Política de Privacidad

INDENE SECURITY LTDA, inscripción en el CNPJ (registro fiscal brasileño) 69.303.454/0001-38, con sede en R. Ana Neri, 145, Vila Metalúrgica, Santo André/SP, CEP 09220-030, Brasil, es la controladora de los datos que trata en nombre propio, descritos en esta política, en los términos del art. 5º, VI, de la Ley brasileña nº 13.709/2018 (Ley General de Protección de Datos Personales, LGPD). Sobre los datos que la organización cliente ingresa en el producto, actuamos como operadores, como explica la sección sobre nuestro rol.

Para cualquier duda sobre esta política o para ejercer los derechos descritos en la sección de derechos del titular, escriba a dpo@indene.io. La función de Encargado de Datos (DPO, art. 41 de la LGPD) la ejerce el equipo de privacidad de Indene, que atiende por este canal en los plazos de esta política. Contacto comercial: contato@indene.io.

Dos ambientes distintos, con tratamientos distintos:

• Este sitio (indene.io): páginas públicas, institucionales, sin registro. El tratamiento aquí se limita a métricas de navegación y a lo que usted nos envía por correo o por el formulario del sitio.
• La plataforma Indene (el producto): ambiente autenticado, contratado por organizaciones clientes, con las categorías de datos descritas en las secciones siguientes.

• Como controladora: los datos del sitio, los contactos comerciales, los datos de cuenta y de seguridad de quien usa la plataforma (registro, acceso, sesiones, traza de acceso) y los de facturación.
• Como operadora: los datos que la organización cliente ingresa en el producto (evidencias, evaluaciones, datos de proceso y lo que haya de dato personal en ellos). Tratamos ese contenido según el contrato y las instrucciones del cliente, solo para prestar el servicio contratado. El cliente es el controlador y responde ante los titulares por ese contenido.

• Métricas de navegación: usamos OpenPanel, una herramienta de analytics operada en infraestructura propia (analytics.indene.io), sin cookies y sin rastreo entre sitios. Registra eventos de navegación (página vista, idioma) con un identificador anónimo, generado por el servidor de analytics y mantenido solo en la memoria de la página, sin grabar nada en su navegador. Como cualquier servidor, recibe la dirección IP y el user agent de la solicitud. No construimos perfiles individuales ni vendemos datos a terceros. El script de la herramienta se descarga de openpanel.dev, que también recibe la IP y el user agent de la descarga; ningún evento de navegación se envía a ese dominio.
• Registros de infraestructura: el sitio es servido por Cloudflare, que mantiene logs de borde (dirección IP, user agent) para seguridad y mitigación de ataques, y métricas agregadas de rendimiento (Cloudflare Web Analytics, sin cookie). La página de inicio elige el idioma según el país que Cloudflare resuelve a partir de su IP y el idioma del navegador; Indene no guarda esa información.
• Contacto: si usted nos escribe o completa el formulario del sitio (nombre, correo, empresa y el interés indicado), tratamos esos datos para responder y dar seguimiento comercial. Los datos del formulario quedan registrados en nuestro CRM, con la página del envío y, cuando la hay, la campaña que trajo la visita.

Las fuentes tipográficas del sitio se sirven desde nuestro propio dominio: no se realiza ninguna conexión con servidores de fuentes de terceros durante la navegación.

En el producto trabajamos con estas categorías de datos:

• Registro y cuenta: nombre, correo corporativo, perfil de acceso, organización vinculada y, si usted la envía, la foto de perfil. El acceso se hace por código de un solo uso enviado al correo, sin contraseña almacenada. Si activa el segundo factor, guardamos su secreto, cifrado, y los códigos de recuperación.
• Seguridad y uso de la plataforma: traza de auditoría (quién cambió qué y cuándo), dirección IP y navegador de cada acceso y de cada sesión, registro de los correos que envía el producto, preferencias de notificación y de idioma y organización activa.
• Conversaciones con Aegis (IA): las sesiones y el registro de uso de IA. Pueden contener datos personales que usted escriba, así que evite escribir lo que no sea necesario.
• Datos ingresados por la organización cliente: evidencias de control (incluidos documentos, PDF e imágenes enviados), evaluaciones de madurez, datos de procesos de negocio y cuantificación de riesgo que la propia organización registra o importa. Ese conjunto es confidencial de la organización cliente, y sobre él somos operadores, no controladores (art. 5º, VII, LGPD). Cuando contenga datos personales de colaboradores de esa organización, el controlador es ella.

Cada finalidad de tratamiento se apoya en una base legal del art. 7º de la LGPD:

• Ejecución de contrato: operar la cuenta y el producto contratado por la organización cliente.
• Cumplimiento de obligación legal o regulatoria: retención de traza de auditoría y evidencias exigida por normas del Banco Central de Brasil (ej.: Resolución CMN nº 4.893/2021, sobre política de seguridad cibernética de instituciones financieras).
• Interés legítimo: seguridad del sitio y de la plataforma, prevención de fraude, métricas agregadas de navegación del sitio y mejora del producto a partir de los datos de cuenta y de uso, nunca del contenido ingresado por la organización cliente, siempre con evaluación de proporcionalidad y sin perjuicio de los derechos del titular.
• Consentimiento: hoy no usamos cookies no esenciales. Si algún día las usamos, o si empezamos a enviar comunicaciones de marketing, pediremos su consentimiento antes (ver la Política de Cookies).

El producto usa modelos de lenguaje para sugerir la clasificación de evidencias, proponer cuantificaciones y responder preguntas. La IA sugiere: ninguna salida de modelo altera nota, número o informe sin la aceptación de una persona, y toda sugerencia aceptada, editada o rechazada queda en la traza, con autor y fecha.

Las llamadas pasan por un único punto de acceso, quedan registradas y piden al proveedor que no retenga el contenido ni lo use para entrenar modelos. Los proveedores de IA actúan como encargados adicionales de Indene. Usted puede pedir la revisión humana de cualquier resultado que lo afecte (art. 20 de la LGPD).

Los datos pueden compartirse con:

• Proveedores de infraestructura (hosting, base de datos, correo transaccional, inteligencia artificial, analytics auto-hospedado), siempre bajo contrato de encargado de tratamiento y cláusulas de confidencialidad. La lista de subprocesadores, con la finalidad y el país de cada uno, está en el Trust Center.
• Autoridades regulatorias y judiciales, cuando lo exija la ley, una orden judicial o el requerimiento de un órgano de supervisión (ej.: el Banco Central de Brasil).
• La propia organización cliente, dentro de los límites del perfil de acceso de cada usuario; nunca entre organizaciones clientes distintas.

El aislamiento entre organizaciones se aplica en la base de datos (row-level security), no solo en la aplicación. Las excepciones son pocas, nombradas, de superficie mínima y cubiertas por test.

El sitio se distribuye por la red global de Cloudflare, y los proveedores de infraestructura de la plataforma, incluidos los de inteligencia artificial, pueden tratar datos fuera de Brasil. El país de cada proveedor consta en la lista de subprocesadores del Trust Center. Cuando haya transferencia internacional, esta observa una de las hipótesis del art. 33 de la LGPD (cláusulas contractuales estándar, decisión de adecuación o consentimiento específico del titular, según el caso) y se declara con el proveedor, el país y el mecanismo usado.

Los datos de cuenta se mantienen mientras dure el vínculo contractual de la organización cliente. La traza de auditoría y las evidencias tienen retención mínima determinada por la regulación aplicable al sector del cliente (típicamente 5 años para registros de instituciones financieras). Los mensajes de contacto comercial se conservan el tiempo necesario para su atención. Terminado el vínculo y vencido el plazo legal de guarda, los datos se eliminan o anonimizan, salvo las hipótesis del art. 16 de la LGPD.

Controles técnicos y organizativos aplicados hoy:

• En este sitio: servido exclusivamente por HTTPS con HSTS, política de seguridad de contenido (CSP) estricta, que lista cada origen permitido, y cabeceras de protección contra clickjacking y sniffing de contenido.
• En la plataforma: aislamiento por organización aplicado por row-level security en la base de datos; traza de auditoría inmutable para todo cambio de nota, evidencia o estado de control; autenticación sin contraseña (código de un solo uso con validez de 10 minutos), con segundo factor opcional por aplicación; bloqueo por 15 minutos tras 5 intentos erróneos; sesión de como máximo 7 días y hasta 3 sesiones simultáneas; aviso por correo en cada nuevo acceso; credencial de conector cifrada en reposo; cifrado en tránsito (TLS) en toda comunicación.

Ningún sistema es infalible. Los incidentes de seguridad que afecten datos personales serán comunicados a la ANPD (autoridad brasileña de protección de datos) y a los titulares afectados en los plazos del art. 48 de la LGPD y de la regulación de la ANPD. Cuando actuemos como operadores, avisaremos a la organización cliente para que cumpla sus propios plazos.

En los términos del art. 18 de la LGPD, el titular puede solicitar, en cualquier momento:

• Confirmación de la existencia de tratamiento y acceso a los datos;
• Corrección de datos incompletos, inexactos o desactualizados;
• Anonimización, bloqueo o eliminación de datos innecesarios o tratados en disconformidad con la ley;
• Portabilidad de los datos a otro proveedor de servicio;
• Eliminación de los datos tratados con base en consentimiento;
• Información sobre las entidades públicas y privadas con las que el dato fue compartido;
• Información sobre la posibilidad de no otorgar consentimiento y sus consecuencias;
• Revocación del consentimiento, cuando esa sea la base legal;
• Oposición a un tratamiento hecho sin consentimiento, cuando haya incumplimiento de la ley;
• Revisión de una decisión tomada únicamente con base en tratamiento automatizado (art. 20).

El titular también puede presentar una petición ante la ANPD contra el tratamiento de sus datos. Para pedir cualquiera de estos derechos, escriba a dpo@indene.io; por su seguridad, podemos pedir un dato que confirme su identidad. Respondemos las solicitudes en hasta 15 días.

Si su dato está en una organización cliente de Indene, el responsable de él es esa organización. Le enviaremos la solicitud y la ayudaremos a atenderla.

El sitio y el producto están destinados a uso corporativo (B2B) por personas mayores de edad de organizaciones clientes. No recopilamos, de forma consciente, datos de menores de 18 años.

Esta política puede actualizarse para reflejar cambios legales, regulatorios u operativos. La fecha y la versión en la parte superior de esta página indican siempre la versión vigente; los cambios materiales se comunicarán por correo a los administradores de las organizaciones clientes.

Los ítems marcados como objetivo forman parte del roadmap de conformidad del producto y todavía no fueron obtenidos; ninguna certificación se reivindica como concluida en esta versión del documento.