Seguridad y privacidad

Confías a Thalamus tus planes de mudanza y tus documentos. Aquí va la versión corta y sin lenguaje jurídico: qué recogemos, qué no recogemos nunca, dónde se guarda y cómo ganamos dinero. La redacción completa está en la política de privacidad.

Qué recogemos

Tu correo y tu contraseña, para que puedas entrar. La contraseña se guarda como hash y nadie la ve en claro, nosotros tampoco.
La entrada con Telegram, si la usas: el número de cuenta, el nombre y la foto de Telegram. Telegram no nos entrega tus mensajes.
La llave de acceso, si la añadiste: la parte pública de la llave, su nombre, la fecha en que la añadiste y la del último uso. La huella y la cara se quedan en tu dispositivo.
La comprobación «no soy un robot» al entrar la hace Cloudflare, que recibe tu dirección IP y datos del navegador. Esa comprobación impide que un robot envíe códigos en masa a correos ajenos.
El perfil: nombre, ciudad, de dónde vienes y adónde vas, idiomas. Con eso se elige al especialista.
Objetivos y solicitudes: qué pides exactamente. La solicitud la lleva una persona, no un algoritmo.
Los documentos de verificación de un negocio, licencia y registro. Están en un almacén cerrado al que solo acceden el titular de la ficha y nosotros.
La base de clientes de un negocio, si la lleva con nosotros: nombres, contactos, fechas de visita y notas. La guardamos por encargo del negocio; la ven el negocio, su equipo y las personas a las que dio acceso por enlace. Si eres cliente de alguien, las preguntas sobre tus datos van a ese negocio.
El pedido de automatización a Ilona Golman, si lo hay: nombre del negocio, tu nombre, contenido e importe del pedido, la etapa y los correos sobre él. Lo veis solo tú e Ilona; se guarda mientras duran el pedido y el acompañamiento, y un año más.
El contador de visitas: la dirección de la página y el sitio desde el que llegaste. Sin IP, sin cookies, sin identificador. Con esa fila no se puede saber quién eres.
El registro de acciones: qué filtro elegiste en el catálogo, hasta qué paso llegó el registro, si pulsaste un contacto en una ficha. Solo códigos y números, sin correo, sin texto y sin lo que escribiste en los campos. Con esa fila tampoco se puede saber quién eres.
La marca de que te escribimos: sobre qué, por qué canal y cuándo. Muestra lo que salió en nuestro nombre y evita que te escribamos dos veces.
La participación en comunidades: dónde estás y qué escribiste en publicaciones y comentarios. En una comunidad abierta tus publicaciones las ve todo el mundo, también quien no ha entrado; tu nombre junto a ellas solo lo ven los miembros de las comunidades que compartís, y para el resto apareces como «miembro». Igual de oculto queda el nombre en una mención y en una publicación traída de un grupo de Telegram. Una publicación marcada «mostrar en Trabajo» aparece también en la sección «Trabajo», sin nombre y sin contactos.
Las suscripciones: a qué autores y comunidades abiertas sigues. La lista la ves solo tú. Ni el autor ni quien dirige la comunidad saben quién les sigue, y no hay contador de seguidores.
El curso que impartes: los textos de las lecciones y las listas de control, con tu nombre y tu cualificación al lado. Un curso publicado lo ve todo el mundo, también quien no ha entrado.
El control al final de una sesión de «Aprender»: solo la marca de que lo respondiste. Las respuestas se guardan como recuento total por opción, sin nombre. Nadie puede saber quién eligió qué, nosotros tampoco.
Tu respuesta a «¿Cómo te enteraste del grupo?», si la diste al entrar en un club: una opción de la lista. La vemos tú y nosotros; quien dirige el club y los miembros, no.

Qué no recogemos nunca

No hay analítica de terceros: ni Google Analytics, ni píxeles, ni redes publicitarias.
No vendemos datos ni los pasamos a redes publicitarias.
No construimos perfiles publicitarios ni evaluamos a nadie con algoritmos.
Las fuentes están alojadas con nosotros. El mapa y el botón de entrada con Telegram se cargan solo cuando pulsas; hasta entonces no sale ni una petición a Google ni a Telegram.
No hay cookies publicitarias ni de analítica. Hay cookies técnicas, para entrar en la cuenta y elegir el idioma, y cookies de apariencia cuando eliges tema, color o pestaña de novedades. Por eso tampoco hay banner de consentimiento.

Dónde se guardan los datos

Base de datos y archivos: Supabase, región de París, Unión Europea.
El sitio funciona en Vercel (EE. UU.) y los correos los envía Brevo (Francia). La transferencia fuera del EEE está cubierta por el EU-US Data Privacy Framework y las cláusulas contractuales tipo de la Comisión Europea.
Las notificaciones, sobre una respuesta a tu pregunta, sobre tu solicitud, sobre un puesto que encaja en «Trabajo» o sobre publicaciones nuevas en tus clubes, llegan por el canal que elegiste en el perfil: Telegram o correo. La elección se cumple al pie de la letra; por otro canal no escribimos.
Los correos de la lista de control de residencia solo van a quien marcó la casilla en el formulario de suscripción. En Brevo esa lista está separada de los correos de servicio, y darse de baja es un clic en cualquiera de ellos.

Cuánto tiempo guardamos la información

La cuenta la borras tú, con un botón en el perfil. Con ella se van objetivos, solicitudes y favoritos.
La ficha «busco trabajo» de la sección «Trabajo» la borras tú, con un botón. Presentaciones, recomendaciones sobre ti, quejas sobre recomendaciones y marcas de restricción se van al borrar la cuenta; el plazo de 6 meses no les afecta.
Los documentos de verificación se borran 30 días después de la decisión. Los borra una tarea diaria en el servidor, no la memoria de una persona.
Las filas del contador de visitas y del registro de acciones se borran a los 12 meses, también de forma programada.
Una solicitud sin movimiento vive 24 meses; después la borra una tarea mensual en el servidor, junto con la correspondencia. Movimiento es cualquier cosa: un cambio de etapa, una nota, una llamada, una tarea.
Las quejas y sus resoluciones se borran 6 meses después de la decisión, y la línea sobre ti junto a «busco compañía», después del encuentro. Ambas las borra una tarea diaria en el servidor.

Cómo ganamos dinero

Pagan los negocios, por el sitio en el catálogo y por trabajar las solicitudes. A ti el servicio no te cuesta nada.
El puesto en los resultados no se puede comprar. No hay promoción de pago en el catálogo; si algún día la hay, esas fichas irán marcadas como publicidad.
Ahora mismo no se aceptan pagos: el servicio está en fase de prueba y no existen datos de pago en nuestro lado.

¿Has encontrado una vulnerabilidad? Escríbenos a hello@thalamus.community o déjanos un comentario

Escribe a hello@thalamus.community. Respondemos en tres días laborables.
Describe qué has encontrado y cómo reproducirlo. Una captura de pantalla ayuda.
Lo que pedimos: no lances pruebas de carga contra el sitio y no toques cuentas ajenas. Para eso no hay permiso.
Por ahora no pagamos por los hallazgos. Te nombramos en los agradecimientos si quieres.