Cómo protegemos los datos de nuestros clientes, los datos personales, y los sistemas que los guardan.
Los datos que tu organización procesa en la plataforma de SAPTIVA AI son tuyos. Los tratamos como encargado, siguiendo tus instrucciones documentadas, bajo el Acuerdo de Procesamiento de Datos que firmamos contigo. Nunca se usan para entrenar modelos.
Esta página rige los datos personales que recabamos a través de este sitio, de nuestros buzones públicos y de nuestro proceso de contratación. Es una lista corta, y la sección 003 la enumera completa.
Este sitio mide su uso con una herramienta de analítica, PostHog, para saber qué páginas se leen y dónde se atora la gente. No usa pixeles publicitarios ni rastreo entre sitios. Instala dos cookies: una recuerda si lees el sitio en inglés o en español, y otra, de PostHog, reconoce tu visita.
Casi todo el reclamo que existe contra los avisos de privacidad viene de la misma confusión: un solo documento intenta cubrir la lista de marketing del proveedor y los datos de producción del cliente al mismo tiempo, y termina describiendo mal las dos cosas. Aquí van separados, porque los roles son genuinamente distintos y las reglas que les aplican también.
Todo lo que tu organización procesa en SAPTIVA Studio y frIdA: los documentos, expedientes, prompts, resultados, y los datos personales de tus propios clientes, empleados o alumnos que vayan dentro.
Tú eres el responsable. SAPTIVA AI es el encargado. Se rigen por tu Acuerdo de Procesamiento de Datos, no por esta página. La sección 002 describe cómo nos comportamos en ese rol.
Lo que nos mandas por este sitio, por nuestros buzones públicos y por nuestro proceso de contratación, más los datos técnicos que produce cualquier petición web.
Aquí SAPTIVA AI es el responsable. Se rigen por esta página. La sección 003 los enumera todos, sin abreviar.
Si estás leyendo esto porque tu banco, tu aseguradora o tu universidad usa SAPTIVA AI y quieres saber qué pasa ahí con tus datos personales, la sección 002 te dice cómo nos comportamos y la sección 007 te dice a dónde mandar la solicitud. La respuesta a esa solicitud le corresponde a la institución, no a nosotros. Eso no es evadir. Es lo que significa ser el encargado.
Como encargado, tratamos los Datos de Cliente por una razón: entregar el servicio que contrataste, de la forma en que lo dice tu configuración. No los tratamos para fines propios, no los enriquecemos, no los analizamos de forma cruzada entre clientes, y no derivamos productos de ellos. El Acuerdo de Procesamiento de Datos vuelve eso vinculante y agrega el detalle que esta página no puede: las instrucciones específicas, la lista de subencargados de tu despliegue, los derechos de auditoría y los términos de notificación.
No usamos Datos de Cliente para entrenar, afinar ni evaluar ningún modelo, ni en nuestro beneficio ni en el de nadie más. Ni nuestros modelos. Ni los de un proveedor de modelos. Ni un agregado, un embedding, o un conjunto derivado que sobreviva a tu despliegue.
Cuando decides afinar un modelo con tus propios datos, los pesos resultantes se tratan como datos tuyos y se quedan dentro de tu entorno de despliegue. SAPTIVA AI no los copia hacia afuera. En un despliegue aislado no existe ninguna ruta externa. En un despliegue on-premise la plataforma sí sale para sus propias actualizaciones, pero ninguna ruta saca Datos de Cliente ni los pesos de tus modelos de tu infraestructura.
La residencia es una propiedad de la arquitectura, no una promesa en una lámina. Cada clase de dato tiene asignados los entornos en los que puede correr, frIdA rutea en consecuencia, y la ruta queda en el registro de auditoría. Los despliegues corren en nube pública, en regiones dentro del país, en nube privada, sobre tu propio hardware, o completamente aislados. Tu configuración decide cuál. En los despliegues donde la residencia es un requisito definitorio, la región física, la jurisdicción legal y el compromiso contractual de residencia quedan escritos en tu contrato.
El personal de SAPTIVA AI no tiene acceso permanente a datos de producción de clientes. Cualquier intervención operativa requiere tu autorización, está acotada en el tiempo, está ligada a un incidente o a una orden de trabajo específica, y queda capturada en el mismo registro de auditoría que todo lo demás en tu entorno, en los mismos términos. Nuestro acceso a tus sistemas es tan auditable para ti como el de tus propios usuarios.
Quién más toca los datos depende por completo de cómo esté construido tu despliegue. Un despliegue aislado no tiene subencargados. Uno en nube pública hereda al proveedor de nube que elegiste. Uno on-premise puede no tener ninguno. Para cada relación publicamos la lista vigente de subencargados en el DPA y te notificamos por adelantado cualquier cambio, para que puedas ejercer los derechos que te da tu contrato antes de que surta efecto.
La conservación dentro de tu despliegue sigue tu calendario, no el nuestro. Cuando termina el contrato, los Datos de Cliente se devuelven o se borran en los términos que ese contrato fije. Cuando el despliegue vive sobre tu propia infraestructura, no hay nada que devolver, porque nunca salió.
Lo que dice esta página no es el compromiso. El compromiso está en el contrato. Si esta página y tu Acuerdo de Procesamiento de Datos llegaran a decir cosas distintas, gana el contrato, y nos gustaría enterarnos de la discrepancia: privacy@saptiva.com.
Esto no es un resumen. Es el inventario completo de datos personales que SAPTIVA AI recaba como responsable a través de este sitio y de nuestros buzones.
Casi todo esto lo puedes verificar tú en un minuto. Abre la pestaña de red de tu navegador y carga cualquier página del sitio. Los únicos hosts externos que vas a ver son los de las fuentes y los de PostHog.
Son las que dan origen a la relación. Sin ellas no podemos hacer aquello por lo que nos contactaste.
Hay una, y es opcional: contarte de vez en cuando algo de la plataforma que creemos relevante para lo que nos preguntaste. No corremos secuencias de automatización de marketing, y no te damos de alta en una lista por haber llenado un formulario.
Para rechazar la finalidad secundaria, responde cualquier mensaje nuestro diciéndolo, o escribe a privacy@saptiva.com. Rechazarla no tiene ningún efecto sobre lo demás: te seguimos respondiendo tus dudas, y no afecta ninguna relación comercial. Sin formulario, sin cuenta, sin laberinto de baja.
Este aviso está escrito para cumplir con la legislación mexicana de protección de datos personales, que exige que un aviso de privacidad identifique al responsable y su domicilio, y diga qué se recaba, con qué finalidades, y cómo ejerces tus derechos. La sección 012 identifica al responsable y los domicilios legales de ambas entidades. Las secciones 003, 004 y 007 cubren el resto.
Cuando quien visita el sitio o se postula está en el Espacio Económico Europeo, el Reino Unido o Suiza, nos apoyamos en los siguientes fundamentos: tu consentimiento, cuando lo diste; las gestiones hechas a petición tuya antes de firmar un contrato, cuando nos pediste evaluar un despliegue; nuestro interés legítimo en responder nuestra propia correspondencia, contratar gente y mantener este sitio arriba y seguro, que es un interés estrecho y que no se impone sobre tus derechos dado lo poco que recabamos; y la obligación legal cuando aplique.
Para los Datos de Cliente, el fundamento es tu instrucción como responsable, registrada en el Acuerdo de Procesamiento de Datos. Nosotros no elegimos el fundamento de tu tratamiento. Lo eliges tú.
La seguridad es una propiedad de un despliegue concreto, no una insignia del proveedor. Un cliente que corre aislado tiene una envolvente materialmente distinta a uno que corre en nube pública, y las dos son válidas. Lo que sigue es la capacidad. Cuáles capacidades están activas en tu despliegue lo define tu configuración, lo aplica frIdA, y se ve en tu registro de auditoría. El documento completo, mantenido y versionado, es la página de Seguridad y Cumplimiento.
SAPTIVA AI todavía no cuenta con una atestación SOC 2 Type II concluida. Estamos en la fase formal de preparación y evaluación con un auditor calificado, y vamos a publicar la fecha de la atestación en cuanto esté firmada. ISO 27001 está en alcance para el siguiente año fiscal. Tenemos una autoevaluación CSA STAR Nivel 1, nuestro marco interno de controles mapea al NIST Cybersecurity Framework, y nuestro manejo de datos está alineado a GDPR cuando el cliente carga obligaciones bajo ese marco.
Lo decimos aquí, en la página de privacidad, por la misma razón que lo decimos en la de seguridad: un equipo de cumplimiento no debería enterarse de esto en la mesa de compras. Si tu marco exige una atestación concluida antes de dar de alta a un proveedor, podemos compartir nuestros artefactos actuales de preparación bajo NDA y sentar a tu equipo de cumplimiento frente a nuestro líder de seguridad.
Notificamos dentro de las 72 horas siguientes a un incidente de seguridad confirmado que afecte tu entorno o tus datos, y hay ventanas más cortas disponibles por contrato cuando tu marco las exige. Nuestro liderazgo de seguridad se conecta directo con tu equipo de respuesta a incidentes, sin pasar por ventas ni por gestión de cuenta mientras el incidente está vivo. Después llega un informe estructurado, dentro del plazo que fije tu contrato: cronología, impacto, causa raíz, remediación, y los cambios preventivos que hicimos.
Si encontraste un problema de seguridad en SAPTIVA AI, escribe a security@saptiva.com. Ese buzón llega a nuestro líder de seguridad y está monitoreado de forma continua. Damos la bienvenida a la investigación de buena fe. Qué cuenta como buena fe, y nuestro compromiso de no perseguir a quien la cumpla, están definidos una sola vez en la sección 011 de los Términos de Uso. La página de Seguridad y Cumplimiento lleva la postura completa.
Bajo la legislación mexicana de protección de datos personales puedes pedir acceso a los datos personales que tenemos de ti, su rectificación cuando sean inexactos o estén incompletos, su cancelación cuando ya no deban conservarse, y puedes oponerte a un uso determinado. Son los derechos ARCO. También puedes revocar un consentimiento que hayas dado, y limitar el uso y la divulgación de tus datos.
Si estás en el Espacio Económico Europeo, el Reino Unido o Suiza, tienes además derecho a la supresión, a la limitación del tratamiento, a la portabilidad, y a presentar una queja ante tu autoridad de control. Preferiríamos que lo platicaras con nosotros primero, pero ese derecho es tuyo de todas formas.
Escribe a privacy@saptiva.com. Dinos qué quieres y danos lo suficiente para localizar los datos y confirmar que la solicitud es realmente tuya. Te responde una persona, dentro del plazo que marca la ley aplicable y en la práctica antes de eso. No hay costo y no hay formulario. Si no podemos hacer lo que pediste, te decimos qué parte no podemos y por qué, en vez de negarnos en abstracto.
Si tus datos están dentro del despliegue de un cliente, la solicitud le corresponde a esa institución: ellos son el responsable y nosotros el encargado, y contestar en su nombre sería exactamente el exceso que esta página descarta. Escríbenos de todos modos y te decimos a quién preguntarle, y les ayudamos a responder.
Para este sitio y nuestros buzones, la lista completa de terceros son tres, y cada uno hace un trabajo poco glamoroso y necesario:
Esa es la lista. Sin corredores de datos, sin servicios de enriquecimiento, sin redes publicitarias, sin plataformas de scoring de prospectos. Los subencargados de la plataforma son otro asunto y se rigen por tu DPA, como describe la sección 002.
La infraestructura que sirve este sitio es global por diseño, así que una petición puede responderse desde un punto de presencia fuera de tu país. Eso es entrega, no exportación: ahí no queda nada guardado para nosotros. Con los Datos de Cliente pasa lo contrario, y es deliberado: van a donde tu configuración diga, y a ningún otro lado. Ese es el producto entero. La excepción del sitio es la analítica: PostHog guarda sus eventos y grabaciones en Estados Unidos.
Divulgamos datos personales a una autoridad solo cuando un requerimiento legal válido lo obliga, y leemos el requerimiento en vez de asumir que es válido. Cuando toca datos de un cliente, le notificamos de inmediato y le damos copia para que pueda responder, salvo que la ley nos impida avisarle. No entregamos datos por iniciativa propia, y no tratamos una petición informal como si fuera una orden.
Los datos del sitio y de los buzones se conservan mientras la conversación esté viva o sea útil, y luego se borran junto con el hilo. Los datos de contratación se conservan durante el proceso, y más allá solo si nos lo pediste. Las bitácoras operativas de petición son de vida corta y las tiene nuestro proveedor de hosting. La analítica del sitio vive en PostHog: las grabaciones se borran a los 30 días y los eventos se conservan mientras sirvan para mejorar el sitio. Lo que la ley nos obliga a conservar, lo conservamos exactamente el tiempo que exige y ni un día más.
La conservación de Datos de Cliente dentro de un despliegue sigue el calendario del cliente, y los registros de auditoría siguen la retención que fije su propio marco. No le imponemos un periodo de conservación a los datos de un cliente, y no nos quedamos con una copia en la sombra después.
SAPTIVA AI le vende a instituciones, no a personas. Este sitio está dirigido a quien evalúa infraestructura en representación de una organización, y no recabamos a sabiendas datos personales de menores a través de él. Si crees que un menor nos mandó datos personales, escribe a privacy@saptiva.com y los borramos.
Cuando el despliegue de un cliente trata datos de menores, por ejemplo una universidad operando servicios estudiantiles, ese tratamiento es de la institución, bajo su propio marco y su DPA con nosotros. Nuestras obligaciones ahí son las del encargado, en la sección 002.
Cuando este aviso cambia, cambian con él el número de versión y la fecha de revisión de arriba. Un cambio que reduce lo que hacemos entra en vigor cuando se publica. Un cambio que lo amplía, es decir que recabaríamos algo nuevo o lo usaríamos para algo nuevo, se anuncia antes de entrar en vigor, y cuando la ley exige tu consentimiento te lo pedimos en lugar de darlo por hecho.
No nos reservamos el derecho de cambiar este aviso en silencio, y no consideramos que seguir usando el sitio equivalga a aceptar una versión nueva.
SAPTIVA AI opera a través de dos entidades. Para efectos de este aviso, el responsable de los datos personales descritos en la sección 003 es Saptiva, S.A.P.I. de C.V.
El equipo trabaja desde la Ciudad de México. Los domicilios de arriba son los domicilios legales de cada entidad, que es lo que este aviso está obligado a publicar.
Lectura relacionada: la página de Seguridad y Cumplimiento para controles, residencia, categorías de subencargados y nuestra postura de certificación, y los Términos de Uso para lo que rige este sitio.