Política de privacidad

1. Quiénes somos

KIFF Cloud lo opera Kiff Agents OÜ, una sociedad de responsabilidad limitada constituida en Estonia. Datos registrales:

• Código de registro: 17372313 (Registro Mercantil electrónico de Estonia)
• Número de IVA: EE102924327
• Domicilio social: Tööstuse tn 75-71, Põhja-Tallinna linnaosa, Tallinn 10416, Estonia
• Contacto de privacidad: privacy@kiff.dev
• Notificaciones legales formales: legal@kiff.dev

Como Kiff Agents OÜ está establecida en la Unión Europea, el Reglamento General de Protección de Datos de la UE (RGPD) se aplica directamente a nuestro tratamiento. No necesitamos un representante en la UE conforme al artículo 27.

2. Alcance de esta política

Esta política cubre los datos personales que tratamos cuando interactúas con:

• kiff.dev: nuestro sitio de marketing, esta página de la política y las páginas públicas que muestran recibos.
• app.kiff.dev: nuestro panel, que requiere iniciar sesión.
• api.kiff.dev: nuestra API HTTP.
• tafs: nuestra app para iPhone, iPad y Android, y el servicio que hay detrás (incluidos Setup, que conecta las apps de una empresa, y planque, que guarda esas conexiones), en la que una empresa encarga una tarea a un agente de IA que trabaja dentro de Cards de KIFF.

Esta política no cubre el framework de código abierto kiff/kiff que puedes ejecutar por tu cuenta. Cuando ejecutas el framework en tu propia infraestructura, tú eres el responsable del tratamiento de los datos que trate, y Kiff Agents OÜ no interviene en ese tratamiento.

3. Nuestros papeles conforme al RGPD

Actuamos con dos papeles distintos según los datos:

• Responsable del tratamiento de los metadatos de la cuenta y del inicio de sesión, los datos de facturación (cuando la facturación está activa), las comunicaciones comerciales a las que te suscribes y la telemetría operativa de nuestro propio servicio.
• Encargado del tratamiento de los datos de auditoría, los registros de acciones, los recibos de decisión y demás contenido que pasa por el entorno de ejecución en nombre de nuestros clientes, y de lo que tafs guarda para ellos (las ejecuciones, los chats, los informes y las notas de memoria de cada taf). Los clientes (los inquilinos) son responsables del tratamiento de esos datos; nos dan instrucciones mediante los ajustes de su cuenta y la configuración de su dominio. El acuerdo de tratamiento de datos (DPA) regula esa relación; consulta la plantilla del DPA para ver las condiciones publicadas.

Esta política trata sobre todo de nuestro tratamiento como responsable. Cuando mencionamos datos que tratamos como encargado, el DPA es el documento más específico.

4. Categorías de datos personales que tratamos

Las categorías de abajo se corresponden con el inventario técnico de /es/security#data-we-process. Si ambos difieren, la página técnica es la referencia única y actualizamos esta sección para que coincida.

• Identificadores de la cuenta: tu sujeto de autenticación de origen (emitido por nuestro proveedor de identidad) y la dirección de correo con la que inicias sesión. Hoy se almacenan tal cual; está previsto guardarlos como hash en reposo.
• Metadatos del inquilino: el identificador del inquilino, su slug, su nombre visible, la marca de tiempo de creación y el idioma que usó por última vez la app de cada persona, para que los correos que KIFF le envía lleguen en ese idioma.
• Credenciales de API: registros opacos de claves de API (almacenamos hashes, nunca el texto claro).
• Datos de la cookie de sesión: una cookie de sesión firmada con HMAC que se instala tras iniciar sesión. Consulta la sección de cookies más abajo.
• Metadatos de las solicitudes HTTP: dirección IP, agente de usuario, ruta de la solicitud, estado de la respuesta, latencia. Se guardan en los logs de acceso de nuestro proxy inverso durante un periodo de conservación limitado, por seguridad y para prevenir abusos.
• Contenido controlado por el inquilino: los datos de parameters, actor y entity que envías al entorno de ejecución. Los guardamos como encargado del tratamiento en nombre del cliente; el cliente es responsable de lo que se envía. Está prevista una configuración de ocultación por dominio.
• Comunicaciones: los correos que envías a nuestros buzones de soporte, ventas, seguridad o privacidad.
• La app de tafs: inicias sesión en tafs con tu cuenta de KIFF. La app guarda tu sesión en el Keychain del dispositivo (en Android, en su almacenamiento cifrado). Crea una clave de firma en el Secure Enclave del dispositivo (en Android, en su Keystore), que nunca sale del dispositivo; KIFF guarda su mitad pública y el nombre del dispositivo, para poder comprobar tus respuestas a las llamadas retenidas y tus aprobaciones de conexiones. Si activas las alertas, guardamos el token push del dispositivo con tu identificador de persona de KIFF, y el idioma que mostraba la app, para que sus alertas lleguen en ese idioma. El servicio de tafs también guarda el idioma de la cuenta, tomado de quien chateó por última vez con Coach, durante un máximo de tres meses, para que los informes de un taf lleguen en ese idioma. Una alerta pasa por Apple o Google con su texto: qué taf y, en la alerta de una puerta, el nombre o la dirección de correo de quien escribió. Nunca incluye importes ni detalles de la solicitud. Cuando conectas una app, inicias sesión en el propio proveedor de la app, y planque guarda el token para tu empresa (como encargado del tratamiento, ver más abajo). La app de tafs no tiene rastreadores de analítica ni de publicidad.
• Compras en el App Store: cuando compras Solo o un paquete de créditos en tafs, te lo vende Apple: Apple figura como vendedor, cobra el pago y guarda tus datos de pago. Apple nos dice qué se compró, para qué cuenta de KIFF (un identificador aleatorio que la app adjunta a la compra), cuándo, el identificador de transacción de Apple y, para Solo, cuándo termina o se renueva el periodo. Lo usamos para añadir los créditos o el plan a tu cuenta. Apple no nos da tu Apple ID, tu nombre, tu dirección de correo ni tu tarjeta.
• Compras en Google Play: en Android, las mismas compras pasan por la facturación de Google Play: Google cobra el pago y guarda tus datos de pago. Google nos dice qué se compró, para qué cuenta de KIFF (el mismo identificador aleatorio), cuándo, el token de la compra y el identificador del pedido y, para Solo, cuándo termina o se renueva el periodo, y lo usamos del mismo modo. Google no nos da tu cuenta de Google, tu nombre, tu dirección de correo ni tu tarjeta.

5. Bases jurídicas del tratamiento

Conforme al artículo 6 del RGPD, nos basamos en las siguientes bases jurídicas:

• Ejecución de un contrato (artículo 6, apartado 1, letra b): para la creación de la cuenta, la autenticación, el funcionamiento del entorno de ejecución en tu nombre, la facturación (cuando está activa) y las funciones centrales del servicio.
• Interés legítimo (artículo 6, apartado 1, letra f): para la seguridad, la prevención del fraude, la detección de abusos, la telemetría operativa y la protección del servicio. Ponderamos nuestros intereses frente a tus derechos y, si lo pides, te diremos qué resultado dio esa ponderación.
• Consentimiento (artículo 6, apartado 1, letra a): para cualquier futura cookie de analítica, comunicaciones comerciales opcionales o cualquier tratamiento nuevo que amplíe de forma sustancial el uso que hacemos de tus datos. En la v0.1 no nos basamos en el consentimiento para ningún tratamiento, porque no hacemos analítica, ni publicidad, ni seguimiento no esencial.
• Obligación legal (artículo 6, apartado 1, letra c): para los registros fiscales (Ley de Contabilidad de Estonia, §12, 7 años), las respuestas a solicitudes legítimas de las autoridades y la conservación que exigen las normas contra el blanqueo de capitales cuando sean aplicables.

6. Subencargados del tratamiento

Recurrimos a un pequeño grupo de proveedores para prestar el servicio. La lista oficial y actual está en /es/subprocessors; esa página se actualiza en un plazo de 30 días desde cualquier cambio. Exigimos a cada subencargado del tratamiento que ofrezca protecciones equivalentes a las nuestras mediante acuerdos por escrito, incluidas las cláusulas contractuales tipo de la UE cuando los datos personales salen de la UE.

Las incorporaciones o sustituciones sustanciales de subencargados del tratamiento que afecten a datos personales se notifican por adelantado a los clientes activos, con derecho a oponerse.

7. Transferencias internacionales

Algunos de nuestros subencargados del tratamiento están establecidos fuera del Espacio Económico Europeo, sobre todo en Estados Unidos. Para cada una de esas transferencias nos basamos en al menos una de las siguientes garantías:

• Marco de Privacidad de Datos UE-EE. UU.: para los subencargados del tratamiento estadounidenses que se han certificado en el Marco. La decisión de adecuación está en vigor desde mediados de 2023; vigilamos cualquier cambio en su situación.
• Cláusulas contractuales tipo: el módulo 2 (de responsable a encargado) para nuestros subencargados directos y el módulo 3 (de encargado a subencargado) cuando hay encargados en cadena. Usamos las cláusulas contractuales tipo aprobadas por la Comisión en 2021.
• Medidas complementarias: cuando la evaluación de riesgos indica que se justifican garantías adicionales (cifrado en tránsito y en reposo, registro de accesos, minimización de datos).

Puedes pedir el instrumento de transferencia concreto aplicable a un subencargado del tratamiento determinado escribiendo a privacy@kiff.dev.

8. Conservación

Conservamos los datos personales durante el periodo más corto compatible con los fines para los que los tratamos y con cualquier obligación legal aplicable.

• Metadatos de la cuenta y del inicio de sesión: hasta que se elimina la cuenta. En la app de tafs, un propietario la elimina en Ajustes → Eliminar cuenta. Una cuenta creada en la web se elimina escribiendo a privacy@kiff.dev, dentro del plazo de un mes del artículo 12, apartado 3, del RGPD. En ambos casos, las claves de la cuenta dejan de funcionar de inmediato. Si se elimina en la app de tafs, no se puede deshacer: sus chats de tafs, sus notas y sus conexiones se borran de inmediato, y lo que KIFF guarda se borra en un plazo de 30 días. Si se elimina en la web, guardamos sus datos durante un periodo de gracia de 30 días, por si el propietario quiere recuperarla, y después los borramos.
• Registros de claves de API: hasta la eliminación de la cuenta, también después de revocar una clave. Una clave que pertenece a una conexión de inicio de sesión de un agente se elimina con esa conexión, 30 días después de que termine.
• Cookies de sesión: hasta que caducan (24 horas por defecto) o hasta que cierras sesión.
• Logs de acceso del proxy inverso: hasta 90 días; después se agregan o se borran.
• Logs del servicio: lo que los servicios de KIFF y planque registran mientras funcionan: errores y solicitudes, que pueden nombrar una cuenta, una persona o un agente. 30 días; después se borran.
• Copias de seguridad: de la base de datos de KIFF se hace una copia de seguridad diaria, cifrada, y cada copia se guarda 7 días, de modo que un registro borrado desaparece de ellas en un plazo de 7 días. planque no guarda copia de seguridad de su almacén.
• Datos de auditoría del inquilino: se guardan como encargado del tratamiento según la configuración del inquilino del cliente. Por defecto: se conservan mientras exista el inquilino y se borran al eliminarlo. Consulta /es/security#deletion.
• Llamadas a través de la pasarela de KIFF: los argumentos de una llamada, hasta que se envía, se rechaza o falla, y después se borran; el resultado de la herramienta, durante 24 horas, y después se borra. El registro de la decisión y un hash de los argumentos se guardan como datos de auditoría del inquilino. Consulta /es/security#data-kept.
• Uso: por cada llamada a través de la pasarela, una vez que termina: qué agente la hizo, la herramienta y si contó como una acción o fue gratuita (y por qué). Por cada ejecución de un taf o de Coach, una vez que termina: el taf, cuándo, los créditos que usó su IA y si contaron o por qué no. Hasta que se elimina la cuenta; lo que se comunica a nuestro procesador de pagos para la facturación se guarda con los registros de facturación.
• Conexiones de inicio de sesión de agentes: qué agente, el nombre de la app, quién la permitió, cuándo y su último uso: mientras la conexión está activa y después 30 días tras su fin (durante ese tiempo sigue apareciendo en el panel); luego se borra con sus tokens y su clave de API. Todo ello se borra con la cuenta.
• tafs: el token push de un dispositivo, hasta que cierras sesión en la app, quitas el dispositivo, o Apple o Google informan de que el token ya no existe. La clave pública y el nombre de un dispositivo, hasta que cierras la sesión del dispositivo. Lo que tafs guarda para tu empresa se guarda como encargado del tratamiento: las ejecuciones y los chats de un taf, con el resumen de cada chat (y el de Setup), durante 30 días; lo que devuelven tus apps, solo hasta que termina una ejecución (en un chat, lo que solo leyó se guarda cifrado para sus siguientes mensajes, se usa hasta que el chat lleva una hora inactivo y como máximo cuatro horas después de la lectura, y luego se borra automáticamente, en unos pocos días); y sus notas de memoria, hasta que se elimina el taf; el token de una conexión en planque, hasta que la desconectas, y el registro de sus aprobaciones, hasta que la cuenta termina; consulta el anexo 4 del DPA.
• Registros de facturación: 7 años desde el final del ejercicio (Ley de Contabilidad de Estonia, §12).
• Compras en el App Store y en Google Play: lo que Apple o Google nos dijeron sobre cada compra permanece en tu cuenta hasta que se elimina la cuenta. Sus informes de ventas y de pagos, que guardamos como registros de facturación durante 7 años, no te nombran.
• Correspondencia de soporte: 3 años desde la última interacción; después se borra.

9. Tus derechos

Conforme al RGPD tienes los siguientes derechos sobre tus datos personales:

• Acceso (artículo 15): la confirmación de si tratamos tus datos, y una copia de ellos.
• Rectificación (artículo 16): la corrección de datos inexactos o incompletos.
• Supresión (artículo 17): el borrado de tus datos, con las excepciones de conservación que impone la ley.
• Limitación (artículo 18): pausar el tratamiento mientras se resuelve una disputa.
• Portabilidad (artículo 20): una exportación legible por máquina de los datos que nos diste.
• Oposición (artículo 21): al tratamiento basado en el interés legítimo; dejamos de tratarlos salvo que podamos demostrar motivos que prevalezcan.
• Retirar el consentimiento (artículo 7, apartado 3): para cualquier tratamiento basado en el consentimiento. La retirada no afecta al tratamiento lícito anterior.

Para ejercer cualquiera de estos derechos, escribe a privacy@kiff.dev. Respondemos en el plazo de un mes conforme al artículo 12, apartado 3; podemos ampliarlo hasta dos meses más para solicitudes complejas, y te lo diremos si lo hacemos.

Tus propios chats de tafs

En la app de tafs, Ajustes → Cuenta → Exportar mis chats descarga tus propios chats con cada taf, incluido Coach, los nombres de los archivos que adjuntaste y tus propias notas, como archivo legible y como JSON. Solo tú puedes exportarlos: un administrador o el propietario de la cuenta no pueden, y la exportación de la cuenta de KIFF no los incluye.

Eliminar tu cuenta de tafs

tafs es la app de KIFF. Para eliminar tu cuenta de tafs y sus datos:

1. Abre la app de tafs e inicia sesión.
2. Ve a Ajustes y toca Eliminar cuenta.
3. Confirma. La eliminación de una cuenta no se puede deshacer.

Eliminar cuenta se muestra a quien puede eliminar la cuenta de la empresa, normalmente su propietario. Si no lo ves, o ya no tienes la app, escribe a privacy@kiff.dev desde la dirección con la que inicias sesión, y borramos tus datos en el plazo de un mes.

Qué se elimina: las claves de la cuenta dejan de funcionar de inmediato. Sus tafs, chats, notas, archivos adjuntos y conexiones se borran de inmediato. Lo que KIFF guarda de la cuenta se borra en un plazo de 30 días, y de las copias de seguridad en los 7 días siguientes. Los datos de auditoría del inquilino se borran con el inquilino. Consulta Conservación para cada tipo de datos.

Para borrar parte de tus datos y conservar la cuenta: en la app, elimina un chat, y sus mensajes y archivos adjuntos se van con él; elimina un taf, y sus chats, notas y conexiones se van con él. Para cualquier otra cosa, escribe a privacy@kiff.dev y di qué hay que borrar. Lo hacemos en el plazo de un mes.

Tienes derecho a presentar una reclamación ante una autoridad de control. Nuestra autoridad de control principal es la Inspección de Protección de Datos de Estonia (Andmekaitse Inspektsioon). También puedes reclamar ante la autoridad de control del Estado miembro en el que resides.

10. Cookies

Instalamos tres cookies, todas estrictamente necesarias, propias, que se envían solo por HTTPS y que los scripts de la página no pueden leer. Conforme a las normas de privacidad electrónica (ePrivacy) de la UE no requieren consentimiento; las enumeramos para que sepas que existen. La política de cookies tiene los detalles.

• kiff_session: mantiene tu sesión iniciada. Una cookie de sesión firmada que lleva tu identificador de inicio de sesión, tu correo y tu nombre, y la credencial que el panel usa en tu nombre. Se instala para .kiff.dev. Dura 24 horas, o hasta que cierras sesión.
• kiff_flash: lleva un mensaje de un solo uso a la página siguiente, como «tu clave se ha creado». Está firmada; nunca contiene una clave nueva. Se instala para .kiff.dev. Se borra cuando la página siguiente la lee, y dura como máximo 5 minutos.
• kiff_cb_attempts: cuenta cuántas veces se ha recargado la página de inicio de sesión, para detener un inicio de sesión que entra en bucle. Se envía solo a esa página. Dura 5 minutos, y se borra cuando un inicio de sesión empieza o se completa.

No usamos cookies de analítica, ni cookies de publicidad, ni rastreadores de terceros. Si alguna vez añadimos alguno, mostraremos un banner de consentimiento antes de instalar la cookie, de acuerdo con la normativa ePrivacy y las directrices de 2023 del CEPD sobre tecnologías de seguimiento.

Si inicias sesión mediante Clerk (nuestro subencargado del tratamiento para la autenticación), Clerk también instala cookies en su propio dominio de frontend (clerk.kiff.dev). Esas cookies son necesarias para que Clerk te reconozca a lo largo de su flujo de inicio de sesión y se rigen por la política de privacidad de Clerk además de por la nuestra. Consulta la lista de subencargados del tratamiento para más detalles.

11. Seguridad

Nuestras medidas técnicas y organizativas de seguridad están documentadas en /es/security. Incluyen el aislamiento entre inquilinos en la capa de base de datos, TLS 1.2+ en tránsito, cifrado en reposo con los valores por defecto del proveedor gestionado, y controles de acceso basados en el principio de mínimo privilegio.

Notificamos a los clientes afectados una violación de la seguridad de los datos personales sin dilación indebida y en un plazo de 72 horas desde su confirmación, de conformidad con el artículo 33 del RGPD. La notificación incluye la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas.

12. Menores

KIFF Cloud es un producto de infraestructura para desarrolladores que no está dirigido a menores. No recogemos a sabiendas datos personales de menores de 16 años. Si crees que un menor nos ha facilitado datos personales, escribe a privacy@kiff.dev y los borraremos.

13. Decisiones automatizadas

El entorno de ejecución de KIFF Cloud toma decisiones de política deterministas sobre los datos que envían nuestros clientes. No son decisiones sobre ti que produzcan efectos jurídicos o que te afecten significativamente de modo similar en el sentido del artículo 22 del RGPD; son decisiones sobre las acciones del cliente (reembolsos, pedidos, mensajes, etc.) ejecutadas conforme a la política del propio cliente.

Los clientes que usan KIFF Cloud para tomar decisiones que afectan a sus propios usuarios finales son ellos mismos responsables de cumplir el artículo 22. Nuestros recibos de gobernanza están diseñados para dar a esos clientes el rastro de auditoría que necesitan para demostrar la supervisión humana, pero la obligación legal de ejercer esa supervisión recae en el cliente.

14. Cambios en esta política

Podemos actualizar esta política de vez en cuando. Los cambios sustanciales se notifican por correo electrónico a los clientes activos y con un aviso destacado en esta página durante al menos 30 días. Los cambios no sustanciales se publican con una nueva fecha de «última actualización».

15. Contacto

Preguntas sobre privacidad y solicitudes de derechos: privacy@kiff.dev.

Notificaciones legales formales a Kiff Agents OÜ: legal@kiff.dev, o por correo postal a Tööstuse tn 75-71, Põhja-Tallinna linnaosa, Tallinn 10416, Estonia.

Autoridad de control principal para reclamaciones: Inspección de Protección de Datos de Estonia (Andmekaitse Inspektsioon).

Versión del documento: v0.1.
Última actualización: 9 de noviembre de 2026.