Política de Privacidad

Responsable y encargado del tratamiento

El responsable de los datos es VERTRA CLOUD LTDA, inscrita en el CNPJ con el nº 69.320.419/0001-27, con domicilio en Rua Barbosa de Freitas, 1741, Sala 04, Aldeota, Fortaleza, CE, CEP 60170-021, Brasil, operando bajo el nombre comercial "Vertra Cloud". El encargado del tratamiento de datos personales (DPO) es Francisco Endrey da Mata Araujo, y el canal para cualquier cuestión de privacidad es [email protected].

Documentos relacionados: Términos de Uso · Política de Uso Aceptable

1. Roles: cuándo somos responsables y cuándo somos encargados del tratamiento

Respecto a los datos de su cuenta — registro, autenticación, pago, logs de acceso, uso del panel y soporte — Vertra es la responsable del tratamiento y esta Política se aplica íntegramente.

Respecto al contenido que usted aloja — código, archivos, bases de datos, variables de entorno, logs de sus aplicaciones — y a los datos personales de terceros que sus aplicaciones procesan, usted es el responsable del tratamiento. Vertra actúa como encargada: ejecuta, almacena y transmite ese contenido únicamente para prestar el servicio, conforme a sus instrucciones técnicas, y no lo utiliza para ninguna otra finalidad. Las obligaciones de la LGPD frente a esos titulares (base legal, transparencia, atención de derechos, comunicación de incidentes) son suyas; la sección 11 lo detalla.

2. Datos que recopilamos

Registro y autenticación: nombre, correo electrónico, idioma, avatar y el identificador de su cuenta en el proveedor de inicio de sesión que elija (Discord, GitHub o Google). Si conecta GitHub para el despliegue, guardamos el identificador de la instalación y los tokens necesarios para leer los repositorios que usted autorice.

Pago y facturación: importe, fecha, estado e identificadores de cada pedido y transacción. Los pagos con tarjeta y por Pix los procesa Stripe. El número de la tarjeta, la fecha de caducidad y el código de seguridad (CVV) se introducen en un campo del propio Stripe y se tokenizan en su navegador: nunca pasan por los servidores de Vertra ni quedan guardados por nosotros. De la tarjeta guardada conservamos solo la marca, los 4 últimos dígitos y la fecha de caducidad, para mostrar sus tarjetas y la renovación automática. Los datos de facturación que indica en Facturación —nombre, dirección, teléfono y, si lo desea, CPF o CNPJ— se almacenan en Stripe, no en las bases de datos de Vertra. Los pedidos antiguos pagados por Pix mediante Mercado Pago conservan los datos de confirmación que este devolvió (como el nombre del pagador).

Factura: por cada pedido pagado emitimos una factura electrónica de servicios brasileña (NFS-e). Si sus datos de facturación incluyen un CPF o CNPJ, la factura se emite a su nombre, con ese documento y el correo electrónico de la cuenta; con una dirección de facturación fuera de Brasil, se emite con su nombre, el país y el correo electrónico, sin documento; en los demás casos, sin identificar al cliente. En el registro de la factura, Vertra conserva el número, el estado, el nombre del cliente y el documento enmascarado.

Uso de la plataforma: registro de actividades de la cuenta (creación, despliegue, inicio, parada y eliminación de proyectos, cambios de configuración, quién hizo qué en un workspace), métricas de consumo de sus recursos (CPU, memoria, almacenamiento, red) y eventos de producto anonimizados, sin correo electrónico, nombre, URL, dominio o contenido. Del tráfico de tus aplicaciones alojadas registramos solo método, estado, duración y tamaño de cada solicitud — sin camino, sin IP y sin contenido. Cuando la protección de la plataforma pausa una aplicación, registramos el motivo, la dirección del tráfico, la hora y la duración de la pausa.

Datos técnicos y de seguridad: dirección IP, agente del navegador, fecha y hora de acceso, identificadores de sesión y registros de solicitudes a la API. Son necesarios para autenticar, prevenir fraude y abuso, y cumplir el Marco Civil de Internet. En los registros de solicitudes hechas con tu clave de API guardamos método, ruta, camino, IP, agente, estado, duración y tamaño y, en algunas rutas, un extracto redactado del cuerpo de la solicitud y de la respuesta, de hasta 4 KB.

Soporte: el contenido de los mensajes que nos envía por correo electrónico, por el panel o por Discord.

Navegación en el sitio web: con su consentimiento (banner de cookies), datos de analítica (PostHog), con grabación de sesión solo en las páginas públicas, y medición de conversiones de nuestros anuncios (Google Analytics). Estos servicios solo se cargan en las páginas públicas del sitio y en el inicio de sesión, el registro y el pago; el panel y el área administrativa no cargan PostHog ni Google Analytics, y el sitio no les envía el identificador de su cuenta. Véase la sección 8.

Origen del registro: cuando abre un enlace de difusión de Vertra (direcciones /r/…), contamos el clic de forma agregada por hora, sin guardar su IP, navegador ni ningún dato suyo, y guardamos en su navegador una cookie con el nombre del enlace. Si crea una cuenta, la asociamos al enlace del que vino, para medir qué canales de difusión traen registros y compras. Si ya tiene cuenta y vuelve por uno de estos enlaces, registramos en su cuenta el enlace y la fecha, para medir las compras hechas en los 30 días siguientes. Vea la sección 8.

No recopilamos datos sensibles (origen racial, convicción religiosa, opinión política, salud, biometría, etc.) y no le pedimos que nos envíe ninguno. Si sus aplicaciones tratan datos sensibles de terceros, la responsabilidad es suya como responsable del tratamiento.

3. Finalidades y bases legales

Ejecución del contrato (art. 7.º, V): crear y autenticar su cuenta, ejecutar y supervisar sus proyectos, procesar pagos, prestar soporte y enviar comunicaciones operativas (vencimiento, crash, avisos de limpieza). Estos avisos forman parte del servicio y no pueden desactivarse.

Cumplimiento de obligación legal (art. 7.º, II): conservar registros de acceso durante el plazo del Marco Civil de Internet, emitir facturas y conservar documentos fiscales y de pago, y atender órdenes de autoridades.

Interés legítimo (art. 7.º, IX): seguridad de la plataforma, detección de fraude y abuso, protección de la red compartida, prevención de cuentas duplicadas, medición de uso agregada para mejorar el producto, saber de qué enlace de difusión vinieron registros y compras, identificar a los suscriptores en la comunidad oficial de Discord, defensa en procedimientos y envío de correos promocionales (ofertas, lanzamientos y consejos) sobre la propia Vertra Cloud a quien tiene cuenta. Hacemos esto con el mínimo de datos necesario (nombre y correo electrónico, en el caso de los correos promocionales) y usted puede oponerse en cualquier momento: mediante el enlace "Cancelar suscripción" de todo correo promocional, la opción "Correos promocionales" en la configuración de la cuenta o el canal oficial. Cancelar no afecta al servicio ni a los avisos de la cuenta.

Ejercicio regular de derechos (art. 7.º, VI): conservar los datos necesarios para la defensa en disputas administrativas, judiciales o arbitrales.

Consentimiento (art. 7.º, I): analítica (PostHog) y medición de conversiones de anuncios (Google Analytics y Google Ads) en las páginas públicas y en el inicio de sesión, el registro y el pago, y grabación de sesión en las páginas públicas. El consentimiento puede revocarse en cualquier momento, sin perjuicio para el servicio.

4. Con quién compartimos

No vendemos ni alquilamos datos personales. Solo los compartimos con encargados que los necesitan para que el servicio funcione, bajo contrato y limitados a la finalidad:

Stripe (Stripe Brasil, Stripe Payments Europe en Irlanda y Stripe, Inc. en EE. UU.) — procesamiento de pagos con tarjeta y por Pix, custodia de las tarjetas y de los datos de facturación, cobro de la renovación automática y prevención del fraude. Recibe nombre, correo electrónico, datos de facturación, datos de la transacción y señales técnicas del dispositivo, y también trata estos datos como responsable independiente para cumplir sus propias obligaciones legales y de prevención del fraude, conforme a su política de privacidad. Focus NFe (Brasil) — emisión de las facturas; recibe el importe, la descripción del servicio y, cuando los hay, el nombre, el CPF o CNPJ, el país y el correo electrónico del cliente. Las facturas emitidas se envían al Ayuntamiento de Fortaleza, por obligación legal. Mercado Pago (Brasil) — solo pedidos antiguos pagados por Pix. Proveedor de red y almacenamiento (EE. UU.) — DNS, CDN, protección perimetral y almacenamiento de los snapshots y de los archivos de Blob Storage. Proveedores de infraestructura de servidores (EE. UU.) — donde se ejecutan los contenedores y las bases de datos. PostHog (EE. UU.) — analítica en las páginas públicas y en el inicio de sesión, el registro y el pago, y grabación de sesión en las páginas públicas, solo con su consentimiento. Google (EE. UU.) — Google Analytics y Google Ads, para medir las conversiones de nuestros anuncios, solo con su consentimiento; recibe identificadores de cookie, páginas visitadas (solo las públicas y las del inicio de sesión, el registro y el pago, con la dirección depurada), eventos como el registro y datos técnicos del navegador. Discord, GitHub y Google — autenticación y, en el caso de GitHub, lectura de los repositorios autorizados. Si entró con Discord y participa en el servidor oficial de la comunidad, Discord recibe también el nombre de su plan, que aparece como un rol visible para los miembros del servidor. Proveedor de envío de correo electrónico — envío de los avisos de la cuenta y de los correos promocionales; recibe nombre, correo electrónico y el contenido del mensaje.

También podemos compartir datos cuando lo exija la ley, una orden judicial o un requerimiento de autoridad competente; para proteger derechos, seguridad y propiedad de Vertra y de terceros; y, en caso de reorganización societaria o sucesión del prestador (incluida la constitución de la persona jurídica de Vertra), con el sucesor, que quedará vinculado a esta Política.

La lista de encargados puede cambiar; la versión vigente es siempre la de esta página.

5. Transferencia internacional

Parte de la infraestructura y de los encargados enumerados en la sección 4 está fuera de Brasil, principalmente en Estados Unidos. Esto significa que los datos de su cuenta y el contenido de sus proyectos pueden almacenarse o procesarse allí.

Los pagos con tarjeta y por Pix y los datos de facturación los procesa Stripe en Brasil, Irlanda y Estados Unidos, con las mismas salvaguardas. La emisión de facturas se realiza en Brasil.

Estas transferencias se basan en el art. 33 de la LGPD. Las necesarias para prestar el servicio que usted contrató se basan en la ejecución del contrato (art. 33, IX, en conjunto con el art. 7º, V), lo que incluye la infraestructura de alojamiento, red, almacenamiento y envío de correo; con los operadores que las ofrecen, como el procesador de pagos, la transferencia también se ampara en las cláusulas contractuales estándar aprobadas por la ANPD (Resolución CD/ANPD nº 19/2024). Los datos viajan con cifrado en tránsito. Al usar el servicio, usted queda informado de esta transferencia; si sus aplicaciones tratan datos de terceros, le corresponde evaluar si esta ubicación es adecuada para su caso.

6. Durante cuánto tiempo conservamos los datos

Datos de registro: mientras exista la cuenta. Tras su cancelación, se eliminan o anonimizan en un plazo de hasta 30 días, salvo lo que deba conservarse por obligación legal.

Registros de pago y documentos fiscales: 5 años tras la transacción, por exigencia de la legislación tributaria y civil.

Tarjetas guardadas y datos de facturación: mientras los mantenga en Facturación. Eliminar una tarjeta la borra de Stripe y de nuestro registro; al cerrar la cuenta, las tarjetas y los datos de facturación se borran de Stripe. Stripe puede conservar el historial de transacciones durante el plazo que exijan sus propias obligaciones legales.

Registros de acceso (IP, fecha y hora): 6 meses, conforme al art. 15 del Marco Civil de Internet, prorrogables por orden de autoridad.

Contenido de los proyectos: mientras exista el proyecto. Los snapshots — manuales, diarios, generados al vencer el plan o de seguridad antes de eliminar o reiniciar una base de datos — se eliminan 30 días después de su creación. Archivos de Blob Storage: mientras la cuenta tenga un plan activo; sin plan, se eliminan 72 horas después, sin snapshot.

Registro de actividades de la cuenta: 30 días, incluso después de que se elimine el proyecto. Mensajes de soporte: durante el tiempo necesario para resolver la solicitud y una eventual disputa.

Registros de solicitudes hechas con clave de API: 30 días. Tráfico de las aplicaciones alojadas (método, estado, duración y tamaño): 30 días. Incidentes de protección de la plataforma: 90 días.

Sesiones de inicio de sesión (método, IP, ubicación aproximada y dispositivo): hasta que la sesión expire. Eventos de producto anonimizados: 90 días.

Origen del registro: la cookie del enlace de difusión dura hasta 30 días y se borra después de que usted inicia sesión; la asociación de la cuenta con el enlace (en el registro o al volver por él) se mantiene mientras la cuenta exista. El recuento de clics es agregado y no identifica a nadie.

Analítica: identificadores de cookie de PostHog durante hasta 12 meses y de Google Analytics durante hasta 2 años; los datos agregados y anonimizados pueden conservarse sin plazo, ya que no le identifican.

7. Seguridad

Adoptamos medidas técnicas y organizativas proporcionales al riesgo: aislamiento de cada proyecto en un contenedor propio y una red segregada, cifrado en tránsito (TLS) en todas las conexiones, incluidas las de base de datos, cifrado en reposo de las variables de entorno y credenciales de bases de datos, comunicación interna entre servidores mediante túnel privado sin exposición a internet, control de acceso mínimo, monitorización y registro de seguridad, y protección automática de la red contra el abuso.

Ningún sistema es infalible. Si un incidente de seguridad puede causarle un riesgo o daño relevante, lo comunicaremos a la Autoridad Nacional de Protección de Datos (ANPD) y a los titulares afectados en el plazo del Reglamento de Comunicación de Incidentes de Seguridad (Resolución CD/ANPD nº 15/2024), conforme al art. 48 de la LGPD, informando la naturaleza de los datos, los riesgos y las medidas adoptadas.

Usted también es responsable: mantenga sus credenciales y claves de API protegidas, active la autenticación en dos factores en su proveedor de inicio de sesión y revise quién tiene acceso a sus workspaces.

8. Cookies y tecnologías similares

Cookies necesarias: mantienen su sesión autenticada, su elección de idioma, tema y su decisión sobre el banner de consentimiento. Sin ellas el panel no funciona; no dependen del consentimiento.

Cookie de enlace de difusión (vc_ref): se guarda solo cuando abre un enlace de difusión de Vertra (/r/…). Guarda únicamente el nombre del enlace, dura hasta 30 días y se borra después de que usted inicia sesión. Sirve para saber de qué enlace vino su registro (o su regreso, si ya tiene cuenta), con base en el interés legítimo (sección 3); no se usa para publicidad ni se comparte con terceros. Cuando el enlace trae un cupón de oferta, también guardamos la cookie vc_offer, solo con el nombre del enlace, durante hasta 1 día, para mostrar el cupón una vez; se borra en cuanto el cupón aparece. Puede oponerse borrando las cookies del sitio o por el canal oficial.

Cookies y scripts de analítica (PostHog): solo se cargan en las páginas públicas del sitio web y en el inicio de sesión, el registro y el pago, y solo después de que usted acepte en el banner. Miden visitas y clics y, únicamente en las páginas públicas, graban la sesión de navegación para entender problemas de usabilidad (el inicio de sesión, el registro y el pago no se graban). No se cargan en el panel ni en el área administrativa, donde hay código, logs y datos de sus proyectos; si navega de las páginas públicas al panel sin recargar, la medición se detiene allí. Elegir "Solo lo necesario" mantiene todo esto desactivado; puede cambiar de opinión borrando los datos del sitio en el navegador, lo que hace que el banner vuelva a aparecer.

Google Analytics y Google Ads: con el mismo consentimiento del banner, cargamos Google Analytics para medir las conversiones de nuestros anuncios en Google Ads — por ejemplo, si un registro vino de un anuncio. Usa cookies de Google y registra las páginas visitadas, solo las públicas y las del inicio de sesión, el registro y el pago, con la dirección depurada; el panel no carga Google Analytics, y nunca enviamos su correo, nombre ni el contenido de sus proyectos. Elegir "Solo lo necesario" mantiene Google desactivado. No usamos otras redes de publicidad.

9. Sus derechos

Conforme al art. 18 de la LGPD, usted puede, en cualquier momento: confirmar si tratamos sus datos; acceder a ellos; corregir datos incompletos, inexactos o desactualizados; solicitar la anonimización, el bloqueo o la eliminación de datos innecesarios o tratados de forma no conforme; obtener la portabilidad de los datos a otro proveedor; conocer con quién los compartimos; ser informado sobre la posibilidad de no prestar su consentimiento y sus consecuencias; revocar el consentimiento; y oponerse a un tratamiento basado en el interés legítimo.

En Facturación puede ver y editar sus datos de facturación, eliminar tarjetas guardadas y activar o desactivar la renovación automática.

Buena parte de esto puede hacerlo usted mismo desde el panel: editar el perfil, eliminar proyectos, revocar conexiones y claves de API y exportar snapshots. Para lo demás —incluida la cancelación de la cuenta y la eliminación de los datos—, escriba a [email protected] desde el correo electrónico registrado. Respondemos en un plazo de hasta 15 días. Podemos pedir confirmación de identidad y podemos denegar, con justificación, solicitudes que entren en conflicto con una obligación legal, una orden judicial o derechos de terceros — por ejemplo, eliminar registros fiscales dentro del plazo de conservación.

Si no queda satisfecho, puede presentar una reclamación ante la Autoridad Nacional de Protección de Datos (ANPD).

10. Niños y adolescentes

El servicio no está destinado a menores de 18 años. No recopilamos intencionadamente datos de menores; si identificamos una cuenta creada por un menor sin representación legal, se cancelará y sus datos se eliminarán. Usar la plataforma para alojar contenido que explote o perjudique a niños y adolescentes conlleva la cancelación inmediata y la comunicación a las autoridades.

11. Datos de terceros en sus aplicaciones

Si sus aplicaciones o bases de datos tratan datos personales de otras personas (usuarios de su bot, clientes de su tienda, miembros de su comunidad), usted es el responsable de esos datos y Vertra es la encargada del tratamiento. Corresponde a usted definir la base legal, informar a los titulares, atender sus derechos, garantizar una seguridad adecuada dentro de la aplicación y comunicar los incidentes. Vertra trata ese contenido únicamente para ejecutar el servicio, en su infraestructura y en la de los proveedores de la sección 4, y lo elimina conforme a la sección 6.

Si necesita un Acuerdo de Tratamiento de Datos (DPA) formal con Vertra, solicítelo a través del canal oficial.

12. Modificaciones de esta Política

Podemos modificar esta Política por razones legales, regulatorias, técnicas o de producto. Las modificaciones de gran impacto — recopilar categorías de datos sensibles, compartir sus datos con terceros para sus propias finalidades, dar a nuevos encargados acceso al contenido que usted aloja o reducir sus derechos — se comunican con al menos 30 días de antelación por correo electrónico y a través del panel. Las demás modificaciones entran en vigor en el momento de su publicación, con la fecha de vigencia actualizada. La fecha de la última actualización figura en la parte superior de esta página y el historial puede solicitarse a través del canal oficial.

13. Disposiciones finales

Esta Política se rige por la legislación brasileña — LGPD, Marco Civil de Internet, Código de Defensa del Consumidor y Código Civil — y debe leerse junto con los Términos de Uso y la Política de Uso Aceptable. En caso de conflicto sobre el tratamiento de datos personales, prevalece esta Política. Consultas: [email protected].