Política de Privacidad y Protección de Datos

Esta Política establece los criterios utilizados por RPSIGN para tratar datos personales relacionados con su sitio institucional y con el uso autorizado de la plataforma. Explica qué información puede tratarse, por qué se utiliza, qué fundamentos jurídicos pueden resultar aplicables, cómo puede compartirse o conservarse y qué derechos corresponden a las personas.

El sitio público tiene finalidad institucional e informativa. El acceso operativo es restringido a relaciones y flujos autorizados. Visitar el sitio no crea automáticamente una cuenta, no abre el servicio a contratación pública y no envía documentos a firma.

RPSIGN opera en Brasil y adopta como referencia principal la Ley brasileña nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD) — y las demás normas brasileñas aplicables.

Dato personal

Información relativa a una persona natural identificada o identificable.

Dato personal sensible

Dato sujeto a protección reforzada por la LGPD, incluidos datos biométricos vinculados a una persona.

Titular

Persona natural a la que se refieren los datos personales.

Tratamiento

Cualquier operación con datos, como recogida, acceso, almacenamiento, uso, comunicación o eliminación.

Responsable/controlador

Persona o entidad que decide las finalidades y medios esenciales del tratamiento.

Operador

Persona o entidad que trata datos por cuenta y bajo instrucciones del controlador.

Flujo

Conjunto de etapas que relaciona documento, participantes, política, autenticación, voluntad y evidencias.

Participante

Persona vinculada al flujo como firmante, representante, testigo, revisor o destinatario.

RPSIGN es el controlador de los datos tratados en su operación porque determina las finalidades esenciales, las reglas de acceso y los criterios de utilización. Mientras se completa la formalización societaria, esta Política identifica al controlador por la denominación institucional RPSIGN; la razón social y el CNPJ se incorporarán cuando estén disponibles.

ADDON — Inteligência, Software e Automação desarrolló la solución tecnológica. El desarrollo de software, por sí solo, no convierte a ADDON automáticamente en controlador u operador. Su papel depende de las actividades efectivamente realizadas y del acceso real a datos en nombre de RPSIGN.

Proveedores técnicos pueden actuar como operadores o suboperadores cuando presten alojamiento, correo electrónico, protección contra abuso, almacenamiento, autenticación u otra función contratada.

La cantidad y naturaleza de datos dependen de la relación con RPSIGN. Un visitante que envía un mensaje proporciona menos información que un participante de un flujo de firma. El criterio general es tratar únicamente lo razonablemente necesario.

Datos proporcionados directamente

Pueden incluir nombre, correo electrónico, teléfono, contenido del mensaje, identificación necesaria para acceso autorizado, información de participantes y datos contenidos en documentos.

Datos técnicos y de seguridad

Pueden incluir dirección IP, fecha y hora, navegador, identificadores de sesión, eventos de autenticación, intentos de acceso y registros de seguridad utilizados para prevenir abuso e investigar fallos.

Datos del flujo

Pueden incluir identificadores de sobres, versiones, roles, secuencia de eventos, estado, manifestaciones registradas, hashes y evidencias técnicas realmente producidas.

Verificación reforzada

Documento de identidad, geolocalización, selfie, prueba de vida o biometría solo deben tratarse cuando el mecanismo esté efectivamente habilitado, sea necesario y cuente con base legal y salvaguardas adecuadas.

RPSIGN no utiliza una única base jurídica genérica. El fundamento debe evaluarse según la finalidad, la relación y la naturaleza del dato. La tabla resume los escenarios principales dentro del marco de la LGPD brasileña.

El consentimiento solo se utilizará cuando sea adecuado para una finalidad específica. RPSIGN no utiliza los datos del sitio para publicidad comportamental, perfiles publicitarios o venta de bases de datos.

Un documento puede contener datos de personas distintas del remitente: firmantes, representantes, testigos, partes, abogados u otras personas mencionadas. Quien crea o administra el flujo debe tener legitimidad para utilizar esos datos y comunicar el documento a los participantes indicados.

El uso de RPSIGN no vuelve lícita una divulgación que sería irregular fuera de la plataforma. Si existe secreto profesional, confidencialidad contractual, secreto empresarial u otro deber de reserva, el remitente debe evaluar previamente la compatibilidad del envío con esos deberes.

El contenido documental no se utiliza para publicidad comportamental, perfilado comercial ni venta de información. Un acceso técnico excepcional debe estar limitado a soporte solicitado, seguridad, investigación de incidentes, cumplimiento legal o ejercicio de derechos.

Los datos de autenticación y las evidencias dependen del método realmente utilizado. Según disponibilidad y política, pueden existir e-mail, códigos de un solo uso, canales móviles, datos técnicos del dispositivo, certificado digital u otros controles. Combinar varios mecanismos no garantiza de forma absoluta la identidad ni determina automáticamente una categoría jurídica.

La arquitectura de integridad puede vincular eventos a hashes SHA-256 y al ledger de la organización. El encadenamiento permite detectar inconsistencias con la cadena registrada y checkpoints HMAC-SHA-256 refuerzan la verificación interna. Estos controles no equivalen, por sí solos, a firma digital ICP-Brasil, sello de tiempo confiable o protección absoluta frente a un compromiso total.

Futuros certificados de conclusión o informes de auditoría deberán reflejar solo evidencias realmente generadas y no se presentarán como autenticación notarial, certificado digital o peritaje independiente.

El sitio utiliza actualmente solo mecanismos técnicos necesarios para funcionamiento, idioma, accesibilidad, seguridad del formulario y, cuando exista área autenticada, mantenimiento de sesión. No utiliza cookies de marketing, publicidad o rastreo comportamental.

• El aviso registra “Entendido” en sessionStorage únicamente en la pestaña actual.
• Un área autenticada puede utilizar cookie de sesión estrictamente necesaria mientras dure la sesión.
• El formulario utiliza Cloudflare Turnstile como mecanismo antiabuso con validación del token en el servidor.
• El servidor puede conservar temporalmente un identificador derivado de la IP para limitar intentos abusivos.

El botón de conocimiento no representa consentimiento para publicidad. Si en el futuro se incorporan cookies no esenciales, los controles de elección deberán revisarse antes de activarlas.

RPSIGN busca evitar comunicaciones innecesarias. Los datos pueden facilitarse a proveedores cuando una función técnica lo requiera, por ejemplo alojamiento, correo electrónico, protección antiabuso, almacenamiento, soporte, autenticación o firma digital efectivamente contratada.

También puede existir comunicación por obligación legal, orden judicial válida, solicitud de autoridad competente, protección de derechos o investigación de fraude e incidentes. El alcance debe limitarse a la finalidad concreta.

RPSIGN no vende datos personales a anunciantes ni autoriza usos incompatibles por parte de proveedores.

Algunos proveedores pueden mantener infraestructura o soporte fuera de Brasil. Cuando exista transferencia internacional, RPSIGN deberá considerar los requisitos de la LGPD, la finalidad, las garantías del proveedor y el mecanismo jurídico adecuado.

La utilización de proveedor extranjero no autoriza tratamiento ilimitado. La transferencia permanece vinculada a la función técnica contratada y a controles proporcionales de acceso y seguridad.

No existe un plazo único para todas las categorías. Contactos, logs de seguridad, documentos y evidencias cumplen finalidades distintas. La conservación considera necesidad operativa, obligaciones legales, ejercicio de derechos, prevención de fraude y plazos jurídicamente relevantes.

Mensajes de contacto deben mantenerse solo el tiempo razonablemente necesario; registros antiabuso pueden tener retención corta; documentos y evidencias pueden requerir conservación mayor para demostrar existencia, integridad o secuencia del flujo.

Cuando cese la finalidad y no haya fundamento para conservar, los datos deberán eliminarse, anonimizarse o recibir otro destino permitido por la LGPD. Una solicitud de eliminación no prevalece automáticamente sobre una obligación legítima de conservación.

RPSIGN adopta seguridad por capas. La arquitectura administrativa incorpora MFA TOTP, sesiones seguras, control de acceso por roles con denegación por defecto, aislamiento organizacional, almacenamiento privado, políticas versionadas y mecanismos de integridad. Reducen riesgos, pero no justifican promesas de invulnerabilidad.

La seguridad administrativa y la identificación del firmante tienen finalidades diferentes. Una cuenta administrativa bien protegida no prueba por sí sola la identidad de un firmante en un documento determinado.

Sospechas de acceso no autorizado, divulgación, alteración incompatible o indisponibilidad relevante deben evaluarse para contener el evento, preservar evidencias, comprender impacto y adoptar medidas correctivas. Cuando la ley brasileña lo exija, se considerará la notificación a titulares y a la ANPD.

Conforme a la LGPD, los titulares pueden solicitar, cuando proceda, confirmación del tratamiento, acceso, corrección, anonimización, bloqueo o eliminación de datos innecesarios o irregulares, portabilidad en los límites reglamentarios, información sobre comparticiones, revocación del consentimiento cuando corresponda y revisión de determinadas decisiones automatizadas.

RPSIGN puede solicitar una verificación razonable de identidad para evitar entregar, modificar o borrar datos a una persona equivocada. Si un pedido no puede atenderse por existir fundamento legal de conservación o restricción, deberá explicarse la razón aplicable.

Las solicitudes pueden presentarse mediante el formulario institucional. No deben enviarse documentos sensibles por el contacto inicial sin orientación específica.

Esta Política puede actualizarse por cambios legales, regulatorios, técnicos u operativos. La fecha de revisión vigente permanecerá indicada al inicio y cambios sustanciales podrán comunicarse por un canal adecuado cuando sea necesario.

RPSIGN es una operación brasileña y esta Política se interpreta principalmente conforme al Derecho brasileño y a la LGPD. Esta traducción se facilita para comprensión; en caso de divergencia interpretativa, la versión en portugués de Brasil es la referencia, sin perjuicio de normas imperativas aplicables.

Las consultas pueden enviarse mediante el canal de contacto de RPSIGN.