1. Resumen Ejecutivo y Principios Fundamentales
En Zatec (en adelante "Zatec", "Zatec Labs" o "nosotros") aplicamos estándares de ingeniería rigurosos tanto a nuestro software como al tratamiento de la información corporativa. Tu empresa y tus operaciones mantienen en todo momento la titularidad absoluta de sus datos y procesos.
Cero Venta de Datos
No comercializamos, alquilamos ni cedemos bases de datos ni información operativa a data brokers ni a terceros publicitarios.
Cero Entrenamiento en IA
Los datos y conversaciones procesados por nuestros agentes de IA nunca se utilizan para entrenar modelos fundacionales públicos.
Aislamiento por Cliente
Las automatizaciones operan en infraestructura dedicada (droplet propio de DigitalOcean o servidor local), evitando bases compartidas.
Control y Revocación
Podés revocar accesos en cualquier instante desde Google Permissions o solicitar la supresión de datos con resolución en 48 hs.
2. Arquitectura de Ciberseguridad e Infraestructura n8n
La orquestación de flujos de trabajo se diseña bajo el principio de Mínimo Privilegio (Least Privilege) y aislamiento multi-tenant:
- Entornos Aislados: Las instancias de n8n se despliegan típicamente en la infraestructura privada del cliente (VPS de DigitalOcean, AWS o servidor propio). Zatec no centraliza las credenciales de múltiples clientes en una base de datos única y vulnerable.
- Cifrado de Credenciales en Reposo: Todas las credenciales, llaves de API, webhooks y tokens OAuth se almacenan encriptados bajo el estándar criptográfico AES-256 mediante una variable de entorno local única (
N8N_ENCRYPTION_KEY). - Cifrado en Tránsito (TLS 1.3): Toda comunicación entre el navegador, la plataforma de automatización, las bases de datos y las APIs externas se ejecuta obligatoriamente bajo canales cifrados TLS 1.3 con certificados SSL/TLS automáticos y renovados.
- Protección Perimetral: Servidores protegidos por firewalls de red (UFW/Cloudflare), acceso SSH exclusivo mediante claves criptográficas Ed25519 y desactivación de autenticación por contraseña.
- Acuerdo de Confidencialidad (NDA): Todo compromiso de consultoría, desarrollo o mantenimiento se encuentra respaldado por un acuerdo legal vinculante de confidencialidad y propiedad intelectual a favor del cliente.
3. Portal de Clientes (`clientes.zateclabs.com`) y Agentes de IA
Para clientes con servicios activos de mantenimiento o Agentes de IA, proveemos acceso a nuestro panel de supervisión en clientes.zateclabs.com.
Roles en el Tratamiento de Datos
A los efectos de la Ley 25.326 y estándares internacionales (RGPD):
- El Cliente es el Responsable del Tratamiento (Data Controller): Es el dueño de la relación con sus usuarios finales, leads y pacientes, y define qué procesos se automatizan.
- Zatec actúa como Encargado del Tratamiento (Data Processor): Procesa la información técnica únicamente bajo mandato contractual para ejecutar los flujos y brindar soporte.
Observabilidad de Mensajes y Transcripciones
Los logs y conversaciones gestionadas por los agentes de IA (WhatsApp, Webchat o CRM) son accesibles desde el Portal Zatec por el cliente y por el equipo de ingeniería de Zatec exclusivamente para auditoría de calidad operativa, detección de fallas, monitoreo de disponibilidad y ajuste de prompt engineering acordado contractualmente.
Garantía Taxativa de No-Entrenamiento (Zero Data Retention / No Training Policy)
Garantizamos que ningún dato, mensaje, comprobante ni información sensible del cliente o sus usuarios se utiliza ni se compartirá con terceros para desarrollar, entrenar, reentrenar o mejorar modelos fundacionales de Inteligencia Artificial (tales como OpenAI GPT, Anthropic Claude o Google Gemini).
Zatec consume únicamente APIs comerciales e interfaces para desarrolladores protegidas por cláusulas enterprise de privacidad donde el proveedor tiene contractualmente prohibido entrenar sobre los datos enviados.
4. Integraciones de Google (OAuth 2.0 & Service Accounts)
Esta sección aplica a la aplicación Zatec (registrada operativamente en Google Cloud Console bajo Zatec Labs o GestionZatec) y a los flujos operativos conectados al dominio oficial zateclabs.com.
Arquitectura de Conexión: Service Accounts vs. OAuth 2.0
Para maximizar la seguridad y evitar fricciones de conexión con Google Workspace, aplicamos dos esquemas:
Cuentas de Servicio (Recomendado B2B)
Para Google Drive y Google Sheets corporativos, utilizamos cuentas de servicio dedicadas con acceso acotado exclusivamente a carpetas o archivos compartidos. No requiere pantallas de login interactivo ni gestión de tokens personales.
Google OAuth 2.0
Utilizado cuando se requiere autorización explícita de un usuario para operar sobre su calendario personal (Google Calendar) o enviar notificaciones transaccionales desde su casilla de correo (Gmail).
Alcances (Scopes) Mínimos Solicitados
| Servicio | Scope Solicitado | Finalidad Operativa Exclusiva |
|---|---|---|
| Google Sheets | spreadsheets | Lectura y sincronización de registros con ERPs y planillas maestras. |
| Google Drive | drive.file | Creación y archivado de reportes generados por las automatizaciones. |
| Google Calendar | calendar.events | Agendamiento y confirmación automática de citas operativas. |
| Gmail | gmail.send | Envío de confirmaciones transaccionales y alertas de flujos n8n. |
⇄ Deslizá horizontalmente para ver la tabla completa
Cláusula Obligatoria de Uso Limitado (Google API Limited Use Disclosure)
Declaración Oficial de Uso Limitado / Limited Use Requirement
El uso y la transferencia por parte de Zatec a cualquier otra aplicación de la información recibida a través de las APIs de Google se ajustarán estrictamente a la Política de Datos de Usuario de los Servicios de las APIs de Google, incluidos los requisitos de Uso Limitado (Limited Use Requirements).
Affirmative Limited Use Statement:
"The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements."
"Zatec's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements."
Restricciones Estrictas de Uso y Prohibición de Entrenamiento de IA/ML
En cumplimiento estricto con los requerimientos para aplicaciones que interactúan con datos de Google Workspace y APIs de Google:
- Prohibición de Entrenamiento de Modelos IA/ML (No AI Model Training): Los datos de usuario sin procesar, derivados o agregados/anonimizados obtenidos a través de las APIs de Google Workspace (como Drive, Gmail, Sheets o Calendar) no se utilizan, no se transferirán ni se compartirán bajo ninguna circunstancia para desarrollar, mejorar o entrenar modelos de Inteligencia Artificial o Machine Learning (ni propios ni de terceros).
- No Transferencia a Servicios de IA para Entrenamiento: Ningún dato de Google Workspace es enviado a proveedores o APIs de IA de terceros que utilicen dicha información para entrenar sus propios modelos fundacionales o comerciales.
- Uso Exclusivo para Funcionalidades Directas del Usuario: Los datos obtenidos de Google APIs se emplean única y exclusivamente para proveer y optimizar las funciones visibles solicitadas por el cliente en sus flujos operativos (ej. sincronizar una fila de Google Sheets con su ERP o crear un evento en Google Calendar).
- Prohibición de Publicidad y Venta: Queda terminantemente prohibida la venta, comercialización, cesión a data brokers o utilización de datos de Google para fines publicitarios, remarketing o evaluación de solvencia crediticia.
Políticas de Retención, Protección y Eliminación de Datos
- Acceso Mínimo Requerido: Se accede únicamente a los datos indispensables para ejecutar la automatización solicitada (principio de Least Privilege).
- Retención Cero de Datos en Tránsito: Los flujos operativos procesan la información en memoria temporal únicamente durante la ejecución del webhook o tarea, sin almacenar copias de emails, archivos o calendarios en bases de datos intermedias, salvo logs de auditoría técnica temporal exigidos para debugging.
- Cifrado y Seguridad: Los tokens de autenticación OAuth y las llaves de Service Accounts se almacenan cifrados con algoritmo AES-256 en reposo y viajan siempre a través de TLS 1.3.
- Revocación en 1 Clic: El usuario puede revocar de forma inmediata cualquier permiso concedido a Zatec accediendo al panel oficial de Google en myaccount.google.com/permissions.
- Eliminación Definitiva de Credenciales: Ante la solicitud de baja de servicio o revocación por parte del cliente, todos los tokens, credenciales y registros vinculados son destruidos irreversiblemente en un plazo máximo de 48 horas hábiles.
6. Derechos del Titular (Ley 25.326) y Canal de Contacto
De conformidad con la Ley Nacional 25.326 de Protección de los Datos Personales de la República Argentina, tenés derecho a acceder, rectificar, actualizar o solicitar la supresión de tus datos de nuestros registros.
La Agencia de Acceso a la Información Pública (AAIP), en su carácter de Órgano de Control de la Ley N° 25.326, tiene la atribución de atender las denuncias y reclamos que se interpongan con relación al incumplimiento de las normas sobre protección de datos personales.
Oficina de Privacidad y Ciberseguridad
Para consultas técnicas, auditoría de credenciales, firma de NDA o ejercicio de derechos ARCO:
Menos de 48 horas hábiles
Buenos Aires, República Argentina