1. Identidad del responsable y alcance

Arqfiles (razón social) es responsable del tratamiento de los datos recogidos en esta plataforma. Esta política aplica a todos los servicios, incluidos: repositorio de archivos ECU, procesos de reprogramación, servicios remotos, formularios de piloto técnico y pagos.

2. Tipos de datos que recopilamos

• Datos de cuenta: nombre, empresa, correo electrónico, teléfono, rol profesional.

• Datos técnicos del vehículo/ECU: identificadores de software/firmware, DTCs, mapas binarios, logs CAN, versiones de hardware.

• Datos operativos y de servicio: historial de intervenciones, backups y snapshots binarios, registros de firma/checksum.

• Datos de pago: procesados por terceros (tokenización) — no almacenamos números de tarjeta en nuestros servidores.

• Datos de uso y telemetría: IP, registros de acceso, actividad en plataforma y métricas de desempeño.

• Comunicaciones: correos, tickets de soporte y grabaciones técnicas si procede.

3. Finalidades del tratamiento

• Proveer la plataforma y servicios de reprogramación, calibración y gestión de archivos.

• Validación técnica, staging, rollback y auditoría de intervenciones en ECUs.

• Gestión de solicitudes de piloto, facturación y atención al cliente.

• Mejora del servicio, detección de fraudes y seguridad operacional.

• Cumplimiento de obligaciones legales y contractuales.

4. Base legal y consentimiento

Los tratamientos se sustentan en: (i) la ejecución del contrato con el cliente; (ii) el consentimiento explícito para servicios remotos y pruebas técnicas; (iii) el cumplimiento de obligaciones legales aplicables. Para intervenciones que impliquen alteraciones reguladas (p. ej. DPF/AdBlue/EGR OFF) requerimos un consentimiento adicional y cláusulas contractuales de responsabilidad.

5. Minimización y anonimización

Solo recopilamos los datos mínimos necesarios para prestar el servicio técnico. Cuando sea posible, los datos técnicos y logs se almacenan en formatos pseudonimizados o agregados para análisis, y se emplean técnicas de anonimización antes de usos analíticos ampliados.

6. Retención de datos

• Cuentas y contratos: período asociado al contrato + 5 años para conservación contable y cumplimiento (o según normativa aplicable).

• Backups binarios y snapshots: conservación según acuerdo contractual de piloto/despliegue; por defecto 2 años salvo requerimiento distinto.

• Logs operativos y telemetría: 90–365 días según criticidad para detección de anomalías, salvo que se requiera conservar más por auditoría.
  Se eliminan o archivan con restricciones de acceso al término de los plazos acordados.

7. Seguridad y medidas técnicas

• Almacenamiento cifrado en repositorios (AES-256 o similar).

• Control de accesos basado en roles (RBAC) y autenticación multifactor para accesos administrativos.

• Firmas y checksums para detectar alteraciones en binarios.

• Redundancia y backups con pruebas periódicas de restauración.

• Registro de auditoría inmutable de operaciones (quién/qué/cuándo).

• Evaluaciones de vulnerabilidad, revisiones de código y pruebas de pentesting programadas.

8. Transferencias a terceros y proveedores

Compartimos datos únicamente con proveedores necesarios para la prestación del servicio: procesadores de pago, servicios cloud, integradores hardware (flasher/gateway), laboratorios de validación y proveedores de telemetría. Todos los terceros firman acuerdos de confidencialidad y contratos de tratamiento que obligan medidas de seguridad equivalentes.

9. Transferencia internacional

Si los datos se transfieren fuera del país de origen, se aplicarán garantías adecuadas (cláusulas contractuales, normas equivalentes de protección) y se informará al titular. Para despliegues con OEMs globales, se documenta la ubicación de almacenamiento y subprocesadores.

10. Derechos del interesado

Los usuarios pueden ejercer: acceso, rectificación, supresión, limitación, oposición y portabilidad de sus datos. Las solicitudes se atenderán en los plazos legales aplicables y mediante el canal de contacto técnico/privacidad indicado en el sitio.

11. Tratamiento de datos sensibles y datos de terceros

No solicitamos datos sensibles. Los datos del vehículo que pudieran considerarse sensibles por su contexto técnico son tratados con medidas reforzadas y solo con autorización. Si se cargan datos de terceros en un archivo, el usuario certifica disponer de las autorizaciones correspondientes.

12. Uso de cookies y tecnologías de seguimiento

Explicación de cookies necesarias (funcionamiento de sesión, seguridad) y cookies opcionales (analítica). Instrucciones para gestionar/rechazar cookies y enlace a la política de cookies.

13. Incidentes de seguridad y notificación de brechas

Contamos con un plan de respuesta a incidentes. En caso de brecha que comprometa datos personales, se notificará a las autoridades competentes y a los titulares afectados en los términos y plazos exigidos por la normativa aplicable, describiendo naturaleza, alcance, medidas adoptadas y recomendaciones para mitigar riesgos.

14. Conservación de evidencias y soporte pericial

En operaciones que requieran soporte forense o peritaje (por disputas técnicas o legales), podemos conservar evidencias técnicas (logs, snapshots, firmas) bajo custodia restringida y entregarlas solo con orden judicial o acuerdo contractual.

15. Consentimiento específico para servicios remotos y pruebas

Para lecturas/escrituras remotas vía OBD o flasher controlado por cliente, se solicitará consentimiento expreso que incluya: descripción del proceso, riesgos, backup realizado, y cláusula de aceptación de limitaciones y responsabilidad compartida durante el piloto.

16. Subcontratación y subprocesadores

Lista general de categorías de subprocesadores (cloud, pagos, CDN, herramientas de soporte). Compromiso de informar sobre cambios relevantes y de hacer públicos los subprocesadores mediante una página dedicada.

17. Enlaces a terceros y responsabilidades

La plataforma puede contener enlaces a herramientas o recursos externos (hardware, software de flasheo). No somos responsables del tratamiento que esos terceros realicen; se recomienda revisar sus políticas.

18. Cambios en la política de privacidad

Notificaremos cambios sustanciales mediante aviso en la plataforma y, cuando proceda, solicitaremos el re-consentimiento para nuevos tratamientos o finalidades.

19. Contacto y delegado de protección de datos (DPO)

Información de contacto para consultas de privacidad y ejercicio de derechos: correo de privacidad, teléfono y dirección física. Si hay DPO, incluir nombre y contacto.