Last updated: 15 November 2026

Legal information

XPaze is a non-profit research prototype. The demo works with simulated data: you do not need to sign up or give us any personal data.

1. Legal notice

Owner: Equipo Los Zenith (team), Málaga, Spain
Contact: contacto@xpaze.es
Website: xpaze.es
Purpose: A research prototype created at a hackathon. It sells no products or services and shows no advertising.

This notice is provided under Spanish Law 34/2002 on information society services (LSSI-CE).

2. Privacy policy

We apply the EU General Data Protection Regulation (GDPR, Regulation (EU) 2016/679) and Spanish Organic Law 3/2018 (LOPDGDD). Data controller: Equipo Los Zenith, contacto@xpaze.es.

What data is processed, why and where

Visiting the website

The website is served directly from our server, hosted by Contabo in the European Union. Your IP address is used only to deliver each page and is not stored: our server keeps no visit logs. Cloudflare only provides the domain's DNS and does not see your visit. There is no analytics and no advertising, and fonts and libraries are served from xpaze.es itself (no Google Fonts).

Legal basis: legitimate interest in providing a secure website (Art. 6.1.f GDPR).

On your device

Check-up history, chosen profile, language, Paze's memory (session summaries and learned facts), "About me", your medical history and watch pairing codes are stored only in your browser (local storage). We do not receive them, except as described under "AI features". You can delete them in the app ("Clear history", "Forget everything") or by clearing this site's data in your browser.

Legal basis: features you request (Art. 6.1.a and 6.1.b GDPR).

AI features

When you ask for a check-up explanation or talk to Paze, our server sends the AI your message and the context it needs: measurements, history and, if you have written them, your medical history and "About me". Providers:

Anthropic (Claude): text conversations and explanations.
OpenAI: live voice. The audio goes directly from your browser to OpenAI with a short-lived key issued by our server.

Our server does not store conversations. The providers process them under their API terms: by default they are not used to train models, and they may be kept for a limited time for security. Both companies are based in the United States; the transfer relies on the safeguards of Chapter V GDPR offered by these providers.

Legal basis: your consent when you use the feature (Art. 6.1.a GDPR) and, if you enter real health data, your explicit consent (Art. 9.2.a GDPR). Our advice: use the simulated profiles and do not write real health data you do not want to share.

Abuse limits

To prevent abuse of the AI, the server keeps in memory, for 10 minutes, a count of requests per IP address. It is never written to disk.

Legal basis: legitimate interest (Art. 6.1.f GDPR).

Watch data (XPaze Link, optional)

If you use the XPaze Link Android app, it sends Health Connect data (heart rate, sleep, steps…) under a random 8-character code, with no name. It is kept on our server for 48 hours at most and then deleted automatically.

Legal basis: explicit consent (Art. 9.2.a GDPR). You can withdraw it by unlinking the code or uninstalling the app.

Space weather

Our server queries NASA's DONKI service. No data about you is sent.

Recipients, retention and decisions

Service providers acting on our behalf: Contabo (server hosting, EU), Anthropic and OpenAI (AI). We never sell or share data for advertising.
Retention: conversations are not stored; watch data for up to 48 h; the abuse counter for 10 min; everything else stays on your device until you delete it.
No decision with legal or similarly significant effects is made automatically. The traffic light is guidance for the person and their medical team.

Your rights

You can request access, rectification, erasure, objection, restriction and portability, and withdraw your consent at any time, by writing to contacto@xpaze.es. As almost everything is stored on your device, you can also delete it yourself. You may lodge a complaint with the Spanish Data Protection Agency (aepd.es).

Minors: XPaze is not intended for children under 14.

Security: encrypted connection (https), API keys never reach the browser, and watch data is stored with restricted permissions.

3. Cookies and local storage

We do not use our own or third-party cookies, nor analytics or advertising. We use the browser's local storage, and a cache so the app works offline, only for features you request. That makes them exempt from consent (Art. 22.2 LSSI-CE).

Name	Type	What for	Duration
`xpaze-lang`	Local storage	Remembers your language	Until you delete it
`xpaze-app-v1`	Local storage	App data: history, profile, Paze's memory, medical history, settings	Until you delete it
`xpaze-demo-v1`	Local storage	Mind module (reaction test, daily log)	Until you delete it
`xpaze-noisy`	Local storage	"Noisy room" microphone preference	Until you delete it
`xpaze-app-v2`	Cache (service worker)	Lets the app open without a connection	Until the next version

4. Terms of use

XPaze is free to use as a demonstration. It is provided "as is", with no guarantee that it is available, error-free or suitable for any particular purpose.
Use the AI features responsibly: do not try to get around the usage limits, attack the service or make it produce harmful content.
To the extent permitted by law, the team is not liable for decisions taken on the basis of the prototype.
These terms are governed by Spanish law.

5. Medical disclaimer

XPaze is not a medical device under Regulation (EU) 2017/745. It is not certified or clinically validated, and it does not diagnose, treat or prevent any disease. Most of the data is simulated. The thresholds come from general clinical references for adults at rest and are guidance only. Paze is a support AI: it does not replace a health or mental health professional.

In an emergency, call 112. If you are having suicidal thoughts in Spain, call 024 (free, 24/7).

6. Artificial intelligence

The app always tells you when you are talking to an AI, in line with the transparency obligations of the EU AI Act (Regulation (EU) 2024/1689, Art. 50).
The AI never decides the colour of the traffic light: fixed, documented rules decide it, and the AI only explains the result.
AI answers can be wrong. Crisis messages always show emergency resources.
We declare how we used AI to build XPaze and inside the product: AI use declaration.

7. Intellectual property and sources

Content and code: Equipo Los Zenith. The source code is public on GitHub.
NASA data (DONKI, JPL Horizons, NASA-STD-3001, Human Research Program, OSDR) is public NASA information. XPaze is not affiliated with or endorsed by NASA, and the use of its data does not imply approval.
Third-party software and fonts: three.js (MIT), Lenis (MIT), GSAP (GreenSock standard license), Mona Sans and IBM Plex Mono (SIL Open Font License 1.1).
The spacesuit in the 3D scene is the “Z2 Spacesuit” model from NASA 3D Resources, adapted (arms repositioned, textures reduced). Its use does not imply NASA endorsement.
The crew members of the demo are fictional.
Medical thresholds and their sources: medical table.

Última actualización: 15 de noviembre de 2026

Información legal

XPaze es un prototipo de investigación sin ánimo de lucro. La demo funciona con datos simulados: no hace falta registrarse ni darnos ningún dato personal.

1. Aviso legal

Titular: Equipo Los Zenith, Málaga (España)
Contacto: contacto@xpaze.es
Sitio web: xpaze.es
Finalidad: Prototipo de investigación creado en un hackathon. No vende productos ni servicios y no muestra publicidad.

Información facilitada según la Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (LSSI-CE).

2. Política de privacidad

Aplicamos el Reglamento General de Protección de Datos (RGPD, Reglamento (UE) 2016/679) y la Ley Orgánica 3/2018 (LOPDGDD). Responsable del tratamiento: Equipo Los Zenith, contacto@xpaze.es.

Qué datos se tratan, para qué y dónde

Al visitar la web

La web se sirve directamente desde nuestro servidor, alojado en Contabo dentro de la Unión Europea. Tu dirección IP solo se usa para entregar cada página y no se guarda: nuestro servidor no guarda registros de visitas. Cloudflare solo gestiona el DNS del dominio y no ve tu visita. No hay analítica ni publicidad, y las fuentes y librerías se sirven desde el propio xpaze.es (sin Google Fonts).

Base legal: interés legítimo en ofrecer una web segura (art. 6.1.f RGPD).

En tu dispositivo

El historial de chequeos, el perfil elegido, el idioma, la memoria de Paze (resúmenes y datos aprendidos), «Sobre mí», tu historial médico y los códigos de vinculación del reloj se guardan solo en tu navegador (almacenamiento local). No los recibimos, salvo lo que se explica en «Funciones con IA». Puedes borrarlos desde la app («Borrar historial», «Olvidar todo») o borrando los datos de este sitio en el navegador.

Base legal: funciones que tú pides (art. 6.1.a y 6.1.b RGPD).

Funciones con IA

Cuando pides la explicación de un chequeo o hablas con Paze, nuestro servidor envía a la IA tu mensaje y el contexto necesario: medidas, historial y, si los has escrito, tu historial médico y «Sobre mí». Proveedores:

Anthropic (Claude): conversación por texto y explicaciones.
OpenAI: voz en directo. El audio va directamente de tu navegador a OpenAI con una clave temporal que emite nuestro servidor.

Nuestro servidor no guarda las conversaciones. Los proveedores las tratan según sus condiciones para la API: por defecto no se usan para entrenar modelos y pueden conservarse un tiempo limitado por seguridad. Ambas empresas están en Estados Unidos; la transferencia se ampara en las garantías del capítulo V del RGPD que ofrecen estos proveedores.

Base legal: tu consentimiento al usar la función (art. 6.1.a RGPD) y, si escribes datos de salud reales, tu consentimiento explícito (art. 9.2.a RGPD). Nuestra recomendación: usa los perfiles simulados y no escribas datos de salud reales que no quieras compartir.

Límites contra abusos

Para evitar abusos de la IA, el servidor guarda en memoria, durante 10 minutos, un recuento de peticiones por dirección IP. Nunca se escribe en disco.

Base legal: interés legítimo (art. 6.1.f RGPD).

Datos del reloj (XPaze Link, opcional)

Si usas la app Android XPaze Link, envía datos de Health Connect (pulso, sueño, pasos…) bajo un código aleatorio de 8 caracteres, sin nombre. Se guardan en nuestro servidor 48 horas como máximo y después se borran solos.

Base legal: consentimiento explícito (art. 9.2.a RGPD). Puedes retirarlo desvinculando el código o desinstalando la app.

Clima espacial

Nuestro servidor consulta el servicio DONKI de la NASA. No se envía ningún dato tuyo.

Destinatarios, plazos y decisiones

Proveedores que tratan datos por nuestra cuenta: Contabo (alojamiento del servidor, UE), Anthropic y OpenAI (IA). Nunca vendemos datos ni los cedemos para publicidad.
Plazos: las conversaciones no se guardan; los datos del reloj, 48 h como máximo; el recuento contra abusos, 10 min; todo lo demás se queda en tu dispositivo hasta que lo borres.
No se toma ninguna decisión automatizada con efectos jurídicos o similares. El semáforo es una orientación para la persona y su equipo médico.

Tus derechos

Puedes pedir el acceso, la rectificación, la supresión, la oposición, la limitación y la portabilidad, y retirar tu consentimiento en cualquier momento, escribiendo a contacto@xpaze.es. Como casi todo se guarda en tu dispositivo, también puedes borrarlo tú. Si no estás conforme, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

Menores: XPaze no está dirigida a menores de 14 años.

Seguridad: conexión cifrada (https), las claves de las APIs nunca llegan al navegador y los datos del reloj se guardan con permisos restringidos.

3. Cookies y almacenamiento local

No usamos cookies propias ni de terceros, ni analítica ni publicidad. Usamos el almacenamiento local del navegador, y una caché para que la app funcione sin conexión, solo para funciones que tú pides. Por eso están exentas de consentimiento (art. 22.2 LSSI-CE).

Nombre	Tipo	Para qué	Duración
`xpaze-lang`	Almacenamiento local	Recuerda tu idioma	Hasta que lo borres
`xpaze-app-v1`	Almacenamiento local	Datos de la app: historial, perfil, memoria de Paze, historial médico, ajustes	Hasta que lo borres
`xpaze-demo-v1`	Almacenamiento local	Módulo Mente (test de reacción, registro diario)	Hasta que lo borres
`xpaze-noisy`	Almacenamiento local	Preferencia de micrófono «Sala con ruido»	Hasta que lo borres
`xpaze-app-v2`	Caché (service worker)	Permite abrir la app sin conexión	Hasta la siguiente versión

4. Condiciones de uso

El uso de XPaze es gratuito y de demostración. Se ofrece «tal cual», sin garantía de disponibilidad, de ausencia de errores ni de que sirva para un fin concreto.
Usa las funciones de IA con responsabilidad: no intentes saltarte los límites de uso, atacar el servicio ni hacer que genere contenido dañino.
En la medida en que lo permita la ley, el equipo no responde de las decisiones que se tomen basándose en el prototipo.
Estas condiciones se rigen por la legislación española.

5. Aviso médico

XPaze no es un producto sanitario según el Reglamento (UE) 2017/745. No está certificado ni validado clínicamente, y no diagnostica, trata ni previene ninguna enfermedad. La mayoría de los datos son simulados. Los umbrales salen de referencias clínicas generales para adultos en reposo y son solo orientativos. Paze es una IA de apoyo: no sustituye a un profesional sanitario ni de salud mental.

En una urgencia, llama al 112. Si tienes pensamientos de suicidio y estás en España, llama al 024 (gratis, 24 h).

6. Inteligencia artificial

La app siempre te indica cuándo estás hablando con una IA, de acuerdo con las obligaciones de transparencia del Reglamento europeo de IA (Reglamento (UE) 2024/1689, art. 50).
La IA nunca decide el color del semáforo: lo deciden reglas fijas y documentadas, y la IA solo explica el resultado.
Las respuestas de la IA pueden equivocarse. Ante un mensaje de crisis siempre se muestran recursos de emergencia.
Declaramos cómo hemos usado la IA para construir XPaze y dentro del producto: declaración de uso de IA.

7. Propiedad intelectual y fuentes

Contenido y código: Equipo Los Zenith. El código fuente es público en GitHub.
Los datos de la NASA (DONKI, JPL Horizons, NASA-STD-3001, Human Research Program, OSDR) son información pública de la NASA. XPaze no está afiliado a la NASA ni cuenta con su respaldo, y el uso de sus datos no implica su aprobación.
Software y fuentes de terceros: three.js (MIT), Lenis (MIT), GSAP (licencia estándar de GreenSock), Mona Sans e IBM Plex Mono (SIL Open Font License 1.1).
El traje espacial de la escena 3D es el modelo «Z2 Spacesuit» de NASA 3D Resources, adaptado (brazos recolocados y texturas reducidas). Su uso no implica el respaldo de la NASA.
Los tripulantes de la demo son ficticios.
Umbrales médicos y sus fuentes: tabla médica.