Política de privacidad

Borebase («nosotros» o «nuestro») se compromete a proteger su privacidad. Esta Política de privacidad explica cómo Borebase recopila, utiliza y comunica su información personal.

Esta Política de privacidad se aplica a nuestro sitio web y sus subdominios asociados (en conjunto, nuestro «Servicio»), así como a nuestra aplicación Borebase. Al acceder al Servicio o utilizarlo, manifiesta que ha leído, comprendido y aceptado la recopilación, el almacenamiento, el uso y la comunicación de su información personal según esta Política de privacidad y nuestras Condiciones del servicio.

SIA Borebase es el responsable del tratamiento de los datos personales descritos en esta política. Nuestro domicilio social es Kurzemes prospekts 126-22, Riga, LV-1069, Letonia, y puede contactarnos en hello@borebase.io.

Esta política abarca borebase.io y sus subdominios, la aplicación Borebase y los correos electrónicos que le enviamos. Explica qué datos personales tratamos, qué base nos permite hacerlo, quién más los recibe, cuánto tiempo los conservamos y qué puede solicitarnos.

Se ha redactado para cumplir el artículo 13 del Reglamento General de Protección de Datos (UE) 2016/679, aplicable a nosotros como empresa registrada en Letonia.

Una distinción se mantiene en todo el documento. Para los datos de su propia cuenta, como nombre, correo electrónico y suscripción, Borebase es el responsable del tratamiento y esta política se aplica a ellos. Para el contenido que su organización incorpora a sus proyectos, incluidos los nombres de perforistas, operadores y contactos de obra registrados en sondeos y ensayos de penetración, su organización es el responsable y Borebase actúa como encargado del tratamiento: almacenamos esos datos siguiendo sus instrucciones. Si aparece nombrado en un proyecto de Borebase de otra persona, dirija su solicitud a esa organización y la ayudaremos a responderle.

Tratamos las siguientes categorías de datos personales y ninguna que no figure aquí.

• Datos de cuenta: su correo electrónico, contraseña (almacenada únicamente como hash Argon2id, nunca de forma legible), nombre completo, cargo, nombre de la organización, preferencias de idioma y unidades, y fechas de creación y última modificación de la cuenta.
• Datos de pertenencia: a qué cuenta de empresa pertenece, su rol, si su incorporación está aprobada o pendiente y quién la aprobó.
• Datos de registro: mientras confirma su dirección de correo, conservamos esa dirección, su nombre, el nombre de su empresa y un código de confirmación. Si no completa la confirmación, el registro se elimina automáticamente.
• Datos de suscripción y facturación: su plan, número de licencias de usuario, período de facturación, identificadores de facturas y pagos, importes y moneda. Los números de tarjeta nunca llegan a nosotros: se introducen en la página de pago de Stripe y Stripe los conserva.
• Datos de comunicación: si ha aceptado recibir nuestro boletín, cuándo cambió por última vez esa elección y el contenido de los mensajes de asistencia que nos envíe.
• Contenido de proyectos: los sondeos, ensayos de penetración, registros, archivos e informes que carga su organización. Algunos campos, como el perforista de un sondeo o el operador de un ensayo, son datos personales de personas que no son nuestros clientes.
• Datos técnicos: su dirección IP, que utilizamos para limitar la frecuencia de solicitudes y bloquear abusos, y los registros habituales del servidor sobre las solicitudes que atendemos.
• Cookies y almacenamiento del navegador: el conjunto reducido descrito en nuestra Política de cookies, incluidas su elección sobre cookies, su idioma y su sesión iniciada.

La mayoría de estos datos procede directamente de usted al registrarse, suscribirse, invitar a un compañero, cargar datos o escribirnos. Los datos técnicos los generan su navegador y nuestros servidores al utilizar el servicio. Si un compañero le invita a una cuenta de empresa, recibimos de él su dirección de correo electrónico.

No compramos datos personales a nadie, no tratamos categorías especiales como datos de salud, biométricos o políticos y nunca le pedimos documentos de identidad.

Para abrir una cuenta se requieren correo electrónico, contraseña, nombre y nombre de la organización: son los datos que constituyen la cuenta y, sin ellos, no podemos crearla. El cargo, el idioma y las unidades preferidos son opcionales y pueden dejarse vacíos. La suscripción requiere además los datos de facturación que solicita Stripe; sin ellos no podemos cobrar y la cuenta permanece en prueba hasta que esta finalice.

Cada finalidad siguiente indica la base jurídica que la permite, conforme al artículo 13(1)(c).

• Crear y gestionar su cuenta, darle acceso a los proyectos de su organización y permitirle importar, analizar, visualizar y exportar datos. Base: ejecución de nuestro contrato con usted, artículo 6(1)(b).
• Enviar los mensajes de servicio asociados a una cuenta: confirmación de correo, restablecimiento de contraseña, invitaciones y avisos sobre su suscripción. Base: ejecución de nuestro contrato, artículo 6(1)(b).
• Cobrar pagos, gestionar su suscripción y licencias de usuario y emitir facturas. Base: ejecución de nuestro contrato, artículo 6(1)(b); conservar los registros contables resultantes es una obligación legal, artículo 6(1)(c).
• Mantener el servicio seguro y disponible: limitar la frecuencia de solicitudes, bloquear abusos, investigar errores y avisar a nuestro equipo cuando algo falla. Base: nuestro interés legítimo en un servicio operativo y libre de abusos, artículo 6(1)(f).
• Responder a sus solicitudes de asistencia y actuar sobre sus comentarios. Base: ejecución de nuestro contrato, artículo 6(1)(b), o nuestro interés legítimo en responder a quienes nos escriben, artículo 6(1)(f).
• Enviar el boletín y los anuncios de producto que son comunicaciones comerciales, no mensajes de servicio, y establecer cookies que no sean estrictamente necesarias. Base: su consentimiento, artículo 6(1)(a), que puede retirar en cualquier momento.
• Cumplir las obligaciones legales que nos corresponden y responder a solicitudes lícitas de las autoridades. Base: obligación legal, artículo 6(1)(c).

No tomamos decisiones automatizadas que produzcan efectos jurídicos sobre usted o le afecten significativamente de forma similar, ni elaboramos perfiles sobre usted. Nada de lo que hace en Borebase alimenta un sistema publicitario.

No vendemos, alquilamos ni intercambiamos datos personales, y no utilizamos redes publicitarias. Los datos personales solo se comunican a los proveedores necesarios para operar Borebase, y cada uno recibe únicamente lo que requiere su parte del servicio.

• Stripe: pagos y suscripciones. Recibe su nombre, correo electrónico y los datos de pago que introduce en su página de pago, y nos devuelve los identificadores e importes necesarios para sus facturas.
• Mapbox: mapas. Su navegador carga teselas desde Mapbox al abrir un mapa del proyecto, lo que comunica su dirección IP a Mapbox. Nuestros servidores también solicitan imágenes estáticas a Mapbox para los informes PDF exportados; esas solicitudes contienen coordenadas, no su identidad.
• Nuestro proveedor de correo: envío de mensajes por SMTP. Recibe la dirección del destinatario y el contenido del mensaje.
• Hetzner: alojamiento de servidores. Opera los servidores donde se almacenan la base de datos y los archivos cargados.
• Telegram: alertas operativas internas. Se envían mensajes breves sobre eventos del sistema, como un nuevo registro o una exportación fallida, a un canal privado de Borebase. Según la configuración de las alertas, pueden incluir el correo electrónico de la cuenta afectada.

Fuera de estos casos, solo comunicamos datos personales cuando lo exige la ley o cuando es necesario para formular, ejercer o defender una reclamación jurídica. Si Borebase se vendiera o fusionara, los datos de clientes se transferirían junto con el negocio y se lo comunicaríamos antes.

Las contraseñas se almacenan únicamente como hashes Argon2id con los parámetros que OWASP recomienda actualmente. Nadie en Borebase puede leer su contraseña y nunca podemos devolvérsela; la única opción es restablecerla.

El tráfico entre su navegador y nuestros servidores se cifra en tránsito con TLS. Las sesiones utilizan tokens firmados de corta duración, y cambiar la contraseña invalida todos los tokens emitidos antes del cambio.

Cada solicitud de datos se comprueba frente a la cuenta de empresa a la que pertenece, de modo que una organización no pueda leer los proyectos de otra. Un enlace a un registro que no tiene derecho a consultar responde de la misma forma exista o no ese registro.

Ningún sistema es completamente seguro. Si una violación de seguridad pone en riesgo sus derechos y libertades, notificaremos a la autoridad de control en un plazo de 72 horas y, cuando lo exija el reglamento, también a usted.

Puede ayudar: utilice una contraseña que no use en ningún otro lugar y escriba a hello@borebase.io en cuanto sospeche que una cuenta ha sido comprometida.

El reglamento le concede los siguientes derechos sobre sus datos personales. Ejercerlos es gratuito y respondemos en el plazo de un mes desde que recibimos la solicitud.

• Acceso, artículo 15: una copia de los datos personales que conservamos sobre usted, junto con la finalidad de su conservación, sus destinatarios y el plazo de conservación.
• Rectificación, artículo 16: corrección de datos inexactos y ampliación de los incompletos. Puede modificar por su cuenta la mayoría de los campos en la configuración de su perfil.
• Supresión, artículo 17: eliminación de sus datos personales cuando ya no exista motivo para conservarlos. Se exceptúan los registros que debamos conservar por obligaciones contables o para defender una reclamación jurídica; le informaremos cuando proceda esa excepción.
• Limitación, artículo 18: conservamos los datos pero dejamos de utilizarlos, por ejemplo, mientras usted impugna su exactitud.
• Portabilidad, artículo 20: los datos que nos haya proporcionado, en un formato estructurado, de uso común y lectura mecánica, o transmitidos directamente a otro proveedor cuando sea técnicamente posible.
• Oposición, artículo 21: puede oponerse a cualquier tratamiento basado en el interés legítimo. Si se opone a la mercadotecnia directa, la detenemos de inmediato sin pedirle motivos.

Para ejercer estos derechos, escriba a hello@borebase.io desde la dirección de su cuenta o identifique claramente la cuenta a la que se refiere. Podemos pedirle que confirme su identidad antes de actuar, ya que atender la solicitud de una persona equivocada constituiría en sí mismo una violación de seguridad.

Dos de estos derechos tienen ahora botones en la configuración de su cuenta: Descargar mis datos le entrega una copia de la información de su cuenta y Eliminar mi cuenta la borra. Una persona atiende las demás solicitudes dentro del mes previsto en el artículo 12(3). Si una solicitud es especialmente compleja, podemos ampliar el plazo hasta dos meses adicionales y le explicaremos el motivo dentro del primer mes.

Si considera que hemos tratado sus datos personales de forma inadecuada, comuníquenoslo primero e intentaremos corregirlo. También tiene derecho a presentar una reclamación ante la autoridad de control letona, Datu valsts inspekcija (Inspección Estatal de Datos), o ante la autoridad del país de la UE donde reside o trabaja: www.dvi.gov.lv

Cuando nos basamos en su consentimiento, para el boletín y las cookies no estrictamente necesarias, puede retirarlo en cualquier momento: utilice el enlace de baja de cualquier boletín, desactive el boletín en la configuración de su perfil o cambie su elección de cookies en nuestro sitio. La retirada detiene ese tratamiento desde ese momento; no convierte en ilícito el tratamiento anterior.

Conservamos los datos personales solo mientras dure la finalidad para la que fueron recopilados.

• Datos de cuenta, pertenencia y proyectos: mientras exista la cuenta. Cuando su organización cierra su cuenta o usted nos pide cerrar la suya, eliminamos o anonimizamos sus datos personales.
• Registros sin confirmar: se eliminan automáticamente 15 minutos después de iniciarse y se retiran de la base de datos la próxima vez que alguien se registra.
• Enlaces de restablecimiento de contraseña: válidos durante una hora e inutilizables después.
• Invitaciones para incorporarse a una cuenta de empresa: válidas durante siete días.
• Suscripción al boletín: se conserva hasta que se dé de baja. Conservamos el hecho y la fecha de la baja para no volver a enviarle mensajes por error.
• Registros de pagos y facturas: durante el plazo exigido por la legislación contable y fiscal letona, que es más largo que la duración de la propia cuenta.
• Registros del servidor y de seguridad: únicamente mientras sean útiles para resolver problemas e investigar abusos.

Si necesita conocer el plazo exacto aplicable a una categoría, pregúntenos en hello@borebase.io y se lo indicaremos.

Nuestro proveedor de alojamiento conserva los datos de cuenta y proyectos en servidores alquilados para Borebase. Algunos proveedores mencionados en la sección 4 están fuera del Espacio Económico Europeo, y utilizarlos implica que los datos personales llegan a esos países.

Stripe y Mapbox son empresas estadounidenses o transfieren datos a Estados Unidos. Esas transferencias se realizan con las garantías previstas en las condiciones de tratamiento de cada proveedor: las cláusulas contractuales tipo aprobadas por la Comisión Europea y, cuando el proveedor está certificado conforme a él, el Marco de Privacidad de Datos UE-EE. UU.

Nuestras alertas operativas internas se envían por Telegram, cuyo operador, Telegram FZ-LLC, está establecido en los Emiratos Árabes Unidos. Según la configuración, una alerta puede contener el correo electrónico de la cuenta afectada. Los Emiratos Árabes Unidos no cuentan con una decisión de adecuación de la Comisión Europea.

Escriba a hello@borebase.io si desea saber qué garantía se aplica a un destinatario concreto o recibir una copia.

Borebase es una herramienta profesional comercializada para empresas, consultoras e instituciones académicas. No está diseñada ni se promociona para menores, y no recopilamos deliberadamente datos personales de personas menores de 16 años.

Si cree que nos han llegado datos personales de un menor, mediante un registro o al incluirse en un proyecto, escriba a hello@borebase.io y los eliminaremos.

SIA Borebase, Kurzemes prospekts 126-22, Riga, LV-1069, Letonia.

Correo electrónico: hello@borebase.io. Todas las solicitudes de la sección 6, preguntas sobre esta política y notificaciones de posibles problemas de seguridad se dirigen a esta dirección.

Podemos modificar esta política a medida que cambie el servicio. Cuando lo hagamos, cambiaremos la fecha que aparece al inicio de esta página y, si un cambio le afecta de forma importante, lo indicaremos en nuestro sitio web.

Para explicar esta Política de privacidad con la máxima claridad, cada vez que se utilizan los siguientes términos tienen estrictamente estas definiciones:

• Cookie: pequeña cantidad de datos generada por un sitio web y guardada por el navegador.
• Empresa: se refiere a SIA Borebase, Kurzemes prospekts 126-22, Riga, Letonia, LV-1069.
• País: Letonia.
• Cliente: la empresa, organización o persona que se registra para utilizar el Servicio de Borebase.
• Dispositivo: cualquier equipo conectado a internet, como un teléfono, una tableta o un ordenador.
• Dirección IP: a cada dispositivo conectado a internet se le asigna un número denominado dirección de protocolo de internet (IP).
• Personal: las personas empleadas por Borebase o vinculadas mediante contrato.
• Datos personales: cualquier información que permita identificar a una persona, directa o indirectamente, o junto con otra información.
• Servicio: el servicio prestado por Borebase según las condiciones correspondientes.
• Servicio de terceros: un proveedor que trata datos por nuestra cuenta para que Borebase funcione, como pagos, mapas, envío de correo, alojamiento y alertas internas. La sección 4 los identifica. No utilizamos anunciantes ni socios de marketing.
• Sitio web: borebase.io
• Usted: una persona o entidad registrada en Borebase para utilizar los Servicios.