Política de privacidad

MEEP CLOUD ROMEX S.R.L., Bd. Iuliu Maniu nr. 21, bl. D1, sc. 2, et. 4, ap. 19, Deva, jud. Hunedoara, Romania, número de registro mercantil J20/1485/2021, CUI 44989045, es el responsable del tratamiento de sus datos personales con arreglo al Reglamento General de Protección de Datos de la UE (RGPD). Para cualquier asunto relativo a sus datos, escriba a [email protected].

Si es miembro de una organización en InterOdin, sus propietarios y administradores gestionan su pertenencia, sus claves de API y sus límites de gasto. Pueden ver los metadatos de uso de sus solicitudes, pero nunca el contenido de sus chats.

• Datos de la cuenta: nombre, dirección de correo electrónico, idioma preferido y claves públicas de passkeys. Si inicia sesión con Google o GitHub, recibimos de ese servicio su nombre, su dirección de correo electrónico y su foto de perfil.
• Registro de consentimientos: cuándo aceptó los Términos y la Política de privacidad y qué versión, y si aceptó recibir por correo electrónico novedades del producto y ofertas (con la fecha de esa elección).
• Datos de la organización y de facturación: nombre de la organización, miembros y roles, nombre de facturación, identificación fiscal (CUI), dirección, país y moneda.
• Datos de pago: Stripe procesa su tarjeta. Recibimos una referencia de cliente, la marca de la tarjeta, sus últimos cuatro dígitos y la fecha de caducidad, y el estado de cada pago. Nunca vemos el número completo de su tarjeta.
• Metadatos de uso de la API: ID de solicitud, hora, clave de API, modelo, endpoint, número de tokens, coste, latencia, estado y código de error, dirección IP y user agent. Nunca el contenido de los prompts ni de las respuestas.
• Datos del chat web: sus conversaciones, mensajes, imágenes adjuntas, instrucciones personalizadas y ajustes del chat. Los chats de incógnito nunca se almacenan; solo se conservan los metadatos de facturación (tokens, coste y hora).
• Datos de seguridad: sesiones con dirección IP y user agent, y un registro de auditoría de las acciones importantes de la cuenta, como invitaciones, creación de claves y cambios de rol.
• Mensajes de soporte: lo que nos envía a nuestras direcciones de soporte, guardado en nuestra bandeja de soporte.

Cuando llama a la API o envía un mensaje en el chat, su solicitud pasa por nuestro gateway en memoria y se envía a la infraestructura de GPU que ejecuta el modelo. La respuesta le llega del mismo modo, en flujo continuo.

En el caso de la API, no escribimos prompts ni respuestas en disco, en nuestra base de datos ni en registros. Los chats web se almacenan como se describe en esta política, salvo los chats de incógnito. Nuestra monitorización de errores está configurada para excluir el contenido de las solicitudes y de los chats.

La infraestructura de los modelos la opera para nosotros un proveedor especializado en la Unión Europea y Estados Unidos, en virtud de un contrato con nosotros. Trata el contenido únicamente para generar la respuesta y no lo almacena, salvo en una caché de corta duración que acelera los prompts repetidos.

• Para prestarle el Servicio al que se ha registrado: su cuenta, el chat, la API, la consola y el soporte. Base jurídica: ejecución de un contrato (Art. 6(1)(b) RGPD).
• Para facturarle, emitir facturas y llevar la contabilidad. Base jurídica: obligación legal (Art. 6(1)(c) RGPD) y contrato.
• Para mantener la seguridad del Servicio, aplicar los límites de uso y nuestra Política de uso aceptable, y prevenir el fraude y los abusos. Base jurídica: nuestros intereses legítimos (Art. 6(1)(f) RGPD).
• Para enviar correos del servicio, como enlaces de inicio de sesión, invitaciones, recibos y avisos de cambios importantes. Base jurídica: contrato.
• Para enviarle por correo electrónico novedades del producto y ofertas, solo si lo ha aceptado. Base jurídica: su consentimiento (Art. 6(1)(a) RGPD). Puede retirarlo en cualquier momento en los ajustes de su cuenta («Novedades del producto por correo»), sin que ello afecte a los correos enviados antes.

No enviamos correos de marketing sin su consentimiento.

Nunca usamos sus prompts, resultados ni chats para entrenar modelos de IA. No vendemos ni alquilamos datos personales, no mostramos anuncios ni usamos rastreadores publicitarios.

Compartimos datos personales solo con proveedores de servicios que nos ayudan a operar InterOdin, mediante contratos que les obligan a protegerlos, y solo en la medida en que los necesitan:

• Hetzner, nuestro proveedor de alojamiento en Alemania: servidores y base de datos.
• Cloudflare: DNS, protección de la red, detección de bots y almacenamiento de las copias de seguridad cifradas y de los archivos adjuntos del chat.
• El proveedor de la infraestructura de los modelos, en la Unión Europea y Estados Unidos: tratamiento del contenido de las solicitudes, solo para generar las respuestas.
• Sentry, en la Unión Europea: monitorización de errores, configurada para excluir el contenido de las solicitudes y de los chats.
• Stripe: pagos.
• Resend: envío de los correos del servicio y recepción de los correos que nos envía a nuestras direcciones de soporte.
• Google (Gmail): una copia de los correos que nos envía a nuestras direcciones de soporte, para poder responder rápido.
• Inicio de sesión con Google y GitHub: solo si decide iniciar sesión con ellos. Nos facilitan su nombre, dirección de correo y foto de perfil.

También podemos comunicar datos a las autoridades públicas cuando la ley lo exija y a asesores profesionales sujetos a confidencialidad.

Algunos proveedores están establecidos fuera del Espacio Económico Europeo o pueden acceder a los datos desde fuera de él, por ejemplo, en Estados Unidos, donde se ejecuta parte de la infraestructura de los modelos. En esos casos nos basamos en una decisión de adecuación de la Comisión Europea, como el Marco de Privacidad de Datos UE-EE. UU. para las empresas certificadas, o en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea. Puede solicitar una copia de las garantías correspondientes en [email protected].

• Datos de la cuenta y de la organización: hasta que elimine la cuenta o la organización.
• Metadatos de las solicitudes a la API, incluidos la dirección IP y el user agent: 90 días. Después solo conservamos totales diarios por organización, modelo, clave y miembro, sin direcciones IP, para la facturación y el historial de uso.
• Chats web: hasta que los elimine. Las conversaciones eliminadas se ocultan de inmediato y se borran definitivamente a los 30 días. Al eliminar su cuenta se borran de inmediato todos sus chats y archivos adjuntos.
• Correos de soporte: mientras los necesitemos para atender su solicitud y conservar constancia de ella. Puede pedirnos que los borremos antes en [email protected].
• Facturas, pagos y libro de créditos: durante el tiempo que exija la legislación contable y fiscal rumana, actualmente hasta 10 años.
• Registros de seguridad y de auditoría: mientras exista su organización, para que los propietarios puedan revisar las acciones importantes.
• Copias de seguridad: cifradas y conservadas un máximo de 30 días, de modo que los datos eliminados del Servicio también desaparecen de las copias de seguridad en un plazo de 30 días.

Conforme al RGPD, usted tiene derecho a acceder a sus datos, rectificarlos, suprimirlos, limitar u oponerse a su tratamiento y recibirlos en un formato portable. Cuando nos basamos en su consentimiento, puede retirarlo en cualquier momento.

Usted mismo puede exportar sus chats y eliminar su cuenta en los ajustes de la consola. Para cualquier otra cuestión, escriba a [email protected]. Respondemos en el plazo de un mes.

También tiene derecho a presentar una reclamación ante una autoridad de protección de datos. En Rumanía es la Autoridad Nacional de Supervisión del Tratamiento de Datos Personales (ANSPDCP), www.dataprotection.ro. También puede dirigirse a la autoridad del país de la UE donde reside o trabaja.

Protegemos los datos con cifrado en tránsito, copias de seguridad cifradas, claves de API almacenadas únicamente como hashes que no podemos leer de vuelta, passkeys, autenticación en dos pasos obligatoria para el personal, controles de acceso estrictos y registros de auditoría. Ningún sistema es perfectamente seguro; si una brecha afecta a sus datos, se lo comunicaremos a usted y a las autoridades como exige el RGPD.

El personal autorizado de InterOdin puede acceder a la consola de su cuenta para ayudarle cuando usted lo solicite o para investigar un abuso o un problema de seguridad. El acceso del personal requiere autenticación en dos pasos y cada acceso queda registrado en un registro de auditoría. El acceso del personal para soporte o investigación de abusos queda auditado, se muestra con un banner mientras está activo, es de solo lectura (el personal no puede cambiar nada en su cuenta) y puede incluir la visualización de sus chats. Los chats de incógnito nunca se almacenan, por lo que el personal nunca puede verlos. Nunca usamos este acceso para ningún otro fin.

InterOdin no está dirigido a menores de 18 años y no recogemos a sabiendas datos de menores.

Podemos actualizar esta política. Le informamos de los cambios importantes por correo electrónico o en la consola antes de que se apliquen. La fecha de entrada en vigor que figura al inicio indica siempre la versión vigente.