Alcance y marco legal
Esta Política de Privacidad explica qué datos personales trata OrionBIM, con qué fin, por cuánto tiempo, con quién los comparte y qué derechos tienes sobre ellos.
Aplicamos como referencia:
- El Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD), para usuarios en España y la Unión Europea.
- La Ley No. 172-13 sobre Protección Integral de Datos Personales de República Dominicana, mercado piloto del producto.
- Si te encuentras en otro país de Latinoamérica al que el Servicio se expanda, aplicaremos además la ley de protección de datos local vigente en ese momento (por ejemplo, LGPD en Brasil, o las leyes de México, Colombia o Chile). Hoy no operamos bajo un marco distinto de los dos anteriores, así que no describimos aquí obligaciones de leyes que todavía no aplicamos; actualizaremos esta sección cuando corresponda.
Responsable del tratamiento
El responsable del tratamiento es Razón social del prestador— dato pendiente de facilitar. El nombre de la sociedad que opera OrionBIM. No consta en ningún fichero del proyecto. Ir al anexo de datos por completar., con domicilio en Domicilio fiscal— dato pendiente de facilitar. La dirección registrada de esa sociedad. Ir al anexo de datos por completar..
Si se designa un Delegado de Protección de Datos conforme al RGPD/LOPDGDD, su nombre y contacto van aquí: Delegado de Protección de Datos— dato pendiente de facilitar. Nombre y contacto, si se designa uno conforme al RGPD/LOPDGDD. Puede no ser obligatorio. Ir al anexo de datos por completar..
Qué datos recopilamos
| Categoría | Ejemplos | Origen |
|---|---|---|
| Datos de cuenta | Nombre, correo, contraseña (con hash, nunca en claro), rol dentro de tu organización | Que tú nos das al registrarte |
| Datos de organización | Nombre de empresa, dominio de correo verificado, miembros invitados | Que tú nos das al crear o administrar la organización |
| Contenido de proyecto | Modelos BIM (Revit), documentos de norma, hallazgos, dictámenes, mediciones, historial de cambios | Que subes o que se genera al usar el Servicio |
| Conversación con el asistente de IA | Tus mensajes al chat, adjuntos que subas para que el asistente los lea, y la respuesta generada | Que tú generas al usar el asistente |
| Datos de conexiones externas | Tokens de acceso cifrados a Google, Microsoft, Slack, Dropbox o Autodesk que hayas conectado | El propio proveedor externo, tras tu autorización |
| Datos de uso y técnicos | Dirección IP, tipo de navegador o versión del complemento de Revit, registros de sesión, trazas de error | Generados automáticamente al usar el Servicio |
| Datos de facturación | Plan contratado, historial de pagos, últimos 4 dígitos de tarjeta (los procesa Stripe, no nosotros) | Stripe, al contratar un plan de pago |
| Datos de contacto comercial | Nombre, correo, empresa y mensaje, si solicitas una demostración o nos escribes desde el sitio | Que tú nos das voluntariamente |
No recopilamos categorías especiales de datos (salud, afiliación sindical, orientación sexual, etc.) como parte normal del Servicio. Si un modelo BIM o documento que subes contuviera incidentalmente ese tipo de dato —por ejemplo, en la ficha de un proyecto de un centro de salud—, se trata igual que cualquier otro Contenido del Cliente, bajo las mismas medidas de esta política.
Finalidad y base legal del tratamiento
| Finalidad | Base legal (RGPD) | Base legal (Ley 172-13) |
|---|---|---|
| Prestarte el Servicio: cuenta, proyectos, auditoría, coordinación | Ejecución de un contrato (Art. 6.1.b) | Consentimiento del titular o relación contractual |
| Seguridad, prevención de fraude y aislamiento entre organizaciones | Interés legítimo (Art. 6.1.f) | Interés legítimo del responsable |
| Facturación y cumplimiento fiscal | Obligación legal (Art. 6.1.c) o ejecución de contrato | Obligación legal |
| Soporte y comunicaciones transaccionales: invitaciones, cambios de plan, alertas | Ejecución de contrato | Relación contractual |
| Mejora del producto: analítica de uso agregada, no perfiles individuales | Interés legítimo | Interés legítimo |
| Comunicaciones comerciales, si te suscribes a novedades | Consentimiento (Art. 6.1.a) | Consentimiento |
No usamos tus datos personales para publicidad de terceros ni los vendemos.
Inteligencia artificial: cómo se procesan tus datos ahí
Esta sección existe porque el Servicio usa IA de forma central, y una política de privacidad que la omite no es honesta sobre lo que hace el producto.
- Proveedor de modelos de lenguaje: el asistente conversacional y las funciones de auditoría automatizada usan OpenRouter como intermediario, que enruta las solicitudes a modelos de Anthropic (familia Claude). Tus mensajes, y cualquier adjunto que subas al chat para que el asistente lo lea, se envían a través de OpenRouter al modelo configurado para procesar esa solicitud.
- Embeddings (memoria semántica): para las funciones de memoria y búsqueda semántica del asistente, el texto se convierte en vectores usando un modelo de Google (Gemini embeddings), también a través de OpenRouter.
- Qué NO hacemos: no entrenamos modelos propios ni de terceros con tu Contenido del Cliente. El uso de estos proveedores es para generar la respuesta a tu solicitud en el momento, no para mejorar un modelo ajeno con tus datos.
- Registro de sesiones: el Servicio guarda una traza de cada sesión de conversación —qué se pidió, qué herramienta se ejecutó, qué se respondió— para poder auditar si el asistente funcionó correctamente. Antes de escribirse a disco, esa traza pasa por un proceso de limpieza que quita correos y secretos detectables. Por defecto se conserva 30 días y luego se purga.
- Adjuntos en el chat: si tu plan tiene habilitada la función de adjuntar documentos al chat (PDF, DOCX, XLSX, CSV, TXT o imágenes con OCR), ese contenido se extrae como texto y se envía como parte de la conversación al modelo de lenguaje bajo las mismas condiciones que el resto de tu mensaje.
Con quién compartimos datos
No compartimos tus datos con terceros para fines propios de ellos. Sí trabajamos con proveedores que procesan datos en nuestro nombre, únicamente para prestarte el Servicio:
| Proveedor | Para qué | Qué recibe |
|---|---|---|
| Supabase | Base de datos (Postgres) y autenticación de cuenta | Datos de cuenta, organización y contenido de proyecto |
| AWS (Amazon S3) | Almacenamiento de archivos —modelos BIM, documentos, exportaciones— en la región de São Paulo | Los archivos que subes |
| OpenRouter / Anthropic | Procesamiento del asistente de IA | Tus mensajes al chat y adjuntos que envíes ahí |
| Generación de embeddings para memoria semántica; y, si conectas tu cuenta de Google, Gmail y Drive bajo tu autorización | Texto a vectorizar, o el contenido de tu cuenta de Google que autorices | |
| Resend | Envío de correos transaccionales: invitaciones, avisos de facturación, notificaciones | Tu dirección de correo y el contenido del correo enviado |
| Stripe | Procesamiento de pagos | Datos de facturación y de tarjeta (nosotros no los vemos) |
| Autodesk (APS) | Inicio de sesión con Autodesk; lectura de documentos de Construction Cloud/BIM 360 si conectas esa cuenta; generación de exportaciones en la nube | Identidad de Autodesk, documentos que autorices leer y el modelo que envíes a exportar |
| Microsoft, Slack, Dropbox, Power BI | Solo si conectas esas cuentas de forma voluntaria | El alcance exacto que apruebes en la pantalla de autorización de cada proveedor |
No usamos Supabase Storage para archivos —S3 es el único almacén de archivos del producto— ni compartimos tu Contenido del Cliente con un proveedor no listado aquí sin actualizar esta tabla primero.
Transferencias internacionales de datos
Dependiendo de dónde te encuentres, algunos de estos tratamientos implican enviar datos fuera de tu país:
- Tus archivos (modelos BIM, documentos) se almacenan en AWS S3, región São Paulo, Brasil — fuera de la Unión Europea y fuera de República Dominicana.
- El procesamiento del asistente de IA (OpenRouter/Anthropic) y de embeddings (Google) ocurre en la infraestructura de esos proveedores, cuya ubicación exacta de procesamiento no controlamos directamente.
- Stripe y Resend procesan datos de facturación y de correo desde su propia infraestructura, también fuera de República Dominicana y potencialmente fuera de la Unión Europea.
Para usuarios en la Unión Europea, esto exige un mecanismo de transferencia válido —por ejemplo, Cláusulas Contractuales Tipo con cada encargado—. Para usuarios en República Dominicana, la Ley 172-13 (Art. 6) permite la transferencia internacional cuando media tu consentimiento, es necesaria para ejecutar el contrato contigo, o encaja en alguna de las demás causales de la ley; el uso descrito en esta política encaja en la ejecución del contrato de Servicio que aceptas al registrarte.
Seguridad de los datos
Te contamos lo que hoy es cierto, no lo que nos gustaría prometer:
- Los tokens de acceso a cuentas de terceros que conectas (Google, Microsoft, Slack, Dropbox, Autodesk) se cifran en reposo antes de guardarse en la base de datos; nunca se guarda tu contraseña de esos proveedores.
- Las comunicaciones entre tu navegador o complemento de Revit y el Servicio viajan cifradas (HTTPS/TLS).
- El acceso administrativo interno a datos de clientes está restringido y registrado.
- No tenemos hoy una certificación de seguridad de terceros —tipo SOC 2 o ISO 27001— que podamos citar. Si la obtenemos, esta sección se actualizará con la referencia verificable.
Conservación y eliminación de datos
- Mientras tu cuenta esté activa, conservamos tus datos de cuenta y tu Contenido del Cliente para prestarte el Servicio.
- Trazas de conversación con el asistente de IA: 30 días por defecto, luego se purgan automáticamente. Es una configuración operativa, no una promesa contractual de un número exacto.
- Al eliminar tu cuenta u organización: iniciamos el proceso de baja, que incluye la eliminación de tu usuario del sistema de autenticación. El borrado completo de Contenido del Cliente en almacenamiento puede tardar un plazo operativo razonable tras la confirmación, por ejemplo para completar copias de seguridad en rotación.
- Puedes solicitar una exportación de tu Contenido del Cliente antes de eliminar tu cuenta.
El plazo exacto de esa purga es Plazo de purga de copias de seguridad— dato pendiente de facilitar. Cuánto tarda en desaparecer el contenido de las copias en rotación tras eliminar una cuenta. Ir al anexo de datos por completar.: preferimos dejarlo marcado antes que publicar un número que no podamos sostener.
Datos de facturación: los conservamos el tiempo que exija la normativa fiscal aplicable a la razón social que opere el Servicio, que depende de las dos secciones pendientes de arriba.
Tus derechos
Si estás en la Unión Europea (RGPD/LOPDGDD), tienes derecho a: acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición. También tienes derecho a presentar una reclamación ante tu autoridad de control de protección de datos; en España, la Agencia Española de Protección de Datos.
Si estás en República Dominicana (Ley 172-13), tienes derecho a Acceso, Rectificación, Cancelación y Oposición, y cada uno puede ejercerse de forma independiente: no necesitas agotar uno para pedir otro. República Dominicana no tiene una autoridad única de protección de datos para reclamos generales —la Ley 172-13 reparte competencia sectorial, principalmente para el ámbito crediticio—; para datos fuera de ese ámbito, la vía es la acción judicial directa que la propia ley reconoce.
Cómo ejercer cualquiera de estos derechos: escríbenos a contact@orionbim.com indicando tu solicitud. Responderemos dentro del plazo que exija la ley aplicable a tu caso.
Está por decidir si habrá una dirección dedicada para privacidad o si se mantiene el contacto general: Buzones dedicados de privacidad y seguridad— dato pendiente de facilitar. Si se crean privacy@ y security@, o si se reutiliza contact@orionbim.com para las dos cosas. Hoy solo existen contact@ y hello@. Ir al anexo de datos por completar..
Menores de edad
El Servicio está dirigido a profesionales y organizaciones del sector AEC —arquitectura, ingeniería y construcción—, no a menores de edad. No recopilamos deliberadamente datos de menores.
Cookies y tecnologías similares
El sitio y el panel de OrionBIM usan cookies propias de sesión, para mantener tu inicio de sesión. A la fecha de esta revisión, no se encontró en el código ningún proveedor de analítica o publicidad de terceros —Google Analytics, Meta Pixel, Hotjar u otros— en el sitio público. Si eso cambia, esta sección se actualizará antes de activar cualquier cookie no esencial, y se pedirá el consentimiento que la ley exija.
El sitio incluye un enlace saliente a la agenda de Google para reservar una demostración; al hacer clic sales de OrionBIM y quedas sujeto a las políticas de Google Calendar, que no controlamos.
Cambios a esta política
Si hacemos un cambio material en cómo tratamos tus datos, te lo notificaremos por el Servicio o por correo antes de que entre en vigor.
Contacto
Escríbenos a contact@orionbim.com para cualquier pregunta sobre esta política o para ejercer tus derechos. La razón social y el domicilio del responsable están en la sección «Responsable del tratamiento», pendientes de completar.