What this policy covers

This policy covers the Bespoke Prompting web app at bespokeprompting.com: signing in, creating and saving prompts (we call this "the forge"), the community chat, and paying for the product. It applies to everyone who uses Bespoke Prompting, wherever you are. It does not cover other websites you might reach through links, or content you paste in from elsewhere — once you leave our app, the privacy policy of wherever you land applies.

The data we collect

We try to collect as little as possible, and we want you to know exactly what that is. It falls into four groups.

1. Information you give us directly

• Your email address. We use it to sign you in. Bespoke Prompting uses "magic links" — you enter your email, we send you a one-time link through Resend, you click it, and you're in. We never ask for or store a password. Your email and account identity live in our Supabase database.
• Your prompts and ideas. The core input to the product, covered in full in the next section.
• Your community chat messages. Covered in its own section below.

2. Information collected automatically when you use the app

Some technical data is collected in the background by the services that host, secure, and measure the app — Vercel, Sentry, and PostHog:

• IP address. Collected automatically by Vercel (hosting), Sentry (error tracking), and PostHog (analytics) as a normal part of serving and securing web traffic.
• Device and browser information. Your browser type and version, operating system, screen resolution, and general device type.
• Session information. Timestamps for when your sessions start and end, and how long you stay.
• Referring URLs. The page or link that sent you to us.
• Feature interaction logs. Which buttons you click and which stages of the forge you complete, recorded by PostHog so we can see where the product helps and where people get stuck.
• Account lifecycle data. Your account creation date and your last login time, stored in Supabase.

3. Subscription and payment information

• Your subscription plan and payment history — the plan you're on, plus the dates, amounts, and status of your payments. We store this to manage your account and meet our tax and accounting obligations. We never store your card number — Stripe handles that entirely (see "How we protect your data").

4. Error and diagnostic data

• Error stack traces and crash context. When something breaks, Sentry captures the technical error (including the stack trace) and limited context about the recent actions that led to it. This is aimed at fixing the bug, not at profiling you.

Your prompts and ideas

This is the most important part of this policy, so we are going to be exact. Your prompts and ideas are your intellectual property — always. Submitting a prompt to Bespoke Prompting does not transfer ownership of it to us.

Exactly what happens when you submit a prompt

1. You type your prompt in the app.
2. It is received by our gateway service (running on Railway).
3. The gateway strips out all metadata — everything that could identify you — and keeps only the text of your prompt.
4. It sends only that prompt text to Anthropic's API, which runs the AI model that produces your result.
5. The result is returned through the gateway back to you in the app.
6. Your prompt and its result are saved to our Supabase database, stored under your account's user ID, so they appear in your library.

What we never send to Anthropic

When we call Anthropic's API, we deliberately do not send any of the following: your email address, your IP address, your account user ID, your session token, your device or browser information, or any other account data. Anthropic receives the text of your prompt and nothing else.

How Anthropic handles it

Anthropic processes your prompt under its commercial API terms. Under those terms, your inputs are not used to train Anthropic's models. We also operate in zero-data-retention mode, which means Anthropic does not store your prompt after returning the result — once your result is generated, the prompt is gone from Anthropic's side.

How long your prompts stay with us

On our side, your prompts remain in our Supabase database indefinitely while your account is active, so your library is there whenever you return. If you ask us to delete your account, we delete your prompts and library from our active database within 30 days of the request.

If you delete an individual prompt, we remove it from the active database immediately. A copy may remain in our encrypted backups for up to 90 days, after which it is permanently purged. We don't restore deleted prompts from backup except to recover from a genuine system failure.

Who can see your prompts

Automated systems process your prompts to deliver the product (the Anthropic API call above) and to help detect fraud and illegal use of the service. Beyond that, in normal operation no one at Penguin Brains LLC reads your prompts. Our technical staff may access stored prompt data only in two situations: (1) when we receive a valid legal order requiring it, or (2) when we are investigating a specific report of abuse. We do not browse, mine, or review prompts for any other reason.

Sensitive information you should never submit

We show a reminder about this before you use the forge. If you submit sensitive information anyway, here is exactly what happens: it flows through the same automated pipeline as any other prompt — sent to Anthropic for processing and stored in your library — with no special handling, no extra encryption, and no special deletion. We don't scan for it, and we can't protect it differently. You submit it at your own risk. The safest rule: if you would be uncomfortable seeing it stored in a database, don't type it into a prompt.

Community chat and automated moderation

Bespoke Prompting has a community chat where signed-in users can talk to each other. Two things to know up front: chat is not private (anything you post is visible to other authenticated users), and chat messages are temporary — they are visible for about 24 hours and then automatically deleted on a rolling, hourly basis. We don't keep a long-term archive of chat.

How automated moderation works

Every message you post is checked by an automated moderation system before it goes live. No human reviews messages as they're posted.

• What it checks for: profanity and slurs, spam patterns, links and URLs, repeated-character spam, all-caps shouting, and homoglyph tricks (look-alike characters used to sneak banned words past filters).
• Languages covered: English and Spanish, at minimum.
• When a message is flagged: the message is blocked from posting, you're shown a warning, and an offense is added to your count.
• Progressive timeouts: repeated violations lead to escalating restrictions — a 1-hour timeout for a first offense, 24 hours for a second, 7 days for a third, and a permanent ban for a fourth or further offense.
• Appeals: if you think a block or ban was a mistake, email privacy@bespokeprompting.com and a human will review it.
• Human review: a person only looks at chat content in two cases — to handle a ban appeal, or where the law requires it. We do not monitor chat for surveillance or read it casually.

The companies that help us run Bespoke Prompting

We rely on a small set of trusted service providers ("processors") to operate. Each one only gets the data it needs to do its job:

• Anthropic — runs the AI that processes your prompts (prompt text only).
• Supabase (US) — sign-in, your account identity, and your saved library.
• Stripe — payment processing (handles all card data).
• Vercel (US) — hosts the web app; collects IP and request data to serve it.
• Railway (US) — hosts our gateway service.
• PostHog — product analytics and feature-interaction logs.
• Google Analytics (US) — traffic and referral analytics for the public site.
• Sentry — error and crash tracking, including stack traces.
• Resend — sends you transactional emails, like magic links.
• Google Workspace — our internal company email.

We don't sell your data to any of them, or to anyone else (more on that below).

Cookies and tracking

We use a small number of cookies and similar technologies — and no advertising ones. Here is the complete list:

• Supabase authentication cookie — required. It keeps you signed in and expires when your session ends. The app can't work without it.
• PostHog analytics cookie — optional. It helps us understand product usage. You can opt out and the app still works fully.
• Google Analytics cookies — optional. Helps us see how many people visit and where they come from. Not required for the app to work.
• Stripe cookies — set only on the checkout page, and only to process your payment securely.
• Sentry session context — technical only. Used to reconstruct what led to an error. Never used for advertising or profiling.

We do not use advertising cookies, tracking pixels, or social-media embeds, and we don't share cookie data with ad networks.

How to opt out: you can turn off PostHog analytics in Settings, and you can block non-essential cookies in your browser settings. The Supabase authentication cookie can't be disabled while you stay logged in, because it is what keeps you logged in.

Where your data is processed

Penguin Brains LLC is based in the United States, and several of our providers — including Supabase, Vercel, and Railway — host their systems in the US. Because Bespoke Prompting is available globally, using it from the European Union, the United Kingdom, Latin America, or anywhere outside the US means your data is transferred to and processed in the United States. For users in the EU/EEA and UK, we rely on these safeguards:

• Standard Contractual Clauses (SCCs). Specifically, the European Commission's clauses in Implementing Decision (EU) 2021/914, Module Two (controller-to-processor), incorporated into our agreements with US-based processors. For UK users, these are used together with the UK Addendum issued by the ICO.
• The EU–US Data Privacy Framework (DPF), and its UK extension. Where a provider self-certifies under the DPF, we rely on that as an additional safeguard. Some of our providers (for example, Google) maintain active DPF certifications; others rely on the Standard Contractual Clauses above.
• Adequacy decisions. Where you are in a country the European Commission has recognized as providing an adequate level of protection, transfers within that scope rely on that recognition.

We use these mechanisms so that your data carries an equivalent level of protection when it moves to the US.

Our legal basis for using your data (EU and UK users)

If you are in the EU or UK, the GDPR requires us to have a "lawful basis" for each thing we do with your data. Here is ours:

• Signing you in, processing your prompts, and handling payments — to perform our contract with you. You can't use the product without these.
• Automatic technical data, analytics, and error tracking — our legitimate interest in running, securing, measuring, and fixing the product, balanced against your privacy.
• Detecting fraud and illegal use — our legitimate interest, and in some cases our legal obligation, to keep the service safe and lawful.
• Keeping payment records — our legal obligation under tax and accounting law.
• Anything you actively opt into — your consent, which you can withdraw at any time.

How we protect your data

Security is built into how Bespoke Prompting is designed — starting with collecting as little sensitive data as possible. Concretely:

• Encryption in transit: all traffic uses TLS 1.2 or higher.
• Encryption at rest: data stored in Supabase and Railway is encrypted using AES-256.
• No passwords: we use magic links, so there are no passwords to steal — we never store one.
• API keys: our Anthropic and other service keys live only on the server side and are never exposed to the browser or frontend.
• Payment data: card data is handled entirely by Stripe, which is PCI DSS compliant. We never receive, process, or store card numbers.
• Access controls: access to the production database is limited to the founder.
• Security review: we review our security setup regularly as the product grows.
• Breach response: if a breach affects personal data, we will notify the relevant authorities within 72 hours where the GDPR requires it, and we will notify affected users without undue delay, as New York's SHIELD Act and other laws require.

We don't hold a formal security certification of our own, and we won't claim one we don't have. Where our providers hold certifications (such as Stripe's PCI DSS compliance), those are theirs.

How long we keep your data

We keep each type of data only as long as we need it. Here are the specifics:

• Account data (email, account identity): while your account is active, plus up to 30 days after you ask us to delete it.
• Prompts and library: same as account data — kept while your account is active, deleted within 30 days of a deletion request.
• Payment records (dates, amounts, plan — never card numbers): 7 years, because tax and accounting law requires it.
• Analytics data (PostHog): a rolling 12 months, then deleted.
• Error logs (Sentry): 90 days.
• Chat messages: about 24 hours, then automatically deleted.
• Backups: our encrypted backups are purged within 90 days of the original data's deletion.

After these periods, we may keep narrowly limited information only where the law requires it, or to resolve an active fraud or abuse investigation — and never longer than we have a lawful reason to.

Your choices and rights

You have real, usable rights over your data. Here is each one, and how to use it.

Your rights

• Access — get a copy of the personal data we hold about you.
• Correction — fix data that's wrong.
• Deletion — delete your account and data (this satisfies GDPR erasure and CCPA deletion).
• Portability / export — export your prompts using the self-service Export button in Settings. You don't need to ask us.
• Restriction or objection — ask us to limit or stop certain processing.
• Opt out of analytics — turn off PostHog tracking in Settings.
• Withdraw consent — for anything you opted into, at any time.

How to make a request

1. Email privacy@bespokeprompting.com with the subject line "Data Access Request" (or naming the right you want to exercise), from or referencing your account email address.
2. We verify your identity — usually by confirming you control the account email — before we act, so that no one else can request your data.
3. We acknowledge your request within 48 hours and give a full response within 30 days, as the GDPR and CCPA require. If a request is unusually complex, we'll tell you and explain any extension.

If you are in California

We honor the rights the CCPA provides, as a matter of policy, whether or not we are legally required to — including the right to know, delete, and correct your information, and the right not to be treated differently for exercising them. We do not sell or share your personal information (see the next section).

If you are in the EU or UK

You have all the rights listed above, plus the right to lodge a complaint with your data protection authority (listed under "Contact and complaints" below).

If you are in Brazil, Chile, or elsewhere

We will honor equivalent rights under your local privacy law — for example, Brazil's LGPD or Chile's Law 21.719. Just contact us.

We don't sell your data

We do not sell your personal information, and we do not "share" it for cross-context behavioral advertising — including as California law defines those terms. We don't run ad networks, we don't trade your data, and we don't hand it to data brokers. Paying our service providers to run the product (the companies listed above) is not a sale — they act on our instructions and only use your data to provide their service to us.

Children's privacy

Bespoke Prompting is not directed to children under 13, and we don't knowingly collect personal information from them. If we learn that we have collected data from a child under 13, we will delete it promptly. If you believe a child has given us their information, email privacy@bespokeprompting.com.

Changes to this policy

If we change this policy, we will post the new version here with an updated effective date. If the change is significant, we will let you know — for example, by email or a notice in the app — before it takes effect.

Contact and complaints

Email privacy@bespokeprompting.com for any privacy question, request, or concern. We acknowledge within 48 hours and aim to give a full response within 30 days.

If you're not satisfied: reply and ask for your request to be escalated, and the founder will personally review it. You also have the right to complain to a data protection authority:

• United States — Federal Trade Commission (ftc.gov).
• European Union — your local Data Protection Authority (find yours via the European Data Protection Board, edpb.europa.eu).
• United Kingdom — Information Commissioner's Office, ICO (ico.org.uk).
• Brazil — Autoridade Nacional de Proteção de Dados, ANPD (gov.br/anpd).
• Chile — Agencia de Protección de Datos Personales (the data protection authority created by Law 21.719, in force from December 1, 2026).

For formal or legal matters, our operating entity is Penguin Brains LLC (in formation), Long Island, New York.

Bespoke Prompting is a product of Penguin Brains LLC (in formation).

Qué cubre esta política

Esta política cubre la aplicación web de Bespoke Prompting en bespokeprompting.com: iniciar sesión, crear y guardar prompts (le llamamos "the forge"), el chat de la comunidad y el pago del producto. Aplica a todas las personas que usan Bespoke Prompting, estés donde estés. No cubre otros sitios web a los que llegues mediante enlaces, ni el contenido que pegues desde otro lugar — una vez que sales de nuestra app, aplica la política de privacidad del sitio donde llegues.

Qué datos recopilamos

Intentamos recopilar lo menos posible, y queremos que sepas exactamente qué es. Se divide en cuatro grupos.

1. Información que nos das directamente

• Tu correo electrónico. Lo usamos para iniciar tu sesión. Bespoke Prompting usa "enlaces mágicos" (magic links): ingresas tu correo, te enviamos un enlace de un solo uso a través de Resend, haces clic y entras. Nunca te pedimos ni guardamos una contraseña. Tu correo y la identidad de tu cuenta viven en nuestra base de datos de Supabase.
• Tus prompts e ideas. La entrada principal del producto, que se cubre por completo en la siguiente sección.
• Tus mensajes del chat de la comunidad. Se cubren en su propia sección más abajo.

2. Información que se recopila automáticamente al usar la app

Algunos datos técnicos se recopilan en segundo plano por los servicios que alojan, protegen y miden la app — Vercel, Sentry y PostHog:

• Dirección IP. La recopilan automáticamente Vercel (alojamiento), Sentry (seguimiento de errores) y PostHog (analítica) como parte normal de servir y proteger el tráfico web.
• Información del dispositivo y del navegador. El tipo y la versión de tu navegador, tu sistema operativo, la resolución de pantalla y el tipo general de dispositivo.
• Información de sesión. Marcas de tiempo de cuándo empiezan y terminan tus sesiones, y cuánto tiempo permaneces.
• URLs de referencia. La página o el enlace que te trajo hasta nosotros.
• Registros de interacción con las funciones. Qué botones haces clic y qué etapas de the forge completas, registrados por PostHog para ver dónde ayuda el producto y dónde se traba la gente.
• Datos del ciclo de vida de la cuenta. La fecha de creación de tu cuenta y la hora de tu último inicio de sesión, guardadas en Supabase.

3. Información de suscripción y pago

• Tu plan de suscripción y tu historial de pagos — el plan que tienes, además de las fechas, montos y estado de tus pagos. Guardamos esto para administrar tu cuenta y cumplir con nuestras obligaciones fiscales y contables. Nunca guardamos tu número de tarjeta — eso lo maneja Stripe por completo (ver "Cómo protegemos tus datos").

4. Datos de errores y diagnóstico

• Trazas de error (stack traces) y contexto de fallos. Cuando algo falla, Sentry captura el error técnico (incluida la traza) y un contexto limitado de las acciones recientes que lo provocaron. El objetivo es arreglar el fallo, no perfilarte.

Tus prompts e ideas

Esta es la parte más importante de esta política, así que vamos a ser exactos. Tus prompts e ideas son tu propiedad intelectual — siempre. Enviar un prompt a Bespoke Prompting no nos transfiere su propiedad.

Exactamente qué pasa cuando envías un prompt

1. Escribes tu prompt en la app.
2. Lo recibe nuestro servicio de gateway (que corre en Railway).
3. El gateway elimina todos los metadatos — todo lo que podría identificarte — y conserva solo el texto de tu prompt.
4. Envía solo ese texto del prompt a la API de Anthropic, que ejecuta el modelo de IA que produce tu resultado.
5. El resultado vuelve a través del gateway hasta ti, en la app.
6. Tu prompt y su resultado se guardan en nuestra base de datos de Supabase, bajo el user ID de tu cuenta, para que aparezcan en tu biblioteca.

Lo que nunca enviamos a Anthropic

Cuando llamamos a la API de Anthropic, deliberadamente no enviamos nada de lo siguiente: tu correo electrónico, tu dirección IP, el user ID de tu cuenta, tu token de sesión, la información de tu dispositivo o navegador, ni ningún otro dato de tu cuenta. Anthropic recibe el texto de tu prompt y nada más.

Cómo lo maneja Anthropic

Anthropic procesa tu prompt bajo sus términos comerciales de API. Bajo esos términos, tus entradas no se usan para entrenar los modelos de Anthropic. Además, operamos en modo de retención cero de datos (zero data retention), lo que significa que Anthropic no almacena tu prompt después de devolver el resultado — una vez que se genera tu resultado, el prompt desaparece del lado de Anthropic.

Cuánto tiempo permanecen tus prompts con nosotros

De nuestro lado, tus prompts permanecen en nuestra base de datos de Supabase de forma indefinida mientras tu cuenta esté activa, para que tu biblioteca esté ahí cuando regreses. Si nos pides eliminar tu cuenta, eliminamos tus prompts y tu biblioteca de nuestra base de datos activa en un plazo de 30 días desde la solicitud.

Si eliminas un prompt individual, lo retiramos de la base de datos activa de inmediato. Una copia puede permanecer en nuestras copias de seguridad cifradas hasta por 90 días, tras los cuales se purga de forma permanente. No restauramos prompts eliminados desde una copia de seguridad, salvo para recuperarnos de una falla real del sistema.

Quién puede ver tus prompts

Sistemas automatizados procesan tus prompts para entregar el producto (la llamada a la API de Anthropic descrita arriba) y para ayudar a detectar fraude y uso ilegal del servicio. Más allá de eso, en la operación normal ninguna persona de Penguin Brains LLC lee tus prompts. Nuestro personal técnico puede acceder a los datos de prompts almacenados solo en dos situaciones: (1) cuando recibimos una orden legal válida que lo exige, o (2) cuando investigamos un reporte específico de abuso. No exploramos, minamos ni revisamos prompts por ningún otro motivo.

Información sensible que nunca debes enviar

Te mostramos un recordatorio sobre esto antes de que uses the forge. Si aun así envías información sensible, esto es exactamente lo que pasa: fluye por el mismo proceso automatizado que cualquier otro prompt — se envía a Anthropic para procesarse y se guarda en tu biblioteca — sin ningún manejo especial, sin cifrado adicional y sin eliminación especial. No la buscamos, y no podemos protegerla de forma diferente. La envías bajo tu propio riesgo. La regla más segura: si te incomodaría verla guardada en una base de datos, no la escribas en un prompt.

Chat de la comunidad y moderación automática

Bespoke Prompting tiene un chat de comunidad donde los usuarios con sesión iniciada pueden hablar entre sí. Dos cosas que debes saber de entrada: el chat no es privado (todo lo que publicas es visible para otros usuarios autenticados), y los mensajes del chat son temporales — son visibles durante unas 24 horas y luego se eliminan automáticamente de forma continua, hora por hora. No guardamos un archivo a largo plazo del chat.

Cómo funciona la moderación automática

Cada mensaje que publicas se revisa con un sistema de moderación automatizado antes de publicarse. Ninguna persona revisa los mensajes a medida que se publican.

• Qué revisa: groserías e insultos, patrones de spam, enlaces y URLs, spam de caracteres repetidos, gritos en mayúsculas y trucos con homoglifos (caracteres parecidos que se usan para colar palabras prohibidas).
• Idiomas cubiertos: inglés y español, como mínimo.
• Cuando un mensaje se marca: el mensaje se bloquea, se te muestra una advertencia y se suma una infracción a tu cuenta.
• Sanciones progresivas: las infracciones repetidas generan restricciones crecientes — un bloqueo de 1 hora por la primera infracción, 24 horas por la segunda, 7 días por la tercera, y una expulsión permanente por la cuarta o siguientes.
• Apelaciones: si crees que un bloqueo o una expulsión fue un error, escribe a privacy@bespokeprompting.com y una persona lo revisará.
• Revisión humana: una persona solo mira el contenido del chat en dos casos — para atender una apelación de expulsión, o cuando la ley lo exige. No monitoreamos el chat para vigilarte ni lo leemos por curiosidad.

Las empresas que nos ayudan a operar Bespoke Prompting

Dependemos de un pequeño grupo de proveedores de confianza ("procesadores") para funcionar. Cada uno recibe solo los datos que necesita para hacer su trabajo:

• Anthropic — ejecuta la IA que procesa tus prompts (solo el texto del prompt).
• Supabase (EE. UU.) — inicio de sesión, la identidad de tu cuenta y tu biblioteca guardada.
• Stripe — procesamiento de pagos (maneja todos los datos de tarjeta).
• Vercel (EE. UU.) — aloja la aplicación web; recopila la IP y datos de la solicitud para servirla.
• Railway (EE. UU.) — aloja nuestro servicio de gateway.
• PostHog — analítica del producto y registros de interacción con funciones.
• Google Analytics (EE. UU.) — analítica de tráfico y referencias para el sitio público.
• Sentry — seguimiento de errores y fallos, incluidas las trazas de error.
• Resend — te envía correos transaccionales, como los enlaces mágicos.
• Google Workspace — el correo interno de nuestra empresa.

No vendemos tus datos a ninguno de ellos ni a nadie más (más sobre esto abajo).

Cookies y rastreo

Usamos un número reducido de cookies y tecnologías similares — y ninguna de publicidad. Esta es la lista completa:

• Cookie de autenticación de Supabase — obligatoria. Te mantiene con la sesión iniciada y expira cuando tu sesión termina. La app no puede funcionar sin ella.
• Cookie de analítica de PostHog — opcional. Nos ayuda a entender el uso del producto. Puedes desactivarla y la app sigue funcionando por completo.
• Cookies de Google Analytics — opcional. Nos ayuda a ver cuánta gente visita el sitio y de dónde viene. No es necesaria para que la app funcione.
• Cookies de Stripe — se establecen solo en la página de pago, y únicamente para procesar tu pago de forma segura.
• Contexto de sesión de Sentry — solo técnico. Se usa para reconstruir qué provocó un error. Nunca se usa para publicidad ni perfilado.

No usamos cookies de publicidad, píxeles de rastreo ni incrustaciones de redes sociales, y no compartimos datos de cookies con redes publicitarias.

Cómo desactivarlas: puedes desactivar la analítica de PostHog en Configuración, y puedes bloquear las cookies no esenciales en la configuración de tu navegador. La cookie de autenticación de Supabase no se puede desactivar si quieres seguir con la sesión iniciada, porque es justamente lo que te mantiene dentro.

Dónde se procesan tus datos

Penguin Brains LLC tiene su sede en los Estados Unidos, y varios de nuestros proveedores — incluidos Supabase, Vercel y Railway — alojan sus sistemas en EE. UU. Como Bespoke Prompting está disponible globalmente, usarlo desde la Unión Europea, el Reino Unido, América Latina o cualquier lugar fuera de EE. UU. significa que tus datos se transfieren y se procesan en los Estados Unidos. Para los usuarios de la UE/EEE y el Reino Unido, nos apoyamos en estas salvaguardas:

• Cláusulas Contractuales Tipo (SCC). En concreto, las cláusulas de la Comisión Europea en la Decisión de Ejecución (UE) 2021/914, Módulo Dos (responsable a encargado), incorporadas en nuestros acuerdos con los procesadores con sede en EE. UU. Para los usuarios del Reino Unido, se usan junto con el Addendum del Reino Unido emitido por la ICO.
• El Marco de Privacidad de Datos UE–EE. UU. (DPF) y su extensión para el Reino Unido. Cuando un proveedor se autocertifica bajo el DPF, nos apoyamos en él como salvaguarda adicional. Algunos de nuestros proveedores (por ejemplo, Google) mantienen certificaciones DPF activas; otros se apoyan en las Cláusulas Contractuales Tipo de arriba.
• Decisiones de adecuación. Cuando estás en un país que la Comisión Europea ha reconocido como con un nivel adecuado de protección, las transferencias dentro de ese ámbito se apoyan en ese reconocimiento.

Usamos estos mecanismos para que tus datos lleven un nivel de protección equivalente cuando se mueven a EE. UU.

Nuestra base legal para usar tus datos (usuarios de la UE y el Reino Unido)

Si estás en la UE o el Reino Unido, el RGPD (GDPR) nos exige tener una "base legal" para cada cosa que hacemos con tus datos. Esta es la nuestra:

• Iniciar tu sesión, procesar tus prompts y gestionar los pagos — para cumplir nuestro contrato contigo. No puedes usar el producto sin esto.
• Datos técnicos automáticos, analítica y seguimiento de errores — nuestro interés legítimo en operar, proteger, medir y arreglar el producto, equilibrado con tu privacidad.
• Detección de fraude y uso ilegal — nuestro interés legítimo y, en algunos casos, nuestra obligación legal de mantener el servicio seguro y conforme a la ley.
• Conservar registros de pago — nuestra obligación legal bajo la ley fiscal y contable.
• Cualquier cosa que actives voluntariamente — tu consentimiento, que puedes retirar en cualquier momento.

Cómo protegemos tus datos

La seguridad está integrada en el diseño de Bespoke Prompting — empezando por recopilar la menor cantidad posible de datos sensibles. En concreto:

• Cifrado en tránsito: todo el tráfico usa TLS 1.2 o superior.
• Cifrado en reposo: los datos guardados en Supabase y Railway se cifran con AES-256.
• Sin contraseñas: usamos enlaces mágicos, así que no hay contraseñas que robar — nunca guardamos una.
• Claves de API: nuestras claves de Anthropic y de otros servicios viven solo del lado del servidor y nunca se exponen al navegador o al frontend.
• Datos de pago: los datos de tarjeta los maneja por completo Stripe, que cumple con PCI DSS. Nunca recibimos, procesamos ni guardamos números de tarjeta.
• Controles de acceso: el acceso a la base de datos de producción está limitado al fundador.
• Revisión de seguridad: revisamos nuestra configuración de seguridad con regularidad a medida que el producto crece.
• Respuesta ante brechas: si una brecha afecta datos personales, notificaremos a las autoridades correspondientes dentro de 72 horas cuando el RGPD lo exija, y notificaremos a los usuarios afectados sin demora indebida, como exigen la Ley SHIELD de Nueva York y otras leyes.

No tenemos una certificación de seguridad propia, y no afirmaremos tener una que no tenemos. Cuando nuestros proveedores tienen certificaciones (como el cumplimiento PCI DSS de Stripe), esas son de ellos.

Cuánto tiempo conservamos tus datos

Conservamos cada tipo de dato solo el tiempo que lo necesitamos. Estos son los detalles:

• Datos de la cuenta (correo, identidad de la cuenta): mientras tu cuenta esté activa, más hasta 30 días después de que pidas eliminarla.
• Prompts y biblioteca: igual que los datos de la cuenta — se conservan mientras tu cuenta esté activa y se eliminan dentro de 30 días de una solicitud de eliminación.
• Registros de pago (fechas, montos, plan — nunca números de tarjeta): 7 años, porque la ley fiscal y contable lo exige.
• Datos de analítica (PostHog): 12 meses móviles, luego se eliminan.
• Registros de errores (Sentry): 90 días.
• Mensajes del chat: unas 24 horas, luego se eliminan automáticamente.
• Copias de seguridad: nuestras copias cifradas se purgan dentro de 90 días desde la eliminación del dato original.

Después de estos plazos, podemos conservar información muy limitada solo cuando la ley lo exige, o para resolver una investigación activa de fraude o abuso — y nunca por más tiempo del que tengamos una razón legal para hacerlo.

Tus opciones y derechos

Tienes derechos reales y utilizables sobre tus datos. Aquí está cada uno, y cómo usarlo.

Tus derechos

• Acceso — obtener una copia de los datos personales que tenemos sobre ti.
• Corrección — arreglar datos que estén mal.
• Eliminación — eliminar tu cuenta y tus datos (esto cumple con la supresión del RGPD y la eliminación de la CCPA).
• Portabilidad / exportación — exporta tus prompts con el botón de autoservicio Exportar en Configuración. No necesitas pedírnoslo.
• Restricción u oposición — pídenos limitar o detener ciertos tratamientos.
• Desactivar la analítica — apaga el seguimiento de PostHog en Configuración.
• Retirar el consentimiento — para cualquier cosa que hayas activado, en cualquier momento.

Cómo hacer una solicitud

1. Escribe a privacy@bespokeprompting.com con el asunto "Data Access Request" (o nombrando el derecho que quieres ejercer), desde o haciendo referencia al correo de tu cuenta.
2. Verificamos tu identidad — normalmente confirmando que controlas el correo de la cuenta — antes de actuar, para que nadie más pueda solicitar tus datos.
3. Acusamos recibo de tu solicitud dentro de 48 horas y damos una respuesta completa dentro de 30 días, como exigen el RGPD y la CCPA. Si una solicitud es inusualmente compleja, te lo diremos y explicaremos cualquier prórroga.

Si estás en California

Respetamos los derechos que ofrece la CCPA, por política, estemos legalmente obligados o no — incluido el derecho a saber, eliminar y corregir tu información, y el derecho a no ser tratado de forma diferente por ejercerlos. No vendemos ni compartimos tu información personal (ver la siguiente sección).

Si estás en la UE o el Reino Unido

Tienes todos los derechos listados arriba, más el derecho a presentar una reclamación ante tu autoridad de protección de datos (listada en "Contacto y reclamaciones", más abajo).

Si estás en Brasil, Chile o en otro lugar

Respetaremos derechos equivalentes bajo tu ley local de privacidad — por ejemplo, la LGPD de Brasil o la Ley 21.719 de Chile. Solo contáctanos.

No vendemos tus datos

No vendemos tu información personal, y no la "compartimos" para publicidad conductual entre contextos (cross-context behavioral advertising) — incluso según la definición de la ley de California. No operamos redes publicitarias, no comerciamos con tus datos, y no se los entregamos a corredores de datos (data brokers). Pagar a nuestros proveedores de servicios para operar el producto (las empresas listadas arriba) no es una venta — actúan según nuestras instrucciones y solo usan tus datos para prestarnos su servicio.

Privacidad de los menores

Bespoke Prompting no está dirigido a menores de 13 años, y no recopilamos a sabiendas información personal de ellos. Si nos enteramos de que recopilamos datos de un menor de 13 años, los eliminaremos de inmediato. Si crees que un menor nos ha dado su información, escribe a privacy@bespokeprompting.com.

Cambios a esta política

Si cambiamos esta política, publicaremos la nueva versión aquí con una fecha de entrada en vigor actualizada. Si el cambio es significativo, te lo avisaremos — por ejemplo, por correo electrónico o con un aviso en la app — antes de que entre en vigor.

Contacto y reclamaciones

Escribe a privacy@bespokeprompting.com para cualquier pregunta, solicitud o inquietud sobre tu privacidad. Acusamos recibo dentro de 48 horas y buscamos dar una respuesta completa dentro de 30 días.

Si no quedas satisfecho: responde y pide que tu solicitud se escale, y el fundador la revisará personalmente. También tienes derecho a presentar una reclamación ante una autoridad de protección de datos:

• Estados Unidos — Federal Trade Commission (ftc.gov).
• Unión Europea — tu autoridad local de protección de datos (encuentra la tuya a través del Comité Europeo de Protección de Datos, edpb.europa.eu).
• Reino Unido — Information Commissioner's Office, ICO (ico.org.uk).
• Brasil — Autoridade Nacional de Proteção de Dados, ANPD (gov.br/anpd).
• Chile — Agencia de Protección de Datos Personales (la autoridad creada por la Ley 21.719, en vigor desde el 1 de diciembre de 2026).

Para asuntos formales o legales, nuestra entidad operadora es Penguin Brains LLC (en formación), Long Island, Nueva York.

Bespoke Prompting es un producto de Penguin Brains LLC (en formación).