Política de Privacidad

1. Responsable del tratamiento

Ore Oga (en adelante, «la Aplicación» o «el Responsable») es una aplicación web de gestión financiera personal y de negocio, diseñada para operar en infraestructura propia del usuario (modelo self-hosted).

El responsable del tratamiento de los datos personales es el titular de la instancia de la Aplicación, con domicilio a efectos de notificaciones en:

2. Marco normativo aplicable

Esta política se rige por la legislación de la República del Paraguay, en particular:

• Ley N° 1.682/2001 «Que protege la información personal» y su Decreto Reglamentario N° 15.441/2001.
• Ley N° 6.534/2020 «De protección de datos personales en el sector público» (por analogía en estándares de seguridad).
• Código Civil Paraguayo (Ley N° 1.183/1985) — arts. 33 y concordantes sobre intimidad y datos personales.
• Reglamento General de Protección de Datos (RGPD) UE 2016/679 — como estándar de referencia para transferencias internacionales y mejores prácticas.

3. Datos personales que se tratan

Se tratan exclusivamente los datos estrictamente necesarios para la prestación del servicio:

• Datos de identificación y cuenta: nombre completo, correo electrónico, hash de contraseña (bcrypt, costo 12), moneda base (PYG/USD), preferencia de tema.
• Datos financieros y contables: movimientos (ingresos, gastos, transferencias), cuentas bancarias/billeteras, categorías, presupuestos, metas de ahorro, deudas y cuotas, contactos comerciales, catálogo de productos y ventas.
• Datos técnicos y de seguridad: dirección IP, User-Agent, timestamps de acceso, eventos de autenticación (login, logout, fallos), hash de PIN de bloqueo (SHA-256).
• Datos de preferencias y uso: configuración de notificaciones, orden de widgets del dashboard (persistido en localStorage), grupo activo (cookie).

No se recopilan: datos biométricos, geolocalización precisa, agenda de contactos del dispositivo, imágenes, audio, ni datos de terceros sin consentimiento previo, libre, informado y expreso.

4. Finalidad, base de licitud y legitimación

5. Medidas de seguridad técnicas y organizativas

Conforme al art. 10 de la Ley 1.682/2001 y estándares de la industria:

• Infraestructura self-hosted: la base de datos PostgreSQL reside en el servidor/PC del usuario; la Aplicación no tiene acceso remoto a la BD salvo que el usuario configure backup offsite o IA.
• Cifrado en tránsito: TLS 1.3 terminación en Cloudflare Tunnel (certificados gestionados por Cloudflare).
• Cifrado en reposo: responsabilidad del usuario (cifrado de disco del sistema operativo: BitLocker, LUKS, FileVault).
• Autenticación robusta: contraseñas con bcrypt (costo 12); PIN con SHA-256; sesiones JWT (HS256) en cookie HttpOnly; Secure; SameSite=Lax.
• Control de acceso: multi-tenancy por grupos; roles owner, admin, member; super admin único para administración global.
• Rate limiting en endpoints de autenticación y operaciones sensibles.
• Auditoría: registro inmutable de acciones administrativas (modelo AuditLog) con retención de 12 meses.
• Backups: automatizados diarios (opcional cifrado y envío a R2/S3 compatible); rotación 30 días.

6. Destinatarios y comunicación de datos

No se venden, alquilan ni ceden datos financieros a terceros.

Comunicaciones limitadas y necesarias:

• Miembros de grupos compartidos: al invitar usuarios a un grupo, estos acceden a los datos de ese grupo (movimientos, cuentas, presupuestos, etc.). El usuario decide qué grupos crear y a quién invitar.
• Proveedores de infraestructura (encargados del tratamiento): Cloudflare, Inc. (Tunnel, DNS, WAF, TLS). Solo metadatos de conexión; Cloudflare no accede al contenido financiero. Contrato DPA vigente.
• Proveedor LLM (opcional, solo si el usuario lo activa): se envía un resumen financiero anonimizado (sin identificadores directos) al proveedor configurado. Requiere consentimiento expreso y puede revocarse en cualquier momento.
• Autoridades competentes: solo mediante requerimiento judicial o administrativo fundado, en los términos del art. 14 de la Ley 1.682/2001.

7. Derechos del titular de los datos

Conforme a los arts. 13, 14 y 15 de la Ley 1.682/2001 y estándares RGPD, el titular puede ejercer en cualquier momento:

• Derecho de acceso: obtener confirmación de si se tratan sus datos y copia de los mismos.
• Derecho de rectificación: corregir datos inexactos o incompletos (desde la app: Mi Perfil / Configuración).
• Derecho de supresión («derecho al olvido»): eliminar su cuenta y todos sus datos personales (Configuración → Eliminar cuenta, o por email a [email protected]).
• Derecho de portabilidad: recibir sus datos en formato estructurado, de uso común y lectura mecánica (JSON/CSV desde Configuración → Backup / Exportar CSV).
• Derecho de limitación u oposición: restringir el tratamiento o revocar consentimientos (ej. insights IA).
• Derecho a no ser objeto de decisiones automatizadas: la Aplicación no realiza perfiles automatizados con efectos jurídicos significativos.

Para ejercer sus derechos: [email protected]. Responderemos en el plazo legal (10 días hábiles según art. 14 Ley 1.682).

8. Plazos de conservación

• Datos de cuenta y financieros: mientras la cuenta permanezca activa.
• Tras solicitud de supresión: borrado físico en 30 días corridos (ventana de recuperación por error del titular).
• Logs de auditoría (super admin): 12 meses desde la generación.
• Logs de acceso y seguridad: 90 días.
• Backups automatizados: rotación diaria, retención 30 días (configurable por el usuario).

9. Transferencias internacionales de datos

El servidor principal reside en la infraestructura del usuario (Paraguay o jurisdicción donde opere). Si el usuario habilita:

• Backup offsite (R2/S3): los datos saldrán hacia la región del bucket configurado. El usuario es responsable de elegir región acorde a la ley.
• Insights IA: el resumen anonimizado se envía al proveedor LLM configurado (puede estar fuera de Paraguay). Requiere consentimiento expreso.

El Responsable no realiza transferencias internacionales por cuenta propia; el usuario controla las variables R2_BUCKET, R2_ENDPOINT y AI_INSIGHTS_ENABLED en su .env.

10. Cookies y almacenamiento local

No se utilizan cookies de terceros, píxeles de seguimiento, fingerprinting, ni herramientas de analytics externas.

11. Protección de menores

La Aplicación no está dirigida a menores de 18 años. No se recopilan datos de menores de edad conscientemente. Si se detecta que un menor ha proporcionado datos personales, estos serán eliminados de forma inmediata.

12. Modificaciones de la presente política

Cualquier modificación sustancial se notificará en la Aplicación (toast/banner) y se actualizará la fecha de «Última actualización» al inicio de este documento. Los cambios que amplíen la finalidad del tratamiento o afecten derechos requerirán consentimiento renovado. La versión vigente es siempre la publicada en /privacidad.

13. Contacto y reclamaciones

Para consultas, ejercicio de derechos, reclamaciones o notificación de incidentes de seguridad:

Si considera que sus derechos no han sido debidamente atendidos, puede presentar reclamación ante la Dirección General de Protección de Datos Personales (Ministerio de Justicia, Paraguay) o la autoridad de control competente en su jurisdicción.