Seguridad y privacidad

Lo que hacemos hoy para proteger los datos de tu empresa, contado sin letra pequeña. Y también lo que todavía no tenemos.

• Datos en la UE: la plataforma y su base de datos están en Helsinki (Finlandia); los ordenadores de los empleados IA, en Alemania.
• Cada empresa, separada: nadie ve lo de otra empresa, y lo comprueban pruebas automáticas.
• Un ordenador para cada empleado IA: no lo comparte con nadie.
• Claves en una caja fuerte: el ordenador del empleado nunca las ve.
• Registro que no se borra: y lo descargas firmado para una auditoría.
• Una persona al mando: aprueba lo importante, y hay 3 frenos que no se quitan nunca.

Dónde están tus datos

La plataforma (el panel, la base de datos y la caja fuerte) funciona en un servidor de Hetzner en Helsinki, Finlandia. Los ordenadores de los empleados IA, en servidores de Hetzner en Alemania. Hacemos una copia de seguridad cada día y la guardamos 14 días. Lo que viaja entre tu navegador y la plataforma va siempre cifrado (HTTPS).

Para pensar, el empleado IA usa un modelo de IA (Claude, de Anthropic) que está en EE. UU. Recibe solo lo que necesita cada tarea, no lo guardamos allí y se usa la API comercial de Anthropic, que no entrena sus modelos con lo que recibe. Nosotros tampoco usamos tus datos para entrenar ningún modelo.

Esta web está en Vercel y no recibe datos de la plataforma ni de tus empleados IA. No tiene cookies ni analítica.

Cada empresa, separada

• Cada empresa tiene sus empleados, sus tareas, su Bandeja, su memoria y su Registro. Si alguien pide algo de otra empresa, la plataforma contesta como si no existiera.
• Una prueba automática recorre todas las páginas y rutas del panel intentando leer y cambiar datos de otra empresa. Las rutas nuevas entran solas en esa prueba.
• Si eres una agencia, cada cliente es una empresa aparte: un cliente no ve a la agencia ni a los otros clientes.
• Las personas tienen su papel (administrar, ser responsable o solo ver), y quien solo ve no puede cambiar nada.

Un ordenador para cada empleado IA

Cada empleado IA trabaja en su propio ordenador en la nube: un servidor para él solo, que no comparte con otros empleados ni con otras empresas. Sus archivos y su navegador se quedan ahí.

Su ordenador se conecta a la plataforma con un acceso propio, que solo vale para sus tareas y las de su empresa. Si lo despides, ese acceso se anula al momento. Y cuando no tiene trabajo, se apaga.

Claves en una caja fuerte

• Las contraseñas y claves de los servicios que conectas (Microsoft 365, Google Workspace, tu programa de facturación, tu tienda online…) se guardan cifradas (AES-256-GCM) en la caja fuerte de tu empresa. La llave para abrirla está fuera de la base de datos.
• El ordenador del empleado nunca las ve. Cuando necesita algo de esos servicios, se lo pide a la plataforma, que comprueba que tiene permiso para eso, hace la llamada y la apunta en el Registro.
• Si un empleado IA crea una cuenta en un servicio, la contraseña va a la caja fuerte. Nunca aparece en su conversación ni en el Registro.
• Las contraseñas de las personas se guardan con scrypt: ni nosotros podemos leerlas. Nadie elige la contraseña de otra persona: quien entra nuevo recibe un enlace de un solo uso.

Registro que no se borra

Todo lo que hacen tus empleados IA y tus personas queda en el Registro: qué se hizo, cuándo, con qué cuenta y quién lo aprobó. La base de datos no deja cambiar ni borrar sus filas.

Puedes descargar el Registro de cualquier periodo en PDF, CSV o JSON para una auditoría o una inspección. Va firmado (Ed25519) y con las filas encadenadas por sus huellas: si alguien cambia, quita o añade una fila, se nota. Te ayuda a enseñar qué hicieron y quién lo supervisó; no es, por sí solo, un certificado de que cumples la ley.

Una persona al mando

Tú decides cuánta libertad tiene cada empleado IA: Supervisado (pide permiso para todo), Automático (pide permiso para lo delicado) o Autonomía total (no pide permiso; avisa de lo que hace). Lo que espera tu OK te llega a la Bandeja y al móvil, y puedes mirar su pantalla o coger el control cuando quieras.

En cualquier nivel, también en Autonomía total, hay 3 frenos que no se quitan:

1. Dinero. Un tope de gasto del mes y otro por operación: lo que se pase espera a una persona. Y las cuotas de tu plan.
2. Ley. Quien habla con tu empleado IA por teléfono, correo o en una reunión sabe que es una IA, y sus instrucciones incluyen el RGPD.
3. Registro. Todo queda apuntado, también lo que se aprobó solo.

Además, hay cosas que no hace nunca: saltarse un «demuestra que eres humano» (te lo pasa a ti) o hacer reembolsos y cobros en tu tienda online. Y lo que le encargan por teléfono espera siempre a que lo apruebe una persona.

Tus datos son tuyos

• Puedes descargar todos los datos de tu empresa, y cada persona los suyos, desde el panel.
• Si das de baja tu empresa, a los 30 días se borra todo: empleados y sus ordenadores, tareas, memoria, conexiones, llamadas y Registro. Hasta entonces puedes echarte atrás.
• Las llamadas se borran solas a los 90 días, y el proveedor de voz borra cada una en cuanto la hemos guardado.
• Firmamos contigo un contrato de encargado del tratamiento: tú decides para qué se usan los datos y nosotros solo los tratamos para prestarte el servicio.

Quién más interviene

Estos proveedores tratan datos para prestar el servicio, con contrato y solo para eso. Te avisamos en el panel con 30 días de antelación antes de añadir o cambiar alguno.

Hetzner	Servidores de la plataforma y de los ordenadores, y copias de seguridad. En la UE (Finlandia y Alemania).
Anthropic	El modelo de IA (Claude): recibe lo que el empleado necesita para cada tarea. En EE. UU.
ElevenLabs	Voz y transcripción de las llamadas, solo si activas el teléfono o la voz. En EE. UU.
Twilio	Números de teléfono y líneas, solo si activas el teléfono. En EE. UU.
Better Stack	Registros técnicos del servidor y vigilancia de que la plataforma responde. Pueden incluir direcciones IP. En EE. UU.
Avisos del navegador	Entregan los avisos a tu móvil, solo si los activas. El contenido va cifrado de extremo a extremo: solo ven a qué dispositivo va.

Lo que va a EE. UU. va con las garantías del RGPD. Cada proveedor, con su país y su garantía, en subencargados. Los servicios que conectas tú (Google, Microsoft, Slack…) no son proveedores nuestros: son tuyos, con sus condiciones.

Lo que todavía no tenemos

• Certificaciones. Aún no tenemos ISO 27001 ni SOC 2. Revisamos la seguridad de la plataforma a fondo antes de abrir y con cada función nueva, pero no es lo mismo que una auditoría externa.
• Textos legales en borrador. La privacidad, los términos y el contrato de encargado están en revisión con asesoría.
• Algunas conexiones, en preparación. El teléfono, el correo propio de cada empleado, WhatsApp y Microsoft 365 y Google Workspace aún funcionan en modo de prueba. Lo contamos en Novedades cuando funcionen de verdad.

¿Ya eres cliente y tienes una duda o has visto algo raro? Escríbenos desde el panel, en Ayuda y soporte, a cualquier hora: te respondemos en pocas horas. Y si quieres saber si todo funciona ahora mismo, mira la página de estado.

Última revisión: 29 de octubre de 2026.

Empezar gratis