Esta política explica qué datos personales trata Ravisign, con qué finalidad, con qué base legal, durante cuánto tiempo y cómo los titulares pueden ejercer sus derechos, conforme a la Ley brasileña 13.709/2018 (Ley General de Protección de Datos Personales, LGPD).
1. Quiénes somos
Ravisign es un servicio de Ravi Systems LTDA, empresa brasileña que desarrolla software para proveedores de internet y otras empresas. Esta política se aplica al sitio ravisign.com.br, al panel, a la página de firma, al validador público y a la API de Ravisign.
2. Responsable y encargado
Para los datos de registro de la cuenta, de los usuarios del panel y de los visitantes del sitio, Ravi Systems es la responsable del tratamiento: decide cómo y para qué se tratan esos datos.
Para los datos de los firmantes y el contenido de los documentos, quien decide enviar el documento y a quién es el cliente de Ravisign, que por eso es el responsable. Ravi Systems actúa como encargada, tratando esos datos solo para prestar el servicio de firma, según las instrucciones del cliente. Las solicitudes sobre esos datos deben dirigirse primero al cliente que envió el documento; Ravi Systems ayuda al cliente a atenderlas.
3. Datos que tratamos
Clientes y usuarios: razón social, número de identificación fiscal, nombre, correo, teléfono, idioma, credenciales de acceso (la contraseña se guarda solo como resumen irreversible), registros de acceso y registros de acciones administrativas.
Firmantes: nombre, correo, teléfono, documento de identificación fiscal cuando lo informa el cliente, rúbrica dibujada o escrita, y los datos de evidencia de la firma: fecha y hora, dirección IP, dispositivo y navegador, canal del código de confirmación y, si el firmante lo consiente, la geolocalización del dispositivo. Cuando el cliente lo exige, también una selfie y una foto del documento de identidad.
Visitantes del sitio y del validador: dirección IP y datos técnicos de acceso, guardados como registros de conexión, además de las preferencias de idioma y tema. Un PDF enviado al validador para verificación se procesa en el momento y no se almacena.
4. Finalidades y bases legales
Prestar el servicio contratado, crear y mantener la cuenta, enviar invitaciones, códigos y copias firmadas: ejecución de contrato y de procedimientos preliminares (art. 7, V, de la LGPD).
Registrar las evidencias de la firma en el registro de auditoría y conservarlas para probar la autoría y la integridad del documento: ejercicio regular de derechos en proceso judicial, administrativo o arbitral (art. 7, VI) y, para los registros de conexión, cumplimiento de obligación legal (art. 7, II, y Ley 12.965/2014).
Recoger la geolocalización del dispositivo: consentimiento del firmante (art. 7, I), solicitado por el navegador al momento de firmar, que puede negarse o revocarse en la configuración del dispositivo.
Selfie y foto del documento, cuando el cliente los exige: garantía de prevención del fraude y de la seguridad del titular en procesos de identificación y autenticación (art. 11, II, g), ya que esos datos pueden considerarse biométricos.
Proteger la plataforma contra abusos y fraudes, limitar intentos y mantener la seguridad: interés legítimo (art. 7, IX), respetando siempre los derechos y las expectativas de los titulares.
5. Registro de auditoría
Cada evento del sobre se registra con fecha y hora en UTC, IP, dispositivo y el identificador del firmante, y sella el registro anterior con un resumen SHA-256. La tabla del registro es solo de inclusión: se rechazan modificaciones y eliminaciones. Una vez al día, el último registro recibe sello de tiempo, lo que prueba que el historial no fue reescrito.
El registro nunca guarda nombre, correo, teléfono, documento de identificación, selfie ni documento: solo el identificador interno del firmante. Los datos personales quedan en la ficha del firmante, cifrados con la clave de la cuenta cuando son sensibles. Por eso el registro puede permanecer incluso después de eliminados los datos personales.
6. Selfie y documento de identidad
La recogida de selfie y foto del documento viene desactivada y solo ocurre cuando el cliente la exige para un sobre. Las imágenes se guardan cifradas con la clave de la cuenta, accesibles solo a los usuarios autorizados del cliente, y se eliminan automáticamente 90 días después de la conclusión del sobre, o en el plazo que el cliente configure.
7. Compartición
Ravi Systems no vende datos personales. Los datos pueden compartirse con el cliente que envió el documento y con los demás firmantes del mismo sobre, en la medida necesaria (por ejemplo, nombres en el manifiesto de firmas); con la autoridad de sellado de tiempo, que recibe solo resúmenes criptográficos, nunca el documento; con el proveedor de correo usado para las invitaciones; y con autoridades, cuando exista orden legal.
El validador público muestra a los firmantes con datos enmascarados y los resúmenes criptográficos del sobre, nunca el contenido del documento.
8. Retención y eliminación
Los documentos firmados, los datos de los firmantes y el registro se conservan mientras la cuenta esté activa y, después, durante el plazo de prescripción aplicable a las operaciones documentadas, permitiendo la defensa de las partes. La selfie y el documento siguen el plazo de depuración de la sección 6. Los registros de conexión se guardan durante el plazo legal.
Cerrada la cuenta y vencido el plazo de retención, los documentos y los datos personales de los firmantes se eliminan de forma segura; el registro de auditoría, sin datos personales directos, permanece para preservar la cadena de integridad.
9. Seguridad
Los datos viajan cifrados y se almacenan en servidores de Ravi Systems en Brasil. Los datos sensibles se cifran con una clave propia por cuenta; el certificado de la plataforma está aislado del resto del sistema; el acceso administrativo es restringido y registrado; las copias de seguridad son cifradas. Los incidentes relevantes se comunican a los afectados y a la Autoridad Nacional de Protección de Datos de Brasil, según lo exige la LGPD.
10. Derechos del titular
El titular puede solicitar la confirmación de la existencia de tratamiento, el acceso a los datos, la corrección de datos incompletos o desactualizados, la anonimización, el bloqueo o la eliminación de datos innecesarios, la portabilidad, información sobre compartición y la revocación del consentimiento, conforme al art. 18 de la LGPD.
Algunas solicitudes pueden tener límites legales: los datos que prueban una firma pueden conservarse mientras sean necesarios para el ejercicio regular de derechos. Las solicitudes de firmantes se remiten al cliente responsable cuando corresponde. Las respuestas se dan en un plazo razonable, y el titular también puede presentar una petición ante la Autoridad Nacional de Protección de Datos de Brasil.
11. Cookies y almacenamiento en el navegador
Ravisign usa solo las cookies necesarias para su funcionamiento: sesión del panel y de la página de firma, protección contra solicitudes falsificadas y recuerdo del idioma elegido. La elección del tema claro u oscuro se guarda en el almacenamiento local del navegador. No usamos cookies de publicidad ni rastreadores de terceros.
12. Transferencia internacional
Los datos se almacenan en Brasil. Si algún proveedor implica una transferencia internacional, esta seguirá los supuestos del art. 33 de la LGPD, y esta política se actualizará.
13. Encargado de protección de datos y contacto
El encargado de protección de datos de Ravi Systems atiende en contato@ravisystems.com.br. Use este canal para ejercer sus derechos, aclarar dudas sobre esta política o comunicar un incidente.
14. Cambios en esta política
Esta política puede actualizarse. La versión vigente es siempre la publicada en esta página, con la fecha al inicio, y los cambios relevantes se comunican a los clientes.