Transparencia técnica real — actualizado a nuestra arquitectura actual

Tus documentos, procesados en Europa. Punto.

Te explicamos exactamente qué motor usamos, dónde va cada byte y qué garantías contractuales lo cubren. Sin letra pequeña.

El resumen honesto (TL;DR)

🏢
Empresa:
Generationstar Inc. — servicio operado desde España, infraestructura en la UE
💾
Almacenamiento:
Tus documentos e índices viven en Google Cloud (Firebase), regiones europeas
⚡
Procesamiento IA:
Azure OpenAI de Microsoft (AI Foundry), región Europa Occidental — no la API pública de OpenAI
✅ Adecuado para trabajo profesional con documentos sensibles: contratos, nóminas, expedientes, historiales, normativa
❌ No recomendado para: datos clasificados de defensa o seguridad nacional ni secretos que exijan soberanía total on-premise (en ese caso la respuesta honesta es un modelo local, y te lo diremos).

Comparativa honesta: dónde estamos

Ni somos un modelo local aislado ni la API pública de ChatGPT. Esto es lo que hay.

Nivel 1 — Cloud con IA en EE.UU.

Nivel de Privacidad: Baja-media

ChatGPT (app/web)

Ideal para: Uso personal y prototipos
Empresa
OpenAI (EE.UU.)
Datos
Pueden retenerse según plan
Soberanía
EE.UU.
CLOUD Act
Sí, expuesto
Coste
~20 $/mes
Setup
Inmediato
Móvil
Excelente
IA
Excelente
Exposición de datos: Tus documentos viajan a servidores de OpenAI. La ZDR solo existe en ciertos planes enterprise y NO cubre Files, Agents ni Batch.

API pública de OpenAI

Ideal para: Desarrolladores
Empresa
OpenAI (EE.UU.)
Datos
ZDR opcional, no universal
Soberanía
EE.UU.
CLOUD Act
Sí
Coste
Por uso
Setup
Desarrollo propio
Móvil
—
IA
Excelente
Exposición de datos: store:false evita el almacenamiento, pero los datos SIGUEN llegando a OpenAI en cada llamada. Y Files/Agents/Batch requieren retención para funcionar.

Nivel 2 — IA empresarial en la UE

Nivel de Privacidad: Alta
NUESTRO ENFOQUE

DropRAG (Azure OpenAI, Europa)

Ideal para: Empresas europeas con documentos sensibles
TÚ ESTÁS AQUÍ
Empresa
Microsoft Azure + Google Cloud (regiones UE)
Datos
No entrena modelos · no accesible para OpenAI
Soberanía
Procesamiento en Europa
CLOUD Act
Mitigado (DPA + SCC + EU Data Boundary)
Coste
Desde 10 €/mes
Setup
Inmediato
Móvil
Excelente
IA
GPT-6 (frontera mundial)
Exposición de datos: Tus documentos NO se suben al proveedor de IA: se indexan en nuestra infraestructura y solo viajan los fragmentos relevantes de cada consulta, en llamadas stateless.

Nivel 3 — Soberanía total (on-premise)

Nivel de Privacidad: Máxima

LLM local (Llama / Mistral propio)

Ideal para: Defensa, sanidad pública crítica
Empresa
Tu propio hardware
Datos
Nunca sale de tu red
Soberanía
Total
CLOUD Act
No aplica
Coste
Hardware + mantenimiento
Setup
Semanas/meses
Móvil
Limitado
IA
Por debajo de la frontera
Exposición de datos: Cero exposición externa, a cambio de coste, mantenimiento y un modelo claramente inferior.

El elefante en la habitación: la CLOUD Act

Microsoft y Google son empresas estadounidenses. Te contamos qué significa eso de verdad.

¿Qué es la CLOUD Act?

Ley de EE.UU. de 2018 que permite a las autoridades americanas requerir datos a empresas estadounidenses aunque estén almacenados en servidores europeos.

Aplica a: Microsoft, Google, AWS, OpenAI y cualquier proveedor de EE.UU., estén los servidores donde estén.

Mitos y realidades

❌ Mito: «Si está en un datacenter europeo, EE.UU. no puede tocarlo»
✅ Realidad: la CLOUD Act se aplica a la empresa, no a la ubicación del servidor. Por eso lo importante son las garantías contractuales y jurisdiccionales.
❌ Mito: «EE.UU. puede leer mis documentos cuando quiera»
✅ Realidad: requiere orden judicial; Microsoft y Google impugnan sistemáticamente los requerimientos que colisionan con el RGPD y publican informes de transparencia.
❌ Mito: «Usar Azure OpenAI es lo mismo que usar OpenAI»
✅ Realidad: en Azure OpenAI tus datos no son accesibles para OpenAI, no entrenan modelos y el tratamiento lo regula el DPA enterprise de Microsoft.

Nuestra posición

No vamos a decirte que la CLOUD Act no existe. Te decimos qué hacemos para minimizarla:

  • Todo el procesamiento de IA ocurre en Europa Occidental (Azure, westeurope), dentro del EU Data Boundary de Microsoft
  • Los documentos completos nunca salen de nuestra infraestructura: al modelo solo viajan fragmentos de texto por consulta
  • Microsoft está contractualmente obligada (DPA + Cláusulas Contractuales Tipo) a impugnar requerimientos que violen el RGPD
  • Hemos solicitado el programa Modified Abuse Monitoring de Microsoft: retención cero y sin revisión humana incluso para contenido marcado
  • Si mañana necesitas soberanía total, nuestra arquitectura RAG permite cambiar el motor a un modelo europeo sin migrar tus datos
Conclusión honesta: para el 95 % de las empresas europeas, este nivel de garantía es suficiente. Para el 5 % restante (defensa, secretos de Estado), la respuesta correcta es on-premise — y te lo diremos si nos preguntas.

El flujo técnico, paso a paso

Qué le pasa exactamente a tu documento desde que lo subes hasta que la IA responde

📤 Cuando subes un documento

1
Subes el documento desde tu navegador
Ubicación:
Tu dispositivo → HTTPS
Procesamiento:
Cifrado TLS 1.3 en tránsito
Exposición:
Ninguna (canal cifrado)
2
Se almacena cifrado en Cloud Storage
Ubicación:
Google Cloud, región europea
Procesamiento:
Cifrado AES-256 en reposo
Exposición:
Solo tu cuenta y tu equipo
3
Extraemos el texto y lo troceamos en fragmentos
Ubicación:
Nuestros servidores (Cloud Run, UE)
Procesamiento:
El documento completo nunca sale de nuestra infraestructura
Exposición:
Interna
4
Vectorizamos los fragmentos (embeddings)
Ubicación:
Azure OpenAI, Europa Occidental
Procesamiento:
Cada fragmento (~750 tokens) se convierte en números. Llamada stateless: no se almacena ni entrena
Exposición:
Fragmentos sueltos, sin el documento completo
5
Guardamos los vectores en Firestore
Ubicación:
Google Cloud, región europea
Procesamiento:
Índice vectorial para búsqueda semántica
Exposición:
Solo tu cuenta
✅ Resultado: tu documento completo jamás se sube a OpenAI, Azure ni ningún proveedor de IA. Solo fragmentos sueltos pasan por el vectorizador.

💬 Cuando haces una pregunta

1
Escribes tu pregunta
Ej: «¿Qué dice la cláusula de rescisión del contrato?»
Ubicación:
Navegador → Cloud Run (UE)
Procesamiento:
—
Datos:
~50 tokens
2
Buscamos los fragmentos más relevantes de TUS documentos
Ubicación:
Firestore (Google Cloud, UE)
Procesamiento:
Búsqueda vectorial semántica
Datos:
~8 fragmentos (~6.000 tokens), no el documento entero
3
Enviamos pregunta + fragmentos al modelo
Ubicación:
Azure OpenAI GPT-6 «Luna», Europa Occidental
Procesamiento:
Llamada stateless: Microsoft no la almacena, no entrena modelos y no es accesible para OpenAI
Datos:
Solo los fragmentos relevantes
Exposición:
Mínima — sin el documento completo
Por defecto, Azure puede retener hasta 30 días solo el contenido marcado como sospechoso (revisión por personal del EEE). Hemos solicitado Modified Abuse Monitoring para eliminar también esto.
4
La respuesta se genera y se muestra en streaming
Ubicación:
Azure UE → tu navegador
Procesamiento:
Se guarda en tu historial (Firestore, UE) para que puedas recuperarla
Exposición:
Solo tu cuenta

Resumen de Exposición

documento Completo:
Nunca sale de nuestra infraestructura europea
lo Que Viaja A La I A:
Solo ~8 fragmentos relevantes + tu pregunta, por llamada stateless
entrenamiento Con Tus Datos:
No. Contractualmente prohibido (DPA de Microsoft + términos de Google Cloud)
api Publica De Open A I:
No la usamos. El motor es Azure OpenAI de Microsoft, región Europa Occidental
subprocesadores:
Microsoft Azure (IA) · Google Cloud (almacenamiento, BD e imágenes vía Vertex AI) · Brave (búsqueda web) · Black Forest Labs (imágenes)

Cumplimiento RGPD, artículo por artículo

Lo que exige el reglamento y cómo lo cumplimos

Art. 5 — Principios del tratamiento

Licitud, lealtad, transparencia y minimización de datos

✅ Cumplido
✅Esta página es nuestra transparencia: motor, ubicaciones y subprocesadores declarados
✅Minimización real: al modelo solo viajan fragmentos, no documentos completos

Art. 6 — Base jurídica

Necesidad contractual para prestar el servicio

✅ Cumplido
✅Tratamos tus documentos solo para darte el servicio que contratas
✅No vendemos ni cedemos datos a terceros con fines propios

Art. 25 — Protección de datos desde el diseño

Privacidad by design y por defecto

✅ Cumplido
✅Arquitectura RAG: el proveedor de IA nunca recibe documentos completos
✅Llamadas stateless: sin Files, Agents ni Batch (funciones que exigen retención)

Art. 28 — Encargados de tratamiento

Contratos de encargo con cada subprocesador

✅ Cumplido
✅Microsoft Azure: DPA enterprise + EU Data Boundary
✅Google Cloud: Data Processing Amendment + Cláusulas Contractuales Tipo
⚠️Brave y Black Forest Labs solo reciben consultas puntuales, nunca tus documentos

Art. 32 — Seguridad del tratamiento

Medidas técnicas y organizativas apropiadas

✅ Cumplido
✅Cifrado en tránsito (TLS 1.3) y en reposo (AES-256)
✅Reglas de seguridad en Firestore: cada usuario solo lee lo suyo
✅Acceso a producción restringido y registrado

Arts. 44-49 — Transferencias internacionales

Garantías para datos que salen del EEE

✅ Cumplido
✅Procesamiento de IA dentro del EEE (Azure, Europa Occidental)
✅Para cualquier transferencia residual: Cláusulas Contractuales Tipo + medidas suplementarias

Veredicto global

Cumplimos el RGPD para uso empresarial estándar
Matiz honesto: ningún servicio cloud de un proveedor estadounidense puede garantizar soberanía absoluta ante la CLOUD Act. Si tu caso lo exige, habla con nosotros sobre despliegues dedicados.
Apropiado para: Contratos, RRHH, expedientes, documentación legal y financiera, consultoría, administraciones locales
NO apropiado para: Datos clasificados de defensa o seguridad nacional, secretos industriales de máximo nivel sin acuerdo específico

¿Para qué sí y para qué no?

Preferimos perderte como cliente a que tengas un problema

✅ Apropiado

Documentación legal y contratos

Ejemplo: Analizar contratos de alquiler, cláusulas, normativa

Documentos sensibles pero estándar en cualquier empresa europea; el procesamiento en la UE con DPA cubre este uso.

Riesgo: Bajo

RRHH y administración interna

Ejemplo: Nóminas, expedientes, políticas internas

Datos personales cubiertos por el DPA con Microsoft y Google; no se usan para entrenar.

Riesgo: Bajo

Conocimiento empresarial y GPTs personalizados

Ejemplo: Asistentes con manuales, procesos y documentación de la empresa

El conocimiento se indexa en tu espacio; la IA solo ve fragmentos por consulta.

Riesgo: Bajo

Administraciones y entidades locales

Ejemplo: Normativa, pliegos, ordenanzas

Documentación pública o interna estándar; cumple los requisitos de procesamiento en la UE.

Riesgo: Bajo

❌ No apropiado

Defensa y seguridad nacional

Ejemplo: Documentos clasificados o de difusión limitada

Exigen soberanía total; ningún cloud de una empresa estadounidense es válido ahí.

Alternativa: Despliegue on-premise con modelo local (podemos asesorarte)

Riesgo: Crítico

Secretos de máximo nivel sin acuerdo específico

Ejemplo: Fórmulas químicas, IP crítica pre-patente

Aunque el riesgo es mínimo, el impacto sería máximo; mejor un acuerdo a medida.

Alternativa: Escríbenos: despliegue dedicado con garantías reforzadas

Riesgo: Alto

⚠️ Zona gris — hablemos primero

Historiales clínicos

Ejemplo: Analizar historiales de pacientes

Consideración: Datos de categoría especial (Art. 9 RGPD): exigen evaluación de impacto (DPIA) y posiblemente base jurídica adicional.

Recomendación: Viable con DPIA y Modified Abuse Monitoring aprobado; consúltanos antes.

Datos de menores

Ejemplo: Expedientes escolares

Consideración: Protección reforzada por el RGPD; el centro educativo debe tener base jurídica clara.

Recomendación: Viable con un contrato de encargo bien definido con el centro.

Banca y finanzas reguladas

Ejemplo: Expedientes de crédito con datos financieros

Consideración: La regulación sectorial (EBA, DORA) puede exigir requisitos de auditoría y salida adicionales.

Recomendación: Viable; pregunta por nuestro anexo de requisitos financieros.

Preguntas incómodas (las que nos hacéis de verdad)

Respondidas sin marketing

¿Usáis la API de OpenAI?
No. El motor es Azure OpenAI de Microsoft (AI Foundry), desplegado en la región Europa Occidental. La diferencia es clave: en Azure, tus datos no son accesibles para OpenAI, no se usan para entrenar modelos y el tratamiento lo regula el DPA enterprise de Microsoft, no los términos de la API pública de OpenAI.
¿Qué es eso de la ZDR (Zero Data Retention)? ¿La tenéis?
La ZDR es un concepto de la API directa de OpenAI — y nosotros no usamos esa API. En Azure la garantía equivalente es contractual (DPA de Microsoft): los prompts y respuestas no se almacenan en el modelo, no entrenan y no los ve OpenAI. Además, hemos solicitado el programa Modified Abuse Monitoring, que elimina también la retención de seguridad de 30 días para contenido marcado.
¿Subís mis documentos a OpenAI o a Azure Files?
No. Tu documento completo se almacena e indexa en nuestra infraestructura (Google Cloud, regiones europeas). Cuando preguntas algo, nuestro sistema RAG selecciona solo los ~8 fragmentos relevantes (~6.000 tokens) y son esos fragmentos —nunca el documento entero— los que viajan al modelo en una llamada stateless.
¿Usáis mis datos para entrenar modelos?
No. Está contractualmente prohibido por el DPA de Microsoft y los términos de Google Cloud. Ninguno de nuestros subprocesadores puede usar tu contenido para entrenar.
¿Algún humano puede leer mis documentos?
Rutinariamente, no. Nuestro equipo no accede a tus documentos salvo soporte explícito solicitado por ti. En Azure, solo el contenido marcado automáticamente como sospechoso puede ser revisado por personal de Microsoft ubicado en el EEE (hasta 30 días); la solicitud de Modified Abuse Monitoring que hemos realizado elimina también esta vía.
¿Qué pasa con la CLOUD Act?
Microsoft y Google son empresas de EE.UU., así que teóricamente aplica. En la práctica: requiere orden judicial, ambas impugnan sistemáticamente los requerimientos que colisionan con el RGPD y el procesamiento ocurre dentro del EU Data Boundary. Lo explicamos en detalle en la sección de la CLOUD Act de esta misma página.
¿Puedo borrar mis datos?
Sí. Puedes borrar documentos, conversaciones y GPTs desde tu panel en cualquier momento, y la eliminación es efectiva en nuestra base de datos. Para borrar tu cuenta completa, escríbenos y lo hacemos en un máximo de 30 días, copias de seguridad incluidas.

¿Dudas de privacidad? Pregunta sin compromiso

Preferimos una pregunta incómoda antes que un susto después

Escríbenos
Respondemos en 24-48 h laborables
Ejercer derechos RGPD
Acceso, rectificación, supresión, portabilidad

Si tu sector tiene requisitos específicos (sanidad, banca, justicia), cuéntanos tu caso y te diremos con honestidad si DropRAG encaja o no.

Nuestro compromiso

Esta página se actualiza cada vez que cambia nuestra arquitectura. Si cambiamos de motor, de región o de subprocesadores, lo verás aquí antes que en ningún otro sitio.

Última actualización: 19 de septiembre de 2026 · v3.0 — Motor Azure OpenAI (Europa Occidental) y arquitectura RAG stateless