Tus datos, con reglas claras.

Solo los datos que nos compartís a través del formulario de contacto:

• Nombre.
• Email.
• Empresa (opcional).
• Tu mensaje.
• Si solicitás una reunión, los días y horarios que te quedan cómodos.

No te pedimos datos sensibles. Te recomendamos que no incluyas en el mensaje información como datos de salud, información financiera personal o contraseñas. Para contarnos tu caso, alcanza con describir el proceso o el problema que querés resolver.

Para responderte, entender tu necesidad y, si corresponde, coordinar una reunión y preparar una propuesta.

No los usamos para enviarte newsletters ni publicidad, y no los sumamos a listas de terceros.

No usamos herramientas de analítica, píxeles publicitarios ni cookies de terceros.

Las tipografías, scripts e imágenes se sirven desde nuestro propio servidor, así que tu navegador no necesita conectarse con otras empresas para visitar el sitio.

Solo utilizamos las cookies técnicas imprescindibles para que el formulario y las funciones del sitio trabajen correctamente.

Los datos de tu empresa y de tus usuarios se procesan para prestar los servicios acordados y siguiendo tus instrucciones, dentro de las condiciones que definimos para cada proyecto.

Cuando procesamos datos personales por cuenta de una empresa, actuamos como encargados del tratamiento. En otros casos, como los datos que recibimos a través de nuestro formulario de contacto, podemos actuar como responsables del tratamiento.

Las condiciones de propiedad del código, los entregables y los desarrollos específicos quedan establecidas en cada propuesta.

No.

No entrenamos ni ajustamos (fine-tuning) modelos de IA con la información de nuestros clientes, no la reutilizamos en proyectos de otras empresas y no la usamos como ejemplo sin tu permiso por escrito.

Esto incluye la información que procesamos, los documentos, las conversaciones y los resultados generados por los sistemas.

Si un proyecto necesita ajustar un modelo con tus datos, lo hacemos únicamente si lo pedís expresamente. En ese caso, el modelo ajustado queda destinado al uso exclusivo de tu empresa, de acuerdo con las condiciones del proyecto.

A los mínimos necesarios para que el sistema funcione. Antes de empezar, definimos juntos qué fuentes se conectan, qué información se procesa y qué queda afuera.

Cuando es posible, trabajamos con datos de prueba, anonimizados o enmascarados, y preferimos accesos de solo lectura.

No necesitamos acceso irrestricto a toda la información de tu empresa para construir una solución.

Sí, podemos firmar acuerdos de confidencialidad (NDA) antes de acceder a información sensible.

Cuando un proyecto involucra el tratamiento de datos personales por cuenta de tu empresa, también podemos establecer un acuerdo de tratamiento de datos que defina la finalidad, las medidas de seguridad y los proveedores que intervienen.

Donde prefieras. Podemos desplegar los sistemas en tu propia infraestructura o nube, con cuentas a nombre de tu empresa, o administrarlos nosotros.

Para proyectos con información especialmente sensible, evaluamos alternativas como modelos de código abierto ejecutados en servidores propios, sin que los datos tengan que salir de tu entorno.

La arquitectura se define según las necesidades, los requisitos de seguridad y las posibilidades de cada proyecto.

La información se conserva durante el tiempo necesario para prestar el servicio y cumplir con las obligaciones que correspondan.

Cuando termina un proyecto, podemos eliminar los datos de los sistemas que administramos o entregártelos, según lo acordado.

Las copias de seguridad pueden conservar información durante un período adicional, de acuerdo con los mecanismos de respaldo y retención utilizados. Cuando esas copias se eliminan o se sobrescriben, los datos dejan de estar disponibles.

Si necesitás condiciones específicas de conservación o eliminación, las definimos antes de comenzar.

Elegimos el modelo según el caso. Podemos utilizar APIs comerciales de proveedores de IA establecidos o modelos de código abierto ejecutados en infraestructura propia, cuando conviene.

No nos atamos a un único proveedor. Los modelos y las herramientas cambian rápidamente, y queremos poder elegir la alternativa que mejor se adapte a cada proyecto.

En cada propuesta indicamos cuáles son los proveedores que van a procesar tus datos.

Utilizamos únicamente planes de API o empresariales cuyos términos excluyen por defecto el uso del contenido de nuestros clientes para entrenar modelos.

No usamos versiones gratuitas o de consumo de servicios de IA para procesar información de clientes.

Algunos proveedores pueden conservar datos durante períodos limitados para detectar abusos, prevenir fraudes o cumplir con sus obligaciones. Cuando el proyecto lo requiere, buscamos configuraciones de retención reducida o nula, o evaluamos una alternativa autohospedada.

Si un proveedor cambia sus condiciones de tratamiento de datos, revisamos si corresponde seguir utilizándolo y te informamos cuando el cambio pueda afectar tu proyecto.

Algunos servicios que utilizamos pueden procesar información por cuenta nuestra para que el sistema funcione.

Seleccionamos esos proveedores según sus condiciones de seguridad y privacidad, y limitamos la información que reciben a lo necesario para prestar el servicio.

Los proveedores que intervienen en un proyecto se identifican en la propuesta o en la documentación correspondiente.

Normalmente sí. La mayoría de los proveedores de servicios que utilizamos, incluidos los servicios de nube y hosting, se encuentran fuera de Argentina.

Si tenés un caso especial, lo conversamos y evaluamos juntos la mejor alternativa.

Aplicamos el principio de mínimo privilegio (Principle of Least Privilege, PoLP): cada persona, servicio e integración accede únicamente a los datos y permisos que necesita para realizar su tarea, y nada más.

Esto forma parte de cómo diseñamos nuestros sistemas, no solamente de cómo administramos sus accesos.

Entre las medidas que utilizamos se encuentran:

• Conexiones cifradas: utilizamos HTTPS/TLS en el sitio y en las integraciones.
• Gestión de credenciales: las claves de API y credenciales se gestionan mediante mecanismos seguros de almacenamiento de secretos. No se incluyen en el código fuente ni en los repositorios.
• Accesos personales: utilizamos accesos individuales e intransferibles, evitando las cuentas compartidas.
• Infraestructura aislada: las bases de datos y otros recursos se mantienen en redes internas, sin exposición directa a Internet.
• Protección de datos almacenados: utilizamos cifrado en reposo y mecanismos de gestión de claves con acceso restringido.
• Auditoría: registramos las actividades necesarias para poder entender qué pasó, cuándo ocurrió y qué acciones se ejecutaron.

Los controles concretos se adaptan a la arquitectura y a las necesidades de cada proyecto.

Los agentes de IA que desarrollamos operan con permisos limitados a las tareas para las que fueron diseñados.

Aplicamos el principio de mínimo privilegio también a los agentes: cada uno dispone únicamente de los accesos, herramientas y capacidades necesarios para cumplir su función.

Según el proyecto, podemos implementar:

• Permisos diferenciados para consultar, modificar o eliminar información.
• Restricciones sobre las herramientas y sistemas a los que puede acceder cada agente.
• Límites sobre las acciones que puede ejecutar de forma autónoma.
• Autorización humana para operaciones sensibles o de alto impacto.
• Registros de actividad para auditar las acciones ejecutadas.

Por ejemplo, un agente que analiza información puede tener acceso de lectura sin permisos para modificarla. Un agente que prepara una propuesta puede generar un borrador sin tener autorización para enviarlo.

Los permisos se definen de acuerdo con los requisitos del proyecto y pueden ajustarse según las necesidades del cliente.

El objetivo es que la autonomía de los agentes no implique un acceso irrestricto a los sistemas o a la información de tu empresa.

Los registros nos permiten entender cómo funcionan los sistemas, investigar errores y auditar las acciones ejecutadas. No necesitamos registrar toda la información procesada para poder hacerlo.

Limitamos los datos incluidos en los registros y evitamos almacenar credenciales, claves de API u otra información sensible que no sea necesaria.

El acceso a los registros y su período de conservación se definen según las necesidades del sistema y los requisitos del proyecto.

Actuamos de inmediato para contenerlo y entender qué pasó.

Si puede afectar los datos de tu empresa, te avisamos lo antes posible, con lo que sabemos hasta ese momento y lo que estamos haciendo.

Después te mantenemos al tanto hasta resolverlo y trabajamos con tu equipo en lo que haga falta.

De acuerdo con la Ley 25.326 de Protección de los Datos Personales, podés solicitar:

• El acceso a tus datos personales.
• Su rectificación o actualización, cuando sean incorrectos o estén incompletos.
• Su supresión, cuando corresponda.
• Que no los usemos para contactarte con fines comerciales.

Escribinos a [email protected] con el asunto «Privacidad» y contanos qué necesitás. El ejercicio de estos derechos es gratuito.

Respondemos los pedidos de acceso dentro de los 10 días corridos y los de rectificación o supresión dentro de los 5 días hábiles, conforme a los plazos previstos por la Ley 25.326.

Si sos parte de una empresa cliente y tus datos llegaron a nosotros a través de un proyecto, también podés ejercer tus derechos ante esa empresa, que es quien determina cómo se utilizan esos datos. Nosotros actuamos siguiendo sus instrucciones.

Contanos qué no te cerró y lo revisamos de nuevo. Siempre buscamos la manera de ayudarte y de cuidar tus intereses.

Recordá que, en última instancia, si aun así no quedás conforme, podés presentar un reclamo ante la Agencia de Acceso a la Información Pública (AAIP), la autoridad de control en Argentina.

Esta es la información que la ley nos pide incluir:

El titular de los datos personales tiene la facultad de ejercer el derecho de acceso a los mismos en forma gratuita a intervalos no inferiores a seis meses, salvo que se acredite un interés legítimo al efecto conforme lo establecido en el artículo 14, inciso 3 de la Ley N° 25.326. La Agencia de Acceso a la Información Pública, en su carácter de Órgano de Control de la Ley N° 25.326, tiene la atribución de atender las denuncias y reclamos que interpongan quienes resulten afectados en sus derechos por incumplimiento de las normas vigentes en materia de protección de datos personales.

Sí. Podemos actualizar esta política cuando incorporemos nuevas herramientas, cambien nuestros proveedores o evolucionen nuestras prácticas de seguridad y privacidad.

La fecha que aparece al comienzo indica cuándo fue actualizada por última vez.

Si un cambio afecta de manera relevante el tratamiento de datos de un proyecto en curso, te lo comunicamos directamente antes de aplicarlo.

A [email protected]. Lo lee el equipo fundador de Nerdlabs, en Buenos Aires, Argentina.

Preferimos que nos preguntes antes de compartir información sensible. Si tenés dudas sobre cómo vamos a trabajar con los datos de tu empresa, podemos conversarlo antes de empezar.