Privacidad

Tu privacidad.

Versión draft-2026-10-06b · Actualizado el 6 de octubre de 2026. Borrador de prueba no publicado; faltan verificar operador y contacto y revisión legal.

Qué guardan Mindument y SurpassLife.com, dónde se guarda y quién puede verlo, en palabras sencillas.

Este es un borrador, escrito a partir de Mindument tal como está hecha hoy. Un abogado lo revisará antes del lanzamiento de Mindument, y cambiará cada vez que cambie lo que guardamos.

En pocas palabras

• Tus grabaciones originales se quedan en tu teléfono en la versión actual de prueba para el propietario. La copia en la nube y la transcripción de la empresa están desactivadas; la transcripción en directo solo usa el reconocimiento en el dispositivo.
• Esta versión no incluye rastreadores publicitarios ni analíticas de comportamiento. No vendemos información personal ni la usamos para publicidad dirigida. Se explican más abajo las divulgaciones necesarias y las copias que eliges compartir.
• La nube empresarial, respuestas completadas por modelos y voz generada están desactivadas en la configuración pública. Exportar y compartir por tu elección sí puede sacar datos del teléfono; Privacidad muestra transferencias empresariales habilitadas.
• Puedes exportar tu archivo personal local o borrarlo con los controles de la app. Las copias independientes y futuros registros empresariales tienen los límites y plazos explicados abajo.

Lo que la app guarda en tu teléfono

• Sobre ti: el nombre que das, el pronombre que eliges y tu consentimiento hablado: la versión y hora del consentimiento y el original hablado si eliges conservarlo. El guion mostrado no se considera transcripción de lo que realmente grabaste.
• Las personas que nombras: su nombre, quiénes son para ti y, si los añades, un contacto y un cumpleaños, para que un mensaje de cumpleaños suene ese día.
• Lo que grabas: el audio tal como lo grabaste, nunca editado ni recodificado, con la pregunta que respondió, para quién es, la fecha y una transcripción.
• Una persona que te ayuda: puede ayudarte a leer preguntas más grandes. Las nuevas grabaciones con su voz, a solas o junto a la tuya, están desactivadas hasta que se revisen el consentimiento y los aspectos legales. Los archivos familiares anteriores pueden conservar grabaciones de esa persona, claramente identificadas; nunca forman parte de tu semejanza.
• El espacio que creas: los colores, las fotografías que eliges y tus palabras en la puerta.
• Tus correcciones a tu semejanza: lo que dijo y lo que tú habrías dicho.

Todo vive en la carpeta privada de la app en tu teléfono. En Android, los datos de la app quedan fuera de las copias en la nube, para que tus grabaciones no se copien a ninguna parte sin que lo sepas.

Tu perfil opcional y tus decisiones de privacidad

Tu perfil en Más permite añadir o cambiar tu nombre, correo, teléfono, cumpleaños, cosas favoritas y biografía. Salvo el nombre mostrado, son datos opcionales guardados con tu archivo local. Los campos opcionales empiezan como Privados. Elegir Compartido con tus personas permite incluir ese campo en la copia de quien recibe tus recuerdos; elegir Privado lo excluye. Esto no envía una invitación ni verifica el contacto. Tu exportación completa incluye el perfil privado para restaurarlo: guarda esa copia de forma segura. Cambiar un campo no modifica consentimientos anteriores ni recuerdos originales. Puedes borrar campos opcionales más adelante. Las preferencias de cada página se guardan localmente. El material de muestra integrado es separado de los originales personales y excluido de sus exportaciones y de las entradas para la semejanza. Una voz de muestra no es la voz grabada del usuario. Respuestas de colores, aficiones, ambiente y progreso de configuración se guardan localmente para continuar.

El reconocimiento de voz de tu propio teléfono

Cuando respondes hablando, la app solo solicita reconocimiento de voz en el dispositivo. Si tu teléfono no lo admite o no tiene el modelo de idioma necesario, puedes escribir la transcripción o guardar solo el audio. La app no inicia el reconocimiento de voz del navegador ni de un servidor en esta versión.

Lo que saldrá de tu teléfono más adelante, y solo cuando se active

Nada de esto está activado hoy. Cada punto se describirá aquí por completo, y lo revisará nuestro abogado, antes de activarse.

Cuando se active la entrega, cada persona recibiría los originales compartidos con todas las personas que elegiste y los dirigidos a ella, junto con el espacio que diseñaste para ella. Quedarían fuera los mensajes, las fotos de la puerta y los datos de contacto de otras personas, y tu retrato privado. Las correcciones que hagas para orientar tu semejanza seguirían formando parte de sus instrucciones. Tu archivo original no cambiaría.

• Una copia guardada con SurpassLife: tu archivo y tus grabaciones originales se guardarían en Amazon S3, cifrados con AWS KMS y con otra clave derivada para tu cuenta. Nuestro servicio los descifra solo para una restauración, exportación o entrega autorizada. El acceso al servicio y a su secreto debe estar restringido y auditado; una persona con acceso privilegiado a ambos podría técnicamente leer una copia. Así puedes recuperar tu archivo si pierdes el teléfono y hacer que la entrega llegue a tu familia. Tras el plazo de 14 días para borrar la cuenta, el servicio solicita eliminar todas las versiones guardadas, sujeto a las normas legales definitivas de conservación.
• La entrega: los nombres, correos y números de móvil de las personas que elegiste, para que, cuando llegue el momento, reciban una invitación por correo mediante Amazon SES y una por mensaje de texto mediante Amazon SNS. Nunca un recordatorio. Solo se abre con un código enviado a su correo y otro enviado a su teléfono, juntos. Si alguien comunica un fallecimiento, avisamos por correo al titular y esperamos 14 días para que pueda oponerse; si no está claro si llegó el aviso, el personal lo revisa y no se entrega nada. Si se confirma que no llegó, puede reenviarse con un nuevo plazo de 14 días.
• Comprobar quién la recibe: antes de entregar nada, verificamos la identidad de quien la recibe, porque tus grabaciones pueden contener cosas privadas. Solo guardamos que la comprobación se hizo, cuándo y quién la hizo.
• Convertir la voz en texto en nuestro propio servidor: una grabación cada vez. El audio se borra de ese servidor en cuanto se obtiene el texto.
• Las respuestas de tu semejanza: tus palabras grabadas y la pregunta hecha, para que tu semejanza responda a tu manera. Nunca se usan para entrenar ningún modelo.
• Una semejanza que habla con tu voz: solo con tu consentimiento aparte y grabado. Cada respuesta que dice está marcada como IA. Se borra cuando borras la voz o tu cuenta.

Cuentas previstas para quienes reciben una entrega

La recuperación prevista de compras en Android consultaría Google Play cuando las compras y las cuentas estuvieran habilitadas, al iniciar sesión y al volver a la aplicación. La aplicación enviaría a SurpassLife los tokens de suscripciones compradas para verificarlos con la cuenta que ha iniciado sesión; Google Play usaría un identificador de cuenta ofuscado; los pagos pendientes no darían acceso. Los tokens permanecerían solo en la memoria del teléfono. Cerrar sesión, cambiar de cuenta o servidor, pasar a segundo plano o borrar los datos locales invalidaría esa sesión de compras y sus respuestas pendientes. Las compras públicas siguen desactivadas; todavía se requieren pruebas reales de la tienda y revisión del propietario y de un abogado.

Las notificaciones autenticadas previstas de Google Pub/Sub enviarían el paquete de la aplicación, la fecha del evento y el token de compra cuando cambie una suscripción. El servicio verificaría el remitente, la audiencia y la suscripción esperados y volvería a comprobar únicamente los recibos ya guardados para cuentas disponibles. Una notificación por sí sola no concedería membresía. No conservaríamos el cuerpo de la notificación recibida ni su token de identidad.

Ante un reembolso completo autenticado de una suscripción, el servicio compararía un hash unidireccional del pedido reembolsado de Google con un hash del pedido actual verificado. Los hashes de reembolso permanecerían junto al recibo cifrado hasta la eliminación definitiva de la cuenta, para que una comprobación posterior no restablezca ese pago reembolsado ni cancele una renovación pagada diferente. No conservaríamos los identificadores originales de los pedidos. Los reembolsos parciales y los procedimientos de revisión de reembolsos todavía requieren implementación y revisión del propietario y de un asesor legal antes de activar la facturación.

La recuperación prevista de notificaciones no recibidas comprobaría todas las páginas del historial de reembolsos completos de los últimos 30 días disponible en Google. Los cuerpos de respuesta y los tokens de página se usarían solo en memoria. El servicio conservaría la fecha de la última comprobación correcta de reembolsos de cada recibo y exigiría que tuviera menos de 15 minutos para conceder acceso de pago; una comprobación fallida no prolongaría ese plazo. Las comprobaciones propuestas se realizarían cada cinco minutos y después de reiniciar el servicio o guardar un nuevo recibo. Una interrupción más larga que el historial disponible de Google exigiría revisión del personal para ese recibo antes de reanudar el acceso de pago. Estos plazos y procedimientos requieren revisión del propietario y de un asesor legal antes de activarlos.

Las comprobaciones propuestas de acceso de Google se realizarían cada cinco minutos para las suscripciones que sigan en verificación. El acceso de pago exigiría una verificación correcta de menos de 15 minutos de antigüedad. Una interrupción del proveedor podría pausar temporalmente las funciones de pago después de ese límite; las grabaciones originales y la exportación gratuita seguirían disponibles. Estos ajustes requieren revisión antes de activar las compras.

Para comprobar renovaciones, suspensiones o reembolsos de Google sin solicitar de nuevo el comprobante, el servicio guardaría el token de compra cifrado con una clave independiente derivada para su cuenta. Este almacenamiento privado no aparecería en las respuestas de membresía, las grabaciones ni las exportaciones para destinatarios y se eliminaría al borrar definitivamente su cuenta. Las actualizaciones automáticas de suscripción y la revisión siguen siendo necesarias antes de activar las compras.

Tras verificar la cuenta y la suscripción comprada, el servicio confirmaría la recepción de una compra pendiente en Google Play y comprobaría de nuevo su estado antes de conceder acceso. Esta confirmación no sustituiría el identificador de la cuenta. Las compras siguen desactivadas hasta completar la integración con la tienda y la revisión.

Verificación prevista con Google Play: el servicio enviaría el nombre del paquete de la aplicación y el token de compra a la API de Google Play para comprobar el producto, el estado de la suscripción y las fechas. Las compras incluirían un identificador ofuscado de la cuenta de SurpassLife que debe coincidir con la cuenta que inició sesión. Guardaríamos una referencia de compra cifrada mediante una función hash, el producto verificado, las fechas y el estado de acceso, no los datos de la tarjeta de pago. La configuración de la tienda, las actualizaciones de suscripción y la aprobación siguen siendo necesarias antes de activar las compras.

Recuperación prevista: si la persona solicita a soporte una nueva invitación después de que venza la anterior o de perder un espacio aceptado sin vincular, el personal podría enviarla al correo y al número móvil originales. Guardaríamos la referencia del caso, quién lo gestionó y la fecha; invalidaríamos la invitación anterior y exigiríamos nuevos códigos por correo y mensaje de texto y una nueva verificación de identidad. Es una recuperación solicitada, nunca un recordatorio. Las cuentas vinculadas recuperan su espacio guardado. Esta acción no cambia los datos de contacto.

Este servicio está desactivado en la aplicación pública. Tras aceptar una entrega con identidad verificada, la persona podría vincular esa invitación a su propia cuenta con código por correo. Guardaríamos el identificador de la cuenta vinculada y la fecha para recuperar solo su espacio y calcular el acceso según el período financiado y sus propias compras verificadas. El correo de la cuenta debe coincidir con el de la persona elegida. El vínculo no da acceso a la cuenta del creador ni al contenido de otra persona. La exportación sigue disponible cuando vence la membresía. Al eliminar definitivamente esa cuenta, se elimina el vínculo; el archivo del creador sigue sus propias normas de conservación. Los proveedores de pago no están configurados y se requiere revisión antes de activar el servicio.

Hasta vincular un espacio aceptado, el dispositivo puede recordar su comprobante de descarga y la dirección del servicio en Keychain o Keystore, fuera del archivo. La vista de prueba del navegador usa localStorage, que no es almacenamiento seguro. El comprobante se elimina al vincular el espacio o borrar los datos locales; el servidor lo rechaza al vencer. Para iniciar sesión sigue siendo necesario el correo elegido para la invitación.

Pago previsto de la membresía en la web

El pago con Stripe no está habilitado. Si se activa más adelante, enviaríamos a Stripe una referencia de la cuenta convertida en un hash y el plan elegido. Para evitar sesiones de pago duplicadas y recuperar solicitudes interrumpidas, guardaríamos una referencia de pago vinculada a la cuenta, el plan, una huella de la solicitud, la fecha y el estado del intento, y el identificador de sesión de Stripe y su vencimiento. Tras una solicitud de eliminación, usaríamos un identificador de sesión conocido para pedir a Stripe que cierre una sesión de pago que siga abierta. Los pagos completados requerirían una revisión aparte; esto no reembolsaría automáticamente un pago ni cancelaría una suscripción. Si la limpieza falla, no ampliaría el plazo de gracia para eliminar la cuenta. Este registro no guardaría el enlace de pago alojado, datos de tarjetas o bancos, respuestas completas del proveedor ni claves secretas. Se eliminaría al borrar definitivamente la cuenta, según el calendario de conservación legal que se apruebe. La revisión legal y la verificación de pagos siguen siendo necesarias antes del lanzamiento.

La recuperación prevista de notificaciones de Stripe guardaría referencias de eventos y de pagos, suscripciones o cargos, una huella de enrutamiento, fechas de entrega y reintento, el estado del procesamiento y referencias de cuentas vinculadas cuando se conozcan. Estos pequeños registros permitirían recuperar eventos de facturación retrasados o repetidos mediante verificaciones en segundo plano. Para recuperar un cargo, leeríamos referencias de pagos y facturas de Stripe para encontrar una membresía ya guardada. En cargos antiguos, una búsqueda limitada podría leer en memoria referencias de otros pagos; no las conservaríamos. Una búsqueda incompleta requeriría otro intento o revisión. No guardaríamos cuerpos completos de notificaciones, firmas, datos de tarjetas o bancos ni mensajes de errores del proveedor. Los registros vinculados a una cuenta se eliminarían al borrarla definitivamente; las reglas finales de conservación y reintento todavía requieren revisión legal. Este flujo sigue desactivado.

Para un pago interrumpido cuyo identificador de sesión no se guardó, la limpieza prevista buscaría un conjunto limitado de sesiones de Stripe creadas desde ese intento. Una coincidencia única debe acreditar su cuenta y plan antes de la limpieza. Los datos de sesiones no relacionadas solo se leerían en memoria, sin conservarlos. Una búsqueda incompleta, contradictoria o vacía requeriría revisión u otro intento. Este flujo sigue desactivado.

Una cuenta en SurpassLife.com

Puedes crear una cuenta aquí con tu correo electrónico. Enviamos un código de seis dígitos a ese correo para iniciar sesión; no hay contraseña. Si te unes a la lista de espera, guardamos que te uniste y cuándo, y te escribimos una sola vez, cuando Mindument esté lista para descargar. No se envía nada más. Puedes salir de la lista de espera cuando quieras desde tu cuenta. Las noticias de la empresa se muestran en tu cuenta, no se envían por correo.

También puedes unirte a la lista de deseos solo con tu correo, sin cuenta. Guardamos el correo y el idioma que elegiste, te enviamos una confirmación con un enlace para salir y un correo cuando Mindument esté lista para descargar, con el enlace. No se envía nada más, y el enlace de la confirmación te saca de la lista cuando quieras.

El sitio local no utiliza cookies publicitarias ni analíticas de comportamiento. Guarda idioma y apariencia en localStorage y una sesión en la pestaña cuando está habilitada. Un servidor web y de cuentas recibe datos de conexión, como dirección de red y solicitudes; se usan direcciones para limitar abusos. Antes de desplegar deben verificarse y explicarse registros de acceso, conservación y cualquier almacenamiento adicional. El navegador o alojamiento puede aplicar sus propios mecanismos fuera de nuestro código.

Descargar desde una invitación

Cuando haya una descarga aprobada para Android, la página privada de la invitación podrá ofrecer un enlace a Google Play o a la página de descarga de SurpassLife. Solo se abre si lo eliges. El enlace no contiene el código de tu invitación y la página no envía información de referencia. El servicio de descarga recibe una solicitud normal del navegador, sujeta a sus propias condiciones de privacidad. Conserva la invitación y vuelve a ella después de instalar la aplicación; descargarla no acepta la invitación ni entrega ninguna grabación. Esta opción todavía no está configurada para uso público.

Quién puede verlo

Con la nube pública desactivada, la app no sube tus grabaciones personales a SurpassLife. Alguien con acceso al dispositivo desbloqueado, una exportación o una copia compartida puede verlas. Los registros de cuenta web son distintos. Un futuro archivo alojado puede ser accesible por servicios autorizados y, de forma limitada para soporte, seguridad o exigencias legales, por personal autorizado según lo comunicado; no sería una promesa de acceso técnico imposible.

Exportar y borrar

• Exportar: desde Exportar y restaurar en Más, la app crea un archivo ZIP con archivos sencillos: el audio original, las fotografías que elegiste, texto y JSON. Guarda el ZIP fuera de la app con la opción de compartir del teléfono. Puedes abrirlo con cualquier herramienta ZIP; no necesitas Mindument para leer su contenido.
• Borrar: los controles de Privacidad borran el archivo local tras confirmación, no todos los archivos del teléfono. Desinstalar suele borrar datos privados de la app, según plataforma y ajustes. Debes borrar por separado los ZIP exportados, fotos en la biblioteca, copias externas y copias de destinatarios donde tengas control.

Menores

Mindument es para adultos que se graban a sí mismos. La versión actual de prueba para el propietario solo permite nuevas grabaciones de voz del titular de la cuenta; los archivos familiares anteriores pueden contener grabaciones de otra persona claramente identificadas. No se dirige a menores ni permite titulares o creadores menores de 18. Un archivo adulto puede mencionar a un niño o contener una foto lícita, sin crear una cuenta infantil ni autorizar grabar su voz. Si un servicio habilitado recoge directamente datos de un menor no autorizado, debe restringirse y borrarse o tratarse conforme a la ley. Edad y destinatarios menores requieren revisión antes de entregas públicas.

La semejanza

La generación de voz y las respuestas completadas por modelos están desactivadas en la configuración pública actual. Una futura semejanza debe estar identificada, usar material autorizado, rechazar temas no respaldados y evitar suplantaciones o recuerdos, disculpas y confesiones inventados. Las respuestas automáticas pueden ser erróneas; comprueba afirmaciones importantes con los originales. Mindument es apoyo en el duelo; no es terapia ni asesoramiento psicológico.

Consentimiento escrito y recuerdos adjuntos

La configuración final requiere marcar una casilla de acuerdo con los Términos. Guardamos el texto exacto, versiones y huellas de los documentos, idioma, hora y referencia del perfil o cuenta verificada. El código usa los registros de seguridad existentes; no implica permiso de voz. Notas, fotos elegidas y dibujos se guardan con el recuerdo en tu teléfono. Guardar automáticamente empieza desactivado hasta elegir Sí; guarda al volver. Los servicios de proveedores siguen desactivados.

Fuentes, fines y divulgaciones necesarias

Los datos locales proceden de lo que introduces, grabas o eliges con permisos del dispositivo. Si están habilitados, datos de cuentas e invitaciones proceden de ti, del creador que nombra destinatarios y de servicios de verificación o pago explicados. Se usan para funciones elegidas, consentimiento, seguridad, solicitudes y obligaciones legales. No vendemos información personal ni usamos recuerdos sensibles para publicidad dirigida. Nombrar destinatario o aceptar Términos no envía un archivo a la empresa.

En un servicio en línea habilitado, proveedores contratados de alojamiento, mensajes o pagos reciben solo lo necesario para su función comunicada. Los destinatarios autorizados reciben la copia elegida conforme a la entrega aplicable. Puede haber divulgaciones limitadas exigidas por ley, procesos legales válidos o necesidades de seguridad documentadas permitidas por ley; evaluamos necesidad, limitamos datos y avisamos cuando sea lícito y apropiado. Transferir el negocio no autoriza cambiar fines ni ignorar decisiones. Mencionar un proveedor o fin futuro en este borrador no autoriza su activación.

Conservación, borrado y copias separadas

El archivo local permanece hasta borrarlo o eliminar el almacenamiento privado. Las exportaciones normales no se prometen cifradas; compartir puede enviar copias a otra app, nube o persona. No podemos recuperar copias independientes de destinatarios ni controlar sus actos. Retirar permiso afecta al tratamiento futuro que controlamos, sin borrar automáticamente copias independientes lícitas ni invalidar tratamiento anterior lícito.

Antes de alojar funciones, la política final debe publicar plazos verificados o criterios claros para cuentas, registros de seguridad, consentimiento, pagos, archivos y respaldos. El borrado de cuenta previsto incluye 14 días antes de la purga, no borrado inmediato de todos los sistemas. Una excepción legal documentada por disputa, investigación o registro obligatorio debe limitar datos y acceso y terminar cuando deje de justificarse. Prevalece cualquier plazo legal de destrucción biométrica; una excepción general de consentimiento no permite prolongarlo. Deben verificarse eliminación de respaldos y cancelación de suscripciones antes de activación.

Huellas de voz, biometría y recuerdos sensibles

Una grabación o foto normal no es automáticamente un identificador biométrico; obtener huellas de voz, geometría facial o plantillas identificativas puede activar leyes adicionales. Esta versión no habilita clonación de voz, identificación facial ni recogida biométrica por proveedores de identidad. Aceptar Términos o grabar consentimiento no sustituye la autorización escrita o electrónica informada que sea exigible. Antes de recoger esos datos deben comunicarse fines, datos, destinatarios y duración, publicarse conservación y destrucción, obtenerse autorización separada y permitir retirada y destrucción lícitas. No se autoriza vender ni lucrarse con información biométrica.

Los recuerdos pueden incluir salud, relaciones, creencias y datos sensibles aunque no damos atención médica. No añadas datos que no tengas autoridad para divulgar. No afirmamos que todos los archivos estén cubiertos por HIPAA ni que estos documentos demuestren su cumplimiento. Deben evaluarse e implementarse normas de salud del consumidor, grabación, imagen y privacidad según mercados antes del tratamiento afectado.

Seguridad e incidentes

Aislamiento y futuro cifrado reducen riesgos sin eliminar acceso indebido, pérdidas ni fallos. Protege dispositivo y exportaciones; no envíes códigos, tokens ni archivos completos en una solicitud común. Un incidente confirmado de datos en sistemas que controlamos requiere investigación, contención y avisos a afectados y autoridades cuando lo exija la ley. No se renuncia a obligaciones de seguridad, notificación ni supervisión de proveedores.

Solicitudes y derechos según el lugar

Editar, exportar y borrar localmente no requiere cuenta. Para datos de un servicio empresarial habilitado puedes pedir acceso, corrección, borrado o copia portable por su contacto de privacidad verificado. Según la ley puedes restringir u oponerte, retirar consentimiento, usar representante autorizado, recurrir una negativa o reclamar al regulador. Puede requerirse verificación proporcional o una excepción legal explicada; plazos y tarifas siguen la ley, no discreción ilimitada. No tomamos represalias por ejercer derechos. Debe explicarse si retirar permiso impide una función. Antes de recoger datos públicamente deben definirse países, cobertura estatal, transferencias internacionales y bases legales; este borrador no demuestra cumplimiento internacional.

Contacto y entidad operadora

La prueba no publicada no tiene un canal público verificado. SurpassLife es el proyecto y la marca. Antes de recoger datos públicamente o lanzar, deben identificarse entidad verificada, dirección postal y contacto activo para privacidad, retirada de consentimiento, seguridad y reclamaciones. No envíes datos sensibles a una dirección no verificada. Estos datos pendientes impiden el lanzamiento; no son un mecanismo de contacto completado.