Política de Privacidad

Esta Política de Privacidad explica cómo Agentic Tool Optimization (“ATO,” “nosotros” o “nuestro”) recopila, usa, comparte, retiene y protege los datos personales cuando visitas agentictool.ai, instalas la aplicación de escritorio open source de ATO, o creas una cuenta en el servicio en la nube de ATO.

ATO es local-first por diseño. La mayor parte de lo que hace el producto sucede en tu propia máquina, en una base de datos SQLite ubicada en ~/.ato/local.db. Solo vemos tus datos cuando decides sincronizar con el servicio en la nube opcional. Este documento explica esa distinción en detalle.

Cumplimos con la Ley General de Protección de Datos brasileña (Lei nº 13.709/2018, “LGPD”), el Reglamento General de Protección de Datos europeo (GDPR, Reglamento (UE) 2016/679, y el UK GDPR), la California Consumer Privacy Act / California Privacy Rights Act (CCPA/CPRA) y las leyes de privacidad de otros estados de EE.UU. cuando aplican.

1. Quiénes somos (el controlador)

Controlador: Guilherme Nigri, actuando como editor de ATO y agentictool.ai.

Contacto de privacidad: will@nigri.io

Contacto postal: disponible a solicitud al correo de arriba.

Actualmente no tenemos un Delegado de Protección de Datos (DPO) o Encargado de Tratamiento formalmente designado bajo el art. 41 de la LGPD, porque nuestro volumen de tratamiento no lo requiere. El contacto de privacidad de arriba funciona como nuestro punto único de contacto para todas las consultas de protección de datos. Designaremos un DPO formal cuando la escala del tratamiento lo exija, y actualizaremos esta Política en ese momento.

2. Resumen en lenguaje simple

• La aplicación de escritorio guarda tus datos localmente en tu computadora. No los vemos a menos que crees una cuenta en la nube y actives la sincronización.
• Cuando creas una cuenta, recopilamos tu correo electrónico, una contraseña con hash y tu nombre. Eso es lo que recopilamos para la cuenta en sí.
• Cuando usas el producto para despachar prompts a proveedores de IA como Anthropic, OpenAI, Google o MiniMax, tus prompts y cualquier archivo que el modelo lea vía tool calls salen de tu máquina y van a ese proveedor. No almacenamos el contenido del prompt en nuestros servidores a menos que elijas sincronizar los traces.
• Hoy no usamos cookies, analytics, rastreadores publicitarios ni session replay en nuestro sitio. Cuando agreguemos algo así, esta Política se actualizará y (cuando sea exigido) pediremos tu consentimiento antes.
• Tienes derechos sobre tus datos: acceso, corrección, eliminación, portabilidad, entre otros. La Sección 11 explica cómo ejercerlos.

3. Qué datos personales recopilamos

3.1 Datos que nos proporcionas directamente

Al crear una cuenta en la nube de ATO, recopilamos:

• Dirección de correo electrónico — usada como identificador de tu cuenta, para login, recuperación de contraseña, notificaciones de seguridad y comunicaciones obligatorias del servicio.
• Contraseña — almacenada como hash bcrypt con factor de costo 12 o superior. Nunca vemos, almacenamos ni registramos tu contraseña en texto plano.
• Nombre para mostrar — mostrado en la interfaz del producto; puede editarse o eliminarse.
• URL de avatar (opcional) — si decides establecer uno.
• Registros de consentimiento — fecha/hora, versión de la política y los términos que aceptaste, y tu consentimiento separado (opcional) para comunicaciones de marketing.

Cuando nos contactas por correo o por el formulario de solicitudes, recibimos lo que envíes — típicamente tu nombre, correo y el contenido del mensaje.

3.2 Datos que generamos cuando usas el servicio en la nube

• Intentos de login — correo en minúsculas, dirección IP, éxito/falla, código de motivo. Usado para detectar y mitigar ataques de fuerza bruta. Retenido 90 días.
• Refresh tokens — con hash (no el token bruto), expiración, revocación.
• Metadatos de sesión — cuando sincronizas sesiones desde el desktop, recibimos conteos de tokens, identificadores de modelo, timestamps y valores agregados de costo. No almacenamos el contenido de prompts o respuestas en nuestros servidores a menos que habilites explícitamente la sincronización de traces.
• Registros de uso — uso de tokens por petición, para fines de facturación y análisis dentro de tu cuenta.
• Agent traces, cambios de configuración, snapshots de atribución de archivos, resúmenes de prompt, pipeline traces, embed keys, registros de mesh-relay, referencias a claves de proveedor — llenados solo para usuarios que optan por la sincronización de esas funcionalidades específicas.

3.3 Datos que permanecen en tu máquina

La aplicación de escritorio de ATO almacena todo lo siguiente en tu computadora y no nos lo transmite, a menos que habilites la sincronización en la nube:

• Historial de despachos, historial de replays, prompts y respuestas completos, definiciones de agentes, threads de chat, snapshots de atribución de archivos, ledger de cambios de configuración, automation workflows, schedules de cron
• Claves de API de LLM que proporciones (cifradas en reposo dentro de la base de datos SQLite local)
• Respaldos locales de tus configuraciones

Tú eres el controlador de estos datos locales. ATO es una herramienta que ejecutas en tu máquina; nosotros no recibimos esos datos.

3.4 Datos que NO recopilamos actualmente

• Sin analytics de sitio, rastreo de pageviews o identificadores de visitante
• Sin rastreo de errores o session replay
• Sin pixeles de marketing, APIs de conversión o retargeting
• Sin cookies, rastreo via localStorage o fingerprinting en agentictool.ai (más allá del almacenamiento puramente esencial que tu navegador pueda usar para recordar configuraciones de idioma)
• Sin información de pago — ATO actualmente no procesa pagos
• Sin datos de menores — el producto no está dirigido a personas menores de 18 años

Si agregamos cualquiera de estos elementos en el futuro, esta Política se actualizará antes de que el cambio entre en vigor y, cuando aplique, pediremos tu consentimiento (ver Sección 12).

4. Por qué procesamos tus datos, y la base legal

Bajo el art. 6 del GDPR / art. 7 de la LGPD, cada actividad de procesamiento debe apoyarse en una base legal específica. Confiamos en las siguientes:

No procesamos categorías especiales de datos personales (GDPR Art.9 / dados pessoais sensíveis bajo LGPD Art.11) en la operación ordinaria del servicio. Si introducimos una función que procese tales datos, exigiremos consentimiento explícito y separado bajo el estándar más elevado que esas leyes establecen.

5. Con quién compartimos tus datos (destinatarios y sub-procesadores)

Compartimos datos personales solo con partes que nos ayudan a operar el servicio, y solo en la medida necesaria. No vendemos datos personales. No compartimos datos personales con anunciantes o data brokers.

Destinatarios actuales (sub-procesadores):

• Railway Corp. — proveedor de hosting para el backend ato-cloud (compute, PostgreSQL, almacenamiento). Datos procesados: todos los datos personales server-side. DPA: railway.com/legal/dpa. Ubicación: Estados Unidos como principal, con opciones regionales.
• Proveedor de envío de correos (por definir; será SendGrid, Postmark o similar) — envía correos de verificación, reseteo de contraseña y notificaciones. Datos procesados: tu correo electrónico, tu nombre, contenido del mensaje.
• Proveedores de LLM que elijas usar — cuando envías un prompt a través de ATO a Anthropic, OpenAI (incluyendo Codex), Google (Gemini), MiniMax, Grok, DeepSeek, Qwen, OpenRouter, o cualquier otro proveedor configurado, el contenido del prompt y cualquier archivo que el modelo lea vía tool calls salen de tu máquina y van a ese proveedor. Si proporcionas tu propia clave de API (BYOK), tú eres el controlador y el proveedor es tu procesador; nosotros somos un pass-through transitorio. Si usas una clave de proveedor proporcionada por ATO bajo un futuro plan pago, nosotros somos el controlador de la llamada y el proveedor es nuestro sub-procesador.
• Procesador de pago futuro (Stripe, previsto): cuando los planes pagos se activen, los datos de facturación fluirán a Stripe. Los datos sensibles PCI (números de tarjeta) nunca llegan a nuestros servidores; solo metadatos de facturación (estado de la suscripción, IDs de factura) son retenidos de nuestro lado.

Una lista actualizada de todos los sub-procesadores que usamos, con enlaces a cada DPA, está publicada en /legal/subprocessors-es.html. Actualizamos esa lista cuando agregamos un sub-procesador, y notificaremos a los usuarios de cambios que afectan a usuarios de la UE/EEE/Reino Unido o Brasil con al menos 30 días de antelación, excepto en emergencias.

Cómo funcionan nuestros acuerdos con sub-procesadores

Para sub-procesadores donde ATO es el controlador y el proveedor es nuestro procesador (como nuestro proveedor de hosting, proveedor de correo, futuro procesador de pago, y futuros proveedores de monitoreo de errores y analytics), el contrato legal aplicable es el Data Processing Agreement (DPA) publicado por el proveedor. Aceptamos ese DPA cuando aceptamos los Términos de Servicio del proveedor al registrarnos, y mantenemos una copia fechada de cada DPA archivada. Los enlaces en la página de Sub-procesadores apuntan a la versión actualmente en vigor. Revisamos cada DPA anualmente y reemplazamos nuestra copia archivada si el proveedor publica un cambio material.

Para proveedores de LLM utilizados en modo BYOK (clave propia) — es decir, cuando proporcionas tu propia clave de API o tu propia suscripción de CLI — tú tienes una relación contractual directa con ese proveedor. La Política de Privacidad y los Términos de ese proveedor aplican a tus prompts y respuestas. ATO no es parte de esa relación y actúa como un pass-through transitorio para el despacho. La página de Sub-procesadores lista la Política de Privacidad de cada proveedor para tu referencia, y no un DPA con ATO, porque no hay un DPA-con-ATO que sea el contrato aplicable en ese arreglo.

6. Transferencias internacionales

Los datos de ATO son procesados en infraestructura ubicada en los Estados Unidos y (dependiendo de tus selecciones de runtime) en las regiones donde operan los proveedores de LLM. Para usuarios en la UE/EEE, Reino Unido o Brasil, esto significa que tus datos personales pueden ser transferidos fuera de tu jurisdicción de origen.

Para transferencias desde la UE/EEE/Reino Unido a destinatarios en EE.UU. u otros países terceros, nos basamos en:

• La decisión de adecuación del EU-US Data Privacy Framework, cuando el destinatario está auto-certificado (la mayoría de los grandes proveedores de LLM participan);
• Cláusulas Contractuales Estándar (SCCs) emitidas por la Comisión Europea, cuando la adecuación no aplica;
• El International Data Transfer Agreement (IDTA) del Reino Unido o el UK Addendum a las SCCs para transferencias del Reino Unido.

Para transferencias desde Brasil a destinatarios en el exterior, nos basamos en las cláusulas estándar aprobadas por la Autoridade Nacional de Proteção de Dados (ANPD) bajo el art. 33 de la LGPD, o en la adhesión del destinatario a un régimen que ANPD reconozca como adecuado.

Copias de los instrumentos de transferencia relevantes están disponibles a solicitud en will@nigri.io.

7. Por cuánto tiempo retenemos tus datos

Al final del período de retención, eliminamos o anonimizamos irreversiblemente los datos.

8. Seguridad

Usamos medidas técnicas y administrativas estándar de la industria para proteger tus datos, incluyendo:

• Hash de contraseña con bcrypt y factor de trabajo 12+; nunca almacenamos contraseñas en texto plano.
• TLS 1.2 o superior en todas las conexiones cliente-servidor.
• Almacenamiento cifrado de secretos (claves de API, refresh tokens, embed keys) en reposo.
• Queries SQL parametrizadas para prevenir inyección.
• Validación de entrada con Zod en todos los endpoints.
• Autenticación JWT con rotación en cada refresh.
• Control de acceso basado en rol para endpoints administrativos.
• Monitoreo continuo de anomalías de autenticación.

Ningún sistema es impenetrable. Si descubrimos una violación de datos que afecte tus datos personales, te notificaremos a ti y a la autoridad competente (ANPD en Brasil, tu autoridad supervisora en la UE/EEE/Reino Unido, o autoridad estatal de EE.UU. aplicable) según lo exija la ley aplicable. El GDPR requiere notificación a la autoridad supervisora en un plazo de 72 horas desde el conocimiento, cuando sea viable; seguimos ese plazo como estándar, independiente de la jurisdicción.

9. Cookies y tecnologías similares

Actualmente no usamos cookies ni rastreo via localStorage en agentictool.ai. Sin analytics. Sin rastreadores publicitarios. Sin fingerprinting. Sin session replay. Sin scripts de terceros que escriban almacenamiento en tu navegador.

Cuando inicias sesión en el producto en la nube o en la aplicación de escritorio, emitimos un token de autenticación (un JWT) que queda almacenado en memoria o en el local storage de tu cliente. Ese almacenamiento es estrictamente necesario para que el producto funcione y no se usa para rastreo.

Si agregamos en el futuro analytics, publicidad, rastreo de errores o cualquier otra tecnología que establezca cookies o te rastree, nosotros:

• Actualizaremos esta Política y la Política de Cookies específica (/legal/cookies-es.html);
• Mostraremos un banner de consentimiento que te permita aceptar, rechazar o personalizar tus elecciones, con rechazar y personalizar teniendo prominencia equivalente al aceptar;
• Respetaremos la señal Global Privacy Control (GPC) para usuarios en jurisdicciones donde es reconocida;
• No dispararemos ningún script no-esencial antes de que hagas una elección.

10. Menores

ATO es una herramienta para profesionales adultos y no está dirigida a personas menores de 18 años. No recopilamos conscientemente datos personales de niños (LGPD art. 14), ni de menores de 13 años en jurisdicciones donde esa es la edad-límite (COPPA, Estados Unidos), ni de menores de 16 años sin consentimiento parental en la UE/EEE donde la edad de consentimiento digital local es 16. Los Términos de Servicio exigen que todos los usuarios tengan 18 años o más.

Si descubrimos que recopilamos datos personales de un menor bajo el límite aplicable, los eliminaremos. Padres y tutores legales que crean que su hijo ha proporcionado datos personales a ATO deben contactar a will@nigri.io.

11. Tus derechos

Tienes los siguientes derechos sobre tus datos personales. Algunos se formulan de manera diferente bajo la LGPD, el GDPR y las leyes estatales de EE.UU., pero se superponen sustancialmente; honramos cada derecho bajo la interpretación más generosa.

• Confirmación y acceso — puedes preguntarnos si procesamos tus datos personales y solicitar una copia.
• Corrección — puedes pedirnos que corrijamos datos inexactos, incompletos o desactualizados.
• Eliminación / derecho al olvido — puedes pedirnos que eliminemos tus datos personales. Lo haremos en hasta 30 días, salvo donde la retención sea exigida por ley (por ejemplo, registros fiscales cuando la facturación se inicie, o los logs de auditoría de la propia solicitud de eliminación).
• Portabilidad — puedes solicitar una copia de tus datos personales en formato estructurado, comúnmente usado y legible por máquina (proporcionamos en JSON).
• Restricción del procesamiento (GDPR) — puedes pedir limitación del procesamiento en ciertas circunstancias.
• Oposición (GDPR / LGPD) — puedes oponerte al procesamiento basado en intereses legítimos; pararemos a menos que demostremos motivos legítimos prevalentes.
• Retiro de consentimiento — para procesamiento basado en consentimiento (por ejemplo, correos de marketing), puedes retirar el consentimiento en cualquier momento.
• Opt-out de venta o compartir (CCPA/CPRA, VCDPA, CPA, CTDPA, UCPA) — no vendemos ni compartimos datos personales para publicidad comportamental entre contextos, pero si eso cambia, podrás optar por no participar.
• No-discriminación — no negaremos servicio, cobraremos precios diferentes ni proporcionaremos calidad diferente por haber ejercido cualquiera de estos derechos.

Cómo ejercer tus derechos

Si tienes una cuenta en la nube de ATO, el camino más simple es dentro del producto: Configuración → Privacidad expone exportación de datos, eliminación de cuenta y gestión de consentimientos directamente.

De lo contrario, envía una solicitud en /legal/data-request-es.html o por correo a will@nigri.io. Responderemos en hasta 30 días desde la recepción de una solicitud verificable, conforme al GDPR Art.12, LGPD Art.19 y leyes estatales aplicables de EE.UU.

Si crees que no hemos tratado tus datos correctamente, tienes derecho a presentar una queja ante:

• Brasil: Autoridade Nacional de Proteção de Dados (ANPD) — gov.br/anpd
• UE/EEE: tu autoridad supervisora local (lista en edpb.europa.eu)
• Reino Unido: Information Commissioner’s Office (ICO) — ico.org.uk
• California: California Privacy Protection Agency — cppa.ca.gov
• Otros estados de EE.UU.: Procuraduría General de tu estado

Preferimos que nos contactes primero para que podamos resolverlo directamente.

12. Cambios a esta Política

Podemos actualizar esta Política periódicamente. En cambios materiales:

• Actualizaremos la fecha de vigencia y el número de versión en la parte superior;
• Notificaremos a los usuarios registrados por correo con al menos 30 días de antelación, salvo cuando el cambio reduzca nuestras obligaciones o sea exigido por ley para tener efecto inmediato;
• En cambios que amplíen el alcance del procesamiento, solicitaremos un nuevo consentimiento cuando el procesamiento original estuviera basado en consentimiento.

Las versiones anteriores están disponibles a solicitud.

13. Contacto

Contacto de privacidad: will@nigri.io

Formulario de solicitud de titular: /legal/data-request-es.html

Lista de sub-procesadores: /legal/subprocessors-es.html

Términos de Servicio: /legal/terms-es.html

Política de Cookies: /legal/cookies-es.html