1. El nostre compromís
A Oquarto tractem les dades dels nostres usuaris i dels clients de les nostres eines professionals amb la màxima cura. Aquesta pàgina resumeix, de manera transparent i verificable, com protegim la informació: quines mesures de seguretat aplica la plataforma, on resideixen les dades, amb quins proveïdors treballem i com complim la normativa europea de protecció de dades.
Per a qualsevol consulta sobre privacitat o seguretat pot escriure’ns a privacy@oquarto.com.
2. Seguretat de la plataforma
- Autenticació de dos factors (TOTP): tots els comptes poden activar un segon factor d’autenticació basat en codis temporals (aplicacions com Google Authenticator o 1Password) des del seu perfil.
- Aïllament de dades per usuari i equip: la base de dades aplica Row Level Security (seguretat a nivell de fila), de manera que cada consulta només pot accedir a les dades de l’usuari o de l’equip autenticat. Les polítiques es reforcen per a les sessions que han verificat el segon factor.
- Credencials d’integracions xifrades en repòs: els tokens d’accés de les integracions de tercers (correu electrònic, WhatsApp, Google) s’emmagatzemen xifrats a la base de dades.
- Xifratge en trànsit i en repòs: totes les comunicacions es fan sobre TLS i tots els nostres proveïdors d’infraestructura xifren les dades en repòs.
3. Residència de dades a la Unió Europea
- Base de dades i emmagatzematge principal: el nostre projecte de Supabase (base de dades, autenticació i fitxers) està allotjat en una regió de la Unió Europea.
- Documents de la base de coneixement: s’emmagatzemen a Cloudflare R2 amb jurisdicció de dades de la Unió Europea.
- Servidors auxiliars: allotjats en un proveïdor europeu certificat ISO 27001, en centres de dades d’Alemanya i Finlàndia.
- Proveïdors d’intel·ligència artificial: el processament es fa als EUA a l’empara de Clàusules Contractuals Tipus (SCC) i, quan el proveïdor està certificat, del marc EU-US Data Privacy Framework.
4. Subencarregats i proveïdors
Treballem amb proveïdors d’infraestructura i serveis reconeguts. Les certificacions que s’indiquen són dels mateixos proveïdors i es poden verificar a les seves pàgines oficials de seguretat i compliment, enllaçades a continuació.
| Proveïdor | Servei | Regió | Certificacions públiques |
|---|---|---|---|
| Vercel | Allotjament i lliurament de l’aplicació web | Global (UE/EUA) | SOC 2 Type II, ISO 27001 |
| Supabase | Base de dades, autenticació i emmagatzematge | Unió Europea | SOC 2 Type II, HIPAA disponible |
| Cloudflare | CDN i emmagatzematge de documents (R2) | UE (R2 amb jurisdicció UE) | ISO 27001, ISO 27701, SOC 2 |
| Proveïdor d’infraestructura UE | Servidors auxiliars | UE (Alemanya/Finlàndia) | ISO 27001 |
| Stripe | Processament de pagaments | UE/EUA | PCI DSS nivell 1 |
| OpenAI | Models d’intel·ligència artificial | EUA | SOC 2 Type 2, CSA STAR, ISO/IEC 27001, 27017, 27018 i 27701 |
| Proveïdor de veu d’IA | Síntesi de veu i trucades amb IA | EUA | SOC 2 |
| Inici de sessió, integració de Gmail i geocodificació | Global | ISO 27001, SOC 2 | |
| Meta (WhatsApp) | Missatgeria per WhatsApp Business | Global | Informació de seguretat pública |
| Proveïdor de correu electrònic transaccional | Enviament de correu electrònic transaccional | EUA | SOC 2 Type II |
| Proveïdor d’orquestració de tasques | Orquestració de tasques en segon pla | EUA | SOC 2 Type II |
| PostHog | Analítica de producte | UE/EUA | SOC 2 Type II |
| Proveïdors d’inferència d’IA | Inferència de models d’IA (cerca, extracció i redacció assistida) | EUA | SOC 2 Type II (segons el proveïdor); llista nominal disponible per a clients sota DPA |
Les categories completes de subencarregats, amb els seus rols i els mecanismes de transferència internacional aplicables, estan disponibles a la nostra Política de Privacitat. La llista nominal detallada es facilita als clients en el marc de l’acord d’encàrrec de tractament (DPA) i es pot sol·licitar a privacy@oquarto.com.
5. IA responsable
- L’assistent telefònic s’identifica sempre com a assistent virtual a l’inici de la trucada.
- Les agències poden activar un avís d’assistent d’IA als missatges de text que envien els seus treballadors d’IA.
- Les accions dels treballadors d’IA queden registrades i poden ser supervisades per persones des de la plataforma.
- No es prenen decisions automatitzades que produeixin efectes jurídics per a les persones ni que les afectin de manera significativa similar.
- Els proveïdors d’IA amb què treballem no utilitzen les dades enviades a través de les seves API per entrenar els seus models, d’acord amb els seus termes empresarials.
6. Compliment normatiu
- Complim el Reglament general de protecció de dades (RGPD) i la Llei orgànica 3/2018 (LOPDGDD).
- Mantenim internament un registre d’activitats de tractament.
- Exercici de drets: pot exercir els seus drets d’accés, rectificació, supressió, oposició, limitació i portabilitat escrivint a privacy@oquarto.com. Responem en un termini màxim d’un mes.
- Notificació de bretxes: disposem d’un procediment per notificar a l’Agència Espanyola de Protecció de Dades (AEPD) en un termini de 72 hores les violacions de seguretat que suposin un risc per als drets de les persones, i per informar els afectats quan el risc sigui alt.
- DPA per a clients del CRM: l’acord d’encàrrec de tractament està inclòs com a Annex I dels nostres Termes i Condicions.
7. Cookies
El nostre bàner de cookies permet rebutjar les cookies no essencials a la primera capa, amb la mateixa facilitat que acceptar-les. El consentiment es pot retirar en qualsevol moment des de l’enllaç disponible al peu de pàgina. Més informació a la Política de Cookies.
Si detecta una vulnerabilitat de seguretat o té qualsevol dubte sobre aquesta pàgina, escrigui’ns a privacy@oquarto.com.