Política de privacidad

Quién es el responsable

Los responsables del tratamiento son César Arroba, David Martín Bragado, Pedro Miguel Díaz Peña y Pepe Fagoaga, que operan conjuntamente Bunbird, C/ Menorca 23, Bajo B, 28290 Las Rozas de Madrid, Madrid, España. Actúan como corresponsables: puedes ejercer tus derechos ante cualquiera de ellos, y support@bunbird.com llega a todos. Para cualquier cuestión sobre tus datos, escribe ahí.

Para los datos que las personas introducen dentro de una app, el responsable es la organización que publicó la app, y Bunbird actúa como su encargado del tratamiento. Ver «Datos dentro de las apps» más abajo.

Qué recogemos y por qué

Tu cuenta. Tu dirección de correo, el nombre que indiques, si tu dirección ha sido confirmada, cuándo se creó la cuenta y cómo inicias sesión: una contraseña, guardada solo como hash con sal (argon2id), o una cuenta de Google, de la que guardamos el identificador estable y la dirección de correo que Google acredita. Lo usamos para crear y proteger tu cuenta, para enviar los correos que el servicio necesita (confirmación de la dirección, restablecimiento de contraseña, invitaciones, bienvenida) y para avisarte de cambios en el servicio o en estos documentos.

Inicio de sesión con Google. Cuando eliges Google, Google nos comunica tu identificador, tu dirección de correo, si está verificada, tu nombre y tu foto de perfil (ámbitos: openid, email, profile). Guardamos el identificador, el correo y el nombre. No guardamos los tokens de Google y nunca volvemos a preguntarle a Google nada sobre ti. El tratamiento que hace Google se rige por la política de privacidad de Google.

Tus organizaciones y apps. Las organizaciones a las que perteneces y tu rol en cada una, las apps y borradores que contienen, las invitaciones que envías o recibes, y los nombres de los secretos o conexiones configurados para una app (nunca sus valores, que se guardan cifrados para la organización).

La conexión de tu asistente de IA. Cuando conectas un asistente, se registra como cliente OAuth y recibe tokens para actuar en tu nombre. Guardamos el nombre del cliente y sus direcciones de redirección, un hash del token con el que renueva su acceso (nunca el token en sí), cuándo le diste permiso y cuándo lo renovó por última vez, y un registro de lo que hizo el asistente (borradores, compilaciones, publicaciones).

Bunbird no tiene acceso a tus conversaciones con tu asistente de IA. No vemos tu historial de chat, tus otros mensajes, la memoria del asistente, lo que hace con otros servicios ni los archivos que compartes con él, salvo que los envíe a Bunbird como parte de tu app. Bunbird solo recibe lo que tu asistente envía cuando usa una herramienta de Bunbird para crear o modificar tu app, como los archivos de la app, su nombre y su descripción, o la dirección de alguien a quien le pediste que invitara, junto con la cuenta con la que has iniciado sesión. Eso se trata y se conserva como dice el resto de esta política. En cada llamada el asistente puede añadir además una nota breve sobre por qué la hace y qué modelo es, y puede avisar de algo que pediste y que Bunbird aún no puede hacer. Esas notas las escribe el propio asistente, y Bunbird le pide que no incluya datos personales en ellas. Llegan a nuestra analítica de producto sin ninguna dirección de correo, y se conservan un año, como el resto de eventos de analítica. Tu conversación la guarda el proveedor de tu asistente, bajo las condiciones y la política de privacidad de ese proveedor.

Registros del servidor. Nuestros servidores escriben registros técnicos de las peticiones: dirección IP, hora, dirección solicitada, código de respuesta y cadena de identificación del navegador. Van a Google Cloud Logging y se eliminan a los 7 días.

Analítica de producto. Nuestros servidores envían eventos a PostHog sobre lo que ocurre en el servicio: una cuenta creada, una organización creada, una app publicada, una invitación aceptada, una compilación fallida. Aparte de las notas del asistente descritas más arriba, los eventos llevan tu identificador de cuenta y nunca texto libre que hayas escrito. Tu perfil en PostHog lleva tu correo y tu nombre para que los eventos puedan asociarse a una cuenta. También enviamos informes de errores, con las direcciones eliminadas. PostHog está alojado en la UE y está configurado para descartar las direcciones IP: usa la dirección para calcular una ubicación aproximada (país y ciudad) y no la guarda. PostHog conserva los eventos durante un año.

La web. bunbird.com es un sitio estático. No instala cookies. Recuerda el idioma que elegiste en el almacenamiento local de tu navegador, que se queda en tu dispositivo. Usa PostHog, alojado en la UE, para una analítica sin cookies: no se guarda nada en tu navegador, así que cada página que cargas cuenta como un visitante anónimo nuevo y no podemos seguirte de una visita a la siguiente. Las peticiones de analítica van a p.bunbird.com, una dirección nuestra que PostHog sirve desde la UE. Los eventos registran la página y su idioma, lo que hiciste en ella (una sección vista, la demo reproducida, un prompt copiado, un botón pulsado) y los datos técnicos que lleva cualquier petición web, como el tipo de navegador. Tu dirección IP se usa para calcular una ubicación aproximada y después se descarta; PostHog no la guarda. No hay grabaciones de sesión ni perfiles de visitantes.

Soporte y contacto. Si nos escribes, conservamos la correspondencia para responderte y para guardar constancia de la conversación. Nuestros buzones funcionan sobre Google Workspace. Eliminamos la correspondencia dos años después del último mensaje.

Bases jurídicas

Nos basamos en las siguientes bases del artículo 6 del RGPD:

• ejecución del contrato contigo: tu cuenta, tus organizaciones y apps, la conexión de tu asistente, las sesiones y los correos que el servicio necesita;
• nuestro interés legítimo: mantener el servicio seguro y en funcionamiento (registros del servidor), entenderlo y mejorarlo (analítica de producto y de la web), responderte y guardar constancia (soporte), y avisarte de cambios;
• obligación legal: lo que debamos conservar o comunicar por ley;
• consentimiento: solo donde lo pidamos, y puedes retirarlo en cualquier momento.

Datos dentro de las apps

Una app publicada en Bunbird guarda los datos que introducen sus usuarios: registros, archivos, notificaciones y quién inició sesión. Esos datos pertenecen a la organización que publicó la app. La organización decide qué recoge la app, quién puede usarla y cuánto tiempo conserva los datos. Bunbird los trata siguiendo las instrucciones de la organización, como encargado del tratamiento según el artículo 28 del RGPD.

Como encargado, tratamos los datos solo para ejecutar la app y mantenerla segura, los conservamos en la UE, aislamos los datos de cada organización de los de las demás, permitimos a la organización eliminarlos, avisamos a la organización sin dilación indebida si tenemos conocimiento de una brecha que le afecte, y los eliminamos cuando se elimina la app o la organización. Se aplican los subencargados indicados más abajo. El Acuerdo de encargo del tratamiento (bunbird.com/es/dpa/) recoge estas condiciones por completo.

Si usas una app publicada por otra persona y quieres ejercer tus derechos sobre los datos que contiene, contacta con la organización que la publicó. Si no sabes quién es, escríbenos y te ayudaremos a localizarla.

Dónde se alojan tus datos

Bunbird funciona en Google Cloud, en la región europe-west1 (Bélgica), sobre infraestructura que operamos nosotros. Las bases de datos, los archivos, los secretos y las copias de seguridad se quedan en la UE. Los discos están cifrados en reposo, y toda conexión, dentro y fuera de la plataforma, va cifrada en tránsito.

Tenemos previsto ofrecer más regiones en el futuro, para que una organización pueda elegir dónde viven sus apps y los datos que contienen. Hasta entonces todo se queda en la UE. Si esa opción llega a estar disponible, esta política la describirá antes de que se guarde ningún dato en otro lugar.

Quién más trata tus datos (subencargados)

Usamos estos proveedores para operar Bunbird:

Google Cloud. Alojamiento de la plataforma y de sus datos en europe-west1, además de los registros del sistema y las métricas del servidor.

Resend. Correo transaccional (confirmación de la dirección, restablecimiento de contraseña, invitaciones, bienvenida y notificaciones de las apps entregadas por correo), enviado desde servidores en la UE.

PostHog. Analítica de producto y seguimiento de errores de la plataforma, y analítica sin cookies de la web, alojado en la UE.

Google. Proveedor de identidad, solo si eliges iniciar sesión con Google.

Google Workspace. Los buzones de support@bunbird.com, security@bunbird.com y abuse@bunbird.com. Google puede tratar ese correo fuera de la UE conforme a sus condiciones de tratamiento de datos, que incluyen las cláusulas contractuales tipo de la UE.

Actualizaremos esta lista antes de añadir un proveedor que trate datos personales.

Cuánto tiempo conservamos los datos

Datos de la cuenta. Mientras exista tu cuenta. Cuando nos pidas cerrarla, los eliminamos en un plazo de 30 días, salvo lo que debamos conservar por ley.

Organizaciones y apps. Mientras existan. Una app o una organización eliminada se conserva, recuperable, durante el periodo que fije su plan, y después se elimina de forma permanente. Sus propietarios pueden pedir la eliminación permanente antes.

Borradores. Un borrador que no se usa se duerme tras el periodo del plan de la organización y se elimina tras otro periodo adicional (7 y 30 días por defecto).

Datos dentro de las apps. Según declare la app. Una colección puede tener un periodo de retención, tras el cual sus registros se eliminan automáticamente.

Copias de seguridad. Instantáneas diarias del disco, conservadas 14 días.

Registros del servidor. 7 días.

Correo de soporte. Dos años después del último mensaje.

Eventos de analítica. Un año, la retención de PostHog en nuestro plan actual.

Sesiones. Una sesión de la consola dura hasta 12 horas, y una sesión de app hasta una hora. Un token de acceso emitido a tu asistente dura una hora, y el asistente lo renueva mientras lo usas. Su conexión termina 30 días después de su último uso, 90 días después de que le dieras permiso, cuando cambias o restableces tu contraseña, cuando la revocas en Mis asistentes de IA, en la consola, o si el token con el que renueva su acceso se usa dos veces. Cuando termina, el asistente ya no puede renovar su acceso, y el acceso que ya tiene caduca en menos de una hora.

Seguridad

Protegemos tus datos con cifrado en tránsito (TLS en todas partes, también entre servicios internos) y en reposo (discos cifrados), contraseñas con hash argon2id, secretos guardados en un almacén cifrado dedicado, aislamiento entre organizaciones que la plataforma aplica en cada petición, acceso de mínimo privilegio para las personas que operan el servicio, sesiones firmadas que las apps no pueden falsificar, una política de seguridad de contenido que limita cada app a lo que ella misma incluye, y análisis de dependencias e imágenes en nuestra cadena de compilación. Ningún sistema es perfectamente seguro. Si encuentras una vulnerabilidad, avísanos en security@bunbird.com; nuestra página de seguridad (bunbird.com/es/seguridad/) explica cómo.

Cookies

La web (bunbird.com) no instala cookies. Su analítica funciona sin cookies ni ningún otro almacenamiento en tu navegador (ver «La web» más arriba).

La consola (app.bunbird.com) instala estas cookies:

• session: tu sesión firmada, para que sigas con la sesión iniciada. HttpOnly, Secure, enviada solo a Bunbird, válida hasta 12 horas o hasta que cierres sesión.
• lang: el idioma que elegiste. Se conserva un año.
• attempt: mientras inicias sesión con Google, una cookie que vincula el inicio de sesión a tu navegador. Se conserva 10 minutos.

Cada app en bunbird.app instala, solo en su propia dirección: __Host-session, tu sesión en esa app, válida una hora; __Host-handover, usada durante 10 minutos mientras la consola traspasa tu sesión a la app; y, solo en la vista previa de un borrador, bunbird_as, qué persona de prueba estás viendo en el borrador.

La consola también guarda algunas elecciones en el almacenamiento local de tu navegador, que se queda en tu dispositivo: el tema, cómo se muestran tus apps (tarjetas o lista, y su orden) y tu avance en la guía de inicio, incluidos a qué dijiste que te dedicas, la idea que elegiste y, hasta que cierres sesión, la app que describiste con tus palabras.

Todas ellas son estrictamente necesarias para prestar el servicio que has pedido, así que no requieren consentimiento. No instalamos cookies publicitarias ni de seguimiento.

Tus derechos

Según el RGPD puedes pedirnos acceder a los datos que tenemos sobre ti, corregirlos, eliminarlos, limitar su tratamiento u oponerte a él, recibirlos en un formato portable, y retirar el consentimiento cuando el tratamiento se base en él. Escribe a support@bunbird.com. Responderemos en el plazo de un mes, y puede que antes te pidamos acreditar tu identidad.

También puedes reclamar ante una autoridad de protección de datos, en particular la del país de la UE donde vives o trabajas.

No tomamos decisiones sobre ti por medios automatizados que tengan efectos jurídicos o similares.

Transferencias fuera de la UE

Tus datos se almacenan y se tratan en la UE. Algunos de nuestros proveedores pertenecen a grupos con sede fuera de la UE y pueden acceder a los datos desde fuera de la UE por soporte u operaciones. Cuando eso ocurre, nos amparamos en las decisiones de adecuación de la Comisión Europea o en sus cláusulas contractuales tipo, con las garantías adicionales que exige la ley.

Tu asistente de IA es un servicio aparte. Lo que escribes en él, incluido lo que le pides que construya, se envía a su proveedor bajo las condiciones de ese proveedor y puede tratarse fuera de la UE.

Menores

Bunbird no está dirigido a menores de 16 años, y no recogemos sus datos a sabiendas. Si crees que un menor nos ha dado datos personales, escríbenos y los eliminaremos.

Cambios en esta política

Podemos actualizar esta política a medida que cambie el servicio. La fecha de arriba indica cuándo se cambió por última vez. Si un cambio te afecta, te lo comunicaremos por correo o en la consola antes de que entre en vigor.

Contacto

César Arroba, David Martín Bragado, Pedro Miguel Díaz Peña y Pepe Fagoaga, que operan conjuntamente bajo el nombre comercial Bunbird. C/ Menorca 23, Bajo B, 28290 Las Rozas de Madrid, Madrid, España. Correo: support@bunbird.com.