Privacidad
Tres dominios. Ninguna llave entre ellos.
Tres dominios de datos separados, sin ninguna llave que una la actividad anónima con la identidad de contacto. La actividad anónima, la identidad de contacto voluntaria y lo que el cliente configuró son tres sistemas separados. La configuración la leen los otros dos; entre esos dos no se lee nada, porque no existe ningún identificador que hiciera posible esa lectura.
En esta página
- Qué significa exactamente «sin conservar la dirección IP»
- Qué significa exactamente «sin guardar la ubicación»
- Qué guarda cada uno de los tres dominios
- Cómo está trazada la separación
- Qué produce la ruta de crisis: nada
- Para qué sirven los registros del servidor
- Qué pasa con la consulta que nos envía
- Qué pasa cuando usa el chat de este sitio
- Lo que la experiencia anónima nunca guarda
Qué significa exactamente «sin conservar la dirección IP»
La página principal dice que la dirección IP no se conserva. Aquí está exactamente qué cubre esa frase, porque una afirmación que usted no puede comprobar no vale la pena hacerla.
La propia capa de aplicación y de datos de HABLA™ nunca escribe una dirección IP. No se almacena, no queda registrada junto a un tema y no se escribe en ningún registro que HABLA conserve. Nada dentro de la experiencia anónima la recibe.
Una petición web sigue llevando una dirección IP, y ningún servidor puede dejar de recibirla. Decir lo contrario sería falso. Dos cosas de este sitio limitan la frecuencia de envío para frenar el abuso —el formulario de consulta de la página de contacto y HABLA AI, el chat que se abre desde cualquier página— y los dos conteos ocurren dentro de los propios procesos de HABLA, no en el borde de red de otra empresa. Lo que esos procesos guardan no es su dirección: es un resumen criptográfico de ella, calculado con un valor aleatorio que el proceso genera al arrancar y olvida al detenerse, guardado en memoria junto a un conteo durante esa ventana y que no se escribe en ningún archivo ni en ninguna base de datos. Los dos usan el mismo código, y ese código solo recibe una clave y un reloj, así que ese conteo nunca queda registrado junto a nada de lo que usted eligió o escribió.
Esa distinción es la honesta: lo que HABLA controla es si una dirección se conserva, y no se conserva.
Qué significa exactamente «sin guardar la ubicación»
Se aplica la misma distinción, y merece la misma respuesta directa.
HABLA nunca le pide a su dispositivo su ubicación, y nunca guarda ninguna.
No existe ningún aviso de permiso de GPS, ninguna llamada a una interfaz de geolocalización y ningún campo de ubicación en ninguna parte de la experiencia anónima.
Para mostrarle el idioma correcto, el borde de la red lee un código de país de su conexión.
Se usa para elegir entre español e inglés cuando su dispositivo no lo ha dejado claro ya, y se descarta en el acto: nunca se almacena, nunca se escribe en un registro que HABLA conserve y nunca queda anotado junto a un tema que usted eligió.
HABLA cuenta ese código de país como un atributo de ubicación, que es exactamente la razón por la que nunca se conserva. Sería fácil argumentar que un país es demasiado general para importar —que no señala una ciudad, un edificio ni un campus— y tratarlo como inofensivo por eso. HABLA no acepta ese razonamiento. Lo que aquí se controla es la conservación, no la categoría: el código se lee, se usa una vez y desaparece.
Aparte de eso, HABLA sí registra qué colocación se usó: un cartel, un código QR o un enlace concreto. Eso es una propiedad del material, no de usted: no establece que usted haya estado físicamente en ningún sitio.
Qué guarda cada uno de los tres dominios
Una separación solo vale algo si usted puede ver qué hay de cada lado. Estos son los tres, en el orden en que una persona los encuentra.
- Actividad anónima
- Lo que HABLA cuenta: qué despliegue, qué colocación, qué paquete de audiencia, qué tema y con qué frecuencia — nueve valores en una misma fila, y dos registros más al lado de esa fila y no sobre ella. La hora que guarda es una hora entera, nunca un momento exacto, porque una hora exacta es justo el valor que permitiría emparejar una fila con otra. Cada valor de esa fila habla de una interacción. Ninguno habla de una persona, y la lista completa está al pie de esta página.
- Contacto voluntario
- Este dominio está vacío hasta que alguien decide salir del modo anónimo y pedir que le respondan. Entonces guarda lo que esa persona eligió dar y el destinatario que eligió alcanzar. Nada de lo que seleccionó del lado anónimo viaja con esa solicitud, y el destinatario, el plazo de respuesta esperado y el hecho de que este no es un canal de emergencia están en pantalla antes de enviar nada.
- Configuración de la plataforma
- Lo que configuró el cliente: sitios, paquetes de audiencia, colocaciones, la biblioteca de temas, los recursos que ofrece, los destinatarios que una solicitud de contacto puede alcanzar y las cuentas administrativas que gestionan todo eso, que ahora incluye también sus secretos de inicio de sesión: un resumen criptográfico de la contraseña, un secreto de segundo factor, códigos de recuperación de un solo uso, un registro de sesión y una cuenta de intentos fallidos. Ese contador se guarda contra la cuenta y no contra una dirección de red, así que lo único que esta página dice que HABLA nunca guarda no entra por la puerta lateral por la que suele entrar. No guarda la identidad de ninguna persona de la audiencia. La identidad administrativa vive aquí y no tiene ningún camino hacia la experiencia de la persona: el personal administrativo no es el público para el que existe el producto, y los dos nunca se encuentran.
Los otros dos leen la configuración. Entre esos dos no se lee nada. Y más allá de los tres están la capa entre organizaciones y el almacén sellado, cada uno su propia base de datos separada y ninguno un cuarto dominio: la primera recibe lo que un despliegue le envía y nunca consulta los datos propios de un cliente; el segundo guarda las cifras ya suprimidas de un periodo de reporte cerrado —cifras derivadas de la actividad anónima, guardadas para que un informe siga resolviendo a lo que mostró—, sin ninguna fila sobre una persona dentro y sin ningún camino hacia una. Cómo se hace cumplir la separación en la base de datos.
Cómo está trazada la separación
Tres dominios, sin llave que los una
Actividad Anónima, Contacto y Configuración de Plataforma son sistemas separados. No existe ninguna llave que conecte los dos primeros.
-
Nueve campos en una misma fila, y dos registros más al lado de esa fila y no sobre ella, los dos contadores: eso es todo lo que deja una interacción. HABLA no declara aquí ningún identificador —ni de sesión, ni de dispositivo, ni una dirección— ni ninguna llave que una este dominio con el de contacto. Dos cosas que esa forma no cierra, dejadas por escrito en lugar de explicadas hacia otro lado: el motor de base de datos estampa sus propios números internos de versión en cada fila, que HABLA no declara y no puede quitar, y un conteo en una celda muy pequeña sigue sumando. Leer cualquiera de las dos exige una lectura a nivel de tabla sobre estas tablas, y ningún rol la tiene.
-
Se guardan solo porque alguien pidió que lo contactaran, y solo para eso.
-
Lo que configuró el cliente, más las cuentas administrativas que lo configuraron. Lee hacia los dos planos; no lleva la identidad de ningún miembro de la audiencia.
-
Configuración de Plataforma lee hacia el dominio anónimo y hacia el de contacto, y lo hace con un acceso distinto para cada uno. No se declaró nada que hiciera coincidir una fila de un lado con una fila del otro. Lo que el motor de base de datos estampa en sus propias filas queda escrito en el registro anónimo que está al lado de este dibujo, en vez de explicarse hacia otro lado.
Por debajo del umbral no se muestra nada
Dos umbrales, no uno. Un conteo se suprime por debajo de diez eventos de actividad, y el umbral se aplica a cada tema en cada hora de cada día, antes de sumar el mes; una colocación o un paquete de audiencia solo se puede reportar por separado si además cubre al menos a cincuenta personas.
-
Suprimido. No se redondea, no se estima y nunca se muestra junto a otro número que pudiera revelarlo por resta.
-
Un umbral fijo. No se baja por un contrato más grande: esa negativa es el producto.
-
Supera el umbral de actividad. Se reporta como cuarenta y dos eventos de actividad, nunca como cuarenta y dos personas.
-
El segundo umbral. Una colocación o un paquete de audiencia que cubre a menos de cincuenta personas no se puede reportar por separado, por alto que suba su conteo: su actividad se agrupa en el sitio del que depende.
Qué produce la ruta de crisis: nada
Abrir un recurso de crisis es la acción del producto que con más claridad invita a una organización a querer un número. No hay ninguno que querer.
Llegar a un recurso de crisis no produce ningún dato para la organización: ni un conteo, ni una tendencia, ni una alerta, ni una puntuación individual, ni una fila en ningún informe. A la dirección no se le avisa en silencio, y nada de esto llega en ninguna forma al lado del producto que hace informes.
HABLA no se vigila en tiempo real. Nadie está mirando mientras alguien lo usa, y nada levanta una alarma. Una organización que necesita vigilancia en tiempo real necesita otro producto, y decirlo así de claro le sirve más a las dos partes que una frase tranquilizadora.
Los recursos que HABLA incluye, entre ellos el 911 y el 988, están en todos los planes y un cliente no puede quitarlos. Puede agregar los suyos; no puede retirar estos.
Para qué sirven los registros del servidor
Todo sistema escribe registros, y una promesa de privacidad que finja lo contrario no vale la pena leerla. La regla que HABLA se impone es sobre qué se puede combinar: la telemetría existe para mantener sana la infraestructura, y un registro que permita a alguien reconstruir el recorrido de una persona por el producto es un defecto, sea cual sea el motivo por el que se recogió.
Algunas cosas nunca se conservan juntas a propósito, ni en la aplicación, ni en el servidor, ni en el proxy, ni en la CDN, ni en la base de datos, ni en la telemetría de errores: una dirección junto a un tema sensible, información del dispositivo junto a un tema, y una marca de tiempo exacta junto a un tema y una colocación. Cada una es un emparejamiento y no un campo, porque lo que hace posible una reconstrucción es el emparejamiento.
Y una exigencia más fuerte que las anteriores. La dirección de quien visita no se conserva en ningún registro que HABLA controle, en ninguna combinación: es el mismo límite que traza el principio de esta página, sostenido en todas las superficies y no solo en la aplicación. Nada dentro de la experiencia anónima la recibe.
Los servicios de terceros también son superficies. Una CDN o un servicio de seguimiento de errores que guarde detalle por petición está dentro de esta regla, no fuera. Qué se ha comprobado y qué no.
Qué pasa con la consulta que nos envía
Todo lo anterior trata del producto. Esta sección trata de este sitio web: el formulario de la página de contacto es uno de los dos lugares donde HABLA le pide sus datos a una persona real —HABLA AI, el chat, es el otro, y tiene su propia sección más abajo— y una página de privacidad que cubre tres dominios de un producto y se salta el formulario de su propio sitio ha respondido la mitad fácil.
En cuál de los tres dominios está usted: en ninguno. El formulario de consultas es el canal de consultas comerciales — alguien que compra y pide un recorrido guiado — y es un sistema distinto del traspaso de contacto del lado de la persona que funciona dentro del despliegue de un cliente. También queda por completo fuera de la experiencia anónima. Lo que escriba ahí no llega a ningún contador de actividad, a ningún tema ni a ninguna base de datos de HABLA, y nada de lo elegido en el lado anónimo viaja con ello, porque no existe identificador que pudiera llevarlo.
Qué envía y adónde va. Su nombre, su correo de trabajo, su organización y su mensaje; de forma opcional su cargo, el tipo de organización y a cuántas personas cubriría aproximadamente. El servidor compone todo eso en un solo correo y lo entrega al buzón compartido de Pragmatic Business Solutions, la empresa detrás de HABLA, donde una persona lo lee y responde. Los sistemas de HABLA no guardan copia: el proceso que lo envía no tiene conexión alguna a una base de datos, y después el mensaje existe solo como correo.
La regla de conservación de esta ruta es un buzón, y nombrarlo es más honesto que nombrar un plazo. Todas las demás reglas de conservación que HABLA publica son una columna de una base de datos sobre la que puede actuar un trabajo de borrado. Esta no tiene tabla ni columna, porque el mensaje nunca estuvo en un almacén de HABLA: así que lo preciso es nombrar el almacén en el que sí está, un buzón de trabajo que la gente lee y contesta, guardado mientras la conversación sirva y sin ningún borrado automático detrás.
Qué puede pedirnos, y qué clase de promesa es. Escriba a la dirección que aparece en el pie de esta página, pídanos que borremos su consulta, y la borramos y le decimos cuándo está hecho. Es un compromiso que sostienen personas y no una propiedad del código en ejecución, y es una garantía más débil que las que describe el resto de esta página: de un buzón alguien puede copiar algo fuera. Decir de qué clase es, es justo el motivo de enunciarlo aquí. No hay ninguna lista de correo a la que añadirle, ninguna analítica en este sitio a la que vincularle, y ningún tercero al que este formulario entregue nada. HABLA AI, el chat, es la única vía de este sitio donde esa última frase no sería cierta, y por eso tiene su propia sección en lugar de una cláusula dentro de esta.
Qué pasa cuando usa el chat de este sitio
HABLA AI es el chat que se abre desde cualquier página de este sitio web. Es el único lugar de este sitio donde algo que usted escribe se envía a una empresa que no es HABLA, así que aquí se dice completo y no solo dentro de la ventana del chat.
Para qué sirve, y qué no va a hacer. Responde preguntas sobre HABLA —el producto, cómo funciona, cuánto cuesta y la empresa que está detrás— a partir de los documentos publicados por HABLA. No es un canal de soporte, no es asesoría y no es una vía hacia ningún servicio. Si alguien escribe sobre un asunto personal, de salud, del trabajo o de seguridad, la respuesta es una sola frase fija escrita por HABLA y no por el modelo: que el chat no puede ayudar con eso aquí, y que están el 988 y el 911. No se envía ningún mensaje y no se contacta a nadie.
Qué se envía, y a quién. Para escribir cada respuesta, la conversación y la documentación del producto HABLA se envían a Anthropic, la empresa que opera el modelo Claude. HABLA no le añade nada propio: ningún identificador, ninguna cookie, ninguna dirección IP, ninguna información del dispositivo y ninguna dirección de página; solo el idioma de la página en la que está, para que la respuesta vuelva en el idioma que usted está leyendo. Lo que se envía es lo que usted escribió. Si da un nombre y un correo de trabajo en el chat, quedan dentro de la conversación, y la conversación es lo que se envía; por eso el chat le pide que no escriba ahí datos personales, de salud ni del trabajo. Cómo trata Anthropic lo que recibe es algo que le corresponde describir a esa empresa y que esta página no puede prometer por ella.
Qué guarda HABLA de una conversación después. Una vez escrita la respuesta, la conversación desaparece del lado de HABLA: no hay ningún almacén de transcripciones, ninguna cookie ni ningún identificador, y ninguna línea de registro que HABLA escriba lleva un turno de una conversación. El chat limita la frecuencia por dirección exactamente como lo hace el formulario de consulta, con el mismo código: un resumen criptográfico bajo un valor aleatorio que el proceso genera al arrancar y olvida al detenerse, guardado en memoria junto a un conteo y sin escribirse en ningún archivo ni en ninguna base de datos. La misma lectura, servicio por servicio.
Si le pide al chat que alguien le contacte. Toma las mismas cuatro cosas que el formulario de contacto —un nombre, un correo de trabajo, una organización y lo que quiere conversar— y le muestra las cuatro, y a quién van, en una tarjeta antes de que se mueva nada. Se envía solo cuando usted lo confirma, y llega al mismo buzón compartido al que llega el formulario de contacto, así que lo que lo conserva después es ese buzón y la sección anterior lo describe. El chat no puede enviarlo a ninguna otra parte: el destinatario está fijado en la configuración del servicio y no es algo que una conversación pueda cambiar.
Lo que la experiencia anónima nunca guarda
- Nombre
- Correo electrónico
- Teléfono
- Dirección IP
- Identificador de dispositivo
- Huella de navegador
- Identificador de sesión
- Identificador de cookie
- GPS o ubicación
- Texto libre
- Diagnóstico
- Puntuación de riesgo
Lo que sí guarda: qué despliegue, qué colocación, qué paquete de audiencia, qué tema, qué fecha, qué hora, qué idioma, cuántas veces y cuánto encajó la frase: nueve campos en una misma fila, y dos registros más al lado de esa fila y no sobre ella, los dos contadores: cuántos temas abarcó una interacción y con qué frecuencia un tema se señaló como el más importante.
Esta es la página que conviene leer con desconfianza.
Si una afirmación de aquí no se puede comprobar contra la arquitectura, no debería estar aquí. Pregunte por las partes que suenen demasiado fuertes: esa es la conversación que esta página existe para empezar.