Privacidad

Funciones

Syncanix actúa como encargado del tratamiento respecto de los datos de contenido del cliente que fluyen a través del producto (conversaciones de chat, contenido de documentos, incrustaciones de recuperación, cargas útiles de llamadas a herramientas) y como responsable del tratamiento respecto de los datos de cuenta del panel (correo electrónico del operador, rol, estado de MFA, registros de auditoría de las acciones del operador). Esta separación se refleja en el DPA y en la tabla de retención por tipo de dato que figura más abajo.

Valores predeterminados de privacidad desde el diseño

• Residencia de datos en la UE para todo lo almacenado y para la inferencia de IA predeterminada. Producción se ejecuta en la UE (Fráncfort), y todos los datos de cliente almacenados permanecen allí salvo que elijas explícitamente otra región. La inferencia de IA predeterminada también se ejecuta en la UE —Claude en Amazon Bedrock—, de modo que una conversación normal se procesa de extremo a extremo dentro de la región. Vea «Sin entrenamiento con sus datos» más abajo.
• Sin entrenamiento de modelos fundacionales con datos de clientes. Nunca entrenamos modelos de IA con sus datos. La inferencia predeterminada se ejecuta sobre Claude mediante Amazon Bedrock en la UE (eu-central-1), bajo los términos de tratamiento de datos de AWS: su contenido no se conserva ni se utiliza para entrenamiento. Si alguna vez conmutamos por error a un proveedor fuera de la UE (Anthropic u OpenAI), sus términos de API ya excluyen el tráfico de API del entrenamiento, y estamos finalizando acuerdos de Retención Cero de Datos (Zero Data Retention, ZDR) con ambos. Las incrustaciones de recuperación y el reordenamiento también se ejecutan en Amazon Bedrock en la UE.
• Valores predeterminados ajustados a la minimización. Retención predeterminada de 30-day para el contenido del chat; consentimiento por inclusión (no por exclusión) para la analítica entre clientes; exclusión predeterminada para las pruebas A/B de Prompts por cliente.

Retención (por nivel)

Los valores de retención predeterminados se aplican automáticamente según el nivel. Los clientes pueden solicitar una retención más corta en cualquier momento (los controles de autoservicio en el panel están en la hoja de ruta); los clientes Enterprise pueden ampliar la retención para obligaciones legales o regulatorias.

Derechos del RGPD

Todos los derechos del RGPD se respetan de extremo a extremo, con implementaciones específicas por Article:

• Article 15 (Acceso). Los usuarios finales pueden ver su historial de conversaciones en el widget de chat. Las solicitudes de administradores sobre el historial completo de un usuario pasan por el proceso documentado de recepción de DSAR, con exportación JSON legible por máquina entregada dentro del SLA de 30 días.
• Article 16 (Rectificación). Las solicitudes de rectificación se atienden a través del proceso documentado de recepción de DSAR, dentro de los mismos plazos de respuesta.
• Article 17 (Supresión). El borrado elimina tus mensajes de conversación, insights, registros de titularidad de conversación y valoraciones, y se completa dentro del SLA de 30 días.
• Article 20 (Portabilidad). La exportación se entrega como JSON legible por máquina para la portabilidad a otro proveedor; hay copias legibles por humanos disponibles bajo petición.
• Article 22 (Decisiones automatizadas). Syncanix se mantiene al margen por diseño: no hay decisiones exclusivamente automatizadas con efecto jurídico o significativo. Cada llamada a herramienta de alto impacto cuenta con un control de intervención humana (human-in-the-loop) y con barreras de autenticación reforzada (step-up).
• Article 25 (Privacidad desde el diseño). Valores por defecto: retención de 30 días, residencia en la UE para todos los datos almacenados, sin entrenamiento con datos de clientes.
• Article 32 (Seguridad). AES-256 en reposo; TLS 1.3 en tránsito; acceso de mínimo privilegio; SOC 2 Type I previsto para el T3 de 2026, con la recopilación de evidencias comenzando en los primeros meses tras el lanzamiento.
• Article 33 / 34 (Notificación de violaciones). Se notifica a los clientes en un plazo de 24 hours desde la confirmación de una violación de datos personales. Las obligaciones de notificación a los usuarios finales recaen en el cliente (responsable del tratamiento).

Perfiles de visitantes sin sesión

El aprendizaje de visitantes está activado de forma predeterminada en un espacio de trabajo y puede desactivarse en cualquier momento. Mientras está activo, los visitantes sin sesión reciben un identificador seudónimo para que el asistente pueda recordar a quienes regresan a ese sitio. El identificador es aleatorio, se crea por separado para cada espacio de trabajo y nunca se comparte ni se vincula entre sitios de distintos clientes. No se recogen nombres, correos ni datos de contacto: el asistente solo conserva preferencias derivadas de la conversación, eliminando identificadores y datos personales antes de almacenar nada.

• Un seudónimo, no una cuenta. El identificador no otorga acceso ni aprueba nada: los flujos de aprobación de acciones rechazan estructuralmente a los visitantes seudónimos, y nunca puede usarse para iniciar sesión ni actuar.
• Retención estándar. Las conversaciones y perfiles de visitantes siguen las ventanas de retención normales del espacio de trabajo — las mismas que se aplican a los usuarios con sesión iniciada — y los perfiles inactivos se eliminan automáticamente.
• Borrable bajo demanda. Los visitantes pueden pedir al propietario del sitio que les muestre o borre lo que el asistente recuerda sobre ellos, y esas solicitudes se atienden; el borrado también desvincula sus conversaciones pasadas para que nada pueda reaprenderse de ellas.
• Para qué no se usa nunca. Sin publicidad, sin venta de datos, sin seguimiento entre sitios y sin enriquecimiento de terceros. Los espacios de trabajo pueden desactivar la función en cualquier momento o vincularla al banner de consentimiento de su propio sitio.

Tratamiento de la PII

La PII se trata como un dato crítico. Syncanix la gestiona en tres puntos: los campos del catálogo en el descubrimiento, las respuestas del asistente antes de entregarlas y las transcripciones en la vista de revisión del operador:

• A nivel de campo (catálogo). Durante el descubrimiento, el LLM de enriquecimiento marca los campos que probablemente contengan PII (email, phone, SSN, credit card, IP). Los operadores confirman o rechazan. El renderizador redacta en función del ámbito pii:read del visualizador.
• Texto libre (mensajes de chat). Los mensajes de chat se almacenan tal como los escribió el usuario final —Syncanix no reescribe sus palabras en silencio—, cifrados en reposo y aislados por inquilino. Las respuestas del asistente pasan un análisis de secretos, de modo que las credenciales que pudiera reproducir ([api-key], [token]) se eliminan antes de llegar a la pantalla. Mantener datos de categorías especiales fuera del chat es responsabilidad del cliente (responsable del tratamiento) según el DPA.
• Capa de almacenamiento. El texto libre se conserva cifrado en reposo (AES-256 / KMS), aislado por inquilino y purgado según la ventana de retención de tu plan; no se redacta antes del almacenamiento. Cuando un operador abre una transcripción, los identificadores detectados se enmascaran ([email], [phone]) y el acceso queda registrado en el registro de auditoría.

Qué lee el mapeo de una página

El mapeo se ejecuta en una pestaña que abres tú, con tu propia sesión iniciada. Lee la estructura de tus páginas —los formularios, los campos que piden, las rutas y los enlaces— y pulsa los controles que encuentra dentro de copias selladas de esas páginas, así que nada llega a tu servidor. Lo que se guarda es una descripción de formas, nunca los valores que alguien haya escrito.

• Una lectura que sí hace. Para averiguar de dónde salió el valor de una petición, lo compara con lo que la página ya contiene —una etiqueta meta, un campo oculto, una cookie, un elemento almacenado—. La comparación ocurre en tu navegador, el valor se descarta en el mismo paso, y lo que se guarda es el nombre del sitio del que venía. Nada que solo pueda leer tu servidor le resulta visible.
• El almacenamiento del navegador es la única excepción. Aparte de esa comparación, el asistente no lee ningún almacenamiento del navegador en tu sitio. La excepción solo ocurre durante un mapeo que ejecutas tú, nunca en la sesión de un visitante, y solo toca las claves con las que coincidió el valor de una petición.
• Nunca un valor, nunca un modelo. Un valor coincidente no se registra, no se envía a ninguna parte y no llega a ningún modelo. Un valor que aparece en dos sitios, o en ninguno, se rechaza en lugar de adivinarse.
• Se reutiliza solo hacia tu propio servidor. Lo aprendido se reutiliza solo en llamadas del mismo origen a tu propia API, solo dentro de una petición que Syncanix firmó para esa llamada exacta, y nunca hacia el servidor de otra empresa.

Privacidad del código fuente

Esta sección trata del análisis opcional del código fuente. El descubrimiento a partir de las propias páginas del producto es el otro camino: lee la estructura de la página —nombres de campo, etiquetas, rutas— y nunca los valores que alguien haya escrito. La CLI de descubrimiento del lado del cliente de Syncanix se ejecuta en el propio entorno del cliente. Solo los metadatos estructurados del catálogo salen de la red del cliente: los archivos de origen nunca se cargan. El texto del manejador por endpoint (≤2 KB) enviado a Anthropic se procesa y descarta; según los términos de la API de Anthropic este tráfico está excluido del entrenamiento, y se está ultimando un acuerdo de retención de datos cero (Zero Data Retention, ZDR).

Syncanix nunca indexa el código fuente del lado del servidor. El descubrimiento está dirigido por eventos y es sin estado; el contenido del repositorio del cliente permanece en el repositorio del cliente.

BYOK (clave propia, bring-your-own-key). Los clientes de cualquier plan pueden aportar sus propias claves de Anthropic, OpenAI o Bedrock; el proveedor del LLM nunca ve a Syncanix como intermediario. .syncanixignore excluye rutas del descubrimiento de forma predeterminada ( (*.env, secrets/**, fixtures/**, __tests__/**, vendored/**, node_modules/**).

Leyes de privacidad de EE. UU.

El producto se implementa conforme a un superconjunto de RGPD + CCPA que se corresponde con las más de 19 leyes de privacidad de nivel estatal en vigor (CA CCPA / CPRA, VA VCDPA, CO CPA, CT CTDPA, UT UCPA, TX TDPSA, FL FDBR, OR OCPA, MT MCDPA, IA ICDPA, TN TIPA, IN ICDPA, DE DPDPA, NH SB 255, NJ SB 332, MN MCDPA, MD MODPA). Syncanix no vende ni comparte información personal en el sentido en que esos términos se definen en la CCPA / CPRA; los residentes de California pueden ejercer sus derechos de exclusión, acceso, corrección o supresión escribiendo a admin@syncanix.com . Las reglas ADMT de la CPPA (vigentes desde el 1 de enero de 2026) se tratan con la misma postura del Artículo 22 descrita arriba.

MENA e Israel

UAE Federal Decree-Law 45/2021 (PDPL) + DIFC + ADGM; KSA PDPL (plena aplicación desde 14 Sep 2024) con aviso de violación en 72-hour a SDAIA y designación de representante local cuando se superan los umbrales de ingresos; Israel Privacy Protection Law + Amendment 13 (en vigor el 15 Aug 2025) con Privacy Protection Officer obligatorio y multas de hasta el 5 % de la facturación; Egypt Law 151/2020; Qatar Law 13/2016; Bahrain PDPL 30/2018; Oman Royal Decree 6/2022; Jordan PDPL 24/2023. La residencia de datos en una región saudí (Riyadh) se activa cuando un cliente de pago de KSA lo requiere.

Aislamiento multiinquilino

Los límites entre inquilinos se aplican en todas las capas: delimitación a nivel de aplicación en cada consulta, seguridad a nivel de fila en la base de datos como defensa en profundidad y delimitación de acceso por inquilino en las rutas del LLM y de almacenamiento. Sondas sintéticas nocturnas ejercitan los límites: el usuario sintético A del inquilino A solicita los datos del usuario B; el resultado esperado es el rechazo; cualquier fallo desencadena una alerta crítica y la pausa del despliegue.

Procedimiento de DSAR

Las solicitudes de acceso del interesado (artículos 15 / 16 / 17 / 20 / 21) se acusan en un plazo de 24 horas y se atienden en un plazo de 30 días, conforme al artículo 12 del RGPD. Los tipos de solicitud admitidos son acceso, supresión, portabilidad, rectificación y oposición. Para presentar una solicitud, escriba a admin@syncanix.com indicando el tipo de solicitud y la cuenta a la que se refiere. Confirmamos la recepción y le indicamos qué necesitamos para verificar su identidad.

Relacionado

• Lista de subencargados → — las entidades en las que se apoya Syncanix, con el propósito y el mecanismo de transferencia por fila.
• Resumen de seguridad → — cifrado, IAM, cabeceras, respuesta a incidentes.
• Estado de cumplimiento → — estado de SOC 2 / ISO 27001 / EU AI Act / GDPR / CCPA.