Política de privacidad

Quiénes somos

Vonvon es una plataforma de identidad operada por Dupuu («nosotros»). Esta política explica cómo se tratan los datos personales cuando visitas vonvon.id o cuando inicias sesión, creas o gestionas una cuenta a través de una página de inicio de sesión de Vonvon.

Vonvon también lo usan organizaciones y aplicaciones para que sus propios usuarios inicien sesión. Cuando inicias sesión en una aplicación u organización que usa Vonvon, esa organización decide por qué y cómo se usan tus datos, y nosotros los tratamos por su cuenta. Lee también la política de privacidad de esa organización.

Información que recopilamos

Según cómo uses Vonvon, tratamos las siguientes categorías de información.

• Datos de la cuenta: direcciones de correo, un número de teléfono si lo añades, nombre de usuario, nombre, nombre visible, dirección de la foto de perfil, idioma y zona horaria, y tus pertenencias a organizaciones y roles.
• Credenciales: un hash Argon2id con sal de tu contraseña (nunca la contraseña en sí), la parte pública de tus llaves de acceso (la clave privada nunca sale de tu dispositivo), secretos cifrados de apps de autenticación y códigos de respaldo, códigos de un solo uso y enlaces de inicio de sesión almacenados como hash.
• Cuentas vinculadas: si eliges iniciar sesión con un proveedor social como Google o Apple, recibimos los datos de perfil que ese proveedor nos facilita, como un identificador, correo, nombre e imagen. Los tokens del proveedor se almacenan cifrados.
• Sesiones y dispositivos: en cada inicio de sesión guardamos tu dirección IP, el agente de usuario del navegador, el nombre del dispositivo, una etiqueta de ubicación aproximada, los métodos de acceso usados y las marcas de tiempo, para que puedas revisar y cerrar tus sesiones.
• Registros de seguridad: un registro de auditoría de solo adición con eventos relevantes para la seguridad, como inicios de sesión, cambios de contraseña y de factores y acciones administrativas, con la cuenta que actúa, el objetivo, la hora y la dirección IP.
• Registros de consentimiento: cuando una organización te pide aceptar condiciones o preferencias de marketing, la elección, su hora y la dirección IP de origen.
• Mensajes: los correos, SMS o mensajes de WhatsApp que enviamos para entregar códigos, enlaces e invitaciones.
• Datos de prevención de abuso: contadores asociados a direcciones IP y cuentas para limitar la frecuencia, y el resultado de las comprobaciones de Cloudflare Turnstile en los formularios de acceso.
• Datos de uso de las páginas alojadas de acceso y cuenta: información de páginas y eventos, características del navegador y del dispositivo y una ubicación aproximada derivada de tu IP, recopilados con Google Analytics.
• Registros técnicos: registros operativos de corta duración de nuestros Cloudflare Workers. No incluimos credenciales, cookies ni cuerpos de solicitud en ellos.

El sitio público de Vonvon en vonvon.id (la página de inicio y esta política) no establece cookies ni usa rastreadores de analítica o publicidad. Cloudflare sigue tratando tu dirección IP para entregar las páginas.

Cookies y tecnologías similares

Las páginas alojadas de acceso y cuenta usan cookies propias estrictamente necesarias para mantener tu sesión y completar un inicio de sesión de varios pasos. Sus nombres empiezan por __Host-vonvon y otros sitios no pueden leerlas. Tus preferencias de idioma y visualización se guardan en el almacenamiento local de tu navegador.

Esas páginas también cargan Google Analytics, que puede establecer sus propias cookies para medir el uso, y Cloudflare Turnstile, que puede usar el almacenamiento del navegador para distinguir personas de bots. Puedes bloquearlos o eliminarlos en la configuración de tu navegador.

Cómo y por qué usamos la información

• Para ofrecer el inicio de sesión, la gestión de cuentas y el control de acceso (ejecución de un contrato o nuestro interés legítimo en operar el servicio por cuenta de la organización en la que inicias sesión).
• Para proteger las cuentas y el servicio frente a fraude, abuso y ataques, incluida la limitación de frecuencia y las comprobaciones de filtraciones (intereses legítimos).
• Para enviar mensajes del servicio como códigos de verificación, enlaces de acceso e invitaciones (contrato, intereses legítimos).
• Para medir y mejorar las páginas alojadas (intereses legítimos o consentimiento cuando la ley lo exija).
• Para cumplir obligaciones legales y formular, ejercer o defender reclamaciones (obligación legal, intereses legítimos).

Cuando nos basamos en el consentimiento, puedes retirarlo en cualquier momento sin afectar al tratamiento anterior. No vendemos datos personales ni los usamos para publicidad.

Comunicación y proveedores de servicios

Solo compartimos datos personales en la medida necesaria para operar Vonvon.

• La organización o aplicación en la que inicias sesión, cuyos administradores pueden ver los datos de cuenta, pertenencias, sesiones y eventos de auditoría de sus miembros.
• Cloudflare, que aloja y entrega Vonvon y proporciona Workers, almacenamiento, colas, envío de correo, protección contra bots y seguridad de red.
• Un proveedor de base de datos PostgreSQL gestionada que almacena los datos de cuenta y configuración.
• Google, para la analítica de las páginas alojadas y para el acceso si eliges Google, y Apple si eliges iniciar sesión con Apple.
• Proveedores de envío de SMS y WhatsApp, como Twilio o Vonage, solo cuando una organización activa los códigos por teléfono.
• Have I Been Pwned, que recibe solo los cinco primeros caracteres del hash SHA-1 de una contraseña para compararla con filtraciones conocidas.
• Un servicio de monitorización de errores, que recibe informes técnicos sin cuerpos de solicitud, cookies ni datos de usuario.

También podemos divulgar información cuando la ley lo exija o para proteger derechos, seguridad y protección.

Transferencias internacionales

Vonvon se ejecuta en la red global de Cloudflare, por lo que tu información puede tratarse en países distintos del tuyo. Cuando la ley lo exige, para las transferencias fuera del Espacio Económico Europeo, el Reino Unido o Suiza nos apoyamos en garantías reconocidas legalmente, como las cláusulas contractuales tipo o una decisión de adecuación.

Conservación

• Los datos de la cuenta se conservan mientras tu cuenta esté activa.
• Los registros de sesión se eliminan cuando la sesión termina o caduca. Los códigos de un solo uso y los enlaces de acceso caducan en minutos y los caducados se limpian automáticamente.
• Los archivos de exportación de privacidad están disponibles durante 48 horas y después se eliminan.
• Cuando se completa tu solicitud de eliminación, borramos tus credenciales, datos de perfil, pertenencias y vínculos de identidad, y solo conservamos un registro mínimo de marcador de la cuenta.
• El registro de auditoría es de solo adición para poder detectar manipulaciones. Sus entradas no se reescriben ni se eliminan cuando se borra una cuenta; pueden conservar un identificador de cuenta seudonimizado y una dirección IP, y la cuenta borrada se muestra como eliminada.
• Los registros operativos se conservan durante un periodo corto, de unos pocos días.

Tus derechos

Según dónde vivas, puedes tener derecho a acceder, rectificar, suprimir y portar tus datos personales, a limitar su tratamiento u oponerte a él, a retirar tu consentimiento y a presentar una reclamación ante tu autoridad de protección de datos.

Los usuarios con sesión iniciada pueden usar las páginas de cuenta para revisar sus sesiones, descargar una copia de sus datos (exportación de privacidad) y solicitar la eliminación. Una solicitud de eliminación espera 30 días, durante los cuales puedes cancelarla, y después se ejecuta automáticamente. Se rechaza la eliminación si dejaría a una organización sin propietario o a una instancia de Vonvon sin gestor; transfiere antes ese rol.

Si usas Vonvon a través de una organización o aplicación, dirige también tus solicitudes a esa organización, porque es ella quien decide cómo se usan tus datos. También puedes escribirnos a hello@dupuu.com y responderemos en el plazo que exija la ley.

Seguridad

Las contraseñas se almacenan con hash Argon2id y un secreto del servidor, las claves de firma y cifrado se guardan cifradas, el tráfico se protege con TLS y los datos de cada inquilino se aíslan en la capa de aplicación. Ningún sistema es perfectamente seguro; si una brecha afecta a tus datos personales, te lo notificaremos a ti y a las autoridades como exige la ley.

Menores

Vonvon no está dirigido a menores de 16 años y no recopilamos a sabiendas sus datos personales. Si crees que un menor nos ha facilitado datos personales, contáctanos y los eliminaremos.

Cambios en esta política

Podemos actualizar esta política. La fecha de entrada en vigor indicada arriba señala la última versión y haremos visibles en esta página los cambios importantes.

Contacto

Dupuu opera Vonvon. Para preguntas o solicitudes sobre privacidad, escribe a hello@dupuu.com.