Política de Protección de Datos

1. Marco normativo aplicable

• Uruguay: Ley N.º 18.331 y Decreto 414/009; Ley N.º 19.670 y Decreto 64/020 (responsabilidad proactiva, delegado de protección de datos, evaluaciones de impacto y notificación de vulneraciones); Ley N.º 18.600 (documento electrónico).
• Estados Unidos: CCPA/CPRA de California y leyes estaduales análogas (Virginia, Colorado, Connecticut, Utah, Texas, entre otras); FTC Act, Sección 5, sobre prácticas desleales o engañosas; CAN-SPAM para comunicaciones comerciales; COPPA respecto de menores de 13 años.
• Plataformas: Condiciones de Tratamiento de Datos de Meta y Google, y sus políticas de datos publicitarios.

2. Roles

Charmander Media SAS actúa como responsable del tratamiento respecto de los datos de visitantes, prospectos y clientes propios. Cuando tratamos datos por cuenta de una empresa cliente (por ejemplo, bases de leads o audiencias publicitarias), actuamos como encargado del tratamiento, con instrucciones documentadas, deber de confidencialidad, restricción de subcontratación sin autorización y devolución o eliminación de los datos al finalizar el servicio.

3. Principios de tratamiento

• Licitud, lealtad y finalidad determinada, explícita y legítima.
• Minimización: recolectamos solo lo necesario para cada finalidad.
• Exactitud y actualización de los datos.
• Limitación del plazo de conservación.
• Seguridad, confidencialidad e integridad por diseño y por defecto.
• Responsabilidad proactiva: registro de tratamientos y evidencia de cumplimiento.

4. Medidas de seguridad

• Cifrado en tránsito (TLS) y cifrado en reposo en los servicios que lo soportan.
• Control de accesos por rol, con principio de mínimo privilegio y revisión periódica.
• Autenticación multifactor obligatoria en cuentas de administración, correo y plataformas publicitarias.
• Registro de auditoría de accesos y cambios relevantes.
• Respaldos periódicos y pruebas de restauración.
• Separación de ambientes de desarrollo y producción; uso de datos ficticios en pruebas.
• Acuerdos de confidencialidad con personal y proveedores, y capacitación interna.
• Baja de accesos inmediata ante desvinculación de personal.

5. Encargados y subencargados

Seleccionamos proveedores que ofrezcan garantías suficientes de cumplimiento y firmamos con ellos acuerdos de tratamiento de datos. Las categorías de proveedores incluyen hosting e infraestructura en la nube, correo electrónico y CRM, analítica web y plataformas de publicidad digital. Mantenemos un registro interno actualizado de encargados, disponible a solicitud de un cliente o de la autoridad de control.

6. Datos publicitarios

Las audiencias personalizadas, listas de clientes y eventos de conversión enviados a Meta o Google se tratan conforme a las condiciones de tratamiento de datos de cada plataforma. Solo cargamos datos respecto de los cuales exista base legal y aviso adecuado, aplicamos hashing cuando la plataforma lo permite, y no incorporamos categorías sensibles ni datos de menores. Honramos las solicitudes de exclusión y las señales de opt-out en todos los canales.

7. Transferencias internacionales

Cuando los datos se alojan o procesan fuera de Uruguay, aplicamos las garantías del artículo 23 de la Ley 18.331: países con nivel adecuado de protección, cláusulas contractuales con obligaciones equivalentes, o consentimiento informado del titular. Para datos de residentes de Estados Unidos, mantenemos compromisos contractuales de finalidad limitada y de asistencia en el ejercicio de derechos.

8. Retención y eliminación

• Prospectos y consultas: hasta 5 años desde el último contacto.
• Clientes: durante la relación contractual y los plazos legales de conservación contable y fiscal.
• Datos tratados por cuenta de terceros: hasta 30 días luego de finalizado el servicio, salvo instrucción distinta del cliente.
• Registros técnicos y de seguridad: hasta 12 meses.

Cumplidos los plazos, los datos se eliminan de forma segura o se anonimizan de manera irreversible.

9. Gestión de incidentes

Contamos con un procedimiento de detección, contención, análisis y remediación de vulneraciones de seguridad. Ante un incidente que afecte datos personales, notificamos a la Unidad Reguladora y de Control de Datos Personales (URCDP) dentro de las 72 horas de conocido, informamos a los titulares afectados cuando exista riesgo significativo, y cumplimos con las leyes estaduales de notificación de brechas aplicables en Estados Unidos. Los clientes para quienes actuamos como encargados son notificados sin dilación indebida.

10. Evaluaciones de impacto y responsabilidad proactiva

Realizamos evaluaciones de impacto en protección de datos antes de iniciar tratamientos que impliquen riesgo elevado —por ejemplo, elaboración de perfiles a gran escala o tratamiento sistemático de datos de terceros— y documentamos las medidas de mitigación adoptadas.

11. Ejercicio de derechos y contacto

Las solicitudes de acceso, rectificación, supresión, oposición, portabilidad o exclusión publicitaria se reciben en privacidad@r4mpa.com, o por escrito en Dr. Luis Bonavita 1266, Montevideo, Uruguay. Si el reclamo no es atendido satisfactoriamente, el titular puede acudir a la URCDP (Uruguay) o a la autoridad estadual competente (Estados Unidos).