Si tenés una duda sobre este texto, escribinos a privacidad@gistlab.io o a mankaralian@gmail.com.

Política de privacidad de GIST

Versión 1.2 · vigente desde el 2 de noviembre de 2026 (reemplaza a la 1.1 del 13 de octubre de 2026: alinea el texto con lo que hace el sistema en el doble factor, los plazos de conservación, la baja de las cuentas de empresa, las copias de respaldo y la descarga de tus datos; agrega la casilla de privacidad, la lista de proveedores con su región y el aviso de cambios, lo que guarda el navegador y las huellas anti-abuso)

1. Responsable del tratamiento

GISTLAB SAS (RUT 221086270015), con domicilio en Pilcomayo 4816, Montevideo, Uruguay, que opera la plataforma GIST. Contacto para temas de privacidad: privacidad@gistlab.io o mankaralian@gmail.com.

Esta política se rige por la Ley 18.331 de Protección de Datos Personales de Uruguay, su decreto reglamentario 414/009 y las normas que la complementan.

2. Dos roles distintos

Tratamos dos clases de datos y en cada una tenemos un rol diferente:

Datos de tu cuenta (nombre, correo, contraseña, datos de facturación, actividad en la plataforma): GIST es el responsable del tratamiento.
Datos contenidos en las grabaciones que subís (voz, nombres, documentos, teléfonos y lo que digan las personas en la llamada) y datos de las personas evaluadas (nombre y legajo de cada asesor, sus puntajes y las correcciones): vos sos el responsable y GIST es el encargado. Los tratamos únicamente para prestarte el servicio y según tus instrucciones: la plantilla de evaluación y la configuración de anonimización de tu organización son esas instrucciones. Vos respondés por tener base legal para grabar y analizar esas llamadas. Con una empresa, el encargo se rige además por el anexo de encargo de tratamiento que acepta al darse de alta.

3. Qué datos recolectamos

Al registrarte: nombre, apellido, correo electrónico, contraseña (guardada con hash, nunca en claro), aceptación de los términos (versión y fecha), país y documento de identidad. Si ingresás con Google, recibimos de Google tu correo verificado y tu nombre; no recibimos tu contraseña de Google.

Para cobrar: plan contratado, historial de cobros, datos fiscales para la factura. Los datos de tu tarjeta los recibe y guarda la pasarela de pagos; GIST no los ve ni los almacena.

Al usar la plataforma: grabaciones que subís, transcripciones anonimizadas, resultados de los análisis, plantillas de evaluación que definís, nombres de las personas evaluadas que cargás, registros de actividad (qué acción hizo cada usuario, cuándo y desde qué dirección IP, incluidas las escuchas y descargas de grabaciones y las exportaciones), datos del segundo factor de autenticación y registros técnicos de la aplicación.

Correo: guardamos un registro de cada correo transaccional enviado (plantilla, fecha, resultado), sin el contenido del mensaje y con la dirección enmascarada.

Huellas anti-abuso: para que una misma casilla no reciba más de una prueba gratuita y para limitar el abuso de los formularios, guardamos una huella (hash) de la dirección de correo, que no la muestra en claro. Esa huella se conserva aun después de la baja de la cuenta, sólo para ese fin.

4. Para qué usamos los datos

Crear y administrar tu cuenta y autenticarte (incluido el doble factor).
Transcribir y analizar las grabaciones que subís, y mostrarte los resultados.
Cobrar la suscripción, emitir comprobantes y avisarte de vencimientos, saldo bajo o cobros fallidos.
Enviarte correo transaccional: verificación de correo, recuperación de contraseña, avisos de la cuenta. No enviamos comunicaciones comerciales sin tu consentimiento aparte.
Mantener la seguridad de la plataforma, detectar accesos indebidos y conservar un registro de auditoría.
Cumplir obligaciones legales, fiscales y contables.
Medir el uso agregado del servicio para operarlo y mejorarlo.

No usamos tus grabaciones, transcripciones ni resultados para entrenar modelos de inteligencia artificial, propios ni de terceros, ni los compartimos con otros clientes.

5. Cómo tratamos las grabaciones

La grabación se sube por conexión cifrada y se guarda en Amazon S3 (región us-east-1). Si su formato no se puede reproducir en un navegador, se guarda convertida a MP3.
Un motor de reconocimiento de voz que opera GIST en su propia infraestructura de AWS la transcribe. El audio no sale de esa infraestructura.
Antes de guardar el texto y antes de cualquier análisis, un proceso de anonimización reemplaza en el texto los datos personales que detecta (nombres y apellidos, cédulas y documentos, teléfonos, correos, tarjetas, cuentas bancarias, direcciones, fechas de nacimiento, matrículas) por marcadores. El proceso está diseñado con sesgo conservador: ante la duda, enmascara. Cada organización puede ajustar qué datos personales no regulados se enmascaran; los documentos, los medios de pago y los datos bancarios se enmascaran siempre.
El texto ya anonimizado se envía a Azure OpenAI (Microsoft) para la evaluación. El texto original de la transcripción no se envía a ese proveedor.
Los resultados se guardan en la base de datos de GIST, asociados a tu cuenta.

El texto original de la transcripción no se guarda en ningún lado: existe sólo en la memoria del equipo que transcribe, mientras dura la anonimización. Lo que se conserva es la grabación completa (que contiene todo lo que se dijo en la llamada) y la transcripción anonimizada.

La anonimización es automática y puede fallar en casos no previstos. No está pensada para detectar datos de salud ni otras categorías sensibles: si tus llamadas pueden contenerlos, tenés que tenerlo en cuenta al decidir qué subís (términos §5).

Escuchar una grabación desde la plataforma se hace con un enlace temporal que vence a los 15 minutos, y cada escucha o descarga queda registrada.

6. Con quién compartimos datos

No vendemos datos personales. Compartimos datos sólo con proveedores que los tratan por nuestra cuenta (subencargados) y con quien la ley nos obligue:

Proveedor	Para qué	Dónde
Amazon Web Services	Alojamiento de la plataforma, almacenamiento de audios y base de datos, copias de respaldo, envío de correo transaccional (Amazon SES)	Estados Unidos (us-east-1)
Microsoft Azure OpenAI	Evaluación del texto anonimizado. Puede conservar ese texto hasta 30 días con fines de monitoreo de abuso, salvo exención otorgada por Microsoft	Estados Unidos
dLocal Go (pasarela de pagos)	Cobro de suscripciones y saldo; datos de tarjeta y documento del pagador	Uruguay y otros países según el medio de pago
Uruware	Emisión de los comprobantes fiscales de cada cobro	Uruguay
Google	Sólo si elegís ingresar con Google: autenticación	Global, según Google
Cloudflare (Turnstile)	Verificación anti-abuso al crear una cuenta y al enviar el formulario de empresa; recibe la dirección IP y datos técnicos del navegador, sin cookies de rastreo	Global, según Cloudflare
Linear	Seguimiento interno de los pedidos que nos hacés sobre tus datos y de los incidentes de seguridad	Estados Unidos

Si sumamos o cambiamos un subencargado, lo publicamos en esta política y se lo avisamos a las empresas clientes con 30 días de anticipación, para que puedan objetarlo.

Los datos se transfieren a Estados Unidos.

Podemos revelar datos si una autoridad competente lo exige por ley o para defender derechos de GIST ante un reclamo.

7. Cuánto tiempo guardamos los datos

Grabaciones, transcripciones y análisis: durante el plazo de retención del plan contratado (30 días durante la prueba gratuita, 90 días en el plan Inicial, 365 días en el Profesional); al vencer se borran de forma automática. En las cuentas de empresa, el plazo que configure cada organización.
Datos de la cuenta: mientras la cuenta esté activa.
Al darse de baja la cuenta (cliente final o empresa): a los 30 días borramos las grabaciones, las transcripciones, los análisis y los datos de las personas evaluadas. Los datos de la cuenta (nombre y correo de los usuarios) se seudonimizan: dejan de identificar a la persona y se conservan sólo para que el historial de cobros y de auditoría siga siendo coherente.
Comprobantes y datos de facturación: el plazo que exigen las normas fiscales y contables.
Registro de auditoría y registros de seguridad: al menos 12 meses y hasta 3 años, disociados del contenido.
Cuentas que nunca verificaron el correo: se eliminan a los 7 días del registro.
Copias de respaldo: se guardan cifradas y pueden conservar lo que se borró hasta 35 días más. No se restauran salvo ante un desastre, y si se restauran se vuelve a aplicar el borrado pendiente.

Podés borrar análisis individuales desde la plataforma antes de esos plazos; el borrado incluye el audio en S3.

8. Seguridad

Cifrado en tránsito (TLS) en toda la plataforma y cifrado en reposo en el almacenamiento, la base de datos y las copias de respaldo.
Contraseñas guardadas con hash; tokens de sesión y de verificación guardados con hash y con vencimiento; la sesión se cierra sola después de un tiempo sin uso.
Doble factor de autenticación obligatorio para los administradores y para el personal de GIST, y disponible para todos los usuarios.
Acceso de la aplicación a los servicios de nube por roles con permisos mínimos, sin claves fijas.
Aislamiento de datos por organización: ninguna cuenta puede ver datos de otra.
Registro de auditoría de las acciones relevantes, incluido el acceso del personal de GIST a datos de una organización, y alarmas sobre la infraestructura.
Si ocurriera un incidente de seguridad que afecte tus datos, te lo comunicamos sin demoras indebidas al correo de tu cuenta y lo notificamos a la autoridad en los plazos que fija la ley.

9. Tus derechos

Como titular de datos podés pedir acceso, rectificación, actualización, supresión y oposición al tratamiento, y una copia de tus datos en formato estructurado (portabilidad). Podés descargar tus datos desde Mi cuenta en el portal y pedir la eliminación desde ahí mismo. También podés escribirnos a privacidad@gistlab.io o a mankaralian@gmail.com desde el correo de tu cuenta, incluido para pedir la copia de tus datos por correo. Respondemos dentro de los plazos que fija la ley.

Si no estás conforme con la respuesta, podés reclamar ante la Unidad Reguladora y de Control de Datos Personales (URCDP) de Uruguay, www.gub.uy/unidad-reguladora-control-datos-personales.

Si una persona que fue grabada en una llamada, o un asesor evaluado, nos escribe a nosotros, le indicamos que se dirija a vos como responsable y te asistimos para responderle. Informar a tus asesores que sus llamadas se evalúan con esta herramienta y dar los avisos de grabación a quienes llaman te corresponde a vos (términos §5). Para responder un pedido podés usar las herramientas de la plataforma para localizar y borrar ese análisis; si necesitás ayuda, escribinos.

10. Menores de edad

La plataforma está dirigida a mayores de edad. No está permitido subir grabaciones con datos de menores sin una base legal que lo habilite.

11. Cookies y almacenamiento en el navegador

No usamos cookies de terceros ni rastreadores publicitarios. El portal guarda en tu navegador sólo lo necesario para funcionar:

Almacenamiento local (queda guardado en el navegador hasta que lo borrás, salvo lo que se indica): sa_token, el token de tu sesión, que se borra al cerrar sesión; sa_theme, el tema visual elegido; sa_sidebar, si el menú está compacto; sa_filters_*, los filtros de cada pantalla, que se borran al cerrar sesión; batch_config, la configuración del último lote; y gist_plantilla_abiertas_*, qué secciones del editor de plantillas dejaste abiertas.
Almacenamiento de la sesión del navegador (se borra al cerrar la pestaña): los datos del formulario de registro mientras lo completás (sin la contraseña), los datos de control del ingreso con Google y si ya viste el recorrido guiado.
Cloudflare Turnstile, en el registro y en el formulario de empresa, ejecuta su verificación anti-abuso en tu navegador según su propia política.

12. Cambios en esta política

Cada versión lleva número y fecha. Si cambiamos algo sustancial, te lo pedimos aceptar de nuevo al ingresar y guardamos qué versión aceptaste y cuándo. Las versiones anteriores quedan disponibles a pedido.

13. Contacto

GISTLAB SAS · RUT 221086270015 · Pilcomayo 4816, Montevideo, Uruguay · privacidad@gistlab.io · mankaralian@gmail.com