# 13 · Datos, retención y subencargados

Qué guarda Asixto de su tráfico, cuánto tiempo, quién más lo ve y qué no se hace con él. Todo con
cifra: esta página existe porque «la ventana acordada para su cuenta» no es un dato que nadie pueda
verificar.

**Alcance.** Cubre lo que entra por la API del Gateway (`/v1`) y por el contrato de su servidor de
herramientas. El contenido que llegue a Asixto por los canales de la plataforma —WhatsApp, correo,
web— se rige por los términos de la plataforma y no por esta página.

## Lo que se guarda, y cuánto vive

| Qué | Cuánto vive | Cómo desaparece |
|---|---|---|
| La **entrada** de una petición (su texto, su audio, su documento) | No se persiste | Vive en memoria durante la petición. Lo vigila un invariante del propio código |
| El **resultado** de una operación, que es lo que devuelve repetir su clave de idempotencia | **24 h** | Un barrido cada hora lo purga |
| La **ventana de conversación** de una sesión del agente | **24 h de inactividad** | El barrido borra la fila entera, no la vacía |
| El **registro de uso**: operación, código de respuesta, latencia, créditos, prefijo de la clave e identificador de la petición. **Sin su contenido, sin su clave completa y sin su IP** | **400 días** | Un barrido diario borra la fila pasada la ventana |
| El **asiento contable** de cada cobro: operación, cantidad y créditos | El plazo legal | No se borra: es la evidencia de una factura ya emitida |
| El **registro de entrega** de un webhook: evento, intentos y último error, **sin el cuerpo** | Se conserva | No se borra: es lo que sostiene la deduplicación ([página 11](./11-webhooks.md)) |
| Lo que su servidor de herramientas devuelve | Entra en el historial de esa conversación | Ni los argumentos que le enviamos ni su respuesta se copian a otro almacén |

Dos precisiones que cambian el cálculo:

- **La ventana de la sesión cuenta desde la última actividad, no desde que se abrió.** Una
  conversación que sigue viva no se corta a mitad; una que se abandona desaparece 24 h después del
  último turno.
- **La ventana de retención de 24 h es la de todas las cuentas.** No hay retención configurable por
  cliente, y por eso aquí va el número y no una remisión a su contrato. Si necesita otra ventana, es
  una conversación previa a la firma, no un ajuste que se pueda activar después.
- **Los 400 días del registro de uso son fijos y tampoco se negocian.** Dentro de la ventana usted
  consulta el detalle petición a petición y el resumen por operación; Asixto se reserva servir solo
  el **resumen** para los tramos más antiguos, porque es lo que sostiene la conciliación de una
  factura y es lo que no crece sin límite. La ventana cubre un año cerrado más el margen para
  reclamar el último periodo, y si necesita historia más larga, expórtela usted: el resumen de uso
  y los webhooks son continuos, y su almacén no tiene por qué ser el nuestro.

## Lo que NO se hace con su contenido

- **No se usa para entrenar ningún modelo.** No existe una sola llamada a un servicio de ajuste de
  modelos ni de subida de conjuntos de datos en ningún componente de Asixto, y lo sostiene un
  verificador que se pone rojo el día que aparezca.
- **Ningún índice mezcla el contenido de dos empresas.** Toda escritura y toda consulta de la
  memoria semántica llevan el identificador de la empresa, y su credencial es el techo: no existe
  una consulta sin empresa que devuelva contenido.
- **Del programa de mejora de modelos del proveedor de transcripción en tiempo real se sale
  explícitamente**, en cada conexión y sin excepción por camino. Ese proveedor participa por
  omisión, así que no salir habría significado que el audio de sus clientes finales alimentara los
  modelos de un tercero sin que nadie se lo hubiera preguntado.
- **Su catálogo no se replica.** El agente lo consulta contra su servidor cuando lo necesita; no se
  construye una copia paralela ([página 10](./10-operation.md)).

## Quién más ve su contenido

Asixto ejecuta cada operación con proveedores especializados. Estos son los que reciben contenido
suyo, por operación:

| Operación | Tipo de proveedor | Qué le llega |
|---|---|---|
| `/v1/vision/analysis` | Modelo de lenguaje | La imagen y la instrucción de análisis |
| `/v1/documents/analysis` | Modelo de lenguaje | El texto extraído del documento |
| `/v1/video/analysis` | Modelo de lenguaje con visión | Los fotogramas que Asixto extrae del video, no el archivo |
| `/v1/audio/transcriptions` | Transcripción de audio | El audio a transcribir |
| `/v1/text/sentiment` | Modelo de lenguaje | El texto a analizar |
| `/v1/audio/speech` | Síntesis de voz | El texto a sintetizar |
| `/v1/agent/turns` | Modelo de lenguaje | El mensaje, el historial que usted envía y la ventana de la sesión |
| `/v1/calls` | Telefonía · transcripción de audio · síntesis de voz · modelo de lenguaje | La señal telefónica, el audio del cliente final, el texto del agente y la conversación |
| Cualquiera con herramientas | **Su propio servidor** | Los argumentos que el agente decide, con el sobre `com.asixto/` ([página 02](./02-tool-contract.md)) |

Dos cosas que conviene saber de esa lista:

- **El proveedor de modelo no retiene las peticiones de inferencia ni entrena con ellas**, según su
  propia política de datos. Es la razón por la que es el proveedor del camino de texto.
- **El proveedor de síntesis de voz conserva un registro de cada petición en su plataforma.** Su
  modo de retención cero está reservado a contratos de empresa, así que hoy no se puede prometer lo
  contrario y se declara.

**La identidad de cada proveedor no se publica aquí**, y no es opacidad: la lista nominal se entrega
bajo acuerdo de confidencialidad al contacto técnico que la pida ([página 10](./10-operation.md)),
que es donde puede figurar en un anexo con valor contractual. Lo que sí es público es lo de arriba —
qué contenido sale y hacia qué tipo de proveedor—, porque es lo que usted necesita para decidir qué
nos manda.

Un cambio de proveedor, o uno nuevo que reciba contenido de clientes, se anuncia por el canal de
cambios ([página 09](./09-changelog.md)) antes de entrar en producción.

## Borrado a petición

| Qué se puede borrar | Cómo |
|---|---|
| El contenido de una conversación concreta, incluida la de su cliente final | Por el contacto técnico ([página 10](./10-operation.md)), citando el identificador de la conversación |
| Todo el contenido de su cuenta | Con la baja de la cuenta, que además libera los recursos que Asixto tenga alquilados en proveedores por usted |

No se borra el asiento contable: es la evidencia de una factura ya emitida, y sin él ninguna de las
dos partes podría reclamar nada. Para el contenido de una conversación concreta no hay endpoint de
autoservicio — es una petición al contacto técnico, y así se publica en vez de prometer un botón que
no existe.

**La baja de la cuenta sí es autoservicio, y tiene cifras.** La pide **el Propietario** de la
empresa desde la plataforma, y a partir de ahí:

- Se abre una **ventana de gracia de 30 días** antes de que se ejecute nada. Durante ese plazo la
  baja se **cancela** desde la misma pantalla, y volver a pedirla reactiva la misma solicitud en vez
  de abrir otra.
- La solicitud emite un **código de confirmación** con el que se consulta su estado.
- Al ejecutarse se borra el contenido de su cuenta en TODAS las bases, incluido todo lo del Gateway:
  claves de API, servidores MCP registrados, trabajos, registro de uso y conversaciones. No hay una
  lista de tablas que alguien tenga que recordar actualizar — el borrado recorre el modelo de datos
  entero por su empresa.
- **Lo que sobrevive, y por qué**: los registros de facturación, anonimizados, porque la ley obliga
  a conservarlos; y los recursos alquilados en proveedores por usted —como el número de teléfono—
  que se liberan en el proveedor y dejan constancia de haberlo hecho.

**La grabación de la llamada no entra en ninguna de las dos cosas, porque no existe.** Asixto no
almacena el audio de una llamada de `/v1/calls`: no hay dónde guardarlo. Lo que queda de una llamada
es su trabajo, su duración facturada y su transcripción cuando la conversación la produjo. Si algún
día se ofreciera grabación, sería una función nueva y anunciada, nunca un cambio silencioso.

## Lo que no se le cobra

- **Si el proveedor cae, no se cobra.** La operación responde con el error de proveedor no
  disponible y su `Retry-After`, y las unidades autorizadas se devuelven.
- **Si el proveedor responde pero no entrega lo que se pidió, tampoco se cobra**, y es el mismo
  error: un análisis que se degrada, una transcripción que se descarta por incoherente o un turno
  que solo alcanza a disculparse cuentan como no entregados. Ese caso se cobraba antes y era un
  defecto, no una política.
- **Cuando el resultado no se entrega, la clave de idempotencia queda gastada**: la repetición
  devuelve el mismo error, así que para volver a intentarlo use una clave nueva
  ([página 05](./05-guarantees.md)).
- **Si Asixto no puede medir la cantidad consumida** —duración de un audio, minutos de una
  llamada— se cobra el mínimo facturable de esa operación, nunca el máximo autorizado. El techo
  autoriza; no factura ([página 12](./12-pricing.md)).