Política de Privacidad

Esta política explica cómo SPECIAL OPTION, LDA (marca SkyFirstLabs) trata datos personales en la plataforma Sky (web), en la app móvil Sky by SkyFirstLabs (iOS y Android) y en el sitio web skyfirstlabs.com, de conformidad con el Reglamento General de Protección de Datos (RGPD).

1. Quiénes somos

No hemos designado un Delegado de Protección de Datos (DPD/DPO), porque la empresa no cumple los criterios del artículo 37 del RGPD. Las cuestiones de privacidad las gestiona la gerencia a través del contacto anterior.

2. Responsable o encargado del tratamiento: quién decide sobre sus datos

Sky es una plataforma empresarial. No hay registro público. Las cuentas las crea la organización que contrata Sky (el «Cliente»), normalmente su empleador.

• Datos que el Cliente aporta a Sky. Esto incluye las preguntas y las respuestas, las conversaciones, los documentos adjuntos, los agentes, las páginas y los resultados de las consultas a las bases de datos del Cliente. Para estos datos, el Cliente es el responsable del tratamiento y SkyFirstLabs es encargado del tratamiento (artículo 28 del RGPD). Los tratamos únicamente para prestar el servicio, siguiendo las instrucciones del Cliente y el Acuerdo de Tratamiento de Datos (DPA) firmado con él. Para ejercer sus derechos sobre estos datos, debe dirigirse primero a su administrador o a su organización. Si nos escribe, remitimos la solicitud al Cliente y le ayudamos a responder.
• Datos que tratamos para gestionar y proteger el servicio. Esto incluye la cuenta (nombre, correo electrónico, rol), los registros de seguridad, los tokens de notificación, el soporte y la facturación al Cliente. Para estos datos, SkyFirstLabs es responsable del tratamiento, y es a ellos a los que esta política se aplica directamente.
• Sitio web y contactos comerciales. Para los datos del sitio web y de los contactos comerciales, somos responsables del tratamiento (sección 9).

3. Qué datos tratamos y por qué

3.1 Cuenta y acceso

La contraseña nunca se guarda en claro: guardamos únicamente un hash. Cuando inicia sesión con Google, Microsoft u Okta, recibimos de ese proveedor su correo electrónico, su nombre y, si existe, su fotografía de perfil. El proveedor de identidad lo elige su organización.

3.2 Seguridad y registros técnicos

Los registros técnicos del componente de IA no guardan los valores de los datos del Cliente: los valores se sustituyen por su longitud y los literales de SQL por «?».

3.3 Contenido que crea en Sky (tratado por cuenta del Cliente)

• Preguntas, respuestas y conversaciones. Esto incluye las que se hacen por voz, que se guardan como texto (sección 4).
• Documentos adjuntos a una pregunta. En la conversación, extraemos el texto del documento (hasta 10 MB por archivo) y guardamos únicamente ese texto, para responder sobre él. No guardamos el archivo original.
• Biblioteca de conocimiento. El texto extraído de los documentos que carga la organización se guarda, dividido en fragmentos para la búsqueda, en la base de datos del Cliente. No utilizamos servicios de almacenamiento de objetos (como Amazon S3). Se conserva mientras la organización lo mantenga y se suprime cuando se elimina el documento.
• Agentes, hallazgos, páginas, widgets, comentarios y reacciones, creados por usted o por sus compañeros.
• Peticiones de soporte (asunto, descripción, categoría, plataforma) y reportes de respuestas de la IA (sección 6).

3.4 Datos de las bases de datos del Cliente

Sky se conecta a las fuentes de datos que el Cliente autoriza (por ejemplo, PostgreSQL o BigQuery) y las consulta en directo, en el momento de la pregunta.

• No guardamos las filas de los datos del Cliente. Los gráficos y los widgets vuelven a ejecutar la consulta cuando se abren. Los resultados pueden permanecer en memoria temporal durante un máximo de 10 minutos, para evitar consultas repetidas.
• Guardamos el esquema de las fuentes (nombres de tablas y columnas y las descripciones que añade el Cliente), para que la IA sepa dónde buscar.
• Para agilizar las preguntas repetidas, guardamos la pregunta, el texto de la respuesta y la consulta SQL durante un máximo de 30 días. Pasado ese plazo, dejan de utilizarse y se suprimen. El texto de la respuesta puede contener cifras mencionadas en la respuesta.
• En un registro de auditoría de las consultas, guardado en la base de datos dedicada del Cliente, constan la pregunta, la consulta SQL ejecutada, el número de filas y los primeros 500 caracteres de la respuesta. Este registro se conserva durante 12 meses.
• Las credenciales de acceso a las fuentes se guardan cifradas.

3.5 Dispositivo y notificaciones (app móvil)

La app no recoge la ubicación, los contactos, el identificador de publicidad ni la lista de otras apps instaladas. Tampoco incluye herramientas de terceros de análisis de uso, de publicidad ni de informes de fallos.

En el dispositivo, la app guarda los tokens de sesión en el almacenamiento seguro del sistema (Keychain o Keystore) y sus preferencias. No guarda conversaciones en el disco. Si activa el desbloqueo biométrico (Face ID o huella dactilar), la verificación la realiza el sistema operativo: ningún dato biométrico sale del dispositivo ni llega a nosotros.

3.6 Facturación y relación contractual con el Cliente

Para facturar al Cliente, tratamos los datos de la organización y de las personas de contacto (nombre, correo electrónico, teléfono, dirección de facturación). La base jurídica es el artículo 6, apartado 1, letras b) y c), incluidas las obligaciones fiscales y contables.

4. Voz

El modo de voz y el dictado solo funcionan cuando usted los activa. El sistema solicita permiso para el micrófono la primera vez que se utilizan.

• Mientras habla, el audio se transmite en tiempo real, mediante una conexión cifrada, a nuestros servidores. Desde allí pasa a los servicios de Amazon Web Services: Amazon Nova Sonic (Amazon Bedrock, región UE de Estocolmo), para la conversación por voz, y Amazon Transcribe (región UE de Irlanda), para la transcripción y los subtítulos. Las respuestas habladas las genera el propio Nova Sonic o Amazon Polly (Irlanda).
• No guardamos el audio. No se graba en disco, en almacenamiento de objetos ni en registros.
• Guardamos la transcripción (el texto de lo que usted dijo y de lo que Sky respondió) como mensajes de la conversación. La transcripción sigue las reglas de conservación del contenido (sección 10).
• En el dispositivo, el audio de las respuestas queda en archivos temporales en la caché de la app, que se reutilizan y se sustituyen.
• En la raíz de nuestra organización de AWS está activa la política de exclusión voluntaria (opt-out) de los servicios de IA de AWS. AWS no utiliza el contenido que tratan estos servicios, incluidos el audio y las transcripciones, para mejorar ni entrenar sus servicios.

5. Inteligencia artificial

• Las preguntas y el contexto necesario se procesan mediante modelos de lenguaje alojados en Amazon Bedrock, en la Unión Europea. Utilizamos modelos de pesos abiertos (por ejemplo, gpt-oss y Qwen) en la región de Irlanda y modelos Claude, de Anthropic, a través de los perfiles de inferencia europeos de Bedrock. Estos perfiles pueden procesar la petición en otra región de la UE (Irlanda, París, Fráncfort o Estocolmo), sin salir de la UE.
• No guardamos registros de las preguntas en Bedrock. El registro de invocaciones de los modelos (model invocation logging) está desactivado en las regiones de Irlanda (eu-west-1) y de Estocolmo (eu-north-1).
• Los proveedores de los modelos (por ejemplo, Anthropic) no tienen acceso a las preguntas ni a las respuestas, porque los modelos se ejecutan en cuentas operadas por AWS.
• Sus datos no se utilizan para entrenar modelos, ni por nosotros ni por AWS. En la raíz de nuestra organización de AWS está activa la política de exclusión de los servicios de IA.
• AWS puede conservar peticiones temporalmente para la detección de abusos, conforme a las condiciones del servicio Amazon Bedrock.
• Las representaciones vectoriales (embeddings) se calculan dentro de nuestra propia infraestructura, sin enviar datos a terceros.
• Las respuestas se generan automáticamente y pueden contener errores. Verifique la información antes de tomar decisiones importantes. Sky no toma decisiones que produzcan efectos jurídicos sobre usted ni que le afecten significativamente de modo similar (artículo 22 del RGPD).
• No enviamos preguntas ni respuestas a servicios externos de observabilidad de IA. Si algún día lo hacemos, los valores de los datos del Cliente se enmascararán antes del envío y el servicio pasará a figurar en la lista de subencargados del tratamiento.

6. Reportar respuestas de la IA

En cada respuesta de Sky y en cada hallazgo de un agente puede tocar Reportar para señalar contenido ofensivo, impropio, erróneo o engañoso. El reporte guarda su identificador de usuario, una copia del contenido reportado (porque la respuesta puede suprimirse después), el motivo y el comentario opcional que escriba (hasta 2000 caracteres). Se guarda en la base de datos dedicada del Cliente. Utilizamos estos reportes para corregir defectos y prevenir abusos, con base en el artículo 6, apartado 1, letra f).

7. Con quién compartimos datos

No vendemos datos personales ni los utilizamos para publicidad. Solo recurrimos a los subencargados del tratamiento necesarios para prestar el servicio, todos ellos con contrato de tratamiento de datos:

• Proveedores de identidad. Google, Microsoft y Okta solo reciben peticiones de inicio de sesión cuando su organización los elige como método de autenticación. En ese caso, actúan en el marco de la relación que su organización mantiene con ellos.
• Contenido de las notificaciones. Solo enviamos notificaciones push para hallazgos de agentes, menciones e invitaciones a proyectos. Cada notificación lleva un título (por ejemplo, «Ventas: novedades en sus datos» o «Ana le ha invitado a «Operaciones»»), un texto breve con la descripción de la notificación, que puede incluir un resumen del hallazgo o de la mención, e identificadores internos para que la app abra la pantalla correcta. Pasa por Expo y por los servicios de Apple o de Google hasta llegar al dispositivo.
• Acceso del equipo de SkyFirstLabs. Para prestar soporte, nuestro equipo puede acceder temporalmente a la cuenta de un usuario (como máximo 60 minutos por sesión). Cada acceso queda registrado en auditoría. Solo accede nuestro equipo autorizado, cuando es necesario.
• Autoridades. Podemos comunicar datos cuando la ley lo exija.

La lista actualizada está en skyfirstlabs.com/legal/sub-processors.

8. Transferencias internacionales

Los datos de la plataforma se alojan en la Unión Europea. Hay transferencias fuera del Espacio Económico Europeo en el caso de Expo, Apple y Google (notificaciones) y de algunos proveedores del sitio web. 650 Industries (Expo) declara en su política de privacidad estar certificada en el Marco de Privacidad de Datos UE-EE. UU. En los demás casos, nos basamos en ese Marco cuando el destinatario está certificado y, cuando no lo está, en las garantías adecuadas previstas en el artículo 46 del RGPD, incluidas las Cláusulas Contractuales Tipo de la Comisión Europea. Puede solicitar una copia de las garantías a través del contacto de privacidad.

9. Sitio web y contactos comerciales

Cuando visita skyfirstlabs.com o se pone en contacto con nosotros, tratamos:

• Formulario de contacto y citas: nombre, correo electrónico profesional, empresa, cargo y mensaje. Sirven para responder y preparar propuestas (artículo 6, apartado 1, letra b).
• Prospección B2B: nombre, correo electrónico profesional, cargo, empresa y datos públicos de LinkedIn. Cada correo electrónico incluye una forma sencilla de oponerse (artículo 6, apartado 1, letra f).
• Estadísticas del sitio web: identificadores seudónimos, páginas, país y tipo de dispositivo. Solo con su consentimiento en el aviso de cookies (artículo 6, apartado 1, letra a). Más detalles en la Política de Cookies.
• Demostración pública: correo electrónico, nombre, empresa y cargo de quien solicita acceso. Los datos de la sesión de demostración se suprimen al cabo de 7 días.

Proveedores del sitio web: Vercel Inc. (alojamiento y estadísticas Vercel Analytics, EE. UU.), Google (Google Analytics 4, solo con consentimiento) y Resend, Inc. (envío de las solicitudes del formulario de contacto, EE. UU.). En la demostración pública: Cloudflare, Inc. (protección antibots Turnstile), Resend, Inc. (correos de la demostración) y Slack Technologies (aviso interno de nuevas solicitudes). Las herramientas comerciales (CRM, prospección y programación de reuniones) figuran en la lista de subencargados.

10. Durante cuánto tiempo conservamos los datos

11. Seguridad

• Conexiones cifradas (HTTPS/TLS y WSS) entre la app, el navegador y nuestros servidores.
• Base de datos y caché cifradas en reposo.
• Credenciales de las fuentes de datos y secretos de doble factor cifrados a nivel de aplicación.
• Cada Cliente tiene una base de datos dedicada.
• Infraestructura en red privada, con acceso restringido y registrado.
• Autenticación de doble factor disponible.
• Revisión periódica de accesos y de proveedores.

En caso de violación de la seguridad de los datos, lo notificamos a la CNPD y, cuando sea necesario, a las personas afectadas, conforme a los artículos 33 y 34 del RGPD. Cuando los datos son del Cliente, avisamos al Cliente sin dilación indebida.

12. Sus derechos

Conforme a los artículos 15 a 22 del RGPD, tiene derecho de acceso, rectificación, supresión, limitación, portabilidad y oposición al tratamiento basado en el interés legítimo. Cuando el tratamiento se basa en el consentimiento, puede retirarlo en cualquier momento.

• Para los datos de la cuenta y de seguridad (de los que somos responsables): escriba a info@skyfirstlabs.com, desde el correo electrónico de la cuenta.
• Para el contenido de su organización (del que el Cliente es responsable): diríjase a su administrador. Si nos escribe, remitimos la solicitud al Cliente.
• Eliminación de la cuenta: la cuenta la crea y la elimina su organización. Consulte Eliminación de cuenta y datos.

Respondemos en el plazo de un mes, prorrogable otros dos meses en solicitudes complejas. Podemos pedirle que confirme su identidad.

También tiene derecho a presentar una reclamación ante la Comissão Nacional de Proteção de Dados (CNPD), en www.cnpd.pt, o ante la autoridad de control del país en el que reside o trabaja (en España, la Agencia Española de Protección de Datos, AEPD, en www.aepd.es).

13. Menores

Sky está destinada a usuarios profesionales. No recogemos intencionadamente datos de menores de 16 años.

14. Cambios

Cuando cambie el tratamiento, actualizaremos esta política y la fecha que figura al principio. Si el cambio es relevante, avisaremos a los Clientes con antelación y, cuando sea posible, también dentro de la app.