Política de Privacidad

BYOK significa usar tu propia cuenta de proveedor y tu propia clave API. No vendemos datos personales, no los usamos con fines publicitarios ni entrenamos modelos propios de Oriveo con tu contenido. Las claves API se guardan localmente por defecto, pero las rutas de compatibilidad web y Relay pueden transmitir claves y mensajes para completar una única solicitud. Si activas cloud sync, el contenido de los mensajes y los metadatos se sincronizan mediante Firebase Firestore; los adjuntos pueden usar Cloud Storage.

A efectos de esta Política de Privacidad, el "responsable del tratamiento" (o el "encargado del tratamiento de información personal" conforme a la legislación aplicable) es el equipo de Oriveo.

• Entidad operadora: equipo de Oriveo
• Domicilio social / dirección postal: contacta con [email protected] para obtener la entidad operadora y dirección postal aplicables
• Correo de privacidad y protección de datos: [email protected]
• Correo de soporte general: [email protected]

Si te encuentras en el EEE, el Reino Unido o Suiza, puedes contactarnos en cualquier momento sobre el tratamiento de tus datos personales o presentar una reclamación ante la autoridad de protección de datos competente de tu jurisdicción.

Solo tratamos los datos necesarios para operar el Servicio: datos de cuenta, datos de cloud sync, datos de adjuntos, datos de routing BYOK, archivos de conocimiento de Skills, datos técnicos, diagnósticos, registros operativos de Oriveo Free y datos de seguridad de Admin. Cloud sync incluye el texto de los mensajes, la salida del modelo, el texto de reasoning cuando esté disponible, metadatos, miniaturas de imágenes y referencias de almacenamiento en Firebase Firestore.

En modo BYOK, los prompts, el contexto, los adjuntos, la selección de modelo, las claves API y las respuestas pueden ser procesados por el proveedor que elijas y, en web o en rutas de compatibilidad, de forma transitoria por los endpoints de routing de Oriveo. Si activas la sincronización, el contenido de los mensajes y los metadatos de adjuntos se sincronizan mediante Firebase.

Tratamos tus datos personales para las siguientes finalidades y, cuando corresponda, con las bases jurídicas previstas en normas como el GDPR, el UK GDPR o la CCPA/CPRA:

• Prestar y mantener el Servicio (inicio de sesión, sincronización en la nube, acceso multidispositivo) — necesario para la ejecución del contrato (art. 6(1)(b) del GDPR).
• Diagnóstico de fallos y mejora del producto (logs de errores, trazas de fallos, métricas agregadas de uso) — interés legítimo en mejorar el Servicio (art. 6(1)(f)).
• Prevención de abuso, control de cuotas y seguridad (rate limiting, CAPTCHA, detección de inicios de sesión anómalos, auditoría de cuotas de Oriveo Free, antifraude) — interés legítimo y cumplimiento de obligaciones legales (art. 6(1)(c)).
• Prestación de Oriveo Free (reenvío de solicitudes, medición de cuotas, gestión de denuncias de contenido) — necesario para la ejecución del contrato.
• Cumplimiento de requerimientos legales (órdenes judiciales, solicitudes regulatorias, derechos del titular de datos) — obligación legal.
• Comunicación sobre cambios del servicio, incidentes de seguridad y avisos importantes — ejecución del contrato o interés legítimo.

No:

• vendemos ni alquilamos tus datos personales a terceros;
• usamos tus datos personales para publicidad dirigida ni perfiles publicitarios;
• usamos tu contenido para entrenar modelos de IA propios de Oriveo.

Compartimos los datos necesarios con Firebase, Sentry, Resend, Cloudflare, OpenAI para Skill Vector Store o el enrutado de modelos, los proveedores de AI que elijas, los proveedores upstream de Oriveo Free y los proveedores de modelos upstream de Oriveo AI. Según la plataforma y la función, las solicitudes pueden enviarse directamente desde el cliente o reenviarse a través de los endpoints de compatibilidad de Oriveo.

Nuestra infraestructura en la nube (Firebase, Sentry, Cloudflare, etc.) se despliega en varias regiones del mundo. Si te encuentras fuera de la región donde están ubicados ciertos servidores, tus datos personales podrían transferirse internacionalmente. Aplicamos los siguientes mecanismos legales:

• Usuarios del EEE / Reino Unido / Suiza: transferencias a terceros países con base en las Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea y medidas complementarias adicionales.
• Otras regiones: aplicamos los mecanismos requeridos por la normativa local correspondiente.

Si deseas más información sobre el mecanismo de transferencia correspondiente, escríbenos a [email protected].

Los datos de cloud sync y el contenido de mensajes sincronizado se conservan hasta que los elimines o cierres tu cuenta, sujeto a copias de seguridad técnicas. Los registros de cuota y auditoría de Oriveo Free se conservan por lo general hasta 180 días; los logs de Sentry hasta 90 días; los logs de Admin hasta 12 meses. Las conexiones usan TLS, la infraestructura aplica cifrado en reposo y las copias de seguridad exportadas pueden cifrar con AES-256 las claves API incluidas cuando indicas una contraseña.

De acuerdo con la legislación aplicable (GDPR, UK GDPR, CCPA/CPRA, etc.), puedes tener los siguientes derechos respecto de tus datos personales:

• Acceso y copia: puedes descargar todos tus datos en cualquier momento desde "Configuración → Copia de seguridad → Exportar" en un ZIP cifrado, adecuado para migración.
• Rectificación: puedes corregir ciertos datos directamente desde la configuración de la cuenta; para otros campos, puedes escribirnos por correo.
• Supresión: puedes eliminar todos los datos asociados del servidor desde "Configuración → Cuenta → Eliminar cuenta" (algunos logs se conservarán según los plazos aplicables).
• Portabilidad: puedes exportar tus datos en un formato estructurado, de uso común y lectura mecánica.
• Limitación / oposición al tratamiento: puedes desactivar el envío de diagnósticos, desactivar la sincronización en la nube o dejar de usar tu cuenta en cualquier momento.
• Retirada del consentimiento: si algún tratamiento se basa en tu consentimiento, puedes retirarlo en cualquier momento, sin afectar a la licitud del tratamiento previo.
• Decisiones automatizadas: no tomamos decisiones que produzcan efectos jurídicos o similarmente significativos sobre ti basándonos únicamente en el tratamiento automatizado; el cálculo de la cuota de Oriveo Free es un control operativo antiabuso y no constituye elaboración de perfiles. Cuando la legislación aplicable te otorgue derechos relacionados, puedes ejercerlos escribiendo a [email protected].
• Derecho a reclamar ante una autoridad: los usuarios del EEE / Reino Unido pueden dirigirse a su autoridad de protección de datos; los usuarios de California, a la oficina del Fiscal General de California.
• No venta ni compartición de información personal; no discriminación (California): no vendemos tu información personal ni la compartimos con fines de publicidad conductual entre contextos, según se definen esos términos en la CCPA/CPRA. No te discriminaremos por ejercer cualquiera de estos derechos.

Plazo de respuesta: responderemos en un plazo de 30 días desde la recepción de una solicitud verificable. Cuando lo permita la legislación aplicable, podemos ampliar este plazo para solicitudes complejas o numerosas, y te informaremos de cualquier ampliación y de sus motivos. Si no estás conforme con nuestra respuesta, puedes contactarnos primero en [email protected].

El sitio web y la aplicación web de Oriveo utilizan las siguientes tecnologías de almacenamiento, y no las emplean para publicidad dirigida ni para seguimiento entre sitios:

• Estrictamente necesarias (no se pueden desactivar): cookies de sesión de Firebase Auth, tokens de protección CSRF y cookies JWT del panel Admin.
• Funcionales: preferencias de interfaz como tema, idioma o diseño; borradores de sesión y cachés de metadatos de modelos almacenados en IndexedDB del navegador.
• De seguridad: verificación humana de Cloudflare Turnstile en Admin y tokens de protección DDoS de Cloudflare.
• Analítica: usamos PostHog, alojado en la Unión Europea (eu.i.posthog.com), para una analítica de producto propia (first-party) y respetuosa con la privacidad. La captura se limita a las acciones que realizas, como los clics en botones; desactivamos la grabación de sesiones, la autocaptura (autocapture) y las encuestas, y PostHog solo guarda un identificador anónimo en tu navegador. Esta analítica nunca se usa para publicidad ni para seguimiento entre sitios. Puedes optar por no participar bloqueando las cookies y el almacenamiento local en la configuración de tu navegador.

No usamos cookies publicitarias de terceros, píxeles de seguimiento entre sitios ni scripts de tecnología publicitaria (ad-tech). Puedes borrar o bloquear cookies desde tu navegador, aunque eso puede afectar al inicio de sesión y a determinadas funciones.

El Servicio no está dirigido a menores de 13 años (o la edad mínima superior que exija tu jurisdicción, como 16 años en algunas partes del EEE). Los usuarios que no alcancen la edad aplicable solo pueden usar el Servicio con el consentimiento y la supervisión de un padre, madre o tutor legal.

No recopilamos deliberadamente datos personales de menores que no hayan alcanzado la edad legal aplicable. Si eres padre, madre o tutor y crees que hemos recopilado información de tu hijo o hija, contacta de inmediato con [email protected] y eliminaremos esos datos tras la verificación correspondiente.

Cambios en la política: podemos actualizar esta Política de Privacidad para reflejar cambios en el producto, la tecnología o la normativa aplicable. Si el cambio es importante, te lo notificaremos antes de su entrada en vigor mediante un aviso dentro de la app, por correo electrónico o en un lugar destacado de nuestro sitio web, y actualizaremos en consecuencia la fecha de "Última actualización". Si continúas usando el Servicio después de la entrada en vigor de los cambios, se entenderá que aceptas la política actualizada; si no estás de acuerdo, puedes dejar de usar el Servicio y eliminar tu cuenta.

Contacto:

• Privacidad y solicitudes de titulares de datos: [email protected]
• Soporte general del producto: [email protected]
• Asuntos legales: [email protected]

Haremos todo lo razonablemente posible por responder dentro de un plazo adecuado.

Si conectas Notion o Google Drive / Google Docs, Oriveo guarda el token OAuth cifrado para poder actuar en tu nombre. Solo accedemos a esas fuentes cuando inicias una búsqueda, listado o lectura de Library, o confirmas un paso de investigación. El texto solicitado se transmite mediante Oriveo Server únicamente durante esa operación; no lo preindexamos, no creamos una base vectorial y no conservamos el cuerpo del documento como un registro a largo plazo. El texto se envía al modelo que estás usando solo como parte del flujo de investigación que iniciaste o confirmaste. Las cachés de corta duración se usan solo para llevar a cabo operaciones de Library y se eliminan al caducar o al desconectar la fuente. Desconectar o revocar el acceso detiene de inmediato los nuevos accesos y elimina el token guardado y la caché relacionada. El contenido de Library no se usa para entrenamiento, publicidad ni analítica.

En el caso concreto de Google Drive y Google Docs: el modelo que recibe el texto del documento es un proveedor externo que tú eliges y conectas con tu propia clave de API, y ese proveedor trata el texto según sus propios términos. Si en cambio usas un modelo alojado de Oriveo (Oriveo AI u Oriveo Free), el texto del documento se retransmite mediante el servicio de modelos alojado de Oriveo hasta el proveedor de modelos upstream que atiende ese modelo, y ese proveedor upstream trata el texto según sus propios términos. El uso por parte de Oriveo de la información recibida de las API de Google Workspace se ajusta a la Google API Services User Data Policy, incluidos sus requisitos de Limited Use, y no utilizamos esa información para desarrollar, mejorar ni entrenar modelos generalizados de IA o aprendizaje automático.