Membresía y uso del producto
Cuando abres el producto con tu cuenta verificada, tu ID de usuario, tu intervalo de uso según la zona horaria y la última vez que te vimos se añaden a los registros del servicio. Estos registros permiten al administrador autorizado seguir los miembros activos diarios, mensuales y anuales. El panel de administración puede mostrar tu correo, las fechas de registro, verificación y último inicio de sesión, el número de cuentas conectadas, el espacio de archivos usado y notas privadas del administrador añadidas para soporte. Los permisos de administración se asignan en el servidor; los miembros no pueden ver la información de otros miembros ni las notas privadas del administrador. La hora, el tipo y el ID del registro relacionado de cada acción de administración se guardan en el historial de actividad.
Solo para la cuenta de administrador autorizada, antes de mostrar la página de administración, se envía un token de acceso de corta duración desde nuestro propio servidor de Cloudflare al mismo proyecto de Supabase para verificarlo. El acceso de administración usa una cookie Secure, HttpOnly y SameSite=Strict que solo se envía en la ruta /admin. La cookie no contiene un token de actualización y nunca dura más que el token de acceso. No se crea ninguna cookie de administración para cuentas que no son de administrador.
La demo y tu cuenta son espacios separados
Los textos, destinos de publicación y fechas de los planes de la demo se guardan solo en el almacenamiento local de este navegador. Los comentarios de la demo son ejemplos; las respuestas quedan solo en la memoria de la sesión. Los borradores de la demo nunca se suben a tu cuenta. El botón de eliminar de una tarjeta de la demo, o borrar los datos del navegador para este sitio, elimina los borradores locales.
¿Qué se guarda en tu cuenta?
Los inicios de sesión en el Studio los verifica Supabase Auth. Tu correo, tu ID de usuario y los datos de la sesión, tu espacio de trabajo, tu membresía y los borradores de texto que creas se procesan en el proyecto de Supabase de Postborne. Se guarda un historial de cambios del texto. Añadir una fecha a un plan no inicia una publicación social real. La sesión se guarda en el almacenamiento de sesión de esta pestaña; puedes cerrar sesión. Para completar de forma segura el regreso del inicio de sesión, se guarda en el almacenamiento local del navegador un verificador PKCE de corta duración que caduca en menos de una hora.
Los formularios de inicio de sesión, registro y restablecimiento de contraseña usan Cloudflare Turnstile para comprobar que la solicitud la hace una persona. Para esta comprobación, Cloudflare procesa señales técnicas de tu navegador y tu dispositivo; Supabase Auth verifica el resultado. No usamos Turnstile para publicidad ni seguimiento.
Acceso a los datos y eliminación
El acceso a un espacio de trabajo está limitado en la base de datos por membresía y rol. Otros clientes no pueden acceder a tu contenido; el administrador autorizado del proyecto puede tener acceso técnico. Eliminar en el Studio borra el borrador y su historial de cambios; un borrador vinculado a un trabajo de publicación puede no poder eliminarse. Esto no significa que el proveedor borre al mismo tiempo sus copias de seguridad y registros de seguridad. Para cerrar tu cuenta y pedir que se eliminen tus datos personales, sigue los pasos de la página de solicitud de eliminación de datos.
Archivos subidos
Se procesan el propio archivo, su nombre, tipo, tamaño, huella SHA-256, dimensiones de imagen o video y, si existe, la duración. Subir un archivo en el navegador no lo publica; adjuntarlo a un borrador se guarda por separado. Las vistas previas del Studio se muestran mediante enlaces firmados de corta duración. Durante una publicación aprobada, el proveedor correspondiente puede recibir acceso temporal al archivo, como se explica abajo. No se puede eliminar un archivo adjunto a un borrador o a una publicación pendiente. Eliminar un archivo borra el archivo guardado; los metadatos y las referencias en revisiones antiguas pueden conservarse para controles técnicos. Esto no significa que las copias o registros del proveedor se borren al mismo tiempo.
¿Qué servicios reciben datos?
El inicio de sesión y las operaciones de datos de la cuenta van por HTTPS al proyecto de Supabase de Postborne; la región del proyecto es Europa (Irlanda). Los correos de verificación, de enlace de acceso y de restablecimiento de contraseña se envían a través de Brevo. Brevo procesa la dirección del destinatario, el contenido del mensaje y el enlace de un solo uso; el proveedor puede guardar registros de entrega y seguridad. Pedir un correo de cuenta no crea una suscripción de marketing. Las imágenes y los videos se guardan en almacenamiento privado: las subidas nuevas en el almacenamiento Cloudflare R2 de Postborne y las anteriores en el almacenamiento privado de Supabase. Ninguno de los dos es público; los miembros del espacio de trabajo leen los archivos con su sesión mediante enlaces firmados de corta duración. Los objetos guardados con más de 45 días se eliminan automáticamente. El servidor comprueba el formato, el tamaño y la cuota de los archivos. El alcance de los datos de las conexiones sociales y de la API se describe más abajo.
Para poder restaurar el servicio después de un incidente, se hace una copia cifrada de la base de datos una vez al día y se guarda en almacenamiento privado de Cloudflare R2 durante 45 días. La clave de cifrado solo la tienen el servidor y el propietario del proyecto.
Iniciar sesión con Google
Cuando eliges continuar con Google, Google envía a Supabase Auth tu ID de cuenta, tu correo verificado y tu información básica de perfil para verificar tu cuenta de Postborne. Esta información se usa para iniciar sesión y vincular la cuenta. El acceso a YouTube para publicar se concede en un paso de permisos aparte.
Conexión del canal de YouTube
Al iniciar la conexión, la pantalla de Google pide permiso para leer tu canal y subir videos. Tu contraseña de Google nunca se entrega a Postborne. El ID y el nombre del canal que eliges se guardan en el espacio de trabajo; el token de actualización que permite trabajar sin pedir permiso de nuevo se guarda cifrado en el servidor. El token de acceso temporal solo se usa en solicitudes del servidor a Google. Conectar no sube ningún video; publicar requiere una aprobación de contenido aparte. Los datos de Google no se usan para publicidad, venta ni entrenamiento de modelos. Puedes retirar el permiso en las conexiones de tu cuenta de Google; esto no elimina por sí solo el registro en Postborne ni las copias antiguas. Para eliminar los registros de conexión de Postborne, usa la sección de solicitud de eliminación de datos.
Subida privada y programación
En una subida a YouTube, una vez aprobados el archivo, el título, la descripción y las declaraciones de contenido, el video se envía a Google como privado; las notificaciones a suscriptores están desactivadas. Si eliges fecha y hora, la hora UTC y la zona horaria elegida se guardan con el registro. El servidor de Supabase revisa cada minuto los trabajos programados aprobados. Otros trabajos, la cuota, la conexión y los retrasos del proveedor pueden demorar el inicio. Cambiar la fecha anula la aprobación anterior. Cancelar un trabajo que no ha empezado impide que el archivo se envíe a Google; en una subida ya iniciada, primero hay que comprobar el resultado. La transferencia del archivo y el resultado del procesamiento de YouTube se siguen por separado; la última visibilidad verificada y la hora de procesamiento se muestran en el registro. Las llamadas en segundo plano solo se verifican con un permiso de un solo uso, de corta duración y vinculado a un único trabajo. Los permisos temporales usados o no válidos se limpian después de aproximadamente un día. Los registros de trabajos y las aprobaciones de contenido se conservan en el historial de publicaciones.
Instagram y Facebook
El permiso de conexión se concede en la pantalla de Meta (Facebook Login for Business); la contraseña de tu cuenta social nunca se entrega a Postborne. Los ID, nombres y datos de tareas necesarios para publicar de las páginas que administras y de las cuentas profesionales de Instagram vinculadas a ellas se leen solo para que elijas la cuenta que quieres conectar. Se guardan el ID, el nombre, el estado de la conexión, los permisos y la caducidad del acceso de la cuenta elegida. El token de acceso de la página se guarda cifrado en el servidor de Supabase de Postborne; nunca se entrega a tu navegador ni a un cliente de IA. El registro temporal usado para elegir la cuenta es válido durante 10 minutos.
Cuando apruebas la vista previa del borrador, las imágenes o el video compatibles y la descripción elegidos, la publicación se comparte de forma pública en la página o cuenta de Instagram que elegiste. Si eliges una fecha, el servidor publica el trabajo aprobado a esa hora. El archivo solo se entrega a Meta durante la publicación: para Facebook Reels, Meta recibe un enlace privado firmado de corta duración; en los demás casos, Meta obtiene un enlace privado firmado de corta duración (10 minutos para imágenes, 1 hora para video) para descargarlo. Se registran el ID de Meta de la publicación, su enlace, la hora de aprobación y el estado del trabajo. Si el acceso a comentarios está activado, Postborne muestra los comentarios de tus propias publicaciones y envía a Meta la respuesta o la acción de ocultar que elijas. Los datos de Meta se usan para esta cuenta, para publicar y para las acciones permitidas sobre comentarios.
Puedes retirar en cualquier momento el permiso que diste a Postborne desde la configuración de Meta; para que se eliminen los registros en Postborne, consulta la sección de solicitud de eliminación de datos. Para quitar una publicación compartida en Meta, tienes que eliminarla en Facebook o Instagram.
Threads
La conexión con Threads usa la pantalla de autorización de Threads de Meta; tu contraseña se queda allí. Postborne guarda tu ID de usuario de Threads, tu nombre de usuario, los permisos concedidos y la caducidad del acceso, y mantiene el token de acceso cifrado en el servidor. Cuando apruebas una publicación, el texto y los archivos elegidos se publican de forma pública en tu perfil de Threads; para los archivos, Meta recibe un enlace privado firmado de corta duración. Quitar la conexión en el Studio elimina de Postborne el token guardado y los datos del perfil. Las publicaciones ya hechas deben eliminarse en Threads.
Bluesky
Al conectar Bluesky, apruebas el acceso en la pantalla de inicio de sesión del servidor (PDS) de tu cuenta de Bluesky; tu contraseña nunca se entrega a Postborne. Postborne guarda el identificador de tu cuenta (DID), tu nombre de usuario, la dirección de tu servidor y el alcance concedido, y mantiene cifrados en el servidor los tokens de acceso y de actualización. Cuando apruebas una publicación, el texto y hasta cuatro imágenes o un video se publican de forma pública en tu cuenta de Bluesky. Quitar la conexión en el Studio elimina de Postborne los tokens guardados y los datos del perfil. Las publicaciones ya hechas deben eliminarse en Bluesky.
Tus conexiones de API e IA
Las conexiones de API y MCP usan los borradores, archivos y registros de publicación de tu espacio de trabajo con los permisos que eliges. Puedes revocar una clave API o una conexión de IA desde el Centro de conexiones. Una clave API se muestra una sola vez al crearla y es válida hasta que la revoques; el servidor guarda un resumen en lugar del valor en claro. El acceso OAuth es de corta duración y el token de actualización cambia en cada uso. Revocar detiene el acceso futuro. Puedes enviar una solicitud de eliminación de datos para los registros anteriores.
El cliente de IA recibe los textos, nombres e ID de archivos, el calendario y los resultados de trabajos consultados por las herramientas que permitiste; también se aplican las condiciones de datos de ese servicio de IA. Las claves de administración y los tokens de actualización de cuentas sociales nunca se entregan al cliente de IA. La página web de transferencia de archivos requiere una sesión de Postborne; conocer la dirección del enlace no da acceso a ningún archivo. El tráfico de API/MCP pasa por Cloudflare hacia nuestro propio proyecto de Supabase; los archivos grandes subidos por la API se envían por partes directamente al almacenamiento privado.
Recursos externos y medición
Las fuentes y las imágenes promocionales se sirven desde los propios archivos de la aplicación. Los archivos subidos por los usuarios vienen del almacenamiento privado descrito arriba. No añadimos rastreadores publicitarios, analítica de la aplicación ni llamadas propias de pago a IA. El servidor del sitio, Cloudflare y Supabase pueden procesar sus propios registros operativos de seguridad. Durante el inicio de sesión solo está presente la clave publicable diseñada para el navegador; la clave de administración y la contraseña de la base de datos nunca se entregan al navegador.
Conexión del perfil personal de LinkedIn
Al conectar o renovar el permiso, después de tu aprobación leemos el nombre y el ID de tu perfil de LinkedIn. Esta información se usa para que puedas elegir el perfil correcto en el Studio. Tu contraseña de LinkedIn se queda en la pantalla de LinkedIn. La caducidad del permiso y el estado de la conexión se guardan en el espacio de trabajo; el token de acceso se guarda cifrado en el servidor y solo se usa para enviar solicitudes a LinkedIn. Conectar un perfil no publica nada por sí solo. Cuando quitas la conexión en el Studio, el nombre del perfil, el ID de LinkedIn y el token de acceso se eliminan de Postborne. Para otros registros puedes usar los pasos de eliminación de datos de abajo.
Cuando la publicación en LinkedIn está activada, enviamos a LinkedIn el texto que apruebas por separado y, si lo hay, el enlace del artículo, para compartirlo de forma pública en el perfil personal que elegiste. Una publicación programada empieza a la hora que eliges. El estado del trabajo y el enlace de la publicación se guardan en el espacio de trabajo. Quitar el perfil cancela las publicaciones pendientes. Puedes eliminar en LinkedIn las publicaciones ya hechas.
Conexión de la cuenta de TikTok
Al iniciar la conexión, la pantalla de TikTok pide permiso para leer tu perfil básico y para publicar el contenido que apruebes después. Usamos el nombre de tu perfil y el ID de cuenta propio de la aplicación para mostrar y verificar la conexión. Los tokens de acceso y de actualización se guardan cifrados en el servidor. Al conectar solo se verifica la información del perfil. Cuando quitas la conexión en el Studio, los datos del perfil y los tokens de acceso se eliminan de Postborne y se envía a TikTok una solicitud de revocación del permiso. También puedes retirar el permiso en la configuración de seguridad de la aplicación en TikTok.
Cuando la publicación de videos está activada, se obtienen de TikTok las opciones actuales de visibilidad e interacción de tu cuenta. Cuando apruebas por separado el video y la configuración de publicación, TikTok recibe un enlace con caducidad que solo da acceso a ese archivo. La descripción, la visibilidad y las declaraciones de contenido aprobadas se envían a TikTok. El estado de la publicación se muestra en el Studio. Puedes eliminar un video publicado en TikTok.
Conexión de la cuenta de X
Cuando la conexión está activada, usas la pantalla de permisos de X. Postborne lee tu nombre de usuario y tu ID de cuenta de X para verificar el destino. Los tokens de acceso y de actualización se guardan cifrados en el servidor. Cuando quitas la conexión, los datos de la cuenta y los tokens de Postborne se eliminan. Puedes revocar el permiso en X desde la configuración de aplicaciones conectadas de X.
Protección de la prueba y conservación de archivos
Para evitar pruebas gratuitas repetidas con la misma cuenta social, se guarda un resumen generado con una clave secreta a partir del ID de cada cuenta social que conectas durante una prueba; el ID real de la cuenta no se guarda en este registro. Este registro de seguridad se conserva incluso después de eliminar tu cuenta, para aplicar el límite de pruebas. Los archivos subidos solo se guardan hasta la publicación: se eliminan 1 hora después de publicarse con éxito en todos los destinos y 24 horas después de la última acción si fallaron, se cancelaron o nunca se programaron. Cuando termina una membresía, los archivos restantes se eliminan a los 7 días en una prueba y a los 30 días en una membresía de pago. El texto, la fecha y el enlace de la publicación permanecen en tu cuenta.
Solicitud de eliminación de datos
Los pasos también están en la página de eliminación de datos. Para detener el acceso de Postborne a tus cuentas sociales: en Facebook, quita Postborne en Configuración y privacidad / Configuración / Integraciones comerciales; en Google, quita Postborne de las conexiones de terceros de tu cuenta. Esto detiene el nuevo acceso de inmediato.
Para que se eliminen los datos guardados en Postborne, envía un correo a postborne53@gmail.com desde la dirección registrada en tu cuenta con el asunto «Data deletion request» (solicitud de eliminación de datos); indica tu cuenta de Postborne y, si las hay, qué cuentas conectadas quieres eliminar. Nunca envíes contraseñas, códigos ni tokens de acceso. Una vez verificada la cuenta del solicitante, se eliminan los registros de conexión, los tokens de acceso cifrados, los borradores, los archivos subidos y los registros de trabajos de publicación, y el resultado se envía a la misma dirección. Los registros de seguridad y actividad y las copias de seguridad de los proveedores se eliminan según sus propios ciclos de conservación; el contenido ya publicado en Meta, YouTube u otras redes debe eliminarse en esas plataformas.
Contacto de privacidad
Para preguntas sobre tus datos y tu cuenta, escribe a postborne53@gmail.com.