Política de Privacidad

1. Quién es responsable

1.1. Esta Política explica cómo Gonzalo Vazquez, DNI 37.733.726, CUIT 20-37733726-4, con domicilio en Recta Martinolli 7500, Ciudad de Córdoba, Provincia de Córdoba, Argentina ("Corpio"), responsable del tratamiento, trata los datos personales vinculados con corpio: el sitio corpio.ar (el "Sitio"), la consola web app.corpio.ar (la "Consola"), corpio Mobile, que hoy se usa desde el navegador del celular (la "App"), las conexiones con asistentes de IA, en etapa Beta, y el soporte (en conjunto, el "Servicio").

1.2. Contacto para temas de privacidad: hola@corpio.ar.

1.3. Esta Política se dicta en cumplimiento de la Ley N.° 25.326 de Protección de los Datos Personales, su Decreto Reglamentario N.° 1558/2001 y las normas de la Agencia de Acceso a la Información Pública (AAIP).

2. Dos roles distintos: responsable y encargado

2.1. Corpio como encargado. Las empresas que contratan corpio (los "Clientes") cargan en el Servicio datos de sus usuarios y empleados y los comprobantes de sus gastos. Respecto de esos datos, el Cliente es el responsable y Corpio los trata por su cuenta, como encargado del tratamiento, según sus instrucciones y el Acuerdo de Tratamiento de Datos. Si sos empleado o usuario de un Cliente, el Cliente decide qué datos tuyos se cargan y para qué; podés dirigir tus consultas al Cliente o a Corpio, que las derivará.

2.2. Corpio como responsable. Corpio es responsable de los datos que trata para sí: las solicitudes de acceso, la administración de cuentas y de la relación comercial, la facturación y los cobros, el formulario de contacto del Sitio, la seguridad y prevención de fraude, el soporte, las comunicaciones del Servicio, el funcionamiento del Sitio y la medición agregada de su uso.

3. Qué datos tratamos

3.1. Datos que vos o tu empresa nos dan

• Solicitud de acceso: nombre y apellido, correo electrónico y empresa y, en forma opcional, cargo, rubro, cantidad de empleados, cómo nos conoció y comentarios.
• Formulario de contacto del Sitio: nombre, correo electrónico y el mensaje que escribas. Se registran como una conversación en el sistema de soporte de Corpio (Chatwoot, en support.corpio.ar) y se usan sólo para responder tu consulta.
• Contacto comercial (plan Enterprise): además de los datos de la cuenta, en forma opcional, teléfono, tamaño del equipo y mensaje.
• Cuenta de usuario: nombre, correo electrónico, contraseña, rol y permisos dentro de la empresa, y preferencias. La contraseña de la Consola la gestiona el servicio de autenticación (Amazon Cognito) y la de la App se guarda mediante un algoritmo de hash irreversible; Corpio no puede leer ninguna de las dos.
• Datos de empleados cargados por el Cliente: nombre, correo electrónico, código interno de empleado, cargo, estado (activo o inactivo), acceso a la App y presupuestos asignados. El Servicio no solicita DNI, CUIL, domicilio ni teléfono de los empleados.
• Gastos y comprobantes: fotos o archivos PDF de tickets y facturas, y los datos que contienen o se extraen de ellos (proveedor, CUIT, razón social, tipo y número de comprobante, CAE, fecha, importes, impuestos), categoría, centro de costo, comentarios, motivos de rechazo y el historial de aprobaciones.
• Datos fiscales y de facturación del Cliente: razón social, CUIT, domicilio y condición frente al IVA, y el nombre y correo de los administradores que reciben los avisos.
• Soporte: el contenido de las conversaciones por chat, correo o formulario de contacto y los datos que decidas compartir en ellas.

3.2. Datos que se generan al usar el Servicio

• Registros de auditoría de acciones relevantes (inicio de sesión y eventos de seguridad, invitaciones, cambios de roles, revisión de gastos, cambios en comprobantes, exportaciones, operaciones de facturación), con fecha, hora y usuario.
• Datos técnicos: registros técnicos de los servidores y de los servicios de autenticación (fecha, hora, identificador de la solicitud y eventos de error o seguridad), usados para operar, asegurar y diagnosticar el Servicio. La dirección IP se usa para limitar intentos abusivos y se guarda sólo de forma seudonimizada (hash); no se incorpora a los registros de auditoría. Los proveedores de infraestructura y de verificación contra bots pueden ver la dirección IP al procesar la conexión.
• Datos de pago: el pago online con tarjeta todavía no está disponible. Cuando se habilite, Corpio registrará el resultado de cada cobro, su importe, fecha y el identificador de la operación; Corpio no almacenará el número completo de la tarjeta ni su código de seguridad, que se ingresarán directamente en la página del procesador de pagos. Antes de empezar a operar, el procesador se informará en esta Política.
• Medición del Sitio: datos de navegación en corpio.ar, medidos en forma agregada con Google Analytics 4, como se describe en la cláusula 10.2.

3.3. Datos que obtenemos de fuentes públicas

• Padrón de ARCA: a partir del CUIT que figura en un comprobante (o del CUIT que el Cliente informa para su perfil fiscal), el Servicio consulta el servicio web de constancia de inscripción de ARCA para obtener datos públicos del contribuyente (denominación, tipo de persona, estado de la clave y actividades). A ARCA sólo se le envía el CUIT consultado. Esos datos públicos se guardan en una tabla de referencia compartida y se actualizan periódicamente. El código QR fiscal del comprobante se decodifica y se coteja con los datos leídos.

3.4. Permisos de la App

La App pide acceso a la cámara y a las fotos (a través del navegador) sólo para que fotografíes o elijas comprobantes. La App no accede a tu ubicación ni a tus contactos.

3.5. Datos que no pedimos

El Servicio no está pensado para tratar datos sensibles (origen racial o étnico, opiniones políticas, convicciones religiosas, afiliación sindical, salud o vida sexual). Pedimos no cargarlos. Si un comprobante los incluyera de forma incidental, se protegen con las mismas medidas y se usan sólo para la gestión del gasto.

4. Para qué usamos los datos y con qué base legal

Corpio no vende datos personales, no los usa para publicidad de terceros y no utiliza los datos de los Clientes para entrenar modelos de inteligencia artificial. La lectura automática de comprobantes se realiza con procesos propios de Corpio que corren en su infraestructura de Amazon Web Services, sin enviar los comprobantes a proveedores externos de inteligencia artificial.

5. Con quién compartimos los datos

5.1. Proveedores de Corpio (subencargados). Para prestar el Servicio, Corpio utiliza los siguientes proveedores, que tratan los datos sólo por cuenta de Corpio:

5.2. Asistentes de IA elegidos por el Cliente. Si el Cliente habilita las Conexiones de IA y un usuario conecta un asistente (por ejemplo, Claude, de Anthropic, o ChatGPT, de OpenAI), los datos que ese asistente consulte en corpio, dentro de los permisos del usuario, se envían a ese proveedor, que los trata según sus propias políticas. Esto ocurre sólo por decisión del Cliente y del usuario: la función está desactivada por defecto, se habilita por un administrador del Cliente y está disponible en los planes Business y superiores, es de sólo lectura, tiene vencimiento y puede revocarse en cualquier momento. El asistente sólo puede consultar la información que el usuario ya puede ver en corpio según sus permisos.

5.3. ARCA. Para validar comprobantes, el Servicio envía a ARCA el CUIT del proveedor. Para facturar, Corpio informa a ARCA los datos fiscales del Cliente que exige la factura electrónica.

5.4. Autoridades. Corpio puede comunicar datos cuando lo exija una ley o una orden de autoridad judicial o administrativa competente.

5.5. Cambios societarios. Si la prestación del Servicio se transfiere a otra persona o sociedad (por ejemplo, una sociedad constituida por los titulares de Corpio), los datos se transferirán con ella, manteniendo las garantías de esta Política y con aviso previo a los Clientes.

6. Dónde se alojan y cómo se protegen

6.1. Los datos del Servicio se alojan en Amazon Web Services, en la región US East (Ohio), Estados Unidos de América.

6.2. Corpio aplica medidas de seguridad técnicas y organizativas, entre ellas:

• comunicaciones cifradas (HTTPS/TLS) en el Sitio, la Consola, la App, la API y el servidor de soporte;
• almacenamiento de comprobantes privado, cifrado y con acceso público bloqueado, al que sólo se accede a través de la plataforma, previa verificación de identidad y permisos;
• base de datos y copias de seguridad en volúmenes y almacenamientos cifrados;
• separación de los datos de cada Cliente mediante políticas de seguridad a nivel de fila en la base de datos;
• roles y permisos por usuario, credenciales técnicas con el mínimo privilegio necesario y gestión cifrada de secretos;
• registros de auditoría de las acciones relevantes;
• copias de seguridad diarias.

6.3. Ningún sistema es completamente invulnerable. Si ocurriera un incidente de seguridad que afecte datos personales, Corpio lo notificará sin demora indebida a los Clientes afectados (y, cuando corresponda, a la AAIP y a los titulares), con la información disponible y las medidas adoptadas.

7. Transferencia internacional de datos

7.1. Como el Servicio se aloja en los Estados Unidos y algunos proveedores operan desde allí u otros países, los datos personales se transfieren fuera de la Argentina. Los Estados Unidos no figuran entre los países que la AAIP considera con nivel de protección adecuado.

7.2. Corpio realiza esas transferencias conforme el artículo 12 de la Ley N.° 25.326 y su reglamentación, y exigiendo a sus proveedores medidas de seguridad y confidencialidad. Podés pedir más información a hola@corpio.ar.

8. Cuánto tiempo conservamos los datos

9. Tus derechos

9.1. Como titular de los datos, podés ejercer los derechos de acceso, rectificación, actualización y supresión (arts. 14 a 16 de la Ley N.° 25.326), así como oponerte a recibir comunicaciones que no sean necesarias para el Servicio y revocar tu consentimiento cuando el tratamiento se base en él.

9.2. Cómo ejercerlos. Escribiendo a hola@corpio.ar desde el correo asociado a tu cuenta o acreditando tu identidad. Si tus datos fueron cargados por tu empleador (un Cliente de Corpio), también podés dirigirte a él; si nos escribís a nosotros, derivaremos el pedido al Cliente y lo asistiremos para responder.

9.3. Plazos. El acceso se responde dentro de los 10 (diez) días corridos desde la intimación fehaciente. La rectificación, actualización o supresión se realiza dentro de los 5 (cinco) días hábiles desde el pedido. La supresión no procede cuando pudiera causar perjuicios a derechos o intereses legítimos de terceros o cuando exista una obligación legal de conservar los datos.

9.4. Gratuidad. El titular de los datos personales tiene la facultad de ejercer el derecho de acceso a los mismos en forma gratuita a intervalos no inferiores a seis meses, salvo que se acredite un interés legítimo al efecto conforme lo establecido en el artículo 14, inciso 3 de la Ley N.° 25.326.

9.5. Autoridad de control. La AGENCIA DE ACCESO A LA INFORMACIÓN PÚBLICA, en su carácter de Órgano de Control de la Ley N.° 25.326, tiene la atribución de atender las denuncias y reclamos que interpongan quienes resulten afectados en sus derechos por incumplimiento de las normas vigentes en materia de protección de datos personales.

10. Cookies y almacenamiento local

10.1. Sitio corpio.ar. El Sitio no utiliza publicidad ni remarketing. La única herramienta de analítica es Google Analytics 4, descripta en la cláusula 10.2. Los botones de "Solicitar acceso" llevan a la Consola. Además:

• Formulario de contacto: si lo enviás, tu nombre, correo y mensaje se envían directamente desde tu navegador al sistema de soporte de Corpio (support.corpio.ar). Para evitar envíos repetidos, el navegador guarda en su almacenamiento local la hora del último envío (sin tus datos).
• Indicador de sesión: el Sitio incluye un marco oculto de app.corpio.ar que sólo consulta si tenés una sesión iniciada en la Consola, para mostrar "Ir a la app" en lugar de "Iniciar sesión". El Sitio no recibe ni guarda su identidad, tokens ni datos de la cuenta.
• Chat de soporte: sólo si abrís el chat, se carga el widget de Chatwoot desde support.corpio.ar, servidor operado por Corpio. El widget utiliza cookies y almacenamiento local propios para mantener la conversación entre visitas. Si no abrís el chat, no se carga. En el chat del Sitio sos anónimo, salvo los datos que decidas escribir.

10.2. Medición de visitas (Google Analytics 4). El Sitio corpio.ar usa Google Analytics 4, un servicio de Google LLC, para medir en forma agregada cómo se usa: páginas vistas, país y ciudad aproximados, tipo de dispositivo y navegador, el sitio desde el que llegaste y los clics en "Solicitar acceso", "Iniciar sesión", "Precios" y el chat, además del envío exitoso del formulario de contacto, sin su contenido. Corpio no envía a Google tu nombre, tu correo, el texto de tus mensajes ni lo que escribas en los formularios. Para distinguir visitas, Google Analytics instala en tu navegador las cookies _ga y _ga_<ID>, que, según la configuración predeterminada de Google, duran hasta 2 (dos) años. Según la documentación de Google, Google Analytics 4 no registra ni almacena direcciones IP. Corpio no activa Google Signals ni la personalización de anuncios y no usa estos datos para publicidad ni remarketing. Google puede tratar estos datos fuera de la Argentina (ver cláusula 7). La Consola (app.corpio.ar) no usa Google Analytics.

Para que el Sitio no te mida podés: instalar el complemento de inhabilitación de Google Analytics (tools.google.com/dlpage/gaoptout); bloquear o borrar las cookies desde la configuración de tu navegador; o activar Global Privacy Control o "No rastrear" (Do Not Track) en tu navegador. Si alguna de esas dos señales está activa, el Sitio no carga Google Analytics.

10.3. Consola. La Consola no instala cookies propias. Usa el almacenamiento local del navegador (localStorage y sessionStorage) para mantener la sesión iniciada (tokens de Amazon Cognito), sincronizar el cierre de sesión entre pestañas, recordar el correo durante la verificación, conservar filtros de reportes y recordar avisos de la interfaz. Si la Consola ofrece el chat de soporte y lo abrís, el widget de Chatwoot usa sus cookies cw_*, que se eliminan al cerrar sesión; en ese caso la Consola comparte con el chat tu identificador de usuario, nombre, correo, empresa y rol para que soporte pueda identificarte. No se usan cookies ni herramientas de analítica o publicidad; en particular, la Consola no usa Google Analytics.

10.4. App. La App guarda tu sesión en el almacenamiento de sesión del navegador. Las sesiones de la App vencen a las 24 horas.

10.5. Cómo controlarlas. Podés borrar o bloquear las cookies y el almacenamiento local desde la configuración de tu navegador. Para la medición de visitas, también podés usar las opciones de la cláusula 10.2. Si bloqueás las estrictamente necesarias, es posible que no puedas iniciar sesión o usar el chat.

11. Menores de edad

El Servicio está destinado a personas mayores de 18 años en el marco de su actividad laboral o profesional. Corpio no recolecta deliberadamente datos de menores.

12. Cambios en esta Política

Corpio puede actualizar esta Política. Los cambios sustanciales se informarán por correo electrónico a los administradores de los Clientes y mediante un aviso en el Servicio con al menos 30 (treinta) días de anticipación, salvo que se deban a cambios legales o de seguridad. La fecha de la última actualización figura al inicio.

13. Contacto

Responsable: Gonzalo Vazquez · DNI 37.733.726 · CUIT 20-37733726-4 · Recta Martinolli 7500, Ciudad de Córdoba, Provincia de Córdoba, Argentina · hola@corpio.ar