Política de Privacidad

1. Responsable y alcance

1.1. La plataforma E-lemento es operada por E-Lemento Soluções em QR-Codes Ltda., CNPJ 37.806.846/0001-23, con domicilio en Rua Cacaquera, 39, Sala C, Vila Antonina, São Paulo/SP, CEP 03412-030. Contacto para consultas y derechos: info@e-lemento.com, asunto “Privacidad”. No envíes contraseñas ni números completos de tarjeta.

1.2. Esta Política se aplica a visitantes del sitio, clientes, administradores, usuarios invitados, personas que acceden a códigos QR, solicitantes de soporte y usuarios del asistente, cuando el tratamiento lo realiza E-lemento. Los destinos externos abiertos mediante QR tienen responsables propios y no quedan cubiertos automáticamente por esta Política.

1.3. Canal de privacidad y delegado de protección de datos: las solicitudes se reciben por el canal indicado en el punto 1.1. La identidad y los contactos del delegado, cuando su designación sea exigible, se divulgarán conforme a las normas aplicables. Una eventual exención legal de la designación no elimina la atención a los titulares.

2. Roles de responsable y encargado del tratamiento

2.1. E-lemento normalmente actúa como responsable del tratamiento al definir finalidades y medios para el registro, autenticación, seguridad de la plataforma, facturación, relación con clientes, prevención del fraude y marketing propio, cuando exista.

2.2. En operaciones de contenido y datos de terceros definidos e incorporados por Clientes empresariales, E-lemento podrá actuar como encargado del tratamiento según instrucciones lícitas documentadas del Cliente responsable, dentro de los límites de la operación real y del eventual DPA. La calificación debe realizarse por actividad y no mediante una declaración genérica.

2.3. Cuando el Cliente decida publicar datos personales en un QR público, deberá identificar su base legal, finalidad y obligaciones de transparencia y atención; E-lemento sigue siendo responsable de los tratamientos bajo su control, de la seguridad y de sus propias obligaciones. Ante solicitudes directas a E-lemento sobre un tratamiento controlado por el Cliente, se ofrecerá derivación u orientación adecuada, sin divulgación indebida.

3. Categorías, origen y finalidades

3.1. Las bases legales dependen de las finalidades y circunstancias concretas de cada tratamiento. La conformidad con la Política no sustituye al consentimiento libre, informado e inequívoco cuando sea la base exigida.

3.2. Los datos estrictamente necesarios se identificarán en los formularios; su ausencia podrá impedir una función determinada. Para tratamientos opcionales, el rechazo no debe bloquear funciones ajenas a la finalidad opcional.

3.3. También pueden recibirse datos personales de administradores de la Cuenta, usuarios invitados, proveedores de identidad y pagos, destinatarios de soporte y servicios integrados, siempre de acuerdo con el flujo efectivo.

4. Datos de visitantes y estadísticas de códigos QR

4.1. La lectura de un QR dinámico puede generar una solicitud al dominio de redirección con IP, fecha/hora, identificación del recurso, información técnica y eventuales parámetros de campaña. El tratamiento sirve para entregar la redirección, proporcionar seguridad y generar las estadísticas contratadas.

4.2. La IP, la ubicación aproximada y los identificadores en línea pueden constituir datos personales, aunque se muestren de forma agregada al Cliente. Los identificadores distintos no garantizan personas distintas; la ausencia de identificación nominal no implica anonimización irreversible.

4.3. El acceso a los informes y al detalle de los datos estará sujeto a los permisos de la Cuenta y a la necesidad operativa. E-lemento deberá aplicar minimización y, cuando corresponda, enmascaramiento de información, distinguiendo la conservación de eventos brutos de la de métricas agregadas.

4.4. El responsable de campañas o QR colocados en lugares físicos podrá tener el deber propio de informar a los visitantes sobre la recopilación y el destino de los datos, según el contexto.

5. Cookies, almacenamiento local y opciones

5.1. Utilizamos cookies y almacenamiento local para mantener el funcionamiento y la seguridad de la plataforma y recordar tus preferencias. El análisis es opcional: elige “Solo esenciales” o “Permitir análisis” y cambia tu decisión en “Preferencias de cookies”. Rechazarlo no impide utilizar las funciones contratadas. Aceptar los Términos o continuar navegando no autoriza esta medición.

5.2. Cuando está habilitado y autorizado, Google Analytics mide visitas, contenidos, etapas de contratación y uso de la plataforma. La medición puede incluir páginas y eventos estandarizados, idioma, campañas, navegador, dispositivo e identificadores seudónimos. No consideramos estos datos anónimos por el mero hecho de que no contengan tu nombre. Google Tag Manager, cuando se utiliza, gestiona las etiquetas según las mismas opciones; no autoriza nuevos píxeles ni finalidades.

5.3. No incluimos en los parámetros analíticos nombres, emails, datos de tarjeta, contraseñas, mensajes, contenido de códigos QR ni direcciones privadas de clientes. La conexión del navegador con Google transmite datos técnicos, incluida la IP. Consulta cómo Google recopila y trata esta información en los enlaces de esta sección.

5.4. Con tu permiso específico y cuando esta función esté habilitada, la medición desde el servidor también puede considerar registros confirmados, creación y activación de códigos QR, emisión de enlaces de descarga, compras y reembolsos confirmados. Puede incluir el importe, la moneda y una referencia seudónima de la operación para evitar recuentos repetidos, sin datos completos de tarjeta ni contenido de los códigos QR. Esto es distinto de los registros necesarios para prestar el servicio, facturar y cumplir obligaciones legales.

5.5. Al retirar el permiso, interrumpimos los nuevos envíos analíticos que dependen de él. Esto no elimina automáticamente la información ya enviada a Google ni los registros conservados con otra base legal. La duración de una cookie difiere de la conservación de eventos e informes. También puedes bloquear o eliminar el almacenamiento del navegador; esto puede cerrar tu sesión o borrar preferencias. Las opciones son propias de cada navegador y dispositivo.

5.6. Google reCAPTCHA se activa en las acciones protegidas de los formularios de acceso, registro, verificación de email y recuperación de contraseña para evaluar datos técnicos de la conexión y del navegador y reducir la automatización abusiva. Su uso es puntual en esas acciones, pero la cookie puede permanecer en el navegador después de enviar o cerrar el formulario. Esta protección es distinta del análisis de audiencia. Rechazar el análisis no desactiva automáticamente los controles de seguridad. El dominio de Google puede involucrar otras cookies según el contexto del navegador.

5.7. El permiso de análisis no autoriza publicidad personalizada ni remarketing. La consulta de informes por la administración utiliza una credencial únicamente en el servidor y no instala cookies adicionales en tu navegador. Para información sobre conservación, intercambio, transferencias y tus derechos, utiliza el canal de privacidad de E-lemento.

5.8. El inventario de análisis y seguridad de Google y de las preferencias relacionadas está disponible en esta página y en “Preferencias de cookies”, con nombre, responsable, finalidad, categoría y duración conocida. Los elementos dependen de las funcionalidades habilitadas; la tabla distingue los valores predeterminados del proveedor de los plazos establecidos por E-lemento. La duración del almacenamiento en el dispositivo no determina la conservación de los datos en los servicios. Puedes solicitar al canal de privacidad información adicional sobre otros recursos y sus proveedores.

5.9. En la configuración de Google Analytics verificada el 31 de octubre de 2026, la conservación es de 2 meses para datos de eventos y 14 meses para datos de usuarios. Las nuevas actividades renuevan el plazo de los datos del usuario. Estos controles no limitan la mayoría de los informes estándar con datos agregados ni corresponden al plazo de las cookies del navegador.

5.10. En la protección mediante reCAPTCHA, E-lemento es el responsable de los datos personales y Google actúa como encargado del tratamiento, conforme a las condiciones del servicio y al anexo de tratamiento de datos de Google Cloud. La finalidad es proteger la plataforma contra el fraude, el abuso y los accesos automatizados indebidos.

6. Intercambio, subencargados y pagos

6.1. Los datos podrán facilitarse de forma limitada a proveedores de alojamiento, almacenamiento, protección y supervisión, autenticación, entrega de emails, procesamiento financiero, soporte e IA solo cuando estén contratados y sean necesarios. Los proveedores están sujetos a condiciones compatibles de seguridad y protección de datos según sus roles.

6.2. El procesamiento financiero puede involucrar a Stripe en nuevas contrataciones y a PayPal en contratos heredados, según el medio efectivamente disponible e informado en el proceso de compra. Los datos completos de tarjeta y los códigos de seguridad no deben enviarse en formularios generales, chat ni email de soporte.

6.3. E-lemento podrá atender órdenes legales y requerimientos válidos de autoridades dentro de los límites de la legislación, aplicando minimización e impugnación cuando corresponda. No existe venta indiscriminada de datos personales por el mero uso de la Plataforma.

6.4. Se mantendrá un registro operativo de proveedores con, para cada uno, razón social, país, servicio, categorías de datos, rol, ubicación de los datos, conservación, acceso por subencargados y mecanismo de transferencia internacional.

6.5. Cuando el análisis esté habilitado y autorizado, Google podrá tratar datos analíticos para generar informes de audiencia y uso. La seguridad mediante reCAPTCHA y el acceso mediante identidad Google tienen finalidades distintas. La credencial administrativa de consulta de informes no se comparte con el navegador. Información del proveedor: https://policies.google.com/technologies/partner-sites?hl=es y https://policies.google.com/privacy?hl=es.

7. Transferencias internacionales

7.1. Si se accede a datos, se almacenan o se tratan en otro país en un contexto que constituya una transferencia internacional, E-lemento identificará la operación, el destinatario y la base habilitante apropiada, aplicando las salvaguardas de la LGPD y de la normativa de la ANPD, incluida la Resolución CD/ANPD n.º 19/2024 cuando corresponda.

7.2. El mero uso de la nube, la aceptación de este aviso o la elección de un proveedor internacional no sustituyen el mecanismo de transferencia exigido. La información y los instrumentos accesibles podrán solicitarse al canal de privacidad, conforme a la legislación.

8. Asistente de inteligencia artificial

8.1. El asistente puede responder consultas y, según las funcionalidades efectivamente habilitadas, ayudar a preparar, revisar y crear códigos QR y abrir solicitudes de soporte. Para estas finalidades, los mensajes y el contexto necesario y autorizado de la Cuenta seleccionada podrán enviarse al proveedor de IA efectivamente habilitado. Las acciones quedan vinculadas al usuario autenticado y sujetas a los permisos y confirmaciones aplicables, sin autorización para acceder a otras cuentas, modificar permisos ni ejecutar operaciones financieras. No introduzcas información de terceros sin base legal, contraseñas, tokens, datos de tarjetas ni datos sensibles innecesarios.

8.2. El historial normal de conversaciones del asistente, cuando está habilitado, se muestra durante un máximo de 30 días, tras los cuales los registros dejan de formar parte del historial y del contexto de uso regular mediante eliminación lógica, salvo necesidades legales y operativas justificadas. Este plazo no equivale a la eliminación física inmediata de copias de seguridad, registros del proveedor ni pruebas conservadas legalmente; los plazos específicos de cada capa deben facilitarse previa solicitud cuando corresponda.

8.3. La información sobre los proveedores de IA efectivamente utilizados, países involucrados, uso de datos para entrenamiento, conservación y protecciones pertinentes se facilitará de forma compatible con las operaciones y las obligaciones de transparencia aplicables. E-lemento no afirma una conservación nula por proveedores ni una prohibición absoluta de entrenamiento sin una base contractual y técnica verificable.

8.4. Los datos personales en resultados automatizados no podrán utilizarse en decisiones con efectos relevantes sin evaluar riesgos, controles y derechos aplicables, incluidas la información y revisión cuando las exija la LGPD.

8.5. Cuando una interacción resulte en una solicitud de soporte, solo deberán incorporarse los datos necesarios para la atención; no se transferirá automáticamente la conversación completa. Los registros de la solicitud siguen los plazos y finalidades de soporte, distintos del historial regular del asistente. Los registros de interacciones y acciones asistidas podrán utilizarse, en la medida necesaria y con acceso restringido, para investigar abuso, accesos indebidos y fallos, observando las bases legales y los plazos de conservación aplicables.

9. Niños, adolescentes y datos sensibles

9.1. La Plataforma no debe utilizarse para publicar abiertamente datos sensibles o datos de niños y adolescentes sin una base legal específica, necesidad y salvaguardas apropiadas. E-lemento podrá bloquear contenido inadecuado en situaciones justificadas, incluso para reducir riesgos para menores.

9.2. Cuando una operación involucre a niños y adolescentes, se observarán las salvaguardas legales aplicables, incluido el ECA Digital de Brasil (Ley n.º 15.211/2025), en la medida en que se aplique a los servicios y funcionalidades.

10. Almacenamiento, conservación, eliminación y copias de seguridad

10.1. Los datos se mantendrán durante el período necesario para las finalidades descritas, obligaciones legales, seguridad y ejercicio regular de derechos, respetando la necesidad y la transparencia. No existe compromiso de conservación perpetua.

10.2. En los casos legalmente exigidos, los registros de acceso a aplicaciones de internet se guardan por el plazo del Marco Civil de Internet de Brasil (por regla general, seis meses para un proveedor de aplicaciones sujeto a la obligación). Ese registro no debe confundirse con el contenido del QR ni con las estadísticas detalladas.

10.3. Los datos fiscales y de transacciones tendrán plazos adecuados a la obligación respectiva; los registros de incidentes con datos personales tendrán el plazo mínimo regulatorio aplicable, incluidos cinco años conforme a la Resolución CD/ANPD 15/2024, salvo un plazo mayor necesario u ordenado.

10.4. Una tabla operativa documentará los plazos reales de conservación de: registro y accesos, QR y adjuntos, registros brutos de lectura, métricas agregadas, pagos, soporte, chat/IA, registros de auditoría, copias de seguridad, eliminaciones lógicas, datos en subencargados y plazos posteriores al cierre. La anonimización verdadera no debe confundirse con la agregación reversible ni con la seudonimización.

10.5. El Contratante podrá solicitar la exportación de datos de su Cuenta durante los 15 días naturales posteriores al cierre, mediante atención y verificación de titularidad, conforme a los Términos de Uso. Este plazo contractual no reduce los derechos de los titulares de datos personales, modifica los plazos legales de conservación ni garantiza la eliminación física automática de copias de seguridad.

10.6. Ante una solicitud legítima, los datos podrán corregirse, bloquearse, anonimizarse o eliminarse cuando corresponda. La conservación obligatoria o necesaria se justificará y segregará cuando resulte razonable; las eliminaciones en sistemas activos y copias de seguridad podrán seguir un calendario técnicamente coherente y documentado.

10.7. La configuración de Google Analytics verificada el 31 de octubre de 2026 conserva datos de eventos durante 2 meses y datos de usuarios durante 14 meses, con renovación del plazo de los datos del usuario con cada nueva actividad. Estos controles no afectan a la mayoría de los informes estándar con datos agregados. La caducidad de cookies y la retirada del consentimiento no eliminan automáticamente los datos ya tratados. E-lemento deberá revisar estos plazos y este aviso cuando cambie la configuración; los demás registros siguen las finalidades y los criterios de conservación de esta Política.

11. Seguridad técnica e incidentes

11.1. Se adoptan medidas administrativas y técnicas de seguridad proporcionales a los riesgos y efectivamente implantadas, incluidos el control de acceso, protección de credenciales, segregación lógica, registros y supervisión según los controles efectivamente implementados y documentados. No se garantiza riesgo cero.

11.2. Los administradores deben limitar los invitados, preservar las credenciales y proteger sus dispositivos. Los incidentes o sospechas pueden comunicarse a info@e-lemento.com.

11.3. Los incidentes que puedan causar riesgo o daño relevante a los titulares serán evaluados y comunicados por la parte legalmente responsable a la ANPD y a los titulares, cuando sea exigible, dentro de los plazos reglamentarios; la norma general establece tres días hábiles para la comunicación por el responsable del tratamiento, sujeta a particularidades y reglas diferenciadas legalmente aplicables. E-lemento, cuando sea encargado, cooperará oportunamente con el responsable.

11.4. La comunicación podrá complementarse a medida que avance la investigación; los incidentes deberán registrarse y tratarse conforme a las obligaciones aplicables. Los compromisos contractuales de notificación entre responsable y encargado deben detallarse en el DPA.

12. Derechos de los titulares y atención

12.1. Conforme a la LGPD, el titular podrá solicitar confirmación del tratamiento, acceso, corrección, anonimización/bloqueo/eliminación de datos innecesarios o irregulares, portabilidad cuando esté regulada o sea aplicable, información sobre intercambios, consentimiento y sus consecuencias, revocación, eliminación de datos tratados mediante consentimiento cuando corresponda, oposición en los términos legales y revisión de decisiones exclusivamente automatizadas que afecten a sus intereses.

12.2. Las solicitudes pueden enviarse a info@e-lemento.com, asunto “Privacidad”. Podrá realizarse una verificación proporcional de identidad y facultades, evitando exigir datos excesivos. La atención de derechos es gratuita en los supuestos legales.

12.3. La confirmación y el acceso en formato simplificado deben proporcionarse inmediatamente cuando sea posible; la declaración completa observará el plazo legal, por regla general de hasta 15 días, sujeto a disposiciones específicas aplicables. Para los demás derechos, se observarán los plazos reglamentarios y se justificará la imposibilidad o derivación al responsable competente.

12.4. Si E-lemento es encargado del tratamiento en la actividad solicitada, cooperará e indicará, cuando sea apropiado y esté permitido, el responsable correspondiente, sin frustrar los derechos del titular. Los titulares podrán recurrir a la ANPD y a los organismos competentes.

13. Marketing, mensajes transaccionales y comunicaciones

13.1. Los mensajes sobre acceso, verificación de seguridad, cambios contractuales necesarios, facturas, avisos de riesgo y solicitudes de soporte pueden integrar la prestación del servicio, conforme a la base legal pertinente.

13.2. La publicidad y los boletines, cuando se utilicen, observarán una base legal propia, transparencia, posibilidad de oposición y un mecanismo efectivo de baja cuando corresponda. No deben condicionarse recursos esenciales al marketing opcional.

14. Relación entre el cierre de cuenta y los derechos sobre los datos

14.1. El plazo contractual de 15 días naturales después del cierre se refiere a la oportunidad de solicitar la exportación del contenido de la Cuenta técnicamente exportable y que pertenezca legítimamente al contratante. La validación de identidad y facultades, el formato y la entrega observarán los Términos de Uso y la viabilidad técnica, sin restringir los derechos de acceso y portabilidad de datos personales previstos en la LGPD.

14.2. El vencimiento de esta ventana no autoriza a mantener datos personales indefinidamente ni a rechazar solicitudes válidas de los titulares. La eliminación, anonimización o conservación observará la base legal correspondiente, incluidos los registros legalmente necesarios, obligaciones fiscales, seguridad, derechos en litigio y el ciclo documentado de copias de seguridad.

14.3. Los créditos comerciales por indisponibilidad de códigos QR, el horario de soporte y la limitación contractual B2B se rigen por los Términos de Uso. Ninguna de estas condiciones elimina los derechos de la LGPD ni modifica la competencia del responsable o del encargado del tratamiento.

15. Gobernanza, atención a titulares y rendición de cuentas

15.1. E-lemento procurará mantener un registro de operaciones de tratamiento, su finalidad, categorías de datos, base legal evaluada, período de conservación, destinatarios y responsables del proceso. La divulgación pública de esta Política no sustituye ese registro interno ni la evaluación del interés legítimo cuando sea necesaria.

15.2. Las solicitudes realizadas por representantes exigirán prueba adecuada de facultades, con recopilación mínima de información. E-lemento podrá rechazar solicitudes manifiestamente fraudulentas o que impliquen divulgación de datos ajenos, fundamentando la respuesta conforme a la ley.

15.3. En el tratamiento en nombre de un Cliente responsable, podrán cuestionarse las instrucciones que parezcan vulnerar la legislación; E-lemento podrá suspender la ejecución de la instrucción específica cuando sea necesario para evitar una ilegalidad, informando al Cliente cuando esté permitido.

15.4. La protección de datos personales abarca a titulares que no tengan Cuenta, incluidos los destinatarios de QR, contactos publicados y terceros identificados en adjuntos, textos o prompts.

16. Minimización y protección específica en la lectura de códigos QR

16.1. Los códigos QR pueden dirigir a visitantes a destinos definidos por los Clientes; por regla general, E-lemento no valida la política de privacidad, seguridad, legalidad ni continuidad del sitio de destino. E-lemento responde por sus propios tratamientos y obligaciones legales, sin asumir automáticamente la condición de responsable de toda la operación realizada en el destino.

16.2. Los parámetros de seguimiento añadidos por el Cliente a las URLs pueden permitir identificar y asociar comportamientos. El Cliente debe observar finalidad, transparencia, base legal y minimización al configurarlos, especialmente en campañas relacionadas con personas identificadas, niños o datos sensibles.

16.3. El acceso a estadísticas por administradores y colaboradores está condicionado a los permisos de Cuenta. Las exportaciones o intercambios decididos por el Cliente pueden generar responsabilidades propias del destinatario, sin eximir a E-lemento de las obligaciones por incidentes bajo su control.

17. Protección, respuesta a incidentes y cadena de proveedores

17.1. Cuando un incidente afecte a datos tratados en nombre de un Cliente responsable, E-lemento deberá cooperar con la información disponible y comunicarle el evento en un plazo compatible con el riesgo y las obligaciones reglamentarias, observando las condiciones operativas del DPA. No existe un compromiso ficticio de detección instantánea.

17.2. Los proveedores con acceso a datos se evaluarán proporcionalmente al riesgo, incluidos el alcance del acceso, confidencialidad, seguridad, incidentes, subcontratación, conservación y transferencias. La existencia de un contrato no elimina la responsabilidad que la legislación atribuya a E-lemento.

17.3. Las medidas técnicas pueden incluir, según lo efectivamente implementado, gestión de accesos, segregación de entornos, cifrado en tránsito, copias de seguridad, supervisión, protección contra el abuso y procedimientos de recuperación. Las medidas no implementadas no deben anunciarse como activas.

18. Exportación de datos y diferencia entre derechos contractuales y derechos de la LGPD

18.1. La ventana de 15 días es un plazo para solicitar una exportación operativa del contenido de la Cuenta después del cierre, no un plazo de respuesta al derecho de acceso del titular de datos personales. Este derecho sigue siendo exigible en los términos y excepciones legales incluso después de la ventana contractual.

18.2. Cuando la Cuenta tenga múltiples usuarios o contenido de terceros, E-lemento podrá limitar la entrega al representante legitimado y al alcance necesario, con mecanismos de seguridad que impidan accesos no autorizados o el compromiso de secretos industriales.

18.3. El cierre contractual no significa la eliminación instantánea de copias de seguridad o registros que deban conservarse por obligaciones legales, prevención del fraude o defensa de derechos. Los tratamientos residuales tendrán una finalidad delimitada y acceso restringido.

19. Revisión humana, IA y cambios futuros

19.1. E-lemento no promete exactitud, ausencia de sesgos ni adecuación jurídica del contenido generado por IA. El tratamiento de prompts y adjuntos debe observar transparencia, minimización y derechos de terceros. Cuando exista un cambio sustancial de proveedor, finalidad, base legal o condiciones de conservación, la documentación y los avisos pertinentes se actualizarán antes del tratamiento incompatible.

19.2. La Política no autoriza la utilización de datos personales de los Clientes para entrenar modelos propios o de terceros fuera de las finalidades y bases legales informadas. Los cambios en ese sentido exigen una evaluación jurídica propia, transparencia y consentimiento cuando sea efectivamente obligatorio.

19.3. Si nuevas funcionalidades implican decisiones exclusivamente automatizadas con efectos relevantes, biometría, geolocalización precisa, publicidad conductual o niños y adolescentes, E-lemento deberá evaluar previamente las bases legales, impactos y mecanismos para el ejercicio de derechos.

20. Divulgación, idiomas e historial de versiones

20.1. Los cambios relevantes de esta Política se documentarán por versión y fecha, con comunicación apropiada. Los cambios incompatibles de finalidad exigirán evaluación y nuevas medidas, incluido el consentimiento cuando sea exigible. La versión publicada identificará la fecha de entrada en vigor y mantendrá un historial de cambios relevantes. Las traducciones deberán preservar los derechos aplicables.

20.2. Los mensajes electrónicos de aceptación de los Términos de Uso no sustituyen los avisos específicos de recopilación, el consentimiento granular cuando sea exigible ni la información de tratamiento que la LGPD obligue a facilitar.