Informações legais

Entidade contratante: DESIGN STRATEGY TREINAMENTOS E CONSULTORIA LTDA.

Regime jurídico: br · Versão 1.0 br-2026-10-22-r4

Vigência: 25/09/2026

Política de Privacidade do ArchGenerator

1. Responsável e alcance

Esta Política descreve como a operação brasileira do ArchGenerator trata dados pessoais de visitantes, Clientes, Usuários e outras pessoas cujas informações sejam recebidas na prestação do serviço.

A responsável é DESIGN STRATEGY TREINAMENTOS E CONSULTORIA LTDA., nome fantasia Design Strategy, CNPJ 57.215.461/0001-07, com sede na Rua Pais Leme, nº 215, Conjunto 1713, 17º andar, Pinheiros, São Paulo/SP, CEP 05424-150.

A empresa brasileira distribui o ArchGenerator no Brasil e responde pelo tratamento descrito nesta Política, conforme sua atuação como controladora, operadora ou suboperadora. A relação comercial de distribuição e licenciamento não autoriza, por si só, o compartilhamento de dados dos Clientes com a empresa americana.

Aplicamos a Lei Geral de Proteção de Dados Pessoais (LGPD), o Marco Civil da Internet e as demais normas pertinentes. A escolha do idioma da interface não muda a entidade que trata os dados nem afasta a aplicação dessas normas. A operação internacional da DSTRATEGY LLC possui política própria e é independente da operação brasileira. Em relação à operação brasileira, a DSTRATEGY LLC atua exclusivamente como licenciante da tecnologia, sem prestar serviços operacionais ou receber ou acessar dados dos Clientes dessa operação.

Esta Política explica o tratamento associado ao serviço desde a criação da conta e eventual avaliação até a assinatura paga. Suas garantias não dependem da negociação de um contrato comercial separado. A leitura ou ciência desta Política não constitui consentimento genérico: quando for necessário consentimento específico, ele será solicitado separadamente. Condições particulares não poderão autorizar finalidades não informadas nem eliminar os compromissos aqui estabelecidos.

2. Retenção zero de código

O código-fonte é acessado temporariamente em memória volátil, em ambiente isolado e descartável, somente durante a análise solicitada. Encerrado o processamento, inclusive por cancelamento ou falha, o ambiente é destruído e o código é imediatamente descartado.

Não armazenamos código em disco, banco de dados, armazenamento de objetos, backups, snapshots ou outro meio persistente. Não registramos conteúdo do código em logs, e os laudos não reproduzem trechos literais. A arquitetura é projetada sem caminho de persistência do código após a execução.

Não utilizamos código para treinar modelos de inteligência artificial ou aprendizado de máquina e não compartilhamos acesso ao código com terceiros, parceiros ou subprocessadores. A proibição de treinamento também abrange as demais informações recebidas do Cliente ou geradas a partir delas, nos termos da seção 7.

Os laudos, as métricas e os metadados estruturais disponibilizados ao Cliente permanecem na instância de banco de dados associada a ele, para consulta e utilização no serviço, conforme os critérios da seção 9. Não contêm código literal nem representações que permitam reconstruí-lo. A retenção dos resultados é distinta do processamento temporário do código.

3. Dados pessoais tratados

As fontes incluem o próprio Usuário, o administrador da conta, os materiais e as integrações autorizados pelo Cliente, os prestadores de pagamentos e as interações com a Plataforma. Conforme a funcionalidade utilizada, os materiais podem incluir informações de repositórios, esquemas de bancos de dados, metadados de infraestrutura, documentos de projeto, requisitos e respostas fornecidas durante os fluxos de especificação. A coleta se limita ao necessário para a finalidade correspondente. As regras de retenção zero do código se aplicam independentemente da funcionalidade ou do canal de entrada.

Conforme a interação e os recursos utilizados, tratamos as seguintes categorias:

Categoria	Exemplos e finalidade principal
Cadastro e contato	Nome, e-mail, organização e informações de atendimento, para identificar Usuários e responder solicitações.
Conta e autorizações	Identificador, permissões, vínculo com a organização e histórico de serviços, para administrar acessos.
Contratação e cobrança	Identificação fiscal, plano, pedidos, pagamentos e comprovantes, para executar e documentar a contratação. Não armazenamos dados completos de cartões.
Integrações	URL de repositório, identificadores e credenciais da conexão autorizada, para executar o serviço solicitado.
Uso e segurança	IP, data e hora de acesso, eventos de autenticação e identificadores legalmente exigidos, para proteger a Plataforma e cumprir obrigações de registros.
Resultados da análise	Nomes de arquivos, contagens de linhas, métricas, grafos, achados e laudos, para apresentar e disponibilizar resultados, sem código literal.
Contexto do serviço e documentos	Informações descritivas sobre projetos, documentos, requisitos, problemas e respostas dos Usuários, na medida necessária aos diagnósticos, às recomendações e à elaboração de especificações, inclusive com apoio de inteligência artificial.
Especificações e decisões	Decisões arquitetônicas, critérios de aceite, orientações de testes e artefatos SDD, para apoiar correções e evolução do produto, manter o histórico disponibilizado ao Cliente e permitir a consulta e exportação dos resultados. Não incluem código-fonte literal nem representações que permitam reconstruí-lo.
Informações presentes nos materiais	Nomes, e-mails de autores ou outros dados pessoais eventualmente incluídos pelo Cliente, durante o processamento autorizado.

O código não é necessariamente dado pessoal, mas pode conter informações sobre pessoas. O processamento temporário dessas informações continua sujeito à LGPD. Metadados e resultados também serão protegidos como dados pessoais quando permitirem identificar alguém.

4. Finalidades e fundamentos legais

Tratamos dados para prestar e administrar o serviço; elaborar diagnósticos, laudos, recomendações de remediação e especificações de correções e evolução, inclusive kits SDD e apoio de inteligência artificial; autenticar acessos; processar cobranças; responder solicitações; enviar comunicações operacionais; prevenir fraudes; e cumprir obrigações legais.

Operação	Fundamento e condições
Contratação com o próprio titular e providências por ele solicitadas	Execução de contrato ou procedimentos preliminares, quando atendidos os requisitos do art. 7º, V, da LGPD.
Administração de representantes e Usuários de empresas clientes	Legítimo interesse, quando necessário e proporcional, mediante avaliação de impacto sobre os direitos do titular. O contrato com a empresa não fundamenta automaticamente todo tratamento de seus empregados.
Segurança, autenticação e prevenção de abuso	Legítimo interesse, quando atendidos seus requisitos, e cumprimento de obrigações legais quando pertinente.
Documentação fiscal e registros obrigatórios	Cumprimento de obrigação legal ou regulatória, conforme a informação e a finalidade.
Defesa em processos	Exercício regular de direitos, restrito ao necessário para a controvérsia.
Atividades facultativas que dependam de consentimento	Consentimento específico, informado e revogável, sem condicionamento de funcionalidades independentes dessa atividade.

Dados recebidos nos materiais de um Cliente são tratados conforme suas instruções lícitas e a base legal aplicável à operação. Dados sensíveis não serão tratados com fundamento apenas em legítimo interesse; quando admitidos e necessários, dependerão de hipótese legal própria e de condições adequadas.

5. Controladora e operadora

Atuamos como controladora quando determinamos finalidades e meios essenciais, como na administração de contas, faturamento, atendimento e segurança.

Quando processamos dados pessoais contidos nos materiais exclusivamente sob instruções do Cliente, atuamos como operadora ou suboperadora, conforme a relação contratual. Se o Cliente for controlador, deverá definir as finalidades, o fundamento legal e as instruções pertinentes. Se for operador, deverá transmitir as instruções lícitas e documentadas do controlador responsável. Permanecemos responsáveis pelas obrigações que a legislação atribui à nossa atuação.

Se recebermos solicitação relacionada a dados tratados sob instruções de um Cliente, auxiliaremos no encaminhamento ao controlador responsável e no atendimento cabível.

6. Métricas e melhoria do serviço

Podemos utilizar métricas agregadas e efetivamente anonimizadas para avaliar e melhorar a Plataforma. Elas não poderão identificar pessoas ou Clientes, revelar informações confidenciais ou conter conteúdo que permita reconstruir o código.

Não tentaremos reidentificar pessoas a partir dessas métricas. A retirada de um nome, isoladamente, não torna a informação anônima: se a identificação continuar razoavelmente possível, aplicaremos as regras de proteção de dados pessoais. A avaliação estatística e a melhoria do serviço não autorizam treinamento ou ajuste de modelos de IA com informações recebidas dos Clientes ou geradas a partir delas. Não utilizaremos dados identificáveis ou informações confidenciais para comparar Clientes.

7. Compartilhamento e prestadores

Não vendemos, alugamos ou comercializamos dados pessoais e não os compartilhamos para publicidade comportamental. Não submetemos Usuários a decisões exclusivamente automatizadas com efeitos jurídicos ou similarmente significativos.

Podemos compartilhar dados permitidos, limitados ao necessário, com prestadores de hospedagem e infraestrutura, autenticação, pagamentos, comunicação transacional e serviços de inteligência artificial. Esse compartilhamento não inclui acesso ao código-fonte.

Para executar as análises solicitadas, poderão ser enviados a modelos e provedores de inteligência artificial dados como contexto técnico, métricas, metadados e achados, limitados ao necessário. Não serão enviados código-fonte integral, trechos literais ou representações que permitam reconstruí-lo. Credenciais e outras informações desnecessárias ao processamento não deverão integrar o conteúdo enviado.

Esses dados não serão considerados automaticamente anônimos. Se contiverem informações sobre pessoas identificadas ou identificáveis, serão tratados conforme as finalidades, os fundamentos legais e as medidas de proteção desta Política. O envio destina-se exclusivamente à prestação do serviço solicitado. Não utilizaremos nem permitiremos que nossos prestadores utilizem informações recebidas dos Clientes ou geradas a partir delas, incluindo dados pessoais, contexto técnico, laudos, metadados e resultados intermediários, para treinamento, ajuste fino ou aperfeiçoamento de modelos de inteligência artificial ou aprendizado de máquina, nem para exploração independente dessas informações. A utilização de um modelo para produzir a análise solicitada não constitui autorização para treinamento. Os critérios da seção 9 regem a conservação de informações sem código.

A Design Strategy responde pela seleção dos prestadores que utiliza e pelo cumprimento das obrigações que lhe cabem na prestação do serviço. Os prestadores estarão sujeitos às restrições de finalidade, confidencialidade, segurança, proteção de dados e vedação de treinamento aplicáveis à atividade. Obrigações e funções serão definidas conforme o tratamento realizado; nem todo destinatário atua necessariamente como operador. A contratação de prestadores não afasta os direitos dos titulares nem as responsabilidades atribuídas por lei a cada agente.

Também poderemos fornecer informações quando exigido por lei ou determinação válida de autoridade, limitando a divulgação ao necessário.

As categorias de prestadores e os dados que poderão receber, conforme a atividade necessária à prestação do serviço, são:

Serviço ou função	Dados compartilhados, limitados ao necessário e sem código-fonte
Hospedagem e infraestrutura	Dados de conta, laudos, metadados estruturais e registros técnicos permitidos.
Autenticação e controle de acesso	Identificadores de conta, e-mail e informações necessárias à autenticação e à segurança do acesso.
Processamento de pagamentos	Dados cadastrais e de faturamento, identificação fiscal, valores e situação das transações.
Comunicação transacional e atendimento	Nome, e-mail e conteúdo necessário às mensagens operacionais e ao atendimento solicitado.
Modelos e serviços de inteligência artificial	Contexto técnico, métricas, metadados e achados necessários à análise e à elaboração de recomendações, sem código-fonte ou representações que permitam reconstruí-lo.

A DSTRATEGY LLC atua exclusivamente como licenciante da tecnologia utilizada pela empresa brasileira. Não presta serviços operacionais à operação brasileira nem recebe ou acessa dados pessoais, laudos ou código-fonte dos Clientes dessa operação. O licenciamento não lhe atribui a função de controladora, operadora ou suboperadora desses dados. A empresa brasileira permanece responsável pela prestação do serviço e pelo uso dos prestadores independentes descritos nesta seção, conforme suas atribuições e os limites desta Política.

Esta Política apresenta os prestadores por categorias e funções. O titular poderá obter, pelo canal [email protected], informações sobre as entidades com as quais seus dados pessoais tenham sido compartilhados, as respectivas finalidades e os países de tratamento. A proteção de segredos comerciais e de detalhes internos da arquitetura não será utilizada para impedir o exercício desses direitos. As informações cuja divulgação pública seja obrigatória serão disponibilizadas independentemente de solicitação, na forma da legislação aplicável.

8. Transferências internacionais

Não há transferência de dados dos Clientes da operação brasileira para a DSTRATEGY LLC. Entretanto, provedores independentes de inteligência artificial poderão processar ou acessar, no exterior, os dados sem código descritos na seção 7. Quando essa disponibilização envolver dados pessoais e caracterizar transferência internacional, serão aplicadas as exigências da LGPD e da regulamentação da ANPD. A ausência de compartilhamento com a empresa americana não equivale à ausência de transferência para esses provedores.

Antes de realizar uma transferência sujeita à LGPD, a empresa deverá identificar os destinatários, os países de destino, os dados, as finalidades, a forma e a duração do tratamento e estabelecer um mecanismo jurídico válido para o fluxo. A transferência ficará limitada à prestação do serviço solicitado e não incluirá código-fonte. Os critérios de conservação da seção 9 também se aplicam aos dados transferidos.

Conforme o fluxo, o mecanismo poderá ser uma decisão de adequação da ANPD, cláusulas-padrão contratuais ou outra hipótese prevista na LGPD, desde que seus requisitos sejam efetivamente atendidos. O aceite desta Política, a localização de um servidor ou a simples menção a cláusulas-padrão não substituem a adoção válida do mecanismo necessário.

A identificação dos destinatários e países, as finalidades e as garantias efetivamente utilizadas deverão ser divulgadas na forma exigida pela regulamentação aplicável. O titular também poderá solicitar essas informações pelo canal de privacidade. Quando forem utilizadas cláusulas-padrão contratuais da ANPD, poderá solicitar cópia, observados o prazo aplicável de até 15 dias e a proteção de segredos comerciais.

9. Conservação, revogação e exclusão

Os conteúdos e resultados técnicos que conservamos para consulta e utilização pelo Cliente ficam na instância de banco de dados associada a ele. Incluem as informações que o Cliente visualiza e utiliza no serviço, como laudos, achados, métricas e metadados. Também incluem documentos de contexto, respostas, requisitos, decisões, especificações e artefatos SDD disponibilizados ao Cliente. Esses materiais podem conter dados pessoais ou informações confidenciais e recebem as proteções correspondentes. Sua conservação não autoriza reter código-fonte literal nem representações que permitam reconstruí-lo. O Cliente pode excluí-los pelos recursos disponibilizados na Plataforma. A exclusão definitiva desses dados nessa instância é concluída em até 24 horas corridas contadas da exclusão efetuada pelo Cliente. O encerramento da conta pelo Cliente inicia esse mesmo prazo para os conteúdos e resultados ainda existentes nessa instância. Durante esse intervalo, o conteúdo excluído não será reutilizado para novas análises ou finalidades.

O prazo de 24 horas refere-se ao conteúdo sem código da instância de banco de dados associada ao Cliente. Não altera o descarte imediato do código ao término ou à interrupção da execução. Registros administrativos, fiscais, de segurança e necessários ao exercício de direitos possuem os critérios específicos abaixo e não poderão ser usados para conservar indevidamente o conteúdo técnico excluído.

Categoria	Prazo ou critério
Código-fonte e representações que permitam reconstruí-lo	Somente durante o processamento temporário autorizado, sem armazenamento persistente e com descarte imediato ao término ou à interrupção da execução.
Conteúdos e resultados disponíveis ao Cliente na instância de banco de dados associada a ele	Enquanto necessários à utilização do serviço e mantidos pelo Cliente. Eliminação definitiva nessa instância em até 24 horas corridas contadas da exclusão do conteúdo ou do encerramento da conta efetuado pelo Cliente.
Dados cadastrais e administrativos	Enquanto necessários à conta e por até seis meses após seu encerramento, limitados ao necessário para segurança, atendimento e comprovação de operações. Informações dispensáveis serão eliminadas antes.
Registros de acesso à aplicação	Seis meses, conforme o Marco Civil da Internet, ressalvadas hipóteses legais de preservação por prazo maior.
Dados fiscais e de pagamento	Pelos períodos exigidos pela legislação aplicável.
Dados necessários ao exercício de direitos	Pelo prazo pertinente à finalidade, restritos ao necessário.
Registros de incidentes com dados pessoais	Pelo prazo mínimo exigido pela regulamentação da ANPD, atualmente de cinco anos, sem inclusão de código.

Contexto técnico, resumos e outros artefatos intermediários não recebem autorização autônoma de retenção por serem derivados de uma análise. Sua conservação pelo ArchGenerator deverá corresponder ao conteúdo ou resultado disponibilizado ao Cliente e à finalidade informada. A conservação de informações recebidas por prestadores deve observar a necessidade do serviço, as instruções aplicáveis, as restrições da seção 7 e as obrigações legais. A proibição de treinamento, por si só, não significa retenção zero nos sistemas dos prestadores. Informações sobre a forma e a duração do tratamento serão fornecidas na forma das seções 7, 8 e 12.

O Cliente poderá revogar diretamente as autorizações de integração, com efeito imediato sobre o acesso abrangido, impedindo novas leituras e novas análises nesse escopo. Processamentos em andamento que dependam da autorização revogada serão encerrados sem demora injustificada, com descarte imediato do código ao encerramento. Os meios de revogação serão informados na conexão. Credenciais persistentes serão desativadas quando revogadas; tokens temporários serão revogados ou expirarão conforme a modalidade. A revogação não implica exclusão dos laudos já concluídos nem cancelamento da assinatura. O Cliente poderá utilizar os meios próprios para também solicitar essas providências.

Pedidos de titulares relativos a dados pessoais serão atendidos nos prazos e condições legais, após as verificações proporcionais de identidade e legitimidade quando necessárias. O prazo operacional de exclusão pelo Cliente não reduz os direitos dos titulares. Quando a conservação for obrigatória ou necessária a uma finalidade legal específica, informaremos a justificativa quando permitido e restringiremos a utilização ao estritamente necessário. Isso não autoriza reter código-fonte.

Após a exclusão dos sistemas ativos, cópias residuais em backups seguem o ciclo programado de expiração ou substituição da cópia correspondente. O prazo de 24 horas indicado para a instância de banco de dados não representa, por si só, um prazo de expiração dessas cópias. Os backups permanecem com acesso restrito, destinados exclusivamente à recuperação de desastres e à integridade das operações de restauração. O conteúdo excluído não retornará ao uso normal; eventual restauração deverá reaplicar a exclusão antes da retomada do tratamento ordinário. O titular poderá obter informações sobre o ciclo aplicável aos seus dados pelo canal de privacidade. Nenhum backup conterá código-fonte.

As regras de exclusão dos ambientes administrados pelo ArchGenerator não apagam cópias que o próprio Cliente tenha exportado e mantenha de forma independente.

10. Medidas de segurança

Adotamos criptografia em trânsito com TLS 1.3 e, para dados armazenados, criptografia em repouso com AES-256; isolamento dos ambientes de processamento; controle de acesso baseado em função (RBAC); monitoramento contínuo de intrusão; e revisões periódicas de segurança.

O acesso interno é limitado às atribuições necessárias. Mantemos registros de eventos pertinentes à segurança e à comprovação das operações, incluindo acessos, autorizações, revogações e encerramento das execuções. Esses registros não incluem código-fonte, representações que permitam reconstruí-lo ou credenciais em texto aberto, e seguem os critérios de necessidade e conservação desta Política. As medidas de segurança não constituem promessa de inexistência de incidentes e não afastam as obrigações de proteção e resposta previstas em lei.

O Usuário deverá proteger suas credenciais e comunicar suspeitas de acesso indevido. Essa colaboração não transfere a ele as obrigações que cabem ao ArchGenerator.

11. Incidentes

Comunicaremos ao Cliente, sem demora injustificada e em até 24 horas corridas da ciência, incidentes de segurança que afetem seus dados ou informações confidenciais. Quando atuarmos como operadora ou suboperadora, informaremos o Cliente que nos transmitiu as instruções de tratamento e cooperaremos com o controlador responsável. A comunicação inicial utilizará as informações disponíveis e poderá ser complementada, sem aguardar a conclusão da investigação.

Quando atuarmos como controladora e um incidente puder acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados nos prazos legais. A regra geral é de três dias úteis contados da ciência de que o incidente afetou dados pessoais, ressalvados prazos específicos e o regime diferenciado quando todos os seus requisitos estiverem atendidos. O eventual prazo regulatório diferenciado não amplia o compromisso de aviso ao Cliente em até 24 horas.

As comunicações descreverão os fatos conhecidos, as categorias de dados afetados, os possíveis impactos, as medidas de contenção e os meios de contato cabíveis. Adotaremos as medidas necessárias para conter o incidente, mitigar seus efeitos e prevenir recorrências, com atualizações relevantes aos destinatários. Preservaremos registros necessários à apuração e ao cumprimento de obrigações legais, sem conservar código-fonte.

12. Direitos dos titulares

Nos termos da LGPD, o titular poderá solicitar confirmação de tratamento; acesso; correção; anonimização, bloqueio ou eliminação de dados excessivos, desnecessários ou tratados irregularmente; portabilidade conforme a regulamentação; eliminação de dados tratados com consentimento, ressalvadas as exceções legais; informação sobre compartilhamento; informação sobre a possibilidade de não consentir e suas consequências; revogação do consentimento; e oposição nas hipóteses legais.

Quando houver decisão tomada unicamente por tratamento automatizado que afete seus interesses, poderá solicitar sua revisão e as informações cabíveis. Também poderá apresentar petição à ANPD e aos órgãos de defesa do consumidor.

Envie pedidos para [email protected]. O exercício de direitos é gratuito e não exige criação de conta. Poderemos verificar a identidade e a representação de forma proporcional, para evitar acesso indevido.

A confirmação e o acesso serão fornecidos imediatamente em formato simplificado ou por declaração completa em até 15 dias, ressalvado regime legal específico. Os demais direitos seguirão os prazos e condições pertinentes. Informaremos os motivos de eventual impossibilidade de atendimento e as alternativas cabíveis.

13. Cookies

Usamos cookies para autenticação e conservação de preferências solicitadas pelo Usuário. Cookies de sessão duram a sessão do navegador; cookies de idioma e configurações podem permanecer por até 12 meses.

Não utilizamos cookies de rastreamento, publicidade ou análise de terceiros que identifiquem individualmente o Usuário. O bloqueio de cookies necessários poderá afetar a autenticação e outras funcionalidades. Preferências podem ser gerenciadas pelo navegador e pelos controles disponibilizados.

A adoção de novas finalidades dependerá das informações e dos mecanismos de escolha exigidos pela legislação, inclusive consentimento quando aplicável.

14. Menores de idade

A Plataforma não se destina a Usuários menores de 18 anos. Não solicitamos intencionalmente seus dados para abertura de contas. Se identificarmos coleta inadequada, interromperemos o tratamento e adotaremos as medidas cabíveis de eliminação, ressalvadas obrigações legais.

Dados de crianças ou adolescentes eventualmente presentes nos materiais de um Cliente deverão ser necessários e tratados conforme a legislação e seu melhor interesse, sob as instruções e responsabilidades pertinentes.

15. Contato de privacidade e atualizações

Responsável pela operação e pelo canal de privacidade: DESIGN STRATEGY TREINAMENTOS E CONSULTORIA LTDA., empresa de pequeno porte, identificada na seção 1.

Canal de privacidade e exercício de direitos: [email protected].

A Design Strategy recebe solicitações de titulares, presta esclarecimentos, encaminha providências e atende comunicações das autoridades por esse canal. O canal poderá ser utilizado independentemente de indicação de encarregado.

A aplicação das dispensas e dos procedimentos diferenciados previstos para agentes de tratamento de pequeno porte depende do cumprimento dos requisitos da regulamentação da ANPD. O enquadramento empresarial como EPP, isoladamente, não dispensa obrigações. Quando houver obrigação de indicar encarregado, sua identidade e seus contatos serão divulgados de forma pública e acessível; a identificação da empresa como responsável pelo canal não substitui essa indicação.

Alterações materiais serão comunicadas com pelo menos 15 dias de antecedência. Mudanças imediatamente exigidas por lei ou por risco de segurança serão informadas assim que possível, sem redução de direitos obrigatórios. Novas finalidades que dependam de consentimento exigirão manifestação específica. Uma atualização desta Política não autoriza retenção do código.

Política de Privacidade · br-2026-10-22-r4

Contracting entity: DSTRATEGY LLC

Legal regime: global · Version 1.0 en-2026-10-22-r4

Effective date: September 25, 2026

ArchGenerator Privacy Policy

1. Scope and responsible company

DSTRATEGY LLC, located at 13809 Research Blvd. Suite 500 Austin, TX 78750 - USA, operates ArchGenerator and is responsible for the personal information described in this Policy. “We” and “us” mean DSTRATEGY LLC.

This Policy covers personal information processed in connection with the ArchGenerator website, SaaS application, accounts, authorized integrations, purchases, and customer support provided by DSTRATEGY LLC, a U.S. company based in Austin, Texas. It applies to visitors, account holders, authorized users, customer representatives, and other individuals whose information is processed through the service. The selected language does not change the responsible company or remove rights under applicable privacy law.

We determine the purposes of account administration, billing, and security. For personal information processed solely on a business customer's analysis instructions, we may act as its processor, depending on the activity and applicable law.

Privacy questions and requests: [email protected].

This Policy explains the processing that accompanies use of the service, from account creation and any evaluation through a paid subscription. Its safeguards do not depend on a separately negotiated commercial contract. Reading or acknowledging this Policy does not grant blanket consent to processing; where specific consent is required, we request it separately. Additional customer-specific arrangements cannot authorize undisclosed purposes or remove the commitments stated here.

2. Source code is processed without retention

Source code is processed exclusively in isolated, volatile memory within an ephemeral analysis environment. Code is never written to persistent disks, databases, object storage, persistent caches, backups, snapshots, system logs, support tickets, or other persistent repositories. When processing finishes, is canceled, or fails, the code is immediately discarded and the environment destroyed. There is no additional code-retention period following interruption.

Reports contain findings, paths, line references, dependencies, and metrics, never literal code snippets. Reports, structural metadata, and other retained information must not contain literal source code or representations that permit its reconstruction. Outputs can still contain confidential or personal information and are protected accordingly.

We never use your source code to train or improve AI or machine-learning models. We do not give third parties, partners, or subprocessors access to it. The training prohibition also covers all other information received from customers or generated from it, as described in Sections 2 and 5. Providers receive only the limited non-code information needed for their services.

For the requested analysis, we may submit limited non-code information to AI models and their providers, such as necessary technical context, structural metadata, and findings. Inputs must exclude literal code, representations that permit code reconstruction, access credentials, and unnecessary secrets. This processing is exclusively for the requested service. We will not use, or permit our providers to use, information received from customers or generated from it, including personal information, technical context, reports, metadata, and intermediate results, for training, fine-tuning, or improving AI or machine-learning models or for independent exploitation. Using a model to produce the requested analysis does not authorize training. Retention of non-code information follows Section 6.

Non-code information is not necessarily anonymous. Depending on its content, it may include personal or confidential information and must receive the applicable confidentiality, security, and data-protection safeguards, including an appropriate legal basis where required.

Temporary repository tokens expire or are revoked after authorized processing. An ongoing integration may require credentials to remain securely available only for its authorized duration and scope, as described in the connection settings or contracted service. These credentials are not retained code. You may directly revoke the authorization with immediate effect for the access concerned, as detailed in Section 6.

Reports, metrics, and structural metadata made available to a customer are kept in the database instance associated with that customer for consultation and use of the service, under Section 6's criteria. They do not contain literal code or representations that permit its reconstruction. Retaining results is distinct from temporary code processing and from retention of account details and administrative records.

3. Information, sources, and purposes

Sources include you, your account administrator, the materials and integrations you authorize, payment providers, and interactions with the Platform. Depending on the feature used, authorized materials may include repository information, database schemas, infrastructure metadata, project documents, requirements, and your responses during specification workflows. We collect only information needed for the relevant purpose. Source code remains subject to Section 2 regardless of the feature or input channel.

Category	Examples and purpose
Account and organization	Name, email, organization, account settings, and authentication information used to create, authenticate, administer, and support the account.
Billing and purchases	Plan, transaction status, invoices, and billing details used for purchases, renewals, credits, and required records. Payment providers handle payment credentials; we do not store full payment-card details.
Analysis inputs	Repository content accessed temporarily to perform the requested analysis, under the zero-retention safeguards in Section 2.
Reports and structural metadata	Findings, file and line references, dependency information, and metrics used to deliver results and maintain your report history, without literal code.
Project context and specifications	Documents, requirements, decisions, user responses, and SDD artifacts used to prepare diagnostics, remediation specifications, and product-evolution specifications. These materials may contain personal or confidential information and follow the retention rules for customer content; they are not permission to retain source code.
Access and security records	IP address, timestamps, authentication events, and necessary technical events used to secure the service, investigate misuse, and maintain access records. Logs do not contain source code.
Communications and preferences	Support messages, service-notification details, language settings, and similar information used to respond and operate the service. Do not include code or credentials in support messages.

We also use aggregated, effectively anonymized metrics for statistical assessment and improvement of the service. They must not identify an individual, customer, organization, or a customer's code; allow code reconstruction; or reveal confidential information or trade secrets. We will not attempt to reidentify individuals from these metrics. Replacing a name with an identifier alone does not make information anonymous: where identification remains reasonably possible, data-protection rules apply. Statistical assessment and service improvement do not authorize training or fine-tuning AI models with information received from customers or generated from it. We will not use identifiable data or confidential information to compare customers.

We do not sell or rent personal information, use it for targeted advertising, share it for cross-context behavioral advertising, or conduct profiling to make decisions producing legal or similarly significant effects concerning individuals.

4. Legal grounds where required

The following grounds concern processing for which we act as controller. When we act as a processor or subprocessor, we follow lawful, documented instructions. A customer that is the controller determines the relevant purposes and legal basis; a customer that is itself a processor must convey the responsible controller's authorized instructions.

Under the GDPR or UK GDPR, where applicable, account operation and requested services rely on a contract with the individual or requested precontractual steps. Required records may rely on legal obligations recognized by the applicable framework: EU or Member State law under the GDPR, and UK law under the UK GDPR.

Security, fraud prevention, and administration for business representatives may rely on legitimate interests, after considering individuals' rights and reasonable expectations. Consent is used where required and can be withdrawn without affecting previously lawful processing. Accepting the Terms is not consent for unrelated uses.

We do not request sensitive personal information for ordinary accounts. Avoid unnecessary personal information in submitted material. If present in code, the zero-retention rules apply, and additional legal requirements must be addressed before processing.

5. Limited disclosure of non-code information

We disclose non-code information only as needed for the purposes described here, including to service providers supporting the following functions:

Function	Information involved
Platform hosting and storage	Account information, reports, and permitted non-code records.
Payment processing	Required billing and transaction information for payments to DSTRATEGY LLC.
Transactional email	Recipient name, email, and necessary service-message content.
AI model providers	Limited non-code technical context, structural metadata, and findings needed to perform the requested analysis, subject to Section 2's restrictions. This information may include personal or confidential information depending on its content.

DSTRATEGY LLC is responsible for selecting the providers it uses and fulfilling its own obligations in providing the service. Providers are subject to the purpose limitations, confidentiality, security, data-protection, and training prohibitions applicable to their activities. Their obligations and roles depend on the processing performed; not every recipient necessarily acts as a processor. Engaging providers does not remove individuals' rights or each party's responsibilities under applicable law. No provider receives code access. We identify additional relevant provider categories if actual processing changes.

This Policy describes providers by category and function. You may obtain information about the entities with which your personal information has been shared, their purposes, and the countries of processing at [email protected]. Protection of trade secrets or internal architecture details will not be used to prevent the exercise of those rights. Information that must be disclosed publicly or directly under applicable law will be provided as required, independently of a request.

We may disclose necessary non-code records to comply with a binding legal obligation or protect rights through a legally permitted process. Such disclosure is limited to what is required or justified. This provision does not establish a right to retain source code.

6. Retention, revocation, and deletion

Technical content and results retained for the customer's consultation and use are kept in the database instance associated with that customer. They include information the customer views and uses in the service, such as reports, findings, metrics, and metadata. The customer may delete them using the Platform's available controls. Permanent deletion of that data from the associated database instance is completed within 24 consecutive hours after the customer deletes it. Account closure by the customer starts the same period for content and results still present in that instance. During that interval, deleted content will not be reused for new analyses or purposes.

The 24-hour period concerns non-code content in the database instance associated with the customer. It does not change immediate code disposal when processing ends or is interrupted. Administrative, tax, security, and legally necessary records follow the specific criteria below and may not be used to improperly retain deleted technical content.

Information	Retention rule
Source code and representations permitting its reconstruction	Only during authorized temporary processing, without persistent retention and with immediate disposal when processing ends or is interrupted.
Account information	While the account is active and for up to six months after deletion, only to the extent necessary for the remaining purpose.
Content and results available in the database instance associated with the customer	While necessary to use the service and retained by the customer. Permanent deletion from that instance within 24 consecutive hours after deletion of the content or account closure by the customer.
Access records	Six months as the service's access-record policy.
Payment, tax, and accounting records	For the period required by the laws applicable to the particular record.
Authorized integration credentials	Only for the duration and scope of the active integration; temporary tokens expire or are revoked at the end of their authorized use.
Backups containing permitted non-code information	After deletion from active systems, the information is removed during the next scheduled backup expiration or overwrite cycle. Temporary backup retention is limited to what is necessary for recovery and integrity. No backup contains code.

Technical context, summaries, and other intermediate artifacts do not receive independent authorization for retention merely because they derive from an analysis. Their retention by ArchGenerator must correspond to the content or result made available to the customer and the disclosed purpose. Providers' retention of received information must comply with service necessity, applicable instructions, Section 5's restrictions, and legal obligations. The training prohibition does not by itself mean zero retention in providers' systems. Information about the manner and duration of processing will be provided under Sections 5, 8, and 9.

The customer may directly revoke integration authorizations, with immediate effect for the access concerned, preventing new reads and analyses within that scope. Ongoing processing depending on revoked authorization will end without unjustified delay, with immediate code disposal when it ends. The connection identifies the means of revocation. Persistent credentials will be disabled when revoked; temporary tokens will be revoked or expire according to the connection method. Revocation does not delete completed reports or cancel the subscription; the customer may use the separate controls to request those actions as well.

Individuals' requests concerning personal information will be handled under the applicable legal conditions and deadlines, following proportionate identity and authority checks where necessary. The operational deadline for customer-initiated deletion does not reduce individuals' rights. Where retention is mandatory or necessary for a specific legal purpose, we will explain the justification when permitted and restrict use to what is strictly necessary. Those records will be deleted when the requirement ends. This does not authorize retention of source code.

After deletion from active systems, residual backup copies follow the scheduled expiration or replacement cycle of the relevant copy. The 24-hour deadline for the customer-associated database instance does not itself set the expiration deadline for those copies. Backups remain access-restricted and dedicated exclusively to disaster recovery and the integrity of restoration operations. Deleted content will not return to ordinary use; any restoration must reapply deletions before ordinary processing resumes. Individuals may request information about the cycle applicable to their data through the privacy contact. No backup contains source code.

Deletion rules for environments administered by ArchGenerator do not erase copies that customers have exported and maintain independently.

Use the available controls or our privacy email for report deletion or account closure. Subscription cancellation stops renewal and does not automatically delete the account, results, or integrations. Customer deletion through Platform controls starts the operational period described above; other personal-information requests follow the applicable legal rules.

7. Security

We use TLS 1.3 for data in transit and AES-256 for retained data at rest, together with isolated analysis environments, role-based access controls, continuous intrusion monitoring, and periodic security reviews. Retained-data encryption applies to permitted non-code information; it does not imply that encrypted source code is stored. Access is limited according to assigned responsibilities. No technical measure eliminates every security risk.

We maintain event records relevant to security and evidence of operations, including access, authorizations, revocations, and the ending of processing runs. These records contain no source code, representations permitting its reconstruction, or plaintext credentials, and follow this Policy's necessity and retention criteria. Security measures do not remove our legal protection and response obligations.

8. International processing

Non-code information may be processed outside your country, under different privacy laws. We commit to establishing a valid legal mechanism before making any international transfer for which applicable law requires one.

For transfers subject to the GDPR, we must use a mechanism recognized by its international-transfer rules. For transfers subject to the UK GDPR, we must meet the corresponding UK requirements. Other regulated transfers must satisfy the requirements of the jurisdiction that governs them. Where required, we must assess the transfer and implement additional safeguards before it occurs.

The mechanism must be valid for the actual destination, recipient, information, and purpose. A provider's location or general security measures alone do not establish a lawful transfer mechanism.

You may request information about processing destinations, recipients, and the mechanisms that apply to your information, including access to the relevant safeguards where required by law, at [email protected]. We will also make any directly required or public disclosures in the manner prescribed by applicable law.

9. Requesting privacy rights

Email [email protected] to exercise applicable rights. No account creation is required. We may seek proportionate identity or authority verification, but never source code.

Legal conditions and exceptions may apply. We explain refusals and available appeals without unlawful discrimination. Requests involving your organization's controlled information may require its involvement.

9.1. Texas residents

Where the Texas Data Privacy and Security Act applies to our processing, a Texas resident acting in an individual or household capacity may confirm processing, access personal data, correct inaccuracies, delete covered personal data, and obtain a portable copy where required. The Act's definition of consumer excludes individuals acting in a commercial or employment context.

Covered consumers may opt out of sale, targeted advertising, and profiling for decisions producing legal or similarly significant effects. We do not conduct those activities. An authorized agent may submit an opt-out request through a legally recognized method, subject to the Act's authorization and verification rules.

We respond without undue delay and within 45 calendar days. When reasonably necessary, we may extend that period once by 45 additional calendar days, notifying you of the extension and its reason within the initial period. Requests are handled without charge to the extent the Act requires.

You may appeal a refusal by emailing our privacy address with the subject “Privacy appeal.” We provide a written decision and explanation within 60 days after receiving the appeal. If it is denied, you may submit a complaint to the Texas Attorney General.

9.2. European Economic Area and United Kingdom

Where the GDPR or UK GDPR applies, rights include access, rectification, erasure, restriction, portability, withdrawal of consent, objection including to legitimate-interest processing and direct marketing, and applicable protections concerning automated decisions. Legal conditions and exceptions apply. You may complain to the competent EEA supervisory authority or the UK Information Commissioner's Office.

We respond without undue delay and generally within one calendar month. Where permitted because of complexity or the number of requests, that period may be extended by two further months; we notify you and explain the reason within the initial month. Information about the applicable international-transfer safeguards can be requested at our privacy address.

Where applicable law requires a representative in the EEA or the UK, we must appoint that representative in writing and disclose their identity and contact details as required. We must fulfill those obligations before carrying out processing for which representation is required. Our privacy email does not replace a legally required local representative.

9.3. California and other U.S. states

Where the CCPA/CPRA applies, you may request information about the categories and specific pieces of personal information we collect, sources, purposes, and categories of recipients; access and portability; correction; and deletion, subject to exceptions. Applicable rights to opt out of sale or sharing and to limit certain uses of sensitive personal information also remain available. We do not sell or share personal information for cross-context behavioral advertising, use it for targeted advertising, or use it to infer sensitive characteristics. Account authentication information may be sensitive information; its use is limited to providing and securing the service. We do not discriminate for exercising protected rights.

The categories in Section 3 correspond, where applicable, to identifiers and contact information; customer-record information; commercial information; internet or electronic-network activity; professional information; and personal information contained in Customer-provided context and results. The sources and purposes are described in Sections 3–4, recipients in Section 5, and retention criteria in Section 6. For disclosures for business purposes, hosting providers receive account information and permitted results; payment providers receive billing information; service-message providers receive contact details; and AI providers receive only the permitted non-code context needed for the requested service. We provide any additional notice required at or before collection and update required historical category disclosures at least annually. Customer content processed solely as a service provider is handled under the Customer's documented lawful instructions and this Policy, rather than used for our independent purposes.

Submit requests through [email protected] or the account's available privacy controls. An authorized agent may submit a request, subject to legally permitted proof of authority and verification. We do not require an account solely to exercise rights. For California requests to know, delete, or correct, we acknowledge receipt within 10 business days and ordinarily respond within 45 calendar days, with a further 45 days only where permitted and after notice. Applicable opt-out requests follow their shorter legal deadlines, not that 45-day period. We honor legally required preference signals for any activity to which they apply. We do not treat a browser signal as consent to new processing.

Where other state laws apply, their applicable rights, exclusions, deadlines, authorized-agent rules, and appeal procedures govern. You may send an appeal to our privacy email using “Privacy appeal” and your state; we will identify the applicable deadline and complaint route. Texas procedures are set out in Section 9.1 and are not imposed on other states. A statutory exemption for some business contacts or a size threshold does not remove our contractual confidentiality and data-handling commitments.

9.4. Canada

Where PIPEDA or applicable provincial law governs, we remain accountable for information under our control, including processing entrusted to providers. We explain meaningful purposes and obtain the form of consent required for the activity, subject to lawful exceptions. Consent to unnecessary processing is not a condition of service. You may request access, correction, information about uses and disclosures, withdraw consent subject to lawful restrictions and reasonable notice, and challenge compliance through our privacy contact. We explain any effect of withdrawal on the service.

Under PIPEDA, access requests are normally answered within 30 days; any permitted extension is explained within that initial period, including complaint rights. Provincial procedures and deadlines apply where different. Complaints may be submitted to the Office of the Privacy Commissioner of Canada or the competent provincial authority. Information processed in the United States or other approved countries may be accessible to their courts or authorities under lawful process; a contract does not eliminate that possibility.

Questions concerning Québec privacy requirements may be sent to [email protected]. Where Québec law applies, the identity and contact details of the person responsible for personal-information protection must be publicly available as required; this general company contact does not substitute for that disclosure. Required privacy impact assessments, including assessments before communicating information outside Québec, must be completed, and required written safeguards established. Applicable portability and complaint rights remain available. Any required French notices are supplied separately; this translation is not a substitute.

9.5. Mexico

Where the Federal Law on Protection of Personal Data Held by Private Parties applies, Sections 1, 3, 5, 6 and this section constitute the relevant parts of our comprehensive privacy notice. Account administration, authorized diagnostics/specifications, billing, support, security, and legal compliance are the primary purposes. This notice does not authorize optional promotional uses; any such purpose requires a separate notice and choices or consent as applicable. We obtain express consent for financial or patrimonial information, and express written consent for sensitive information, when required and no lawful exception applies.

To exercise access, rectification, cancellation, or opposition (ARCO), revoke consent, or limit use or disclosure, email [email protected] with your name, response contact, the data and right concerned, and information reasonably needed to establish identity or representation. For correction, identify the change and supporting information. Do not send source code, passwords, or unnecessary identity documents. We explain proportionate verification and any need to clarify the request. We communicate the determination within 20 business days and, if granted, implement it within the following 15 business days, subject only to legally permitted extensions and exceptions. Revocation is prospective and does not prevent legally required retention of permitted non-code records. Applicable rights may also be pursued with the Secretaría Anticorrupción y Buen Gobierno through its official channels.

Processing by a service provider on our behalf is distinguished from a transfer to an independent third party. Where a transfer requires consent, we obtain it before the transfer; where an exception applies, we document it. Recipients must respect applicable purposes and safeguards. Acceptance of this notice is not blanket consent to transfers. Updates follow Section 12.

9.6. Central America

For Belize, Costa Rica, El Salvador, Guatemala, Honduras, Nicaragua, and Panama, we apply the laws that actually govern the individual, service, and processing. No single Central American statute or universal response period is assumed. In addition to applicable rights, we contractually provide a route to request access, correction, deletion, and information about processing through our privacy email, subject to lawful exceptions and proportionate verification.

Requests should identify the country, relevant information, requested action, and a reply contact. We identify the applicable procedure and respond within the country's legally prescribed time; if no applicable time is prescribed, our service commitment is a response within 30 calendar days. This fallback never extends a shorter statutory deadline. Any legally required consent, transfer safeguard, registration, representative, or country-specific notice must be in place before the affected processing. The website's availability is not a representation that those local formalities have been completed in every country.

Costa Rica requests may be directed to PRODHAB and Panama requests to ANTAI where those authorities are competent. For El Salvador, Belize, and the other countries, we provide the current competent complaint channel when applicable rather than assuming that another country's authority is responsible. Client-controlled information follows this Policy and the responsible controller's documented lawful instructions. Local law may impose obligations even where the material is processed only temporarily.

9.7. Switzerland and other European jurisdictions

Where the Swiss Federal Act on Data Protection applies, you may exercise applicable access, correction, deletion and other statutory rights, including portability where its conditions are met, and contact the Federal Data Protection and Information Commissioner (FDPIC). We provide required information about processing countries and transfer safeguards. A Swiss representative will be identified where legally required; no representative or transfer certification is claimed by this notice. For the EEA and UK, Section 9.2 applies. Other European countries are assessed under their own applicable law, not automatically treated as EU members.

10. Cookies

Session cookies maintain authentication and last for the browser session. Preference cookies retain language and settings for up to 12 months. We do not use advertising or tracking cookies or third-party analytics cookies that individually identify users. Where local law requires consent for a preference cookie, we obtain it before setting that cookie. Browser controls may limit cookies, although disabling necessary session cookies can prevent sign-in.

11. Minors and incidents

Accounts are intended for adults aged 18 or over. We do not knowingly solicit information from minors to create accounts. If we identify inappropriate collection, we stop the affected processing and take appropriate deletion measures, subject to legal obligations. Any minors’ information incidentally present in authorized customer materials must be necessary and handled under applicable law and the responsible controller’s lawful instructions. This is not permission to submit unnecessary or otherwise unauthorized minors’ information. Parents or guardians may contact our privacy address.

We will notify the customer without unjustified delay and within 24 consecutive hours after becoming aware of security incidents affecting its data or confidential information, including information that is not personal data. When acting as a processor or subprocessor, we will notify the customer that provided processing instructions and cooperate with the responsible controller. The initial notice will use available information and may be supplemented without waiting for the investigation to conclude.

We investigate incidents, take containment measures, and provide legally required notices when acting as controller. In the United States, applicable state breach-notification rules determine duties and deadlines. A jurisdiction's deadline does not replace another applicable requirement. Any different regulatory deadline does not extend the contractual commitment to notify the customer within 24 hours.

Notices will describe the known facts, affected data categories, possible impacts, containment measures, and appropriate contact channels. We will take necessary measures to contain the incident, mitigate its effects, and prevent recurrence, providing relevant updates to recipients. We will preserve records needed for investigation and legal compliance, without retaining source code.

12. Changes and contact

Material changes are communicated by email or a Platform notice at least 15 days before taking effect, subject to any longer legally required period. We obtain consent where a new use requires it. The publication date identifies the version made available; material changes follow the notice periods described above.

DSTRATEGY LLC 13809 Research Blvd. Suite 500 Austin, TX 78750 - USA Privacy contact: [email protected].

DSTRATEGY LLC is responsible for the privacy channel. Through it, we receive individuals' requests, provide explanations, arrange appropriate action, and respond to communications from authorities. The channel may be used whether or not a data protection officer has been appointed. Where applicable law requires such an appointment, the officer's identity and contact details will be publicly and accessibly disclosed; identifying the company as responsible for this channel does not replace that appointment. Any legally required local representative remains subject to Section 9.2.

13. Processing on behalf of customers

When we process personal information on a Customer's behalf, we follow its documented lawful instructions for the authorized service and the safeguards described in this Policy. This does not authorize use of Customer information for our own marketing or model training. Actual processing locations, recipients, backup-expiration periods and required transfer safeguards must be documented before processing requiring those arrangements. Where we independently administer accounts, billing or security, we remain responsible for those activities as described in this Policy.

Entidad contratante: DSTRATEGY LLC

Régimen jurídico: global · Versión 1.0 es-2026-10-22-r4

Vigencia: 25/09/2026

Política de Privacidad de ArchGenerator

1. Alcance y empresa responsable

DSTRATEGY LLC, con domicilio en 13809 Research Blvd. Suite 500 Austin, TX 78750 - USA, opera ArchGenerator y es responsable de la información personal descrita en esta Política. «Nosotros» se refiere a DSTRATEGY LLC.

Esta Política comprende la información personal tratada en relación con el sitio web de ArchGenerator, su aplicación SaaS, las cuentas, las integraciones autorizadas, las compras y el soporte prestados por DSTRATEGY LLC, una empresa estadounidense con sede en Austin, Texas. Se aplica a visitantes, titulares de cuentas, usuarios autorizados, representantes de clientes y otras personas cuya información se trate mediante el servicio. El idioma seleccionado no cambia la empresa responsable ni elimina derechos reconocidos por las normas de privacidad aplicables.

Determinamos los fines de la administración de cuentas, la facturación y la seguridad. Respecto de la información personal tratada únicamente siguiendo las instrucciones de análisis de un cliente empresarial, podemos actuar como su encargado del tratamiento, según la actividad y la legislación aplicable.

Consultas y solicitudes de privacidad: [email protected].

Esta Política explica el tratamiento asociado al servicio desde la creación de la cuenta y cualquier evaluación hasta la suscripción de pago. Sus garantías no dependen de negociar un contrato comercial separado. Leer o reconocer esta Política no otorga un consentimiento general al tratamiento; cuando sea necesario un consentimiento específico, lo solicitamos por separado. Los acuerdos particulares no pueden autorizar finalidades no informadas ni eliminar los compromisos aquí establecidos.

2. El código fuente se procesa sin retención

El código fuente se procesa exclusivamente en memoria volátil y aislada, dentro de un entorno de análisis efímero. El código nunca se escribe en discos persistentes, bases de datos, almacenamiento de objetos, cachés persistentes, copias de seguridad, instantáneas, registros del sistema, solicitudes de soporte ni otros repositorios persistentes. Cuando el procesamiento finaliza, se cancela o falla, el código se descarta inmediatamente y se destruye el entorno. No existe un período adicional de retención de código tras una interrupción.

Los informes contienen hallazgos, rutas, referencias a líneas, dependencias y métricas, nunca fragmentos literales de código. Los informes, los metadatos estructurales y la demás información conservada no podrán contener código fuente literal ni representaciones que permitan reconstruirlo. Los resultados pueden seguir conteniendo información confidencial o personal y se protegen en consecuencia.

Nunca utilizamos su código fuente para entrenar ni mejorar modelos de inteligencia artificial o aprendizaje automático. No damos acceso a él a terceros, socios ni subencargados del tratamiento. La prohibición de entrenamiento también abarca toda la demás información recibida de los clientes o generada a partir de ella, conforme a las Secciones 2 y 5. Los proveedores reciben únicamente la información limitada que no es código y que necesitan para prestar sus servicios.

Para el análisis solicitado, podemos enviar información limitada que no sea código a modelos de IA y a sus proveedores, como el contexto técnico, los metadatos estructurales y los hallazgos necesarios. Los datos de entrada deben excluir el código literal, las representaciones que permitan reconstruirlo, las credenciales de acceso y los secretos innecesarios. Este tratamiento se destina exclusivamente al servicio solicitado. No utilizaremos ni permitiremos que nuestros prestadores utilicen información recibida de los clientes o generada a partir de ella, incluidos datos personales, contexto técnico, informes, metadatos y resultados intermedios, para entrenamiento, ajuste fino o mejora de modelos de inteligencia artificial o aprendizaje automático ni para explotación independiente. Utilizar un modelo para producir el análisis solicitado no autoriza el entrenamiento. La conservación de información que no es código sigue la Sección 6.

La información que no es código no es necesariamente anónima. Según su contenido, puede incluir información personal o confidencial y debe recibir las garantías de confidencialidad, seguridad y protección de datos aplicables, incluida una base jurídica adecuada cuando sea necesaria.

Los tokens temporales de acceso al repositorio caducan o se revocan después del procesamiento autorizado. Una integración continua puede requerir que las credenciales sigan disponibles de forma segura únicamente durante el período y dentro del alcance autorizados, según la configuración de la conexión o el servicio contratado. Esas credenciales no son código retenido. Puede revocar directamente la autorización con efecto inmediato sobre el acceso afectado, conforme a la Sección 6.

Los informes, las métricas y los metadatos estructurales puestos a disposición del cliente se conservan en la instancia de base de datos asociada al cliente para su consulta y utilización del servicio, conforme a los criterios de la Sección 6. No contienen código literal ni representaciones que permitan reconstruirlo. Conservar resultados es distinto del procesamiento temporal del código y de la conservación de datos de cuenta y registros administrativos.

3. Información, fuentes y finalidades

Las fuentes incluyen a usted, el administrador de su cuenta, los materiales e integraciones que autorice, los proveedores de pagos y las interacciones con la Plataforma. Según la funcionalidad utilizada, los materiales autorizados pueden incluir información de repositorios, esquemas de bases de datos, metadatos de infraestructura, documentos del proyecto, requisitos y sus respuestas durante los flujos de especificación. Recopilamos únicamente la información necesaria para la finalidad correspondiente. El código fuente sigue sujeto a la Sección 2, independientemente de la funcionalidad o del canal de entrada.

Categoría	Ejemplos y finalidad
Cuenta y organización	Nombre, correo electrónico, organización, configuración de cuenta e información de autenticación utilizados para crear, autenticar y administrar la cuenta y prestar soporte.
Facturación y compras	Plan, estado de transacciones, facturas y datos de facturación utilizados para compras, renovaciones, créditos y registros obligatorios. Los proveedores de pagos gestionan las credenciales de pago; no almacenamos los datos completos de las tarjetas.
Datos de entrada del análisis	Contenido del repositorio al que se accede temporalmente para realizar el análisis solicitado, con las garantías de ausencia de retención de la Sección 2.
Informes y metadatos estructurales	Hallazgos, referencias a archivos y líneas, información de dependencias y métricas utilizados para entregar resultados y mantener su historial de informes, sin código literal.
Contexto del proyecto y especificaciones	Documentos, requisitos, decisiones, respuestas de usuarios y artefactos SDD utilizados para preparar diagnósticos y especificaciones de remediación y evolución del producto. Pueden contener información personal o confidencial y siguen las reglas de conservación del contenido del cliente; no autorizan conservar código fuente.
Registros de acceso y seguridad	Dirección IP, marcas de tiempo, eventos de autenticación y eventos técnicos necesarios para proteger el servicio, investigar usos indebidos y mantener registros de acceso. Los registros no contienen código fuente.
Comunicaciones y preferencias	Mensajes de soporte, datos para notificaciones del servicio, configuración de idioma e información similar utilizada para responder y operar el servicio. No incluya código ni credenciales en mensajes de soporte.

También utilizamos métricas agregadas y efectivamente anonimizadas para la evaluación estadística y la mejora del servicio. No deben identificar a una persona, cliente u organización, ni al código de un cliente; permitir reconstruir el código; ni revelar información confidencial o secretos empresariales. No intentaremos reidentificar personas a partir de estas métricas. Sustituir un nombre por un identificador no convierte por sí solo la información en anónima: si la identificación sigue siendo razonablemente posible, se aplican las reglas de protección de datos. La evaluación estadística y la mejora del servicio no autorizan el entrenamiento ni el ajuste fino de modelos de IA con información recibida de los clientes o generada a partir de ella. No utilizaremos datos identificables ni información confidencial para comparar clientes.

No vendemos ni alquilamos información personal, no la utilizamos para publicidad dirigida, no la compartimos para publicidad conductual entre distintos contextos ni elaboramos perfiles para tomar decisiones que produzcan efectos jurídicos o de importancia similar sobre las personas.

4. Bases jurídicas cuando sean necesarias

Las siguientes bases se refieren al tratamiento en el que actuamos como responsables. Cuando actuamos como encargados o subencargados del tratamiento, seguimos instrucciones lícitas y documentadas. Un cliente que sea responsable del tratamiento determina las finalidades y la base jurídica pertinentes; un cliente que actúe a su vez como encargado debe transmitir las instrucciones autorizadas del responsable del tratamiento.

Conforme al RGPD o al RGPD del Reino Unido, cuando sean aplicables, la gestión de la cuenta y los servicios solicitados se basan en un contrato con la persona o en medidas precontractuales solicitadas por ella. Los registros obligatorios pueden basarse en obligaciones legales reconocidas por el marco aplicable: el Derecho de la Unión Europea o de un Estado miembro en el caso del RGPD, y el Derecho del Reino Unido en el caso del RGPD del Reino Unido.

La seguridad, la prevención del fraude y la gestión de la relación con representantes de empresas pueden basarse en intereses legítimos, tras considerar los derechos y las expectativas razonables de las personas. Utilizamos el consentimiento cuando es necesario; puede retirarse sin afectar a la licitud del tratamiento realizado anteriormente. Aceptar los Términos no constituye consentimiento para usos ajenos a esos fines.

No solicitamos información personal sensible para las cuentas ordinarias. Evite incluir información personal innecesaria en el material enviado. Si aparece en el código, se aplican las reglas de ausencia de retención y deben atenderse los requisitos legales adicionales antes del procesamiento.

5. Comunicación limitada de información que no es código

Solo comunicamos información que no es código en la medida necesaria para las finalidades descritas aquí, incluidos los proveedores que prestan apoyo en las siguientes funciones:

Función	Información implicada
Alojamiento y almacenamiento de la Plataforma	Información de cuenta, informes y registros permitidos que no contienen código.
Procesamiento de pagos	Información de facturación y transacciones necesaria para los pagos a DSTRATEGY LLC.
Correo electrónico transaccional	Nombre del destinatario, correo electrónico y contenido necesario de los mensajes del servicio.
Proveedores de modelos de IA	Contexto técnico, metadatos estructurales y hallazgos limitados que no sean código y que se necesiten para realizar el análisis solicitado, sujetos a las restricciones de la Sección 2. Esta información puede incluir información personal o confidencial según su contenido.

DSTRATEGY LLC responde de la selección de los prestadores que utiliza y del cumplimiento de sus propias obligaciones al prestar el servicio. Los prestadores están sujetos a las restricciones de finalidad, confidencialidad, seguridad, protección de datos y prohibición de entrenamiento aplicables a su actividad. Sus obligaciones y funciones dependen del tratamiento realizado; no todo destinatario actúa necesariamente como encargado. Contratar prestadores no elimina los derechos de las personas ni las responsabilidades que la legislación aplicable atribuye a cada parte. Ningún proveedor recibe acceso al código. Identificaremos las categorías adicionales pertinentes si cambia el tratamiento real.

Esta Política presenta los prestadores por categorías y funciones. Puede obtener información sobre las entidades con las que se haya compartido su información personal, sus finalidades y los países de tratamiento a través de [email protected]. La protección de secretos empresariales o detalles internos de la arquitectura no se utilizará para impedir el ejercicio de esos derechos. La información cuya divulgación pública o directa exija la legislación aplicable se facilitará en la forma exigida, independientemente de una solicitud.

Podemos comunicar los registros necesarios que no contengan código para cumplir una obligación legal vinculante o proteger derechos mediante un procedimiento legalmente permitido. Esa comunicación se limita a lo exigido o justificado. Esta disposición no establece un derecho a conservar código fuente.

6. Conservación, revocación y eliminación

Los contenidos y resultados técnicos conservados para la consulta y utilización del cliente se encuentran en la instancia de base de datos asociada al cliente. Incluyen la información que este visualiza y utiliza en el servicio, como informes, hallazgos, métricas y metadatos. El cliente puede eliminarlos mediante los controles disponibles en la Plataforma. La eliminación definitiva de esos datos en la instancia asociada se completa en un máximo de 24 horas corridas desde que el cliente los elimina. El cierre de la cuenta por el cliente inicia el mismo plazo para los contenidos y resultados que aún existan en esa instancia. Durante ese intervalo, el contenido eliminado no se reutilizará para nuevos análisis ni finalidades.

El plazo de 24 horas se refiere al contenido sin código de la instancia de base de datos asociada al cliente. No modifica el descarte inmediato del código al terminar o interrumpirse el procesamiento. Los registros administrativos, fiscales, de seguridad y legalmente necesarios siguen los criterios específicos siguientes y no podrán utilizarse para conservar indebidamente contenido técnico eliminado.

Información	Regla de conservación
Código fuente y representaciones que permitan reconstruirlo	Únicamente durante el procesamiento temporal autorizado, sin retención persistente y con descarte inmediato al terminar o interrumpirse el procesamiento.
Información de cuenta	Mientras la cuenta esté activa y durante un máximo de seis meses después de su eliminación, únicamente en la medida necesaria para la finalidad restante.
Contenidos y resultados disponibles en la instancia de base de datos asociada al cliente	Mientras sean necesarios para utilizar el servicio y los conserve el cliente. Eliminación definitiva en esa instancia en un máximo de 24 horas corridas desde la eliminación del contenido o el cierre de la cuenta efectuados por el cliente.
Registros de acceso	Seis meses conforme a la política de registros de acceso del servicio.
Registros de pago, fiscales y contables	Durante el período exigido por las leyes aplicables al registro concreto.
Credenciales de integración autorizadas	Únicamente durante el período y dentro del alcance de la integración activa; los tokens temporales caducan o se revocan al finalizar su uso autorizado.
Copias de seguridad que contienen información permitida que no es código	Tras eliminarse de los sistemas activos, la información se elimina durante el siguiente ciclo programado de caducidad o sobrescritura de las copias de seguridad. La conservación temporal en estas copias se limita a lo necesario para la recuperación y la integridad. Ninguna copia de seguridad contiene código.

El contexto técnico, los resúmenes y los demás artefactos intermedios no reciben una autorización independiente de conservación por derivarse de un análisis. Su conservación por ArchGenerator debe corresponder al contenido o resultado puesto a disposición del cliente y a la finalidad informada. La conservación de información recibida por prestadores debe respetar la necesidad del servicio, las instrucciones aplicables, las restricciones de la Sección 5 y las obligaciones legales. La prohibición de entrenamiento no significa por sí sola retención cero en los sistemas de los prestadores. La información sobre la forma y la duración del tratamiento se facilitará conforme a las Secciones 5, 8 y 9.

El cliente puede revocar directamente las autorizaciones de integración, con efecto inmediato sobre el acceso afectado, impidiendo nuevas lecturas y análisis dentro de ese alcance. Los procesamientos en curso que dependan de la autorización revocada finalizarán sin demora injustificada, con descarte inmediato del código al finalizar. La conexión informa de los medios de revocación. Las credenciales persistentes se desactivarán al revocarse; los tokens temporales se revocarán o caducarán según la modalidad de conexión. La revocación no elimina informes ya terminados ni cancela la suscripción; el cliente puede utilizar los medios independientes para solicitar también esas actuaciones.

Las solicitudes de las personas relativas a información personal se atenderán conforme a las condiciones y plazos legales aplicables, tras verificaciones proporcionales de identidad y legitimidad cuando sean necesarias. El plazo operativo de eliminación por el cliente no reduce los derechos de las personas. Cuando la conservación sea obligatoria o necesaria para una finalidad legal específica, explicaremos la justificación cuando esté permitido y restringiremos el uso a lo estrictamente necesario. Esos registros se eliminarán cuando termine la obligación. Esto no autoriza conservar código fuente.

Tras la eliminación de los sistemas activos, las copias residuales de seguridad siguen el ciclo programado de caducidad o sustitución de la copia correspondiente. El plazo de 24 horas para la instancia de base de datos asociada al cliente no fija por sí solo el plazo de caducidad de esas copias. Las copias de seguridad permanecen con acceso restringido, destinadas exclusivamente a la recuperación ante desastres y a la integridad de las operaciones de restauración. El contenido eliminado no volverá al uso ordinario; cualquier restauración deberá volver a aplicar las eliminaciones antes de reanudar el tratamiento ordinario. Las personas podrán obtener información sobre el ciclo aplicable a sus datos a través del canal de privacidad. Ninguna copia de seguridad contendrá código fuente.

Las reglas de eliminación de los entornos administrados por ArchGenerator no borran copias que los propios clientes hayan exportado y conserven de forma independiente.

Utilice los controles disponibles o nuestro correo de privacidad para eliminar informes o cerrar la cuenta. Cancelar la suscripción detiene la renovación y no elimina automáticamente la cuenta, los resultados ni las integraciones. La eliminación por el cliente mediante los controles de la Plataforma inicia el plazo operativo descrito anteriormente; las demás solicitudes sobre información personal siguen las reglas legales aplicables.

7. Seguridad

Utilizamos TLS 1.3 para los datos en tránsito y AES-256 para los datos conservados en reposo, junto con entornos de análisis aislados, controles de acceso basados en funciones, supervisión continua de intrusiones y revisiones periódicas de seguridad. El cifrado de datos conservados se aplica a la información permitida que no es código; no implica que se almacene código fuente cifrado. El acceso se limita conforme a las responsabilidades asignadas. Ninguna medida técnica elimina todos los riesgos de seguridad.

Mantenemos registros de eventos pertinentes para la seguridad y la acreditación de las operaciones, incluidos accesos, autorizaciones, revocaciones y finalización de las ejecuciones. Esos registros no contienen código fuente, representaciones que permitan reconstruirlo ni credenciales en texto abierto, y siguen los criterios de necesidad y conservación de esta Política. Las medidas de seguridad no eliminan nuestras obligaciones legales de protección y respuesta.

8. Tratamiento internacional

La información que no es código puede tratarse fuera de su país, bajo leyes de privacidad diferentes. Nos comprometemos a establecer un mecanismo jurídico válido antes de realizar cualquier transferencia internacional para la que la legislación aplicable lo exija.

Para las transferencias sujetas al RGPD, debemos utilizar un mecanismo reconocido por sus normas sobre transferencias internacionales. Para las transferencias sujetas al RGPD del Reino Unido, debemos cumplir los requisitos correspondientes del Reino Unido. Las demás transferencias reguladas deben cumplir los requisitos de la jurisdicción que las rija. Cuando sea obligatorio, debemos evaluar la transferencia e implantar garantías adicionales antes de realizarla.

El mecanismo debe ser válido para el destino, el destinatario, la información y la finalidad reales. La ubicación de un proveedor o sus medidas generales de seguridad, por sí solas, no establecen un mecanismo de transferencia lícito.

Puede solicitar información sobre los destinos del tratamiento, los destinatarios y los mecanismos aplicables a su información, incluido el acceso a las garantías pertinentes cuando lo exija la ley, a través de [email protected]. También facilitaremos cualquier información que deba comunicarse directamente o hacerse pública en la forma prescrita por la legislación aplicable.

9. Ejercicio de los derechos de privacidad

Escriba a [email protected] para ejercer los derechos aplicables. No es necesario crear una cuenta. Podemos solicitar una verificación proporcionada de su identidad o facultades de representación, pero nunca código fuente.

Pueden aplicarse condiciones y excepciones legales. Explicamos las denegaciones y los recursos disponibles, sin discriminación ilícita. Las solicitudes relativas a información bajo la responsabilidad de su organización pueden requerir su participación.

9.1. Residentes de Texas

Cuando la Texas Data Privacy and Security Act se aplique a nuestro tratamiento, una persona residente en Texas que actúe a título individual o doméstico puede confirmar el tratamiento, acceder a sus datos personales, corregir inexactitudes, eliminar los datos personales comprendidos por la ley y obtener una copia portátil cuando corresponda. La definición de consumidor de esa ley excluye a las personas que actúan en un contexto comercial o laboral.

Los consumidores amparados pueden oponerse a la venta de datos, la publicidad dirigida y la elaboración de perfiles para decisiones que produzcan efectos jurídicos o de importancia similar. No realizamos esas actividades. Un representante autorizado puede presentar una solicitud de exclusión mediante un método legalmente reconocido, sujeto a las reglas de autorización y verificación de esa ley.

Respondemos sin demora indebida y dentro de 45 días naturales. Cuando sea razonablemente necesario, podemos ampliar ese plazo una sola vez por otros 45 días naturales, informándole de la ampliación y sus motivos dentro del plazo inicial. Las solicitudes se atienden gratuitamente en la medida exigida por la ley.

Puede recurrir una denegación escribiendo a nuestro correo de privacidad con el asunto «Privacy appeal». Facilitamos una decisión por escrito y su explicación dentro de los 60 días siguientes a la recepción del recurso. Si se deniega, puede presentar una reclamación ante el Fiscal General de Texas.

9.2. Espacio Económico Europeo y Reino Unido

Cuando se apliquen el RGPD o el RGPD del Reino Unido, los derechos incluyen acceso, rectificación, supresión, limitación del tratamiento, portabilidad, retirada del consentimiento, oposición —incluido el tratamiento basado en intereses legítimos y la mercadotecnia directa— y las protecciones aplicables frente a decisiones automatizadas. Se aplican las condiciones y excepciones legales. Puede presentar una reclamación ante la autoridad de control competente del EEE o la Information Commissioner's Office del Reino Unido.

Respondemos sin demora indebida y, por regla general, dentro de un mes natural. Cuando esté permitido por la complejidad o el número de solicitudes, ese plazo puede ampliarse por otros dos meses; se lo notificamos y explicamos el motivo dentro del primer mes. Puede solicitar información sobre las garantías aplicables a las transferencias internacionales a través de nuestro correo de privacidad.

Cuando la legislación aplicable exija un representante en el EEE o en el Reino Unido, debemos designarlo por escrito y divulgar su identidad y sus datos de contacto según lo exigido. Debemos cumplir esas obligaciones antes de realizar tratamientos para los que sea obligatoria la representación. Nuestro correo de privacidad no sustituye a un representante local legalmente obligatorio.

9.3. California y otros estados de Estados Unidos

Cuando se aplique la CCPA/CPRA, puede solicitar información sobre las categorías y datos personales específicos recopilados, sus fuentes, finalidades y categorías de destinatarios; acceso y portabilidad; corrección; y eliminación, con las excepciones legales. Se mantienen los derechos aplicables a excluir la venta o comunicación para publicidad conductual y a limitar ciertos usos de información sensible. No vendemos ni compartimos información personal para publicidad conductual entre contextos, no la utilizamos para publicidad dirigida ni para inferir características sensibles. La información de autenticación puede ser sensible; su uso se limita a prestar y proteger el servicio. No discriminamos por ejercer derechos protegidos.

Las categorías de la Sección 3 corresponden, cuando proceda, a identificadores y datos de contacto; información de registros de clientes; información comercial; actividad en internet o redes electrónicas; información profesional; e información personal incluida en el contexto y los resultados aportados por el Cliente. Las Secciones 3–4 describen fuentes y finalidades, la Sección 5 los destinatarios y la Sección 6 la conservación. Para comunicaciones con fines empresariales, los proveedores de alojamiento reciben información de cuenta y resultados permitidos; los de pagos, información de facturación; los de mensajes del servicio, datos de contacto; y los de IA, únicamente el contexto permitido sin código necesario para el servicio solicitado. Facilitamos cualquier aviso adicional exigido antes de la recopilación o en ese momento y actualizamos al menos anualmente la información histórica de categorías exigida. El contenido tratado exclusivamente como prestador de servicios sigue las instrucciones lícitas documentadas del Cliente y esta Política, sin utilizarse para fines independientes.

Envíe solicitudes a [email protected] o mediante los controles de privacidad disponibles en la cuenta. Un representante autorizado puede presentarlas, sujeto a las comprobaciones de facultades e identidad legalmente permitidas. No exigimos crear una cuenta únicamente para ejercer derechos. Para solicitudes de California de información, eliminación o corrección, acusamos recibo dentro de 10 días hábiles y normalmente respondemos dentro de 45 días naturales, con otros 45 días únicamente cuando se permita y previa notificación. Las solicitudes de exclusión aplicables siguen sus plazos legales más breves, no ese plazo de 45 días. Respetamos las señales de preferencias legalmente exigidas para las actividades a las que se apliquen. Una señal del navegador no constituye consentimiento para nuevos tratamientos.

Cuando se apliquen leyes de otros estados, regirán sus derechos, exclusiones, plazos, reglas de representación y recursos. Puede recurrir mediante nuestro correo de privacidad, indicando «Privacy appeal» y su estado; identificaremos el plazo y la vía de reclamación aplicables. Los procedimientos de Texas figuran en la Sección 9.1 y no se imponen a otros estados. Una exención legal para determinados contactos empresariales o un umbral de tamaño no elimina nuestros compromisos contractuales de confidencialidad y tratamiento.

9.4. Canadá

Cuando rija PIPEDA o una ley provincial aplicable, seguimos siendo responsables de la información bajo nuestro control, incluido el tratamiento encargado a prestadores. Explicamos las finalidades de forma comprensible y obtenemos el consentimiento exigido para la actividad, con las excepciones legales. El consentimiento a tratamientos innecesarios no es condición del servicio. Puede solicitar acceso, corrección e información sobre usos y comunicaciones, retirar el consentimiento sujeto a restricciones legales y preaviso razonable, y cuestionar el cumplimiento mediante nuestro canal de privacidad. Explicamos los efectos de la retirada sobre el servicio.

Conforme a PIPEDA, normalmente respondemos a solicitudes de acceso en 30 días; cualquier ampliación permitida se explica dentro del plazo inicial, incluidos los derechos de reclamación. Rigen los procedimientos y plazos provinciales cuando sean distintos. Puede reclamar ante la Office of the Privacy Commissioner of Canada o la autoridad provincial competente. La información tratada en Estados Unidos u otros países aprobados puede quedar sujeta al acceso de sus tribunales o autoridades mediante procedimientos lícitos; un contrato no elimina esa posibilidad.

Las consultas sobre privacidad en Québec pueden dirigirse a [email protected]. Cuando se aplique su legislación, la identidad y los datos de contacto de la persona responsable de la protección de la información personal deben estar disponibles públicamente conforme a sus requisitos; este contacto general de la empresa no sustituye esa divulgación. Deben completarse las evaluaciones de impacto exigidas, incluidas las previas a comunicar información fuera de Québec, y establecerse las garantías escritas necesarias. Se mantienen los derechos aplicables de portabilidad y reclamación. Los avisos exigidos en francés se facilitan por separado; esta traducción no los sustituye.

9.5. México

Cuando se aplique la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, las Secciones 1, 3, 5, 6 y esta sección constituyen las partes pertinentes de nuestro aviso de privacidad integral. Las finalidades primarias son administrar cuentas, realizar diagnósticos/especificaciones autorizados, facturar, prestar soporte, proteger el servicio y cumplir obligaciones legales. Este aviso no autoriza usos promocionales opcionales; cualquier finalidad de ese tipo requiere un aviso separado y las opciones o el consentimiento correspondientes. Obtenemos consentimiento expreso para información financiera o patrimonial y expreso por escrito para información sensible cuando sea obligatorio y no exista excepción legal.

Para ejercer acceso, rectificación, cancelación u oposición (ARCO), revocar el consentimiento o limitar el uso o divulgación, escriba a [email protected] con su nombre, un contacto de respuesta, los datos y el derecho correspondientes y la información razonablemente necesaria para acreditar identidad o representación. Para rectificar, indique el cambio y la información que lo sustenta. No envíe código fuente, contraseñas ni documentos de identidad innecesarios. Explicamos las verificaciones proporcionales y cualquier aclaración necesaria. Comunicamos la determinación dentro de 20 días hábiles y, si procede, la hacemos efectiva en los 15 días hábiles siguientes, sujetos únicamente a ampliaciones y excepciones legalmente permitidas. La revocación no tiene efectos retroactivos ni impide conservar registros permitidos sin código cuando la ley lo exija. Los derechos aplicables también pueden ejercerse ante la Secretaría Anticorrupción y Buen Gobierno mediante sus canales oficiales.

El tratamiento por un prestador por nuestra cuenta se distingue de una transferencia a un tercero independiente. Cuando una transferencia requiera consentimiento, lo obtenemos antes de realizarla; cuando exista una excepción, la documentamos. Los destinatarios deben respetar las finalidades y garantías aplicables. Aceptar este aviso no constituye consentimiento general para transferencias. Las actualizaciones siguen la Sección 12.

9.6. América Central

En Belice, Costa Rica, El Salvador, Guatemala, Honduras, Nicaragua y Panamá aplicamos las leyes que efectivamente rijan para la persona, el servicio y el tratamiento. No se presupone una única ley centroamericana ni un plazo universal de respuesta. Además de los derechos aplicables, ofrecemos contractualmente un canal para solicitar acceso, corrección, eliminación e información sobre el tratamiento mediante nuestro correo de privacidad, sujeto a excepciones legales y verificación proporcional.

La solicitud debe identificar el país, la información pertinente, la actuación solicitada y un contacto de respuesta. Identificamos el procedimiento aplicable y respondemos dentro del plazo legal del país; si no existe un plazo aplicable, nuestro compromiso de servicio es responder en 30 días naturales. Este plazo supletorio nunca amplía uno legal más breve. Todo consentimiento, garantía de transferencia, registro, representante o aviso específico legalmente exigido debe estar establecido antes del tratamiento afectado. La disponibilidad del sitio no implica que esas formalidades se hayan completado en todos los países.

En Costa Rica puede acudirse a PRODHAB y en Panamá a ANTAI cuando sean competentes. Para El Salvador, Belice y los demás países facilitamos la vía de reclamación competente y vigente cuando corresponda, sin suponer que una autoridad extranjera es responsable. La información controlada por el Cliente sigue esta Política y las instrucciones lícitas documentadas del responsable correspondiente. La ley local puede imponer obligaciones aunque el material se trate únicamente de forma temporal.

9.7. Suiza y otras jurisdicciones europeas

Cuando se aplique la Ley Federal de Protección de Datos suiza, puede ejercer los derechos aplicables de acceso, corrección, eliminación y demás derechos legales, incluida la portabilidad cuando se cumplan sus requisitos, y acudir al Federal Data Protection and Information Commissioner (FDPIC). Facilitamos la información exigida sobre países de tratamiento y garantías de transferencia. Se identificará un representante suizo cuando sea obligatorio; este aviso no afirma que exista un representante o una certificación de transferencia. Para el EEE y el Reino Unido rige la Sección 9.2. Los demás países europeos se evalúan conforme a su propia legislación, sin considerarlos automáticamente miembros de la UE.

10. Cookies

Las cookies de sesión mantienen la autenticación y duran lo mismo que la sesión del navegador. Las cookies de preferencias conservan el idioma y la configuración durante un máximo de 12 meses. No utilizamos cookies publicitarias o de seguimiento ni cookies de análisis de terceros que identifiquen individualmente a los usuarios. Cuando la legislación local exige consentimiento para una cookie de preferencias, lo obtenemos antes de instalarla. Los controles del navegador pueden limitar las cookies, aunque desactivar las cookies de sesión necesarias puede impedir el inicio de sesión.

11. Menores e incidentes

Las cuentas están destinadas a personas de 18 años o más. No solicitamos deliberadamente información de menores para crear cuentas. Si identificamos una recopilación inadecuada, detenemos el tratamiento afectado y adoptamos las medidas de eliminación pertinentes, con sujeción a obligaciones legales. La información de menores incidentalmente presente en materiales autorizados del cliente debe ser necesaria y tratarse conforme a la ley aplicable y las instrucciones lícitas del responsable. Esto no autoriza a proporcionar información innecesaria o no autorizada de menores. Los padres o tutores pueden contactar con nuestro correo de privacidad.

Comunicaremos al cliente, sin demora injustificada y dentro de 24 horas corridas desde que tengamos conocimiento, los incidentes de seguridad que afecten a sus datos o información confidencial, incluida información que no sea personal. Cuando actuemos como encargados o subencargados del tratamiento, informaremos al cliente que haya transmitido las instrucciones de tratamiento y cooperaremos con el responsable correspondiente. La comunicación inicial utilizará la información disponible y podrá complementarse sin esperar a que concluya la investigación.

Investigamos los incidentes, adoptamos medidas de contención y realizamos las notificaciones legalmente exigidas cuando actuamos como responsables del tratamiento. En Estados Unidos, las normas estatales aplicables sobre notificación de brechas de seguridad determinan las obligaciones y los plazos. El plazo de una jurisdicción no sustituye otra obligación aplicable. Un plazo regulatorio diferente no amplía el compromiso contractual de avisar al cliente dentro de 24 horas.

Las comunicaciones describirán los hechos conocidos, las categorías de datos afectadas, los posibles impactos, las medidas de contención y los canales de contacto pertinentes. Adoptaremos las medidas necesarias para contener el incidente, mitigar sus efectos y prevenir su repetición, facilitando actualizaciones relevantes a los destinatarios. Conservaremos los registros necesarios para la investigación y el cumplimiento legal, sin retener código fuente.

12. Cambios y contacto

Los cambios sustanciales se comunican por correo electrónico o mediante un aviso en la Plataforma al menos 15 días antes de su entrada en vigor, sujeto a cualquier plazo mayor exigido por la ley. Obtenemos el consentimiento cuando un nuevo uso lo requiere. La fecha de publicación identifica la versión puesta a disposición; los cambios sustanciales siguen los plazos de aviso descritos anteriormente.

DSTRATEGY LLC 13809 Research Blvd. Suite 500 Austin, TX 78750 - USA Contacto de privacidad: [email protected].

DSTRATEGY LLC es responsable del canal de privacidad. Por ese canal recibimos solicitudes de las personas, facilitamos aclaraciones, tramitamos las actuaciones pertinentes y atendemos comunicaciones de las autoridades. El canal puede utilizarse con independencia de que se haya designado un delegado de protección de datos. Cuando la legislación aplicable exija esa designación, su identidad y sus datos de contacto se divulgarán de forma pública y accesible; identificar a la empresa como responsable del canal no sustituye esa designación. Cualquier representante local legalmente obligatorio sigue sujeto a la Sección 9.2.

13. Tratamiento por cuenta de clientes

Cuando tratamos información personal por cuenta del Cliente, seguimos sus instrucciones lícitas documentadas para el servicio autorizado y las garantías descritas en esta Política. Esto no autoriza utilizar información del Cliente para mercadotecnia propia ni entrenamiento de modelos. Los lugares de tratamiento, destinatarios, plazos de caducidad de copias de seguridad y garantías de transferencia exigidas deben documentarse antes de realizar tratamientos que requieran esas condiciones. Cuando administramos cuentas, facturación o seguridad de forma independiente, mantenemos la responsabilidad por esas actividades conforme a esta Política.

Política de Privacidad · es-2026-10-22-r4