Política de protección de datos

1. Principios

Tratamos los datos con estos principios:

• Finalidad: solo para prestar el servicio que el cliente contrató.
• Minimización: conectamos y usamos solo la información que cada agente necesita.
• Confidencialidad: el acceso se limita a las personas que trabajan en el proyecto, con acuerdos de confidencialidad.
• Seguridad: medidas técnicas y organizativas proporcionales al riesgo.
• Transparencia y control: el cliente sabe qué datos se tratan, dónde y con qué proveedores, y aprueba cada agente antes de que pase a producción.
• Responsabilidad: documentamos lo que hacemos y respondemos por ello.

2. Quién responde por cada dato

• Cuando implementamos y operamos agentes para una empresa, la empresa cliente es la responsable de los datos de sus clientes, pacientes, postulantes o colaboradores, y Qovant actúa como encargado: los trata solo según sus instrucciones documentadas y para prestar el servicio.
• Qovant es responsable de los datos de su propia relación comercial (contactos, facturación y comunicaciones), como explica la Política de privacidad.
• El cliente se encarga de contar con una base legal para tratar los datos que nos entrega y de informar a sus titulares; nosotros lo apoyamos con la información técnica que necesite.

3. Tus datos son tuyos

Los datos, bases de conocimiento, flujos y configuraciones de cada proyecto pertenecen al cliente. No los usamos para fines propios, no los vendemos y no los compartimos con otros clientes. Si el servicio termina, entregamos una exportación completa en formatos de uso común y, una vez entregada, eliminamos la información de nuestros sistemas dentro de los 30 días siguientes, salvo que la ley exija conservarla.

4. Uso responsable de la inteligencia artificial

• Los agentes responden solo con la información y las reglas del cliente. Si algo no está, lo dicen en vez de inventar y derivan a una persona con todo el contexto.
• Elegimos el modelo según la tarea entre proveedores líderes (como Anthropic, OpenAI o Google) y opciones open source, contratados en condiciones que no permiten usar los datos del cliente para entrenar modelos.
• No usamos los agentes para tomar, sin intervención humana, decisiones con efectos legales o importantes sobre las personas. En selección de personal, salud o crédito, por ejemplo, la decisión final siempre es de una persona del equipo del cliente.
• Nada pasa a producción sin la aprobación del cliente, y cada mes revisamos el desempeño de los agentes con datos reales.

5. Medidas de seguridad

• Cifrado de los datos en tránsito y en reposo en nuestra infraestructura y la de nuestros proveedores.
• Accesos por rol y con el mínimo privilegio necesario, que se retiran al terminar cada proyecto.
• Credenciales protegidas: las claves de integración se guardan como secretos del servidor, nunca en el código ni en el navegador.
• Registro de actividad y monitoreo de los agentes.
• Separación por cliente y, en el plan Ecosistema, un ambiente dedicado.
• Acuerdos de confidencialidad con nuestro equipo y nuestros proveedores.
• Evaluación de proveedores antes de incorporarlos.

6. Proveedores y subencargados

Para prestar el servicio usamos proveedores especializados, que actúan como subencargados con obligaciones de confidencialidad y seguridad equivalentes a las nuestras. Según el proyecto, pueden incluir proveedores de modelos de IA (por ejemplo, Anthropic, OpenAI o Google), infraestructura en la nube y bases de datos (por ejemplo, Supabase), automatización de procesos (por ejemplo, n8n), mensajería (WhatsApp Business, de Meta) y los sistemas del propio cliente que se integran. Entregamos la lista vigente de subencargados de cada proyecto a solicitud del cliente y le avisamos de los cambios relevantes.

7. Transferencias internacionales

Algunos proveedores procesan datos fuera del país del cliente, incluido Estados Unidos. Lo informamos en cada proyecto y lo respaldamos con obligaciones contractuales de protección de datos. Si el cliente necesita que los datos se alojen en una región determinada, lo evaluamos y, cuando es posible, lo configuramos así.

8. Incidentes de seguridad

Si detectamos un incidente que afecte datos de un cliente, lo contenemos, evaluamos su alcance y avisamos al cliente sin demora indebida y, en lo posible, dentro de las 72 horas desde que tomamos conocimiento, con la información disponible y las medidas adoptadas. Colaboramos con el cliente en las notificaciones que deba hacer a autoridades o titulares.

9. Solicitudes de los titulares

Si una persona nos pide ejercer sus derechos sobre datos que tratamos por encargo de un cliente, trasladamos la solicitud al cliente y lo ayudamos a responderla dentro de plazo.

10. Conservación y eliminación

Conservamos los datos de cada proyecto solo mientras el servicio está vigente o según lo que indique el cliente. Al terminar, aplicamos la exportación y eliminación descritas en el punto 3.

11. Acuerdo de tratamiento de datos

Junto con el contrato de servicio firmamos un acuerdo de tratamiento de datos que detalla instrucciones, medidas de seguridad, subencargados y plazos. Si lo necesitas antes de contratar, pídelo a hello@qovant.ai.

12. Contacto

Para consultas sobre protección de datos, escríbenos a hello@qovant.ai con el asunto «Protección de datos».