Política de privacidad

1. Quiénes somos

Uploadex es operado por Brixial Technologies Pvt Ltd («Brixial», «nosotros», «nos»), una sociedad de responsabilidad limitada constituida en la India el 26 de diciembre de 2023. Brixial es el «Responsable del Tratamiento» (Data Controller) según el Reglamento General de Protección de Datos de la UE (GDPR) y el «Fiduciario de Datos» (Data Fiduciary) según la Ley de Protección de Datos Personales Digitales de la India de 2023 («Ley DPDP») en relación con los datos personales tratados a través de Uploadex.

Esta Política de privacidad explica qué datos personales tratamos, por qué los tratamos, cuánto tiempo los conservamos, con quién los compartimos y cómo puedes ejercer tus derechos. Se aplica al sitio web de Uploadex en uploadex.net y a todos los servicios, API y subdominios operados desde él (el «Servicio»).

2. Datos personales que tratamos

Solo recopilamos los datos necesarios para prestar, proteger y mejorar el Servicio.

• Datos de la cuenta: dirección de correo electrónico, nombre visible, contraseña con hash, idioma preferido y ajustes de la cuenta. Necesarios para crear una cuenta e iniciar sesión.
• Metadatos de archivos: nombre del archivo, tamaño, tipo MIME, hash SHA-256, marcas de tiempo de subida y caducidad. Necesarios para listar, previsualizar y entregar tus archivos.
• Contenido de los archivos: almacenado de forma cifrada en reposo (AES-256-GCM). No abrimos, leemos, escaneamos con fines publicitarios ni entrenamos ningún modelo de aprendizaje automático con el contenido de tus archivos. Los análisis de seguridad automatizados (véase §9) examinan hashes criptográficos, no el contenido.
• Datos de uso y del dispositivo: dirección IP, cadena de agente de usuario, URL de referencia, ruta de la solicitud, códigos de estado HTTP y marcas de tiempo. Se generan cada vez que interactúas con el Servicio.
• Comunicaciones de soporte: el contenido de los correos electrónicos, tickets o mensajes de chat que envías a nuestro equipo de soporte, y nuestras respuestas.
• Cookies y almacenamiento local: cookies estrictamente necesarias para la autenticación y la seguridad (p. ej. tokens CSRF, ID de sesión) y una cookie de preferencia que guarda tu elección de tema. No usamos cookies de publicidad, elaboración de perfiles ni seguimiento entre sitios.

No recopilamos a sabiendas datos personales sensibles como datos de salud, biométricos, números de cuentas financieras, casta, religión, opinión política u orientación sexual.

3. Por qué los tratamos (finalidades y bases legales)

Según el GDPR, debemos apoyarnos en una o más bases legales para cada finalidad. La Ley DPDP requiere una finalidad específica y, cuando corresponda, tu consentimiento. La tabla a continuación expone qué hacemos y por qué.

• Prestar el Servicio: almacenar, previsualizar y entregar los archivos que subes. Base: ejecución de un contrato (GDPR Art. 6(1)(b)); ejecución de un contrato conforme al DPDP §7(a).
• Mantener el Servicio seguro: detectar abusos, prevenir la distribución de malware, investigar incidentes, limitar la tasa de clientes automatizados. Base: intereses legítimos (GDPR Art. 6(1)(f)); uso legítimo conforme al DPDP §7(i).
• Cumplir con la ley: responder a solicitudes legales, notificar a las autoridades cuestiones de seguridad infantil, mantener registros legales conforme a la Ley de Tecnología de la Información de 2000 y las Reglas de Tecnología de la Información (Directrices para Intermediarios y Código de Ética de Medios Digitales) de 2021. Base: obligación legal (GDPR Art. 6(1)(c)); cumplimiento de la ley conforme al DPDP §7(c).
• Comunicarnos contigo: responder a solicitudes de soporte, enviar avisos esenciales del servicio (p. ej. alertas de seguridad, cambios de política). Base: intereses legítimos / ejecución de un contrato.
• Mejorar el Servicio: analíticas agregadas y anonimizadas, como el total de subidas por región o la velocidad media de transferencia. Base: intereses legítimos.

No tratamos datos personales con fines publicitarios, de elaboración de perfiles, de toma de decisiones automatizada que produzca efectos jurídicos ni de venta a terceros.

4. Cuánto tiempo los conservamos (retención)

• Archivos que subes: se conservan hasta que los elimines o cierres tu cuenta. Los archivos eliminados se purgan de todo el almacenamiento principal en un plazo de 24 horas y de las cachés del edge en un plazo de 72 horas.
• Datos de la cuenta: se conservan durante la vida de tu cuenta. Se eliminan en un plazo de 30 días tras el cierre de tu cuenta, salvo que la ley nos obligue a conservarlos más tiempo.
• Registros de uso y seguridad: 14 días, tras los cuales se truncan automáticamente. Las métricas agregadas y no identificativas pueden conservarse más tiempo.
• Comunicaciones de soporte: 24 meses desde el último mensaje, para formación y control de calidad.
• Registros exigidos por ley: los registros legales (p. ej. los exigidos por la Regla 3(1)(h) de las Reglas de TI de 2021) se conservan durante el periodo mínimo exigido por la ley aplicable.

5. Con quién los compartimos

Compartimos datos personales únicamente con las siguientes categorías de destinatarios, y solo en la medida mínima necesaria.

• Encargados de infraestructura: proveedores de alojamiento en la nube, entrega de contenido y entrega de correo electrónico que actúan bajo acuerdos escritos de tratamiento de datos (con cláusulas contractuales tipo cuando corresponda).
• Asesores profesionales: contables, auditores y abogados obligados por deber de confidencialidad.
• Autoridades policiales o reguladores: únicamente cuando tengamos la creencia de buena fe de que la divulgación es legalmente exigida en virtud de una orden válida y vinculante. Publicamos un informe anual de transparencia que resume dichas solicitudes.
• Sucesores: si Brixial es adquirida o se somete a una reorganización, los datos personales podrán transferirse bajo las mismas protecciones que se establecen aquí.

No vendemos ni alquilamos datos personales a nadie.

6. Transferencias internacionales

Uploadex opera una red edge global. Tus datos pueden tratarse en jurisdicciones fuera de la India y del Espacio Económico Europeo, incluidos Estados Unidos, el Reino Unido, Singapur y Alemania. Cuando transferimos datos personales fuera del EEE, nos apoyamos en las Cláusulas Contractuales Tipo de la Comisión Europea (versión de 2021) junto con medidas técnicas complementarias (cifrado en tránsito y en reposo). Las transferencias desde la India se realizan conforme al §16 de la Ley DPDP.

7. Tus derechos

Con sujeción a la legislación local, tienes los siguientes derechos sobre tus datos personales:

• Acceso: solicitar una copia de los datos que tenemos sobre ti.
• Rectificación: pedirnos que corrijamos datos inexactos o incompletos.
• Supresión / eliminación: pedirnos que eliminemos tus datos cuando no tengamos una base legal preponderante para conservarlos.
• Portabilidad: recibir tus datos en un formato estructurado, de uso común y legible por máquina.
• Oposición / retirada del consentimiento: oponerte a un tratamiento específico o retirar el consentimiento previamente otorgado.
• Reclamación / queja: presentar una queja ante nuestro Responsable de Quejas (India) o reclamar ante una autoridad de control.

Para ejercer cualquiera de estos derechos, escribe a [email protected] desde la dirección asociada a tu cuenta. Respondemos en un plazo de 30 días para las solicitudes del GDPR y de 30 días para las solicitudes del DPDP (prorrogable una vez por 30 días adicionales cuando la solicitud sea compleja).

Si te encuentras en el EEE o el Reino Unido, también puedes reclamar ante tu autoridad nacional de protección de datos. Si estás en la India, puedes reclamar ante la Junta de Protección de Datos de la India una vez que esté operativa.

8. Seguridad

Nos tomamos en serio la seguridad de tus datos y utilizamos controles estándar del sector, entre ellos:

• TLS 1.3 para todos los datos en tránsito.
• AES-256-GCM para el contenido de los archivos en reposo.
• Argon2id para el hash de las contraseñas de las cuentas.
• Control de acceso basado en roles y registro de auditoría para todas las acciones administrativas.
• Acceso de producción con mínimo privilegio, autenticación multifactor para todo el personal y uso obligatorio de llaves de hardware para los roles privilegiados.
• Pruebas de penetración anuales realizadas por terceros y un programa público y recompensado de divulgación de vulnerabilidades.

Ningún servicio en línea es 100 % seguro. Si tenemos conocimiento de una vulneración de datos personales que probablemente entrañe un riesgo para tus derechos, te lo notificaremos a ti y a la autoridad de control correspondiente dentro de los plazos exigidos por la ley (72 horas según el GDPR; el periodo prescrito según la Ley DPDP).

El contenido de los archivos se cifra en tránsito (TLS 1.3) y en reposo (AES-256-GCM) mediante nuestra infraestructura de almacenamiento. Uploadex no implementa cifrado de extremo a extremo, lo que significa que Uploadex puede acceder al contenido de los archivos cuando así lo exija la ley o para el análisis de seguridad automatizado descrito en el §9.

9. Análisis automatizado de seguridad del contenido

Cuando subes un archivo, calculamos un hash criptográfico unidireccional del contenido y lo comparamos con listas de hashes del sector de material ilegal conocido (por ejemplo, material de abuso sexual infantil y malware). No abrimos ni leemos el archivo en sí. Si se encuentra una coincidencia, actuamos según lo exija la ley, lo que puede incluir conservar el archivo, informar a una autoridad competente e impedir el acceso posterior.

10. Datos de menores

Uploadex no está dirigido a menores de 16 años. De conformidad con el §9 de la Ley DPDP, no tratamos a sabiendas los datos personales de un menor sin el consentimiento verificable de un padre, madre o tutor legal. Si crees que un menor nos ha facilitado datos personales, escribe a [email protected] y los eliminaremos de inmediato.

11. Cambios en esta política

Podemos actualizar esta Política de privacidad de vez en cuando. Cuando realicemos un cambio sustancial, revisaremos la fecha de «Última actualización» de arriba y lo notificaremos a las cuentas activas por correo electrónico o mediante un aviso dentro del producto con al menos 14 días de antelación a su entrada en vigor, salvo que la ley exija un plazo más corto.

12. Contáctanos

Consulta también nuestras páginas de Términos del servicio, Política de uso aceptable y DMCA / Derechos de autor.