Política de Privacidad

1. Datos que Recopilamos

Recopilamos las siguientes categorías de datos personales para proporcionar y mejorar nuestros servicios:

• Datos de identificación: Nombre completo, correo electrónico, teléfono y cargo.
• Datos empresariales: Nombre de la empresa, sector, país de operación, sitio web y volumen estimado de verificaciones.
• Datos de verificación KYC: Identificadores de sesión, estado, país, tipo de documento, puntuación biométrica y motivo de rechazo. Los archivos de identidad viven en el bucket privado kyc-documents (paths, no URLs públicas). Los datos personales del documento van cifrados (AES-256-GCM) en Postgres. El motor es Idenauth (kyc-engine), no un proveedor tercero de KYC.
• Datos de navegación: Dirección IP, tipo de navegador, páginas visitadas, tiempo de sesión y eventos de interacción.
• Datos de facturación: Plan, estado de suscripción y créditos KYC en billing.billing_subscriptions. Stripe no está ligado en producción.

2. Finalidad del Tratamiento

Los datos personales se procesan con las siguientes finalidades:

• Verificación de identidad y cumplimiento de normativas KYC/AML en LATAM.
• Gestión de cuentas de usuario, autenticación y control de acceso.
• Procesamiento de pagos, facturación y gestión de suscripciones.
• Atención al cliente, soporte técnico y resolución de incidencias.
• Mejora continua del servicio, análisis de uso y métricas de rendimiento.
• Cumplimiento de obligaciones legales, regulatorias y de debida diligencia.

3. Cookies y Tecnologías de Seguimiento

Utilizamos cookies propias y de terceros para optimizar tu experiencia y analizar el tráfico de nuestra plataforma. Las cookies son pequeños archivos de texto almacenados en tu navegador.

Puedes gestionar tu consentimiento a través del banner de cookies que aparece al visitar nuestro sitio. Asimismo, puedes configurar tu navegador para bloquear o eliminar cookies, aunque algunas funcionalidades podrían no operar correctamente.

4. Subprocesadores de Datos e Infraestructura Segura

Operamos bajo una arquitectura de subprocesamiento gobernada por contratos de confidencialidad y cláusulas contractuales conforme a la legislación aplicable. Todos los subprocesadores operan bajo nuestro control de infraestructura segura:

• Supabase & Neon Database: Infraestructura de almacenamiento relacional encriptado en reposo (AES-256) para la gestión segura de identidades de la consola corporativa.
• Cloudflare: Protección DDoS y WAF.
• Resend: Servicio de envío de correos transaccionales y notificaciones.
• Google Analytics: Análisis de tráfico web agregado.
• Sentry: Monitoreo de errores y rendimiento de la aplicación.
• Upstash Redis: Rate limiting distribuido y prevención de abuso.

Los subprocesadores aplicables se gestionan bajo los términos contractuales y de tratamiento de datos correspondientes al servicio contratado. Idenauth no autoriza el uso de la información para fines ajenos a la prestación del servicio.

5. Transferencias Internacionales

Algunos de nuestros proveedores están ubicados fuera de Latinoamérica (principalmente en Estados Unidos y la Unión Europea). Las transferencias internacionales de datos se realizan bajo:

• Cláusulas Contractuales Tipo (SCC) aprobadas por la legislación correspondiente.
• Certificaciones de adecuación (ej. EU-U.S. Data Privacy Framework).
• Acuerdos de tratamiento de datos (DPA) firmados con cada proveedor.

Idenauth aplica las medidas contractuales y técnicas que correspondan a las transferencias de datos y al alcance del servicio contratado.

6. Retención y Eliminación de Datos

Los datos personales se conservan durante el tiempo necesario para cumplir con las finalidades descritas y conforme a las políticas de retención siguientes:

• Datos operativos KYC: 90 días tras la finalización de la verificación (configurable por el cliente).
• Datos de cuenta: Mientras dure la relación contractual y hasta 12 meses después.
• Logs de auditoría: Hasta 24 meses para cumplimiento regulatorio.
• Datos de navegación: Hasta 24 meses, agregados y anonimizados.

Los datos se eliminan bajo las siguientes condiciones: a solicitud del titular (derecho al olvido), al finalizar la relación comercial, cuando ya no sean necesarios, o conforme a las políticas de retención establecidas por regulación vigente.

7. Derechos del Titular (ARCO)

Como titular de los datos personales, tienes derecho a ejercer en cualquier momento los siguientes derechos:

• Acceso: Conocer qué datos personales tenemos sobre ti.
• Rectificación: Solicitar la corrección de datos inexactos o incompletos.
• Cancelación / Eliminación: Solicitar la supresión de tus datos personales.
• Oposición: Oponerte al tratamiento de tus datos para fines específicos.
• Portabilidad: Recibir tus datos en un formato estructurado y transferible.
• Revocación del consentimiento: Retirar tu consentimiento en cualquier momento sin que ello afecte la licitud del tratamiento previo.

Para ejercer estos derechos, envía una solicitud a legal@idenauth.com con copia de tu identificación oficial. Atenderemos tu solicitud en un plazo máximo de 15 días hábiles.

8. Seguridad de Datos

Implementamos medidas de seguridad técnicas, administrativas y físicas para proteger tus datos personales contra accesos no autorizados, pérdida, destrucción o alteración:

• Cifrado TLS 1.3 en tránsito y AES-256 en reposo.
• Control de acceso basado en roles (RBAC) y principio de mínimo privilegio.
• Autenticación multifactor (MFA) disponible para reforzar accesos y operaciones según la configuración aplicable.
• Registros de auditoría y observabilidad para los componentes y eventos que los implementan.
• Revisión de código, dependencias y controles técnicos dentro del ciclo de desarrollo; las auditorías o pruebas externas se documentan cuando se realizan.
• Rate limiting distribuido (Upstash Redis) y protección WAF (Cloudflare).

9. Responsable del Tratamiento

Idenauth S.A.S. es el responsable del tratamiento de los datos personales. Datos de contacto del responsable de protección de datos (DPO):

Correo electrónico: legal@idenauth.com
Correo de privacidad: privacidad@idenauth.com
Sitio web: https://www.idenauth.com/privacy

10. Cambios a esta Política

Podemos actualizar esta Política de Privacidad periódicamente para reflejar cambios en nuestras prácticas operativas, requisitos legales o nuevos servicios. Te notificaremos sobre cambios significativos a través de un aviso prominente en nuestro sitio web o por correo electrónico. La fecha de "Última actualización" en la parte superior indica cuándo fue revisada por última vez.

11. Legislación Aplicable

Esta política se rige por las leyes de protección de datos personales aplicables en los países donde operamos, incluyendo pero no limitando a:

• México: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP).
• Colombia: Ley 1581 de 2012 y Decreto 1377 de 2013.
• Brasil: Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018).
• Chile: Ley 19.628 sobre Protección de la Vida Privada.
• Perú: Ley N° 29733 - Ley de Protección de Datos Personales.

Para disputas que no se resuelvan amistosamente, el usuario podrá acudir ante las autoridades de protección de datos correspondientes en su país de residencia.