Política de privacidad — Tus datos, tus derechos
Visión general
Esta política explica qué recopila NexMedia, por qué y qué ocurre con ello. NexMedia es operado por NexTecSol, Safari Valley, Bahria Town, Islamabad, Pakistán, que es el responsable del tratamiento de los datos personales descritos aquí. En resumen: el servicio está diseñado para saber lo mínimo sobre ti — los invitados convierten archivos sin cuenta, los archivos subidos y convertidos se eliminan automáticamente y la analítica solo funciona con tu consentimiento.
Datos que recopilamos
Invitados: la primera conversión crea una cookie de identidad de invitado en tu navegador. Es un identificador opaco que solo asocia tus subidas, trabajos y enlaces de descarga contigo — sin correo, nombre ni datos de pago.
Cuentas: si creas una cuenta, almacenamos tu correo, una contraseña cifrada (hash) y tus sesiones, además del plan y el saldo de créditos que requieren la facturación y la cuota de conversión.
Claves API: puedes crear claves API con alcance para acceso programático. Cada clave tiene un prefijo visible (la parte secreta se almacena solo como hash Argon2id y no es recuperable) y nunca se registra. Las claves pueden revocarse en cualquier momento desde tu cuenta.
Almacenamiento en la nube: si conectas Google Drive, Dropbox o OneDrive para importar/exportar, se almacena un OAuth concedido (con acceso a archivos) y un token de actualización cifrados en reposo (AES-256-GCM). Los tokens se revocan en el proveedor durante la eliminación de la cuenta, donde el proveedor lo admite.
Formulario de contacto: los envíos no se almacenan en nuestra base de datos — el formulario abre un correo prellenado en tu propia app de correo, y nada se envía hasta que lo revises y envíes. Si incluyes tu dirección de correo, viaja únicamente como dirección del remitente para la respuesta.
Pagos: los planes de pago los procesa Stripe. Los datos de la tarjeta se introducen en el pago de Stripe y nunca llegan a nuestros servidores.
Analítica: solo si aceptas las cookies de analítica, Google Analytics registra cómo se usa el sitio — páginas vistas, clics y mediciones de velocidad — con un identificador seudónimo.
Archivos que subes
Los archivos que subes existen para ser convertidos: se escanean, procesan y luego eliminan después de 2 horas, y los enlaces de descarga caducan con ellos. No vendemos datos de clientes ni extraemos datos de ellos.
Cookies y rastreo
Las cookies estrictamente necesarias se establecen siempre: la cookie de identidad de invitado o de sesión y tu preferencia de tema. La analítica solo se activa si la aceptas en el banner de cookies: entonces se cargan Google Tag Manager y Google Analytics, que establecen sus cookies para medir cómo se usa el sitio. No se carga nada antes de que aceptes, no se usan rastreadores publicitarios y puedes retirar el consentimiento en cualquier momento desde «Configuración de cookies» en el pie de página.
Terceros
No vendemos ni compartimos tus datos personales. El procesamiento por terceros se limita a lo que el servicio necesita para funcionar: Stripe para pagos y suscripciones, el proveedor de alojamiento y el backend de object-storage de este despliegue y — solo si aceptas las cookies de analítica — Google, que proporciona Google Tag Manager y Google Analytics.
Cuando conectas una cuenta de cloud-storage (Google Drive, Dropbox o OneDrive) para importar/exportar, esos proveedores actúan como tus procesadores para el contenido de archivo que mueves por ellos: los tokens se almacenan cifrados en reposo, la transferencia ocurre a tu explícita dirección y los tokens se revocan durante la eliminación de la cuenta donde el proveedor lo admite.
El proveedor de alojamiento, el object-storage y la base de datos son configuraciones de despliegue: un operador que use infraestructura en región UE hace que esos componentes sean UE-residentes. Stripe, proveedores de cloud-storage, y cualquier servicio de analítica o CDN operan en su propia infraestructura y no son configurables por región.
El escudriñado de malware se ejecuta en ClamAV autoalojado; procesa contenido para comprobaciones de seguridad pero no transmite nada fuera.
Un Acuerdo de Procesamiento de Datos está disponible bajo petición. Consulta el registro completo de subprocesadores para la lista actual y el procedimiento de cambios.
Google Analytics, cuando está activado, está configurado para anonimizar IPs y no recibe contenidos de archivos ni identificadores de cuenta.
Subprocesadores y proveedores de servicios
No vendemos ni compartimos tus datos personales. El procesamiento por terceros se limita a lo que el servicio necesita para funcionar: Stripe para pagos y suscripciones, el proveedor de alojamiento y el backend de object-storage de este despliegue y — solo si aceptas las cookies de analítica — Google, que proporciona Google Tag Manager y Google Analytics.
Cuando conectas una cuenta de cloud-storage (Google Drive, Dropbox o OneDrive) para importar/exportar, esos proveedores actúan como tus procesadores para el contenido de archivo que mueves por ellos: los tokens se almacenan cifrados en reposo, la transferencia ocurre a tu explícita dirección y los tokens se revocan durante la eliminación de la cuenta donde el proveedor lo admite.
El proveedor de alojamiento, el almacén de objetos y la base de datos se ejecutan en nuestros propios servidores en la Unión Europea, por lo que esos componentes son residentes en la UE. Stripe y los proveedores de almacenamiento en la nube operan su propia infraestructura; Google Analytics solo está activado si aceptas las cookies de analítica.
El escudriñado de malware se ejecuta en ClamAV autoalojado; procesa contenido para comprobaciones de seguridad pero no transmite nada fuera.
Un Acuerdo de Procesamiento de Datos y la lista actual de subprocesadores están disponibles bajo petición en contact@NexMedia.online.
Google Analytics, cuando está activado, está configurado para anonimizar IPs y no recibe contenidos de archivos ni identificadores de cuenta.
Retención de datos
Los archivos que subes existen solo para ser convertidos: los blobs de origen y las salidas convertidas se eliminan automáticamente después de 2 horas, y los enlaces de descarga caducan con ellos. Los artefactos de exportación son single-use y caducan tras una hora.
Las sesiones duran hasta un mes (o hasta revocarse) y los registros de intentos de inicio de sesión caducan dentro de la ventana de bloqueo. Los registros de entrega de webhooks se conservan un mes. Los registros de aplicación se conservan durante 14 archivos diarios cuando el registro por archivos está activado.
Las entradas del registro de auditoría se conservan a largo plazo — incluyendo a través de la eliminación de la cuenta — porque registran el hecho de que una eliminación ha ocurrido y sustentan la supervisión de seguridad. El registro de auditoría contiene únicamente IDs (admin:/account:/apikey:/system: + UUID), nunca direcciones de correo.
Los informes de abuso y los registros de escalamiento de seguridad (coincidencias hash de seguridad infantil) se conservan mientras sean necesarios para la gestión de abusos y no están vinculados a los datos personales de la cuenta eliminada.
Stripe conserva tu historial de facturación como responsable independiente; la plataforma no mantiene registros financieros shadow después de la eliminación. Las copias de seguridad de infraestructura siguen las semánticas de borrado del proveedor y son un riesgo residual documentado hasta que sus rotaciones pasen.
Dónde viven tus datos y transferencias internacionales
NexMedia es operado por NexTecSol, cuyo equipo tiene su base en Islamabad, Pakistan. Todos los archivos y bases de datos residen en nuestros propios servidores autoalojados en la Unión Europea: servidores de aplicación, PostgreSQL y Redis en el equipo de cómputo, y un almacén de objetos compatible con S3. Por tanto, los archivos subidos, las salidas convertidas y los registros de la base de datos se almacenan en la UE.
Las solicitudes al sitio pasan por Cloudflare, que proporciona DNS, CDN y servicios de seguridad, incluidas comprobaciones de protección contra bots de Turnstile en los endpoints protegidos. Tu dirección IP y los metadatos de conexión protegidos por TLS son procesados por esa infraestructura para entregar y asegurar el sitio. Todo el tráfico está cifrado con TLS y nada se sirve antes de Cloudflare.
Ningún archivo se sube a un servicio de IA de terceros, API de traducción o proveedor de modelos en la nube. Las conversiones se ejecutan íntegramente en nuestros propios servidores de la UE con motores de código abierto instalados localmente (FFmpeg, libvips, Calibre y otros). Las salidas convertidas se deduplican por hash de contenido: un archivo idéntico convertido dos veces devuelve la misma salida almacenada, y las salidas caducan según lo previsto independientemente de lo que hagas.
La selección de región por cuenta no está soportada: todo el almacenamiento está en la UE, así que no hace falta elegir. Un pequeño número de encargados opera su propia infraestructura fuera de nuestro control (Stripe para pagos; Google Analytics solo si aceptas las cookies de analítica; los proveedores de almacenamiento en la nube Google, Dropbox y Microsoft cuando conectas una cuenta; Cloudflare para entrega y protección). Todo lo que no está bajo nuestro control aparece en la sección de encargados con sus propios términos de transferencia de datos, y las transferencias al personal de NexTecSol (por ejemplo, una solicitud de soporte) se apoyan en garantías adecuadas como cláusulas contractuales estándar.
Cookies y almacenamiento del navegador
El almacenamiento local estrictamente necesario mantiene la página funcional. Antes de consentir analíticas, no se crean las cookies de analítica que aparecen más abajo.
| Clave de almacenamiento | Función | Duración | Categoría | |---|---|---|---| | la cookie de identidad del sitio (NexMedia con sufijo _guest, HTTP-only) | Tu token de identidad de invitado o sesión autenticada. Asocia tus subidas, trabajos y enlaces de descarga contigo. No contiene correo, nombre ni datos de pago. | un mes (cookie de sesión), luego caduca | Necesaria | | clave de tema de NexMedia (localStorage) | Recuerda tu elección de tema claro/oscuro. | Hasta que borres el almacenamiento del navegador | Preferencia | | clave de idioma de NexMedia (localStorage) | Recuerda el idioma seleccionado. | Hasta que borres el almacenamiento del navegador | Preferencia | | clave de consentimiento de NexMedia (localStorage, versionada) | Recuerda qué categorías de cookies has aceptado y cuándo, para que el aviso no vuelva a aparecer en cada visita. | 1 año | Necesaria | | _ga, _ga_* (cookies) | Cookies de propiedad y campaña de Google Analytics 4, mide qué páginas y herramientas se usan. Las establece Google solo después de aceptar analíticas. | 2 años | Analítica | | _gid (cookie) | Cookie de frescura de Google Analytics 4, distingue visitas en ventanas cortas. La establece Google solo después de consentir. | un día | Analítica |
No establecemos cookies publicitarias. Si se rechazan las cookies analíticas, las filas de Google Analytics en esta tabla nunca se crean. Puedes cambiar tu elección en cualquier momento desde «Configuración de cookies» en el pie de página.
Abuso y seguridad
Los informes de abuso contienen el texto que el reportero envía (que puede nombrar un objetivo) y, opcionalmente, datos de contacto del reportero. Se conservan mientras sean necesarios para la gestión de abusos y no se eliminan automáticamente: el período de retención es una política revisada por los operadores.
Los registros de escalamiento de seguridad contienen únicamente identificadores técnicos (un ID de blob y un ID de trabajo) y un ID de lista hash coincidente. No contienen contenido de archivos, ID de cuenta ni dirección de correo electrónico, y se conservan como prueba de una comprobación de seguridad. Al eliminar una cuenta, no se eliminan los registros de escalamiento de seguridad, pero no contienen datos atribuibles al susjeto eliminado.
La plataforma escudriña las subidas en busca de malware con ClamAV autoalojado antes de cualquier conversión: fail-closed, por lo que una detección rechaza el archivo en lugar de convertirlo.
Tus derechos y tus datos
De acuerdo con el RGPD, tienes derecho a la información, al acceso, a la rectificación, al borrado, a la restricción del tratamiento, a la portabilidad de datos, a la oposición y a no ser objeto de decisiones automatizadas. Las cuentas con sesión iniciada tienen autoservicio para dos de ellos: exportación de datos (portabilidad) y borrado de cuenta (eliminación) desde la página de privacidad de la cuenta en cualquier momento.
Ambas requieren tu contraseña actual: la exportación reúne tus datos en un archivo JSON legible por máquina con un enlace de descarga single-use y con caducidad; el borrado elimina permanentemente y verificablemente tu cuenta y archivos, atravesando la base de datos y el almacenamiento.
Los invitados no tienen datos de cuenta: la cookie de invitado no contiene nombre, correo ni datos de pago, y borrar las cookies del navegador la elimina. Si tienes preguntas sobre cualquier otro derecho, la página de contacto es el lugar indicado — y el derecho a presentar una queja ante la autoridad de supervisión siempre está disponible.
Cómo protegemos tus datos
TLS 1.2 o superior se aplica en cada conexión. Las contraseñas nunca se almacenan en texto plano: se cifran con Argon2id usando una sal aleatoria única por contraseña, y la verificación se ejecuta en tiempo constante.
Los enlaces de descarga están firmados y caducan poco después de emitirse. Los tokens de sesión y actualización están protegidos con HMAC y son de corta duración: los tokens de acceso rotan cada 15 minutos y los de actualización duran hasta dos semanas. Los intentos de inicio de sesión tienen límites con ventana de bloqueo.
Límites de tasa, protección contra bots con Cloudflare Turnstile y subidas validadas imponen techos de tamaño y páginas por plan. El acceso a los datos dentro de la plataforma es mínimo y de privilegio mínimo tanto para servicios como para el personal. Nunca vendemos tus datos personales.
Seguridad
Los archivos se suben por conexiones cifradas y se procesan en workers aislados. Las sesiones son del lado del servidor y pueden revocarse individualmente. La página de seguridad describe las medidas con más detalle.
Privacidad infantil
El servicio no está dirigido a niños menores de 13 años (o del umbral de edad digital local, si es mayor) y no recopilamos conscientemente datos personales de niños. Si crees que un niño ha enviado datos personales a través de este servicio, háznoslo saber y borramos los datos sin demora.
Cambios en esta política
Si esta política cambia de forma sustancial, la versión actualizada se publica en esta página con una nueva fecha de «última actualización». Seguir usando el servicio tras la entrada en vigor de un cambio implica aceptar la política actualizada.
Preguntas
Si algo de esta política no está claro, o tienes una pregunta de privacidad que esta página no responde, contacta con los mantenedores a través de la página de contacto.