Privacy Policy

C-NDA Protocol™ es operado por WitUp Ltd, una sociedad registrada en Inglaterra y Gales con el número de sociedad 16572774, IVA GB499506632, con domicilio social en 71–75 Shelton Street, Covent Garden, London WC2H 9JQ, Reino Unido.

Para cualquier pregunta sobre esta página, o para ejercer cualquiera de los derechos descritos a continuación, escribe a hub@witup.ai. Los titulares de cuentas también pueden iniciar una exportación de datos o eliminar su cuenta directamente desde Ajustes → Privacidad.

Para tu propia cuenta (tu perfil, tu plan, tu facturación) somos el responsable del tratamiento: decidimos qué se recoge y por qué.

Para el material que proteges (las contrapartes que invitas, los documentos que registras, lo que se dice en una reunión que proteges) tú eres el responsable del tratamiento y nosotros actuamos como tu encargado del tratamiento: tratamos esos datos siguiendo tus instrucciones, para entregar la evidencia que nos pediste producir. Lo único que decidimos nosotros es la integridad de la evidencia, y de eso trata el capítulo sobre inmutabilidad que aparece a continuación.

Datos de la cuenta: tu dirección de correo electrónico y el nombre, la empresa, el país y el uso previsto que nos das al registrarte, además del idioma de la interfaz y, si subes uno, tu logotipo. Base legal: ejecución de nuestro contrato contigo.

Datos del plan y de facturación: tu plan, tus contadores de uso mensual y tu identificador de cliente de Stripe. Los datos de las tarjetas de pago nunca llegan a nuestros sistemas: el proceso de pago y la gestión de la suscripción se realizan en las páginas propias de Stripe. Stripe recoge tu dirección de facturación y, si la facilitas, tu número de IVA. Conservamos una copia en bruto de los eventos de facturación que Stripe nos envía, para que un pago siempre pueda conciliarse. Base legal: contrato y nuestra obligación legal de conservar registros contables.

Cómo nos encontraste: ya no recogemos esto. Hasta el 24 August 2026, al llegar al sitio con un enlace de campaña se almacenaban los parámetros de campaña, un código de referencia y el sitio de procedencia en una cookie propia, que después se copiaba en tu cuenta. Si te registraste antes de esa fecha, esos datos siguen en tu cuenta y aparecen en la exportación que puedes solicitar desde tus ajustes; pídenoslo y lo eliminaremos. Base legal, mientras duró: nuestro interés legítimo en saber qué canales nos trajeron usuarios.

Consentimiento de marketing: solo si marcas la casilla al crear tu cuenta, y nunca dentro del acto de firma de un acuerdo, lo que haría que el consentimiento fuera condicional y, por tanto, nulo. Puedes retirarlo en cualquier momento.

Lista de espera: mientras los registros están abiertos por oleadas, la página de registro recoge un nombre y una dirección de correo electrónico con un único propósito: invitarte cuando se abra una plaza. No los usamos para nada más, no enviamos marketing a esa dirección a menos que posteriormente aceptes recibirlo, y avisamos a nuestra propia bandeja de entrada de que te has unido. Base legal: los pasos que nos pediste dar antes de celebrar un contrato. Escribe a hub@witup.ai para que te eliminemos de la lista en cualquier momento.

Datos del firmante, para cada persona invitada a firmar: el nombre que declara, su dirección de correo electrónico, opcionalmente su empresa y cargo, cómo se identificó y el momento exacto en que se identificó y aceptó. En el momento de la aceptación también registramos su dirección IP y el agente de usuario del navegador, porque eso es lo que hace que la aceptación sea demostrable. Para una reunión protegida, el consentimiento para la grabación es una casilla separada y obligatoria junto a la firma, y también se registra su marca temporal.

Para una reunión protegida también pedimos a cada firmante el nombre con el que aparecerá en la sala, para que la persona que firmó pueda vincularse a un mosaico de la reunión. Cuando un mosaico no pueda vincularse automáticamente, y siempre que un participante se una sin cámara, el anfitrión confirma la vinculación desde el panel de la sesión, y esa confirmación se registra como un evento dentro del paquete de evidencia sellado, con el momento en que se dio y quién la dio.

Un participante que se une a una reunión protegida sin cámara se identifica con dos factores en lugar de uno, una passkey y un código de un solo uso enviado a su dirección de correo electrónico, y el certificado indica claramente que así es como se identificó, que no era visible en la sala y que el anfitrión lo confirmó.

Datos de la reunión, para una reunión protegida: la grabación (audio y vídeo solo cuando tu plan lo ofrezca y lo actives), capturas de pantalla periódicas de la vista de los participantes, los nombres visibles de las personas en la sala y cuánto tiempo estuvo presente cada una, la transcripción automática, el registro de eventos de lo que ocurrió durante la llamada y, si lo solicitas y lo confirmas, un resumen generado por IA.

Datos de error: cuando algo falla, se envía un informe técnico de error a nuestro proveedor de monitorización. Las cabeceras de autorización, las cookies, los cuerpos de las solicitudes, los enlaces de reunión y los códigos de un solo uso se eliminan antes de que se envíe. No hay repetición de sesiones ni analítica en ninguna parte de este sitio.

La base de datos, la autenticación y los documentos están alojados en Supabase en la Unión Europea, región de Frankfurt. Las grabaciones de reuniones y las capturas de pantalla se almacenan en Cloudflare R2, en un bucket creado con jurisdicción de la UE. El portal se ejecuta en Vercel; el testigo de grabación se ejecuta en un contenedor alojado por Railway en Amsterdam.

Lo que se publica en la cadena de bloques pública es solo un hash criptográfico de 32 bytes, con una marca de tiempo y la dirección de nuestra propia cartera. No contiene ningún nombre, ninguna dirección de correo electrónico, ninguna dirección IP ni ningún contenido, y no se puede revertir para obtener ninguno de ellos.

The use of information received from Google Workspace scopes will adhere to the Google User Data Policy, including the Limited Use requirements.

Ese compromiso vincula todos los datos de usuario de Google que recibimos, y esto es exactamente lo que recibimos hoy.

Si eliges “Continuar con Google” para iniciar sesión, recibimos el perfil básico que Google devuelve para el inicio de sesión (tu nombre, tu dirección de correo electrónico y tu foto de perfil) y lo usamos solo para crear y abrir tu cuenta. No solicitamos ningún permiso adicional.

Si eliges conectar tu Google Calendar (una función opcional que activas tú mismo, tras una pantalla de consentimiento de Google independiente), solicitamos un permiso adicional de solo lectura: https://www.googleapis.com/auth/calendar.events.readonly. Con él leemos los eventos de tu calendario (título, hora de inicio y de fin, organizador, lista de invitados y enlace de la reunión) con un único propósito: reconocer las reuniones que quieres proteger, preparar la sesión y hacer que el testigo se una en el momento adecuado. Para mantener viva esa conexión guardamos un token de actualización de Google, almacenado cifrado y nunca enviado al navegador, junto con la dirección de correo electrónico de la cuenta de Google conectada. Desconectar el calendario de la aplicación elimina el token, y también puedes revocar nuestro acceso en cualquier momento desde la configuración de seguridad de tu Cuenta de Google.

Si prefieres no conectar nada, existe en su lugar la vía de la invitación: puedes invitar a nuestro propio buzón de C-NDA a una reunión, exactamente como invitarías a cualquier otro invitado. Nuestro sistema lee entonces las invitaciones que llegan a ese buzón (el título de la reunión, su hora de inicio y de fin, la dirección del organizador, la lista de invitados y el enlace de la reunión) con el mismo propósito. En ambos casos el enlace de la reunión se almacena cifrado; la dirección del organizador y el título de la reunión se almacenan para que podamos mostrarte la reunión y evitar prepararla dos veces.

Los datos recibidos de Google nunca se utilizan para servir publicidad, nunca se venden ni se transfieren a corredores de datos y nunca se utilizan para crear, entrenar o mejorar ningún modelo de aprendizaje automático o de inteligencia artificial. La información del calendario no se introduce en ningún prompt de IA. Ninguna persona de nuestro lado lee esos datos, salvo cuando nos has pedido que revisemos un problema concreto o cuando la seguridad o la ley lo exigen.

La mayor parte de los datos personales que tratamos pertenece a personas que no son nuestros clientes: la contraparte invitada a firmar, el compañero que asiste a una reunión protegida, el invitado incluido en una invitación enviada a nuestro buzón. Nos lo tomamos en serio y mantenemos la huella tan pequeña como permite la finalidad.

Un firmante invitado recibe un correo electrónico que indica quién lo invitó y qué se le pide firmar, se identifica antes de poder aceptar y, en el caso de una reunión, se le pide por separado y de forma explícita el consentimiento para ser grabado antes de que se capture nada. La base jurídica es el propio acuerdo, celebrado a petición suya; y, para nosotros como encargado del tratamiento, las instrucciones del cliente que lo invitó.

Para los invitados incluidos en una invitación enviada a nuestro buzón, la base jurídica es nuestro interés legítimo, y el del cliente, en preparar la reunión que nos pidieron proteger. Cualquiera de estas personas puede escribir a hub@witup.ai para preguntar qué datos tenemos sobre ella.

Cuando termina una reunión protegida, el certificado se emite automáticamente y se envía por correo electrónico a todas las personas vinculadas por él, a cada firmante y al anfitrión, junto con el resumen automático cuando el plan lo incluye. Tanto la transcripción como el resumen se etiquetan como automáticos y no revisados por nadie, porque en ese momento nadie los ha leído. El organizador de una reunión puede elegir, sesión por sesión, que el resumen se envíe solo después de que lo haya revisado; el certificado en sí nunca se retiene.

El testigo de grabación se une a la llamada con el nombre visible “C-NDA Protocol”, aparece en la lista de participantes como cualquier otra persona y está silenciado y sin cámara. Se une en silencio y no graba nada (ni un solo byte, incluidas las capturas de pantalla) hasta que el portal le indica que todas las personas requeridas han firmado y han dado su consentimiento. Si nadie firma, se marcha sin haber capturado nada.

Mientras graba, captura el audio de la reunión y, cuando el vídeo está habilitado, la pestaña de la reunión tal como se muestra, lo que incluye una pantalla compartida mientras se comparte. Toma capturas de pantalla periódicas de la vista de participantes. Lee los nombres visibles que aparecen en pantalla para registrar quién estuvo presente y durante cuánto tiempo. No lee el chat de la reunión, no lee tus otras pestañas, tu historial de navegación ni tus cookies, y nunca escribe el enlace de la reunión en ningún sitio.

Cuando la cobertura es incompleta (el testigo se desconectó, una pista de vídeo dejó de funcionar, se agotó un límite de tamaño), esa laguna se declara en el propio certificado. Nunca se oculta en silencio.

Antes de enviar cualquier audio para su transcripción, medimos si contiene voz en absoluto. Si no la contiene, no se envía nada, no se produce ninguna transcripción y el certificado lo indica. La misma comprobación se ejecuta después sobre lo que se recibe de vuelta: una transcripción cuyos segmentos no cubren la grabación se rechaza en lugar de sellarse.

Ambas son herramientas opcionales para la persona que organiza una reunión; un participante nunca instala nada. Ninguna de las dos almacena credenciales: actúan mediante la cookie de sesión que ya tienes en este sitio y, si no has iniciado sesión, te envían a la página de inicio de sesión. No contienen analítica, ni publicidad, ni código de seguimiento, y se comunican con C-NDA y con nada más.

La extensión de Chrome se ejecuta en páginas de meet.google.com con un único propósito: leer el código de la reunión a partir de la dirección de la página, para poder preguntar si esa reunión ya tiene una sesión de C-NDA. El código de la reunión nos llega como una huella unidireccional en lugar de como un enlace, y solo se compara con sesiones pertenecientes a tu propia cuenta.

Supabase: base de datos, autenticación y almacenamiento de documentos, en la UE (Fráncfort).

Cloudflare R2: almacenamiento para grabaciones y capturas de pantalla, en un bucket con jurisdicción de la UE.

Vercel: alojamiento para este sitio. Railway: alojamiento para el testigo de grabación, en Ámsterdam.

Stripe: suscripciones, pago y facturación. Stripe recibe tu dirección de correo electrónico, tu nombre y los datos de facturación que introduzcas en sus propias páginas.

Resend: entrega de correo electrónico transaccional: invitaciones, códigos de un solo uso, certificados, recordatorios y avisos de facturación.

La transcripción automática se ejecuta en nuestra propia infraestructura (un modelo de voz de código abierto en Railway, Ámsterdam): el audio de la reunión no se envía a ningún tercero para transcribirlo.

Google (Gemini, a través de Google AI Studio): en los planes que lo ofrecen, el borrador del resumen de una reunión. Esta es la transferencia más sustancial del sistema: se envía la transcripción completa para redactar el borrador del resumen. Google no recibe el audio.

DeepSeek (Hangzhou DeepSeek Artificial Intelligence, China): respaldo de emergencia solo para el borrador del resumen, utilizado cuando Google no responde. En ese caso, la transcripción completa se envía a DeepSeek, fuera de la Unión Europea; el resumen indica qué proveedor lo produjo. El audio nunca se envía.

Sentry: monitorización de errores para el portal y el testigo, con cabeceras de autorización, cookies, cuerpos, enlaces de reunión y códigos de un solo uso eliminados antes del envío, sin repetición de sesiones y con informes de errores entregados a la región de la UE.

Un proveedor de RPC (Alchemy): se usa solo para enviar el hash a la red Polygon y para leer la red de vuelta. No recibe ningún dato personal.

No vendemos datos personales y no los compartimos con anunciantes.

Grabaciones de reuniones en el plan Free: cada grabación se elimina 12 meses después de que termine la sesión, se haya certificado o no la sesión alguna vez, y te enviamos un correo electrónico 30 días antes de que ocurra. Una sesión que nunca se certificó no está exenta: simplemente nunca produjo un certificado, y conservar la grabación de una reunión que nadie llegó a sellar sería el peor resultado para las personas que fueron grabadas. El aviso siempre llega antes: si pasas de un plan de pago a Free con una grabación que ya tiene más de 12 meses, seguimos dándote los 30 días. En los planes de pago, la grabación se conserva hasta que nos pidas destruirla, lo cual puedes hacer en cualquier momento una vez certificada la sesión, o hasta 30 días después de que tu plan de pago termine sin renovarse (Términos §4): te enviamos un correo electrónico 7 días y 1 día antes de esa fecha, y una renovación cancela la eliminación. Destruir una grabación nunca afecta al certificado, a su paquete de evidencia ni a su anclaje: el hash permanece como evidencia de que la grabación existió tal como se certificó, y la destrucción queda registrada en la sesión.

Otros datos almacenados cuando termina un plan de pago: treinta días después de que un plan de pago termine sin renovarse, también eliminamos los archivos multimedia de sesiones que nunca se certificaron, los documentos subidos para protecciones que nunca se certificaron, tus exportaciones y tu logo, con los mismos dos avisos. Cada paso queda registrado con el recuento de lo que se eliminó.

Exportaciones de datos: el enlace de descarga que te enviamos por correo electrónico deja de funcionar a los 7 días, y puedes solicitar una exportación cada 24 horas. El propio archivo se elimina de nuestro almacenamiento cuando caduca ese enlace: lo que permanece es el registro de que lo solicitaste y la fecha en que eliminamos el archivo.

Invitaciones: una invitación a firmar caduca a los 7 días, y un registro independiente caduca a los 14 días si nadie lo acepta. Los códigos de un solo uso duran 10 minutos y permiten tres intentos. Los enlaces a una grabación, a un PDF de certificado o a un paquete de evidencia están firmados y caducan 10 minutos después de emitirse.

Certificados y paquetes de evidencia: se conservan mientras puedan necesitarse como evidencia y, en cualquier caso, durante al menos cinco años desde el sellado, que es el objetivo del producto. Véase el siguiente capítulo.

Invitaciones de reunión enviadas a nuestro buzón, eventos sin procesar de facturación y de reunión e informes de errores: todavía no hemos fijado un periodo de eliminación automática para estos, pero eliminar tu cuenta suprime de inmediato el contenido personal de los eventos sin procesar (véase el siguiente capítulo). Puedes pedirnos que los eliminemos en cualquier momento, y lo haremos salvo que conservarlos sea necesario para conciliar un pago o cumplir la ley.

Puedes solicitar acceso a tus datos, su corrección, una copia de ellos en un formato portable, su eliminación y la restricción del tratamiento, y puedes oponerte al tratamiento basado en nuestro interés legítimo. El acceso y la portabilidad son de autoservicio: Ajustes → Privacidad genera un archivo ZIP y te envía por correo electrónico un enlace.

Eliminar tu cuenta elimina de forma permanente tu perfil, tus protecciones y tus sesiones, junto con todo lo que contienen: títulos, borradores, transcripciones, resúmenes y registros de eventos. Algunas cosas sobreviven deliberadamente, y conviene que sepas cuáles.

Los certificados ya emitidos sobreviven, y también los registros de las personas que los firmaron: su nombre, correo electrónico, empresa, el momento en que aceptaron, y la dirección IP y el agente de usuario capturados en ese momento. Un certificado es evidencia que pertenece a cada parte vinculada, no solo a ti; tus contrapartes conservan su acceso a él durante todo el tiempo que lo conservemos, y cualquiera que tenga el código todavía puede confirmar que existe y está intacto.

El paquete de evidencia sellado no puede editarse. Una vez que su hash está anclado en la blockchain, cambiar un solo carácter destruiría la propia prueba que el paquete tiene por objeto aportar. Por eso el nombre, la dirección de correo electrónico, la dirección IP y el agente de usuario de cada firmante, junto con la transcripción y el registro de eventos de una reunión protegida, no pueden alterarse ni borrarse de un paquete que ya se ha anclado. Las correcciones no sobrescriben: producen un nuevo certificado en una cadena de revisiones documentada.

Lo que siempre podemos hacer es destruir la grabación almacenada de una reunión protegida, a petición y de forma irreversible, mientras el certificado sigue siendo válido: su hash permanece como prueba de que la grabación existió tal como se certificó. Ten en cuenta que destruir la grabación no elimina las capturas de pantalla periódicas ni la transcripción, que siguen formando parte del paquete sellado.

Los eventos brutos de facturación y de reunión que recibimos de Stripe y del testigo de grabación se conservan sin vínculo con tu cuenta, porque llegan antes de que sepamos de quién son y porque son lo que impide que el mismo evento se procese dos veces. Cuando eliminas tu cuenta, los redactamos: el contenido personal del evento (nombre de facturación, correo electrónico, dirección, número de IVA y los nombres mostrados de las personas que aparecen en una reunión) se sustituye, y solo permanecen el identificador del evento, su tipo y su marca temporal.

Los archivos almacenados se tratan en función de aquello de lo que son prueba. Eliminar tu cuenta borra tu logotipo, cualquier archivo de exportación de datos y las grabaciones, capturas de pantalla y documentos NDA subidos de protecciones que nunca se certificaron: ninguno de ellos está sellado dentro de nada. Lo que permanece es aquello a lo que apunta un certificado: PDF de certificados, paquetes de evidencia y la grabación y el documento subido de una protección certificada. Eliminar esos elementos destruiría la propia prueba que el paquete tiene por objeto aportar, y esa prueba pertenece a cada parte vinculada, no solo a ti. Pídenoslo y eliminaremos cualquier cosa tuya que no se requiera como prueba.

Si crees que hemos tratado mal tus datos, nos gustaría escucharlo primero en hub@witup.ai; también tienes derecho a presentar una reclamación ante tu autoridad de control de protección de datos.

Cualquier persona que tenga un código de certificado puede comprobarlo en c-nda.com/verify. Esa comprobación devuelve solo el código, el tipo de certificado, el hash del paquete, la transacción en la blockchain, las marcas temporales y el número de partes vinculadas. Ningún nombre, ninguna dirección de correo electrónico, ningún contenido.

También existe un registro público, y está desactivado de forma predeterminada. Un certificado aparece en él solo si su propietario lo activa, de uno en uno, y solo pueden publicarse tres campos: el título, los nombres declarados de las partes y sus empresas. Nunca una dirección de correo electrónico, una dirección IP, un documento o una transcripción. Puede retirarse del registro en cualquier momento.

Los datos se cifran en tránsito y, en reposo, nuestros proveedores de alojamiento los cifran. Además, los enlaces de reunión se cifran en la base de datos con una clave que nunca se envía al navegador y nunca aparece en páginas, registros ni mensajes: un enlace solo se descifra cuando el participante correspondiente ha firmado, de modo que antes de eso nadie puede leerlo en el navegador, incluidos nosotros. Los tokens de invitación y los códigos de un solo uso se almacenan solo como hashes, nunca en forma legible.

El acceso a la base de datos desde un navegador está cerrado mediante seguridad a nivel de fila en todas las tablas; las tablas que contienen datos de firmantes no tienen ninguna política legible por el cliente en absoluto y solo son accesibles a través de nuestro servidor, después de que se haya presentado un token de invitación válido.

Si cambiamos lo que hacemos con los datos personales, cambiamos esta página, y la versión y la fecha que figuran en la parte superior cambian con ella. Los cambios sustanciales se anunciarán a los titulares de cuentas por correo electrónico.

Esta política está redactada en inglés y se traduce por comodidad; si una traducción y el texto en inglés difieren, prevalece el texto en inglés, como establecen los Términos del Servicio.

WitUp Ltd: 71–75 Shelton Street, Covent Garden, London WC2H 9JQ, United Kingdom. Company No. 16572774 · VAT GB499506632. Solicitudes de privacidad: hub@witup.ai.