Lo que guardamos,
y lo que nos negamos a recoger.
Última actualización
Quiénes somos y cómo contactarnos
Docs Flowy lo presta Tulmira Ltd, número de sociedad 17497033, con domicilio social en 128 City Road, London EC1V 2NX. Respecto de los datos personales aquí descritos, Tulmira Ltd es el responsable del tratamiento en el sentido del Reglamento General de Protección de Datos.
Escriba a [email protected] para cualquier asunto de esta política, incluido el ejercicio de sus derechos. Los avisos de seguridad van a [email protected]. No hemos designado delegado de protección de datos porque no estamos obligados a ello; si eso cambia, esta cláusula lo nombrará.
Qué tratamos
Agrupado por su origen. Nada de esto se recoge con fines publicitarios y nada se vende.
- Su cuenta
- Su dirección de correo electrónico, su nombre completo y el identificador público que reclama una sola vez. Ese identificador no puede cambiarse después, porque queda escrito junto a su nombre en registros que le sobreviven. Si inicia sesión con contraseña, guardamos un hash argon2 y nunca la contraseña. Si conecta una cuenta de GitHub, guardamos su identificador numérico, su login y la dirección de su imagen de avatar. Si sube una imagen o elige uno de nuestros avatares, la guardamos con su cuenta: una imagen subida se vuelve a codificar en dos tamaños pequeños y se descartan los datos de ubicación del original. Solo usted, los propietarios y administradores de su organización y las personas que comparten un proyecto con usted pueden verla, y nunca se muestra en un sitio público del Handbook. Una imagen subida se elimina cuando su cuenta se desactiva o se elimina.
- Sesiones
- Una etiqueta aproximada del dispositivo — plataforma y familia de navegador, sin versión — una dirección IP truncada a un /24 o un /48, y una hora de última actividad redondeada a cinco minutos. Ni ciudad, ni país, ni ningún indicador que adivine si un inicio de sesión fue inusual: lo uno exige una base de geolocalización y lo otro un modelo de lo que es habitual en usted, y no construimos ninguno de los dos.
- Organizaciones
- El nombre de una organización, quién pertenece a ella, sus roles, los equipos en los que están y las invitaciones enviadas. Un enlace de invitación es en sí una credencial, así que solo se almacena un SHA-256 del token de invitación — nunca el token, ni en la base de datos ni en una línea de registro.
- Contenido de los repositories
- Los archivos markdown y .mdx que hay dentro de la raíz documental de un repository que usted conecta, obtenidos en solo lectura a través de las API de GitHub y GitLab. Un repository no se clona nunca y nunca se escribe nada de vuelta en él. Guardamos el markdown en bruto como fuente de verdad, una representación saneada como caché, y la ruta y el blob SHA de cada archivo para detectar un cambio sin volver a descargarlo.
- Lo que crea aquí su equipo
- El estado de revisión e implementación puesto sobre un documento, las notas y sus respuestas, los acuses de lectura, los eventos de auditoría, las notificaciones, los artifacts que archiva un agente y los hallazgos del análisis de salud documental. Es trabajo hecho en Docs Flowy, no algo extraído de su repository.
- Facturación
- Los pagos van por Stripe. Ningún número de tarjeta, fecha de caducidad o código de seguridad llega hasta nosotros. Guardamos los identificadores de cliente, suscripción y precio de Stripe, y el número de puestos que tuvo una organización durante un periodo de facturación.
- Seguridad y operación
- La dirección del cliente resuelta en cada solicitud, que es lo que aplica la lista de direcciones permitidas de una organización; el registro de auditoría; y los registros de la aplicación conservados para diagnóstico.
Credenciales, y lo que deliberadamente no se guarda
La regla es guardar la forma menos duradera de un secreto que siga funcionando.
Los tokens de instalación de GitHub se emiten bajo demanda a partir de la clave privada de la App y se mantienen en memoria durante la hora que duran. Nada con forma de token de GitHub se escribe en la base de datos.
Un token de acceso de GitLab que usted pega se cifra con una clave que no sirve para nada más, de modo que rotar el secreto de sesión — algo rutinario — no lo toca. Un token con alcance de escritura se rechaza al conectar, por su nombre, y también uno sin caducidad.
Una clave de API existe completa exactamente una vez, en la respuesta que la crea. Solo se guarda un SHA-256 de ella y no hay forma de recuperarla, porque una forma de recuperarla significaría que la clave está guardada en alguna parte.
La cookie de sesión está cifrada y no simplemente firmada, ya que puede llevar un token de GitHub. Las contraseñas se guardan como un hash argon2 y nunca en una forma legible.
Por qué podemos tratarlos, art. 6
Ejecución de un contrato, art. 6(1)(b). Todo lo necesario para darle una cuenta, leer los repositories que conecta, mostrar documentos a las personas que autoriza y cobrar un plan de pago.
Intereses legítimos, art. 6(1)(f). Mantener el servicio seguro, llevar un registro de auditoría en el que una organización pueda confiar, prevenir abusos y diagnosticar fallos. Lo ponderamos frente a sus intereses, y los datos que decidimos no recoger son parte de cómo lo hacemos.
Consentimiento, art. 6(1)(a). Las funciones de IA, que siguen desactivadas hasta que alguien las active, y cualquier correo opcional. El consentimiento puede retirarse en cualquier momento, y retirarlo no hace ilícito lo ocurrido antes.
Obligación legal, art. 6(1)(c). Los registros fiscales y contables de los pagos, y responder a un requerimiento al que la ley nos obliga a responder.
Funciones de IA
Las funciones de IA están desactivadas por defecto. Una organización las activa deliberadamente, a través de alguien facultado para hacerlo, y el cambio se escribe en su registro de auditoría con el nombre de esa persona. Hasta entonces ningún documento llega a ningún modelo.
Cuando están activas, el texto del documento en cuestión y la pregunta formulada los procesa un modelo de lenguaje privado que ejecutamos en nuestra propia infraestructura. Su contenido no se envía a ningún proveedor de modelos externo, y nunca se usa para entrenar ningún modelo, ni el nuestro ni el de nadie.
No hay pregunta de texto libre. Solo puede formularse una pregunta que el propio resumen vigente haya ofrecido, que es lo que impide que un lector autenticado convierta la función en un canal abierto hacia un modelo a costa de la organización.
Un documento vacío no genera ninguna llamada. Pedirle a un modelo que no invente es una petición; no llamarlo es una garantía.
Una respuesta se guarda en caché contra el blob SHA del contenido que describe. Servir una respuesta en caché no genera una llamada nueva ni consume crédito, y cuando el contenido cambia el resumen se marca como desfasado en lugar de servirse en silencio como si aún coincidiera.
Lo que se conserva es el resumen o la respuesta generada, guardada junto al documento y eliminada cuando se elimina el documento, el repository o la organización. La contabilidad de créditos registra cuántas llamadas se hicieron y nunca qué contenían.
El resultado generado puede ser erróneo. Es un punto de partida, y la persona que actúa sobre él es responsable de comprobarlo. Un agente puede afirmar que un comentario ha sido atendido; solo una persona puede cerrarlo.
Cuánto tiempo lo conservamos
Un documento se conserva mientras su repository esté conectado. Desconecte el repository y lo que habíamos obtenido de él se elimina, junto con la copia representada que se guardaba al lado.
El registro de auditoría y las notificaciones se conservan 30, 90, 180 o 365 días según el plan. Al pasar a un plan con una ventana más corta, los registros de auditoría más antiguos se ocultan de inmediato y se eliminan en el plazo de un día. La ventana de las notificaciones vale también para las no leídas — una ventana que perdonase lo que usted nunca abrió sería una ventana a la que se puede apuntar.
Una sesión se conserva hasta que se revoca o caduca. Eliminar su cuenta la elimina, junto con los datos que le pertenecen. Eliminar una organización la elimina junto con la cuenta de cada miembro y los datos que les pertenecen, porque una cuenta pertenece a su organización.
Los registros que la ley nos obliga a conservar a efectos fiscales y contables se conservan mientras la ley lo exija, y no más.
Quién más lo ve
La lista es corta a propósito y nadie está en ella por publicidad. No vendemos datos personales, y ni este sitio ni el producto llevan analítica de terceros ni cookies de seguimiento.
El modelo de lenguaje se ejecuta en una infraestructura que operamos nosotros. No es un encargado del tratamiento y ningún proveedor de modelos recibe su contenido.
- [HOSTING PROVIDER]
- Alojamiento y base de datos gestionada, en [HOSTING REGION]. Todo lo descrito arriba se almacena ahí.
- Stripe
- Pagos, facturación y cálculo de impuestos. Los datos de su tarjeta van directamente a Stripe y nosotros recibimos identificadores de vuelta.
- [EMAIL PROVIDER]
- Solo correo transaccional: invitaciones, verificación de dirección, restablecimiento de contraseña y correos de notificación. No hay ninguna lista comercial en la que estar.
- GitHub y GitLab
- Las fuentes que leemos, con el acceso que usted concede. Su relación con ellas es suya; nosotros tenemos la credencial que nos dio y nada más.
Transferencias internacionales
Los datos personales se almacenan en [HOSTING REGION]. Cuando un encargado del tratamiento trata datos fuera del Espacio Económico Europeo, la transferencia se apoya en una decisión de adecuación si existe y, en su defecto, en las cláusulas contractuales tipo de la Comisión Europea conforme al art. 46, junto con las medidas adicionales que esa transferencia requiera.
Escriba a [email protected] para conocer la base aplicada a un encargado concreto y para obtener copia de las cláusulas.
Sus derechos, art. 15 a 22
Tiene derecho a solicitar una copia de sus datos personales, a que se rectifiquen, a que se supriman, a limitar u oponerse a su tratamiento, y a recibirlos en un formato portable. Cuando el tratamiento se base en el consentimiento, puede retirarlo en cualquier momento.
Parte de esto es más rápido en el producto que por correo: su perfil es editable, sus sesiones pueden revocarse una a una o todas a la vez, y una cuenta puede eliminarse desde sus propios ajustes. La eliminación solo se rechaza en un caso: cuando usted es el último Owner de una organización a la que pertenecen otras personas, lo que la dejaría sin nadie que pueda administrarla. Transfiérala o elimínela primero.
Para todo lo demás, escriba a [email protected]. Respondemos en el plazo de un mes desde la recepción de la solicitud, como exige el art. 12(3), y le avisamos dentro de ese mes si una solicitud compleja necesita más tiempo.
También puede reclamar ante una autoridad de control, en el país en el que reside, en el que trabaja o en aquel donde crea que algo ha ido mal. Preferiríamos que nos lo dijera antes, pero es su derecho y no un paso que nos deba.
Seguridad
El acceso a un repository de origen es de solo lectura, y es revocable desde GitHub o GitLab sin pedírnoslo.
Los documentos se sanean en el servidor, contra una lista permitida, antes de almacenarse — el markdown admite HTML en bruto, y un camino de código que se olvide de filtrar es un camino de código que sirve un exploit. Las credenciales están cifradas. Una organización puede exigir que cada solicitud llegue desde una dirección que haya nombrado, cerrar la sesión de todos sus miembros a la vez, y fijar cuánto vive una sesión.
Todo cambio que importa se escribe en el registro de auditoría dentro de la misma transacción que el cambio, de modo que un registro no puede sobrevivir a un cambio revertido ni faltar en uno que sí se produjo.
Si se produce una violación de datos personales, notificamos a la autoridad de control competente en un plazo de 72 horas cuando el art. 33 lo exige, y avisamos directamente a las personas afectadas cuando el art. 34 lo exige. Ningún trabajo de seguridad es una garantía, y preferimos escribirlo a dar a entender lo contrario.
Menores
Docs Flowy es una herramienta de trabajo y no está destinada a menores de 16 años. No creamos cuentas para menores a sabiendas. Si cree que un menor tiene una cuenta aquí, escriba a [email protected] y la eliminaremos.
Cambios en esta política
Cuando esta política cambia, actualizamos la fecha de la parte superior de la página. Cuando un cambio afecta de forma sustancial al tratamiento de datos personales, avisamos por correo electrónico a los titulares de cuenta antes de que surta efecto, y cuando un cambio requiere su consentimiento lo pedimos en lugar de presumirlo.
Esta versión surte efecto el 2026-09-19 y sustituye a cualquier versión anterior.