Privacidad · Extensión de navegador
BiVelio Shield — Política de privacidad
BiVelio Shield («la extensión») está publicada por BiVelio, Inc., una sociedad de Delaware (Estados Unidos) que opera desde Andorra. Esta política describe exactamente qué hace y qué no hace la extensión con tus datos. Está redactada para reflejar el comportamiento real del software — si ambos llegaran a discrepar, se trata de un error; comunícalo a privacy@bivelio.com.
De un vistazo
- Se ejecuta en tu navegadorLa detección y la redacción ocurren en tu dispositivo. Con un gateway de nombres —incluido con el plan Team, o configurado por tu organización en cualquier plan de pago, Pro o Team— el texto de cada mensaje va además a ese gateway, para encontrar nombres, contestados como posiciones y guardados en ningún sitio.
- Sin cuenta, sin analíticaSin registro, sin rastreadores, sin cookies, sin SDK publicitario. Nada a lo que renunciar.
- Nada de lo que escribes se envía a BiVelio — con una excepción que puedes verEn el nivel gratuito la extensión no nos hace ninguna petición propia; lo único que hace por su cuenta es abrir una vez, en una instalación nueva sin licencia, una pestaña visible en privacy.bivelio.com/activar, y no envía nada en ella. Pro y Team envían el chequeo de asiento y recuentos sin valores —cuántos valores de cada tipo se quedaron fuera— y nunca una palabra de lo que escribiste. La excepción: un gateway de nombres. Con el plan Team es el que BiVelio opera para tu organización bajo un contrato de encargado del tratamiento, incluido con el plan; en cualquier plan de pago tu administración puede apuntar la extensión a uno propio en su lugar. El texto del mensaje va allí, se contesta con posiciones y no se conserva en ningún sitio.
- La clave de la bóveda nunca toca el discoEl mapa valor ↔ token está cifrado con AES-GCM; su clave vive en memoria y se descarta al cerrar el navegador.
La versión breve
- El único cometido de la extensión es mantener tus datos en tu equipo. En el nivel gratuito no envía nada a BiVelio ni a ningún tercero. Lo único que hace por su cuenta: en una instalación nueva sin licencia, abre una vez una pestaña visible en privacy.bivelio.com/activar, para que la web te devuelva tu licencia si tienes la sesión iniciada allí; es una página que tu navegador carga como cualquier otra, la extensión no envía nada en ella y puedes cerrarla.
- Tus prompts se inspeccionan y redactan localmente, en tu navegador, antes de que lleguen al proveedor de IA que elijas (ChatGPT / Claude, y Gemini donde hayas dado acceso a la extensión). El proveedor recibe tokens de marcador de posición en lugar de tus valores sensibles — de eso se trata.
- Sin cuenta, sin registro, sin analítica, sin publicidad. No recopilamos, vendemos, alquilamos ni compartimos tus datos personales.
- Una excepción, en cualquier plan de pago — Pro o Team: si tu organización tiene un gateway de nombres —incluido con el plan Team, o configurado por tu administración en la política central—, el texto de cada mensaje que envías — y cualquier texto de 1.000 caracteres o más que pegues en el cuadro de redacción del chat, en el momento de pegarlo; y, en el plan Team, el texto de un adjunto, ya redactado en tu navegador — va a ese gateway, que responde con las posiciones de los datos personales que detecta — nombres y lugares, y también datos de contacto, identificadores, datos financieros, direcciones de red, secretos y términos de categoría especial del art. 9 del RGPD — y no guarda nada.
Alcance: qué documento estás leyendo
- Esta política cubre la extensión de navegador BiVelio Shield y nada más. Es el documento al que apunta la ficha de la Chrome Web Store.
- El sitio web desde el que puedas haberla descargado, la cuenta, el plan para equipos y el Sandbox se rigen por la política de privacidad del sitio web y la cuenta, que es un documento aparte.
- Los documentos legales de bivelio.com son de ámbito corporativo y describen otros productos de BiVelio. No describen la extensión.
Qué datos maneja la extensión y dónde permanecen
| Dato | Qué es | Dónde reside | ¿Sale de tu dispositivo? |
|---|---|---|---|
| Texto del prompt | Lo que escribes en ChatGPT / Claude — y en Gemini, donde hayas dado acceso a la extensión | Procesado en la memoria de tu navegador | Solo la versión tokenizada llega al proveedor de IA — y BiVelio no ve nada de ello, salvo que tu organización esté en la ruta de nombres contra un gateway que BiVelio opera para ella, por el plan Team o porque su administración apuntó allí la extensión (fila siguiente) |
| Texto del mensaje enviado al gateway de nombres de tu organización (con el plan Team, o por política central en Pro y Team); en el plan Team, también el texto de un adjunto, ya redactado | El texto de cada mensaje que envías, tal como lo escribiste y antes de que se ejecute la redacción local — así que los identificadores, los secretos y los términos del art. 9 que la capa determinista habría quitado antes del proveedor de IA llegan intactos al gateway, salvo los términos de tu lista de términos confidenciales o de la de tu organización, que antes se sustituyen por asteriscos de la misma longitud —, hasta 20.000 caracteres en el plan Pro y 50.000 en el plan Team, en fragmentos de hasta 4.000 que se revisan en paralelo, siempre que tu organización esté en la ruta de nombres: el plan Team trae la dirección de ese gateway firmada dentro de su propia licencia, y en cualquier plan de pago la administración puede fijar una en la política central gestionada, que manda sobre la de la licencia; y cualquier texto de 1.000 caracteres o más que pegues en el cuadro de redacción del chat, en el momento de pegarlo. En el plan Team, también le llega el texto de un adjunto que la extensión lee (un fichero de texto, o un PDF, Word, Excel, PowerPoint u OpenDocument), pero DESPUÉS de la redacción local: los identificadores que detecta ya son tokens [BV:…]; hasta 50.000 caracteres por adjunto, en los mismos fragmentos de hasta 4.000 — de un adjunto más largo se revisa el principio y un aviso te lo dice. Es todo el texto que la extensión lee en él — comentarios, notas, encabezados y pies de página, control de cambios, texto oculto y propiedades del documento incluidos —, salvo los campos de autor, que se sustituyen en tu navegador y nunca se envían. El fichero en sí, las imágenes y los escaneos nunca se le envían. | Se envía por TLS desde tu navegador a ese gateway — el BiVelio Privacy Gateway de tu propia organización o, bajo un contrato de encargado del tratamiento con tu organización, un servicio que BiVelio opera en Alemania. Responde con las posiciones — y el texto correspondiente — de los datos personales que detecta: nombres y lugares, y también datos de contacto, identificadores, datos financieros, direcciones de red, secretos y términos de categoría especial del art. 9 del RGPD. No conserva nada: ni almacenamiento, ni registro del texto. La sustitución y la bóveda se quedan en tu navegador. La petición lleva como credencial el token de licencia de tu organización y, en un mensaje lo bastante largo para partirse en fragmentos, el código de idioma que declara la página del chat. | Sí, solo a ese gateway, y solo mientras tu organización esté en esa ruta. Si el gateway no responde dentro del presupuesto de tiempo, o si el texto supera lo que permite tu plan, el mensaje se envía solo con la capa determinista; si unos fragmentos responden a tiempo y otros no, se aplican también los nombres encontrados en los que respondieron. En cualquier caso, un aviso te dice cada vez que los nombres no se han revisado del todo. Sin gateway por ninguna de las dos vías no se envía nada y esta fila no aplica. |
| Mapa valor ↔ token (la «bóveda») | p. ej. un correo ↔ [BV:EMAIL:…] | chrome.storage.local, cifrado con AES-GCM; la clave se guarda únicamente en el almacenamiento de sesión en memoria y nunca se escribe en el disco | No — los valores en bruto nunca se pueden recuperar solo desde el disco, y nunca se transmiten |
| Ajustes | El interruptor de activado/desactivado y el conmutador opcional «Redactar por forma», y si tu organización ha bloqueado la protección en activado (`locked`, un sí/no que refleja su política gestionada) | chrome.storage.local | No |
| Contador de «elementos protegidos» | Un número de redacciones realizadas | chrome.storage.local | El número se queda en tu dispositivo. En Pro y Team sale su DESGLOSE en forma de recuentos: cuántos valores de cada familia se quedaron fuera. Ningún texto, ningún valor, ningún token — y nada que diga quién, cuándo al minuto ni en qué conversación. |
| Marca de tiempo de «protección interrumpida» | La hora del último bloqueo fail-closed (`lastBlock`); el popup la usa para avisarte de que un envío se detuvo | chrome.storage.local | No — solo una hora; no contiene texto de prompts, valores ni tokens |
| Marcadores de diagnóstico | La versión del esquema de almacenamiento y cuándo la extensión detectó por última vez que un sitio había cambiado de forma | chrome.storage.local | No — un número de versión y una marca de tiempo; ningún texto ni valor |
| Token de licencia Pro | La credencial BVLIC1… que pegas desde Panel → Facturación (solo plan y caducidad — sin datos personales) | chrome.storage.local, verificada sin conexión con la clave pública de BiVelio | En Pro y Team, el token y un id de dispositivo aleatorio se envían a BiVelio en un chequeo periódico de asientos (el token es un documento público, no un secreto; el id nombra un asiento, no una persona). El tier gratis no envía ninguno — y ninguno lleva nunca texto, valores ni tokens del vault. Y si un chequeo responde que la licencia fue revocada — tras un cambio de plan, por ejemplo — el token, solo él, va una vez a privacy.bivelio.com, que responde con la licencia que tu organización tiene ahora: como mucho una petición así por licencia revocada y día, y nunca contenido alguno. Ese mismo token es además la credencial del informe agregado y de las peticiones al gateway de nombres: identifica la licencia de tu organización, no a ti. |
| Informe agregado de privacidad (Pro y Team) | Solo recuentos: cuántos valores de cada familia se quedaron fuera, cuántos envíos se bloquearon y cuántos salieron sin proteger porque tú lo decidiste, y cuántos salieron con los nombres sin revisar, o revisados en parte, porque el gateway de nombres no respondió a tiempo o el texto superaba el límite del plan; y, en un envío que decidiste hacer sin proteger, cuál de cinco motivos fijos elegiste (o ninguno) —un código, nunca palabras que escribas—; y, en cualquier envío en el que se mostró la tarjeta que ofrece enviarlo sin proteger, que se mostró, tanto si después enviaste como si cancelaste; y, en un envío por encima del límite de personas por mensaje de tu organización que decidiste enviar como tokens, cuál de esos mismos cinco motivos elegiste y que esa tarjeta se mostró | chrome.storage.local (una cola con techo), se envía a BiVelio aproximadamente una vez por hora | Sí, en Pro y Team — y son solo recuentos. No hay texto, ni valores, ni tokens, ni nombre, ni correo, ni identificador de usuario; las horas se guardan por HORA, y nada registra en qué chat, herramienta o hilo. El nivel gratuito no envía nada de esto. Se envía con el token de licencia de tu organización, que dice de quién es el informe, y con el número de filas que se perdieron antes de poder enviarse. |
| Mapa de rutas firmado (planes de pago) | Una lista de las direcciones de los sitios de chat con IA compatibles a las que puede enviarse un mensaje — sitio, tipo de petición, ruta y si la extensión debe protegerla o bloquearla —, firmada por BiVelio y recibida con la respuesta al chequeo periódico de asientos (`bv_routes`), más, por cada clave de firma, la versión más reciente aceptada hasta ahora, para que una lista más antigua nunca sustituya a una más nueva (`bv_routes_floor`). Describe los sitios de chat, no a ti: ningún dato personal. | chrome.storage.local, y solo se guarda tras verificarla sin conexión con una clave pública de BiVelio incluida en la extensión | No — solo llega, y no se envía nada sobre ella. Se recibe en un plan de pago, dentro de la respuesta al chequeo que la licencia ya hace; el tier gratis nunca recibe ninguna. Solo puede añadir protección a una ruta de envío que la extensión aún no conoce, y no puede quitar ni rebajar ninguna protección que la extensión ya tenga. |
| Tus términos confidenciales (`personalTerms`) — en todos los planes, Gratis incluido | La lista de términos — nombres de clientes, asuntos o proyectos, nombres en clave — que escribes en la página de opciones de la extensión para que cada uno se sustituya por un token antes de que salga un mensaje, como un IBAN. La lista de tu organización, cuando su política central la fija (`confidentialTerms`), se lee del área de políticas gestionadas del navegador, no se te muestra en la página de opciones y puede leerla cualquiera que abra chrome://policy en ese equipo. | chrome.storage.local, guardada tal como la escribiste y SIN cifrar: a diferencia de la bóveda, tiene que seguir ahí cuando cierras el navegador, así que cualquiera con acceso a tu perfil del navegador puede leerla — un nombre en clave protege igual que el nombre real. | No — ninguna de las dos listas se envía nunca a ningún sitio. Un término que aparece en un mensaje sale como token. Donde tu organización está en la ruta de nombres, el gateway recibe, en lugar de cada término, asteriscos de la misma longitud: sabe dónde está el término y cuánto mide, nunca su texto. En Pro y Team, un término sustituido se cuenta en el informe agregado como un número, igual que cualquier otro valor. |
| Revisión antes de enviar (`reviewBeforeSend`, `reviewFamilies`) — donde la política de tu organización la activa | Cuando la política central de tu organización deja la revisión como opcional, si la activaste en la página de opciones, y qué familias de valores detectados quieres decidir tú. Con la revisión activa — por decisión tuya o porque la política la exige — una tarjeta te enseña lo que se ha encontrado en un mensaje antes de que salga, y eliges, valor por valor, mantenerlo tal como lo escribiste o dejar que se sustituya por un token. Solo se pueden mantener las familias que tu organización permite; los secretos, nunca. | chrome.storage.local: un sí/no y una lista de nombres de familia — ni texto ni valores. La lista de la tarjeta no se guarda. | Los dos ajustes, no. Un valor que decides mantener sale tal como lo escribiste, en claro, al proveedor de IA — es decisión tuya. Todo lo demás del mensaje sale como tokens; cancelar o cerrar la tarjeta no envía nada. |
Cuando cierras por completo el navegador, la clave de cifrado en memoria se descarta, la bóveda almacenada queda indescifrable y las conversaciones antiguas se vuelven a desidentificar en forma de tokens opacos. Esto es intencionado.
Qué redacta localmente el nivel gratuito
Antes de que tu prompt salga del navegador, el motor determinista detecta y sustituye:
- Correos electrónicos y números de teléfono
- Números de tarjeta de crédito (validados con Luhn)
- IBAN y datos bancarios (validados con mod-97)
- Documentos de identidad nacionales — DNI / NIE / CIF españoles, SSN estadounidense y más
- API keys y secretos — OpenAI, AWS, GitHub, Stripe, Slack y otros
- Direcciones IP
- Términos de salud, religión, biometría y genética — un léxico multilingüe curado (categorías especiales del Art. 9 del RGPD)
Alcance honesto: para mantener alta la precisión, los identificadores estructurados se validan por su dígito de control, así que un valor bien formado pero con checksum inválido puede pasar salvo que actives “Redactar por forma” (abajo). El nivel gratuito sí redacta los términos del Art. 9 de su léxico curado, pero NO elimina nombres de personas, direcciones ni texto libre en general — no hay un patrón fijo que casar, y una expresión del Art. 9 escrita con palabras que el léxico no recoge también pasará. Los nombres y el contexto se buscan por una sola ruta: cuando tu organización tiene un gateway de nombres —incluido con el plan Team, o fijado por su administración en la política central en cualquier plan de pago, Pro o Team—, el texto de cada mensaje se envía a ese gateway, que responde con las posiciones de los datos personales que detecta — una capa que reduce la fuga de nombres y que, medida, no la elimina (véase «Nombres a través del gateway de tu organización», abajo). Sin gateway por ninguna de las dos vías, la extensión no busca nombres en ningún nivel. El fallo contrario no depende de ese ajuste: un identificador se valida después de quitarle los separadores, así que una coincidencia con checksum válido puede arrastrar las palabras contiguas — medido, «BTW NL123456789B01 on file» se lleva seis caracteres de tu propia frase dentro del token. Al proveedor no le llega nada de más (ve menos de lo que escribiste), pero el prompt queda alterado sin avisarte.
El ajuste opcional «Redactar por forma»
Puedes activar «Redactar por forma» en la ventana emergente para ocultar también los identificadores que parecen un IBAN, una tarjeta o un documento de identidad pero no superan su checksum (por ejemplo, un número tecleado por error). Está desactivado por defecto, sigue ejecutándose enteramente en local, y te advertimos con claridad de que puede sobrerredactar cosas como números de pedido, marcas de tiempo o códigos de seguimiento. Tú decides.
Qué NO hace la extensión
- No envía a BiVelio tus mensajes, los valores que redacta ni los tokens que los sustituyen — con una excepción declarada: cuando tu organización está en la ruta de nombres contra un gateway que BiVelio opera para ella bajo un contrato de encargado del tratamiento —incluido con el plan Team, o porque su administración apuntó allí la extensión—, el texto de cada mensaje llega a ese servicio tal como lo escribiste, antes de que se ejecute la redacción local (salvo los términos de tu lista de términos confidenciales o de la de tu organización, que antes se sustituyen por asteriscos), y responde con las posiciones y el texto correspondiente de los datos personales que detecta — incluidos los términos de categoría especial del art. 9 del RGPD — y no guarda nada. Los valores se quedan en tu navegador en todas las rutas. Los tokens también, salvo en el plan Team, donde el texto de un adjunto llega a ese servicio DESPUÉS de la redacción local, con los tokens que ya sustituyen a sus identificadores.
- No utiliza rastreadores, cookies, SDK de analítica ni publicidad.
- No lee ni actúa sobre ningún sitio web que no sean los sitios de chat de IA compatibles (véase Permisos). Solo tres direcciones pueden recibir algo de ella: el destino de licencia al que van el chequeo de asiento de Pro y Team y el informe agregado horario — licensing.bivelio.com, salvo que tu licencia lleve su propia dirección de plano de control, en cuyo caso van allí —; privacy.bivelio.com, y solo después de que un chequeo haya respondido que la licencia está revocada, para cambiar ese token revocado por la licencia que tu organización tiene ahora — el token revocado es todo lo que se envía, y se pide como mucho una vez al día —; y el gateway de nombres de tu organización —la dirección que lleva su licencia Team, o la que su administración fijó en la política central—, y solo para enviar el texto del mensaje y recibir posiciones. En una instalación nueva sin licencia —ni una facilitada por una organización ni una que ya estuviera en la extensión— abre además, una vez, una pestaña visible en https://privacy.bivelio.com/activar, para que la web te devuelva tu licencia si tienes la sesión iniciada allí (eliminar la extensión borra la licencia que guardaba); la extensión no envía nada en esa pestaña y, sin licencia, simplemente funciona en el nivel gratuito. No accede a tu historial de navegación, a otras pestañas ni a tus archivos.
- No vende ni comparte datos personales, y nunca utiliza tus datos para determinar la solvencia crediticia ni para la concesión de préstamos.
- No protege el modo de voz ni el tiempo real. Redacta el texto que escribes; un turno hablado en ChatGPT Advanced Voice o en la voz de Claude viaja por una conexión de audio en directo aparte que la extensión nunca ve, y una herramienta de texto no puede redactar audio. Escribe, no hables, cuando el turno lleve datos sensibles.
- No cubre el compositor «Cowork» de Claude. La extensión redacta el envío normal del chat de Claude; Cowork escribe en otro endpoint (`PUT /v1/code/sessions/…`) que la extensión deja intacto a propósito, porque esa carga son código y configuración de sesión, no prosa. Da por no protegido todo lo que escribas en Cowork.
- No inspecciona ficheros, imágenes ni adjuntos en los planes Gratis y Pro: un documento subido, un PDF o un pasaporte fotografiado se envían al proveedor tal cual, y un aviso te lo indica. El plan Team redacta ficheros de texto y documentos PDF / Word / Excel / PowerPoint en tu navegador antes de subirlos; los escaneos, imágenes y demás ficheros ilegibles siempre te preguntan antes de salir sin proteger. En Gemini este tratamiento de los adjuntos no se ha medido nunca contra la ruta de subida del sitio: da por no protegido cualquier fichero que adjuntes en Gemini, en cualquier plan.
Permisos, y por qué los necesita la extensión
- storage
- para conservar el interruptor de activado/desactivado, el ajuste «Redactar por forma», el contador sin valores, la bóveda cifrada (con la clave guardada en memoria, nunca en el disco), tu lista de términos confidenciales y los ajustes de la revisión antes de enviar descritos arriba.
- scripting
- para volver a inyectar el script de redacción local en una pestaña de chat de IA que ya estaba abierta cuando se instaló o actualizó la extensión. Sin este permiso, esas pestañas quedarían sin protección hasta recargarlas a mano. Solo puede ejecutarse en los sitios permitidos que se indican abajo.
- Acceso de host a chatgpt.com, chat.openai.com, claude.ai
- para ejecutar la redacción local únicamente en esos sitios de chat de IA.
- alarms
- (Pro y Team) para programar el chequeo periódico de asiento que se describe abajo — unas dos veces al día, o cada hora cuando la licencia de tu organización lleva la dirección del gateway de nombres — y el informe agregado horario. Sin uso en el nivel gratuito.
- Acceso de host a licensing.bivelio.com
- (Pro y Team) a donde van el chequeo de asiento y el informe agregado horario: licensing.bivelio.com, salvo que tu licencia lleve su propia dirección de plano de control, en cuyo caso van a esa dirección. La extensión no pide permiso para ningún otro sitio — ni siquiera para el gateway de nombres: su worker en segundo plano llama a la dirección en la que está tu organización —la que lleva su licencia Team, o la que fijó su administración—, y solo responde un gateway que acepte explícitamente a la extensión. Lo mismo vale para privacy.bivelio.com, que tampoco necesita permiso de sitio: cuando un chequeo responde que la licencia está revocada, el worker en segundo plano le pide una vez la licencia que tu organización tiene ahora, enviando solo el token revocado — así una mejora o un cambio de plan no hay que reactivarlo a mano en cada máquina.
- Acceso de host opcional a gemini.google.com
- solo se pide si activas Gemini en el popup, y Chrome te lo pregunta antes. Mientras no lo concedas, la extensión no se ejecuta en Gemini; una vez concedido, la redacción local funciona allí como en los sitios de arriba, y puedes retirarlo desde los ajustes de extensiones de Chrome.
Los proveedores de IA que utilizas
Cuando envías un mensaje, la extensión reenvía el prompt redactado al proveedor de IA que elijas (OpenAI para ChatGPT, Anthropic para Claude, Google para Gemini). Tu uso de esos servicios se rige por sus políticas de privacidad y sus términos — la extensión no cambia tu relación con ellos; únicamente reduce los datos sensibles que reciben.
Nombres a través del gateway de tu organización (Pro y Team)
El nivel Gratis es totalmente local, tal como se describe arriba, y nunca busca nombres de personas. Con el plan Team el gateway viene con el plan: la dirección del servicio de nombres que opera BiVelio llega firmada dentro de la licencia de tu propia organización, así que no hay nada que instalar ni ninguna URL que teclear. En cualquier plan de pago — Pro o Team por igual — la administración de tu organización puede en cambio fijar una dirección de gateway en la política central gestionada, y esa dirección manda: lo que la extensión comprueba antes de llamar al gateway es que tengas una licencia de pago, no cuál de los planes de pago es. Tu panel genera esa política en el plan Team; en Pro una administración puede escribir esa misma dirección a mano en la política gestionada de Chrome. A partir de ahí, el texto de cada mensaje que envías va desde tu navegador a ese gateway tal como lo escribiste, antes de que se ejecute la redacción local — así que los identificadores, los secretos y los términos del art. 9 que la capa determinista habría quitado antes del proveedor de IA llegan intactos al gateway, salvo los términos de tu lista de términos confidenciales o de la de tu organización, que antes se sustituyen por asteriscos de la misma longitud — y el gateway responde con las posiciones y el texto correspondiente de los datos personales que detecta: nombres y lugares, y también datos de contacto, identificadores, datos financieros, direcciones de red, secretos y términos de categoría especial del art. 9 del RGPD; la sustitución y la bóveda se quedan en tu navegador, y el gateway no guarda nada. En el plan Team, el texto de un adjunto también va a ese gateway, pero solo DESPUÉS de la redacción local, con sus identificadores ya sustituidos por tokens: todo el texto que la extensión lee en él — comentarios, notas, encabezados y pies de página, control de cambios, texto oculto y propiedades del documento incluidos — salvo los campos de autor, que se sustituyen en tu navegador y nunca se envían; hasta 50.000 caracteres por adjunto, y de uno más largo solo el principio. Si el gateway no responde dentro de su presupuesto de tiempo (hasta 16 segundos), el adjunto se sube igualmente con sus identificadores sustituidos, y un aviso te dice que sus nombres no se han comprobado del todo. Pegar 1.000 caracteres o más en el cuadro de redacción del chat envía ese texto pegado al mismo gateway en el momento de pegarlo — antes de que envíes el mensaje, y aunque después lo edites o no lo envíes nunca. Un mensaje se revisa en busca de nombres hasta 20.000 caracteres en el plan Pro y hasta 50.000 en el plan Team: un texto de más de 4.000 caracteres se parte en fragmentos de hasta 4.000, con un pequeño solapamiento para que no se pierda un nombre que caiga en un corte, y los fragmentos van al gateway en paralelo. Por encima del límite de tu plan no se llama al gateway en absoluto. Ese gateway es el BiVelio Privacy Gateway de tu propia organización, o el servicio que BiVelio opera en Alemania bajo el contrato de encargado del tratamiento que forma parte de las condiciones del plan Team; fuera de eso, a BiVelio no se le envía nada. Si el gateway no responde dentro del presupuesto de tiempo — inalcanzable, demasiado lento o con su capa de nombres apagada — o si el texto supera el límite de tu plan, el mensaje se envía solo con la capa determinista; si unos fragmentos responden a tiempo y otros no, se aplican también los nombres encontrados en los que respondieron. En cualquier caso se muestra un aviso cada vez; esos envíos se cuentan en el informe agregado de tu organización como «enviados sin revisar nombres». Esta capa reduce la fuga de nombres, y no prometemos que la elimine. Lee el 4,875 % de docs/BENCHMARKS.md por lo que es: esa cifra mide el sistema SIN esta capa (los detectores deterministas más Presidio). Medido sobre el mismo corpus con el modelo que el gateway ejecuta de verdad, no se escapó ninguno de los 800 valores. Ese corpus es sintético y solo puntúa nombres y lugares — no dice nada sobre direcciones postales ni términos de salud —, así que un cero ahí no es una promesa de cero aquí. No hay un interruptor por usuario. Cuando la dirección llega con el plan Team, quien sea propietario o administrador apaga la capa para toda la organización desde el panel, y eso tarda hasta una hora en llegar a un navegador; cuando llega por la política gestionada central —siempre en Pro, y en Team allí donde una administración haya fijado una—, esa dirección tiene precedencia, como se ha dicho arriba, y la capa se apaga quitándola de esa política. Sin gateway por ninguna de las dos vías, en esta ruta no pasa nada en absoluto.
Base jurídica
La extensión procesa tu prompt en tu propio dispositivo, por instrucción tuya, para hacer lo único para lo que la instalaste. Cuando el RGPD es de aplicación, eso es la ejecución del contrato que aceptaste al instalarla (Art. 6.1.b). BiVelio no trata esos datos: en el nivel gratuito ningún dato personal nos llega, así que no hay tratamiento por parte de BiVelio que justificar. En Pro, el chequeo de asiento — tu token de licencia y un identificador de dispositivo aleatorio — se trata para hacer cumplir los asientos que compraste, también en virtud del Art. 6.1.b. Cuando tu organización está en la ruta de nombres — porque su licencia Team lleva la dirección del gateway, o porque una administración configuró un gateway en la política central gestionada — el texto que se envía allí se trata siguiendo las instrucciones de tu organización: tu organización es la responsable del tratamiento, y quien opera el gateway — la propia organización, o BiVelio bajo un contrato de encargado del tratamiento con ella (Art. 28) — actúa como su encargado.
Cuánto tiempo se conservan los datos
En tu dispositivo: la bóveda cifrada, los ajustes y los contadores sin valores permanecen en el almacenamiento de extensiones de tu navegador hasta que cierras el navegador (la clave de cifrado se descarta y la bóveda queda indescifrable) o desinstalas la extensión (se elimina todo). Tu lista de términos confidenciales y los ajustes de la revisión antes de enviar son la excepción al cierre del navegador: siguen ahí hasta que los cambias en la página de opciones o desinstalas la extensión. En los servidores de BiVelio: nada en absoluto en el nivel gratuito. En Pro, el registro del chequeo de asiento — identificador de dispositivo y último día visto — se conserva mientras el asiento está activo y se marca como desactivado cuando retiras el dispositivo; hoy no existe una purga automática, como también declara la política del sitio web y la cuenta. En un gateway de nombres, sea el de tu propia organización o el servicio que opera BiVelio: el texto de un mensaje, o el de un adjunto ya redactado en tu navegador, existe en memoria durante la petición y nunca se escribe en disco ni en un registro.
Transferencias internacionales
El prompt tokenizado va al proveedor de IA que hayas elegido, bajo la política propia de ese proveedor; OpenAI y Anthropic tratan datos en Estados Unidos. Para Gemini el proveedor es Google, bajo sus propias condiciones y allí donde trate los datos. BiVelio no es parte de esa transferencia ni la modifica — la extensión solo reduce lo que contiene la petición. En Pro, el chequeo de asiento llega al servidor de licencias de BiVelio en Alemania (Hetzner Online GmbH) y permanece en la UE. Cuando tu organización está en la ruta de nombres — porque su licencia Team lleva la dirección del gateway, o porque una administración configuró un gateway en la política central gestionada — el texto del mensaje —y, en el plan Team, el de un adjunto, ya redactado— va a ese gateway: allí donde tu organización lo ejecute o, en el caso del servicio que opera BiVelio, a Hetzner Online GmbH en Alemania, dentro de la UE.
Decisiones automatizadas
La extensión no toma ninguna decisión sobre ti en el sentido del Art. 22 y no elabora ningún perfil. Cada decisión de redacción en tu navegador es una regla determinista — patrón, checksum, acción — que puedes inspeccionar en el Playground de este sitio. Los nombres que encuentra un gateway vienen de un modelo estadístico, de mejor esfuerzo y no exhaustivo; también ellos deciden solo qué se sustituye en tu texto, nunca nada sobre ti.
Tus derechos
Dado que la extensión no almacena ningún dato personal en nuestros servidores — un servicio de nombres operado por BiVelio, allí donde tu organización lo haya elegido, guarda el texto de un mensaje solo en memoria y solo durante la petición —, por lo general no hay nada a lo que podamos acceder, que podamos exportar o eliminar en tu nombre. Los datos locales (bóveda, ajustes, contador) están enteramente bajo tu control: el interruptor y el contador se cambian o reinician desde el popup, la bóveda se desidentifica sola al cerrar el navegador (su clave de cifrado nunca sale de la memoria), y desinstalar la extensión lo elimina todo. Tu lista de términos confidenciales y los ajustes de la revisión se cambian o se vacían en cualquier momento desde la página de opciones de la extensión. En virtud del RGPD y de leyes similares, puedes ponerte en contacto con nosotros con cualquier pregunta o solicitud.
Reclamaciones y autoridad de control
Si consideras que la extensión o BiVelio ha tratado tus datos de forma ilícita, puedes presentar una reclamación ante una autoridad de control — en particular en el Estado miembro de la UE de tu residencia habitual, de tu lugar de trabajo o del lugar de la supuesta infracción (Art. 77). El Comité Europeo de Protección de Datos mantiene la lista de todas las autoridades y sus datos de contacto. Preferiríamos que nos escribieras primero, pero no estás obligado a hacerlo. edpb.europa.eu ↗
Delegado de protección de datos
BiVelio no ha designado un delegado de protección de datos: la extensión mantiene su tratamiento en tu dispositivo o, con un gateway de nombres, siguiendo las instrucciones de tu organización, y la pequeña cantidad de datos sin valores que envía Pro no constituye la observación a gran escala o sistemática para la que el Art. 37 lo exige. Todos los asuntos de privacidad se atienden directamente en privacy@bivelio.com, y esta sección cambiará el día en que eso cambie.
Menores
BiVelio Shield no está dirigida a menores de 16 años y no trata sus datos de forma consciente.
Cambios en esta política
Actualizaremos esta página y su fecha de «Última actualización» cuando cambie el comportamiento de datos de la extensión. Los cambios sustanciales se reflejarán aquí antes de que entren en vigor en una versión publicada.
Contacto
Preguntas o solicitudes sobre privacidad: privacy@bivelio.com
BiVelio, Inc., 131 Continental Dr, Suite 305, Newark, DE 19713, Estados Unidos · operando desde Andorra 🇦🇩 · +1 302 208 5841
Historial de versiones
Cada cambio en lo que este documento declara figura aquí con su fecha. La redacción anterior se conserva en el historial del repositorio público.
- v1.13
Los adjuntos pasan ahora también por la capa de nombres. Hasta la 1.12 un adjunto nunca se enviaba al gateway de nombres, así que el nombre de una persona dentro de un documento llegaba en claro al proveedor de IA. Desde esta versión, en el plan Team, el texto de un adjunto que la extensión lee (un fichero de texto, o un PDF, Word, Excel, PowerPoint u OpenDocument) va también al gateway de nombres en el que está tu organización — la dirección que lleva su licencia Team, o la que una administración fija en la política central —, pero DESPUÉS de la redacción local: los identificadores que detecta ya son tokens [BV:…], y el gateway lee las palabras que los rodean. Hasta 50.000 caracteres por adjunto, en los mismos fragmentos de hasta 4.000; de un adjunto más largo se revisa el principio y un aviso lo dice. El destinatario, el encargado, lo que vuelve y lo que se guarda — nada: el texto existe en memoria durante la petición — no cambian respecto a la 1.12; el fichero en sí, las imágenes y los escaneos siguen sin enviarse nunca. En Gratis y en Pro la extensión no abre los adjuntos, así que ahí no cambia nada. Esta versión declara también una pestaña que abre la extensión: en una instalación nueva sin licencia —ni facilitada por una organización ni ya presente en la extensión, y no instalada por la organización— abre una vez una pestaña visible en privacy.bivelio.com/activar, para que la web devuelva la licencia a quien tenga la sesión iniciada (eliminar la extensión borra la licencia que guardaba); la extensión no envía nada en esa pestaña, y el nivel gratuito sigue sin hacer ninguna petición propia.
- v1.12
Declara, antes de que se publique, lo que añade la siguiente versión de la extensión. Gemini: donde des a la extensión acceso a gemini.google.com, el texto de tus mensajes de Gemini se redacta en tu navegador como en ChatGPT y Claude y, donde tu organización está en la ruta de nombres — la dirección que lleva su licencia Team, o la que una administración fija en la política central en Pro o Team —, va a ese gateway como en los otros dos sitios. Dos datos nuevos que solo se guardan en tu dispositivo: tu propia lista de términos confidenciales (`personalTerms`), tal como la escribiste y sin cifrar, que nunca se envía; y los ajustes de la revisión antes de enviar (`reviewBeforeSend`, `reviewFamilies`) — un valor que decides mantener en esa tarjeta sale al proveedor de IA tal como lo escribiste. Recoge además tres pasajes que se añadieron al texto de la 1.11 después del 25 de septiembre sin cambiar el número de versión: los términos confidenciales llegan al gateway de nombres como asteriscos de la misma longitud (28 de septiembre); el informe agregado lleva el código de un motivo de una lista cerrada de cinco, y si se mostró la tarjeta de decisión, en un envío hecho sin proteger (28 de septiembre) o enviado como tokens por encima del límite de personas por mensaje de la organización (29 de septiembre). Y dice expresamente que el token de licencia es también la credencial del informe agregado y de las peticiones de nombres, que el chequeo de asiento se hace en Pro y en Team, y cuál es el permiso opcional de Gemini. Del lado de BiVelio no hay ningún destinatario nuevo; lo que el gateway de nombres devuelve y guarda no cambia.
- v1.11
Los mensajes largos se revisan ahora en fragmentos. Hasta la 1.10 un mensaje iba al gateway de nombres hasta 4.000 caracteres, y por encima de eso no se llamaba al gateway en absoluto. Desde esta versión la capa de nombres revisa un mensaje de hasta 20.000 caracteres en el plan Pro y de hasta 50.000 en el plan Team: un texto de más de 4.000 caracteres se parte en fragmentos de hasta 4.000, con un pequeño solapamiento, que van al mismo gateway en paralelo. Por encima del límite del plan sigue sin llamarse al gateway en absoluto. Si algunos fragmentos no responden a tiempo, se aplican los nombres encontrados en los demás y el aviso sigue diciendo que los nombres no se han revisado del todo. Ahora llega al gateway más texto de cada mensaje largo; el destinatario, las categorías de datos, lo que vuelve y lo que se guarda no cambian respecto a la 1.10.
- v1.10
Una corrección a la 1.9, y esta va de la DECLARACIÓN, no del interruptor: la base del Art. 6 y la transferencia del Art. 44 describían solo a la organización que configura un gateway, así que una organización Team — cuya licencia lleva esa dirección firmada, sin que nadie configure nada — no leía ni su base jurídica ni su transferencia a Alemania. Las dos secciones nombran ahora las dos vías dentro de la frase que las condiciona: la dirección que lleva firmada una licencia Team, y la que una administración escribe en la política central gestionada en cualquier plan de pago, Pro o Team. Lo que viaja, lo que vuelve y lo que se guarda no cambian respecto de la 1.9; ningún destinatario nuevo y ninguna categoría de datos nueva.
- v1.9
Una corrección del mismo día a la 1.8, y es sobre el apagado, no sobre lo que viaja: allí donde este documento describía una sola vía para apagar la capa de nombres, ahora nombra las dos en la misma frase. En Team la apaga desde el panel quien sea propietario o administrador; en Pro, y en cualquier instalación cuyo gateway venga de una política gestionada, manda esa política y la capa se apaga quitándole la dirección. Lo que viaja, lo que vuelve y lo que se guarda no cambian respecto a la 1.8; ningún destinatario nuevo y ninguna categoría de dato nueva.
- v1.8
La ruta de nombres viene ahora con el plan Team. Hasta hoy sólo existía cuando una administración había escrito una dirección de gateway en la política central; con Team, la dirección del servicio que opera BiVelio viaja firmada dentro de la licencia de tu propia organización, así que no se instala nada ni se teclea ninguna URL, y quien sea propietario o administrador apaga la capa para toda la organización desde el panel — un apagado que tarda hasta una hora en llegar a un navegador; en Pro, y en cualquier instalación cuyo gateway venga de una política gestionada, manda esa política y la capa se apaga quitándole la dirección. Lo que viaja, lo que vuelve y lo que se guarda no cambian respecto a la 1.7. Esta versión pone además la cabecera al día con el cuerpo: el canje de la licencia revocada contra privacy.bivelio.com se escribió en este aviso el 19-09 y la versión se quedó en 1.7, así que la página nombraba tres direcciones diciendo ser el documento que nombraba dos.
- v1.7
Declarados los nombres a través del gateway de la organización: cuando la administración fija una dirección de gateway en la política central (cualquier plan de pago — Pro o Team), el texto de cada mensaje — hasta 4.000 caracteres, nunca adjuntos — y cualquier pegado de 1.000 caracteres o más van a ese gateway, el de la propia organización o un servicio que BiVelio opera en Alemania bajo un contrato de encargado del tratamiento, y vuelven como posiciones; no se guarda nada. Los envíos sin revisar nombres (el gateway no responde a tiempo, el texto es demasiado largo) se avisan cada vez y se cuentan en el informe agregado. El 4,875 % publicado mide el sistema SIN esa capa; con ella, no se escapó ninguno de los 800 valores del corpus. El corpus es sintético, así que no se promete cero.
- v1.6
La redacción de adjuntos pasa al plan Team: en los planes Gratis y Pro un adjunto se sube sin inspeccionar, con un aviso, igual que antes.
- v1.5
Diseño por capas con un índice y un resumen de un vistazo. Se añaden la base jurídica, la conservación, las transferencias internacionales, las decisiones automatizadas, las reclamaciones y la declaración sobre el DPD, de modo que el aviso cubra por sí solo todos los puntos del Art. 13.
- v1.4
Se declara el chequeo de asiento de Pro: el token de licencia y un identificador de dispositivo aleatorio se envían periódicamente; el nivel gratuito sigue sin enviar nada.
- v1.3
Se declara la redacción de adjuntos de Pro: los ficheros de texto y los documentos PDF, Word, Excel y PowerPoint se reescriben en el navegador antes de subirse; los escaneos y las imágenes preguntan primero.
- v1.2
Tabla de almacenamiento completada con la marca de tiempo del bloqueo y los marcadores de diagnóstico. Se declaran tres límites de cobertura: los modos de voz y de tiempo real, los adjuntos no inspeccionados en el nivel gratuito y el compositor Cowork de Claude. Se declara la sobrerredacción junto a un identificador con checksum válido.
- v1.1
Responsable identificado por completo con la dirección postal y el teléfono que figuran en la declaración de comerciante de la Chrome Web Store. Se declara el léxico de categorías especiales del Art. 9 del RGPD como parte de lo que redacta el nivel gratuito.
- v1.0
Primera publicación.