1. Introducción
Studio Orfolio se compromete a operar en pleno cumplimiento con todas las leyes federales y provinciales canadienses aplicables, incluyendo privacidad, protección al consumidor, comercio electrónico y seguridad de datos. Este documento describe nuestra adhesión a estos marcos legales y nuestro compromiso con la transparencia y la responsabilidad.
2. Cumplimiento con la Ley 25 de Quebec y PIPEDA
Orfolio cumple plenamente con:
- Ley 25 (Ley que moderniza las disposiciones legislativas en materia de protección de datos personales) — la ley de privacidad modernizada de Quebec, en vigor desde septiembre de 2023.
- PIPEDA (Ley de Protección de Información Personal y Documentos Electrónicos) — la ley federal canadiense de privacidad que rige la recopilación, uso y divulgación de información personal en actividades comerciales.
Nuestras medidas de cumplimiento incluyen:
- Obtener consentimiento explícito e informado antes de recopilar datos personales.
- Proporcionar información clara sobre cómo se utilizan, almacenan y comparten los datos.
- Garantizar a los usuarios el derecho a acceder, corregir y eliminar su información personal.
- Implementar medidas de seguridad robustas para proteger contra accesos no autorizados o violaciones.
- Designar un Responsable de la Protección de Datos Personales (RPDP) para supervisar el cumplimiento.
3. Alojamiento y soberanía de datos
Todos los datos personales y sensibles recopilados por Orfolio se alojan exclusivamente en Canadá, asegurando el cumplimiento de los requisitos de soberanía de datos de la Ley 25.
- Alojamiento principal: Microsoft Azure Canadá (región de Toronto).
- Almacenamiento de medios: Azure Blob Storage para imágenes y archivos de usuarios.
- Certificaciones: Azure cumple con ISO 27001, SOC 2 Tipo II y CSA STAR, asegurando estándares de seguridad y privacidad de clase mundial.
Al alojar datos exclusivamente en Canadá, aseguramos que la información de los usuarios permanezca bajo la jurisdicción legal canadiense y no esté sujeta a leyes de vigilancia extranjeras.
4. Seguridad de datos y cifrado
Orfolio emplea prácticas de seguridad líderes en la industria para proteger los datos de los usuarios contra accesos no autorizados, divulgación o pérdida.
4.1 Seguridad de contraseñas
- Las contraseñas se hashean con bcrypt, un algoritmo criptográfico diseñado para resistir ataques de fuerza bruta.
- Las contraseñas nunca se almacenan en texto plano y no pueden ser recuperadas por el personal de Orfolio.
- El restablecimiento de contraseña utiliza tokens firmados criptográficamente con duración limitada.
4.2 Autenticación y gestión de sesiones
- Las sesiones se aseguran mediante tokens JWT (JSON Web Tokens) con mecanismos de expiración y renovación.
- Los tokens se transmiten exclusivamente por HTTPS para prevenir interceptación.
- Las cookies de sesión utilizan los atributos HttpOnly y Secure para prevenir ataques XSS.
- La autenticación de dos factores (2FA) está disponible para todos los usuarios y es obligatoria para cuentas administrativas.
4.3 Cifrado de datos
- En tránsito: todos los datos se cifran mediante TLS 1.3 (HTTPS).
- En reposo: los datos sensibles se cifran con AES-256.
- Copias de seguridad: cifradas y almacenadas en ubicaciones redundantes en Canadá.
5. Consentimiento explícito y recopilación de datos
Orfolio respeta el principio de consentimiento informado según lo exigido por la Ley 25 y PIPEDA.
- Los usuarios son informados sobre qué datos se recopilan, por qué y cómo se utilizarán antes de dar su consentimiento.
- El consentimiento se obtiene explícitamente durante el registro y al activar funciones opcionales (ej.: análisis, procesamiento de IA).
- Los usuarios pueden retirar su consentimiento en cualquier momento a través de la configuración de su cuenta o contactando a rgpd@orfolio.ca.
- No se recopilan ni procesan datos para fines no divulgados y consentidos por el usuario.
6. Derechos de los usuarios: acceso, portabilidad y supresión
De acuerdo con la Ley 25 y PIPEDA, Orfolio garantiza los siguientes derechos a todos los usuarios:
6.1 Derecho de acceso
Los usuarios tienen derecho a solicitar una copia de todos los datos personales que Orfolio posee sobre ellos. Las solicitudes pueden enviarse por correo electrónico a rgpd@orfolio.ca y se procesarán en un plazo de 30 días.
6.2 Derecho a la portabilidad
Los usuarios pueden solicitar la exportación de sus datos en formatos estructurados y legibles por máquina (JSON, CSV) bajo demanda a través de support@orfolio.ca. Esto incluye:
- Información de cuenta y preferencias.
- Contenido de sitios web, páginas y archivos multimedia.
- Historial de suscripción y facturación.
6.3 Derecho a la supresión ("derecho al olvido")
Los usuarios pueden solicitar la eliminación permanente de su cuenta y todos los datos asociados. Una vez confirmada, la eliminación se realiza en un plazo de 30 días y no puede revertirse. Se aplican excepciones para datos que deben conservarse por razones legales, fiscales o regulatorias (ej.: registros de facturación).
7. Responsable de protección de datos y responsabilidad
Orfolio ha designado un Responsable de la Protección de Datos Personales (RPDP) según lo exigido por la Ley 25. El RPDP es responsable de:
- Asegurar el cumplimiento de las leyes y regulaciones de privacidad.
- Supervisar las políticas y procedimientos de gobernanza de datos.
- Gestionar consultas, quejas y solicitudes de acceso a datos de los usuarios.
- Coordinar la respuesta a incidentes y los procedimientos de notificación de violaciones.
- Realizar evaluaciones periódicas de impacto en la privacidad y auditorías.
Para preguntas o para ejercer sus derechos de privacidad, contacte:
Responsable de protección de datos — Studio Orfolio
Montreal, QC, Canadá
Correo: rgpd@orfolio.ca
8. Incidentes de seguridad y notificación de violaciones
En caso de violación de datos o incidente de seguridad que involucre información personal, Orfolio se compromete a:
- Notificar a los usuarios afectados dentro de las 72 horas posteriores al descubrimiento de la violación, según lo exigido por la Ley 25.
- Reportar el incidente a la Commission d'accès à l'information du Québec (CAI) y otras autoridades competentes.
- Proporcionar información clara sobre la naturaleza de la violación, los datos afectados y las medidas tomadas para mitigar los daños.
- Ofrecer orientación sobre las medidas de protección que los usuarios pueden tomar (ej.: restablecimiento de contraseña, monitoreo de fraude).
Las notificaciones de incidentes se enviarán por correo electrónico y se publicarán en nuestra página de estado oficial y canales de comunicación.
9. Cumplimiento de las leyes canadienses de comercio electrónico
Orfolio cumple con las leyes canadienses que rigen el comercio electrónico, incluyendo:
- Legislación canadiense anti-spam (CASL) — Solo enviamos mensajes electrónicos comerciales a usuarios que han dado su consentimiento expreso o implícito. Todos los correos de marketing incluyen opciones claras de cancelación de suscripción.
- Leyes de protección al consumidor — Ofrecemos precios transparentes, condiciones de servicio claras y políticas de reembolso justas de acuerdo con la Ley de Protección al Consumidor de Quebec.
- Normas de accesibilidad — Nos esforzamos por asegurar que Orfolio cumpla con las directrices de accesibilidad WCAG 2.1 (normas internacionales para hacer los sitios web accesibles a todos, incluidas las personas con discapacidad).
10. Transparencia de algoritmos de IA y procesamiento
Orfolio utiliza inteligencia artificial para ayudar a los usuarios a crear sitios web, generar contenido y recibir recomendaciones de diseño. Nos comprometemos con la transparencia en el uso de la IA y el procesamiento de datos.
10.1 Modelos de IA utilizados
Orfolio integra los siguientes modelos de IA de terceros según la elección del usuario:
- OpenAI (GPT) — Para la generación de sitios web en HTML/Tailwind impulsada por IA.
- Anthropic (Claude AI) — Para la generación de sitios web en HTML/Tailwind impulsada por IA.
- Google (Gemini) — Para la generación de sitios web en HTML/Tailwind impulsada por IA.
- DeepSeek — Para la generación de sitios web en HTML/Tailwind impulsada por IA.
10.2 Consentimiento del usuario y procesamiento de datos
- Los usuarios deben consentir explícitamente el procesamiento de IA antes de usar funciones impulsadas por IA.
- Las consultas y entradas de los usuarios pueden enviarse a proveedores de IA de terceros para generar respuestas.
- Los proveedores de IA están vinculados por Acuerdos de Procesamiento de Datos (DPA) que aseguran el cumplimiento de la Ley 25 y PIPEDA.
- El contenido generado por IA es revisado y validado por los usuarios antes de su publicación; Orfolio no es responsable de inexactitudes o problemas legales derivados del contenido de IA.
10.3 Transparencia y explicabilidad
- Los usuarios son informados cuando el contenido es generado por IA y pueden desactivar las funciones de IA en cualquier momento.
- Los modelos de IA no toman decisiones automatizadas que afecten los derechos, suscripciones o estados de cuenta de los usuarios sin supervisión humana.
- Los usuarios pueden solicitar información sobre cómo el procesamiento de IA afecta sus datos contactando a rgpd@orfolio.ca.
11. Revisión anual de políticas y actualizaciones
Orfolio realiza una revisión anual de todas las políticas de cumplimiento para asegurar su alineación con:
- Cambios en la legislación canadiense y quebequense sobre privacidad.
- Actualizaciones de servicios de terceros e integraciones.
- Mejores prácticas emergentes en seguridad de datos y gobernanza.
- Comentarios de usuarios y orientación regulatoria.
Los usuarios serán notificados de cambios significativos en las políticas por correo electrónico o notificaciones en la plataforma. La fecha de "Última actualización" al pie de cada política refleja la revisión más reciente.
12. Auditorías y certificaciones de terceros
La infraestructura y las prácticas de seguridad de Orfolio son auditadas regularmente por terceros independientes para asegurar el cumplimiento e identificar áreas de mejora.
- Auditorías de seguridad: pruebas de penetración anuales y evaluaciones de vulnerabilidad por profesionales certificados.
- Cumplimiento de infraestructura: alojamiento en Azure Canadá conforme a ISO 27001, SOC 2 Tipo II y CSA STAR.
- Seguridad de pagos: Stripe, nuestro procesador de pagos, tiene certificación PCI-DSS Nivel 1, el más alto estándar de seguridad de pagos.
13. Autoridades regulatorias y quejas
Los usuarios tienen derecho a presentar quejas ante las autoridades regulatorias si consideran que se han violado sus derechos de privacidad.
13.1 Commission d'accès à l'information du Québec (CAI)
Los residentes de Quebec pueden contactar la CAI para quejas relacionadas con la privacidad:
Commission d'accès à l'information du Québec
Sitio web: www.cai.gouv.qc.ca
Teléfono: 1-888-528-7741
13.2 Oficina del Comisionado de Privacidad de Canadá (OPC)
Para asuntos de privacidad federales bajo PIPEDA:
Oficina del Comisionado de Privacidad de Canadá
Sitio web: www.priv.gc.ca
Teléfono: 1-800-282-1376
14. Información de contacto
Para consultas legales, preguntas de cumplimiento o para ejercer sus derechos de privacidad, contacte:
Studio Orfolio — Departamento legal
Montreal, QC, Canadá
Correo: rgpd@orfolio.ca
Consultas generales: support@orfolio.ca