DIRI AI / Centro de confianza
Hechos sobre seguridad y datos, no promesas.
Esta página resume lo que dicen nuestros documentos publicados sobre la protección de sus datos. Cada bloque indica su documento de origen.
Resumen de los documentos publicados versión 1.2.0, en vigor desde el . Si algo difiere, se aplican los documentos y su contrato.
Lo que no afirmamos
- Ninguna certificación ISO 27001, SOC 2 o PCI DSS de DIRI AI. Las certificaciones de nuestros proveedores no son certificaciones de DIRI AI.
- Ninguna afirmación de cobertura de pruebas de penetración.
- Ningún SLA de disponibilidad porcentual en los planes estándar, ni tiempo de recuperación (RTO) ni punto de recuperación (RPO) prometidos.
- Ningún programa público de recompensas por errores.
- Esta página no es un contrato y no amplía ningún acuerdo.
Protección de datos
- El tráfico hacia los servicios compatibles se cifra en tránsito con TLS.
- Los proveedores gestionados cifran los datos almacenados en reposo con sus controles estándar.
- Los datos de la tarjeta se introducen con el proveedor de pagos, por lo que DIRI AI no necesita el número completo de la tarjeta.
- El almacenamiento de las grabaciones de voz está desactivado por defecto.
- La telemetría de errores se depura, y el contenido de los clientes se mantiene fuera de los registros rutinarios siempre que es posible.
Acceso y separación entre empresas
- Cada usuario tiene su propia identidad, y las cookies de sesión de producción están protegidas.
- Los permisos se comprueban en el servidor, por rol y por cuenta de empresa.
- Los administradores de la empresa gestionan las invitaciones y los roles. La baja de miembros se está habilitando poco a poco; no se promete ninguna fecha.
- Hay límites de frecuencia y controles contra el abuso.
- Los eventos de administrador y de suscripción relevantes para la seguridad se registran en un registro de auditoría.
Cambios y operaciones
- Los cambios pasan por revisión, pruebas automatizadas y comprobaciones de dependencias y secretos.
- Las notificaciones de los proveedores se firman y se verifican.
- Los errores y las operaciones se supervisan, y los presuntos incidentes se gestionan conforme a la política de incidentes publicada.
- El alojamiento, la base de datos, la caché y el almacenamiento se ejecutan en proveedores gestionados; la copia de seguridad y la restauración se prueban.
IA y minimización de datos
- Los proveedores de IA reciben solo los datos necesarios para la función que usted solicita, como una llamada de práctica, la transcripción o el informe.
- Los comentarios generados por IA apoyan la práctica y el coaching. No deberían ser la única base para evaluar a un empleado.
Datos personales (RGPD)
Quién es responsable de sus datos: el operador de DIRI AI se identifica en el Aviso legal. Cómo usamos los datos y nuestras bases jurídicas figuran en la Política de privacidad.
Categorías de datos, a grandes rasgos
- Datos de la cuenta y de la organización
- Contenido de entrenamiento: transcripciones, puntuaciones e informes
- Registros de suscripción y facturación
- Datos de uso, dispositivo, red y seguridad
Sus derechos
- Acceso a sus datos y copia de ellos
- Rectificación, supresión o limitación
- Portabilidad y oposición
- Retirada del consentimiento en cualquier momento
Envíe las solicitudes a privacy@diriai.com. Normalmente respondemos en el plazo de un mes. También puede presentar una reclamación ante una autoridad de control.
La ubicación de los proveedores depende del servicio, de la ubicación del cliente y del contrato con el proveedor. Cuando se aplican las restricciones de transferencia del RGPD, se utiliza una decisión de adecuación, las cláusulas contractuales tipo u otra salvaguardia lícita. Los documentos publicados no fijan una única región de alojamiento, por lo que aquí no se indica ninguna.
La IA y el Reglamento de IA de la UE
- El cliente simulado siempre se identifica como IA, a más tardar en la primera interacción directa.
- DIRI AI es una herramienta de práctica y coaching. Las puntuaciones y los informes son ayudas de coaching.
- Las puntuaciones no deben ser la única base para contratar, despedir, sancionar, fijar la retribución, ascender ni tomar una decisión similar sobre un empleado. La organización mantiene a una persona cualificada al mando.
- DIRI AI no ofrece reconocimiento de emociones, identificación biométrica, comparación de huellas de voz ni inferencia de características protegidas.
Quién puede ver qué
| Rol | Acceso |
|---|---|
| Vendedor | Sus propias sesiones de entrenamiento, transcripciones e informes. |
| Responsable de equipo | Todas las sesiones de entrenamiento, transcripciones e informes de su empresa, salvo las sesiones privadas de un fundador anteriores a que el espacio de trabajo pasara a ser un equipo. |
| Administrador de la empresa | El mismo acceso a sesiones que un responsable de equipo, además de usuarios, equipos, roles, escenarios y ajustes de la empresa. |
| Coach externo | Un miembro de una empresa sin permisos administrativos; solo ve sus propias sesiones de entrenamiento. |
| Administrador de la plataforma DIRI AI | Las sesiones de entrenamiento de todas las empresas, para el soporte y las operaciones de la plataforma; las acciones relevantes para la seguridad se registran en el registro de auditoría. |
Los roles de una empresa no pueden ver los datos de entrenamiento de otra empresa. Los administradores de la plataforma DIRI AI (personal autorizado) pueden acceder a todas las empresas para el soporte y las operaciones. Si activa un apodo público de competición, ese perfil es visible para los usuarios con sesión iniciada de otras empresas.
Cuánto tiempo conservamos los datos
Periodos máximos por defecto de la política de conservación de datos. Son límites superiores; los datos que reúnan los requisitos pueden eliminarse antes.
| Datos | Máximo por defecto |
|---|---|
| Transcripciones, puntuaciones e informes de entrenamiento | Hasta 365 días; una empresa puede elegir un periodo más corto admitido. |
| Grabaciones de voz almacenadas | Desactivado por defecto; si se activa expresamente, hasta 30 días. |
| Archivo de exportación de privacidad | Normalmente 24 horas desde que está disponible. |
| Registro de auditoría de seguridad y administración | Normalmente 12 meses. |
| Sesión del navegador | Hasta 8 horas. |
| Cuenta tras el cierre | Eliminación de los sistemas activos prevista 30 días después del cierre y de la ventana de exportación, salvo los registros que la ley nos obliga a conservar. |
Controles de los que dispone
- Descargar una copia de sus datos desde su cuenta. El enlace de exportación caduca.
- Solicitar la eliminación de su cuenta. Cada solicitud se revisa en cuanto a identidad, bloqueo legal y conservación antes de borrar.
- Mostrar un apodo anónimo en lugar de su nombre en las comparaciones de equipo.
- Los administradores de la empresa pueden fijar cuánto tiempo se conservan los datos de entrenamiento.
Proveedores que utilizamos
Nombres de proveedores de la Lista de subencargados publicada. Sus finalidades y categorías de datos figuran en la lista enlazada.
- Vercel
- Render
- Neon
- Upstash
- Cloudflare
- Resend
- Google Workspace
- Google Analytics 4
- Stripe
- Sentry
- OpenAI
- ElevenLabs
- GitHub
Estado del servicio
La página de estado comprueba el estado de la API, su disponibilidad y la disponibilidad del registro cuando la abre.
Abrir la página de estadoNotificar una vulnerabilidad
Envíe la ruta afectada, los pasos para reproducirla y el impacto. No acceda a datos de otros clientes ni perturbe el servicio.
- Informes de seguridad
- security@diriai.com
- Incidentes de privacidad
- privacy@diriai.com
Documentos publicados
Los documentos se publican en inglés y en checo.