Legal Changelog

Publicación inicial. Categorías de procesadores divulgadas con enlace a /legal/subprocessors. Derechos del Art. 13 del GDPR enumerados. Dependencia de SCC para transferencias transfronterizas. Tabla de retención. Compromiso de notificación de brecha en 72 horas.

Publicación inicial. Ventana de reembolso con período de reflexión de 14 días. Reembolso prorrateado de 72 horas por falla del servicio. Flujo de propiedad de salida de IA. Lista de uso aceptable. Ley aplicable de Delaware + arbitraje AAA con renuncia a demanda colectiva. Exenciones para consumidores de UE/UK/Suiza/CA/AU. Límite de responsabilidad de 12 meses.

Publicación inicial de los términos del programa de afiliados de Brainpercent. Comisión recurrente del 20%, ventana de atribución de 12 meses, pagos mensuales de Stripe Connect, $50 mínimo, período de enfriamiento de cuenta nueva de 7 días.

Publicación inicial. 14 subprocesadores nombrados en pagos, infraestructura, proveedores de IA, comunicaciones y analítica.

Publicación inicial. Cumplimiento del Art. 4 (alfabetización en IA) y Art. 50 (transparencia) de la Ley de IA de la UE. Lista de modelos de IA utilizados, limitaciones conocidas, guía de verificación, usos de alto riesgo prohibidos.

Publicación inicial. DPA del Art. 28 del GDPR prefirmado por Brainpercent. Anexo 1 (detalles de procesamiento + tipos de datos + subprocesadores) + Anexo 2 (medidas de seguridad técnicas y organizativas). Dependencia de SCC para transferencias transfronterizas, notificación de brecha en 72h, eliminación en 90 días post-terminación, derechos de auditoría.

Todos los documentos legales v2.0 / v1.0 promovidos a producción en https://brainpercent.app. El banner de cookies ahora bloquea activamente Google Analytics y Microsoft Clarity vía Consent Mode v2. Casillas de edad + Términos aplicadas en el registro. Exportación de datos de autoservicio del Art. 15 del GDPR enviada (URL firmada de 7 días, archivo JSON). Cron diario de detección de brechas activo con alerta de Discord webhook.

Analítica de producto del lado del servidor instrumentada (tabla analytics_events, solo agregación, RLS solo admin). Eventos del ciclo de vida registrados: signup, signin, first_chat_message, project_created, first_article_generated, first_social_generated, first_publish, purchase_completed, subscription_started, subscription_canceled, credit_purchased. Borrado del Art. 17 del GDPR manejado por ON DELETE SET NULL en user_id.

Todas las páginas legales ahora renderizan chrome localizado + contenido del cuerpo en 12 locales no-EN (he/ar/ru/es/fr/de/pt/it/zh/ja/ko/hi). El middleware reescribe /{locale}/legal/* + /{locale}/privacy + /{locale}/terms de forma transparente. El banner ámbar "La versión en inglés es la oficial" se muestra en cada visita no-EN. Se agregaron hreflang por página + JSON-LD WebPage/BreadcrumbList para indexación de motores de IA.

Reescritura completa alineada con los Términos de Servicio v2.0: ventana de reflexión de 14 días, reembolso prorrateado de 72 horas por falla del servicio y eliminación de la tarifa de procesamiento de pago que antes se deducía de los reembolsos.

Publicación inicial. Documenta cada cookie que establecemos, las categorías de consentimiento, los valores predeterminados de Google Consent Mode v2 (denegado hasta que se otorgue), la carga de Microsoft Clarity solo tras el consentimiento en el banner y el control de Preferencias de cookies en el pie de página.

Publicación inicial. Define el contenido y comportamiento prohibidos para el contenido generado y publicado, las reglas contra el abuso de la plataforma y los pasos de aplicación.

Publicación inicial. Resumen público de las medidas de seguridad: TLS 1.2+, AES-256 en reposo, Postgres Row Level Security, Stripe PCI DSS Nivel 1, acceso de privilegio mínimo y notificación de brecha en 72 horas.

Publicación inicial. Establece nuestro objetivo de estándares de accesibilidad (WCAG), las limitaciones conocidas y cómo reportar barreras de accesibilidad.

Lista ampliada de 14 a 27 proveedores nombrados (Cloudinary, AWS, HeyGen, Shotstack, Vapi, ElevenLabs, Deepgram, Apollo.io, Telegram, Discord, Upstash, Make.com, WordPress). Entrada de OpenAI corregida: la integración directa con la API de OpenAI se eliminó en junio de 2026; los modelos de OpenAI se alcanzan solo indirectamente (video Sora vía la pasarela GoAPI, LLM del asistente de voz vía Vapi).

Sección 8 (Cookies y seguimiento) actualizada para reflejar el sistema de consentimiento activo: GA4 carga con los valores de Consent Mode en denegado, Clarity carga solo tras el consentimiento en el banner, el control de Preferencias de cookies está disponible en el pie de página y la sección enlaza a la nueva Política de Cookies. Aclaración no material: no se requiere nueva aceptación.

La casilla de consentimiento del registro ahora incluye una afirmación explícita de edad (13+ EE.UU. / 16+ EEE-Reino Unido), en línea con el compromiso de verificación de edad de la Sección 10 de Privacidad. El registro con Google de la página Acerca de ahora también requiere la casilla de Términos.

Publicación inicial de /legal/report-content: nuestro mecanismo de notificación y acción conforme a los Artículos 11 y 12 de la Ley de Servicios Digitales de la UE (DSA). Punto de contacto único para las autoridades y para los destinatarios del Servicio, y el proceso para reportar contenido ilegal o infractor.

La Política de Uso Aceptable se actualizó para prohibir explícitamente las reseñas y testimonios de consumidores falsos, alineada con la Norma de la FTC de EE.UU. sobre Reseñas de Consumidores (16 CFR Parte 465).

Sección de etiquetado reescrita para la precisión del Artículo 50 de la Ley de IA de la UE. Ahora indica claramente lo que hacemos hoy (etiquetas de IA legibles por humanos en el panel, esta página de transparencia, asistentes de IA que revelan que son IA), lo que está en curso con objetivo del 2 de diciembre de 2026 (C2PA Content Credentials incorporadas en imágenes y videos generados más una ruta de verificación gratuita; hasta entonces las salidas no llevan marcado legible por máquina), y sus deberes de implementador bajo el Artículo 50(4). Se eliminaron las afirmaciones sin reservas de "cumplimos con el Artículo 50".

La Sección 7 gana una subsección "Sus Obligaciones de Transparencia": los usuarios son implementadores bajo el Artículo 50(4) de la Ley de IA de la UE y leyes similares, deben etiquetar contenido deepfake generado por IA, deben divulgar el texto generado por IA publicado para informar al público sobre asuntos de interés público salvo revisión editorial humana, y deben seguir las reglas de etiquetado de IA de las plataformas. Solo aclaración aditiva: los Términos siguen siendo v2.0, no se requiere nueva aceptación.

La Sección 6 de los Términos y la cláusula equivalente de la Política de Reembolsos se han invertido: los créditos comprados ya no caducan (antes, 12 meses desde la fecha de compra). Los créditos no utilizados permanecen en tu cuenta sin límite de tiempo, y los saldos ya adquiridos bajo la cláusula anterior también quedan cubiertos. Aplicado en los 13 idiomas de la Política de Reembolsos. El cambio amplía tus derechos en lugar de reducirlos, por lo que es no material y entra en vigor al publicarse; no se requiere volver a aceptar.

Los créditos comprados ya no caducan. La Sección 6 de los Términos decía antes que los créditos caducaban a los 12 meses de la compra, lo que contradecía la promesa de no caducidad ya publicada en cinco superficies públicas, incluidas /pricing y los textos del monedero. La cláusula ahora coincide con la promesa y la Política de Reembolsos se alineó con ella. El cambio amplía un derecho del usuario en lugar de reducirlo, por lo que no es material y surte efecto al publicarse; no se requiere volver a aceptar.

La Sección 7 de los Términos añade el apartado «Tus marcas, logotipos y signos distintivos» (7.2), y la Política de Uso Aceptable añade una salvedad equivalente en 2.1. Ambas dejan claro que generar contenido con una marca tuya, o la de un cliente que estás autorizado a representar, es el uso ordinario previsto del Servicio. Declaras que eres titular o estás autorizado a usar las marcas que aportas; no verificamos la titularidad ni tenemos obligación de hacerlo; no te concedemos derechos sobre marcas que no poseemos; y hacerse pasar por una marca que no representas sigue prohibido. Las Secciones 9, 10 y 15 reciben aclaraciones equivalentes. El cambio declara permisos que antes no estaban escritos y aclara obligaciones que ya imponían las Secciones 9 y 15, por lo que es no material y entra en vigor al publicarse; no se requiere nueva aceptación.

La divulgación de proveedores se corrige al stack en vivo: fal.ai es el motor de imagen, audio y vídeo. OpenAI no es un proveedor de API de Brainpercent. GoAPI es solo un kit residual (no el motor de medios del producto). Inngest se nombra como orquestador de trabajos en segundo plano. Stripe es también un responsable independiente para fraude, AML y fines de su producto. Las URL del CDN de fal son públicas hasta que copiamos los archivos a nuestro almacenamiento. No prometemos eliminación ad hoc de prompts ya enviados a Anthropic.

Amazon Web Services y Upstash ya no figuran como subprocesadores actuales. Remotion-on-Lambda no tiene puntos de llamada en producción; el montaje de vídeo corre en Cloudinary. La limitación de tasa ahora corre en nuestro Supabase Postgres, no en Upstash Redis. Se eliminan las filas no usadas de cada tabla de idioma.

Se añade ReverseContact como subprocesador actual. Es el proveedor vivo de enriquecimiento de LinkedIn para prospección y alta de proyectos (nombres, titulares, publicaciones recientes, empleador). Apollo.io sigue siendo el proveedor de enriquecimiento de contactos B2B.

El propósito de Google LLC en la lista de subprocesadores nombra ahora los conectores en vivo, no solo GA4: inicio de sesión con Google, eventos de Calendar y Meet que conecta, Search Console y reseñas de Google que conecta. La Privacidad ahora indica que el inicio de sesión con Google o Facebook solo devuelve email, perfil básico e ID de cuenta, y que conectar Calendar, Search Console o reseñas es una concesión aparte. Google ya figuraba; es una aclaración no material del tratamiento que ya ocurre al conectar esos productos.

Se añade Meta Platforms, Inc. como subprocesador actual. El inicio de sesión con Facebook OAuth y las lecturas opcionales de Meta Graph para el escaneo de marca de Page/Instagram ya funcionaban; publicar en Facebook/Instagram sigue yendo por GetLate / Zernio. Los tokens se guardan cifrados.

La Política de Cookies ahora nombra dos cookies propias que el producto ya establece: gcal_oauth_state (CSRF de 10 minutos para conectar Google Calendar) y retainer_session_* (desbloqueo de dos horas para un enlace del portal retainer). La tabla afirmaba estar completa sin ellas. Corrección de inventario no material; no se requiere nueva aceptación.

La Privacidad y el DPA ahora nombran el asistente de voz opcional para inversores: el audio del micrófono y las transcripciones van a Vapi, y Deepgram transcribe a través de Vapi. Ambos proveedores ya figuraban en la lista de subprocesadores. El propósito de Deepgram en cada tabla de idioma ahora dice que se alcanza vía Vapi. Es una aclaración no material del tratamiento que ya ocurre si usa ese asistente.

AI Transparency ahora nombra los modelos alojados en fal en vivo (Seedance, Flux, MiniMax, ElevenLabs via fal); ElevenLabs no es un proveedor aparte. Las transferencias de Privacidad y la tabla de cesiones ahora nombran Apollo.io, Discord, Sentry, Browserless.io, DataForSEO, Make.com, Telegram y WordPress. El Anexo 1 del DPA incluye ahora datos de prospectos enriquecidos vía Apollo.io y ReverseContact. Inventario no material; no se requiere nueva aceptación.