Confianza que se puede leer.
Cómo trata ETSpilot tu proyecto y tus datos: a nivel técnico, organizativo y contractual. Para usuarios, delegados de protección de datos y compras.
Adónde van tus datos, y adónde no.
El AddIn solo lee las partes del proyecto necesarias para la tarea actual. Los tipos de datos bloqueados nunca salen de tu ordenador.
Qué se transmite
Partes necesarias para la tarea: estructura del edificio, denominaciones de dispositivos y direcciones, nombres de parámetros, tu mensaje.
Qué puedes bloquear
Por proyecto, p. ej. claves de seguridad, números de serie, parámetros o datos de clientes: nunca se envían.
Qué no ocurre nunca
Ningún entrenamiento con tus datos, ningún análisis, ninguna cesión, ninguna publicidad, ningún seguimiento.
Nada ocurre sin ti.
La función de seguridad más importante es la que protege tu proyecto: aprobación, copia de seguridad y trazabilidad.
Aprobación
Cada acción de escritura se presenta en texto claro, de forma individual o para toda la sesión.
Copia de seguridad del proyecto
Automática antes del primer cambio y, si quieres, antes de cada acción crítica.
Registro
Cada cambio ejecutado queda trazable en el chat y en el informe.
Modo pregunta
Solo leer y explicar: para formación, revisiones y primeros pasos prudentes.
Descritas con honestidad.
Resumen de las medidas. El anexo completo del contrato de encargo del tratamiento está en «Documentación».
| Ámbito | Medida |
|---|---|
| Transporte | TLS para el portal, las interfaces, el control remoto y el sitio web. Las consultas entre el AddIn y el servidor se cifran además con AES-256 (CBC + HMAC-SHA256) a nivel de aplicación. |
| Datos almacenados | Claves API y documentación subida cifradas con AES-256-GCM. Historiales de chat y datos de proyecto en la base de datos del servidor en Alemania. |
| Inicio de sesión | Código de un solo uso por correo electrónico en lugar de contraseña; las sesiones solo se guardan como hash. |
| Acceso al servidor | Solo mediante clave SSH, con un único usuario de operación. Desde fuera solo son accesibles los puertos 22, 80 y 443, con doble protección mediante grupo de seguridad y cortafuegos del servidor. |
| Permisos | Los administradores no ven en el portal historiales de chat ni documentación de otros usuarios. |
| Registro | Registros técnicos sin contenido, 30 días. Un registro de diagnóstico completo está desactivado y solo se activa temporalmente para buscar errores (se elimina a los 14 días). |
| Copia de seguridad | Copia de seguridad diaria del disco, almacenada por separado, conservación de 14 días. |
| Incidentes | Proceso documentado de emergencias y de violaciones de datos con vías de notificación según los art. 33/34 del RGPD. |
| Centro de datos | STACKIT (grupo Schwarz) en Alemania; según el proveedor, certificado conforme a ISO 27001 y con certificación BSI C5. |
Qué guardamos y durante cuánto tiempo.
Acceso, exportación y eliminación los gestionas tú mismo en el portal en cualquier momento, sin solicitud de soporte.
| Datos | Finalidad | Plazo de conservación |
|---|---|---|
| Dirección de correo electrónico | Inicio de sesión, gestión de la cuenta | hasta la eliminación de la cuenta |
| Clave API | Reenvío a tu proveedor de IA | hasta que la elimines, cifrada |
| Historiales de chat | Respuesta a tus consultas | automáticamente 3 meses después del último uso |
| Documentación de planificación | Búsqueda por parte del asistente | hasta que la elimines, cifrada |
| Datos de uso | Facturación, detección de abusos | 400 días |
| Registros técnicos | Funcionamiento seguro, búsqueda de errores | 30 días |
| Copias de seguridad | Restauración | 14 días |
Quién participa en el tratamiento.
Anunciamos los cambios con antelación. El proveedor de IA no es un subencargado nuestro: tú mismo firmas el contrato y guardas tu clave.
| Empresa | Servicio | Ubicación | Base |
|---|---|---|---|
| STACKIT Schwarz Digits Cloud GmbH & Co. KG | Alojamiento del servidor y la base de datos | Alemania | Contrato de encargo 2.4.2 |
| STRATO GmbH | Envío de los códigos de inicio de sesión y correos del sistema | Alemania | Contrato de encargo 3.6 |
| Microsoft Ireland | Buzón de soporte | UE | Microsoft DPA |
| Let's Encrypt (ISRG) | Certificados TLS: solo nombres de dominio | EE. UU. | sin datos personales |
aprox. 3 min
Control y protección de datos
Aprobación, copia de seguridad y bloqueos de datos en tres minutos.
Ver vídeoTodo para la revisión.
La documentación se actualiza continuamente. El contrato de encargo del tratamiento también puedes firmarlo y archivarlo en el portal.
Las preguntas que hacéis.
Respondemos directamente a otras preguntas: escríbenos mediante el formulario de contacto con el asunto «Protección de datos».
¿Quién es el responsable y quién el encargado del tratamiento?
Para la cuenta, los datos de uso y el sitio web, somos el responsable. Los contenidos de tus proyectos ETS los tratamos por encargo del usuario; para ello existe el contrato de encargo del tratamiento.
¿Se transfieren datos a terceros países?
Nuestro servidor está en Alemania. Solo hay una transferencia a EE. UU. si el usuario elige un proveedor estadounidense (Anthropic, OpenAI), bajo su propio contrato. En Azure se puede elegir una región de la UE.
¿Se entrena con los datos del proyecto?
No, nosotros no. Las condiciones de la API de los proveedores compatibles excluyen por defecto el entrenamiento con datos de la API.
¿Cómo se pueden evitar los datos personales?
Con los bloqueos de datos por proyecto (p. ej. datos de clientes, números de serie) y llevando los proyectos sin denominaciones con datos personales.
¿Es necesaria una evaluación de impacto relativa a la protección de datos?
Ponemos a disposición nuestro análisis de umbral bajo petición. La valoración para tu uso la haces tú como responsable.