Política de privacidad

1. Quiénes somos y cómo contactarnos

Ceertia es un servicio de software operado por OrNsoft Corporation («OrNsoft», «nosotros»). OrNsoft Corporation es una sociedad del estado de Florida con domicilio social en 10800 Biscayne Blvd #988, Miami, Florida 33161, EE. UU.

Para cualquier consulta sobre esta política, sobre el tratamiento de sus datos personales, o para ejercer cualquiera de los derechos descritos más abajo, escríbanos a ceertia-privacy@ornsoft.com. Respondemos a cada solicitud que llega a esa dirección, y es la vía más rápida hacia una persona capaz de actuar.

Si se encuentra en el Espacio Económico Europeo o en el Reino Unido, también puede escribir a nuestro contacto europeo de privacidad: Privacy-EU@ornsoft.com. Para preguntas sobre su cuenta de Ceertia que no sean de privacidad, nuestro equipo de soporte está en Support@OrNsoft.com o en el +1 888-808-9498, 24 horas al día.

Si se encuentra en el Espacio Económico Europeo, el Reino Unido o Suiza, también tiene derecho a presentar una reclamación ante su autoridad nacional de protección de datos. Si está en Canadá, puede reclamar ante la Oficina del Comisionado de Privacidad de Canadá o ante su regulador provincial. Preferiríamos tener la oportunidad de resolverlo primero, pero nada en esta política le retira ese derecho.

OrNsoft aún no ha designado un representante conforme al artículo 27 del RGPD. Cuando sea necesario, lo designaremos y publicaremos aquí sus datos; mientras tanto, Privacy-EU@ornsoft.com es la dirección para consultas de la UE y del Reino Unido.

2. Qué cubre esta política y el papel que desempeñamos

Esta política cubre ceertia.com (nuestro sitio público) y ceertia.app (la aplicación Ceertia alojada) cuando se registra y usa una cuenta directamente con nosotros. Describe qué hacemos con los datos personales de los que OrNsoft es responsable del tratamiento — es decir, decidimos por qué y cómo se tratan.

No cubre el caso en que Ceertia lo usa una organización que tiene su propio contrato con nosotros y sus propias instrucciones sobre los datos que introduce en la plataforma. En ese caso OrNsoft actúa como encargado del tratamiento por cuenta de esa organización, esa organización es la responsable, y su propia política de privacidad — no esta — explica qué ocurre con los datos. Nuestras obligaciones en ese marco están fijadas en el acuerdo de tratamiento de datos que firmamos con el cliente.

Tampoco cubre las instalaciones on-premise. Ceertia puede instalarse en los servidores del propio cliente y servirse desde su propio dominio. En ese marco el cliente aloja el software y posee los datos, y el cliente es el responsable del tratamiento conforme a su propia política. OrNsoft no tiene acceso a los documentos tratados allí. La instalación sí nos envía una pequeña cantidad de información de licencia y medición, descrita en la sección 7.3.

Si no está seguro de cuál de estos casos le aplica, pregúntenos a ceertia-privacy@ornsoft.com y se lo diremos.

3. Los datos que recogemos

Recogemos las siguientes categorías de datos personales.

• Datos de cuenta e identidad. Su nombre, su dirección de email profesional, su contraseña (almacenada solo como hash con sal), el nombre de su empresa u organización, su cargo si lo facilita, y el país desde el que nos indica que opera.
• Contenidos que envía. Documentos, archivos, imágenes, textos y cualquier otro material que cargue en Ceertia o genere dentro de él, junto con los resultados que Ceertia produce a partir de ese material. Estos contenidos pueden contener datos personales sobre usted o sobre otras personas — véase la sección 10.
• Registros de uso. Registros de lo que hizo en la plataforma: funcionalidades utilizadas, procesos ejecutados, volúmenes tratados, marcas de tiempo y las opciones de configuración asociadas a su cuenta o espacio de trabajo.
• Información de pago. Nombre y dirección de facturación, identificadores fiscales, plan e historial de facturas. Los números de tarjeta los gestionan nuestros procesadores de pago conforme a PCI DSS y nunca se almacenan en nuestros sistemas. La lista actual de procesadores de pago está disponible a petición en ceertia-privacy@ornsoft.com.
• Correspondencia de soporte. Emails, mensajes de chat y tickets que nos envía, junto con nuestras respuestas y cualquier adjunto.
• Datos técnicos. Dirección IP, tipo de navegador y dispositivo, sistema operativo, configuración de idioma, y los registros que generan nuestros servidores cuando su navegador o un cliente de API se conecta a ellos.
• Cookies. Dos cookies estrictamente necesarias en la aplicación, y Google Analytics en el sitio web si lo consiente. Véase la sección 14.
• Datos analíticos. Mediciones agregadas y pseudonimizadas de cómo se usan el sitio web y la plataforma.
• Información sensible recibida de forma incidental. No pedimos datos de categorías especiales, pero los documentos que envía pueden contenerlos. Véase más abajo.

3.1 Información sensible

No solicitamos datos de categorías especiales (datos que revelen origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos o biométricos, datos de salud, o datos relativos a la vida sexual o la orientación sexual), y no los usamos para elaborar perfiles de nadie ni para tomar decisiones sobre nadie.

Cuando tales datos aparecen dentro de un documento que usted envía, se tratan únicamente como parte de ese documento, para la finalidad por la que lo envió, y se eliminan cuando el documento se elimina. Nunca se separan, ni se indexan como atributo sensible, ni se usan para ninguna finalidad secundaria.

3.2 Edad

Ceertia es un producto profesional y las cuentas son para personas de 18 años o más. Cuando pedimos una fecha de nacimiento para confirmarlo, la verificamos y luego la descartamos, conservando solo el hecho de que la verificación se superó.

4. Por qué los usamos, con qué base legal y durante cuánto tiempo

Cuando nos basamos en intereses legítimos, hemos ponderado nuestro interés frente a sus derechos y libertades y hemos concluido que el tratamiento es proporcionado. Puede pedirnos un resumen de esa valoración en cualquier momento.

Una vez vencido el plazo de conservación, los datos se eliminan o se anonimizan de forma irreversible. Las copias de seguridad siguen un ciclo rotatorio y purgan los datos eliminados en un plazo de 90 días.

5. Análisis automatizado de cuentas y contenidos

Para mantener la plataforma segura y gestionar las pruebas con sensatez, ejecutamos controles automatizados sobre señales como patrones de uso, nombres de archivo, metadatos de cuenta y mensajes de soporte. Estos controles sirven para identificar cuentas que podrían encajar bien en una prueba guiada, y para señalar contenidos o comportamientos que puedan infringir nuestras condiciones de uso aceptable.

Una señal automatizada no es una decisión. Cuando la señal se refiere a algo distinto de material manifiestamente ilícito, una persona de OrNsoft la revisa antes de tomar cualquier medida contra una cuenta. La suspensión automática sin revisión humana se reserva a contenidos ilícitos de forma manifiesta.

5.1 Datos de categorías especiales en las señales

Una señal puede ocasionalmente implicar algo sobre una característica sensible — por ejemplo cuando el contenido examinado se refiere a una característica protegida. Cuando eso ocurre en el EEE o en el Reino Unido, nos basamos en el artículo 9(2)(g) (interés público esencial en prevenir y detectar actos ilícitos) y en el artículo 9(2)(f) (formulación, ejercicio o defensa de reclamaciones). Estos registros se conservan aparte de los datos de cuenta ordinarios y su acceso está restringido.

6. Su derecho a oponerse a este análisis

Puede oponerse al análisis automatizado descrito en la sección 5 escribiendo a ceertia-privacy@ornsoft.com. Excluiremos su cuenta de la evaluación automatizada y nos basaremos en revisión manual. Oponerse no le cuesta nada: su acceso, su precio y la calidad del soporte que recibe no cambian.

Podemos seguir ejecutando los controles de seguridad mínimos necesarios para proteger la plataforma y cumplir nuestras obligaciones legales, y le diremos cuáles son si lo pregunta.

7. Dónde se ejecuta Ceertia y dónde se almacenan sus datos

Ceertia se entrega de tres formas, y dónde viven sus datos depende de cuál le aplique.

7.1 ceertia.app — Estados Unidos

Los clientes de Estados Unidos y del resto de América están alojados en Amazon Web Services (AWS) en la región us-east-1 (Virginia del Norte, Estados Unidos). Los contenidos, el tratamiento y las copias de seguridad permanecen en esa región.

7.2 ceertia.app — Europa

Los clientes de Europa están alojados en AWS en la región eu-north-1 (Estocolmo, Suecia). Sus contenidos, el tratamiento realizado sobre ellos y sus copias de seguridad se almacenan y tratan en esa región y no se copian a Estados Unidos.

La asignación de región se fija al aprovisionar su cuenta o espacio de trabajo. Si necesita una región concreta, indíquenoslo antes del onboarding y confirmaremos lo que está disponible.

7.3 Instalaciones on-premise

Ceertia también puede instalarse en la infraestructura del propio cliente y servirse desde su propio dominio. En ese caso:

• el cliente elige dónde están los servidores y por tanto dónde residen los documentos;
• OrNsoft no aloja ni almacena los documentos del cliente, y no tiene acceso a su contenido;
• el cliente es responsable de la seguridad, la copia de seguridad, la disponibilidad y la conservación de su propia instalación;
• las secciones 7.1 y 7.2 no aplican, y las secciones de esta política que describen nuestro alojamiento y nuestro acceso a los contenidos deben leerse como aplicables solo al servicio alojado;
• cuando un cliente on-premise nos pide soporte, cualquier acceso que se nos conceda es temporal, otorgado por el cliente, y limitado a lo que la solicitud requiera.

Qué nos envía una instalación on-premise. Ceertia se licencia con base en créditos, midiendo el consumo por página, por lo que una instalación on-premise contacta con OrNsoft periódicamente con tres finalidades estrictas:

Estas llamadas solo transportan contadores e identificadores. Nunca transportan los documentos en sí, extractos de ellos, nombres de archivo, metadatos de documentos, la identidad de quien ejecutó un proceso, ni registros de error de la aplicación. En términos de protección de datos esto es administración de licencias, no tratamiento de los contenidos del cliente, y nos basamos en nuestro interés legítimo en medir y proteger nuestro propio software (art. 6(1)(f)) junto con la ejecución del contrato de licencia (art. 6(1)(b)). Los registros de medición se conservan el tiempo necesario para facturar y resolver disputas de facturación, y en ningún caso más allá del periodo contable de 7 años de la sección 4.

Un cliente on-premise que active un proveedor de modelos de IA externo (sección 8) envía contenidos directamente desde su propia instalación a ese proveedor, al amparo de su propio contrato con él. Ese tráfico no pasa por OrNsoft.

7.4 Nuestro sitio web

ceertia.com es un sitio de marketing y se aloja aparte de la aplicación. No contiene contenido de clientes. Puede funcionar en otras infraestructuras usadas por OrNsoft, incluidas Google Cloud y Hostinger.

8. Proveedores de modelos de IA y qué ocurre con sus contenidos

Ceertia usa modelos de IA para leer, clasificar y extraer información de los documentos que envía.

Nuestro proveedor por defecto es Genius Document AI, un servicio operado por OrNsoft Corporation. Como Genius Document AI es nuestro propio servicio y no el de un tercero, sus contenidos permanecen dentro de la infraestructura de OrNsoft — la misma huella de AWS descrita en la sección 7 — para todo el tratamiento estándar. Los contenidos tratados por Genius Document AI no se usan para entrenar modelos de nadie más.

Proveedores de modelos de terceros opcionales. Los clientes que prefieran usar un proveedor de modelos externo pueden activar uno, a su elección y bajo su control. Estos proveedores no están activos a menos que el cliente los active, y pueden incluir proveedores como Anthropic, OpenAI, Google, Mistral AI, y modelos servidos a través de Amazon Bedrock. La lista de proveedores disponibles para activación, y la lista actual de todos los encargados, está disponible a petición en ceertia-privacy@ornsoft.com.

Cuando un cliente activa un proveedor externo:

• Los contenidos enviados a ese proveedor salen de la infraestructura de OrNsoft y se tratan conforme a sus condiciones y sus propios dispositivos de seguridad y residencia, que pueden diferir de los nuestros;
• Contratamos con esos proveedores en términos que prohíben el uso de sus contenidos para entrenar o mejorar sus modelos, salvo que un cliente nos pida expresamente organizar un fine-tuning sobre sus propios datos;
• El administrador del cliente decide qué proveedor está activo y puede desactivarlo;
• Le diremos, a petición, qué proveedor está activo en su espacio de trabajo y dónde trata los datos.

Avisamos antes de añadir un nuevo encargado del tratamiento.

9. Transferencias internacionales y acceso de las autoridades

Mantenemos los datos en reposo en la región propia del cliente, como se describe en la sección 7. No obstante, se producen transferencias fuera del EEE, el Reino Unido o Suiza en tres situaciones:

• Administración del entorno de la UE desde Estados Unidos. Como se indica en la sección 7.2, personal técnico de OrNsoft en Estados Unidos administra el entorno eu-north-1 y puede acceder a él de forma remota. Esta es la transferencia que afecta a todos los clientes europeos del servicio alojado.
• Proveedores de modelos de IA de terceros opcionales, cuando un cliente ha activado uno que trata fuera del EEE (sección 8).
• Soporte y administración corporativa, cuando resolver una solicitud lo requiere.

Para los tres casos nos basamos en las cláusulas contractuales tipo de la Comisión Europea, junto con el addendum del Reino Unido o el International Data Transfer Agreement británico cuando proceda, respaldadas por una evaluación de impacto de las transferencias y por medidas técnicas que incluyen cifrado en tránsito y en reposo, control de acceso basado en roles, autenticación multifactor y registro de los accesos administrativos.

Somos francos en un punto: como empresa con operaciones en Estados Unidos, podemos estar sujetos a procedimientos legales estadounidenses, incluida la CLOUD Act. Si recibimos una solicitud de datos de una autoridad gubernamental o policial, comprobamos que sea válida y lícita, la reducimos al mínimo que deba producirse, la impugnamos cuando hay motivos, y notificamos al cliente afectado salvo prohibición legal.

10. Personas nombradas en los contenidos que envía

Los documentos enviados a Ceertia mencionan a menudo a personas que no son nuestros usuarios — un firmante, un empleado, una contraparte. Esas personas también son interesados, y esta política les es aplicable.

No conservamos sobre tal persona ningún dato más allá de lo que aparece en el material que envió un titular de cuenta. No lo enriquecemos con otras fuentes, no elaboramos perfiles y no la contactamos. Las solicitudes de acceso o supresión conviene dirigirlas normalmente a la organización que envió el documento, porque ella controla el contenido; pero si escribe a ceertia-privacy@ornsoft.com le ayudaremos a llegar a la parte correcta y actuaremos sobre todo lo que esté bajo nuestro control.

11. Las organizaciones y sus miembros

Cuando una cuenta pertenece a una organización, la organización la controla. Los administradores pueden ver los contenidos del espacio de trabajo, los registros de uso asociados y los miembros del espacio, y pueden añadir o retirar miembros. Si usa Ceertia a través de su empleador, las políticas de su empleador rigen lo que hace con ese acceso.

Su derecho individual a oponerse al análisis automatizado conforme a la sección 6 le pertenece a usted y no queda anulado por los derechos administrativos de su organización.

12. Derechos de residentes de estados de EE. UU.

Si reside en un estado de EE. UU. con una ley de privacidad del consumidor — incluidos California, Colorado, Connecticut, Virginia, Utah, Texas, Oregón, Montana, Nebraska y otros a medida que entren en vigor — dispone de los derechos establecidos en esta sección, en la medida en que esa ley le sea aplicable.

Puede pedirnos que le indiquemos qué datos personales tenemos sobre usted y de dónde provienen, que los corrijamos, que los eliminemos, que le demos una copia portable, y oponerse a la publicidad dirigida, a la venta o el intercambio de datos personales, y a la elaboración de perfiles que produzca efectos jurídicos o similarmente significativos. No discriminamos a nadie por ejercer estos derechos.

12.1 No vender ni compartir mi información personal

No vendemos datos personales y no los compartimos para publicidad conductual entre contextos. No hay píxel publicitario, ni etiqueta de conversión, ni identificador publicitario en ceertia.com ni en la aplicación Ceertia. La única tecnología de terceros en el sitio es Google Analytics, usado para medir tráfico, y solo se ejecuta si acepta las cookies analíticas.

Google Signals y las funciones publicitarias de Google Analytics están desactivadas en nuestra propiedad de Google Analytics, por lo que no se recogen ni transmiten identificadores publicitarios.

Si aun así desea que registremos una exclusión en su cuenta, rechace las cookies analíticas en el banner, envíe una señal Global Privacy Control desde su navegador, o escriba a ceertia-privacy@ornsoft.com.

12.2 Sus derechos y cómo recurrir

Escriba a ceertia-privacy@ornsoft.com. Respondemos en 45 días y podemos prorrogar una vez otros 45 días cuando la solicitud es compleja, explicándole el motivo. Verificamos la identidad antes de actuar, en proporción a la sensibilidad de los datos.

Si denegamos, puede recurrir respondiendo a nuestra decisión. Una persona distinta revisa el recurso y responde en 45 días (60 días en algunos estados). Si el recurso no prospera, le indicaremos cómo contactar con el Fiscal General de su estado.

12.3 Global Privacy Control

Respetamos la señal Global Privacy Control como una exclusión válida de la venta y el intercambio, tanto en el navegador que la envió como, cuando podemos asociarla a una cuenta, en nuestros propios registros.

12.4 Información sensible y datos de salud

No usamos ni divulgamos información personal sensible para fines que vayan más allá de los permitidos sin exclusión conforme a la ley estatal aplicable. Ceertia no es un producto sanitario y no recogemos datos de salud del consumidor para nuestras propias finalidades. Cuando información de salud aparece dentro de un documento enviado por un cliente, se gestiona como se describe en la sección 3.1: se trata solo como parte de ese documento, para la finalidad por la que se envió, y nunca se usa para inferir nada sobre la salud de una persona.

Cuando un cliente pretenda usar Ceertia para tratar información de salud a gran escala, lo gestionamos mediante un acuerdo separado con ese cliente y no con esta política — por ejemplo un Business Associate Agreement cuando aplica HIPAA, o una notificación específica de datos de salud del consumidor cuando aplica una ley estatal como la Washington My Health My Data Act. Los clientes que necesiten tal dispositivo deben contactarnos en ceertia-privacy@ornsoft.com antes del onboarding.

12.5 Qué leyes aplican y cuándo eso cambia

Algunas leyes estatales de privacidad solo aplican por encima de ciertos umbrales de facturación o volumen, y OrNsoft puede no alcanzarlos todos actualmente. Extendemos los derechos descritos arriba a los residentes de todos los estados con una ley integral de privacidad, se alcance el umbral o no, para que no tenga que averiguar qué ley le cubre.

13. El Reino Unido y otros países

Si está en el Reino Unido, le aplica el UK GDPR y los derechos de la sección 17 le corresponden en su totalidad. Derechos comparables aplican si está en Suiza (revFADP), Brasil (LGPD), Canadá (PIPEDA y derecho provincial, incluida la Ley 25 de Quebec) o Australia (Privacy Act 1988). Cuando el derecho local le otorgue más de lo que establece esta política, prevalece el derecho local.

14. Cookies y tecnologías similares

Ceertia usa muy pocas cookies, y la aplicación no usa ninguna para seguimiento.

14.1 La aplicación Ceertia (ceertia.app y on-premise)

La aplicación establece dos cookies, ambas estrictamente necesarias. Ninguna le rastrea, le perfila ni se comparte con nadie.

Como ambas son estrictamente necesarias para prestar un servicio que usted ha solicitado, se establecen sin consentimiento, y no hay banner de cookies en la aplicación. No hay cookies analíticas, publicitarias ni de terceros en la aplicación Ceertia.

14.2 El sitio web de Ceertia (ceertia.com)

El sitio usa cookies estrictamente necesarias, y Google Analytics para medir el tráfico, con Google Signals y las funciones publicitarias desactivadas. Google Analytics se establece solo después de que usted lo acepte mediante nuestro banner de consentimiento. Rechazar es tan fácil como aceptar: el banner ofrece ambas opciones en un clic, y puede cambiar de opinión en cualquier momento mediante el enlace de configuración de cookies del pie de página. No hay cookies publicitarias en el sitio.

15. Menores

Ceertia es un producto profesional, no está dirigido a menores, y no es para personas de menos de 18 años. No recogemos a sabiendas datos personales de personas menores de 16 años en ninguna circunstancia, y las cuentas de Ceertia exigen tener 18 años o más. Si averiguamos que una cuenta pertenece a un menor, la cerramos y eliminamos los datos asociados. Si cree que un menor nos ha facilitado datos personales, escriba a ceertia-privacy@ornsoft.com y los eliminaremos.

16. Cómo protegemos sus datos

Ciframos los datos en tránsito y en reposo, restringimos el acceso al personal que lo necesita para su función, registramos los accesos administrativos, exigimos autenticación multifactor para los sistemas internos, segregamos entornos, y revisamos periódicamente nuestras medidas de seguridad. Nuestro personal está sujeto a obligaciones de confidencialidad. OrNsoft cuenta con las certificaciones ISO 9001 e ISO 27001.

Estas medidas describen el servicio alojado. En una instalación on-premise, la seguridad de los servidores, la red y las copias de seguridad es responsabilidad del cliente; documentamos nuestra configuración recomendada y asesoramos al respecto, pero no podemos imponerla en una infraestructura que no operamos.

Ningún sistema es perfectamente seguro. Cuando una violación de datos personales pueda entrañar un riesgo para sus derechos, notificamos a la autoridad de control competente en un plazo de 72 horas desde que tenemos conocimiento de ella, e informamos a los afectados sin dilación indebida cuando el riesgo es alto.

17. Sus derechos con el RGPD y el UK GDPR

Si le es aplicable el RGPD o el UK GDPR, tiene derecho a:

• obtener confirmación de si tratamos sus datos, y una copia de ellos;
• que se rectifiquen los datos inexactos y se completen los incompletos;
• que sus datos se supriman cuando concurra alguno de los motivos del artículo 17;
• que se limite el tratamiento mientras se resuelve una controversia sobre la exactitud o los intereses legítimos;
• oponerse al tratamiento basado en intereses legítimos, y oponerse a la mercadotecnia directa en cualquier momento y sin condiciones;
• recibir los datos que nos facilitó en un formato estructurado, de uso común y de lectura mecánica, y que se transmitan a otro responsable cuando sea técnicamente posible;
• retirar el consentimiento en cualquier momento, sin afectar a los tratamientos ya realizados sobre esa base;
• no ser objeto de una decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos o similarmente significativos — véanse las secciones 5 y 6.

Escriba a ceertia-privacy@ornsoft.com. Respondemos en un mes y podemos prorrogar dos meses más para solicitudes complejas, informándole dentro del primer mes si lo hacemos. No hay coste salvo que la solicitud sea manifiestamente infundada o excesiva. Podemos denegar o diferir parte de una solicitud cuando lo contrario perjudicaría una investigación activa de fraude o abuso, o cuando se vulnerarían los derechos de otra persona; explicaremos el motivo cuando lo hagamos.

18. Marketing

Enviamos email de marketing solo a quienes lo han aceptado — la casilla al registrarse está desmarcada y así permanece salvo que la marque. Cada mensaje de marketing lleva un enlace de baja en un clic, y la baja surte efecto de inmediato.

Los mensajes sobre su cuenta, sus facturas, cuestiones de seguridad y cambios en esta política son mensajes de servicio, no marketing, y los recibe mientras tenga una cuenta. Las notificaciones sobre el fin de una prueba o los resultados de una evaluación se tratan como marketing y requieren consentimiento.

19. Cambios en esta política

Actualizamos esta política cuando cambian el servicio o la ley. La versión en vigor es siempre la publicada en ceertia.com, con la fecha de efecto arriba. Cuando un cambio afecte de forma material a cómo usamos sus datos personales, se lo comunicamos por email o en la plataforma antes de que surta efecto, y cuando el cambio requiera su consentimiento, lo pedimos.

20. Contacto