Política de privacidad

1. Alcance y quiénes somos

Esta Política explica cómo Ordo, operado por Banvya Consultoria em BaaS Ltda. (CNPJ 29.341.943/0001-60, Rua Visconde de Inhaúma, 580, Ribeirão Preto, SP, CEP 14010-100, Brasil, «Proveedor», «nosotros»), trata datos personales en el sitio web ordopath.com, en la aplicación web e instalable (PWA), en la extensión para navegador, en el portal de atención, en el widget de comentarios, en la API, en el servidor MCP y en las integraciones de Ordo (el «Servicio»).

Ha sido redactada para cumplir con la Ley General de Protección de Datos de Brasil (Ley 13.709/2018, «LGPD»), con el Reglamento General de Protección de Datos de la Unión Europea (Reglamento (UE) 2016/679, «RGPD/GDPR») y su versión del Reino Unido («UK GDPR»), con la Ley Federal suiza de Protección de Datos («nLPD/nFADP»), con la Ley de Privacidad del Consumidor de California, modificada por la CPRA («CCPA»), y con las demás leyes aplicables indicadas en la sección 14. También cumple con la Política de Datos del Usuario de los Servicios de API de Google y con las Políticas del Programa de Chrome Web Store.

2. Quién decide sobre sus datos: responsable y encargado del tratamiento

• Datos del Cliente: la empresa o el equipo que creó o contrató el workspace («Cliente») es el responsable del tratamiento de los datos que incorpora o genera en él: tareas, proyectos, comentarios, archivos adjuntos, registros de miembros y de Contactos, permisos y configuraciones. El Proveedor actúa como operador (encargado del tratamiento) (LGPD), encargado del tratamiento (RGPD) y proveedor de servicios (CCPA), siguiendo las instrucciones del Cliente. Las solicitudes sobre estos datos deben dirigirse primero al Cliente; nosotros le prestaremos apoyo.
• Datos de la cuenta y del sitio web: el Proveedor es responsable del tratamiento de los datos necesarios para operar la cuenta y la seguridad de la plataforma en su conjunto: identidad de acceso (que puede servir para varios workspaces), vinculación con Google, protección contra fraude y abuso, registros de acceso exigidos por la ley, facturación, comunicaciones sobre el Servicio y datos enviados a través del formulario de contacto del sitio web.

3. Datos que tratamos

No solicitamos datos personales sensibles (como salud, religión o biometría). Si el Cliente los incorpora al Contenido, es responsable de la base legal correspondiente.

4. Datos recibidos de Google («Iniciar sesión con Google»)

Si usted elige iniciar sesión con su cuenta de Google, utilizamos OAuth 2.0 / OpenID Connect de Google con los alcances openid, email y profile, y ningún otro.

Uso Limitado. El uso y la transferencia, por parte de Ordo, de la información recibida de las API de Google a cualquier otra aplicación se ajustarán a la Política de Datos del Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado. En particular:

• utilizamos estos datos únicamente para ofrecer y mejorar la función de inicio de sesión con Google, visible para usted en el Servicio;
• no transferimos estos datos a terceros, salvo cuando sea necesario para dicha función, para cumplir la ley, por razones de seguridad o en el marco de una fusión o adquisición con aviso a usted;
• no utilizamos ni transferimos estos datos para publicidad, incluidos los anuncios personalizados o de retargeting;
• no vendemos estos datos, no los utilizamos para evaluar la solvencia crediticia y no los utilizamos para entrenar modelos generalizados de inteligencia artificial o aprendizaje automático;
• ninguna persona lee estos datos, salvo con su consentimiento, para investigar un abuso o un incidente de seguridad, o cuando la ley lo exija.

Los tokens de acceso devueltos por Google se utilizan únicamente durante el inicio de sesión y no se conservan para acceder posteriormente a su cuenta de Google. Usted puede revocar el permiso en cualquier momento en myaccount.google.com/permissions y desvincular Google en la configuración de su cuenta en Ordo. Para eliminar los datos recibidos de Google, elimine su cuenta o escriba al Delegado de Protección de Datos (sección 18).

5. Extensión para Chrome

La extensión «Ordo — tarefas e projetos» no utiliza su cuenta de Google, no tiene analítica, telemetría ni SDK de terceros y no ejecuta código remoto. Lee la pestaña actual únicamente cuando usted la activa y envía lo que usted capture únicamente al servidor Ordo cuya dirección usted mismo indicó. El token de API se guarda solo en el almacenamiento local del navegador. El detalle de cada dato, de cada permiso y de cómo eliminarlo todo se encuentra en la Política de Privacidad de la Extensión, que forma parte de esta Política.

6. Finalidades y bases legales

Cuando nos basamos en el interés legítimo, evaluamos que no prevalezca sobre sus derechos, y usted puede oponerse (sección 13). Cuando la base sea el consentimiento, usted puede retirarlo en cualquier momento, sin que ello afecte al tratamiento ya realizado. No enviamos correos electrónicos de marketing sin su consentimiento cuando la ley lo exija, y todo correo de ese tipo incluye un enlace para darse de baja.

7. Decisiones automatizadas e inteligencia artificial

Ordo no adopta decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos sobre usted o que le afecten de forma igualmente significativa. Las reglas automáticas configuradas por el Cliente (como la distribución de solicitudes, los plazos de SLA y el escalamiento de alertas) sirven para organizar el trabajo y pueden ser revisadas por personas. No utilizamos el Contenido ni los datos recibidos de Google para entrenar modelos de IA. Si el Cliente conecta un agente de IA (por ejemplo, mediante MCP), el tratamiento realizado por ese agente se rige por las reglas de su proveedor, y cada acción del agente queda identificada en la auditoría.

8. Comunicación de datos

Comunicamos datos únicamente a quienes los necesitan para prestar el Servicio, bajo contrato y con obligaciones de confidencialidad y seguridad:

• Subencargados del tratamiento de infraestructura: alojamiento de los servidores y de la base de datos, almacenamiento de archivos y de correos electrónicos de entrada, envío de correos electrónicos, protección contra bots, notificaciones push y monitoreo de errores. La lista completa, con la finalidad y el país, está en Subencargados;
• Servicios activados por el Cliente: Google (inicio de sesión y Google Chat), Telegram, Slack, GitHub, GitLab, el proveedor de SMS, los destinos de webhooks y los agentes de IA que el Cliente conecte mediante API o MCP;
• Procesador de pagos, cuando exista una contratación de pago en línea;
• Asesores jurídicos, contables y de auditoría, bajo confidencialidad;
• Autoridades, cuando exista una obligación legal o una orden válida; si la ley lo permite, avisaremos previamente al Cliente;
• Sucesores, en caso de reorganización societaria, fusión o venta del negocio, manteniendo las garantías de esta Política.

No vendemos datos personales ni los «compartimos» para publicidad comportamental entre contextos, en el sentido de la CCPA/CPRA. Dentro del workspace, lo que cada persona ve depende de los permisos definidos por el Cliente. El registro de auditoría es visible para los administradores. Las tareas confidenciales muestran su contenido solo a quienes participan en ellas.

9. Transferencia internacional

El Proveedor se encuentra en Brasil. Algunos subencargados del tratamiento y servicios conectados tratan datos en otros países, como Estados Unidos y países de la Unión Europea y, en las integraciones que el Cliente activa, los demás países indicados en la lista de Subencargados. Toda transferencia se realiza únicamente cuando es necesaria para la función utilizada y con garantías adecuadas:

• LGPD: cláusulas contractuales tipo aprobadas por la Autoridad Nacional de Protección de Datos de Brasil (ANPD) (Resolución CD/ANPD n.º 19/2024) u otro mecanismo del art. 33;
• RGPD: decisiones de adecuación de la Comisión Europea (incluida la que reconoce a Brasil, cuando corresponda, y el Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework) para proveedores certificados) o Cláusulas Contractuales Tipo (Decisión 2021/914), con medidas complementarias;
• Reino Unido y Suiza: el Adendum del Reino Unido a las cláusulas tipo (IDTA/Addendum) y las adaptaciones exigidas por la nLPD.

Usted puede solicitar una copia de las garantías aplicables a través del contacto del Delegado de Protección de Datos.

10. Durante cuánto tiempo conservamos los datos

Algunos datos pueden conservarse durante más tiempo cuando exista una obligación legal o la necesidad de defensa en un proceso, únicamente durante el tiempo necesario.

11. Seguridad

Adoptamos medidas técnicas y organizativas proporcionales al riesgo, tales como: conexión cifrada (HTTPS con HSTS), contraseñas y tokens almacenados solo como hash, aislamiento de los datos de cada workspace con pruebas automatizadas, control de acceso por rol y por necesidad, desafío antibots y límite de intentos en las pantallas de acceso, archivos servidos mediante enlaces temporales firmados, webhooks firmados, registro de auditoría, copias de seguridad y monitoreo de errores con eliminación de datos sensibles. Los detalles están en la página de Seguridad. Ningún sistema es totalmente inmune a incidentes; por eso también contamos con usted para proteger su cuenta.

12. Cookies y almacenamiento local

Utilizamos únicamente cookies y almacenamiento estrictamente necesarios, que no requieren consentimiento según la Directiva ePrivacy y la LGPD. No utilizamos cookies publicitarias, de seguimiento entre sitios ni herramientas de analítica de terceros. Las fuentes tipográficas del sitio web se sirven desde nuestros propios servidores.

Respetamos la señal Global Privacy Control (GPC) como solicitud de exclusión de la venta o comunicación de datos, algo que, en cualquier caso, no realizamos.

13. Sus derechos

De acuerdo con la ley que le resulte aplicable, usted puede solicitar:

• confirmación y acceso a los datos que tratamos y una copia de ellos;
• rectificación de datos incompletos, inexactos o desactualizados;
• anonimización, bloqueo o eliminación de datos innecesarios, excesivos o tratados en contravención de la ley, y la eliminación de los datos tratados con base en el consentimiento;
• portabilidad de los datos en un formato estructurado y de uso común;
• información sobre con quién comunicamos los datos y sobre la posibilidad de no otorgar el consentimiento;
• oposición a los tratamientos basados en el interés legítimo y limitación del tratamiento;
• revocación del consentimiento, cuando esa sea la base legal;
• revisión de decisiones automatizadas;
• reclamación ante la autoridad de protección de datos (sección 14).

Cómo ejercerlos. Escriba a [email protected] o utilice el formulario de contacto con el asunto «Privacidad». Muchas acciones puede realizarlas usted mismo en el Servicio: corregir el perfil, desvincular Google, revocar tokens, exportar y eliminar la cuenta. Podemos solicitarle información para confirmar su identidad antes de atender su solicitud, con el fin de proteger sus datos. Usted puede actuar por medio de un representante autorizado, con prueba de la autorización.

Plazos. Respondemos en un plazo de hasta 15 días (LGPD, art. 19), de hasta 1 mes, prorrogable por 2 meses más en casos complejos (RGPD), y de hasta 45 días, prorrogable por 45 días más (CCPA). La atención es gratuita, salvo en el caso de solicitudes manifiestamente infundadas o excesivas, cuando la ley lo permita.

Datos del Cliente. Cuando el Cliente sea el responsable del tratamiento (tareas, comentarios, registros, permisos), le remitiremos la solicitud y le prestaremos apoyo en la respuesta. Algunos datos no pueden eliminarse mientras exista una obligación legal o la necesidad de prueba, como los registros de acceso. Usted no será discriminado por ejercer sus derechos.

14. Información por región

Si usted se encuentra en otro país, aplicamos esta Política y las protecciones obligatorias de su legislación local.

15. Incidentes de seguridad

Mantenemos un plan de respuesta a incidentes. Si se produce un incidente que pueda generar un riesgo o daño relevante, lo comunicaremos a la ANPD y a los titulares afectados en el plazo previsto en la Resolución CD/ANPD n.º 15/2024 (3 días hábiles), cuando seamos responsables del tratamiento; lo comunicaremos a la autoridad competente en un plazo de hasta 72 horas cuando se aplique el RGPD; y, cuando actuemos como operador (encargado del tratamiento), avisaremos al Cliente sin demora injustificada, con la información que necesite para cumplir sus propias obligaciones.

16. Niños, niñas y adolescentes

El Servicio está destinado al uso profesional por mayores de 18 años y no está dirigido a niños. No recopilamos intencionalmente datos de menores de 18 años. Si tenemos conocimiento de que esto ocurrió sin base legal, eliminaremos los datos. Si usted cree que esto ha ocurrido, escriba al Delegado de Protección de Datos.

17. Modificaciones

Esta Política puede actualizarse. La versión vigente y su fecha siempre estarán publicadas en esta página. Los cambios relevantes se notificarán en el Servicio o por correo electrónico antes de que entren en vigor y, cuando la ley lo exija, solicitaremos un nuevo consentimiento.

18. Delegado de Protección de Datos (DPO) y contacto

Delegado de Protección de Datos (DPO / encarregado) del Proveedor: Artur da Silva Júnior — [email protected]. Dirección: Banvya Consultoria em BaaS Ltda., Rua Visconde de Inhaúma, 580, Ribeirão Preto, SP, CEP 14010-100, Brasil. Para los datos tratados en nombre de su empresa, diríjase también al delegado de protección de datos designado por ella. Los Términos de Uso, la Política de Privacidad de la Extensión y la lista de Subencargados complementan esta Política.

Este documento también está disponible en portugués, inglés y español. En caso de discrepancia, prevalece la versión en portugués.