Privadesa · Extensió de navegador
BiVelio Shield — Política de privadesa
BiVelio Shield («l'extensió») és publicada per BiVelio, Inc., una empresa de Delaware (Estats Units) que opera des d'Andorra. Aquesta política descriu exactament què fa i què no fa l'extensió amb les teves dades. Està redactada perquè coincideixi amb el comportament real del programari — si tots dos mai no concorden, això és un error; comunica'l a privacy@bivelio.com.
D'un cop d'ull
- S'executa al teu navegadorLa detecció i la redacció es fan al teu dispositiu. Amb un gateway de noms —inclòs amb el pla Team, o configurat per la teva organització en qualsevol pla de pagament, Pro o Team— el text de cada missatge va a més a aquest gateway, per trobar noms, contestats com a posicions i guardats enlloc.
- Sense compte, sense analíticaSense registre, sense rastrejadors, sense cookies, sense SDK publicitari. Res a què renunciar.
- Res del que escrius s’envia a BiVelio — amb una excepció que pots veureAl nivell gratuït l'extensió no ens fa cap petició pròpia; l'única cosa que fa pel seu compte és obrir un cop, en una instal·lació nova sense llicència, una pestanya visible a privacy.bivelio.com/activar, i no hi envia res. Pro i Team envien la comprovació de seient i recomptes sense valors —quants valors de cada tipus es van quedar fora— i mai una paraula del que vas escriure. L’excepció: un gateway de noms. Amb el pla Team és el que BiVelio opera per a la teva organització sota un contracte d’encarregat del tractament, inclòs amb el pla; en qualsevol pla de pagament la teva administració hi pot apuntar l’extensió a un de propi. El text del missatge hi va, es contesta amb posicions i no es conserva enlloc.
- La clau del vault mai no toca el discEl mapa valor ↔ token està xifrat amb AES-GCM; la seva clau viu en memòria i es descarta quan tanques el navegador.
La versió breu
- Tota la feina de l'extensió és mantenir les teves dades a la teva màquina. Al nivell gratuït no envia res a BiVelio ni a cap tercer. L’única cosa que fa pel seu compte: en una instal·lació nova sense llicència, obre un cop una pestanya visible a privacy.bivelio.com/activar, perquè el web et retorni la llicència si hi tens la sessió iniciada; és una pàgina que el teu navegador carrega com qualsevol altra, l’extensió no hi envia res i la pots tancar.
- Els teus prompts s'inspeccionen i es redacten localment, al teu navegador, abans d'arribar al proveïdor d'IA que hagis triat (ChatGPT / Claude, i Gemini on hagis donat accés a l’extensió). El proveïdor rep tokens de marcador de posició en lloc dels teus valors sensibles — aquest és el propòsit.
- Sense compte, sense registre, sense analítica, sense publicitat. No recollim, venem, lloguem ni compartim les teves dades personals.
- Una excepció, en qualsevol pla de pagament — Pro o Team: si la teva organització té un gateway de noms —inclòs amb el pla Team, o configurat per la seva administració a la política central—, el text de cada missatge que envies — i qualsevol text de 1.000 caràcters o més que enganxis al quadre de redacció del xat, en el moment d’enganxar-lo; i, amb el pla Team, el text d’un adjunt, ja redactat al teu navegador — va a aquest gateway, que respon amb les posicions de les dades personals que detecta — noms i llocs, i també dades de contacte, identificadors, dades financeres, adreces de xarxa, secrets i termes de categoria especial de l’art. 9 del RGPD — i no guarda res.
Abast: quin document estàs llegint
- Aquesta política cobreix l'extensió de navegador BiVelio Shield i res més. És el document al qual apunta la fitxa de la Chrome Web Store.
- El lloc web des d'on pots haver-la descarregat, el compte, el pla per a equips i el Sandbox es regeixen per la política de privadesa del lloc web i el compte, que és un document a part.
- Els documents legals de bivelio.com són d'àmbit corporatiu i descriuen altres productes de BiVelio. No descriuen l'extensió.
Quines dades tracta l'extensió, i on es queden
| Dades | Què són | On viuen | Surten del teu dispositiu? |
|---|---|---|---|
| Text del prompt | El que escrius a ChatGPT / Claude — i a Gemini, on hagis donat accés a l’extensió | Processat a la memòria del teu navegador | Només la versió tokenitzada arriba al proveïdor d’IA — i BiVelio no en veu res, tret que la teva organització estigui a la via de noms contra un gateway que BiVelio opera per a ella, pel pla Team o perquè la seva administració hi va apuntar l’extensió (fila següent) |
| Text del missatge enviat al gateway de noms de la teva organització (amb el pla Team, o per política central a Pro i Team); amb el pla Team, també el text d’un adjunt, ja redactat | El text de cada missatge que envies, tal com l’has escrit i abans que s’executi la redacció local — de manera que els identificadors, els secrets i els termes de l’art. 9 que la capa determinista hauria tret abans del proveïdor d’IA arriben intactes al gateway, excepte els termes de la teva llista de termes confidencials o de la de la teva organització, que abans se substitueixen per asteriscs de la mateixa longitud —, fins a 20.000 caràcters al pla Pro i 50.000 al pla Team, en fragments de fins a 4.000 que es revisen en paral·lel, sempre que la teva organització sigui a la ruta de noms: el pla Team porta l’adreça d’aquest gateway signada dins la seva pròpia llicència, i en qualsevol pla de pagament l’administració en pot fixar una a la política central gestionada, que mana per damunt de la de la llicència; i qualsevol text de 1.000 caràcters o més que enganxis al quadre de redacció del xat, en el moment d’enganxar-lo. Amb el pla Team, també li arriba el text d’un adjunt que l’extensió llegeix (un fitxer de text, o un PDF, Word, Excel, PowerPoint o OpenDocument), però DESPRÉS de la redacció local: els identificadors que detecta ja són tokens [BV:…]; fins a 50.000 caràcters per adjunt, en els mateixos fragments de fins a 4.000 — d’un adjunt més llarg se’n revisa el començament i un avís t’ho diu. És tot el text que l’extensió hi llegeix — comentaris, notes, capçaleres i peus de pàgina, control de canvis, text ocult i propietats del document inclosos —, llevat dels camps d’autor, que se substitueixen al teu navegador i no s’envien mai. El fitxer en si, les imatges i els escanejos no se li envien mai. | S’envia per TLS des del teu navegador a aquest gateway — el BiVelio Privacy Gateway de la teva pròpia organització o, sota un contracte d’encarregat del tractament amb la teva organització, un servei que BiVelio opera a Alemanya. Respon amb les posicions — i el text corresponent — de les dades personals que detecta: noms i llocs, i també dades de contacte, identificadors, dades financeres, adreces de xarxa, secrets i termes de categoria especial de l’art. 9 del RGPD. No conserva res: ni emmagatzematge, ni registre del text. La substitució i el vault es queden al teu navegador. La petició porta com a credencial el token de llicència de la teva organització i, en un missatge prou llarg per partir-se en fragments, el codi d’idioma que declara la pàgina del xat. | Sí, només a aquest gateway, i només mentre la teva organització estigui en aquesta via. Si el gateway no respon dins del pressupost de temps, o si el text supera el que permet el teu pla, el missatge s’envia només amb la capa determinista; si uns fragments responen a temps i d’altres no, també s’apliquen els noms trobats en els que han respost. En qualsevol cas, un avís et diu cada vegada que els noms no s’han revisat del tot. Sense gateway per cap de les dues vies no s’envia res i aquesta fila no s’aplica. |
| Mapa de valor ↔ token (el «vault») | p. ex. un correu ↔ [BV:EMAIL:…] | chrome.storage.local, xifrat amb AES-GCM; la clau es manté només a l'emmagatzematge de sessió en memòria i mai no s'escriu al disc | No — els valors en brut no es poden recuperar mai només des del disc, i mai no es transmeten |
| Configuració | L'interruptor d'activació/desactivació i l'opció opcional «Redacta per forma», i si la teva organització ha bloquejat la protecció en activat (`locked`, un sí/no que reflecteix la seva política gestionada) | chrome.storage.local | No |
| Comptador d'«elements protegits» | Un nombre de redaccions realitzades | chrome.storage.local | El número es queda al teu dispositiu. A Pro i Team en surt el DESGLOSSAMENT en forma de recomptes: quants valors de cada família es van quedar fora. Cap text, cap valor, cap token — i res que digui qui, quan al minut ni en quina conversa. |
| Marca de temps de «protecció interrompuda» | L'hora de l'últim bloqueig fail-closed (`lastBlock`); el popup la fa servir per avisar-te que un enviament s'ha aturat | chrome.storage.local | No — només una hora; no conté cap text de prompt, valor ni token |
| Marcadors de diagnòstic | La versió de l'esquema d'emmagatzematge i quan l'extensió va detectar per darrera vegada que un lloc havia canviat de forma | chrome.storage.local | No — un número de versió i una marca de temps; cap text ni valor |
| Testimoni de llicència Pro | La credencial BVLIC1… que enganxes des de Tauler → Facturació (només pla i caducitat — sense dades personals) | chrome.storage.local, verificada fora de línia amb la clau pública de BiVelio | A Pro i Team, el token i un id de dispositiu aleatori s'envien a BiVelio en una comprovació periòdica de seients (el token és un document públic, no un secret; l'id anomena un seient, no una persona). El tier gratuït no n'envia cap — i cap no porta mai text, valors ni tokens del vault. I si una comprovació respon que la llicència ha estat revocada — després d’un canvi de pla, per exemple — el token, només ell, va un cop a privacy.bivelio.com, que respon amb la llicència que la teva organització té ara: com a molt una petició així per llicència revocada i dia, i mai cap contingut. Aquest mateix token és també la credencial de l’informe agregat i de les peticions al gateway de noms: identifica la llicència de la teva organització, no a tu. |
| Informe agregat de privadesa (Pro i Team) | Només recomptes: quants valors de cada família es van quedar fora, quants enviaments es van bloquejar i quants van sortir sense protegir perquè ho vas decidir, i quants van sortir amb els noms sense revisar, o revisats en part, perquè el gateway de noms no va respondre a temps o el text superava el límit del pla; i, en un enviament que vas decidir fer sense protegir, quin de cinc motius fixos vas triar (o cap) —un codi, mai paraules que escriguis—; i, en qualsevol enviament en què es va mostrar la targeta que ofereix enviar-lo sense protegir, que es va mostrar, tant si després vas enviar com si vas cancel·lar; i, en un enviament per sobre del límit de persones per missatge de la teva organització que vas decidir enviar com a tokens, quin d'aquests mateixos cinc motius vas triar i que aquesta targeta es va mostrar | chrome.storage.local (una cua amb sostre), s'envia a BiVelio aproximadament un cop cada hora | Sí, a Pro i Team — i només són recomptes. No hi ha text, ni valors, ni tokens, ni nom, ni correu, ni identificador d'usuari; les hores es guarden per HORA, i res registra en quin xat, eina o fil. El nivell gratuït no n'envia res. S’envia amb el token de llicència de la teva organització, que diu de qui és l’informe, i amb el nombre de files que es van perdre abans de poder-se enviar. |
| Mapa de rutes signat (plans de pagament) | Una llista de les adreces dels llocs de xat amb IA compatibles on es pot enviar un missatge — lloc, tipus de petició, ruta i si l'extensió l'ha de protegir o bloquejar —, signada per BiVelio i rebuda amb la resposta a la comprovació periòdica de seients (`bv_routes`), i, per cada clau de signatura, la versió més recent acceptada fins ara, perquè una llista més antiga no substitueixi mai una de més nova (`bv_routes_floor`). Descriu els llocs de xat, no pas a tu: cap dada personal. | chrome.storage.local, i únicament es desa després de verificar-la fora de línia amb una clau pública de BiVelio inclosa a l'extensió | No — tan sols arriba, i no s'envia res sobre ella. Es rep en un pla de pagament, dins la resposta a la comprovació que la llicència ja fa; el tier gratuït no en rep mai cap. Únicament pot afegir protecció a una ruta d'enviament que l'extensió encara no coneix, i no pot treure ni rebaixar cap protecció que l'extensió ja tingui. |
| Els teus termes confidencials (`personalTerms`) — a tots els plans, Gratuït inclòs | La llista de termes — noms de clients, d’assumptes o de projectes, noms en clau — que escrius a la pàgina d’opcions de l’extensió perquè cadascun se substitueixi per un token abans que surti un missatge, com un IBAN. La llista de la teva organització, quan la seva política central la fixa (`confidentialTerms`), es llegeix de l’àrea de polítiques gestionades del navegador, no se’t mostra a la pàgina d’opcions i la pot llegir qualsevol que obri chrome://policy en aquell equip. | chrome.storage.local, desada tal com la vas escriure i SENSE xifrar: a diferència del vault, hi ha de continuar sent quan tanques el navegador, de manera que qualsevol amb accés al teu perfil del navegador la pot llegir — un nom en clau protegeix igual que el nom real. | No — cap de les dues llistes no s’envia mai enlloc. Un terme que apareix en un missatge surt com a token. On la teva organització és a la ruta de noms, el gateway rep, en lloc de cada terme, asteriscs de la mateixa longitud: sap on és el terme i quant fa, mai el seu text. A Pro i Team, un terme substituït es compta a l’informe agregat com un número, igual que qualsevol altre valor. |
| Revisió abans d’enviar (`reviewBeforeSend`, `reviewFamilies`) — on la política de la teva organització l’activa | Quan la política central de la teva organització deixa la revisió com a opcional, si la vas activar a la pàgina d’opcions, i quines famílies de valors detectats vols decidir tu. Amb la revisió activa — per decisió teva o perquè la política l’exigeix — una targeta t’ensenya el que s’ha trobat en un missatge abans que surti, i tries, valor per valor, mantenir-lo tal com el vas escriure o deixar que se substitueixi per un token. Només es poden mantenir les famílies que la teva organització permet; els secrets, mai. | chrome.storage.local: un sí/no i una llista de noms de família — ni text ni valors. La llista de la targeta no es desa. | Els dos ajustos, no. Un valor que decideixes mantenir surt tal com el vas escriure, en clar, al proveïdor d’IA — és decisió teva. Tota la resta del missatge surt com a tokens; cancel·lar o tancar la targeta no envia res. |
Quan tanques completament el navegador, la clau de xifratge en memòria es descarta, el vault emmagatzemat queda indesxifrable, i les converses més antigues es tornen a desidentificar en tokens opacs. Això és intencionat.
Què redacta localment el nivell gratuït
Abans que el teu prompt surti del navegador, el motor determinista detecta i substitueix:
- Correus electrònics i números de telèfon
- Números de targeta de crèdit (validats amb Luhn)
- IBAN i dades bancàries (validats amb mòdul 97)
- Documents d'identitat nacionals — DNI / NIE / CIF espanyols, SSN dels EUA, i més
- Claus d'API i secrets — OpenAI, AWS, GitHub, Stripe, Slack, i d'altres
- Adreces IP
- Termes de salut, religió, biometria i genètica — un lèxic multilingüe curat (categories especials de l'art. 9 del RGPD)
Abast honest: per mantenir alta la precisió, els identificadors estructurats es validen pel seu dígit de control, de manera que un valor ben format però amb checksum invàlid pot passar si no actives “Redactar per forma” (a sota). El nivell gratuït sí que redacta els termes de l'art. 9 del seu lèxic curat, però NO elimina noms de persones, adreces ni text lliure en general — no hi ha cap patró fix, i una expressió de l'art. 9 escrita amb paraules que el lèxic no recull també passarà. Els noms i el context es busquen per una sola via: quan la teva organització té un gateway de noms —inclòs amb el pla Team, o fixat per la seva administració a la política central en qualsevol pla de pagament, Pro o Team—, el text de cada missatge s’envia a aquest gateway, que respon amb les posicions de les dades personals que detecta — una capa que redueix la fuga de noms i que, mesurada, no l’elimina (vegeu «Noms a través del gateway de la teva organització», a sota). Sense gateway per cap de les dues vies, l’extensió no busca noms a cap nivell. La fallada contrària no depèn d'aquest ajust: un identificador es valida després de treure-li els separadors, de manera que una coincidència amb checksum vàlid pot arrossegar les paraules del costat — mesurat, «BTW NL123456789B01 on file» s'endú sis caràcters de la teva pròpia frase dins del token. Al proveïdor no li arriba res de més (veu menys del que has escrit), però el prompt queda alterat sense avisar-te.
L'opció opcional «Redacta per forma»
Pots activar «Redacta per forma» a la finestra emergent per amagar també identificadors que semblen un IBAN, una targeta o un document d'identitat però que no superen el seu checksum (per exemple, un número mal escrit). Està desactivada per defecte, continua executant-se completament en local, i t'avisem clarament que pot redactar de més coses com números de comanda, marques de temps o codis de seguiment. Tu decideixes.
Què NO fa l'extensió
- No envia a BiVelio els teus missatges, els valors que redacta ni els tokens que els substitueixen — amb una excepció declarada: quan la teva organització és a la via de noms contra un gateway que BiVelio opera per a ella sota un contracte d’encarregat del tractament —inclòs amb el pla Team, o perquè la seva administració hi va apuntar l’extensió—, el text de cada missatge arriba a aquest servei tal com l’has escrit, abans que s’executi la redacció local (excepte els termes de la teva llista de termes confidencials o de la de la teva organització, que abans se substitueixen per asteriscs), i respon amb les posicions i el text corresponent de les dades personals que detecta — inclosos els termes de categoria especial de l’art. 9 del RGPD — i no guarda res. Els valors es queden al teu navegador en totes les vies. Els tokens també, excepte amb el pla Team, on el text d’un adjunt arriba a aquest servei DESPRÉS de la redacció local, amb els tokens que ja substitueixen els seus identificadors.
- No fa servir rastrejadors, galetes, SDK d'analítica ni publicitat.
- No llegeix ni actua en cap lloc web que no siguin els llocs de xat d’IA compatibles (vegeu Permisos). Només tres adreces poden rebre res d’ella: el destí de llicència on van la comprovació de seient de Pro i Team i l’informe agregat horari — licensing.bivelio.com, tret que la teva llicència porti la seva pròpia adreça de pla de control, cas en què hi van —; privacy.bivelio.com, i només després que una comprovació hagi respost que la llicència està revocada, per canviar aquest token revocat per la llicència que la teva organització té ara — el token revocat és tot el que s’envia, i es demana com a molt un cop al dia —; i el gateway de noms de la teva organització —l’adreça que porta la seva llicència Team, o la que la seva administració va fixar a la política central—, i només per enviar el text del missatge i rebre posicions. En una instal·lació nova sense llicència —ni una facilitada per una organització ni una que ja fos a l’extensió— obre a més, un cop, una pestanya visible a https://privacy.bivelio.com/activar, perquè el web et retorni la llicència si hi tens la sessió iniciada (eliminar l’extensió esborra la llicència que guardava); l’extensió no envia res en aquesta pestanya i, sense llicència, simplement funciona al nivell gratuït. No accedeix al teu historial de navegació, ni a altres pestanyes, ni als teus fitxers.
- No ven ni comparteix dades personals, i mai no fa servir les teves dades per determinar la solvència creditícia ni per a préstecs.
- No protegeix el mode de veu ni el temps real. Redacta el text que escrius; un torn parlat a ChatGPT Advanced Voice o a la veu de Claude viatja per una connexió d'àudio en directe a part que l'extensió no veu mai, i una eina de text no pot redactar àudio. Escriu, no parlis, quan el torn porti dades sensibles.
- No cobreix el compositor «Cowork» de Claude. L'extensió redacta l'enviament normal del xat de Claude; Cowork escriu en un altre endpoint (`PUT /v1/code/sessions/…`) que l'extensió deixa intacte a propòsit, perquè aquesta càrrega és codi i configuració de sessió, no prosa. Considera desprotegit tot el que escriguis a Cowork.
- No inspecciona fitxers, imatges ni adjunts als plans Gratis i Pro: un document pujat, un PDF o un passaport fotografiat s'envien al proveïdor tal qual, i un avís t'ho indica. El pla Team redacta fitxers de text i documents PDF / Word / Excel / PowerPoint al teu navegador abans de pujar-los; els escanejos, imatges i altres fitxers il·legibles sempre et pregunten abans de sortir sense protegir. A Gemini aquest tractament dels adjunts no s’ha mesurat mai contra la ruta de pujada del lloc: considera no protegit qualsevol fitxer que adjuntis a Gemini, en qualsevol pla.
Permisos, i per què els necessita l'extensió
- storage
- per mantenir l'interruptor d'activació/desactivació, l'opció «Redacta per forma», el comptador sense valors, el vault xifrat (amb la clau guardada en memòria, mai al disc), la teva llista de termes confidencials i els ajustos de la revisió abans d’enviar descrits més amunt.
- scripting
- per tornar a injectar l'script de redacció local en una pestanya de xat d'IA que ja era oberta quan es va instal·lar o actualitzar l'extensió. Sense aquest permís, aquestes pestanyes quedarien sense protecció fins a recarregar-les a mà. Només es pot executar als llocs permesos que s'indiquen a sota.
- Accés d'amfitrió a chatgpt.com, chat.openai.com, claude.ai
- per executar la redacció local només en aquests llocs de xat d'IA.
- alarms
- (Pro i Team) per programar la comprovació periòdica de seient que es descriu a sota — unes dues vegades al dia, o cada hora quan la llicència de la teva organització porta l’adreça del gateway de noms — i l’informe agregat horari. Sense ús al nivell gratuït.
- Accés d'amfitrió a licensing.bivelio.com
- (Pro i Team) on van la comprovació de seient i l’informe agregat horari: licensing.bivelio.com, tret que la teva llicència porti la seva pròpia adreça de pla de control, cas en què hi van. L’extensió no demana permís per a cap altre lloc — ni tan sols per al gateway de noms: el seu worker en segon pla truca a l’adreça on és la teva organització —la que porta la seva llicència Team, o la que va fixar la seva administració—, i només respon un gateway que accepti explícitament l’extensió. El mateix val per a privacy.bivelio.com, que tampoc necessita permís de lloc: quan una comprovació respon que la llicència està revocada, el worker en segon pla li demana un cop la llicència que la teva organització té ara, enviant només el token revocat — així una millora o un canvi de pla no s’ha de reactivar a mà a cada màquina.
- Accés d’amfitrió opcional a gemini.google.com
- només es demana si actives Gemini al popup, i Chrome t’ho pregunta abans. Mentre no el concedeixis, l’extensió no s’executa a Gemini; un cop concedit, la redacció local hi funciona com als llocs de dalt, i el pots retirar des de la configuració d’extensions de Chrome.
Els proveïdors d'IA que fas servir
Quan envies un missatge, l'extensió reenvia el prompt redactat al proveïdor d'IA que has triat (OpenAI per a ChatGPT, Anthropic per a Claude, Google per a Gemini). El teu ús d'aquests serveis es regeix per les seves polítiques de privadesa i condicions — l'extensió no canvia la teva relació amb ells; només redueix les dades sensibles que reben.
Noms a través del gateway de la teva organització (Pro i Team)
El nivell Gratuït és totalment local, tal com s’ha descrit més amunt, i mai no busca noms de persones. Amb el pla Team el gateway ve amb el pla: l’adreça del servei de noms que opera BiVelio arriba signada dins de la llicència de la teva pròpia organització, així que no hi ha res a instal·lar ni cap URL a teclejar. En qualsevol pla de pagament — Pro o Team per igual — l’administració de la teva organització pot en canvi fixar una adreça de gateway a la política central gestionada, i aquesta adreça mana: el que l’extensió comprova abans de trucar al gateway és que tinguis una llicència de pagament, no quin dels plans de pagament és. El teu tauler genera aquesta política al pla Team; a Pro una administració pot escriure aquesta mateixa adreça a mà a la política gestionada de Chrome. A partir d’aleshores, el text de cada missatge que envies va des del teu navegador a aquest gateway tal com l’has escrit, abans que s’executi la redacció local — de manera que els identificadors, els secrets i els termes de l’art. 9 que la capa determinista hauria tret abans del proveïdor d’IA arriben intactes al gateway, excepte els termes de la teva llista de termes confidencials o de la de la teva organització, que abans se substitueixen per asteriscs de la mateixa longitud — i el gateway respon amb les posicions i el text corresponent de les dades personals que detecta: noms i llocs, i també dades de contacte, identificadors, dades financeres, adreces de xarxa, secrets i termes de categoria especial de l’art. 9 del RGPD; la substitució i el vault es queden al teu navegador, i el gateway no guarda res. Amb el pla Team, el text d’un adjunt també va a aquest gateway, però només DESPRÉS de la redacció local, amb els identificadors ja substituïts per tokens: tot el text que l’extensió hi llegeix — comentaris, notes, capçaleres i peus de pàgina, control de canvis, text ocult i propietats del document inclosos — llevat dels camps d’autor, que se substitueixen al teu navegador i no s’envien mai; fins a 50.000 caràcters per adjunt, i d’un de més llarg només el començament. Si el gateway no respon dins del seu pressupost de temps (fins a 16 segons), l’adjunt es puja igualment amb els identificadors substituïts, i un avís et diu que els seus noms no s’han comprovat del tot. Enganxar 1.000 caràcters o més al quadre de redacció del xat envia aquest text enganxat al mateix gateway en el moment d’enganxar-lo — abans que enviïs el missatge, i encara que després l’editis o no l’enviïs mai. Un missatge es revisa a la recerca de noms fins a 20.000 caràcters al pla Pro i fins a 50.000 al pla Team: un text de més de 4.000 caràcters es parteix en fragments de fins a 4.000, amb un petit solapament perquè no es perdi un nom que caigui en un tall, i els fragments van al gateway en paral·lel. Per sobre del límit del teu pla no es crida el gateway en absolut. Aquest gateway és el BiVelio Privacy Gateway de la teva pròpia organització, o el servei que BiVelio opera a Alemanya sota el contracte d’encarregat del tractament que forma part de les condicions del pla Team; fora d’això, a BiVelio no se li envia res. Si el gateway no respon dins del pressupost de temps — inabastable, massa lent o amb la seva capa de noms apagada — o si el text supera el límit del teu pla, el missatge s’envia només amb la capa determinista; si uns fragments responen a temps i d’altres no, també s’apliquen els noms trobats en els que han respost. En qualsevol cas es mostra un avís cada vegada; aquests enviaments es compten a l’informe agregat de la teva organització com a «enviats sense revisar noms». Aquesta capa redueix la fuga de noms, i no prometem que els elimini. Llegeix el 4,875 % de docs/BENCHMARKS.md pel que és: aquesta xifra mesura el sistema SENSE aquesta capa (els detectors deterministes més Presidio). Mesurat sobre el mateix corpus amb el model que el gateway executa de debò, no se’n va escapar cap dels 800 valors. Aquest corpus és sintètic i només puntua noms i llocs — no diu res sobre adreces postals ni termes de salut —, així que un zero allà no és una promesa de zero aquí. No hi ha cap interruptor per usuari. Quan l’adreça arriba amb el pla Team, qui en sigui propietari o administrador apaga la capa per a tota l’organització des del tauler, i això triga fins a una hora a arribar a un navegador; quan arriba per la política gestionada central —sempre a Pro, i a Team allà on una administració n’hagi fixat una—, aquesta adreça té precedència, com s’ha dit més amunt, i la capa s’apaga traient-la d’aquesta política. Sense gateway per cap de les dues vies, en aquesta via no passa absolutament res.
Base jurídica
L'extensió processa el teu prompt al teu propi dispositiu, per instrucció teva, per fer l'única cosa per a la qual la vas instal·lar. Quan el RGPD és d'aplicació, això és l'execució del contracte que vas acceptar en instal·lar-la (Art. 6.1.b). BiVelio no tracta aquestes dades: al nivell gratuït no ens arriba cap dada personal, de manera que no hi ha cap tractament per part de BiVelio que calgui justificar. A Pro, la comprovació de seient — el teu token de llicència i un identificador de dispositiu aleatori — es tracta per fer complir els seients que has comprat, també en virtut de l'Art. 6.1.b. Quan la teva organització és a la via de noms — perquè la seva llicència Team porta l’adreça del gateway, o perquè una administració va configurar un gateway a la política central gestionada — el text que s’hi envia es tracta seguint les instruccions de la teva organització: la teva organització és la responsable del tractament, i qui opera el gateway — la mateixa organització, o BiVelio sota un contracte d’encarregat del tractament amb ella (Art. 28) — actua com a encarregat.
Quant de temps es conserven les dades
Al teu dispositiu: el vault xifrat, la configuració i els comptadors sense valors es queden a l'emmagatzematge d'extensions del teu navegador fins que tanques el navegador (la clau de xifratge es descarta i el vault queda indesxifrable) o desinstal·les l'extensió (s'elimina tot). La teva llista de termes confidencials i els ajustos de la revisió abans d’enviar són l’excepció al tancament del navegador: hi continuen fins que els canvies a la pàgina d’opcions o desinstal·les l’extensió. Als servidors de BiVelio: res en absolut al nivell gratuït. A Pro, el registre de la comprovació de seient — identificador de dispositiu i últim dia vist — es conserva mentre el seient està actiu i es marca com a desactivat quan retires el dispositiu; avui no hi ha cap purga automàtica, tal com també declara la política del lloc web i el compte. En un gateway de noms, sigui el de la teva pròpia organització o el servei que opera BiVelio: el text d’un missatge, o el d’un adjunt ja redactat al teu navegador, existeix en memòria durant la petició i mai no s’escriu al disc ni a cap registre.
Transferències internacionals
El prompt tokenitzat va al proveïdor d'IA que hagis triat, sota la política pròpia d'aquest proveïdor; OpenAI i Anthropic tracten dades als Estats Units. Per a Gemini el proveïdor és Google, sota les seves pròpies condicions i allà on tracti les dades. BiVelio no és part d'aquesta transferència ni la modifica — l'extensió només redueix el que conté la petició. A Pro, la comprovació de seient arriba al servidor de llicències de BiVelio a Alemanya (Hetzner Online GmbH) i es queda a la UE. Quan la teva organització és a la via de noms — perquè la seva llicència Team porta l’adreça del gateway, o perquè una administració va configurar un gateway a la política central gestionada — el text del missatge —i, amb el pla Team, el d’un adjunt, ja redactat— va a aquest gateway: allà on la teva organització l’executi o, en el cas del servei que opera BiVelio, a Hetzner Online GmbH a Alemanya, dins de la UE.
Decisions automatitzades
L’extensió no pren cap decisió sobre tu en el sentit de l’Art. 22 i no elabora cap perfil. Cada decisió de redacció al teu navegador és una regla determinista — patró, checksum, acció — que pots inspeccionar al Playground d’aquest lloc. Els noms que troba un gateway vénen d’un model estadístic, de millor esforç i no exhaustiu; també ells decideixen només què se substitueix al teu text, mai res sobre tu.
Els teus drets
Com que l’extensió no emmagatzema cap dada personal als nostres servidors — un servei de noms operat per BiVelio, allà on la teva organització l’hagi triat, guarda el text d’un missatge només en memòria i només durant la petició —, en general no hi ha res que puguem consultar, exportar o eliminar en nom teu. Les dades locals (vault, configuració, comptador) estan completament sota el teu control: l'interruptor i el comptador es canvien o es reinicien des del popup, el vault es desidentifica sol en tancar el navegador (la seva clau de xifratge mai no surt de la memòria), i desinstal·lar l'extensió ho elimina tot. La teva llista de termes confidencials i els ajustos de la revisió es canvien o es buiden en qualsevol moment des de la pàgina d’opcions de l’extensió. Segons el RGPD i lleis similars, pots contactar amb nosaltres igualment amb qualsevol pregunta o sol·licitud.
Reclamacions i autoritat de control
Si consideres que l'extensió o BiVelio ha tractat les teves dades de manera il·lícita, pots presentar una reclamació davant d'una autoritat de control — en particular a l'Estat membre de la UE de la teva residència habitual, del teu lloc de treball o del lloc de la presumpta infracció (Art. 77). El Comitè Europeu de Protecció de Dades manté la llista de totes les autoritats i les seves dades de contacte. Preferiríem que ens escrivissis primer, però no hi estàs obligat. edpb.europa.eu ↗
Delegat de protecció de dades
BiVelio no ha designat cap delegat de protecció de dades: l’extensió manté el seu tractament al teu dispositiu o, amb un gateway de noms, seguint les instruccions de la teva organització, i la petita quantitat de dades sense valors que envia Pro no constitueix l'observació a gran escala o sistemàtica per a la qual l'Art. 37 l'exigeix. Tots els assumptes de privadesa s'atenen directament a privacy@bivelio.com, i aquesta secció canviarà el dia que això canviï.
Menors
BiVelio Shield no s'adreça a menors de 16 anys i no processa les seves dades de manera conscient.
Canvis en aquesta política
Actualitzarem aquesta pàgina i la seva data d'«Última actualització» quan canviï el comportament de dades de l'extensió. Els canvis substancials es reflectiran aquí abans que entrin en vigor en una versió publicada.
Contacte
Preguntes o sol·licituds sobre privadesa: privacy@bivelio.com
BiVelio, Inc., 131 Continental Dr, Suite 305, Newark, DE 19713, Estats Units · operant des d'Andorra 🇦🇩 · +1 302 208 5841
Historial de versions
Cada canvi en el que aquest document declara figura aquí amb la seva data. La redacció anterior es conserva a l'historial del repositori públic.
- v1.13
Els adjunts ara també passen per la capa de noms. Fins a la 1.12 un adjunt no s’enviava mai al gateway de noms, de manera que el nom d’una persona dins d’un document arribava en clar al proveïdor d’IA. Des d’aquesta versió, amb el pla Team, el text d’un adjunt que l’extensió llegeix (un fitxer de text, o un PDF, Word, Excel, PowerPoint o OpenDocument) també va al gateway de noms en què és la teva organització — l’adreça que porta la seva llicència Team, o la que una administració fixa a la política central —, però DESPRÉS de la redacció local: els identificadors que detecta ja són tokens [BV:…], i el gateway llegeix les paraules que els envolten. Fins a 50.000 caràcters per adjunt, en els mateixos fragments de fins a 4.000; d’un adjunt més llarg se’n revisa el començament i un avís ho diu. El destinatari, l’encarregat, el que torna i el que es guarda — res: el text existeix en memòria durant la petició — no canvien respecte a la 1.12; el fitxer en si, les imatges i els escanejos continuen sense enviar-se mai. A Gratis i a Pro l’extensió no obre els adjunts, així que allà no canvia res. Aquesta versió declara també una pestanya que obre l’extensió: en una instal·lació nova sense llicència —ni facilitada per una organització ni ja present a l’extensió, i no instal·lada per l’organització— obre un cop una pestanya visible a privacy.bivelio.com/activar, perquè el web retorni la llicència a qui hi tingui la sessió iniciada (eliminar l’extensió esborra la llicència que guardava); l’extensió no envia res en aquesta pestanya, i el nivell gratuït continua sense fer cap petició pròpia.
- v1.12
Declara, abans que es publiqui, el que afegeix la versió següent de l’extensió. Gemini: on donis a l’extensió accés a gemini.google.com, el text dels teus missatges de Gemini es redacta al teu navegador com a ChatGPT i Claude i, on la teva organització és a la ruta de noms — l’adreça que porta la seva llicència Team, o la que una administració fixa a la política central a Pro o Team —, va a aquest gateway com als altres dos llocs. Dues dades noves que només es desen al teu dispositiu: la teva pròpia llista de termes confidencials (`personalTerms`), tal com la vas escriure i sense xifrar, que no s’envia mai; i els ajustos de la revisió abans d’enviar (`reviewBeforeSend`, `reviewFamilies`) — un valor que decideixes mantenir en aquesta targeta surt al proveïdor d’IA tal com el vas escriure. Recull a més tres passatges que es van afegir al text de la 1.11 després del 25 de setembre sense canviar el número de versió: els termes confidencials arriben al gateway de noms com a asteriscs de la mateixa longitud (28 de setembre); l’informe agregat porta el codi d’un motiu d’una llista tancada de cinc, i si es va mostrar la targeta de decisió, en un enviament fet sense protegir (28 de setembre) o enviat com a tokens per sobre del límit de persones per missatge de l’organització (29 de setembre). I diu expressament que el token de llicència és també la credencial de l’informe agregat i de les peticions de noms, que la comprovació de seient es fa a Pro i a Team, i quin és el permís opcional de Gemini. Del costat de BiVelio no hi ha cap destinatari nou; el que el gateway de noms retorna i desa no canvia.
- v1.11
Els missatges llargs ara es revisen en fragments. Fins a la 1.10 un missatge anava al gateway de noms fins a 4.000 caràcters, i per sobre d’això no es cridava el gateway en absolut. Des d’aquesta versió la capa de noms revisa un missatge de fins a 20.000 caràcters al pla Pro i de fins a 50.000 al pla Team: un text de més de 4.000 caràcters es parteix en fragments de fins a 4.000, amb un petit solapament, que van al mateix gateway en paral·lel. Per sobre del límit del pla el gateway continua sense cridar-se en absolut. Si alguns fragments no responen a temps, s’apliquen els noms trobats en els altres i l’avís continua dient que els noms no s’han revisat del tot. Ara arriba al gateway més text de cada missatge llarg; el destinatari, les categories de dades, el que torna i el que es desa no canvien respecte a la 1.10.
- v1.10
Una correcció a la 1.9, i aquesta va de la DECLARACIÓ, no de l’interruptor: la base de l’Art. 6 i la transferència de l’Art. 44 descrivien només l’organització que configura un gateway, de manera que una organització Team — la llicència de la qual porta aquella adreça signada, sense que ningú configuri res — no llegia ni la seva base jurídica ni la seva transferència a Alemanya. Les dues seccions anomenen ara les dues vies dins de la frase que les condiciona: l’adreça que porta signada una llicència Team, i la que una administració escriu a la política central gestionada en qualsevol pla de pagament, Pro o Team. Què viatja, què torna i què es guarda no canvien respecte de la 1.9; cap destinatari nou i cap categoria de dades nova.
- v1.9
Una correcció del mateix dia a la 1.8, i és sobre l’apagat, no sobre el que viatja: allà on aquest document descrivia una sola via per apagar la capa de noms, ara les anomena totes dues a la mateixa frase. A Team l’apaga des del tauler qui en sigui propietari o administrador; a Pro, i a qualsevol instal·lació on el gateway vingui d’una política gestionada, mana aquesta política i la capa s’apaga traient-li l’adreça. El que viatja, el que torna i el que es guarda no canvien respecte a la 1.8; cap destinatari nou i cap categoria de dada nova.
- v1.8
La ruta de noms ve ara amb el pla Team. Fins avui només existia quan una administració havia escrit una adreça de gateway a la política central; amb Team, l’adreça del servei que opera BiVelio viatja signada dins de la llicència de la teva pròpia organització, així que no s’instal·la res ni es tecleja cap URL, i qui en sigui propietari o administrador apaga la capa per a tota l’organització des del tauler — una aturada que triga fins a una hora a arribar a un navegador; a Pro, i a qualsevol instal·lació on el gateway vingui d’una política gestionada, mana aquesta política i la capa s’apaga traient-li l’adreça. El que viatja, el que torna i el que es guarda no canvien respecte a la 1.7. Aquesta versió posa a més la capçalera al dia amb el cos: el canvi de la llicència revocada contra privacy.bivelio.com es va escriure en aquest avís el 19-09 i la versió es va quedar a la 1.7, de manera que la pàgina anomenava tres adreces dient ser el document que n’anomenava dues.
- v1.7
Declarats els noms a través del gateway de l’organització: quan l’administració fixa una adreça de gateway a la política central (qualsevol pla de pagament — Pro o Team), el text de cada missatge — fins a 4.000 caràcters, mai adjunts — i qualsevol enganxada de 1.000 caràcters o més van a aquest gateway, el de la mateixa organització o un servei que BiVelio opera a Alemanya sota un contracte d’encarregat del tractament, i tornen com a posicions; no es guarda res. Els enviaments sense revisar noms (el gateway no respon a temps, el text és massa llarg) s’avisen cada vegada i es compten a l’informe agregat. El 4,875 % publicat mesura el sistema SENSE aquesta capa; amb ella, no se’n va escapar cap dels 800 valors del corpus. El corpus és sintètic, així que no es promet zero.
- v1.6
La redacció d'adjunts passa al pla Team: als plans Gratis i Pro un adjunt es puja sense inspeccionar, amb un avís, igual que abans.
- v1.5
Disseny per capes amb un índex i un resum d'un cop d'ull. S'hi afegeixen la base jurídica, la conservació, les transferències internacionals, les decisions automatitzades, les reclamacions i la declaració sobre el DPD, de manera que l'avís cobreixi per si sol tots els punts de l'Art. 13.
- v1.4
Es declara la comprovació de seient de Pro: el token de llicència i un identificador de dispositiu aleatori s'envien periòdicament; el nivell gratuït continua sense enviar res.
- v1.3
Es declara la redacció d'adjunts de Pro: els fitxers de text i els documents PDF, Word, Excel i PowerPoint es reescriuen al navegador abans de pujar-se; els escanejos i les imatges pregunten primer.
- v1.2
Taula d'emmagatzematge completada amb la marca de temps del bloqueig i els marcadors de diagnòstic. Es declaren tres límits de cobertura: els modes de veu i de temps real, els adjunts no inspeccionats al nivell gratuït i el compositor Cowork de Claude. Es declara la sobreredacció al costat d'un identificador amb checksum vàlid.
- v1.1
Responsable identificat del tot amb l'adreça postal i el telèfon que figuren a la declaració de comerciant de la Chrome Web Store. Es declara el lèxic de categories especials de l'Art. 9 del RGPD com a part del que redacta el nivell gratuït.
- v1.0
Primera publicació.