DECLARACIÓN DEL FUNDADOR
Por qué inicié este ecosistema — una convicción profesional después de 28 años
Tus datos. Tus claves. Tus reglas.
Cada producto en este ecosistema se basa en un único compromiso arquitectónico: tus datos, tus claves, tu control. Tu contraseña nunca sale de tu dispositivo. Tus documentos nunca se almacenan. Tu clave de cifrado es solo tuya. Ninguna ley de nube de EE. UU., ninguna citación de proveedor, ningún corredor de datos — puede alcanzar lo que nunca se compartió.
Antecedentes
Durante 28 años he trabajado en la intersección de la tecnología, la seguridad y el cumplimiento organizacional. Fundé curta.solutions en 1998. Desde entonces he servido a organizaciones reguladas en 26 países — en servicios financieros, atención médica, legal, gobierno, manufactura y tecnología — como su socio en arquitectura de TI, seguridad, transformación digital y cumplimiento.
Lo que he observado durante 28 años no es una evolución lenta. Es una crisis en cámara lenta — una que alcanzó un punto de quiebre con la llegada de la IA generativa y la proliferación global de regulaciones de privacidad superpuestas.
Mi Convicción
Creo que cada persona, organización e institución tiene el derecho de compartir información de manera selectiva — de divulgar a un regulador solo lo que un regulador tiene derecho a ver, de colaborar con un socio solo sobre datos que han sido explícitamente autorizados, de participar en la vida comercial y pública sin renunciar a lo que debe permanecer privado.
Creo que este derecho debe ser ejercitable prácticamente por todos — no solo por organizaciones con departamentos de cumplimiento y presupuestos de software empresarial. La privacidad no puede ser un privilegio de escala.
Creo que en un mundo donde la ley de EE. UU. puede alcanzar cualquier dato en manos de cualquier empresa estadounidense en cualquier parte del mundo, y donde el 77% de los empleados alimentan datos sensibles en herramientas de IA que no controlan, la única arquitectura que puede ofrecer una garantía de privacidad significativa es aquella donde los datos nunca salen del control del usuario en primer lugar. No garantías contractuales. No políticas de privacidad. Arquitectura técnica.
Autenticación de conocimiento cero. Procesamiento local primero. Cifrado reversible donde la clave pertenece al usuario. Operación capaz de funcionar sin conexión. Jurisdicción de la UE, sin excepciones. Estas no son características del producto. Son el estándar mínimo para cualquier herramienta que afirme proteger datos personales.
Y creo que 28 años de trabajo dentro de las organizaciones que manejan la información más sensible del mundo — 28 años de observar cómo se amplía la brecha entre la intención regulatoria y la realidad técnica — me han dado tanto la comprensión como la responsabilidad de iniciar lo que el ecosistema aún carece. Definir la visión, ensamblar el equipo adecuado y asegurar que se construya según el estándar que el problema exige.
El derecho a anonimizar información personal no es una característica técnica. Es un derecho fundamental. Y un derecho que no puede ser ejercido prácticamente no es un derecho en absoluto.
Los Problemas que He Observado
Fragmentación Regulatoria: Demasiadas Reglas, Ningún Lenguaje Común
Una organización de tamaño medio que opera a nivel global debe navegar simultáneamente 48+ leyes de privacidad nacionales y regionales — GDPR, UK GDPR, CCPA, LGPD, PDPA, PIPL, DPDPA, APPI, PIPEDA y docenas más. 24 DPAs nacionales en la UE emiten orientación vinculante que es consistente en principio y divergente en práctica. Lo que satisface al BfDI alemán no satisface automáticamente al CNIL francés, al DPC irlandés o al AP holandés. La superposición específica del sector — HIPAA, PCI-DSS, NIS2, la Ley de IA — añade requisitos que rara vez están armonizados entre sí.
El resultado no es un marco de cumplimiento. Es un objetivo en movimiento con 48 dianas diferentes.
El Monstruo de Papel: Acuerdos que Nadie Lee, Controles que Nadie Verifica
Las organizaciones mantienen acuerdos de procesamiento de datos con cientos de subprocesadores, Cláusulas Contractuales Estándar que llegan a más de 30 páginas por relación de transferencia, Registros de Actividades de Procesamiento, DPIAs, TIAs, LIAs — cada uno requiere una entrada técnica que la mayoría de los equipos legales no pueden verificar de manera independiente. En la práctica: las organizaciones firman lo que deben firmar, archivan lo que deben archivar y esperan que la realidad técnica coincida con la descripción contractual. El monstruo de papel genera la apariencia de cumplimiento. Rara vez genera la sustancia de este.
Inadecuación Técnica: Las Herramientas No Coinciden con la Obligación
La detección de PII basada en IA generativa es no determinista. El mismo documento procesado dos veces produce resultados diferentes. Fundamentalmente incompatible con el cumplimiento — donde debes demostrar, de manera reproducible y verificable, que datos específicos fueron detectados y manejados correctamente.
Microsoft Presidio, spaCy, Stanza — plataformas de ingeniería, no herramientas de cumplimiento. Desplegar en producción requiere escribir reconocedores personalizados para cada tipo de entidad y lenguaje, construir tuberías de pre/post-procesamiento, integrarse con formatos de documentos, mantener todo a medida que evolucionan las regulaciones. Típicamente de 30 a 80 horas de tiempo de ingeniería especializado antes de que se procese un solo documento. La mayoría de las organizaciones no tienen esa experiencia interna.
Un número personal en un contrato de trabajo sueco, un Steuer-ID en un formulario fiscal alemán, un PESEL en un documento de seguro polaco, un Codice Fiscale en una factura italiana — cada uno requiere no solo detección de lenguaje sino reconocimiento de entidad consciente del tipo de documento. Los modelos de lenguaje entrenados predominantemente en inglés producen una tasa de error del 69% en PII en texto no inglés. La ley no hace distinción por idioma.
Microsoft Purview, AWS Macie, Google Cloud DLP — caros, requieren conectividad a la nube, bloquean a las organizaciones. Más críticamente: todos tienen sede en EE. UU. La Ley CLOUD de 2018 les obliga a divulgar datos en cualquier parte del mundo a solicitud válida del gobierno de EE. UU. La Sección 702 de FISA permite la recolección de inteligencia sin órdenes individuales. Schrems II invalidó el Escudo de Privacidad UE-EE. UU. por esta razón exacta. Un contrato anual de seis cifras con un proveedor de nube de EE. UU. no produce procesamiento de datos conforme al GDPR.
El Problema de la IA No Controlada: El Mercado No Tiene Respuesta
El 77% de los empleados comparten información sensible de trabajo con herramientas de IA al menos una vez a la semana. El 34.8% de todas las entradas de herramientas de IA contienen información que califica como sensible bajo al menos un marco de privacidad. Los empleados utilizan ChatGPT, Copilot, Claude, Gemini para redactar contratos, resumir notas, analizar hojas de cálculo — constantemente, automáticamente, sin ser conscientes de lo que están pegando en un aviso.
Los sistemas DLP tradicionales no pueden entender el contenido semántico de un aviso en lenguaje natural. No pueden distinguir entre un desarrollador que le pide a una IA que explique un patrón de código y un desarrollador que pega una base de datos de producción de 50,000 registros en la misma ventana. Los modelos de IA procesan todo. No ofrecen protección, no emiten advertencias, no tienen un registro de auditoría en el que un DPO pueda confiar.
Lo que falta es la capa técnica que hace que la política sea aplicable en la práctica. Esa capa no existe en el mercado a ningún precio que una organización de tamaño medio pueda permitirse, en ninguna forma que funcione a través de las herramientas de IA que los empleados realmente utilizan. Esta es una de las brechas que este ecosistema fue construido para cerrar.
La Brecha de Accesibilidad: Cumplimiento como un Privilegio de Escala
Un profesional independiente, una organización comunitaria, una pequeña autoridad pública, una institución de investigación — cada uno sujeto al mismo GDPR, el mismo derecho a la eliminación, la misma obligación de notificación de violaciones que un banco global — pero sin el equipo legal, los recursos de ingeniería, o el presupuesto de software empresarial para implementarlos adecuadamente. El ecosistema de cumplimiento ha servido adecuadamente a grandes organizaciones, aunque de manera costosa. Ha servido a todos los demás con un mandato y sin medios prácticos para satisfacerlo.
La Respuesta del Ecosistema — Una Plataforma, Múltiples Expresiones
La plataforma paraguas y punto de acceso principal. Detección de PII híbrida de doble capa (260+ entidades, 48 idiomas, 121 configuraciones de cumplimiento) en todos los modelos de implementación — SaaS, nube privada gestionada y autogestionada. Todos los productos derivados comparten el mismo motor de detección y el mismo principio fundador: poder en manos del usuario.
Edición empresarial con separación de aire. 390+ entidades, 317 patrones regex personalizados, procesamiento 100% sin conexión, OCR de imágenes en 37 idiomas. Sin dependencia de la nube — los datos nunca salen del dispositivo.
Plataforma de PII en la nube con el acceso más amplio. Extensión de Chrome para interceptación de IA en tiempo real, Servidor MCP, complemento de Office, cifrado reversible. Gratis hasta €29/mes — cumplimiento para cada presupuesto.
Primero en escritorio, completamente local. Presidio sidecar en el dispositivo, 7 formatos de documentos + OCR, procesamiento por lotes, bóveda cifrada. Licencia perpetua de un solo pago — sin suscripciones, sin nube, completamente fuera de línea después de la activación.
Plataforma de demostración pública instantánea. No se requiere cuenta — pega texto, anonimiza de inmediato, ve el motor en acción. La forma más rápida de experimentar lo que hace el ecosistema.
Plataforma Paraguas — SaaS · Privada Gestionada · Autogestionada · 3 modelos de implementación
- //Las organizaciones informan que el 67% de los desarrolladores han expuesto accidentalmente secretos en el código — regex determinista captura lo que NLP pierde y viceversa
- //La detección de IA de propósito general logra una tasa de error del 69% en texto no inglés — la doble capa con spaCy + XLM-RoBERTa cierra la brecha en los 48 idiomas
- //La redacción inconsistente entre equipos es el hallazgo de auditoría más citado por ICO y DPA — las configuraciones aplican un comportamiento de detección idéntico a cada usuario, cada sesión
- //El 95% de las violaciones de datos de 2024 están vinculadas a errores humanos — las configuraciones compartidas eliminan las decisiones de configuración por persona que crean variaciones
- //Las pilas de PII de múltiples proveedores crean brechas en el registro de auditoría — más del 60% de las organizaciones que utilizan 3+ herramientas de PII informan fallos de conciliación entre herramientas
- //Fragmentación de formatos: las organizaciones procesan PDF, DOCX, XLSX, CSV, JSON simultáneamente — cada formato requería previamente un enfoque separado, una herramienta separada, un registro de auditoría separado
- //Las herramientas de PII empresariales cuestan entre $50,000 y $500,000/año — las organizaciones con restricciones de costos históricamente no han tenido opción alguna
- //La Ley CLOUD + la Sección 702 de FISA significan que el procesamiento "conforme al GDPR" alojado en EE. UU. es una ficción contractual — el alojamiento solo en la UE elimina esta exposición por completo
Conexión Empresarial con Separación de Aire — 390+ entidades · 317 regex personalizados · 100% sin conexión · OCR de Imágenes
- //PII específica de la industria — códigos de instalaciones nucleares, números de servicio militar, ID internos propietarios — no cubiertos por ninguna herramienta comercial; los reconocedores personalizados requieren semanas de ingeniería especializada en Presidio en bruto
- //La incompletitud de la cobertura es el techo de detección: ninguna herramienta general cubre todos los tipos de PII, todos los idiomas, todos los formatos — 317 patrones curados cierran las brechas que los marcos listos para usar pierden
- //La paradoja del proveedor: para proteger la PII debes compartirla con un proveedor. El procesamiento en la nube requiere confiar en el procesador — una contradicción arquitectónica para organizaciones que manejan los datos más sensibles
- //Los entornos con separación de aire (defensa, inteligencia, infraestructura crítica, laboratorios de investigación) no pueden usar herramientas dependientes de la nube a ningún precio — primero sin conexión elimina por completo la barrera arquitectónica
- //Microsoft Purview explícitamente no puede escanear JPEG/PNG — PII de texto en capturas de pantalla es completamente invisible para la pila DLP empresarial por diseño
- //El malware SparkCat (iOS/Android, diciembre de 2025) utilizó OCR para robar frases de recuperación de billeteras criptográficas de capturas de pantalla — PII de texto basada en imágenes es un objetivo de ataque activo, no un riesgo teórico
- //Aumento del 300% en las violaciones de datos basadas en la nube entre 2022 y 2024 — el conocimiento cero significa que una violación de nuestros servidores no expone nada, porque nada se almacena
- //Certificado ISO 27001:2022 con pruebas de penetración de pila completa regulares — la postura de seguridad que requiere la adquisición regulada está documentada, verificada y auditada de forma independiente
Plataforma de PII en la Nube — Gratis hasta €29/mes · Extensión de Chrome · Servidor MCP · Complemento de Office
- //El 8.5% de todos los avisos de LLM contienen PII — la intercepción en tiempo real antes de la presentación es la única prevención que funciona; la detección posterior pierde la única ventana que importa
- //El DLP tradicional se activa después de que los datos han salido de la organización — la Extensión de Chrome intercepta en el punto de entrada, antes de que cualquier modelo reciba o procese contenido sensible
- //La detección de IA generativa es no determinista — el mismo documento produce resultados diferentes en diferentes ejecuciones; ningún sistema probabilístico puede formar la base de una defensa regulatoria
- //Presidio solo pierde entidades dependientes del contexto; XLM-RoBERTa solo genera falsos positivos en lenguaje legal formal — una tercera capa de clasificación de postura elimina los falsos positivos que hacen que los equipos de cumplimiento desconfíen de las herramientas automatizadas
- //Descubrimiento legal, solicitudes de acceso a registros médicos, auditoría regulatoria — los datos anonimizados deben a veces ser desanonimizados por la parte autorizada y solo por ella; los métodos irreversibles hacen esto imposible
- //La clave de sesión del usuario nunca sale de su dispositivo — ni nuestros servidores, ni ninguna nube, ni ningún subprocesador. El derecho a revertir la anonimización pertenece al usuario, no a nosotros.
- //Un profesional independiente enfrenta la misma obligación de derecho a la eliminación del GDPR que un banco global — pero sin un departamento de cumplimiento o un presupuesto de software empresarial de €500K/año
- //764 organizaciones de la UE están simultáneamente bajo investigación por fallos en el derecho a la eliminación — no porque pretendieran violar; porque las herramientas para cumplir estaban tasadas más allá de su alcance
Primero en Escritorio · Procesamiento 100% Local · 7 Formatos de Documentos + OCR · Licencia de Un Solo Pago
- //Aumento del 300% en las violaciones de datos basadas en la nube entre 2022 y 2024 — los datos que nunca entran en la nube no pueden ser expuestos en una violación en la nube
- //La Ley CLOUD + FISA hacen que el procesamiento alojado en EE. UU. sea legalmente incierto para organizaciones de la UE — el procesamiento local elimina todo el problema de transferencia transfronteriza al garantizar que no ocurra ninguna transferencia
- //La fragmentación de formatos obliga a las organizaciones a mantener múltiples herramientas — cada herramienta crea una política de detección separada, un registro de auditoría separado, un modo de fallo separado
- //Los archivos de registro son la superficie de PII descuidada — los desarrolladores se centran en bases de datos pero los registros contienen claves API, IDs de usuario, direcciones IP; CSV y JSON son compatibles de forma nativa junto a documentos estructurados
- //Entornos de producción con separación de aire — pisos de manufactura, instalaciones gubernamentales seguras, laboratorios de investigación — no pueden tolerar una verificación de licencia que requiera acceso a la red; la activación de un solo pago y luego operación completamente fuera de línea es la única arquitectura viable
- //Licencias perpetuas sin dependencia recurrente de SaaS: el usuario posee su instalación; la cancelación de suscripción de un proveedor no puede desactivar una herramienta en un momento crítico de procesamiento
- //Las reconstrucciones de tuberías dbt destruyen las políticas de enmascaramiento en datos CSV/JSON — EDPB 2024 aclara que esto viola el Art. 5(1)(a) del GDPR; el almacenamiento en bóveda con historial cifrado significa que cada archivo procesado tiene un registro auditable y recuperable
- //Las organizaciones que procesan miles de documentos heredados para el cumplimiento del derecho a la eliminación del GDPR necesitan capacidad por lotes — no un límite de 5 archivos por día de SaaS que hace que la tarea sea operativamente imposible
La Magnitud del Problema
Estos no son fracasos aislados. Son resultados sistémicos de un entorno de cumplimiento que ha superado su propia infraestructura.