1. Resumen
Anima HR ("Anima HR", "nosotros" o "nuestro") es una plataforma de gestión de RRHH multi-tenant. Esta Política de Privacidad explica cómo recopilamos, usamos, almacenamos y protegemos los datos personales cuando visitas animahr.io o usas la aplicación en *.animahr.io.
No vendemos datos personales. No usamos los datos de tus empleados para publicidad. Te damos control total sobre dónde viven tus datos.
Responsable vs. Encargado del tratamiento
Para los datos enviados a través del sitio de marketing, Anima HR es el responsable del tratamiento.
Para los datos de empleados procesados dentro de tu workspace de Anima HR, tu organización es el responsable y Anima HR actúa como encargado del tratamiento. Nuestro Acuerdo de Procesamiento de Datos (DPA) regula esa relación.
2. Quiénes somos
Anima HR
Nueva Jersey, Estados Unidos
Para consultas de privacidad, usa nuestro formulario de contacto con el asunto "Solicitud de privacidad" y responderemos en 30 días.
3. Datos que recopilamos
3.1 Visitantes del sitio de marketing
- Formularios — nombre, correo de trabajo, empresa, tamaño del equipo y mensajes enviados a través de los formularios de contacto o registro.
- Datos técnicos — dirección IP, tipo de navegador y URL de referencia, recopilados por nuestra infraestructura para seguridad y prevención de abusos. No se usan para publicidad.
3.2 Workspace de Anima HR (datos de tus empleados)
Cuando tu organización usa Anima HR, envías datos de RRHH en nombre de tus empleados. Esto puede incluir:
- Nombre, correo de trabajo, cargo, departamento y responsable
- Fechas de empleo, historial salarial y registros de ausencias
- Respuestas de evaluaciones, feedback y notas 1:1
- Respuestas de encuestas y puntuaciones de analítica de personas
- Cualquier campo personalizado que configure tu organización
Procesamos estos datos estrictamente como encargados bajo tus instrucciones.
3.3 Datos de cuenta y facturación
- Correo del administrador del workspace y credenciales de autenticación
- Nombre y correo del contacto de facturación
- Datos de pago — gestionados directamente por Stripe; Anima HR nunca almacena números de tarjeta
4. Cómo usamos los datos
| Finalidad | Datos utilizados |
|---|---|
| Provisionar y operar tu workspace | Datos de cuenta, datos de RRHH |
| Procesar pagos | Contacto de facturación, método de pago (vía Stripe) |
| Responder consultas de soporte y ventas | Formularios de contacto |
| Enviar correos transaccionales | Correo de trabajo |
| Monitoreo de seguridad y prevención de abusos | IP, registros de acceso |
| Mejorar el servicio (solo métricas anonimizadas) | Métricas de uso anonimizadas |
No usamos datos personales para publicidad, perfilado conductual ni venta a terceros.
5. Base legal para el tratamiento (RGPD)
Si estás en el EEE, Reino Unido o Suiza, nos basamos en los siguientes fundamentos del Artículo 6 del RGPD:
- Ejecución de contrato — tratamiento necesario para prestar el servicio (Art. 6(1)(b)).
- Intereses legítimos — seguridad, prevención de fraude y mejora del servicio (Art. 6(1)(f)).
- Obligación legal — cuando la ley exige conservar registros (Art. 6(1)(c)).
- Consentimiento — para comunicaciones de marketing opcionales (Art. 6(1)(a)). Puedes retirar el consentimiento en cualquier momento.
6. Compartición de datos
No vendemos, alquilamos ni compartimos datos personales con terceros para fines de marketing o publicidad — nunca.
- Subencargados — proveedores de infraestructura listados en la Sección 7, vinculados por acuerdos de procesamiento de datos.
- Requisitos legales — si lo exige la ley o una orden judicial. Te notificaremos cuando sea legalmente posible.
- Transferencias empresariales — en caso de fusión o adquisición, notificaremos a los usuarios afectados.
7. Subencargados del tratamiento
Usamos un conjunto mínimo de subencargados, todos vinculados por acuerdos de procesamiento de datos.
| Subencargado | Finalidad | Ubicación | Certificaciones |
|---|---|---|---|
| Amazon Web Services (AWS) | Infraestructura cloud, base de datos, almacenamiento de archivos, CDN y cómputo | Región(es) elegida(s) | SOC 1/2/3, ISO 27001, ISO 27017, ISO 27018, PCI DSS, apto para HIPAA, FedRAMP |
| Stripe | Procesamiento de pagos | Estados Unidos | PCI DSS Nivel 1, SOC 1/2, ISO 27001 |
Actualizaremos esta lista cuando se añadan o eliminen subencargados. Los clientes Enterprise pueden solicitar notificación previa de cambios.
8. Residencia de datos y transferencias internacionales
Durante el registro eliges una región de datos; la base de datos de tu tenant se crea exclusivamente en esa región. Las regiones disponibles incluyen ubicaciones en América del Norte, Europa, Asia Pacífico y América del Sur.
Transferencias internacionales (RGPD)
Si seleccionas una región del EEE, tus datos permanecen en el EEE. Si seleccionas una región fuera del EEE, las transferencias están cubiertas por Cláusulas Contractuales Estándar (CCE) incorporadas en nuestro DPA. AWS participa en el Marco de Privacidad de Datos UE-EE.UU.
9. Retención de datos
| Tipo de dato | Período de retención |
|---|---|
| Datos activos del workspace | Mientras la suscripción esté activa |
| Datos del workspace tras eliminación de cuenta | Eliminados en 90 días tras el cierre |
| Registros de facturación | 7 años (cumplimiento fiscal y legal) |
| Registros de seguridad y acceso | 90 días |
| Formularios de contacto del sitio de marketing | 2 años, o hasta que solicites la eliminación |
Puedes solicitar la eliminación anticipada de tus datos en cualquier momento. Las solicitudes de eliminación se procesan en 30 días.
10. Seguridad
- Cifrado en tránsito — todos los datos transmitidos sobre TLS 1.2+.
- Cifrado en reposo — todas las bases de datos y almacenamiento de archivos cifrados con AES-256.
- Aislamiento de tenant — cada organización tiene una base de datos dedicada; no hay almacén de datos compartido entre tenants.
- Claves de firma por tenant — cada tenant tiene un par de claves RSA-2048 único, cifrado con AES-256-GCM y almacenado en un gestor de secretos seguro.
- Control de acceso basado en roles (RBAC) — aplicado en la capa API en cada solicitud.
- Registro de auditoría — todas las operaciones de escritura se registran con identidad de usuario, marca de tiempo y valores modificados.
- Limitación de velocidad — limitación por ventana deslizante por usuario autenticado.
- Sin acceso entre tenants — la identidad del tenant se valida en cada llamada a la API para evitar la reutilización de tokens entre tenants.
Hoja de ruta de cumplimiento
Estamos trabajando activamente hacia la certificación SOC 2 Tipo II e ISO 27001. Los clientes Enterprise pueden solicitar nuestra documentación de seguridad actual a través de nuestro formulario de contacto.
Si descubres una vulnerabilidad de seguridad, repórtala de forma responsable a través de nuestro formulario de contacto. Confirmaremos la recepción en 48 horas.
11. Tus derechos
Todos los usuarios
- Acceso — solicitar una copia de los datos personales que tenemos sobre ti.
- Rectificación — solicitar la corrección de datos inexactos.
- Supresión — solicitar la eliminación de tus datos personales.
- Portabilidad — recibir tus datos en formato legible por máquina.
- Baja de marketing — darte de baja de correos de marketing en cualquier momento.
Residentes del EEE / Reino Unido (RGPD / UK GDPR)
- Limitación del tratamiento — pedir que limitemos el uso de tus datos mientras se resuelve una disputa.
- Oposición al tratamiento — oponerte al tratamiento basado en intereses legítimos.
- Reclamación — ante tu autoridad supervisora local (p. ej., la AEPD en España).
Residentes de California (CCPA / CPRA)
- Conocer — las categorías de información personal recopilada y cómo se usa.
- Eliminar — solicitar la eliminación de la información personal recopilada.
- Opt-out de venta — no vendemos ni compartimos información personal para publicidad conductual.
- No discriminación — no te discriminaremos por ejercer tus derechos de privacidad.
Datos de empleados (usuarios del workspace)
Si eres un empleado cuyos datos se procesan en un workspace de Anima HR, tu empleador es el responsable del tratamiento. Dirige las solicitudes de derechos al equipo de RRHH o TI de tu empleador.
Para ejercer cualquiera de los derechos anteriores, usa nuestro formulario de contacto con el asunto "Solicitud de privacidad". Responderemos en 30 días.
13. Privacidad de menores
Anima HR es una plataforma B2B destinada a organizaciones y sus empleados adultos. No recopilamos conscientemente datos personales de menores de 16 años. Si crees que se han enviado datos de un menor, contáctanos y los eliminaremos de inmediato.
14. Cambios en esta política
Cuando realicemos cambios materiales:
- Actualizaremos la fecha de "Última actualización" en esta página.
- Notificaremos a los administradores del workspace por correo con al menos 30 días de antelación.
- Para cambios significativos que afecten al procesamiento de datos de empleados, actualizaremos el DPA.
El uso continuado del servicio tras la fecha de entrada en vigor constituye la aceptación de la política actualizada.
15. Contacto
Para preguntas de privacidad, solicitudes de derechos o problemas de seguridad:
Anima HR
Nueva Jersey, Estados Unidos
Usa nuestro formulario de contacto — incluye el asunto "Solicitud de privacidad" para que podamos gestionar tu consulta correctamente.
Respondemos a todas las consultas de privacidad en 30 días.
Para clientes Enterprise que necesiten un DPA firmado, consulta nuestro Acuerdo de Procesamiento de Datos o contáctanos a través del formulario de contacto.