Política de privacidad

1. Nuestro rol

Respecto de los documentos y metadatos almacenados en un espacio de trabajo (el "Contenido del Cliente"), procesamos los datos por cuenta de la organización cliente que controla ese espacio de trabajo. Los administradores de esa organización deciden quién puede acceder al contenido y cuánto tiempo se conserva. Si tienes preguntas sobre el Contenido del Cliente de un espacio de trabajo, contacta primero a tu organización.

Respecto de la información de cuenta, de uso y de facturación, Innovedge Labs es la organización responsable del tratamiento descrito en esta política.

2. Información que recopilamos

Recopilamos las siguientes categorías de información:

• Información de cuenta: tu nombre, dirección de correo electrónico, credenciales de autenticación (almacenadas como hashes seguros por nuestro proveedor de autenticación), preferencia de idioma, y tus membresías y roles en espacios de trabajo.
• Contenido del Cliente: los documentos que subes o importas desde almacenamiento en la nube conectado, y los metadatos que tu organización crea en torno a ellos (activos, casos de cumplimiento, períodos de vigencia y los vínculos entre ellos).
• Información de uso: eventos de analítica de producto (como páginas visitadas y funciones utilizadas), tipo de navegador y dispositivo, y región aproximada derivada de tu dirección IP. Diseñamos nuestros eventos de analítica para excluir texto libre, nombres de documentos y direcciones de correo.
• Datos de auditoría y registro: las acciones relevantes para la seguridad — acceso a archivos, compartición, cambios de permisos y roles, eliminaciones — se registran en una bitácora de auditoría, junto con los registros de servidor necesarios para operar y asegurar el Servicio.
• Información de pago: los pagos los gestiona nuestro procesador de pagos, Stripe. Recibimos el estado de facturación y metadatos limitados de la tarjeta; nunca almacenamos números de tarjeta completos.
• Credenciales de integraciones en la nube: si conectas un proveedor de almacenamiento en la nube, guardamos las credenciales de acceso cifradas y solo accedemos a los archivos y carpetas que selecciones.
• Comunicaciones: los mensajes que nos envías, como solicitudes de soporte.

3. Cómo usamos la información

Usamos la información que recopilamos para:

• prestar, operar y asegurar el Servicio, incluidos el aislamiento entre tenants, el control de acceso y las bitácoras de auditoría;
• procesar documentos con IA según se describe en la siguiente sección;
• gestionar suscripciones y facturación;
• enviar correos transaccionales (como confirmaciones de cuenta y notificaciones de seguridad) y responder solicitudes de soporte;
• entender el uso del producto de forma agregada y mejorar el Servicio;
• cumplir obligaciones legales y hacer valer nuestros Términos de servicio.

4. Procesamiento de documentos con IA

Cuando tu organización sube o importa documentos, el Servicio los procesa para extraer texto y estructura, clasificarlos dentro del grafo de activos de tu espacio de trabajo, generar embeddings que alimentan la búsqueda semántica y responder preguntas del chat con citas a los documentos de origen.

Para ello, el contenido de los documentos se envía mediante conexiones cifradas a nuestros proveedores de IA — Anthropic y OpenAI — a través de sus API empresariales. Estos proveedores tienen prohibido contractualmente usar tu contenido para entrenar sus modelos. Nosotros tampoco usamos el Contenido del Cliente para entrenar modelos de IA propios.

No vendemos información personal y no usamos tu información para publicidad de terceros.

5. Proveedores de servicios y divulgación

Compartimos información con proveedores de servicios que la procesan por nuestra cuenta, bajo contratos que restringen su uso:

• Supabase — base de datos, autenticación y almacenamiento de archivos.
• Vercel — alojamiento y entrega de la aplicación.
• Amazon Web Services (AWS) — infraestructura de procesamiento asíncrono de documentos.
• Stripe — procesamiento de pagos.
• PostHog — analítica de producto, alojada en la Unión Europea (Fráncfort).
• Sentry — monitoreo de errores.
• Resend — envío de correos transaccionales.
• Anthropic — comprensión de documentos y chat con IA.
• OpenAI — comprensión de documentos y embeddings con IA.
• Google, Microsoft o Dropbox — solo si conectas la integración de almacenamiento en la nube correspondiente, y únicamente para leer los archivos que selecciones.

6. Otras divulgaciones

También podemos divulgar información cuando lo exija la ley o un proceso legal, para proteger los derechos, la seguridad y la integridad de Engrama, de nuestros clientes o de terceros, en el contexto de una fusión, adquisición o venta de activos (con aviso a los clientes afectados), o por instrucción de tu organización o con tu consentimiento.

7. Cookies y analítica

Usamos cookies esenciales (cookies de sesión httpOnly) para mantener tu sesión iniciada y protegerte contra falsificación de solicitudes. No usamos cookies publicitarias de terceros.

Nuestra analítica de producto está configurada con la privacidad como prioridad: los datos se alojan en la UE, los usuarios se identifican mediante un ID interno en lugar de nombre o correo, las propiedades de los eventos excluyen el contenido y los nombres de los documentos, y la reproducción de sesiones — usada para diagnosticar problemas de usabilidad — enmascara todo el texto y los campos de entrada y excluye por completo las superficies de visualización de documentos.

8. Seguridad de los datos

El Servicio está construido con un enfoque de seguridad primero para documentos regulados: todo acceso a datos desde la aplicación pasa por API del lado del servidor (los navegadores nunca consultan la base de datos directamente), el aislamiento entre tenants se aplica a nivel de fila en la base de datos, los archivos se entregan únicamente mediante URL firmadas de corta duración emitidas tras verificaciones de acceso, los datos se cifran en tránsito (TLS) y en reposo por nuestros proveedores de infraestructura, y las acciones sensibles para la seguridad quedan registradas en la bitácora de auditoría.

Estamos trabajando activamente hacia la conformidad con SOC 2 como parte de nuestro programa de seguridad. Aún no estamos certificados y no afirmaremos contar con una certificación hasta haberla obtenido.

9. Retención de datos

Conservamos la información de la siguiente manera:

• Contenido del Cliente: mientras el espacio de trabajo esté activo o hasta que tu organización lo elimine. Tras la terminación de la cuenta, el contenido queda disponible para exportación durante 30 días y luego se elimina dentro de un plazo comercialmente razonable.
• Información de cuenta: durante la vida de tu cuenta, más un período de gracia limitado tras su eliminación.
• Bitácoras de auditoría: al menos un año, para respaldar las revisiones de seguridad.
• Eventos de monitoreo de errores: aproximadamente 90 días.
• Copias de seguridad: los datos eliminados pueden persistir en copias de seguridad cifradas durante un período limitado antes de expirar.

10. Transferencias internacionales de datos

Tu Contenido del Cliente y los datos de tu cuenta se almacenan y procesan principalmente en Canadá — en la región AWS Canadá Central, cerca de Montreal, donde se alojan nuestra base de datos, la autenticación, el almacenamiento de archivos y la infraestructura de ingesta. Ciertos subencargados operan en otros lugares: en Estados Unidos (por ejemplo, el procesamiento de documentos con IA, la monitorización de errores, el envío de correo electrónico y el procesamiento de pagos) y en la Unión Europea (analítica de producto, alojada en Fráncfort). Cuando la información personal se transfiere entre países, nos apoyamos en los acuerdos de tratamiento de datos de nuestros proveedores, incluidas cláusulas contractuales tipo cuando se requieren.

11. Tus derechos

Según el lugar donde vivas, puedes tener derechos bajo la ley de privacidad aplicable (como PIPEDA en Canadá o el RGPD en el Espacio Económico Europeo y el Reino Unido) para acceder a tu información personal, corregirla, eliminarla o exportarla, para oponerte a ciertos tratamientos o restringirlos, y para presentar una reclamación ante una autoridad de control.

Para ejercer estos derechos respecto de la información de tu cuenta, contáctanos en info@innovedgelabs.com. Respecto del Contenido del Cliente controlado por tu organización, dirige tu solicitud al administrador de tu espacio de trabajo; nosotros apoyamos a nuestros clientes en la atención de dichas solicitudes.

12. Menores de edad

El Servicio es una herramienta empresarial y no está dirigido a personas menores de 18 años. No recopilamos a sabiendas información personal de menores.

13. Cambios a esta política

Podemos actualizar esta política periódicamente. Publicaremos la versión actualizada en esta página y revisaremos la fecha de "Última actualización". Si un cambio es material, daremos un aviso previo razonable, por ejemplo por correo electrónico o dentro de la aplicación.

Esta política puede ponerse a disposición en idiomas distintos del inglés por conveniencia; en caso de discrepancia, prevalece la versión en inglés.

14. Contacto

Innovedge Labs Inc. — puedes enviar tus preguntas y solicitudes de privacidad a info@innovedgelabs.com.