Política de privacidad
Última actualización: 1 de octubre de 2026
Esta es una traducción de cortesía del texto en inglés (/legal/privacy). Si hay alguna diferencia entre las dos versiones, rige el texto en inglés.
1. Quiénes somos
Signing Flows es un servicio de firma electrónica operado por aún no configurado (aún no configurado). Puedes contactarnos en aún no configurado o en aún no configurado. Esta política explica qué datos personales trata el servicio, para qué y cuáles son tus derechos.
2. De quién son los datos y cuáles son
El servicio trata datos de tres clases de personas.
Titulares de cuenta (administradores y miembros de una organización, y titulares de una cuenta individual): nombre, correo electrónico, contraseña (guardada solo como un hash de un solo sentido), el número de teléfono que confirmas si quieres recibir en él los códigos de ingreso, el método de ingreso, el idioma, las identidades que vinculas (ver la sección 5), un identificador que tu navegador conserva para que a un dispositivo de confianza no se le pida un código cada vez, tus roles y permisos, y las acciones que haces en el servicio, con la dirección IP y la identificación del navegador desde los que las hiciste (el registro de actividad).
Firmantes y destinatarios de un documento: nombre y correo electrónico tal como los ingresó quien envía, el idioma de tus avisos, el código de acceso si quien envía lo fijó (guardado solo como un hash de un solo sentido) y todo lo que conserva el registro de evidencia (ver la sección 3).
Documentos y su contenido: los archivos que sube una organización y los datos que se ingresan en ellos. Pueden contener datos personales de cualquier persona. La organización que los subió decide qué contienen; los tratamos solo para prestar el servicio a esa organización.
3. El registro de evidencia
Cada flujo de firma produce un registro de evidencia para que el documento firmado pueda respaldarse más adelante. De cada persona que participa registra: el nombre y el correo electrónico tal como los ingresó quien envía; la hora de cada aviso que se le envió y de cada apertura, consentimiento, firma, aprobación o rechazo; en los momentos en que la persona actúa, la dirección IP, la identificación del navegador (user agent) y una huella corta del navegador (derivada de su user agent, su idioma, el tamaño de pantalla y la zona horaria); cómo se identificó la persona (método de ingreso, proveedor de identidad, nivel de garantía y, cuando se usó un certificado digital, el titular, el emisor y la vigencia del certificado, y el número de documento de identidad que el proveedor informa de su titular); el nombre que la persona escribió como representación visible de su firma; y las huellas criptográficas del documento en cada paso. El registro de evidencia no se borra cuando se purgan los archivos del documento: queda como prueba de que el documento existió y fue firmado (sección 7).
4. Para qué lo tratamos y con qué base
- Para prestar el servicio que contrató la organización: crear, enviar, firmar y preservar documentos, avisar a las personas involucradas y producir el registro de evidencia y el informe de cierre. Base: ejecución del contrato con la organización, e interés legítimo de la organización en probar quién firmó qué y cuándo.
- Para que puedas ingresar y para mantener segura tu cuenta: sesiones, segundos factores, dispositivos de confianza. Base: ejecución del contrato e interés legítimo en la seguridad.
- Para medir el uso con fines de facturación: qué se firmó, envió o almacenó, por qué cuenta y en qué período. Base: ejecución del contrato.
- Para responder tus solicitudes y darte soporte. Base: interés legítimo.
- Para cumplir obligaciones legales, cuando le sean aplicables al operador.
No usamos tus datos para publicidad, no los vendemos y no elaboramos perfiles tuyos.
5. Ingresar con un proveedor de identidad externo
Una organización puede permitir o exigir que se ingrese mediante un proveedor de identidad externo (por ejemplo un directorio de la empresa, un proveedor de servicios de confianza o un proveedor para el público general como Google o Microsoft). Cuando lo haces, recibimos del proveedor un identificador estable de tu cuenta en ese proveedor, tu nombre, tu correo electrónico y si el proveedor lo verificó, la declaración del proveedor sobre cómo te autenticaste y, en algunos directorios de empresa, el identificador del directorio al que pertenece tu cuenta. Nunca recibimos tu contraseña. Vinculamos ese identificador con tu identidad en el servicio, y el vínculo se guarda por el identificador del proveedor, nunca por el correo electrónico. La primera vez, el servicio lo vincula por sí solo únicamente cuando el proveedor dice que tu correo electrónico está verificado y esa dirección pertenece a una única identidad del servicio que ya nos lo demostró; si no, lo vinculas tú desde tu cuenta. Ingresar mediante un proveedor nunca crea una cuenta por sí solo.
6. A dónde van tus datos
Usamos proveedores de servicios para hacer funcionar el servicio. Tratan datos solo según nuestras instrucciones y solo para la finalidad indicada:
- un proveedor de alojamiento, donde funcionan el servicio y su base de datos;
- un proveedor de envío de correo, para los avisos y los códigos de ingreso;
- un proveedor de mensajería por SMS y WhatsApp, cuando esta instalación tiene ese canal conectado, para los códigos de ingreso de los titulares de cuenta que confirmaron un teléfono;
- los servicios push de los navegadores web, cuando activas las notificaciones: llevan un aviso corto, sin el contenido de ningún documento;
- un proveedor de protección contra bots en la página de ingreso: la página carga el script de ese proveedor, y la verificación se ejecuta solo cuando esta instalación la activa;
- un proveedor de pagos, cuando una cuenta paga a través del servicio: los datos de la tarjeta se ingresan con ese proveedor, no en el servicio;
- los proveedores de servicios de confianza que elige una organización, para la verificación de identidad y los certificados digitales: reciben lo necesario para identificarte y para firmar (en una firma remota, la huella del documento, no el documento), bajo sus propios términos;
- las autoridades de sellado de tiempo configuradas para esta instalación, que reciben solo una huella del documento, y las autoridades de certificación a las que se consulta si un certificado sigue vigente cuando un documento se cierra;
- el almacenamiento propio de documentos de una organización, cuando esa organización lo configuró: sus documentos se guardan entonces bajo el control de esa organización;
- los sistemas que una organización conecta al servicio (webhooks y la API), que reciben lo que esa organización configura.
Los nombres de los proveedores que usa esta instalación están disponibles a pedido del operador. Los datos no se transfieren a otros terceros, salvo cuando la ley lo exige.
7. Cuánto tiempo los conservamos
Cuando un documento se cierra, sus archivos (el original y cada versión firmada) se purgan cuando pasó el más corto de estos períodos: el período de custodia del plan de la cuenta, el período propio del documento si lo tiene, y el tope que la organización fija para su cuenta. Sin un plan que fije un período de custodia, los archivos no se purgan. Los archivos que usa una plantilla vigente o la biblioteca de documentos, o que están bajo una retención, se conservan más tiempo. Cuando se purgan los archivos se borran del almacenamiento; el informe de cierre y el registro de evidencia se conservan, como prueba de que el documento existió y fue firmado. Esta versión del servicio no borra los datos de las cuentas, los registros de ingreso ni el registro de actividad según un calendario: se conservan hasta que el operador los borra. Para pedir el borrado, ver la sección 10.
8. Cookies
El servicio usa solo cookies propias que son necesarias para funcionar: una cookie de sesión y su cookie de seguridad complementaria una vez que ingresas; una cookie que mantiene abierto un enlace de firma en tu navegador durante dos horas, y otra que recuerda que ingresaste el código de acceso de un documento; y cookies de corta vida (diez minutos) mientras se te redirige a un proveedor de identidad y de vuelta, o eliges con qué cuenta entrar. Tu navegador también guarda, en tu dispositivo y no en una cookie, tu idioma y tus preferencias de pantalla y el identificador de un dispositivo de confianza. No hay cookies de publicidad ni de analítica de terceros, así que no hace falta un aviso de cookies. La página de ingreso carga el script de un proveedor de protección contra bots (sección 6); lo que ese proveedor conserva en tu navegador se describe en su propio aviso de privacidad.
9. Seguridad
Las conexiones al servicio están cifradas (HTTPS), y el servicio le indica a los navegadores que usen solo conexiones cifradas con él. Las contraseñas se guardan solo como un hash de un solo sentido. Los secretos que guardamos en tu nombre (como las credenciales de un conector) se cifran en reposo. El acceso a los datos se restringe por cuenta y por rol, y se aplica en la aplicación y de nuevo en la propia base de datos, y las acciones administrativas se escriben en el registro de actividad. El registro de evidencia encadena cada evento con el anterior, de modo que se puede detectar que se alteró un evento sin reescribir el resto de la cadena. Ningún servicio puede prometer seguridad absoluta; si nos enteramos de una violación que afecte tus datos, avisaremos a la organización afectada sin demora indebida.
10. Tus derechos
Según dónde vivas, puedes tener derecho a acceder a los datos que conservamos sobre ti, a que se corrijan o se borren, a limitar su tratamiento o a oponerte a él, y a recibirlos en un formato portable. Para los datos tratados por cuenta de una organización (documentos, registros de evidencia), esa organización es la responsable y le derivaremos tu solicitud o actuaremos según sus instrucciones. Para ejercer un derecho, contáctanos en aún no configurado. También puedes presentar un reclamo ante tu autoridad de protección de datos.
11. Niños
El servicio está pensado para personas adultas que actúan en un carácter profesional o personal y no está dirigido a niños.
12. Cambios
Podemos actualizar esta política. La fecha de versión que aparece arriba cambia cuando lo hacemos, y los cambios importantes se notifican a los administradores de las organizaciones.
13. Contacto
aún no configurado, aún no configurado. aún no configurado · aún no configurado · aún no configurado