Cómo tratamostus datos.

G2-F está construido sobre AWS y alojado íntegramente en la UE (Fráncfort, eu-central-1). Funcionamos sobre Kubernetes gestionado (EKS) y mantenemos nuestros entornos separados: desarrollo, staging y producción. Aún no contamos con certificaciones formales como SOC 2 o ISO 27001. Seguimos prácticas de seguridad ampliamente aceptadas y trabajamos hacia una certificación formal a medida que crecemos.

El acceso a los sistemas de producción sigue el principio de mínimo privilegio y se limita a un pequeño número de ingenieros. La autenticación se gestiona mediante un flujo de inicio de sesión único con sesiones acotadas a nuestro dominio, y las contraseñas se almacenan cifradas (bcrypt). Evaluamos de forma continua a los proveedores externos y subencargados antes de integrarlos.

Todo el tráfico hacia y dentro de nuestra plataforma se cifra en tránsito mediante TLS. Los datos en reposo, incluyendo documentos y bases de datos, se cifran con el cifrado gestionado de nuestro proveedor cloud. Los documentos se suben directamente al almacenamiento de objetos (S3) y se procesan dentro de nuestra infraestructura en la UE.

Nuestros subencargados principales son Amazon Web Services (alojamiento, almacenamiento, región UE) y Microsoft Azure OpenAI (extracción de campos). Desplegamos cambios mediante un pipeline automatizado y versionado, de modo que los despliegues son reproducibles y auditables.

Jeff, nuestro agente de IA, clasifica, extrae, concilia y cruza documentos financieros. La comprensión de documentos se ejecuta en nuestros propios modelos con GPU para OCR y parsing, y la extracción de campos usa Azure OpenAI. Tus datos nunca se utilizan para entrenar ni ajustar ningún modelo, ni el nuestro ni el de nuestros proveedores. Azure OpenAI procesa las peticiones sin retenerlas para entrenamiento.

Cada sesión de usuario está aislada lógicamente, con sus propios datos de trabajo y separación en el servidor. Jeff opera únicamente dentro de la conversación: no tiene acceso a shell ni a ejecución de código. Sus salidas están diseñadas para apoyar el juicio profesional, no reemplazarlo. La revisión humana sigue siendo parte esencial de cada flujo de auditoría.

G2-F actúa como encargado del tratamiento conforme al RGPD y trata los datos personales únicamente siguiendo tus instrucciones documentadas, con la finalidad de prestar el servicio. Practicamos la minimización de datos, ofrecemos un Acuerdo de Encargo de Tratamiento (DPA) a cada cliente y apoyamos los derechos de los interesados. Si se produjera una brecha de datos personales, lo notificaríamos a los clientes afectados sin dilación indebida.

Dado que Jeff asiste en la verificación financiera pero no la decide de forma autónoma, mantenemos la supervisión humana sobre las salidas de IA en todo momento, en línea con los principios del Reglamento Europeo de IA. Somos transparentes sobre lo que el sistema puede y no puede hacer.

Los datos personales se tratan solo para los fines que nos indicas, y se conservan únicamente el tiempo necesario para prestar el servicio. Los documentos subidos y los datos derivados pueden eliminarse a petición.

Somos un equipo pequeño y enfocado, y las responsabilidades de protección de datos están claramente asignadas internamente. A medida que crecemos, estamos formalizando nuestras políticas, monitorización y procedimientos de respuesta a incidentes. Preferimos decirte honestamente dónde estamos antes que exagerar nuestra madurez.