Esta política cubre lumbre.pro (esta web) y app.lumbre.pro (el servicio), en un solo documento. Está escrita a partir de lo que hace el programa de verdad, no de una plantilla.

In English: this policy is available in Spanish only, and the Spanish text is the binding version. If you need help understanding any part of it, write to lumbre@fodaveg.net.

1. Quién trata tus datos

El responsable del tratamiento es David Velasco, persona física residente en España, titular de Lumbre. Lumbre es un proyecto personal: no hay empresa detrás, ni socios, ni nadie más con acceso a tus datos.

Puedes escribir a lumbre@fodaveg.net para cualquier cosa relacionada con tus datos, incluido el ejercicio de los derechos que se explican más abajo. Es la vía de contacto oficial y se atiende. Si necesitas los datos identificativos completos, por ejemplo para presentar una reclamación ante la Agencia Española de Protección de Datos o para firmar un acuerdo, escribe a esa dirección y se te facilitan.

2. Lo corto

Lumbre no tiene analítica, ni rastreadores, ni publicidad, ni perfilado. No vendemos ni cedemos tus datos a nadie para que los explote. El servidor está en la Unión Europea.

Hay una excepción importante y voluntaria: si das tu consentimiento a las funciones de inteligencia artificial (Soplo por voz y por escrito, el Chat, Extraer tareas, el Repaso guiado y Proponer pasos), parte del contenido de tus tareas sale a OpenAI (endpoint global: los datos pueden tratarse en Estados Unidos y en otros países donde OpenAI tiene infraestructura) y, solo si adjuntas una foto para extraer tareas, esa imagen va a Anthropic (Estados Unidos). Está explicado en detalle en la sección 5, y nada de esto se activa si no das ese consentimiento.

3. Si solo visitas la web (lumbre.pro)

No pasa prácticamente nada. La web es un sitio estático:

• No hay cookies. Ninguna.
• No hay analítica ni rastreadores. No cargamos scripts, tipografías ni recursos de ningún dominio ajeno: todo se sirve desde lumbre.pro, tipografías incluidas.
• No se guardan registros de acceso. El servidor que sirve esta web no anota tu dirección IP ni las páginas que visitas.
• El único dato que se guarda en tu navegador es lumbre-theme, y solo si pulsas el botón de tema: recuerda si prefieres claro u oscuro. Es almacenamiento técnico de una preferencia que tú eliges, exento de consentimiento previo (art. 22.2 LSSI). Por eso no verás un banner de cookies: no hay nada que consentir.

Si pides una invitación desde lumbre.pro/acceso/, el formulario envía tu correo directamente a la app (app.lumbre.pro), no a esta web. Qué se guarda y cuánto tiempo está en la sección 4.

4. Si usas la app (app.lumbre.pro)

El alta es por invitación. Para pedirla dejas tu correo en lumbre.pro/acceso/. Guardamos ese correo, el idioma y la fecha de la solicitud, y nada más; te enviamos un correo confirmando que la hemos recibido (como mucho uno cada 30 días por dirección) y yo recibo un aviso. Si la apruebo, te llega un correo con un enlace de un solo uso, válido 7 días, para crear la cuenta con tu contraseña. Si no la apruebo, la solicitud se borra en el acto.

4.1 Qué datos hay

Qué	Para qué
Tu correo electrónico y tu contraseña	Identificarte y dar acceso a tu cuenta. La contraseña no se guarda: se guarda un resumen criptográfico (Argon2id) del que no se puede recuperar la original.
Tu contenido: tareas, subtareas, notas en Markdown, listas, secciones, fechas, colores, objetivos, hábitos y notas del día	Es el servicio. Sirve para mostrarte tu planificador y sincronizarlo entre tus dispositivos.
Archivos adjuntos (hasta 25 MB por archivo)	Guardarlos junto a la tarea a la que los asocias.
Preferencias de cuenta: zona horaria, idioma, formato de hora, tema, paleta e imagen de avatar	Que la app se vea y se comporte igual en todos tus dispositivos. Se sincronizan a través del servidor, no se quedan solo en tu navegador.
Datos técnicos de tus dispositivos: identificadores de notificaciones push, tokens de widget, sesiones activas	Enviarte los avisos que hayas pedido y mantener la sesión iniciada.
Suscripciones a calendarios externos (si añades alguna): la dirección del calendario	Mostrarte esos eventos junto a tus tareas.

Tu dirección IP no se guarda en la base de datos. Se usa momentáneamente en memoria para limitar intentos de acceso y evitar abusos, y se descarta.

4.2 Notificaciones y correo

Todo lo que te llega es opcional y está desactivado por defecto: resumen diario, resumen semanal, recordatorios y avisos push. Si activas los correos, el proveedor Resend procesa tu dirección y el contenido del mensaje (que incluye los títulos de tus tareas) para entregarlo.

Si usas la creación de tareas por correo, guardamos el asunto del mensaje, que es lo que se convierte en tarea. No pedimos ni guardamos el cuerpo del correo, ni la dirección desde la que lo enviaste.

4.3 Lo que el servidor puede ver

Con transparencia, porque importa: Lumbre no tiene cifrado de extremo a extremo. Tus datos viajan cifrados (HTTPS/TLS) y el servidor está bajo nuestro control, pero técnicamente el servidor puede leer el contenido de tus tareas. Lo necesita para funciones como los recordatorios por correo, la creación de tareas por email o Soplo. «Local-first» significa que la app funciona sin conexión contra una copia local, no que el servidor esté a ciegas.

4.4 Resolución automática de títulos de enlaces

Cuando una tarea contiene una URL sin más texto, Lumbre intenta leer el título para que el enlace sea reconocible. Para hacerlo, la petición sale de nuestro servidor, no de tu dispositivo. Con una URL genérica, el servidor solicita esa dirección y puede seguir redirecciones hasta la página final. Los sitios alcanzados ven la URL o el destino que se les solicita y la IP del servidor.

Con enlaces de YouTube, Lumbre consulta el endpoint público oEmbed de YouTube, un servicio de Google, que recibe la URL o el identificador del vídeo necesario. Con enlaces de X/Twitter, consulta api.fxtwitter.com, el servicio FxTwitter, que recibe la URL o el identificador de la publicación necesario. Son servicios externos consultados para resolver el enlace. Lumbre no afirma que actúen como encargados por contrato.

En esta resolución nunca se envía el resto de la tarea, sus notas ni otro contenido de tu cuenta. También puede ejecutarse si la URL llega en el asunto de un correo usado para crear una tarea.

5. Soplo y el resto de funciones de IA: léelo antes de usarlas

Lumbre tiene cinco funciones de inteligencia artificial: Soplo (convierte lo que dices o escribes en cambios sobre tus tareas), el Chat, Extraer tareas, el Repaso guiado y Proponer pasos. Todas son opcionales y están desactivadas hasta que das un único consentimiento, que te pedimos antes de la primera vez que uses cualquiera de ellas. Puedes usar Lumbre entero sin tocarlas, y retirar ese consentimiento cuando quieras desde Ajustes → Captura: queda guardado en tu cuenta, no en el navegador, así que vale para todos tus dispositivos. Ninguna funciona sin conexión.

Cuando usas una de ellas, esto es lo que sale de tu dispositivo:

Uso	Proveedor	Qué recibe	Para qué	Dónde está
Soplo por voz	OpenAI	El audio de tu voz, la fecha de hoy, tu idioma, los nombres de tus listas y de tus contextos (@...) y los títulos de las tareas pendientes que el modelo consulte	Transcribirlo y proponer los cambios en la misma sesión de voz	Endpoint global: Estados Unidos y otros países (sección 7)
Soplo por escrito	OpenAI	El texto que escribas o compartas, los nombres de tus listas y los títulos de las tareas que haga falta consultar para entender la petición	Interpretar qué quieres hacer y proponer los cambios	Endpoint global: Estados Unidos y otros países (sección 7)
Chat	OpenAI	El texto de tus mensajes (los últimos 20 turnos de la conversación), los nombres de tus listas, las tareas de la vista que tengas abierta (hasta 80) y, si el asistente necesita buscar, las tareas que consulte (hasta 300)	Responder y proponer cambios, que solo se aplican si los confirmas	Endpoint global: Estados Unidos y otros países (sección 7)
Extraer tareas (texto y PDF)	OpenAI	El texto que pegas y los PDF que adjuntas	Convertirlos en tareas que tú revisas	Endpoint global: Estados Unidos y otros países (sección 7)
Extraer tareas (foto)	Anthropic, PBC	La imagen que adjuntas, y solo ella	Leer mejor la letra manuscrita	Estados Unidos
Repaso guiado	OpenAI	El título de tus tareas de la Bandeja con su fecha de captura y puerta de entrada, el catálogo de tus listas, o el título y el proyecto de las tareas atascadas	Guiarte en el repaso de lo pendiente	Endpoint global: Estados Unidos y otros países (sección 7)
Proponer pasos	OpenAI	El título y las notas de una tarea, junto con el título de alguna tarea parecida ya completada	Proponerte los pasos para hacerla	Endpoint global: Estados Unidos y otros países (sección 7)

Anthropic solo interviene cuando adjuntas una foto para extraer tareas. No recibe nada de Soplo, ni del Chat, ni del resto de funciones. Para el resto usamos el punto de acceso global de OpenAI, así que no podemos garantizar que el tratamiento se quede en Europa: hay que contar con que se hace en Estados Unidos o en otro de los países donde OpenAI tiene infraestructura (sección 7). Hay además un servicio de voz de Google Cloud (Speech-to-Text) que sigue preparado en el código pero hoy no recibe nada; si volviera a activarse, esta página cambiaría antes.

Sobre tu dirección IP: todo sale de nuestro servidor, no de tu dispositivo (la voz viaja de tu navegador a Lumbre y Lumbre la retransmite a OpenAI), así que ni OpenAI ni Anthropic ven la IP de tu dispositivo, solo la del servidor.

Cosas que conviene que sepas:

• Tus tareas viajan, no solo lo que dictas. Para entender «muévela al viernes», el sistema necesita saber qué tareas y qué listas tienes. Esa información va en la petición.
• Lumbre no guarda el audio. Va de tu dispositivo a nuestro servidor y de ahí a OpenAI en el momento, sin que conservemos copia. OpenAI, en cambio, puede conservar lo que se le envía hasta 30 días (más abajo). Existe un modo de diagnóstico que sí conserva audio y transcripción durante 30 días, pero está limitado a una cuenta interna de desarrollo, no a las cuentas de usuario.
• Los últimos 10 dictados se guardan en tu propio navegador para que puedas repetirlos. Están en tu dispositivo, no en el servidor, y se borran al limpiar los datos del sitio.
• Soplo nunca cambia nada por su cuenta. Siempre te enseña lo que propone y solo lo aplica si lo apruebas, y puedes deshacerlo entero. Lo mismo vale para el Chat.
• Ten cuidado con lo que dictas o escribes. Si mencionas datos de salud, creencias u otra información sensible, esa información viajará a los proveedores de arriba. No dictes ni escribas lo que no quieras enviar.

El Chat de texto

El Chat es un panel opcional en las vistas de Día y Lista con el que hablas con el asistente por escrito. Está desactivado hasta que lo actives tú como complemento en Ajustes (Módulos), y ahí mismo se desactiva. Además de eso, pasa por el mismo consentimiento de IA que el resto de funciones. La conversación no se guarda en nuestro servidor: vive en la sesión de tu dispositivo y no sobrevive a recargar la página.

¿Entrenan sus modelos con lo que envías?

• OpenAI: no. Su política de uso de datos de la API (comprobada el 2 de octubre de 2026) dice que lo enviado por la API no se usa para entrenar sus modelos salvo que el cliente lo autorice expresamente, y nosotros no lo hemos autorizado. Eso no significa que no se conserve nada: OpenAI conserva el contenido enviado hasta 30 días para vigilar abusos y después lo borra. En las llamadas de texto pedimos a OpenAI que no almacene las respuestas, pero eso no quita los 30 días de vigilancia de abusos: solo lo haría un acuerdo de retención cero, que no tenemos. En la voz en tiempo real ese parámetro no existe y aplican los mismos 30 días.
• Anthropic: no. No entrena sus modelos con los datos de su API comercial y borra las entradas y las salidas a los 30 días (privacy.claude.com). Solo recibe la imagen de una foto adjunta para extraer tareas.

6. Quién más interviene (encargados del tratamiento)

La tabla siguiente recoge exclusivamente proveedores para los que Lumbre afirma una relación de encargo del tratamiento por contrato. No incluye los servicios externos descritos en la sección 4.4: YouTube (Google) y FxTwitter se consultan para resolver enlaces, sin afirmar que actúen como encargados por contrato:

Proveedor	Para qué	¿Dentro de la UE?
Hetzner Online GmbH	Servidor donde vive todo (Helsinki, Finlandia)	Sí
Plus Five Five, Inc. (Resend)	Envío y recepción de correo	Empresa en EE. UU., correo procesado en la UE (Irlanda)
OpenAI Ireland Ltd (OpenAI)	Funciones de IA: voz y texto de Soplo, Chat, Extraer tareas, Repaso guiado y Proponer pasos	Contrato con OpenAI Ireland (UE); endpoint global, puede tratarse en EE. UU. y otros países (sección 7)
Anthropic, PBC	Solo Extraer tareas de una foto	No (EE. UU.)
Apple, Inc.	Notificaciones push en dispositivos Apple; distribución de la app	No (EE. UU.)
Google, Mozilla o Apple, según tu navegador	Entrega de notificaciones push en web	Variable
El proveedor del calendario que tú añadas	Descargar el calendario que hayas suscrito	Variable

7. Transferencias fuera de la Unión Europea

OpenAI (que contrata con nosotros desde Irlanda, pero trata los datos en un endpoint global), Anthropic y Apple tratan datos en Estados Unidos, así que usar las funciones de IA o las notificaciones push implica una transferencia internacional de datos. La salvaguarda no es la misma para todas:

Las consultas de enlaces de la sección 4.4 son distintas. Para YouTube (Google) y FxTwitter no hemos verificado la ubicación efectiva del tratamiento ni una salvaguarda específica de transferencia para este uso. Por eso no se les atribuye aquí una ubicación ni un mecanismo jurídico.

Proveedor	Con qué se cubre la transferencia
OpenAI	Para clientes del EEE, el acuerdo de tratamiento de datos se celebra con OpenAI Ireland Ltd y se incorpora al contrato sin firma aparte. Las transferencias que OpenAI Ireland hace a sus afiliadas y subencargados fuera del EEE, Estados Unidos incluido, van con cláusulas contractuales tipo de la Comisión Europea. No afirmamos que esté adherida al marco de adecuación UE-EE. UU. (Data Privacy Framework). Su endpoint global no ofrece residencia en la UE: hay que contar con tratamiento en Estados Unidos y en otros países. Según su lista de subencargados (versión del 9 de julio de 2026), su infraestructura en la nube está en más de veinte países, entre ellos Brasil, India, Japón, Singapur y Emiratos Árabes Unidos, y el contenido que sus modelos marquen como contrario a sus normas puede revisarlo personal de moderación en Filipinas. Esas transferencias van con las mismas cláusulas contractuales tipo
Anthropic, PBC	Adherida al marco de adecuación UE-EE. UU. (Data Privacy Framework), y además cláusulas contractuales tipo en sus términos comerciales
Apple, Inc.	El acuerdo del Programa de Desarrolladores de Apple y su adenda de tratamiento de datos

Puedes pedirnos copia de estas salvaguardas escribiendo a lumbre@fodaveg.net.

El correo no sale de la UE. Resend es una empresa estadounidense, pero el dominio de Lumbre está configurado en su región europea (Irlanda), así que los mensajes se procesan dentro de la Unión Europea. Sigue existiendo una relación con un proveedor estadounidense, cubierta por el contrato de encargado, pero no un envío de datos a servidores de fuera de la UE.

8. Con qué base legal tratamos cada cosa

Tratamiento	Base jurídica
Alta de cuenta y su aprobación	Medidas precontractuales a petición del interesado (art. 6.1.b RGPD)
Cuenta, contenido y sincronización	Ejecución del contrato (art. 6.1.b RGPD)
Correos y avisos que activas tú	Consentimiento (art. 6.1.a), revocable cuando quieras
Funciones de IA (Soplo, Chat, Extraer tareas, Repaso guiado y Proponer pasos)	Consentimiento (art. 6.1.a): uno solo, que das antes de la primera vez y puedes retirar en Ajustes → Captura
Seguridad, límites de uso y prevención de abusos	Interés legítimo (art. 6.1.f)

9. Cuánto tiempo conservamos las cosas

• Tu cuenta y tu contenido: mientras la cuenta exista. Si la borras, se borran.
• Solicitudes de invitación: si no la apruebo, se borra en el acto. Si la apruebo, te llega el enlace para crear la cuenta y la solicitud se borra cuando la creas o, si no lo usas, cuando el enlace caduca a los 7 días. Las que se queden sin resolver se borran a los 30 días.
• Cuentas inactivas: si no accedes durante 24 meses, te avisamos por correo y, si sigues sin entrar, borramos la cuenta y su contenido.
• Cuentas que cierro sin motivo (apartado 13 de las condiciones de uso): el acceso se corta en el acto y los datos se conservan 30 días para enviártelos exportados si me los pides; después se borran.
• Sesiones: caducan a los 30 días.
• Tareas entrantes por correo: el mensaje recibido se borra 30 días después de convertirse en tarea. La tarea, claro, se queda contigo.
• Diagnósticos de Soplo del modo de desarrollo: 30 días.
• Conversaciones del Chat: no se guardan en nuestro servidor; viven en la sesión de tu dispositivo. Las que se guardaron en tu cuenta antes del 25 de septiembre de 2026 se borran con ella.
• Lo que se envía a los proveedores de IA: OpenAI lo conserva hasta 30 días para vigilar abusos y después lo borra; Anthropic, 30 días. Lumbre no guarda el audio.
• Copias de seguridad: la base de datos entera se copia una vez al día y se conservan las 14 últimas; además, cada 3 horas se guarda una instantánea de tu contenido sincronizado y se conservan las 56 últimas, que a esa cadencia son unos 7 días. Todas van cifradas. Esto tiene una consecuencia que conviene decir claro: cuando borras algo, desaparece de la app en el acto, pero puede seguir existiendo dentro de esas copias hasta que les toca caducar.
• Copia previa a un borrado masivo: si salta el freno que se describe abajo, se guarda una copia del estado anterior de tus datos para poder devolverlo a su sitio. Se conservan 30 días, y como mucho las 20 últimas de cada cuenta.
• Lotes retenidos por el freno de borrado masivo: si un dispositivo intenta borrar de golpe una parte grande de tus tareas, el servidor no lo aplica: aparta el lote y espera a que se decida si era un borrado tuyo o un fallo. Mientras espera, ese lote guarda el contenido afectado, porque es la única copia que queda de él y sin ella no habría nada que restaurar. Una vez decidido, se borra entero a los 30 días. Si nadie lo decide, a los 90 días se vacía su contenido de todos modos y solo se conserva el rastro de que hubo una retención, cuándo y por qué.

10. Tus derechos

Puedes ejercer estos derechos escribiendo a lumbre@fodaveg.net. Tenemos un mes para responderte.

• Acceso y portabilidad. Sin pedirnos nada: desde Ajustes puedes exportar tus datos en JSON, o en un ZIP que incluye además los archivos adjuntos. La exportación lleva tus tareas, listas, secciones, notas, objetivos y hábitos, y también el correo de la cuenta, la fecha de alta, tus preferencias y las suscripciones a calendarios. No incluye las credenciales, claro: de la contraseña y de los tokens solo guardamos un resumen criptográfico que no se puede revertir.
• Supresión. Desde Ajustes puedes borrar tu cuenta. Es un borrado real: se eliminan las filas de la base de datos y los archivos del almacenamiento, no se marcan como ocultas.
• Rectificación. Editando tu contenido en la propia app.
• Retirar el consentimiento de las funciones de IA o de los avisos desde Ajustes, sin que afecte a lo hecho antes. El de IA va guardado en tu cuenta, así que retirarlo vale para todos tus dispositivos.
• Oposición y limitación del tratamiento.

Si crees que no hemos hecho bien las cosas, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

11. Cookies y almacenamiento en tu dispositivo

• En la web: ninguna cookie. Solo lumbre-theme si eliges tema.
• En la app: una sola cookie, lumbre_session, que mantiene tu sesión iniciada (técnica, necesaria, 30 días, marcada HttpOnly y Secure). Además, la app guarda en tu navegador una copia de tus tareas para funcionar sin conexión, tus preferencias de vista y los últimos dictados de Soplo.

Todo ello es técnico o de preferencia, así que no hace falta banner de cookies ni consentimiento previo.

12. Enlaces para compartir y demo

Si creas un enlace público de una semana, cualquiera que tenga esa dirección verá los títulos, colores y estado de esas tareas, pero no tus notas ni otras semanas. Deja de funcionar en cuanto lo revocas.

La demo (demo.lumbre.pro) usa una cuenta compartida por todos los visitantes y se reinicia periódicamente: lo que escribas ahí lo puede ver otra persona. No metas nada real.

13. Menores

Lumbre no está dirigido a menores de 14 años, que es la edad a partir de la cual una persona puede consentir por sí misma el tratamiento de sus datos en España (art. 7 LOPDGDD).

14. Seguridad

Las contraseñas se guardan con Argon2id. Todo viaja por HTTPS. Los archivos adjuntos solo se descargan verificando que son tuyos. El acceso administrativo está limitado a una cuenta y solo muestra datos agregados, nunca el contenido de las tareas de nadie. Desde esa misma cuenta se aprueban las solicitudes de invitación, y el correo de quien pide una no se usa para nada más.

15. Cambios

Si cambia algo relevante, se actualiza esta página y la fecha de abajo. Si el cambio afecta a para qué usamos tus datos, te avisaremos por correo.