Fecha de entrada en vigor: 2026-11-01

Política de privacidad

Codelabs Studio S.L. (CIF B88708797), con domicilio social en Pasaje Federico García Lorca, 6, 3º E, 29130 Alhaurín de la Torre (Málaga), España, inscrita en el Registro Mercantil de Málaga, hoja MA-198508, inscripción 1ª («Codelabs», «nosotros»), opera MemoryFirst (el «Servicio»). Esta Política de privacidad explica cómo recopilamos, usamos y protegemos la información personal cuando utilizas el Servicio. Somos responsables del tratamiento de los datos de cuenta y facturación, y encargados del tratamiento respecto al contenido que procesas en el Servicio («Datos del Workspace»).

1. Información que recopilamos

  • Datos de cuenta. Nombre, correo profesional, hash de contraseña o identificador OAuth, nombre de la organización.
  • Datos de facturación. Nombre de empresa, NIF/VAT, dirección de facturación, últimos 4 dígitos del medio de pago (Stripe custodia los datos completos de la tarjeta).
  • Datos del Workspace. Contenido que tú y tus agentes de IA ingiréis (documentos, transcripciones de voz, chats, fuentes web, eventos ops). Son Tus Datos; tú eres el propietario. Los tratamos bajo tus instrucciones conforme al DPA.
  • Datos de integración. Cuando conectas una herramienta de terceros (Notion, Drive, Gmail, Calendar, GitHub, etc.) recibimos tokens OAuth y el contenido que autorizas a la integración a leer. Los tokens se almacenan cifrados en reposo.
  • Datos de uso. Uso básico de funciones, registros de errores, métricas de rendimiento, utilizados para operar, proteger y mejorar el Servicio. Anonimizados a los 90 días.
  • Comunicaciones. Correos enviados a soporte, fundadores o direcciones comerciales.

2. Base jurídica (RGPD art. 6)

  • Ejecución del contrato (art. 6.1.b): prestación del Servicio al que te has suscrito.
  • Interés legítimo (art. 6.1.f): seguridad del Servicio, prevención de fraude y abuso, analítica anonimizada. Puedes oponerte en cualquier momento.
  • Consentimiento (art. 6.1.a): correos de marketing, cookies opcionales. Revocable en cualquier momento.
  • Obligación legal (art. 6.1.c): registros fiscales, solicitudes de acceso legítimas.
  • Análisis del uso del Servicio (art. 6.1.f, interés legítimo): cifras de actividad de tu cuenta, la navegación que no depende de cookies opcionales, las preguntas al chat de asistencia y las opiniones que nos envías. Puedes oponerte con un correo a privacy@memoryfirst.ai.
  • Analítica de navegación con PostHog (art. 6.1.a, consentimiento): solo si la aceptas en el banner de cookies, donde puedes retirarla en cualquier momento.

3. Cómo usamos tu información

  • Prestar, mantener, proteger y mejorar el Servicio.
  • Autenticarte y gestionar tu cuenta.
  • Facturarte y cumplir las obligaciones fiscales y contables.
  • Comunicarnos sobre el Servicio (transaccional). Marketing solo con consentimiento.
  • Cumplir las obligaciones legales y responder a solicitudes legítimas.

3 bis. Cómo analizamos el uso de MemoryFirst

Queremos entender qué falla y qué no explicamos bien. Para eso analizamos cómo se usa el Servicio: la navegación por las páginas públicas de la web, las preguntas al chat de asistencia de la web y las opiniones que nos envías. Las memorias, los eventos, los documentos, las fuentes conectadas y el texto de tus preguntas y de sus respuestas no forman parte de este análisis: de ellos solo usamos cifras de actividad (por ejemplo, cuántas preguntas haces y cuándo hiciste la última), nunca su contenido.

  • Navegación. Con tu consentimiento en la categoría Analítica del banner de cookies, que puedes retirar en cualquier momento, PostHog (región UE) registra de forma anónima cómo se navega por las páginas públicas, incluidas las de registro e inicio de sesión. No grabamos la sesión.
  • Panel de tu cuenta. Donde se ven tus memorias no registramos tu comportamiento ni grabamos ni capturamos la pantalla. Solo se cuentan páginas vistas de forma agregada, se registran errores técnicos y, si aceptaste la categoría Publicidad, el píxel de Meta recibe la dirección de la página, sin su contenido.
  • Opiniones. Guardamos el texto que nos escribes, la página desde la que lo envías, tu cuenta y, si nos lo das, tu correo. No admite notas de voz, capturas ni adjuntos. Si pegas ahí parte de una memoria, la leeremos porque nos la has enviado tú.
  • Sin decisiones automáticas. Este análisis no conlleva ninguna decisión automatizada que produzca efectos jurídicos sobre ti ni te afecte de forma similar: no cambia tu precio, tu plan ni tu acceso.
  • Oposición. Puedes oponerte al análisis basado en interés legítimo con un correo a privacy@memoryfirst.ai, sin dar explicaciones ni perder el Servicio.
  • Responsable. Codelabs Studio, S.L., PASAJE Federico García Lorca, 6, 3º E, 29130 Alhaurín de la Torre (Málaga).

4. Tratamiento de IA sobre Tus Datos

El Servicio usa modelos de IA para embeber, recuperar y razonar sobre los Datos del Workspace. Enrutamos los prompts a proveedores de LLM de terceros (Anthropic, OpenAI, Google, Mistral, Cerebras) mediante una pasarela, bajo los compromisos contractuales de no entrenamiento del proveedor. No entrenamos modelos compartidos con Tus Datos. Los clientes Enterprise pueden fijar el procesamiento a proveedores específicos o modelos autoalojados. La lista completa de subencargados está en /legal/dpa.

5. Compartición y subencargados

No vendemos datos personales. Solo compartimos datos con subencargados que operan bajo contratos escritos y obligaciones de protección de datos estándar de la UE. Los subencargados actuales figuran en el DPA e incluyen infraestructura cloud (Hetzner Online GmbH, Alemania), seguridad de borde (Cloudflare Inc., EE. UU., con CCE), pagos (Stripe Payments Europe Ltd., Irlanda) y los proveedores de LLM anteriores. Notificamos a los clientes con 30 días de antelación antes de añadir o sustituir un subencargado.

6. Transferencias internacionales

Los Datos del Workspace se almacenan en Alemania (UE) por defecto. Algunos subencargados están ubicados fuera del EEE. Las transferencias se apoyan en las Cláusulas Contractuales Estándar de la UE (CCE) (Decisión de la Comisión 2021/914) y, cuando procede, en medidas técnicas y organizativas adicionales (cifrado en tránsito y en reposo, seudonimización, controles de acceso). Los clientes Enterprise pueden fijar la residencia de datos a solo UE.

7. Seguridad

TLS 1.3 en tránsito. Cifrado AES-256 en reposo, claves por workspace. Aislamiento por cliente a nivel de base de datos mediante seguridad de fila. Claves API hasheadas con bcrypt (factor de coste 12). Copias de seguridad cifradas diarias con retención de 30 días. Prueba de penetración anual (prevista para el ejercicio 2026). Las vulnerabilidades pueden comunicarse a security@memoryfirst.ai; seguimos una política de divulgación responsable de 90 días.

8. Retención

  • Datos del Workspace: durante la vigencia de tu cuenta. Al cancelar, exportados a solicitud y eliminados permanentemente en 30 días.
  • Cuenta y facturación: durante la vigencia del contrato más el periodo de retención fiscal legal (6 años en España).
  • Registros y métricas: brutos 30 días; agregados anonimizados indefinidamente.
  • Correos de soporte: 24 meses desde la última interacción.

9. Tus derechos (RGPD arts. 15–22)

Tienes derecho a acceder, rectificar, suprimir, limitar u oponerte al tratamiento de tus datos personales, el derecho a la portabilidad y el derecho a no ser objeto de decisiones automatizadas con efectos jurídicos. Para ejercer cualquiera de estos derechos, escribe a privacy@memoryfirst.ai. Respondemos en 30 días. También puedes presentar una reclamación ante la autoridad supervisora nacional; en España, la AEPD ( aepd.es).

10. Cookies

Usamos cookies estrictamente necesarias (sesión de autenticación, idioma, tema y tu elección sobre cookies). Si aceptas la categoría Publicidad en el banner de cookies, además guardamos una cookie propia de atribución (cl_attr), que registra de dónde viene tu visita (origen, medio, campaña, página de entrada y, si llegas desde un anuncio, el identificador de clic de la plataforma) para medir qué canales nos dan a conocer, y cargamos el píxel de Meta (Meta Platforms Ireland Ltd.), que mide la eficacia de nuestra publicidad. Ninguna de las dos se activa antes de que aceptes ni si eliges "Solo esenciales", y puedes retirar tu consentimiento en cualquier momento desde "Configuración de cookies" en el pie de página. No usamos otras cookies de publicidad ni de seguimiento. Detalle: /legal/cookies.

10 bis. Chat de asistencia

Chat de asistencia con inteligencia artificial. El asistente del sitio funciona con AgenteUno, de la que somos clientes, y actúa como encargado del tratamiento. Hasta que lo abres y escribes no guarda nada en tu dispositivo. Cuando escribes, guardamos un identificador de sesión en el almacenamiento de sesión de tu navegador para mantener la conversación, y en los servidores de AgenteUno el texto de tus mensajes, las respuestas del asistente y la fecha y hora de la conversación, para poder responderte y mejorar la atención. Para generar las respuestas, el texto se envía a Cerebras Systems Inc. (EE. UU.), el proveedor de modelos de lenguaje que AgenteUno usa para este chat y que actúa como subencargado. Cerebras Systems Inc. no figura en la lista del Marco de Privacidad de Datos UE-EE. UU. (DPF): la transferencia se apoya en las cláusulas contractuales tipo (Decisión de Ejecución (UE) 2021/914) incorporadas a su contrato de encargado del tratamiento. Si usas la voz del asistente, el audio se procesa con Google Gemini Live (Google, EE. UU.), adherido al Marco de Privacidad de Datos UE-EE. UU. No escribas en ese chat datos que no quieras que guardemos (por ejemplo, datos de salud o de terceros). Las estadísticas de uso del chat (aperturas y mensajes) solo se miden si aceptas la categoría Analítica del banner de cookies. La base jurídica es nuestro interés legítimo en atender tu consulta (art. 6.1.f RGPD). Puedes pedir que borremos la conversación escribiendo a privacy@memoryfirst.ai.

11. Menores

El Servicio está destinado al uso en un contexto empresarial y no va dirigido a menores de 16 años. No recopilamos conscientemente datos personales de menores.

12. Cambios en esta política

Podemos actualizar esta Política periódicamente. Los cambios materiales se anunciarán por correo con al menos 30 días de antelación a su entrada en vigor. La fecha de entrada en vigor actual figura en la parte superior de esta página.

13. Contacto

Consultas sobre privacidad: privacy@memoryfirst.ai · Seguridad: security@memoryfirst.ai · Fundadores: founders@memoryfirst.ai.

Esta política se rige por las leyes de España. Si eres empresa o profesional, cualquier controversia se somete, con renuncia a cualquier otro fuero, a los Juzgados y Tribunales de Málaga (España). Si eres consumidor, será competente el fuero que determine la normativa imperativa aplicable y, solo donde la ley lo permita, los Juzgados y Tribunales de Málaga. Puedes reclamar ante la Agencia Española de Protección de Datos (AEPD, C/ Jorge Juan 6, 28001 Madrid).