Política de Privacidad

1. Quiénes somos

Tangerin AI es una plataforma SaaS de gobernanza, riesgo y compliance para el uso corporativo de inteligencia artificial. Actuamos como encargada ("operadora") del tratamiento de datos personales en los términos de la Ley General de Protección de Datos de Brasil (LGPD, Ley n.º 13.709/2018), tratando datos en nombre y por instrucción de la organización contratante (responsable o "controladora").

Contacto: privacidade@tangerinai.com

2. Datos que recopilamos

2.1 Datos recopilados por el Agente Tangerin AI (endpoint)

El agente es un software liviano instalado en las estaciones de trabajo de la organización. Recopila exclusivamente metadatos técnicos sobre el entorno de TI:

• Hostname: nombre de red de la estación de trabajo.
• Sistema operativo: nombre y versión (p. ej., Windows 11).
• Nombre del usuario de sesión: login del usuario conectado en el momento de la recolección, incluido el dominio corporativo cuando está disponible (p. ej., TANGERINAI\usuario), y, cuando está disponible en el sistema operativo o en el directorio corporativo (Active Directory/Entra ID), el nombre completo de la cuenta. Obtenido mediante APIs del sistema operativo, no mediante monitoreo de actividad.
• Herramientas de IA detectadas: nombre de la herramienta (p. ej., "ChatGPT", "GitHub Copilot"), categoría, dominio de acceso y método de detección (proceso activo, resolución DNS o historial del navegador).
• Versión del agente y metadatos técnicos de funcionamiento.
• Inventario de software: nombre, versión e identificador de aplicaciones, extensiones de navegador y elementos de inicio relacionados con IA instalados en la máquina.

2.2 Lo que el agente NO recopila

• Contenido de conversaciones o prompts enviados a herramientas de IA.
• Contenido de archivos, documentos o correos electrónicos.
• Teclas pulsadas o capturas de pantalla.
• URL completas navegadas (solo dominios de herramientas de IA catalogadas).
• Datos personales de clientes finales de la organización contratante.

2.3 Datos de la plataforma web

• Registro: nombre, correo electrónico y contraseña (almacenada con hash) de los administradores de la organización.
• Registro de auditoría: acciones realizadas en la plataforma (p. ej., clasificación de herramienta, cambio de configuración), con la hora, el correo electrónico y la dirección IP de quien las ejecutó.
• Datos de la organización: nombre, razón social, CNPJ (registro brasileño de personas jurídicas), dirección de facturación, sitio web, sector, tamaño, zona horaria y plan contratado. El identificador fiscal de una empresa de fuera de Brasil, cuando se informa en la compra, se envía solo a Stripe.
• Pago: la compra en Brasil exige un número de celular con código de área, que se envía solo a Asaas (procesador de pagos) y no es almacenado por Tangerin AI. Los datos de tarjeta se introducen en las páginas de pago de Asaas o de Stripe y no pasan por nuestros servidores. Para cambiar el correo electrónico o el celular de facturación después de la compra, escriba a contato@tangerinai.com.
• Atestación de la Política de Uso de IA: correo electrónico del colaborador invitado y, cuando firma, el nombre informado (opcional), la fecha, la hora y la dirección IP de la firma.

2.4 Extensión de navegador de Tangerin AI (opcional)

Cuando la organización instala la extensión de navegador, esta informa, al acceder a una de las herramientas de IA que reconoce: el nombre y el dominio de la herramienta, el plan de la cuenta usada (gratuito o de pago) y, cuando es visible en la página de la herramienta, el correo electrónico de la cuenta conectada a ella. La extensión no recolecta el contenido de conversaciones, prompts ni páginas.

2.5 Integraciones y directorio corporativo

• Integraciones de red (SIEM, firewall/NGFW, SSE): cuando la organización las configura, recibimos de los registros de esos sistemas: herramienta y dominio accedidos, identidad del usuario (correo electrónico o usuario de red), dirección IP y hostname de origen, acción (permitido/bloqueado) y hora.
• Sincronización de directorio (Microsoft Entra ID, Google Workspace o importación): nombre y correo electrónico de los colaboradores de la organización, usados para asociar el uso de IA a las personas de la organización.

3. Cómo usamos los datos

Utilizamos los datos recopilados exclusivamente para:

• Proporcionar las funcionalidades de la plataforma Tangerin AI contratadas por la organización.
• Generar informes de Shadow AI, puntuaciones de gobernanza y evidencias de compliance.
• Analizar patrones de uso individual (horario, jornada y volumen) con fines de seguridad de la información y detección de uso anómalo.
• Enviar alertas y notificaciones configuradas por la organización.
• Mantener y mejorar la calidad y la seguridad del servicio.
• Cumplir obligaciones legales y regulatorias.

No vendemos, compartimos ni monetizamos datos de las organizaciones con terceros con fines de publicidad o análisis de mercado.

4. Uso de datos para mejora e IA

Podemos usar metadatos técnicos y de telemetría (como dominios de herramientas de IA detectadas, categorías y patrones de uso agregados) para mejorar la precisión de detección, el catálogo de herramientas y otras funcionalidades de la plataforma, incluidos recursos que utilicen IA/aprendizaje automático internamente (p. ej., clasificación automática de nuevas herramientas).

Para ese fin, damos preferencia a datos agregados, anonimizados o de múltiples organizaciones combinados, de forma que no identifiquen a una organización o colaborador específico. No utilizamos los datos de una organización contratante para entrenar modelos en beneficio de terceros fuera del contexto de mejora de la propia plataforma Tangerin AI, ni para finalidades no relacionadas con la prestación del servicio.

5. Base legal para el tratamiento

El tratamiento de datos por parte de Tangerin AI se fundamenta en las siguientes bases legales de la LGPD:

• Ejecución de contrato (art. 7, V): para datos necesarios para la prestación del servicio contratado.
• Interés legítimo (art. 7, IX): para metadatos técnicos de seguridad y auditoría interna.
• Cumplimiento de obligación legal (art. 7, II): cuando lo exija una autoridad competente.

La organización contratante, en calidad de responsable, debe asegurar la base legal adecuada ante sus propios empleados, conforme a las orientaciones de la página LGPD.

6. Almacenamiento y seguridad

• Base de datos: Supabase (PostgreSQL), alojada en la región de São Paulo (sa-east-1), con cifrado en reposo y en tránsito (TLS 1.2+), aislamiento multi-tenant mediante Row Level Security.
• Infraestructura de alojamiento: CDN y runtime, con registros de acceso conservados durante 30 días.
• Comunicación agente → plataforma: HTTPS con autenticación mediante clave de API única por organización.
• Contraseñas: nunca almacenadas en texto plano; cifradas y gestionadas con bcrypt.
• Pagos: se realizan en páginas alojadas por Asaas y Stripe; los datos de tarjeta no pasan por nuestros servidores.

Adoptamos medidas técnicas y organizativas adecuadas para proteger los datos contra el acceso no autorizado, la pérdida, la destrucción o la divulgación indebida. En caso de un incidente de seguridad relevante, notificaremos a la organización contratante y, cuando lo exija la LGPD, a la ANPD (Autoridad Nacional de Protección de Datos de Brasil), en un plazo de 72 horas. Los detalles adicionales sobre nuestras medidas de seguridad se describen en la página Seguridad de la Información.

7. Conservación de datos

• Eventos de uso de IA: conservados durante el período de historial del plan contratado (3 meses en Starter y 12 meses en Business, Enterprise y Scale) y eliminados automáticamente después. Registro de las estaciones: mientras la cuenta esté activa.
• Registros de auditoría de la plataforma: conservados durante 5 años y eliminados después (o antes, junto con los datos de la organización, cuando esta se elimina).
• Prueba no convertida en suscripción: la organización se suspende al final de la prueba y, tras 90 días, sus datos se eliminan automáticamente, con avisos por correo electrónico a los 30, 60 y 80 días.
• Falta de pago de quien ya es cliente: con el acceso suspendido por falta de pago (incluso cuando una disputa de pago termina con el importe devuelto al titular de la tarjeta), la organización recibe un aviso de rescisión a los 90 días; el contrato se rescinde a los 120 días y los datos se eliminan automáticamente a los 150 días de suspensión, cada etapa al menos 30 días después de la anterior (Términos de Uso, Cláusula 6).
• Fin del contrato (por ejemplo, suscripción cancelada por el cliente): los datos se conservan durante 12 meses después del fin del contrato y luego se eliminan automáticamente, con avisos por correo electrónico 30 y 7 días antes. Si la organización vuelve a contratar antes, no se elimina nada.
• Eliminación de los datos de la organización (automática o a pedido): eliminamos los datos operativos (eventos, estaciones, usuarios, políticas, evidencias y registros de auditoría), pero conservamos el registro comercial de la empresa (nombre, razón social, CNPJ, ciudad, plan y fechas). El nombre y el correo electrónico de quien registró la organización y de quien solicitó la eliminación se eliminan tras 5 años.
• Historial de cobro (suscripciones y pagos): conservado durante 5 años contados desde el fin del año de cada pago, con fines fiscales y de comprobación, incluso después de la eliminación de los demás datos, y luego eliminado (un pago de octubre de 2026, por ejemplo, se elimina a partir del 1 de enero de 2032).
• Asaas y Stripe: la eliminación de los datos en Tangerin AI no borra el registro de la organización en estos procesadores de pago, que lo conservan según sus propias obligaciones legales; los derechos sobre esos datos pueden ejercerse directamente ante ellos.
• La organización puede solicitar la eliminación anticipada en cualquier momento, por correo electrónico a privacidade@tangerinai.com.

Para garantizar la continuidad y la recuperación ante desastres, mantenemos copias de seguridad automáticas de la base de datos, que pueden conservar copias de los datos durante un breve período adicional tras la eliminación de los datos originales, hasta que las copias de seguridad sean reemplazadas naturalmente por el ciclo de rotación del proveedor de infraestructura.

8. Compartición con terceros

Los datos se comparten solo con subencargados esenciales para la operación del servicio:

La transferencia internacional de datos se realiza con base en mecanismos de adecuación o cláusulas contractuales tipo, de conformidad con el art. 33 de la LGPD y el Reglamento General de Protección de Datos (RGPD/GDPR) cuando sea aplicable. Se pueden solicitar copias de los mecanismos de transferencia utilizados a privacidade@tangerinai.com.

Si añadimos un nuevo subencargado esencial para la operación del servicio, notificaremos a los administradores de las organizaciones contratantes con al menos 15 días de antelación por correo electrónico.

9. Sus derechos

La organización contratante y sus administradores tienen los siguientes derechos en relación con los datos personales tratados por Tangerin AI:

• Confirmación y acceso: saber si tratamos sus datos y obtener una copia.
• Corrección: corregir datos incompletos, inexactos o desactualizados.
• Anonimización, bloqueo o eliminación: de datos innecesarios o tratados de forma no conforme.
• Portabilidad: exportar sus datos en formato estructurado.
• Información sobre compartición: saber con quién compartimos sus datos.
• Oposición: oponerse al tratamiento basado en interés legítimo.
• Revocación del consentimiento: cuando el tratamiento se base en el consentimiento.

Para ejercer estos derechos, comuníquese por correo electrónico a privacidade@tangerinai.com. Responderemos en un plazo de hasta 15 días corridos (LGPD, Art. 19, II), contados desde la solicitud.

10. Cookies y rastreo

Utilizamos cookies propias para (i) autenticación y seguridad de la sesión y (ii) preferencias de visualización, como tema (claro/oscuro) e idioma. En la consola (app.tangerinai.com.br y app.tangerinai.com) medimos audiencia y rendimiento con Vercel Web Analytics y Speed Insights, sin cookie ni identificador persistente. En el sitio institucional (tangerinai.com.br y tangerinai.com) usamos también Google Analytics (Google LLC, EE. UU.), que graba cookies de medición (_ga, _ga_*), y mostramos sellos de evaluación cargados desde los sitios SourceForge y SaaSHub, que reciben la dirección IP del visitante. No usamos píxeles publicitarios.

11. Privacidad de niños y adolescentes

Tangerin AI es un servicio business-to-business, destinado a organizaciones y a sus administradores mayores de edad. No dirigimos nuestros servicios a niños ni adolescentes y no recopilamos intencionalmente datos personales de menores de 18 años. Si tomamos conocimiento de que se proporcionaron indebidamente datos de un menor, los eliminaremos. Los padres, tutores o el propio titular pueden comunicarse por correo electrónico a privacidade@tangerinai.com.

12. Enlaces a sitios de terceros

Nuestra plataforma y nuestro sitio institucional pueden contener enlaces a sitios o servicios de terceros que no operamos ni controlamos. No somos responsables de las prácticas de privacidad ni del contenido de esos terceros. Recomendamos leer la política de privacidad de cualquier sitio de terceros antes de proporcionarle datos personales.

13. Modificaciones de esta política

Podemos actualizar esta Política periódicamente. Cuando realicemos modificaciones materiales, notificaremos a los administradores de las organizaciones contratantes por correo electrónico con al menos 15 días de antelación. El uso continuado de la plataforma después de la fecha de vigencia constituye la aceptación de las modificaciones.

14. Contacto

Las dudas, solicitudes o reclamaciones relacionadas con la privacidad deben dirigirse a nuestro Encargado de Protección de Datos (DPO):

También puede presentar reclamaciones ante la Autoridad Nacional de Protección de Datos de Brasil (ANPD): www.gov.br/anpd.