Política de privacidad

Cambios en esta versión: una nueva sección sobre cookies y almacenamiento local; qué envía zn-gate desde tu máquina, el contenido exacto de los registros de evidencia por endpoint y su conservación de 90 días, y la beta privada de Teams y su lista de espera.

Información general

zn («nosotros», «nuestro» o «nos») se compromete a proteger tu privacidad. Esta Política de privacidad explica qué datos nos llegan y cómo los usamos y protegemos cuando usas zn-gate, nuestra API y panel opcionales en la nube, la beta privada de Teams y este sitio web.

zn-gate: qué sale de tu máquina

zn-gate es software de código abierto (MIT) que se ejecuta en tu máquina. Por defecto no nos envía nada a nosotros ni a nadie más. No tiene cuenta, y zn-gate (1.4.1 y posteriores) no envía telemetría.

Nunca se envía, en ninguna configuración: la salida de las herramientas, los argumentos de las llamadas a herramientas y las descripciones de las herramientas MCP y de sus parámetros. Se evalúan solo en local.

Comprobación opcional en la nube: solo si defines a la vez ZN_CLOUD=1 y una clave de API, el texto de los prompts que analizas con analyze_prompt o zn-gate analyze se envía a nuestra API en la nube. Los secretos (claves de API, tokens, claves privadas y credenciales similares) se ocultan en tu máquina antes de construir la solicitud. La versión 1.4.1 no oculta otros datos personales de ese texto, así que no actives la comprobación en la nube para prompts que contengan datos personales que no quieras enviar. ZN_LOCAL_ONLY=true prevalece sobre ZN_CLOUD=1, y zn-gate status muestra lo que envía tu configuración.

El panel local de evidencias de zn-gate se sirve en localhost y su registro se queda en tu máquina.

Información que recopilamos

Información de la cuenta: dirección de email, nombre de la empresa (opcional) e información de facturación cuando contratas un plan de pago (la procesa Polar, nuestro Merchant of Record o vendedor legal).

Datos de uso: número de llamadas a la API, métricas de latencia y estadísticas agregadas sobre tus patrones de uso.

Datos de evidencia: cuando nuestra API en la nube analiza una entrada en busca de prompt injection, generamos registros de evidencia a efectos de auditoría, como se describe más abajo.

Datos de Teams: si participas en la beta privada de Teams, los metadatos de la organización, de los miembros y de auditoría que se describen en la sección de Teams más abajo.

Lista de espera: si te apuntas a la lista de espera de Teams, tu dirección de email y la página desde la que te apuntaste.

Procesamiento con IA y conservación

Solo evidencias: almacenamos registros de evidencia: veredicto, confianza, regla, versiones de las reglas y del modelo, latencia, marcas de tiempo y metadatos de la solicitud (un hash SHA-256 de la entrada, su tamaño en bytes y en caracteres, qué clave de API se usó, mostrada como su prefijo de 12 caracteres más un identificador unidireccional, y de dónde llegó la llamada: el endpoint, el host de la cabecera Origin y la familia de cliente, como zn-gate npm/PyPI con su versión, navegador, curl u otro). Nunca almacenamos el User-Agent en bruto ni tu dirección IP en los registros de evidencia. Fuera de Contributor Mode, descrito más abajo, NO conservamos el contenido original del prompt después del análisis.

Sin conservación de entradas (todos los planes): en todos los planes (Free, Pro, Scale y Team), tu texto de entrada se procesa en memoria y se descarta inmediatamente después del análisis. Nunca almacenamos ni registramos ese contenido, ni entrenamos con él. (Contributor Mode es la excepción documentada más abajo.)

Sin copias de la entrada: fuera de Contributor Mode, los registros de evidencia nunca contienen tu entrada. Los registros creados desde el 12 de octubre de 2026 a las 12:24 UTC incluyen un hash SHA-256 de la entrada, para que puedas demostrar a qué texto exacto se refiere un veredicto: calcula el hash del mismo texto por tu parte y compáralo. Un hash no se puede revertir, pero una entrada muy corta o predecible (por ejemplo, «hello») se puede adivinar calculando el hash de candidatos, así que trata el hash como parte del registro, no como un dato anónimo. Los registros anteriores no llevan hash. Cada registro tiene además un ID de evidencia aleatorio que puedes citar en auditorías.

Periodo de conservación: los registros de evidencia caducan automáticamente a los 90 días, sea cual sea el endpoint que los creó. Puedes solicitar la eliminación de cualquier registro en cualquier momento.

Cifrado: los registros de evidencia y los datos de la cuenta están cifrados en reposo (AES-256, cifrado gestionado por AWS). Las claves de API se almacenan con hash y cifradas con AWS KMS.

Exportación: puedes exportar los registros de evidencia en CSV o JSON desde tu panel en cualquier momento.

Acceso: en el producto, los registros de evidencia solo son visibles para la cuenta que los generó, en el Evidence Vault de tu panel. Las entradas fuera de Contributor Mode nunca se guardan, así que no hay nada que leer. Los extractos de Contributor Mode solo son accesibles para el equipo de zn, para mejorar los modelos.

Telemetría de Contributor Mode

Si te apuntas a Contributor Mode (que se ofrece con algunas ayudas para startups e investigación), un extracto depurado de cada entrada analizada con la API actual (los primeros 1.000 caracteres, con los emails, los bearer tokens, las claves de API y las cadenas hexadecimales largas ocultados automáticamente) se almacena junto con su registro de evidencia durante un máximo de 90 días y se usa para mejorar los modelos de detección de zn. La ocultación automática no detecta todos los datos personales en texto libre, así que no envíes datos personales sensibles en este modo. La participación es voluntaria y se limita a Contributor Mode; al pasar a un plan de pago dejamos de recoger extractos de las solicitudes nuevas, y puedes pedirnos en cualquier momento que eliminemos los extractos almacenados.

Zero Data Retention en los planes de pago

Todos los planes (Free, Pro, Scale y Team) funcionan con Zero Data Retention (sin conservación de datos) para las entradas fuera de Contributor Mode: las entradas se evalúan en memoria volátil y se eliminan inmediatamente después del veredicto; solo se conservan los metadatos de evidencia descritos más arriba. Los planes de pago nunca entrenan modelos con datos de clientes.

Teams (beta privada)

Teams se ofrece como beta privada por invitación. Si tu organización participa, tratamos:

• Datos de la organización: nombre de la organización, asientos y estado de la suscripción, direcciones de email y roles de los miembros, e invitaciones pendientes (que caducan a los 7 días).
• Políticas: las políticas que publican tus administradores, con su historial de versiones. Las políticas se refieren a los secretos solo por su nombre, nunca por su valor.
• Instalaciones conectadas: un ID de instalación aleatorio, el agente, el sistema operativo y la versión de zn-gate, y cuándo se vio por última vez. La clave de auditoría de cada instalación se almacena cifrada con AWS KMS y solo se usa para verificar la integridad de su registro de auditoría.
• Eventos de auditoría (solo si la subida está activada): metadatos de cada decisión: marca de tiempo, nombre del secreto, modo, agente, herramienta, nombre del comando, host de destino, decisión y un motivo breve, además de campos de secuencia e integridad. Nunca valores de secretos, salida de herramientas, argumentos completos de comandos, rutas de archivos ni prompts. Los eventos de auditoría caducan automáticamente a los 180 días. Las exportaciones se registran con fecha, autor, formato, número de filas y hash.

Los datos de Teams son visibles para los miembros de tu organización según su rol.

Lista de espera de Teams

Si te apuntas a la lista de espera de Teams, guardamos tu dirección de email, la página desde la que te apuntaste y cuándo lo hiciste. Solo la usamos para contactarte sobre la beta de Teams, no la compartimos con herramientas de marketing ni de seguimiento de terceros, y la eliminamos cuando nos lo pidas.

Cookies y almacenamiento local

No usamos cookies de analítica, publicidad ni seguimiento, y el sitio no carga scripts de terceros. Cuando inicias sesión, Auth0 crea dos cookies de sesión, y el panel guarda tus tokens de sesión en el almacenamiento local de tu navegador. El contador de visitas no almacena direcciones IP ni datos personales. Los registros de seguridad de nuestra API conservan las direcciones IP durante 30 días.

Cómo usamos tu información

• Para prestar y mantener nuestro servicio
• Para tramitar tu suscripción y la facturación
• Para enviarte comunicaciones relacionadas con el servicio
• Para gestionar la beta privada de Teams y contactar con las personas de su lista de espera
• Para mejorar nuestros modelos de detección (métricas agregadas y, además, extractos de Contributor Mode, como se describe más arriba)
• Para cumplir obligaciones legales

Seguridad de los datos

Aplicamos medidas de seguridad estándar del sector, entre ellas el cifrado en tránsito (TLS 1.3) y el cifrado en reposo (AES-256, gestionado por AWS); las claves de API se almacenan con hash y cifradas con KMS. Nuestra infraestructura funciona sobre AWS, cuyos centros de datos cuentan con las certificaciones SOC 2 Tipo II e ISO 27001. zn en sí todavía no tiene la certificación SOC 2 ni la ISO 27001; nuestra hoja de ruta de cumplimiento está publicada en la página Política de seguridad.

Tus derechos

Tienes derecho a:

• Acceder a tus datos personales
• Rectificar los datos inexactos
• Solicitar la eliminación de tus datos
• Oponerte a determinados tratamientos o limitarlos
• Exportar tus datos en un formato portable
• Darte de baja de las comunicaciones comerciales
• Presentar una reclamación ante tu autoridad de control de protección de datos

Contacto

Para consultas sobre privacidad, escríbenos a hello@usezn.com o contáctanos en X @use_zn.

Para informes de seguridad, el puerto seguro (safe harbor) y nuestra hoja de ruta de cumplimiento, consulta la Política de seguridad. Para los subencargados del tratamiento y las condiciones de tratamiento de datos, consulta DPA y subencargados.