Política de Privacidad

1. Quiénes somos y qué cubre esta política

Esta Política de Privacidad explica cómo Breneshold LLC, sociedad de responsabilidad limitada constituida bajo las leyes del Estado de Florida, Estados Unidos, con domicilio en la dirección postal indicada en la cuenta del cliente y en cada factura ("Witnio", "nosotros"), trata los datos personales.

Cubre este sitio web, la cuenta y el tablero de Witnio, la API y el servicio de observación. Aplica a quienes visitan el sitio, a las personas que administran una cuenta de cliente y a los datos personales contenidos en la Evidencia que generan los chequeos de un cliente.

Witnio atiende empresas. No ofrecemos el servicio a consumidores y no recolectamos a sabiendas datos de menores de 18 años.

Esta política está vigente desde la fecha de vigencia indicada al inicio de esta página.

2. Nuestros dos roles

Witnio actúa en dos roles distintos, y las reglas difieren entre ellos.

Responsable. Para los datos de cuenta, de facturación, la correspondencia de soporte, los envíos de lista de espera y contacto, y el uso del sitio web, Witnio decide por qué y cómo se tratan los datos. Esta política rige ese tratamiento.

Encargado. Para los datos personales contenidos en la Evidencia que generan los chequeos de un cliente, el cliente decide por qué y cómo, y Witnio actúa según las instrucciones documentadas del cliente. El Anexo de Tratamiento de Datos rige ese tratamiento y prevalece sobre esta política respecto de esos datos.

Si usted es una persona cuyos datos aparecen dentro de la Evidencia de un cliente, contacte primero a ese cliente. Le trasladaremos su solicitud y lo apoyaremos para responderla.

3. Datos que recolectamos como responsable

Datos de cuenta: nombre de la empresa; nombre, correo corporativo, teléfono de trabajo y cargo de las personas que administran la cuenta; usuarios, roles, sesiones y dispositivos; y metadatos de las llaves de API.

Datos de verificación: dominio de correo corporativo, caso de uso declarado y la evidencia de propiedad o autorización que usted nos entrega sobre un dominio, un número o un remitente.

Datos de facturación: contacto de facturación, domicilio fiscal, número de identificación tributaria, plan, facturas, estado de pago, y la marca y los últimos cuatro dígitos de una tarjeta según los devuelve el proveedor de pagos. Witnio nunca recibe ni almacena el número completo de una tarjeta ni una credencial bancaria — los datos de pago se ingresan en las páginas alojadas por Stripe o PayPal.

Datos de soporte y ventas: los mensajes que nos envía, los formularios de lista de espera y contacto que completa (correo, empresa, producto de interés) y nuestras respuestas.

Datos técnicos: dirección IP, agente de usuario, metadatos de solicitud, marcas de tiempo, y los logs de error y auditoría necesarios para operar, asegurar y depurar el servicio.

Datos del sitio web: este sitio establece dos cookies y ningún rastreador de terceros. Vea la sección de Cookies.

4. Datos que tratamos como encargado

Ejecutar un chequeo produce Evidencia. Según el producto, un registro de Evidencia puede contener: el remitente o identificador llamante observado; el número de destino bajo control de Witnio; el cuerpo del mensaje ya enmascarado, junto con un hash del original; marcas de tiempo y latencia; contexto de dispositivo, sistema operativo, marcador telefónico, SIM, operador y corredor; capturas de pantalla y, para algunos productos, video de la pantalla del dispositivo; resultados HTTP, DNS y TLS; la cadena de redirecciones; cookies y estado del banner de consentimiento observados en el objetivo; y el manifiesto firmado que une todo lo anterior.

Parte de eso puede ser dato personal — un número telefónico, el nombre de quien llama, o una persona visible en una captura. El cliente elige los objetivos y el tráfico, y por tanto es el responsable de esos datos.

La instrucción de Witnio a sus clientes es explícita: envíe tráfico de prueba, no las comunicaciones reales de sus usuarios finales, y no envíe datos personales más allá de lo que el chequeo necesita.

5. Enmascarado y minimización

Antes de persistir cualquier dato, y antes de enviar cualquier dato a un proveedor de IA a través del router de IA de Witnio, Witnio enmascara o minimiza: códigos de un solo uso; números telefónicos de terceros; otro contenido sensible; tokens; cookies; e identificadores no necesarios para el resultado.

Un código de un solo uso nunca se almacena en claro. Toda secuencia de cuatro o más dígitos en el cuerpo de un mensaje se enmascara antes de que ese cuerpo se escriba en almacenamiento, y el cuerpo almacenado se trunca. Los identificadores de remitente y destino se almacenan enmascarados. Un hash del contenido original permite verificar integridad sin conservar el contenido.

El enmascarado se aplica a la entrada, no a la salida: el valor sin enmascarar nunca se escribe en una base de datos, un log, una traza ni una solicitud a IA.

6. Finalidades y bases legales

Cuando aplica el RGPD o una ley equivalente, Witnio se apoya en estas bases como responsable:

• Ejecución de un contrato, artículo 6(1)(b) — crear y administrar su cuenta, prestar el servicio que ordenó, facturar y dar soporte.
• Interés legítimo, artículo 6(1)(f) — asegurar la plataforma; prevenir, detectar e investigar abuso y fraude; verificar que un cliente esté facultado para monitorear lo que configura; conservar logs de auditoría; mejorar el servicio con datos agregados y desidentificados; y ejercer o defender reclamos legales. Ponderamos ese interés frente a sus derechos y usted puede oponerse según se describe abajo.
• Obligación legal, artículo 6(1)(c) — deberes fiscales y contables, tamizaje de sanciones, y responder a un requerimiento lícito de una autoridad.
• Consentimiento, artículo 6(1)(a) — cuando lo pedimos, por ejemplo para enviarle un mensaje que usted solicitó recibir. Puede retirarlo en cualquier momento, sin afectar el tratamiento ya realizado.

Como encargado, Witnio trata los datos de Evidencia bajo instrucción del cliente; el cliente es responsable de contar con una base legal para ese tratamiento.

7. Cookies y rastreo

Este sitio establece dos cookies: una de preferencia de idioma que recuerda el idioma que eligió, y una cookie de vista previa prelanzamiento que permite a un visitante invitado ver el sitio antes de que sea público. Ambas son estrictamente necesarias o de preferencia.

Witnio no usa cookies publicitarias, cookies de analítica, píxeles de rastreo, grabación de sesión ni fingerprinting en este sitio, y no vende ni comparte datos personales para publicidad conductual entre contextos. Si llega mediante un enlace con parámetros de campaña (utm_*), esos parámetros, la página de entrada y el sitio de procedencia se guardan en el almacenamiento de sesión de su navegador solo durante esa sesión y se registran con la solicitud de contacto o el registro que envíe, para medir qué campañas funcionan; no es una cookie y nunca se comparte con plataformas publicitarias.

Como no hay cookie no esencial, este sitio no muestra banner de consentimiento. Si eso cambia, se agregará un banner antes de establecer la cookie y esta política se actualizará primero.

8. Con quién se comparte y subencargados

Witnio no vende datos personales y no los comparte con fines publicitarios.

Witnio usa un número reducido de proveedores que pueden tratar datos personales por cuenta suya:

• Stripe — procesamiento de pagos y facturación de suscripciones, proveedor principal (datos de facturación y contacto).
• PayPal — procesamiento de pagos, proveedor secundario (datos de facturación y contacto).
• Cloudflare — DNS, protección de borde y entrega del sitio y la API (datos técnicos como dirección IP y metadatos de solicitud).
• Infraestructura de hospedaje y de dispositivos operada por Witnio en Costa Rica (todos los datos del servicio).
• Telegram — entrega de alertas operativas únicamente al personal de operaciones de Witnio. Las alertas de clientes no se enrutan allí por defecto; cuando un cliente pide alertas por Telegram, esa es su propia instrucción.
• Proveedores de modelos de IA alcanzados a través del router de IA de Witnio, únicamente sobre entradas enmascaradas y minimizadas, para resumen, clasificación y generación de reportes. Los proveedores de modelos configurados en la capa de IA de Witnio al momento del tratamiento; la lista vigente y las ubicaciones de tratamiento están disponibles a solicitud en [email protected]

Los subencargados nombrados en este documento (Stripe, PayPal, Cloudflare, la infraestructura propia de Witnio y Telegram solo para alertas internas); cualquier proveedor de envío de correo, monitoreo de errores o analítica que se agregue después se anuncia a los clientes suscritos en [email protected]

Witnio también puede divulgar datos a un asesor profesional sujeto a deber de confidencialidad, a una autoridad cuando esté legalmente obligado, cuando sea necesario para ejercer o defender un reclamo legal, o a un sucesor en una fusión o venta de activos — en cuyo caso se lo informaremos y sus derechos viajan con los datos.

9. Transferencias internacionales

Witnio opera desde Costa Rica y usa proveedores establecidos en Estados Unidos y en otros países, por lo que los datos personales pueden transferirse fuera de su país.

Para transferencias de datos personales fuera del Espacio Económico Europeo, el Reino Unido o Suiza, Witnio se apoya en las Cláusulas Contractuales Tipo de la Comisión Europea, junto con una evaluación de riesgo de transferencia y las medidas técnicas descritas en la sección de Seguridad — incluidos el enmascarado antes del almacenamiento y el cifrado en tránsito. Esas Cláusulas se incorporan al Anexo de Tratamiento de Datos.

Puede solicitar una copia del mecanismo de transferencia aplicable a sus datos en el contacto de privacidad indicado abajo.

Breneshold LLC firma las Cláusulas Contractuales Tipo como importador de datos bajo el Módulo 2 (responsable a encargado).

10. Retención

Witnio conserva los datos personales solo por el tiempo que los necesita.

• Capturas de pantalla: 90 días.
• Video de la pantalla de un dispositivo: 30 días.
• Logs operativos: de 30 a 90 días.
• Métricas agregadas que ya no identifican a nadie: largo plazo.
• Datos crudos sensibles: el tiempo mínimo necesario para producir el resultado, luego enmascarados o eliminados.
• Evidencia paga: según el contrato del cliente, cuando ese plazo es mayor que la base.
• Registros de cuenta y facturación: durante la vida de la cuenta y luego por el plazo que exijan las normas fiscales y contables, y no más de lo necesario para defender un reclamo legal.
• Envíos de lista de espera y contacto: hasta que pida su eliminación, o hasta que la consulta se cierre y venza nuestro plazo de conservación.

Tras la terminación, los Datos del Cliente quedan exportables durante 30 días y luego se eliminan o anonimizan de forma irreversible, salvo que una ley exija conservarlos o que sobrevivan únicamente en respaldos hasta que estos se sobrescriban en su ciclo normal.

11. Sus derechos

Cuando aplica el RGPD o una ley equivalente, usted puede pedirnos: acceso a sus datos personales y una copia de ellos; su rectificación; su supresión; la limitación del tratamiento u oposición a él, incluido el tratamiento basado en interés legítimo; o recibirlos en un formato portátil y legible por máquina. Cuando el tratamiento se basa en el consentimiento, puede retirarlo en cualquier momento.

Witnio no toma decisiones sobre usted que produzcan efectos jurídicos o similarmente significativos por medios exclusivamente automatizados.

Escriba al contacto de privacidad indicado abajo. Respondemos dentro de un mes, y podemos extender dos meses más una solicitud compleja, explicándole el motivo. Podemos pedirle la información necesaria para confirmar su identidad, y podemos rechazar una solicitud manifiestamente infundada o excesiva, explicando nuestras razones.

Usted puede reclamar ante su autoridad de control local. En Costa Rica la autoridad competente es la Agencia de Protección de Datos de los Habitantes (PRODHAB), bajo la Ley 8968.

Si sus datos están dentro de la Evidencia de un cliente, actuamos como encargado: trasladaremos su solicitud a ese cliente, que es quien debe responderla.

12. Residentes de California

Si usted reside en California, la CCPA reformada por la CPRA le da derecho a saber qué información personal recolectamos, usamos, divulgamos y conservamos; a acceder a ella y recibir una copia; a corregirla; a eliminarla; a limitar el uso de información personal sensible; y a no sufrir discriminación por ejercer un derecho.

En los últimos doce meses Witnio ha recolectado las categorías descritas arriba: identificadores, información comercial, actividad en internet y — dentro de la Evidencia de clientes — información que puede incluir metadatos de comunicaciones. Se recolectó para los fines de negocio descritos arriba y se divulgó únicamente a los proveedores listados arriba.

Witnio no vende información personal y no la comparte para publicidad conductual entre contextos, y no lo ha hecho en los doce meses anteriores. Witnio no usa ni divulga información personal sensible para fines distintos de los permitidos sin derecho a limitación.

Para ejercer un derecho, escriba al contacto de privacidad indicado abajo. Un agente autorizado puede actuar por usted con prueba escrita de su facultad.

13. Costa Rica

El hardware y las operaciones de Witnio están en Costa Rica, y el tratamiento allí está sujeto a la Ley 8968 de protección de la persona frente al tratamiento de sus datos personales, y a su reglamento.

Bajo esa ley usted tiene derechos de acceso, rectificación, supresión y, cuando corresponda, a ser informado sobre el almacenamiento de sus datos en una base de datos registrada y a consentirlo. Las solicitudes van al contacto de privacidad indicado abajo y se atienden dentro del plazo que fija la ley.

Breneshold LLC evalúa sus obligaciones de inscripción bajo la Ley 8968 de Costa Rica (PRODHAB) por el tratamiento realizado en sus dispositivos en Costa Rica y se inscribe cuando corresponde.

14. Seguridad

Witnio trata toda interfaz pública como hostil. El tráfico pasa por un gateway de borde, límites de tasa, autenticación y autorización antes de llegar al control plane, los servicios internos, los workers y los dispositivos. La granja de dispositivos nunca se expone directamente a internet.

Los controles de acceso incluyen autenticación multifactor, tokens de vida corta con rotación de refresh, sesiones revocables, control de acceso basado en roles, alcance por tenant en toda consulta de datos de tenant, autorización denegar-por-defecto y pruebas de regresión de acceso cruzado entre tenants. Las llaves de API tienen alcance limitado, son rotables y están sujetas a cuotas y límites de tasa.

Las credenciales, los códigos de un solo uso, las cookies y los tokens de sesión nunca se escriben en el repositorio, en logs ni en trazas. Los secretos viven en un gestor de secretos.

Cada release ejecuta escaneo de dependencias, de secretos, de contenedores y de configuraciones inseguras por defecto, además de pruebas de regresión de abuso de autenticación y de acceso cruzado entre tenants.

La integridad de la Evidencia se protege criptográficamente: cada artefacto lleva un hash SHA-256, y su manifiesto se canonicaliza y se firma con una llave Ed25519 que nunca sale del host firmante. La llave pública se publica, de modo que una firma puede verificarse sin confiar en Witnio.

La página de Seguridad de este sitio declara las medidas vigentes y se actualiza conforme cambian.

15. Violación de datos personales

Si Witnio toma conocimiento de una violación de datos personales que afecte los datos de un cliente, notificará al cliente afectado sin demora indebida y en todo caso dentro de las 72 horas siguientes a tomar conocimiento, con la información disponible en ese momento y con actualizaciones conforme avance la investigación, para que el cliente pueda cumplir sus propios deberes de notificación.

Cuando Witnio sea el responsable y la violación entrañe un riesgo alto para las personas afectadas, Witnio les notificará a ellas y a la autoridad de control competente según lo exija la ley aplicable.

El procedimiento de incidente de Witnio es: detectar, contener, revocar, preservar evidencia, análisis de causa raíz, corregir, agregar una prueba de regresión, reprobar y documentar.

16. Menores de edad

El servicio no está dirigido a menores y Witnio no recolecta a sabiendas datos personales de personas menores de 18 años. Si cree que datos de un menor llegaron a nosotros, escriba al contacto de privacidad y los eliminaremos.

17. Cambios a esta política

Witnio puede actualizar esta política. La versión vigente y su fecha aparecen al inicio de esta página.

Cuando un cambio afecte materialmente la forma en que tratamos datos personales, lo notificaremos a los contactos de cuenta con al menos 30 días de antelación a su entrada en vigor.

18. Contacto

Consultas de privacidad, solicitudes de titulares y esta política: [email protected].

Delegado de protección de datos o representante en la UE/Reino Unido, cuando se designe: [email protected] (contacto de privacidad; en esta etapa no se requiere ni se ha designado un delegado de protección de datos).

Dirección postal: la dirección postal indicada en la cuenta del cliente y en cada factura.