Política de privacidad

CloudVolution Cía. Ltda. («nosotros») opera Brandefend, un servicio gestionado de protección de marca y anti-phishing. Esta política explica qué datos personales tratamos, para qué, por cuánto tiempo, quién nos ayuda y qué derechos tiene usted. Está pensada para un público internacional: según dónde se encuentre, normas como el RGPD y el UK GDPR, la ley de privacidad del consumidor de California (CCPA/CPRA) y otras leyes estatales de EE. UU., la LGPD de Brasil y la Ley Orgánica de Protección de Datos Personales del Ecuador (LOPDP) pueden darle derechos adicionales.

1. Quiénes somos

• Responsable del tratamiento: CloudVolution Cía. Ltda., La Pradera, Quito, Ecuador.
• Producto: Brandefend.
• Contacto de privacidad: [email protected] (asunto «Solicitud de privacidad»).

2. Dos papeles: responsable y encargado

Tratamos datos personales en dos calidades distintas, con reglas distintas:

• Como responsable, para fines propios: este sitio web, las conversaciones comerciales, las cuentas del portal de clientes, la seguridad de nuestros sistemas, la facturación y el cumplimiento legal. Esta política cubre ese tratamiento.
• Como encargado (proveedor de servicios), por cuenta de nuestros clientes, cuando prestamos el servicio que contrataron: por ejemplo, los reportes de detección en sesión que se generan en la página de inicio de sesión del propio cliente, o el monitoreo de ejecutivos que el cliente autorizó por escrito. En esos casos el cliente es el responsable, rige nuestro contrato de encargo de tratamiento con ese cliente, y las solicitudes deben dirigirse primero al cliente. Le ayudaremos a responderlas.

3. Qué datos recogemos

3.1 Cuando visita el sitio web

• Datos técnicos: dirección IP, información del navegador y del dispositivo, y registros de solicitudes, que tratan nuestros proveedores de alojamiento y de entrega de contenido para servir y proteger el sitio.
• Analítica agregada: usamos un servicio de analítica sin cookies que cuenta visitas sin identificarle ni seguirle entre sitios.
• Analítica con su consentimiento: solo si acepta las cookies de analítica en nuestro aviso de cookies, Google Analytics (cargado mediante Google Tag Manager) mide cómo se usa el sitio: páginas visitadas, ubicación aproximada, dispositivo y navegador, y un identificador seudónimo. Puede retirar ese consentimiento cuando quiera desde «Preferencias de cookies», al pie de cada página (Política de cookies).
• Preferencia de idioma: una cookie que recuerda el idioma que eligió (vea la Política de cookies).

3.2 Cuando solicita una demostración o nos escribe

Su nombre, correo de trabajo, empresa, cargo, país y el mensaje que escriba. El formulario incluye una verificación contra bots.

3.3 Cuando usa el portal de clientes

Nombre, correo de trabajo, rol, un hash de su contraseña (nunca la contraseña), su secreto de autenticación en dos pasos (cifrado), hashes de sus códigos de recuperación, idioma y zona horaria, registros de sesión (un hash de su dirección IP y el agente de usuario de su navegador), intentos de inicio de sesión y un registro de auditoría de las acciones que realiza en el portal. Si su organización le agrega como destinatario de alertas, guardamos ese correo para enviarle alertas y reportes mensuales.

3.4 Cuando prestamos el servicio a nuestros clientes (como encargado)

• Detección en sesión: el fragmento que el cliente instala en su propia página de inicio de sesión reporta la dirección de la página y la de procedencia cuando la página se carga en un lugar inesperado o se llega a ella desde un sitio desconocido, junto con el agente de usuario del navegador y la hora. No guardamos la dirección IP del visitante: solo una huella unidireccional con clave de la IP y el agente de usuario, que sirve para contar reportantes distintos y resistir reportes falsificados.
• Evidencia de sitios fraudulentos: capturas, contenido de la página y registros técnicos de sitios o perfiles que suplantan al cliente. Pueden contener de forma incidental datos personales publicados por el estafador o ingresados por víctimas; los guardamos solo como evidencia, protegidos con un hash criptográfico, y los usamos solo para detener el fraude.
• Exposición digital: hallazgos en fuentes públicas sobre los sistemas del cliente expuestos a internet y sobre código o textos públicos que lo mencionan. Los secretos, contraseñas y datos personales que aparezcan se enmascaran al ingresar y solo se guardan enmascarados.
• Protección de ejecutivos: nombres y perfiles públicos de los ejecutivos que el cliente autorizó por escrito, para detectar suplantaciones. No buscamos personas en general.
• Solicitudes de baja: los datos de contacto comerciales de registradores, proveedores de alojamiento y plataformas a los que notificamos un sitio fraudulento.

No compramos datos personales, no usamos bases de credenciales filtradas que contengan contraseñas en claro y no usamos datos personales del servicio para crear perfiles de marketing.

4. Para qué los usamos y con qué base legal

Finalidad	Base legal (cuando la ley la exige)
Responder una solicitud de demostración o consulta	Medidas precontractuales a su pedido; interés legítimo en responder consultas comerciales
Prestar el portal y el servicio	Ejecución del contrato con su organización
Proteger cuentas y sistemas, prevenir abusos, llevar registros de auditoría	Interés legítimo en la seguridad e integridad; obligaciones legales
Detectar y dar de baja fraudes contra nuestros clientes	Ejecución del contrato con el cliente; interés legítimo del cliente y del público en prevenir el fraude
Medir el uso del sitio con Google Analytics	Su consentimiento, que puede retirar en cualquier momento
Facturación, contabilidad e impuestos	Obligación legal; ejecución del contrato
Formular o defender reclamaciones, conservar evidencia	Interés legítimo; obligación legal

Cuando el tratamiento es necesario para prestar un servicio que usted o su organización pidieron, no nos basamos en el consentimiento. No enviamos correos de marketing sin el consentimiento que exija la ley.

5. Evaluación automatizada y revisión humana

El servicio usa análisis automatizado, incluido un modelo de inteligencia artificial, para ordenar las amenazas candidatas. Ninguna alerta, reporte de bloqueo ni solicitud de baja se envía sin la validación de un analista humano. Estas evaluaciones tratan sobre sitios, perfiles y aplicaciones, no sobre decisiones acerca de personas que produzcan efectos jurídicos o similares.

6. Con quién los compartimos

Compartimos datos personales solo en la medida necesaria para operar el sitio y el servicio:

• Proveedores de servicios (encargados y subencargados) que alojan, entregan, protegen o apoyan el servicio. Incluyen proveedores de alojamiento, entrega de contenido y protección contra bots, correo y, solo con su consentimiento, analítica del sitio (Google). Los obligamos por contrato a tratar los datos solo según nuestras instrucciones y a protegerlos. Puede pedirnos la lista vigente.
• Quienes detienen el fraude: listas de bloqueo de navegadores y de la industria, registradores, proveedores de alojamiento, plataformas y equipos nacionales de respuesta a incidentes reciben la dirección del sitio fraudulento y la evidencia necesaria para actuar.
• Autoridades, cuando la ley lo exige, y asesores profesionales obligados a confidencialidad.
• Un sucesor, si nuestro negocio o este servicio se transfiere, con las mismas protecciones.

No vendemos datos personales ni los compartimos para publicidad comportamental entre contextos.

7. Transferencias internacionales

Brandefend es un servicio internacional. Nuestra infraestructura principal está alojada en Alemania; algunos proveedores tratan datos en otros países, incluido Estados Unidos. Cuando la ley lo exige, nos apoyamos en decisiones de adecuación, cláusulas contractuales tipo u otras garantías reconocidas. Puede pedirnos copia de las garantías aplicables.

8. Cuánto tiempo los conservamos

• Solicitudes de demostración y consultas: hasta 12 meses desde el último contacto, salvo que deriven en un contrato.
• Cuentas del portal: mientras la cuenta esté activa y hasta 12 meses después de cerrada, por seguridad y soporte.
• Registros de seguridad y auditoría: hasta 24 meses.
• Reportes de detección en sesión: hasta 12 meses.
• Detecciones y evidencia de sitios fraudulentos: durante el contrato del cliente y hasta 24 meses después, porque pueden hacer falta para respaldar acciones legales.
• Registros de facturación: el tiempo que exijan las normas tributarias y contables.

Los respaldos se sobrescriben de forma rotativa. Podemos conservar datos por más tiempo si una disputa, una investigación o una retención legal lo requiere.

9. Seguridad

Protegemos los datos personales con controles de acceso, autenticación en dos pasos obligatoria en el portal, cifrado en tránsito, cifrado en reposo de los secretos sensibles, separación de los datos de cada cliente, registros de auditoría y monitoreo continuo. Ningún sistema es perfectamente seguro; si sabemos de una brecha que le afecte, se lo notificaremos a usted y a las autoridades según exija la ley.

10. Sus derechos

Según dónde viva, puede tener derecho a:

• saber qué datos personales tratamos y obtener una copia;
• rectificar datos inexactos;
• eliminar datos, cuando ya no los necesitemos o no tengamos razón legal para conservarlos;
• oponerse a ciertos tratamientos o pedir que se limiten;
• recibir sus datos en un formato portable;
• retirar su consentimiento, cuando el tratamiento se base en él;
• oponerse a la venta o al intercambio de información personal (no hacemos ninguno de los dos);
• no ser discriminado por ejercer sus derechos;
• presentar un reclamo ante una autoridad de protección de datos.

Para ejercer un derecho, escriba a [email protected] con el asunto «Solicitud de privacidad». Verificaremos su identidad antes de actuar y responderemos en el plazo que fije la ley aplicable (normalmente 30 días, prorrogables cuando la ley lo permite). Puede actuar mediante un representante autorizado cuando la ley lo admita. Si su solicitud se refiere a datos que tratamos por cuenta de un cliente, se la trasladaremos a ese cliente y le ayudaremos a atenderla.

11. Menores

El sitio y el servicio son para empresas. No están dirigidos a menores y no recogemos a sabiendas datos personales de menores.

12. Información por región

• Espacio Económico Europeo y Reino Unido: puede presentar una reclamación ante la autoridad de control del lugar donde vive o trabaja. Cuando tratamos sus datos por interés legítimo, puede pedirnos nuestra evaluación de ponderación.
• California y otros estados de EE. UU.: en los últimos 12 meses recogimos las categorías descritas en la sección 3 (identificadores, información profesional, actividad en internet y registros de seguridad) para los fines de negocio de la sección 4. No vendemos ni compartimos información personal, ni usamos información personal sensible para inferir características suyas. Respetamos la señal Global Privacy Control como oposición, aunque no vendemos ni compartimos datos.
• Brasil (LGPD): tiene los derechos del artículo 18 de la LGPD, incluida la confirmación del tratamiento y la información sobre las entidades con las que compartimos datos.
• Ecuador (LOPDP): puede ejercer ante nosotros sus derechos de acceso, rectificación y actualización, eliminación, oposición, portabilidad y suspensión del tratamiento, y presentar un reclamo ante la Superintendencia de Protección de Datos Personales.

13. Cambios

Cuando cambiemos esta política, actualizaremos la fecha del inicio. Si el cambio es importante, avisaremos a los usuarios del portal antes de que entre en vigor.

14. Contacto

CloudVolution Cía. Ltda., La Pradera, Quito, Ecuador — [email protected]