Cuando somos el responsable del tratamiento
Somos el responsable del tratamiento de la información sobre visitantes del sitio web, titulares de cuentas, contactos de clientes y leads cuando determinamos la finalidad del tratamiento.
Centro de seguridad y confianza
Cómo protegemos tus datos
Protegemos el contenido y la información de negocio que introduces en Native de tres maneras: controles integrados en el producto, lo que nos comprometemos a cumplir en tu contrato e integraciones que puedes desconectar tú mismo en cualquier momento.
Fuentes revisadas por última vez el 10 de agosto de 2026
Seguridad de un vistazo
Nuestras políticas públicas se comprometen a TLS 1.2 o superior en tránsito, cifrado en reposo cuando sea técnicamente apropiado, acceso de mínimo privilegio, controles basados en roles, MFA para empleados con acceso a producción, registros, revisiones de seguridad y un proceso de respuesta a incidentes. No usamos datos de clientes para entrenar modelos de IA, y los datos personales se almacenan principalmente en la UE/EEE.
Basado en políticas, no una declaración de certificación
Esta página resume nuestros compromisos contractuales y de privacidad actuales. El DPA es la fuente que prevalece en los términos de tratamiento cuando los documentos difieran. Nada en esta página afirma que tengamos certificación SOC 2 o ISO 27001.
¿Quién es responsable de los datos?
El rol depende de los datos y de la finalidad. Nuestra Política de privacidad y el DPA distinguen entre nuestros propios datos de negocio y el contenido que tratas a través del servicio.
Cuando somos el encargado del tratamiento
Para tu contenido, los datos de canales conectados y otros datos personales tratados según tus instrucciones, tú eres el responsable del tratamiento y nosotros actuamos como encargado conforme al DPA.
Subencargados
Usamos subencargados para alojamiento, inferencia de IA, publicación, analítica, soporte e integraciones. Otros proveedores pueden tener un rol legal distinto; por ejemplo, el DPA identifica a Stripe como responsable independiente del tratamiento de los datos de pago.
Compromisos de control publicados
La tabla resume declaraciones de nuestra Política de privacidad y Términos públicos actuales. "Comprometido" significa que el control está escrito en esos documentos. No significa que un auditor externo lo haya certificado de forma independiente.
| Área de control | Compromiso publicado | Estado de la evidencia | Fuente |
|---|---|---|---|
| Datos en tránsito | TLS 1.2 o superior para los datos transmitidos hacia y desde el servicio. | Comprometido en controles de la política y el DPA | Privacidad §10; Términos §18.2 |
| Datos en reposo | Cifrado AES-256 o equivalente cuando sea técnicamente apropiado. | Comprometido en controles de la política y el DPA | Privacidad §10; Términos §18.2 |
| Acceso | Mínimo privilegio, acceso basado en roles y MFA para empleados con acceso a datos de producción. | Comprometido en controles de la política y el DPA | Privacidad §10; Términos §18.1 |
| Monitorización | Registro y monitorización de accesos, eventos e incidentes de seguridad. | Comprometido en controles de la política y el DPA | Privacidad §10; Términos §18.3 |
| Entrega segura | Separación de entornos, aplicación de parches, gestión de vulnerabilidades y revisiones de seguridad periódicas. | Comprometido en controles de la política y el DPA | Privacidad §10; Términos §18.3 y §18.5 |
| Copias de seguridad y continuidad | Copias de seguridad cifradas y automáticas diarias, y procedimientos documentados de incidentes y continuidad. | Comprometido; el DPA fija el máximo de retención que prevalece | Términos §18.4; DPA §16.10 |
| Apoyo en DPA y auditoría | Un DPA vinculante en los Términos, copia independiente bajo petición e información de auditoría en condiciones definidas. | Compromiso contractual | Términos §16 y §16.9 |
Cómo se usan los datos de clientes con IA
Usamos proveedores de IA para generar texto e imágenes para el servicio que solicitas. La Política de privacidad establece que no usamos datos de clientes, datos de usuarios ni contenido para entrenar o ajustar modelos de IA, y que mantenemos condiciones contractuales que impiden a los proveedores usar las entradas y salidas del servicio para entrenar modelos.
- La inferencia de IA se usa para proporcionar las funciones de producto solicitadas.
- El contenido del cliente no se vende ni se proporciona como conjunto de datos de entrenamiento.
- La política actual nombra a OpenAI, Anthropic, Google y xAI como encargados de IA.
- Las transferencias fuera del EEE usan un mecanismo aplicable, como el Marco de Privacidad de Datos UE-EE. UU. o las Cláusulas Contractuales Tipo.
Alojamiento y transferencias internacionales
Nuestro DPA establece que los datos personales se almacenan principalmente en la UE/EEE, sobre todo en regiones de Google Cloud en Irlanda. El inventario de subencargados también incluye a AWS para almacenamiento en la nube y operaciones.
- El almacenamiento principal se describe como ubicado en la UE/EEE.
- Algunos subencargados tratan datos en Estados Unidos u otros países.
- Documentamos el DPF, las SCC y las garantías de evaluación de impacto de la transferencia para las transferencias aplicables.
- Las certificaciones de los proveedores se aplican a los centros de datos de los proveedores. No son certificaciones nuestras.
Conservación y eliminación
El DPA establece que la eliminación se produce normalmente en un plazo de 30 días tras la terminación y, como máximo, en 90 días. Las copias de seguridad se eliminan según rutinas estándar y, como máximo, en 180 días. Las obligaciones legales de conservación, como los registros contables, siguen siendo excepciones. Los tokens de los servicios conectados se eliminan tras la desconexión o el cierre de la cuenta, conforme a la Política de privacidad.
Fuente contractual: el DPA §16.10 es el calendario que prevalece para los datos personales de clientes cuando un resumen más breve en otro lugar difiera.
Respuesta y notificación de incidentes
Nuestro DPA y nuestros compromisos de privacidad describen un proceso definido para identificar, clasificar, escalar y gestionar incidentes de seguridad. Las obligaciones de notificación dependen de nuestro rol y de la legislación aplicable.
- Se te notifica sin demora indebida cuando una violación de datos personales afecta a datos de clientes.
- Documentamos la naturaleza, las posibles consecuencias y las medidas de mitigación a medida que disponemos de información.
- Conservamos registros de los incidentes y damos seguimiento con acciones correctivas.
- La notificación a las autoridades y a las personas afectadas sigue el RGPD y otros requisitos legales aplicables.
Controles que deberían usar los clientes
- Usa una contraseña única y segura, y los controles de seguridad de cuenta disponibles.
- Limita el acceso del equipo a quienes lo necesiten y retíralo con rapidez.
- Revisa los permisos solicitados por las cuentas sociales y de integración conectadas.
- Desconecta las integraciones que ya no uses.
- Contáctanos de inmediato si sospechas actividad no autorizada en la cuenta.
Estado de certificación
En esta página no afirmamos contar con SOC 2, ISO 27001 ni otra certificación de seguridad independiente. Los Términos identifican certificaciones de infraestructura que tiene Google Cloud, no nosotros. Puedes solicitarnos la documentación de seguridad actual y las pruebas de auditoría disponibles.
Pruebas de seguridad independientes
Native ha sido sometido a pruebas de seguridad por Heist, una empresa de seguridad externa. La insignia enlaza con su página de verificación, de modo que muestra el resultado actual y no el del día en que la añadimos. Las pruebas no son una certificación, y lo que esta página dice sobre la certificación sigue siendo válido.
¿Necesitas un DPA o una revisión de seguridad?
Solicita el DPA vigente, información sobre subencargados o respuestas a un cuestionario de seguridad. Indica tu organización, la fecha límite y las áreas que debe cubrir tu revisión.
Solicitar información de seguridadPreguntas frecuentes
No. Nuestra Política de privacidad establece que los datos de clientes, los datos de usuarios y el contenido no se utilizan para entrenar ni ajustar modelos de IA, y que los proveedores de IA tienen prohibido contractualmente usar las entradas y salidas del servicio para entrenamiento.