Política de Privacidad

Traducción ofrecida por conveniencia. En caso de discrepancia, prevalece la versión en inglés, salvo que la ley aplicable exija otra cosa. En Quebec, prevalece la versión en francés. Leer en inglés

1. Introducción

Cybervision Systems LLC ("nosotros") respeta su privacidad y se compromete a proteger sus datos personales. Esta Política de Privacidad explica cómo recopilamos, usamos, divulgamos y protegemos su información cuando usa nuestros productos y los sitios web, paneles web, extensiones de navegador y aplicaciones móviles relacionados (en conjunto, los "Servicios"):

CyberVault: gestor de contraseñas, con panel web, extensiones para los navegadores Google Chrome, Microsoft Edge y Apple Safari y aplicaciones para iOS y Android, en ediciones personal y corporativa
Tremor (Tremor by CyberVision): plataforma de ejercicios de toma de decisiones bajo presión (ejercicios tabletop), como las crisis cibernéticas, con portal web y aplicación del participante para iOS y Android
CyberKey: gestión de accesos privilegiados, con panel web, extensión para Chrome y componentes instalados en el entorno del cliente

Cuando usa los Servicios a través de una organización (por ejemplo, la empresa en la que trabaja), esa organización es la responsable del tratamiento: decide cómo se usan los Servicios y es responsable de los datos personales que gestiona a través de ellos, lo que incluye contar con una base legal para incluirlo a usted e informarle. Nosotros actuamos como su encargado del tratamiento (proveedor de servicios) y tratamos esos datos en su nombre y según sus instrucciones. En la edición personal de CyberVault y en nuestros sitios web, somos los responsables del tratamiento descrito aquí.

Empresa: Cybervision Systems LLC
Dirección: 2122 NW 158th Ln, Pembroke Pines, Florida 33028, Estados Unidos
Correo electrónico: [email protected]
Teléfono: +1 (754) 337-5155
Delegado de Protección de Datos: véase la Sección 14

2. Información que recopilamos

2.1 Información que usted proporciona

Datos de la cuenta (nombre, dirección de correo electrónico)
Información del perfil y de la organización (cargo, grupos, equipo)
Datos de facturación de los planes de pago
Comunicaciones con atención al cliente
Contenido que crea en los Servicios, como los elementos de la bóveda (véase la Sección 10.1) y sus respuestas, decisiones y mensajes en la sala de crisis en los ejercicios de Tremor

2.2 Información recopilada automáticamente

Información del dispositivo (modelo, sistema operativo, identificadores únicos)
Datos de uso (funciones usadas, interacciones)
Datos de registro (dirección IP, tipo de navegador, horarios de acceso)
Informes técnicos de errores generados por la plataforma (para diagnóstico y soporte)
Cookies y almacenamiento local del navegador estrictamente necesarios para mantener su sesión iniciada y recordar preferencias, como el idioma. Los paneles web y el portal de Tremor guardan su sesión y su idioma en su navegador. No usamos cookies publicitarias ni de seguimiento entre sitios.

2.3 Datos de las extensiones de navegador

Versión y configuración del navegador
Datos de interacción con la extensión
La dirección de la página en la que se encuentra, que se usa para sugerir y completar las credenciales correspondientes

2.4 Datos de las aplicaciones móviles

Identificadores del dispositivo móvil y tokens de notificaciones push
Cámara (CyberVault): se usa exclusivamente para escanear códigos QR de autenticación de dos factores (2FA) al agregar un autenticador. No accedemos a su galería de fotos, y las imágenes de la cámara se procesan en el dispositivo y nunca se envían ni se almacenan.
Biometría (CyberVault y Tremor): el desbloqueo opcional con Face ID, Touch ID o huella digital lo gestiona el sistema operativo del dispositivo. Nunca recibimos sus datos biométricos.
Micrófono (Tremor): se usa solo durante las llamadas del ejercicio (véase la Sección 2.6).

Nuestras aplicaciones móviles no muestran anuncios, no lo rastrean a través de aplicaciones o sitios web de otras empresas y no venden sus datos. Los datos se cifran en tránsito.

2.5 Ubicación (edición corporativa de CyberVault)

No rastreamos su ubicación. Si su organización restringe algunos elementos de la bóveda a ubicaciones autorizadas, su navegador o dispositivo le pedirá su ubicación en el momento en que abra uno de esos elementos; se usa únicamente para verificar que se encuentra dentro del área autorizada. Además, el registro de auditoría de seguridad guarda la dirección IP y la ubicación aproximada (país y ciudad) obtenida a partir de ella en los eventos de inicio de sesión y de visualización de elementos.

2.6 Ejercicios, llamadas e IA en Tremor

En un ejercicio de Tremor, tratamos los siguientes datos en nombre de su organización:

Su nombre, dirección de correo electrónico, equipo, nivel de mando y roles en la crisis (por ejemplo, estratégico o legal)
Sus respuestas, decisiones y mensajes en la sala de crisis, y su actividad en el ejercicio (como lo que leyó y cuándo respondió)
Transcripciones de las llamadas
Notas del facilitador
Puntuaciones y evaluaciones de sus respuestas

Las llamadas del ejercicio son conversaciones de voz con personajes generados por inteligencia artificial. Durante la llamada, el audio pasa por nuestro propio servidor de voz y por nuestro proveedor de transcripción para convertirlo en texto; el audio no se graba ni se almacena. Lo que se conserva es la transcripción en texto. Las respuestas del personaje las genera la IA y se reproducen con una voz sintética elegida de un catálogo; no clonamos la voz de personas reales. Esta información queda disponible para su organización y para el facilitador del ejercicio. La IA también se usa para crear escenarios, evaluar respuestas y redactar informes (véase la Sección 3.1).

Su organización puede optar por enviar el registro de auditoría de Tremor a su propio sistema de monitoreo de seguridad (SIEM). Esa decisión y esa copia están bajo el control de su organización.

2.7 Sesiones de CyberKey

CyberKey funciona en una implementación dedicada para cada cliente, on-premises o en la nube, con su propia base de datos. Graba las sesiones privilegiadas (actividad de pantalla, comandos y eventos relacionados), los datos de las conexiones y los eventos de auditoría. Estas grabaciones y registros se almacenan en la implementación del cliente, en disco o en un bucket de almacenamiento elegido por él, y se conservan según la configuración del cliente.

3. Cómo usamos su información

Prestar y mantener nuestros Servicios
Procesar transacciones y enviar la información relacionada
Enviar información administrativa, actualizaciones y alertas de seguridad
Responder a solicitudes de atención al cliente
Mejorar los Servicios
Supervisar y analizar el uso y las tendencias
Detectar, prevenir y resolver problemas técnicos, fraudes y accesos no autorizados
Cumplir obligaciones legales

No usamos sus datos con fines publicitarios, ni usamos el contenido de los elementos de su bóveda, las respuestas a los ejercicios o las grabaciones de sesiones para entrenar modelos de IA.

3.1 Evaluación con IA y decisiones automatizadas (Tremor)

Tremor usa IA para sugerir puntuaciones y evaluaciones de las respuestas a los ejercicios y para redactar informes. Estos resultados son retroalimentación de capacitación: los revisa una persona (el facilitador o su organización) y, por sí solos, no producen efectos jurídicos sobre usted ni efectos igualmente significativos. Puede solicitar una revisión humana de cualquier puntuación o evaluación y expresar su punto de vista, según lo previsto en leyes como la LGPD (art. 20) y el GDPR (art. 22). Envíe su solicitud a su organización o a [email protected].

4. Base legal del tratamiento

Donde se aplican leyes de protección de datos como el GDPR (Espacio Económico Europeo) o la LGPD (Brasil), tratamos datos personales con base en:

Consentimiento: usted dio su consentimiento claro para el tratamiento
Contrato: el tratamiento es necesario para ejecutar un contrato
Obligación legal: el tratamiento lo exige la ley
Intereses legítimos: el tratamiento responde a nuestros intereses legítimos, como mantener los Servicios seguros

Cuando actuamos como encargado del tratamiento de una organización, la base legal la define esa organización.

5. Divulgación y comunicación de datos

5.1 Proveedores de servicios: proveedores externos que prestan servicios en nuestro nombre, bajo contrato y solo para ese fin. La lista actual figura en la Sección 11. En particular:

Proveedores de IA usados por Tremor: OpenAI realiza la transcripción de voz a texto y la voz sintética; Anthropic u OpenAI, según la configuración de la plataforma, generan la conversación del personaje, los escenarios, la evaluación y los informes. Antes de generar un informe con IA, los participantes se seudonimizan (por ejemplo, "Equipo 1" o "Legal 2") y se eliminan sus nombres. Nuestros contratos con estos proveedores no les permiten usar estos datos para entrenar sus modelos.
Have I Been Pwned, que se usa en las verificaciones de filtraciones de CyberVault: en el caso de las contraseñas, solo se envían los primeros caracteres de un hash de la contraseña (k-anonimato), nunca la contraseña; en la verificación de correo, se envía la dirección de correo que usted elija verificar.

5.2 Su organización: si usa los Servicios a través de una organización, sus administradores pueden ver información sobre su uso, según se describe en las Secciones 2 y 10, como registros de auditoría, respuestas a los ejercicios y grabaciones de sesiones.

5.3 Operaciones societarias: en caso de fusiones, adquisiciones o venta de activos

5.4 Requisitos legales: cuando lo exija la ley o para proteger nuestros derechos, bienes o seguridad

5.5 Con su consentimiento: cuando usted lo haya autorizado expresamente

NO vendemos sus datos personales a terceros.

6. Transferencias internacionales de datos

Cybervision Systems LLC tiene su sede en los Estados Unidos. Los datos de Tremor se almacenan en la región de alojamiento del país del cliente; una misma región puede atender a varios países de América Latina cuando el cliente lo acepta. Cuando se usan las funciones de IA, los datos necesarios para ellas se envían a nuestros proveedores de IA (Anthropic y OpenAI) en los Estados Unidos, lo que constituye una transferencia internacional. Algunos otros proveedores indicados en la Sección 11 también pueden tratar datos fuera de su país.

Realizamos estas transferencias con los mecanismos que exige cada ley aplicable, entre ellos:

Brasil (LGPD, art. 33): cláusulas contractuales tipo aprobadas por la Autoridad Nacional de Protección de Datos (ANPD) de Brasil
Espacio Económico Europeo (GDPR): las cláusulas contractuales tipo de la Comisión Europea
Canadá: conforme a la PIPEDA, protecciones contractuales que ofrecen un nivel de protección comparable; conforme a la Ley 25 de Quebec, una evaluación de impacto en la privacidad antes de comunicar los datos fuera de Quebec
Argentina, Colombia, Perú, Chile y México: contratos con los destinatarios que establecen las garantías exigidas por la ley de cada país y, cuando corresponda, el aviso o el consentimiento respectivo

Puede solicitar más información sobre estas garantías a [email protected].

7. Conservación de datos

Conservamos su información personal solo durante el tiempo necesario para los fines descritos en esta Política de Privacidad, salvo que la ley exija un plazo mayor.

Cuentas: los datos de la cuenta se conservan mientras la cuenta esté activa.
Registros de seguridad de CyberVault: los eventos de inicio de sesión se conservan durante 6 meses.
Ejercicios de Tremor: el contenido de los ejercicios, las respuestas individuales, las transcripciones de las llamadas, las notas del facilitador, las puntuaciones y el registro de auditoría se conservan durante 24 meses después de finalizado el ejercicio, de forma predeterminada, o durante el plazo que defina su organización (de 1 a 120 meses). Después, solo se conserva un informe sin nombres.
Audio de las llamadas de Tremor: no se graba ni se almacena.
Tokens de notificaciones push: se eliminan cuando cierra sesión en la aplicación o elimina su cuenta.
Fin del contrato de un cliente: cuando una organización cancela, sus datos se eliminan en un plazo de 30 días. Durante ese plazo, la organización puede exportar sus datos o retirar la cancelación.
CyberKey: las grabaciones y los registros se conservan según la configuración del cliente, en su propia implementación.

8. Sus derechos de privacidad

Según su ubicación, usted puede tener los siguientes derechos. Para ejercerlos, escríbanos a [email protected]. Si usa los Servicios a través de una organización, podemos remitir su solicitud a esa organización, que es la responsable del tratamiento, y ayudarla a responder.

8.1 Derechos generales

Acceso: solicitar copia de sus datos personales
Rectificación: solicitar la corrección de datos inexactos
Supresión: solicitar la eliminación de sus datos
Portabilidad: recibir sus datos en un formato estructurado
Oposición: oponerse al tratamiento de sus datos
Limitación: solicitar la limitación del tratamiento
Revisión humana de las decisiones tomadas únicamente por medios automatizados (véase la Sección 3.1)

8.2 Estados Unidos

Residentes de California (CCPA/CPRA): derecho a saber qué información personal se recopila, derecho a saber si la información personal se vende o se comparte, derecho a excluirse de la venta o el intercambio y derecho a la no discriminación. No vendemos ni compartimos información personal para publicidad comportamental entre contextos.
Los residentes de otros estados con leyes integrales de privacidad pueden tener derechos similares de acceso, rectificación, supresión y obtención de una copia de sus datos, así como a apelar nuestra decisión sobre una solicitud. Contáctenos para ejercerlos.

8.3 Espacio Económico Europeo (GDPR)

Derecho a presentar una reclamación ante una autoridad de control
Derecho a retirar el consentimiento en cualquier momento

8.4 Brasil (LGPD)

Derecho a la confirmación del tratamiento, al acceso, a la corrección, a la anonimización, a la portabilidad y a la eliminación de los datos
Derecho a la información sobre las entidades con las que se comparten los datos
Derecho a la revisión de las decisiones automatizadas (art. 20)
Derecho a presentar una reclamación ante la Autoridad Nacional de Protección de Datos (ANPD) de Brasil

8.5 Canadá (PIPEDA y Ley 25 de Quebec)

Derecho a acceder a su información personal y corregirla, y a retirar su consentimiento, con sujeción a las restricciones legales o contractuales
Derecho a presentar una queja ante la Oficina del Comisionado de Privacidad de Canadá (Office of the Privacy Commissioner of Canada, OPC)
En Quebec: derechos de acceso, rectificación, desindexación y portabilidad, derecho a ser informado de una decisión basada exclusivamente en un tratamiento automatizado y derecho a presentar una queja ante la Commission d'accès à l'information du Québec (CAI)

8.6 México (LFPDPPP)

Derechos ARCO: acceso, rectificación, cancelación y oposición, así como el derecho a revocar el consentimiento y a limitar el uso o la divulgación de sus datos
Derecho a presentar una queja ante la autoridad competente en materia de protección de datos

8.7 Colombia (Ley 1581 de 2012)

Derechos de habeas data: conocer, actualizar, rectificar y solicitar la supresión de sus datos, solicitar prueba de la autorización otorgada y revocar la autorización
Derecho a presentar una queja ante la Superintendencia de Industria y Comercio (SIC)

8.8 Chile (Ley 19.628 y Ley 21.719)

Derechos de acceso, rectificación, supresión y oposición y, a partir del 1 de diciembre de 2026, conforme a la Ley 21.719, portabilidad y bloqueo
A partir de esa fecha, derecho a presentar una reclamación ante la Agencia de Protección de Datos Personales

8.9 Argentina (Ley 25.326)

Derechos de acceso, rectificación, actualización y supresión
El titular de los datos personales tiene la facultad de ejercer el derecho de acceso a los mismos en forma gratuita a intervalos no inferiores a seis meses, salvo que se acredite un interés legítimo al efecto conforme lo establecido en el artículo 14, inciso 3 de la Ley Nº 25.326.
La AGENCIA DE ACCESO A LA INFORMACIÓN PÚBLICA, en su carácter de Órgano de Control de la Ley Nº 25.326, tiene la atribución de atender las denuncias y reclamos que interpongan quienes resulten afectados en sus derechos por incumplimiento de las normas vigentes en materia de protección de datos personales.

8.10 Perú (Ley 29733)

Derechos ARCO: acceso, rectificación, cancelación y oposición, conforme a la Ley 29733 y su reglamento (Decreto Supremo 016-2024-JUS)
Derecho a presentar una reclamación ante la Autoridad Nacional de Protección de Datos Personales (ANPD) del Perú

9. Eliminación de su cuenta

Puede eliminar su cuenta en cualquier momento, incluso sin la aplicación si lo prefiere:

Tremor: en la aplicación, vaya a Perfil → Eliminar cuenta; en el portal web, vaya a Mi cuenta → Eliminar cuenta.
CyberVault: en el panel web, vaya a Mi perfil → Eliminar cuenta y confirme con su contraseña maestra. Las extensiones de navegador y las aplicaciones tienen un enlace a esa página.
CyberKey: las cuentas las gestiona su organización; contacte a su administrador.
Por correo electrónico (todos los productos): escriba a [email protected] desde la dirección de correo registrada en su cuenta, con el asunto "Account Deletion Request". Le confirmaremos por correo cuando se complete.

La eliminación desde el panel web, el portal o la aplicación es inmediata y no puede deshacerse. Si es el único administrador o el propietario de una organización que todavía tiene otros miembros, primero debe transferir ese rol.

9.1 Qué se elimina

Tremor: en todas las organizaciones en las que confirmó la misma dirección de correo, su nombre, dirección de correo, contraseña, segundo factor, tokens de notificaciones push y los textos que escribió (respuestas y mensajes en la sala de crisis).
CyberVault: los elementos de su bóveda personal y su historial, sus membresías en organizaciones y grupos, las invitaciones pendientes, las sesiones y los tokens de recuperación. El registro de su cuenta se anonimiza: se eliminan su nombre, su dirección de correo, sus claves, la configuración de dos factores y la clave de recuperación.

9.2 Qué se conserva

Tremor: las puntuaciones, las elecciones y los registros de auditoría se conservan sin su nombre, como parte de los registros de ejercicios de su organización, hasta el final del plazo de conservación indicado en la Sección 7.
CyberVault: los elementos que pertenecen a una organización permanecen en esa organización. Los registros de auditoría de seguridad de los inicios de sesión se conservan durante 6 meses y luego se eliminan. Estos metadatos nunca incluyen el contenido descifrado de los elementos de su bóveda, al que no tenemos ninguna capacidad técnica de acceder.

10. Seguridad de los datos

Aplicamos medidas de seguridad técnicas y organizativas adecuadas para proteger sus datos, entre ellas:

Cifrado de los datos en tránsito y en reposo
Evaluaciones de seguridad periódicas
Controles de acceso y autenticación, incluida la autenticación multifactor
Registros de auditoría de los eventos relevantes para la seguridad
Acceso del soporte al contenido de los ejercicios de Tremor solo con la autorización del administrador de su organización, por un tiempo limitado y con constancia en el registro de auditoría

Aun así, ningún método de transmisión por internet es 100 % seguro.

10.1 CyberVault: conocimiento cero y cifrado de extremo a extremo

El gestor de contraseñas CyberVault está diseñado con una arquitectura de conocimiento cero. Las contraseñas y los secretos de autenticación de dos factores guardados en su bóveda se cifran y descifran exclusivamente en su propio dispositivo, con AES-256-GCM y una clave única para cada elemento, protegida por una clave derivada de su contraseña maestra. Su contraseña maestra nunca sale de su dispositivo y nunca se transmite a nuestros servidores ni se almacena en ellos. Solo almacenamos el texto cifrado resultante y no tenemos ninguna capacidad técnica de leer ni descifrar sus contraseñas o secretos de 2FA.

Para permitir la búsqueda, el autocompletado y las verificaciones de filtraciones, el nombre de cada elemento, la dirección del sitio y el nombre de usuario se almacenan en nuestros servidores sin cifrado de extremo a extremo. Están protegidos por cifrado en tránsito y en reposo y por nuestros controles de acceso, pero no forman parte del cifrado de conocimiento cero descrito arriba.

Al crear la cuenta se genera una clave de recuperación. Es la única forma de recuperar el acceso si olvida su contraseña maestra. Si pierde la contraseña maestra y la clave de recuperación, los elementos cifrados de su bóveda no podrán recuperarse, ni por usted ni por nosotros.

10.2 Registros de auditoría (CyberVault)

Para ayudarle a usted y a los administradores de su organización a detectar accesos no autorizados, CyberVault mantiene un registro de auditoría de seguridad de los eventos de inicio de sesión y de visualización de elementos (el registro de que se accedió a un elemento, identificado por su ID, hora, dirección IP, ubicación aproximada y tipo de dispositivo, no por su contenido descifrado). Estos metadatos se conservan con fines de seguridad y cumplimiento y nunca se usan para reconstruir el contenido cifrado de los elementos de su bóveda.

11. Subencargados del tratamiento

Estos son los proveedores que tratan datos personales en nuestro nombre. Actualizamos esta lista cada vez que cambia.

Alojamiento: nuestros propios servidores, en la región de alojamiento del país del cliente (Tremor), y proveedores de infraestructura para los demás Servicios
Envío de correos electrónicos: Microsoft 365 (Microsoft Corporation)
Notificaciones push: Google Firebase Cloud Messaging (Google LLC) y Apple Push Notification service (Apple Inc.)
Inteligencia artificial (Tremor): Anthropic, PBC y OpenAI, L.L.C., Estados Unidos (véase la Sección 5.1)
Procesamiento de pagos: procesadores de pago de los planes de pago contratados directamente con nosotros

12. Privacidad de los menores

Nuestros Servicios están dirigidos a adultos y empresas y no a menores de 18 años. No recopilamos de forma intencionada información personal de menores. Si cree que hemos recopilado información de un menor, contáctenos de inmediato.

13. Cambios en esta Política

Podemos actualizar esta Política de Privacidad. Cuando realicemos cambios importantes, actualizaremos la fecha al inicio y se lo notificaremos a través de los Servicios o por correo electrónico. La fecha al inicio es la fecha en que entró en vigor la versión actual.

14 de octubre de 2026: descripción de Tremor, datos y conservación en Tremor, transferencias internacionales, identificación de los proveedores de IA, subencargados del tratamiento, decisiones automatizadas, derechos por país, Delegado de Protección de Datos y una sección pública sobre la eliminación de la cuenta.
20 de enero de 2026: primera versión.

14. Delegado de Protección de Datos

Nuestro Delegado de Protección de Datos es también nuestro Encarregado (persona designada como canal de comunicación con los titulares y con la ANPD) conforme a la LGPD de Brasil y la persona responsable de la protección de la información personal conforme a la Ley 25 de Quebec. Puede contactarlo en [email protected].

15. Contáctenos

Para preguntas, inquietudes o para ejercer sus derechos de privacidad, contáctenos:
Cybervision Systems LLC
2122 NW 158th Ln
Pembroke Pines, Florida 33028
Estados Unidos
Correo electrónico: [email protected]
Teléfono: +1 (754) 337-5155