Qué guardamos y qué nunca nos llega

Tu aprobación antes de enviar nada

Tu IA debe guardar en tu poder cada registro candidato completo y preguntarte antes de enviar el texto de cualquier decisión.

Formato estricto del borrador

Si un borrador lleva citas o ubicaciones de las fuentes, se rechaza cuando tu IA lo entrega. Tus propios casos pasan.

Códigos de un solo uso

Los códigos de ocho caracteres tienen un límite de intentos, y cada uno entrega un borrador una sola vez. Se puede volver a pegar durante quince minutos, por si la página no llegó a cargar; después deja de funcionar. Studio lo envía por POST, así que no viaja en ninguna URL que quede registrada.

Análisis automático

La publicación bloquea correos, URL, credenciales, números de teléfono y marcas de confidencialidad evidentes.

Tu confirmación

No puedes publicar, ni abrir a todo el mundo un modelo privado o de un espacio de trabajo, sin confirmar que cada campo está autorizado.

Se quitan otra vez antes de cada respuesta

Antes de que cualquier respuesta salga de avva, se vuelven a quitar las citas de las fuentes y sus ubicaciones.

Qué envía tu IA

Una propuesta que tu IA envía por MCP, o a través de una vista previa, se usa solo para esa respuesta y no se guarda. El hook de push del plugin de Claude Code envía hasta 8000 caracteres del diff, más la lista de archivos modificados y si se ejecutó en CI, con la misma regla.

Inicio de sesión

Dos formas de entrar, y una sola cuenta con cualquiera de ellas: Google o un enlace de un solo uso a tu correo de trabajo. En ambos casos guardamos:

• un identificador de cuenta, tu correo y una marca de correo verificado;
• el nombre visible y la URL de la imagen de perfil que devuelve Google, si entraste por esa vía;
• cookies de sesión y tokens de OAuth cifrados para que sigas con la sesión iniciada;
• si entras con un enlace, un token de un solo uso, guardado como hash, que caduca en 15 minutos y se borra al usarse;
• para evitar que se sature un buzón, un recuento de cada enlace enviado, registrado con un hash unidireccional de la dirección calculado con un secreto, durante 2 días.

Nunca se crea ni se guarda una contraseña, y no hay ningún formulario de nombre y apellidos. Cómo apareces públicamente como experto lo eliges tú en un campo de Studio; no es tu perfil de inicio de sesión.

Tu perfil de experto

Un perfil por cuenta, todo opcional y todo público a propósito: una foto, un titular, una biografía breve, los cargos y las empresas que indiques, tu LinkedIn y, si quieres, un enlace para pedirte una consulta. Se guarda una vez y se muestra en todos los modelos que publiques; para eso está. Lo editas una vez y no tienes que volver a publicar.

Nada de esto se toma de tu inicio de sesión: no copiamos tu nombre ni tu foto de Google en ninguna página. Si vacías un campo, deja de aparecer; si eliminas la cuenta, el perfil se borra con ella. El mismo análisis de privacidad que controla la publicación se ejecuta cada vez que guardas, porque este texto también va en una página pública.

Probar sin cuenta

La prueba no necesita cuenta y no recoge ninguna dirección de correo. Lo que sí se anota es el mismo recuento por origen, por modelo y por día que se describe más abajo, en Contadores de solicitudes, porque con él se mide el cupo diario (40 solicitudes al día por modelo). Cuando se agota, se avisa a tu IA y el recuento se reinicia a las 00:00 UTC.

Acceso completo y tu clave de conexión

El acceso completo requiere una cuenta de avva, así que la dirección de correo que se usa es la que ya figura en ella. No hay que escribir nada más, y aquí no se recoge nada que la cuenta no tuviera ya. Se guarda aparte, como contacto: nunca se vincula a la clave ni a ninguna solicitud que haga tu IA.

Te enviamos la clave a esa dirección para que la tengas aunque cierres la pestaña; ese único mensaje no es una lista de correo. Los anuncios son otra cosa:

• una casilla aparte y sin marcar, con su propia lista;
• cada uno de esos correos lleva una opción para darte de baja con un solo clic;
• las direcciones recogidas antes de que existiera esa casilla nunca se agregan a esa lista;
• Puedes pedir la eliminación en cualquier momento escribiendo a support@avva.chat; la clave sigue funcionando, porque la dirección y la clave no están vinculadas;
• las direcciones de una etapa anterior de la beta que estaban en el registro de la clave se pasaron a esta misma lista y se borraron de las claves.

El propio registro de la clave (avk_…) guarda:

• un hash de la clave y la hora en que se emitió;
• las fechas en que se usó por primera vez y en que se volvió a usar;
• los días en que pidió una revisión por primera vez y en que volvió a pedirla, guardados dos veces: para cualquier revisión y solo para las revisiones que tu IA decidió hacer (no las del hook de push ni las de un modelo de referencia), junto con el último día en que el hook de push pidió una;
• cada día en que se obtiene una clave, un hash unidireccional de la cuenta y la fecha, para que una segunda pestaña no se cuente dos veces.

Esas fechas dicen si las claves llegan a usarse dos veces, y nada sobre lo que se preguntó. Van con la clave: se borran cuando la revocas, y un proceso diario las borra cuando caduca, 90 días después de emitirse.

Claves de organización

Una clave emitida en la página de un espacio de trabajo registra a qué miembro se emitió. Así, el propietario puede cortar el acceso de alguien cuando se va: el acceso termina con la pertenencia al espacio, sea cual sea la caducidad de la clave, y por eso una clave de espacio de trabajo dura 365 días, no 90.

Por cada miembro se registra si ha usado el espacio de trabajo, un sí y nunca una fecha, y el día de su primera revisión, hasta que una revisión en un día posterior lo convierte en un segundo sí. Nada sobre lo que se preguntó; ambos datos se borran con la pertenencia al espacio. Las claves personales siguen funcionando por simple posesión.

Qué guarda un espacio de trabajo

Su nombre, su propietario, las direcciones a las que invitó el propietario (escritas antes de que esas personas acepten nada), el rol de cada miembro y la fecha en que se unió por primera vez, qué modelos permitió el propietario hacer públicos y si el autor de un modelo lo pidió. Cuando se quita a un miembro, su dirección se borra junto con su pertenencia. El resto se borra al cerrar el espacio de trabajo.

Contadores de solicitudes

Cada solicitud MCP se cuenta dos veces, en el servidor y sin que intervenga ningún navegador, y cada llamada a una herramienta que recibe respuesta se notifica además como se explica en Analítica de producto, más abajo:

• una vez para un límite diario, con un hash unidireccional de su origen (la clave, la dirección de red o el inicio de sesión desde una aplicación), calculado con un secreto que solo tiene nuestro servidor. Ese hash es lo que cuenta el límite, y nunca se guarda junto a los datos de los que se obtuvo;
• otra vez para el modelo, para que su propietario pueda ver si alguien lo ha usado;
• y cada una se cuenta una vez al día por tipo de aplicación, con el mismo hash;
• para un inicio de sesión desde una aplicación sin clave, el último día en que pidió una revisión y si volvió otro día posterior, con el mismo hash; se borra 90 días después de ese día.

A partir del primero, le mostramos al propietario cuántos orígenes distintos han llegado a su modelo. Es un recuento y solo un recuento, nunca una lista, y un origen es una clave, una red o un inicio de sesión, no una persona. Ninguno de los dos contadores guarda tu pregunta, nuestra respuesta ni tu correo, y ninguno se vincula a ellos.

Los recuentos diarios de solicitudes no nombran a nadie:

• el tamaño de las respuestas, en cuatro franjas, por herramienta y nivel de acceso;
• cuántas solicitudes pidieron casos concretos (nunca cuáles);
• los rechazos, por motivo;
• los inicios de sesión desde aplicaciones empezados y terminados, por proveedor, según la dirección de retorno de la aplicación;
• como no hay nadie en ellos a quien borrar, se guardan hasta que limpiamos nuestra analítica.

Un proceso diario borra los registros por origen: el del cupo diario se guarda 90 días, porque el recuento de orígenes que ve el propietario abarca ese periodo, y los de nuestros límites contra el exceso de solicitudes, el recuento diario de aplicaciones y el recuento diario de sesiones de Studio iniciadas, 2 días. El recuento por modelo no nombra a ningún origen y se conserva, para que el propietario pueda ver el historial de su modelo; lo borramos si se nos pide.

La primera vez que alguien con acceso completo usa un modelo publicado, enviamos un correo a su propietario, una sola vez, para decirle que ha ocurrido. Ese correo no lleva ninguna clave, ninguna dirección de red, ninguna pregunta ni nada sobre quién eres (eso no lo sabemos). Lo que guardamos es una marca por modelo de que el correo se envió, para no enviarlo nunca dos veces.

Analítica de producto

Nuestros servidores comunican algunos pasos a N1 Hub, la herramienta de analítica que gestiona nuestro propio equipo, para saber si quienes usan avva vuelven. No interviene ningún navegador. Se envía un evento cuando:

• un paso de Studio termina o se rechaza: el nombre del paso y, si se rechaza un modelo, el motivo, tomado de una lista cerrada. No identifica a nadie, porque Studio no necesita cuenta;
• una cuenta con la sesión iniciada publica un modelo u obtiene una clave: el nombre del paso y un hash unidireccional del identificador de la cuenta, calculado con un secreto que solo tiene nuestro servidor;
• tu IA llama a una de las herramientas de un modelo: qué herramienta, si la llamada llevaba clave, si el modelo es un modelo de referencia y si la envió el hook de push. Con una clave de acceso completo lleva también un hash de la clave, calculado del mismo modo y distinto del que usa el límite diario, y si una revisión llegó un día posterior al de la primera revisión de esa clave.

Una llamada sin clave no lleva nada que distinga a un origen de otro, y nunca se identifica una clave de un espacio de trabajo ni tu propia clave de prueba. Ningún evento lleva un correo, el nombre o la dirección del modelo, tu pregunta, nuestra respuesta, un caso ni el tipo de enlace que te trajo.

N1 Hub guarda un hash con sal del hash que enviamos y borra cada evento a los 13 meses, conservando solo totales diarios que no identifican a nadie; una vez borrada la clave o la cuenta, no guardamos nada que permita volver a vincularlos con ella. El interruptor de medición de más abajo no afecta a estos eventos, porque ninguna página los envía; escríbenos si quieres oponerte.

Duración de los procesos

Studio registra cuánto tardan la búsqueda, la construcción del modelo y la publicación, como un recuento en cuatro tramos amplios, desde menos de quince minutos hasta más de noventa.

Solo guarda ese recuento: una cifra por día, por paso y por tramo, sin hora de inicio ni de fin, sin código de sesión, sin modelo y sin nada que vincule una duración a una persona. Existe para que el primer paso de Studio pueda decir con honestidad cuánto tiempo lleva el proceso.

Modelos publicados

El modelo de decisión terminado, incluidos tus propios casos, asociado a tu identificador de usuario. Las citas de las fuentes no se publican ni se conservan; tu IA deja fuera los nombres de clientes y empleadores, y tú revisas cada caso.

Los modelos privados y de organización se ocultan a todos los demás usuarios y se deniegan a cualquier clave que no sea la suya. A nosotros no se nos ocultan: el operador de avva puede abrir cualquier modelo publicado desde el panel de administración, y cada lectura queda registrada. Enviamos un correo al propietario de un espacio de trabajo:

• cuando un modelo sale del espacio de trabajo: qué modelo, nunca adónde fue;
• una sola vez cada uno, cuando llega el primer modelo que publicó un miembro y cuando un miembro lo usa por primera vez: qué modelo y cuántos tiene el espacio de trabajo, nunca qué miembro.

Marca “Recordarme cada mes que agregue decisiones” en un modelo público o accesible solo con enlace y te enviaremos un correo como mucho una vez cada 30 días: su número de solicitudes y dónde encontrar su prompt de actualización. Guardamos la marca y la fecha del último recordatorio; quita la marca para dejar de recibirlos.

Qué guardamos si pides un área

Debajo del catálogo, en la página de expertos, puedes indicar un área en la que todavía no ha publicado nadie. Guardamos el correo que escribes, el área y la fecha, y nada más: no se le vincula ninguna cuenta, ninguna clave ni ninguna solicitud de tu IA. Se usa para un único correo, cuando se publique un modelo de decisión en esa área, y nunca para marketing ni para nuestros anuncios.

El registro se borra 365 días después de tu petición. Puedes pedir que lo borremos en cualquier momento escribiendo a support@avva.chat; si eliminas tu cuenta, también se borra.

Conservación y eliminación

Los registros de la cuenta y los modelos que te pertenecen se conservan hasta que eliminas la cuenta o hasta que los retiramos por abuso o por cierre del servicio. Las cookies de sesión caducan; los códigos de borrador, los identificadores aleatorios y el pase de un solo uso para publicar un borrador caducan en cuestión de días.

Si dejas de publicar un modelo, dejamos de servirlo, y puedes volver a publicarlo. Si lo eliminas, borramos de nuestro almacenamiento el modelo y todas sus versiones anteriores, y no se puede deshacer. Las direcciones públicas quedan reservadas, así que un enlace nunca acaba apuntando a otra persona. Una copia que alguien ya haya hecho de una página pública o de una respuesta MCP no se puede retirar.

Qué se ejecuta

Dos contadores de visitas: Google Analytics 4 y Yandex Metrica. La URL de la página, la página de procedencia, datos generales del dispositivo y del navegador, y una ubicación aproximada deducida de tu IP; Metrica, además, registra dónde se hace clic en una página y qué enlaces externos se siguen. Google trunca tu IP al recogerla, Yandex la recibe completa y avva nunca la recibe. Los dos se cargan desde un archivo de este sitio, lo que permite que la política de seguridad de contenido siga bloqueando los scripts en línea.

EEE, Reino Unido y Suiza

En esos países, el almacenamiento de analítica está denegado por defecto: el contador de Google sigue informando, sin cookies, hasta que respondas a la pregunta de consentimiento al pie de la página. Si la ignoras, no cambia nada: no se guarda ningún identificador en tu dispositivo y Google solo recibe señales agregadas. Yandex Metrica no puede funcionar sin su cookie, así que, si la zona horaria de tu dispositivo es de cualquier parte de Europa, no se carga hasta que aceptes. El almacenamiento publicitario está denegado en todas partes y para todo el mundo.

What the visit counters see

No grabamos sesiones de ningún tipo. Studio, el panel, los espacios de trabajo de empresa y el panel del operador no cargan ningún contador cuando la visita empieza en ellos, y un enlace al espacio de trabajo de una empresa dentro del catálogo se registra como /experts, sin el nombre de la empresa. Si se llega a ellos con un clic desde una página en la que ya funciona un contador, se registran por su dirección, como cualquier otro cambio de página.

El contenido de los borradores, el texto de las decisiones, los campos del modelo y las respuestas MCP nunca se envían a ninguno de los dos contadores. Ven qué página se cargó y, en el caso de Metrica, dónde hiciste clic en ella, nunca lo que está escrito. Las solicitudes que tu IA hace por MCP tampoco pasan por ellos: van de servidor a servidor, sin ningún navegador de por medio.

Las cookies en sí

Al iniciar sesión se crean una cookie de sesión HttpOnly y una cookie CSRF. Google agrega _ga fuera del EEE, el Reino Unido y Suiza; Metrica agrega _ym_uid, _ym_d y cookies _ym de corta duración fuera de Europa, y Yandex crea las suyas en su propio dominio. En Europa, los dos esperan tu sí. Ninguna se usa para publicidad. Sin un sí, la base jurídica es nuestro interés legítimo en saber si alguien usa el producto. Puedes rechazarlas más abajo o con cualquier bloqueador de contenido.

De dónde vienes

Este navegador guarda, en avva-src, el tipo de enlace que te trajo aquí la primera vez, como un buscador, un anuncio, LinkedIn o un correo, y en avva-cmp la campaña que nombraba ese enlace. Ambos se envían solo cuando inicias sesión, obtienes una clave o publicas un modelo; contamos las claves y los modelos por enlace y por campaña, y guardamos el primer par con tu cuenta hasta que se borre. Donde pedimos permiso primero, esperan a que digas que sí. Si desactivas la medición, se borran los dos.

Responsable del tratamiento y contacto

avva es una beta independiente dirigida por su fundador, que es el responsable del tratamiento de los datos descritos aquí. Escribe a support@avva.chat. Respondemos en un plazo de 30 días.

Qué puedes pedir

Una copia de lo que tenemos sobre ti, la rectificación, la supresión, la limitación, la oposición al tratamiento basado en el interés legítimo y la portabilidad cuando proceda. Desde el panel puedes eliminar tu cuenta sin pedírnoslo.

Encargados del tratamiento

Netlify (alojamiento, funciones, almacenamiento y base de datos), Google (inicio de sesión y analítica), Yandex (el segundo contador de visitas, Metrica), Mailtrap (envío de los correos descritos arriba) y N1 Hub (la analítica de producto descrita arriba, que gestiona nuestro propio equipo en Netlify). Netlify y Google operan en Estados Unidos; Mailtrap está en la Unión Europea. Nadie más recibe tus datos, y avva no vende nada a nadie.

Reclamaciones, menores y brechas de seguridad

Puedes presentar una reclamación ante la autoridad de protección de datos del lugar donde vives o trabajas. avva no es para menores de 16 años. Si una brecha de seguridad afecta a tus datos, te lo notificamos a ti y a la autoridad competente, como exige la ley. Tus fuentes nunca se nos envían. Los casos que apruebas sí se guardan: como borrador durante un máximo de 7 días y, después, como tu modelo, hasta que lo elimines.

Solicitudes sobre privacidad: support@avva.chat. Términos legales: Condiciones de uso.