Política de privacidad

Pleaxy lo presta Pleaxy Inc., sociedad constituida en el estado de Delaware, 1318 SE 26th Street, Bellevue, WA 98005, USA (“Pleaxy” o “nosotros”). Esta política abarca el sitio web, la aplicación web, la API y el servidor MCP de Pleaxy.

Para cualquier consulta o solicitud sobre privacidad, escriba a support@pleaxy.ai.

Tratamos datos personales en dos calidades distintas.

• Como responsable del tratamiento, decidimos cómo se usan los datos. Esto abarca los datos necesarios para gestionar su cuenta y nuestro negocio: los datos de registro e inicio de sesión, el contacto de facturación, los registros del sitio web y de la API, y los mensajes y casos de soporte que nos envía. Cuando un caso incluye el estado de una factura, orden de compra, contrato, proveedor o comprador que usted haya indicado, lo leemos del espacio de trabajo dentro de sus propios permisos y lo copiamos en el caso únicamente para responderle.
• Como encargado del tratamiento, actuamos según las instrucciones de nuestro cliente. Esto abarca todo lo que una empresa introduce en su espacio de trabajo de Pleaxy: empleados, contactos de proveedores, órdenes de compra, facturas, contratos, documentos de proveedores, historial de aprobaciones y datos de facturación de la nube. La empresa titular del espacio de trabajo es la responsable del tratamiento, y nosotros actuamos únicamente según sus instrucciones. Nuestro Acuerdo de Tratamiento de Datos (DPA, por sus siglas en inglés) establece esas condiciones; escriba a support@pleaxy.ai si necesita uno.
• Compradores y proveedores son clientes distintos. Cada espacio de trabajo pertenece a su propia empresa. Cuando un comprador y un proveedor se conectan, ven los datos del perfil de empresa del otro e intercambian órdenes de compra, facturas o documentos, el intercambio se produce por indicación de ellos, y cada empresa es responsable de lo que comparte y de lo que hace con lo que recibe.

Si su empleador o un socio comercial introdujo sus datos en Pleaxy, envíe primero sus preguntas o solicitudes a ellos. Si se pone en contacto con nosotros, les trasladaremos su solicitud y les ayudaremos a responder.

• Datos de la cuenta: nombre, correo electrónico profesional, cargo, rol y pertenencia a espacios de trabajo. Su contraseña la gestiona Amazon Cognito mediante un protocolo (SRP) que nunca la envía a los servidores de Pleaxy: nunca la vemos.
• Perfil de la empresa: nombre de la empresa, logotipo, correo electrónico y dirección de facturación, número de identificación fiscal, y el nombre y correo electrónico del contacto principal. El nombre, el logotipo, la región, la moneda, el correo electrónico de facturación y la dirección de facturación de su empresa son visibles para las empresas con las que está conectada, y su dirección de facturación y su número de identificación fiscal se imprimen en los PDF de factura que Pleaxy genera para las facturas entre ustedes (consulte Con quién compartimos los datos).
• Registros del espacio de trabajo: órdenes de compra, facturas, contratos, catálogos e historial de aprobaciones. El historial de aprobaciones incluye el nombre del aprobador, su ID de usuario y la hora de cada decisión.
• Documentos de proveedores que sube un proveedor, como los formularios fiscales W-9 y W-8BEN (que contienen números de identificación fiscal), certificados de seguro y cartas bancarias (que contienen datos de cuentas bancarias).
• Datos de facturación de la nube de las cuentas en la nube que conecta un cliente: registros de facturación y de consumo, que se refieren principalmente a la empresa y no a personas físicas.
• Mensajes del asistente de IA: lo que usted escribe al asistente y sus respuestas; consulte El asistente de IA.
• Casos de soporte: cuando abre un caso en Pleaxy, su nombre y correo electrónico profesional (tomados de su cuenta), el asunto, la descripción y los mensajes que escribe, y los datos de diagnóstico que añadimos: su plan, su rol, la versión de la aplicación, el estado de cualquier factura u orden de compra que indique (incluidos el nombre de la otra empresa y el paso de aprobación actual), de cualquier contrato que indique (su título, estado, fechas y el nombre de la otra empresa, pero no sus condiciones ni sus precios), o de cualquier proveedor o comprador que indique (su nombre y la situación de su incorporación, pero no sus respuestas al cuestionario ni sus datos de contacto), y cualquier código de error. Su conversación con el asistente de Ayuda solo se incluye si marca “Adjuntar esta conversación”. Los administradores de su espacio de trabajo pueden ver los casos abiertos en él.
• Valoraciones de artículos de ayuda: cuando responde a “¿Ha respondido esto a su pregunta?” en un artículo de ayuda, su respuesta, cualquier nota que añada, su ID de usuario, el espacio de trabajo y el artículo. Solo los usamos para mejorar nuestros artículos de ayuda.
• Datos de facturación de los planes de pago: el correo electrónico del contacto de facturación y el nombre de la empresa. Los datos de tarjeta y de pago bancario van directamente a Stripe; Pleaxy nunca los recibe.
• Registros técnicos: cuando su navegador o su integración llama a nuestra API, registramos la dirección IP, el endpoint solicitado, el método, el resultado y la hora.
• Mensajes que nos envía: si escribe a support@pleaxy.ai o a sales@pleaxy.ai, recibimos su dirección de correo electrónico y lo que contenga el mensaje.

No recopilamos categorías especiales de datos, como los datos de salud, y le pedimos que no los suba.

Los datos de los que somos responsables los usamos para:

• Prestar el Servicio: crear y proteger cuentas, enviar correos electrónicos de registro, verificación e invitación, hacer funcionar el producto y facturar los planes de pago. Base jurídica: ejecución de nuestro contrato con usted o con su empresa.
• Mantener Pleaxy seguro y en funcionamiento: detectar abusos y ataques, aplicar límites de frecuencia, depurar errores y supervisar el rendimiento. Base jurídica: nuestro interés legítimo en un servicio seguro y fiable.
• Prestarle soporte: responder a sus casos de soporte y correos electrónicos. Usamos los casos, y cualquier conversación adjunta a ellos, únicamente para responderlos y darles seguimiento, para mantener el soporte seguro y dentro de sus límites, y cuando la ley lo exija. No los usamos para marketing, para redactar artículos de ayuda ni para entrenar o evaluar modelos de IA. Base jurídica: interés legítimo o contrato.
• Cumplir obligaciones legales: conservar registros de facturación y fiscales y atender requerimientos legítimos. Base jurídica: obligación legal.

Actualmente no enviamos correos electrónicos de marketing. Si empezamos a hacerlo, cumpliremos la ley en materia de consentimiento, y cada correo incluirá una forma de darse de baja.

Los datos que tratamos por cuenta de clientes los usamos únicamente para prestar el Servicio según las instrucciones de ese cliente.

No tomamos decisiones sobre usted que produzcan efectos jurídicos o le afecten de forma similarmente significativa basadas únicamente en un tratamiento automatizado. Cualquier aprobación automática en Pleaxy sigue reglas que fija el cliente, y esas reglas se aplican a compras, no a personas.

• El asistente integrado en la aplicación usa el modelo Claude de Anthropic, servido por Amazon Bedrock (AWS), al que llamamos desde nuestra propia cuenta de AWS.
• Qué se envía. Para responderle, el asistente envía a Amazon Bedrock sus mensajes, la conversación hasta ese momento y los registros del espacio de trabajo que consulta. Esos registros pueden incluir nombres, datos de proveedores e importes. El asistente solo ve lo que su rol puede ver.
• Guardado en su cuenta. Guardamos sus conversaciones con Pleaxy Assistant bajo su propio usuario, en el espacio de trabajo que utilizó, para que pueda volver a ellas, buscarlas y cambiarles el nombre. Las demás personas del espacio de trabajo no pueden verlas. Puede eliminar una conversación en cualquier momento, y cada una se elimina automáticamente 180 días después de su último mensaje. También conservamos un recuento de mensajes, para los límites de uso, durante unos 8 días, y cualquier acción que proponga el asistente, que caduca a los 10 minutos y después se elimina automáticamente.
• No se usan para entrenamiento. Conforme a las condiciones de AWS para Bedrock, AWS no usa sus instrucciones ni las respuestas para entrenar modelos y no las comparte con Anthropic. Nosotros tampoco las usamos para entrenar modelos.
• Usted mantiene el control. El asistente solo puede proponer aprobaciones, pagos registrados, rechazos de facturas, resoluciones de discrepancias y cambios de reglas, y una persona confirma cada uno. Cuando usted se lo pide, también puede rechazar una orden de compra, crear una orden de compra o convertir una en factura sin un paso de confirmación aparte; consulte nuestros Términos. Solo actúa dentro de los permisos de la persona que lo usa.
• El asistente de Ayuda de la página de Ayuda funciona con el mismo modelo y servicio. Es de solo lectura. Lee nuestros artículos de ayuda, su plan, su uso de Pleaxy Assistant, su rol, el estado de sus conexiones y cualquier factura u orden de compra concreta que usted indique, solo en la medida en que su rol puede verlos.
• Las conversaciones con el asistente de Ayuda permanecen en la pestaña de su navegador (en su almacenamiento de sesión) y desaparecen al cerrar la pestaña, salvo que adjunte una a un caso de soporte, en cuyo caso la conservamos con el caso (consulte Cuánto tiempo conservamos los datos). Conservamos los recuentos diarios de mensajes para los límites de uso durante unos 8 días, y un total mensual de mensajes y tokens por espacio de trabajo, sin datos personales, durante unos 13 meses.
• No se usan para entrenamiento ni evaluación. Ni las conversaciones con ninguno de los dos asistentes ni los casos de soporte se usan para entrenar o evaluar modelos de IA.

• Puede conectar un agente de IA, como Claude o ChatGPT, a su cuenta de Pleaxy a través de nuestro servidor MCP, ya sea en su computadora o alojado por nosotros en mcp.pleaxy.ai. Al conectarlo, usted elige qué espacios de trabajo puede usar. Solo actúa dentro de sus propios permisos en ellos, durante un máximo de 30 días, y puede cerrar su sesión en cualquier momento en Pleaxy (consulte Conectar un agente de IA).
• Qué recibe la aplicación del agente. Los registros del espacio de trabajo que el agente solicita se envían a la aplicación que usted conectó, y su proveedor (por ejemplo, Anthropic u OpenAI) los trata conforme a sus propias condiciones, como un servicio que usted eligió conectar (consulte Con quién compartimos los datos).
• Qué recibimos nosotros. Solo las solicitudes que hace el agente, nunca su conversación con él. Nuestro servidor alojado transmite cada solicitud a nuestra API y no conserva nada de ella más allá de nuestros registros técnicos.
• Qué conservamos. Para cada conexión: el nombre de la aplicación, la dirección a la que le devuelve, el nombre del dispositivo en el caso de un agente en su computadora, los espacios de trabajo que usted permitió, y cuándo lo conectó y cuándo lo usó por última vez. Sus tokens de inicio de sesión solo se almacenan como hashes unidireccionales. También registramos cada cambio que el agente hace o solicita, y cada solicitud pendiente de su confirmación. Una aplicación que se registra ante nosotros deja su nombre y sus direcciones, que no son datos personales. El plazo de conservación de cada elemento figura en Cuánto tiempo conservamos los datos.
• Las decisiones siguen siendo suyas. Las aprobaciones, los pagos registrados y las demás decisiones que solicita un agente se le envían para que las confirme en Pleaxy, y no ocurre nada hasta que lo hace. Le avisamos cuando un agente se conecta a su cuenta, y le enviamos un correo electrónico si cerramos la sesión de uno para protegerla.

Pleaxy controla a los proveedores de los compradores frente a listas públicas de sanciones (consulte nuestros Términos). Esto implica datos personales de dos maneras.

• Nombres en el espacio de trabajo de un comprador. El nombre de la empresa de un proveedor puede ser el nombre de una persona (un empresario individual), y el titular de la cuenta de sus datos bancarios puede ser una persona. Controlamos estos nombres como encargado del tratamiento, por cuenta del comprador: el comprador es el responsable del tratamiento y decide qué hacer ante una posible coincidencia. El resultado, la entrada de la lista a la que se parece y la decisión del comprador, con quién la tomó y por qué, se muestran solo en el espacio de trabajo del comprador, nunca al proveedor. Ningún nombre sale de Pleaxy para el control: la comparación se hace sobre nuestra propia copia de las listas.
• Las propias listas. Las listas nombran a las personas y organizaciones designadas por sus editores, con datos como alias, nacionalidades, números de documentos de identidad y fechas. Guardamos una copia de cada lista tal como se publica, para hacer el control y como registro de frente a qué se comprobó cada control, y no la usamos para nada más. Nos basamos en nuestro interés legítimo en ofrecer un control que ayuda a los compradores a cumplir sus obligaciones legales. Los editores son el Departamento del Tesoro de EE. UU. (OFAC), el Ministerio de Asuntos Exteriores, de la Commonwealth y de Desarrollo del Reino Unido, la Comisión Europea y el Consejo de Seguridad de la ONU: las preguntas sobre una entrada deben dirigirse a ellos.

No vendemos ni compartimos información personal con fines publicitarios, incluidas la “venta” y el “intercambio” (“selling” y “sharing”) tal como los define la legislación de California. No tenemos rastreadores publicitarios ni de analítica.

Solo compartimos datos personales con:

• Nuestros subencargados del tratamiento, los proveedores de servicios que hacen funcionar Pleaxy por nosotros (ver más abajo). Actualizaremos esta lista antes de añadir un nuevo subencargado, y los clientes con un DPA recibirán un aviso antes del cambio.
• Las empresas con las que usted opera en Pleaxy. Una vez que un proveedor acepta la invitación de un comprador, puede ver el nombre, el logotipo, la región, los países, la moneda, el correo electrónico de facturación y la dirección de facturación de la empresa del comprador, tal como figuren en ese momento en el perfil de empresa del comprador. Una vez que el proveedor inicia el cuestionario del comprador, el comprador puede ver los mismos datos del proveedor. Cada uno puede ver también las órdenes de compra, facturas, documentos y datos de contacto intercambiados entre ellos, incluidas notas como los motivos de rechazo. Su número de identificación fiscal no se muestra de este modo. Cuando Pleaxy genera el PDF de una factura entre un comprador y un proveedor conectados (porque el proveedor no subió el suyo), el PDF muestra la dirección de facturación y el número de identificación fiscal de ambas empresas, tal como figuraban en sus perfiles de empresa cuando se creó la factura, y cualquiera de las dos empresas puede abrirlo.
• Compradores que buscan proveedores. Los compradores que invitan a proveedores en Pleaxy pueden encontrar el nombre de la empresa de un proveedor verificado, el correo electrónico de su contacto principal y los nombres de los espacios de trabajo en los que está activo.
• Otros clientes de Pleaxy con su dominio de correo. Si crea una empresa nueva cuyo nombre se parece mucho al de una empresa que ya está en Pleaxy con personas de su dominio de correo, enviamos su dirección de correo a los administradores de esa empresa para que puedan invitarle si lo que quería era unirse a ella. Se lo indicamos antes de que confirme.
• Servicios que usted decide conectar, como sus cuentas en la nube, su sistema contable (QuickBooks Online o Xero: cuando un administrador conecta uno, Pleaxy le envía las facturas y notas de crédito aprobadas, con sus líneas, importes y PDF, y lee de él sus proveedores, cuentas y pagos), el catálogo punchout de un proveedor o una herramienta de IA que conecte a través de nuestra API o de nuestro servidor MCP. Se aplican sus propias condiciones.
• Motivos legales y de seguridad: cuando la ley lo exija, o para proteger derechos, la seguridad de las personas o la seguridad del Servicio. Cuando la ley lo permita, avisaremos antes al cliente afectado.
• Un comprador de nuestro negocio, si Pleaxy se fusiona o se vende. Deberá respetar los compromisos de esta política.

Este sitio web no instala cookies ni carga scripts de analítica, publicidad u otros scripts de seguimiento de terceros.

La aplicación de Pleaxy solo usa lo que necesita para mantener su sesión iniciada:

• pleaxy_signed_in: una cookie que contiene únicamente el valor 1 y que permite al sitio web mostrar “Ir al panel” en lugar de “Iniciar sesión”. La aplicación la establece para pleaxy.ai y sus subdominios, de modo que el sitio web pueda leerla, y la elimina cuando usted cierra sesión. No contiene datos personales, dura 30 días y se establece con SameSite=Lax.
• Tokens de inicio de sesión de Amazon Cognito, guardados en el almacenamiento local de su navegador y eliminados cuando usted cierra sesión.

Son estrictamente necesarios para el servicio que usted ha solicitado, por lo que no pedimos consentimiento. Actualizaremos esta sección, y pediremos consentimiento, antes de añadir cualquier elemento que no sea estrictamente necesario.

Pleaxy almacena y trata los datos en Estados Unidos, en AWS, en la región US East (N. Virginia), incluido el asistente de IA, que llama a Amazon Bedrock en esa región. Nuestros subencargados del tratamiento son empresas estadounidenses.

Si se encuentra en la UE, el EEE, el Reino Unido o Suiza, usar Pleaxy implica que sus datos se transfieren a EE. UU.

• Para los datos de clientes que tratamos, nuestro DPA protege la transferencia mediante las Cláusulas Contractuales Tipo de la Comisión Europea, junto con el Addendum del Reino Unido para los datos del Reino Unido.
• Los datos de los que somos responsables los transferimos en la medida necesaria para prestar el Servicio que usted contrató.

Pleaxy no está certificada conforme al Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework).

• Los datos se cifran en tránsito (solo HTTPS) y en reposo, con claves gestionadas por AWS.
• Cada solicitud se comprueba frente al espacio de trabajo y el rol de quien la realiza.
• Las aprobaciones se registran con quién las realizó (o si fueron automáticas) y cuándo.

Nuestra página de Seguridad describe en detalle nuestros controles. Si una brecha afecta a sus datos, lo notificaremos a los clientes afectados sin dilación indebida, les facilitaremos la información que necesiten para cumplir sus propias obligaciones y lo notificaremos a las autoridades de control cuando la ley lo exija.

Según dónde viva (por ejemplo, en virtud del RGPD y del RGPD del Reino Unido, de las leyes estatales de privacidad de EE. UU., como la de California, y de las leyes de Canadá y Argentina), puede tener derecho a acceder a sus datos personales, rectificarlos, suprimirlos, limitar el modo en que los usamos u oponerse a él, recibir una copia portable y retirar su consentimiento cuando nos basemos en él.

• Cómo solicitarlo. Escriba a support@pleaxy.ai. Es posible que necesitemos verificar su identidad, y le responderemos en el plazo que exija la ley, normalmente un mes. No le daremos un trato diferente por ejercer sus derechos.
• Datos en el espacio de trabajo de una empresa. Tratamos esos datos por cuenta de la empresa, por lo que le trasladaremos su solicitud y le ayudaremos a responder (consulte Nuestras dos funciones).
• Los administradores pueden eliminar ellos mismos a usuarios de su espacio de trabajo. Las exportaciones y eliminaciones de todo un espacio de trabajo se realizan previa solicitud, por correo electrónico.
• Eliminar tu cuenta. Escribe a support@pleaxy.ai desde la dirección con la que inicias sesión. La eliminamos cuando ya no seas miembro de ningún espacio de trabajo: si todavía lo eres, primero pedimos a sus administradores que te retiren. Te avisamos por correo cuando esté hecho. Lo que conservamos se indica en Cuánto tiempo conservamos los datos.
• Reclamaciones. Si se encuentra en la UE, el EEE o el Reino Unido, puede presentar una reclamación ante su autoridad local de protección de datos, por ejemplo, la ICO en el Reino Unido. Le agradeceríamos que antes nos diera la oportunidad de ayudarle.

Pleaxy es un servicio para empresas destinado a personas en su trabajo. No está pensado para menores de 18 años, y no recopilamos a sabiendas datos de menores.

Actualizaremos esta política cuando cambien nuestras prácticas, por ejemplo, cuando añadamos un subencargado del tratamiento o un nuevo tipo de datos. La fecha de “Última actualización” que figura al principio indica la versión vigente y, en caso de cambios sustanciales, lo notificaremos a los titulares de cuentas por correo electrónico o en la aplicación antes de que el cambio surta efecto.