Lo que tu DPO va a preguntar, contestado aquí
Confianza: dónde están tus datos y qué guardamos
Una página para la revisión de seguridad y protección de datos: qué sale, qué se guarda, dónde y con quién. Si falta algo, escríbenos y lo añadimos.
Actualizado
Qué guardamos y qué no
- Cuentas, equipos y roles
- Políticas de datos y techos de gasto
- Registro de cada petición: quién, equipo, modelo, categorías detectadas, acción y coste
- Claves de proveedor, cifradas
- Cambios de políticas y permisos
- El texto de los mensajes
- Las respuestas del modelo
- Los adjuntos
- Los valores reales detectados (se quedan en el dispositivo)
Quién interviene
Encargados que usamos para prestar el servicio. Lista vigente a 17 de octubre de 2026; avisaremos antes de añadir uno nuevo.
| Proveedor | Para qué | Dónde |
|---|---|---|
| Supabase | Cuentas, políticas, registro de evidencias y funciones del servidor | Proyecto en región UE |
| Vercel | Web acotia.com y formulario de contacto | Red global; formulario en París (UE) |
| Cloudflare | DNS del dominio acotia.com | Empresa de EE. UU. |
| Sentry | Informes de errores anónimos de la app y de Ops: tipo de error y versión, sin chats, archivos, memoria ni datos personales; se apagan en Ajustes | Proyecto en región UE |
| Resend | Envío y recepción del correo de hola@acotia.com | Empresa de EE. UU. |
Los modelos (OpenAI, Anthropic, Google, Mistral) los contrata tu empresa con su propia cuenta y sus claves: reciben la petición ya enmascarada, y Mistral ofrece modelos alojados en la UE.
Estado de cumplimiento
Qué tenemos hoy, qué está planificado y qué no. Situación a 14 de octubre de 2026; no mostramos ningún sello que no tengamos.
| Marco o control | Estado | Qué significa |
|---|---|---|
| RGPD: contrato de encargado (DPA) | Disponible bajo petición | Acotia actúa como encargado del tratamiento; la lista de encargados es la de arriba. |
| Registro de evidencias | Incluido en el producto | Cada petición queda registrada sin contenido y se exporta en CSV. |
| Pentest externo | Planificado | Antes de la primera venta grande. Publicaremos la fecha y el alcance. |
| ISO 27001 y ENS | Planificado, no certificado | Es una ruta de varios meses; hoy no tenemos ninguna de las dos. |
| AI Act (empresa usuaria) | Parcial | El registro ayuda a documentar el uso; la documentación específica está planificada. |
| SOC 2 | No planificado | Lo valoraremos si hay clientes fuera de España. |
Si tu revisión de seguridad necesita algo que no está aquí, dínoslo antes del piloto.
Pensado para pasar la revisión de IT y del DPO
Dónde corre, qué guarda, con qué cuentas de modelo y quién puede cambiar qué. Lo que suelen preguntar, de un vistazo.
Dónde corre
Una app de escritorio para cada persona y una pasarela en el servidor. Las cuentas, las políticas y el registro viven en la UE.
Qué se guarda
Metadatos de cada petición: quién, equipo, modelo, categorías, acción y coste. El texto no: las conversaciones se guardan cifradas en el dispositivo.
Vuestras cuentas de modelo
La empresa conecta sus propias cuentas de OpenAI, Anthropic, Google o Mistral. Las claves se cifran y nunca vuelven al navegador.
Acceso y cambios
Entrada con Google o Microsoft, tres roles (super admin, admin y empleado) y registro de cada cambio de política o de permisos.
Cuatro lugares, cuatro reglas
- 01
En el dispositivo
Las conversaciones, cifradas, y los valores reales que se han enmascarado.
- 02
En el servidor, en la UE
Cuentas, políticas y el registro de cada petición, sin el texto.
- 03
Modelo alojado en la UE
Recibe lo que la política marca como delicado.
- 04
Proveedor externo
Solo recibe texto saneado, con las etiquetas en lugar de los datos.
Qué protege y qué no
Acotia evita fugas accidentales y deja constancia de cada petición. Hay dos carpetas: la de trabajo, para el día a día, y la sensible, cuya política decide la empresa: enmascarar, enviar solo a un modelo europeo o no dejar salir nada. Con «no dejar salir nada», la app ni siquiera lee esos archivos para el chat. Un chat que ha sido sensible lo sigue siendo, también en el servidor, y la opción «tratar todo como sensible» aplica esa política a todas las peticiones sin depender de lo que declare cada equipo. Lo que ninguna herramienta puede impedir es que alguien con acceso a un documento lo copie a propósito en otro sitio: eso lo deciden los permisos de tu empresa, y Acotia te da el registro.
Cifrado de las claves de proveedor
Las claves de OpenAI, Anthropic, Google o Mistral que conecta tu empresa se cifran con AES-256-GCM antes de guardarse y nunca vuelven al navegador: el panel solo enseña los cuatro últimos caracteres. Solo un admin de la empresa puede ponerlas, comprobarlas o borrarlas.
Retención y borrado
La empresa decide cuánto se conserva el registro de evidencias (entre 30 días y 10 años; por defecto, un año) y si las conversaciones del dispositivo se borran solas pasado un plazo. Para cualquier solicitud de acceso o supresión, escribe a hola@acotia.com.
Certificaciones
Todavía no tenemos certificaciones como ISO 27001 o SOC 2, y preferimos decirlo. Lo que sí podemos enseñarte en la revisión es la arquitectura, el registro de una petición real y las políticas por defecto. Más detalle en seguridad y en registro de evidencias.
Contrato de encargo (DPA)
Si tu empresa necesita un contrato de encargo de tratamiento conforme al artículo 28 del RGPD, pídelo en hola@acotia.com indicando la razón social. Lo revisamos con tu equipo legal antes del piloto.
Fuentes oficiales
Reglamento General de Protección de Datos (RGPD), Reglamento (UE) 2016/679: texto oficial en EUR-Lex.
La figura del encargado del tratamiento y el contrato que lo regula se recogen en el artículo 28 del RGPD.
Preguntas frecuentes
¿Acotia lee las conversaciones de mi equipo?
No. Para llegar al modelo, el texto pasa por la pasarela ya enmascarado, que lo vuelve a revisar y no lo guarda. Lo que queda en el servidor son metadatos de cada petición; el texto de los mensajes y las respuestas se guarda cifrado en el dispositivo de cada persona.
¿Alguien más ve el texto de los mensajes?
Solo el proveedor de IA que elija tu empresa, con los datos sensibles ya ocultos o bloqueados según vuestra política. Acotia no lo guarda ni lo registra: la pasarela lo procesa en memoria.
¿Qué proveedores de IA reciben nuestros datos?
Los que tu empresa conecte con su propia cuenta (OpenAI, Anthropic, Google o Mistral), y siempre después de enmascarar o bloquear lo que diga la política.
¿Tenéis ISO 27001 o SOC 2?
Todavía no. En la revisión de seguridad te enseñamos la arquitectura, las políticas por defecto y el registro de una petición real.
¿Puede alguien saltarse la carpeta sensible?
Por accidente, no: la política se aplica en el dispositivo y otra vez en el servidor, y un chat sensible no puede volver a ser de trabajo. Si tu empresa necesita la garantía completa, activa «tratar todo como sensible» y el servidor la aplica a todas las peticiones. Quien quiera sacar un documento a propósito puede copiarlo fuera de Acotia: para eso están los permisos de acceso de tu empresa.