VAULTCORE

Política de Privacidad V1

CRM SaaS para comercializadoras de créditos

Principio de privacidad

VAULTCORE trata la información para prestar y proteger el servicio, con minimización de accesos, separación de responsabilidades y mejora continua de seguridad. No vende datos personales ni utiliza los expedientes de las comercializadoras para fines propios ajenos al SaaS.

Transparencia y contacto

Responsable: Thomas El Aschkar Barrera. Domicilio: General Paz 2944, Olavarría, Provincia de Buenos Aires, Argentina. Contacto de privacidad y seguridad: [email protected].

Política pública de privacidad de VAULTCORE. Debe mantenerse alineada con la implementación real del servicio y actualizarse ante cambios materiales del producto, de los proveedores o del tratamiento de datos.

Resumen en lenguaje claro

Esta sección resume los puntos centrales. El resto del documento desarrolla el alcance completo.

1. Identidad del responsable y alcance

La presente Política de Privacidad describe cómo VAULTCORE recopila, utiliza, almacena, protege, comparte y elimina datos personales en relación con el sitio web, la plataforma CRM, sus paneles, integraciones y servicios asociados.

Alcance B2B

VAULTCORE está diseñado principalmente para comercializadoras de créditos y sus usuarios autorizados. Esta política también cubre datos de personas cuyos expedientes o documentos son tratados dentro del CRM por cuenta de esas organizaciones.

2. Roles en el tratamiento de datos

El rol de VAULTCORE puede variar según la categoría de información y la finalidad concreta. La clasificación jurídica definitiva debe validarse con asesoramiento profesional, pero la regla operativa V1 es la siguiente:

3. Categorías de datos que podemos tratar

Según las funciones utilizadas, VAULTCORE puede tratar las siguientes categorías:

• Datos de identificación y contacto de comercializadoras y representantes: nombre, razón social o nombre comercial, CUIT, domicilio, email, teléfono y datos del responsable de la cuenta.
• Datos de usuarios y vendedores: nombre, email, rol, pertenencia a una organización, estado de invitación, permisos, sesiones y eventos de autenticación.
• Datos de personas gestionadas por las comercializadoras: nombre, DNI/CUIL u otros identificadores, contacto, provincia y demás datos necesarios para gestionar una solicitud o expediente.
• Información económica o documental de alto impacto: recibos, movimientos, comprobantes, documentación de identidad, PDFs, imágenes, archivos y demás documentación que la comercializadora decida incorporar legítimamente al CRM.
• Datos comerciales y operativos: consultas, financieras destinatarias, ofertas, estados, documentación requerida, depósitos, observaciones y actividad asociada al flujo de trabajo.
• Datos de comunicaciones: direcciones de correo, destinatarios, asunto, cuerpo, adjuntos y metadatos necesarios cuando el usuario decide enviar comunicaciones desde el CRM.
• Datos técnicos y de seguridad: company_id/tenant, user_id, rol, timestamp, acción, objeto, resultado, información de sesión, IP o user-agent cuando exista finalidad legítima de seguridad, diagnóstico o auditoría.
• Datos de facturación del servicio: plan, capacidad, estado de suscripción, referencias y estados de pago/comprobantes necesarios para administrar el SaaS.
• Datos de integraciones: identificadores de cuenta, estados de conexión y credenciales delegadas/tokens protegidos estrictamente necesarios para operar integraciones autorizadas.

La expresión “información de alto impacto” se utiliza en sentido operativo. La categoría legal “datos sensibles” posee una definición específica en la Ley 25.326 y no se atribuye automáticamente a todo documento financiero o de identidad.

4. Cómo obtenemos la información

• Información proporcionada directamente por la comercializadora, sus representantes, administradores y vendedores.
• Información incorporada por usuarios autorizados al gestionar expedientes, documentos, consultas, ofertas o comunicaciones.
• Información generada automáticamente por el funcionamiento normal y seguro de la plataforma, como logs, timestamps, estados, identificadores internos y datos técnicos de sesión.
• Información recibida de proveedores integrados únicamente cuando el usuario autoriza la integración y dentro de los permisos concedidos.
• Información administrativa y de facturación necesaria para contratar, pagar y mantener el servicio.

La comercializadora es responsable de asegurar que los datos de terceros que incorpora a VAULTCORE hayan sido obtenidos y sean tratados con una base legal suficiente y conforme a la normativa aplicable.

5. Para qué utilizamos los datos

• Prestar, mantener y administrar el CRM y las funciones contratadas.
• Autenticar usuarios, aplicar roles y preservar el aislamiento entre comercializadoras.
• Gestionar clientes, expedientes, documentos, consultas, ofertas, depósitos y otras funciones visibles del producto.
• Enviar comunicaciones que la comercializadora o sus usuarios autorizados deciden generar desde el CRM.
• Brindar soporte, diagnosticar fallas y recuperar el servicio cuando corresponda.
• Prevenir, detectar, investigar y contener accesos no autorizados, fraude técnico, abuso o incidentes de seguridad.
• Mantener trazabilidad de acciones críticas y evidencia operativa proporcional al riesgo.
• Administrar facturación, planes, pagos y comprobantes del SaaS.
• Cumplir obligaciones legales, contractuales o requerimientos válidos de autoridad competente.
• Mejorar seguridad, estabilidad, disponibilidad y funcionamiento del producto sin reutilizar ilegítimamente los expedientes del cliente para fines ajenos.

Limitación de finalidad

VAULTCORE no utiliza los expedientes de una comercializadora para competir con ella, crear una base comercial propia de solicitantes, vender información, perfilar personas con fines publicitarios o explotar los datos para finalidades incompatibles con la prestación del SaaS.

6. Documentación de clientes y acceso humano

VAULTCORE no realiza revisión humana rutinaria, análisis comercial ni inspección manual preventiva del contenido de los expedientes, documentos o comunicaciones de las comercializadoras.

El sistema puede almacenar, organizar, mostrar, respaldar y transmitir esos archivos porque esas operaciones son necesarias para prestar el servicio. Esto no implica que VAULTCORE certifique su autenticidad, exactitud, legalidad, solvencia o suficiencia crediticia.

El acceso privilegiado se sujeta a confidencialidad, mínimo privilegio y trazabilidad cuando sea técnicamente viable.

7. Integración con Google / Gmail API

VAULTCORE ofrece una integración opcional para que cada comercializadora pueda enviar correos desde una cuenta Google/Gmail que tenga derecho a utilizar. La conexión se realiza mediante OAuth de Google; VAULTCORE no solicita la contraseña normal de Gmail como mecanismo de conexión.

Cuando el usuario decide enviar un correo desde VAULTCORE, el CRM puede transmitir a Gmail API el destinatario, asunto, cuerpo y adjuntos necesarios para efectuar ese envío. La versión V1 no lee automáticamente la bandeja de entrada, no ingiere respuestas, no marca correos como leídos y no solicita permisos para modificar o eliminar mensajes existentes.

Google API Services User Data Policy - Limited Use

El uso por VAULTCORE de la información recibida de las APIs de Google cumplirá la Google API Services User Data Policy, incluidos los requisitos de Limited Use. Los datos brutos o derivados obtenidos mediante Google Workspace APIs se utilizarán únicamente para proporcionar o mejorar funcionalidades visibles para el usuario dentro de VAULTCORE y no para publicidad, evaluación crediticia, lending ni entrenamiento de modelos generalizados de IA/ML.

En particular, respecto de datos brutos o derivados recibidos mediante Google Workspace APIs, VAULTCORE:

• no vende ni transfiere esos datos a data brokers, revendedores de información o plataformas publicitarias;
• no los utiliza para publicidad dirigida, retargeting, publicidad personalizada o basada en intereses;
• no los utiliza para determinar solvencia, puntuación crediticia, elegibilidad de préstamos, aprobación/rechazo de créditos ni otros fines de lending;
• no los utiliza para desarrollar, mejorar o entrenar modelos de inteligencia artificial o machine learning, sean generalizados o personalizados;
• no permite lectura humana salvo cuando sea estrictamente necesaria por seguridad, para resolver un incidente con autorización adecuada o para cumplir una obligación legal aplicable.
• los utiliza únicamente para proporcionar y proteger las funciones visibles y solicitadas por el usuario dentro de VAULTCORE.

La comercializadora puede desconectar su cuenta Google desde la función correspondiente. Al hacerlo, VAULTCORE deja de utilizar esa autorización para nuevos envíos. El usuario también puede revocar la autorización desde su Cuenta de Google. Los registros técnicos mínimos necesarios para seguridad, auditoría o cumplimiento pueden conservarse conforme a la política de retención aplicable.

8. Integraciones y proveedores externos

VAULTCORE puede utilizar proveedores externos para infraestructura, seguridad, DNS/túnel, correo, mensajería, facturación/pagos, soporte y otras funciones necesarias. El acceso de esos proveedores debe limitarse al servicio que prestan y a la información razonablemente necesaria.

VAULTCORE no autoriza a sus proveedores a utilizar datos de clientes para fines propios incompatibles con la prestación contratada.

9. Transferencias y tratamiento internacional

Algunos proveedores tecnológicos utilizados por VAULTCORE pueden operar infraestructura o prestar servicios desde otras jurisdicciones. Cuando ello implique una transferencia internacional de datos personales, VAULTCORE procurará aplicar los mecanismos y garantías exigidos por la normativa argentina, incluyendo contratos, cláusulas modelo u otras bases válidas cuando correspondan.

La localización concreta de cada tratamiento puede depender del proveedor y del servicio utilizado. VAULTCORE mantendrá inventario de proveedores y revisará el encuadre de transferencias internacionales como parte de su programa de privacidad y seguridad.

10. Seguridad de la información

VAULTCORE aplica un enfoque de seguridad razonable y de mejora continua. Ningún sistema conectado a Internet puede prometer invulnerabilidad absoluta; por ello, la seguridad se gestiona mediante capas de prevención, limitación, detección, recuperación y evidencia.

Las comercializadoras y sus usuarios también deben proteger sus dispositivos, credenciales, cuentas y permisos internos, informar rápidamente incidentes y revocar accesos cuando una persona deje de estar autorizada.

11. Logs, trazabilidad y privacidad operacional

VAULTCORE procura registrar la información necesaria para reconstruir acciones críticas sin convertir el CRM en un sistema de vigilancia permanente del contenido. Como regla, se prefieren identificadores y metadatos operativos antes que duplicar contenido de expedientes en logs.

• identificador de comercializadora/company_id o tenant;
• identificador de usuario y rol;
• fecha y hora;
• acción, objeto afectado y resultado;
• cambios de permisos, integraciones o acciones administrativas críticas;
• datos de sesión, IP o user-agent sólo cuando exista una finalidad legítima de seguridad, diagnóstico, prevención de abuso o auditoría.

Los logs se someten a controles de acceso y políticas de retención diferenciadas según su finalidad.

12. Conservación, eliminación y fin de la relación

VAULTCORE no adopta como regla general la conservación indefinida de todos los datos. Los períodos se determinan según la finalidad, el contrato, la naturaleza del dato, obligaciones legales, seguridad, continuidad y necesidades razonables de auditoría.

Una solicitud de supresión puede estar limitada cuando exista obligación legal de conservar determinados datos, necesidad de preservar evidencia ante un incidente o litigio, o cuando la supresión afecte derechos de terceros. En esos casos se informará el fundamento aplicable.

Solicitudes comerciales de la vidriera V5

VAULTCORE trata nombre, empresa, correo electrónico y WhatsApp opcional para responder solicitudes de información o presentación y documentar su seguimiento comercial. Los avisos internos se reservan al administrador autorizado; no se activa un canal externo por el solo envío del formulario.

La retención ordinaria máxima es de 12 meses desde la recepción o la última interacción comercial efectiva y documentada. Leer o marcar un aviso como leído no reinicia ni extiende ese plazo. Al vencer, cuando los datos ya no sean necesarios, se eliminan de forma segura o se anonimizan irreversiblemente, junto con sus avisos y registros de lectura vinculados. No se aplican eliminaciones automáticas sin autorización operativa específica.

Las solicitudes convertidas en clientes se rigen por las políticas contractuales y legales correspondientes y quedan excluidas de esta eliminación comercial automática. Puede solicitar acceso, rectificación o supresión a través del contacto de privacidad indicado en esta política; solo se conservará lo exigido por una obligación legal aplicable. Los respaldos respetan la rotación segura y las restauraciones deben aplicar el registro vigente de supresiones para no reintroducir datos cuya eliminación fue ordenada.

13. Derechos de las personas titulares

Las personas pueden ejercer los derechos que les reconoce la normativa argentina de protección de datos personales, incluyendo información, acceso, rectificación, actualización y supresión cuando corresponda.

Cuando el pedido se refiera a un expediente administrado por una comercializadora, ésta puede ser quien determine la finalidad principal del tratamiento. VAULTCORE coordinará y cooperará razonablemente para permitir el ejercicio de derechos, sin impedir los derechos que correspondan directamente frente a VAULTCORE por datos de cuenta, seguridad, facturación u otros tratamientos propios.

Las solicitudes deberán permitir verificar razonablemente la identidad del solicitante para evitar que datos personales sean entregados o modificados por terceros no autorizados. Se responderán dentro de los plazos previstos por la normativa aplicable. Conforme a la Ley 25.326, el acceso debe ser respondido dentro de diez (10) días corridos y los pedidos de rectificación, actualización o supresión dentro de cinco (5) días hábiles, salvo modificación normativa posterior aplicable.

14. Uso ilícito, abuso y protección de terceros

VAULTCORE está diseñado para actividades empresariales legítimas. Las comercializadoras y usuarios no pueden utilizar el servicio para fraude, estafa, suplantación, documentación robada o falsificada, tratamiento ilícito de datos, phishing, extorsión, acceso no autorizado, venta ilícita de bases, lavado de activos u otras actividades contrarias a la ley.

VAULTCORE no inspecciona preventivamente cada expediente buscando delitos. Sin embargo, ante una denuncia fundada, un incidente de seguridad, señales técnicas graves o un requerimiento válido, podrá preservar evidencia, limitar temporalmente accesos, investigar el alcance estrictamente necesario y adoptar medidas proporcionales de seguridad o cumplimiento.

Canal de abuso, privacidad y seguridad

Los reportes de abuso, privacidad o seguridad vinculados con VAULTCORE pueden enviarse a [email protected]. VAULTCORE podrá solicitar información razonable para verificar identidad, alcance y legitimidad del reporte antes de adoptar medidas.

15. Personas menores de edad

VAULTCORE no está diseñado como servicio directo para menores de edad. Las organizaciones que utilicen el CRM son responsables de verificar la capacidad, autorización y base legal aplicable cuando incorporen datos de una persona menor o representada. VAULTCORE podrá requerir aclaraciones o adoptar medidas si detecta un tratamiento incompatible con la finalidad legítima del servicio.

16. Incidentes de seguridad y comunicaciones

Si VAULTCORE toma conocimiento de un incidente que pueda comprometer datos personales, aplicará su procedimiento de gestión de incidentes para contener el riesgo, investigar el alcance, preservar evidencia, corregir la causa y evaluar las comunicaciones a clientes, titulares, proveedores o autoridades que correspondan según la ley y los contratos aplicables.

Las organizaciones usuarias deben informar sin demora razonable cualquier sospecha de cuenta comprometida, credenciales expuestas, dispositivo infectado, acceso no autorizado o uso ilícito relacionado con VAULTCORE.

17. Cambios a esta Política

VAULTCORE puede actualizar esta Política cuando cambien el producto, los proveedores, la arquitectura, la normativa o las prácticas de tratamiento. La versión vigente deberá indicar su fecha de actualización y permanecer accesible desde el sitio oficial.

Cuando un cambio sea material y afecte de forma relevante las expectativas razonables de privacidad, VAULTCORE procurará comunicarlo mediante el sitio, la plataforma, correo u otro canal apropiado.

18. Contacto y autoridad de control

En Argentina, la Agencia de Acceso a la Información Pública (AAIP) es la autoridad de aplicación en materia de protección de datos personales y recibe consultas o denuncias conforme a los procedimientos publicados en argentina.gob.ar/aaip.

19. Marco normativo y referencias de transparencia

Esta Política fue preparada tomando como referencia el modelo operativo aprobado de VAULTCORE y, entre otras, las siguientes fuentes oficiales vigentes al momento de su redacción:

La referencia a estas fuentes no reemplaza el análisis jurídico del caso concreto ni implica que todas las obligaciones posibles queden agotadas en este documento.

Anexo A. Aviso breve recomendado para “Conectar Google”

Texto de transparencia para interfaz

Al conectar Google, VAULTCORE solicitará tu dirección de correo e identidad básica para asociar la cuenta y el permiso gmail.send para enviar los correos que vos o tu organización decidan generar desde el CRM. VAULTCORE no solicita permisos para leer tu bandeja de entrada, modificar o eliminar correos existentes. Los datos de Google no se usan para publicidad, evaluación crediticia, lending ni entrenamiento de modelos de IA/ML.

Este aviso breve no sustituye la Política de Privacidad. Debe mostrarse de forma clara cerca del flujo de conexión y mantenerse consistente con los permisos efectivamente solicitados.

VAULTCORE - Política de Privacidad V1

Toda tu operación. Un solo núcleo.