Política de privacidad

Iván Suero es el responsable temporal de Terraval durante la etapa Alpha por invitación. El correo directo de privacidad y el domicilio válido para notificaciones se incorporarán y verificarán antes de habilitar acceso externo.

Esta política se rige por la Ley 81 de 26 de marzo de 2019 sobre protección de datos personales de la República de Panamá y su reglamentación (Decreto Ejecutivo 285 de 2021). La autoridad de control es la Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI). Donde adoptamos prácticas del RGPD europeo es como estándar adicional de cuidado, no como marco legal.

Exactamente estos, y nada más:

• Tu cuenta: correo electrónico, nombre completo, rol dentro de tu organización y contraseña (guardada con hash por nuestro proveedor de autenticación; nadie de Terraval puede leerla).
• Tus preferencias de la app: ajustes de uso que elegís vos (por ejemplo, cómo preferís ver ciertos paneles).
• Tu trabajo en la plataforma: las búsquedas de comparables y valoraciones que creás (título, zona, área, resultados). Son datos del inmueble investigado, no tuyos, y pertenecen a tu organización.
• Datos de fuentes públicas: características del inmueble, evidencia del aviso y, cuando está publicado, el nombre del anunciante, agencia o corredor. Terraval filtra teléfonos, correos y otros datos de contacto cuando los detecta porque no son necesarios para la valoración.
• Registro técnico: registros de operación (logs) con fecha, ruta y errores, que pueden incluir tu dirección IP, conservados por un tiempo limitado por nuestro proveedor de alojamiento. Para los límites de uso por IP no guardamos tu IP en claro: se cuenta con un hash criptográfico que no permite revertirla.
• Conexiones externas que vos autorizás: si conectás Terraval a un asistente de IA (Claude o ChatGPT vía MCP), guardamos los permisos de esa conexión para poder atenderla y para que puedas revocarla.

No recolectamos datos sensibles (salud, biometría, creencias), no vendemos datos personales y no usamos tu información para publicidad.

Esta lista se mantiene al día con la aplicación: si algo de lo que guardamos cambia, esta política y su fecha de vigencia cambian en el mismo momento — no después.

• Autenticarte y mantener tu sesión.
• Operar la plataforma: ejecutar tus búsquedas, mostrarte tus resultados y los de tu organización.
• Proteger el servicio: límites de uso, detección de accesos indebidos, diagnóstico de errores.

La base depende de cada finalidad: la relación contractual con tu organización permite prestar el servicio; la seguridad y prevención de abuso responden a un interés legítimo; las obligaciones legales se cumplen cuando correspondan; y Google Maps en el navegador solo se activa con una decisión opcional y revocable. Leer esta política no convierte automáticamente todos los tratamientos en consentimiento.

• Toda la comunicación viaja cifrada con TLS (HTTPS obligatorio).
• La base de datos aísla cada organización con reglas de acceso a nivel de fila (RLS): una cuenta solo puede leer los datos de su organización, y esa regla vive en la base misma, no solo en la aplicación.
• Las contraseñas se guardan con hash mediante el proveedor de autenticación; los secretos del sistema viven fuera del código.
• El acceso administrativo está restringido y las operaciones sensibles quedan registradas.

Terraval utiliza Vercel para alojamiento, Supabase para base de datos y autenticación, y Upstash para límites de uso. También puede usar OpenAI y Firecrawl para procesar búsquedas y evidencia. Esos proveedores reciben solamente los datos necesarios para ejecutar la tarea solicitada.

Google Maps se carga en el navegador solo si lo permitís. Las consultas de geolocalización que Terraval realiza desde el servidor son parte necesaria del servicio y también usan a Google como proveedor externo, sin convertir esa conexión en rastreo publicitario.

Los datos pueden procesarse fuera de Panamá, principalmente en Estados Unidos, bajo contratos y medidas de seguridad de los proveedores. Terraval documenta esas transferencias y mantiene la responsabilidad exigida por la Ley 81.

Con nadie fuera de los proveedores que hacen funcionar la plataforma y de tu organización. Si conectás voluntariamente Claude, ChatGPT u otro cliente mediante MCP, ese cliente recibe los resultados que le pedís y podés revocarlo desde Configuración. Las métricas de rendimiento solo se tratarán si el endpoint de Web Vitals está habilitado. No vendemos ni alquilamos datos personales.

Terraval usa reglas y modelos para ordenar evidencia y producir una referencia de mercado. El resultado apoya la revisión de una persona: no toma por sí solo una decisión legal, crediticia ni contractual sobre vos, y no sustituye un avalúo certificado.

La Ley 81 te reconoce los derechos de acceso, rectificación, cancelación, oposición y portabilidad sobre tus datos personales. Para ejercerlos, el canal es el administrador de tu organización — las cuentas se gestionan por organización—, quien tramita la solicitud con Terraval. Si considerás que tu solicitud no fue atendida, podés acudir a la ANTAI.

Los plazos que nos obliga la ley, y que cumplimos:

• Respondemos tu solicitud en un máximo de diez días hábiles desde que la presentás.
• Si tus datos están errados, inexactos, ambiguos o incompletos, los corregimos dentro de los cinco días hábiles siguientes al pedido.
• Todo esto es gratuito: entregarte tu información, modificarla, bloquearla o suprimirla no tiene ningún costo.

Si ocurriera una vulneración de la seguridad que afecte tus datos personales, te lo comunicamos lo antes posible — a vos y al administrador de tu organización — junto con qué datos se vieron afectados y qué estamos haciendo al respecto. Es una obligación que impone el Decreto Ejecutivo 285 de 2021, y es además lo que corresponde: enterarte tarde de que tus datos quedaron expuestos te quita la posibilidad de protegerte.

Podés pedir la eliminación de tu cuenta al administrador de tu organización (o, si sos el administrador, directamente a Terraval). Al eliminarla:

• Tu acceso se revoca de inmediato y todas tus sesiones se cierran.
• Tus datos personales (correo, nombre, preferencias) se eliminan o anonimizan de forma irreversible dentro de un máximo operativo de 30 días.
• El material de trabajo de la organización (búsquedas, resultados, informes) no se destruye, porque es documentación de la organización: queda desvinculado de tu identidad.

Este criterio —borrar lo personal, conservar anonimizado lo organizacional— es deliberado: respeta tu derecho de supresión sin destruir el archivo de trabajo del equipo. La base de datos conserva registros mínimos sin identidad directa cuando son necesarios para la integridad del historial.

• Datos operativos personales: hasta 30 días después del cierre.
• Respaldos: un máximo de 90 días.
• Logs técnicos y de seguridad: un máximo de 90 días.
• Evidencia mínima de aceptación legal: cinco años para demostrar qué versión se aceptó y cuándo.
• Material de la organización: mientras esta lo conserve, desvinculado de la identidad personal cuando corresponda.

Si esta política cambia de forma sustancial, lo anunciamos en la aplicación. La fecha de vigencia de arriba identifica la versión.