Aviso de privacidad

1. Responsable

Brida OÜ, sociedad de Estonia con código de registro 17445507 y domicilio social en Harju maakond, Tallinn, Kesklinna linnaosa, Tornimäe tn 5, 10145 (Estonia), es la responsable de los datos personales que describe este aviso. Para cualquier cuestión de privacidad, escríbenos a hi@brida.ai.

2. A qué se aplica

Este aviso cubre la web brida.ai, los emails que nos envías para pedir acceso anticipado o soporte, las cuentas de Brida (personas, Organizations, membresías e invitaciones), las llaves de acceso y las sesiones, la aceptación del acuerdo de encargo del tratamiento, las delegaciones a agencias y el Free Preview de Brida Reflex.

No cubre los datos que una Organization trata en Brida sobre sus contactos. De esos datos, la responsable es la Organization y Brida es encargada del tratamiento (sección 6).

3. Qué datos tratamos

• Cuenta: tu email, tu nombre visible, tu idioma y la fecha en que verificaste el email.
• Llaves de acceso (passkeys): de cada llave, su identificador y su clave pública, su contador, cómo se conecta, el modelo de autenticador (AAGUID), el tipo de dispositivo y si tiene copia. No guardamos nada biométrico: tu huella o tu cara no salen de tu dispositivo. También registramos cada alta, uso o baja de una llave, con su resultado y su fecha.
• Contraseña y doble factor, si los usas: la contraseña solo como hash Argon2id, nunca en claro; el secreto del código de autenticación (TOTP), cifrado; y los códigos de recuperación, como hash.
• Sesiones: un hash del token de la sesión, su nivel de autenticación, la Organization seleccionada, la última actividad, su caducidad y, si se revoca, cuándo y por qué.
• Seguridad: cada intento de inicio de sesión con contraseña, con el email usado, tu dirección IP y el resultado. En el alta guardamos resúmenes HMAC de tu email, de tu dirección IP y de su red, nunca los valores en claro. No guardamos el agente de usuario de tu navegador.
• Organizations e invitaciones: el nombre de cada Organization, quién pertenece a ella y con qué rol, y cada invitación: el email invitado, el rol, su estado, su caducidad y quién invita. Brida no envía el email de la invitación: entrega el enlace una sola vez a quien invita, que lo hace llegar.
• Aceptación del acuerdo de encargo: la versión, el idioma, el resumen criptográfico del texto y el de sus anexos, la entidad (razón social, país e identificador), el firmante (nombre y cargo), la persona que acepta, la sesión, su nivel de autenticación, la verificación de su llave de acceso y la fecha, sin dirección IP ni agente de usuario.
• Autorizaciones OAuth de clientes MCP: cuando autorizas un cliente de IA a usar Brida, guardamos el cliente (su identificador, su nombre y sus direcciones de retorno) y cada autorización: el recurso, los permisos pedidos, quién la concede y para qué Organization, su estado y sus fechas, con el código de un solo uso solo como hash.
• Agencias: qué agencia tiene una delegación sobre una Organization, con qué permisos, y los eventos de cada delegación.
• Avisos a los owners: para avisar por email a los owners de una Organization, guardamos su email, su idioma y el nombre de la Organization hasta poco después de resolverse el aviso.
• Contacto: lo que nos escribes a hi@brida.ai y tu dirección de email.
• Brida Reflex Free Preview: el estado acotado que envías para evaluar y los metadatos necesarios para ejecutar y conciliar cada ejecución; de cada clave de API, su identificador, su prefijo, sus permisos, su estado y sus fechas (la clave en claro solo se muestra al crearla); y el estado del envío del email de verificación.
• Metadatos de operación: identificadores de petición, fechas, versiones, recuentos, latencias y categorías de error. Los logs, las métricas y la auditoría no guardan el contenido de los mensajes, emails, tokens ni secretos.

4. Para qué y con qué base jurídica

• Para prestarte el servicio que pides y administrar tu cuenta y tu Organization: la ejecución del contrato o de las medidas precontractuales que pides (artículo 6.1.b del RGPD).
• Para la seguridad, la prevención del abuso, la auditoría y para poder demostrar quién aceptó el acuerdo de encargo y cuándo: nuestro interés legítimo en un servicio seguro y en probar que cumplimos (artículo 6.1.f).
• Para cumplir obligaciones legales, como las de facturación (artículo 6.1.c), y para formular, ejercer o defender reclamaciones (artículo 6.1.f).
• Para contestar tus emails y gestionar el acceso anticipado: nuestro interés legítimo en atenderte o, si ya eres cliente, el contrato.

5. Inteligencia artificial

El Free Preview de Brida Reflex envía el estado no sensible que admite a través de Vercel AI Gateway al modelo de evaluación Jev de TypeSafe AI. Cada petición pide retención cero de datos y que no se usen para entrenar modelos. Si el evaluador no está disponible, Reflex falla cerrado: no envía la petición a otro modelo ni a otro proveedor.

En los embudos de una Organization, Brida redacta borradores con modelos Claude de Anthropic sin enviarles datos de los contactos, y clasifica las respuestas entrantes con Jev a través de Vercel AI Gateway, con los emails y los teléfonos sustituidos y con retención cero pedida en cada petición. Las respuestas con señales de contenido clínico o sensible, o con adjuntos, no pasan por el modelo y quedan para revisión humana. Ningún mensaje sale sin la aprobación de una persona autorizada.

6. Brida como encargada de los datos de una Organization

Cuando una Organization importa contactos, conecta canales, envía mensajes o recibe respuestas en Brida, la responsable de esos datos es la Organization, y Brida es encargada del tratamiento: los trata solo para prestarle el servicio y según sus instrucciones, con el acuerdo de encargo del tratamiento del artículo 28 del RGPD, que la Organization acepta antes de guardar ningún dato.

Si eres uno de sus contactos o le has respondido, el aviso de privacidad que se te aplica es el de esa Organization, y es ella quien atiende tus derechos. Si te diriges a Brida, le remitimos tu solicitud. Puedes darte de baja desde el enlace de cada mensaje o respondiéndolo: dejamos de escribirte por todos los canales de esa Organization.

Brida no está hecha para tratar datos de salud, de pacientes ni otras categorías especiales de datos, y el acuerdo de encargo los excluye.

Según ese acuerdo, Brida borra el contenido saliente aprobado a los 180 días, el correo entrante en bruto a los 30 días, los registros de decisión y la auditoría de las llamadas por MCP a los 13 meses, y los elementos resueltos de la cola de atención a los 90 días. Al cerrar la relación, la Organization tiene 30 días para exportar sus datos. Después, Brida los suprime, y desaparecen de las copias de seguridad en 30 días como mucho.

7. Proveedores y destinatarios

• Hetzner Online GmbH: aloja los servidores, la base de datos y sus copias de seguridad, en Finlandia.
• Cloudflare, Inc.: proxy, cifrado TLS y protección del tráfico hacia la aplicación y la API de Brida (app.brida.ai y api.brida.ai); envío de los emails de verificación y de los avisos de Brida; y recepción del correo de las entradas dedicadas.
• Infisical Inc., en su región de la Unión Europea: guarda las credenciales de los canales que conecta una Organization.
• Vercel Inc.: aloja y sirve la web brida.ai, con la dirección IP y los datos técnicos de cada visita; y, con su AI Gateway y TypeSafe AI, la evaluación de Reflex y la clasificación de las respuestas entrantes.
• Anthropic Ireland, Limited: la redacción de borradores con modelos Claude, sin datos de los contactos.
• Las agencias con una delegación de una Organization ven los datos de esa Organization con los permisos que esta les concede, y pierden el acceso cuando la revoca.
• También podemos comunicar datos cuando lo exija la ley, para proteger derechos o la seguridad, o en una operación societaria lícita.

8. Transferencias fuera del Espacio Económico Europeo

Algunos de esos proveedores tratan datos fuera del Espacio Económico Europeo. Cloudflare lo hace en su red mundial de centros de datos. Infisical y Vercel lo hacen desde Estados Unidos. Anthropic guarda los datos en Estados Unidos y puede procesarlos en cualquier país donde ejecuta sus modelos.

Para esas transferencias, Brida se apoya en el Marco de Privacidad de Datos UE-EE. UU. en el caso de Cloudflare, y en las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914) que incluyen los acuerdos de tratamiento de datos de cada proveedor. Esto no es una promesa de que los datos se queden en la UE.

9. Cuánto tiempo los guardamos

• Invitaciones no aceptadas: se borran 90 días después de caducar o de anularse, con las altas que las citan.
• Aceptación del acuerdo de encargo, delegaciones y sus eventos, y eventos de la admisión de una Organization: durante la relación y 5 años después del cierre.
• Datos de un aviso a los owners: se borran 7 días después de resolverse el aviso.
• Cuenta, llaves de acceso y sesiones: mientras exista la cuenta. Una sesión deja de servir tras, como mucho, 8 horas sin actividad, y a los 30 días como mucho aunque se use.
• Intentos de inicio de sesión (email usado, dirección IP y resultado), también los de un email sin cuenta: hoy no tienen plazo de borrado; la base de datos los guarda como registro inmutable de seguridad.
• Brida Reflex: un alta sin terminar caduca y deja de servir. Los recibos centrales de Reflex llevan metadatos y, por defecto, no el estado enviado.
• Tus emails: el tiempo necesario para contestarte y gestionar la relación.
• Facturación: el plazo que fija la ley.

10. Cookies y almacenamiento local

Brida solo usa cookies propias:

• brida_session: tu sesión. No es accesible desde JavaScript, solo viaja por HTTPS (HttpOnly, Secure y SameSite=Lax) y caduca tras, como mucho, 8 horas sin actividad.
• brida_registration: completa un alta. Solo se envía a las rutas del alta y dura hasta que vence ese paso.
• __Host-brida_gmail_connect: protege la conexión de un buzón de Gmail mientras se completa.
• brida_locale: guarda el idioma que eliges en las páginas de la aplicación (app.brida.ai). Solo se crea si cambias el idioma, se puede leer desde JavaScript y dura un año.

El almacenamiento local de tu navegador guarda tu idioma preferido y, en el alta de Reflex, la página a la que volver. Durante el alta de Reflex, el almacenamiento de sesión de esa pestaña guarda además tu email y una clave aleatoria, que se envía con la petición del alta para que no se duplique; se borra al cerrar la pestaña. El idioma y la página a la que volver no salen de tu navegador. Las páginas públicas no usan scripts de analítica ni de publicidad de terceros. Si eso cambia, actualizaremos este aviso y pediremos tu consentimiento antes cuando haga falta.

11. Seguridad

Entre otras medidas: llaves de acceso con verificación de usuario y doble factor para las decisiones sensibles; ninguna credencial de máquina puede aprobar un envío ni aceptar el acuerdo de encargo; claves de API guardadas como prefijo y verificador HMAC; cada lectura limitada a su Organization; cifrado TLS de todo el tráfico; la base de datos sin puertos expuestos fuera del servidor; y logs solo con metadatos. Ninguna medida elimina todo el riesgo.

12. Tus derechos

Cuando se aplica el RGPD, puedes pedir el acceso a tus datos, su rectificación, su supresión o la limitación de su tratamiento, oponerte a ciertos tratamientos, recibir tus datos en un formato portable cuando proceda y retirar tu consentimiento cuando el tratamiento se base en él. Escríbenos a hi@brida.ai. Podemos pedirte que verifiques tu identidad antes de atender la solicitud.

También puedes reclamar ante la autoridad de protección de datos del lugar donde vives o trabajas o donde se produjo la infracción, entre ellas la Inspección de Protección de Datos de Estonia (Andmekaitse Inspektsioon). Si eres contacto de una Organization, mira la sección 6.

13. Decisiones automatizadas y menores

Brida Reflex produce evaluaciones y recomendaciones. El servicio alojado no toma por sí mismo decisiones con efectos jurídicos o de importancia similar sobre ti. En los embudos, la Organization decide a quién escribe, y ningún envío sale sin aprobación humana.

Brida no está dirigida a menores. Para crear una cuenta hay que tener al menos 18 años, salvo que Brida haya aceptado expresamente otro acuerdo lícito.

14. Cambios e idioma

Actualizaremos este aviso cuando cambien Brida o sus proveedores. La versión indicada arriba identifica la vigente, y describiremos los cambios importantes antes de que se apliquen o cuando lo hagan, según exija la ley. Este aviso existe en español y en inglés: si las dos versiones difieren, prevalece la versión en español.