Para compras, seguridad y protección de datos

Paquete de confianza para compradores

Lo que un revisor necesita saber sobre AI Adoption Pulse, en una sola página. Cada afirmación coincide con el Anexo de Tratamiento de Datos y el Aviso de privacidad publicados, que son las versiones vinculantes.

Behaviture s.r.o. · IČO 30057965 · Roháčova 145/14, 13000 Prague 3, Czech Republic

Certificaciones

Behaviture no tiene hoy ninguna certificación de seguridad ni de privacidad: ni informe SOC 2 ni certificado ISO/IEC 27001. Esta página, el Anexo de Tratamiento de Datos y el Aviso de privacidad describen los controles que sí existen.

Arquitectura de privacidad

  • Las respuestas de la encuesta se guardan sin nombre, correo, cuenta ni referencia a la invitación. El vínculo entre la invitación y las respuestas se rompe al enviar la encuesta.
  • Los resultados de grupo solo aparecen para grupos de al menos 8 personas por defecto, y el mínimo nunca puede fijarse por debajo de 5. Los grupos más pequeños y las combinaciones de filtros que podrían aislar a una persona se ocultan.
  • El informe de coaching de cada empleado es privado. Los administradores de la empresa no ven respuestas, puntuaciones ni informes individuales.
  • Las puntuaciones salen de reglas deterministas y versionadas. Cuando un modelo de lenguaje ayuda a redactar el texto del informe, solo recibe datos agregados y minimizados de grupos por encima del umbral: nunca nombres, correos, tokens ni datos de grupos pequeños.

Dónde se guardan los datos

El servicio funciona en Google Cloud, en la región europe-west1 (Bélgica): la aplicación, la base de datos, los archivos de informes y los secretos. El sitio web se entrega mediante la CDN global de Firebase Hosting desde un origen en la UE.

Cuando un subencargado trata datos fuera del Espacio Económico Europeo, la transferencia se basa en las Cláusulas Contractuales Tipo de la Comisión Europea o en una decisión de adecuación.

Subencargados

Google Cloud (Cloud Run, Cloud SQL, Cloud Storage, Secret Manager)
Finalidad: Alojamiento, base de datos, archivos de informes y secretos
Ubicación: UE: europe-west1 (Bélgica)
Google Firebase Hosting
Finalidad: Entrega del sitio web y de los archivos de la aplicación
Ubicación: CDN global, origen en la UE
Google Identity Platform
Finalidad: Inicio de sesión único opcional para administradores de la empresa
Ubicación: Según las condiciones de Google
Google Gemini API
Finalidad: Redacción opcional del texto agregado del informe; solo datos minimizados de grupos por encima del umbral
Ubicación: Según las condiciones de Google para la API
Resend
Finalidad: Invitaciones a la encuesta, recordatorios y notificaciones por correo
Ubicación: Según las condiciones del proveedor
Stripe
Finalidad: Pagos en línea. Behaviture no guarda datos de tarjetas
Ubicación: Según las condiciones del proveedor

Los clientes reciben un aviso con 30 días de antelación antes de añadir o sustituir un subencargado, y pueden oponerse por motivos razonables de protección de datos.

Cuánto tiempo se conservan los datos

Respuestas de la encuesta, puntuaciones e informes
Hasta que los datos del cliente se eliminan según el Anexo de Tratamiento de Datos. Al terminar el contrato se eliminan o devuelven en un plazo de 30 días, a elección del cliente. Las respuestas ya desvinculadas de cualquier identidad y los datos agregados pueden conservarse.
Eventos de analítica del producto y comentarios sobre los informes
Se eliminan automáticamente 90 días después de su creación mediante una purga programada
Registros de la aplicación
Se eliminan a los 10 días mediante una purga diaria; los demás registros operativos se conservan 90 días como máximo
Datos de cuenta y facturación
Mientras exista la cuenta y, después, durante el plazo que exija la ley
Copias de seguridad
Copias automáticas de la base de datos con recuperación a un momento dado, en el plazo estándar de Google Cloud

Medidas de seguridad

  • Cifrado en tránsito de todo el tráfico.
  • Los tokens de sesión, invitación y resultados se guardan solo como hashes con clave; nunca se guardan los tokens originales.
  • Control de acceso por roles, con aislamiento entre clientes comprobado en el servidor en cada consulta de una organización.
  • Secretos en un almacén gestionado, nunca en la base de datos ni en los registros.
  • Registro de auditoría de las acciones privilegiadas, incluidas las sesiones de soporte de solo lectura y tiempo limitado.
  • Limitación de peticiones y controles contra abusos.
  • Copias automáticas de la base de datos con recuperación a un momento dado y un proceso documentado de respuesta a incidentes.

Documentos contractuales

Léalos antes de firmar. El Anexo de Tratamiento de Datos es un contrato vinculante según el artículo 28 del RGPD y se acepta junto con las condiciones al crear un espacio de trabajo.

Contacto de seguridad

Preguntas de seguridad, cuestionarios y solicitudes de protección de datos: privacy@behaviture.com

Si una violación de la seguridad de los datos personales afecta a datos del cliente, Behaviture lo notifica al cliente sin dilación indebida.