Política de Privacidad - Una Guía Clara para la Protección de Datos y el Cumplimiento Normativo

Revise su política de privacidad cada 90 días para garantizar que refleje con precisión cómo recopilamos, usamos y compartimos datos en todos nuestros servicios.

Mantenga un inventario de actividades de procesamiento que documente las categorías de datos, los propósitos, las bases legales, los destinatarios, las transferencias transfronterizas y los períodos de retención. Esta transparencia ayuda a los equipos a alinearse con la política y mantiene las auditorías sencillas.

La minimización de datos y la limitación de propósitos guían lo que recopilamos y por qué. Almacenamos solo lo estrictamente necesario para los propósitos previstos y configuramos los valores predeterminados para limitar la recopilación de datos opcionales.

Proporcione un manejo claro de los derechos para que los usuarios soliciten acceso, corrección, eliminación, portabilidad y objeción. Responda dentro de los 30 días y escale las solicitudes complejas.

Los controles de seguridad incluyen el cifrado en tránsito (TLS 1.2+) y en reposo (AES-256), la autenticación multifactor para los administradores y el control de acceso basado en roles. Realice auditorías trimestrales y una gestión oportuna de parches para reducir la exposición.

El consentimiento y los contratos garantizan que la recopilación de datos basada en el consentimiento esté documentada, permiten la retirada y mantienen acuerdos de procesamiento de datos con cada procesador externo que maneje nuestros datos.

Plan de respuesta a infracciones: defina los flujos de trabajo de detección, notifique a las autoridades dentro de las 72 horas cuando sea necesario e informe a los usuarios afectados cuando el riesgo sea alto. Mantenga registros de incidentes y realice revisiones posteriores a los incidentes dentro de los 30 días.

La retención y eliminación establecen los cronogramas de retención, automatizan la eliminación una vez finalizados los períodos y purgan de forma segura las copias de seguridad. Revise las existencias de almacenamiento al menos dos veces al año para evitar datos innecesarios.

La gobernanza designa a un responsable de privacidad o delegado de protección de datos, brinda capacitación anual al personal y exige DPIA para proyectos de procesamiento de alto riesgo. Mantenga un registro auditable para respaldar la rendición de cuentas.

¿Qué Información Recopilamos y Por Qué?

Revise la configuración de su cuenta para comprender qué recopilamos y por qué, de modo que pueda controlar los permisos y proteger su privacidad. Esta información está destinada a protegerle y a mejorar nuestros servicios.

Qué información recopilamos

• Información personal: nombre, dirección de correo electrónico, número de teléfono, foto de perfil e ID de usuario. Estos datos están destinados a identificarle y gestionar el acceso, y nos aseguramos de que nuestros servicios funcionen sin problemas para usted.
• Datos de uso: páginas visitadas, funciones utilizadas, búsquedas y marcas de tiempo de participación. Recopilamos esto para mejorar la fiabilidad y el rendimiento, y para personalizar su experiencia.
• Datos del dispositivo y de la conexión: dirección IP, tipo de navegador, sistema operativo, idioma, zona horaria e identificadores del dispositivo. Esto nos ayuda a ofrecer contenido con precisión y detectar problemas.
• Datos de ubicación: ubicación aproximada de la IP o ubicación explícita proporcionada por el usuario. Esto permite funciones localizadas y una asistencia más rápida.
• Información de pago: tokens de procesadores de pago, detalles de la suscripción y los últimos cuatro dígitos. No almacenamos números de tarjeta completos; los tokens y las referencias se utilizan para procesar los pagos de forma segura.
• Comunicaciones: mensajes de soporte, comentarios y respuestas a encuestas. Conservamos estos para resolver problemas y mejorar nuestros servicios.
• Cookies y tecnologías de seguimiento: identificadores y datos analíticos para analizar el uso del sitio y el rendimiento de los servicios. Puede administrar las preferencias para controlar la recopilación.

Por qué recopilamos

• Para ofrecer y operar nuestros servicios: proporcionar acceso, mantener las funciones y apoyar sus necesidades.
• Para personalizar su experiencia: recomendar contenido y ajustar los diseños en función del uso.
• Para protegerle a usted y a nuestros sistemas: detectar actividades fraudulentas, hacer cumplir las políticas y mantener la seguridad.
• Para analizar y mejorar: ejecutar análisis para comprender la participación, la fiabilidad y el crecimiento.
• Para cumplir con las leyes y los contratos: conservar los registros según sea necesario y responder a las solicitudes legales.
• Para comunicarnos: informarle sobre actualizaciones, mantenimiento y avisos importantes relacionados con su cuenta y sus servicios.

Puede ejercer el control revisando y actualizando sus datos en la configuración, exportando una copia o solicitando la eliminación. Puede ajustar las preferencias de cookies y ponerse en contacto con nuestro equipo de privacidad con solicitudes o preguntas.

¿Cuánto Tiempo Se Almacena La Información y Cómo Se Borra?

Establezca un plazo de 30 días para eliminar los datos personales después de una solicitud de eliminación y active la eliminación con un solo clic en la configuración de su cuenta para dar a los usuarios un control directo.

Nuestra política tiene como objetivo equilibrar la privacidad con la usabilidad. Los datos almacenados por nuestros servicios se conservan solo el tiempo necesario para operar el servicio, procesar las solicitudes y cumplir con las obligaciones legales. Revisamos la configuración de retención regularmente para reducir el riesgo y mejorar la seguridad, y nuestros procesos están diseñados para funcionar de forma fiable en todas las partes de nuestro sistema.

Períodos de retención por tipo de datos

Los datos personales, como los identificadores y los datos de contacto, se eliminan en un plazo de 30 días después de una solicitud de eliminación o del cierre de la cuenta, a menos que se requiera un período más largo para completar una transacción específica o cumplir con una obligación legal.

Los registros de facturación y transacciones se conservan durante siete años para satisfacer los requisitos fiscales, de auditoría y reglamentarios; siempre que sea posible, los datos se minimizan y el acceso se restringe durante este período.

Los datos de uso y los análisis se conservan de forma que apoyen las mejoras del servicio; los registros sin procesar pueden permanecer hasta 90 días, mientras que los agregados anónimos se conservan durante más tiempo solo si es necesario para el seguimiento de la seguridad y el rendimiento.

Las copias de seguridad contienen datos durante un máximo de 90 días en almacenamiento cifrado; después del período de retención, las copias de seguridad se borran y las nuevas copias de seguridad no incluyen el contenido eliminado.

Cómo funciona la eliminación

Los usuarios pueden iniciar la eliminación a través de la configuración de la cuenta o poniéndose en contacto con el servicio de asistencia. Una vez confirmado, el proceso de eliminación comienza y se completa en un plazo de 30 días, eliminando los datos de los sistemas activos y purgándolos de los servicios relacionados.

Durante el proceso, los datos pueden desactivarse en los entornos de trabajo para evitar un uso posterior, y cualquier dato conservado en las copias de seguridad se gestiona de acuerdo con las normas de retención. Recibirá una confirmación cuando la eliminación haya finalizado, junto con un resumen de lo que se ha eliminado.

¿Cuáles Son Los Fines Y Las Bases Jurídicas Para El Tratamiento?

Defina cada propósito del procesamiento y adjunte una base legal antes de recopilar datos.

Al documentar sus prácticas, asegúrese de que los objetivos sean claros, limitados a lo necesario y alineados con las expectativas del usuario. Nuestras actividades de procesamiento previstas están asignadas a bases legales, y la política de trabajo hace hincapié en la transparencia, la minimización y la rendición de cuentas. Esta asignación ayuda a los usuarios a comprender por qué se utilizan los datos y qué controles se aplican.

Para implementar de manera efectiva, siga estos pasos: identifique las categorías de datos, especifique los propósitos, asigne bases legales, establezca períodos de retención y proporcione un aviso en lenguaje sencillo. Haga que el consentimiento sea genuinamente voluntario y documente las opciones de revocación para que los usuarios puedan retirarlo en cualquier momento.

Mapeo de Propósitos a Bases Legales

Propósito	Base Legal	Datos Recopilados	Retención	Notas
Creación y gestión de cuentas	Ejecución del contrato	Correo electrónico, nombre de usuario, contraseña, datos de perfil	Hasta la eliminación de la cuenta; copias de seguridad de hasta 90 días	Garantiza el acceso seguro y la atención al cliente.
Procesamiento de pagos y cumplimiento de pedidos	Ejecución del contrato	Método de pago, dirección de facturación, historial de pedidos	7 años	Apoya el cumplimiento financiero y la trazabilidad.
Prevención del fraude y seguridad	Intereses legítimos	Datos de uso, IP, identificadores de dispositivos, metadatos de transacciones	6-24 meses	Equilibrado con los derechos del usuario y la minimización de datos.
Comunicaciones de marketing (con consentimiento)	Consentimiento	Correo electrónico, preferencias, interacciones	Hasta que se retire el consentimiento	Fácil exclusión y gestión precisa de preferencias
Cumplimiento legal y obligaciones reglamentarias	Obligación legal	Registros de cuentas, comunicaciones, datos fiscales.	Según lo requerido por la ley (6-7 años comunes)	Incluye el manejo de las solicitudes de los interesados.

¿Qué Medidas De Seguridad Protegen Su Información Y Qué Sucede Si Se Produce Una Infracción?

Active la autenticación de dos factores para todos los servicios ahora para agregar una capa crítica de protección. Nuestras medidas de seguridad están diseñadas para proteger sus datos según lo previsto.

Ciframos los datos en reposo con AES-256 y en tránsito con TLS 1.2+ y aplicamos un hash y una sal a las contraseñas con bcrypt. Los controles de acceso se basan en RBAC, MFA para acciones confidenciales y una gestión estricta de sesiones para limitar la exposición. Nuestros sistemas son supervisados las 24 horas del día, los 7 días de la semana por análisis automatizados que activan alertas sobre comportamientos anómalos.

Segmentamos las redes, implementamos un cortafuegos de aplicaciones web (WAF) y mantenemos IDS/IPS, parches continuos y gestión de vulnerabilidades. Las vulnerabilidades críticas se abordan en un plazo de 24 horas; las pruebas de penetración externas se realizan trimestralmente, y las auditorías anuales SOC 2 Tipo II verifican los controles.

Las copias de seguridad se cifran y almacenan en varias regiones con un RTO de 4 horas y un RPO de 60 minutos. Conservamos los registros durante 12 meses para apoyar las investigaciones, las necesidades de cumplimiento y las mejoras del servicio. Nuestra gestión de datos minimiza los datos personales según la necesidad de conocerlos y utiliza la seudonimización siempre que sea posible.

Si se produce una infracción, nuestro equipo de respuesta a incidentes se esfuerza por contener el incidente y notificar a los usuarios afectados en un plazo de 72 horas, junto con una guía clara para restablecer las credenciales y supervisar las cuentas. Publicamos actualizaciones de la infracción a través de nuestra página de estado y proporcionamos asistencia personalizada a través de nuestro portal de privacidad.

Para ayudarnos a proteger su información, active la MFA, revise la actividad de la cuenta semanalmente, active las alertas y mantenga sus dispositivos actualizados. Utilice contraseñas seguras y únicas y evite reutilizar credenciales en todos los servicios. Si observa alguna actividad inusual, infórmela inmediatamente a través de nuestros canales de soporte para que podamos responder rápidamente.

¿Con Quién Compartimos La Información Y Cómo Examinamos A Los Procesadores Externos?

Compartimos información solo con proveedores de servicios de confianza que ayudan a prestar nuestros servicios y garantizar operaciones fiables. Antes de compartir, asignamos qué datos son necesarios y verificamos que los socios están trabajando - bajo instrucciones claras y exigibles. Exigimos que accedan a los datos solo cuando sea necesario para realizar sus tareas y que los procesen según lo previsto.

Examine a los procesadores externos con un flujo de trabajo formal: identifique las categorías de destinatarios, evalúe el riesgo, verifique los controles de seguridad y confirme el acceso del subprocesador. Comprobamos que los proveedores mantengan el cifrado en tránsito y en reposo, limiten el acceso y dispongan de procesos de notificación de infracciones.

Los acuerdos de procesamiento de datos detallan las funciones, la gestión de datos y las medidas de seguridad. Cubren la minimización de datos, los períodos de retención, la eliminación al finalizar el contrato, las normas del subprocesador, las transferencias transfronterizas con salvaguardias y la responsabilidad por las infracciones.

Supervisión y auditorías: Realizamos revisiones anuales, exigimos certificaciones y supervisamos los informes de incidentes. Exigimos notificaciones dentro de un plazo definido y verificamos las pruebas de los controles. Mantenemos una lista actualizada de los subprocesadores y actualizamos a los clientes cuando se produce un cambio.

Pasos prácticos para los clientes: solicite el DPA, verifique los subprocesadores, compruebe la retención de datos y comprenda el soporte de los derechos del interesado. Si un proveedor no puede proporcionar documentación clara, cambie de proveedor.

¿Qué Derechos Tiene Y Cómo Ejercerlos (Acceso, Supresión, Oposición)?

Envíe una solicitud de acceso directamente desde el panel de control de su cuenta o envíe un correo electrónico a [email protected] para comenzar. Respondemos en un plazo de 30 días, y recibirá una copia en CSV o JSON con las categorías, las fuentes y los destinatarios. Esta política le da el control previsto, asegúrese de que nuestros servicios sean claros y utilizables.

Sus derechos de un vistazo

Acceso: Puede ver los datos que almacenamos sobre usted, incluidos los detalles del perfil, los registros de actividad y cualquier información que haya proporcionado en los formularios. Supresión: Puede solicitar la eliminación de datos de los sistemas activos, con sujeción a las obligaciones legales y las necesidades comerciales legítimas. Oposición: Puede oponerse al procesamiento, incluido el marketing directo o el procesamiento basado en nuestros intereses legítimos. Honraremos las solicitudes válidas que no entren en conflicto con estas obligaciones.

Cómo ejercer cada derecho

Solicitudes de acceso: verifique su identidad con un conjunto mínimo de identificadores (nombre, correo electrónico, ID de cuenta) y envíe a través de su cuenta o [email protected]. Entregamos una exportación de datos en su formato preferido en un plazo de 30 días y proporcionamos un resumen de los propósitos, las categorías y los destinatarios.

Solicitudes de supresión: confirme la identidad, especifique los datos o el alcance que desea suprimir, y los eliminaremos de los sistemas activos en un plazo de 30 días, excepto cuando la retención sea requerida por la ley o para completar una transacción. Recibirá la confirmación una vez que se complete la supresión; los datos de las copias de seguridad pueden purgarse en un período posterior de acuerdo con nuestra política de retención.

Solicitudes de objeción: describa el procesamiento al que se opone y si prefiere el cese inmediato o la pausa temporal. Pausaremos el procesamiento durante la revisión y responderemos en un plazo de 30 días; si determinamos una razón válida para continuar, se lo notificaremos y proporcionaremos la justificación. También puede actualizar las preferencias en su cuenta para detener las comunicaciones de marketing.

¿Cómo Actualizamos La Política Y Verificamos El Cumplimiento Continuo De La Privacidad?

Recomendación de implementación: Establezca un ciclo de revisión de políticas trimestral y seguimiento automatizado de cambios. Nuestros servicios están funcionando según lo previsto cuando seguimos este enfoque: versionado claro, aprobaciones interfuncionales y notificaciones oportunas a los usuarios.

Actualizamos la política a través de un proceso documentado y auditable que se alinea con el manejo de datos en nuestros productos y servicios. Cada actualización pasa por etapas definidas, desde los desencadenantes hasta la publicación, por lo que mantenemos la precisión y la rendición de cuentas.

Flujo de trabajo de actualización

• Los desencadenantes para actualizar incluyen cambios reglamentarios, nuevos flujos de datos, lanzamientos de funciones o cambios de proveedores. Redactamos cambios con un resumen conciso y asignamos secciones afectadas a las actividades de procesamiento.
• Control de versiones y registro de cambios: cada actualización crea una nueva versión con fecha, alcance y accesibilidad para los usuarios.
• Aprobaciones de las partes interesadas: privacidad, legal, seguridad, producto e ingeniería revisan y firman.
• Evaluación de impacto: reevaluar los propósitos, las categorías de datos, la retención y las bases legales; garantizar la alineación en todos nuestros servicios y actividades de procesamiento.
• Documentación: actualizar las DPIA, los mapas de datos, los acuerdos con los proveedores y los cronogramas de retención; adjuntar los materiales de apoyo al registro de la política.
• Publicación y divulgación: publique la política revisada en nuestro sitio y notifique a los usuarios a través de notas de la versión o avisos en la aplicación.
• Accesibilidad e interoperabilidad: asegúrese de que los formatos legibles por máquina y los enlaces claros a las políticas relacionadas.

Verificación continua

1. Las comprobaciones de privacidad trimestrales comparan el procesamiento real con la política; corrija las brechas rápidamente.
2. Evaluaciones anuales de terceros cuando lo exijan las regulaciones o los contratos; actualizar los controles en consecuencia.
3. Capacitación regular del personal y verificación de los módulos completados; realizar un seguimiento de las tasas de finalización.
4. KPI de privacidad: tiempos de respuesta para las solicitudes de los interesados, gestión del consentimiento, contención de incidentes y notificaciones de infracción.
5. Registros de auditoría: mantener un registro de cambios centralizado y un historial de versiones para las revisiones internas y las auditorías externas.
6. Mejora continua: recopile comentarios de los usuarios y los equipos; implementar mejoras en el próximo ciclo.