Protección de datos
Qué datos guarda el producto, dónde viven, cuánto se conservan, cuándo pueden llegar a un proveedor de modelos de IA y cómo exportarlos o borrarlos. Es una descripción técnica del estado actual, verificada en el código, no una política legal.
En esta página
- Qué datos guardamos
- Dónde viven los datos
- Cuánto se conservan
- Cuándo llegan datos a un proveedor de IA
- Exportar y borrar los datos de una organización
- Tus derechos como persona
- Cuentas de prueba
- Documentos legales y contacto
Qué datos guardamos#
| Categoría | Ejemplos | Cómo se protege |
|---|---|---|
| Cuenta | Correo, nombre, membresías y roles, verificación en dos pasos | Contraseña con hash Argon2id; token de refresco y códigos de recuperación como hash SHA-256; secreto TOTP cifrado con AES-256-GCM. |
| Contenido de trabajo | Solicitudes, tareas, conversaciones, informes, memorias, artefactos, archivos de la unidad, habilidades | Lo escriben los usuarios o lo generan los agentes. Aislado por organización con seguridad a nivel de fila. |
| Configuración y gobierno | Agentes, aprobaciones, presupuestos, reglas, horarios, política de modelos | Aislado por organización con seguridad a nivel de fila. |
| Secretos de la organización | Tokens OAuth, claves de API, claves de IA propias, secreto de cliente SSO, secretos de webhooks | Cifrados con AES-256-GCM bajo una clave de datos por organización; la API solo devuelve metadatos. |
| Tokens de acceso | Tokens de la API pública y de SCIM | Solo se guarda su hash SHA-256; el token se muestra una vez. |
| Auditoría y trazas | Registro encadenado por hash; trazas de las llamadas a los agentes | La auditoría guarda metadatos, no contenido. Las trazas incluyen los prompts salvo que la organización lo desactive. |
| Suscripciones push | Dirección de la suscripción del navegador | Solo si el usuario activa notificaciones. No se registra en los logs ni la devuelve la API. |
| Registros del servidor | Registros de los contenedores y del proxy | Todavía no hemos documentado su contenido ni su retención. |
Dónde viven los datos#
Los datos de la aplicación están en una base Postgres en un único servidor privado virtual compartido. Los archivos de la unidad se guardan en la misma base salvo que el operador configure un almacenamiento de objetos compatible con S3, que el despliegue público no usa. Las copias de seguridad nocturnas se guardan en el mismo servidor.
Cada organización queda aislada de las demás mediante seguridad a nivel de fila de Postgres: es aislamiento lógico dentro de la misma base de datos, no una base por cliente.
Nota
La ubicación del servidor no está publicada en esta página y hoy no se puede elegir región.
Cuánto se conservan#
Lo que se borra de la base puede seguir en las copias de seguridad hasta 14 días. Al purgar una organización se guarda solo una lápida con el hash de su identificador, el motivo y la fecha, sin nombre ni datos personales.
| Dato | Retención | Cómo se borra |
|---|---|---|
| Trazas de agentes | 30 días por defecto (TRACE_RETENTION_DAYS) | Purga automática al superar la ventana. |
| Conversaciones, archivos y auditoría | Indefinida por defecto | Un owner puede activar una política de retención en Consola de administración, pestaña Retención y datos, con mínimos de 30 días para conversaciones y archivos y 365 para la auditoría. Los archivos van a la papelera, no se borran del todo. |
| Una conversación concreta | Hasta que se borre | Un admin u owner puede borrarla. |
| Credenciales de una conexión | Mientras la conexión esté activa | Al revocar la conexión se destruye el texto cifrado. |
| Cuentas de prueba | Dejan de funcionar a las 24 horas | Se purgan automáticamente 7 días después de caducar, junto con su organización si no tiene otros miembros. |
| Organización eliminada | 7 días de gracia tras la solicitud | Purga completa en una sola transacción; las cuentas que se quedan sin ninguna organización también se borran. |
| Copias de seguridad | 14 días | El script de respaldo elimina los volcados con más de 14 días. |
Cuándo llegan datos a un proveedor de IA#
Con la IA real activada, el texto de la tarea, el contexto, la memoria y los documentos relevantes van en el prompt al proveedor de modelo elegido, después de enmascarar credenciales y números de tarjeta. Sin clave, el producto corre en simulación y no sale nada. El despliegue público actual está en simulación.
AI Workforce OS no entrena modelos con tus datos. Lo que cada proveedor hace con lo que recibe se rige por sus propios términos, que no hemos auditado. La lista completa está en la página de subprocesadores.
- Deja la plataforma sin clave de IA para que todo siga en simulación.
- Limita los proveedores permitidos en la política de modelos de la organización.
- Usa tu propia clave de IA: mientras esté activa, solo responde esa clave y no se recurre a las de la plataforma.
- Apunta a un endpoint propio compatible con OpenAI, por ejemplo un modelo local.
- Desactiva el guardado de prompts en las trazas si no quieres conservarlos.
Exportar y borrar los datos de una organización#
En Ajustes, Datos y privacidad, un admin u owner puede descargar un ZIP con todos los datos de la organización: un archivo por tabla y los archivos de la unidad, con un manifiesto. Los secretos (hashes de contraseñas, textos cifrados, claves) se eliminan dentro de la base de datos antes de salir. Se permite una exportación por hora y queda registrada en la auditoría.
Desde la misma pantalla, un owner puede eliminar la organización escribiendo su nombre exacto y su contraseña. La purga se programa a 7 días; mientras tanto la organización sigue funcionando y cualquier owner puede cancelarla.
- Exportaciones parciales: auditoría (JSONL, CSV o un ZIP con verificación, para admins y owners), trazas de un agente, artefactos, habilidades e informe de uso.
- Un admin u owner puede borrar conversaciones y quitar miembros; cualquier persona puede salir de una organización.
Tus derechos como persona#
Puedes pedir acceso, rectificación, borrado, limitación, oposición y portabilidad de tus datos. Cuando tus datos los trata una organización cliente, esa organización es la responsable y canalizamos la petición a través de ella.
Hoy no hay autoservicio para exportar o borrar una cuenta individual: tu cuenta se borra cuando se purga la última organización a la que perteneces. Para cualquier otra petición escribe a info@workforceai.es. Respondemos dentro de los plazos legales aplicables, sin un compromiso de nivel de servicio.
Cuentas de prueba#
Las cuentas de prueba son desechables: se crean con una organización propia y una contraseña generada que se muestra una sola vez, dejan de funcionar a las 24 horas y se purgan automáticamente 7 días después. No uses datos reales ni confidenciales en una prueba.
Documentos legales y contacto#
La política de privacidad, los términos del servicio y el acuerdo de encargo de tratamiento (DPA) están en borrador, pendientes de revisión por un abogado, y todavía no están publicados. Hasta entonces no podemos firmar un DPA. Para cualquier consulta de protección de datos escribe a info@workforceai.es.