Política de Privacidad

1. Identidad de Ortalio y datos de contacto

• Responsable del tratamiento / Entidad jurídica: SendWork, Inc. (una sociedad constituida en Florida)
• Dirección postal: 382 NE 191st Street, Suite 42012, Miami, FL 33179, Estados Unidos
• Canal de contacto de privacidad (Persona Responsable de la Protección de la Información Personal / Equipo de Privacidad): privacy@ortalio.com
• Contacto del Equipo Legal: legal@ortalio.com
• Contacto de Soporte: support@ortalio.com
• Contacto de protección de datos para todas las regiones: Las personas de todos los países y regiones donde se ofrece el Servicio —incluidos el Espacio Económico Europeo, el Reino Unido y Brasil— pueden comunicarse con Ortalio sobre asuntos de privacidad y protección de datos en privacy@ortalio.com o por correo postal a la dirección postal indicada arriba.

2. Nuestra función: Responsable del tratamiento frente a Encargado del tratamiento

Ortalio ofrece software de empresa a empresa para negocios de servicios de campo y de oficios ("Clientes") y su personal ("Usuarios Autorizados") para gestionar sus operaciones y atender a sus propios clientes ("Clientes Finales"). Nuestras responsabilidades legales dependen de si actuamos como Responsable del tratamiento o como Encargado del tratamiento:

2.1 Cuando Ortalio es el Responsable del tratamiento (o "Business")

Ortalio actúa como Responsable del tratamiento (o "Business", es decir, "empresa", conforme a las leyes estatales de privacidad de los EE. UU.) cuando determinamos los fines y los medios del tratamiento de Datos Personales para nuestras propias operaciones, incluidos:

• El registro de cuentas, la autenticación y los registros del perfil empresarial de Clientes y Usuarios Autorizados;
• Los registros en la lista de espera previa al lanzamiento y las comunicaciones de marketing de Ortalio;
• La facturación de suscripciones, la emisión de facturas con impuestos incluidos y la gestión de la cuenta entre el Cliente y Ortalio; y
• La seguridad del sitio web y de la aplicación, la prevención del fraude, los registros de autenticación, los diagnósticos de fallos, las consultas de soporte y la telemetría de uso del producto.

2.2 Cuando Ortalio es el Encargado del tratamiento (o "Proveedor de Servicios" / "Operador")

El Cliente (el contratista o negocio de servicios) es el Responsable del tratamiento (o "Business")—y Ortalio actúa como Encargado del tratamiento (o "Proveedor de Servicios")—respecto de todos los Datos de Clientes Finales y los registros operativos de trabajos que el Cliente o sus Usuarios Autorizados envíen, almacenen o generen en su espacio de trabajo de Ortalio. Ortalio trata esos datos conforme a las instrucciones del Cliente, de acuerdo con el Anexo 1 (Adenda de Tratamiento de Datos) de nuestros Términos de Servicio para Empresas.

• Aviso importante para los Clientes Finales (propietarios de viviendas, administradores de propiedades y recintos): Si usted recibió una cotización, un presupuesto, una factura, un aviso de programación o un enlace de pago de un contratista de servicios que utiliza Ortalio, ese contratista controla sus Datos Personales. Le rogamos que dirija cualquier pregunta sobre privacidad o solicitud de ejercicio de derechos relativa a su relación con ese contratista directamente a dicho contratista. Si usted envía a Ortalio una solicitud que identifique a un contratista específico, reenviaremos su solicitud a ese contratista y lo asistiremos de conformidad con nuestra Adenda de Tratamiento de Datos.

3. Categorías de Datos Personales que tratamos

3.1 Datos de Clientes y de Usuarios Autorizados (Responsable del tratamiento)

• Datos de cuenta y de perfil empresarial: Nombre, nombre comercial, oficio/sector, tamaño de la empresa, función/cargo, dirección de correo electrónico, número de teléfono, dirección comercial, preferencia de idioma, mercado/país y moneda seleccionada.
• Datos de autenticación y de permisos: Correo electrónico de inicio de sesión, identificadores de autenticación, permisos del espacio de trabajo basados en roles y tokens de sesión.
• Datos de facturación de suscripciones y datos fiscales: Plan de suscripción, ciclo de facturación, dirección de facturación, números de registro fiscal de la empresa cuando se proporcionen, identificadores de cliente y de suscripción de Stripe, historial de facturas, estado de pago y metadatos no sensibles de la tarjeta devueltos por Stripe (como la marca de la tarjeta, los últimos cuatro dígitos y la fecha de vencimiento). Ortalio no recopila ni almacena números completos de tarjetas de pago ni códigos de seguridad CVV.
• Comunicaciones de soporte y legales: Mensajes, archivos adjuntos y registros intercambiados con nuestros equipos de soporte, privacidad o legal.

3.2 Datos de la lista de espera (Responsable del tratamiento)

• Registros en la lista de espera: Nombre, dirección de correo electrónico, dominio del sitio web/página de origen, país/mercado, preferencia de idioma, origen de la campaña, marca de tiempo y estado del consentimiento de marketing. Unirse a una lista de espera no crea una cuenta de software ni inicia una suscripción de pago.
• Verificaciones de seguridad y elegibilidad de la lista de espera: Dirección IP (utilizada para el direccionamiento geográfico al mercado correcto y para verificaciones de riesgo de red y de fraude mediante MaxMind) y tokens de verificación antibots y señales del navegador generados por Cloudflare Turnstile.

3.3 Datos de uso, del dispositivo, de seguridad y del dispositivo local sin conexión (Responsable del tratamiento)

• Datos técnicos, de diagnóstico y de seguridad: Dirección IP, región geográfica aproximada derivada de la dirección IP, tipo de navegador y de sistema operativo, información del dispositivo, páginas y funcionalidades a las que se accede, registros de autenticación y de auditoría, informes de fallos/errores y señales de detección de abusos.
• Almacenamiento sin conexión y en el dispositivo local (PWA / IndexedDB): Dado que el Servicio admite el uso móvil y sin conexión en campo, los registros del espacio de trabajo y las acciones sin conexión pendientes pueden almacenarse en caché localmente en el dispositivo de un Usuario Autorizado mediante localStorage e IndexedDB del navegador, y se sincronizan cuando se restablece la conexión a internet. Nota importante sobre la seguridad del dispositivo: Cerrar la sesión en la aplicación no borra automáticamente todas las filas de la cola de IndexedDB ni los registros en caché almacenados localmente en el navegador del dispositivo. Los datos locales pueden permanecer en el dispositivo hasta que sean eliminados por un proceso de limpieza de la aplicación o hasta que el usuario borre manualmente los datos de su navegador/sitio. Los Usuarios Autorizados deben proteger sus dispositivos con códigos de acceso y borrar los datos del navegador si utilizan un dispositivo compartido.

3.4 Datos de Clientes Finales y datos operativos de trabajos (Encargado del tratamiento por cuenta del Cliente)

• Registros de Clientes Finales y de trabajos: Nombres de Clientes Finales, datos de contacto, direcciones de los lugares de servicio, citas, tareas, trabajos recurrentes, presupuestos, cotizaciones, anticipos, facturas, partidas, impuestos, estados de pago, registros de tiempo del personal, notas de trabajo, fotos, videos, archivos adjuntos y firmas ingresados por el Cliente.
• Mensajes transaccionales: Presupuestos, facturas, recibos y comunicaciones de servicio enviados por un Cliente a un Cliente Final a través del Servicio, incluido el estado de entrega/rebote.

3.5 Metadatos de Cuentas Conectadas y de Pagos Conectados (si se habilitan y cuando se habiliten)

Si los Pagos Conectados llegan a estar disponibles en el mercado de un Cliente, y cuando ello ocurra, y el Cliente conecta una cuenta de Stripe de su propiedad como contratista para aceptar pagos de Clientes Finales:

• Estado de la Cuenta Conectada: Identificador de la Cuenta Conectada de Stripe, estado de incorporación, indicadores de capacidades e indicadores de estado de restricción proporcionados por Stripe.
• Metadatos de transacciones: Identificadores de sesiones de pago (checkout), estado de pago, importe, moneda, fecha e indicadores de estado de reembolsos/disputas necesarios para mantener exactos los registros de facturas del Cliente. Las credenciales de pago completas que un Cliente Final ingresa en una página de pago alojada por Stripe se proporcionan directamente a Stripe conforme a la Política de Privacidad de Stripe (stripe.com/privacy).

3.6 Datos de IA y de voz (Encargado del tratamiento respecto del contenido / Responsable del tratamiento respecto de los registros de uso y seguridad)

• Entradas y salidas de IA y de voz: Instrucciones de texto (prompts), contexto seleccionado del espacio de trabajo, audio de voz enviado para transcripción, transcripciones, borradores o resúmenes generados, vistas previas de acciones propuestas, confirmaciones del usuario y registros de auditoría de acciones de IA.
• Registros de cuota y de seguridad: Recuentos de interacciones (para el seguimiento de la asignación del plan), registros de errores y telemetría de seguridad/abusos.

4. Fuentes de los Datos Personales

Recopilamos Datos Personales: (a) directamente de Clientes, Usuarios Autorizados y visitantes de la lista de espera; (b) automáticamente de los dispositivos y navegadores que interactúan con el Servicio; (c) de Clientes y Usuarios Autorizados que ingresan Datos de Clientes Finales en sus espacios de trabajo; y (d) de Stripe mediante notificaciones de webhook firmadas relativas a la facturación de suscripciones o (cuando esté habilitado) al estado de los Pagos Conectados.

5. Finalidades y bases legales del tratamiento

Cuando el RGPD de la UE, el RGPD del Reino Unido, la LGPD de Brasil o leyes similares se aplican a Ortalio como Responsable del tratamiento, nos basamos en las siguientes bases legales (y no afirmamos que el mero uso del Servicio constituya un consentimiento general para todo tratamiento):

• Ejecución de un contrato (o medidas precontractuales): Para registrar y autenticar cuentas, prestar el Servicio y sus funcionalidades de IA/voz y de sincronización sin conexión, procesar los pagos de suscripciones a través de Stripe, habilitar el mantenimiento de registros de Pagos Conectados cuando estén disponibles, enviar comunicaciones transaccionales y brindar atención al cliente.
• Cumplimiento de obligaciones legales: Para calcular y registrar facturas de suscripción con impuestos incluidos, conservar los registros contables y fiscales exigidos, responder a procesos legales válidos y cumplir las obligaciones legales en materia de protección de datos y de seguridad.
• Intereses legítimos: Para mantener la seguridad de la plataforma, el aislamiento entre inquilinos (tenants) y la prevención del fraude; diagnosticar errores y fallos de la aplicación; hacer cumplir nuestros Términos de Servicio para Empresas; y analizar el rendimiento del servicio de forma desidentificada o agregada.
• Consentimiento: Para las comunicaciones de marketing opcionales, los registros en la lista de espera y las cookies/analíticas no esenciales cuando la ley exija un consentimiento previo. Usted puede retirar su consentimiento en cualquier momento sin que ello afecte al tratamiento lícito realizado con anterioridad.

Cuando Ortalio trata Datos de Clientes Finales como Encargado del tratamiento, lo hace únicamente conforme a las instrucciones de nuestro Cliente en virtud del Anexo 1 (Adenda de Tratamiento de Datos) de nuestros Términos de Servicio para Empresas.

6. Prácticas de tratamiento de IA y de voz

1. Sin entrenamiento de modelos generales por parte de Ortalio: Ortalio no utiliza Datos del Cliente, Datos de Clientes Finales, audio de voz, transcripciones ni resultados de IA para entrenar modelos generales de inteligencia artificial destinados a otros clientes.
2. Configuración de proveedores comerciales: Cuando se utilizan funcionalidades de IA o de voz, las solicitudes se dirigen a través de integraciones de API comerciales con nuestros proveedores autorizados de IA y de voz (enumerados en el Anexo 2 más abajo), configuradas de modo que los Datos del Cliente no se utilicen para entrenar los modelos fundacionales generales de los proveedores, salvo que exista una aceptación expresa (opt-in) independiente y específica. Los proveedores pueden conservar temporalmente las entradas y salidas de la API, cuando así lo exijan sus condiciones comerciales, para la supervisión automatizada de abusos, la recuperación de errores o el cumplimiento legal antes de su eliminación.
3. Revisión asistida y confirmación: Cuando la interfaz de la aplicación lo admita, las acciones de escritura de IA con consecuencias presentan una vista previa para la confirmación del usuario antes de modificar los registros del espacio de trabajo.

7. Divulgación de Datos Personales, Subencargados y Responsables independientes

7.1 Sin venta ni publicidad conductual entre contextos. Ortalio no "vende" Datos Personales ni "comparte" Datos Personales para publicidad conductual entre contextos o publicidad dirigida de terceros.

7.2 Proveedores de servicios y Subencargados. Compartimos Datos Personales con proveedores de infraestructura y de servicios evaluados que tratan datos en nuestro nombre para alojar y prestar el Servicio, incluidos proveedores de alojamiento en la nube, de bases de datos y de autenticación, proveedores de correo electrónico transaccional, proveedores de seguridad y de verificación antibots, proveedores de geolocalización por IP y de riesgo de fraude, proveedores comerciales de tratamiento de IA y de voz (cuando se invocan esas funcionalidades) y proveedores de monitoreo de errores y de analítica de producto. Nuestra lista de subencargados autorizados y su estado se adjunta como Anexo 2 más abajo.

7.3 Doble función de Stripe (Encargado del tratamiento y Responsable independiente). Utilizamos Stripe para la facturación de suscripciones de Ortalio y (cuando estén disponibles y habilitados) para los Pagos Conectados de los Clientes. Si bien Stripe actúa como encargado/subencargado del tratamiento para determinados pasos de ejecución de pagos dirigidos por Ortalio, Stripe actúa como Responsable del tratamiento independiente cuando recopila y trata Datos Personales directamente para la verificación de identidad de conocimiento del cliente (KYC), la prevención del lavado de dinero (AML) y el control de sanciones, la detección de fraude en la red de pagos, el cumplimiento normativo y la administración de la propia Cuenta Conectada de un Cliente. El tratamiento independiente de Stripe se rige por la Política de Privacidad de Stripe (stripe.com/privacy).

7.4 Otras divulgaciones. También podemos divulgar Datos Personales: (a) a Clientes Finales o a integraciones de terceros por indicación de un Cliente; (b) a tribunales, reguladores o autoridades policiales cuando lo exija la ley o sea necesario para proteger la seguridad, los derechos o los bienes; o (c) en relación con una fusión societaria, financiamiento, adquisición o venta de activos, con protecciones de confidencialidad.

7.5 Datos desidentificados. Cuando creamos o utilizamos datos técnicos desidentificados o agregados, los conservamos y utilizamos en forma desidentificada y no intentamos volver a identificar a las personas.

8. Cookies, analíticas y almacenamiento local

Utilizamos cookies, localStorage e IndexedDB para autenticar a los usuarios, recordar las preferencias de idioma y de mercado, habilitar la funcionalidad PWA sin conexión y procesar de forma segura los pagos de Stripe. En las páginas públicas y de la aplicación, también utilizamos PostHog para evaluar indicadores de funcionalidades (feature flags) y comprender cómo se utilizan las páginas y las funcionalidades, y Rollbar para capturar errores de la aplicación; en la lista de espera y en los formularios públicos, Cloudflare Turnstile ejecuta una verificación de seguridad antibots. Usted puede bloquear o eliminar las cookies y borrar el almacenamiento del sitio en cualquier momento desde la configuración de su navegador, y puede solicitar la exclusión de las analíticas enviando un correo electrónico a privacy@ortalio.com. La información detallada sobre estas tecnologías y sus opciones de control figura en el Anexo 1 (Aviso sobre Cookies y Almacenamiento Local) más abajo.

9. Comunicaciones de marketing y transaccionales

Las personas registradas en la lista de espera y los contactos comerciales que acepten recibir actualizaciones de marketing de Ortalio pueden darse de baja en cualquier momento mediante el enlace "Cancelar suscripción" incluido en cualquier correo electrónico de marketing o enviando un correo electrónico a privacy@ortalio.com. Darse de baja de los correos electrónicos de marketing no afecta a los correos electrónicos esenciales transaccionales, de seguridad o de facturación de suscripciones necesarios para administrar una cuenta activa.

10. Transferencias internacionales de datos

Ortalio tiene su sede en los Estados Unidos, y nuestros proveedores de servicios tratan los datos principalmente en los Estados Unidos y en otros países donde operan. Cuando se transfieren Datos Personales a través de las fronteras desde el EEE, el Reino Unido, Canadá (incluido Quebec), Brasil, otros países de América Latina, Australia o Nueva Zelanda, implementamos los mecanismos legales de transferencia aplicables —incluidas las Cláusulas Contractuales Tipo de la UE, la Adenda de Transferencia Internacional de Datos del Reino Unido y las Cláusulas Contractuales Tipo de la ANPD de Brasil, sin modificaciones, conforme a la Resolución CD/ANPD N.° 19/2024 (establecidas en los Apéndices I a V del Anexo 1 de nuestros Términos de Servicio para Empresas)—, junto con salvaguardas contractuales de confidencialidad y medidas técnicas de seguridad.

11. Conservación y eliminación de datos

Conservamos los Datos Personales durante el tiempo necesario para prestar el Servicio y cumplir las finalidades descritas en esta Política de Privacidad:

• Datos del espacio de trabajo: Se conservan mientras la prueba o la suscripción de pago de un Cliente esté activa y durante el período de exportación de solo lectura posterior a la terminación descrito en los Términos de Servicio para Empresas; transcurrido dicho período, se programa la eliminación de los registros activos del espacio de trabajo y las copias de seguridad cifradas caducan a través de los ciclos estándar de rotación de copias de seguridad.
• Registros de facturación de suscripciones, fiscales y de cumplimiento: Se conservan durante los plazos de conservación exigidos por las leyes fiscales, societarias, contables y de auditoría aplicables.
• Registros de seguridad, de diagnóstico y de soporte: Se conservan durante el período necesario para mantener la seguridad de la plataforma, cumplir las normas legales de conservación de registros (incluidas las leyes aplicables sobre registros de acceso a internet) y resolver consultas de soporte o legales.
• Contactos de la lista de espera y de marketing: Se conservan hasta que el contacto se da de baja, solicita la eliminación o es eliminado durante la depuración periódica de la lista, salvo los registros mínimos de supresión que se mantienen para respetar las solicitudes de exclusión.

12. Medidas de seguridad y restricciones de edad

12.1 Controles de seguridad. Ortalio mantiene medidas técnicas y organizativas diseñadas para proteger los Datos Personales, incluidos el cifrado en tránsito (TLS), el cifrado en reposo en las bases de datos gestionadas en la nube, el aislamiento lógico multiinquilino mediante políticas de seguridad a nivel de fila, los controles de acceso basados en roles y la separación de los datos de los titulares de tarjetas en páginas de pago alojadas por Stripe. Ningún método de transmisión o almacenamiento es completamente infalible, y los usuarios son responsables de proteger sus credenciales de inicio de sesión y sus dispositivos.

12.2 Restricciones de edad y menores. Ninguna persona menor de 18 años puede crear ni operar una cuenta de Ortalio, y Ortalio no recopila a sabiendas Datos Personales directamente de niños para los propios fines de Ortalio como Responsable del tratamiento. Cuando un Cliente conserve información incidental relativa a un menor en los registros de su espacio de trabajo (como una nota de contacto del hogar o un detalle del lugar), el Cliente es el Responsable del tratamiento encargado de garantizar que dicho registro sea lícito y adecuado, y Ortalio lo trata conforme a las instrucciones del Cliente.

13. Sus derechos de privacidad y solicitudes

Según su jurisdicción, usted puede tener derecho a solicitar: (a) el acceso a sus Datos Personales y una copia portable de ellos; (b) la rectificación de datos inexactos; (c) la eliminación de sus datos; (d) la limitación de determinados tratamientos o la oposición a ellos; y (e) la retirada del consentimiento cuando el tratamiento se base en el consentimiento.

• Envío de una solicitud a Ortalio (datos respecto de los cuales Ortalio es Responsable del tratamiento): Envíe un correo electrónico a privacy@ortalio.com indicando su nombre, la dirección de correo electrónico asociada a su interacción con Ortalio, su jurisdicción y el derecho que desea ejercer. Verificaremos su identidad (normalmente mediante confirmación por correo electrónico) antes de atender la solicitud. Si utiliza un agente autorizado, exigimos una autorización por escrito y la verificación de identidad.
• Apelaciones: Si nos negamos a dar curso a una solicitud, usted puede apelar nuestra decisión respondiendo a nuestra respuesta o enviando un correo electrónico a privacy@ortalio.com con el asunto "Apelación de privacidad".
• Solicitudes de Clientes Finales de un contratista: Comuníquese directamente con el contratista o negocio de servicios. Si se comunica con nosotros e identifica al contratista, remitiremos su solicitud a dicho contratista.

14. Disposiciones por país y región

15. Cambios en esta Política de Privacidad

Podemos actualizar esta Política de Privacidad periódicamente. Si realizamos cambios sustanciales, actualizaremos la versión y la fecha que figuran en la parte superior de esta página y avisaremos con antelación a los Clientes activos por correo electrónico o mediante una notificación en la aplicación.