Política de Privacidad

1. Quién es el responsable

El responsable de los datos que trata Arkame es HUGO FREITAS TECNOLOGIA LTDA, CNPJ 40.898.123/0001-06, Av. Portugal, 1148, Sala C2501 — Setor Marista, Goiânia/GO, 74150-030, Brasil. El encargado de protección de datos (DPO) atiende en privacidade@arkame.app.

2. Qué datos recogemos

Cuenta: nombre, correo y, si existe, la foto de perfil, cuando entras con Google (Google nos da el identificador de la cuenta y esos datos, nunca la contraseña); o solo el correo, cuando entras con el enlace de acceso enviado por correo.

Organización y cobro: nombre y país de la organización, miembros y roles, servidores, buckets registrados (nombre, región y dirección — nunca las claves), planes e historial de ejecución. Stripe procesa el pago: no recibimos el número completo de la tarjeta. Para la factura en Brasil usamos los datos fiscales informados (nombre o razón social, CPF o CNPJ y dirección).

Seguridad y uso: dirección IP, navegador, fecha y hora de acceso, acciones sensibles hechas en la organización (registro de auditoría) y los datos de la verificación en dos pasos, cuando la activas.

Formularios del sitio: en la lista de espera, el correo y, si los informas, nombre, empresa y número de servidores, además del idioma y la recomendación de un socio, si la hay. En la solicitud al Programa de Socios: empresa, nombre, correo, país y la aceptación de los Términos del Programa y, si los informas, teléfono, sitio web, forma de trabajo prevista, número de clientes y servidores y un mensaje.

Soporte: lo que nos escribes por correo.

No recogemos ni tenemos acceso al contenido de tus copias: va directamente de tu servidor a tu bucket.

3. Qué envía el agente Arkame al panel

El agente Arkame se ejecuta en el servidor que proteges y envía los archivos directamente a tu bucket, con la clave del bucket, que queda solo en el servidor y nunca se envía al panel. Al panel envía solo lo necesario para que acompañes y restaures: el nombre, el sistema operativo, la versión del agente y la dirección IP del servidor, la forma de instalación (Docker, servicio o manual) y el nombre del servicio en el sistema; la señal periódica de funcionamiento; el resultado de las pruebas de conexión con el bucket; cuando el comando de antes o de después del backup falla, hasta 8 KB de lo que escribió en la salida, para que veas el error en el panel; y el índice de cada backup — ruta y nombre de cada archivo, tamaño, fecha de modificación, resumen criptográfico (SHA-256) y versión en el bucket. Cuando usas el navegador de carpetas al crear un plan, envía los nombres de las carpetas y archivos que abriste. Nada de esto incluye el contenido de los archivos. Quitar el agente (arkame-agent uninstall) borra del servidor su configuración, la clave y su identidad.

4. Responsable y encargado

En los datos de cuenta, cobro, seguridad, formularios y soporte, Arkame es responsable.

En los metadatos de las copias — el índice con rutas y nombres de archivos y carpetas, tamaños, fechas y resúmenes —, Arkame es encargado: trata esos datos en nombre del cliente, que es el responsable, solo para prestar el servicio y según sus instrucciones. Los nombres y rutas de archivos pueden contener datos personales (por ejemplo, "contrato-maria-silva.pdf"); el cliente debe tener base legal para copiar esos archivos. El contenido de las copias nunca llega a Arkame.

5. Finalidades y bases legales

Ejecución de contrato y trámites previos: crear y autenticar la cuenta, operar copias y restauraciones, cobrar, emitir facturas, dar soporte y evaluar solicitudes de socios.

Cumplimiento de obligación legal: registros fiscales y contables y la conservación de los registros de acceso que exige el Marco Civil de Internet de Brasil.

Interés legítimo: seguridad, prevención de fraude y abuso, métricas agregadas de visitas al sitio y mejora del producto, respetando tus expectativas y tus derechos.

Consentimiento: en la lista de espera, usamos tu contacto solo para avisarte de la plaza; puedes pedir que te quitemos cuando quieras.

No vendemos datos personales ni los usamos para publicidad.

6. Subencargados

Usamos estos proveedores, cada uno solo para su función:

Oracle Cloud — alojamiento del panel y de la base de datos (Brasil, región de São Paulo).

Stripe — pagos y suscripciones (Estados Unidos).

Google — acceso con cuenta de Google, cuando eliges esa opción (Estados Unidos).

Resend — correos transaccionales, como el enlace de acceso y los avisos de copias y de cobro (Estados Unidos).

Cloudflare — CDN, DNS y proxy del sitio y del panel, métricas agregadas de visitas (Web Analytics) y reenvío de correos recibidos (Estados Unidos).

GitHub — distribución del programa del agente Arkame; quien descarga el agente tiene su dirección IP vista por GitHub (Estados Unidos).

También compartimos datos cuando lo exige la ley o una orden judicial, y con el socio de tu organización, dentro de los límites de la sección 7.

7. Socios

Si tu organización es cliente de un revendedor de Arkame, el revendedor ve en el área de socios los datos de tu organización: nombre, estado, servidores, planes, uso y miembros (nombre y correo). No ve el contenido de las copias ni las claves del bucket.

Si llegaste por el enlace de un socio de recomendación (Affiliate), solo ve datos agregados: el nombre de la organización, el estado y el número de servidores.

El socio trata esos datos como responsable independiente, para atenderte, y se obliga a protegerlos en los Términos del Programa de Socios.

8. Dónde están los datos y transferencias internacionales

Los datos del panel están en Brasil, en Oracle Cloud en São Paulo (sa-saopaulo-1).

Stripe, Google, Resend, Cloudflare y GitHub tratan datos en Estados Unidos o en otros países. Estas transferencias internacionales se apoyan en el art. 33 de la LGPD, con cláusulas contractuales de protección de datos en los contratos con esos proveedores (incluidas las cláusulas estándar aprobadas por la ANPD de Brasil, cuando correspondan), y se limitan a lo necesario para cada función.

9. Seguridad

Cifrado en tránsito (TLS) entre navegador, panel, agente y bucket. Las claves del bucket nunca salen de tu servidor. Cada servidor tiene identidad propia (Ed25519), aprobada por ti.

Aislamiento entre organizaciones en la propia base de datos, con reglas de seguridad a nivel de fila (RLS). Verificación en dos pasos (2FA) para las cuentas, registro de auditoría de las acciones sensibles, copias de la base de datos del panel y acceso interno restringido a quien lo necesita.

10. Incidentes de seguridad

Si ocurre un incidente de seguridad que pueda causar riesgo o daño relevante a las personas, lo comunicamos a la ANPD de Brasil y a las personas afectadas en un plazo razonable, según la LGPD y la regulación de la ANPD, explicando qué pasó, qué datos se vieron afectados y qué hacer. Cuando el incidente afecte metadatos de copias que tratamos como encargado, avisamos sin demora al cliente responsable.

11. Cuánto tiempo conservamos los datos

Mientras la cuenta esté activa. Después de la cancelación (que vale al final del período pagado), los datos de la cuenta y el catálogo de los backups se guardan al menos 30 días — si vuelves, no se pierde nada. Puedes pedir la eliminación o la anonimización en cualquier momento, antes o después de ese plazo, en privacidade@arkame.app: los borramos de la base en hasta 15 días, y las copias de seguridad de nuestra base, que guardamos 30 días, los pierden al vencer.

Se guardan por más tiempo solo los que exige la ley: registros fiscales y de cobro por el plazo legal y registros de acceso por 6 meses (Marco Civil de Internet de Brasil), que se borran después. Las inscripciones en la lista de espera quedan hasta que te invitemos o pidas la baja; las candidaturas de socio, el tiempo necesario para evaluarlas y mantener la alianza.

El contenido de las copias queda en tu bucket, bajo tu propia política de retención.

12. Cookies y almacenamiento en el navegador

Solo usamos lo necesario para que el sitio y el panel funcionen. Nada de cookies de publicidad.

authjs.session-token (con el prefijo __Secure- en HTTPS): te mantiene conectado al panel hasta que cierres la sesión o por hasta 30 días. Junto a él, authjs.csrf-token y authjs.callback-url protegen y completan el inicio de sesión. Al iniciar sesión con Google, authjs.pkce.code_verifier y authjs.state existen solo durante la ida y vuelta a Google.

arkame_2fa: recuerda durante 12 horas que ya confirmaste el código del segundo factor en esta sesión. arkame_link_nav: guarda durante 15 minutos el enlace de acceso enviado por correo, entre abrir el enlace y confirmarlo.

arkame_modo (solo en el backoffice, para quien es del equipo y también socio): recuerda en cuál de los dos papeles estás, durante 30 días.

arkame-locale: guarda el idioma elegido en el panel, por 1 año. arkame-tz: guarda la zona horaria del navegador, por 1 año, para que el panel muestre fechas y horas en tu horario.

arkame_ref: se crea cuando llegas por el enlace de referido de un socio (arkame.app/r/…), para atribuir la referencia; dura 90 días. Puedes rechazarlo al crear la organización en el panel, donde aparece quién te refirió, o en el formulario de la lista de espera, cuando esté abierta.

Almacenamiento local del navegador (no es cookie y no sale de tu computadora): el tema claro u oscuro (arkame-site-theme en el sitio, arkame-theme en el panel, arkame-admin-theme en el backoffice), la sugerencia de idioma ya respondida en el sitio, en el panel las notificaciones y novedades que ya viste, y arkame-tz-recarregou (sessionStorage, desaparece al cerrar la pestaña), que evita recargar la página más de una vez al ajustar la zona horaria.

Cloudflare Web Analytics: cuenta visitas de forma agregada, sin cookies y sin identificarte.

13. Tus derechos

Puedes pedir confirmación del tratamiento, acceso, corrección, anonimización, bloqueo o eliminación de datos innecesarios, portabilidad, información sobre con quién compartimos, y revocar consentimientos, según el art. 18 de la LGPD. También puedes reclamar ante la ANPD de Brasil.

En los metadatos de copias, donde somos encargado, enviamos la solicitud al cliente responsable y le ayudamos a atenderla.

14. Encargado de datos (DPO) y contacto

Para dudas, solicitudes o reclamos sobre privacidad, escribe al encargado en privacidade@arkame.app. Respondemos en un máximo de 15 días.

15. Cambios en esta Política

Podemos actualizar esta Política. Los cambios relevantes se avisan por correo o en el panel antes de entrar en vigor.