Política de Manejo de Datos

1. Ámbito de aplicación

Esta política aplica a todos los datos procesados a través de FieldPro App, incluyendo datos de cuenta, datos operativos (órdenes de trabajo, clientes, equipos), datos de ubicación GPS, archivos adjuntos (fotos, documentos) y registros de actividad del sistema.

2. Clasificación de datos

Clasificamos los datos en cuatro niveles de sensibilidad:

• Nivel 1 — Público: información de marketing, documentación pública y contenido de la landing page.
• Nivel 2 — Interno: datos operativos generales como nombres de técnicos asignados a órdenes, estados de trabajos y fechas de servicio.
• Nivel 3 — Confidencial: datos de clientes (nombre, teléfono, dirección), historial de equipos, precios, notas de servicio y fotos adjuntas.
• Nivel 4 — Restringido: credenciales de autenticación, datos de facturación (procesados por PayPal), coordenadas GPS en tiempo real y tokens de sesión.

3. Recopilación de datos

Recopilamos datos de las siguientes fuentes:

• Entrada directa: información que los administradores y técnicos ingresan manualmente en la plataforma (clientes, equipos, notas de trabajo).
• Sensores del dispositivo: GPS del teléfono del técnico durante el horario laboral activo, con consentimiento explícito del técnico y control del administrador para activar o desactivar el seguimiento.
• Cámara del dispositivo: fotos tomadas a través de la app para documentar el estado del equipo, evidencia de trabajo completado y diagnósticos. Las imágenes se cargan directamente a Supabase Storage.
• Registros del sistema: actividad de inicio/cierre de sesión, cambios de estado de órdenes, tiempos de check-in y check-out. Generados automáticamente para auditoría interna.
• Metadatos técnicos: versión del navegador, sistema operativo, dirección IP, para garantizar la seguridad de la plataforma.

4. Almacenamiento de datos

Todos los datos de tu organización se almacenan en Supabase, nuestra plataforma de base de datos principal, ubicada en servidores de AWS en la región us-east-1 (Virginia, EE. UU.). Los datos se mantienen separados por organización mediante el sistema de Row Level Security (RLS) de Supabase: ningún tenant puede acceder a los datos de otro.

• Base de datos: PostgreSQL con cifrado AES-256 en reposo.
• Archivos y fotos: Supabase Storage con cifrado AES-256 en reposo y acceso restringido por políticas RLS.
• Tránsito: todas las conexiones usan TLS 1.3.
• Backups: Supabase realiza respaldos automáticos diarios con retención de 7 días en el plan gratuito y 30 días en planes de pago.

5. Procesamiento de datos

Los datos se procesan para las siguientes funciones del sistema:

• Asignación y gestión de órdenes de trabajo a técnicos.
• Visualización de ubicaciones GPS en tiempo real en el mapa del panel de control.
• Generación de reportes de productividad, tiempos de servicio y historial de equipos.
• Envío de notificaciones automáticas por correo (Resend) y WhatsApp (Twilio).
• Detección de mantenimientos preventivos vencidos o próximos.
• Auditoría y registro de cambios para trazabilidad interna.

6. Acceso a los datos

El acceso está estrictamente controlado por roles:

• Administrador: acceso completo a todos los datos de su organización, incluyendo reportes, ubicaciones GPS y configuración del sistema.
• Técnico: acceso solo a sus propias órdenes asignadas, sus datos de check-in/check-out y las fotos que él mismo cargó. No puede ver datos de otros técnicos.
• Equipo VirtualForja (soporte técnico): acceso de solo lectura bajo solicitud del cliente para diagnóstico de problemas. Cualquier acceso queda registrado en el log de auditoría.
• Ningún tercero: sin acceso a los datos de tu organización, salvo los subprocesadores listados en nuestra Política de Privacidad y bajo acuerdos de procesamiento de datos.

7. Transferencias de datos

Los datos pueden ser transferidos a los siguientes subprocesadores para funcionar:

• Supabase Inc. (EE. UU.): almacenamiento de base de datos y archivos.
• Vercel Inc. (EE. UU.): hosting y ejecución del servidor de aplicaciones.
• Resend Inc. (EE. UU.): solo el asunto, destinatario y cuerpo del correo transaccional. No almacenan datos de clientes.
• Twilio Inc. (EE. UU.): número de teléfono y texto del mensaje WhatsApp. Sujeto a la política de datos de Twilio.
• PayPal Holdings Inc. (EE. UU.): datos de facturación exclusivamente. FieldPro App no recibe ni almacena datos de tarjetas.

Todas las transferencias cuentan con mecanismos contractuales de protección (Acuerdos de Procesamiento de Datos o cláusulas contractuales estándar reconocidas internacionalmente).

8. Retención y eliminación

• Cuenta activa: datos conservados indefinidamente mientras la suscripción esté activa.
• Tras cancelación: datos conservados por 90 días para permitir reactivación o exportación.
• Eliminación definitiva: al finalizar los 90 días, todos los datos de la organización se eliminan de la base de datos productiva en un plazo de 30 días adicionales.
• Backups: los respaldos automáticos se sobreescriben en el ciclo de retención del proveedor (7 a 30 días); no guardamos backups independientes a largo plazo.
• Datos de facturación: conservados por 5 años para cumplimiento fiscal, aunque la cuenta haya sido eliminada.
• Eliminación anticipada: puedes solicitar eliminación inmediata escribiendo a datos@virtualforja.com. Se aplica salvo obligación legal de retención.

9. Exportación de datos

Tienes derecho a exportar todos los datos de tu organización antes de cancelar la cuenta. La exportación incluye órdenes de trabajo, clientes, equipos, historial de check-in/check-out y metadatos de fotos en formato CSV/JSON. Las fotos se pueden descargar desde Supabase Storage. Para solicitar una exportación completa, escríbenos a datos@virtualforja.com.

10. Seguridad técnica

Medidas de seguridad implementadas para proteger tus datos:

• Cifrado AES-256 en reposo y TLS 1.3 en tránsito.
• Row Level Security (RLS) en PostgreSQL: aislamiento total entre organizaciones.
• Autenticación multifactor disponible para todos los usuarios administradores.
• Tokens de acceso con expiración automática y rotación obligatoria.
• Log de auditoría para accesos administrativos y cambios críticos.
• Revisiones de seguridad periódicas de la infraestructura Supabase y Vercel.
• Variables de entorno secretas gestionadas en Vercel — no expuestas en el código.

11. Incidentes de seguridad

En caso de una brecha de seguridad que afecte a tus datos, nos comprometemos a:

• Notificarte dentro de las 72 horas de detectado el incidente.
• Describir la naturaleza del incidente, los datos afectados y las medidas tomadas.
• Proporcionarte recomendaciones para proteger tus cuentas.
• Colaborar contigo en cualquier notificación regulatoria que sea necesaria.

12. Derechos sobre tus datos

Como responsable de tu organización, puedes ejercer los siguientes derechos:

• Acceso: obtener copia completa de todos los datos de tu organización.
• Rectificación: corregir datos incorrectos directamente desde la plataforma o solicitando ayuda a soporte.
• Eliminación: solicitar la eliminación definitiva de todos los datos de tu organización.
• Portabilidad: recibir tus datos en formato estructurado (CSV/JSON).
• Restricción: solicitar la suspensión del procesamiento mientras resolvemos una disputa.

13. Contacto

Para solicitudes relacionadas con tus datos o para reportar un incidente de seguridad, contáctanos en datos@virtualforja.com. Respondemos en máximo 3 días hábiles.