Política de Privacidad de ArchGenerator

1. Alcance y empresa responsable

DSTRATEGY LLC, con domicilio en 13809 Research Blvd. Suite 500 Room 575 Austin, TX 78750 - USA, opera ArchGenerator y es responsable de la información personal descrita en esta Política. «Nosotros» se refiere a DSTRATEGY LLC.

Este aviso global se aplica a la oferta de DSTRATEGY LLC fuera de Brasil. En relación con la oferta brasileña, DSTRATEGY LLC actúa exclusivamente como licenciante de tecnología. Ese papel de licenciante no comprende la prestación de servicios operativos ni la recepción o el acceso a datos de los clientes brasileños. La Política de Privacidad para Brasil se aplica a esa oferta e identifica a su entidad responsable. Elegir un idioma no cambia la empresa indicada en su pedido ni elimina las protecciones de la legislación aplicable.

Determinamos los fines de la administración de cuentas, la facturación y la seguridad. Respecto de la información personal tratada únicamente siguiendo las instrucciones de análisis de un cliente empresarial, podemos actuar como su encargado del tratamiento, según la actividad y la legislación aplicable. Este aviso no sustituye un acuerdo de tratamiento de datos cuando sea obligatorio.

Consultas y solicitudes de privacidad: [email protected].

2. El código fuente se procesa sin retención

El código fuente se procesa exclusivamente en memoria volátil y aislada, dentro de un entorno de análisis efímero. El código nunca se escribe en discos persistentes, bases de datos, almacenamiento de objetos, cachés persistentes, copias de seguridad, instantáneas, registros del sistema, solicitudes de soporte ni otros repositorios persistentes. Cuando el procesamiento finaliza, se cancela o falla, el código se descarta inmediatamente y se destruye el entorno. No existe un período adicional de retención de código tras una interrupción.

Los informes contienen hallazgos, rutas, referencias a líneas, dependencias y métricas, nunca fragmentos literales de código. Los informes, los metadatos estructurales y la demás información conservada no podrán contener código fuente literal ni representaciones que permitan reconstruirlo. Los resultados pueden seguir conteniendo información confidencial o personal y se protegen en consecuencia.

Nunca utilizamos su código fuente para entrenar ni mejorar modelos de inteligencia artificial o aprendizaje automático. No damos acceso a él a terceros, socios ni subencargados del tratamiento. La prohibición de entrenamiento también abarca toda la demás información recibida de los clientes o generada a partir de ella, conforme a las Secciones 2 y 5. Los proveedores reciben únicamente la información limitada que no es código y que necesitan para prestar sus servicios.

Para el análisis solicitado, podemos enviar información limitada que no sea código a modelos de IA y a sus proveedores, como el contexto técnico, los metadatos estructurales y los hallazgos necesarios. Los datos de entrada deben excluir el código literal, las representaciones que permitan reconstruirlo, las credenciales de acceso y los secretos innecesarios. Este tratamiento se destina exclusivamente al servicio solicitado. No utilizaremos ni permitiremos que nuestros prestadores utilicen información recibida de los clientes o generada a partir de ella, incluidos datos personales, contexto técnico, informes, metadatos y resultados intermedios, para entrenamiento, ajuste fino o mejora de modelos de inteligencia artificial o aprendizaje automático ni para explotación independiente. Utilizar un modelo para producir el análisis solicitado no autoriza el entrenamiento. La conservación de información que no es código sigue la Sección 6.

La información que no es código no es necesariamente anónima. Según su contenido, puede incluir información personal o confidencial y debe recibir las garantías de confidencialidad, seguridad y protección de datos aplicables, incluida una base jurídica adecuada cuando sea necesaria.

Los tokens temporales de acceso al repositorio caducan o se revocan después del procesamiento autorizado. Una integración continua puede requerir que las credenciales sigan disponibles de forma segura únicamente durante el período y dentro del alcance autorizados, según la configuración de la conexión o el servicio contratado. Esas credenciales no son código retenido. Puede revocar directamente la autorización con efecto inmediato sobre el acceso afectado, conforme a la Sección 6.

Los informes, las métricas y los metadatos estructurales puestos a disposición del cliente se conservan en la instancia de base de datos asociada al cliente para su consulta y utilización del servicio, conforme a los criterios de la Sección 6. No contienen código literal ni representaciones que permitan reconstruirlo. Conservar resultados es distinto del procesamiento temporal del código y de la conservación de datos de cuenta y registros administrativos.

3. Información, fuentes y finalidades

Las fuentes son usted, el administrador de su cuenta, las integraciones autorizadas con repositorios, los proveedores de pagos y las interacciones con la Plataforma. La recopilación se limita a la finalidad pertinente.

También utilizamos métricas agregadas y efectivamente anonimizadas para la evaluación estadística y la mejora del servicio. No deben identificar a una persona, cliente u organización, ni al código de un cliente; permitir reconstruir el código; ni revelar información confidencial o secretos empresariales. No intentaremos reidentificar personas a partir de estas métricas. Sustituir un nombre por un identificador no convierte por sí solo la información en anónima: si la identificación sigue siendo razonablemente posible, se aplican las reglas de protección de datos. La evaluación estadística y la mejora del servicio no autorizan el entrenamiento ni el ajuste fino de modelos de IA con información recibida de los clientes o generada a partir de ella. No utilizaremos datos identificables ni información confidencial para comparar clientes.

No vendemos ni alquilamos información personal, no la utilizamos para publicidad dirigida, no la compartimos para publicidad conductual entre distintos contextos ni elaboramos perfiles para tomar decisiones que produzcan efectos jurídicos o de importancia similar sobre las personas.

4. Bases jurídicas cuando sean necesarias

Las siguientes bases se refieren al tratamiento en el que actuamos como responsables. Cuando actuamos como encargados o subencargados del tratamiento, seguimos instrucciones lícitas y documentadas. Un cliente que sea responsable del tratamiento determina las finalidades y la base jurídica pertinentes; un cliente que actúe a su vez como encargado debe transmitir las instrucciones autorizadas del responsable del tratamiento.

Conforme al RGPD o al RGPD del Reino Unido, cuando sean aplicables, la gestión de la cuenta y los servicios solicitados se basan en un contrato con la persona o en medidas precontractuales solicitadas por ella. Los registros obligatorios pueden basarse en obligaciones legales reconocidas por el marco aplicable: el Derecho de la Unión Europea o de un Estado miembro en el caso del RGPD, y el Derecho del Reino Unido en el caso del RGPD del Reino Unido.

La seguridad, la prevención del fraude y la gestión de la relación con representantes de empresas pueden basarse en intereses legítimos, tras considerar los derechos y las expectativas razonables de las personas. Utilizamos el consentimiento cuando es necesario; puede retirarse sin afectar a la licitud del tratamiento realizado anteriormente. Aceptar los Términos no constituye consentimiento para usos ajenos a esos fines.

No solicitamos información personal sensible para las cuentas ordinarias. Evite incluir información personal innecesaria en el material enviado. Si aparece en el código, se aplican las reglas de ausencia de retención y deben atenderse los requisitos legales adicionales antes del procesamiento.

5. Comunicación limitada de información que no es código

Solo comunicamos información que no es código en la medida necesaria para las finalidades descritas aquí, incluidos los proveedores que prestan apoyo en las siguientes funciones:

DSTRATEGY LLC responde de la selección de los prestadores que utiliza y del cumplimiento de sus propias obligaciones al prestar el servicio. Los prestadores están sujetos a las restricciones de finalidad, confidencialidad, seguridad, protección de datos y prohibición de entrenamiento aplicables a su actividad. Sus obligaciones y funciones dependen del tratamiento realizado; no todo destinatario actúa necesariamente como encargado. Contratar prestadores no elimina los derechos de las personas ni las responsabilidades que la legislación aplicable atribuye a cada parte. Ningún proveedor recibe acceso al código. Identificaremos las categorías adicionales pertinentes si cambia el tratamiento real.

Esta Política presenta los prestadores por categorías y funciones. Puede obtener información sobre las entidades con las que se haya compartido su información personal, sus finalidades y los países de tratamiento a través de [email protected]. La protección de secretos empresariales o detalles internos de la arquitectura no se utilizará para impedir el ejercicio de esos derechos. La información cuya divulgación pública o directa exija la legislación aplicable se facilitará en la forma exigida, independientemente de una solicitud.

Podemos comunicar los registros necesarios que no contengan código para cumplir una obligación legal vinculante o proteger derechos mediante un procedimiento legalmente permitido. Esa comunicación se limita a lo exigido o justificado. Esta disposición no establece un derecho a conservar código fuente.

6. Conservación, revocación y eliminación

Los contenidos y resultados técnicos conservados para la consulta y utilización del cliente se encuentran en la instancia de base de datos asociada al cliente. Incluyen la información que este visualiza y utiliza en el servicio, como informes, hallazgos, métricas y metadatos. El cliente puede eliminarlos mediante los controles disponibles en la Plataforma. La eliminación definitiva de esos datos en la instancia asociada se completa en un máximo de 24 horas corridas desde que el cliente los elimina. El cierre de la cuenta por el cliente inicia el mismo plazo para los contenidos y resultados que aún existan en esa instancia. Durante ese intervalo, el contenido eliminado no se reutilizará para nuevos análisis ni finalidades.

El plazo de 24 horas se refiere al contenido sin código de la instancia de base de datos asociada al cliente. No modifica el descarte inmediato del código al terminar o interrumpirse el procesamiento. Los registros administrativos, fiscales, de seguridad y legalmente necesarios siguen los criterios específicos siguientes y no podrán utilizarse para conservar indebidamente contenido técnico eliminado.

El contexto técnico, los resúmenes y los demás artefactos intermedios no reciben una autorización independiente de conservación por derivarse de un análisis. Su conservación por ArchGenerator debe corresponder al contenido o resultado puesto a disposición del cliente y a la finalidad informada. La conservación de información recibida por prestadores debe respetar la necesidad del servicio, las instrucciones aplicables, las restricciones de la Sección 5 y las obligaciones legales. La prohibición de entrenamiento no significa por sí sola retención cero en los sistemas de los prestadores. La información sobre la forma y la duración del tratamiento se facilitará conforme a las Secciones 5, 8 y 9.

El cliente puede revocar directamente las autorizaciones de integración, con efecto inmediato sobre el acceso afectado, impidiendo nuevas lecturas y análisis dentro de ese alcance. Los procesamientos en curso que dependan de la autorización revocada finalizarán sin demora injustificada, con descarte inmediato del código al finalizar. La conexión informa de los medios de revocación. Las credenciales persistentes se desactivarán al revocarse; los tokens temporales se revocarán o caducarán según la modalidad de conexión. La revocación no elimina informes ya terminados ni cancela la suscripción; el cliente puede utilizar los medios independientes para solicitar también esas actuaciones.

Las solicitudes de las personas relativas a información personal se atenderán conforme a las condiciones y plazos legales aplicables, tras verificaciones proporcionales de identidad y legitimidad cuando sean necesarias. El plazo operativo de eliminación por el cliente no reduce los derechos de las personas. Cuando la conservación sea obligatoria o necesaria para una finalidad legal específica, explicaremos la justificación cuando esté permitido y restringiremos el uso a lo estrictamente necesario. Esos registros se eliminarán cuando termine la obligación. Esto no autoriza conservar código fuente.

Tras la eliminación de los sistemas activos, las copias residuales de seguridad siguen el ciclo programado de caducidad o sustitución de la copia correspondiente. El plazo de 24 horas para la instancia de base de datos asociada al cliente no fija por sí solo el plazo de caducidad de esas copias. Las copias de seguridad permanecen con acceso restringido, destinadas exclusivamente a la recuperación ante desastres y a la integridad de las operaciones de restauración. El contenido eliminado no volverá al uso ordinario; cualquier restauración deberá volver a aplicar las eliminaciones antes de reanudar el tratamiento ordinario. Las personas podrán obtener información sobre el ciclo aplicable a sus datos a través del canal de privacidad. Ninguna copia de seguridad contendrá código fuente.

Las reglas de eliminación de los entornos administrados por ArchGenerator no borran copias que los propios clientes hayan exportado y conserven de forma independiente.

Utilice los controles disponibles o nuestro correo de privacidad para eliminar informes o cerrar la cuenta. Cancelar la suscripción detiene la renovación y no elimina automáticamente la cuenta, los resultados ni las integraciones. La eliminación por el cliente mediante los controles de la Plataforma inicia el plazo operativo descrito anteriormente; las demás solicitudes sobre información personal siguen las reglas legales aplicables.

7. Seguridad

Utilizamos TLS 1.3 para los datos en tránsito y AES-256 para los datos conservados en reposo, junto con entornos de análisis aislados, controles de acceso basados en funciones, supervisión continua de intrusiones y revisiones periódicas de seguridad. El cifrado de datos conservados se aplica a la información permitida que no es código; no implica que se almacene código fuente cifrado. El acceso se limita conforme a las responsabilidades asignadas. Ninguna medida técnica elimina todos los riesgos de seguridad.

Mantenemos registros de eventos pertinentes para la seguridad y la acreditación de las operaciones, incluidos accesos, autorizaciones, revocaciones y finalización de las ejecuciones. Esos registros no contienen código fuente, representaciones que permitan reconstruirlo ni credenciales en texto abierto, y siguen los criterios de necesidad y conservación de esta Política. Las medidas de seguridad no eliminan nuestras obligaciones legales de protección y respuesta.

8. Tratamiento internacional

La información que no es código puede tratarse fuera de su país, bajo leyes de privacidad diferentes. Nos comprometemos a establecer un mecanismo jurídico válido antes de realizar cualquier transferencia internacional para la que la legislación aplicable lo exija.

Para las transferencias sujetas al RGPD, debemos utilizar un mecanismo reconocido por sus normas sobre transferencias internacionales. Para las transferencias sujetas al RGPD del Reino Unido, debemos cumplir los requisitos correspondientes del Reino Unido. Las demás transferencias reguladas deben cumplir los requisitos de la jurisdicción que las rija. Cuando sea obligatorio, debemos evaluar la transferencia e implantar garantías adicionales antes de realizarla.

El mecanismo debe ser válido para el destino, el destinatario, la información y la finalidad reales. La ubicación de un proveedor o sus medidas generales de seguridad, por sí solas, no establecen un mecanismo de transferencia lícito.

Puede solicitar información sobre los destinos del tratamiento, los destinatarios y los mecanismos aplicables a su información, incluido el acceso a las garantías pertinentes cuando lo exija la ley, a través de [email protected]. También facilitaremos cualquier información que deba comunicarse directamente o hacerse pública en la forma prescrita por la legislación aplicable.

9. Ejercicio de los derechos de privacidad

Escriba a [email protected] para ejercer los derechos aplicables. No es necesario crear una cuenta. Podemos solicitar una verificación proporcionada de su identidad o facultades de representación, pero nunca código fuente.

Pueden aplicarse condiciones y excepciones legales. Explicamos las denegaciones y los recursos disponibles, sin discriminación ilícita. Las solicitudes relativas a información bajo la responsabilidad de su organización pueden requerir su participación.

9.1. Residentes de Texas

Cuando la Texas Data Privacy and Security Act se aplique a nuestro tratamiento, una persona residente en Texas que actúe a título individual o doméstico puede confirmar el tratamiento, acceder a sus datos personales, corregir inexactitudes, eliminar los datos personales comprendidos por la ley y obtener una copia portátil cuando corresponda. La definición de consumidor de esa ley excluye a las personas que actúan en un contexto comercial o laboral.

Los consumidores amparados pueden oponerse a la venta de datos, la publicidad dirigida y la elaboración de perfiles para decisiones que produzcan efectos jurídicos o de importancia similar. No realizamos esas actividades. Un representante autorizado puede presentar una solicitud de exclusión mediante un método legalmente reconocido, sujeto a las reglas de autorización y verificación de esa ley.

Respondemos sin demora indebida y dentro de 45 días naturales. Cuando sea razonablemente necesario, podemos ampliar ese plazo una sola vez por otros 45 días naturales, informándole de la ampliación y sus motivos dentro del plazo inicial. Las solicitudes se atienden gratuitamente en la medida exigida por la ley.

Puede recurrir una denegación escribiendo a nuestro correo de privacidad con el asunto «Privacy appeal». Facilitamos una decisión por escrito y su explicación dentro de los 60 días siguientes a la recepción del recurso. Si se deniega, puede presentar una reclamación ante el Fiscal General de Texas.

9.2. Espacio Económico Europeo y Reino Unido

Cuando se apliquen el RGPD o el RGPD del Reino Unido, los derechos incluyen acceso, rectificación, supresión, limitación del tratamiento, portabilidad, retirada del consentimiento, oposición —incluido el tratamiento basado en intereses legítimos y la mercadotecnia directa— y las protecciones aplicables frente a decisiones automatizadas. Se aplican las condiciones y excepciones legales. Puede presentar una reclamación ante la autoridad de control competente del EEE o la Information Commissioner's Office del Reino Unido.

Respondemos sin demora indebida y, por regla general, dentro de un mes natural. Cuando esté permitido por la complejidad o el número de solicitudes, ese plazo puede ampliarse por otros dos meses; se lo notificamos y explicamos el motivo dentro del primer mes. Puede solicitar información sobre las garantías aplicables a las transferencias internacionales a través de nuestro correo de privacidad.

Cuando la legislación aplicable exija un representante en el EEE o en el Reino Unido, debemos designarlo por escrito y divulgar su identidad y sus datos de contacto según lo exigido. Debemos cumplir esas obligaciones antes de realizar tratamientos para los que sea obligatoria la representación. Nuestro correo de privacidad no sustituye a un representante local legalmente obligatorio.

9.3. Otras jurisdicciones aplicables

Otras jurisdicciones pueden reconocer derechos, plazos de respuesta o procedimientos de reclamación adicionales o diferentes. Aplicamos los requisitos que rijan para el tratamiento y la persona concretos; mencionar los derechos de Texas no convierte esa ley en la única norma de privacidad aplicable. Cuando la legislación de privacidad de California resulte aplicable a nuestro tratamiento, siguen disponibles sus derechos a saber, acceder, corregir, eliminar, obtener la portabilidad, actuar mediante un representante autorizado y ejercer las opciones aplicables sobre venta, comunicación o información sensible.

Cuando se aplique la LGPD de Brasil, puede solicitar confirmación, acceso, corrección, la portabilidad legalmente disponible, anonimización, bloqueo o eliminación de datos innecesarios o tratados ilícitamente, e información sobre comunicación de datos y opciones de consentimiento. Puede retirar el consentimiento, solicitar la eliminación de datos tratados con consentimiento, con las excepciones legales, oponerse al tratamiento contrario a la ley, solicitar la revisión de decisiones automatizadas comprendidas por la norma y presentar una petición ante la ANPD. La confirmación y el acceso se facilitan inmediatamente en formato simplificado o mediante una declaración completa dentro de los 15 días siguientes a la solicitud. Ese plazo no se aplica automáticamente a todos los demás derechos.

10. Cookies

Las cookies de sesión mantienen la autenticación y duran lo mismo que la sesión del navegador. Las cookies de preferencias conservan el idioma y la configuración durante un máximo de 12 meses. No utilizamos cookies publicitarias o de seguimiento ni cookies de análisis de terceros que identifiquen individualmente a los usuarios. Cuando la legislación local exige consentimiento para una cookie de preferencias, lo obtenemos antes de instalarla. Los controles del navegador pueden limitar las cookies, aunque desactivar las cookies de sesión necesarias puede impedir el inicio de sesión.

11. Menores e incidentes

La Plataforma no está destinada a menores de 18 años. No recopilamos deliberadamente su información personal. Si la identificamos, la eliminaremos sin demora; sus padres o tutores pueden ponerse en contacto con nuestro correo de privacidad.

Comunicaremos al cliente, sin demora injustificada y dentro de 24 horas corridas desde que tengamos conocimiento, los incidentes de seguridad que afecten a sus datos o información confidencial, incluida información que no sea personal. Cuando actuemos como encargados o subencargados del tratamiento, informaremos al cliente que haya transmitido las instrucciones de tratamiento y cooperaremos con el responsable correspondiente. La comunicación inicial utilizará la información disponible y podrá complementarse sin esperar a que concluya la investigación.

Investigamos los incidentes, adoptamos medidas de contención y realizamos las notificaciones legalmente exigidas cuando actuamos como responsables del tratamiento. En Estados Unidos, las normas estatales aplicables sobre notificación de brechas de seguridad determinan las obligaciones y los plazos. Cuando las normas brasileñas se apliquen a un incidente de datos personales sujeto a comunicación, la regla de la ANPD exige notificar a la autoridad y a las personas afectadas dentro de los tres días hábiles siguientes al conocimiento del responsable de que el incidente afectó a datos personales, con sujeción a las condiciones de esa regla y a cualquier plazo legal específico. El plazo de una jurisdicción no sustituye otra obligación aplicable. Un plazo regulatorio diferente no amplía el compromiso contractual de avisar al cliente dentro de 24 horas.

Las comunicaciones describirán los hechos conocidos, las categorías de datos afectadas, los posibles impactos, las medidas de contención y los canales de contacto pertinentes. Adoptaremos las medidas necesarias para contener el incidente, mitigar sus efectos y prevenir su repetición, facilitando actualizaciones relevantes a los destinatarios. Conservaremos los registros necesarios para la investigación y el cumplimiento legal, sin retener código fuente.

12. Cambios y contacto

Los cambios sustanciales se comunican por correo electrónico o mediante un aviso en la Plataforma al menos 15 días antes de su entrada en vigor, sujeto a cualquier plazo mayor exigido por la ley. Obtenemos el consentimiento cuando un nuevo uso lo requiere. La fecha de publicación identifica la versión puesta a disposición; los cambios sustanciales siguen los plazos de aviso descritos anteriormente.

DSTRATEGY LLC 13809 Research Blvd. Suite 500 Room 575 Austin, TX 78750 - USA Contacto de privacidad: [email protected].

DSTRATEGY LLC es responsable del canal de privacidad. Por ese canal recibimos solicitudes de las personas, facilitamos aclaraciones, tramitamos las actuaciones pertinentes y atendemos comunicaciones de las autoridades. El canal puede utilizarse con independencia de que se haya designado un delegado de protección de datos. Cuando la legislación aplicable exija esa designación, su identidad y sus datos de contacto se divulgarán de forma pública y accesible; identificar a la empresa como responsable del canal no sustituye esa designación. Cualquier representante local legalmente obligatorio sigue sujeto a la Sección 9.2.