Privacidad · Sitio y cuenta
Política de privacidad del sitio y de la cuenta
Esta política cubre privacy.bivelio.com: el sitio que estás leyendo, la cuenta con la que entras, la organización y los asientos que puedes contratar, el Sandbox e inspect.bivelio.com, el servicio de nombres al que el BiVelio Shield de una organización Team envía el texto de sus mensajes. La publica BiVelio, Inc. y describe lo que este despliegue hace de verdad. Si la página y el software no coinciden, eso es un fallo: escríbenos a privacy@bivelio.com.
De un vistazo
- Solo metadatos de cuenta y facturaciónTu email, tu organización, tus asientos e identificadores de Stripe. Los números de tarjeta nunca nos llegan.
- Tus prompts llegan aquí por una sola ruta, y solo en el plan TeamLa extensión y el gateway redactan de tu lado; este sitio solo conoce recuentos sin valores. La única ruta es inspect.bivelio.com: el texto de mensaje que el BiVelio Shield de una organización Team envía allí se contesta con posiciones en memoria y no se guarda en ningún sitio. Ese servicio se ofrece bajo su propio contrato de encargado del tratamiento, que forma parte de las condiciones con las que se vende el plan Team. En Team la apaga desde el panel quien sea propietario o administrador; en Pro, y en cualquier instalación cuyo gateway venga de una política gestionada, manda esa política y la capa se apaga quitándole la dirección. En cualquier otro plan no llega aquí ningún prompt tuyo por esa ruta.
- UE por defecto, con tres excepciones estadounidenses nombradasFráncfort y Alemania para el sitio, la base de datos y el Sandbox. Stripe (pagos), Resend (correo de invitación) y Google (medición publicitaria en las páginas públicas) operan desde Estados Unidos.
- Cookies publicitarias solo con tu consentimientoLa etiqueta publicitaria de Google se ejecuta solo en las páginas públicas, sin cookies y con los identificadores de clic redactados hasta que elijas. Solo pone cookies publicitarias si aceptas el banner. Las cookies de inicio de sesión son las únicas que se cargan siempre.
Tres documentos, y cuál te interesa
- Esta página gobierna privacy.bivelio.com e inspect.bivelio.com, y nada más.
- La extensión de navegador BiVelio Shield tiene su propia política, porque se comporta de forma completamente distinta: todo ocurre en tu equipo y no se nos envía nada. Ese es el documento al que apunta la ficha de la Chrome Web Store. La única excepción se describe abajo: un servicio de nombres que opera BiVelio, al que el plan Team apunta la extensión bajo el contrato de encargado del tratamiento propio de ese servicio, y al que la administración de una organización puede anteponer un gateway propio.
- Los documentos legales de bivelio.com son corporativos. Cubren la web principal de BiVelio y sus otros productos, y nombran a un representante de otra entidad. No describen este servicio, y esta página no debe leerse a través de ellos.
Qué tratamos y para qué
| Dato | Para qué | Base jurídica |
|---|---|---|
| Cuenta — tu dirección de correo y tu identificador de usuario | Para crear tu cuenta, autenticarte y mantener la sesión segura | Ejecución de un contrato (art. 6(1)(b)) |
| Organización, pertenencia y asientos — el nombre de la organización, tu rol en ella y el número de asientos con licencia | Para operar el plan de equipo y decidir qué puede hacer tu cuenta | Ejecución de un contrato (art. 6(1)(b)) |
| Facturación e impuestos — identificadores de cliente y suscripción de Stripe, estado del pago, país de facturación y NIF-IVA. Los datos de la tarjeta se introducen en las páginas de Stripe y nunca llegan a nosotros | Para cobrar la suscripción y emitir una factura correcta | Contrato (art. 6(1)(b)) y obligación legal (art. 6(1)(c)) |
| Invitaciones — la dirección de correo de la persona que invitas, quién la invitó, una caducidad y un hash del token de invitación | Para entregar el único mensaje de invitación que nos pediste enviar en tu nombre | Interés legítimo (art. 6(1)(f)) — estás invitando a un colega al equipo al que se incorpora |
| Texto del Sandbox — lo que pegues en el Sandbox | Para ejecutar la inspección en seco que pediste. Se procesa en memoria en nuestro servidor alemán, nunca se reenvía a ningún proveedor de IA y no se almacena | Tu solicitud / ejecución de un contrato (art. 6(1)(b)) |
| Texto del servicio de nombres — el texto de un mensaje que BiVelio Shield envía a inspect.bivelio.com, en una organización Team cuya licencia lleva esa dirección bajo el contrato de encargado del tratamiento propio del servicio, o cuya administración ha apuntado allí la extensión | Para encontrar las posiciones de los datos personales que el servicio detecta en ese texto — nombres y lugares, y también datos de contacto, identificadores, datos financieros, direcciones de red, secretos y términos de categoría especial del art. 9 del RGPD — y devolverlas; la sustitución la hace la extensión. El texto se mantiene en RAM solo durante la petición, nunca se escribe en disco, nunca se registra y nunca se reenvía a ningún proveedor de IA | Las instrucciones de tu organización bajo su contrato de encargado del tratamiento (art. 28) — tu organización es la responsable |
| Contadores de uso y metadatos de auditoría sin valores — recuentos, decisiones e identificadores opacos; nunca tu texto ni los valores detectados en él | Para aplicar cuotas, prevenir abusos y mantener el servicio en pie | Interés legítimo (art. 6(1)(f)) |
Qué debes facilitar y qué ocurre si no lo haces
Para tener una cuenta se requieren una dirección de email y una contraseña; sin ellas no hay cuenta en la que iniciar sesión. Para comprar asientos, el contrato y la legislación fiscal exigen un país de facturación y, para los compradores empresariales, un número de IVA; sin ellos el pago no puede completarse. Todo lo demás — el nombre de una organización, las invitaciones, el texto pegado en el Sandbox — es opcional y el servicio funciona sin ello.
Quién más lo toca
Una lista corta de proveedores, y nadie más. Ninguno es un proveedor de IA, y ninguno recibe más de lo que dice su fila.
| Destinatario | Qué hace por nosotros | Dónde |
|---|---|---|
| Supabase | Autenticación y la base de datos con los metadatos de cuenta, organización y facturación | Europa Central — Fráncfort |
| Hetzner Online GmbH | El cómputo del Sandbox que inspecciona en memoria el texto que pegas — y el servicio de nombres (inspect.bivelio.com) que inspecciona en memoria el texto de mensaje que BiVelio Shield envía desde las organizaciones Team que lo eligieron, devolviendo las posiciones de todo tipo de dato personal que detecta, incluidos los términos de categoría especial del art. 9 del RGPD. Se ofrece bajo el contrato de encargado del tratamiento propio de ese servicio | Alemania (UE) |
| Vercel Inc. | Este sitio web y sus funciones de servidor | Fráncfort (fra1), fijado en el repositorio |
| Stripe | Facturación de la suscripción, portal de cliente y recogida del NIF-IVA | Estados Unidos |
| Resend | Entrega del correo de invitación a la organización | Estados Unidos |
| Google (Google Ireland Ltd / Google LLC) | Medición de campañas de Google Ads solo en las páginas públicas: la etiqueta gtag.js envía pings sin cookies de vista de página y de estado del consentimiento con los identificadores de clic redactados, y solo pone cookies publicitarias y comunica conversiones después de que aceptes el banner. Responsable independiente de esos datos, no encargado. Nunca se carga en las páginas de cuenta, panel o invitación | Irlanda (UE) / Estados Unidos |
Lo que este dominio NO hace
- No ejecuta ningún SDK de analítica de producto ni graba la sesión: nada observa, reproduce ni perfila lo que haces dentro de la propia aplicación.
- No vende ni comparte tus datos personales, y ninguno se usa para entrenar ni afinar modelo alguno.
- Ningún proveedor de IA o LLM recibe los datos de tu cuenta, y ni el Sandbox ni el servicio de nombres reenvían a un proveedor de modelos el texto que reciben.
- No te perfila y no toma decisiones automatizadas con efectos jurídicos.
Cookies
Dos tipos de cookies. Las que mantienen tu sesión iniciada y protegen el flujo de acceso se cargan siempre — el producto las necesita. Las cookies de medición de campañas de Google Ads (puestas por Google: _gcl_au, 90 días, y las cookies _gcl_* relacionadas) se cargan SOLO si las aceptas en el banner de consentimiento: están denegadas por defecto mediante Google Consent Mode, así que si rechazas o ignoras el banner el sitio se queda sin cookies más allá del acceso. La propia etiqueta de Google se ejecuta en las páginas públicas antes de que elijas, en modo sin cookies y con los identificadores de clic redactados, y envía a Google pings de estado del consentimiento. Tu elección se guarda en tu navegador (clave localStorage bv-ads-consent) y puedes cambiarla en cualquier momento desde «Configuración de cookies» en el pie de página.
A dónde va el dato
Los tres proveedores que guardan el grueso están en la UE: Supabase en Fráncfort, Hetzner en Alemania (el Sandbox y el servicio de nombres) y Vercel fijado a Fráncfort (fra1). Tres no lo están: Stripe cobra el pago y Resend entrega el correo de invitación, ambos desde Estados Unidos, y Google recibe pings de medición publicitaria desde las páginas públicas — sin cookies hasta que consientas, nunca desde las páginas de cuenta, panel o invitación. Esas rutas implican una transferencia fuera del EEE con la garantía adecuada del Capítulo V. Los nombramos en vez de dejar que una frase genérica de «residencia UE» los tape.
Copias de las garantías de transferencia
Para los tres destinatarios de Estados Unidos — Stripe y Resend como encargados, Google como responsable independiente para la medición publicitaria — la transferencia se basa en el mecanismo adecuado del Capítulo V que ofrece cada proveedor: el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) cuando el proveedor está certificado, y las cláusulas contractuales tipo en caso contrario. Escribe a privacy@bivelio.com y te diremos cuál se aplica a cada uno y cómo obtener una copia.
Cuánto lo conservamos
El texto que pegas en el Sandbox, y el texto de mensaje que BiVelio Shield envía al servicio de nombres, no se conservan en absoluto: existen en memoria mientras dura la petición y nunca se escriben en disco ni en un registro. Todo lo demás — cuenta, organización, facturación e invitaciones, contadores y metadatos de auditoría — se conserva hasta que se borra. Hoy no hay ninguna purga automática en este servicio, así que nada caduca solo; preferimos decírtelo antes que publicar un plazo que nada ejecuta. Borrar tu cuenta elimina automáticamente los metadatos de tus claves y tus contadores de uso. Para cualquier otra cosa, escribe a privacy@bivelio.com y lo borramos.
Decisiones automatizadas
Este servicio no toma ninguna decisión sobre ti en el sentido del Art. 22 y no elabora ningún perfil. Los límites de cuota y los recuentos de asientos son simple aritmética sobre los contadores descritos arriba; nunca usan el contenido de nada de lo que pegas.
Tus derechos
Tienes los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición, y puedes reclamar ante tu autoridad de control. Escribe a privacy@bivelio.com: esa dirección es el único canal de derechos de este servicio y la atendemos nosotros directamente. No hay portal de autoservicio, y preferimos decirlo a insinuar que existe. Respondemos en el plazo de un mes, como exige el art. 12(3).
Reclamaciones y autoridad de control
Puedes presentar una reclamación ante una autoridad de control — en particular en el Estado miembro de la UE de tu residencia habitual, de tu lugar de trabajo o del lugar de la supuesta infracción (Art. 77). El Comité Europeo de Protección de Datos mantiene la lista de todas las autoridades y sus datos de contacto. Escribir primero a privacy@bivelio.com es más rápido, pero la elección es tuya. edpb.europa.eu ↗
Delegado de protección de datos
BiVelio no ha designado un delegado de protección de datos: el tratamiento en este dominio consiste en metadatos de cuenta, facturación y uso sin valores de una herramienta empresarial, no en la observación a gran escala o sistemática para la que el Art. 37 lo exige. Todos los asuntos de privacidad se atienden directamente en privacy@bivelio.com, y esta sección cambiará el día en que eso cambie.
Si ejecutas el gateway: responsable y encargado
Cuando tu organización ejecuta el gateway autoalojado, los prompts que pasan por él nunca llegan a BiVelio: tú eres el responsable de esos datos y no surge respecto a ellos ninguna relación de encargo con nosotros. Los únicos datos que tu gateway puede enviarnos son recuentos de uso sin valores, si configuras la medición. Cuando tu organización, en cambio, apunta BiVelio Shield al servicio de nombres que opera BiVelio (inspect.bivelio.com), BiVelio trata el texto de cada mensaje siguiendo tus instrucciones, como encargado del tratamiento, bajo un contrato específico de ese servicio, que forma parte de las condiciones con las que tu organización ha contratado el plan Team. En ese servicio de cuenta y facturación BiVelio es el encargado del tratamiento, y los subencargados en los que se apoya son los que figuran más arriba.
Menores
Esto es una herramienta profesional. No se dirige a menores de 16 años y no tratamos sus datos a sabiendas.
Cambios en esta política
Actualizaremos esta página y su fecha siempre que cambie el comportamiento del servicio con los datos.
Contacto
Dudas de privacidad, solicitudes o una corrección a esta página: privacy@bivelio.com
BiVelio, Inc., 131 Continental Dr, Suite 305, Newark, DE 19713, Estados Unidos · operando desde Andorra 🇦🇩 · +1 302 208 5841
Historial de versiones
Cada cambio en lo que este documento declara figura aquí con su fecha. La redacción anterior se conserva en el historial del repositorio público.
- v1.6
Una corrección del mismo día a la 1.5, y es sobre el apagado, no sobre lo que viaja: allí donde este documento describía una sola vía para apagar la capa de nombres, ahora nombra las dos en la misma frase. En Team la apaga desde el panel quien sea propietario o administrador; en Pro, y en cualquier instalación cuyo gateway venga de una política gestionada, manda esa política y la capa se apaga quitándole la dirección. Lo que viaja, lo que vuelve y lo que se guarda no cambian respecto a la 1.5; ningún destinatario nuevo y ninguna categoría de dato nueva.
- v1.5
El servicio de nombres de inspect.bivelio.com se ofrece. Su propio contrato de encargado del tratamiento — el Anexo IV del DPA de BiVelio — es el instrumento bajo el que se presta y forma parte de las condiciones con las que se vende el plan Team, así que la licencia de una organización Team lleva la dirección firmada por BiVelio y nadie tiene que configurar nada. En Team la apaga desde el panel quien sea propietario o administrador; en Pro, y en cualquier instalación cuyo gateway venga de una política gestionada, manda esa política y la capa se apaga quitándole la dirección. Ese apagado tarda hasta una hora en llegar a un navegador, y el contrato lo dice. Ningún destinatario nuevo, ninguna categoría de dato nueva y ningún cambio en lo que viaja ni en lo que se guarda: la descripción de la 1.4 sigue valiendo.
- v1.4
El servicio de nombres de inspect.bivelio.com entra en el ámbito: el texto de mensaje que BiVelio Shield envía desde una organización Team cuya administración lo eligió se inspecciona en memoria en Hetzner (Alemania) y se contesta con las posiciones de todo tipo de dato personal que detecta — incluidos los términos de categoría especial del Art. 9 del RGPD —, sin guardarse nunca ni registrarse nunca; BiVelio actúa como encargado del tratamiento bajo un contrato específico de ese servicio. Ese contrato aún no existe, así que el servicio está construido y probado pero no se ofrece y la dirección no se entrega. Se ensancha la fila de Hetzner; ningún destinatario nuevo.
- v1.3
Google se nombra como tercer destinatario de Estados Unidos. La etiqueta de Google Ads se limita a las páginas públicas (nunca las páginas de cuenta, panel o invitación), se ejecuta sin cookies y con los identificadores de clic redactados antes de que elijas, y se declaran sus cookies, el registro de consentimiento almacenado y el control «Configuración de cookies» del pie de página.
- v1.2
Diseño por capas con un índice y un resumen de un vistazo. Se declaran las cookies de Google Ads condicionadas al consentimiento (Consent Mode v2, denegadas por defecto). Se añaden: qué debes facilitar, decisiones automatizadas, reclamaciones, la declaración sobre el DPD, las copias de las garantías de transferencia y la distinción responsable/encargado para los clientes del gateway.
- v1.0
Primera publicación: este dominio enlazaba a la política corporativa de bivelio.com, que no describe este servicio; el pie de página ahora etiqueta ese enlace como corporativo.