AVISO DE PRIVACIDAD, COOKIES Y COMUNICACIONES

1. Presentación

METADAX CONSULTORIA LTDA (“METADAX”, “nosotros” o “la empresa”) respeta la privacidad y la protección de los datos personales. Este Aviso explica, de forma clara y accesible, cómo tratamos los datos personales cuando una persona visita nuestros sitios web, se pone en contacto, solicita una propuesta, contrata servicios, utiliza una aplicación, participa en una campaña, se registra como proveedor o socio, reporta una vulnerabilidad o interactúa con nosotros por otros canales.

Este Aviso es un documento de transparencia. La navegación por nuestros sitios web no significa, por sí sola, la aceptación de este Aviso, de los Términos Generales ni de ninguna otra política. Cuando la ley o la contratación exijan una manifestación específica, presentaremos el documento, aviso, casilla o mecanismo de consentimiento correspondiente.

El tratamiento de datos personales se realiza de acuerdo con la Ley n.º 13.709/2018 — Ley General de Protección de Datos Personales de Brasil (“LGPD”), el Marco Civil de Internet, el Código de Defensa del Consumidor cuando corresponda, las regulaciones de la Autoridad Nacional de Protección de Datos (“ANPD”) y demás normas pertinentes.

2. Quiénes somos y cómo actuamos

METADAX puede ejercer actividades de tecnologías de la información, desarrollo y licenciamiento de software, SaaS, alojamiento, tratamiento de datos, consultoría, marketing, publicidad, promoción de ventas, producción y edición de contenidos, comercio de productos, educación, representación y otros servicios compatibles con su objeto social, contratos, autorizaciones y habilitaciones aplicables.

La mera existencia de un código de actividad económica (“CNAE”) no significa que todos los servicios estén disponibles de forma permanente, que toda actividad regulada esté autorizada en cualquier localidad ni que cualquier persona vinculada a METADAX pueda prestar servicios profesionales regulados. El alcance de cada contratación, incluidos los servicios educativos, de salud, prácticas integrativas, representación o comercio, se definirá en el contrato, propuesta, orden de servicio o reglamento aplicable.

2.1 Responsable y encargado del tratamiento

METADAX actúa como responsable del tratamiento cuando decide las finalidades y los medios del tratamiento para sus propias actividades, como la gestión comercial, el marketing propio, la facturación, la seguridad, la atención, la selección de proveedores y la administración de sus productos.

METADAX podrá actuar como encargada del tratamiento cuando trate datos personales exclusivamente en nombre de un cliente, de acuerdo con instrucciones documentadas y para ejecutar un servicio contratado, como alojamiento, SaaS, tratamiento de datos, desarrollo o mantenimiento de una aplicación. En ese caso, el cliente podrá ser el responsable del tratamiento y el contrato podrá contener un Acuerdo de Tratamiento de Datos o una cláusula específica de privacidad.

El papel de METADAX se definirá según la operación efectivamente realizada, la autonomía de decisión de cada parte, la finalidad del tratamiento y el contrato aplicable.

3. A quién se aplica este Aviso

Este Aviso puede aplicarse a visitantes, usuarios de sitios web y aplicaciones, clientes personas físicas o jurídicas, representantes y empleados de clientes, leads, participantes en eventos, suscriptores de comunicaciones, investigadores de seguridad, socios, proveedores, prestadores de servicios y otras personas cuyos datos sean tratados por METADAX.

Cuando METADAX trate datos exclusivamente por cuenta de un cliente, el titular también podrá necesitar consultar el aviso de privacidad del propio cliente, que es responsable de informar las finalidades principales del tratamiento.

4. Datos personales que podemos tratar

Solo tratamos datos adecuados, pertinentes y necesarios para finalidades legítimas, específicas e informadas. Las categorías siguientes son ejemplos y no significan que se recopilarán todos los datos en todos los servicios.

No solicitamos datos personales sensibles para actividades habituales de navegación, marketing o contratación cuando no sean necesarios. Si una actividad determinada involucra salud, datos biométricos, origen racial o étnico, convicción religiosa, opinión política, afiliación sindical, vida sexual u otros datos sensibles, el tratamiento solo se realizará cuando exista necesidad y una base legal adecuada, con medidas adicionales de protección.

5. Finalidades y bases legales

METADAX no utiliza una única base legal para todos los tratamientos. La base legal se elige según el contexto, la finalidad, la necesidad, la relación con el titular y la legislación aplicable.

Cuando utilicemos el interés legítimo, consideraremos la finalidad legítima, la necesidad, las expectativas razonables del titular, los impactos y las salvaguardas aplicables. Mantendremos registros y evaluaciones internas cuando sea necesario.

Cuando utilicemos el consentimiento, este se solicitará de forma libre, informada, inequívoca, específica y destacada. La negativa a dar el consentimiento no se utilizará para impedir un servicio que no dependa de ese tratamiento, salvo cuando la información sea necesaria para la prestación solicitada y así se haya informado previamente.

6. Datos obtenidos de terceros y fuentes públicas

Podemos recibir datos de clientes, representantes, socios, proveedores, plataformas de autenticación, procesadores de pago y otras fuentes. En actividades comerciales B2B, también podremos consultar información pública o puesta a disposición legítimamente, como datos de contacto corporativo, registros mercantiles y fuentes profesionales.

Que una información sea de acceso público no autoriza cualquier uso. Consideraremos la finalidad de la publicación, la buena fe, la necesidad, la compatibilidad del uso y los derechos del titular. No adquirimos ni utilizamos bases de datos de forma indiscriminada para finalidades incompatibles con su origen o con la legislación.

7. Compartición de datos personales

No vendemos datos personales. Podemos compartir datos personales cuando sea necesario para las finalidades informadas, para cumplir la ley o para ejecutar un contrato, limitando siempre la compartición a lo necesario.

Las categorías de destinatarios pueden incluir:

Cuando un tercero trate datos en nombre de METADAX, procuraremos establecer un contrato, instrucciones, confidencialidad y medidas de seguridad compatibles con la operación. Cuando otro responsable reciba los datos para una finalidad propia, informaremos el contexto y obtendremos el consentimiento cuando sea exigido. Todas las comunicaciones de METADAX se realizarán por canales oficiales, publicados en el sitio web de la empresa.

8. Transferencias internacionales

Algunos proveedores de tecnología, nube, comunicación, analítica o soporte pueden tratar datos fuera de Brasil. Antes de realizar una transferencia internacional, METADAX evaluará la finalidad, la necesidad, el país u organización de destino, el proveedor, las salvaguardas y las reglas de la LGPD y de la ANPD.

La transferencia podrá basarse en una decisión de adecuación, cláusulas o garantías aprobadas, normas corporativas, un supuesto legal específico u otra medida admitida por la regulación. La relación actualizada de proveedores relevantes, países y salvaguardas podrá ponerse a disposición previa solicitud o en material específico, teniendo en cuenta los secretos comerciales y la seguridad.

9. Conservación y eliminación

Conservamos los datos personales durante el período necesario para cumplir la finalidad, ejecutar el contrato, atender obligaciones legales, preservar derechos, prevenir fraudes, resolver disputas o cumplir órdenes de autoridades. Después, eliminaremos, anonimizaremos o bloquearemos los datos, salvo un supuesto legítimo de conservación.

La eliminación podrá limitarse cuando el dato sea necesario para cumplir una obligación legal, ejercer un derecho, proteger la seguridad, prevenir fraudes o cumplir un contrato. En esos casos, restringiremos el uso a la finalidad que justifica la conservación.

10. Seguridad de la información

Adoptamos medidas técnicas y administrativas compatibles con la naturaleza de los datos, la finalidad del tratamiento, los riesgos para los titulares, la estructura de la empresa y el servicio contratado. Las medidas pueden incluir control de accesos, autenticación, gestión de credenciales, actualizaciones, copias de seguridad, registro de eventos, cifrado cuando sea apropiado, gestión de proveedores, capacitación y procedimientos de respuesta.

Ningún sistema es completamente inmune a fallas. La seguridad también depende de la colaboración del usuario, que debe proteger sus credenciales, utilizar los canales oficiales y comunicar actividades sospechosas.

La Política de Seguridad de la Información, Gestión de Incidentes y Vulnerabilidades presenta compromisos públicos adicionales y canales de reporte.

11. Incidentes de seguridad

METADAX mantiene un proceso para recibir, clasificar, contener, investigar, remediar y registrar eventos de seguridad. Una vulnerabilidad o un intento de ataque no es automáticamente un incidente de datos personales.

Cuando se produzca un incidente confirmado que pueda generar un riesgo o daño relevante, evaluaremos las comunicaciones exigidas a la ANPD, a los titulares, a los clientes responsables del tratamiento y a otras partes necesarias.

Las comunicaciones se realizarán conforme a la LGPD y las regulaciones de la ANPD, con lenguaje sencillo, información adecuada, medidas de mitigación y preservación de los secretos comerciales cuando esté permitido.

12. Derechos de los titulares

El titular puede solicitar, conforme a la LGPD y la regulación aplicable:

1. confirmación de la existencia del tratamiento;

2. acceso a los datos tratados;

3. corrección de datos incompletos, inexactos o desactualizados;

4. anonimización, bloqueo o eliminación de datos innecesarios, excesivos o tratados de forma no conforme;

5. portabilidad, respetando la regulación y los secretos comercial e industrial;

6. eliminación de los datos tratados con consentimiento, salvo los supuestos legales de conservación;

7. información sobre las entidades públicas y privadas con las que compartimos datos;

8. información sobre la posibilidad de no dar el consentimiento y sus consecuencias;

9. revocación del consentimiento;

10. oposición al tratamiento basado en el interés legítimo u otro supuesto, cuando corresponda;

11. revisión de decisiones tomadas únicamente con base en un tratamiento automatizado, cuando corresponda; y

12. presentación de una petición ante la ANPD o los organismos de defensa del consumidor.

Las solicitudes podrán requerir la validación de identidad e información suficiente para localizar el tratamiento.

Responderemos en los plazos y formatos previstos en la legislación aplicable, considerando la naturaleza de la solicitud, los derechos de terceros, los secretos comerciales, las obligaciones legales y el encuadre regulatorio de METADAX.

12.1 Canal de privacidad y encargado de protección de datos

El canal preferente es:

Privacidad: [email protected]

Encargado de protección de datos (Data Protection Officer): [email protected]

Encargado de Seguridad de la Información y Ciberseguridad: [email protected]

Dirección postal: Avenida Getúlio Vargas, 671, Sala 500, Parte 1364, Savassi, Belo Horizonte/MG, CEP 30112-021, Brasil.

METADAX mantendrá un procedimiento gratuito y sencillo para el ejercicio de derechos. El nombre del encargado o responsable designado podrá divulgarse en el canal oficial correspondiente, conforme a la regulación aplicable.

13. Cookies y tecnologías similares

Las cookies son archivos o identificadores almacenados en el dispositivo que pueden permitir el funcionamiento, la seguridad, las preferencias, la medición de audiencia, la personalización, la publicidad u otras funcionalidades. Las tecnologías similares incluyen píxeles, etiquetas, SDK, almacenamiento local e identificadores publicitarios.

13.1 Categorías

La lista concreta de cookies, nombres, proveedores, finalidades, duración, carácter propio o de terceros y base legal se mantendrá en el inventario de cookies y se reflejará en el centro de preferencias.

13.2 Banner y centro de preferencias

El banner deberá presentar, de forma clara y con el mismo destaque:

•“Aceptar todas”;

•“Rechazar cookies no necesarias”; y

•“Gestionar cookies”.

Las cookies no necesarias basadas en el consentimiento estarán desactivadas por defecto. El segundo nivel presentará categorías, finalidades específicas, proveedores, duración y opciones de selección. El titular podrá cambiar o revocar sus elecciones mediante un mecanismo propio, accesible desde el sitio web, sin depender exclusivamente de la configuración del navegador.

El centro de preferencias deberá registrar la elección, la versión del banner, la fecha y los identificadores técnicos necesarios para demostrar la manifestación, sin recopilar más datos de los necesarios para esa finalidad.

14. Marketing y comunicaciones

14.1 Comunicaciones transaccionales

Podemos enviar mensajes necesarios para la ejecución del contrato, como confirmaciones, facturas, alertas de seguridad, mantenimiento, atención, recuperación de cuenta, cambios en el servicio y respuestas a solicitudes. Estos mensajes no se interrumpen por darse de baja del marketing cuando son necesarios para el servicio o por obligación legal.

14.2 Comunicaciones promocionales

Las comunicaciones promocionales pueden incluir boletines, ofertas, invitaciones, encuestas, eventos, novedades y contenido comercial. Utilizaremos la base legal adecuada al contexto y mantendremos registros del origen, del consentimiento cuando se utilice, del canal, de la finalidad, de las bajas y de las preferencias.

El consentimiento de marketing estará separado de la aceptación del contrato y no estará premarcado. El mensaje identificará a METADAX, explicará por qué el destinatario lo recibe y ofrecerá un mecanismo sencillo para darse de baja. La solicitud de baja se tramitará en un plazo razonable y sin costo.

14.3 Socios

No compartiremos listas de contactos con socios para que realicen su propio marketing, salvo cuando exista una base legal adecuada y, cuando sea necesario, un consentimiento específico. Las campañas conjuntas deben informar los responsables, las finalidades, los canales y las preferencias de cada participante.

15. Niños, adolescentes y datos sensibles

Como regla general, nuestros servicios no están dirigidos a niños. Cuando una actividad involucre a niños o adolescentes, METADAX adoptará los requisitos de la LGPD, del Estatuto del Niño y del Adolescente de Brasil y de las normas específicas, incluida información adecuada a la edad y el consentimiento o la autorización cuando se exijan.

En actividades educativas, culturales, deportivas, de eventos o de salud, podrán existir requisitos adicionales. Si el tratamiento involucra datos de salud, biométricos u otros datos sensibles, la finalidad, la base legal, el profesional o establecimiento responsable, la seguridad y los derechos se definirán en el servicio y en el instrumento específico.

METADAX no presta diagnóstico, prescripción ni tratamiento de salud mediante este Aviso. Los servicios de salud o prácticas integrativas solo se ofrecerán cuando exista una contratación específica, un profesional habilitado, la estructura y el cumplimiento regulatorio aplicables.

16. Sitios web, plataformas y servicios de terceros

Nuestros sitios web y aplicaciones pueden contener enlaces, integraciones o servicios de terceros. Cada tercero puede tener su propio aviso, términos, cookies y prácticas de seguridad.

METADAX no controla el tratamiento realizado por un tercero que actúa como responsable independiente. El uso de la marca, el contenido o el servicio de un tercero no significa respaldo, salvo indicación expresa.

17. Cambios en este Aviso

Podemos actualizar este Aviso para reflejar cambios en el tratamiento, los servicios, las leyes, las orientaciones de la ANPD o las medidas de seguridad. La versión vigente estará disponible en esta página, con su fecha de actualización.

Cuando un cambio sea sustancial y afecte a derechos, finalidades, bases legales o elecciones realizadas anteriormente, lo comunicaremos al titular por los medios adecuados y, cuando se exija, solicitaremos una nueva manifestación.

18. Contacto general

Las dudas sobre este Aviso, las solicitudes de titulares, la comunicación de incidentes o las cuestiones relacionadas con cookies pueden enviarse a los canales oficiales de METADAX:

•[email protected] — privacidad y derechos;

•[email protected] — encargado responsable de la privacidad;

•[email protected] — encargado responsable de la seguridad de la información y la ciberseguridad;

•la dirección postal indicada en la sección 12.1.

19. Referencias legales y regulatorias

Este Aviso debe leerse junto con la legislación brasileña vigente, en especial:

• Ley n.º 13.709/2018 — Ley General de Protección de Datos Personales (LGPD).

• Resolución CD/ANPD n.º 2/2022 — agentes de tratamiento de pequeño porte, junto con la regulación posterior de la ANPD aplicable al caso.

• Resolución CD/ANPD n.º 15/2024 — Comunicación de Incidentes de Seguridad.

• Guía de la ANPD sobre Cookies y Protección de Datos Personales.

• Ley n.º 12.965/2014 — Marco Civil de Internet.

• Código de Defensa del Consumidor — Ley n.º 8.078/1990, cuando corresponda.