Política de Privacidad

1. Quiénes somos

Ventra ERP es operado por SIC S.A., con domicilio en Carlos A. López esq. 14 de Mayo, Encarnación, Paraguay. Para todo lo relacionado con esta Política, el contacto es privacidad@ventra.com.py. Esta Política se rige por la Ley 1682/01 de Información de Carácter Privado y, cuando aplique, por estándares internacionales como el Reglamento General de Protección de Datos de la UE (RGPD).

2. Qué datos recopilamos

2.1 Datos de la cuenta

Cuando un Cliente se registra, recopilamos:

• Nombre del negocio y RUC (o documento equivalente).
• Subdominio elegido para acceder al Servicio.
• Datos del usuario administrador: nombre, email, contraseña (almacenada con hash bcrypt, nunca en texto plano).
• Rubro del negocio, dirección de contacto, teléfono.

2.2 Datos operativos del negocio

El Cliente carga voluntariamente datos de su operación: productos, precios, stock, ventas, clientes finales (con sus respectivos RUC/CI según corresponda), gastos, y configuración fiscal. Estos datos son propiedad del Cliente; nosotros los procesamos como custodios técnicos para prestar el Servicio.

2.3 Datos sensibles fiscales

Si el Cliente activa Facturación Electrónica SIFEN, almacenamos:

• Número de timbrado, establecimiento, punto de expedición.
• Certificado digital P12 (cifrado con AES-256-GCM utilizando una clave separada de las credenciales de sesión).
• Contraseña del certificado (cifrada con la misma clave).

El acceso al certificado descifrado solo ocurre en memoria al momento de firmar un Documento Electrónico; nadie del equipo del proveedor tiene acceso al material de clave en texto plano.

2.4 Datos técnicos automáticos

Al utilizar el Servicio recopilamos automáticamente:

• Direcciones IP de acceso (para auditoría y prevención de fraude).
• Cabeceras HTTP del navegador (User-Agent).
• Cookies de sesión (estrictamente necesarias para mantener la sesión iniciada).
• Logs de auditoría: acciones críticas (login, ventas, anulaciones, cambios de precio o stock) con marca temporal.
• Errores de aplicación enviados al servicio de monitoreo de errores (ver subprocesadores).

3. Para qué usamos los datos

• Prestar el Servicio: ejecutar las funcionalidades de gestión que el Cliente utiliza.
• Facturar al Cliente: emitir las facturas mensuales del Servicio.
• Soporte: responder consultas técnicas y resolver incidentes.
• Seguridad: detectar accesos no autorizados, prevenir fraude, mantener registros de auditoría.
• Mejoras del producto: análisis agregado y anonimizado de uso para priorizar mejoras.
• Comunicaciones de servicio: avisos de mantenimiento, cambios de precio, novedades del producto.

No utilizamos los datos del Cliente para entrenar modelos de inteligencia artificial, ni los vendemos a terceros, ni los compartimos con fines publicitarios.

4. Subprocesadores

Para prestar el Servicio, contratamos a terceros de confianza que pueden tener acceso técnico a parte de la infraestructura. Cada uno opera bajo sus propios términos y políticas:

La lista de subprocesadores puede actualizarse. Mantenemos esta sección al día y notificamos cambios sustanciales con al menos 30 días de anticipación.

5. Cookies y tecnologías similares

Utilizamos cookies estrictamente necesarias para el funcionamiento del Servicio:

• Cookie de sesión (NextAuth): mantiene al usuario autenticado mientras usa el sistema.
• Cookie de preferencia de cookies: recuerda que aceptaste el aviso de cookies.

No utilizamos cookies de publicidad ni de seguimiento entre sitios. No tenemos integración con Google Analytics, Facebook Pixel, ni similares.

6. Tus derechos

Bajo la Ley 1682/01 y normas concordantes, tenés derecho a:

• Acceso: conocer qué datos tuyos almacenamos.
• Rectificación: corregir datos inexactos.
• Eliminación: solicitar el borrado de tu cuenta y de los datos asociados (con las salvedades de registros legales obligatorios).
• Portabilidad: descargar tus datos en formato estructurado (Excel, JSON) usando la funcionalidad de Backup de la cuenta. Sin necesidad de pedirlo, está disponible 24/7.
• Oposición: oponerte a determinados tratamientos.
• Limitación: solicitar la suspensión del tratamiento mientras se resuelve una disputa.

Para ejercer cualquiera de estos derechos, contactar a privacidad@ventra.com.py. Respondemos solicitudes en un plazo máximo de 10 días hábiles. Antes de procesar la solicitud podemos pedir verificación de identidad.

7. Seguridad

Aplicamos medidas técnicas y organizativas razonables para proteger los datos:

• Cifrado en tránsito (HTTPS con TLS 1.2+) en todas las comunicaciones con el Servicio.
• Cifrado de credenciales con bcrypt (cost factor 12).
• Cifrado de datos sensibles fiscales (certificados P12) con AES-256-GCM y clave separada.
• Aislamiento por tenant: cada Cliente accede solo a sus propios datos, validado a nivel de aplicación y de base de datos.
• Backups automáticos diarios con retención mínima de 14 días.
• Restricción de acceso al servidor mediante autenticación SSH por clave pública (sin contraseña), firewall y fail2ban.
• Política de contraseñas mínima de 10 caracteres con reglas de complejidad.
• Sesiones con expiración automática (2 horas).
• Auditoría completa de acciones críticas a nivel aplicación.
• Hardening de cabeceras HTTP (CSP, HSTS, X-Frame-Options, Permissions-Policy).
• Monitoreo activo de errores con Sentry para detección temprana de anomalías.

Ninguna medida de seguridad es absoluta. Si se produjera un incidente de seguridad que afecte tus datos personales de manera significativa, te notificaremos por email a la cuenta registrada en un plazo no mayor a 72 horas desde su detección, con la información que tengamos disponible al momento.

8. Retención de datos

Mientras la cuenta esté activa, los datos se conservan para prestar el Servicio. Tras una cancelación, se conservan por 90 (noventa) días para permitir la descarga de un backup, y luego se eliminan de los sistemas de producción. Los logs de auditoría y registros fiscales propios del proveedor se conservan por los plazos exigidos por ley (mínimo 5 años).

9. Datos de niños

El Servicio está dirigido exclusivamente a empresas y profesionales mayores de 18 años. No recopilamos intencionalmente datos personales de menores de edad. Si tomamos conocimiento de que un menor nos ha proporcionado datos sin la autorización de un padre o tutor, los eliminaremos.

10. Transferencias internacionales

Como nuestros subprocesadores principales (Vultr, Sentry) operan desde Brasil y Estados Unidos respectivamente, algunos datos se procesan fuera de Paraguay. Estas transferencias se hacen al amparo de los términos contractuales estándar de los proveedores y no implican una transferencia comercial de datos.

11. Cambios a esta Política

Podemos actualizar esta Política para reflejar cambios en la normativa, en las funcionalidades del Servicio o en nuestras prácticas. Los cambios sustanciales se notificarán al email registrado con al menos 30 días de anticipación. La fecha de última actualización siempre se muestra al comienzo de este documento.

12. Contacto y reclamos

Para consultas, reclamos o ejercicio de derechos relacionados con datos personales:
privacidad@ventra.com.py

Si considerás que no resolvimos adecuadamente tu solicitud, podés acudir a la autoridad nacional competente en materia de protección de datos personales en Paraguay.