Política de privacidad

El responsable del tratamiento de los datos que describe esta política es MAJENTIA FORMACION Y DESARROLLO, S.L. («Brainstack», «nosotros»), con NIF B27683648 y domicilio en Calle José Enrique Marrero Arquitecto, 21, 35017 Las Palmas de Gran Canaria (Las Palmas). Contacto para cualquier asunto de privacidad, también para el delegado de protección de datos: hola@brainstack.io.

• Responsable de los datos de quienes visitan la web, nos contactan, piden una demo o tienen una cuenta de Brainstack (cuentas, facturación, soporte, seguridad y correos del servicio). Las secciones 3 y 7 a 11 tratan este papel.
• Encargado del tratamiento (art. 28 RGPD) de los datos que una empresa cliente pone en Brainstack: lo que su cerebro de empresa lee de las herramientas que conecta, lo que gestionan sus agentes y lo que pregunta su equipo. El cliente es el responsable y decide para qué se usan. La sección 4 y el contrato de encargo de tratamiento tratan este papel.

Los campos obligatorios de cada formulario son necesarios para atender tu solicitud. Sin ellos no podemos ayudarte.

Brainstack construye un cerebro de empresa con las fuentes que conecta cada cliente (por ejemplo Gmail, Google Drive, Notion, HubSpot, Slack o Microsoft Teams) y pone a trabajar agentes sobre él, con las reglas de aprobación que fija el cliente. Esos datos (documentos, correos, fichas de clientes, conversaciones, tareas y las acciones de los agentes) son del cliente, que es el responsable. Nosotros los tratamos como encargado, solo siguiendo sus instrucciones y según el contrato de encargo de tratamiento.

• Solo se leen las fuentes que conecta el cliente. No se escanea nada más.
• Cada persona ve solo lo que permiten su rol y sus permisos, también cuando pregunta desde su propia app de IA.
• No los usamos para nuestros fines, no los vendemos y no los usamos para entrenar modelos de IA.
• Si eres cliente o contacto de una empresa que usa Brainstack y quieres ejercer tus derechos, dirígete a esa empresa. Si nos escribes, le trasladaremos tu solicitud y la ayudaremos a responder.

Para responder una pregunta o hacer una tarea, un agente envía a un modelo de IA el contenido que necesita. Cada cliente conecta su propia suscripción con Anthropic (Claude), OpenAI (ChatGPT) o Google (Gemini). Ese proveedor lo elige y lo contrata el cliente, que necesita sus propias condiciones y, cuando proceda, su propio contrato de encargo con él. Nosotros solo le enviamos contenido por instrucción del cliente. Tu servidor está en Alemania, pero el proveedor de IA puede tratar datos fuera de la UE según sus condiciones (ver sección 8).

Las personas del equipo del cliente también pueden conectar su propia app de IA (Claude, ChatGPT o Cursor) al cerebro de empresa. Cada conexión entra como esa persona y nunca ve más de lo que esa persona tiene permitido. Lo que recupera va a su proveedor de IA según el plan de su empresa.

• Un servidor por cliente. Cada cliente tiene su propio servidor virtual en Hetzner Online GmbH, en Alemania (Núremberg o Falkenstein), con su propia base de datos, su propia bóveda para contraseñas y claves y su propio almacén de ficheros. No lo comparte ningún otro cliente.
• Copias cifradas. Se hacen copias cada 6 horas, además de copias diarias y mensuales. Cada una se cifra y se firma antes de salir del servidor y se guarda con nuestro proveedor de copias en Irlanda (UE).
• Fuera de la UE. Decimos «tu servidor está en Alemania», no «tus datos nunca salen de la UE»: los proveedores de IA, y algunas herramientas que conectes, pueden tratar datos en otros lugares según sus condiciones.

Cuando actuamos para un cliente, también tratan datos los servicios que ese cliente elige y conecta (su proveedor de IA, sus canales como Slack, Telegram, Discord, Microsoft Teams, Gmail u Outlook, y el resto de integraciones), según sus propias condiciones. La lista vigente de nuestros subencargados está en el contrato de encargo de tratamiento.

Stripe, Resend, Meta, Google y los proveedores de IA pueden tratar datos en Estados Unidos o acceder a ellos desde allí. Cada transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado, o en las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión 2021/914), con medidas complementarias cuando haga falta. Para los proveedores de IA que contrata directamente el cliente, esas garantías las tiene el cliente. Puedes pedirnos una copia de las nuestras en hola@brainstack.io.

• Registros técnicos y de seguridad: normalmente no más de 30 días, salvo que un incidente exija más.
• Solicitudes de demo y contacto: hasta 12 meses después del último contacto, salvo que pases a ser cliente.
• Cuentas: mientras la cuenta esté activa.
• Facturación: 6 años, como exige la normativa contable y fiscal española (art. 30 del Código de Comercio).
• Soporte: 2 años desde que se cierra la incidencia.
• Datos del cliente: lo que decida el cliente. Al cerrar una cuenta, el cliente tiene 30 días para exportar sus datos; después los borramos junto con su servidor.
• Copias de seguridad: se renuevan solas. Los datos borrados desaparecen de ellas cuando caducan, en un plazo de 365 días.

Si una ley nos obliga a conservar algo más tiempo, lo mantenemos bloqueado y solo para ese fin.

Tienes derecho de acceso, rectificación y supresión, a limitar u oponerte al tratamiento, a la portabilidad, y a retirar el consentimiento cuando quieras, sin que afecte a lo tratado antes. Escribe a hola@brainstack.io indicando qué derecho quieres ejercer. Si tenemos dudas razonables sobre tu identidad, podemos pedirte más información.

Respondemos en un mes, ampliable dos meses más en casos complejos (te avisaremos). También puedes reclamar ante una autoridad de protección de datos, en particular la de donde vives o trabajas, o ante nuestra autoridad principal, la Agencia Española de Protección de Datos (AEPD, aepd.es).

Aplicamos medidas técnicas y organizativas adecuadas al riesgo (art. 32 RGPD), entre ellas: un servidor aislado por cliente, tráfico cifrado (TLS), una bóveda para contraseñas y claves, acceso con mínimo privilegio, permisos por persona y por rol, aprobaciones antes de que un agente envíe, publique, gaste o borre, un registro de lo que hizo cada agente y copias cifradas y firmadas cada 6 horas. La lista completa está en el contrato de encargo de tratamiento. Ningún sistema es invulnerable; si una brecha te afecta, actuaremos y te informaremos según la ley.

Los agentes de Brainstack son sistemas de IA. Según el art. 50 del Reglamento Europeo de IA, quien interactúa con uno debe saberlo salvo que sea evidente, y nuestras condiciones obligan a los clientes a dejarlo claro. No tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o significativos sobre ti (art. 22 RGPD). Lo que hace el agente de un cliente lo configura ese cliente, que puede exigir la aprobación de una persona antes de cualquier acción.

Brainstack no está dirigido a menores y no recogemos de forma consciente datos de menores de 16 años. Si crees que nos han llegado, escríbenos y los borraremos.

Lo explicamos en la política de cookies. Puedes cambiar tu elección cuando quieras en Ajustes de cookies.

Si cambiamos esta política, publicaremos la nueva versión en esta página con su fecha. Si el cambio es importante, también avisaremos por correo a los clientes antes de que se aplique.