Política de Privacidad

El responsable del tratamiento de los datos personales e información del Cliente es:

El tratamiento de datos se realiza en cumplimiento de la Ley N.º 25.326 de Protección de los Datos Personales de la República Argentina y su decreto reglamentario N.º 1558/2001, así como de las directrices de la Agencia de Acceso a la Información Pública (AAIP).

2.1 Datos de contacto e identificación

• Nombre y apellido del representante del Cliente.
• Correo electrónico de contacto.
• Nombre de la empresa u organización.
• Datos de facturación necesarios para la emisión de comprobantes fiscales.

2.2 Activos técnicos del Cliente (código fuente y sistemas)

• Repositorios de código fuente compartidos para la ejecución del pentest.
• URLs, endpoints y configuraciones de los sistemas a evaluar.
• Credenciales de acceso temporales provistas por el Cliente para la realización del test (cuando corresponda).
• Documentación técnica de arquitectura o diseño de sistemas (cuando sea necesaria).

2.3 Datos de uso de la plataforma

• Dirección IP y datos técnicos de acceso al sitio web y la plataforma.
• Logs de sesión para fines de seguridad y diagnóstico.

Los datos recopilados son utilizados exclusivamente para los siguientes fines:

• Prestación del servicio: Ejecutar el pentest contratado, identificar vulnerabilidades y generar el reporte de hallazgos.
• Comunicación: Coordinar la ejecución del servicio, entregar resultados y responder consultas.
• Facturación: Emitir los comprobantes fiscales correspondientes.
• Seguridad operacional: Monitorear el uso de la plataforma para detectar accesos no autorizados o anomalías.
• Obligaciones legales: Cumplir con requerimientos de autoridades competentes cuando sea legalmente exigible.

No utilizamos los datos del Cliente para entrenamiento de modelos de inteligencia artificial propios, investigación interna, benchmarking, ni para ningún otro propósito que no sea la prestación directa del servicio contratado.

El código fuente es el activo más sensible que un Cliente comparte con Adroit. Nuestra política al respecto es clara y no admite excepciones:

Adroit utiliza las APIs de Anthropic PBC (Estados Unidos) como motor de inteligencia artificial para el análisis de código y la identificación de vulnerabilidades. Esto implica que fragmentos de código fuente del Cliente y datos relacionados con los hallazgos de seguridad son transmitidos a los servidores de Anthropic para su procesamiento.

Medidas de privacidad implementadas

• Minimización de datos: Solo se transmiten a Anthropic los fragmentos de código estrictamente necesarios para el análisis. No se envían datos personales de usuarios finales del Cliente.
• Acuerdos de procesamiento de datos: Anthropic dispone de sus propias políticas de privacidad y compromisos de confidencialidad para el uso de APIs. El uso de la API de Anthropic no autoriza a Anthropic a usar el contenido de las consultas para entrenar sus modelos por defecto (conforme a los términos de su API de uso comercial).
• No identificación: En la medida de lo posible, Adroit evita incluir nombres de empresa, datos de clientes finales u otra información identificatoria del Cliente en los prompts enviados a la API.
• Transmisión cifrada: Toda comunicación con la API de Anthropic se realiza mediante conexiones TLS/HTTPS cifradas.

El Cliente, al contratar el servicio, acepta expresamente dicho procesamiento por parte de Anthropic. Para conocer los términos aplicables, puede consultar la Política de Privacidad de Anthropic y sus Términos de Uso.

6.1 Infraestructura en la Nube

Los servicios de Adroit están alojados en infraestructura de Amazon Web Services (AWS), en la región us-east-1 (Norte de Virginia, Estados Unidos). AWS es uno de los proveedores de nube con mayor cantidad de certificaciones de seguridad y privacidad a nivel mundial, incluyendo:

• ISO 27001 — Gestión de Seguridad de la Información
• ISO 27017 — Seguridad en la Nube
• ISO 27018 — Protección de Datos Personales en la Nube
• SOC 1, SOC 2 y SOC 3 — Controles de Servicio y Organización
• PCI DSS — Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago
• GDPR — Adecuación al Reglamento General de Protección de Datos de la Unión Europea
• FedRAMP — Programa de Gestión de Riesgos y Autorización Federal (EE.UU.)

Puede consultar el detalle completo de certificaciones de AWS en aws.amazon.com/compliance.

6.2 Medidas de Seguridad Implementadas por Adroit

• Cifrado en tránsito: Toda la comunicación entre el Cliente, la plataforma y los sub-encargados se realiza mediante protocolos TLS 1.2 o superior.
• Cifrado en reposo: Los datos almacenados temporalmente en nuestra infraestructura AWS se mantienen cifrados utilizando AES-256.
• Control de acceso: El acceso a los datos del Cliente está restringido mediante controles de acceso basados en roles (IAM). Solo personal autorizado accede a los entornos de ejecución.
• Aislamiento de entornos: Cada pentest se ejecuta en un entorno aislado. Los datos de un Cliente nunca son accesibles desde el entorno de otro Cliente.
• Eliminación segura: La eliminación del código fuente y datos del Cliente se realiza de manera permanente e irrecuperable al finalizar el servicio.
• Monitoreo de seguridad: Los entornos de ejecución son monitoreados continuamente para detectar accesos no autorizados o comportamientos anómalos.

Adroit trabaja con los siguientes sub-encargados para la prestación del servicio. Todos han sido seleccionados por sus estándares de seguridad y privacidad:

Adroit puede incorporar nuevos sub-encargados o reemplazar los existentes. En caso de cambios relevantes, se notificará a los Clientes activos con un mínimo de 30 días de anticipación.

Dado que la infraestructura de Adroit está alojada en AWS us-east-1 (Estados Unidos) y se utilizan las APIs de Anthropic (también radicada en EE.UU.), los datos del Cliente son transferidos a los Estados Unidos.

Esta transferencia se realiza en el marco de proveedores con altos estándares de seguridad certificados internacionalmente y bajo los términos contractuales con dichos proveedores. El Cliente acepta expresamente dicha transferencia internacional al contratar el servicio.

Respecto de clientes de la Unión Europea o el Reino Unido, Adroit adopta las Cláusulas Contractuales Tipo (Standard Contractual Clauses) o los mecanismos de transferencia aplicables conforme al GDPR cuando corresponda.

Adroit no vende, alquila, cede ni comercializa los datos personales ni la información técnica de sus Clientes a ningún tercero, bajo ninguna circunstancia.

Los datos únicamente son compartidos con los sub-encargados enumerados en la Sección 8, en la medida estrictamente necesaria para prestar el servicio, y con las autoridades competentes cuando exista una obligación legal de hacerlo.

Conforme a la Ley N.º 25.326 (Argentina) y, en lo que corresponda, al GDPR (UE/EEA), los titulares de datos personales tienen derecho a:

• Acceso: Solicitar información sobre los datos personales que Adroit trate sobre usted.
• Rectificación: Solicitar la corrección de datos inexactos o incompletos.
• Eliminación (derecho al olvido): Solicitar la eliminación de sus datos cuando ya no sean necesarios para la finalidad para la que fueron recopilados, salvo obligación legal de conservación.
• Oposición: Oponerse al tratamiento de sus datos en determinadas circunstancias.
• Portabilidad: Solicitar que sus datos sean entregados en un formato estructurado y legible por máquina.
• Limitación del tratamiento: Solicitar la suspensión del tratamiento en casos previstos por la ley.

Para ejercer cualquiera de estos derechos, puede enviar una solicitud a: privacy@adroit-security.net. Responderemos dentro de los 30 días hábiles de recibida la solicitud, conforme a la normativa argentina vigente.

La AAIP (Agencia de Acceso a la Información Pública) es el organismo de control en materia de protección de datos personales en Argentina. El titular tiene la facultad de interponer la acción de protección de los datos personales que le proporciona la Ley N.º 25.326.

El sitio web de Adroit (adroit-security.net) utiliza tecnologías de análisis de uso del sitio (analytics) para comprender cómo los visitantes interactúan con él. Estos datos son anonimizados y no se utilizan para identificar a usuarios individuales.

No utilizamos cookies de seguimiento de terceros con fines publicitarios.

Adroit puede actualizar esta Política de Privacidad periódicamente para reflejar cambios en nuestras prácticas, en la legislación aplicable o en los sub-encargados utilizados. La versión vigente siempre estará disponible en esta página, con indicación de la fecha de última actualización.

Para cambios materiales que afecten los derechos de los Clientes activos, se notificará por correo electrónico con un mínimo de 15 días de anticipación a su entrada en vigencia.

Para cualquier consulta, solicitud o reclamo relacionado con esta Política de Privacidad o el tratamiento de datos personales, podés contactarnos a:

Nos comprometemos a responder toda consulta relacionada con privacidad dentro de los 5 días hábiles.