Política de Privacidad.

1. Alcance y responsabilidades

DAVGate permite crear una cuenta con Supabase Auth utilizando tu correo, contraseña, nombre y organización. El registro crea una organización y su membresía de propietario. Las cuentas autenticadas pueden almacenar credenciales cifradas de proveedores en Key Vault. El Gateway habilitado puede enviar chats de texto a proveedores autorizados y registrar su consumo. El modo demo permite explorar la interfaz con datos sintéticos sin crear una cuenta y no acepta credenciales reales.

Al activar el servicio, la entidad operadora deberá identificarse y facilitar un canal de contacto y el acuerdo de tratamiento correspondiente. El cliente será responsable del contenido y de la base jurídica de los datos que decida transmitir; DAVGate actuará como encargado cuando procese ese contenido por su cuenta.

2. Datos y finalidades

La operación conectada contempla datos de cuenta y facturación, identificadores de organización y Súper-Llaves, credenciales de proveedores, y metadatos técnicos: modelo, proveedor, hora, latencia, tokens, coste y resultado. Su finalidad es autenticar, aplicar presupuestos, enrutar solicitudes, prevenir abuso y facilitar auditorías.

El tratamiento necesario para prestar el servicio se basará en el contrato; las obligaciones contables, en la ley aplicable; y las medidas de seguridad, en una base jurídica adecuada y documentada. La analítica opcional dependerá del consentimiento. No se venderán prompts ni credenciales.

3. API Keys y cifrado AES-256-GCM

Key Vault cifra las API Keys de los proveedores mediante AES-256-GCM, con una clave de datos aleatoria por credencial, nonce por operación y etiqueta de autenticación. La clave de datos se cifra con una clave maestra que permanece en el servidor, separada de la base de datos. El listado devuelve únicamente una pista de los últimos cuatro caracteres; no devuelve el secreto ni su sobre cifrado al navegador.

La lectura se limita por organización mediante RLS. Las altas y revocaciones se registran en la auditoría junto con el usuario que realiza la acción. Revocar en DAVGate no invalida la llave original en su proveedor. El Gateway descifra la credencial únicamente en el servidor para autenticar el reenvío; la rotación automática sigue pendiente y el guardado no verifica la llave con el proveedor. La demo es de solo lectura. Estas medidas no certifican por sí solas un despliegue seguro.

4. Prompts y respuestas

El Gateway no almacena prompts ni respuestas en texto plano. Su registro operativo se limita a metadatos y estados contables; el contenido se procesa transitoriamente en memoria para transmitirlo. Cualquier captura futura de contenido para diagnóstico requerirá activación expresa, finalidad delimitada, acceso restringido y plazo de borrado definido.

Al enrutar una solicitud, el proveedor seleccionado recibirá el contenido necesario para ejecutarla. Sus políticas de retención y uso de datos también aplican; el cliente deberá elegir proveedores y regiones compatibles con sus obligaciones.

5. Conservación, proveedores y transferencias

Los datos se conservarán solo durante el tiempo necesario para cada finalidad o una obligación legal. La retención concreta de auditoría, copias de seguridad y facturación deberá comunicarse antes de activar servicios reales. La revocación retirará el acceso de la credencial; su borrado y el de copias seguirán los plazos documentados.

Antes de procesar datos personales se identificarán los subencargados, las regiones utilizadas y las garantías aplicables a transferencias internacionales. No se enviarán datos a un proveedor de IA sin una ruta autorizada por el cliente.

6. Cumplimiento GDPR y derechos

Cuando sea aplicable el Reglamento General de Protección de Datos (GDPR/RGPD), el servicio deberá respetar minimización, limitación de finalidad, transparencia y seguridad. La implementación técnica por sí sola no constituye una certificación de cumplimiento.

Puedes ejercer, en los casos previstos por el RGPD, los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición, retirar tu consentimiento y presentar una reclamación ante la autoridad de control competente. Consulta la información oficial de la Comisión Europea sobre estos derechos. El servicio conectado deberá ofrecer un canal verificable para tramitar las solicitudes.

7. Preferencias y cambios

La elección sobre almacenamiento y telemetría puede modificarse en la Política de Cookies. Las modificaciones relevantes de esta política se comunicarán antes de nuevos tratamientos que lo requieran. Consulta también los Términos de Servicio.