Tus fotos, tus normas.
Fuera de la nube, para siempre.

Una Raspberry Pi 5 (8 GB) con una tarjeta microSD para el sistema y dos unidades USB para el almacenamiento, en espejo para que cada una guarde una copia completa de tus archivos: memorias USB, SSD, discos duros o tarjetas microSD en lectores de tarjetas USB, todo sirve. Conéctalas a los dos puertos USB azules de la Pi (los rápidos; así el dispositivo te dice cuál sustituir si alguna falla). Añade una fuente de alimentación y un disipador activo: todo son piezas estándar. La Pi y dos memorias USB de 512 GB cuestan unos 310 €, unos 340 € en total por 512 GB de almacenamiento protegido. Consulta el README para ver la lista exacta de piezas recomendadas. Una Pi 5 con 4 GB también puede servir, con el etiquetado de imágenes y el reconocimiento facial desactivados.

Sí, para una Raspberry Pi 5 con al menos 8 GB de RAM (una de 4 GB solo funciona con el etiquetado de imágenes y el reconocimiento facial desactivados en Ajustes): consulta la pestaña Imagen para Raspberry Pi 5 de arriba. Grábala, enciende la Pi y configúrala desde tu teléfono: toca “Configurar dispositivo nuevo” en la app para iOS o Android, que encuentra la Pi por Bluetooth y te guía en el resto. Para cualquier otra máquina Debian/Ubuntu, usa el script de instalación.

Sí. El script de instalación funciona en cualquier máquina de 64 bits, Intel/AMD o ARM, con Ubuntu, Debian u otro Linux basado en Debian: un PC o portátil antiguo, un mini PC o una placa como una Orange Pi con una imagen de Debian o Ubuntu. Compila el software en la propia máquina, así que tienes la misma app: copia de seguridad de fotos, sincronización de carpetas, etiquetado de imágenes, reconocimiento facial, amigos, compartir y actualizaciones desde Ajustes. Dale 8 GB de memoria, como la Raspberry Pi 5 para la que se diseñó.

Algunas cosas que solo tiene la Raspberry Pi 5:

• La imagen ya preparada y la configuración desde el teléfono por Bluetooth. En otros equipos se ejecuta un comando en un terminal, y la primera contraseña que se escriba en el dispositivo pasa a ser su contraseña, así que ábrelo y elige una enseguida.
• Saber qué disco sustituir. En una Pi, la alerta indica el puerto USB en el que está el disco que ha fallado; en otros equipos dice “uno de los dos discos de almacenamiento” e indica el nombre del disco en el sistema y su número de serie.
• Las luces de estado, que se conectan a los pines de la propia Pi (ver más abajo).

El script también puede poner dos discos en espejo en otras máquinas, pero solo si se lo pides, porque borra los dos. Si no encuentra discos para el espejo, se detiene y te explica cómo instalar en un solo disco. Para dar a la máquina una dirección de off-the.cloud, añade primero el nombre en la página de tu cuenta y copia en la máquina la identidad que muestra antes de ejecutar el script.

Las luces son opcionales: una por disco de almacenamiento, verde cuando todo va bien y roja cuando necesita tu atención. Cada luz es un LED rojo y un LED verde uno al lado del otro (o un LED bicolor de tres patas), y cada color se conecta a un pin de la Raspberry Pi a través de una resistencia de 330 Ω. Conéctalas con la Pi apagada. El dispositivo las enciende por sí solo; no hay nada que configurar.

Las mismas conexiones, en palabras:

• Luz 1, rojo: pin 11 (GPIO17), a través de una resistencia de 330 Ω, a la pata larga del LED rojo.
• Luz 1, verde: pin 13 (GPIO27), a través de una resistencia de 330 Ω, a la pata larga del LED verde.
• Luz 1, las dos patas cortas: pin 9 (GND).
• Luz 2, rojo: pin 15 (GPIO22), a través de una resistencia de 330 Ω, a la pata larga del LED rojo.
• Luz 2, verde: pin 16 (GPIO23), a través de una resistencia de 330 Ω, a la pata larga del LED verde.
• Luz 2, las dos patas cortas: pin 14 (GND).

Con un LED bicolor, la pata común (normalmente la del medio) va a GND; tiene que ser del tipo con la pata negativa compartida, llamado de cátodo común. Lo que indican las luces:

• Las dos en verde: los dos discos funcionan y guardan los mismos archivos.
• Una en rojo y otra en verde: el disco en rojo ha dejado de funcionar o se ha sacado. Tus archivos están a salvo en el otro: sustituye pronto el rojo.
• Una en rojo intermitente y otra en verde: se está llenando un disco nuevo con una copia de tus archivos. No saques el verde hasta que los dos vuelvan a estar en verde.
• Las dos en rojo: no hay ningún espejo en marcha: el dispositivo se configuró sin dos discos o ninguno de los discos funciona.
• Las dos apagadas: el dispositivo está apagado o todavía arrancando.

Cada luz sigue a uno de los dos discos del espejo, no a un puerto USB, así que mira la alerta en la app para saber qué disco sacar.

Basta con un dispositivo. Desde tu cuenta de propietario, añades una cuenta para cada persona en Ajustes › Usuarios (en la app web, la app para iPhone o la app para Android), y cada una elige su propia contraseña la primera vez que inicia sesión. Cada cuenta tiene su propia copia de seguridad de fotos y su propia biblioteca, y sus fotos y archivos se cifran con la contraseña de esa persona, así que no puedes abrirlos desde tu cuenta. Todos comparten el mismo dispositivo y sus dos discos en espejo; la pantalla Usuarios muestra cuánto espacio ocupa cada cuenta, y puedes pausar una cuenta, o eliminarla junto con sus archivos, en cualquier momento.

No hay un límite fijo de cuentas, pero cada una ejecuta su propia copia del software del dispositivo y ocupa memoria, así que cuantas más haya, más lento irá el dispositivo. Recomendamos no pasar de cinco en un mismo dispositivo.

Para usar su cuenta fuera de casa, un familiar necesita su propia dirección de off-the.cloud, igual que un dispositivo. Se la das al añadir su cuenta en la app web: en Ajustes › Usuarios, deja marcada la casilla Solicitar acceso al puente y obtendrá <nombre de usuario>.off-the.cloud (si esa dirección está ocupada, elige otro nombre de usuario). Decídelo al añadir la cuenta, porque no hay ninguna opción para dar más adelante una dirección a una cuenta existente. Las apps para iPhone y Android aún no ofrecen esto: las cuentas añadidas desde ellas solo funcionan en tu red doméstica.

El dispositivo registra estas direcciones por sí mismo, fuera de tu cuenta del puente, así que no cuentan para sus cinco direcciones ni aparecen en la página de tu cuenta. Con una, un familiar accede a su cuenta desde cualquier lugar, y podéis haceros amigos en el feed privado y compartir fotos allí.

Cambia las dos tarjetas por otras más grandes, una cada vez, mientras el dispositivo sigue funcionando. Saca una tarjeta y pon una más grande, al menos igual de grande que la que has sacado: el dispositivo lo copia todo en ella automáticamente (lo que ya hubiera en la tarjeta nueva se borra). Recibirás una alerta de que un disco ha dejado de funcionar, algo esperado en este caso, y otra, “Los dos discos de almacenamiento vuelven a funcionar”, cuando termine la copia; con una tarjeta grande puede tardar unas horas. Solo entonces haz lo mismo con la otra tarjeta. Cuando las dos tarjetas sean más grandes, el dispositivo amplía su almacenamiento automáticamente hasta el tamaño de la más pequeña, en unos diez minutos y sin detenerse. Tus archivos siguen disponibles todo el tiempo, pero mientras se hace una copia están en una sola tarjeta, así que nunca saques la segunda tarjeta antes de que termine la primera copia.

Los dos discos en espejo ya guardan dos copias de todo, pero los dos están en el mismo dispositivo: te protegen de que falle un disco, no de un robo, un incendio, que fallen los dos discos o un archivo eliminado por error. Para tener una copia guardada en otro sitio, puedes ir rotando uno de los discos:

1. Con el dispositivo en marcha y sin nada subiéndose, saca uno de los dos discos. El dispositivo sigue funcionando con el otro y recibirás una alerta de que un disco ha dejado de funcionar, algo esperado en este caso.
2. Pon en su lugar un disco de repuesto, al menos igual de grande que el que has sacado. El dispositivo lo borra y lo copia todo en él automáticamente. Cuando termine, recibirás otra alerta, “Los dos discos de almacenamiento vuelven a funcionar”; puede tardar unas horas.
3. Guarda el disco que has sacado en un lugar seguro, lejos del dispositivo. Para actualizar tu copia más adelante, repite el proceso: el disco que sale es tu nueva copia, y el que entra se borra y se vuelve a llenar.

Hasta que no termine una copia, tus archivos están en un solo disco, así que nunca saques el otro disco antes. Mientras falta un disco, el dispositivo toma como sustituto cualquier disco que conectes y que sea lo bastante grande, y lo borra, así que no conectes otras unidades mientras tanto.

El disco que guardas es una copia completa del dispositivo tal como estaba cuando lo sacaste: tus archivos, su base de datos, sus ajustes y su dirección. Un ordenador no puede leerlo directamente. Para recuperarlo, configura una Raspberry Pi con la imagen, conecta ese disco y elige “Recuperar este dispositivo” en la configuración: todo vuelve tal como estaba y, cuando añadas un segundo disco, el dispositivo lo volverá a llenar. Necesitas la contraseña del dispositivo tal como era cuando sacaste el disco, porque los archivos que contiene están cifrados con ella. Úsalo solo en lugar del dispositivo original, nunca a la vez, ya que los dos responderían en la misma dirección. Los archivos que contiene están cifrados, pero sus nombres, sus etiquetas y tus publicaciones no, así que guárdalo con el mismo cuidado que el propio dispositivo.

Tus teléfonos y ordenadores también guardan sus propias copias: las apps copian tus fotos y carpetas en el dispositivo, no las mueven. Para guardar en un ordenador una copia de algo que está en el dispositivo, selecciónalo en Archivos en la app web y elige “Descargar ZIP”, o añade una de las carpetas del dispositivo a la app para Mac, Windows o Linux. Eso es una sincronización, no una copia de seguridad, así que un archivo eliminado en un lado se elimina en el otro.

Lo sentimos, pero no. La contraseña de tu dispositivo es lo único que desbloquea la clave con la que se cifran tus archivos. El dispositivo no la guarda, nosotros tampoco, y no hay forma de restablecerla ni puerta trasera: sin ella, nadie puede abrir las fotos, los vídeos y los archivos guardados con ella, ni tú, ni nadie más del dispositivo, ni nosotros. Eso es lo que los mantiene a salvo si alguna vez te roban el dispositivo.

Lo que puedes hacer:

• ¿Alguna de tus apps sigue con la sesión iniciada? Entonces aún puede abrirlo todo, porque guarda la contraseña. No cierres sesión en ella y úsala para copiar lo que necesites antes de seguir.
• Busca tus originales. Las apps copian las fotos y carpetas en el dispositivo sin eliminarlas, así que puede que la mayor parte de lo que hay en él siga en tus teléfonos y ordenadores.
• Empieza de nuevo. Graba una tarjeta nueva y vuelve a configurar el dispositivo eligiendo “Empezar de cero” (esto borra los dos discos), elige una contraseña nueva y deja que tus apps vuelvan a copiarlo todo.
• ¿Un familiar ha olvidado la suya? El propietario tampoco puede restablecerla. La única forma es eliminar su cuenta, y con ella sus archivos, y volver a crearla.

La contraseña de tu cuenta de off-the.cloud es otra distinta: si la olvidas, la página de la cuenta te envía por correo electrónico un enlace para restablecerla, y eso no afecta a tu dispositivo ni a tus archivos. Para evitar todo esto, guarda la contraseña de tu dispositivo en un gestor de contraseñas o apuntada en un lugar seguro. Puedes cambiarla en Ajustes en cualquier momento, siempre que sepas la actual, y tus archivos seguirán como están.

Sí: hazla de solo subida con el candado junto a la carpeta en Archivos (en la app web, la app para iPhone o la app para Android). A partir de entonces no se puede eliminar nada de esa carpeta, ni desde un teléfono, ni desde un ordenador ni desde la web, y cuando se vuelve a subir un archivo con el mismo nombre, el dispositivo también conserva la versión anterior, así que una edición nunca sobrescribe tu original. Las apps de sincronización para Mac y Windows/Linux lo hacen automáticamente con una carpeta de la que eliges hacer una copia de seguridad. Puedes quitarlo con el mismo candado; las versiones guardadas hasta entonces se conservan.

Tu dispositivo está detrás del router de casa, así que internet no puede llegar a él por sí solo. El puente es nuestro servicio de retransmisión en off-the.cloud: da a tu dispositivo una dirección como casa.off-the.cloud y le hace llegar las conexiones de tus apps y de los dispositivos de tus amigos. Lo necesitas para acceder a tu dispositivo fuera de casa, para los amigos y las publicaciones, para los enlaces para compartir que funcionan desde cualquier lugar y para las notificaciones en tu teléfono. En casa no lo necesitas: los archivos, la copia de seguridad de fotos desde tus teléfonos y ordenadores, la galería, las etiquetas y las personas funcionan a través de tu propia red.

Para usarlo, crea una cuenta; la configuración del dispositivo te pide una, aunque también puedes omitirla y unirte más adelante desde Ajustes. Sin el puente, puedes seguir accediendo a tu dispositivo desde fuera de casa con Tailscale Funnel o con un puente propio (consulta la siguiente pregunta).

Sí. Todo Off The Cloud es software libre y de código abierto con la licencia GNU AGPL: el dispositivo, las apps y el puente. Usado en casa, no cuesta nada más allá de tu hardware.

El puente es la única parte de pago, y es opcional. Tu cuenta es gratuita durante sus dos primeros años; después cuesta 9,99 € + IVA al año con hasta cinco direcciones de off-the.cloud incluidas, y te enviamos un correo electrónico antes de que termine el periodo gratuito. Cada dirección adicional a esas cinco cuesta 2 € al año: la página de tu cuenta registra hasta cinco, así que, para más, escríbenos a info@off-the.cloud o con el formulario de abajo. Si dejas de pagar, tus direcciones se liberan y tu dispositivo sigue funcionando en casa.

Para acceder a tu dispositivo desde fuera de casa sin el puente:

• Tailscale Funnel, integrado (Ajustes › Tailscale Funnel), publica tu dispositivo en una dirección propia en ts.net. Necesitas una cuenta de Tailscale, Tailscale limita cuánto tráfico puede pasar, y los amigos, las publicaciones y las cuentas familiares no funcionan ahí: es adecuado para un dispositivo que usas como almacenamiento privado.
• Un puente propio: el puente también es de código abierto, así que puedes ejecutarlo en tu propio servidor y dominio. En ese caso, tus amigos tienen que usar el mismo puente.
• Tu propia VPN hacia tu red doméstica: así las apps acceden al dispositivo como si estuvieras en casa.

En casa suele ser mucho más rápido. Las apps para iPhone, Android, Mac y Windows/Linux se conectan directamente a tu dispositivo a través de tu propia red, Wi-Fi o por cable, así que las copias de seguridad, las subidas grandes y los vídeos van a la velocidad de la red local. Un servicio en la nube tiene que enviar cada archivo a través de la conexión a internet de tu casa, cuya velocidad de subida suele ser una pequeña fracción de la de tu red Wi-Fi. Fuera de casa, las apps pasan por el puente como siempre. La conexión en casa está cifrada y se comprueba con la propia clave de tu dispositivo, así que nunca se envía nada a una máquina que se haga pasar por la tuya.

Tus archivos se cifran en reposo con una clave que solo tu contraseña desbloquea, y la propia contraseña nunca se guarda en el dispositivo. Las fotos y los vídeos que publicas, y las publicaciones que tus amigos comparten contigo, son la excepción: se guardan sin cifrar para que los dispositivos de tus amigos puedan obtenerlos en cualquier momento. Los nombres de los archivos y las etiquetas también se guardan legibles para que funcione la búsqueda. No se vende nada, no se usa nada para entrenar modelos de IA ni se muestra a nadie con quien no hayas decidido compartirlo. Las dos preguntas siguientes explican qué ven el puente y otros servicios, y dónde se analizan tus fotos.

Tus fotos, vídeos y archivos se quedan en tu dispositivo. No se vende nada, no se usa nada para publicidad ni para entrenar IA, y ninguna de las apps incluye analíticas, publicidad ni informes de fallos. Intervienen unos pocos servicios, y esto es lo que recibe cada uno:

• El puente (gestionado por nosotros, en servidores de OVH en Francia), si lo usas: tu cuenta (correo electrónico, nombre, apellidos y país), los nombres de tus dispositivos (como casa.off-the.cloud), cuándo accedió una app por última vez a cada dispositivo, los totales de tráfico por hora (nunca el contenido) y, durante 90 días, la dirección de internet de los intentos fallidos de conectarse como tu dispositivo. Las conexiones con él están cifradas, pero el puente las descifra y las vuelve a cifrar al pasar, así que no tienen cifrado de extremo a extremo; no se guarda nada de lo que pasa por él. Un dispositivo sin el puente solo contacta con él durante la configuración.
• Apple y Google entregan las notificaciones en iPhone y teléfonos Android. Una notificación solo dice quién ha hecho qué (“A Lucía le ha gustado tu publicación”) o que le ha pasado algo a tu dispositivo (un disco ha dejado de funcionar, se ha quedado sin conexión), nunca lo que dice una publicación o un comentario, y nunca una foto. La app para Android usa Firebase de Google para esto y para nada más. Las notificaciones en un navegador pasan, cifradas, por el servicio push del fabricante de tu navegador.
• Proton envía nuestros correos (la confirmación de tu correo electrónico, el restablecimiento de contraseñas y el aviso antes de eliminar una cuenta sin usar) y entrega los registros del dispositivo que decidas enviarnos.
• El inicio de sesión con Apple o Google, si lo usas, nos comunica tu correo electrónico y tu nombre.
• GitHub sirve el software del dispositivo y sus actualizaciones; al instalar o actualizar, el dispositivo también descarga componentes del servidor espejo del lenguaje Go, gestionado por Google, paquetes de los repositorios de su sistema operativo y de Tailscale y, la primera vez, sus modelos de IA desde Hugging Face y GitHub. Como en cualquier descarga, estos servicios ven la dirección de internet de tu casa.
• Mapas: cuando abres los detalles de una foto, su mapa viene de OpenStreetMap (app web y Android) o de Apple Maps (iPhone), que ven el lugar que se muestra.
• Tailscale, solo si activas Tailscale Funnel (su software está instalado, pero desactivado hasta entonces).

Todavía no hay ningún proveedor de pagos. Los detalles están en nuestro aviso de privacidad.

En tu dispositivo. El modelo de etiquetado y los modelos de caras se descargan una vez, al instalar el software, y se ejecutan en el propio procesador del dispositivo; con varias cuentas familiares, la principal los ejecuta para todas. Ninguna foto se envía a ningún sitio para etiquetarla o reconocerla, y los nombres de lugares salen de una lista de ciudades guardada en el dispositivo, así que la ubicación de tus fotos tampoco se envía a ningún sitio.

El reconocimiento facial está desactivado salvo que lo actives, en la configuración o en Ajustes, porque las caras son datos personales sensibles. Analiza las fotos que se añaden mientras está activado, y los datos faciales que guarda se cifran con tu contraseña, como tus archivos; los nombres que pones a las personas, no. El etiquetado está activado desde el principio y se puede desactivar en Ajustes.

Tus fotos solo salen del dispositivo cuando tú decides: cuando las publicas para tus amigos, envías un enlace para compartir o las abres desde tus apps fuera de casa, a través del puente.

Sí: el dispositivo, el puente y todos los clientes son de código abierto en GitHub. Puedes auditarlo, alojar tu propio puente o compilar tu propia imagen del dispositivo a partir del código fuente.

Es totalmente opcional. Usa OTC solo como NAS para copias de seguridad y sincronización de archivos si eso es todo lo que quieres: el feed social solo muestra contenido de amigos que hayas aceptado expresamente.