1. Responsable del tratamiento
- Identidad y NIF: [PENDIENTE]
- Domicilio: [PENDIENTE]
- Contacto de privacidad: support@cavaai.app
- Delegado de Protección de Datos (si aplica): [PENDIENTE]
2. Qué datos tratamos
Datos de cuenta (email, nombre, país y preferencias de inversión que decidas facilitar), datos de cartera y operaciones, tesis, claims y evidencia, watchlist, reglas y alertas, documentos que subas y su metadata, notas y memoria de investigación, y mensajes que envíes al asistente. También registramos telemetría técnica del chat (ruta, modelo, latencia y, temporalmente, la pregunta) para operar y mejorar el servicio.
No pedimos datos de salud, ideología, religión ni datos biométricos. No vendemos datos personales ni los usamos para entrenar modelos compartidos.
3. Finalidades y base jurídica
Tratamos los datos para prestar el servicio que solicitas, proteger la cuenta, cumplir obligaciones legales y atender incidencias. La base jurídica concreta para cada finalidad es [PENDIENTE: ejecución de contrato, consentimiento, interés legítimo u obligación legal].
4. Proveedores y subencargados
Según la configuración del despliegue, el servicio puede apoyarse en los siguientes proveedores. El responsable debe confirmar contratos, regiones y garantías de transferencia antes de publicar esta lista:
- OpenCode Go / OpenCode Zen: proveedor de modelos de lenguaje cuando el asistente o la generación de tesis estén activados.
- Proveedores de datos de mercado: Finnhub, Financial Modeling Prep, Yahoo Finance, SEC EDGAR, CNMV, FRED, GDELT, CelesTrak y otras fuentes gratuitas configuradas.
- Hosting y base de datos: Vercel (frontend), Render o equivalente (data engine), MongoDB Atlas (autenticación y datos auxiliares), PostgreSQL gestionado.
- Almacenamiento y búsqueda: MinIO o Garage (documentos), Qdrant (índice vectorial) y Redis (cola/caché).
- Correo transaccional: el proveedor SMTP que configure el responsable para avisos y restablecimiento de contraseña.
Regiones y transferencias internacionales: [PENDIENTE].
5. Conservación
- Documentos financieros: por defecto 2.555 días (7 años), configurable con
FINANCIAL_DOCUMENT_RETENTION_DAYS. Al caducar se borran el original, los fragmentos y los vectores, y se conserva una referencia tombstone sin contenido para que las decisiones históricas sigan siendo auditables. - Preguntas crudas de telemetría del chat: por defecto 90 días, configurable con
CHAT_TELEMETRY_RETENTION_DAYS. - Solicitudes de acceso: por defecto 365 días, expiradas por TTL en MongoDB; configurable con
ACCESS_REQUEST_RETENTION_DAYS. - Copias de seguridad: [PENDIENTE: plazo y procedimiento de expiración].
6. Tus derechos
Puedes solicitar acceso, rectificación, supresión, limitación, portabilidad y oposición. Desde /security puedes descargar una copia completa en JSON y borrar tu cuenta y todos sus datos. El borrado elimina PostgreSQL, documentos originales, vectores y sesiones; es irreversible.
También puedes reclamar ante la autoridad de control competente: [PENDIENTE: AEPD u otra autoridad según jurisdicción].
7. Seguridad y código fuente
Aplicamos aislamiento por cuenta, autenticación firmada entre frontend y data engine, y restricciones de acceso a datos. Ningún sistema es infalible: si detectas un problema de seguridad, usa el canal de contacto indicado arriba.
El código de GerarAI se publica bajo la licencia AGPL-3.0. Puedes consultarlo en github.com/nicogarrr/GerarAI. El código fuente correspondiente a la versión desplegada debe estar disponible para los usuarios del servicio.
8. Cambios
Podemos actualizar esta política para reflejar cambios legales o técnicos. La fecha de la última revisión y los cambios relevantes se publicarán en esta página. [PENDIENTE: procedimiento de notificación].