Selladas en tu iPhone
Cada copia de procesamiento recibe su propia clave y se sella antes de salir de tu teléfono. El almacenamiento solo guarda copias selladas.
Tus fotos son personales
Fotos útiles.
Tu privacidad, primero.
Selladas en tu iPhone. Solo las abre el procesamiento automatizado, con una clave que nadie, ni en Balise ni en ningún otro sitio, puede usar.
Balise hace que tus fotos sean útiles sin crear una segunda fototeca. Tus originales se quedan en Fotos de Apple.
Vídeo · 0:55
Cómo protege Balise tus fotos.
Nuestro equipo no puede abrir tus fotos
No por norma, sino por diseño. La clave que abre una copia está en una caja fuerte de hardware bajo una custodia aparte, y solo el procesamiento automatizado puede usarla. Esa regla la tiene un custodio independiente, no nosotros.
Tú decides qué ve tu IA
Claude y ChatGPT pueden usar tu información consultable. Para recibir fotos necesitan que apruebes la selección exacta. El acceso a través de Balise dura una hora.
Qué le pasa a una foto
Sellada hasta el único lugar donde se abre.
- Tu iPhone
Sella cada copia con su propia clave. El original se queda en Fotos de Apple.
- El almacenamiento privado
Solo guarda la copia sellada.
- El servicio de procesamiento
El único lugar donde se abre una copia, para que Balise y sus proveedores de IA puedan analizarla. Los proveedores reciben una copia legible durante un tiempo limitado.
- Lo que guarda Balise
Lo que ha aprendido. La copia se borra.
Parte del procesamiento usa una copia temporal en almacenamiento privado en la nube. Los detalles de abajo explican los límites y las excepciones.
Quién tiene la clave
Nadie, ni en Balise ni fuera de ella, puede usar la clave.
- No puede salir de la caja fuerte
- La clave privada se creó dentro de un módulo de seguridad de hardware y no se puede exportar, ni Balise ni nadie. Una copia solo se abre pidiendo a la caja fuerte que desbloquee su clave.
- Una sola puerta, y es automática
- Solo el servicio de procesamiento puede pedir a la caja fuerte que desbloquee la clave de una foto, de una en una. Las cuentas de nuestro equipo, nuestros servidores y nuestras herramientas de despliegue quedan rechazados por la regla de acceso, y nadie puede iniciar sesión como el servicio de procesamiento.
- La tiene alguien que no somos nosotros
- Un custodio independiente, ajeno a Balise, tiene la regla de acceso y la clave de firma que avala cualquier clave nueva de la caja fuerte. No podemos ampliar por nuestra cuenta quién puede usar la clave, y cada uso queda registrado para el custodio.
Cuando conectas Claude o ChatGPT
Conectar una IA no le da permiso para ver todas tus fotos.
Tu asistente puede buscar en la información que Balise ha aprendido. Cuando necesita fotos, Balise te enseña en la app la selección exacta para que la apruebes.
La aprobación solo cubre esas fotos y la conexión que las pidió, durante una hora desde tu decisión. Volver a mirarlas no alarga el plazo. Una selección nueva necesita una aprobación nueva.
Tu aprobación se firma en tu iPhone. El servicio que descifra una foto comprueba esa firma antes de abrir nada, así que una aprobación creada por los propios servidores de Balise no abre ninguna foto.
La hora limita el acceso a través de Balise. No puede borrar una foto que el asistente ya haya recibido ni quitarla de tu conversación. A partir de ahí se aplican los ajustes y las políticas de tu asistente.
Fotos que piden más cuidado
Algunas fotos reciben un cuidado especial.
- Las fotos explícitas se descartan
- Balise las descarta al principio, antes de mirarlas con detalle, las borra y no aprende nada de ellas.
- Las fotos de salud siguen siendo privadas
- Lo que Balise aprende de una receta, un resultado de análisis o la foto de una herida queda como tu propio registro: puedes preguntar sobre ello en Balise o al asistente que conectes. Esas fotos nunca aparecen en un relato, un elemento destacado, una portada ni en tu mapa.
Qué se queda y durante cuánto tiempo
Tus fotos y lo que aprende Balise son cosas distintas.
- Copias de procesamiento normales
- Se borran al terminar el procesamiento, incluida cualquier comparación de Personas que hayas activado. Una regla de limpieza del almacenamiento al cabo de un día cubre las eliminaciones interrumpidas.
- Fotos que apruebas para un asistente
- Solo las copias seleccionadas, cuyo acceso termina una hora después de la aprobación. La eliminación se hace tras el vencimiento y los accesos repetidos nunca alargan el acceso.
- Fotos a la espera de una categoría nueva
- No se conserva nada. Si Balise necesita una categoría que aún no ha creado, guarda lo que ha observado en la foto, no la fotografía.
- Información consultable
- Las descripciones, fechas, lugares, notas y otros detalles se quedan en tu cuenta privada de Balise para que puedas encontrarlos y usarlos. Borrar una copia de procesamiento no elimina esta información. Puedes borrarla en Balise.
- Lo que publicas
- Las tarjetas, Historias y demás contenido publicado siguen tus decisiones al compartir. Permanecen disponibles según sus reglas de publicación hasta que los retiras. Puede que alguien ya haya guardado una copia.
Si quieres saber más
La protección, al detalle.
¿Cómo funciona el cifrado?
Tu iPhone asigna a cada copia de procesamiento una clave AES-256-GCM nueva y cifra la copia con ella. Después cifra esa clave con una clave pública RSA-OAEP de 3072 bits (SHA-256), así que solo la clave privada correspondiente puede abrirla. Las copias permanecen cifradas en el almacenamiento.
La clave privada se creó en un módulo de seguridad de hardware (Google Cloud HSM) y no se puede exportar. Solo el servicio de procesamiento puede usarla, para desbloquear la clave de una foto cada vez. La API coordina las peticiones, pero nunca tiene la clave. Todo lo que el procesamiento obtiene de una foto se vuelve a cifrar con una clave nueva.
Tu iPhone también reconoce la clave con la que cifra. Si recibe una clave que no reconoce y que el custodio no ha avalado, se detiene en lugar de subir la foto.
¿Está todo cifrado de extremo a extremo?
Balise cifra las copias de las imágenes antes de subirlas, pero el procesamiento automatizado necesita descifrarlas. No es un sistema en el que solo tus dispositivos puedan analizar las imágenes. Tu información consultable se almacena por separado en los servidores de Balise y no está cubierta por el mismo cifrado individual de cada imagen.
¿Qué reciben los proveedores de IA?
Los proveedores que procesan datos para Balise reciben las imágenes descifradas o el texto que necesitan para la tarea. El acceso a las fotos usa enlaces de corta duración o una entrada temporal en almacenamiento privado en la nube. Las entradas de Vertex tienen ahora una ventana de acceso de diez minutos. El acceso vence por separado del borrado físico, que se vuelve a intentar después y cuenta con una regla de limpieza del almacenamiento al cabo de un día. Estas entradas temporales usan el cifrado del almacenamiento en la nube, no el cifrado por imagen aplicado por el teléfono.
Balise no autoriza el entrenamiento con tu contenido. Eso es distinto de prometer que un proveedor no conserva nada. Consulta la Política de privacidad para ver los proveedores y los datos implicados. Conectar tu propia cuenta de Claude o ChatGPT es otra decisión y se rige por los ajustes y las políticas de ese servicio.
¿Qué significa «nuestro equipo no puede abrir tus fotos»?
Nadie en Balise puede abrir una copia privada de una foto, y no es una norma interna. Nuestras cuentas quedan rechazadas por la regla que protege la clave. Esa regla la tiene un custodio independiente ajeno a Balise, que también recibe el registro de cada uso de la clave.
La copia se cifra en tu iPhone, así que sin la clave maestra no se puede abrir.
Si publicas una foto deliberadamente o la mandas al servicio de asistencia, las personas con las que la compartes pueden verla.
Tus recuerdos. Tú decides.
Elige qué puede importar Balise. Aprueba las solicitudes de fotos. Borra lo que Balise ha aprendido cuando quieras.
Consigue una invitaciónConsulta la Política de privacidadÚltima actualización: 11 de septiembre de 2026. ¿Tienes alguna pregunta? Escríbenos.