Política de privacidad

Esta política explica qué datos personales trata 3R SOFT en el servicio 3R PROJECTS en la nube (el «Servicio»), para qué los usa, con quién los comparte y cómo puede ejercer sus derechos. Se basa en la Ley 81 de 2019 sobre Protección de Datos Personales y su reglamento, el Decreto Ejecutivo 285 de 2021. Forma parte de los Términos y condiciones.

1. Quién es responsable de sus datos

El Servicio lo presta 3R SOFT («3R SOFT» o «nosotros»). En el Servicio hay dos tipos de datos y cada uno tiene un responsable distinto:

Si usted es cliente o empleado de una empresa que usa 3R PROJECTS y quiere consultar o corregir sus datos, diríjase primero a esa empresa. Si nos escribe a nosotros, le pasaremos la solicitud y le avisaremos.

Para cualquier tema de privacidad, escríbanos por los canales de soporte del Servicio.

2. Datos que tratamos como responsables

3. Para qué los usamos y con qué base legal

• Prestar el Servicio y administrar su cuenta (crear la empresa, dejarle entrar, aplicar los topes del plan): por el contrato que usted acepta al registrarse.
• Cobrar el Servicio y cumplir obligaciones fiscales y contables: por el contrato y por obligación legal.
• Proteger el Servicio (evitar accesos indebidos, robots y abusos, y llevar registros de seguridad): por la relación contractual y por nuestro interés legítimo en mantener el Servicio seguro.
• Evitar el uso ilegal del Servicio (revisión automática de contenido, sección 8): por la relación contractual, ya que los Términos lo prohíben; por nuestro interés legítimo en que el Servicio no se use para delitos y, cuando corresponda, por obligación legal.
• Darle soporte cuando usted lo pide.
• Enviarle correos del Servicio: accesos, códigos de verificación, restablecimiento de contraseña, avisos de cobro y avisos de cambios.

Al registrarse, usted acepta esta política y guardamos la versión que aceptó. Cuando un tratamiento se base en su consentimiento, puede retirarlo en cualquier momento, sin efecto retroactivo; tenga en cuenta que sin ciertos datos no podemos prestarle el Servicio.

No vendemos datos personales ni los usamos para publicidad. Fuera de la revisión automática de contenido (sección 8), no tomamos decisiones automatizadas que le produzcan efectos jurídicos.

4. La información que su empresa guarda (3R SOFT como custodio)

Lo que la empresa carga en el Servicio puede incluir datos personales de terceros: sus clientes, contactos, empleados y técnicos. También lo que se captura en campo: fotos, firmas de clientes y la ubicación en el momento de marcar llegada y salida, tomar fotos o recoger una firma (la app no sigue la ubicación de forma continua). Sobre estos datos, la empresa es la responsable del tratamiento y 3R SOFT es el custodio. Por eso:

• Solo los tratamos para prestar el Servicio, según las instrucciones de la empresa: estos términos, su configuración y lo que sus usuarios hacen en el sistema. No los usamos para fines propios, salvo la revisión automática de contenido (sección 8).
• Nuestro personal y proveedores con acceso están obligados a guardar reserva.
• Aplicamos las medidas de seguridad de la sección 7.
• Si ocurre un incidente de seguridad que afecte esos datos, se lo informamos a la empresa de inmediato, para que pueda avisar a la ANTAI y a las personas afectadas como exige la ley.
• Ayudamos a la empresa a atender las solicitudes de las personas sobre sus datos.
• La empresa nos autoriza a usar los proveedores de la sección 5. Si cambiamos de proveedor, actualizamos esta política y lo avisamos con anticipación; si la empresa no está de acuerdo, puede cancelar.
• Al terminar el Servicio, la empresa puede pedir su información y luego la eliminamos, como indica la sección 9.
• La facturación electrónica se envía al PAC que la empresa contrató, cuando la empresa lo ordena.

La empresa, como responsable, debe tener una base legal para tratar esos datos, informar a las personas (por ejemplo, a sus técnicos sobre la ubicación y a sus clientes sobre las fotos y firmas) y atender sus derechos. Si guarda datos de menores de edad, necesita la autorización de sus padres o tutores.

5. Con quién compartimos datos

Solo compartimos datos con quien los necesita para prestar el Servicio, y solo lo necesario:

• Servidores y base de datos: proveedores de alojamiento en la nube.
• Archivos: proveedores de almacenamiento de objetos compatibles con S3 (los archivos se guardan cifrados).
• Correo: un proveedor de envío de correo (SMTP), que recibe la dirección y el contenido de cada correo del Servicio.
• Verificación contra robots: Cloudflare Turnstile, si está activado en el registro.
• Pagos: pasarelas de pago, Yappy y bancos, con los datos necesarios para cada pago.
• PAC: el proveedor de facturación electrónica que su empresa eligió, con los datos de las facturas que su empresa ordena enviar.
• Autoridades: cuando una ley o una orden de autoridad competente nos obligue. Entregaremos solo lo exigido.

Puede pedirnos la lista actualizada de proveedores.

6. Transferencias fuera de Panamá

Los servidores y algunos proveedores pueden estar fuera de Panamá. Por eso, sus datos pueden guardarse o procesarse en otros países. Solo lo hacemos:

• con proveedores que ofrecen un nivel de protección igual o superior al que exige la ley panameña, o que se obligan por contrato a proteger los datos (Ley 81 de 2019, artículo 33; Decreto Ejecutivo 285 de 2021, artículos 51 a 53); y
• en la medida necesaria para prestarle el Servicio que usted contrató.

Al aceptar esta política, usted consiente estas transferencias. En cuanto a la información que su empresa guarda, la empresa las autoriza como responsable y debe informarlo a las personas cuyos datos guarda.

7. Seguridad y cifrado

• Conexiones cifradas (HTTPS), contraseñas guardadas en forma que no se pueden leer, verificación en dos pasos opcional y registro de los accesos.
• La información de cada empresa está en un espacio separado de la base de datos (PostgreSQL) y se cifra con llaves propias de la empresa. Los archivos también se guardan cifrados.
• Modo estándar (el de inicio): guardamos una copia de respaldo de la llave de la empresa para recuperar el acceso (por ejemplo, si se olvida la contraseña) y para dar soporte. Por eso, en este modo 3R SOFT técnicamente puede acceder a la información. Solo usamos esa copia para recuperar el acceso cuando la empresa lo pide, para el soporte que la empresa pide o autoriza, o para cumplir una orden de autoridad competente. Cada uso queda registrado y la empresa puede verlo.
• Modo privado (opcional): solo la empresa tiene las llaves. 3R SOFT no puede leer ni recuperar la información ya guardada (la revisión automática de contenido de la sección 8 sí ocurre al guardar, antes de cifrar). Si se pierden las contraseñas y la clave de recuperación, nadie puede recuperarla.
• Acceso de soporte: el personal de soporte puede entrar a una empresa para ayudarle con la opción «Entrar (soporte)», que pide confirmación y queda registrada en los eventos de la empresa. Si la información de la empresa está cifrada, solo es posible mientras la empresa tenga abierto un acceso temporal en Configuración → Privacidad de los datos.
• Algunos datos técnicos no se cifran con la llave de la empresa porque el Servicio los necesita para funcionar: identificadores, estados, fechas de creación, códigos de documento, datos para entrar y los datos de cobro del Servicio. Los tickets de soporte y sus mensajes se guardan en el sistema central y los ve el personal de soporte. Los registros de la revisión de contenido (sección 8) también se guardan en el sistema central y los ve el personal de 3R SOFT.
• Incidentes: si ocurre una violación de seguridad que afecte datos de los que somos responsables, lo notificaremos a la ANTAI y a las personas afectadas dentro de las 72 horas siguientes a conocerlo (Decreto Ejecutivo 285 de 2021, artículo 37), en lenguaje claro y con lo que pueden hacer para protegerse. Si afecta la información de una empresa, se lo informamos a la empresa de inmediato.

8. Revisión automática de contenido

Para evitar que el Servicio se use con fines ilegales, el sistema revisa en forma automática lo que se guarda. La suspensión y la apelación se explican en la sección 5 de los Términos y condiciones.

• Qué se revisa: el texto que los usuarios guardan desde la web, la app o la API, los nombres de los archivos que se suben y el texto de los documentos (txt, csv, docx, xlsx y pdf). Las imágenes y fotos no se analizan.
• Cómo: el texto se compara con una lista de señales de actividades ilegales según las leyes de Panamá, como tráfico de drogas, armas o explosivos, material de abuso sexual infantil, trata de personas, blanqueo de capitales, falsificación de documentos o de dinero y terrorismo.
• Cuándo: en el servidor, al momento de guardar y antes de cifrar. Por eso se aplica también en el modo privado: ese modo impide que 3R SOFT lea la información ya guardada, pero no impide esta revisión.
• Qué se registra si hay una coincidencia: la categoría, la regla que coincidió, un extracto corto (hasta unos 200 caracteres alrededor de la coincidencia), el usuario, la fecha y hora, la dirección IP y la pantalla o el campo. Estos registros se guardan en el sistema central, no se cifran con la llave de la empresa y los ve el personal de 3R SOFT. 3R SOFT es responsable de estos registros.
• Qué pasa después: con una señal clara, el contenido no se guarda, la cuenta de la empresa se suspende de inmediato, sin ningún acceso, y se avisa por correo al contacto principal de la empresa con un enlace para apelar. Con una señal menos clara, una persona de 3R SOFT la revisa y puede suspender la cuenta de la misma forma.
• Revisión por una persona: la Ley 81 de 2019 (artículo 19) reconoce el derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos negativos. Para respetarlo, cada suspensión se puede apelar una vez y la apelación la revisa una persona, no un sistema automático, normalmente en un plazo de 5 días hábiles. En la apelación se pide la actividad real de la empresa, una descripción del negocio y una explicación del contenido; se puede agregar el RUC o el aviso de operación y un teléfono de contacto.
• Conservación: estos registros y las apelaciones se guardan hasta 5 años después de cerrado el caso.
• Autoridades: podemos conservar esta información y entregarla cuando la ley panameña o una autoridad competente lo exija.

9. Cuánto tiempo guardamos los datos

• Información de la empresa: mientras la cuenta de la empresa esté activa. Después de cancelar, la empresa tiene 30 días para pedirnos una copia; luego la eliminamos de los sistemas en uso, y las copias de respaldo se borran a medida que rotan, en un máximo de 90 días.
• Cuenta de usuario: mientras pertenezca a alguna empresa. Si ya no pertenece a ninguna, puede pedirnos que la eliminemos.
• Cobros del Servicio: el tiempo que exijan las leyes fiscales y comerciales.
• Revisión de contenido y apelaciones: hasta 5 años después de cerrado el caso, o más si una autoridad competente lo exige.
• Registros de seguridad y tickets de soporte: el tiempo necesario para la seguridad del Servicio y para atender reclamos; los de una empresa cancelada siguen los mismos plazos que su información.

10. Sus derechos

Usted tiene derecho a acceder a sus datos, rectificarlos, pedir su cancelación (eliminación), oponerse a su tratamiento y recibirlos en un formato estructurado y de uso común para llevarlos a otro servicio (portabilidad) (Ley 81 de 2019, artículo 15). Estos derechos no se pueden renunciar y ejercerlos es gratis.

• Muchos datos de su cuenta puede cambiarlos usted mismo desde «Mi cuenta».
• Para lo demás, escríbanos por los canales de soporte del Servicio desde el correo de su cuenta o con lo necesario para verificar su identidad, e indique qué solicita.
• Respondemos las solicitudes de acceso en un máximo de 10 días hábiles y las de rectificación o cancelación en un máximo de 5 días hábiles (Ley 81 de 2019, artículos 16 y 17). Las demás, en un máximo de 10 días hábiles.
• Puede que no podamos eliminar datos que la ley nos obliga a conservar (por ejemplo, los registros de cobro); en ese caso se lo explicaremos.
• Si sus datos están en la información de una empresa (sección 4), la solicitud la atiende esa empresa; nosotros le ayudamos.

Si no está conforme con nuestra respuesta, o no la recibe a tiempo, puede presentar una queja ante la Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI), Dirección de Protección de Datos Personales: www.antai.gob.pa, correo [email protected].

11. Cookies

Solo usamos las cookies necesarias para que el Servicio funcione: la de la sesión (para mantenerle dentro y proteger los formularios) y la del idioma. No usamos cookies de publicidad ni herramientas de analítica de terceros. Si el registro usa Cloudflare Turnstile, Cloudflare puede procesar datos técnicos del navegador solo para la verificación.

12. Apps para teléfonos y tabletas

• La app registra el dispositivo (identificador, plataforma y modelo) para dejarle entrar y aplicar el límite de equipos de su cuenta.
• Pide permiso al sistema del teléfono para usar la cámara (fotos) y la ubicación (al marcar llegada y salida, tomar fotos o recoger una firma). Puede negarlo; algunas funciones no estarán disponibles.
• Guarda en el equipo una copia de trabajo para funcionar sin conexión y la sincroniza con el Servicio cuando hay conexión.

13. Menores de edad

El Servicio es para empresas y sus usuarios deben ser mayores de edad. No recogemos a sabiendas datos de menores como responsables. Si una empresa guarda datos de menores en su información, debe contar con la autorización de sus padres o tutores.

14. Cambios a esta política

Si hacemos cambios importantes, los avisaremos al correo de contacto de cada empresa y dentro del Servicio al menos 30 días antes de que rijan. La fecha de la última actualización aparece arriba.

15. Contacto

3R SOFT