Aviso de privacidad

El responsable del tratamiento de los datos personales descritos en las secciones 02 y 03 es [Owner: legal entity name], [Owner: registered address].

Para los datos personales que están dentro del modelo de planificación de un cliente — el nombre de un empleado en un plan de headcount, un vendedor contra un territorio — el cliente es el responsable del tratamiento y Superiora es el encargado. La sección 04 cubre ese caso, y el Anexo de Tratamiento de Datos (Data Processing Addendum) es el contrato que lo rige.

Contacto de protección de datos. [Owner: DPO / privacy contact name and email — encarregado de dados under LGPD art. 41]. Hasta que se designe y se publique, las preguntas de privacidad llegan al equipo fundador en hello@superiora.ai y las responden ellos.

Preferencia de idioma

Hacer clic en el conmutador de idioma escribe una cookie, site_lang, en su navegador por un año. Guarda uno de cinco valores y nada más. Vea cookies.

Registros del servidor

El servidor web registra la solicitud: dirección IP, hora, la ruta pedida, el código de respuesta, el user agent y la página de referencia. Este es el registro operativo ordinario de un servidor web, conservado para operar el sitio e investigar abusos. Plazo de conservación: [Owner: server log retention period].

Fuentes web

Las tres tipografías se cargan desde Google Fonts (fonts.googleapis.com y fonts.gstatic.com). Por eso su navegador hace una solicitud a Google, que les revela su dirección IP y su user agent. No enviamos nada más, y no recibimos nada de vuelta sobre usted.

Sin analítica, sin publicidad, sin píxeles sociales

No hay Google Analytics, ni tag manager, ni píxel de publicidad o de retargeting, ni script de terceros de ningún tipo más allá de la hoja de estilos de fuentes de arriba. No se escribe nada en localStorage.

El formulario de solicitud de demo

Qué recoge. Su nombre, su correo corporativo, su empresa, el proceso de planificación que eligió en la lista y lo que escriba en el mensaje. Nada más: no hay campo oculto que registre de dónde viene, y el formulario no escribe nada en su navegador.

Para qué. Para responderle y para agendar la demo que pidió. Para eso, y para nada más —sin newsletter, sin secuencia de correos, sin CRM y sin audiencia publicitaria.

Base legal. Las gestiones hechas a su pedido antes de celebrar un contrato (LGPD art. 7, V; GDPR art. 6(1)(b)), y nuestro interés legítimo en responder a quien nos escribe (LGPD art. 7, IX; GDPR art. 6(1)(f)).

Adónde va. El formulario se envía a una pequeña función nuestra que corre en AWS en us-east-1, que lo convierte en un correo, enviado por Amazon SES desde no-reply@superiora.ai a hello@superiora.ai, con su dirección como responder-a. No se almacena nada por el camino —no hay base de datos, ni cola, ni archivo. El mensaje queda luego en ese buzón, que es Microsoft 365 (Exchange Online). Ambos figuran en subencargados.

Qué se registra. La función escribe una línea por envío: la hora, el resultado, el idioma y la dirección IP de origen, conservados 14 días. Nunca registra su mensaje, su nombre ni su dirección —eso existe en el correo y en ningún otro sitio.

Cuánto tiempo se conserva. El tiempo necesario para responderle y para guardar constancia de la correspondencia: [Owner: retention for demo requests].

Y sigue sin rastreo. El formulario no añade analítica, ni píxel, ni script de terceros, ni cookie. La página que lo lleva es el mismo HTML estático que todas las demás de aquí.

El correo que usted nos envía

Todos los demás llamados a la acción de este sitio abren su propio cliente de correo. Si usted escribe, conservamos su mensaje y su dirección durante el tiempo necesario para atenderlo y para guardar constancia de la correspondencia.

Base legal. Interés legítimo (LGPD art. 7, IX; GDPR art. 6(1)(f)) para los registros del servidor y para operar el sitio; para la cookie de idioma, es estrictamente necesaria para la función que usted pidió al hacer clic; para el formulario de solicitud de demo y para la correspondencia, las gestiones hechas a su pedido antes de celebrar un contrato, y nuestro interés legítimo en responder.

Para dar a una persona acceso a la plataforma conservamos, como responsables del tratamiento, los datos que hacen funcionar la cuenta:

• Identidad — nombre, correo electrónico de trabajo, la organización a la que pertenece la cuenta y el rol dentro de ella.
• Credenciales — un hash de contraseña. Las contraseñas se hashean con Argon2id y nunca se almacenan, se registran ni se pueden recuperar en forma legible. Las sesiones son tokens firmados con una vida limitada.
• Registros de acceso — inicios de sesión, intentos fallidos de inicio de sesión (una dirección queda bloqueada por un tiempo tras fallas repetidas), invitaciones enviadas y aceptadas.
• Actividad — la plataforma mantiene un registro de auditoría de solo anexado sobre quién cambió qué en un modelo y cuándo. Eso es una función del producto, no vigilancia: es la forma de probar que un período cerrado está cerrado y de rastrear una cifra hasta la persona que la escribió.
• Correo de notificación — la dirección a la que enviamos el correo de la plataforma, y si rebotó.
• Correspondencia de soporte — lo que usted nos escribe y lo que respondemos.

Finalidad y base legal. Ejecución del contrato con su organización (LGPD art. 7, V; GDPR art. 6(1)(b)), y nuestro interés legítimo en la seguridad y la integridad del servicio para los registros de acceso.

No vendemos datos personales, y no los usamos para publicidad. No usamos los Datos del Cliente para entrenar modelos de aprendizaje automático.

Un modelo de planificación puede contener datos personales — una lista de empleados en un plan de personal, un vendedor contra una cuota. Para esos datos el cliente de Superiora es el responsable del tratamiento y nosotros somos el encargado. Los tratamos solo para operar el servicio siguiendo sus instrucciones, y no decidimos qué entra.

Si usted es empleado de un cliente de Superiora y quiere saber qué se guarda sobre usted en su modelo, pregúntele a él: él lo controla y puede verlo. Si no logra contactarlo, escríbanos y dirigiremos el pedido al lugar correcto.

El Anexo de Tratamiento de Datos establece las medidas de seguridad, los términos sobre subencargados, el deber de notificar incidentes y las obligaciones de eliminación que aplican a estos datos.

Subencargados. Amazon Web Services aloja la plataforma y envía su correo saliente. Es el único subencargado que toca Datos del Cliente. La lista vigente, con lo que hace cada uno, está en subencargados.

Nuestra propia gente. El acceso se limita a los miembros del equipo fundador que lo necesitan para operar o dar soporte al servicio, pasa por las mismas rutas autenticadas que usan los clientes, y queda registrado.

Exigencia legal. Podemos divulgar datos cuando una ley, una orden judicial o un regulador lo obliguen. Cuando sea lícito avisarle primero, lo haremos.

Un cambio de propiedad. Si el negocio se vende o se fusiona, los datos pueden pasar al adquirente bajo los mismos términos; se le avisaría.

La plataforma corre en Amazon Web Services en la región us-east-1 — Virginia del Norte, Estados Unidos. Los datos que usted pone en un modelo se almacenan y se tratan allí, y los respaldos se guardan en la misma región.

Para un cliente brasileño eso es una transferencia internacional bajo el Capítulo V de la LGPD; para uno europeo es una transferencia a un tercer país bajo el Capítulo V del GDPR. El mecanismo de transferencia en el que nos apoyamos es [Owner: transfer mechanism — e.g. standard contractual clauses / clausulas-padrao contratuais, and the AWS DPA reference].

Hoy no se ofrece ninguna región distinta de us-east-1. Si la residencia de datos es un requisito para usted, dígalo antes del piloto y no durante — es una cuestión de despliegue y tiene una respuesta honesta en cualquiera de los dos sentidos.

• Datos de la cuenta — mientras exista la cuenta, y después [Owner: account data retention after closure].
• Datos del Cliente dentro de un modelo — por el plazo del acuerdo, y después la ventana de exportación y la eliminación descritas en los términos y en el DPA.
• Registro de auditoría — es de solo anexado y vive con el modelo, porque un plan cuya historia fue recortada no se puede auditar. Se elimina junto con el modelo.
• Respaldos — la plataforma se respalda cada noche en almacenamiento de objetos en la misma región; los datos eliminados salen de los respaldos según el ciclo de respaldo y no al instante.
• Registros del servidor — [Owner: server log retention period].
• Correspondencia — [Owner: correspondence retention period].

Bajo la LGPD (art. 18) y el GDPR usted puede pedirnos que confirmemos si tratamos sus datos; que le demos acceso a ellos; que los corrijamos si están errados o incompletos; que anonimicemos, bloqueemos o eliminemos datos innecesarios, excesivos o tratados de forma ilícita; que los portemos a otro proveedor; que le digamos con quién los compartimos; retirar un consentimiento que haya dado; y oponerse al tratamiento que basamos en el interés legítimo.

Escriba a hello@superiora.ai con “privacy request” en el asunto. Responderemos dentro de [Owner: response SLA for data subject requests — LGPD art. 19 sets 15 days for the simplified form]. Podemos pedirle que confirme su identidad primero, porque entregar sus datos a otra persona sería el daño mayor.

Si no queda satisfecho, puede reclamar ante la Autoridade Nacional de Proteção de Dados (ANPD) de Brasil, o ante su propia autoridad de control en el EEE o el Reino Unido.

Superiora Planner es software para empresas. No está dirigido a menores y no recopilamos a sabiendas los datos personales de un menor. Si cree que tenemos alguno, avísenos y será eliminado.

Actualizaremos este aviso a medida que cambien el producto y la empresa. La fecha en la parte superior es la del último cambio; cuando un cambio sea material se lo diremos a los administradores de las cuentas afectadas antes de que entre en vigor.