Política de privacidad

Qué recopilamos

Tus conversaciones

Los mensajes que envías, las respuestas que Cortex genera, los archivos que adjuntas y todo lo que guardas en un proyecto. Cifrados antes del almacenamiento bajo una clave que pertenece a tu cuenta.

Datos de la cuenta

Tu dirección de correo y los identificadores que emite nuestro proveedor de identidad, WorkOS AuthKit. Si pagas, Stripe guarda la tarjeta; nosotros guardamos una referencia de cliente y el plan que tienes.

Contadores de uso

Cuántos mensajes, ejecuciones de razonamiento, búsquedas y ejecuciones en el entorno aislado has usado frente a los límites de tu plan. Recuentos, no contenido.

Registros operativos

Identificadores de petición, duraciones, códigos de error e información grosera del cliente, para mantener el servicio e investigar fallos. El contenido de los mensajes se oculta en los registros en el momento de escribirlos, no se filtra después.

Registros de seguridad

Que se mostró una derivación de crisis, su categoría y cuándo. Nunca el mensaje que la provocó — véanse las Divulgaciones de IA para el porqué.

Qué no hacemos con ello

• No entrenamos modelos con tus conversaciones. Ninguna parte del pipeline de Cortex las lee con ese fin. Las conversaciones se cifran bajo una clave retenida solo para tu cuenta.
• No vendemos información personal y no la compartimos para publicidad conductual entre contextos. En el CCPA/CPRA esos son términos definidos, y ninguno se aplica a nosotros — por eso no hay un enlace «Do Not Sell» en este sitio. No hay nada que desactivar.
• No usamos tu contenido para construir perfiles publicitarios.

Cómo se cifra tu contenido

Cada cuenta tiene su propia clave de cifrado de datos. Conversaciones, adjuntos y archivos de proyecto se cifran con ella antes de llegar a la base de datos o al almacenamiento de objetos. La clave misma la envuelve un servicio de gestión de claves en AWS us-east-1 y nunca se guarda en claro junto a los datos que protege.

Esto es lo que hace que borrar signifique algo. También es el límite honesto: la clave envuelta vive en la misma base, así que una restauración a un instante dado dentro de la ventana de copia de seguridad la trae de vuelta con todo lo demás. Esa ventana es de 35 días, y la sección siguiente está escrita en torno a ella.

Cuánto tiempo lo conservamos

Conversaciones y proyectos

Hasta que los borres, o hasta que borres tu cuenta.

Cuenta borrada, periodo de gracia

30 días. Tu cuenta se desactiva de inmediato y el borrado se ejecuta después del periodo de gracia, para que un borrado por error se pueda deshacer dentro de ese plazo.

Cuenta borrada, copias de seguridad

35 días más. Las copias de seguridad de producción (restauración a un instante dado de Amazon Aurora en AWS us-east-1) se conservan 35 días para la recuperación ante desastres, así que una restauración tomada antes de que terminara el borrado todavía contendría la clave envuelta. Treinta y cinco días después de que se ejecute el borrado, toda copia que pudiera restaurarla ha caducado.

Registros operativos

30 días, luego se borran.

Registros de seguridad y auditoría

Se conservan más allá del borrado de la cuenta, con huellas unidireccionales en lugar de identificadores. Estos registros prueban que se cumplieron las obligaciones y son la única clase de datos que debe sobrevivir al borrado de la cuenta a la que conciernen.

Registros de facturación

Se conservan el tiempo que exijan las normas fiscales y contables, normalmente siete años.

Qué hace realmente el borrado

Primero se destruye tu clave de datos, antes de tocar ninguna fila. Eso deja ilegible de golpe todo el texto cifrado bajo ella — dondequiera que viva, incluidas las copias en el almacenamiento de objetos y las que hay en una copia de seguridad. Sobrescribir filas no bastaría: una restauración las traería de vuelta.

Después se limpian filas, archivos, el índice de texto completo y el índice vectorial. Si esa pasada falla a medio camino, se reanuda en lugar de reiniciarse, y los datos ya son ilegibles mientras tanto.

Lo que sobrevive es un registro de que el borrado ocurrió, con huellas unidireccionales derivadas de tus identificadores y sin contenido. Existe para que una base restaurada desde una copia pueda reejecutar el borrado en lugar de resucitar en silencio una cuenta que alguien nos pidió quitar.

Tus derechos

En virtud del CCPA/CPRA, y de leyes comparables en Virginia, Colorado, Connecticut, Utah, Texas y otros lugares, puedes pedir acceso a la información personal que tenemos, una copia, su corrección y su borrado. Puedes ejercerlos desde Ajustes, y no cobramos por ello ni degradamos el servicio si lo haces.

Si estás en el EEE o en el Reino Unido, el RGPD te da los mismos derechos más la portabilidad y el derecho a oponerte al tratamiento. Este sitio se sirve en la UE (incluido en cortex.foundation/es). Nuestra base jurídica para tratar el contenido de las conversaciones es la ejecución del contrato que celebraste al usar Cortex. No hay un delegado de protección de datos nominado consignado aquí.

Escribe a privacy@cortex.foundation para lo que Ajustes no cubra. Respondemos en 45 días, y te avisaremos antes de que se cumplan si necesitamos la prórroga que permiten las normas.

Quién más toca tus datos

Cortex corre en Amazon Web Services en us-east-1: la API en EKS, la base en Aurora PostgreSQL, el almacenamiento de objetos y la gestión de claves en la misma región. El acceso es WorkOS AuthKit. Los proveedores de modelos reciben el contenido de la petición concreta a la que responden para generar una respuesta. Cortex no entrena modelos con tus conversaciones, y esta página no afirma nada sobre las políticas de entrenamiento de esos proveedores más allá de lo que controlamos.

Cortex Code llega a tus repositorios de GitHub a través de la aplicación OAuth de GitHub de Cortex (ámbitos repo y read:user). No hay pegado de un token de acceso personal. Los plugins opcionales (Gmail, Slack, Drive y similares) se conectan a través de Composio cuando eliges conectarlos; esas herramientas solo se ejecutan en las superficies que activas (Chat, Bot, o ambas).

Las sesiones de Cortex Code y las sesiones de ordenador de Cortex Bot se ejecutan en invitados Firecracker aislados en nuestra granja de cómputo. Si pagas, Stripe guarda la tarjeta; nosotros guardamos una referencia de cliente y el plan que tienes.

Menores

Cortex no es para nadie menor de 13 años, y no recopilamos a sabiendas su información personal. Si crees que un menor de 13 años tiene una cuenta, escribe a privacy@cortex.foundation y la borraremos.

Cambios de esta política

Si cambiamos el trato de tus datos de un modo que importe, te lo diremos por correo antes de que surta efecto, no moviendo la fecha de arriba de esta página.