Política de privacidad
Esta Política de privacidad explica cómo Marko Omelyash VARSOFIA (operador de sign.yt) trata los datos personales. Actuamos como responsable del tratamiento respecto a los datos de visitantes y de cuentas de operador, y como encargado del tratamiento respecto al contenido de los documentos y a los datos de los firmantes que cargan nuestras organizaciones cliente. El tratamiento de los datos de los documentos del Cliente se rige adicionalmente por un Acuerdo de Tratamiento de Datos (DPA) independiente.
1. Identidad del responsable del tratamiento
Marko Omelyash VARSOFIA, empresa unipersonal registrada en Polonia, NIP 7011036703. Contacto para todos los asuntos de privacidad y protección de datos: support@sign.yt.
2. Ámbito y rol
Somos responsables de: la analítica de visitantes, las credenciales de cuenta de los usuarios operadores, los datos de facturación y la telemetría de seguridad. Somos encargados de: el contenido de los documentos cargados por las organizaciones cliente, los datos personales de los destinatarios contenidos en dichos documentos y las entradas del registro de auditoría que surgen de los flujos iniciados por los clientes. Las organizaciones cliente son responsables de esos datos y nos dan instrucciones a través del Servicio y del DPA.
3. Categorías de datos
Cuenta: correo electrónico, nombre, hash de contraseña, secretos de MFA (cifrados), identificadores SSO. Datos de documentos: archivos cargados (cifrados en reposo), nombres, correos y números de teléfono de los destinatarios y evidencias de firma. Telemetría: dirección IP, user-agent, marcas de tiempo y referrer para seguridad y detección de abusos. Cookies: tokens de sesión y CSRF estrictamente necesarios y preferencias de idioma y tema. No utilizamos por defecto cookies analíticas, publicitarias ni de seguimiento de terceros.
4. Base jurídica (art. 6 RGPD)
Ejecución del contrato: para la prestación del Servicio, gestión de la cuenta y facturación. Interés legítimo: para seguridad, prevención del fraude, administración del sistema y comunicación directa con clientes existentes (cada uno admite oposición). Obligación legal: para retención fiscal, contable y del registro de auditoría. Consentimiento: para cualquier cookie no esencial, comunicaciones de marketing a no clientes y las funciones opcionales de IA.
5. Subencargados
Recurrimos a subencargados para alojar la infraestructura, entregar correos electrónicos y SMS, procesar pagos y, solo cuando un cliente las habilita, dar soporte a las funciones opcionales de IA. La lista actual de subencargados se mantiene en línea y se actualiza periódicamente; los clientes pueden consultarla en cualquier momento y oponerse a un nuevo subencargado por motivos razonables. Cada subencargado se contrata con cláusulas contractuales adecuadas (anexos de tratamiento de datos, condiciones comerciales o de API) y con las garantías de transferencia internacional descritas en la sección 6. La lista actual está publicada en sign.yt/subprocessors.
6. Transferencias internacionales
Por defecto, los datos de los documentos del Cliente se tratan dentro del Espacio Económico Europeo. Cuando se transfieren datos personales fuera del EEE — por ejemplo, a través de determinados subencargados de facturación, correo electrónico o IA ubicados en Estados Unidos — nos basamos en las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914) y en medidas técnicas y organizativas coherentes con la sentencia Schrems II, incluido el cifrado en tránsito y en reposo, controles de acceso estrictos y transparencia sobre cualquier solicitud lícita recibida por el subencargado correspondiente.
7. Conservación
Los datos de los documentos del Cliente se conservan según el ajuste de retención elegido por el cliente para su organización o, si no se configura un ajuste, durante un periodo de archivo predeterminado de diez (10) años tras la finalización, como función de preservación de pruebas del Servicio (no como obligación legal por nuestra parte). Los datos de cuenta se conservan durante la vida activa de la cuenta y hasta 24 meses después. Los registros de auditoría se conservan durante el mismo plazo que los datos del documento asociado. Las copias de seguridad siguen una rotación rodante de 90 días. Las indicaciones (prompts) de IA no se conservan más allá de la llamada de inferencia.
8. Sus derechos
Conforme a los artículos 15-22 del RGPD, usted tiene derecho a acceder, rectificar, suprimir, limitar, portar y oponerse al tratamiento de sus datos personales, así como a retirar cualquier consentimiento que haya prestado. Para ejercer estos derechos, escriba a support@sign.yt o utilice el flujo /rodo-request integrado en el producto. Respondemos en un plazo de 30 días. Si sus datos personales fueron cargados por una organización cliente, trasladaremos su solicitud a dicho cliente (el responsable) y le ayudaremos a responder. También puede presentar una reclamación ante el Presidente de la Oficina de Protección de Datos Personales de Polonia (Prezes UODO, ul. Stawki 2, 00-193 Warszawa, Polonia) o ante su autoridad de control local.
9. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas al riesgo conforme al artículo 32 del RGPD, incluido TLS en tránsito, cifrado en reposo de los blobs de documentos y cifrado por campo de credenciales sensibles, hash moderno de contraseñas, soporte para autenticación multifactor, control de acceso basado en roles, un registro de auditoría de solo adición con integridad de cadena de hash y un proceso de notificación de violaciones de 72 horas conforme al artículo 33. Adicionalmente, contamos con protección perimetral de terceros (terminación TLS, mitigación DDoS, WAF) prestada por proveedores reputados.
10. Tratamiento mediante IA
Las funciones de IA (como la detección automática de campos o la revisión de contratos) son opcionales por organización. Cuando se activan, el texto del documento se transmite al proveedor de IA elegido por el cliente (Anthropic, OpenAI, Google u otro proveedor compatible) únicamente con fines de inferencia. En la medida en que lo permitan las condiciones comerciales o de API del proveedor seleccionado, el contenido del cliente no se utiliza para entrenar los modelos del proveedor; no podemos garantizar las condiciones contractuales de cada proveedor externo, por lo que el cliente debe revisarlas antes de activar las funciones de IA. El cliente puede desactivar el tratamiento por IA en cualquier momento desde los ajustes de su organización.
11. Cookies
Utilizamos únicamente cookies estrictamente necesarias: cookies de sesión para autenticación, una cookie con token CSRF y preferencias de idioma/tema. No utilizamos por defecto cookies analíticas, publicitarias ni de seguimiento de terceros. Si en el futuro introducimos cookies no esenciales, solicitaremos su consentimiento previo e informado conforme a la Directiva sobre la privacidad y las comunicaciones electrónicas 2002/58/CE y a las normas polacas de comunicaciones electrónicas que la transponen. En los formularios de inicio de sesión, registro y firma pública usamos Cloudflare Turnstile (Cloudflare, Inc.) para bloquear abusos automatizados. Procesa tu dirección IP y señales técnicas del navegador y puede guardar en el navegador un token de seguridad de corta duración; se usa solo con fines de seguridad (art. 6.1.f RGPD), no para seguimiento ni publicidad.
12. Menores
El Servicio no está dirigido a menores de 16 años. No recopilamos a sabiendas datos personales de menores. Las organizaciones cliente garantizan disponer de una base jurídica adecuada cuando el Servicio se utilice para tratar datos personales de menores.
13. Cambios en esta política
Podemos modificar esta política periódicamente. Notificaremos las modificaciones sustanciales con al menos 30 días de antelación por correo electrónico y mediante un banner en el producto. La versión actual y la fecha de entrada en vigor se muestran arriba.
14. Contacto
Para cualquier consulta o para ejercer sus derechos en virtud de esta política, póngase en contacto con el responsable en support@sign.yt. El Acuerdo de Tratamiento de Datos que rige el tratamiento de los datos de los documentos del Cliente está disponible en /dpa.