Seguridad y privacidad
Aquí se explica cómo se separan las organizaciones, qué permisos se piden, dónde quedan las credenciales, quién puede ver qué y qué límites tiene la IA. Lo que todavía no se puede demostrar no se afirma.
Registro de accesos
Solo lectura · no admite cambios ni borrados
Controles
Cada empresa cliente es un tenant separado. Todas las entidades de negocio llevan su identificador de organización y todas las consultas filtran por él.
Cada organización conecta con sus propias credenciales: una aplicación registrada en su Entra ID o una cuenta de servicio de su Google Cloud con delegación de dominio. EmailDelDia las guarda cifradas, y también las claves de IA, fuera del código y de los registros.
Cada conector pide solo los permisos que necesita para lo que la organización ha decidido analizar, y declara qué consulta, con qué licencia y qué no puede observar.
EmailDelDia registra quién consulta información, descarga evidencias, modifica reglas o inicia investigaciones dentro de la plataforma.
Metadatos, contenidos y evidencias tienen políticas de conservación distintas. La organización decide cuánto guarda cada cosa dentro de lo contratado.
La IA es opcional y funciona con la clave de la propia organización. Recibe metadatos y, si se conserva, el asunto y la vista previa, con los nombres de las personas seudonimizados. El contenido se trata como dato, nunca como instrucción.
Privacidad y relaciones laborales
Analizar la actividad de las herramientas corporativas afecta a personas. EmailDelDia está pensado para que la empresa pueda hacerlo con una finalidad clara y con límites.
Permisos, finalidades documentadas, conservación y controles de acceso se configuran por organización. La empresa cliente es responsable del tratamiento y EmailDelDia actúa como encargado, con su contrato del artículo 28 del RGPD.
Avisar a la plantilla de que se analizan las herramientas corporativas es necesario, pero no basta por sí solo. El tratamiento tiene que ser proporcionado y respetar la intimidad y los derechos digitales de las personas trabajadoras (artículo 87 de la LOPDGDD).
EmailDelDia documenta hechos y los ordena. No toma decisiones disciplinarias ni laborales, y un expediente de auditoría no se presenta como prueba concluyente de una infracción.
Si una cuenta compartida envía un correo y la fuente no identifica a la persona, la acción queda atribuida a la cuenta. Cada atribución se marca como verificada, inferida o desconocida.
Si una fuente está desconectada, retrasada o sin permisos, el panel lo dice. La falta de registros no se muestra como falta de actividad.
La valoración jurídica de cada tratamiento (base de legitimación, evaluación de impacto, información a la plantilla) corresponde a la empresa cliente y a su asesoría. Más detalle en el descargo de responsabilidad sobre IA y en el cumplimiento del Reglamento de IA.
Transparencia
Sigue explorando
Contrato de encargo del artículo 28 del RGPD, subencargados, transferencias internacionales, permisos, credenciales propias, registro de accesos, borrado y evaluación de impacto.
Metadatos frente a contenido, política de uso, proporcionalidad, RGPD y la jurisprudencia del TEDH, el Constitucional y el Supremo sobre el control del correo en el trabajo.
Cuándo entra en juego el artículo 35 del RGPD con el correo corporativo, qué contiene una EIPD, cómo se razona la proporcionalidad y qué papel tienen el DPO y la consulta previa.
Pide la documentación de seguridad y el modelo de contrato de encargo del tratamiento. Se entregan durante la contratación.
