Política de Privacidad

1. Responsable y alcance

Esta política aplica al sitio verificador.personnn.com, la API, el CLI y el snippet de Personnn Verificador, operados por Azomland, LLC ("Personnn Verificador", "nosotros"). Distingue dos capas de datos:

• Datos de tu cuenta (tú, el cliente que integra el Servicio): nombre de cuenta, email de contacto, API keys, créditos, orígenes registrados.
• Datos de tus Sujetos (los usuarios finales de tu sitio que aceptan o revocan consentimientos): los procesamos por tu cuenta y bajo tus instrucciones, actuando como encargados del tratamiento conforme a la Ley 21.719.

2. Qué datos de tu cuenta recolectamos

3. Qué datos de tus Sujetos procesamos (por tu cuenta)

Cuando tu sitio llama a nuestra API para registrar un consentimiento, guardamos lo que tú nos envías, típicamente:

• Identificador del sujeto que tú definas (puede ser anónimo, como un UUID, o un identificador real como un email/RUT si tu caso de uso lo requiere; esa decisión es tuya).
• Finalidades/scopes autorizados o revocados (ej. kyc:email, marketing).
• Versión y hash del documento que el sujeto aceptó.
• Dirección IP y user-agent del navegador que hizo la aceptación.
• Metadata opcional que tú decidas adjuntar (ej. contexto de una compra).

Estos datos se encadenan criptográficamente (hash-chain) y, si activas el anclaje, se sellan con una autoridad de tiempo externa (RFC 3161, por defecto freetsa.org) para que el registro sea verificable por terceros sin depender de nosotros.

4. Derecho de supresión (estilo ARCO)

Cuando tú (o tu Sujeto a través tuyo) solicitas la eliminación de datos personales, borramos la información identificable (identificador, IP, user-agent, metadata) de los eventos de ese sujeto, pero conservamos los valores hash para que la cadena de evidencia siga siendo verificable: el registro pasa a decir "hubo un evento aquí y fue suprimido", sin revelar quién era. Esto cumple el derecho de supresión sin destruir la prueba de que existió un consentimiento.

5. Con quién compartimos datos

No vendemos ni compartimos datos con fines de marketing. Los únicos terceros involucrados son:

• La autoridad de tiempo (TSA) usada para el anclaje RFC 3161 (por defecto freetsa.org), que recibe únicamente un hash, nunca datos personales legibles.
• Proveedores de infraestructura (hosting del servidor) necesarios para operar el Servicio.

6. Seguridad

Las API keys se guardan hasheadas (SHA-256), nunca en texto plano. Las conexiones usan TLS. Separamos llave pública (solo escritura) de llave secreta (lectura/administración) para que una filtración de la llave pública embebida en tu sitio no exponga tu evidencia. Las rutas de administración tienen límite de tasa y quedan registradas en un log de auditoría técnico.

7. Retención

Conservamos los eventos de consentimiento mientras tu cuenta esté activa, porque son la evidencia que contrataste el Servicio para producir. Si cierras tu cuenta, puedes solicitar exportar tu historial antes; después de un cierre definitivo, evaluamos cada solicitud de eliminación total considerando tus propias obligaciones legales de conservar evidencia.

8. Tus derechos y los de tus Sujetos

Si eres titular de datos de una cuenta (cliente nuestro), puedes pedirnos acceso, rectificación o eliminación de tus datos de cuenta escribiendo a [email protected]. Si eres el sujeto final de un consentimiento registrado por un cliente nuestro, debes ejercer tus derechos ARCO directamente con ese cliente (el responsable del tratamiento); nosotros ejecutamos la solicitud técnica cuando ese cliente nos lo indica.

9. Cambios a esta política

Podemos actualizar esta política para reflejar cambios legales o del Servicio. Publicaremos la nueva fecha de actualización en esta página.

10. Contacto

Privacidad y ejercicio de derechos: [email protected]