Política de privacidad

Última actualización: 2026-10-27

Esta web vende y entrega licencias de LGM-OS. Aquí está, sin rodeos, qué se guarda de ti, por qué, con quién se comparte y qué puedes pedir cuando quieras.

Tu NAS no pasa por aquí. Tus archivos, tus fotos, tus cámaras y tus copias están en tu equipo, en tu casa. Una vez activada la licencia, LGM-OS funciona con esta web apagada: se comprueba dentro del propio equipo.

Quién responde de esta web

Responsable: Luis García Menéndez
NIF: 71726924K
Domicilio: Calle Colegio San Ignacio
Contacto: info@lgm-os.com

Qué se guarda de ti

De tu cuenta

Tu correo electrónico. Es con lo que entras y a lo que van atadas tus licencias.
Tu contraseña, cifrada (bcrypt). La contraseña tal cual la escribes no se guarda en ninguna parte y no se puede recuperar: ni tú ni nosotros podemos volver a leerla.
El idioma en el que te escribimos y cuándo aceptaste las condiciones y cuáles (su fecha).
Si enciendes la verificación en dos pasos: la clave secreta que compartes con tu aplicación de códigos y las huellas de tus claves de recuperación. Las claves de recuperación en sí no se guardan: por eso solo se enseñan una vez.
Si das de alta una llave de acceso (la cara, la huella o el PIN de un dispositivo): la clave pública de ese dispositivo, su identificador, el nombre que le pongas y cuándo se usó por última vez. Una clave pública no abre nada: quien se llevara esa tabla no podría entrar en tu cuenta con ella.

De tus licencias

La clave firmada, el plan, si está activa o revocada y las fechas. La clave lleva dentro el correo de la cuenta para la que se emitió: si regalas una licencia, quien la reciba lo verá.
El identificador de la compra que la pagó, que es lo que impide emitir dos licencias por el mismo pago, o el código regalo con el que la conseguiste.
El nombre que le pongas y el equipo en el que esté.

Lo que tu NAS le cuenta a esta web

El latido, si el equipo tiene una licencia o una prueba: al arrancar, cada doce horas, cada hora mientras está en «solo datos», al encender LGM Túnel y cuando pulsas «Comprobar ahora». Lleva:
- el número de la licencia y un resumen de su clave (SHA-256), que demuestra que el equipo la tiene sin que sirva como licencia. La clave entera solo viaja al activarla, al cambiar el nombre del equipo, al pedir la dirección de LGM Túnel y cuando esta web la pide para entregar una licencia nueva (una prueba ampliada, o una licencia que asignas desde tu cuenta);
- una huella del equipo: un resumen del identificador de la máquina (machine-id) que no se puede deshacer y no lleva nada personal. Solo distingue «el mismo equipo otra vez» de «otro equipo distinto», porque cada licencia vale para uno;
- la versión de LGM-OS, el espacio total y libre, cuántos avisos tiene pendientes y si LGM Túnel está en marcha;
- el nombre del equipo, la huella del certificado de su panel y las direcciones por las que atiende: las de tu red local con su puerto (hasta ocho) y, si los tienes encendidos, la de la VPN y el dominio de tu DNS dinámico. Con eso tu cuenta puede darte el código de LGM Connect y la aplicación encuentra tu NAS.
Los datos técnicos del equipo, con ese mismo latido, solo si los enciendes (Licencia → «Compartir los datos técnicos»; de fábrica, apagado), para poder ayudarte si algo falla: fabricante y modelo del equipo y de la placa, BIOS, procesador, memoria, los discos (modelo, tamaño, tipo y estado de salud, sin número de serie), los volúmenes (tipo, tamaño y uso, sin su nombre), las tarjetas de red y gráficas, las versiones del sistema, el tiempo que lleva encendido y cuántas cuentas, apps, contenedores, máquinas virtuales y cámaras hay. Sin números de serie, sin direcciones y sin nada tuyo dentro. Ahí mismo puedes ver exactamente lo que se manda. Si lo apagas, el siguiente latido llega sin ellos y se borran los que había.
La comprobación de la licencia: cada doce horas (cada hora mientras está en «solo datos»), su número, para saber si sigue activa.
La consulta de licencias: una vez al día, cada hora mientras el equipo está en «solo datos», al abrir el panel (como mucho una vez por minuto) y al pulsar «Comprobar ahora». No lleva ningún dato: es la pregunta «¿se exigen licencias?», que permite liberar el producto en todos los equipos a la vez. La hacen todos los NAS, tengan cuenta o no, así que esta web ve la dirección IP pública desde la que pregunta cada uno, como la ve cualquier servidor al que se llama. Esta web no la guarda; el alojamiento sí la apunta en su registro de accesos (ver más abajo).
Al activar una licencia: la clave, la huella del equipo y su nombre. Al enlazar la cuenta: la huella, el nombre y la versión, un código de un solo uso que caduca a los quince minutos y la dirección IP desde la que se pide; el código y la IP se borran una hora después de caducar.
Las actualizaciones: cuando abres Actualizaciones, o una vez al día si enciendes la comprobación automática, el NAS pregunta aquí cuál es la última versión y la descarga de GitHub.
Los informes de fallo, solo si TÚ los mandas desde el panel («¿Ha fallado algo?»): lo que escribas, la versión, la app que fallaba, el número de la licencia con el resumen de su clave, la huella del equipo y —si dejas la casilla marcada— los datos técnicos de arriba y las últimas líneas de error del registro del panel, de las que el NAS quita antes contraseñas, direcciones, correos, nombres de cuentas y rutas de carpetas personales.

Y eso es todo lo que el equipo le cuenta a esta web. Ni nombres de archivos, ni de carpetas, ni de usuarios, ni qué haces con él. Sirve para que tu cuenta pueda decirte «1.68.0 · visto hace 3 h · 2,1 TB libres» sin que tengas que abrir el panel, y para saber qué versión tiene cada equipo sin preguntárselo a nadie.

De LGM Túnel, si lo usas

El nombre que elegiste para tu dirección, el identificador del túnel que lleva hasta tu casa y la última vez que tu NAS pidió su testigo. Lo que entra por esa dirección pasa por la red de Cloudflare (ver «Quién más los trata»). Si no usas LGM Túnel, nada de esto existe.

Con quién más habla tu NAS

Esto no pasa por esta web ni llega a nosotros, pero sale de tu equipo y tienes derecho a saberlo. Nada de ello lleva tus archivos.

Los nombres que busca. De fábrica, el NAS resuelve nombres de internet con los servidores DNS públicos de Google (8.8.8.8) y Cloudflare (1.1.1.1). Se cambian en Panel de control → Red.
Si tiene internet. Cada tres minutos abre y cierra una conexión con 1.1.1.1 y 8.8.8.8 (puerto 53), sin mandar nada, para avisarte si se queda sin conexión.
Los iconos de las aplicaciones. Los carga tu navegador directamente de cdn.jsdelivr.net al abrir la tienda, o los descarga el NAS de ahí una sola vez y los guarda. Las recetas de la tienda viajan dentro de cada versión: el NAS no descarga ningún catálogo.
Al instalar y al actualizar: los paquetes de Debian (deb.debian.org y security.debian.org), el paquete de LGM-OS (desde GitHub), Node.js (deb.nodesource.com), las librerías de Python (pypi.org) y de JavaScript (registry.npmjs.org), rclone (downloads.rclone.org) y las firmas del antivirus ClamAV (sus servidores de réplicas).
La dirección pública de tu casa, solo si algo depende de ella —DNS dinámico, la VPN, algo publicado desde el NAS o un certificado de Let's Encrypt—: como mucho cada hora (y en cada actualización del DNS dinámico), a api.ipify.org, checkip.amazonaws.com o ifconfig.me, y por IPv6 a api6.ipify.org, v6.ident.me o ipv6.icanhazip.com. También al abrir las pantallas de VPN o de acceso externo.
Solo si usas la función: el DNS dinámico que elijas (DuckDNS, No-IP o Cloudflare); Let's Encrypt, al emitir y renovar certificados; las listas de países de www.ipdeny.com, si bloqueas por país; los datos y carátulas de películas, series y música (TMDb, OMDb, Wikidata y Wikimedia, TVmaze, Kitsu, MusicBrainz, Cover Art Archive, Deezer, iTunes, TheAudioDB, LRCLIB) y los subtítulos de OpenSubtitles, al buscarlos; Telegram, ntfy o el correo o webhook que configures para los avisos; la nube que elijas para tus copias (por ejemplo, Microsoft para OneDrive); speed.cloudflare.com y proof.ovh.net, al pulsar la prueba de velocidad; cloud.debian.org o cloud-images.ubuntu.com, al descargar la imagen de una máquina virtual; y el registro que indique su receta (Docker Hub, GitHub…), al instalar o actualizar una aplicación.
La pantalla del equipo. Si le conectas un monitor, lo que ves es un navegador que solo abre el panel del propio NAS, con sus servicios en línea apagados.

El diario de seguridad

Lo que se hace desde administración —emitir, revocar o borrar una licencia, soltar un equipo— y algunas acciones de tu cuenta —pedir el enlace de recuperación, cambiar la contraseña con él, enlazar o rechazar un equipo, poner una licencia en un equipo o cambiarle el nombre— dejan una línea con la fecha, el correo de la cuenta, un detalle corto y la dirección IP. Sirve para saber quién hizo qué y para detectar un acceso indebido.

Del chat de la web

Si escribes por el chat se guarda lo que escribes, la fecha, desde qué página escribiste y el idioma de la web — nada más: ni nombre, ni correo, ni cuenta, porque el chat no la pide. Si has entrado con tu cuenta, puedes marcar una casilla para decir quién eres: entonces se guarda también el correo de tu cuenta y qué licencias tiene, que es lo que hace falta para mirar un problema con una licencia. Si no la marcas, no se guarda ninguna de las dos cosas. Tu navegador guarda una clave (portal-chat) que es lo único que te identifica como quien escribió eso; bórrala y esa conversación deja de ser tuya. Los mensajes se leen y se contestan desde la administración de esta web. Si está activado, a Telegram solo le llega el aviso «mensaje nuevo en el chat» con su número, para que suene el móvil de quien atiende: ni lo que escribes, ni la página, ni quién eres. Las conversaciones se borran a los 90 días sin mensajes nuevos.

Mientras entras

Para que nadie pueda probar contraseñas a lo bruto, el servidor lleva la cuenta de los intentos por dirección IP y por cuenta. Esa cuenta vive en la memoria del servidor, se borra sola a los pocos minutos y no llega a ninguna base de datos.

Qué no se guarda

Tu contraseña en claro. Nunca.
Tu tarjeta. La pantalla de pago es de Polar y está en su dominio: los números de la tarjeta no pasan por este servidor ni un instante.
Tus archivos. Se quedan en tu equipo.
Ni perfiles, ni anuncios, ni datos vendidos a nadie. Aquí no existe ese negocio.

Tu correo solo se usa para lo que necesita tu cuenta: la bienvenida, tu clave de licencia y la confirmación de la compra, el enlace para recuperar la contraseña y los avisos de seguridad (contraseña cambiada, llave de acceso o verificación en dos pasos añadida o quitada).

Además, dos tipos de correo que llevan siempre un enlace para darte de baja:

Novedades y ofertas —versiones nuevas, funciones, alguna oferta—, solo si dices que sí: con la casilla al crear la cuenta o con la pregunta que sale una vez al entrar. Viene sin marcar y decir que no no cambia nada de tu cuenta.
Avisos del servicio, pocos y solo cuando necesitas saber algo para usar lo que tienes, como una actualización importante para tu NAS.

Para elegir a quién va cada uno se usa solo lo que ya hay en tu cuenta: el tipo de licencia, la versión de tu NAS, la fecha de alta y el idioma. No se mide si abres los correos ni en qué pinchas: no llevan imágenes espía ni enlaces de seguimiento.

Las visitas de esta web

Las visitas se miden aquí mismo, sin nadie por medio: sin cookies y sin ningún servicio de terceros. Se guardan cuentas agregadas por día —qué páginas se han visto, de dónde se llega y si es un móvil o un ordenador—, no visitas de personas. Tu dirección IP no se guarda, y si tu navegador pide no ser rastreado («No rastrear» o la señal de privacidad global), no se cuenta nada.

Para no contar dos veces a quien abre varias páginas, se calcula una huella de un solo día con tu dirección IP y tu navegador, mezclados con una clave aleatoria que se tira al acabar el día: la IP no se guarda en ninguna parte y la huella se borra a las 48 horas.

Quién más los trata

Estos proveedores tratan datos por cuenta de esta web, con su contrato de encargo del tratamiento (art. 28 del RGPD):

Cloudflare, Inc. (EE. UU.): toda la web pasa por su red, que la protege y la entrega, así que ve la dirección IP y la petición de cada visita. Si usas LGM Túnel, también crea tu dirección y el túnel hasta tu NAS, y el tráfico que entra por ella se descifra en su red antes de seguir, cifrado de nuevo, hasta tu casa.
Render Services, Inc. (EE. UU.): aloja el servidor de esta web y apunta las peticiones en su registro de accesos, también las de los NAS, con la IP desde la que llegan.
Supabase, Inc. (EE. UU.): la base de datos, en servidores de Irlanda.
Resend, Inc. (EE. UU.): envía los correos de tu cuenta. Recibe tu dirección y el texto de cada correo; nada más.
Proton AG (Suiza): el buzón de contacto (info@lgm-os.com), si nos escribes, y el que envía las novedades y los avisos del servicio. Recibe tu dirección y el texto de cada correo.
GitHub, Inc. (EE. UU.): guarda la copia de seguridad diaria de la base de datos, cifrada antes de salir con una clave que GitHub no tiene. Y sirve las descargas grandes —la imagen de instalación, los paquetes de actualización y las aplicaciones de LGM Connect—: al pulsar «Descargar», tu navegador va a GitHub y GitHub ve esa petición.
Telegram, solo si quien atiende lo usa para el aviso del chat: recibe «mensaje nuevo en el chat» y su número, nunca nada tuyo.

Polar Software, Inc. (EE. UU.; polar.sh) no trata datos por nuestra cuenta: es el vendedor legal de la licencia, así que es quien cobra, quien declara y paga el IVA de tu país y quien responde de los datos del pago con su propia política de privacidad. Se le manda tu correo y un número interno de tu cuenta, para poder atar el pago a ella; él devuelve el aviso de que está pagado.

Discord y Ko-fi son enlaces a páginas de terceros. Desde aquí no se les manda nada; si los abres, mandan sus reglas y no las nuestras.

Fuera del Espacio Económico Europeo. Varias de estas empresas son de EE. UU.: los datos viajan con las garantías del Marco de Privacidad de Datos UE-EE. UU. cuando la empresa está adherida y, si no, con las cláusulas contractuales tipo de la Comisión Europea. Suiza tiene decisión de adecuación de la Comisión. Puedes pedir copia de estas garantías escribiendo a la dirección de contacto. Fuera de esto, tus datos no se ceden a nadie salvo obligación legal.

Para qué, con qué base legal y cuánto tiempo

Tu cuenta y tus licencias —darte la cuenta, emitir y mover tus licencias, mandarte sus correos—: es el contrato que aceptas al registrarte o al comprar (art. 6.1.b del RGPD). Se guardan mientras tengas la cuenta. Si la borras, lo personal se borra en el momento; de tus licencias se guarda, bloqueado, lo justo para demostrar una compra o atender una reclamación (su número, su clave, su fecha y su compra, cuándo y con qué versión la usó un equipo por última vez y, mientras ese equipo la use, su dirección de LGM Túnel), hasta cinco años después de borrarla o de la última vez que un equipo la usó, lo que llegue más tarde.
Lo que manda tu NAS —latido, activación, enlace y comprobaciones—: también es el contrato, porque sin ello no funcionan la licencia, LGM Túnel ni la ficha de tu equipo. Se guarda mientras el equipo esté ligado a tu cuenta. La huella del equipo y las fechas de su prueba se guardan aunque borres la cuenta, para que cada equipo y cada cuenta tengan una sola prueba: es nuestro interés legítimo en evitar abusos (art. 6.1.f).
Los datos técnicos del equipo y los informes de fallo: porque tú decides mandarlos (tu consentimiento, art. 6.1.a), y lo retiras apagando la casilla, sin que afecte a lo hecho antes. Los datos técnicos se borran al apagarla; los informes, un año después de darse por resueltos.
Las novedades y ofertas por correo: tu consentimiento (art. 6.1.a del RGPD y art. 21 de la LSSI). Lo retiras con el enlace de cualquiera de esos correos, sin que afecte a lo enviado antes. Tu respuesta y su fecha se guardan mientras tengas la cuenta, como prueba de lo que dijiste.
Los avisos del servicio: nuestro interés legítimo en que puedas usar lo que tienes (art. 6.1.f). Puedes oponerte con el mismo enlace de baja.
El chat: para contestarte, porque nos lo pides (art. 6.1.b); tu correo y tus licencias, solo si marcas la casilla (tu consentimiento). Se borra a los 90 días sin mensajes nuevos.
El diario de seguridad, los frenos de intentos y el registro de accesos del alojamiento: nuestro interés legítimo en proteger las cuentas y en poder responder de cada licencia (art. 6.1.f). El diario se guarda dos años; los frenos, unos minutos en memoria; el registro del alojamiento, lo que fije su plan (de 7 a 30 días).
Las visitas: nuestro interés legítimo en saber cuánta gente visita la web, sin identificar a nadie (art. 6.1.f). La huella dura 48 horas; las cuentas por día no son datos personales.
Las copias de seguridad de la base de datos, cifradas: para no perder cuentas ni licencias (art. 32 del RGPD). Se guardan 90 días; si alguna vez hay que restaurar una, se vuelven a aplicar los borrados que se hubieran pedido después.
La sesión del navegador y las cookies: lo que dure cada una, contado en la página de cookies.

El correo y la contraseña son imprescindibles para tener cuenta: sin ellos no se puede comprar ni guardar licencias. No se hacen perfiles.

Lo que puedes hacer tú, ahora

Varias cosas no hay que pedirlas: se hacen desde Mi cuenta y tardan un segundo.

Descargar tus datos: todo lo de esta página que sea tuyo, en un archivo (Mi cuenta → Tu cuenta).
Borrar tu cuenta, con tu contraseña (Mi cuenta → Tu cuenta).
Cambiar tu contraseña, que además cierra la sesión en todos los demás dispositivos.
Quitar una llave de acceso o apagar la verificación en dos pasos.
Soltar una licencia del equipo donde esté, para llevártela a otro.

Tus derechos

Puedes pedir acceso a tus datos, que se corrijan, que se borren, que se limite su uso, oponerte a los usos basados en interés legítimo y llevártelos en un formato legible por máquina. Lo que depende de tu consentimiento lo puedes retirar cuando quieras, sin que afecte a lo hecho antes.

Lo que no esté en Mi cuenta, pídelo escribiendo a info@lgm-os.com desde el correo de tu cuenta (si escribes desde otro, te pediremos comprobar que es tuya). Es gratis y contestamos en un mes como mucho.

Si crees que no se han tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es, C/ Jorge Juan 6, 28001 Madrid) o ante la autoridad de protección de datos de tu país.

Menores

Para crear una cuenta hay que tener al menos 14 años, y no se piden datos a sabiendas de quien no los tenga. Para comprar una licencia hay que ser mayor de edad o contar con el permiso de tus padres o tutores.

Si esto cambia

Cambia también la fecha de arriba, que por eso está. No se avisa por correo de cada retoque.