Política de Privacidad — Rumbo
Versión: borrador 0.1 · Última actualización: [A RESOLVER: fecha de publicación]
Nota interna (eliminar antes de publicar). Este texto está redactado a partir del modelo de datos vigente (models.md v1.9) y de las decisiones registradas en el proyecto. Los puntos marcados [A RESOLVER] no constan en la documentación y deben definirse antes de publicar. Todo el documento debe ser revisado por asesoría legal especializada en Ley Nº 18.331 (decisión D-007) antes de su puesta en producción. “Rumbo” es nombre provisorio: reemplazar por el nombre comercial definitivo en todo el texto.
1. Quiénes somos y alcance de esta política
Esta Política de Privacidad describe cómo [A RESOLVER: razón social del responsable], RUT [A RESOLVER], con domicilio en [A RESOLVER: domicilio legal, Montevideo, Uruguay] (en adelante, “Rumbo”, “nosotros”), recolecta, utiliza, conserva y protege los datos personales de quienes usan la plataforma Rumbo, disponible en [A RESOLVER: dominio] (la “Plataforma”).
Rumbo es una plataforma de inteligencia de ubicación (location intelligence) que ayuda a empresas, emprendedores, consultores y profesionales inmobiliarios a decidir dónde instalar un local físico en Uruguay, mediante dos modos de análisis:
- Explorar (recomendación de zonas dentro de un área)
- Evaluar (validación de una dirección concreta).
Esta política se rige por la Ley Nº 18.331 de Protección de Datos Personales y Acción de Habeas Data, su Decreto reglamentario Nº 414/009, los artículos 37 a 40 de la Ley Nº 19.670 y el Decreto Nº 64/020, y demás normativa aplicable en la República Oriental del Uruguay. La autoridad de control es la Unidad Reguladora y de Control de Datos Personales (URCDP).
Aplica a:
- Usuarios registrados de la Plataforma (titulares y miembros de una organización).
- Personas que acceden a un análisis compartido mediante enlace, sin tener cuenta.
- Visitantes del sitio web público.
Contacto para asuntos de privacidad: [A RESOLVER: email dedicado, ej. privacidad@…].
2. Roles: cuándo somos responsables y cuándo encargados
La Plataforma es multiinquilino: cada cliente opera dentro de una organización aislada. Esto define dos roles distintos:
Rumbo actúa como responsable del tratamiento respecto de los datos que necesita para prestar el servicio y administrar la relación contractual: datos de cuenta, facturación, pagos, sesiones, seguridad y auditoría.
Rumbo actúa como encargado del tratamiento respecto de los datos que la organización carga en la Plataforma en el ejercicio de su propia actividad, en particular:
- Los clientes finales que una cuenta de tipo Consultor registra para organizar su trabajo.
- El padrón de locales propios que una organización importa para el filtro de canibalización.
- Las direcciones y parámetros que el usuario ingresa en cada análisis.
- Los destinatarios con quienes el usuario decide compartir un análisis.
En estos casos, la organización es la responsable de contar con una base legal válida para tratar esos datos y de informar a los titulares. Rumbo los trata únicamente para prestar el servicio, siguiendo las instrucciones de la organización y con las medidas de esta política. Las obligaciones recíprocas se detallan en los Términos y Condiciones y en [A RESOLVER: anexo de tratamiento de datos / DPA].
3. Qué datos recolectamos
Aplicamos el principio de minimización: solo recolectamos lo que la funcionalidad exige, y cada dato tiene una finalidad concreta declarada en la sección 4.
3.1 Datos que usted nos provee
Cuenta de usuario. Nombre, apellido, dirección de correo electrónico, contraseña (almacenada exclusivamente como hash mediante el algoritmo argon2id; nunca en claro) y, opcionalmente, una imagen de perfil. El correo se verifica mediante un enlace de un solo uso con vigencia de 48 horas.
Organización y facturación. Nombre de la organización, tipo de cuenta (Empresa o Consultor), perfil fiscal (persona o empresa), razón social o nombre, número de identificación fiscal (RUT o cédula de identidad según corresponda) y país. Los comprobantes emitidos congelan estos datos al momento de emisión para su validez fiscal.
Miembros e invitaciones. En cuentas Empresa, el titular puede invitar a otros usuarios; registramos el correo del invitado, el rol asignado, quién invitó y cuándo se aceptó.
Contenido de análisis. Direcciones, áreas geográficas, rubro y subrubros, radio de estudio, pesos de ponderación personalizados y demás parámetros que usted ingresa, junto con los resultados generados (puntajes, zonas, alternativas, geometrías). Este contenido es de la organización; ver secciones 2 y 7.
Padrón de locales propios. Si su organización importa un archivo (.csv, .json o .geojson) con sus locales existentes, conservamos los campos de ese archivo (referencia externa, nombre, coordenadas o dirección) y un historial de importaciones.
Clientes del consultor. En cuentas Consultor, por cada cliente final registramos únicamente cuatro campos: nombre, descripción, correo electrónico de contacto y rubro. Deliberadamente no almacenamos teléfono, dirección postal ni notas. Los clientes finales no son usuarios de la Plataforma, no tienen credenciales ni acceden a ningún dato por sí mismos.
Análisis compartidos. Al compartir un análisis por correo, registramos el correo del destinatario, el mensaje opcional que lo acompaña y, si usted lo activa, la exigencia de verificación por código de un solo uso. El enlace se conserva únicamente como hash; el valor en claro solo existe en el correo enviado.
Soporte y comunicaciones. El contenido de las consultas que nos envíe por los canales de soporte [A RESOLVER: canales].
3.2 Datos que recolectamos automáticamente
Sesiones. Al iniciar sesión registramos dirección IP, cadena de agente de usuario y, derivados de ella, tipo de dispositivo, navegador y sistema operativo, además de fecha de inicio, vencimiento y última actividad. Esta información se muestra en su pantalla de “sesiones activas” y permite cerrar sesiones remotamente.
Registro de auditoría. Registramos eventos de seguridad y de cuenta: inicios de sesión exitosos y fallidos, cierres de sesión, cambios de contraseña, cambios de rol, invitaciones, cambios de plan, compras, acreditaciones de crédito, análisis iniciados y accesos no autorizados, junto con la IP y el agente de usuario de origen. El registro nunca contiene contenido de análisis ni datos de clientes finales. Es un registro de solo escritura: no se edita ni se borra.
Accesos a análisis compartidos. Cada apertura de un enlace compartido registra fecha y hora, IP, agente de usuario y resultado de la verificación por código (no requerida, aprobada o fallida). Esta información permite al emisor saber si el enlace fue abierto y detectar reenvíos no deseados.
Tokens de seguridad. Los tokens de recuperación de contraseña (vigencia 1 hora) y de verificación de correo (48 horas) se almacenan exclusivamente como hash junto con la IP desde la que se solicitaron.
Cookies y almacenamiento local. Utilizamos cookies estrictamente necesarias para mantener la sesión autenticada. [A RESOLVER: indicar si se usan cookies de analítica o de terceros y cuáles; si se usan, agregar mecanismo de consentimiento y detalle de cada cookie].
3.3 Datos de pago
Los pagos se procesan mediante Mercado Pago a través de su flujo de pago alojado (Checkout Pro): usted es redirigido al dominio de Mercado Pago y los datos de su tarjeta nunca pasan por nuestros servidores. No almacenamos número de tarjeta, código de seguridad, fecha de vencimiento ni PIN, en ninguna forma.
Lo que sí conservamos: monto, moneda, estado y fecha de cada transacción; la referencia opaca que Mercado Pago asigna al pago; la respuesta cruda de la pasarela (sin datos de tarjeta) a efectos de conciliación y de respuesta ante disputas; y, si usted opta por guardar un medio de pago para la renovación automática, el token opaco emitido por la pasarela, la marca de la tarjeta y sus últimos cuatro dígitos, únicamente para mostrarle con qué está pagando. El tratamiento que Mercado Pago realiza de sus datos se rige por su propia política de privacidad.
3.4 Datos que NO recolectamos
- No recolectamos datos sensibles en el sentido del artículo 4 de la Ley Nº 18.331 (origen racial o étnico, preferencias políticas, convicciones religiosas o morales, afiliación sindical, salud o vida sexual).
- No recolectamos la geolocalización en tiempo real de su dispositivo. Las ubicaciones que procesamos son las que usted ingresa deliberadamente como objeto de un análisis.
- No perfilamos individuos. Los indicadores demográficos que usa el modelo son agregados estadísticos por unidad censal, no datos de personas identificadas (ver 3.5).
3.5 Datos de referencia geoestadística (no son datos personales de los usuarios)
Los análisis se calculan sobre capas de datos públicos y de terceros que Rumbo integra y mantiene: información censal agregada del Instituto Nacional de Estadística (Censo 2023), datos geográficos de la Infraestructura de Datos Espaciales de Uruguay (IDE Uruguay), datos de OpenStreetMap, límites administrativos de geoBoundaries y HDX, y datos de puntos de interés y de afluencia de proveedores comerciales [A RESOLVER: confirmar proveedores activos en producción: Google Places API, BestTime.app].
Estos datos describen zonas, segmentos censales, comercios y vías públicas; los indicadores demográficos (densidad, edad, sexo, nivel educativo, nivel socioeconómico) se calculan y almacenan únicamente en forma agregada. Rumbo no accede a microdatos identificados de personas ni los expone a los usuarios. [A RESOLVER: las condiciones de uso comercial de los microdatos del INE y de la API de direcciones de IDE están en verificación bajo D-007; ajustar este párrafo al resultado.]
4. Para qué usamos sus datos y con qué base legal
| Finalidad | Datos involucrados | Base legal (Ley 18.331) |
|---|
| Crear y administrar su cuenta y su organización; autenticar y mantener la sesión | Cuenta, organización, sesiones, tokens | Ejecución del contrato (art. 9 lit. D) |
| Ejecutar los análisis que usted solicita y mostrar sus resultados | Contenido de análisis, padrón propio | Ejecución del contrato |
| Gestionar planes, créditos, cobros y renovaciones; emitir comprobantes | Facturación, pagos | Ejecución del contrato y obligación legal fiscal (art. 9 lit. A) |
| Permitirle compartir análisis con terceros y auditar su acceso | Análisis compartidos, accesos | Ejecución del contrato; interés legítimo del emisor en detectar reenvíos |
| Seguridad de la Plataforma: prevención de fraude, detección de accesos no autorizados, revocación de sesiones | Sesiones, auditoría, tokens, IP | Ejecución del contrato e interés legítimo en la seguridad del servicio |
| Trazabilidad de cuenta exigida al operador (registro de auditoría con retención mínima de 12 meses) | Auditoría | Interés legítimo y cumplimiento de obligaciones de seguridad (Decreto 64/020) |
| Atención de soporte y de solicitudes de derechos | Comunicaciones, cuenta | Ejecución del contrato y obligación legal |
| Enviar comunicaciones transaccionales (verificación, recuperación, comprobantes, avisos de seguridad y de servicio) | Correo electrónico | Ejecución del contrato |
| Enviar comunicaciones comerciales sobre Rumbo | Correo electrónico | Consentimiento, revocable en cualquier momento [A RESOLVER: confirmar si habrá marketing y mecanismo de opt-in/opt-out] |
| Funciones asistidas por inteligencia artificial (ver sección 6) | Parámetros y resultados de análisis | Ejecución del contrato; activación configurable por organización |
| Mejora del producto mediante métricas agregadas y anonimizadas | Datos de uso agregados | Interés legítimo [A RESOLVER: confirmar si se realiza y con qué herramienta] |
No usamos sus datos para publicidad de terceros ni los vendemos.
5. Con quién compartimos sus datos
Compartimos datos únicamente con proveedores que necesitamos para operar la Plataforma, en calidad de encargados, con las garantías contractuales que exige la ley, y solo en la medida necesaria para cada servicio.
| Proveedor | Servicio | Datos que alcanza | Ubicación del tratamiento |
|---|
| Supabase | Base de datos, autenticación y almacenamiento | Todos los datos de la Plataforma | Región São Paulo, Brasil |
| Render [A RESOLVER: confirmar proveedor y región] | Alojamiento del backend | Datos en tránsito y procesamiento | [A RESOLVER: Frankfurt (UE) o EE.UU. bajo certificación DPF] |
| Vercel | Alojamiento del frontend | Datos de navegación y de sesión en tránsito | [A RESOLVER: región] |
| Mercado Pago | Procesamiento de pagos | Datos de pago (ver 3.3) | Según su política |
| [A RESOLVER: proveedor de correo transaccional] | Envío de correos de verificación, recuperación, invitaciones y enlaces compartidos | Correo del destinatario y contenido del correo | [A RESOLVER] |
| IDE Uruguay (direcciones.ide.uy) | Geocodificación de direcciones | La dirección consultada en Modo Evaluar (sin identificación del usuario) | Uruguay |
| LocationIQ | Geocodificación de respaldo, cuando IDE no resuelve | La dirección consultada (sin identificación del usuario) | [A RESOLVER] |
| OpenFreeMap | Servidor de mosaicos del mapa | La IP de su navegador y las teselas solicitadas, por la naturaleza del protocolo | [A RESOLVER] |
| [A RESOLVER: proveedor de modelos de lenguaje] | Funciones de IA (sección 6) | Parámetros y resultados del análisis; nunca credenciales ni datos de facturación | [A RESOLVER: región; requisito D-007] |
| [A RESOLVER: herramienta de analítica, si existe] | Métricas de uso | [A RESOLVER] | [A RESOLVER] |
También podemos divulgar datos cuando una norma o una autoridad competente lo exija, o para proteger los derechos, la seguridad o la propiedad de Rumbo, de nuestros usuarios o de terceros.
Nunca compartimos el contenido de sus análisis, los nombres de sus proyectos ni los clientes finales de una cuenta Consultor con nadie fuera de su organización, salvo que usted mismo los comparta mediante la función de enlace.
5.1 Acceso de nuestro equipo interno
Nuestro equipo de soporte y administración opera desde un módulo separado, con credenciales propias, autenticación de segundo factor obligatoria y una conexión a la base de datos con permisos acotados. Puede ver: nombre y correo del titular de la cuenta, tipo de cuenta y perfil de facturación, plan vigente y estado de la suscripción, historial de pagos (montos y estados), saldo y movimientos de créditos, usuarios de la organización con su rol y actividad agregada (cantidad de análisis, fallos, consumo de créditos).
No puede ver, por diseño y con la exclusión aplicada en la consulta a la base de datos y no solo en la interfaz: el contenido de los análisis (direcciones, zonas, resultados y puntajes), los nombres de los proyectos, ni los clientes finales de las cuentas Consultor. Toda acción del equipo interno sobre una cuenta queda registrada en el registro de auditoría y es visible para el titular de la cuenta bajo la denominación “Soporte de Rumbo”.
6. Funciones asistidas por inteligencia artificial
La Plataforma ofrece u ofrecerá funciones que utilizan modelos de lenguaje de terceros para (a) redactar en lenguaje natural una explicación de los resultados de un análisis y (b) proponer parámetros de análisis a partir de una descripción en lenguaje natural.
Reglas que aplican:
- Estas funciones se pueden desactivar para toda la organización desde la configuración de la cuenta.
- La IA propone, nunca ejecuta: ningún análisis se dispara sin su confirmación explícita.
- Solo se envían al proveedor los parámetros y resultados del análisis necesarios para la función. No se envían credenciales, datos de facturación, datos de sesión ni la lista de clientes finales.
- [A RESOLVER: proveedor, región de procesamiento, si el proveedor conserva los datos o los usa para entrenamiento; condición del D-007.]
7. Transferencias internacionales
Algunos de nuestros proveedores tratan datos fuera de Uruguay (sección 5). Cuando el país de destino no ha sido declarado como de nivel adecuado de protección por la URCDP, la transferencia se ampara en cláusulas contractuales que garantizan un nivel de protección equivalente al de la Ley Nº 18.331 y, cuando corresponde, en la autorización previa de la URCDP (art. 23).
[A RESOLVER (D-007): definir el instrumento concreto para cada proveedor — cláusulas contractuales con Supabase (Brasil), región europea o certificación DPF para el backend, proveedor de IA — y si corresponde solicitar autorización a la URCDP. Verificar el estado de la declaración de adecuación de Brasil.]
8. Cuánto tiempo conservamos sus datos
| Dato | Plazo |
|---|
| Datos de cuenta y organización | Mientras la cuenta esté activa, y luego según se indica en 8.1 |
| Contenido de análisis, padrón propio y clientes finales | Mientras la cuenta esté activa; tras la baja, [A RESOLVER: período de gracia para exportar, ej. 30/60/90 días]; tras la supresión, se conservan solo los análisis desvinculados de datos personales (8.1) |
| Sesiones activas y vencidas | Sesiones con vigencia máxima de 30 días; las vencidas o revocadas se eliminan físicamente por un proceso periódico [A RESOLVER: plazo de purga] |
| Tokens de recuperación y verificación | Se eliminan físicamente una vez vencidos o usados |
| Registro de auditoría | Mínimo 12 meses; [A RESOLVER: plazo máximo] |
| Accesos a análisis compartidos (IP, agente de usuario de terceros) | Se eliminan físicamente por un proceso periódico. [A RESOLVER: plazo — pendiente explícito en models.md; sugerido: igual o menor al vencimiento máximo del enlace más un margen, ej. 90 días] |
| Enlaces compartidos | Vigencia configurable entre 7 y 30 días; revocables en cualquier momento |
| Transacciones de pago y comprobantes | Por el plazo exigido por la normativa fiscal y contable uruguaya [A RESOLVER: confirmar plazo con contador/asesoría, ej. 10 años] |
| Comunicaciones de soporte | [A RESOLVER] |
8.1 Baja de cuenta y derecho de supresión: dos procedimientos distintos
Baja. Al dar de baja su cuenta, esta se desactiva y su correo se conserva reservado. Si vuelve a registrarse con el mismo correo, la cuenta se reactiva.
Supresión (derecho a ser olvidado). Si usted ejerce el derecho de supresión, anonimizamos de forma irreversible su correo, nombre, apellido e imagen de perfil, y registramos la fecha de la supresión. Su dirección de correo queda liberada; un registro futuro con ella crea una cuenta nueva, sin vínculo con la anterior. Los análisis y asientos contables de la organización no se borran: quedan asociados a un registro anonimizado que ya no identifica a nadie, lo que preserva el historial de la organización y la trazabilidad fiscal sin conservar sus datos personales.
[A RESOLVER: procedimiento operativo de la supresión — quién la ejecuta, verificación de identidad del solicitante, plazo de ejecución. Pendiente explícito en models.md.]
9. Sus derechos
Conforme a los artículos 13 a 17 de la Ley Nº 18.331, usted tiene derecho a:
- Información: conocer qué datos tratamos y con qué finalidad (esta política).
- Acceso: obtener sus datos personales y la información sobre su tratamiento. Respondemos dentro de los cinco días hábiles de recibida la solicitud.
- Rectificación, actualización e inclusión: corregir datos inexactos o incompletos. Puede hacerlo directamente desde su perfil o solicitándolo.
- Supresión: pedir la eliminación de sus datos, con los efectos y límites de la sección 8.1 y de las obligaciones legales de conservación.
- Revocar el consentimiento para las finalidades basadas en él, sin efecto retroactivo.
- Impugnar valoraciones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o le afecten significativamente. Los resultados de Rumbo son recomendaciones de apoyo a una decisión que toma usted; no producen efectos jurídicos sobre usted.
Para ejercerlos escríbanos a [A RESOLVER: email] desde el correo asociado a su cuenta o acreditando su identidad [A RESOLVER: mecanismo de verificación]. Si considera que no hemos atendido su solicitud, puede presentar una denuncia ante la URCDP (Andes 1365, piso 7, Montevideo — www.gub.uy/urcdp) o promover la acción de habeas data prevista en la ley.
Datos cargados por una organización (sección 2). Si usted es un cliente final de una cuenta Consultor, un destinatario de un análisis compartido o figura en un padrón importado, sus derechos se ejercen ante la organización responsable. Si nos contacta directamente, le indicaremos a qué organización dirigirse [A RESOLVER: confirmar criterio], sin perjuicio de atender la solicitud en lo que a Rumbo le corresponda.
10. Seguridad
Aplicamos medidas técnicas y organizativas acordes al riesgo, entre ellas:
- Cifrado de todas las comunicaciones en tránsito (TLS).
- Contraseñas almacenadas con argon2id; todos los tokens (sesión, recuperación, verificación, enlaces compartidos) almacenados exclusivamente como hash generado con un generador criptográficamente seguro.
- Aislamiento entre organizaciones a nivel de base de datos, con políticas de seguridad por fila [A RESOLVER: confirmar que RLS está activa en producción].
- Acceso interno restringido, con segundo factor obligatorio, conexión de solo lectura acotada a columnas explícitas y registro inmutable de toda acción.
- Cambio de contraseña que invalida todas las sesiones activas; límite de cinco solicitudes de recuperación por día; respuestas simétricas que impiden enumerar correos registrados.
- Copias de respaldo [A RESOLVER: política de backups del proveedor y propia].
Ningún sistema es infalible. Si se produce una violación de seguridad que afecte sus datos personales, se lo comunicaremos a usted y a la URCDP dentro de las 72 horas de tomado conocimiento, conforme al artículo 38 de la Ley Nº 19.670 y su reglamentación, indicando la naturaleza del incidente y las medidas adoptadas.
[A RESOLVER: designación del delegado de protección de datos (art. 40 Ley 19.670 / Decreto 64/020) si por volumen o naturaleza del tratamiento corresponde; inscripción de la base de datos ante la URCDP (art. 29 Ley 18.331) — indicar número de registro una vez obtenido.]
11. Menores de edad
La Plataforma está dirigida a empresas y profesionales. No admitimos usuarios menores de 18 años ni recolectamos deliberadamente datos de menores. Si detectamos una cuenta de un menor, la daremos de baja y eliminaremos sus datos.
12. Cambios a esta política
Podemos actualizar esta política para reflejar cambios en la Plataforma, en nuestros proveedores o en la normativa. Publicaremos la versión vigente en [A RESOLVER: URL] con su fecha de actualización y, cuando los cambios sean sustanciales, le avisaremos por correo o mediante un aviso en la Plataforma con al menos [A RESOLVER: ej. 15 días] de anticipación a su entrada en vigor.
[A RESOLVER: razón social]
[A RESOLVER: domicilio]
[A RESOLVER: email de privacidad]
Anexo interno — cuestiones pendientes para publicar (eliminar del texto público)
- Razón social, RUT, domicilio y correo de contacto del responsable.
- Dominio y URL de publicación; nombre comercial definitivo.
- Proveedor y región de hosting del backend; región de Vercel; instrumento de transferencia internacional por proveedor (D-007).
- Proveedor de correo transaccional.
- Proveedor de IA, región, política de retención y entrenamiento.
- Herramienta de analítica y cookies no esenciales (si existen) y su banner de consentimiento.
- Plazos de purga de sesiones y de accesos a enlaces compartidos (pendiente en
models.md).
- Procedimiento operativo de supresión (pendiente en
models.md).
- Período de gracia post-baja para exportar datos.
- Plazo de conservación fiscal de comprobantes.
- Marketing por correo: sí/no y mecanismo.
- Inscripción de la base ante la URCDP; evaluación de designación de delegado.
- Condiciones de uso comercial de INE (microdatos) e IDE (API de direcciones) — ajustar 3.5 al resultado.
- Anexo de tratamiento de datos (DPA) para organizaciones; criterio de derivación de solicitudes de terceros.
- Revisión completa por asesoría legal en protección de datos.
