Cómo protegemos los datos de tu organización: dónde viven, quién los procesa y qué hace — y qué no hace — la IA con ellos.
Infraestructura en Irlanda, dentro de la Unión Europea. Tratamiento conforme al RGPD — detalle completo en la política de privacidad.
Políticas de seguridad a nivel de fila (RLS): ninguna empresa puede ver los datos de otra. Los distribuidores gestionan cuentas, nunca contenido de proyectos.
Cada persona puede proteger su acceso con un código de una aplicación de autenticación, y la PMO puede exigirlo a toda la organización. La regla la aplica la base de datos, no solo la pantalla.
Por defecto, la IA recibe métricas de rendimiento con etiquetas P1, P2… — sin nombres de clientes, sin datos personales, sin contenido de documentos. Ver los nombres reales es una opción por organización, y solo se activa con autorización expresa del cliente.
El semáforo de salud y los indicadores de valor ganado (CPI, SPI, EAC…) se calculan según el estándar PMBOK, no con un criterio propio.
No vendemos datos personales ni de proyecto a terceros. Los proveedores que procesan datos lo hacen como encargados, bajo nuestras instrucciones.
PMOvio Intelligence, el agente incorporado en la plataforma, es la parte que más contacto tiene con la información de tu portafolio. Nuestro criterio ha sido acotar al máximo lo que ve:
Los proveedores que procesan estas consultas (ver tabla siguiente) no entrenan sus modelos con los datos enviados desde PMOvio.
Compartimos datos únicamente con proveedores que ayudan a prestar el servicio, siempre como encargados del tratamiento:
| Proveedor | Función | Ubicación |
|---|---|---|
| Supabase | Base de datos y autenticación | Unión Europea (Irlanda) |
| Vercel | Alojamiento de la aplicación | Infraestructura global |
| Groq | Motor de IA principal (PMOvio Intelligence) | Estados Unidos |
| Anthropic (Claude) | Motor de IA de respaldo | Estados Unidos |
| Resend | Envío de correo transaccional (invitaciones, notificaciones) | Estados Unidos |
| Paddle | Facturación y cobro (comerciante registrado) | Reino Unido / UE |
| Google Analytics | Estadísticas de uso del sitio web (solo con tu consentimiento) | Estados Unidos |
Las transferencias fuera de la UE se hacen con las cláusulas contractuales tipo de la Comisión Europea o el Marco de Privacidad de Datos UE-EE. UU., según el proveedor. Avisamos con 30 días de antelación antes de añadir o cambiar un subencargado.
Firmamos un DPA con cada cliente que lo pida. Puedes leer el modelo antes de pedirlo: obligaciones, notificación de incidentes en 48 horas, subencargados, transferencias, auditoría, borrado de los datos al terminar y las medidas de seguridad. Está en español y en inglés.
Los datos están en la Unión Europea, bajo el RGPD, y se firman con el DPA. Esto es lo que suele preguntar el área legal en cada país:
| País | Ley de datos | Cómo se cubre |
|---|---|---|
| Colombia | Ley 1581 de 2012 | THE PROJECT MASTER es una empresa colombiana. La transferencia a la UE se recoge en el DPA. |
| México | Ley Federal de Protección de Datos Personales en Posesión de los Particulares (2025) | Aviso de privacidad del cliente y DPA con PMOvio. |
| Perú | Ley 29733 y su reglamento de 2025 | DPA. El reglamento alcanza a proveedores extranjeros: si tu área legal pide un contacto local, lo resolvemos contigo o con tu partner. |
| Ecuador | Ley Orgánica de Protección de Datos Personales (2021) | Transferencia a la UE y DPA. |
| Chile | Ley 21.719 (entrada en vigor prevista en diciembre de 2026) | Transferencia a la UE y DPA. |
| Bolivia | Sin ley general de datos personales | DPA a petición. |
| Unión Europea | RGPD | Datos alojados en Irlanda y DPA conforme al artículo 28. |
Información de referencia, revisada en octubre de 2026; no es asesoría legal.
El aislamiento entre organizaciones se apoya en políticas de seguridad a nivel de fila (RLS) de PostgreSQL, verificadas con pruebas de intrusión propias, no solo con la configuración por defecto. La base de datos aplica además restricciones de integridad a nivel de esquema, para que un fallo de la aplicación no pueda dejar datos inconsistentes o cruzados entre organizaciones. El acceso administrativo (soporte, distribuidores) pasa siempre por una pasarela que valida el permiso antes de tocar la base de datos — nunca se conecta directo con una clave maestra desde el navegador.
¿Necesitas un cuestionario de seguridad o el DPA firmado para tu proceso de compra?
Escríbenos a ceo@theprojectmaster.com y te lo enviamos. Las demos de seguridad también las hacemos nosotros, no un script.
Este Centro de Confianza es un resumen. El detalle legal completo — bases jurídicas, plazos de conservación, tus derechos — está en:
How we protect your organization's data: where it lives, who processes it, and what our AI does — and doesn't do — with it.
Infrastructure located in Ireland, within the European Union. GDPR-compliant processing — full detail in the privacy policy.
Row-level security (RLS): no company can see another company's data. Partners manage accounts, never project content.
Anyone can protect their access with a code from an authenticator app, and the PMO can require it for the whole organization. The rule is enforced by the database, not just the screen.
By default, the AI receives performance metrics labelled P1, P2… — no client names, no personal data, no document contents. Seeing real names is a per-organization option, enabled only with the client's express authorization.
Health status and earned-value indicators (CPI, SPI, EAC…) are computed per the PMBOK standard, not an in-house judgment call.
We never sell personal or project data to third parties. Providers that process data act as processors, under our instructions.
PMOvio Intelligence, the platform's built-in agent, has the most contact with your portfolio's information. Our approach has been to minimize what it sees:
The providers that process these queries (see the table below) do not train their models on data sent from PMOvio.
We share data only with providers that help us deliver the service, always as data processors:
| Provider | Function | Location |
|---|---|---|
| Supabase | Database and authentication | European Union (Ireland) |
| Vercel | Application hosting | Global infrastructure |
| Groq | Primary AI engine (PMOvio Intelligence) | United States |
| Anthropic (Claude) | Fallback AI engine | United States |
| Resend | Transactional email (invitations, notifications) | United States |
| Paddle | Billing and payments (merchant of record) | United Kingdom / EU |
| Google Analytics | Website usage statistics (only with your consent) | United States |
Transfers outside the EU rely on the European Commission's standard contractual clauses or the EU-U.S. Data Privacy Framework, depending on the provider. We give 30 days' notice before adding or replacing a sub-processor.
We sign a DPA with every customer that asks. You can read the template before requesting it: obligations, breach notification within 48 hours, sub-processors, transfers, audits, deletion at the end of the service and security measures. Available in English and Spanish.
Data is stored in the European Union, under the GDPR, and covered by the DPA. This is what legal teams usually ask in each country:
| Country | Data protection law | How it's covered |
|---|---|---|
| Colombia | Law 1581 of 2012 | THE PROJECT MASTER is a Colombian company. The transfer to the EU is covered in the DPA. |
| Mexico | Federal Law on the Protection of Personal Data Held by Private Parties (2025) | The customer's privacy notice and a DPA with PMOvio. |
| Peru | Law 29733 and its 2025 regulation | DPA. The regulation reaches foreign providers: if your legal team asks for a local contact, we work it out with you or your partner. |
| Ecuador | Organic Law on Personal Data Protection (2021) | Transfer to the EU and DPA. |
| Chile | Law 21.719 (expected to take effect in December 2026) | Transfer to the EU and DPA. |
| Bolivia | No general data protection law | DPA on request. |
| European Union | GDPR | Data hosted in Ireland and a DPA under Article 28. |
Reference information, reviewed October 2026; not legal advice.
Isolation between organizations rests on PostgreSQL row-level security (RLS) policies, verified with our own intrusion testing, not just the default configuration. The database also enforces schema-level integrity constraints, so an application bug can't leave inconsistent or cross-organization data behind. Administrative access (support, partners) always goes through a gateway that validates permission before touching the database — never a direct connection with a master key from the browser.
Need a security questionnaire or the signed DPA for your procurement process?
Write to us at ceo@theprojectmaster.com and we'll send it over. We run security demos ourselves too, not a script.
This Trust Center is a summary. The full legal detail — legal bases, retention periods, your rights — is in: