1. Quiénes somos y qué cubre esta política
WIRKY Group, Lisbon, Portugal | Casablanca, Morocco («Qalion», «nosotros») publica la plataforma Qalion. Para los datos descritos en las secciones 2 a 10 (tu cuenta, tus inicios de sesión, la facturación, nuestras comunicaciones contigo, los datos técnicos del Servicio) somos el responsable del tratamiento: decidimos por qué y cómo se tratan.
Para el contenido que tu organización introduce en Qalion para probar sus propias aplicaciones (casos de prueba, conjuntos de datos, entornos, capturas de pantalla y otras evidencias), tu organización es la responsable y nosotros somos encargados del tratamiento, actuando según sus instrucciones. La sección 11 describe ese tratamiento.
Esta política se aplica al sitio web, la aplicación, la API, el software de túnel local y nuestros correos electrónicos. No cubre los sitios o servicios de terceros a los que enlazamos o que conectas a Qalion.
2. Los datos que recogemos
Datos de la cuenta. Al registrarte recogemos tu nombre, apellidos, dirección de correo electrónico y una contraseña, que almacenamos solo como hash con sal. Puedes añadir una foto de perfil. Si inicias sesión con Google o Microsoft, recibimos de ellos tu nombre, tu dirección de correo, si la han verificado y un identificador estable de tu cuenta en el proveedor; nunca recibimos tu contraseña en el proveedor.
Datos de seguridad. Si activas la autenticación de dos factores almacenamos su secreto, cifrado, y códigos de recuperación con hash. Cada inicio de sesión, registro, restablecimiento de contraseña, cambio de ajustes de seguridad y aceptación de estos documentos se registra con la fecha, la dirección IP, el navegador (user agent), el dispositivo que indica y el país derivado de la dirección IP con una base de datos sin conexión (no se llama a ningún servicio externo). Las sesiones se conservan como registros de tokens de actualización.
Datos de organización y facturación. Las organizaciones que creas o a las que te unes, tu rol en ellas, las invitaciones que envías o recibes y, para el propietario de la organización, el nombre de la empresa, la dirección y los identificadores fiscales usados en las facturas, el plan, el saldo de créditos y el historial de pagos. Los datos de tarjeta los recoge y almacena Stripe, nuestro procesador de pagos; solo recibimos un token, los últimos dígitos de la tarjeta y su caducidad.
Datos de uso y contenido. Lo que haces en la aplicación: los proyectos, casos de prueba, requisitos, planes, ejecuciones, problemas y conversaciones con Qalion AI que creas, las integraciones que conectas, las claves de API que emites, tus preferencias de idioma y visualización. El contenido de tus pruebas se describe en la sección 11.
Comunicaciones. Los mensajes que nos envías (soporte, solicitudes de demostración, suscripciones al boletín) y la información que incluyes: nombre, correo, empresa, mensaje. Una solicitud de demostración que nunca se confirma con su enlace se elimina cuando el enlace caduca.
Datos técnicos. Registros del servidor con dirección IP, hora, ruta solicitada y estado de la respuesta, conservados por seguridad y operación; informes de error de la aplicación; los datos necesarios para aplicar límites de frecuencia (un identificador de red con hash y de corta duración).
3. Para qué usamos estos datos y con qué base legal
Tratamos tus datos:
- para prestar el Servicio que solicitaste: crear y proteger tu cuenta, permitirte iniciar sesión, ejecutar tus pruebas, facturar a tu organización, responder a tus solicitudes (ejecución de nuestro contrato contigo);
- para mantener el Servicio seguro: detectar robos de cuenta, abusos y fraude, aplicar límites de frecuencia, investigar incidentes, conservar registros de auditoría (nuestro interés legítimo en proteger el Servicio y a sus usuarios, y nuestras obligaciones legales);
- para comunicarnos contigo sobre el Servicio: correos de verificación y seguridad, notificaciones que activaste, cambios en estos documentos, avisos operativos importantes (ejecución del contrato e interés legítimo);
- para enviarte las comunicaciones comerciales que aceptaste recibir, como el boletín; puedes darte de baja en cualquier momento con el enlace de cada mensaje (consentimiento);
- para entender cómo se usa el Servicio y mejorarlo, con datos agregados o seudonimizados siempre que sea posible (interés legítimo);
- para cumplir la ley: contabilidad, fiscalidad, respuesta a solicitudes legítimas de las autoridades (obligación legal).
No vendemos datos personales ni usamos tu contenido para entrenar modelos de IA.
La aplicación usa solo cookies estrictamente necesarias. Son seis, y estas son todas:
- qalion_access_token — identifica tu sesión en cada petición; 15 minutos, no legible por scripts;
- qalion_refresh_token — renueva la sesión para no pedirte iniciar sesión de nuevo; 30 días, no legible por scripts;
- qalion_csrf_token — un valor que la aplicación lee y devuelve en una cabecera, para que una petición hecha por otro sitio no pueda pasar por tuya; 30 días, y la única cookie que los scripts pueden leer, que es justo para lo que existe;
- qalion_oauth_flow — acompaña un inicio de sesión con Google o Microsoft durante su redirección; 10 minutos, se borra al volver;
- qalion_mcp_oauth_state — acompaña una conexión con una herramienta como Jira o GitHub durante su redirección de autorización; 10 minutos, se borra al volver;
- qalion_consent — recuerda tu respuesta al aviso de cookies, para no volver a preguntarte; 6 meses, legible por los scripts, que es para lo que sirve.
Cada una se envía solo al host de Qalion que la creó, con SameSite=Lax. Donde el Servicio se sirve por HTTPS sus nombres llevan el prefijo __Host-, que impide que otro host del mismo dominio coloque una. Se establecen al iniciar sesión y se eliminan al cerrarla o cuando caducan. qalion_consent es la excepción: se crea cuando respondes al aviso y la comparten qalion.ai y sus subdominios (la aplicación y la documentación), para que respondas una sola vez.
Puedes borrarlas o bloquearlas desde los ajustes de tu navegador. Estás en tu derecho en ambos casos, y en ambos cerrarás la sesión: no hay forma de seguir conectado sin la cookie de sesión, porque es la que identifica la sesión.
El almacenamiento local de tu navegador guarda preferencias que permanecen en tu dispositivo: el idioma de la interfaz, el estado de la barra lateral y ajustes de visualización similares. No contienen ningún identificador tuyo y nunca se envían a nuestros servidores.
No usamos cookies publicitarias ni colocamos rastreadores de analítica de terceros en el Servicio. Si eso cambia, pediremos primero tu consentimiento, en un aviso, y actualizaremos esta política.
5. Tratamiento por IA
Qalion ejecuta pruebas y responde en Qalion AI con grandes modelos de lenguaje alojados por proveedores terceros (sección 6). Para ello les enviamos las instrucciones de la prueba, el contenido de las páginas que visita el agente (texto, estructura y capturas de pantalla), las filas de datos que usa una prueba y tus mensajes a Qalion AI, durante el tratamiento. Elegimos proveedores cuyos términos prohíben entrenar con datos de clientes y que eliminan la petición una vez respondida o tras un breve periodo.
Las trazas de cada llamada al modelo (qué se envió, qué volvió, el coste) se conservan para el registro del agente de la ejecución y para la facturación, y se archivan después de 90 días (sección 8). Evita poner en tus pruebas datos personales que la prueba no necesite.
Compartimos datos personales solo con proveedores que los tratan por nuestra cuenta, bajo contratos que les obligan a la confidencialidad, la seguridad y nuestras instrucciones (nuestros encargados), y con las autoridades cuando la ley lo exige. Nuestros principales encargados son:
- Amazon Web Services: alojamiento de la aplicación y sus bases de datos, almacenamiento de objetos para subidas y artefactos de ejecución, copias de seguridad y envío de nuestros correos transaccionales;
- Stripe: procesamiento de pagos, facturación y gestión de disputas de pago;
- proveedores de modelos de IA, como Anthropic y los demás proveedores de nuestra lista de encargados, para las funciones de IA descritas en la sección 5;
- Google y Microsoft, cuando eliges iniciar sesión con ellos (solo identidad);
- las herramientas de terceros que tu organización decide conectar (Jira, Linear, Sentry, servidores MCP…), que reciben lo que la integración configurada les envía.
Dentro de tu organización, sus miembros ven tu nombre, tu foto, tu rol y el trabajo que haces en ella, tal como el producto los muestra. Si somos parte de una fusión, adquisición o venta de activos, tus datos pueden transferirse al sucesor, bajo esta política, y se te informará.
7. Dónde se almacenan los datos y transferencias internacionales
Los datos de tu organización se almacenan en la región acordada al crear la organización y no los replicamos a otra región. Algunos encargados, en particular los proveedores de modelos de IA y los proveedores de pago o identidad, pueden tratar datos en otros países. Cuando ocurre, nos basamos en las garantías que exige la legislación de protección de datos aplicable, como las cláusulas contractuales tipo. Puedes pedirnos una copia de esas garantías en hello@qalion.ai.
8. Cuánto tiempo conservamos los datos
Conservamos los datos personales solo mientras la finalidad lo requiere; después los eliminamos o anonimizamos:
- datos de la cuenta: durante la vida de la cuenta, y se eliminan cuando la eliminas, con sujeción a los plazos siguientes;
- registros de auditoría de inicio de sesión y trazas de modelos de IA: 90 días en nuestros sistemas activos, después se archivan en el almacenamiento de objetos para investigaciones de seguridad y disputas de facturación, donde se conservan el tiempo que exigen la ley y nuestros contratos;
- sesiones: un token de actualización vive 30 días desde su último uso; los tokens caducados o sustituidos se eliminan en un día;
- casos de prueba, planes y ejecuciones eliminados: restaurables desde la Papelera durante 30 días, después se eliminan;
- registros de facturación: mientras lo exijan la normativa contable y fiscal;
- solicitudes de demostración: se eliminan si nunca se confirman una vez caducado su enlace; el identificador de red de las demás se borra a los dos días;
- copias de seguridad de la base de datos: copias automáticas con restauración a un punto en el tiempo e instantáneas previas a cada despliegue, conservadas 30 días y luego expiradas; un dato eliminado de la base activa sale de las copias cuando estas expiran.
Cuando eliminas tu cuenta, tus datos personales se retiran de la base de datos activa de inmediato, salvo lo que debemos conservar durante los plazos anteriores. Las organizaciones de las que eras único propietario deben transferirse o eliminarse antes.
9. Cómo protegemos los datos
El tráfico se cifra en tránsito (TLS). Las contraseñas se almacenan con un hash lento y con sal y se comprueban contra listas conocidas de contraseñas filtradas. Los secretos de dos factores, los tokens de integración y otras credenciales se cifran en reposo antes de llegar a la base de datos y nunca se devuelven al navegador una vez guardados. Los datos de cada organización están particionados y cada petición comprueba que quien llama es miembro de la organización propietaria de los datos. El acceso de nuestro equipo se limita a lo que exige una solicitud de soporte explícita y queda registrado.
Las acciones sensibles (eliminar una cuenta, cambiar los ajustes de seguridad) requieren un inicio de sesión reciente. Mantenemos copias de seguridad, monitorización y un procedimiento de respuesta a incidentes; si una brecha afecta a tus datos de forma que suponga un riesgo para ti, te informaremos a ti y a la autoridad competente como exige la ley.
10. Tus derechos
Conforme a las leyes de protección de datos aplicables, como el RGPD, tienes derecho a acceder a tus datos, a que se corrijan o eliminen, a limitar u oponerte a su tratamiento, a recibirlos en un formato portable y a retirar un consentimiento en cualquier momento sin afectar a lo hecho antes. Puedes hacer gran parte tú mismo: tu perfil te permite cambiar tu nombre, foto, contraseña y ajustes de seguridad, exportar los datos de tu organización y eliminar tu cuenta.
Para todo lo demás, escribe a hello@qalion.ai. Respondemos en un mes, ampliable dos meses para solicitudes complejas, y podemos pedirte que confirmes tu identidad. Si crees que no hemos respetado tus derechos, puedes presentar una reclamación ante tu autoridad de protección de datos.
Si eres miembro de una organización, algunas solicitudes sobre datos de los que tu organización es responsable deben dirigirse a ella; le ayudaremos a responder.
11. Los datos que tu organización trata mediante Qalion
Las aplicaciones que prueba tu organización, los datos de prueba que usa, las páginas que visita el agente y las evidencias que recoge pueden contener datos personales de los usuarios o del personal de tu organización. Para esos datos, tu organización es la responsable y nosotros los tratamos solo según sus instrucciones documentadas: ejecutar las pruebas que configura, almacenar y mostrar los resultados a sus miembros y mantener el Servicio seguro.
Ayudamos a tu organización a cumplir sus obligaciones: puede elegir la región donde se almacenan sus datos, exportarlos y eliminarlos, restringir quién los ve dentro de la organización y cifrar las credenciales de sus entornos de prueba. Le notificamos las brechas de datos personales que afecten a su contenido y solo contratamos encargados listados en la sección 6 o notificados con antelación. Un acuerdo de tratamiento de datos está disponible previa solicitud en hello@qalion.ai.
Tu organización debería evitar probar con datos personales reales cuando puedan usarse datos de prueba, y no debería introducir categorías especiales de datos en Qalion sin un acuerdo escrito con nosotros.
12. Menores
El Servicio está destinado a profesionales y no se dirige a menores. No recogemos a sabiendas datos de menores de 16 años. Si crees que un menor nos ha facilitado datos personales, escribe a hello@qalion.ai y los eliminaremos.
13. Cambios en esta política
Podemos actualizar esta política a medida que cambien el Servicio, la ley o nuestros proveedores. La versión y su fecha se muestran al principio de esta página. Para un cambio sustancial, te avisaremos en la aplicación o por correo electrónico antes de que entre en vigor, y te pediremos que confirmes la lectura de la nueva versión en tu siguiente inicio de sesión.