Política de Privacidad

1. Quién trata tus datos

FinlyUp es el responsable de los datos de tu cuenta, de tu workspace, de la facturación, de la seguridad y de la atención, y de los datos de quienes visitan el sitio: somos nosotros quienes decidimos cómo y para qué se usan esos datos.

Cuando los Datos del Cliente incluyen datos personales de terceros — clientes, proveedores o colaboradores del cliente que sean personas físicas —, el responsable es el cliente, y FinlyUp actúa como encargado: tratamos esos datos solo para prestar el servicio, conforme a los Términos de Uso y a las instrucciones del cliente. Las solicitudes sobre esos datos deben dirigirse al cliente; si recibimos alguna, se la reenviaremos.

2. Datos que tratamos

Según el uso que hagas de FinlyUp, tratamos:

• Registro: nombre, correo electrónico, contraseña e idioma. La contraseña se guarda solo como un resumen criptográfico (hash), nunca como texto.
• Seguridad de la cuenta: las sesiones abiertas, con la dirección IP y el navegador de cada una; la verificación en dos pasos, cuyo secreto y códigos de recuperación se guardan cifrados; y los dispositivos marcados como de confianza.
• Workspace y empresas: el nombre del workspace, los miembros y el rol de cada uno, las invitaciones (con el correo de la persona invitada) y los datos de cada empresa, como nombre, razón social, CNPJ, país, moneda, zona horaria y sector.
• Datos del Cliente: los reportes importados y los datos registrados, como asientos, cuentas por cobrar y por pagar, ventas, compras, inventario y precios. Pueden incluir datos personales de terceros, como el nombre, CPF o CNPJ, correo, teléfono y ciudad de clientes y proveedores, nombres de vendedores y descripciones y notas de asientos. Durante una importación, guardamos una copia de las filas del archivo; el archivo en sí no se guarda.
• Inteligencia artificial: las preguntas hechas al asistente y sus respuestas, los textos generados (como el resumen ejecutivo y los insights), las valoraciones que das a las respuestas y el consumo de IA de cada workspace.
• Facturación: los identificadores del cliente y de las suscripciones en Stripe, el estado y las fechas de cada suscripción y un código derivado del CNPJ, que no permite recuperarlo, usado solo para limitar la prueba gratis a una vez por CNPJ. Los datos de la tarjeta quedan en Stripe; solo mostramos la marca y los 4 últimos dígitos, leídos de Stripe.
• Registro de actividades: los inicios y cierres de sesión, los cambios de contraseña, los cambios en la verificación en dos pasos, las modificaciones de datos y las exportaciones, con fecha, hora, dirección IP y navegador. El registro de una modificación guarda los valores de antes y de después.
• Registros de acceso: la fecha, la hora y la dirección IP de cada inicio de sesión y del uso de cada sesión, que el Marco Civil de Internet de Brasil obliga a guardar.
• Datos técnicos: la dirección IP y la hora de los intentos de inicio de sesión y de otras acciones, usadas para limitar abusos; el país y la zona horaria deducidos de la dirección IP, usados para elegir el idioma, el precio y la zona horaria mostrados, sin guardarlos; y las cookies descritas más abajo.
• Atención: los mensajes que envías a nuestras direcciones de correo, con los datos que contengan.

En el sitio no hay formularios ni herramientas de análisis o de publicidad: solo tratamos los datos técnicos de la visita y las cookies de idioma y de precio.

3. Para qué los usamos y con qué base legal

Usamos los datos para las finalidades siguientes, cada una con la base legal de la LGPD indicada:

• Prestar el servicio: crear y mantener la cuenta y el workspace, autenticar el acceso, calcular y mostrar los análisis, generar exportaciones y responder mediante el asistente. Base: ejecución de contrato (art. 7, V).
• Invitaciones: enviar la invitación a la persona indicada por un miembro del workspace. Base: procedimientos preliminares de un contrato e interés legítimo del workspace (art. 7, V y IX).
• Correos del servicio: confirmación de correo, restablecimiento y cambio de contraseña, invitaciones y avisos sobre la prueba gratis y la eliminación de datos. No enviamos correos de marketing. Base: ejecución de contrato (art. 7, V).
• Facturación: contratar y cobrar las suscripciones, controlar la prueba gratis y emitir documentos fiscales. Base: ejecución de contrato y cumplimiento de una obligación legal (art. 7, V y II).
• Seguridad y prevención de abusos: limitar intentos, proteger las cuentas, registrar actividades, investigar incidentes y verificar si una contraseña aparece en filtraciones conocidas. Base: interés legítimo (art. 7, IX).
• Registros de acceso: guardar la fecha, la hora y la dirección IP de los accesos durante el plazo del Marco Civil de Internet de Brasil (Ley n.º 12.965/2014, art. 15). Base: cumplimiento de una obligación legal (art. 7, II).
• Calidad de la IA: seguir el consumo y las valoraciones de las respuestas para controlar costos y mejorar el asistente. Base: interés legítimo (art. 7, IX).
• Atención y derechos: responder mensajes y solicitudes de titulares y defendernos en procesos. Base: ejecución de contrato, cumplimiento de una obligación legal y ejercicio regular de derechos (art. 7, V, II y VI).

Tratamos los Datos del Cliente como encargados, solo para prestar el servicio. No vendemos datos personales, no los usamos para publicidad y no usamos los Datos del Cliente para entrenar modelos de inteligencia artificial.

4. Inteligencia artificial

El asistente, el resumen ejecutivo, las explicaciones, el reconocimiento de reportes en la importación y la lectura de PDF usan modelos de inteligencia artificial de Anthropic (Claude), a los que accedemos mediante Vercel AI Gateway, que puede dirigir la solicitud a otro proveedor del mismo modelo. En cada solicitud, exigimos que el proveedor no use los datos para entrenar modelos.

Lo que va al modelo depende del recurso:

• Asistente: tu pregunta, tal como la escribiste, los mensajes anteriores de la conversación, el nombre de la empresa y el período, y los números que FinlyUp calcula para responder. En los resultados enviados, los nombres de clientes y proveedores que son personas físicas se sustituyen por un marcador.
• Resumen ejecutivo y explicaciones: números y hechos agregados calculados por FinlyUp, con las personas físicas sustituidas por un marcador.
• Importación: los encabezados y hasta 15 filas de muestra del archivo, para reconocer las columnas, y descripciones de asientos, para sugerir la clasificación. Intentamos quitar correos y números de documentos antes del envío, pero esa eliminación no es perfecta, y pueden ir nombres.
• Lectura de PDF: el archivo completo.

Por eso, evita escribir datos personales en las preguntas al asistente. Los proveedores pueden guardar las solicitudes por un plazo limitado, conforme a sus propios términos, por ejemplo para prevenir abusos. Las conversaciones quedan guardadas en FinlyUp hasta que las elimines o hasta que se elimine la empresa a la que pertenecen. El propietario y los administradores pueden desactivar la IA del workspace en cualquier momento.

5. Con quién los compartimos

Usamos los proveedores siguientes para operar FinlyUp. Cada uno recibe solo lo necesario para su función:

• Vercel (Estados Unidos): alojamiento del sitio y de la aplicación, con las funciones en la región de São Paulo, y acceso a los modelos de IA mediante AI Gateway.
• Neon (Estados Unidos): base de datos, con los servidores en São Paulo, en Amazon Web Services.
• Anthropic (Estados Unidos) y otros proveedores del mismo modelo, mediante Vercel AI Gateway: modelos de inteligencia artificial, como se describe arriba.
• Resend (Estados Unidos): envío de los correos del servicio, desde São Paulo.
• Stripe (Estados Unidos y otros países): pagos. Stripe recopila directamente los datos de la tarjeta y de facturación y también los trata conforme a su propia política de privacidad.
• Cloudflare (Estados Unidos): DNS del dominio y reenvío de los correos enviados a nuestras direcciones.
• Google (Estados Unidos): buzón de correo que recibe los mensajes reenviados.

También podemos compartir datos con autoridades, cuando la ley o una orden judicial lo exija, y con quien suceda a FinlyUp en una reorganización societaria, que quedará obligado por esta Política.

Dentro de un workspace, los miembros ven el nombre, el correo, el rol y el estado de la verificación en dos pasos de los demás. El propietario y los administradores ven el registro de actividades, con fecha, hora y dirección IP — incluso de los inicios de sesión, que aparecen en todos los workspaces de los que la persona forma parte.

6. Transferencia internacional

La base de datos está en Brasil, pero parte de los proveedores anteriores trata datos en Estados Unidos o en otros países. Estas transferencias siguen los supuestos del art. 33 de la LGPD y la regulación de la Autoridad Nacional de Protección de Datos de Brasil (ANPD), con las garantías contractuales previstas en los términos de cada proveedor.

7. Cuánto tiempo los guardamos

Guardamos los datos durante el tiempo necesario para las finalidades anteriores y durante los plazos legales:

• Cuenta: mientras exista. Hoy, la eliminación de la cuenta se hace a pedido, por correo a privacidade@finlyup.com.br.
• Sesiones: hasta 30 días; una sesión sin uso durante 7 días expira antes.
• Datos del Cliente: mientras exista la empresa. Eliminar una empresa borra sus datos de inmediato, salvo el registro de actividades y el historial de facturación, que siguen los plazos de abajo. Después del fin de una suscripción, la empresa queda disponible solo para lectura durante 30 días, y los datos se eliminan 90 días después del fin, con aviso por correo 7 días antes.
• Copia de las filas importadas: hasta 30 días después de que la importación se complete, se deshaga o falle; una importación no completada queda hasta que se descarte.
• Conversaciones con el asistente: hasta que el usuario las elimine o junto con la empresa a la que pertenecen.
• Registro de actividades: 2 años, incluso después de eliminar la empresa.
• Registros de acceso: 6 meses, como exige el Marco Civil de Internet (art. 15), incluso después de eliminar la cuenta. Se guardan bajo secreto y con acceso restringido, y solo se entregan con una orden judicial.
• Límites de intentos: la dirección IP usada en el control de intentos de inicio de sesión se guarda hasta 24 horas.
• Invitaciones: mientras exista el workspace.
• Facturación: el historial de las suscripciones, mientras exista el workspace; el código derivado del CNPJ que controla la prueba gratis, por tiempo indefinido y solo para esa finalidad; y los documentos fiscales y de pago, durante el plazo de la ley.
• Registros técnicos del alojamiento: hasta 30 días.

Los datos eliminados pueden permanecer algunas horas en el historial de recuperación de la base de datos, hasta que se sobrescriban.

8. Tus derechos

Según la LGPD (art. 18), puedes solicitar:

• la confirmación de que tratamos tus datos y el acceso a ellos;
• la corrección de datos incompletos, inexactos o desactualizados;
• la anonimización, el bloqueo o la eliminación de datos innecesarios, excesivos o tratados en desacuerdo con la ley;
• la portabilidad de los datos a otro proveedor, conforme a la regulación de la ANPD;
• la eliminación de los datos tratados con tu consentimiento, cuando esa sea la base legal;
• información sobre con quién compartimos tus datos;
• información sobre la posibilidad de no dar el consentimiento y sus consecuencias, y la revocación de un consentimiento dado;
• la oposición a un tratamiento basado en otro supuesto legal, cuando no se cumpla la ley.

En la aplicación, puedes editar tu nombre, el idioma, la contraseña y la verificación en dos pasos, ver y cerrar tus sesiones, exportar los datos de las pantallas a Excel o CSV, según tu rol, y, como propietario o administrador, eliminar una empresa. Las demás solicitudes — como cambiar el correo, recibir una copia completa de tus datos o eliminar la cuenta — se hacen por correo a privacidade@finlyup.com.br.

Para protegerte, podemos confirmar tu identidad antes de atender una solicitud. Respondemos en un plazo de 15 días, el plazo de la LGPD para la respuesta completa. Si los datos pertenecen al workspace de un cliente, le reenviaremos la solicitud, ya que es el responsable. También puedes presentar una petición ante la ANPD.

9. Seguridad

Adoptamos medidas técnicas y administrativas para proteger los datos, entre ellas:

• conexiones cifradas (HTTPS) y cifrado en reposo por parte de los proveedores de infraestructura;
• aislamiento de los datos de cada workspace en la propia base de datos, a la que la aplicación accede con permisos mínimos;
• contraseñas guardadas como hash y verificación de contraseñas filtradas, en la que el servicio Have I Been Pwned recibe solo los 5 primeros caracteres de un resumen de la contraseña, nunca la contraseña;
• verificación del correo, verificación en dos pasos, que el workspace puede exigir a todos los miembros, y límites de intentos;
• un registro de actividades y registros de acceso que la aplicación no puede modificar.

Ningún sistema es totalmente seguro. Si ocurre un incidente de seguridad que pueda causar un riesgo o daño relevante, lo comunicaremos a la ANPD y a las personas afectadas, conforme a la LGPD (art. 48) y a la regulación de la ANPD.

10. Cookies

Solo usamos cookies necesarias para el funcionamiento y para tus preferencias. No usamos cookies de análisis, de publicidad ni de terceros.

• Sesión (finly.session_token, 7 días; finly.session_data, 5 minutos): mantienen tu sesión iniciada.
• Verificación en dos pasos (finly.two_factor, 10 minutos; finly.trust_device, 30 días): completan el inicio de sesión y recuerdan un dispositivo de confianza.
• Preferencias en la aplicación (NEXT_LOCALE, idioma, 1 año; finly-tz, zona horaria, 1 año; finly_last, último workspace y empresa abiertos, 1 año; sidebar_state, menú contraído, 7 días). El tema elegido queda en el almacenamiento local del navegador.
• En el sitio (NEXT_LOCALE, idioma, 1 año; finly-market, precio elegido mediante un enlace, 30 días).

Puedes borrar o bloquear las cookies en el navegador, pero sin las cookies de sesión no es posible entrar en la aplicación.

11. Niños y adolescentes

FinlyUp está dirigido a empresas y a personas de 18 años o más. No recopilamos a propósito datos de niños o adolescentes; si sabemos de una cuenta en esa situación, la eliminaremos.

12. Usuarios fuera de Brasil

Si estás en el Espacio Económico Europeo o en el Reino Unido, también tienes los derechos del Reglamento General de Protección de Datos (RGPD): acceso, rectificación, supresión, limitación, portabilidad, oposición y reclamación ante la autoridad de protección de datos de tu país. Las bases legales son las mismas de esta Política: ejecución de contrato, interés legítimo y cumplimiento de una obligación legal. Los datos quedan en Brasil y en los proveedores descritos arriba, y las solicitudes se hacen al mismo correo.

13. Delegado de protección de datos

La persona encargada del tratamiento de datos personales según la LGPD (encarregado) es Pedro Luiz Chagas, que atiende en el correo privacidade@finlyup.com.br.

14. Cambios en esta Política

Podemos actualizar esta Política. La fecha de la versión vigente figura al principio de esta página, y avisaremos de los cambios relevantes por correo o en FinlyUp antes de que entren en vigor.

15. Contacto

Pedro Luiz Chagas · CNPJ 24.811.306/0001-96 · Rua Equador, 121 – Nações, Divinópolis/MG, CEP 35500-564

Solicitudes sobre datos personales: privacidade@finlyup.com.br

Otros asuntos: suporte@finlyup.com.br