad y prevención del fraude, conforme a la política de cookies de la propia Stripe. Se instalan en el sitio web de Stripe, no en el nuestro.

La lista completa, con cada nombre y el tiempo que se conserva cada una, está en la página de cookies.

5. Datos de salud y de crisis, Artículo 9

Conversaciones como estas tocan de forma inevitable la salud, el estado mental y a veces pensamientos sobre morir. En el artículo 9 del RGPD esto es datos de categoría especial y necesita fundamentos más sólidos que los datos personales ordinarios.

Lo tratamos solo sobre la base de consentimiento explícito separado, que usted da durante la configuración en una pantalla que dice para qué es. No está escondido dentro de una aceptación general de términos. Puede retirarlo en cualquier momento, y retirarlo significa que borramos esas notas.

Qué hacemos con ello: ajustar cómo habla James y dejar que decida si contactar a la persona de la familia que indicó. Qué no hacemos nunca con ello: venderlo, compartirlo con aseguradoras o empleadores, o usarlo para crear perfiles para nada que no sea esta conversación.

6. Bases legales

El contador de visitas descrito en la sección 3 no almacena datos personales, por lo que no necesita ninguna base jurídica conforme al RGPD. Para contar una visita, el servidor lee la solicitud durante un instante y después la olvida; durante ese instante, la base jurídica es nuestro interés legítimo en saber cuántas personas utilizan el sitio (artículo 6(1)(f) del RGPD).

7. Dónde están sus datos y quién más los toca

El texto de la conversación, la memoria, los perfiles y las notas se almacenan en nuestro propio servidor en Helsinki, Finlandia, dentro de la Unión Europea. Es una máquina dedicada, no un alojamiento compartido, proporcionada por Hetzner Online GmbH como nuestro encargado de infraestructura. Para almacenamiento, estos datos no salen de la UE.

Encargados que usamos

Estas son las únicas terceras partes que reciben alguno de sus datos, cada una para un fin concreto, cada una bajo un acuerdo de tratamiento de datos.

Stripe también es responsable por derecho propio de una parte de lo que hace con los datos de pago, por ejemplo la prevención del fraude y el cumplimiento de la normativa financiera. Esa parte se describe en la política de privacidad de la propia Stripe, en stripe.com/privacy.

Fuentes públicas de las que James lee

Cuando James busca algo en el mundo real, consulta servicios públicos abiertos. Estos reciben solo la consulta, nunca quién pregunta, y nunca nada de la conversación más allá del propio término de búsqueda.

• OpenStreetMap (Nominatim y Overpass), para encontrar una clínica, farmacia o biblioteca cercana. Recibe una zona aproximada, no una identidad.
• Open Library y Wikisource, para libros y poemas.
• TheMealDB, para recetas.
• Brave Search y DuckDuckGo (búsqueda web), Wikipedia y Wikidata, fuentes públicas de noticias, la base de datos de medicamentos openFDA y Open Food Facts, para preguntas sobre el mundo. Solo reciben las palabras de búsqueda.

Usamos estas a propósito en lugar de dejar que un modelo de lenguaje invente una respuesta. Una dirección de clínica inventada dada a alguien que necesita un médico no es un error menor.

8. Cuánto tiempo lo conservamos

• Conversaciones y memoria: mientras la cuenta esté activa. La memoria es el producto; borrarla después de treinta días significaría que James se olvida de la persona, que es lo único que no debe hacer.
• Después de que cancele: 30 días, luego borrado permanente. Este margen existe para que una cancelación por error, o una disputa familiar, no destruya años de memoria de forma irreversible.
• Ante una solicitud de eliminación: las borramos sin esperar, normalmente en un plazo de 72 horas.
• Registros técnicos: 90 días.
• Registros de facturación: durante el tiempo que exija la normativa fiscal y contable española, que en general es de hasta seis años.
• Contador de visitas: solo totales diarios, sin nada personal, por lo que no hay nada sobre usted que eliminar.
• En OpenAI: según sus condiciones estándar de API, el contenido puede conservarse hasta 30 días para la supervisión de abusos y luego se borra.

9. Sus derechos

Según el RGPD puede pedirnos que:

• Le enseñemos todo que tenemos, en un archivo legible (Artículos 15 y 20)
• Corregir cualquier cosa que esté mal (Artículo 16). James también tiene esto incorporado: la persona puede decirle que tiene una memoria equivocada, y él la quita. Estar seguro de algo equivocado sobre la propia vida de alguien es dañino, no solo inexacto
• Eliminar todo (Artículo 17)
• Restringir u oponerse al tratamiento (Artículos 18 y 21)
• Retirar el consentimiento para las notas de salud y crisis en cualquier momento (Artículo 7(3))

Escriba a privacy@hellojames.io. Respondemos en un plazo de 30 días y normalmente mucho antes. No hay ningún coste.

Si considera que hemos tratado mal sus datos, puede presentar una reclamación ante la autoridad de protección de datos del país en el que vive o trabaja. Como somos una empresa española, nuestra autoridad principal es la Agencia Española de Protección de Datos (www.aepd.es).

Cómo eliminar su cuenta y todos sus datos, paso a paso: hellojames.io/delete-account.

10. Decisiones automatizadas

James decide por sí mismo si una situación es lo bastante grave como para enviar un mensaje al familiar que usted indicó. Se lo decimos claramente porque es una decisión automatizada que afecta a una persona real.

Lo que puede hacer: enviar el mensaje que usted autorizó, al contacto que dio, y decir en voz alta el número de emergencias. Lo que no puede hacer: llamar a los servicios de emergencia en su nombre, contactar a nadie que usted no haya indicado, ni tomar ninguna decisión sobre dinero, medicación o cuidados. Si un mensaje no se envía, James lo dice en voz alta en lugar de dejar que nadie crea que la ayuda viene en camino.

11. Niños

El servicio se puede configurar para un niño, y la cuenta debe entonces estar a nombre de un padre o tutor legal, que da el consentimiento según el Artículo 8. No creamos a sabiendas cuentas para niños por su cuenta. Si cree que un niño tiene una cuenta sin tutor, escriba a privacy@hellojames.io y la eliminaremos.

La aplicación James en Google Play es para adultos (18+). Un James para un niño solo puede configurarse en el sitio web, por un padre o tutor legal.

12. Seguridad

Resumido aquí, descrito por completo en la página de seguridad: conexiones cifradas solo, cada base de datos cifrada en reposo con SQLCipher, cada persona accesible por su propio enlace privado, sin audio en reposo, acceso al servidor limitado a administración con claves, y una prueba automática en cada cambio de código que confirma que la memoria de una persona no se puede alcanzar desde el enlace de otra.

No vendemos sus conversaciones, no las compartimos con terceros para sus propios fines, y no las usamos para entrenar ningún modelo. La única excepción que no podemos prometer que no ocurra: si un tribunal o una autoridad competente obliga a revelarlas en virtud de la ley, debemos cumplir. Eso es así para toda empresa en la UE, y preferimos escribirlo aquí antes que dejar que usted suponga otra cosa.

13. Si algo sale mal

Si hay una brecha de datos personales que pone a personas en riesgo, notificamos a la autoridad de control correspondiente en un plazo de 72 horas y se lo contamos directamente a las personas afectadas, con palabras sencillas, incluyendo qué se llevó y qué hacer al respecto.

14. Cambios

Si cambiamos esta política de una forma que importa, enviaremos un correo electrónico a las personas con cuenta antes de que entre en vigor, no después. La fecha de arriba siempre refleja la versión actual.