Confianza

Privacidad y seguridad

Adónde va tu prompt

Qué se almacena

• Nada de lo que escribes se almacena en un servidor. Las cuentas son opcionales y solo guardan la identidad: un hash con clave de tu dirección de correo y los tokens de sesión. No existe ningún endpoint que acepte prompts ni actividad.
• Las extensiones de Chrome y VS Code pueden mantener un historial de actividad en tu dispositivo, desactivado hasta que lo actives y aceptes un aviso. Registra metadatos (hora, sitio, tipo de evento, categorías y recuentos de datos sensibles, acción, puntuaciones de calidad); el texto del prompt solo si activas por separado el historial de prompts, con los secretos detectados sustituidos. Nunca se sube ni se sincroniza, y puedes pausarlo, excluir sitios, exportarlo y borrarlo. PromptFlowEngine no cifra el almacenamiento del navegador ni del editor.
• Los artículos de AI Insights se almacenan en una base de datos. Abrir uno suma 1 a su recuento de vistas, y usar un botón de compartir suma 1 a su recuento de veces compartido. Solo se guardan los recuentos: ni dirección IP, ni identificador, ni referente.
• El espacio de trabajo guarda tu borrador, tus ajustes, tus prompts guardados y el idioma elegido en el localStorage de este navegador. Borrar los datos del sitio los elimina.
• Elegir un idioma en el selector de idioma lo guarda en una cookie pf-lang (un año, solo este sitio) para que las páginas se abran en ese idioma la próxima vez. Solo contiene el código del idioma y nunca se crea salvo que elijas un idioma.
• Google Analytics (GA4) se ejecuta en todas las páginas de promptflowengine.com y registra las páginas vistas, con las señales de Google y la personalización de anuncios desactivadas. Las compilaciones de vista previa y locales no envían nada. Para visitantes del EEE, el Reino Unido y Suiza, y para navegadores que envían Global Privacy Control, GA4 funciona sin cookies de analítica (modo de consentimiento con el almacenamiento de analítica denegado).
• El sitio envía eventos de uso a GA4: optimize_run, optimize_apply, template_load, prompt_save, prompt_copy, prompt_download, share_create, share_open, sanitize, library_open, library_share, insight_share, social_landing (la red, la campaña y el id de publicación de un enlace etiquetado de nuestras redes sociales), get_started_click, trial_signup_click, signup_started, signup_completed, demo_request, contact_sales, docs_view, vscode_extension_click, chrome_extension_click, demo_center_click y extension_listing_click (qué tienda, y la página donde estaba el enlace). Sus parámetros son ajustes (modelo, modo, objetivo), ids de plantilla, puntuaciones, recuentos y rangos de tamaño como 100-500 tokens. El texto de los prompts, los hallazgos y lo que escribes nunca se envían.
• Si Cloudflare Web Analytics está activado, registra páginas vistas sin cookies. Nunca ve el texto de los prompts.
• Los informes de errores de las extensiones de Chrome y VS Code están desactivados de forma predeterminada. Si los activas (Chrome: Configuración → Diagnóstico; VS Code: promptflow.diagnostics.errorReports, nunca se envían mientras la telemetría de VS Code esté desactivada), un fallo inesperado envía al servidor configurado el tipo de error de una lista fija (como process_internal), su gravedad y la versión de la extensión. Nunca el mensaje de error, un seguimiento de pila, prompts, contenido de páginas o archivos, ni nada que te identifique a ti, a tu cuenta o a tu dispositivo. Se guardan como recuentos durante 90 días como máximo y solo los ven los administradores de PromptFlowEngine.
• Cuando el propio código de este sitio falla en tu navegador, envía un informe de error anónimo al propio promptflowengine.com (sin terceros ni cookies): el tipo de error de una lista fija (como chunk_load_failed), su gravedad y la sección del sitio en la que estabas (como docs). Nunca el mensaje de error, la dirección completa, nada después de ? o # (ahí guardan tu prompt los enlaces para compartir) ni nada que hayas escrito. Se ignoran los errores de scripts de otros sitios y de extensiones del navegador. Si tu navegador envía Global Privacy Control o Do Not Track, no se envía nada.

Qué se registra

Por cada solicitud a la API: un id de solicitud, la ruta, el método, el estado, la duración, un rango de tamaño de la entrada (como 1k-10k) y si se aplicó el límite de solicitudes. El texto de los prompts y los resultados nunca se registran.

Modelo de seguridad

• Content Security Policy estricta (scripts basados en hash, frame-ancestors 'none'), HSTS y nosniff.
• Google Analytics y la baliza opcional de Cloudflare Analytics son los únicos scripts de terceros; la CSP no permite nada más. Las fuentes se alojan en el propio sitio, y las traducciones forman parte del sitio: ningún prompt ni texto de página se envía a un servicio de traducción.
• La API valida cada campo, limita el tamaño de la entrada, aplica límites de solicitudes por IP y devuelve errores tipados sin detalles internos.
• La detección de datos sensibles devuelve categorías y posiciones, nunca el valor encontrado.
• La detección de inyección de prompts se basa en firmas. Indica riesgo, no prueba, y puede pasar por alto ataques nuevos.

¿Has encontrado una vulnerabilidad? Comunícasela en privado al responsable antes de divulgarla. Consulta la página del desarrollador.

Contacto

Preguntas sobre privacidad, tus datos o la eliminación de una cuenta: support@promptflowengine.com.