Volver a Curva.io

Política de privacidad

Última actualización: 29 de octubre de 2026

1. Quién es el responsable

El responsable del tratamiento es Curva.io. Puedes escribirnos a hola@curva.io para cualquier cuestión sobre privacidad.

2. Qué tratamos y durante cuánto tiempo

Cuando subes un archivo tratamos temporalmente:

• el contenido del archivo (CSV, XLSX o XLS, hasta 16 MB), para dibujar los gráficos;
• la descripción de los datos y la pregunta que escribes en el panel de IA privada;
• los gráficos que generas y la última respuesta de la IA, para poder exportarlos.

Todo ello vive únicamente en la memoria del servidor, asociado a un identificador aleatorio que solo conoce tu navegador. Se elimina automáticamente 30 minutos después de la última vez que lo uses, en cuanto pulsas «Olvidar archivo» o si el servidor se reinicia. No se escribe en disco, no se guarda en una base de datos y no se incluye en copias de seguridad.

3. Dónde se procesa

La aplicación se ejecuta en visualizar.curva.io, en un servidor alojado en Railway (Railway Corporation), en su región EU West (Ámsterdam, Países Bajos). La sección «Verificación en directo» de la página principal muestra la región real en la que se está ejecutando el servidor en cada momento. Railway actúa como encargado del tratamiento conforme a su acuerdo de tratamiento de datos.

La web curva.io (las páginas que muestran la aplicación, la guía de gráficos y esta política) la sirve nuestro proveedor de alojamiento web. Tu archivo nunca pasa por ese servidor: va directamente de tu navegador a visualizar.curva.io.

4. Qué se envía a la IA y cómo se protege

Nada sale hacia la IA hasta que pulsas «Analizar en privado». Entonces se envía, y solo se envía:

• el nombre, el tipo, el número de valores distintos y el porcentaje de valores vacíos de cada columna;
• estadísticas de las columnas numéricas (mínimo, máximo, media, mediana y desviación típica);
• hasta cinco valores de ejemplo de las columnas de categorías, fechas o sí/no (ninguno de las columnas de texto libre);
• como máximo 3 filas completas del archivo, como muestra, con cada valor recortado a 80 caracteres;
• las observaciones de calidad de los datos y lo que has escrito en «¿Qué son estos datos?» y «¿Qué quieres descubrir?».

Antes de enviarlo puedes leer exactamente ese contenido en «Ver qué se enviará», y después de la respuesta lo tienes íntegro en «Exactamente lo que se envió». El archivo completo nunca se envía a ningún servicio externo.

El proveedor: Privatemode

La IA privada es Privatemode, de Edgeless Systems GmbH (Bochum, Alemania), con el modelo glm-flash-latest. Así se protege tu petición:

1. Prompt cifrado. El proxy de cifrado de Privatemode se ejecuta dentro de nuestro propio contenedor y cifra la petición antes de que salga de nuestro servidor. Solo puede descifrarse dentro del entorno de IA verificado.
2. Atestación remota. Antes de enviar nada, el proxy comprueba la prueba criptográfica que emite el hardware (AMD SEV-SNP y la computación confidencial de las GPU de NVIDIA) de que el servicio ejecuta exactamente el software publicado. Si la comprobación falla, el proxy no arranca y no se envía nada. La página principal muestra el hash del manifiesto verificado para que puedas compararlo con el que publica Privatemode.
3. Computación confidencial en la UE. El modelo se ejecuta en centros de datos de la UE dentro de entornos de computación confidencial cuya memoria está cifrada mientras se usa. Ni Edgeless Systems, ni el operador de la nube, ni Curva.io pueden leer tu petición ni la respuesta.
4. Sin conservación. Según las condiciones de Privatemode, las peticiones no se almacenan ni se usan para entrenar modelos.

Si la IA privada está desactivada o no está disponible, Curva.io elige el gráfico con reglas que se ejecutan en nuestro propio servidor y no envía nada a nadie. El panel indica siempre si la recomendación viene de la IA privada o de las reglas integradas.

Encargados del tratamiento

5. Cookies y almacenamiento en el navegador

Curva.io no utiliza cookies, analítica, píxeles de seguimiento ni publicidad. El identificador de tu archivo vive en la memoria de la pestaña. Solo cuando cambias de idioma, ese identificador y los ajustes del gráfico se guardan en el sessionStorage de la pestaña para que la nueva página los recupere: se borran en cuanto se leen, caducan a los diez minutos y nunca salen de tu navegador salvo hacia nuestro propio servidor. Es un almacenamiento estrictamente necesario para el servicio que pides.

6. Recursos de terceros

Las páginas no cargan nada desde dominios de terceros: curva.io muestra la aplicación desde visualizar.curva.io, nuestro propio subdominio, y la librería de gráficos, sus traducciones, los iconos y los datos de ejemplo se sirven desde nuestros propios dominios. Las tipografías son las de tu sistema. Ningún proveedor de fuentes, iconos o CDN ve tu dirección IP.

7. Registros del servidor

El servidor deja registros técnicos: fecha, ruta, código de respuesta, un identificador aleatorio de petición, la duración y, en las peticiones a la IA, el número de tokens. Nunca incluyen el contenido de tu archivo, lo que escribes ni las respuestas de la IA. Sirven para diagnosticar fallos y prevenir abusos, y se conservan durante el plazo de retención de registros de Railway.

Al visitar curva.io, el servidor web de nuestro proveedor de alojamiento anota, como cualquier servidor web, tu dirección IP, la fecha, la página solicitada y el navegador. Esos registros se usan para servir las páginas y prevenir abusos, y se conservan durante el plazo de retención de registros del proveedor.

8. Seguridad

• Conexión cifrada mediante HTTPS con HSTS.
• Procesamiento solo en memoria, sin almacenamiento persistente.
• Cabeceras de seguridad estrictas, incluida una Content Security Policy que solo permite recursos de nuestros propios dominios.
• La clave de la API de Privatemode la usa únicamente el proxy de cifrado, en un proceso aparte con otro usuario del sistema: la aplicación web nunca la tiene.
• Límites de tamaño, de filas y de frecuencia de peticiones, y dependencias fijadas por hash y auditadas.
• Los mensajes de error nunca contienen detalles internos del servidor.

9. Base legal

Tratamos tus datos porque es necesario para prestarte el servicio que solicitas al subir un archivo o pedir un análisis (artículo 6.1.b del RGPD). Los registros técnicos se basan en nuestro interés legítimo en mantener el servicio seguro y operativo (artículo 6.1.f del RGPD).

10. Tus derechos

Tienes derecho de acceso, rectificación, supresión, limitación, oposición y portabilidad. Como no conservamos tus archivos ni tus textos más allá de la sesión, normalmente no habrá nada que entregar o borrar: cada visita empieza en blanco, y «Olvidar archivo» lo elimina en el acto. Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es) o ante la autoridad de tu país.

11. Menores de edad

Curva.io no está dirigida a menores de 14 años y no recopilamos de forma intencionada información sobre ellos.

12. Cambios en esta política

Si cambiamos algo relevante, lo publicaremos en esta página con una nueva fecha de actualización.

13. Contacto

Para cualquier duda sobre esta política, escríbenos a hola@curva.io.