Seguridad y privacidad
Consulta dónde están tus datos
Cuatro preguntas que toda revisión de seguridad hace primero.
- ¿Dónde están los contenidos?
- En regiones europeas, la aplicación en Fráncfort.
- ¿Quién trata fuera de la UE?
- Cuatro servicios: Clerk, Stripe, Resend, Voyage AI.
- ¿La IA se entrena con eso?
- No. Nosotros no, y los proveedores tampoco por contrato.
- ¿Hay algún certificado?
- ISO 27001 y SOC 2 en proceso de certificación, pruebas de penetración en curso.
El recorrido de un mensaje
Widget
Sale del navegador por TLS. Sin fuentes externas, sin scripts externos.
Aplicación
fra1
Comprueba la pertenencia al espacio de trabajo.
Base de datos
europe-west3
Conversaciones, conocimiento, cuentas. La copia de referencia.
Agente de IA
Vertex eu
Formula la respuesta e indica la fuente.
Búsqueda semántica
USA
Solo si está configurada. Recibe los propios contenidos del conocimiento.
Notificación
USA
Contiene extractos literales de la conversación.
Los archivos adjuntos están en el almacenamiento de la misma región europea, la actualización en directo se ejecuta en europe-west1.
Dónde están los datos
Nueve proveedores de servicios. Cinco en la UE, cuatro en Estados Unidos.
Unión Europea
5Conversaciones, conocimiento, archivos y la respuesta de IA.
Google Cloud SQL (PostgreSQL)
Base de datos
Google Cloud Storage
Archivos adjuntos y logotipos
Google Firebase Realtime Database
Actualización en directo de las conversaciones abiertas
Anthropic (Claude) über Google Vertex AI
Generación de las respuestas de IA
Vercel
Explotación y entrega de la aplicación
Estados Unidos
4Inicio de sesión, pago, envío de correo, búsqueda semántica.
Clerk
Inicio de sesión y cuentas
Stripe
Pagos y suscripciones
Voyage AI
Embeddings para la búsqueda de conocimiento, solo si está configurado
Resend
Envío de correos electrónicos transaccionales al equipo
El texto literal, tal como lo recogen también el contrato de encargo del tratamiento y la Política de privacidad
Los contenidos permanecen en la UE. Las conversaciones, la base de conocimiento y las cuentas se encuentran en la región de base de datos europe-west3 (Fráncfort), los archivos adjuntos y los logotipos en el almacenamiento de archivos de la misma región, la actualización en directo de las conversaciones abiertas se ejecuta en europe-west1, y el agente de IA responde desde la multirregión Vertex eu; los modelos auxiliares para las líneas de asunto y el análisis de documentos se ejecutan en europe-west1. La región del almacenamiento de archivos se comprobó el 7 de agosto de 2026 en los buckets utilizados; todas las demás constan en la configuración del despliegue.
Cuatro servicios tratan datos fuera de la UE, concretamente en los Estados Unidos: Clerk para el inicio de sesión, las cuentas y las sesiones, Stripe para la tramitación de los pagos, Resend para el envío de las notificaciones al equipo — estas contienen extractos literales de conversaciones — y Voyage AI para los embeddings de la búsqueda semántica, que para ello recibe los contenidos de conocimiento. Estas transferencias se basan en las cláusulas contractuales tipo de la Comisión Europea; qué versión y qué evaluación de impacto se aplica a cada proveedor lo establece el contrato de encargo del tratamiento. La explotación de la propia aplicación corresponde a Vercel, un grupo estadounidense; la región de entrega de este despliegue no está medida y allí también está marcada como punto pendiente.
Los nueve con su finalidad y región de tratamiento
Proveedor de servicios
Para qué
Región de tratamiento
- ClerkTercer país
Inicio de sesión y cuentas
Estados Unidos — transferencia a un tercer país sobre la base de las cláusulas contractuales tipo. Se transfieren el nombre, la dirección de correo electrónico y los datos de sesión de los miembros del equipo.
- StripeTercer país
Pagos y suscripciones
Estados Unidos — transferencia a un tercer país sobre la base de las cláusulas contractuales tipo. Se transfieren los datos de facturación y de pago del cliente.
- Google Cloud SQL (PostgreSQL)
Base de datos
europe-west3 (Fráncfort) según la configuración de instancia utilizada; comprobado en el entorno de desarrollo.
- Google Cloud Storage
Archivos adjuntos y logotipos
EUROPE-WEST3; comprobado el 7 de agosto de 2026 en los buckets utilizados. A diferencia de las demás regiones, este valor no consta en ninguna configuración del código fuente — GCS_UPLOAD_BUCKET solo indica el nombre del bucket.
- Google Firebase Realtime Database
Actualización en directo de las conversaciones abiertas
europe-west1 según la URL de base de datos utilizada; comprobado en el entorno de desarrollo.
- Anthropic (Claude) über Google Vertex AI
Generación de las respuestas de IA
El agente de soporte se ejecuta en la multirregión Vertex eu y los modelos auxiliares en europe-west1; ambos valores constan en la configuración del despliegue (CLOUD_ML_REGION y CLOUD_ML_REGION_UTILITY).
- Voyage AITercer país
Embeddings para la búsqueda de conocimiento, solo si está configurado
Estados Unidos — transferencia a un tercer país sobre la base de las cláusulas contractuales tipo. Se transfieren los propios contenidos de conocimiento, no solo un extracto de ellos.
- ResendTercer país
Envío de correos electrónicos transaccionales al equipo
Estados Unidos — transferencia a un tercer país sobre la base de las cláusulas contractuales tipo. Se transfieren las notificaciones junto con los extractos de conversaciones que contienen.
- Vercel
Explotación y entrega de la aplicación
Fráncfort del Meno (fra1). El proveedor es un grupo estadounidense, la ejecución de este despliegue tiene lugar en la UE.
Base contractual por proveedor: en el contrato de encargo del tratamiento.
Cifrado, separación, acceso
- En tránsito
- Todas las conexiones van por TLS.
- En reposo
- Cifrado estándar de los servicios de Google Cloud. No gestionamos claves propias.
- Separación de datos por cliente
- Cada acceso se comprueba en el servidor contra la pertenencia al equipo.
- Acceso por nuestra parte
- Solo con el principio de doble control, registrado, registros 30 días.
Qué hace la IA con tus contenidos
No analizamos tus contenidos para entrenar modelos propios. Los dos proveedores implicados se han comprometido por contrato a la misma exclusión: el proveedor del modelo a través de las condiciones de tratamiento de datos de Google Cloud, el proveedor de embeddings a través de las condiciones de uso de Voyage AI.
El agente responde desde tu base de conocimiento e indica la fuente. Si no encuentra nada, traspasa a una persona. No existe una cuenta de Anthropic; los modelos se ejecutan en el entorno de Google Cloud.
Eliminación y plazos
- 30 días
- Periodo de gracia tras la eliminación de un espacio de trabajo, revocable hasta el último día.
- 7 días
- Conservación de las copias de seguridad. Después, una conversación eliminada también desaparece de ahí.
- 1 año
- Conservación de los registros de operación, cifrados en nuestra nube interna.
- Por ley
- Datos de facturación conforme al § 147 AO y al § 257 HGB, restringidos en lugar de eliminados.
Las conversaciones y los artículos de ayuda individuales se pueden eliminar en cualquier momento en el producto.
Informar de una vulnerabilidad de seguridad
Escríbenos qué has encontrado y cómo se puede reproducir, antes de publicarlo.
info@comlayer.app- Acuse de recibo en un plazo de 2 días laborables, después una valoración.
- Ninguna acción legal contra una comunicación de buena fe que no extraiga datos ajenos.
- Si lo deseas, te mencionamos cuando la vulnerabilidad esté cerrada.
Contratos e información
Para un contrato de encargo del tratamiento, un cuestionario de seguridad cumplimentado o una información conforme al art. 15 RGPD basta con un correo a info@comlayer.app. No se ha designado un delegado de protección de datos, porque no alcanzamos los umbrales del § 38 BDSG.
Esta página resume nuestras medidas y no es una garantía jurídicamente definitiva. Los compromisos concretos los asumimos por contrato. Leer los Términos.