Política de Privacidad
1. Introducción
Esta Política de Privacidad describe cómo Xi recopila, utiliza, comparte y protege la información cuando usas el servicio en xiexperiments.com. Cuando esta política dice “nosotros”, “nos” o “Xi”, se refiere al operador del servicio. Para preguntas sobre esta política o sobre los datos personales que tenemos, escríbenos a xiexperiments.app@gmail.com.
2. Qué recopilamos
Información de la cuenta
Cuando te registras, nuestro proveedor de autenticación crea una cuenta para ti. Recibimos y almacenamos lo básico para identificarte en el servicio: tu dirección de correo, un nombre para mostrar, una URL de avatar (si tu proveedor de inicio de sesión la tiene) y los identificadores que vinculan tu cuenta de Xi con ese proveedor.
Contenido del workspace y de los experimentos
Almacenamos los experimentos, hipótesis, umbrales de éxito y de descarte, etiquetas, configuraciones de time-box, definiciones de métrica, valores de métrica, notas y aprendizajes que registras. También almacenamos las configuraciones del workspace y los roles de los miembros en cada workspace.
Tú decides qué registrar. Si eliges trackear métricas de estilo de vida o relacionadas con la salud (por ejemplo, puntuaciones de sueño, ánimo, carga de entrenamiento), ese contenido vive dentro de tu workspace bajo tu control. Mira Contenido sensible más abajo para contexto importante.
Preferencias de notificaciones y push
Almacenamos tus preferencias de notificaciones (qué alertas quieres, cuándo las quieres, tus horas de no molestar) y, si activas las notificaciones push del navegador, el endpoint de suscripción push que tu navegador emite. El endpoint es un token usado para entregar pushes; no es tu identidad.
Integraciones conectadas
Si conectas tu cuenta de Google Analytics para que Xi pueda obtener una métrica en tu nombre, almacenamos los tokens OAuth necesarios para hacer esas peticiones (cifrados en reposo) y un registro de la configuración que elegiste. Solo recuperamos los datos de métrica a los que nos diriges.
Eventos de product analytics
En el sitio de producción xiexperiments.com, usamos un proveedor de product analytics para entender cómo se usa el servicio y poder mejorarlo. Los eventos que capturamos hoy se limitan a acciones del ciclo de vida: cuando un experimento es committed, shipped, killed, extendido, revisitado o eliminado; cuando se añade un metric log; cuando se registra un aprendizaje; cuando se añade o elimina una conexión de Google Analytics; y cuando se elimina una cuenta o un workspace. Estos eventos incluyen el identificador del usuario o workspace que ejecutó la acción para poder agruparlos por cuenta.
Product analytics no se carga fuera de producción, así que las previews y el desarrollo local no envían estos eventos.
Site analytics en el sitio de marketing
Las páginas de marketing del sitio usan Google Analytics 4 para registrar datos agregados de visitas (páginas, referers, geografía amplia, tipo de dispositivo). Lo usamos solo para entender cómo encuentra la gente el servicio.
Logs del servidor
Nuestro proveedor de hosting mantiene logs estándar del servidor de las peticiones al servicio, incluyendo direcciones IP, agentes de usuario, marcas de tiempo y rutas de las peticiones. Los usamos para seguridad, prevención de abuso, debugging y operaciones. Se conservan según los plazos estándar del proveedor de hosting.
3. Cómo usamos la información
Usamos la información descrita arriba para:
- Proveer el servicio: almacenar tus experimentos, ejecutar tus contratos hasta el veredicto, mostrar tu archivo.
- Autenticarte y proteger tu cuenta.
- Enviar notificaciones que has solicitado (dentro de la app, push o email).
- Operar el conector opcional de Google Analytics a tu petición.
- Detectar, prevenir y responder a problemas de seguridad o abuso.
- Entender cómo se usa el servicio y mejorarlo.
- Cumplir obligaciones legales y hacer cumplir nuestros Términos.
No vendemos información personal y no hacemos publicidad dirigida en el servicio.
4. Bases legales
Para usuarios en el Espacio Económico Europeo, el Reino Unido y otras jurisdicciones con leyes similares, las bases legales sobre las que procesamos tus datos personales son:
- Ejecución de un contrato, para entregar el servicio al que te suscribiste. El contenido que eliges registrar en tus experimentos (títulos, hipótesis, valores de métrica, notas, aprendizajes) se procesa sobre esta base: tú lo proporcionas como input para el servicio y nosotros lo procesamos solo para operar el servicio para ti.
- Intereses legítimos, para mantener el servicio seguro, detectar abuso y entender y mejorar cómo se usa. Cuando nos basamos en esto, equilibramos nuestros intereses frente a tus derechos.
- Consentimiento, para cosas en las que optas activamente, como las notificaciones push y el conector de Google Analytics. Puedes retirar el consentimiento en cualquier momento desde tus ajustes.
- Obligación legal, cuando tenemos que procesar datos para cumplir con la ley aplicable.
Cuando el contenido que eliges registrar incluye datos personales de categorías especiales bajo el Artículo 9 del RGPD (o su equivalente del Reino Unido), por ejemplo, información sobre salud, estado mental, vida sexual, biometría o categorías similarmente sensibles, lo procesamos únicamente como datos que tú has hecho manifiestamente públicos a nosotros como parte del uso del servicio que has solicitado, y solo en la medida necesaria para entregar ese servicio. Mira Contenido sensible para ver qué significa esto en la práctica y dónde recae la responsabilidad.
5. Compartición y sub-procesadores
Compartimos datos personales con un pequeño número de proveedores de servicios que operan partes de la plataforma en nuestro nombre. Están sujetos a sus propios términos y compromisos de protección de datos y procesan los datos solo en lo necesario para operar el servicio. Hoy usamos:
- Clerk, autenticación e identidad (registro de cuenta, inicio de sesión, OAuth para el endpoint MCP).
- Neon, base de datos Postgres gestionada que almacena el contenido de tu workspace y experimentos.
- Vercel, hosting, gestión de peticiones y runtime logs.
- PostHog, product analytics, procesado en los Estados Unidos. Se carga solo en el hostname de producción.
- Google, Google Analytics 4 para la medición del sitio de marketing y la Google Analytics Data API para el conector opcional de métrica cuando lo activas.
- Servicios de push del navegador, los servicios de push de Apple, Google y Mozilla entregan cualquier notificación push del navegador a la que hayas optado.
Podemos añadir o cambiar sub-procesadores conforme evoluciona el producto. Cuando lo hagamos, mantendremos esta lista actualizada. También podemos divulgar información cuando estamos obligados por ley, para hacer cumplir nuestros Términos o para proteger los derechos, propiedad o seguridad de los usuarios u otros.
6. Agentes de IA y MCP
Xi expone un endpoint remoto Model Context Protocol (MCP). Cuando conectas un cliente de IA (por ejemplo, Claude) por OAuth, autorizas a ese cliente a leer y escribir dentro de tu workspace en el alcance que concediste.
Una vez que un cliente de IA accede a tus datos, Xi no puede controlar cómo ese cliente los usa. Los datos que el agente lee o escribe salen de Xi y entran en el entorno del cliente de IA. A partir de ese momento, lo que ocurra con los datos se rige por las políticas del cliente de IA y del proveedor del modelo detrás de él, no por esta Política de Privacidad.
Los proveedores de IA de terceros pueden procesar tus datos bajo sus propios términos. Eso puede incluir enviarlos a su propia infraestructura de modelos, aplicar sus propias reglas de retención y monitoreo de abuso, y, en algunas configuraciones, usarlos para mejorar sus servicios. Antes de conectar un cliente de IA a Xi, revisa la política de privacidad del proveedor y elige una configuración con cuyas prácticas de datos te sientas cómodo.
Puedes revocar el acceso de un cliente de IA en cualquier momento desde tus ajustes o desde tu cliente de IA. Revocar el acceso detiene futuras lecturas y escrituras a través de Xi, pero no puede recuperar los datos que el cliente ya ha recibido.
7. Transferencias internacionales
Nuestros sub-procesadores pueden almacenar y procesar datos en los Estados Unidos y en otros países. Cuando se transfieren datos personales desde el EEE, el Reino Unido u otras regiones reguladas a un país sin decisión de adecuación, nos basamos en las salvaguardas implantadas por esos sub-procesadores (como las EU Standard Contractual Clauses).
8. Retención
Conservamos los datos de cuenta y workspace mientras tu cuenta esté activa. Cuando eliminas tu cuenta desde los ajustes de perfil, eliminamos los datos personales que tenemos sobre ti, con una retención breve para backups, investigaciones de seguridad y necesidades legales. Eliminar un workspace elimina los experimentos, logs, aprendizajes y otro contenido de workspace asociados.
Los logs del servidor y los analytics agregados se mantienen según los plazos estándar de los proveedores que los producen.
9. Tus derechos
Dependiendo de dónde vivas, puedes tener algunos o todos los siguientes derechos sobre tus datos personales:
- Acceso, pedir una copia de los datos personales que tenemos sobre ti.
- Rectificación, pedirnos que corrijamos datos incorrectos o incompletos.
- Supresión, pedirnos que eliminemos tus datos. Puedes hacerlo tú mismo eliminando tu cuenta en los ajustes de perfil.
- Portabilidad, pedir una copia estructurada de los datos que proporcionaste.
- Limitación u oposición, pedirnos que limitemos cómo procesamos tus datos, o oponerte al procesamiento basado en intereses legítimos.
- Retirar el consentimiento, para procesamientos que dependen de tu consentimiento.
- Presentar una reclamación, ante tu autoridad local de protección de datos.
Los residentes de California tienen derechos similares en virtud de la California Consumer Privacy Act (CCPA), incluido el derecho a saber qué información personal recopilamos sobre ellos y el derecho a la eliminación. No vendemos información personal y no la compartimos para publicidad conductual cross-context.
Para ejercer cualquiera de estos derechos, escribe a xiexperiments.app@gmail.com. Es posible que tengamos que verificar tu identidad antes de responder.
10. Cookies y tecnologías similares
El servicio usa un pequeño número de cookies y tecnologías similares:
- Cookies de sesión establecidas por nuestro proveedor de autenticación para mantenerte conectado. Son necesarias para el servicio.
- Cookies de analytics y local storage, establecidas por Google Analytics en el sitio de marketing y por nuestro proveedor de product analytics en la app de producción, para registrar los eventos descritos en la sección 2.
Puedes borrar las cookies y el local storage desde tu navegador en cualquier momento. Desactivar las cookies necesarias para iniciar sesión hará que el servicio deje de funcionar.
11. Menores
El servicio no está dirigido a menores de 16 años, y no recopilamos deliberadamente datos personales de menores. Si crees que un menor se ha registrado, contáctanos y eliminaremos la cuenta.
12. Contenido sensible y datos de categorías especiales
Xi es una herramienta para experimentación honesta sobre uno mismo. La gente suele registrar métricas de estilo de vida y cercanas a la salud: sueño, ánimo, entrenamiento, comida. Ese contenido permanece dentro de tu workspace, pero Xi no es un dispositivo médico, ni un registro electrónico de salud, ni un almacén de grado clínico. No registres información cuya divulgación pudiera perjudicarte.
Parte de lo que puedes elegir registrar puede equivaler a datos personales de categorías especiales bajo el Artículo 9 del RGPD (o su equivalente del Reino Unido), incluyendo datos que revelen:
- salud, incluida la salud física y mental;
- estados psicológicos o emocionales (como ánimo, ansiedad, estrés);
- patrones de comportamiento que, en contexto, revelan cualquiera de los anteriores; u
- otras categorías específicamente protegidas por la ley aplicable.
Tú decides qué registrar. Xi no pide, infiere ni requiere datos de categorías especiales. Si introduces tales datos en tu workspace, lo haces por iniciativa propia, y nos los estás proporcionando como el input que el servicio necesita para operar.
Nuestra base de procesamiento. Procesamos lo que registras solo para entregar el servicio que pediste: almacenar tus experimentos, calcular veredictos contra el contrato que escribiste y mostrarte los datos. No vendemos datos de categorías especiales, no los usamos para entrenar modelos de terceros y no los analizamos para ningún propósito que no sea operar el servicio para ti.
Tu responsabilidad. Cuando la ley aplicable requiera una base legal específica o salvaguardas adicionales para los datos que registras, por ejemplo, cuando registres información sobre otra persona, cuando operes en un contexto regulado, o cuando el Artículo 9 aplique de otra forma, eres responsable de asegurar que esa base existe (por ejemplo, obteniendo consentimiento informado o cumpliendo otra condición legal) antes de introducir los datos en Xi. Las reglas de uso aceptable de nuestros Términos también aplican.
13. Seguridad
Usamos prácticas estándar de la industria para proteger los datos personales: TLS en tránsito, controles de acceso en nuestra infraestructura, cifrado en reposo para los tokens OAuth, y confianza en nuestro proveedor de autenticación para el almacenamiento de credenciales. Ningún sistema es perfectamente seguro y no podemos garantizar seguridad absoluta. Si alguna vez nos enteramos de una brecha que afecte tus datos, te lo notificaremos conforme a la ley aplicable.
14. Cambios en esta Política
Podemos actualizar esta Política de Privacidad de vez en cuando. Cuando hagamos un cambio material, actualizaremos la fecha “Última actualización” en la parte superior de esta página y, cuando corresponda, daremos aviso en el producto o por email.
15. Contacto
¿Preguntas sobre privacidad en Xi? Escribe a xiexperiments.app@gmail.com.
← Volver a LegalEsta Política de Privacidad está escrita de la forma más clara posible. No es asesoramiento legal. Si necesitas asesoramiento formal sobre cómo se aplica a ti, consulta a una abogada o abogado cualificado en tu jurisdicción.