Política de Privacidad

INDENE SECURITY LTDA, inscripción en el CNPJ (registro fiscal brasileño) (em registro), es la controladora de los datos tratados en los contextos descritos en esta política, en los términos del art. 5º, VI, de la Ley brasileña nº 13.709/2018 (Ley General de Protección de Datos Personales, LGPD).

Para cualquier duda sobre esta política o para ejercer los derechos descritos en la sección de derechos del titular, el canal oficial es contato@indene.io, que llega al Encargado de Datos (DPO).

Dos ambientes distintos, con tratamientos distintos:

• Este sitio (indene.io): páginas públicas, institucionales, sin registro. El tratamiento aquí se limita a métricas de navegación y a lo que usted nos envía por correo.
• La plataforma Indene (el producto): ambiente autenticado, contratado por organizaciones clientes, con las categorías de datos descritas en las secciones siguientes.

• Métricas de navegación: usamos OpenPanel, una herramienta de analytics operada en infraestructura propia (analytics.uspery.cloud), sin cookies y sin rastreo entre sitios. Registra eventos de navegación (página vista, idioma) con identificador anónimo; no construimos perfiles individuales ni vendemos datos a terceros.
• Registros de infraestructura: el sitio es servido por Cloudflare, que mantiene logs de borde (dirección IP, user agent) para seguridad y mitigación de ataques, y métricas agregadas de rendimiento (Cloudflare Web Analytics, sin cookie).
• Contacto por correo: si usted nos escribe, tratamos su nombre, dirección de correo y el contenido del mensaje para responder y, cuando lo solicite, dar seguimiento comercial.

Las fuentes tipográficas del sitio se sirven desde nuestro propio dominio: no se realiza ninguna conexión con servidores de fuentes de terceros durante la navegación.

En el producto trabajamos con tres categorías de datos:

• Datos de registro y cuenta: nombre, correo corporativo, rol de acceso (ejecutivo, auditoría, operación, administrador) y organización vinculada. El acceso se hace por código de un solo uso enviado al correo, sin contraseña almacenada.
• Datos de uso de la plataforma: traza de auditoría (quién cambió qué y cuándo), registros de acceso, preferencia de idioma y organización activa.
• Datos ingresados por la organización cliente: evidencias de control, evaluaciones de madurez, datos de procesos de negocio y cuantificación de riesgo que la propia organización registra o importa. Ese conjunto se trata como confidencial de la organización cliente; somos operadores, no controladores, sobre él (art. 5º, VII, LGPD), salvo cuando contenga datos personales identificables de colaboradores de esa organización, caso en el que esta política también se aplica.

Cada finalidad de tratamiento se apoya en una base legal del art. 7º de la LGPD:

• Ejecución de contrato: operar la cuenta y el producto contratado por la organización cliente.
• Cumplimiento de obligación legal o regulatoria: retención de traza de auditoría y evidencias exigida por normas del Banco Central de Brasil (ej.: Resolución CMN nº 4.893/2021, sobre política de seguridad cibernética de instituciones financieras).
• Interés legítimo: seguridad del sitio y de la plataforma, prevención de fraude, métricas agregadas de navegación y mejora del producto, siempre con evaluación de proporcionalidad y sin perjuicio de los derechos del titular.
• Consentimiento: cookies no esenciales y comunicaciones de marketing, cuando lleguen a existir (ver la Política de Cookies).

Los datos pueden compartirse con:

• Proveedores de infraestructura (hosting, base de datos, correo transaccional, analytics auto-hospedado), siempre bajo contrato de encargado de tratamiento y cláusulas de confidencialidad.
• Autoridades regulatorias y judiciales, cuando lo exija la ley, una orden judicial o el requerimiento de un órgano de supervisión (ej.: el Banco Central de Brasil).
• La propia organización cliente, dentro de los límites del rol de acceso de cada usuario; nunca entre organizaciones clientes distintas.

El aislamiento entre organizaciones está garantizado en la base de datos (row-level security), no solo en la aplicación: ninguna consulta, incluso con falla de código, atraviesa el límite de una organización.

El sitio se distribuye por la red global de Cloudflare, y proveedores de infraestructura de la plataforma pueden operar servidores fuera de Brasil. En esos casos, la transferencia observa las hipótesis del art. 33 de la LGPD (cláusulas contractuales estándar, decisión de adecuación o consentimiento específico del titular, según el caso). Esta sección se detallará con los proveedores definitivos antes del lanzamiento comercial.

Los datos de cuenta se mantienen mientras dure el vínculo contractual de la organización cliente. La traza de auditoría y las evidencias tienen retención mínima determinada por la regulación aplicable al sector del cliente (típicamente 5 años para registros de instituciones financieras). Los mensajes de contacto comercial se conservan el tiempo necesario para su atención. Terminado el vínculo y vencido el plazo legal de guarda, los datos se eliminan o anonimizan de forma irreversible.

Controles técnicos y organizativos aplicados hoy:

• En este sitio: servido exclusivamente por HTTPS con HSTS, política de seguridad de contenido (CSP) estricta sin scripts de terceros no declarados, y cabeceras de protección contra clickjacking y sniffing de contenido.
• En la plataforma: aislamiento por organización garantizado por row-level security en la base de datos; traza de auditoría inmutable para todo cambio de nota, evidencia o estado de control; autenticación sin contraseña (código de un solo uso con validez de 10 minutos); cifrado en tránsito (TLS) en toda comunicación.

Ningún sistema es infalible; los incidentes de seguridad que afecten datos personales serán comunicados a la ANPD (autoridad brasileña de protección de datos) y a los titulares afectados en los plazos del art. 48 de la LGPD.

En los términos del art. 18 de la LGPD, el titular puede solicitar, en cualquier momento:

• Confirmación de la existencia de tratamiento y acceso a los datos;
• Corrección de datos incompletos, inexactos o desactualizados;
• Anonimización, bloqueo o eliminación de datos innecesarios o tratados en disconformidad con la ley;
• Portabilidad de los datos a otro proveedor de servicio;
• Eliminación de los datos tratados con base en consentimiento;
• Información sobre las entidades públicas y privadas con las que el dato fue compartido;
• Información sobre la posibilidad de no otorgar consentimiento y sus consecuencias;
• Revocación del consentimiento, cuando esa sea la base legal.

Las solicitudes se responden en hasta 15 días, prorrogables una vez por igual período mediante justificación.

El sitio y el producto están destinados a uso corporativo (B2B) por personas mayores de edad de organizaciones clientes. No recopilamos, de forma consciente, datos de menores de 18 años.

Esta política puede actualizarse para reflejar cambios legales, regulatorios u operativos. La fecha en la parte superior de esta página siempre indica la versión vigente; los cambios materiales se comunicarán por correo a los administradores de las organizaciones clientes.

Los ítems marcados como objetivo forman parte del roadmap de conformidad del producto y todavía no fueron obtenidos; ninguna certificación se reivindica como concluida en esta versión del documento.