Datos sensibles: preguntas frecuentes

skyseat está en acceso anticipado. Estas son las respuestas de hoy: lo que aún no tenemos, también lo decimos. Lo que depende de tu caso se marca.

¿Dónde están mis datos?

La plataforma, su base de datos y la caja fuerte de las claves están en servidores de Hetzner en Finlandia. Los ordenadores de tus empleados IA están en Alemania. Cada día se hace una copia cifrada que se guarda fuera del servidor. Si necesitas que tus datos estén en Estados Unidos, se puede alojar allí, pero lo acordamos por escrito antes de empezar.

¿Quién puede verlos?

Solo tu empresa, y dentro de ella cada persona según su rol: el administrador lo ve todo; el responsable contesta los avisos y encarga tareas; el miembro encarga tareas y ve el trabajo; el de solo ver no cambia nada. Si trabajas con una agencia, la agencia ve los clientes que gestiona. El equipo de Skyseat solo ve lo necesario para operar la plataforma y lo que nos escribes en «Escribir al equipo».

¿Qué ve el modelo de IA?

Para cada tarea, el empleado manda a Claude (de Anthropic, en Estados Unidos) lo que esa tarea necesita: el correo o el documento con el que trabaja. Usa la clave de API de tu empresa o su cuenta de Claude Team o Enterprise. Según las condiciones de empresa de Anthropic, esos datos no se usan para entrenar sus modelos. Skyseat tampoco usa los datos de sus clientes para entrenar ningún modelo. Las contraseñas de tus cuentas no pasan por el ordenador del empleado: la plataforma las usa por él.

Lo que pegues o le pases puede llegar al modelo. Dale solo lo que la tarea necesita.

¿Y los datos de salud?

Si entra un correo, un chat, un WhatsApp o un documento con datos de salud (un diagnóstico, una baja médica, una receta…), la plataforma lo marca. El empleado no lo guarda en su memoria ni en la del equipo, y avisamos a una persona en la Bandeja sin copiar el texto. La IA de la plataforma no lo lee salvo que lo permitas, y viene apagado.

Pero la marca funciona por palabras: no lo caza todo. Y mientras el empleado trabaja con un texto, ese texto sí llega al modelo. Skyseat no es una historia clínica ni tiene certificaciones sanitarias. Si eres una clínica, te recomendamos no enviar historiales ni pruebas médicas completas: úsalo para lo administrativo (citas, facturación, recordatorios) y decide tú qué le pasas. Tratar datos de salud necesita una base legal propia, que defines tú con tu asesor.

¿Cuánto tiempo se guarda cada cosa?

Estos son los plazos por defecto. Puedes cambiarlos en Cuenta › Datos y privacidad, dentro de unos límites, y la plataforma los aplica cada 6 horas. Cada borrado queda en el Registro.

• Llamadas (resumen y transcripción): 90 días.
• Correos y mensajes de WhatsApp: 90 días.
• Mensajes del chat del equipo y archivos adjuntos: sin plazo por defecto; puedes ponerle uno.
• Chat de la web con visitantes: 90 días sin actividad.
• Lo que un empleado recuerda de un cliente o contacto: 365 días desde la última vez que se tocó.
• Registro de auditoría: no caduca por defecto. Si pones un plazo propio, es de dos años como mínimo.
• Direcciones IP de los accesos: 6 meses.
• Copias de seguridad: lo que borras sale de ellas en 63 días como mucho.

¿Cómo se borra?

• Solo: con los plazos de arriba, cuando caducan.
• A mano: llamadas, correos y mensajes. En la memoria de un empleado puedes pedir que olvide a una persona de todo el equipo.
• Un empleado despedido: pierde el acceso al momento. Su ordenador se guarda 30 días y después se borra; si lo eliges, se borra ya.
• Tu cuenta o tu empresa: «Dar de baja la empresa» tiene 30 días para cancelarse. Pasado ese plazo, se borra todo. Descarga antes lo que quieras conservar.

Lo que ya ha salido (un correo enviado, una publicación) no se puede retirar.

¿Cumplís el RGPD?

Tú eres el responsable de los datos de tus clientes o pacientes, y Skyseat es el encargado del tratamiento. Eso lo recoge el contrato de encargado (DPA), con la lista de subencargados y la política de privacidad. Son borradores pendientes de revisión legal. Los empleados trabajan con el RGPD en sus instrucciones y con lo mínimo necesario. Si una persona pide acceder, corregir o borrar sus datos, lo atiendes tú como responsable, y tienes un mes para contestar. En la memoria de un empleado puedes pedir que olvide a esa persona.

Si hubiera una brecha que te afecte, te avisamos desde el panel y por correo. El plazo concreto lo confirma una persona.

¿Qué queda en el Registro?

Todo lo que hacen los empleados y las personas: qué, cuándo, con qué cuenta y quién lo aprobó. No se puede editar ni borrar a mano. Cada fila lleva una huella encadenada con la anterior, así que un cambio se nota. Lo descargas en PDF, CSV o JSON, y cualquiera puede comprobar con la clave pública de Skyseat que el archivo está entero, sin preguntarnos. Los empleados se presentan como asistentes de IA al empezar una llamada o un correo.

¿Qué hago si llega una inspección?

1. Descarga el Registro de auditoría del periodo que te pidan: Registro › Registro de auditoría, en PDF, CSV o JSON. Guárdalo tú: las llamadas solo se conservan 90 días.
2. Comprueba el archivo en la misma página, con «Comprobar un archivo».
3. Ten a mano tu registro de actividades de tratamiento, el DPA firmado y la lista de subencargados.
4. Si piden algo a Skyseat, escríbenos desde Ayuda › «Escribir al equipo». Una persona te contesta en un día laborable.

Esto te ayuda a documentarlo. No es una certificación ni garantiza que cumplas la ley: cuéntalo con tu asesor.

¿Tenéis certificaciones?

No, todavía. Hoy no tenemos SOC 2 ni ISO 27001, ni una prueba de penetración hecha por una empresa externa. El SOC 2 Tipo I está planificado, sin fecha confirmada. Lo que sí tenemos, con sus fuentes, está en el Centro de confianza.