Legal

Política de Privacidad

Vigente a partir del 13 de mayo de 2026

Última actualización: 10 de octubre de 2026

DueVestor es una plataforma autónoma de due diligence operada desde Israel. Esta política explica qué información recopilamos sobre los usuarios de nuestro SaaS, por qué la recopilamos, durante cuánto tiempo la conservamos y los derechos que usted tiene en virtud del GDPR (UE/Reino Unido), la CCPA (California) y la Ley israelí de Protección de la Privacidad. Para ejercer cualquier derecho, envíe un correo electrónico a [email protected] o utilice los controles de exportación de datos y eliminación de cuenta disponibles en la aplicación.

1. Qué recopilamos

Cuenta: nombre, correo electrónico, identificador OAuth, número de teléfono opcional. Uso: páginas visitadas, funciones utilizadas, ID de sesión anónima mediante la cookie `dv_sid` (solo con su consentimiento). Facturación: identificadores de captura de PayPal e importes de transacciones (nunca vemos su tarjeta). Datos de sujetos: las personas o empresas que usted elija investigar — almacenados en su cuenta y nunca compartidos. Personas investigadas en un caso de un cliente: la organización propietaria del caso decide sobre esos datos, y nosotros los tratamos en su nombre. Si la organización aplica una retención legal a un caso, conserva los datos de ese caso con su propia base jurídica (por ejemplo, el art. 17(3)(e) del RGPD, reclamaciones judiciales) hasta que la retención se levante a petición suya. Una solicitud de supresión sobre esos datos que nos llegue se remite a esa organización, y le prestamos asistencia. Documentos del caso: archivos que los miembros de una organización añaden a un caso, y el texto que leemos de ellos, que se almacena con el documento. La organización propietaria del caso decide sobre ellos, y los tratamos por cuenta de ella. Registro de auditoría: un registro en el servidor de las acciones sensibles de la cuenta, conservado durante dos años. Si pertenece a una organización en la que el registro de actividad está activado, sus administradores y propietarios pueden ver un registro de las acciones de los miembros en los casos de la organización: quién abrió, exportó o eliminó un caso, o aplicó una retención legal a un caso o pidió levantarla, y cuándo. El registro no muestra direcciones de red ni dispositivos. Correos de estado: si se suscribe en nuestra página de estado, conservamos su dirección de correo e idioma solo para enviar un enlace de confirmación y después avisos cuando abrimos o resolvemos un incidente, y, como protección contra abusos, un registro seudonimizado de la dirección de red de la solicitud durante una hora como máximo; una dirección no confirmada en 48 horas se elimina, y darse de baja (un enlace en cada correo) la elimina de inmediato.

2. Cómo lo utilizamos

Para prestar el servicio para el que se registró, facturarle, mejorar el producto (solo análisis agregados) y cumplir con nuestras obligaciones legales. NO vendemos sus datos, NO utilizamos los datos de sus sujetos para entrenar un modelo y NO ejecutamos publicidad conductual entre sitios.

3. Con quién lo compartimos

Solo subencargados: PayPal (pagos), Google Cloud (Vertex AI, EU Multi-Region) y Amazon Web Services (Bedrock, eu-central-1) para la inferencia de LLM en la elaboración de informes, Anthropic (solo como alternativa y, en informes, únicamente con su consentimiento explícito — véase 3A; los datos del sujeto se envían bajo su contrato de no entrenamiento), Cloudflare (CDN, DNS, WAF y almacenamiento de archivos), RunPod (alojamiento de la aplicación y la base de datos), Resend (correo electrónico), Twilio (verificación telefónica) y GitHub (alojamiento de código; no fluyen datos de usuarios). La lista actual está en /sub-processors. Le avisaremos con 30 días de antelación antes de añadir un subencargado que trate datos personales de la UE.

3A. Procesamiento con IA, servidores europeos y su consentimiento

La elaboración de informes se ejecuta en grandes modelos de lenguaje alojados en la Unión Europea: primero Google Cloud Vertex AI (EU Multi-Region) y después Amazon Web Services Bedrock (eu-central-1, Fráncfort). En casos excepcionales ambos no están disponibles a la vez. Nunca trasladamos un informe a servidores de EE. UU. por nuestra cuenta. En su lugar, el informe se pone en pausa, le enviamos un correo electrónico y la página del informe le pide que elija: reintentarlo más tarde en servidores europeos o consentir explícitamente que este informe se procese mediante Anthropic en servidores de Estados Unidos, donde el proveedor conserva sus datos durante 30 días. Su consentimiento se registra, con la hora y su cuenta, antes de enviar ningún dato allí. Si no decide en 7 días, el informe se conserva en su cuenta como «en espera de servidores europeos»: no se marca como fallido y no se le vuelve a cobrar. Este consentimiento se aplica al procesamiento de informes. El chat del informe, los estados financieros subidos y los asistentes de ayuda y de ventas piden todos su propio consentimiento de la misma manera. Los documentos del caso y el texto que leemos de ellos no se envían a ningún proveedor de IA.

4. Durante cuánto tiempo lo conservamos

Datos de la cuenta: hasta que usted elimine su cuenta. Informes: indefinidamente mientras el proyecto esté activo; se eliminan cuando se elimina el proyecto. Registro de auditoría: 2 años (retención legal). Copias de seguridad: las copias diarias se conservan 14 días y las semanales 8 semanas. Cuando usted ejerza el derecho de supresión, realizamos una eliminación lógica de inmediato y una eliminación definitiva tras un período de gracia de 30 días, para que pueda revertir la decisión enviando un correo a [email protected]. Documentos del caso: hasta que el miembro que añadió un documento, o un administrador de la organización, lo elimine mientras el caso esté abierto y sin retención legal, o hasta que se elimine el caso o la organización. Cuando se elimina un documento, enviamos de inmediato la eliminación del archivo a nuestro almacenamiento de archivos; nuestras copias de seguridad de la base de datos no contienen el archivo. El texto que leímos de él se elimina de nuestra base de datos activa al mismo tiempo, pero permanece en nuestras copias de seguridad cifradas de la base de datos hasta que caducan (copias diarias 14 días, copias semanales hasta 8 semanas). Un caso con retención legal conserva sus documentos hasta que se levante la retención.

5. Sus derechos

GDPR/Reino Unido: acceso, rectificación, supresión, limitación, portabilidad, oposición. CCPA: conocer, eliminar, opt-out de la venta (no vendemos). PPL israelí: acceso y corrección. Dos de estos son de autoservicio: GET /api/v1/me/export devuelve una instantánea JSON de sus datos; DELETE /api/v1/me/erase inicia el flujo de supresión. Para cualquier otra consulta, envíe un correo electrónico a [email protected] — respondemos en un plazo de 30 días.

6. Cookies

Esenciales: `authjs.session-token` (sesión autenticada), `dv_ref` (atribución de afiliados, si corresponde). Analíticas (opt-in): ID de sesión anónima `dv_sid` — solo se establece cuando usted acepta en el banner. Respetamos Do-Not-Track y Sec-GPC; si alguno de estos encabezados está presente, omitimos las analíticas independientemente del estado del banner.

7. Contacto

Consultas de privacidad/DPO: [email protected]. Divulgación de vulnerabilidades de seguridad: [email protected]. Soporte general: [email protected].