Política de privacidad

La versión corta

• La mayoría de las herramientas funcionan al 100% en tu navegador. Recorte circular, Recortar imagen, Redimensionar, y Convertir o Imagen a PDF con una sola imagen trabajan en tu dispositivo con la Canvas API de HTML5. No se sube nada. La única excepción es una sola imagen convertida a AVIF, que se explica más abajo.
• Algunas rutas pasan tu imagen por nuestra infraestructura: Comprimir, Quitar fondo, Ampliar, la conversión de una sola imagen a AVIF, y Convertir o Imagen a PDF con dos o más archivos. Las imágenes subidas se borran automáticamente en los plazos que se indican abajo y nunca se indexan, se registran ni se usan para entrenar nada.
• No ponemos cookies de seguimiento en nuestras páginas. Medimos el uso con una baliza propia sin cookies (un identificador aleatorio por pestaña en sessionStorage, sin guardar la dirección IP y sin seguimiento entre sitios) y enviamos los informes de errores técnicos a Sentry. Las cookies publicitarias de Google AdSense solo se cargan en las páginas de herramientas, y solo después de tu consentimiento en las regiones que lo exigen.
• Puedes comprobar por ti mismo lo que ocurre solo en el navegador. Abre DevTools, ve a Red y usa Recorte circular, Recortar imagen o Redimensionar: ninguna solicitud lleva tu imagen.

Quiénes somos, identificación del responsable

A efectos del RGPD (UE), la LGPD (Brasil), la CCPA/CPRA (California) y leyes similares, el responsable del tratamiento es Guilherme Campos, que atiende las solicitudes sobre protección de datos en privacy@roundcut.app. El soporte general está en support@roundcut.app.

Según la Resolución CD/ANPD nº 2/2022 de Brasil, este proyecto es un agente de tratamiento de pequeño tamaño (“agente de tratamento de pequeno porte”) y no está obligado a designar un delegado de protección de datos (Encarregado). El responsable indicado arriba es el canal directo con los interesados, como exigen el Art. 11 de esa Resolución y el §2 del Art. 41 de la LGPD.

Qué tratamos y con qué base jurídica

Cada operación de abajo figura con su base jurídica en el Art. 7 de la LGPD (Brasil) y el equivalente Art. 6 del RGPD (UE), para que puedas comprobar en qué base nos apoyamos en cada ruta.

Tus imágenes: herramientas que se quedan en el navegador

Cuando usas Recorte circular, Recortar imagen, Redimensionar, Imagen a PDF con una sola imagen o Convertir con una sola imagen a JPG, PNG o WebP, todo el trabajo ocurre en tu navegador. Los bytes de la imagen nunca salen de tu dispositivo. Ninguna copia llega a nuestra infraestructura ni queda en caché o en un registro, porque no se hace ninguna solicitud con tu imagen. Base jurídica: no aplicable, ya que no tratamos la imagen.

Tus imágenes: rutas que usan nuestra infraestructura

Comprimir, Quitar fondo, Ampliar, la conversión de una sola imagen a AVIF y las rutas con varios archivos de Convertir e Imagen a PDF pasan por nuestra infraestructura. Base jurídica de todas: LGPD Art. 7, V, ejecución del servicio que pediste (un servicio gratuito), junto con nuestro interés legítimo (Art. 7, IX) en que funcione de forma fiable. Equivalentes en el RGPD: Art. 6(1)(b) y 6(1)(f).

Comprimir. Para que el resultado esté listo antes, la herramienta puede empezar a subir tus imágenes en cuanto las añades, antes de que pulses “Comprimir”. Cada imagen se sube una vez, pasa por una URL firmada a un bucket privado de Cloudflare R2 y nuestro servicio de compresión la vuelve a codificar en su propio formato (sharp + libvips en un servidor de São Paulo, Brasil, alquilado a Hostinger). Si ese servidor falla, responde en su lugar una copia del mismo servicio que funciona en Cloudflare Containers. Si cambias los archivos o sales de la página, esa subida anticipada y su trabajo se descartan. El resultado se queda en R2 hasta dos horas para que puedas descargarlo, compartirlo por enlace o borrarlo en el momento con “Borrar del servidor ahora”. Después se borra automáticamente. La imagen en sí nunca se registra, no se indexa por usuario, dirección IP o nombre de archivo, no se usa para entrenar modelos ni queda al alcance de nadie fuera del servicio de codificación, y no se conserva más allá de los plazos indicados aquí. El servidor guarda registros técnicos de las solicitudes (ruta, formatos, tamaños, tiempos y un identificador de solicitud), sin tu dirección IP ni nombres de archivo, durante un máximo de 14 días. Si el servicio no responde, la herramienta comprime en tu navegador, sin subir nada.

Quitar fondo. Tu imagen se sube una vez a nuestro Cloudflare Worker (roundcut-bg-remover), se deja provisionalmente en un bucket privado de R2 (roundcut-bg-temp) y la recorta la transformación cf.image.segment de Cloudflare, que ejecuta el modelo BiRefNet en las GPU de Cloudflare. La copia provisional se borra en cuanto vuelve el recorte, y una regla de ciclo de vida de R2 elimina cualquier resto en menos de una hora. El recorte puede quedarse en la caché de Cloudflare hasta una hora, para no procesar dos veces la misma imagen. Si esa ruta falla, el Worker envía la imagen a ImageKit, que hace el recorte y borra la copia subida justo después. Si fallan las dos, un modelo se ejecuta dentro de tu navegador, sin subir nada. Las imágenes de más de 20 MB se reducen en el navegador antes de subirlas, y cada dirección IP puede hacer hasta 30 solicitudes al día.

Ampliar. Tu imagen se sube una vez a nuestro Cloudflare Worker (roundcut-upscale) y la amplía la transformación upscale=generate de Cloudflare, un modelo de IA de superresolución. La copia provisional la elimina la misma regla de ciclo de vida de R2, y el resultado puede quedarse en la caché de Cloudflare hasta siete días, para responder a una solicitud repetida sin procesar de nuevo. Si esa ruta no está disponible, la imagen se envía a ImageKit para ampliarla allí. La copia subida a ImageKit por esa ruta se queda en su almacenamiento para servir solicitudes repetidas desde su caché, y hoy no se borra automáticamente. Puedes pedirnos que la borremos en privacy@roundcut.app. Si fallan las dos rutas, la imagen se amplía en tu navegador. Hay límites diarios por dirección IP.

Convertir e Imagen a PDF. Una sola imagen en cualquiera de las dos herramientas se procesa en tu navegador y nunca se sube, con una excepción: una sola imagen convertida a AVIF se envía una vez al mismo servicio que Comprimir (api.roundcut.app), cuyo codificador genera un archivo más pequeño, y vuelve directamente a ti. Si ese servicio no responde, tu navegador codifica el AVIF por su cuenta. Cuando eliges dos o más archivos, pueden enviarse al mismo servicio en cuanto los añades (y se descartan si los cambias o sales), se procesan allí y vuelven como ZIP o PDF mediante un enlace temporal que caduca a las dos horas aproximadamente. Cada página de herramienta indica qué ruta se aplica.

Aparte de los plazos anteriores, tu imagen no se conserva y nunca se indexa, se vende ni se comparte con nadie más allá del proveedor indicado que hace el trabajo. No miramos tus imágenes y no tenemos ningún proceso que nos las mostraría.

Datos de la visita

Medimos el uso con una baliza propia (first-party). Cada página envía pequeños eventos a nuestra propia dirección (/api/ev), donde un Cloudflare Worker (roundcut-metrics) los revisa y los guarda en Workers Analytics Engine de Cloudflare. La baliza no pone cookies, no toma la huella digital de tu dispositivo y no te asigna un identificador persistente. Guarda un identificador aleatorio por pestaña en sessionStorage para que los pasos de una visita se puedan leer en orden. Ese identificador se descarta al cerrar la pestaña y no sirve para reconocerte después ni en otros sitios. La baliza respeta la opción Do Not Track de tu navegador: con DNT activado no se envía ningún evento, y los navegadores controlados por automatización tampoco envían nada.

Un evento puede contener la ruta de la página (nunca la cadena de consulta), el idioma de la página, qué herramienta usaste, cada paso por el que pasó y cuánto tardó, si terminó, falló o se abandonó antes del final (y en qué estado: procesando, lista pero sin guardar, o en edición), cuál de nuestras rutas de procesamiento la atendió, el tipo de error cuando algo falla y de dónde vienes (el nombre del host del sitio que te envió, o la etiqueta de origen del enlace que te trajo). Además del identificador por pestaña, un evento puede llevar un identificador aleatorio de la ejecución actual de una herramienta, creado en tu navegador y cambiado cada vez que empiezas de nuevo. De un archivo que añades solo viajan su formato y un rango de tamaño. De cada archivo que descargas registramos propiedades técnicas para detectar archivos que no se abren en algunos dispositivos: el formato, el perfil de codificación (en AVIF, el perfil AV1, el submuestreo de croma, la profundidad de bits y si tiene transparencia, en JPEG, si es progresivo o baseline y el submuestreo de croma, en PNG, el tipo de color y la profundidad de bits, en WebP, si es sin pérdida o con pérdida y si tiene transparencia), una franja para su lado más largo (hasta 2048, 4096, 8192 o 16 384 píxeles, o más), si sus dimensiones son pares o impares, y cuál de nuestras reglas de calidad incumplió, si incumplió alguna. Nunca el nombre del archivo, las dimensiones exactas, el tamaño en bytes, los píxeles ni los metadatos de la foto. Un evento también puede indicar qué admite tu navegador: si abre imágenes AVIF, WebP y JPEG XL, y rangos de memoria, núcleos del procesador y densidad de pantalla. El Worker añade tu país y el centro de datos de Cloudflare, el tipo de dispositivo, el sistema operativo y el navegador con sus versiones, leídos de la cadena de identificación del navegador, y tu operador de red (ASN), que se omite en los eventos que llevan los rangos del navegador. Tu dirección IP no se guarda. Cuando una solicitud parece automatizada, el Worker conserva los primeros 80 caracteres de esa cadena de identificación para separar el tráfico de bots. Los eventos se conservan 90 días. Después solo quedan totales anónimos.

Cuando algo falla, el mismo Worker reenvía un informe técnico breve a Sentry, nuestro servicio de monitorización de errores: el mensaje de error sin nombres de archivo ni direcciones web, la página, el identificador de la pestaña, tu país, tu dispositivo y tu sistema operativo. Tu dirección IP no se reenvía, y Sentry conserva estos informes hasta 30 días. Base jurídica: LGPD Art. 7, IX, interés legítimo en mantener las herramientas funcionando y medir su uso, respaldado por una prueba de ponderación documentada. Equivalente en el RGPD: Art. 6(1)(f).

Cookies estrictamente necesarias

Cloudflare, nuestro proveedor de alojamiento, DNS y red perimetral, puede poner algunas cookies estrictamente necesarias para servir el sitio y protegerlo de abusos automatizados (por ejemplo, la cookie de gestión de bots __cf_bm). No se usan para publicidad ni seguimiento. Base jurídica: LGPD Art. 7, IX, interés legítimo en la seguridad del sitio. Según la guía de cookies de la ANPD de 2022, las cookies estrictamente necesarias no requieren consentimiento previo. Consulta la política de cookies de Cloudflare para ver la lista completa.

Preferencias guardadas en tu navegador

RoundCut guarda unos pocos elementos pequeños en tu navegador. Una cookie roundcut_locale recuerda el idioma que elegiste en el menú de idiomas durante un año. localStorage guarda tu tema (claro u oscuro) y si instalaste el sitio como aplicación. sessionStorage, que se vacía al cerrar la pestaña, guarda el identificador por pestaña de la baliza de uso, un token de acceso a Google Drive si abres un archivo con el selector de Drive, y pequeñas marcas que evitan repetir un aviso o una recarga. Ninguno de estos elementos se usa para publicidad ni para seguirte entre sitios. Base jurídica: LGPD Art. 7, V, ejecución del servicio que pediste (tus preferencias).

Límites contra el abuso

Para mantener disponibles las herramientas gratuitas, los Workers de Quitar fondo y Ampliar cuentan las solicitudes por dirección IP y día en el almacenamiento KV de Cloudflare. Cada contador guarda solo el número de solicitudes, nunca imágenes ni otro contenido, y caduca en un día aproximadamente. Base jurídica: LGPD Art. 7, IX, interés legítimo en mantener el servicio disponible.

Publicidad

RoundCut muestra anuncios de AdSense servidos por Google en las páginas de herramientas (una franja en la pantalla inicial, un banner junto al editor en escritorio y hasta tres bloques alrededor de la pantalla de descarga) y dos bloques dentro de las entradas del blog. Las páginas institucionales y legales no llevan anuncios.

Base jurídica: LGPD Art. 7, I, tu consentimiento. Según la guía de cookies de la ANPD de 2022, las cookies publicitarias no son estrictamente necesarias y requieren consentimiento previo explícito mediante un banner que ofrezca “aceptar” y “rechazar” con la misma visibilidad.

Usamos Google Funding Choices como plataforma de gestión del consentimiento (CMP). Es la CMP propia de AdSense, implementa la señal de consentimiento IAB TCF v2.2 y es la vía que Google recomienda para cumplir la LGPD, el RGPD y la CPRA. El banner se muestra automáticamente a los visitantes de regiones que exigen consentimiento previo (UE, Reino Unido, Brasil, California). Tu elección (aceptar todo, rechazar todo o personalizar) se guarda y se respeta en las visitas siguientes, y puedes volver a abrirla en cualquier momento con el enlace “Privacidad” que la CMP añade al pie de página.

Si das tu consentimiento, proveedores externos, Google entre ellos, pueden usar cookies y balizas web para mostrarte anuncios personalizados según tus visitas a RoundCut y a otros sitios. Si lo rechazas, AdSense sigue mostrando anuncios, pero solo no personalizados, elegidos por el contenido de la página y no por tu historial de navegación. También puedes desactivar la publicidad personalizada en la configuración de anuncios de Google o usar aboutads.info para la exclusión de todo el sector.

Enlaces de afiliado

Algunas pantallas de descarga muestran una tarjeta marcada como “Patrocinado” que recomienda un servicio de terceros relacionado con lo que acabas de hacer (por ejemplo, un servicio de retratos con IA en la herramienta de recorte circular). Su enlace lleva nuestro código de afiliado: si compras allí, RoundCut recibe una comisión y tú pagas el mismo precio. La tarjeta es un enlace simple. No se carga nada del socio en nuestras páginas, no se pone ninguna cookie aquí y no le enviamos datos personales. Cualquier seguimiento empieza en su sitio, bajo su propia política de privacidad. Contamos los clics en la tarjeta con la misma baliza sin cookies descrita arriba.

Plan premium (futuro)

Tenemos previsto ofrecer un plan de pago opcional, “RoundCut Pro”, gestionado por Lemon Squeezy como merchant of record. Si te suscribes, Lemon Squeezy tratará tus datos de facturación (nombre, correo, dirección de facturación, medio de pago) según su propia política de privacidad, y nosotros solo recibiremos la confirmación de que tu licencia es válida y tu correo para los mensajes sobre la licencia. Base jurídica: LGPD Art. 7, V, ejecución del contrato que firmas al suscribirte.

Hasta que se lance el plan Pro, no tratamos ninguna información de pago, ni nosotros ni nadie en nuestro nombre.

Transferencia internacional de datos

Nuestro servidor de compresión está en Brasil. Algunos proveedores trabajan fuera de él:

• Cloudflare, Inc. opera una red mundial, así que tus solicitudes, incluidas las de Quitar fondo y Ampliar, pueden atenderse en el centro de datos de Cloudflare más cercano a ti. Si nuestro servidor de São Paulo falla, la copia de respaldo del servicio de compresión en Cloudflare Containers también puede funcionar fuera de Brasil.
• ImageKit atiende la segunda ruta de Quitar fondo y de Ampliar.
• Functional Software, Inc. (Sentry), empresa de Estados Unidos, recibe los informes de errores técnicos descritos arriba.
• Google LLC sirve la publicidad, sujeta a tu consentimiento.

Base jurídica de la transferencia: la ANPD reconoció en enero de 2026 que la Unión Europea ofrece un nivel adecuado de protección (Resolución CD/ANPD nº 32/2026, LGPD Art. 33, I), y la Comisión Europea reconoció a Brasil a su vez, lo que cubre también las imágenes que los visitantes de la UE envían a nuestro servidor en Brasil (RGPD Art. 45). Para otros países, incluidos los Estados Unidos, nos apoyamos en cláusulas contractuales tipo (LGPD Art. 33, II, RGPD Art. 46(2)(c)) junto con la necesidad de la transferencia para prestar el servicio que pediste (LGPD Art. 33, V).

Encargados del tratamiento

• Cloudflare, Inc. DNS, alojamiento (recursos estáticos en Cloudflare Workers), protección DDoS, nuestro almacén de métricas (Workers Analytics Engine), Workers (roundcut-bg-remover, roundcut-upscale, roundcut-compress-proxy, roundcut-metrics), almacenamiento R2 (roundcut-bg-temp, vaciado cada hora, más resultados de corta duración para descargas y enlaces compartidos), contadores KV contra el abuso, las transformaciones cf.image que usan Quitar fondo y Ampliar, y una copia de respaldo del servicio de compresión en Cloudflare Containers. Política de privacidad.
• Hostinger International Ltd. El servidor de São Paulo, Brasil, detrás de api.roundcut.app (Comprimir, conversión a AVIF, Convertir con varios archivos, Imagen a PDF con varios archivos). Política de privacidad.
• ImageKit (Raw Engineering Inc.) Segunda ruta de Quitar fondo y Ampliar. Política de privacidad.
• Functional Software, Inc. (Sentry) Monitorización de errores: informes técnicos reenviados por nuestro Worker, sin tu dirección IP. Política de privacidad.
• Google LLC (AdSense) Publicación de anuncios en las páginas de herramientas, sujeta a tu consentimiento en las regiones que lo exigen. Política de privacidad.
• Lemon Squeezy LLC Solo si compras una licencia Pro en el futuro. Política de privacidad.

Tus derechos como interesado

Según dónde vivas, tienes derechos reconocidos por leyes como el RGPD de la UE, la LGPD de Brasil (Art. 18), la CCPA/CPRA de California y normas similares.

Según la LGPD (Art. 18), tienes derecho a obtener de nosotros:

1. Confirmación de que tratamos tus datos personales (inciso I).
2. Acceso a los datos que tenemos sobre ti (inciso II).
3. Corrección de datos incompletos, inexactos o desactualizados (inciso III).
4. Anonimización, bloqueo o eliminación de datos innecesarios o excesivos, o tratados sin cumplir la LGPD (inciso IV).
5. Portabilidad de tus datos a otro proveedor, según la regulación de la ANPD y respetando los secretos comerciales e industriales (inciso V).
6. Eliminación de los datos tratados con base en tu consentimiento, salvo cuando la LGPD permite conservarlos (inciso VI).
7. Información sobre las entidades públicas y privadas con las que hemos compartido tus datos (inciso VII).
8. Información sobre la posibilidad de no dar el consentimiento y lo que supone negarlo (inciso VIII).
9. Retirada del consentimiento en cualquier momento (inciso IX).

Para ejercer cualquiera de estos derechos, escribe a privacy@roundcut.app. Según el régimen de pequeño tamaño de la Resolución CD/ANPD nº 2/2022 (Art. 14, I), nuestro plazo máximo de respuesta es de 30 días, y procuramos contestar en 5 días hábiles.

Como el servicio apenas guarda datos personales vinculados a ti (sin cuentas, sin identificadores persistentes, sin contenido de imágenes en registros), la mayoría de estos derechos ya se cumplen por el propio diseño. Si quieres una confirmación por escrito de que no guardamos datos sobre ti, escribe a la dirección anterior.

Derecho a reclamar ante la autoridad

En Brasil también puedes presentar una reclamación ante la Autoridade Nacional de Proteção de Dados (ANPD) en gov.br/anpd. En la UE, dirígete a la autoridad de protección de datos de tu país.

Niños y adolescentes

La LGPD define como niño a la persona de hasta 12 años y como adolescente a quien tiene de 12 a 17 años (Art. 14). RoundCut es una herramienta para el público general y no está dirigida a niños.

Tratar datos de un niño requiere el consentimiento específico y destacado de al menos uno de los padres o del tutor legal (Art. 14 §1). Como el servicio no se dirige a niños y no pide a nadie datos identificativos, no recogemos a sabiendas datos personales de niños en el uso normal. Si sabes que un niño ha enviado información personal a través del sitio, escribe a privacy@roundcut.app y la borraremos.

Cambios en esta política

Cuando cambie algo importante, por ejemplo al lanzar el plan Pro o cuando una herramienta nueva cambie el recorrido de los datos, actualizaremos la fecha de “Última actualización” de abajo y, cuando proceda, publicaremos un aviso en la página de inicio.

Contacto {#contact}

¿Tienes preguntas sobre esta política o sobre cómo trata RoundCut los datos? Escribe a privacy@roundcut.app. Procuramos contestar en 5 días hábiles. El plazo legal máximo en el régimen de pequeño tamaño de la LGPD es de 30 días.

Responsable: Guilherme Campos. Brasil, privacy@roundcut.app Última actualización: 2026-09-28