Política de privacidad

Alcance

Esta política cubre la app de Apertura para macOS, la app de Apertura para Windows, los servicios de backend en api.notch-os.com y updates.notch-os.com, el gateway opcional de cuentas Ember en api.cabinhub.com.cn, y este sitio web. No cubre los servicios de terceros a los que tú mismo apuntes Apertura, como un endpoint de webhook que configures para la función antirrobo Guardian, ni un proveedor de tiempo o de IA al que llamemos en tu nombre según se describe más abajo.

Apertura está diseñada para mantener en tu dispositivo todo lo posible. Las secciones siguientes describen, en lenguaje llano, cada vía por la que los datos salen de tu equipo, sin dejar ninguna categoría sin documentar.

Activación de la licencia

Cuando activas una licencia (o inicias una sesión gratuita), la app envía una solicitud a api.notch-os.com que contiene:

• La clave de licencia que introdujiste (solo en el nivel de pago; las sesiones gratuitas usan un marcador generado, no una clave real).
• Una huella del dispositivo: un hash SHA-256 de un solo sentido. En Mac se calcula a partir del IOPlatformUUID de tu Mac, el identificador de paquete de la app y el identificador de modelo de tu Mac. En Windows se calcula a partir del MachineGuid del sistema más una clave de 32 bytes por instalación guardada en un almacén protegido por DPAPI, así que copiar un archivo a otra máquina no copia la identidad. Solo se envía este hash; los valores a partir de los que se construyó, no.
• Una etiqueta del dispositivo: en Mac, el nombre de tu equipo (p. ej. "MacBook Pro de Jordan"); en Windows, el nombre de host de tu PC.
• La versión de la app y la cadena de versión del sistema operativo.
• Solo en Mac, si tu dispositivo tiene Secure Enclave, una clave pública adicional que sirve para vincular criptográficamente una sesión de pago a ese dispositivo concreto. La clave privada correspondiente nunca sale del Secure Enclave.

Cada solicitud posterior al relay (chat, lista de dispositivos, desactivación) repite la huella del dispositivo para que el backend pueda reconocerlo, pero nunca vuelve a enviar la clave de licencia una vez completada la activación y emitido un token de sesión.

El token de sesión emitido tras la activación se guarda en el Keychain de macOS (Mac) o en el almacenamiento cifrado de credenciales de Windows (Windows), no en un archivo de texto plano.

No recopilamos tu nombre, correo electrónico, número de teléfono ni dirección de facturación como parte de la activación de la licencia. Si compras a través de un procesador de pagos, ese procesador (consulta Componentes de terceros) gestiona directamente tus datos de pago; nosotros solo recibimos la información necesaria para reconocer qué nivel de producto compraste.

Funciones de IA y el relay

Las funciones de IA de Apertura (chat, lectura de pantalla, macros del portapapeles, archivos adjuntos) funcionan de una de dos maneras, y en Ajustes puedes ver cuál está activa:

En el dispositivo

En macOS, "IA privada en el dispositivo" ejecuta el modelo localmente con MLX. Cuando está activada, tus mensajes se procesan por completo en tu equipo y nada de la conversación se envía a ningún sitio — incluidas las imágenes adjuntas, cuyos bytes se quedan en el Mac y solo salen como texto extraído localmente. Los archivos del modelo se descargan una sola vez desde artifacts.apertura.app contra un manifiesto firmado que lista el tamaño y el SHA-256 de cada archivo; esa descarga no transporta nada de tu contenido. En Windows hoy no hay modelo local, así que la IA en Windows funciona vía relay.

Asistida por relay

Cuando se selecciona la IA asistida por relay (el valor predeterminado en los niveles de pago, y disponible para el uso del nivel gratuito), tu conversación se envía a nuestro backend en api.notch-os.com, que la reenvía a un modelo de IA de respaldo para generar una respuesta. El backend enruta hacia más de un proveedor upstream y puede cambiar cuál atiende una solicitud, así que esta página no promete que una sola empresa nombrada vea tu mensaje. Lo que es fijo y comprobable es el camino: tu dispositivo habla solo con api.notch-os.com, y ese backend habla con el proveedor del modelo.

Qué se incluye cuando usas la IA asistida por relay:

• Los mensajes visibles de tu conversación actual (se envían con cada turno nuevo para que el modelo tenga contexto).
• El contenido que adjuntas de forma explícita: texto del portapapeles (solo cuando ejecutas una macro de IA del portapapeles, nunca de forma automática), texto de la pantalla capturado por funciones del tipo "Lee mi pantalla" (solo el texto extraído, no una imagen de captura) o texto extraído en local de un archivo o imagen que adjuntes. Los bytes de los archivos y las capturas de pantalla no se suben — solo el texto extraído de ellos en tu dispositivo. La única excepción es la ruta de imagen que se describe a continuación.

Lo que nuestro backend no hace con el contenido de la IA asistida por relay: no escribe tu mensaje ni la respuesta del modelo en una base de datos ni en un archivo de registro. Solo se registran los metadatos necesarios para la facturación y la prevención de abusos — la huella de tu dispositivo, un recuento de tokens, el nombre del modelo y tu nivel de plan, guardados en la tabla usage_log. Consulta Conservación y eliminación.

Por separado, si usas una herramienta de agente de IA que busca en la web o descarga una URL, esa solicitud va directamente desde tu dispositivo al proveedor de búsqueda o al sitio que pediste consultar — no pasa por nuestro relay y está sujeta a las prácticas de privacidad de ese proveedor.

El análisis visual de una imagen adjunta es un consentimiento aparte y revocable: mientras está activo, se envía al relay una copia reducida de la imagen para que el modelo la vea; mientras está desactivado, o mientras "IA privada en el dispositivo" está activada, solo se envía el texto extraído localmente de la imagen. La app indica cuál de los dos caminos se ejecutará antes de que envíes.

El tiempo

El módulo del tiempo funciona de forma distinta en cada plataforma:

• macOS: si concedes el permiso de ubicación, Apertura usa los servicios de localización de tu Mac (a nivel de ciudad, sin seguimiento preciso continuo) para obtener el tiempo directamente de Open-Meteo, un proveedor externo de datos meteorológicos, usando tus coordenadas. Si denegaste o no concediste el permiso de ubicación, Apertura recurre a estimar tu ubicación a partir de tu dirección IP mediante una consulta externa de geolocalización por IP. Los resultados del tiempo se guardan en caché en tu dispositivo y se actualizan aproximadamente cada 15 minutos.
• Windows: puedes escribir el nombre de una ciudad, que se envía al servicio de geocodificación de Open-Meteo para obtener las coordenadas, y con ellas se consulta la previsión. El panel del tiempo también ofrece "Usar ubicación actual": pide al servicio de ubicación integrado de Windows una posición puntual (no se usa ningún proveedor de geolocalización con clave como Google), redondea las coordenadas a dos decimales antes de cualquier llamada de red y mantiene la posición sin redondear solo en memoria. Si has desactivado la ubicación de Windows, no te localiza — pide a ipapi.co una estimación a nivel de ciudad etiquetada como aproximada, el mismo respaldo que usa el Mac. La ubicación que elijas se guarda en local en tu PC.

En ambos casos, las solicitudes del tiempo van directamente desde tu dispositivo a Open-Meteo (y, en Mac con la ubicación denegada, al servicio de geolocalización por IP); no pasan por el backend de Apertura y no llevan adjunto ningún identificador de dispositivo ni información de licencia.

Actualizaciones de software

Apertura busca actualizaciones automáticamente:

• macOS usa el actualizador de código abierto Sparkle y consulta updates.notch-os.com aproximadamente cada hora. Los paquetes de actualización están firmados criptográficamente y se verifican antes de instalarse.
• Windows usa la biblioteca electron-updater contra el mismo servidor de actualizaciones. Las actualizaciones se descargan automáticamente, pero no se instalan sin superar una comprobación de firma; la app no vuelve en silencio a una versión anterior.

Una comprobación de actualizaciones informa a nuestro servidor de la versión de tu app, el sistema operativo y la arquitectura para que pueda ofrecer el paquete correcto — es el comportamiento habitual de cualquier app de escritorio con actualización automática y no se vincula a tu licencia ni a la huella de tu dispositivo. Ambas bibliotecas envían además los metadatos HTTP habituales de cualquier cliente HTTP, incluida una cadena User-Agent; no hemos modificado ese comportamiento de la biblioteca.

En Windows, una actualización se verifica contra una huella de certificado fijada antes de instalarse. Una compilación distribuida sin certificado de firma no tiene entrada en esa lista permitida, así que su actualizador rechaza cualquier candidato en lugar de aceptar una descarga sin firmar.

Informes de fallos y analítica

Apertura no incluye ningún SDK de informes de fallos (como Sentry o Crashlytics) ni ningún SDK de analítica o seguimiento de uso (como Mixpanel, Amplitude, PostHog, Firebase o Google Analytics) en la app de macOS ni en la de Windows, y notch-os.com tampoco carga ningún script de analítica. No sabemos cuándo falla la app en tu equipo a menos que nos lo digas, y no hay grabación de sesiones, seguimiento de embudos ni balizas de uso de funciones.

El módulo Stats (información del sistema sobre CPU, memoria, GPU, temperatura, disco, batería y red) se ejecuta y guarda su historial por completo en tu dispositivo, para tu propia consulta. No se nos transmite. Si usas la función opcional de monitorización remota de flota para revisar tus otros equipos, esa conexión va directamente entre tus dispositivos (por ejemplo, a través de tu propia red Tailscale o tu configuración SSH) y nunca toca nuestros servidores.

Una función de red local comprueba periódicamente la dirección IP pública de tu dispositivo en un servicio de terceros (ipify.org), únicamente para mostrártela en el panel Stats; este valor no se envía a los servidores de Apertura.

Lista de espera de descargas

Los formularios «Avísame» de la página de descargas son opcionales y no usan ningún rastreador de terceros: la dirección que escribes va solo a api.notch-os.com, que guarda la dirección, la plataforma que elegiste y el momento en que abriste el enlace de confirmación que te enviamos (nada cuenta antes de ese clic), conserva los tokens de confirmación y de baja solo como hashes de un solo sentido, y usa tu dirección IP brevemente para limitar el ritmo de envíos; cada correo que enviamos lleva un enlace de baja que te quita de la lista, y un registro sin confirmar se descarta 30 días después de la vida de su enlace.

Qué se queda en tu dispositivo

Las siguientes funciones almacenan datos solo en tu dispositivo y nunca los transmiten a los servidores de Apertura durante el funcionamiento normal:

• Historial del portapapeles: se guarda en local. Solo se incluye en una solicitud de IA cuando ejecutas de forma explícita una acción de IA sobre él (consulta Funciones de IA y el relay); nunca se lee de forma automática ni en segundo plano.
• Notas: se guardan en local. El chat de IA puede escribir una nota cuando pulsas para guardar algo que encontró, pero nada lee tus notas existentes ni las envía a ningún sitio de forma automática.
• Capturas de pantalla: se capturan y guardan en local con el mecanismo de capturas del propio sistema operativo; Apertura no las sube a ningún sitio.
• Vista previa de la cámara (usada por las utilidades de cámara del notch): se muestra solo en local, sin procesamiento de IA y sin transmisión de la señal de vídeo por la red.

Conviene señalar de forma explícita dos excepciones concretas, porque son las únicas vías por las que este contenido local puede salir de tu dispositivo:

• Si adjuntas manualmente una captura de pantalla, una nota exportada u otro archivo a un mensaje del chat de IA, el texto que Apertura extrae de ese archivo se envía al relay de IA como cualquier otro adjunto (consulta Funciones de IA y el relay). Esto solo ocurre cuando eliges adjuntar el archivo.
• La función opcional antirrobo Guardian puede enviar una notificación (un título, un mensaje, una marca de tiempo y un indicador sí/no de si se capturó una foto) a una dirección de webhook que configuras tú mismo — por ejemplo, tu propio endpoint de ntfy.sh, IFTTT o Zapier. La foto en sí se queda en tu dispositivo y nunca se incluye en esa notificación. Guardian solo envía algo si la has activado y además has configurado una dirección de webhook.

Conservación y eliminación

No hay ningún botón de autoservicio "eliminar mis datos" en la app. Las solicitudes de eliminación van a través de la página de contacto, que indica la ruta confirmada actualmente. Como los mensajes y las respuestas de la IA no se almacenan, una solicitud afecta a los metadatos de uso, a los registros de dispositivo y licencia, y a cualquier imagen generada que siga dentro de su plazo de conservación.

Componentes de terceros

Apertura usa un pequeño número de servicios de terceros y componentes de código abierto para funcionar:

• Open-Meteo — datos meteorológicos y de geocodificación (consulta El tiempo).
• ipapi.co — estimación de ubicación por IP, usada solo como alternativa en macOS cuando no hay ubicación precisa disponible.
• ipify.org — se usa en local para mostrar tu propia dirección IP pública en el panel Stats.
• Sparkle (macOS) y electron-updater (Windows) — bibliotecas de código abierto para comprobar actualizaciones.
• open.er-api.com — el feed de divisas sin clave detrás de los tipos de cambio en vivo del conversor. Solo la petición del feed sale de tu dispositivo, y la última respuesta válida se guarda en caché durante seis horas.
• lrclib.net — letras sincronizadas. Solo se envían artista, pista, álbum y duración, y solo cuando pides la letra.
• Lemon Squeezy — procesamiento de pagos y API de licencias. Las compras se gestionan allí; la app valida una clave contra la API de licencias de Lemon Squeezy a través de nuestro backend y nunca ve los datos de tu tarjeta.
• Gateway de cuentas Ember (api.cabinhub.com.cn) — solo si eliges iniciar sesión en una cuenta Ember y sincronizar conversaciones de IA. Las conversaciones marcadas como "solo en el dispositivo" nunca se envían allí.
• Uno o varios proveedores de modelos de IA detrás del relay — consulta Funciones de IA y el relay.

Cada uno de estos terceros trata solo los datos descritos en la sección correspondiente más arriba y, para cualquier otra cosa, está sujeto a su propia política de privacidad.

Seguridad

Los tokens de sesión de la licencia se guardan con el almacenamiento seguro de credenciales de tu sistema operativo (Keychain de macOS; en Windows, el safeStorage de Electron, respaldado por DPAPI), no en un archivo de texto plano. Cuando tu dispositivo lo permite, las sesiones de pago en Mac se vinculan además al Secure Enclave de tu dispositivo. El acceso administrativo al backend es un único secreto bearer de operador, comparado en tiempo constante, con bloqueo por IP tras fallos repetidos; todas las rutas de administración devuelven 503 cuando ese secreto no está configurado, de modo que un despliegue mal configurado queda cerrado en lugar de abierto. Es una credencial de operador compartida, no cuentas de administrador por persona, y no afirmamos tener un registro de auditoría de quién hizo qué en nuestro lado. Ningún sistema es perfectamente seguro y no podemos garantizar una seguridad absoluta.

Menores

Apertura es una herramienta de productividad de escritorio de uso general, no está dirigida a menores y no recopilamos a sabiendas datos de menores. Como se indica arriba, la activación de la licencia no recoge nombre, correo electrónico, teléfono ni dirección de facturación, así que hoy no hay ningún flujo de verificación de edad en el producto.

Cambios en esta política

La fecha de entrada en vigor se indica al principio de esta página. Los cambios importantes se anuncian en el registro de versiones, que es el mismo lugar donde se registran los cambios del producto, y la fecha de esta página se actualiza en el mismo cambio. No enviamos correos sobre cambios de política porque no tenemos una dirección para la mayoría de los usuarios.

Contacto

Las preguntas de privacidad y las solicitudes de eliminación van a través de la página de contacto. Esa página se mantiene deliberadamente exacta: solo enumera canales confirmados y atendidos, y no publica un buzón que no existe.