Política de Privacidad

Esta Política aplica a: • Usuarios registrados: personas que crean y administran una cuenta en la Plataforma (owner, admin, miembros del workspace). • Firmantes: personas que reciben una solicitud de firma y firman documentos a través de la Plataforma mediante un enlace temporal.

2.1. Datos de usuarios registrados: • Nombre completo • Dirección de correo electrónico • Cargo/posición • Contraseña (almacenada en formato hash por Supabase Auth, nunca en texto plano) • Stripe Customer ID (identificador de cliente en el procesador de pagos) • Datos de suscripción y facturación: plan contratado, estado de la suscripción, ciclo de facturación 2.2. Datos de firmantes: • Nombre completo • Número de DNI u otro documento de identidad • Número de teléfono (opcional, cuando se envía notificación por WhatsApp) • Dirección de correo electrónico (opcional, cuando se envía notificación por email) 2.3. Datos de verificación de identidad: • Fotografía de selfie • Fotografía del frente del DNI o pasaporte • Fotografía del dorso del DNI (cuando aplica) • Nombre completo para confrontación • Resultado de la verificación (válido / no válido) Estos datos son enviados a un microservicio interno de verificación de identidad y almacenados de forma privada en Supabase Storage. No son accesibles públicamente. 2.4. Datos de firma y auditoría: • Imagen de la firma manuscrita digitalizada (PNG) • Dirección IP del firmante al momento de firmar • User agent / información del dispositivo y navegador • Marca de tiempo (timestamp) de cada evento del proceso • Coordenadas de ubicación de la firma en el documento PDF • Hash SHA-256 del documento firmado 2.5. Datos de documentos y workspace: • Archivos PDF cargados y firmados • Título y metadatos del documento • Comentarios sobre documentos • Nombre del workspace, slug, roles y membresías • Registros de invitaciones 2.6. Datos técnicos y de navegación: • Tokens temporales de firma (UUID, invalidados tras su uso) • Registros de actividad dentro de la Plataforma • Datos de sesión gestionados por Supabase Auth

Obtenemos datos personales a través de: • El registro y uso de la Plataforma por parte de usuarios. • La participación de firmantes en procesos de firma iniciados por usuarios registrados. • Los servicios de terceros necesarios para operar la Plataforma (Supabase, Stripe, Resend). • La interacción con comunicaciones enviadas por la Plataforma (emails de notificación).

Tratamos datos personales para: 4.1. Prestación del servicio: crear y administrar cuentas, gestionar workspaces y membresías, cargar y enviar documentos para firma, gestionar el proceso de firma electrónica y generar evidencias. 4.2. Verificación de identidad y seguridad: validar la identidad de los firmantes mediante selfie y documento de identidad, prevenir fraude y accesos no autorizados, auditar eventos del proceso de firma y garantizar la trazabilidad e integridad de los documentos. 4.3. Notificaciones transaccionales: enviar emails relacionados con el proceso de firma (solicitudes, recordatorios, documentos firmados), verificación de identidad, facturación, cambios en la cuenta y avisos de seguridad mediante Resend. Estas comunicaciones son indispensables para la prestación del servicio. 4.3.bis. Comunicaciones comerciales y de marketing: enviar emails con novedades del producto, ofertas, promociones, encuestas, solicitudes de feedback, recordatorios de carritos o checkouts abandonados, reactivación de cuentas inactivas, contenido educativo y newsletters. Al registrarse en la Plataforma, el usuario presta consentimiento expreso para recibir estas comunicaciones conforme a los Términos y Condiciones. El usuario puede darse de baja en cualquier momento mediante el enlace de baja incluido al pie de cada mensaje o escribiendo a contacto@firmardigital.com. La baja aplica únicamente a comunicaciones comerciales y de marketing, no a comunicaciones transaccionales. 4.4. Facturación y pagos: procesar suscripciones y pagos a través de Stripe, gestionar el plan contratado y emitir comprobantes. 4.5. Soporte técnico: resolver incidencias y atender consultas de los usuarios. 4.6. Mejora del servicio: analizar el uso de la Plataforma para mejorar su funcionamiento, estabilidad y experiencia de usuario.

Podemos compartir datos personales con los siguientes proveedores que nos ayudan a operar la Plataforma: • Supabase (Supabase Inc.): base de datos PostgreSQL y almacenamiento de archivos (documentos PDF, fotos de identidad). Los datos se alojan en servidores en la nube. • Stripe (Stripe, Inc.): procesamiento de pagos y gestión de suscripciones. Los datos de tarjetas de crédito son procesados directamente por Stripe y nunca son almacenados en nuestros servidores. • Resend (Resend Inc.): envío de correos electrónicos transaccionales (notificaciones de firma, invitaciones, recordatorios). • Microservicio de verificación de identidad (servicio interno): recibe selfie y fotos del documento de identidad para realizar la validación biométrica. También podemos compartir datos cuando sea necesario para: • Cumplir una obligación legal o requerimiento válido de autoridad competente. • Proteger los derechos, seguridad e integridad de FirmARDigital, sus usuarios o terceros. • Investigar fraude, abuso o incidentes de seguridad.

FirmARDigital es operada por LUX ARG LLC, con sede en los Estados Unidos. Nuestros proveedores de infraestructura (Supabase, Stripe, Resend) pueden almacenar y procesar datos en servidores ubicados en los Estados Unidos u otras jurisdicciones. Al utilizar la Plataforma, el usuario acepta que sus datos puedan ser transferidos y tratados fuera de su país de residencia. Adoptamos medidas razonables para asegurar que dichos proveedores mantengan estándares adecuados de seguridad y confidencialidad.

7.1. Documentos y evidencias de firma: FirmARDigital conserva los documentos y evidencias mientras la suscripción del usuario se encuentre activa. Una vez cancelada la suscripción, el usuario dispondrá de 21 (veintiún) días corridos para descargar su información. Vencido dicho plazo, FirmARDigital procederá al borrado definitivo e irrecuperable de todos los documentos, evidencias y datos asociados, sin posibilidad de recuperación. 7.2. Datos de cuenta y facturación: podemos conservar ciertos datos por períodos adicionales cuando sea necesario para cumplir obligaciones legales, contables o tributarias, prevenir fraude, o resolver disputas. 7.3. Backups: podemos mantener copias de seguridad por un período limitado para continuidad operativa, tras lo cual son eliminadas conforme a nuestros procesos internos. 7.4. Datos de verificación de identidad (fotos de DNI y selfie): se conservan durante el tiempo que el documento asociado permanezca almacenado en la Plataforma, y son eliminados junto con el resto de los datos al vencimiento del plazo post-cancelación.

El usuario puede ejercer los siguientes derechos sobre sus datos personales escribiendo a contacto@firmardigital.com: • Acceso: solicitar información sobre qué datos personales tenemos y cómo los usamos. • Rectificación: solicitar la corrección de datos inexactos o incompletos. • Eliminación: solicitar el borrado de sus datos personales, sujeto a las obligaciones legales de retención. • Oposición: oponerse al tratamiento de sus datos para determinadas finalidades. • Portabilidad: solicitar una copia de sus datos en formato estructurado. Para proteger sus datos, podremos solicitar información adicional para verificar su identidad antes de procesar cualquier solicitud.

FirmARDigital implementa medidas técnicas y organizativas razonables para proteger los datos personales, incluyendo: • Control de acceso por roles y autenticación segura gestionada por Supabase Auth. • Almacenamiento de fotos de identidad en buckets privados de Supabase Storage (sin acceso público). • Tokens de firma de uso único invalidados inmediatamente tras su uso. • Hash SHA-256 para verificar la integridad de los documentos firmados. • Transmisión de datos cifrada mediante HTTPS/TLS. Ninguna medida de seguridad es infalible. El usuario también es responsable de proteger sus credenciales de acceso.

En caso de vulneración de seguridad que pueda afectar significativamente datos personales, FirmARDigital evaluará el incidente e implementará medidas de contención y mitigación. Cuando corresponda, notificaremos a los usuarios afectados en la medida razonablemente posible y conforme a la normativa aplicable.

La Plataforma está destinada exclusivamente a usuarios mayores de 18 años. FirmARDigital no recopila intencionalmente datos personales de menores de edad. Si tuviéramos conocimiento de que se han recopilado datos de un menor, procederemos a eliminarlos a la brevedad.

Podremos actualizar esta Política para reflejar cambios operativos, legales o de seguridad. Publicaremos la versión vigente en la Plataforma e indicaremos la fecha de última actualización. El uso continuado de la Plataforma luego de la publicación de cambios implica aceptación de la Política actualizada.

Para consultas, solicitudes o reclamos relacionados con privacidad y protección de datos, contáctenos en: contacto@firmardigital.com

Este Anexo se aplica a datos personales de titulares situados en la Unión Europea, el Espacio Económico Europeo o el Reino Unido, y complementa (sin sustituir) las cláusulas generales de esta Política. A.1. Responsable del tratamiento. LUX ARG LLC, con domicilio en el Estado de Wyoming (EE.UU.), actúa como responsable del tratamiento respecto de los datos de usuarios registrados y firmantes tratados a través de la Plataforma. Cuando el usuario emisor determina las finalidades y medios del tratamiento de datos de los firmantes (por ejemplo, decidiendo a quién enviar un documento a firmar), dicho usuario actúa como responsable independiente o corresponsable en los términos del art. 26 RGPD, y FirmARDigital como encargado del tratamiento en la medida en que procesa dichos datos por cuenta del usuario. Cuando así corresponda, se aplicarán las cláusulas de encargo del art. 28 RGPD, disponibles a solicitud escribiendo a contacto@firmardigital.com. A.2. Bases jurídicas del tratamiento (art. 6 RGPD). • Prestación del servicio y cumplimiento del contrato con el usuario registrado: art. 6.1.b RGPD (ejecución de contrato). • Tratamiento de datos del firmante (identidad, firma, evidencia): art. 6.1.b (ejecución del contrato con el emisor, del cual el firmante es tercero) y, en su caso, art. 6.1.f (interés legítimo del emisor y de FirmARDigital en generar evidencia de la firma y prevenir fraude). • Consentimiento explícito para el tratamiento de datos biométricos del firmante (selfie + DNI) usados con fines de verificación única de identidad: art. 9.2.a RGPD, en relación con el art. 9.1 (categoría especial). Sin dicho consentimiento no es posible continuar el proceso de firma. • Comunicaciones comerciales dirigidas a usuarios registrados: art. 6.1.a (consentimiento otorgado en el alta) y, para clientes existentes, art. 6.1.f en relación con productos y servicios propios similares (soft opt-in), con derecho a oposición gratuita en cada envío. • Cumplimiento de obligaciones legales (facturación, requerimientos judiciales): art. 6.1.c. • Seguridad, prevención de fraude y defensa de reclamaciones: art. 6.1.f (interés legítimo), superando el juicio de ponderación. A.3. Derechos del titular. Todo titular de datos residente en la UE/EEE/Reino Unido puede ejercer, escribiendo a contacto@firmardigital.com: acceso (art. 15), rectificación (art. 16), supresión / "derecho al olvido" (art. 17), limitación del tratamiento (art. 18), portabilidad (art. 20), oposición (art. 21) —incluida la oposición al tratamiento con fines de marketing directo, que se atenderá sin excepción—, y a no ser objeto de decisiones automatizadas con efectos jurídicos (art. 22). La respuesta se dará en el plazo de un (1) mes, prorrogable por dos meses adicionales en casos complejos. Podrá exigirse acreditación de identidad razonable antes de atender la solicitud. A.4. Retirada del consentimiento. Cuando el tratamiento se base en el consentimiento, el titular puede retirarlo en cualquier momento, sin efectos retroactivos sobre los tratamientos ya realizados con base en dicho consentimiento. A.5. Autoridad de control y reclamación. El titular tiene derecho a presentar reclamación ante la autoridad de control competente de su país de residencia, lugar de trabajo o del lugar de la presunta infracción (art. 77 RGPD). Ejemplos: Agencia Española de Protección de Datos (www.aepd.es), CNIL (Francia), BfDI (Alemania), Garante Privacy (Italia), Information Commissioner's Office (UK, ico.org.uk). Se recomienda contactar antes con FirmARDigital para intentar resolver la incidencia. A.6. Transferencias internacionales de datos (Capítulo V RGPD). LUX ARG LLC está establecida en EE.UU., país que actualmente cuenta con una decisión de adecuación parcial de la Comisión Europea (EU-U.S. Data Privacy Framework, Decisión (UE) 2023/1795) para entidades certificadas. En la medida en que FirmARDigital no esté certificada bajo dicho marco, o para transferencias a otros proveedores subencargados situados fuera del EEE, las transferencias se amparan en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea mediante Decisión de Ejecución (UE) 2021/914, más las medidas suplementarias que resulten adecuadas conforme al análisis Schrems II. Los titulares pueden solicitar copia de dichas garantías escribiendo a contacto@firmardigital.com. A.7. Plazos de conservación (concreción del punto 7). Los datos de facturación se conservan durante el plazo exigido por la legislación fiscal aplicable a LUX ARG LLC (mínimo 5 años desde el fin del ejercicio). Los logs de acceso técnico se conservan por un plazo de 12 meses. Los datos de verificación de identidad se conservan mientras el documento asociado permanezca en la Plataforma y hasta 21 días después de la cancelación de la suscripción. A.8. Representante en la Unión Europea (art. 27 RGPD). En la medida en que FirmARDigital ofrezca servicios a titulares situados en la UE, designará un representante en la UE conforme al art. 27 RGPD. Los datos de contacto del representante, una vez designado, se publicarán en esta Política. A.9. Delegado de Protección de Datos (DPO). FirmARDigital ha analizado los supuestos del art. 37 RGPD y, en la fecha de esta Política, no reúne los requisitos de designación obligatoria. Cualquier cuestión sobre privacidad puede dirigirse a contacto@firmardigital.com. A.10. Decisiones automatizadas. FirmARDigital no adopta decisiones basadas únicamente en tratamiento automatizado con efectos jurídicos sobre el titular. La verificación biométrica de identidad utiliza algoritmos de un microservicio, pero el resultado no impide al usuario emisor recurrir a medios alternativos de identificación del firmante.

Este Anexo se aplica a datos personales de titulares situados en la República Federativa del Brasil y da cumplimiento a la Ley General de Protección de Datos (LGPD, Ley 13.709/2018). B.1. Bases legales del tratamiento (art. 7 y art. 11 LGPD). • Ejecución de contrato con el titular: art. 7, V. • Cumplimiento de obligación legal o regulatoria: art. 7, II. • Ejercicio regular de derechos en procesos judiciales, administrativos o arbitrales: art. 7, VI. • Interés legítimo del controlador o de terceros, para prevención de fraude y seguridad: art. 7, IX y art. 10. • Consentimiento específico y destacado para el tratamiento de datos personales sensibles del firmante (biometría de rostro + documento de identidad): art. 11, I. Este consentimiento se recoge al inicio del proceso de firma y puede ser revocado en cualquier momento. • Consentimiento para comunicaciones de marketing dirigidas al usuario registrado: art. 7, I. B.2. Derechos del titular (art. 18 LGPD). El titular puede solicitar en cualquier momento, escribiendo a contacto@firmardigital.com: (i) confirmación de la existencia de tratamiento; (ii) acceso a los datos; (iii) corrección de datos incompletos, inexactos o desactualizados; (iv) anonimización, bloqueo o eliminación de datos innecesarios, excesivos o tratados en incumplimiento de la LGPD; (v) portabilidad; (vi) eliminación de los datos tratados con base en consentimiento, con las excepciones del art. 16; (vii) información sobre entidades públicas y privadas con las que se comparten datos; (viii) información sobre la posibilidad de no otorgar consentimiento y sus consecuencias; (ix) revocación del consentimiento; (x) revisión de decisiones tomadas exclusivamente con base en tratamiento automatizado (art. 20). B.3. Encarregado de dados (DPO — art. 41 LGPD). El encargado del tratamiento designado por FirmARDigital puede ser contactado en contacto@firmardigital.com (asunto: "Encarregado LGPD"). Cuando la ANPD dicte reglamentación específica sobre la obligatoriedad y el modo de designación, FirmARDigital adaptará esta cláusula. B.4. Transferencias internacionales (art. 33 LGPD). Los datos pueden ser transferidos a EE.UU. y a otras jurisdicciones donde se encuentran los proveedores de infraestructura. Estas transferencias se amparan, según corresponda, en: (i) el consentimiento específico y destacado del titular; (ii) la ejecución del contrato del que el titular es parte o de procedimientos preliminares a su solicitud; (iii) cláusulas contractuales específicas o normas corporativas globales cuando resulten aprobadas por la ANPD; (iv) la garantía de un nivel adecuado de protección conforme al art. 33, I LGPD. B.5. Autoridad de control. El titular tiene derecho a peticionar ante la Autoridade Nacional de Proteção de Dados (ANPD, www.gov.br/anpd) cuando entienda que sus derechos han sido vulnerados. B.6. Plazos. Las solicitudes de derechos serán atendidas en el plazo máximo de 15 días previsto en el art. 19, §1 LGPD, salvo respuesta interina cuando el pedido sea complejo.

Este Anexo se aplica a residentes de los Estados Unidos de América y, en particular, a residentes de California (bajo la California Consumer Privacy Act reformada por la California Privacy Rights Act, "CCPA/CPRA"), y a residentes de otros estados con legislación de privacidad en vigor (por ejemplo, Virginia VCDPA, Colorado CPA, Connecticut CTDPA, Utah UCPA, Texas TDPSA, entre otros). C.1. Categorías de datos y finalidades. Además del detalle general de la Sección 2, en los últimos 12 meses FirmARDigital ha recopilado las siguientes categorías de "personal information" en el sentido del Cal. Civ. Code § 1798.140: identificadores (nombre, email, IP), información comercial (plan, historial de facturación), información de Internet o red (logs), información biométrica sensible (selfie + foto de documento) tratada exclusivamente para verificación de identidad, y contenido cargado por el usuario. Los fines son los descriptos en la Sección 4 de esta Política. C.2. No venta ni "sharing" para publicidad conductual. FirmARDigital no vende información personal por dinero ni "comparte" información personal para publicidad conductual entre contextos ("cross-context behavioral advertising") en el sentido de la CCPA/CPRA. En consecuencia, no operamos un enlace "Do Not Sell or Share My Personal Information", si bien atenderemos señales de consentimiento globales (Global Privacy Control) que recibamos. C.3. Datos personales sensibles (CPRA). Las fotografías biométricas y del documento de identidad de los firmantes constituyen "sensitive personal information". Solo se tratan para verificar la identidad del firmante y vincularla al documento firmado; no se utilizan con fines de inferir características ni con fines distintos a los expresamente autorizados por el titular. C.4. Derechos de los consumidores. Los residentes en California y en estados con legislación equivalente tienen derecho, sin discriminación por su ejercicio, a: (i) saber qué información personal recopilamos, usamos y divulgamos (right to know); (ii) acceder y obtener una copia portable; (iii) rectificar información inexacta; (iv) eliminar información personal, con las excepciones legales; (v) limitar el uso de información personal sensible al estrictamente necesario para la prestación del servicio; (vi) optar por no participar en la venta o el compartir ("opt-out"); (vii) apelar la denegación de una solicitud (en los estados que lo prevén). Para ejercerlos, escriba a contacto@firmardigital.com desde la dirección asociada a su cuenta o incluyendo información suficiente para verificar su identidad. Un agente autorizado puede actuar en nombre del consumidor mediante poder por escrito. C.5. Retención. FirmARDigital conserva la información personal por el plazo necesario para la finalidad del tratamiento indicada en la Sección 4 y el Anexo, salvo que la ley aplicable exija un plazo mayor. Los criterios de conservación son: (a) duración de la suscripción + 21 días para documentos y evidencia; (b) plazos legales fiscales para datos de facturación; (c) 12 meses para logs técnicos. C.6. Menores. La Plataforma no está dirigida a menores de 18 años y FirmARDigital no comercializa "personal information" de menores de 16 años, por lo que no aplica el opt-in del § 1798.120(c) CCPA. C.7. Notificación de shine the light (California Civil Code § 1798.83). FirmARDigital no comparte información personal con terceros para sus fines de marketing directo. C.8. Contacto y no discriminación. Ninguna solicitud del titular derivada de este Anexo dará lugar a denegación de servicios, cobro de precios diferentes, provisión de un nivel diferente de calidad o represalia alguna, conforme al § 1798.125 CCPA.