Política de Privacidad — StackUp Automations

1. Quiénes somos y qué cubre esta política

StackUp Automations es la plataforma de automatización como servicio operada por Bruno on Apps y publicada en stackuphost.com. Esta Política de Privacidad explica cómo tratamos los datos personales conforme a la Ley brasileña 13.709/2018 (Lei Geral de Proteção de Dados — LGPD).

Se dirige a dos públicos, con papeles distintos:

• Clientes de StackUp (las empresas que contratan la plataforma) — respecto a ellos, Bruno on Apps es responsable de los datos de registro, facturación y uso.
• Personas cuyos datos pasan por las automatizaciones contratadas (por ejemplo, quien rellena el formulario de contacto de un cliente) — respecto a ellas, Bruno on Apps es encargada: trata los datos bajo instrucción y en nombre de la empresa cliente, que es la responsable.

2. Definiciones (Art. 5 de la LGPD)

• Dato personal: información relativa a una persona física identificada o identificable.
• Titular: la persona física a la que se refieren los datos.
• Responsable: quien decide sobre el tratamiento.
• Encargado: quien realiza el tratamiento en nombre del responsable.
• Tratamiento: toda operación con datos personales (recogida, uso, almacenamiento, eliminación, entre otras).

3. Qué datos tratamos

3.1 Datos de los clientes (actuamos como responsables)

• Registro: nombre, correo electrónico e identificador de la cuenta.
• Autenticación: identificadores de acceso gestionados por el proveedor de identidad (Keycloak, alojado en infraestructura propia). StackUp no almacena la contraseña en texto plano.
• Facturación: plan contratado, historial de cobros e identificadores del proveedor de pago.
• Uso: métricas de ejecución de las automatizaciones, consumo del plan y registros de auditoría.

3.2 Datos que pasan por las automatizaciones (actuamos como encargados)

Se tratan bajo instrucción de la empresa cliente y varían según la automatización contratada. En la automatización de captación y cualificación de leads, por ejemplo, son los campos que el propio cliente decide recoger en su formulario — normalmente nombre, correo electrónico, teléfono y el mensaje enviado — además del resultado de la clasificación y del registro de la ejecución.

StackUp no exige ni fomenta la recogida de datos personales sensibles. La base legal y la finalidad del tratamiento de esos datos son responsabilidad de la empresa cliente, en calidad de responsable.

4. Bases legales (Art. 7)

• Ejecución de contrato (Art. 7, V): prestación del servicio contratado por el cliente.
• Cumplimiento de obligación legal o regulatoria (Art. 7, II): conservación de registros fiscales y contractuales y atención a requerimientos legítimos.
• Interés legítimo (Art. 7, IX): seguridad de la plataforma, prevención de fraude y abuso, y mejora del servicio — siempre con prueba de proporcionalidad y sin prevalecer sobre los derechos del titular.

Para los datos que pasan por las automatizaciones, la base legal la define y garantiza la empresa cliente, que es la responsable.

5. Finalidades

• Ejecutar las automatizaciones contratadas por el cliente.
• Autenticar a los usuarios y proteger las cuentas.
• Procesar cobros y emitir documentos fiscales.
• Generar métricas e informes de uso para el cliente y aplicar los límites del plan.
• Garantizar la seguridad, prevenir el abuso y cumplir obligaciones legales.

6. Comunicación de datos y subencargados

Para operar el servicio utilizamos terceros que tratan datos estrictamente conforme a contrato e instrucción. Esta es la lista completa:

La inteligencia artificial funciona primero en un modelo alojado en nuestra propia infraestructura, sin envío a terceros. El proveedor externo se utiliza solo como alternativa declarada, cuando el modelo local no consigue responder. Según las condiciones comerciales contratadas con ese proveedor, el contenido enviado por esta vía no se usa para entrenar modelos.

No vendemos datos personales a terceros ni los cedemos con fines publicitarios.

7. Transferencias internacionales

Las transferencias internacionales observan el Art. 33 de la LGPD, con cláusulas contractuales y garantías adecuadas. Los subencargados situados fuera de Brasil están identificados en la tabla de la sección 6.

8. Conservación y eliminación

• Registros de ejecución de las automatizaciones: 90 días por defecto, salvo plan con ventana distinta.
• Evidencia de aceptación contractual y registros financieros: durante el plazo legal aplicable.
• Datos de registro: mientras dure la relación y, después, durante el plazo mínimo de conservación legal.

La eliminación de los registros vencidos se realiza por rutina automática, no caso por caso a petición.

9. Derechos del titular (Art. 18)

Garantizamos los derechos de confirmación, acceso, corrección, anonimización, portabilidad, eliminación e información sobre la comunicación de datos.

El portal implementa técnicamente estas solicitudes: exportación de los datos de la cuenta en formato legible por máquina (Art. 18, II y V) y eliminación, que anonimiza los datos personales conservando solo los registros exigidos por ley (Art. 16). El ejercicio de estos derechos es gratuito y se atiende en los plazos de la LGPD; cuando la respuesta inmediata no es posible, se informa al titular del motivo o del plazo.

Las solicitudes sobre datos que pasaron por una automatización deben dirigirse a la empresa cliente, que es la responsable de esos datos. Nosotros la apoyamos técnicamente en la respuesta.

10. Seguridad

• Cifrado en tránsito (TLS) en todas las comunicaciones públicas, con HSTS.
• Secretos cifrados en reposo y separados por entorno; nunca en código, registros o mensajes.
• Aislamiento por cliente (multiinquilino) en las capas de aplicación y de datos.
• Control de acceso por roles, con autenticación delegada al proveedor de identidad.
• Cabeceras de seguridad en el borde y política de contenido restrictiva en el navegador.
• Análisis continuo de seguridad y de dependencias en el ciclo de desarrollo, que bloquea la entrega en caso de fallo.

Los datos personales no se escriben en los registros de aplicación; los registros de auditoría identifican la cuenta, no el contenido.

11. Cookies

Usamos únicamente cookies estrictamente necesarias. No hay cookies de publicidad, de rastreo entre sitios ni de análisis de audiencia — y, por tanto, no hay banner de consentimiento que mostrar.

12. Cambios en esta política

Esta política puede actualizarse. Los cambios relevantes se comunican por los canales habituales y, cuando alteren materialmente las condiciones contratadas, exigen una nueva aceptación en el portal.

Las versiones en inglés y español son traducciones de cortesía. En caso de divergencia, prevalece la versión en portugués de Brasil.

13. Contacto

• Encargado de protección de datos (DPO): Bruno Santos
• Correo electrónico: [email protected]
• Dirección: R. Sta Cruz, 2187, Sala 10, Vila Mariana, São Paulo/SP, CEP 04121-002, Brasil
• Razón social: BRUNO SANTOS CONSULTORIA DE SISTEMAS LTDA (nombre comercial: Bruno on Apps) — CNPJ 33.279.051/0001-53