2. Como Usamos tu Informacion
Los datos recopilados se utilizan exclusivamente para los siguientes propositos:
- Prestacion del Servicio: Sincronizacion de datos financieros con Charles Schwab, calculo de metricas de rendimiento, generacion de reportes, gestion de portafolios y ejecucion de operaciones autorizadas.
- Asistente de IA: Procesamiento de consultas del usuario sobre su cartera, generacion de respuestas contextuales y titulos de conversacion.
- Seguridad y proteccion: Deteccion de dispositivos nuevos, monitoreo de accesos, prevencion de uso no autorizado, limitacion de intentos de login, gestion de sesiones y registro de eventos de seguridad.
- Operaciones del negocio: Administracion de cuentas, gestion de suscripciones, soporte tecnico y comunicacion con usuarios.
- Comunicacion: Alertas operativas via Telegram (dirigidas al administrador), notificaciones del sistema y avisos de seguridad.
- Mejora del Servicio: Analisis de uso agregado y anonimizado para mejorar funcionalidades, rendimiento y experiencia de usuario.
- Cumplimiento legal: Respuesta a solicitudes legales, obligaciones regulatorias y ejercicio de derechos.
No utilizamos tu informacion para publicidad, marketing de terceros, venta de datos ni elaboracion de perfiles con fines publicitarios.
3. Aislamiento de Datos
Cada cliente opera sobre una instancia dedicada con su propia base de datos PostgreSQL. Los datos de un cliente estan fisicamente separados de los de otros clientes. No existe acceso cruzado entre instancias. Las politicas de seguridad a nivel de fila (Row Level Security / RLS) proporcionan una capa adicional de proteccion.
El acceso a los datos de clientes esta limitado al personal autorizado de AssetPilot, unicamente cuando es necesario para la prestacion del Servicio, soporte tecnico o cumplimiento de obligaciones legales. Los ambientes de produccion, desarrollo y pruebas estan segregados.
4. Almacenamiento y Seguridad
- Los datos se almacenan en servidores de Supabase (infraestructura AWS, certificada SOC 2 e ISO 27001) con encriptacion en reposo.
- Los tokens de acceso a Charles Schwab se almacenan encriptados con AES-256-GCM.
- Todas las comunicaciones se realizan exclusivamente mediante HTTPS/TLS.
- La autenticacion soporta MFA (autenticacion multifactor) con TOTP (Google Authenticator, Authy o compatible).
- Las sesiones expiran por inactividad (30 minutos) y tienen un maximo absoluto de 8 horas.
- El sistema implementa limitacion de intentos de login con bloqueo progresivo tras 5 intentos fallidos.
- Se realizan backups automaticos semanales con encriptacion. Los backups estan aislados por cliente.
Implementamos medidas de seguridad comercialmente razonables para proteger tu informacion. Sin embargo, ningun sistema de transmision o almacenamiento electronico es 100% seguro. No podemos garantizar la seguridad absoluta de tu informacion, aunque nos esforzamos continuamente por mejorar nuestras protecciones.
5. Cookies y Tecnologias de Rastreo
AssetPilot utiliza unicamente cookies y tecnologias de almacenamiento estrictamente necesarias para el funcionamiento de la plataforma:
- Cookies de autenticacion (Supabase Auth): Necesarias para mantener tu sesion activa y verificar tu identidad. Son cookies de primera parte y se eliminan al cerrar sesion o al expirar la sesion.
- Almacenamiento local (localStorage): Utilizado para almacenar preferencias de interfaz, estado de sesion del chat y configuracion de la vista. Estos datos permanecen en tu navegador y no se transmiten a servidores de terceros.
- Huella de dispositivo: Un identificador generado a partir de caracteristicas de tu navegador y sistema operativo, utilizado exclusivamente para deteccion de dispositivos nuevos y proteccion de seguridad.
No utilizamos cookies de terceros para publicidad ni rastreo entre sitios. No utilizamos Google Analytics, Facebook Pixel ni ninguna herramienta de tracking publicitario. No participamos en redes de publicidad comportamental.
Respetamos la senal Global Privacy Control (GPC) de tu navegador. Si tu navegador envia una senal GPC, la tratamos como una solicitud valida de no venta y no comparticion de informacion personal, conforme a la legislacion aplicable.
6. Terceros y Proveedores de Servicio
AssetPilot utiliza los siguientes proveedores de servicio para operar la plataforma. Cada proveedor procesa datos exclusivamente en nuestro nombre y bajo acuerdos contractuales que limitan el uso de la informacion al proposito especificado.
Infraestructura y hosting
- Supabase (AWS): Base de datos PostgreSQL y autenticacion. Almacena todos los datos de la plataforma (datos financieros, datos de cuenta, datos de uso, logs de seguridad). Ubicacion: Estados Unidos (us-east).
- Vercel: Hosting del frontend y ejecucion de funciones serverless (APIs). Procesa datos de uso, direcciones IP y solicitudes HTTP. Ubicacion: Edge global, primario en Estados Unidos.
- Railway: Hosting del servicio de streaming de datos de mercado. Procesa datos de precios y cotizaciones en tiempo real. Ubicacion: Estados Unidos.
Servicios de datos
- Charles Schwab: Fuente de datos financieros mediante API OAuth 2.0 autorizada por el usuario. AssetPilot accede a posiciones, balances, transacciones y datos de mercado. La autorizacion puede revocarse en cualquier momento (ver Seccion 15).
Inteligencia artificial
- Anthropic (Claude): Motor del asistente de IA. Recibe mensajes del usuario, datos de cartera incluidos en el contexto (posiciones, balances, metricas de rendimiento) y contexto de la vista actual. Anthropic no utiliza estos datos para entrenar sus modelos de IA. Ubicacion: Estados Unidos. Ver detalles en Seccion 7.
Comunicaciones
- Telegram: Canal de alertas operativas dirigidas exclusivamente al administrador del sistema. Las alertas pueden contener informacion sobre el estado del sistema, errores y metricas agregadas. No se envian datos personales identificables de usuarios finales a traves de este canal.
Mantenemos acuerdos de procesamiento de datos (DPAs) con nuestros proveedores principales, que los obligan a proteger la informacion conforme a estandares de seguridad adecuados y a no utilizar los datos para propositos distintos a los especificados contractualmente.
No vendemos, alquilamos ni compartimos datos personales o financieros con terceros para fines de marketing, publicidad ni elaboracion de perfiles publicitarios.
7. Inteligencia Artificial y Decisiones Automatizadas
AssetPilot integra un asistente de inteligencia artificial basado en Claude (Anthropic) que permite a los usuarios realizar consultas sobre su cartera de inversiones.
Que datos procesa la IA
- Los mensajes que envias al asistente de IA.
- Datos de tu cartera incluidos como contexto: posiciones, balances, metricas de rendimiento (TWR, alpha, P&L), datos de mercado y composicion del portafolio.
- Contexto de la vista que estas viendo en la plataforma al momento de la consulta.
Como se procesan los datos
- Los datos se envian a los servidores de Anthropic en Estados Unidos a traves de su API comercial.
- Anthropic retiene los datos de las consultas (prompts y respuestas) por un periodo limitado conforme a su politica de retencion, que actualmente es de hasta 30 dias para fines de deteccion de abuso y seguridad.
- Anthropic no utiliza los datos enviados a traves de su API comercial para entrenar ni mejorar sus modelos de IA.
Decisiones automatizadas
- El asistente de IA es una herramienta exclusivamente informativa. No toma decisiones de inversion, no ejecuta operaciones financieras y no genera recomendaciones automatizadas vinculantes.
- Las respuestas del asistente pueden contener informacion incorrecta o incompleta. No sustituyen el asesoramiento financiero profesional.
- Toda operacion financiera requiere accion explicita del usuario o del administrador autorizado.
Tu opcion de no usar la IA
El uso del asistente de IA es completamente opcional. Podes utilizar todas las demas funcionalidades de la plataforma (dashboard, reportes, trading, administracion) sin interactuar con el asistente de IA. Si preferis no enviar datos al motor de IA, simplemente no utilices la funcion de chat.
8. Retencion de Datos
Los datos se retienen mientras el Servicio este activo. Los periodos de retencion varian segun la categoria de datos:
- Datos financieros y de cuenta: Mientras la cuenta este activa. Tras la terminacion del Servicio, los datos se exportan al cliente y se eliminan dentro de los 60 dias siguientes.
- Historial de conversaciones (chat IA): 90 dias desde la creacion de cada conversacion. Las conversaciones inactivas se eliminan automaticamente.
- Logs de seguridad: Historial de inicio de sesion, eventos de seguridad y registros de dispositivos se retienen por 1 ano para fines de auditoria y deteccion de fraude.
- Datos de auditoria del sistema: Resultados de auditorias automaticas y metricas historicas se retienen por 1 ano.
- Backups: Los backups se eliminan dentro de los 90 dias posteriores a la terminacion de la relacion comercial.
Determinados datos podrian retenerse por periodos mas prolongados cuando sea necesario para cumplir con obligaciones legales, regulatorias o fiscales aplicables.
9. Tus Derechos
Sujeto a la legislacion aplicable y a ciertas excepciones, tenes los siguientes derechos respecto a tu informacion personal:
- Derecho a saber / acceder: Podes solicitar informacion sobre las categorias de datos personales que recopilamos, las fuentes, los propositos y los terceros con quienes los compartimos. Tambien podes solicitar una copia de los datos especificos que tenemos sobre vos.
- Derecho a eliminar: Podes solicitar la eliminacion de los datos personales que hemos recopilado, sujeto a excepciones legales (como datos necesarios para completar una transaccion, cumplir obligaciones legales o ejercer derechos legales).
- Derecho a corregir: Podes solicitar la correccion de datos personales inexactos que mantenemos sobre vos.
- Derecho a la portabilidad: Donde la legislacion lo permita, podes solicitar una copia de tu informacion personal en un formato estructurado, de uso comun y lectura mecanica.
- Derecho a restringir el procesamiento: Podes solicitar que limitemos el uso de tu informacion personal sensible a lo estrictamente necesario para la prestacion del Servicio.
- Derecho a optar por la no venta: AssetPilot no vende ni comparte tu informacion personal para publicidad. Si esto cambiara en el futuro, te proporcionaremos un mecanismo de opt-out.
- Derecho a la no discriminacion: No te penalizaremos ni degradaremos el Servicio por ejercer cualquiera de tus derechos de privacidad.
- Derecho a revocar el acceso a Schwab: Podes revocar la autorizacion de acceso a tus datos de Charles Schwab en cualquier momento desde la configuracion de seguridad de tu cuenta Schwab.
Como ejercer tus derechos
Para enviar una solicitud de privacidad, contactanos a:
Plazos de respuesta
Responderemos a solicitudes verificadas dentro de 45 dias desde la recepcion. Si necesitamos tiempo adicional, te notificaremos la extension y el motivo. La extension no excedera 45 dias adicionales (90 dias en total).
Verificacion de identidad
Podemos necesitar verificar tu identidad antes de procesar tu solicitud. Esto puede incluir confirmar tu direccion de email asociada a la cuenta o proporcionar informacion adicional que nos permita confirmar razonablemente que sos la persona autorizada. No solicitaremos informacion sensible innecesaria para la verificacion.
Agente autorizado
Podes designar a un agente autorizado para que ejerza tus derechos en tu nombre. En ese caso, podemos requerir prueba de autorizacion (como un poder notarial o una autorizacion firmada por vos) y verificar tu identidad directamente.
Proceso de apelacion
Si no estas conforme con nuestra respuesta a tu solicitud, podes presentar una apelacion contactandonos a privacy@assetpilot.app con el asunto "Apelacion de privacidad". Revisaremos tu apelacion y responderemos dentro de los 45 dias siguientes. Si la apelacion es denegada, te informaremos sobre tu derecho a presentar una queja ante la autoridad regulatoria competente de tu estado.
10. Derechos de Privacidad por Estado
Dependiendo de tu lugar de residencia, las leyes de privacidad estatales pueden otorgarte derechos adicionales sobre tu informacion personal. Esta seccion describe los derechos aplicables bajo las principales leyes estatales de privacidad de Estados Unidos.
Marco comun de derechos
Las leyes de privacidad de California (CCPA/CPRA), Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA), Texas (TDPSA), Oregon (OCPA) y otros estados con legislacion vigente otorgan derechos similares que incluyen: derecho de acceso, derecho de eliminacion, derecho de correccion, derecho a la portabilidad, derecho a optar por la no venta de datos y derecho a la no discriminacion. Estos derechos estan detallados en la Seccion 9.
California (CCPA/CPRA)
Si sos residente de California, la California Consumer Privacy Act (CCPA), enmendada por la California Privacy Rights Act (CPRA), puede otorgarte derechos adicionales, incluyendo:
- Derecho a limitar el uso de informacion personal sensible: La informacion financiera se considera informacion personal sensible bajo la ley de California. Podes solicitar que limitemos su uso a lo necesario para prestar el Servicio.
- Derecho a saber sobre decisiones automatizadas: Si utilizamos tecnologias de decision automatizada que produzcan efectos legales o significativamente similares, podes solicitar informacion sobre la logica involucrada.
- "Shine the Light" (Cod. Civ. Cal. 1798.83): Podes solicitar informacion sobre la divulgacion de datos personales a terceros para sus fines de marketing directo. AssetPilot no divulga informacion personal a terceros para sus fines de marketing directo.
Categorias de informacion personal recopilada
Conforme a las categorias definidas por la CCPA, recopilamos:
- Identificadores: Nombre, email, direccion IP.
- Informacion financiera: Balances de cuenta, posiciones de inversion, transacciones.
- Actividad de internet o red electronica: Historial de inicio de sesion, paginas visitadas, datos de sesion.
- Informacion de dispositivos: Tipo de navegador, sistema operativo, huella de dispositivo.
- Inferencias: Metricas de rendimiento, puntajes de riesgo y alertas derivadas de los datos recopilados.
No venta ni comparticion de datos
AssetPilot no vende informacion personal segun la definicion de la CCPA. No compartimos informacion personal para publicidad comportamental entre contextos (cross-context behavioral advertising). Por lo tanto, no se requiere un enlace "No Vender ni Compartir mi Informacion Personal".
Virginia, Colorado, Connecticut, Texas y Oregon
Si residis en alguno de estos estados, tenes derechos sustancialmente similares a los descritos anteriormente (acceso, eliminacion, correccion, portabilidad y opt-out). Donde la legislacion lo contemple, tambien tenes derecho a apelar nuestra respuesta a tu solicitud. Para ejercer tus derechos, contactanos segun se indica en la Seccion 9.
Datos financieros y regulacion federal
Ciertos datos financieros procesados por la plataforma pueden estar sujetos a la Gramm-Leach-Bliley Act (GLBA) u otras regulaciones federales de privacidad financiera. En la medida en que datos especificos esten regidos por estas leyes federales, pueden estar exentos de ciertos requisitos de leyes estatales de privacidad. No obstante, aplicamos protecciones de privacidad consistentes a toda la informacion personal, independientemente de su estatus de exencion.
11. Privacidad de Menores
AssetPilot no esta dirigido a personas menores de 18 anos. No recopilamos intencionalmente informacion personal de menores de edad. El uso de nuestro Servicio requiere capacidad legal para celebrar contratos y para ser titular o beneficiario de cuentas de inversion.
Si tomamos conocimiento de que hemos recopilado informacion personal de un menor sin el consentimiento parental verificable correspondiente, eliminaremos esa informacion de nuestros sistemas de forma inmediata. Si crees que hemos recopilado inadvertidamente informacion de un menor, contactanos a privacy@assetpilot.app.
12. Transferencias de Datos
Tus datos se procesan y almacenan en servidores ubicados en Estados Unidos. Nuestros proveedores de servicio (Supabase/AWS, Vercel, Anthropic, Railway) operan principalmente en Estados Unidos bajo sus respectivos acuerdos de procesamiento de datos y mantienen certificaciones de seguridad apropiadas.
Si accedes al Servicio desde fuera de Estados Unidos, tene en cuenta que tus datos seran transferidos a y procesados en Estados Unidos, donde las leyes de proteccion de datos pueden diferir de las de tu jurisdiccion.
13. Notificacion de Brechas de Seguridad
En caso de un incidente de seguridad que comprometa la confidencialidad de tu informacion personal, nos comprometemos a:
- Notificarte dentro de los plazos requeridos por la ley aplicable a tu jurisdiccion (generalmente no mas de 30 a 60 dias desde el descubrimiento del incidente).
- Informarte sobre la naturaleza del incidente, las categorias de datos potencialmente afectados, las medidas que hemos tomado para contener y remediar la situacion, y las acciones que te recomendamos tomar.
- Notificar a las autoridades regulatorias correspondientes segun lo exija la ley aplicable.
La notificacion se realizara por email a la direccion registrada en tu cuenta. Si no disponemos de una direccion de email valida, la notificacion se realizara mediante un aviso visible en la plataforma.
14. Cambios a esta Politica
Podemos actualizar esta Politica de Privacidad periodicamente para reflejar cambios en nuestras practicas de datos, en la legislacion aplicable o en las funcionalidades del Servicio.
- Te notificaremos de cualquier cambio material por email y/o mediante un aviso visible en la plataforma al menos 30 dias antes de que el cambio entre en vigor.
- Los cambios materiales seran destacados para facilitar su identificacion.
- La fecha de "Ultima actualizacion" en la parte superior de esta politica se actualizara con cada modificacion.
Tu uso continuado del Servicio despues de la fecha de efectividad de los cambios constituye la aceptacion de la politica modificada. Si no estas de acuerdo con los cambios, podes solicitar la terminacion de tu cuenta contactandonos a privacy@assetpilot.app.
15. Datos de Charles Schwab
AssetPilot no esta afiliado, asociado, autorizado, respaldado ni de ninguna manera oficialmente conectado con Charles Schwab Corporation ni con ninguna de sus filiales o subsidiarias. El nombre Charles Schwab, asi como las marcas y logotipos relacionados, son marcas comerciales registradas de sus respectivos titulares.
Autorizacion y acceso
AssetPilot accede a tus datos financieros en Charles Schwab unicamente mediante el protocolo OAuth 2.0, que requiere tu autorizacion explicita. En ningun momento AssetPilot almacena las credenciales de acceso a tu cuenta de Schwab (usuario y contrasena).
Precision de los datos
Los datos financieros mostrados en AssetPilot provienen de la API de Charles Schwab. Si bien nos esforzamos por presentar informacion precisa y actualizada, AssetPilot no garantiza la exactitud, integridad ni oportunidad de los datos proporcionados por Schwab. Para informacion financiera oficial y definitiva, consulta directamente tu cuenta en Charles Schwab.
Revocacion del acceso
Podes revocar la autorizacion de AssetPilot para acceder a tus datos de Schwab en cualquier momento:
- Inicia sesion en tu cuenta de Charles Schwab en schwab.com.
- Accede a la seccion de configuracion de seguridad o aplicaciones autorizadas de terceros.
- Localiza la autorizacion de AssetPilot y selecciona "Revocar" o "Eliminar acceso".
Al revocar el acceso, AssetPilot dejara de recibir datos actualizados de Schwab. Los datos historicos ya almacenados se retendran segun lo descrito en la Seccion 8, salvo que solicites su eliminacion.