Política de privacidad
BORRADOR LEGAL — REQUIERE REVISIÓN DE UN ASESOR JURÍDICO CUALIFICADO
1. Alcance
Esta Política explica cómo [LEGAL COMPANY NAME] trata información personal en relación con la Plataforma y la relación entre el Operador y las Empresas. Al ser multiempresa, los usuarios generalmente interactúan con el entorno de una Empresa específica, que determina muchos fines de recopilación y uso de los datos.
2. Funciones en privacidad
Según la ley y actividad aplicables, una Empresa puede actuar como responsable del tratamiento, negocio, parte responsable o equivalente que determina los fines y medios del tratamiento en su entorno. El Operador generalmente trata información para prestar, proteger, mantener, apoyar y mejorar la Plataforma bajo instrucciones de la Empresa y acuerdos aplicables, y puede actuar como responsable independiente para actividades limitadas de administración, seguridad, prevención de fraude, suscripciones, cumplimiento legal y análisis del servicio. Estas funciones deben confirmarse en el acuerdo final de tratamiento de datos y los avisos de cada jurisdicción.
3. Uso de datos centrado en la Empresa
La información personal recopilada en el entorno de una Empresa se destina principalmente a su operación legítima: cuentas, comercio, compras grupales, soporte, comunicaciones internas, coordinación de entrega, herramientas de investigación y funciones relacionadas. El Operador no vende información personal de usuarios a Proveedores o Compradores ni proporciona un canal directo entre ellos. No se facilita información personal a otra Empresa.
4. Información que podemos tratar
Según las funciones y el rol, puede incluir identificadores de cuenta; nombre; correo; teléfono; organización; rol; domicilio; facturación y envío; pedidos y reservas; interacción con productos; tickets; chats permitidos; documentos cargados; seguridad de cuentas; acceso y dispositivos; IP; navegador y sistema operativo; idioma, zona horaria y preferencias; suscripciones y uso; respuestas a cuestionarios; perfiles de investigación; interacciones con IA; registros de actividad y auditoría; y otra información enviada a la Plataforma.
5. Información sensible y de salud
La Plataforma no está diseñada como expediente médico electrónico, registro clínico, sistema de tratamiento sanitario ni gestión de pacientes, salvo acuerdo escrito separado e implementación conforme a la ley que lo establezcan expresamente. No deben enviarse datos de salud protegidos, expedientes clínicos u otra información médica altamente sensible sin aprobación escrita expresa del Operador y todas las garantías jurídicas, contractuales, técnicas y de seguridad exigidas. Los cuestionarios de investigación no deben tratarse como diagnóstico o expediente clínico sólo porque aborden intereses de investigación o bienestar general.
6. Fuentes de información
Podemos recibir información de usuarios, Administradores, soporte autorizado, Proveedores para documentos operativos, proveedores de pagos, autenticación, nube y seguridad, transportistas, integraciones habilitadas y automáticamente del uso de la Plataforma. Si procede de una Empresa, ésta debe contar con fundamento jurídico adecuado y dar los avisos requeridos.
7. Fines del tratamiento
Podemos tratar información para prestar y operar la Plataforma; autenticar; mantener aislamiento entre Empresas; administrar roles y permisos; procesar o apoyar pedidos y reservas; gestionar soporte y comunicaciones permitidas; generar registros de actividad y auditoría; localizar; mantener seguridad; detectar fraude o abuso; solucionar problemas; respaldar datos; hacer cumplir contratos y políticas; cumplir la ley; gestionar suscripciones y uso; operar integraciones autorizadas; y proporcionar funciones opcionales de IA, cuestionarios, calculadoras y conocimiento cuando estén habilitadas.
8. Proveedores y Compradores: separación de comunicaciones y datos
Los Proveedores no participan en chat directo o grupal con Compradores. La Plataforma no debe revelar datos de contacto sólo para permitir comunicación directa. Si la entrega requiere compartir información con un Proveedor, la Empresa debe divulgar sólo lo razonablemente mínimo para la tarea autorizada, y la Plataforma debe emplear permisos por rol y acceso limitado a la Empresa. Los Compradores no deben recibir datos privados de cuentas del Proveedor más allá de lo que la Empresa muestre intencionalmente para la transacción.
9. Aislamiento entre Empresas
Los datos deben permanecer lógicamente aislados. La Plataforma utiliza controles de acceso conscientes de la Empresa y autorización del lado servidor diseñados para impedir acceso a datos de otras Empresas. Los usuarios no deben evadir límites, manipular identificadores, acceder a otras Empresas mediante cambios de URL ni usar sus credenciales.
10. Prestadores de servicios y subencargados
El Operador puede usar prestadores y subencargados para alojamiento, almacenamiento de objetos, correo, comunicaciones, autenticación, monitoreo, seguridad, análisis, IA, pagos, atención, respaldos e infraestructura similar. Sólo pueden tratar información en la medida necesaria para sus servicios, con garantías contractuales, técnicas y jurídicas adecuadas. La lista actual puede estar disponible en [SUBPROCESSOR URL OR CONTACT].
11. Información de pagos
Si se habilitan pagos, un proveedor integrado puede recopilar directamente información de tarjetas o cuentas financieras en lugar de almacenarla el Operador. Estos proveedores actúan conforme a sus condiciones y avisos y pueden realizar verificaciones de identidad, fraude, sanciones o riesgo. La Plataforma puede conservar identificadores de transacciones, estados, importes, moneda, identificadores de clientes y registros necesarios para operar y conciliar.
12. Funciones de IA
Cuando se habiliten, instrucciones de usuarios, respuestas a cuestionarios, contexto seleccionado y resultados pueden enviarse a un proveedor de IA autorizado o procesarse por un modelo interno. El plan y configuración de la Empresa pueden determinar su disponibilidad. Cuando sea viable, el Operador debe configurar proveedores para minimizar conservación innecesaria y usos secundarios. No deben enviarse secretos, datos regulados o información personal sensible sin autorización expresa. Los resultados pueden conservarse para auditoría, soporte, seguridad, calidad o historial según lo divulgado por la Empresa.
13. Bases jurídicas
Cuando la ley lo exija, el tratamiento puede basarse en ejecución contractual, intereses legítimos, consentimiento, obligaciones legales, protección de derechos y seguridad u otros fundamentos lícitos. La base concreta depende de la actividad, relación con el usuario, jurisdicción y funciones del Operador y la Empresa.
14. Conservación de datos
La información se conserva durante el período razonablemente necesario para prestar el servicio, cumplir instrucciones, mantener registros comerciales y de auditoría, cumplir la ley, resolver controversias, ejecutar acuerdos, mantener seguridad y respaldos. Los Administradores pueden disponer de herramientas o derechos contractuales para configurar o solicitar conservación y eliminación. Las copias de respaldo pueden subsistir un tiempo limitado hasta sobrescribirse en el ciclo habitual.
15. Seguridad de los datos
El Operador utiliza salvaguardas administrativas, técnicas y organizativas que pueden incluir controles de acceso, autenticación, cifrado en tránsito, manejo seguro de credenciales, registros, aislamiento entre Empresas, almacenamiento privado de objetos, respaldos, límites de solicitudes, monitoreo y privilegios mínimos. Ningún sistema es completamente seguro y no podemos garantizar que nunca se produzcan accesos no autorizados, pérdidas, alteraciones o divulgaciones.
16. Transferencias internacionales
La información puede procesarse fuera del país de residencia del usuario. Cuando se requiera, el Operador y las Empresas deben aplicar mecanismos reconocidos legalmente, protecciones contractuales u otras garantías. Las ubicaciones de alojamiento y subencargados deben divulgarse o facilitarse según lo exija la ley.
17. Derechos de usuarios y titulares de datos
Según jurisdicción y rol, pueden existir derechos de acceso, corrección, eliminación, limitación, oposición, retirada de consentimiento, copia portable, recurso contra decisiones de privacidad u otros derechos legales. Como los datos controlados por una Empresa suelen tratarse en su nombre, las solicitudes sobre su cuenta normalmente deben dirigirse primero a ella. El Operador ayudará según contrato y ley. También pueden enviarse a [PRIVACY EMAIL].
18. Cookies y tecnologías similares
La Plataforma puede usar cookies estrictamente necesarias y tecnologías similares para autenticación, seguridad, preferencias, enrutamiento por Empresa, idioma, sesiones y funciones de la aplicación. Las tecnologías analíticas o no esenciales, si se usan, deben divulgarse y contar con consentimiento cuando sea necesario. Puede añadirse un aviso de cookies cuando se conozca la tecnología analítica y publicitaria definitiva.
19. Menores
La Plataforma no está destinada a menores salvo caso de uso de una Empresa expresamente aprobado y legalmente conforme. El asesor jurídico debe determinar la edad mínima según las jurisdicciones y si se dirige a empresas o consumidores: [MINIMUM AGE]. No autorizamos conscientemente cuentas infantiles contrarias a la ley.
20. Incidentes de seguridad
Si ocurre un incidente de datos personales, el Operador investigará y tomará medidas razonables para contener, remediar, documentar y notificar a Empresas, personas, reguladores u otros afectados cuando la ley o contrato lo exijan. Las Empresas deben avisar oportunamente sobre sospechas de compromiso de sus cuentas o credenciales.
21. Opciones de privacidad y controles de la Empresa
Las Empresas pueden configurar acceso, roles, soporte, comunicaciones, módulos opcionales y determinadas opciones de conservación o funciones. Los usuarios deben consultar al Administrador sobre preferencias de cuenta que controla la Empresa. Las configuraciones generales de suscripción, seguridad e infraestructura corresponden al Operador.
22. Cambios en esta Política
Podemos actualizarla cuando cambien las prácticas de datos, leyes, integraciones o funciones. Se actualizará la fecha de entrada en vigor y se comunicarán cambios sustanciales conforme a la ley o contrato.
23. Contacto
Las preguntas de privacidad o solicitudes de derechos pueden dirigirse a [PRIVACY EMAIL], [LEGAL COMPANY NAME], [LEGAL ADDRESS]. Si se exige un delegado de protección de datos o representante, incluir: [DPO / REPRESENTATIVE CONTACT].