Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de tus datos personales es Didi Solutions C.A., sociedad mercantil venezolana inscrita con RIF J-50798729-9, con domicilio fiscal en la ciudad de Caracas, República Bolivariana de Venezuela, en su calidad de operadora del servicio Kligrafia (la “Plataforma”).

Para contactar al equipo de protección de datos puedes escribir a [email protected].

2. Datos que recopilamos

Recopilamos las siguientes categorías de datos:

• Datos de cuenta: nombre, correo electrónico, contraseña cifrada, idioma, zona horaria.
• Datos de organización: razón social, RIF, dirección fiscal, roles de miembros, dominio corporativo.
• Datos de identidad (KYC): número de cédula, imágenes anverso y reverso, selfie con prueba de vida, vectores biométricos derivados, score de coincidencia.
• Documentos y firmas: PDFs cargados, campos de firma, metadata del proceso de firma, IP del firmante, user-agent, sello de tiempo, audit trail con hash chain.
• Datos de facturación: historial de planes, créditos consumidos. Los datos de tarjeta nunca tocan nuestros servidores: son gestionados directamente por Stripe.
• Datos de uso: registros de inicio de sesión, eventos de auditoría, métricas técnicas (errores, latencias).
• Comunicaciones: correos de notificación, tickets de soporte, mensajes de chat IA dentro de la plataforma.

3. Finalidades del tratamiento

Tratamos tus datos para:

• prestar el servicio de firma electrónica y herramientas asociadas;
• verificar tu identidad y la de los firmantes;
• generar evidencia auditable con valor probatorio bajo el Decreto-Ley 1.204;
• procesar pagos y emitir comprobantes;
• cumplir obligaciones legales, contables y de prevención de fraude;
• responder solicitudes de soporte y mejorar el producto;
• enviar notificaciones operativas (no marketing salvo consentimiento expreso);
• defender derechos en sede judicial o administrativa cuando corresponda.

No utilizamos tus datos personales ni el contenido de tus documentos para entrenar modelos de inteligencia artificial.

4. Base legal

El tratamiento se ampara en al menos una de las siguientes bases:

• Ejecución de un contrato: para prestarte el servicio que has contratado.
• Consentimiento: especialmente para datos biométricos y comunicaciones de marketing.
• Cumplimiento de obligaciones legales: tributarias, contables, prevención de lavado de capitales.
• Interés legítimo: seguridad de la plataforma, prevención de fraude, defensa de derechos.

5. Datos biométricos y KYC

Los datos biométricos (vectores derivados de tu rostro durante el proceso de prueba de vida) son una categoría especial de datos que tratamos con consentimiento expreso y con las siguientes garantías:

• no se utilizan para identificar a la persona en contextos distintos del proceso de firma para el que fueron recolectados;
• no se comparten con terceros con fines comerciales ni se ceden a redes sociales o motores de búsqueda;
• se almacenan cifrados y con control de acceso estricto;
• puedes solicitar su eliminación una vez transcurridos los plazos de prescripción legal aplicables al documento firmado.

El procesamiento biométrico se realiza con modelos como MediaPipe Face Landmarker y ArcFace ejecutados en infraestructura controlada por nosotros, sin enviar tus imágenes a terceros para fines de entrenamiento.

6. Encargados y subencargados

Para prestar el servicio utilizamos los siguientes proveedores tecnológicos, en calidad de encargados del tratamiento:

La lista detallada y vigente, así como las cláusulas contractuales firmadas con cada subencargado, está disponible para clientes empresariales en el Acuerdo de Procesamiento de Datos (DPA).

7. Transferencias internacionales

Algunos subencargados procesan datos fuera de Venezuela. En todos los casos exigimos garantías contractuales de seguridad y confidencialidad equivalentes al estándar local, incluyendo cláusulas estándar de protección de datos y compromisos específicos sobre acceso por autoridades extranjeras.

8. Plazos de conservación

• Datos de cuenta: mientras la cuenta esté activa más el período de cortesía post-cancelación.
• Documentos firmados y evidence packs: al menos diez (10) años desde la firma, plazo de prescripción de la mayoría de acciones civiles y mercantiles en Venezuela.
• Datos de KYC y biométricos: el plazo de prescripción aplicable al documento firmado más un margen razonable para defensa de derechos.
• Datos de facturación: diez (10) años por obligación contable y tributaria.
• Logs técnicos: entre seis (6) y veinticuatro (24) meses según tipo y criticidad.

9. Derechos del titular

Tienes derecho a:

• Acceso: obtener una copia de tus datos personales.
• Rectificación: corregir datos inexactos o desactualizados.
• Supresión: solicitar la eliminación cuando ya no sean necesarios, salvo deberes legales de conservación.
• Oposición: oponerte al tratamiento basado en interés legítimo.
• Portabilidad: recibir tus datos en un formato estructurado y comúnmente utilizado.
• Revocar el consentimiento: cuando el tratamiento se base en esa figura, sin afectar la licitud del tratamiento previo.

Para ejercer cualquier derecho escríbenos a [email protected]. Responderemos dentro de los plazos legales aplicables.

10. Cookies y tecnologías similares

Utilizamos cookies estrictamente necesarias para mantener tu sesión autenticada y proteger la plataforma contra ataques CSRF. No utilizamos cookies de seguimiento publicitario ni compartimos identificadores con redes sociales por defecto.

Si en el futuro habilitamos analíticas de producto agregadas, lo haremos con herramientas que no requieran consentimiento explícito (analítica cookieless agregada) o con un banner de consentimiento previo.

11. Medidas de seguridad

• cifrado en tránsito (TLS 1.2+) y en reposo (AES-256);
• row-level security en la base de datos por organización;
• autenticación multifactor disponible para owners y admins;
• control de acceso por roles y principio de privilegio mínimo;
• registros de auditoría inmutables con cadena de hashes;
• respaldos periódicos cifrados con rotación de claves;
• revisión de dependencias y monitoreo de vulnerabilidades.

Si detectamos un incidente que afecte tus datos personales, te notificaremos sin dilación indebida con la información razonablemente disponible.

12. Menores de edad

El Servicio está dirigido exclusivamente a personas mayores de edad conforme a la ley venezolana. Si detectamos que una cuenta corresponde a un menor sin autorización válida de su representante legal, procederemos a su suspensión y eliminación.

13. Modificaciones

Esta política puede actualizarse para reflejar cambios regulatorios o de producto. Notificaremos los cambios materiales por correo electrónico o mediante un aviso visible en la plataforma con al menos quince (15) días de anticipación.

14. Contacto