Política de Privacidad de notific.me

Versión 0.3 · En vigor a partir del por definir

(este recuadro es un resumen y no sustituye al texto)

Los datos de tu cuenta los trata IDIE CONSULTING TECHNOLOGY LTDA.
Lo que una empresa te envía a través de notific.me pertenece a esa empresa: lo tratamos en su nombre, y es ella la responsable de lo que envía.
Tus datos biométricos nunca salen de tu dispositivo. Solo recibimos la firma que genera tu dispositivo después de confirmar que eres tú.
Para demostrar quién respondió qué, registramos el dispositivo, la dirección IP, la hora y otros datos de cada respuesta. La organización que preguntó puede ver este registro.
Conservamos cada dato solo durante el tiempo necesario: el contenido y el rastro de evidencias siguen el plazo de retención del plan del workspace.
No vendemos datos personales. No usamos cookies publicitarias.
Crear una cuenta incluye aceptar recibir marketing sobre notific.me. Puedes darte de baja en cualquier momento, y nunca usamos el contenido de tus notificaciones para marketing.
Para ejercer tus derechos, escribe a [email protected].

1. Quiénes somos

notific.me lo presta IDIE CONSULTING TECHNOLOGY LTDA, inscrita en el CNPJ con el n.º 63.210.794/0001-38, con sede en Rua Pais Leme, 215, conjunto 1713, Pinheiros, São Paulo, SP, 05424-150, Brasil («IDIE», «nosotros»).

Esta Política explica cómo tratamos los datos personales en el sitio web de notific.me, en el área de cliente en app.notific.me, en la API en api.notific.me, en el servidor MCP y en las aplicaciones oficiales (el «Servicio»), de conformidad con la Ley brasileña n.º 13.709/2018 (Ley General de Protección de Datos, «LGPD»), la Ley brasileña n.º 12.965/2014 (Marco Civil de Internet) y, para las personas que se encuentran en Europa, el Reglamento General de Protección de Datos, «GDPR» (sección 13). Los términos escritos con mayúscula inicial tienen el significado que se les atribuye en los Términos de Uso.

2. A quién se aplica esta Política

Usuarios: cualquier persona que tenga una Cuenta de notific.me.
Miembros: cualquier persona que pertenezca a una Organización.
Destinatarios sin Cuenta: cualquier persona que reciba una notificación a través de un enlace, por ejemplo, por correo electrónico.
Contactos de los Clientes: cualquier persona que se comunique con nosotros en nombre de un Cliente (compras, facturación, soporte).
Visitantes del sitio web y de la documentación.

3. Quién decide sobre cada dato

notific.me tiene dos tipos de datos, con responsables distintos:

Datos	Quién es el responsable del tratamiento (quién decide)	Papel de IDIE
Tu Cuenta: datos de registro, inicio de sesión, dispositivos, seguridad, facturación, soporte y uso del Servicio	IDIE	Responsable del tratamiento
Lo que un Cliente envía a través del Servicio (eventos, notificaciones, preguntas, formularios, archivos) y las respuestas dadas dentro de su workspace, con el rastro de evidencias	El Cliente titular del workspace	Encargado del tratamiento: lo tratamos en nombre del Cliente, siguiendo sus instrucciones

Esto significa que: si recibiste una notificación de la empresa X, es la empresa X quien decide qué enviarte, por qué y durante cuánto tiempo conservarlo, dentro de las opciones de su plan. Las preguntas y solicitudes sobre esos datos deben dirigirse primero a la empresa X. Si te pones en contacto con nosotros, le remitiremos la solicitud.

4. Qué datos tratamos

4.1. Cuenta e identidad

nombre y foto de perfil (si subes una);
@handle;
direcciones de correo electrónico vinculadas a la Cuenta (puedes tener varias);
idioma, zona horaria y preferencias (tema, notificaciones, quién puede invitarte);
PIN de invitación, almacenado de forma protegida (nunca en texto plano).

4.2. Inicio de sesión y seguridad

códigos y enlaces de acceso enviados por correo electrónico, con la dirección IP de quien los solicitó y la hora;
sesiones: navegador o aplicación (user agent), dirección IP, fechas de creación y de vencimiento;
segundo factor: la clave de la aplicación de autenticación (TOTP), almacenada cifrada;
intentos de inicio de sesión y bloqueos tras demasiados intentos;
registros de acceso al Servicio (dirección IP, fecha y hora), según lo exige el Marco Civil de Internet.

4.3. Dispositivos

nombre del dispositivo, plataforma, sistema operativo y versión de la aplicación;
token push, utilizado para despertar la aplicación;
la clave pública del dispositivo. La clave privada se crea y se almacena en el propio dispositivo (en su chip de seguridad, cuando lo tiene) y nunca se nos envía.

4.4. Biometría: lo que no recopilamos

Cuando una decisión requiere biometría (huella dactilar o rostro) o el código de acceso del dispositivo, esta verificación la realiza el sistema operativo de tu dispositivo. No recibimos, no vemos ni almacenamos tu huella dactilar, tu rostro ni el código de acceso de tu dispositivo. Solo recibimos la respuesta firmada con la clave del dispositivo, que el sistema libera después de confirmar que eres tú.

4.5. Notificaciones, preguntas y respuestas

el contenido enviado por los Clientes: títulos, textos, imágenes, enlaces, formularios, archivos y datos del sistema de origen. Este contenido puede incluir cualquier tipo de dato personal, según lo defina el Cliente;
tus respuestas: la opción elegida, el texto libre, los valores de los formularios;
entregas, lecturas y reacciones: cuándo llegó la notificación, cuándo se leyó, si se abrió, archivó, silenció o ignoró, y cuánto tiempo tardó.

4.6. Rastro de evidencias

Para demostrar qué ocurrió con cada notificación, el rastro registra, en cada paso:

la persona o el servicio que actuó, el dispositivo, la sesión y el canal;
la dirección IP y el país y la ciudad aproximados que se derivan de ella;
el navegador o la aplicación, la plataforma y la zona horaria;
la hora del servidor y la hora informada por el dispositivo;
el nivel de verificación exigido y el utilizado;
hashes encadenados del contenido y de los pasos anteriores (el contenido en sí no se copia en el rastro).

Ubicación precisa: cuando la función esté disponible, y solo si lo permites en tu dispositivo, la aplicación podrá registrar tu ubicación en el momento en que respondes a una decisión. Puedes denegar o retirar el permiso en la configuración de tu dispositivo en cualquier momento; en ese caso, solo se registrará la ubicación aproximada obtenida a partir de la dirección IP.

4.7. Organización y facturación

razón social, identificación fiscal (como el CNPJ), dirección de facturación y contacto de facturación;
plan, facturas, documentos fiscales e historial de pagos;
datos del medio de pago: el número completo de la tarjeta lo trata únicamente el procesador de pagos (como Stripe). Solo recibimos datos limitados, como la marca de la tarjeta, los cuatro últimos dígitos y la fecha de vencimiento.

4.8. Integraciones

nombres de los servicios, tokens (almacenados como hashes, nunca en texto plano), alcances, reglas, hooks y webhooks configurados;
registros de las llamadas a la API y al servidor MCP, con dirección IP, hora y resultado.

4.9. Destinatarios sin Cuenta e invitados

Cuando un Cliente invita a alguien por correo electrónico, o envía una notificación mediante un enlace a alguien sin Cuenta, recibimos de ese Cliente la dirección de correo electrónico de la persona y, si el Cliente lo proporciona, su nombre. Usamos estos datos solo para entregar la invitación o la notificación y para registrar el rastro. Quien abra el enlace puede crear una Cuenta si lo desea.

4.10. Soporte y comunicaciones

Los mensajes que nos envías, los archivos adjuntos y el historial de soporte.

4.11. Datos técnicos y de uso

Logs del servidor, métricas de rendimiento, errores y uso de funciones, para mantener el Servicio en funcionamiento, seguro y en constante mejora.

5. Para qué los usamos y con qué base legal

Finalidad	Datos	Base legal (LGPD)
Crear y mantener tu Cuenta, permitirte iniciar sesión, entregar notificaciones y devolver respuestas	4.1, 4.2, 4.3, 4.5	Ejecución de un contrato (art. 7, V)
Registrar el rastro de evidencias y emitir comprobantes de decisión	4.6	Ejecución de un contrato (art. 7, V), ejercicio regular de derechos (art. 7, VI) e interés legítimo (art. 7, IX)
Registrar la ubicación precisa en el momento de una decisión	4.6 (ubicación precisa)	Consentimiento, otorgado mediante el permiso del dispositivo (art. 7, I)
Proteger las cuentas, prevenir el fraude y el abuso, limitar los intentos de inicio de sesión	4.2, 4.3, 4.8, 4.11	Interés legítimo (art. 7, IX), incluidas la prevención del fraude y la seguridad del titular
Conservar los registros de acceso durante el plazo legal	4.2	Cumplimiento de una obligación legal (art. 7, II; Marco Civil, art. 15)
Facturar y cumplir las obligaciones tributarias	4.7	Ejecución de un contrato y cumplimiento de una obligación legal (art. 7, V y II)
Prestar soporte	4.10	Ejecución de un contrato (art. 7, V)
Enviar avisos sobre el Servicio (seguridad, facturación, cambios en los Términos)	4.1	Ejecución de un contrato (art. 7, V)
Marketing de notific.me y de otros productos y servicios de IDIE (detalles)	4.1, 4.7 (plan), 4.11	Interés legítimo (art. 7, IX, y art. 10, I), con la aceptación en el registro como condición para crear la Cuenta, indicada de forma destacada (art. 9, § 3); puedes oponerte en cualquier momento
Medir, corregir y mejorar el Servicio, incluidos el entrenamiento y la evaluación de los modelos que priorizan, agrupan y silencian notificaciones	4.5 (reacciones y metadatos; el contenido, solo tras su desidentificación), 4.11	Interés legítimo (art. 7, IX), con datos agregados o desidentificados cuando se usan fuera de su workspace de origen
Defender nuestros derechos en procedimientos y atender a las autoridades	Los necesarios en cada caso	Ejercicio regular de derechos y cumplimiento de una obligación legal (art. 7, VI y II)
Tratar el contenido enviado por los Clientes	4.5, 4.6, 4.9	Base definida por el Cliente, como responsable del tratamiento (sección 3)

Entrenamiento de modelos. Las reacciones y los metadatos (qué se leyó, ignoró o silenció, y los tiempos) pueden usarse para entrenar y evaluar los modelos que priorizan, agrupan y silencian notificaciones. El contenido de las notificaciones también puede usarse para ello, pero solo después de su desidentificación, es decir, después de eliminar nombres, direcciones de correo electrónico, @handles, números de documentos y otros datos que identifiquen a personas. Los Clientes pueden optar por no participar en cualquier momento escribiendo a [email protected] (y, cuando esté disponible, en la configuración del workspace); la exclusión se aplica al contenido enviado después de la solicitud.

Inteligencia artificial. Para ofrecer funciones como resúmenes, clasificación, priorización y agrupación, podemos usar modelos de inteligencia artificial, propios o de terceros (incluso a través de agregadores de modelos). Los proveedores terceros reciben solo los datos necesarios para cada tarea.

Decisiones automatizadas. El Servicio aplica reglas y modelos para decidir si una notificación se entrega de inmediato, se agrupa en un resumen o se silencia. Estas reglas las configura el Cliente, y las decisiones críticas y las preguntas siempre llegan a una persona. Puedes solicitar la revisión de las decisiones tomadas únicamente con base en un tratamiento automatizado que afecten a tus intereses (LGPD, art. 20).

Marketing

Al crear una Cuenta, aceptas recibir marketing de IDIE. Esto es una condición para crear la Cuenta, y se indica de forma destacada en el registro.

Quién lo recibe: las personas con Cuenta. Todas las Cuentas son personales, incluidas las de quienes crean Organizaciones o se unen a ellas. Los Destinatarios sin Cuenta no reciben marketing.
Sobre qué trata: notific.me y otros productos y servicios de IDIE. No enviamos publicidad de terceros.
Canales: correo electrónico, mensajes dentro del Servicio y notificaciones a través del propio notific.me.
Personalización: podemos adaptar los mensajes a tu plan y a la forma en que usas el Servicio (funciones utilizadas, volumen, frecuencia de inicio de sesión).
Lo que nunca usamos: el contenido de las notificaciones, preguntas, respuestas y archivos enviados a través del Servicio. No vendemos ni alquilamos listas de contactos.
Cómo dejar de recibirlo: usa el enlace que aparece en cada correo electrónico o la opción correspondiente en tu Cuenta. Darte de baja no afecta a tu acceso al Servicio. Los avisos del Servicio (seguridad, facturación, cambios en los Términos) no son marketing y se seguirán enviando.

6. Con quién los compartimos

No vendemos ni alquilamos datos personales. Solo compartimos lo necesario con:

6.1. La organización y el sistema que preguntó

Cuando eres Miembro de una Organización o respondes a una pregunta de un Cliente, ese Cliente ve lo que recibiste, leíste y respondiste, junto con el rastro de evidencias (dispositivo, dirección IP, hora y, si lo permites, ubicación). La respuesta también se devuelve al sistema de origen del Cliente mediante webhook o a través de la API, junto con la identidad de quien respondió.

6.2. Proveedores que nos ayudan a prestar el Servicio (subencargados)

Categoría	Ejemplos	Finalidad
Red, seguridad y almacenamiento	Cloudflare, Inc.	Red de distribución de contenidos (CDN), DNS, protección contra ataques, alojamiento del área de cliente, almacenamiento del archivo a largo plazo y analítica sin cookies en el sitio web
Infraestructura en la nube	Proveedores de nube y de servidores	Servidores que ejecutan la API, la base de datos y los procesos en segundo plano
Push en móviles y navegadores	Google (Firebase Cloud Messaging), Apple (Apple Push Notification service) y servicios Web Push de los navegadores (Google, Mozilla, Apple, Microsoft)	Despertar la aplicación y entregar notificaciones push
Correo electrónico transaccional	Proveedor de envío de correo electrónico	Correos electrónicos de inicio de sesión, invitaciones y avisos
Pagos	Stripe, Inc. y sus afiliadas	Procesamiento de pagos
Inteligencia artificial	Proveedores de modelos, propios o de terceros, incluidos agregadores de modelos	Resumir, clasificar, priorizar y agrupar notificaciones, y otras funciones de IA
Documentos fiscales	Emisores de documentos fiscales, cuando corresponda	Emitir documentos fiscales cuando lo exija la ley

El push lleva solo lo mínimo necesario para despertar la aplicación (identificadores y, cuando está configurado, un breve resumen). La aplicación obtiene el contenido completo directamente de nuestros servidores mediante una conexión cifrada.

Estos proveedores solo pueden usar los datos para prestar el servicio que les hemos contratado. Los Clientes pueden solicitar a [email protected] la lista actualizada de subencargados.

6.3. Otros casos

Autoridades: cuando exista una orden judicial, un requerimiento legítimo o una obligación legal, y para proteger derechos y la seguridad del Servicio, de las personas o de terceros.
Operaciones societarias: en caso de fusión, adquisición, absorción o venta de activos, los datos pueden transferirse al sucesor, que seguirá esta Política.
Con tu autorización: en otros casos, cuando lo solicites o lo autorices.

7. Dónde están los datos y transferencias internacionales

El Servicio funciona sobre una infraestructura distribuida, en más de una región y con más de un proveedor (servidores de aplicaciones, red de distribución de contenidos y almacenamiento de archivos). Por motivos de seguridad, no divulgamos la ubicación exacta de nuestros servidores.

Los datos pueden tratarse en Brasil, en los Estados Unidos y en otros países donde operan nuestros proveedores. Estas transferencias se realizan con las garantías del artículo 33 de la LGPD y, para los datos sujetos al GDPR, del capítulo V del GDPR, como las cláusulas contractuales tipo aprobadas por la ANPD o por la Comisión Europea, las decisiones de adecuación o garantías equivalentes adoptadas por dichos proveedores. También son necesarias para ejecutar el contrato contigo.

8. Cuánto tiempo los conservamos

Conservamos cada dato solo durante el tiempo necesario. Después, lo eliminamos o lo anonimizamos.

Datos	Plazo
Cuenta (registro, direcciones de correo electrónico, dispositivos)	Mientras exista la Cuenta. Tras su eliminación, hasta 30 días para completar la supresión
Cuentas del plan gratuito sin inicio de sesión durante 12 meses	Se eliminan tras un aviso por correo electrónico enviado con al menos 30 días de antelación
Notificaciones, preguntas, respuestas y rastro de evidencias	El plazo de retención del plan del workspace: Personal 7 días, Pro 30 días, Teams 90 días, Business 1 año, Enterprise según lo acordado. El plazo se fija en el momento en que se graba cada registro
Invitaciones que ya no están pendientes	30 días
Códigos y enlaces de inicio de sesión	Minutos, hasta que se usan o vencen
Registros de acceso al Servicio (dirección IP, fecha y hora)	6 meses, según lo exige el artículo 15 del Marco Civil de Internet
Datos fiscales y de facturación	5 años, o el plazo que exija la legislación tributaria
Copias de seguridad	Hasta 35 días, cuando se sustituyen por otras más recientes
Datos sujetos a una retención legal (orden de una autoridad, investigación o litigio)	Mientras dure la retención

notific.me separa lo que está en uso (almacenamiento en caliente) del historial consolidado, que pasa a un archivo inmutable y firmado (almacenamiento en frío). Ambos siguen el mismo plazo del plan, y un proceso automático elimina lo que ha vencido.

Cuando eliminas tu Cuenta, las respuestas que diste a una Organización permanecen en su rastro hasta el final del plazo del plan de la Organización, porque forman parte del registro que le pertenece (sección 3).

9. Cómo los protegemos

conexiones cifradas (TLS) para todo el tráfico;
respuestas firmadas con la clave de cada dispositivo, que solo se libera tras la biometría o el código de acceso del dispositivo;
un rastro de evidencias encadenado mediante hashes, que permite detectar manipulaciones;
comprobantes y archivos a largo plazo firmados con la clave del servidor (Ed25519), que pueden verificarse públicamente;
tokens y códigos almacenados como hashes; segundo factor almacenado cifrado;
datos cifrados en reposo en el almacenamiento;
límites de intentos, control de acceso basado en roles y un registro de auditoría de las acciones realizadas en el panel;
acceso interno restringido a quienes lo necesitan, con deber de confidencialidad.

Ningún sistema es completamente seguro. Si un incidente de seguridad puede ocasionar un riesgo o daño relevante, lo comunicaremos a las autoridades competentes y a las personas afectadas dentro de los plazos exigidos por la ley y, cuando actuemos como encargado del tratamiento, informaremos al Cliente para que pueda hacer lo mismo.

10. Tus derechos

De acuerdo con la LGPD (art. 18), puedes solicitar:

la confirmación de que tratamos tus datos;
el acceso a los datos;
la corrección de datos incompletos, inexactos o desactualizados;
la anonimización, el bloqueo o la eliminación de datos innecesarios o excesivos, o tratados en incumplimiento de la ley;
la portabilidad a otro proveedor;
la eliminación de los datos tratados con base en tu consentimiento;
información sobre con quién compartimos tus datos;
información sobre la posibilidad de no dar el consentimiento y sus consecuencias;
la revocación del consentimiento;
la revisión de las decisiones tomadas únicamente con base en un tratamiento automatizado;
la oposición al tratamiento realizado sin consentimiento, cuando infrinja la ley.

Cómo solicitarlo: muchos de tus datos pueden consultarse y corregirse en la propia área de cliente. Para el resto, incluidas la eliminación de la cuenta y la exportación de datos, escribe a [email protected] desde una dirección de correo electrónico vinculada a tu Cuenta. Podemos pedirte información para confirmar tu identidad antes de actuar. Responderemos en un plazo de 15 días.

Límites: es posible que algunas solicitudes no se atiendan, total o parcialmente, cuando la ley nos obligue a conservar los datos, cuando sean necesarios para defender derechos o cuando los datos pertenezcan a un Cliente (sección 3). En este último caso, remitiremos la solicitud al Cliente.

También puedes presentar una reclamación ante la Autoridad Nacional de Protección de Datos de Brasil (ANPD), en gov.br/anpd.

11. Cookies y almacenamiento en el navegador

El área de cliente usa el almacenamiento local del navegador (localStorage) y un service worker para:

mantener tu sesión iniciada;
recordar el idioma y el tema;
recibir notificaciones push en el navegador y funcionar como aplicación instalada (PWA).

Estas funciones son necesarias para que el Servicio funcione. No usamos cookies publicitarias ni rastreadores de terceros en el área de cliente. En el sitio web usamos Cloudflare Web Analytics, que mide las visitas sin cookies y sin identificarte. Los proveedores de infraestructura (como Cloudflare) pueden usar cookies técnicas de seguridad. Si empezamos a usar herramientas de analítica que requieran consentimiento, actualizaremos esta Política y te pediremos el consentimiento cuando la ley lo exija.

12. Niños y adolescentes

El Servicio está destinado a personas de 18 años o más. No recopilamos a sabiendas datos de personas menores de 18 años. Si encontramos una Cuenta que pertenezca a un menor de edad, se eliminará. Los Clientes no deben enviar datos de niños y adolescentes a través del Servicio sin una base legal y sin las salvaguardas del artículo 14 de la LGPD.

13. Personas en el Espacio Económico Europeo, el Reino Unido y Suiza

Si te encuentras en el Espacio Económico Europeo, el Reino Unido o Suiza, también se aplica lo siguiente:

Responsable del tratamiento: IDIE CONSULTING TECHNOLOGY LTDA, identificada en la sección 1, para los datos de la Cuenta y los Datos de Uso. Para el contenido enviado por los Clientes, el responsable del tratamiento es el Cliente (sección 3).
Representante: por designar
Bases legales (GDPR, art. 6(1)): ejecución de un contrato (b) para la Cuenta, la entrega de notificaciones y respuestas, la facturación y el soporte; cumplimiento de una obligación legal (c) para los registros de acceso y los datos fiscales; intereses legítimos (f) para el rastro de evidencias, la seguridad, la prevención del fraude, la mejora del Servicio y el entrenamiento de modelos con datos agregados o desidentificados, y el marketing sobre notific.me y otros productos y servicios de IDIE, incluida su adaptación a tu uso (puedes oponerte en cualquier momento); consentimiento (a) para la ubicación precisa.
Tus derechos: acceso, rectificación, supresión, limitación del tratamiento, portabilidad de los datos, oposición (incluida la oposición al marketing directo, en cualquier momento), retirada del consentimiento en cualquier momento sin que ello afecte al tratamiento anterior, y no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o te afecte significativamente de modo similar. El filtrado del Servicio no produce tales efectos: las decisiones críticas y las preguntas siempre llegan a una persona.
Cómo ejercerlos: escribe a [email protected]. Responderemos en el plazo de un mes, prorrogable en los términos permitidos por el GDPR.
Reclamaciones: puedes presentar una reclamación ante la autoridad de protección de datos de tu país de residencia o de trabajo, o del lugar de la supuesta infracción.
Transferencias: tus datos se tratan fuera de tu país (sección 7), con cláusulas contractuales tipo o decisiones de adecuación como garantías. Puedes solicitar una copia de las garantías a [email protected].
Retención: según lo indicado en la sección 8.

14. Instancias dedicadas y autoalojadas

Cuando una empresa opera su propia instalación de notific.me (dedicada o autoalojada), es responsable de los datos tratados en ella, y esta Política no se aplica a ese tratamiento. El relay de push de notific.me, que esas instalaciones usan para despertar la aplicación, recibe solo un sobre con identificadores, sin el contenido de las notificaciones.

15. Cambios en esta Política

Podemos actualizar esta Política. La versión vigente siempre está publicada, con su fecha y su historial de versiones. Los cambios sustanciales se anunciarán por correo electrónico o dentro del Servicio antes de que entren en vigor. Esta Política está redactada en inglés; podemos publicar traducciones, incluidas al portugués de Brasil y al español. En caso de conflicto, prevalece la versión en inglés, salvo cuando una ley imperativa exija que prevalezca la versión en el idioma del titular.

16. Contacto


Responsable del tratamiento	IDIE CONSULTING TECHNOLOGY LTDA, CNPJ 63.210.794/0001-38
Dirección	Rua Pais Leme, 215, conjunto 1713, Pinheiros, São Paulo, SP, 05424-150, Brasil
Delegado de protección de datos	IDIE es un agente de tratamiento de pequeño porte y, conforme al artículo 11 de la Resolución CD/ANPD n.º 2/2022, no designa un delegado de protección de datos. Nuestro canal para los titulares y las autoridades es [email protected]
Canal de privacidad	[email protected]