Privacy Policy · Política de privacidad

Who is responsible

BoostLab is not a registered company. It is operated by Maria Valeria Jimenez Cordoba, an individual registered in Colombia under RUT 1004233566, who is responsible for the Service and for the processing of personal data described on these pages. Contact: info@boostlab.network.

1. Data we receive from Google

When you choose “Continue with Google”, we request only the openid and email scopes. Google shares with us:

• your Google account email address;
• whether Google has verified that email address; and
• an opaque Google account identifier.

We do not request your name, profile photo, contacts, Gmail, Google Drive, Calendar, or any other Google data, and we do not request offline access or refresh tokens.

2. How we use Google user data

We use your verified email address for one purpose: to check whether it belongs to an administrator who has already been invited to the Service, and if so, to sign you in.

• The short-lived access token Google issues is used once, on our server, to read your email address and is then discarded. It is never stored.
• If your email is not invited, we sign you out of the flow and store nothing about you. We never create an account from a Google sign-in.
• If your email is invited, we set a signed session cookie linked to your existing administrator account. We do not store the Google identifier or any other Google data.

We do not sell Google user data, use it for advertising, share it with third parties, or use it to train artificial intelligence or machine learning models. B Lab Admin’s use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.

3. Other data the Service handles

• Administrator accounts: name, email address, assigned roles, and, if you set one, a password stored only as a salted scrypt hash.
• Sign-in security: single-use sign-in and password-reset links, and rate-limit counters derived from your email and IP address to block repeated attempts.
• Program records: data about program applicants and participants, and email correspondence with them, which administrators manage on behalf of the program. That data is collected under the program’s own privacy notice.
• In-app feedback: notes and screenshots you choose to create with the feedback tool are kept in your own browser’s local storage and are not sent to our servers. If you use its optional dictation button, your browser’s speech recognition service (for example Google in Chrome) transcribes the audio; we never receive it.

4. Cookies

We use only strictly necessary cookies, all HttpOnly:

• blab_admin_session keeps you signed in for up to 7 days.
• Three Google sign-in cookies protect the sign-in against forgery and remember where to return you. They expire after 10 minutes and are deleted when sign-in finishes.

We do not use advertising or cross-site tracking cookies.

5. Service providers

We rely on providers that process data on our behalf to run the Service: Vercel (hosting), a managed PostgreSQL database provider (storage), Google (sign-in, and the organization’s own Google Drive and Google Analytics accounts used by the program), and our email provider (sending and receiving program email). We do not sell personal data.

6. Retention

Google sign-in data is not retained beyond the sign-in request. Administrator account data is kept while your invitation is active and deleted or deactivated when access ends or when you ask us to remove it, unless we must keep it to meet a legal obligation.

7. Security

Sign-in uses the OAuth 2.0 authorization-code flow with PKCE and verified email addresses only. Data travels over HTTPS, sessions are cryptographically signed, and third-party credentials are encrypted at rest. No method of transmission or storage is completely secure, but we work to protect your data.

8. Your rights

You can ask to access, correct, or delete your personal data, or withdraw your authorization, by writing to info@boostlab.network. Where Colombian data protection law (Ley 1581 de 2012) applies, you may also file a complaint with the Superintendencia de Industria y Comercio. You can revoke the Service’s access to your Google account at any time from your Google Account permissions.

9. Children

The Service is for invited adult administrators and is not directed to children.

10. Changes and contact

We will post any change to this policy on this page and update the date above. Questions about this policy: info@boostlab.network.

Responsable del tratamiento

BoostLab no es una sociedad registrada. Es operado por Maria Valeria Jimenez Cordoba, persona natural inscrita en Colombia con RUT 1004233566, quien es responsable del Servicio y del tratamiento de los datos personales descrito en estas páginas. Contacto: info@boostlab.network.

1. Datos que recibimos de Google

Cuando eliges “Continuar con Google”, solicitamos únicamente los permisos openid y email. Google nos comparte:

• el correo electrónico de tu cuenta de Google;
• si Google verificó ese correo; y
• un identificador opaco de tu cuenta de Google.

No solicitamos tu nombre, foto de perfil, contactos, Gmail, Google Drive, Calendar ni ningún otro dato de Google, ni acceso sin conexión o tokens de actualización.

2. Cómo usamos los datos de Google

Usamos tu correo verificado con un único fin: comprobar si pertenece a un administrador previamente invitado al Servicio y, en ese caso, iniciar tu sesión.

• El token de acceso temporal que emite Google se usa una sola vez, en nuestro servidor, para leer tu correo y luego se descarta. Nunca se almacena.
• Si tu correo no está invitado, interrumpimos el ingreso y no guardamos nada sobre ti. Nunca creamos una cuenta a partir de un ingreso con Google.
• Si tu correo está invitado, creamos una cookie de sesión firmada vinculada a tu cuenta de administrador existente. No guardamos el identificador de Google ni ningún otro dato de Google.

No vendemos los datos de usuario de Google, no los usamos con fines publicitarios, no los compartimos con terceros ni los usamos para entrenar modelos de inteligencia artificial o aprendizaje automático. El uso y la transferencia de la información recibida de las API de Google por parte de B Lab Admin se ajustan a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado (Limited Use).

3. Otros datos que trata el Servicio

• Cuentas de administrador: nombre, correo electrónico, roles asignados y, si la defines, una contraseña guardada solo como hash scrypt con sal.
• Seguridad del ingreso: enlaces de un solo uso para ingresar o restablecer la contraseña, y contadores de límite de intentos derivados de tu correo y dirección IP.
• Registros del programa: datos de postulantes y participantes, y la correspondencia con ellos, que los administradores gestionan en nombre del programa. Esos datos se recogen bajo el aviso de privacidad propio del programa.
• Comentarios en la aplicación: las notas y capturas que decidas crear con la herramienta de comentarios se guardan en el almacenamiento local de tu navegador y no se envían a nuestros servidores. Si usas su botón opcional de dictado, el servicio de reconocimiento de voz de tu navegador (por ejemplo, Google en Chrome) transcribe el audio; nosotros nunca lo recibimos.

4. Cookies

Usamos solo cookies estrictamente necesarias, todas HttpOnly:

• blab_admin_session mantiene tu sesión abierta hasta por 7 días.
• Tres cookies del ingreso con Google protegen el proceso contra falsificaciones y recuerdan a dónde regresarte. Vencen a los 10 minutos y se eliminan al terminar el ingreso.

No usamos cookies publicitarias ni de rastreo entre sitios.

5. Proveedores de servicios

Para operar el Servicio nos apoyamos en proveedores que tratan datos por encargo nuestro: Vercel (alojamiento), un proveedor de base de datos PostgreSQL gestionada (almacenamiento), Google (ingreso, y las cuentas de Google Drive y Google Analytics de la propia organización que usa el programa) y nuestro proveedor de correo (envío y recepción del correo del programa). No vendemos datos personales.

6. Conservación

Los datos del ingreso con Google no se conservan más allá de la solicitud de ingreso. Los datos de la cuenta de administrador se conservan mientras tu invitación esté activa y se eliminan o desactivan cuando termina el acceso o cuando nos pides eliminarlos, salvo que debamos conservarlos para cumplir una obligación legal.

7. Seguridad

El ingreso usa el flujo de código de autorización de OAuth 2.0 con PKCE y solo acepta correos verificados. Los datos viajan por HTTPS, las sesiones están firmadas criptográficamente y las credenciales de terceros se cifran en reposo. Ningún método de transmisión o almacenamiento es completamente seguro, pero trabajamos para proteger tus datos.

8. Tus derechos

Puedes solicitar acceder, actualizar, rectificar o suprimir tus datos personales, o revocar tu autorización, escribiendo a info@boostlab.network. Cuando aplique la ley colombiana de protección de datos (Ley 1581 de 2012), también puedes presentar una queja ante la Superintendencia de Industria y Comercio. Puedes revocar en cualquier momento el acceso del Servicio a tu cuenta de Google desde los permisos de tu cuenta de Google.

9. Menores de edad

El Servicio está destinado a administradores adultos invitados y no está dirigido a menores de edad.

10. Cambios y contacto

Publicaremos cualquier cambio a esta política en esta página y actualizaremos la fecha indicada arriba. Preguntas sobre esta política: info@boostlab.network.