Privacidad por arquitectura, no por promesas
La garantía más sólida es la que no requiere confiar en nosotros. SOWA Privacy está construido para que tus datos sensibles físicamente nunca lleguen a nosotros:
Flujo de datos de un vistazo
SOWA Privacy es una extensión de Chrome. El recorrido que sigue tu texto cuando usas un chatbot de IA compatible:
- Escribes en el campo de entrada del chatbot.El texto nunca abandona el navegador en esta etapa.
- El script de contenido de la extensión lee la entrada y ejecuta la detección localmente.Regex + un modelo NER local ejecutado en tu navegador mediante WebAssembly / WebGPU.
- Las entidades detectadas se reemplazan con marcadores de posición neutros (p. ej.
[PERSON_1]).La asignación de original a marcador de posición se almacena enchrome.storage.localen tu dispositivo. - El prompt con los marcadores de posición se envía al endpoint normal del chatbot.El proveedor de IA solo ve el texto anonimizado. SOWA Privacy no actúa como proxy de red entre tú y el proveedor.
- Cuando llega la respuesta de la IA, la extensión repersonaliza los marcadores de posición en tu navegador usando la asignación local.Lees la respuesta con los nombres reales; el proveedor de IA nunca los vio.
Para el registro de auditoría opcional en los planes Business y Enterprise, los registros de acciones se hashean localmente y se envían únicamente al servidor que tú designes (tu propia infraestructura o un inquilino que alojamos para ti bajo contrato). No se envían a un registro central operado por SOWA.
Permisos del navegador y por qué se necesita cada uno
Permisos de la extensión Chrome Manifest V3, con la justificación de cada uno:
activeTab– leer el contenido de la pestaña activa para que la detección pueda ejecutarse en el campo de entrada donde escribes.scripting– inyectar el script de contenido que vigila los campos de entrada en los sitios de chatbot compatibles.storage– guardar tus ajustes, el diccionario de asignaciones y (opcionalmente) las entradas del registro de auditoría localmente en tu navegador.tabs– identificar en qué sitio de chatbot estás para cargar el adaptador correcto.contextMenus– proporcionar opciones de clic derecho para la anonimización / repersonalización ad hoc del texto seleccionado.downloads– permitirte exportar documentos anonimizados, entradas del diccionario y registros de auditoría a tu dispositivo.sidePanel– renderizar el panel lateral de la extensión (usado por el chat integrado opcional con tus propias claves de API).windows– gestionar el ciclo de vida del popup / panel de la extensión.
El script de contenido declara <all_urls> para que la detección esté disponible en cualquier chatbot de IA que uses, incluidos los futuros que añadamos. Los permisos son estáticos, declarados en el Manifest público y observables en chrome://extensions/?id=….
Registro de auditoría opcional controlado por el cliente
El registro de auditoría es opcional en los planes Business y Enterprise y registra acciones, no el contenido del chat. Ejemplos de lo que se incluye en un registro:
- "análisis realizado en chatbot.example.com"
- "archivo redactado (PDF, 12 entidades)"
- "entrada del diccionario exportada"
Lo que no contiene: texto del prompt, texto de la respuesta de la IA, valores sensibles originales ni asignaciones de marcadores de posición.
Los registros se hashean localmente antes de la transmisión al servidor que designes. Los clientes Enterprise pueden alojar el endpoint del registro de auditoría dentro de su propio perímetro de cumplimiento para que SOWA Privacy nunca acceda a la ruta de datos.
Limitaciones conocidas
Preferimos ser específicos antes que seguros. Cosas que SOWA Privacy no hace o no puede garantizar:
- Los falsos negativos son posibles. Ningún modelo NER alcanza el 100% de recuperación en todos los tipos de entidad, idiomas o variantes de formato. Ajustamos para mayor precisión y mejoramos continuamente la cobertura; no prometemos cero fugas.
- Los falsos positivos ocurren. La detección agresiva a veces enmascara valores que no son sensibles. El usuario dispone de anulación manual y una lista de excepciones; los administradores de Business / Enterprise pueden ajustar estos parámetros de forma centralizada.
- Solo navegador. SOWA Privacy funciona dentro del navegador Chrome. Las aplicaciones de escritorio de ChatGPT, Claude, Gemini, etc. no están cubiertas.
- Solo Chrome en el lanzamiento. Las pruebas con Edge y Brave (basados en Chromium) están en curso; Firefox está en la hoja de ruta.
- No es una suite DLP. SOWA Privacy es una capa de privacidad en el momento para flujos de trabajo de chat de IA. Funciona junto a Microsoft Purview, Zscaler, Nightfall y otras herramientas DLP / CASB, no como sustituto.
- Límite de seguridad del navegador. Las protecciones del almacenamiento local están limitadas por tu navegador y sistema operativo. El compromiso del dispositivo compromete el diccionario.
Código abierto y auditabilidad
El núcleo de detección está publicado en github.com/Sowa-Privacy. Cualquiera puede leer el código que procesa los prompts, confirmar que no escribe en disco salvo en los almacenes locales documentados explícitamente, y verificar que no se recopila telemetría. Tratamos el repositorio como la referencia autorizada para las afirmaciones de esta página.
Protección de datos & RGPD
SOWA Privacy está diseñado para cumplir el RGPD minimizando lo que procesamos. Como la detección se ejecuta localmente, las cuestiones de base jurídica y de transferencia internacional que dominan la mayoría de las herramientas de IA ni siquiera se plantean para el contenido de tus prompts: nunca sale de tu dispositivo.
Los pocos datos que conservamos existen para operar el servicio, no el producto:
- Datos de cuenta: tu correo electrónico y autenticación, para iniciar tu sesión y gestionar tu plan.
- Datos de facturación: procesados por nuestro proveedor de pagos; nunca almacenamos números de tarjeta.
- Analítica del sitio web: opcional, sujeta a consentimiento y alojada en la UE; no se carga nada hasta que aceptes.
Hay un Acuerdo de Tratamiento de Datos (DPA) disponible para revisiones de compras y del DPO a través del formulario de contacto. Consulta también nuestra Política de Privacidad.
Subencargados del tratamiento
Los terceros que tratan datos limitados de cuenta y facturación en nuestro nombre. Ninguno de ellos recibe jamás tus prompts, documentos ni valores detectados.
| Proveedor | Finalidad | Datos implicados |
|---|---|---|
| Supabase | Autenticación & base de datos de cuentas | Correo electrónico, perfil de cuenta |
| Stripe | Facturación de suscripciones & pagos | Datos de facturación (los datos de tarjeta los guarda Stripe, nunca nosotros) |
| Vercel | Alojamiento del sitio web & la API | Registros de solicitudes estándar |
| PostHog (EU) | Analítica web sujeta a consentimiento | Eventos de uso anonimizados (solo con aceptación) |
La lista completa y actualizada se mantiene en nuestro DPA y se facilita a petición.
Certificaciones & hoja de ruta de garantías
Actualmente no poseemos ninguna de las certificaciones siguientes y no reclamaremos ninguna hasta que haya sido emitida formalmente. Aquello en lo que trabajamos:
- PrevistoAuditoría de seguridad independienteUna revisión de la extensión por un tercero, publicada íntegramente.
- PrevistoISO/IEC 27001Gestión de la seguridad de la información: la base internacional para compras.
- PrevistoISO/IEC 27701Gestión de la información de privacidad, alineada con el RGPD.
- En estudioISO/IEC 42001Sistema de gestión de IA: gobernanza de IA responsable.
- En estudioEuroprivacy (RGPD)El esquema europeo de certificación del RGPD aprobado por el CEPD.
- En estudioSOC 2 Type IIEsperada por muchos compradores empresariales, especialmente en EE. UU.
- En estudioEsquemas sectoriales (BSI C5, HITRUST)Para clientes del sector público / KRITIS y sanitario.
Notificación de una vulnerabilidad
Si crees haber encontrado un problema de seguridad, contacta con nosotros antes de divulgarlo públicamente. Nuestro objetivo es acusar recibo en dos días hábiles y proporcionar una evaluación inicial en cinco.
Correo electrónico: security@sowaprivacy.ai (buzón supervisado; publicación de clave PGP pendiente – se añadirá antes del lanzamiento público)
Actualmente no gestionamos un programa de recompensas por errores remunerado. Sí mencionamos públicamente a los informadores en las notas de versión si lo solicitan.
Paquete de documentación de cumplimiento
Para revisiones de adquisición y del DPO, los siguientes documentos están disponibles bajo solicitud a través del formulario de contacto:
- Acuerdo de Tratamiento de Datos (DPA)
- Lista de subencargados
- Notas sobre la arquitectura del registro de auditoría
- Resumen de pruebas de penetración (cuando esté disponible)
Para conocer nuestra situación respecto a certificaciones formales, consulta la hoja de ruta de garantías anterior.