Lee tu bandeja. Así es exactamente como la tratamos.
Voix solo funciona porque le dejas ver tu correo. Lo diseñamos para que la confianza sea la parte fácil: acceso mínimo, nada se envía sin ti, y un interruptor para apagarlo con un clic.
Solo lectura para informarte
Tu primer inicio de sesión pide gmail.readonly y nada más. Voix lee tu correo reciente bajo demanda. No modifica, etiqueta ni elimina nada.
Tú apruebas cada envío
El permiso gmail.send lo pedimos después, en contexto, la primera vez que apruebas una respuesta redactada. Si no apruebas ninguna, Voix nunca tiene permiso para enviar. Nada sale de tu bandeja por su cuenta, nunca.
No entrenamos con tu correo
Tu correo se procesa para priorizar y redactar a través de nuestro proveedor de IA bajo condiciones comerciales: nunca se usa para entrenar modelos de IA, ni se vende ni se comparte con anunciantes.
Cifrado en reposo
Los datos viven en Supabase, sobre AWS en EE. UU. (us-east-1), al amparo de las Cláusulas Contractuales Tipo de la UE. El tráfico es TLS 1.2+, el almacenamiento es AES-256 en reposo, y tu token de OAuth está cifrado en una tabla solo de servidor.
Puedes borrarlo todo
Desconecta Gmail o Slack con un clic, o elimina tu cuenta: cada fila vinculada a ti se borra en 30 días, las copias de seguridad en 90.
Permisos mínimos, por diseño
gmail.readonly al empezar, gmail.send solo cuando apruebas una respuesta, y un permiso de calendario de solo lectura solo si añades tu calendario. Ni modify, ni labels, ni acceso completo al buzón, aunque desbloquearían más funciones.
Tus filas son solo tuyas
El muro lo levanta la propia base de datos. La seguridad a nivel de fila hace que una consulta solo pueda devolver filas con tu identificador de usuario, así que una cuenta no puede alcanzar la de otra ni aunque la aplicación se equivocara. Un test automático lo comprueba en cada cambio.
gmail.readonlyLee aproximadamente los últimos 14 días de tu correo de Principal y Novedades, hasta unos 90 mensajes, para extraer el remitente, el asunto y el texto del correo para la priorización. Sin él, Voix no puede decirte qué hay en tu bandeja.
gmail.sendNo se pide al registrarte. Google solo te muestra este permiso la primera vez que apruebas una respuesta redactada, y puedes rechazarlo. Una vez concedido, envía una respuesta en tu nombre, desde tu propia cuenta, solo después de que apruebes un borrador. Cada envío es una acción explícita. Voix nunca envía de forma autónoma.
Enviamos estos permisos a la verificación de permisos restringidos de Google el 6 de agosto de 2026, y la revisión de Google está en curso. No ha terminado, y la evaluación de seguridad CASA a la que da paso todavía no ha empezado. Más sobre cómo tratamos tus datos está en la Política de privacidad.
Mail.Read · Calendars.Read · Chat.Read · Mail.SendSi conectas Microsoft 365: Mail.Read y Calendars.Read para leer tu correo y tu calendario de Outlook, y Chat.Read solo donde la lectura de Teams esté activada. Mail.Send no se pide al conectar. Igual que en Gmail, se solicita más tarde, la primera vez que apruebas una respuesta para enviar desde Outlook.
im:read · im:history · users:read · search:read · chat:writeSi conectas Slack: im:read e im:history para leer tus mensajes directos, users:read para convertir los identificadores de remitente en nombres, y search:read para encontrar tus menciones en canales y responder preguntas en todo Slack. chat:write solo se usa para enviar una respuesta que ya has aprobado, nunca por su cuenta.
Verás una advertencia de Google. Es correcta.
Cuando conectas Gmail, Google muestra una pantalla que dice que no ha verificado esta app, y el botón para continuar aparece marcado como «no segura». Esa pantalla es correcta. La verificación completa de Google es una revisión de seguridad de varios meses que todavía no hemos hecho, y preferimos contártelo antes de que la veas en vez de explicarlo después. El inicio de sesión no cambia en nada: es de solo lectura, no puede borrar ni modificar nada de tu bandeja, y puedes revocarlo desde tu cuenta de Google cuando quieras.
Si esa pantalla es un no para ti, es un no razonable. Desconectar es un clic, y eliminar tu cuenta revoca el permiso en el propio Google y borra cada fila que guardamos, en lugar de solo ocultarla.
Cada empresa que toca tus datos, y qué ve.
Inicio de sesión de solo lectura. Enviar es un permiso aparte, y nada se envía sin que lo toques.
El contenido de tus resúmenes se borra automáticamente a los 30 días. Nunca guardamos el cuerpo completo de los correos.
Algunos de nuestros encargados del tratamiento están en EE. UU. Las transferencias desde la UE se amparan en las Cláusulas Contractuales Tipo (CCT). Todo el detalle en la Política de privacidad y el DPA.
| Encargado | Qué ve | ¿Se usa para entrenar IA? | Conservación |
|---|---|---|---|
| SupabaseBase de datos · AWS us-east-1, EE. UU. | Tu fila de cuenta, los tokens de conexión cifrados y el resultado del resumen: la transcripción y la lista priorizada. Nunca el cuerpo completo de los correos. | No. Solo infraestructura. | El contenido de los resúmenes se limpia automáticamente a los 30 días. Todo se elimina cuando eliminas tu cuenta. Transferencia: CCT. |
| AnthropicClaude, prioriza tus mensajes y redacta respuestas · EE. UU. | De forma transitoria, en cada resumen: remitente, asunto, el texto completo de cada mensaje (con un límite de unos 6.000 caracteres por correo, y marcado donde se corta) y el texto extraído de adjuntos PDF o Word, de tus últimos 14 días. Voix no guarda nada de eso. | No. Las condiciones comerciales de la API de Anthropic excluyen el entrenamiento con datos de la API. | Anthropic borra automáticamente las entradas y salidas de la API en un plazo de 30 días. Todavía no hemos firmado una cláusula de retención cero de datos, y lo decimos con claridad. Transferencia: CCT. |
| GoogleAPI de Gmail, inicio de sesión y texto a voz de Cloud · EE. UU. | Tu Gmail, a través del permiso de solo lectura que concedes. El servicio de texto a voz recibe la transcripción del resumen para generar el audio. | No. La política de las API de Workspace de Google obliga a Voix a no entrenar nunca un modelo con tus datos de Gmail, y lo que enviamos se procesa solo para prestar el servicio. | Procesamiento transitorio. Transferencia: CCT. |
| VercelAlojamiento de la aplicación y registros del servidor · EE. UU. | El tráfico de las peticiones y los registros del servidor. No tu buzón. | No. | Conservación estándar de registros. Transferencia: CCT. |
| ClerkInicio de sesión · EE. UU. | Tu nombre, tu correo y tu sesión de acceso. | No. | Hasta que elimines la cuenta. Transferencia: CCT. |
| PostHogAnalítica de producto y monitorización de errores · UE, Frankfurt | Solo eventos de uso anónimos. Sin cookies, desactivado hasta que aceptas el banner, nunca contenido de correo, grabación de sesión desactivada. | No. | Residente en la UE. |
| StripePagos · EE. UU./UE | Los datos de tu tarjeta van directamente a Stripe. Voix nunca ve el número de la tarjeta. | No. | Según las condiciones de Stripe. Transferencia: CCT. |
Solo si usas la función: Resend (correo matutino), Microsoft (si conectas Outlook), Slack (si conectas Slack), Twilio y Vapi (llamadas privadas, todavía no activas), Meta (bandejas de empresa de WhatsApp e Instagram, todavía no activas), Modal y ElevenLabs (síntesis de voz de firma y evaluación de voz, todavía no activas). Las mismas reglas: sin entrenamiento, los datos mínimos necesarios.
Eliminar y exportar son autoservicio (art. 17 y 20 del RGPD): al eliminar tu cuenta se revocan los permisos de Google y Slack en el propio proveedor y después se borra cada fila.