Seguridad
Tus datos siguen siendo tuyos.
Echo lee respuestas de IA sobre tu marca, no los datos privados de tus clientes. Lo que introduces se almacena en Europa Occidental, separado de los demás espacios de trabajo, y solo se envía a los servicios necesarios para realizar el trabajo. Así es exactamente cómo funciona.
- Stored in Western EuropeDatabase and files in Cloudflare's Western Europe region.
- No passwordsSign in with Google or a one-time email link.
- GDPR compliantRun from Berlin, with a public data processing agreement.
- EU AI Act compliantAI writes drafts; a person approves before anything goes live.
Alojamiento y datos.
Echo funciona por completo en Cloudflare y almacena tus datos en Europa Occidental.
- Cloudflare, de principio a finLa aplicación funciona en Cloudflare Workers, la base de datos en Cloudflare D1 y los archivos en Cloudflare R2. No usamos ningún otro alojamiento.
- Almacenado en Europa OccidentalLa base de datos y los archivos se almacenan en la región de Europa Occidental de Cloudflare. Las solicitudes se responden desde el centro de datos más cercano, conforme al acuerdo de tratamiento de datos de Cloudflare.
- Cifrado en tránsito y en reposoTodas las conexiones usan solo HTTPS. Cloudflare cifra la base de datos y los archivos en reposo.
- Claves cifradas dos vecesEcho vuelve a cifrar con AES-256-GCM las claves y los tokens que conectas, y nunca vuelve a mostrarlos. Las claves API de la propia API de Echo solo se conservan como huella digital.
- Copias de seguridad durante 30 díasLa base de datos conserva copias de seguridad automáticas para restaurar cualquier punto de los últimos 30 días tras un error o una interrupción.
Acceso.
Solo las personas adecuadas ven un espacio de trabajo, y nadie necesita contraseña.
- Sin contraseñasInicia sesión con Google o con un enlace de un solo uso enviado a tu correo. No hay contraseñas que puedan filtrarse o reutilizarse.
- Sesiones que terminanLas sesiones terminan tras 7 días sin uso. Los enlaces de inicio de sesión y las invitaciones caducan, y los correos para iniciar sesión tienen un límite de frecuencia.
- Propietarios y miembrosSolo los propietarios gestionan la facturación, las claves API, los webhooks y la eliminación del espacio de trabajo. Los invitados en Recursos de marca solo ven lo que se comparte con ellos.
- Espacios de trabajo separadosCada solicitud comprueba que lo que pide pertenece al espacio de trabajo de la persona que ha iniciado sesión. Las pruebas automatizadas lo verifican con cada cambio.
- Tu propia clave de OpenAIUn espacio de trabajo puede ejecutar borradores y el agente con su propia cuenta de OpenAI. La clave está cifrada; al quitarla, se elimina de inmediato.
- Sin buscar enNadie en Echo accede a tu espacio de trabajo salvo que solicites ayuda, sea necesario por seguridad o lo exija la ley.
La IA y la Ley de IA de la UE.
Echo cumple el Reglamento de IA de la UE: la IA redacta borradores y una persona decide.
- Solo API de IA para empresasEcho utiliza modelos de OpenAI, Anthropic, Google, Perplexity y xAI a través de sus API empresariales. Ninguno puede entrenarse con lo que Echo les envía.
- No es un sistema de alto riesgoEcho lee respuestas públicas de IA y redacta borradores de marketing. No toma decisiones sobre personas.
- Borradores claramente identificadosLo que escribe Echo pasa primero por revisión, muestra de dónde salió y marca con «Comprueba esto» las cifras que no puede contrastar con tus datos.
- Una persona da la aprobaciónLas páginas llegan como borradores a tu editor web y tú envías los mensajes de contacto. Echo nunca publica ni envía correos fuera de tu espacio de trabajo por su cuenta.
- Cada llamada a la IA queda registradaEl agente y las funciones de IA indican que usan IA, y cada llamada a la IA queda registrada con su coste para que sepas qué se ejecutó.
GDPR.
Echo cumple el RGPD y opera desde Berlín, bajo la legislación de protección de datos de la UE.
- Roles clarosPara tu cuenta, Echo es el responsable del tratamiento. Para los datos que tu espacio de trabajo añade sobre otras personas (clientes potenciales, contactos, visitantes), tu empresa es la responsable del tratamiento y Echo es el encargado.
- Un DPA públicoEl acuerdo de tratamiento de datos (art. 28 del RGPD) se aplica a todos los espacios de trabajo sin necesidad de firmar nada.
- Exportar y eliminarExporta la mayoría de las tablas como CSV. Elimina tu cuenta en Configuración → Cuenta; los espacios de trabajo que solo usas tú también se eliminan de inmediato.
- Lo menos posibleSin direcciones IP recogidas por la etiqueta de Echo, sin cookies para tus visitantes y sin datos personales en las visitas de Rastreadores de IA.
- Tus derechos, por correo electrónicoSolicita acceso, rectificación o eliminación en cualquier momento. También puedes presentar una reclamación ante una autoridad de protección de datos.
Servicios que utiliza Echo.
Estos proveedores procesan datos para Echo bajo acuerdos de tratamiento de datos. Las herramientas que conectes por tu cuenta (Google Analytics, HubSpot, Attio, Framer, Webflow, WordPress, Slack, Claude o ChatGPT) solo reciben datos cuando las conectas, según los términos que hayas acordado con ellas.
| Provider | What for | What it receives | Where |
|---|---|---|---|
| CloudflareCloudflare, Inc., USA | Hosting, database, file storage, email forwarding, protection against attacks | Everything stored in Echo: accounts, workspaces and their data, files | Worldwide network; EU-US Data Privacy Framework and Standard Contractual Clauses |
| ResendResend, Inc., USA | Sending Echo's emails (sign-in links, reports, alerts, invites) | Recipient's email address and the email's content | USA; Standard Contractual Clauses |
| OpenAIOpenAI, L.L.C., USA | ChatGPT's answers, analysis of answers and websites, drafts, the Echo agent | Brand details, prompts, website text; for the agent, the chat and members' names (never email addresses). Not used for training | USA; Standard Contractual Clauses |
| AnthropicAnthropic PBC, USA | Claude's answers to the prompts | The prompts and the country they're asked from, nothing about people | USA; Standard Contractual Clauses |
| PerplexityPerplexity AI, Inc., USA | Perplexity's answers to the prompts | The prompts and the country they're asked from, nothing about people | USA; Standard Contractual Clauses |
| GoogleGoogle Ireland Ltd., Ireland | Gemini's answers (paid Gemini API); Sign in with Google | The prompts and their country; for sign-in, name, email address and profile picture | EU and USA; EU-US Data Privacy Framework |
| xAIX.AI LLC, USA | Grok's answers to the prompts | The prompts, nothing about people | USA; Standard Contractual Clauses |
| DataForSEODataForSEO (dataforseo.com) | Google's AI Overviews and AI Mode, SEO data, competitors' Google ads, Google searches for Mentions, Google listings and reviews | Prompts, keywords, website addresses and their country and language, nothing about people | Standard Contractual Clauses where data leaves the EU |
| Brave SearchBrave Software, Inc., USA | Whether Brave's search has the brand's pages, and where the brand ranks there for its tracked keywords | Website addresses, page titles and tracked keywords; nothing about people | USA; Standard Contractual Clauses |
| StripeStripe Payments Europe, Ltd., Ireland | Payments, invoices and VAT | Billing name, email and address, VAT ID; card details go straight to Stripe | EU and USA; EU-US Data Privacy Framework and Standard Contractual Clauses |
- CloudflareCloudflare, Inc., USA
- What for
- Hosting, database, file storage, email forwarding, protection against attacks
- What it receives
- Everything stored in Echo: accounts, workspaces and their data, files
- Where
- Worldwide network; EU-US Data Privacy Framework and Standard Contractual Clauses
- ResendResend, Inc., USA
- What for
- Sending Echo's emails (sign-in links, reports, alerts, invites)
- What it receives
- Recipient's email address and the email's content
- Where
- USA; Standard Contractual Clauses
- OpenAIOpenAI, L.L.C., USA
- What for
- ChatGPT's answers, analysis of answers and websites, drafts, the Echo agent
- What it receives
- Brand details, prompts, website text; for the agent, the chat and members' names (never email addresses). Not used for training
- Where
- USA; Standard Contractual Clauses
- AnthropicAnthropic PBC, USA
- What for
- Claude's answers to the prompts
- What it receives
- The prompts and the country they're asked from, nothing about people
- Where
- USA; Standard Contractual Clauses
- PerplexityPerplexity AI, Inc., USA
- What for
- Perplexity's answers to the prompts
- What it receives
- The prompts and the country they're asked from, nothing about people
- Where
- USA; Standard Contractual Clauses
- GoogleGoogle Ireland Ltd., Ireland
- What for
- Gemini's answers (paid Gemini API); Sign in with Google
- What it receives
- The prompts and their country; for sign-in, name, email address and profile picture
- Where
- EU and USA; EU-US Data Privacy Framework
- xAIX.AI LLC, USA
- What for
- Grok's answers to the prompts
- What it receives
- The prompts, nothing about people
- Where
- USA; Standard Contractual Clauses
- DataForSEODataForSEO (dataforseo.com)
- What for
- Google's AI Overviews and AI Mode, SEO data, competitors' Google ads, Google searches for Mentions, Google listings and reviews
- What it receives
- Prompts, keywords, website addresses and their country and language, nothing about people
- Where
- Standard Contractual Clauses where data leaves the EU
- Brave SearchBrave Software, Inc., USA
- What for
- Whether Brave's search has the brand's pages, and where the brand ranks there for its tracked keywords
- What it receives
- Website addresses, page titles and tracked keywords; nothing about people
- Where
- USA; Standard Contractual Clauses
- StripeStripe Payments Europe, Ltd., Ireland
- What for
- Payments, invoices and VAT
- What it receives
- Billing name, email and address, VAT ID; card details go straight to Stripe
- Where
- EU and USA; EU-US Data Privacy Framework and Standard Contractual Clauses
Todos los detalles, incluido cuánto tiempo se conserva cada elemento, están en política de privacidad.
Informa de un problema.
Found a security problem? Write to security@echo-aeo.com with what you found and how to see it. We answer within two working days, fix what's real and credit you if you like. Please give us time to fix it before telling others, and don't access other people's data or disrupt the service while testing.
FAQ
Questions.
¿Echo tiene las certificaciones SOC 2 o ISO 27001?
Todavía no. Echo es una empresa joven y no afirma tener certificaciones que no posee. Esta página describe lo que Echo hace realmente; escríbenos para solicitar un cuestionario de seguridad o una llamada.
¿Dónde se almacenan mis datos?
En la región de Europa occidental de Cloudflare (base de datos y archivos). Cloudflare responde a las solicitudes desde su centro de datos más cercano, y los proveedores de IA que responden a los prompts están en EE. UU., conforme a las cláusulas contractuales tipo de la UE y, cuando cuentan con la certificación, al Marco de Privacidad de Datos UE-EE. UU.
¿Los proveedores de IA entrenan sus modelos con nuestros datos?
No. Echo usa API empresariales cuyas condiciones impiden usar los datos de la API para entrenamiento. Los prompts que consulta Echo no contienen datos personales, y el agente nunca envía direcciones de correo electrónico.
¿Podemos firmar un acuerdo de tratamiento de datos?
Sí. El acuerdo de tratamiento de datos de Echo está disponible públicamente en /dpa y se aplica a todos los espacios de trabajo sin necesidad de firmar nada. Escríbenos si necesitas una copia firmada.
¿Puede Echo publicar en nuestro sitio web?
Solo cuando un miembro de tu espacio de trabajo hace clic en Publicar y confirma. Todo lo demás llega como borrador a tu editor web.