Política de Privacidad (v1.0)

En iTools.ar respetamos tu privacidad y nos tomamos en serio la protección de tus datos personales. Esta Política explica qué información recolectamos, con qué finalidad, con quién la compartimos, cuánto tiempo la conservamos y qué derechos tenés sobre ella.

Se aplica a todos los Servicios operados bajo el dominio itools.ar y sus subdominios (NUMIA, LiveDrop, CTOOLS y futuras aplicaciones del paraguas).

1. Responsable de la base de datos

El responsable del tratamiento de tus datos personales es:

• Responsable: iNET — iTools.ar — [COMPLETAR: razón social y CUIT]
• Domicilio: Ciudad de Córdoba, Provincia de Córdoba, República Argentina — [COMPLETAR: domicilio legal completo]
• Contacto de privacidad: privacidad@itools.ar
• Contacto general: soporte@itools.ar
• Registro Nacional de Bases de Datos (AAIP): [COMPLETAR: número de inscripción]

2. Marco normativo

Tratamos tus datos conforme a la Ley 25.326 de Protección de los Datos Personales de la República Argentina, su Decreto Reglamentario 1558/2001 y las resoluciones de la Agencia de Acceso a la Información Pública (AAIP).

Cuando corresponda por tu lugar de residencia, aplicamos además el Reglamento General de Protección de Datos de la Unión Europea (GDPR) y la Lei Geral de Proteção de Dados de Brasil (LGPD).

3. Qué datos tratamos

3.1 Datos que vos nos proporcionás

• Identidad y contacto: nombre, apellido, email, teléfono, idioma, zona horaria, biografía y foto de perfil.
• Identificación fiscal: tipo y número de documento, CUIT/CUIL cuando corresponda, condición frente al IVA, país y domicilio de facturación.
• Datos de la organización: nombre del workspace, datos fiscales, logotipo, miembros y roles.
• Credenciales: contraseña (almacenada con hash irreversible, nunca en texto plano), factores de verificación en dos pasos y códigos de recuperación (también con hash).
• Comunicaciones: los mensajes que nos enviás por soporte, por el formulario de contacto o por los reportes de error, incluidos los archivos que adjuntes.
• Verificación de identidad: si iniciás la verificación, las fotos del frente y del dorso de tu documento y la selfie en vivo que se detallan en el punto 3.4.

3.2 Datos que se generan por el uso

• Datos de sesión y dispositivo: dirección IP, agente de usuario (navegador, sistema operativo, tipo de dispositivo), fecha de inicio y de última actividad de cada sesión, y ubicación aproximada derivada de la IP (nivel ciudad/país).
• Registros de auditoría: acciones críticas sobre tu cuenta (inicios de sesión, cambios de contraseña y de email, altas y bajas de miembros, cambios de suscripción, accesos administrativos).
• Registro de consentimientos: cada cambio en tus preferencias de privacidad, con marca de tiempo, IP y origen.
• Aceptación de documentos legales: qué versión de los Términos y de esta Política aceptaste, cuándo, desde qué IP y con qué agente de usuario.
• Datos de uso del producto: eventos técnicos necesarios para operar y depurar el servicio.

3.3 Datos de pago

No almacenamos los datos completos de tarjetas ni de cuentas bancarias. Los procesan directamente nuestros proveedores de pago bajo el estándar PCI DSS. De nuestro lado quedan el identificador de la operación, el monto, la fecha, el estado y los datos mínimos para identificar el medio (marca y últimos dígitos).

3.4 Verificación de identidad

La verificación de identidad es opcional: la iniciás vos desde Cuenta → Perfil y solo hace falta para determinadas operaciones. Si la iniciás, tratamos además:

• la foto del frente y del dorso de tu documento, con todos los datos que figuran en él (número, nombre completo, fecha de nacimiento, nacionalidad, sexo y las demás leyendas del ejemplar);
• una selfie tomada en vivo con la cámara, sosteniendo el documento, en la que te pedimos un gesto elegido al azar (sonreír, guiñar un ojo, mostrar el pulgar y otros de una lista cerrada). Esa selfie no se puede subir desde la galería: se saca en el momento. Sirve para confirmar que quien está del otro lado sos vos y no alguien que consiguió una foto de tu documento;
• los datos que declarás en el formulario (nombre completo, tipo y número de documento, fecha de nacimiento y nacionalidad), para poder compararlos con los del documento.

Sobre esas imágenes:

• Finalidad única: acreditar tu identidad. No las usamos para publicidad, no las usamos para perfilarte y no las cruzamos con otras bases.
• Quién las ve: la revisión es manual, una por una, a cargo del personal autorizado de iTools. Ninguna decisión sobre tu verificación se toma de forma automatizada.
• Queda registrado: cada consulta de tu documento o de tu selfie por parte de nuestro personal se asienta en el registro que podés ver desde Cuenta → Accesos a mis datos. Las consultas repetidas dentro de una misma sesión de trabajo se agrupan en un único asiento, para que la lista refleje accesos reales y no recargas de pantalla.
• Cómo se guardan: en un repositorio privado y cifradas con AES-256-GCM, con una clave que no vive en la base de datos. Ni siquiera con acceso al almacenamiento se leen sin esa clave. Se descifran únicamente en el momento de la revisión, y esas copias no se guardan en caché ni en el navegador de quien revisa.
• No vuelven a mostrarse, ni siquiera a vos: una vez enviadas, las imágenes no se exhiben de nuevo en tu panel. Es deliberado: si alguien te robara la sesión, no debería poder llevarse tu documento. Si querés una copia, pedila con la exportación de datos desde Cuenta → Eliminar cuenta: las imágenes van dentro del archivo que descargás.
• Cuánto duran: se conservan mientras tu cuenta esté activa y la verificación siga vigente, conforme la regla general del punto 10. Si la solicitud se rechaza o la verificación se revoca, eliminamos las imágenes del repositorio.

Podés desistir de la verificación en cualquier momento y pedirnos que borremos las imágenes escribiendo a privacidad@itools.ar. Si lo hacés, no vamos a poder habilitarte las funcionalidades que requieren identidad verificada, pero el resto de la plataforma sigue funcionando igual.

3.5 Qué datos son obligatorios y qué pasa si no los das

En los formularios de la plataforma los campos obligatorios están señalados con un punto rojo al lado del nombre del campo. Todo lo demás es opcional y podés dejarlo vacío.

Como referencia:

• Para abrir una cuenta necesitamos, como mínimo, tu nombre, tu email y una forma de acceso —una contraseña o tu cuenta de Google—, más la aceptación de los Términos y de esta Política. Sin eso no hay cuenta: son los datos con los que se te identifica y se te da acceso.
• Para facturarte, cuando contratás un plan pago, necesitamos los datos fiscales del workspace: razón social o nombre, CUIT/CUIL o identificación equivalente, condición frente al IVA y domicilio. Sin ellos no podemos emitir un comprobante válido y, por lo tanto, no podemos habilitarte el plan.
• Para las funcionalidades que requieren identidad verificada necesitamos la documentación que te pidamos para acreditar quién sos. Si no la aportás, seguís usando el resto de la plataforma con normalidad: solo quedan fuera esas funcionalidades. Cuando te la pidamos por motivos de facturación o de prevención de fraude, como prevén los Términos, no aportarla puede impedirnos completar esa operación.
• Todo lo demás es opcional: apellido, teléfono, foto de perfil, biografía, fecha de nacimiento, género, nacionalidad, tipo y número de documento, domicilio personal, y los emails y teléfonos adicionales. No darlos no te limita el uso de la plataforma.

Mantener tu email actualizado sí importa: es la vía por la que te notificamos y por la que podés recuperar el acceso a tu cuenta.

Si cargás datos inexactos o de otra persona, podemos rechazar una facturación o una verificación de identidad y, si hubo una maniobra deliberada, suspender la cuenta conforme los Términos. Podés corregir tus datos vos mismo, cuando quieras, desde Cuenta → Perfil.

No te pedimos datos sensibles. No solicitamos información sobre tu salud, tu origen racial o étnico, tus opiniones políticas, tus convicciones religiosas, filosóficas o morales, tu afiliación sindical ni tu vida sexual, y no los necesitamos para prestarte el servicio: nadie está obligado a proporcionarlos (Ley 25.326, artículo 7). La documentación de identidad que llegues a aportar se usa únicamente para acreditar quién sos, nunca para inferir ninguna de esas categorías. Te pedimos que tampoco los incluyas por tu cuenta en los campos libres —biografía, mensajes de soporte, reportes de error— ni en los archivos que adjuntes.

4. Con qué finalidad y con qué base legal

Los artículos citados son de la Ley 25.326. Vale una aclaración, porque las normas que nos alcanzan no usan el mismo vocabulario y mezclarlas confunde más de lo que aclara. En la ley argentina la regla es el consentimiento previo, expreso e informado (artículo 5, inciso 1), y las únicas excepciones son las que enumera de forma taxativa el inciso 2 —entre ellas, que los datos deriven de una relación contractual y resulten necesarios para su desarrollo y cumplimiento (inciso 2, apartado d), o que se recaben en virtud de una obligación legal (inciso 2, apartado b)—. La figura del «interés legítimo» del GDPR no existe en la Ley 25.326 como base autónoma para tratar datos. Por eso, cuando tratamos datos para proteger la plataforma no lo hacemos invocando un interés propio, sino porque sin esas medidas no podríamos prestarte el servicio y porque los artículos 9 y 10 nos obligan a resguardar los datos y a guardar secreto sobre ellos.

Para quienes residen en la Unión Europea, estas mismas finalidades se apoyan en el artículo 6 del GDPR, según el caso: ejecución del contrato (6.1.b), obligación legal (6.1.c), interés legítimo (6.1.f) y consentimiento (6.1.a).

El consentimiento, cuando es la base, se solicita por separado y podés revocarlo en cualquier momento desde Cuenta → Preferencias → Privacidad y consentimientos, sin efecto retroactivo y sin que eso afecte los Servicios contratados.

5. Quién accede a tus datos dentro de iTools

• Vos, sobre todos tus datos, desde tu panel.
• Los demás miembros de tu workspace, únicamente sobre los datos que su rol habilita (por ejemplo, un administrador ve el nombre y el email de los miembros; no ve tus credenciales ni tus sesiones).
• Personal autorizado de iTools, con acceso mínimo y necesario para operar el servicio, brindar soporte y cumplir obligaciones legales. Los accesos administrativos quedan registrados en el log de auditoría, y el acceso a una cuenta en nombre del usuario (impersonación de soporte) se registra de manera identificable.

Los datos de un workspace no se comparten con otros workspaces.

6. Encargados de tratamiento y terceros

No vendemos tus datos personales. Los compartimos únicamente con:

Estos proveedores actúan como encargados del tratamiento: procesan los datos siguiendo nuestras instrucciones, con obligación de confidencialidad y de aplicar medidas de seguridad, y sin autorización para usarlos con fines propios. Las pasarelas de pago actúan además como responsables respecto de los datos que recolectan directamente de vos.

Salvedad sobre OpenStreetMap. A diferencia de los demás proveedores del cuadro, con la OpenStreetMap Foundation no tenemos una relación contractual: usamos un servicio público y gratuito, sujeto a sus propias condiciones de uso y a su política de privacidad (https://osmfoundation.org/wiki/Privacy_Policy). Interviene en dos momentos, los dos dentro de la sección Domicilio de tu perfil:

• Cuando tocás "Ubicar en el mapa", tu domicilio —calle, número, localidad, provincia, código postal y país— viaja desde nuestros servidores, no desde tu navegador, al servicio de geocodificación Nominatim, para traducirlo a coordenadas. Lo hacemos así a propósito, para que tu dirección IP no quede expuesta en esa consulta. Si nunca tocás ese botón, tu domicilio no se le envía a OpenStreetMap.
• Mientras el mapa está a la vista, es tu navegador el que descarga las imágenes del mapa directamente de los servidores de OpenStreetMap. Esas solicitudes no pasan por nosotros y no las podemos ver: OpenStreetMap recibe tu dirección IP y la zona del mapa que estás mirando. Tené en cuenta que el mapa aparece apenas abrís la sección Domicilio de tu perfil, hayas cargado el domicilio o no — si todavía no lo cargaste se muestra centrado en la Argentina, sin ningún dato tuyo, pero las imágenes igual se piden.

Cargar tu domicilio es opcional (ver el punto 3.5). Si preferís no completarlo, no se envía ningún dato de tu domicilio a OpenStreetMap.

También podemos comunicar datos:

• a autoridades competentes, cuando una orden judicial o un requerimiento legal nos obligue;
• a asesores profesionales (contables, legales) bajo deber de confidencialidad;
• a un sucesor, en caso de reorganización, fusión, adquisición o venta de activos. En ese supuesto te lo notificamos por email con al menos 30 días de anticipación —o sin demora, si la operación se consuma en un plazo menor por decisión judicial o por imperativo legal—, indicándote quién es el cesionario y con qué finalidad va a tratar tus datos. Durante ese plazo podés oponerte a que tus datos se transfieran: si lo hacés, exportás tu información y damos de baja tu cuenta sin penalidad, con los efectos que describe el punto 10 de esta Política. El sucesor queda obligado por esta misma Política mientras no la modifique siguiendo el procedimiento del punto 14.

7. Transferencias internacionales

Sí realizamos transferencias internacionales de datos. Varios de los proveedores del cuadro anterior procesan la información fuera de la República Argentina, principalmente en los Estados Unidos, país que la normativa argentina no considera con nivel adecuado de protección.

Estas transferencias se amparan en las excepciones y garantías previstas en el artículo 12 de la Ley 25.326 y en la Disposición 60-E/2016 de la ex Dirección Nacional de Protección de Datos Personales:

• son necesarias para la ejecución del contrato entre vos y iTools (sin ellas no hay servicio: la base de datos, el hosting y el correo son la infraestructura del producto);
• están respaldadas por cláusulas contractuales con cada uno de nuestros proveedores contratados, que imponen obligaciones de confidencialidad, seguridad, limitación de finalidad y asistencia ante el ejercicio de derechos; la única excepción es OpenStreetMap, según la salvedad del punto 6;
• para usuarios de la Unión Europea se aplican las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea o mecanismos equivalentes; para usuarios de Brasil, las garantías previstas por la LGPD y las orientaciones de la ANPD.

Podés solicitarnos información adicional sobre estas garantías escribiendo a privacidad@itools.ar.

8. Tus derechos como titular de los datos

Tenés derecho a acceder, rectificar, actualizar y suprimir tus datos personales, y a oponerte a determinados tratamientos y a revocar los consentimientos que hayas prestado.

Los plazos que nos obliga la Ley 25.326 son:

• Acceso: te informamos dentro de los 10 días corridos desde la solicitud (artículo 14, inciso 2). Vencido ese plazo sin respuesta, podés iniciar la acción de protección de datos personales (habeas data).
• Rectificación, actualización y supresión: lo resolvemos dentro de los 5 días hábiles desde la solicitud (artículo 16, inciso 2).
• Gratuidad: el ejercicio de estos derechos es gratuito. El derecho de acceso puede ejercerse de forma gratuita a intervalos no inferiores a seis meses, salvo que acredites un interés legítimo (artículo 14, inciso 3).

Buena parte de estos derechos podés ejercerlos vos mismo y al instante desde tu panel: Cuenta → Perfil (rectificar y actualizar), Cuenta → Preferencias (consentimientos), Cuenta → Eliminar cuenta (supresión y exportación de datos).

Para lo que no esté autoatendido, escribinos a privacidad@itools.ar identificándote como titular del dato. Podemos pedirte información adicional únicamente para verificar tu identidad y evitar entregarle tus datos a otra persona.

Autoridad de control: si considerás que no atendimos tu reclamo, podés presentarte ante la Agencia de Acceso a la Información Pública (AAIP), órgano de control de la Ley 25.326 — https://www.argentina.gob.ar/aaip. La denuncia ante la AAIP es gratuita.

Si residís fuera de Argentina, también podés recurrir a: ANPD (Brasil, https://www.gov.br/anpd), AEPD (España, https://www.aepd.es), INAI (México), Consejo para la Transparencia (Chile) o la Superintendencia de Industria y Comercio (Colombia).

8.1 Si te enviamos publicidad

Las comunicaciones comerciales te llegan solo si prestaste tu consentimiento, y ese consentimiento se retira sin dar explicaciones y sin costo. Además, con independencia del consentimiento, la Ley 25.326 te reconoce una facultad propia sobre las bases de datos con fines publicitarios:

• En cualquier momento podés pedir el retiro o el bloqueo de tu nombre, total o parcialmente, de nuestra base de datos con fines publicitarios (artículo 27, inciso 3). Estamos obligados a hacerlo y no tenés que darnos ningún motivo.
• Podés ejercerlo con un clic desde Cuenta → Preferencias → Privacidad y consentimientos, con el enlace de baja que incluyen los emails comerciales que te enviemos, o escribiendo a privacidad@itools.ar.
• El acceso a los datos que tratamos con fines publicitarios es sin cargo alguno (artículo 27, inciso 2).
• Si querés saber de dónde salió un dato tuyo que usemos con fines publicitarios, pedínoslo y te informamos quién nos lo proveyó.
• Salir de la publicidad no afecta el servicio. Vas a seguir recibiendo las comunicaciones imprescindibles para operar tu cuenta —avisos de seguridad, vencimientos, facturación y cambios en estos documentos—, que no son publicidad y no dependen de tu consentimiento.

En toda comunicación con fines publicitarios que te enviemos vas a encontrar esta leyenda: «El titular de los datos personales tiene la facultad de solicitar en cualquier momento el retiro o bloqueo, total o parcial, de su nombre de esta base de datos» (Ley 25.326, artículo 27, inciso 3; Decreto reglamentario 1558/2001, artículo 27; Disposición DNPDP 4/2009).

9. Seguridad

Aplicamos medidas técnicas y organizativas razonables, acordes al estado de la técnica y a la sensibilidad de los datos:

• cifrado en tránsito (TLS) y en reposo (AES-256);
• hash irreversible de contraseñas y de códigos de recuperación — nadie en iTools puede leer tu contraseña;
• verificación en dos pasos (2FA) disponible para todas las cuentas y recomendada;
• control de accesos por roles y aislamiento de datos por workspace a nivel de base de datos (RLS);
• registro de auditoría de los accesos y de las acciones críticas, incluidos los accesos administrativos;
• control de sesiones activas, con posibilidad de revocarlas desde tu panel;
• copias de seguridad periódicas y plan de recuperación;
• revisión de dependencias y del código con foco en seguridad.

Ningún sistema es infalible. Si detectamos una vulneración de seguridad que afecte tus datos personales, te lo notificamos sin demora indebida y damos aviso a la autoridad de control cuando corresponda (72 horas en el marco del GDPR).

10. Cuánto tiempo conservamos tus datos

Qué pasa exactamente cuando cerrás tu cuenta. Preferimos que lo sepas de antemano y con precisión, porque «eliminar la cuenta» no significa lo mismo en todos los sistemas:

• Se vacían en el acto tu nombre y apellido, tu documento, tu teléfono principal, tu fecha de nacimiento, tu género, tu nacionalidad, tu domicilio y tu biografía, y tu foto de perfil se desvincula del perfil.
• Se cierran todas tus sesiones en todos los dispositivos y tu contraseña se reemplaza por una inutilizable: esas credenciales dejan de servir.
• No se borra el renglón de tu cuenta. Queda vacío, con un identificador interno sin significado, porque de él cuelgan registros que no son solo tuyos: facturas, el registro de auditoría, los reportes de error y los mensajes que intercambiaste con soporte o con otros miembros de un workspace. Borrarlo dejaría esos registros huérfanos y nos haría incumplir obligaciones contables.
• No se eliminan automáticamente tu dirección de correo —que sigue asociada al registro de la cuenta—, tus emails secundarios, tus teléfonos adicionales ni los archivos que hayas subido (foto de perfil y documentación de verificación de identidad, esta última siempre cifrada). Podés pedirnos que los suprimamos escribiendo a privacidad@itools.ar: lo resolvemos dentro de los 5 días hábiles, conforme el artículo 16, inciso 2 de la Ley 25.326, salvo lo que integre un comprobante fiscal o un registro que la ley nos obligue a conservar.
• Las copias de seguridad conservan una imagen de tus datos hasta 90 días más. No se pueden editar de forma selectiva, pero se sobrescriben solas al vencer.

El vaciado de esos campos es irreversible: no guardamos los valores anteriores, más allá de lo que puedan contener las copias de seguridad hasta que venzan. Si volvés, vas a tener que cargar todo de nuevo. Si querés llevarte tu información, pedí la exportación antes de cerrar la cuenta, desde Cuenta → Eliminar cuenta.

11. Datos de terceros que vos cargás

Si cargás datos personales de otras personas —al invitar miembros a tu workspace, al completar los datos de facturación de un tercero o al mencionar a alguien en un reporte—, actuás como responsable de esos datos: tenés que contar con base legal para tratarlos, informarle a esa persona qué cargaste y con qué finalidad, y atender los pedidos que te haga sobre sus datos.

Eso no nos exime a nosotros de nuestras propias obligaciones. Conviene distinguir dos situaciones:

• Si esa persona tiene cuenta en iTools —por ejemplo, el miembro que invitaste y aceptó la invitación—, frente a ella somos responsables de sus datos, igual que lo somos frente a vos: sus credenciales, sesiones, notificaciones y registros de auditoría están en nuestra base de datos y los tratamos con las finalidades del punto 4, no por instrucción tuya. Tiene todos los derechos del punto 8 y puede ejercerlos directamente con nosotros, sin pasar por vos ni pedirte autorización.
• Si esa persona no tiene cuenta —por ejemplo, el titular de una factura que cargaste—, tratamos sus datos únicamente para prestarte el servicio y para cumplir las obligaciones fiscales y contables que correspondan. Si nos contacta para ejercer sus derechos, la atendemos igual —previa acreditación de su identidad y dentro de los plazos de conservación del punto 10—, y cuando haga falta te avisamos para que corrijas la información en el origen.

En ningún caso vamos a invocar tu responsabilidad como titular del workspace para desentendernos de las obligaciones que la Ley 25.326 nos impone como responsables de nuestra propia base de datos.

12. Menores de edad

Los Servicios están dirigidos a personas mayores de 18 años. No recolectamos intencionalmente datos de menores. Si tomamos conocimiento de que un menor se registró sin autorización de sus padres o tutores, eliminamos la cuenta y los datos asociados.

13. Cookies y tecnologías similares

• Esenciales: mantienen tu sesión, tu preferencia de tema y tu idioma. Son indispensables para que la plataforma funcione y no requieren consentimiento.
• Analíticas: miden cómo se usa la plataforma. Solo con tu consentimiento.
• Marketing: solo con tu consentimiento expreso.

Podés gestionar tus consentimientos desde Cuenta → Preferencias → Privacidad y consentimientos.

14. Cambios en esta Política

Podemos actualizar esta Política cuando cambien el servicio, la legislación o nuestras prácticas. Cada actualización genera una versión nueva, fechada, y la anterior queda archivada. Los cambios sustanciales se notifican por email o con un aviso visible con al menos 15 días de antelación, y en tu siguiente inicio de sesión te mostramos el texto nuevo para que lo aceptes.

La versión vigente está siempre disponible en https://itools.ar/privacy y podés consultar la que aceptaste desde tu panel de cuenta.

15. Contacto

Para cualquier consulta sobre privacidad o para ejercer tus derechos: privacidad@itools.ar.

Titular de la base de datos: iNET — iTools.ar, Ciudad de Córdoba, Provincia de Córdoba, República Argentina.

La Agencia de Acceso a la Información Pública, en su carácter de Órgano de Control de la Ley 25.326, tiene la atribución de atender las denuncias y reclamos que interpongan quienes resulten afectados en sus derechos por incumplimiento de las normas vigentes en materia de protección de datos personales.

---

Aviso. Este documento es un borrador operativo redactado por el equipo de producto para poner el sistema en funcionamiento. No fue redactado ni revisado por un profesional del derecho y debe ser revisado por uno antes de su uso en producción. Los campos marcados como [COMPLETAR] deben integrarse con los datos registrales reales del responsable antes de publicar.