LGPD: Ley General de Protección de Datos de Brasil
Última actualización: 15/oct/2026 · Ley n.º 13.709/2018
Este documento describe cómo Tangerin AI (Tangerin AI Tecnologia Ltda., CNPJ 69.551.474/0001-28, con sede en Rua Verbo Divino, 2001, Torre B, Sala 305, Chácara Santo Antônio, São Paulo/SP, CEP 04719-002) cumple la Ley General de Protección de Datos Personales de Brasil (LGPD) y cómo las organizaciones que utilizan la plataforma pueden hacerlo de conformidad con sus propios empleados y stakeholders.
Papel de Tangerin AI en la cadena de tratamiento
Tangerin AI → Encargada
Trata datos personales por cuenta y bajo instrucción del Cliente. No decide sobre la finalidad ni los medios del tratamiento. Actúa conforme al contrato de servicio y estos términos.
Organización contratante → Responsable
Decide sobre el tratamiento de los datos de sus empleados. Responsable de definir la base legal, informar a los titulares y atender las solicitudes de derechos junto a Tangerin AI.
1. Datos personales tratados por la plataforma
Tangerin AI trata la menor cantidad posible de datos personales: solo lo estrictamente necesario para la prestación del servicio (principio de minimización). Los datos personales tratados son:
1.1 Datos recopilados por el agente de endpoint, la extensión de navegador y las integraciones
| Dato | Carácter personal | Base legal (LGPD) |
|---|---|---|
| Nombre de usuario de sesión (logged_user) | Identifica al empleado: login (p. ej., TANGERINAI\joao.silva) y, cuando está disponible en el sistema operativo o en AD/Entra ID, el nombre completo de la cuenta | Interés legítimo (art. 7, IX) o contrato (art. 7, V) |
| Hostname de la estación | Puede contener el nombre de una persona (p. ej., PC-JOAOSILVA) | Interés legítimo (art. 7, IX) |
| Herramientas de IA detectadas | Asociadas indirectamente al empleado mediante hostname/usuario | Interés legítimo (art. 7, IX) o contrato (art. 7, V) |
| Inventario de software instalado | Asociado indirectamente mediante hostname | Interés legítimo (art. 7, IX) |
| Correo electrónico y plan de la cuenta usada en la herramienta de IA (extensión de navegador, opcional) | Identifica al empleado | Interés legítimo (art. 7, IX) o contrato (art. 7, V) |
| Usuario, correo electrónico, dirección IP y hostname de origen (integraciones SIEM, firewall/NGFW y SSE, opcionales) | Identifica al empleado y la estación | Interés legítimo (art. 7, IX) |
| Nombre y correo electrónico de los colaboradores (sincronización de directorio Entra ID/Google Workspace o importación, opcional) | Identifica al empleado | Interés legítimo (art. 7, IX) o contrato (art. 7, V) |
| Firma de la Política de Uso de IA (correo electrónico, nombre opcional, fecha, hora y dirección IP) | Identifica al empleado que firmó | Interés legítimo (art. 7, IX) o contrato (art. 7, V) |
1.2 Datos de los administradores de la plataforma
| Dato | Finalidad |
|---|---|
| Nombre y correo electrónico corporativo | Autenticación, notificaciones, registro de auditoría |
| Acciones realizadas en la plataforma, con dirección IP | Trazabilidad y seguridad (audit log) |
| Razón social, CNPJ, dirección y celular de cobro | Cobro de la suscripción (el celular se envía solo a Asaas y no es almacenado por Tangerin AI) |
1.3 Lo que NO se recopila
- Datos sensibles (salud, biometría, origen racial, convicciones religiosas, etc.).
- Contenido de conversaciones con herramientas de IA.
- Contenido de archivos, documentos o correos electrónicos.
- Teclas pulsadas o capturas de pantalla.
- Datos personales de clientes finales de la organización contratante.
2. Finalidades del tratamiento
Los datos personales tratados por Tangerin AI tienen las siguientes finalidades, todas vinculadas al servicio contratado:
- Identificar qué herramientas de IA usan qué estaciones de trabajo y usuarios.
- Generar informes de riesgo, puntuaciones de gobernanza y evidencias de conformidad regulatoria.
- Emitir alertas configuradas por la organización (p. ej., detección de una herramienta prohibida).
- Analizar patrones individuales de uso (horario, jornada y volumen de acceso) con fines de seguridad de la información y detección de uso anómalo de herramientas de IA.
- Autenticar a los administradores y mantener la seguridad de la plataforma.
- Cumplir obligaciones legales y atender a las autoridades competentes.
Los datos no se usan con fines de publicidad, análisis de comportamiento de consumidores ni toma de decisiones automatizadas con efectos jurídicos sobre los empleados monitoreados.
3. Obligaciones de la organización contratante (Responsable)
La organización que contrata Tangerin AI es la responsable de los datos de sus empleados. Para un uso conforme a la LGPD, recomendamos que la organización:
- Informe a los empleados sobre la instalación del agente, su finalidad, los tipos de datos recopilados y los derechos que tienen, preferentemente mediante una Política de Uso de IA Corporativa (la plataforma Tangerin AI ofrece un editor y un módulo de firma digital para esa política).
- Identifique la base legal adecuada para el tratamiento en el contexto de la relación laboral: habitualmente, el interés legítimo del empleador en proteger sus activos de información (art. 7, IX) o la ejecución del contrato de trabajo (art. 7, V).
- Actualice su RIPD (Informe de Impacto en la Protección de Datos) para incluir el tratamiento realizado mediante Tangerin AI.
- Atienda las solicitudes de derechos de los titulares (empleados) que soliciten información sobre los datos recopilados. Tangerin AI ofrece soporte operativo para la exportación y eliminación de datos a solicitud de la organización.
- Firme un Contrato de Encargo de Tratamiento (Data Processing Agreement, DPA) con Tangerin AI, disponible a solicitud en privacidade@tangerinai.com.
4. Derechos de los titulares
Los empleados cuyos datos se tratan mediante Tangerin AI (titulares) tienen los siguientes derechos garantizados por la LGPD (arts. 17 a 22):
Confirmación y acceso
Saber si sus datos se tratan y obtener una copia.
Corrección
Corregir datos incompletos, inexactos o desactualizados.
Anonimización / eliminación
De datos innecesarios o tratados sin base legal.
Portabilidad
Recibir sus datos en formato estructurado e interoperable.
Información sobre compartición
Saber con qué terceros se comparten los datos.
Oposición
Oponerse al tratamiento realizado sin base en el consentimiento.
Revisión de decisiones automatizadas
Solicitar la revisión humana de decisiones basadas en IA.
Revocación del consentimiento
Cuando el tratamiento se base en el consentimiento.
Las solicitudes de los titulares deben dirigirse a la organización empleadora (responsable), que puede recurrir a Tangerin AI (encargada) para obtener la información o realizar las operaciones necesarias. El plazo de respuesta de Tangerin AI a la organización es de 15 días corridos (LGPD, Art. 19, II).
5. Almacenamiento y transferencia internacional de datos
La base de datos principal (Supabase, Inc.) está alojada en la región de São Paulo (sa-east-1): los datos de los clientes se almacenan en Brasil.
Parte del tratamiento lo realizan subencargados ubicados en los Estados Unidos (Vercel, Inc., para la ejecución de la aplicación; Resend, Inc., para el envío de correos electrónicos transaccionales; Stripe, Inc., para pagos realizados fuera de Brasil; y Google LLC, para la medición de audiencia del sitio institucional mediante Google Analytics). Los pagos realizados en Brasil los procesa Asaas Gestão Financeira S.A., en Brasil. Esta transferencia se realiza con base en:
- Cláusulas contractuales tipo compatibles con el art. 33 de la LGPD.
- Certificaciones de seguridad equivalentes exigidas contractualmente a los subencargados.
La ANPD publicó una reglamentación sobre transferencia internacional (Resolución CD/ANPD n.º 19/2024), que orienta la práctica adoptada por Tangerin AI.
6. Seguridad de los datos
Tangerin AI adopta las siguientes medidas técnicas y organizativas de seguridad:
- Cifrado en reposo y en tránsito (TLS 1.2+) en toda la infraestructura.
- Aislamiento multi-tenant mediante Row Level Security en la base de datos.
- Autenticación del agente mediante clave de API única por organización, rotable en cualquier momento.
- Registro de auditoría de todas las acciones administrativas en la plataforma.
- Acceso interno a los datos de clientes restringido a colaboradores autorizados.
- Política de revisión periódica de seguridad de la infraestructura.
La descripción completa de las medidas técnicas y organizativas está disponible en la página Seguridad de la Información, incluido nuestro proceso de divulgación responsable de vulnerabilidades.
7. Incidentes de seguridad
En caso de un incidente de seguridad que pueda acarrear riesgo o daño relevante a los titulares, Tangerin AI se compromete a:
- Notificar a la organización contratante (responsable) en un plazo de 72 horas tras tener conocimiento del incidente.
- Proporcionar información sobre la naturaleza de los datos afectados, los titulares involucrados y las medidas adoptadas.
- Apoyar a la organización en la elaboración de la notificación a la ANPD, cuando se exija.
- Adoptar medidas inmediatas de contención y remediación.
Los incidentes deben reportarse a Tangerin AI por correo electrónico a seguranca@tangerinai.com.
8. Subencargados
| Subencargado | Finalidad | País | Certificación |
|---|---|---|---|
| Supabase, Inc. | Base de datos PostgreSQL y autenticación | EE. UU. (empresa) / Brasil, São Paulo (datos) | SOC 2 Type II |
| Vercel, Inc. | Alojamiento, CDN y runtime de la aplicación web | EE. UU. / Global | SOC 2 Type II |
| Resend, Inc. | Envío de correos electrónicos transaccionales | EE. UU. | — |
| Asaas Gestão Financeira S.A. | Procesamiento de pagos en Brasil (tarjeta, Pix y boleto) | Brasil | — |
| Stripe, Inc. | Procesamiento de pagos fuera de Brasil (tarjeta, en dólares) | EE. UU. | — |
| Google LLC | Google Analytics: medición de audiencia del sitio institucional | EE. UU. | — |
La eliminación de los datos de la organización en Tangerin AI (a pedido o automática) no borra su registro en Asaas o en Stripe, que lo conservan según sus propias obligaciones legales; los titulares y la organización pueden ejercer sus derechos directamente ante ellos.
9. Encargado de Protección de Datos (DPO)
En los términos del art. 41 de la LGPD, Tangerin AI indica el siguiente canal para comunicaciones relacionadas con la protección de datos:
Encargado de Protección de Datos (DPO)
Tangerin AI Tecnologia Ltda.
privacidade@tangerinai.comTambién es posible presentar reclamaciones directamente ante la ANPD (Autoridad Nacional de Protección de Datos de Brasil).
10. Recursos para la conformidad de la organización contratante
La plataforma Tangerin AI ofrece herramientas nativas que ayudan a la organización contratante a cumplir la LGPD internamente:
Política de Uso de IA
Editor de política formal con control de versiones y estado de publicación.
Firma Digital
Módulo de aceptación digital de la política por parte de los empleados, con registro de quién firmó y cuándo.
Clasificación de Herramientas
Clasifique herramientas como permitidas, restringidas o prohibidas, documentando la decisión de la organización.
Informe de Compliance
Informe PDF listo para un auditor externo, con evidencias de gobernanza (a partir del plan Business).
Registro de Auditoría
Historial completo de acciones administrativas en la plataforma para demostrar accountability.
Hasta 24 Marcos Regulatorios
Incluye controles específicos de la LGPD en el módulo de compliance integrado; la cantidad varía según el plan.