Esta política dice qué datos trata Inectia, para qué, con qué base, con quién los comparte, por cuánto tiempo, y qué puede hacer cada persona con los suyos. Vale para todos los miembros, en cualquier país. Es un documento aparte del estatuto —que contiene los compromisos que la operadora asume— y de los términos de servicio —que rigen el contrato—. En los seis compromisos de la sección 2 del estatuto, si hay contradicción, manda el estatuto; en todo lo demás, mandan los términos. Si algo de acá no coincide con lo que la red hace, es un error nuestro y se corrige el documento, no la explicación.
La sección 13 tiene un suplemento para cada región cuya ley exige decir algo con sus propias palabras. Lo que dice el cuerpo vale para todos; el suplemento agrega, no reemplaza.
1. Quién es responsable
La responsable del tratamiento (data controller) es Godshot, LLC, sociedad de responsabilidad limitada constituida en el Estado de Delaware, Estados Unidos (archivo n.º 4734991), con domicilio en 600 N Broad Street, Suite 5 #364, Middletown, Delaware 19709, Estados Unidos, que opera Inectia.
Contacto para cualquier cuestión de datos, incluido el ejercicio de derechos: info@inectia.com.
2. Qué datos se tratan, para qué, y con qué base
Inectia guarda poco a propósito. Lo que hay, para qué sirve cada cosa, y la base legal que lo permite (las bases son las del Reglamento europeo, que son las más exigentes; en las demás leyes tienen equivalente):
| Dato | Para qué | Base legal |
|---|---|---|
| Correo electrónico | Es la cuenta: sirve para entrar y para avisar que hay una novedad en las coincidencias (nunca cuál). Se entrega a la contraparte sólo con el segundo sí de los dos | Ejecución del contrato |
| Teléfono | Se pide recién cuando la persona confirma un contacto por segunda vez, y sirve para una sola cosa: entregárselo a la contraparte en ese momento. No se verifica y no se usa para avisar nada | Ejecución del contrato |
| Qué versión del estatuto, de los términos y de la frase de consentimiento aceptó, y cuándo | Es la prueba de qué reglas rigen para esa persona | Obligación legal y ejecución del contrato |
| Qué agente autorizó y cuándo | Cuando un miembro conecta un asistente de inteligencia artificial, queda anotado el nombre con el que ese cliente se presentó y la fecha. Nada de lo que la persona conversa con su agente | Ejecución del contrato |
| Las intenciones que declara: los casilleros estructurados (por ejemplo zona, sector, rango de monto) y el texto libre que quiera agregar | Los casilleros los lee el motor, porque sin leerlos no puede cruzarlos. El texto libre no se cruza, no se muestra a nadie y no se lee con ningún modelo de lenguaje. Hoy el texto libre se guarda sin cifrar del lado del cliente; el cifrado es trabajo pendiente (estatuto 2.2) | Ejecución del contrato. Si la persona incluye en el texto libre datos que su ley considere sensibles, lo hace por decisión propia y eso constituye su consentimiento explícito a que se guarden como se describe; recomendamos no incluirlos |
| Las coincidencias y en qué paso están, incluido si una parte la abandonó | Para llevar las etapas. A la otra parte nunca se le dice quién era ni si se fue | Ejecución del contrato |
| De cada aviso por correo, que salió y cuándo | Para no avisar dos veces. No el texto, que es el mismo para todos | Ejecución del contrato |
| La dirección IP y el navegador de cada sesión, atados a la cuenta | Los guarda el proveedor de autenticación (Supabase) por seguridad: detectar accesos anómalos y sesiones robadas. Inectia no los usa para nada más, y no los muestra a nadie | Interés legítimo en la seguridad del servicio |
| La dirección IP de quien llama al servidor público sin cuenta | Sólo en memoria y sólo para limitar cuántas llamadas por minuto acepta ese servidor. No se escribe en ninguna base y se olvida al cerrarse la ventana de tiempo | Interés legítimo en que el servicio siga en pie |
| Un contador de por qué puerta entra la gente (un agente o la web) | Saber si el canal funciona. Sólo el total, sin fecha ni persona | No es dato personal |
| Los correos que la persona nos escribe a info@inectia.com | Para contestarle | Interés legítimo en atender a quien escribe, y obligación legal cuando ejerce un derecho |
Lo que no se guarda: documentos de identidad, nombre, empresa, motivo de la búsqueda, historial de intenciones vencidas o retiradas, contenido de las conversaciones con el agente, país o ubicación declarada, y ningún dato de navegación con fines de análisis o publicidad.
Las intenciones viven separadas de la identidad: la tabla donde están no tiene el correo ni el teléfono de quien las declaró, sino un seudónimo por miembro y por nodo. Volver a unirlos exige una operación deliberada que ocurre en un solo lugar del sistema y sólo al confirmar un contacto (estatuto 2.4).
Sobre las decisiones automatizadas. El emparejamiento es automático: un motor determinístico compara los casilleros de cada intención con los de las demás bajo reglas publicadas junto con el vocabulario de cada nodo (estatuto 7). No hay perfilado con fines comerciales ni publicitarios, no se infiere nada que la persona no haya declarado, y una coincidencia no produce efectos jurídicos: es una constatación de compatibilidad que las dos personas pueden ignorar. Ningún modelo de lenguaje de la operadora interviene (estatuto 2.6).
3. De dónde salen los datos
De la propia persona, directamente o a través del agente que autorizó. Si elige entrar con Google, Google le entrega a Inectia el correo de la cuenta y nada más. Inectia no compra, no recibe ni cruza datos de terceros, de corredores de datos ni de otras fuentes.
4. Con quién se comparten
Con nadie, salvo lo que hace falta para que el servicio exista:
- La contraparte de una coincidencia, y sólo después de que las dos personas dicen que sí dos veces. Primero, unos pocos casilleros en tramos gruesos que cada uno eligió mostrar (la tarjeta); después, el correo y el teléfono. Nunca el texto libre. Lo que la contraparte haga con ese correo y ese teléfono después queda fuera del control de Inectia, y los términos le prohíben revelarlos a terceros.
- Encargados del tratamiento (processors) que operan por cuenta de Inectia, bajo contrato, y que no pueden usar los datos para nada propio:
- Supabase — base de datos y autenticación. Servidores en Estados Unidos, región este (Ohio).
- Vercel — alojamiento de la aplicación y DNS. Estados Unidos.
- Resend — envío de los correos de aviso. De cada envío guarda a quién, cuándo y el texto (que es el mismo para todos), con la retención más corta que permite. Los dos correos de una coincidencia salen seguidos, así que en ese registro las dos partes quedan una al lado de la otra (estatuto 5.4).
- Google — únicamente si la persona elige entrar con Google. En ese caso Google se entera de que la persona entró a Inectia; quien no quiera decírselo tiene el código por correo.
- El proveedor del agente que la persona usa (por ejemplo Anthropic u OpenAI) ve lo que la persona le dice a ese agente, como con cualquier otra cosa que le diga. Eso no pasa por Inectia, no lo controla Inectia, y se rige por la política de ese proveedor.
- Una autoridad, si una ley, una orden judicial o un requerimiento válido lo exige, y sólo en la medida en que lo exija. Inectia evalúa cada pedido y lo resiste cuando cree que es improcedente. Y hay que decir qué habría para entregar: las intenciones activas y los datos de cuenta de la sección 2, y nada más — no existe un historial de lo que cada persona buscó, porque las intenciones se borran al vencer (estatuto 2.1).
- Un sucesor de la operadora, si Inectia se vende, se fusiona o cambia de dueño, con la condición de que asuma frente a cada miembro los compromisos del estatuto en la versión que ese miembro aceptó (estatuto 2.5).
No se venden datos, no se ceden a terceros para sus fines, no se comparten para publicidad, y no hay publicidad (estatuto 12). Inectia no corre modelos de lenguaje sobre lo declarado ni recibe nada de ningún proveedor de agentes (estatuto 2.6).
5. Transferencias internacionales
Los datos se alojan en Estados Unidos, donde está la operadora y donde están sus encargados. Para una persona que vive fuera de Estados Unidos, eso es una transferencia internacional. Cómo se protege, según de dónde venga:
- Desde el Espacio Económico Europeo, el Reino Unido y Suiza: con cada encargado rige un contrato de tratamiento de datos que incorpora las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (y su anexo para el Reino Unido), y, donde el encargado está certificado, el Marco de Privacidad de Datos UE–EE. UU. (Data Privacy Framework). La operadora misma, al estar en Estados Unidos, se obliga por contrato con cada miembro a tratar sus datos como dice esta política y el estatuto.
- Desde la Argentina: Estados Unidos no figura entre los países con protección adecuada según la autoridad argentina. La transferencia se hace con el consentimiento informado de la persona, que la acepta al entrar sabiendo dónde se alojan los datos, y bajo cláusulas contractuales con los encargados equivalentes a las del modelo de la Disposición 60-E/2016.
- Desde Brasil: con cláusulas contractuales conforme al artículo 33 de la LGPD y el consentimiento específico de la persona.
- Desde cualquier otro país: con el consentimiento de la persona al entrar y las mismas cláusulas contractuales con los encargados.
En todos los casos, lo que protege de fondo es lo mismo: los datos son pocos, viven separados de la identidad, vencen y se borran.
6. Por cuánto tiempo
| Dato | Cuánto vive |
|---|---|
| Cada intención | Hasta su fecha de vencimiento, de 180 días como máximo. Al vencer se borra: no se archiva ni se anonimiza. Una intención retirada por la persona se borra en minutos |
| Una coincidencia, su estado y el registro de sus avisos | Lo que viven las intenciones que la formaron. Con ellas se borra |
| Correo, teléfono, aceptación de los documentos, permiso del agente | Mientras la persona sea miembro, y hasta 30 días después de que se va |
| IP y navegador de cada sesión | Mientras la sesión esté viva en el proveedor de autenticación; se borra al cerrar sesión o al vencer la sesión, y en todo caso con la baja de la cuenta |
| Los correos que la persona nos escribe | Hasta un año después de cerrado el asunto |
| Registros técnicos de los proveedores (Vercel, Supabase, Resend) | Los plazos cortos propios de cada proveedor, que no controlamos |
| Si Inectia cierra | Todos los datos se eliminan, con 60 días de aviso, y cada miembro recibe su reputación y sus intenciones activas exportadas (estatuto 2.5) |
7. Qué puede hacer la persona
Sobre sus propios datos, cualquier miembro, en cualquier país, puede:
- Ver lo que declaró, sus coincidencias y su tarjeta, en la web, con su cuenta.
- Pedir una copia de todos los datos que Inectia tiene sobre él (acceso).
- Corregir un dato inexacto (rectificación). El correo y el teléfono se corrigen desde la cuenta; una intención se corrige a través del agente, con el límite de ediciones que fija el estatuto (3.2).
- Retirar una intención en cualquier momento, a través de su agente o por correo.
- Elegir qué casilleros muestra su tarjeta, por nodo.
- Pedir que se borren sus datos (supresión), o irse (sección 8).
- Recibir sus datos en un formato que pueda llevarse (portabilidad).
- Pedir que un tratamiento se limite o se detenga, y oponerse a un tratamiento basado en interés legítimo.
- Retirar un consentimiento que haya dado, sin que eso afecte lo hecho antes.
- Reclamar ante la autoridad de protección de datos de su país. En la sección 13 están las de cada región.
Cómo se ejerce. Escribiendo a info@inectia.com desde el correo registrado como cuenta. Para confirmar que el pedido es de la persona y no de alguien que conoce su correo, Inectia le manda un link firmado, único y de un solo uso, igual al de las confirmaciones; el pedido se atiende cuando lo abre. No se pide documento de identidad, porque Inectia no los guarda ni quiere guardarlos (estatuto 5.4). Se contesta dentro de los 30 días; si un pedido es complejo, se avisa dentro de ese plazo cuánto más va a tardar. Es gratuito, salvo pedidos repetitivos o manifiestamente infundados.
Lo que una respuesta nunca incluye: nada sobre otra persona. Si un miembro pide sus datos, recibe los suyos; de una coincidencia recibe su propia parte, y ni el seudónimo, ni las fechas, ni el estado de la contraparte, ni si ésta se fue. Es la misma regla del estatuto 3.2, y un pedido de acceso no la abre.
Lo que el borrado no alcanza, y hay que decirlo: si la persona ya llegó al contacto con otro miembro, ese miembro tiene su correo y su teléfono, y Inectia no puede recuperarlos; y los registros de los proveedores viven sus propios plazos cortos.
8. Irse
En cualquier momento y sin penalidad. Se va con sus intenciones activas y su reputación; el resto se elimina dentro de los 30 días (estatuto 6.1).
Todavía no hay una pantalla para darse de baja: se pide por correo a info@inectia.com desde el buzón registrado, y la operadora borra la cuenta y sus datos dentro de ese plazo. La exportación firmada de la reputación y de las intenciones tampoco existe todavía. El estatuto dice por qué eso es peor que un botón, y por qué está entre lo primero que falta construir (estatuto 6.1 y 11).
9. Seguridad
La autenticación es de Supabase, con códigos por correo o Google. El agente actúa con un permiso que la persona da una vez en su navegador y puede cortar quitando el conector. Las confirmaciones de contacto son links firmados, únicos y de un solo uso, que sólo la persona abre. La base tiene una frontera que impide a la aplicación leer más de lo que cada operación necesita, y nadie que tenga acceso a ella puede reconstruir quién declaró qué sin la operación deliberada de la sección 2. Los datos viajan cifrados en tránsito y se guardan cifrados en reposo por el proveedor; el texto libre de las intenciones no está cifrado del lado del cliente todavía (estatuto 2.2).
Si ocurre una brecha de seguridad que afecte datos personales, Inectia avisa a las personas afectadas y a las autoridades que corresponda sin demora indebida y dentro de los plazos que fije la ley de cada lugar (72 horas a la autoridad en la Unión Europea), diciendo qué pasó, qué datos toca y qué se hizo. Un problema de seguridad se reporta a info@inectia.com y se atiende con prioridad.
10. Cookies y sesión
La web usa únicamente la cookie de sesión necesaria para que la persona entre y siga adentro. No hay cookies de análisis, de publicidad ni de terceros, ni ningún rastreador. La portada no ejecuta ningún código y no pide recursos a otros dominios. Por eso no hay banner de cookies: no hay nada que consentir.
11. Edad mínima
Inectia es para mayores de 18 años. No se recolectan a sabiendas datos de menores; si se detecta una cuenta de un menor, se elimina. Un padre, madre o tutor que crea que un menor tiene cuenta puede escribir a info@inectia.com.
12. Cambios
Esta política tiene número de versión y fecha, y para cada miembro rige la vigente el día que entró, hasta que acepte otra. Si cambia, se publica la versión nueva acá con su fecha, y a quien ya es miembro se le pide que la acepte —el mecanismo para pedirlo está por venir, y el estatuto lo dice (preámbulo de la sección 2)—. Ningún cambio se aplica en silencio a lo ya declarado (estatuto, preámbulo de la sección 2).
13. Suplementos regionales
Lo que cada ley exige decir con sus palabras. Agregan al cuerpo, no lo reemplazan.
13.1 Espacio Económico Europeo, Reino Unido y Suiza
- Bases jurídicas: las de la tabla de la sección 2, conforme al artículo 6.1 del RGPD: letra (b) para la ejecución del contrato, letra (c) para las obligaciones legales, letra (f) para el interés legítimo en la seguridad, y letra (a) —con el artículo 9.2.a cuando corresponda— para lo que la persona decide incluir por su cuenta.
- Derechos: los de la sección 7, que son los de los artículos 15 a 22 del RGPD, más el derecho a presentar una reclamación ante la autoridad de control de su Estado miembro (o ante el ICO en el Reino Unido, o el PFPDT en Suiza).
- Transferencias: sección 5.
- Representante en la Unión (artículo 27): la operadora no tiene todavía un representante designado en la Unión Europea ni en el Reino Unido. Se designa el día que la red tenga miembros allí en número que lo justifique, o antes si la ley lo exige; mientras tanto, el contacto es info@inectia.com y todos los derechos se atienden igual. Se dice porque es cierto, no porque esté bien.
- Delegado de protección de datos: no se designa por el tamaño y la naturaleza del tratamiento; el contacto para datos es el mismo correo.
13.2 Argentina
- Ley 25.326 de Protección de los Datos Personales y su decreto reglamentario. Autoridad: la Agencia de Acceso a la Información Pública (AAIP).
- Leyenda obligatoria: El titular de los datos personales tiene la facultad de ejercer el derecho de acceso a los mismos en forma gratuita a intervalos no inferiores a seis meses, salvo que se acredite un interés legítimo al efecto, conforme lo establecido en el artículo 14, inciso 3 de la Ley N° 25.326. La Agencia de Acceso a la Información Pública, órgano de control de la Ley N° 25.326, tiene la atribución de atender las denuncias y reclamos que se interpongan con relación al incumplimiento de las normas sobre protección de datos personales.
- Los pedidos de acceso se contestan dentro de los diez días corridos, y los de rectificación, actualización o supresión dentro de los cinco días hábiles, que son los plazos de la ley y más cortos que los de la sección 7.
- Transferencia internacional: sección 5. La persona consiente al entrar, informada de que los datos se alojan en Estados Unidos.
- Inscripción de la base de datos en el Registro Nacional de Bases de Datos: pendiente. Se dice porque es cierto.
13.3 Brasil
- Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018). Autoridad: la ANPD.
- Encarregado (artículo 41): el canal de contacto es info@inectia.com; por el tamaño del tratamiento la operadora se acoge al régimen de agentes de tratamiento de pequeño porte.
- Derechos: los de la sección 7, que corresponden a los del artículo 18 de la LGPD, incluido el derecho de petición ante la ANPD.
- Transferencias: sección 5.
13.4 Estados Unidos
- Inectia no vende ni comparte datos personales para publicidad dirigida, no los usa para perfilado con efectos legales o similares, y no trata datos sensibles salvo los que la persona decida incluir en su texto libre. No existe, por lo tanto, opción de «no vender ni compartir mis datos» que activar: no hay nada que desactivar.
- Por su tamaño, Inectia está por debajo de los umbrales de aplicación de las leyes estaduales de privacidad (California, Virginia, Colorado y las demás). Igual reconoce a todo residente de Estados Unidos los derechos de la sección 7, y no discrimina a nadie por ejercerlos.
- En caso de brecha, avisa conforme a la ley del estado de residencia de cada persona afectada.
13.5 Otros países
Los derechos de la sección 7 valen para todos. Donde la ley del país de la persona reconozca uno más, o un plazo más corto, se respeta ese.
14. Contacto
Godshot, LLC, 600 N Broad Street, Suite 5 #364, Middletown, Delaware 19709, Estados Unidos. Correo: info@inectia.com.