Privacidad y seguridad: cómo trata FlockConnect los datos de su iglesia

¿Quién puede ver los datos de sus personas?

El acceso parte de tres roles: el propietario de la cuenta, los líderes de la iglesia y los acompañantes de cuidado. Los propietarios ven a todas las personas de su iglesia, y el propietario de la cuenta y los líderes de la iglesia con acceso al cuidado ven las notas de cuidado compartidas con su rol, además de las propias. Los líderes de la iglesia ven lo que sus permisos les permiten, y esos permisos son granulares: cubren cosas como las señales de donativos, Collie y la gestión de usuarios, de modo que darle a alguien acceso a los formularios no le entrega también las notas pastorales. Los acompañantes de cuidado ven únicamente a las personas que les fueron asignadas mediante una asignación de cuidado directa, por hogar, por grupo o por ministerio, y su propio perfil; ese límite se aplica en la base de datos, no solo se oculta en la interfaz.

Sus miembros nunca tienen cuentas. Interactúan con FlockConnect a través de enlaces seguros limitados a un solo propósito y hechos para expirar, así que no hay una contraseña de miembro que perder. Y los datos de cada iglesia quedan acotados a esa iglesia: la separación se aplica en la base de datos con seguridad a nivel de fila y se vuelve a comprobar en el servidor con cada solicitud.

• Su iglesia es dueña de sus datos. FlockConnect los procesa según sus instrucciones, nunca los vende y nunca los usa para publicidad.
• Tres roles con acceso acotado: propietarios, líderes de la iglesia con permisos granulares y acompañantes de cuidado que ven solo a sus personas asignadas y su propio perfil.
• Cada nota pastoral lleva un ajuste de visibilidad en lenguaje sencillo, y Collie nunca recibe las palabras guardadas en una entrada del registro de cuidado.
• El trabajo diario solo requiere su inicio de sesión normal. Los pasos delicados, como invitar a alguien al equipo, exportar datos o la facturación, piden un segundo paso de verificación que le sirve por 24 horas.
• Los donativos muestran solo la cadencia, nunca los montos, y solo al personal que usted permita de manera específica.
• Collie prepara borradores y una persona aprueba. El propietario de la cuenta puede exportar los datos de su iglesia como ZIP, y la eliminación abre una ventana reversible de 90 días.

¿Cómo funciona la visibilidad de las notas?

Las notas pastorales y los registros de cuidado llevan un ajuste de visibilidad escrito en lenguaje sencillo: la nota queda en Solo yo, que nadie más puede abrir, o se comparte con los propietarios de la cuenta, los líderes de la iglesia con acceso al cuidado o personas específicas entre ellos. Los acompañantes de cuidado solo ven las notas que escribieron ellos mismos. Cuando usted elige un nivel, FlockConnect le muestra con palabras exactamente quién puede ver la nota y quién no.

Collie funciona aparte de la visibilidad. La visibilidad decide qué personas pueden ver un registro. Collie nunca recibe las palabras guardadas en una entrada del registro de cuidado, sea cual sea su visibilidad, así que no hay un ajuste de Collie registro por registro que administrar. Información adicional es el único lugar donde usted elige lo que Collie puede leer, campo por campo.

¿Cuándo le pide FlockConnect un segundo paso de verificación?

Solo antes de los pocos pasos que podrían exponer los datos de su iglesia o cambiar quién tiene las llaves. El trabajo de todos los días solo requiere su inicio de sesión normal: buscar a las personas, escribir y leer notas de cuidado, decidir quién puede ver una nota y aprobar un borrador de Collie. A nadie se le detiene en la entrada para verificarse ni se le pide comprobarlo otra vez cada mes, y no hay un ajuste aparte para los acompañantes de cuidado: la regla es la misma para todos.

Los pasos delicados son: invitar a alguien al equipo o cancelar una invitación; quitar a alguien del equipo o cambiar el rol o los permisos de alguien del equipo; exportar datos; eliminar la cuenta de su iglesia; administrar la facturación; conectar o desconectar Planning Center, enviar el enlace que conecta Planning Center Giving o desconectar Giving, o cambiar qué personas trae Planning Center; y agregar, cambiar o quitar una forma de recibir sus códigos cuando ya tiene una. Antes de cualquiera de ellos, FlockConnect le pide un código de un solo uso sin salir de donde está, y luego sigue justo donde se quedó. Una verificación le sirve por 24 horas. Cambiar su contraseña con la sesión iniciada también puede pedirle su segundo paso, si ya configuró uno. Puede recibir su código en una aplicación de autenticación, por mensaje de texto (solo a celulares de EE. UU.) o por correo electrónico. El correo es lo más sencillo, pero también lo menos seguro, porque cualquiera que entre a su correo podría ver los códigos.

¿Qué sabe FlockConnect sobre los donativos?

La cadencia, nunca los montos. FlockConnect registra el ritmo de los donativos de un hogar, si un patrón regular se pausó o cambió, porque un cambio de ritmo suele ser una señal silenciosa de que hace tiempo que no se ve a una familia. No registra montos, fondos ni totales por donante. No hay dónde guardar un monto: los montos se descartan en la frontera de importación, y la propia señal de donativos no tiene un campo para ellos.

Ver las señales de donativos es un permiso propio, separado del acceso general a las personas, así que la cadencia es visible solo para el personal que usted permita de manera específica. Los umbrales de salud de conexión que la usan los ajusta su iglesia en la Configuración.

¿Qué tiene permitido ver y hacer Collie?

Collie, el asistente de IA de FlockConnect, trabaja detrás de dos fronteras. La primera es el reemplazo de datos: antes de que cualquier texto salga del servidor hacia un proveedor de IA, los nombres de los miembros se sustituyen por etiquetas provisionales estables, y una verificación que bloquea por defecto rechaza la solicitud de plano si en el contexto aparecen correos electrónicos o teléfonos sin sustituir, o campos inesperados. Los nombres reales se restauran solo cuando el borrador regresa, de modo que su revisor los ve y el modelo no los vio. Conforme a nuestra política de privacidad, el procesamiento de IA pasa por proveedores bajo términos de cero retención de datos, y el reemplazo y la minimización de datos se aplican donde es posible; no afirmamos que ningún detalle sensible pueda llegar jamás a un modelo, y justo por eso existe la segunda frontera.

La segunda frontera es una persona. Collie solo prepara borradores: cada escritura externa y cada mensaje dirigido a un miembro exige primero revisión y aprobación humanas, y ese requisito se aplica en el servidor, no solo en la interfaz. Collie es un apoyo y puede equivocarse; no sustituye el juicio pastoral.

¿Puedo sacar mis datos?

Sí, en cualquier momento. El propietario de la cuenta puede solicitar una exportación completa del espacio de trabajo desde la Configuración; es una acción exclusiva del propietario y le pide el segundo paso de verificación que se describe arriba. La exportación llega como un archivo ZIP: los datos tabulares como archivos CSV, los registros anidados, como los formularios y los artefactos aprobados de Collie, como JSONL, un archivo README y un manifiesto con los conteos de registros. La exportación del propietario incluye a las personas, los hogares, los grupos, los formularios y sus envíos, las escrituras al calendario, los metadatos de integraciones y las notas, las interacciones y los reportes de cuidado que el propietario puede ver. Los registros archivados que la aplicación todavía le permite abrir, como personas, grupos y reportes de cuidado archivados, se incluyen marcados con la fecha en que se archivaron; una persona que se combinó con otro registro no se incluye, porque ese registro ya conserva sus datos. El reporte de un acompañante de cuidado se incluye una vez que lo envía. Un líder de la iglesia con permiso de exportar recibe una exportación más pequeña: solo los tipos de registros que ese líder de la iglesia puede leer, nunca archivos del calendario ni de integraciones. Un acompañante de cuidado solo puede exportar las notas y las interacciones que guardó como privadas.

La exportación se construye a partir de listas explícitas de campos permitidos, nunca de un volcado directo de la base de datos, así que las credenciales de conexión, los tokens de seguridad y otros secretos nunca se incluyen. Los enlaces de descarga duran 15 minutos, la descarga vuelve a pedir el segundo paso si ya pasaron sus 24 horas, cada solicitud de descarga se registra antes de entregar su enlace, y ya no se entrega ningún enlace nuevo cuando la exportación cumple 7 días; después, una limpieza diaria elimina el archivo.

¿Qué pasa si eliminamos nuestra cuenta?

La eliminación es deliberada y, al principio, reversible. Cuando el propietario de la cuenta la solicita (se le pide el segundo paso), FlockConnect abre una ventana de 90 días: durante la ventana usted todavía puede exportar sus datos, y puede cancelar la solicitud por completo si cambia de opinión.

Pasados los 90 días, la eliminación avanza por etapas con verificaciones de seguridad en el camino, entre ellas confirmar que no haya una suscripción activa, una retención legal o una disputa de facturación abierta, y revocar las credenciales de Planning Center, Google y Microsoft que FlockConnect guardaba para su iglesia. Dos advertencias honestas: los proveedores externos conservan sus propios registros bajo sus propias políticas, y los respaldos, las bitácoras y los registros de auditoría pueden persistir por un periodo después de eliminarse los registros principales, con las bitácoras de seguridad y auditoría conservadas más tiempo cuando la ley o una investigación activa lo exige. No le diremos que la eliminación es instantánea, porque no está diseñada para serlo.

¿Dónde está todo esto por escrito?

La política de privacidad y los términos de servicio publicados en este sitio son los documentos vigentes; la versión en inglés es la que rige, con traducciones al español disponibles para su conveniencia. Las promesas de arriba los reafirman: su iglesia es dueña de sus datos, FlockConnect los procesa según las instrucciones de su iglesia, y los datos de miembros y los datos pastorales nunca se venden ni se usan para publicidad. La política nombra cada categoría de proveedor en la que nos apoyamos, y si confirmamos una vulneración que afecte sus datos, se lo notificamos a su iglesia sin demora indebida.

Como los miembros no tienen cuentas, las solicitudes para acceder, corregir o eliminar la información de un miembro se canalizan a través de su iglesia, con FlockConnect como apoyo. Los miembros pueden gestionar sus propias preferencias de comunicación mediante un enlace seguro, aunque esa página maneja el consentimiento, no el acceso a datos. No presumimos de certificaciones que no tenemos; lo que publicamos en la página de confianza y seguridad es lo que podemos demostrar. Sus preguntas son bienvenidas en support@flockconnect.com.