Privacidad

Vora es un producto de seguridad de Chroma Labs. Las consultas sobre esta página, y los pedidos de acceso y borrado que se describen más abajo, van a contact@chrom.ar.

Cuando una organización conecta Vora a su organización de GitHub, Vora lee los pull requests que se le pide revisar y el código que esos pull requests tocan. El acceso es de solo lectura, limitado a los permisos mínimos de GitHub que la revisión necesita, y acotado a los pull requests: Vora no tiene acceso a sistemas de producción y nunca integra.

Cada revisión produce hallazgos: un defecto, el archivo y la línea donde está, una severidad y un cambio sugerido. Los hallazgos se conservan para que una revisión posterior del mismo repositorio pueda distinguir un problema nuevo de uno ya reportado o ya resuelto.

Lo que Vora escribe de vuelta es acotado, y conviene decirlo con precisión: un check run sobre el commit y comentarios en el pull request — los hallazgos en línea, más comentarios de estado cuando una corrida termina o cuando un hallazgo se prueba, se resuelve, se retira, se corrige o se reabre. No sube commits, no abre pull requests, no modifica el contenido del repositorio y no integra. Cuando se propone una corrección es un diff, mostrado en la propia interfaz de Vora para que una persona lo lea y lo aplique por su cuenta; nunca se aplica automáticamente ni se envía al proveedor.

La app de Vora para Microsoft Teams responde preguntas sobre hallazgos que ya existen. No realiza ninguna acción de escritura: no puede iniciar un escaneo ni cambiar el estado de un hallazgo.

Solo recibe los mensajes dirigidos a ella. En un canal, la app recibe una actividad únicamente cuando un mensaje la menciona con @ de forma directa. No declara permisos de consentimiento específico de recurso — ni ChannelMessage.Read.Group ni ChatMessage.Read.Chat — así que no tiene manera de leer el resto de la conversación del canal, ni antes ni después de la mención. En un chat uno a uno o de grupo, recibe los mensajes que se le envían.

El contenido de los mensajes se guarda. El Bot Framework no ofrece ninguna operación que vuelva a leer una conversación, así que un intercambio de varios turnos solo funciona si Vora conserva su propia transcripción. Los cuerpos completos de los mensajes se retienen 90 días y después se borran. Es una decisión deliberada, no un efecto secundario. Junto al texto, cada intercambio lleva:

• el identificador del tenant de Microsoft de la organización,
• los identificadores de conversación y de canal a los que pertenece el intercambio,
• el identificador de objeto de Microsoft Entra de cada persona que le escribe a la app,
• y el texto de los mensajes dirigidos a la app.

Cada persona vincula su propia cuenta de Vora una sola vez, mediante un enlace firmado, así la app responde como esa persona y nunca en nombre de otra.

Los mensajes pasan por el Microsoft Bot Framework en su camino hacia y desde Teams, que es la única forma en que cualquier app de Teams los recibe.

La app publicada en la tienda de Microsoft es el despliegue alojado de Vora, así que la transcripción queda en los sistemas de Vora y no dentro del tenant de su organización.

Quitar la app borra ambas cosas: cuando Microsoft entrega el evento de desinstalación, la transcripción del tenant y sus vínculos de cuenta se purgan. Lo que sobrevive es el registro de la conversación en sí — un identificador de tenant, un identificador de hilo y un host de servicio — que es configuración de destino y no contiene nada sobre una persona.

El contenido de los mensajes de Slack no se guarda en absoluto. La integración conserva una fila por persona — el identificador del equipo de Slack, el identificador de usuario de Slack y la cuenta de Vora que esa persona vincula — y nada más.

La diferencia con Teams no es una diferencia de política. La API de Slack puede volver a leer un hilo, así que Vora trae los mensajes recientes que necesita cuando llega una pregunta, los usa para responder y no conserva ninguno. El Bot Framework no tiene una operación equivalente, y esa es toda la razón por la que la misma función en Teams requiere una transcripción guardada.

Encontrar un defecto, y responder una pregunta sobre uno, lo hace un modelo de lenguaje grande. El código bajo revisión y los mensajes dirigidos a Vora se envían al proveedor configurado — Anthropic por defecto, o un endpoint que su organización configure en su lugar — por el tiempo que lleve producir la respuesta.

Vora no entrena con nada de esto. Su código, los hallazgos que se derivan de él y los mensajes que le envía a Vora no se usan para entrenar ni mejorar ningún modelo, y Vora no ejecuta ningún proceso que lo haga. Lo que el proveedor configurado hace con lo que recibe se rige por los términos de ese proveedor y no por esta página — los de Anthropic establecen que las entradas enviadas a través de su API no se usan para entrenar sus modelos, y un endpoint que su organización configure en su lugar se rige por lo que su organización haya acordado con quien lo opera.

Los pedidos a vora.chrom.ar quedan registrados por la infraestructura que lo sirve, como en cualquier servidor web. El sitio no fija cookies ni carga nada desde dominios de terceros. Una única entrada en el almacenamiento local del navegador, vora-lang, recuerda la elección de idioma y nunca sale del navegador.

Donde se aplica el GDPR, el procesamiento descrito más arriba se apoya en el interés legítimo, artículo 6(1)(f): una organización conecta Vora para que su código sea revisado, y lo que se detalla acá es lo que esa revisión necesita. Los datos no se conservan más de lo que ese fin requiere — el principio de limitación del plazo de conservación, artículo 5(1)(e) — que es lo que implementa el límite de 90 días sobre los cuerpos de los mensajes de Teams.

Dos derechos están implementados como operaciones que funcionan, no como una promesa: acceso, artículo 15, que devuelve una exportación de los datos que se tienen sobre usted, y borrado, artículo 17, que los elimina. Ambos se atienden a pedido.

Para hacer cualquiera de los dos, escriba a contact@chrom.ar e indique a qué organización se refiere y a qué integración: Teams, Slack o GitHub.

La fecha que figura arriba cambia cuando cambia el contenido de esta página.