1. Introducción

AuditRails Inc. ("AuditRails", "nosotros") se compromete a proteger su privacidad. Esta política cubre dos categorías de datos: (a) los datos sobre usted como visitante o cliente de auditrails.io, y (b) los datos de registros de auditoría que envía a través de nuestro Servicio como cliente.

2. Datos que Recopilamos

2.1 Datos de la Cuenta

Cuando crea una cuenta, recopilamos:

Nombre y dirección de correo electrónico
Nombre de la organización
Información de facturación (procesada por Stripe; no almacenamos los números de tarjeta)
Dirección IP e información del navegador

2.2 Datos de Registros de Auditoría (Datos del Cliente)

Como encargado del tratamiento, recibimos y almacenamos los eventos de registro de auditoría que sus aplicaciones envían a través de nuestra API. Estos datos pueden incluir nombres de acciones, identificadores de actores, identificadores de recursos y los metadatos que usted decida incluir. Tratamos estos datos únicamente para prestar el Servicio.

2.3 Datos de Uso

Recopilamos análisis de uso anonimizados: páginas visitadas, funciones utilizadas, volúmenes de llamadas a la API. Utilizamos herramientas de analítica respetuosas con la privacidad (sin seguimiento entre sitios).

3. Cómo Utilizamos sus Datos

Prestación del Servicio: Procesar y almacenar registros de auditoría, y dar soporte a la búsqueda y los paneles
Gestión de la cuenta: Autenticación, facturación, soporte
Mejora del Servicio: Patrones de uso anonimizados para mejorar las funciones
Comunicación: Actualizaciones del Servicio, alertas de seguridad, avisos de facturación
Cumplimiento legal: Responder a solicitudes legales de las autoridades

4. Tratamiento de Datos (RGPD)

Cuando utiliza AuditRails para almacenar registros de auditoría, actuamos como encargado del tratamiento conforme al RGPD. Usted es el responsable del tratamiento. Nuestras actividades de tratamiento se rigen por nuestro Acuerdo de Tratamiento de Datos (DPA), disponible en auditrails.io/dpa.

Bases legales de nuestro tratamiento:

Ejecución del contrato: Tratamiento necesario para prestar el Servicio
Interés legítimo: Mejora del Servicio, seguridad, prevención del fraude
Consentimiento: Comunicaciones de marketing (solo con consentimiento previo)

5. Compartición de Datos

Solo compartimos datos con:

AWS: Almacenamiento de registros de auditoría y cola de mensajes (S3, SQS)
Stripe: Procesamiento de pagos
MaxMind: Consultas de geolocalización IP (solo direcciones IP)

No vendemos sus datos. No utilizamos sus datos con fines publicitarios.

6. Conservación de Datos

Datos de la cuenta: Se conservan mientras su cuenta esté activa, más 30 días tras su eliminación
Datos de registros de auditoría: Se conservan conforme a su plan de suscripción y a los frameworks de cumplimiento que tenga habilitados; consulte nuestra página de precios para conocer los plazos de conservación vigentes
Análisis de uso: Se conservan durante 12 meses de forma anonimizada

7. Sus Derechos

Conforme al RGPD y a las leyes de privacidad aplicables, usted tiene derecho a:

Acceso: Solicitar una copia de sus datos personales
Rectificación: Corregir datos inexactos
Supresión: Solicitar la eliminación de sus datos (sujeto a las obligaciones de conservación)
Portabilidad: Exportar sus datos en un formato legible por máquina
Oposición: Oponerse al tratamiento basado en el interés legítimo
Limitación: Solicitar la limitación del tratamiento

Para ejercer estos derechos, contacte con privacy@auditrails.io.

8. Seguridad

Protegemos sus datos mediante:

Cifrado en reposo (AES-256) y en tránsito (TLS 1.3)
Hash de las API key (SHA-256; las claves en texto plano nunca se almacenan)
Aislamiento de datos multi-tenant en todas las capas
Almacenamiento WORM (S3 Object Lock) para garantizar la inmutabilidad de los registros de auditoría
Controles de acceso y registro de auditoría de nuestros propios sistemas

9. Transferencias Internacionales

Los datos se procesan por defecto en AWS US (us-east-1). Los clientes empresariales pueden optar por un procesamiento exclusivamente en la UE (eu-west-1). Las transferencias internacionales se rigen por las Cláusulas Contractuales Tipo de la UE incorporadas en nuestro DPA.

10. Menores

AuditRails es un servicio B2B no dirigido a personas menores de 16 años. No recopilamos conscientemente datos personales de menores.

11. Cambios

Podemos actualizar esta Política de Privacidad con un aviso previo de 30 días. Los cambios sustanciales se comunican por correo electrónico a los titulares de las cuentas.

12. Contacto

Delegado de Protección de Datos: privacy@auditrails.io
AuditRails Inc., Wilmington, Delaware, EE. UU.