Aviso de privacidad integral

CINABA Platform, marca operada por CINABA I&D (en lo sucesivo, “CINABA”), con domicilio en Ciudad de México, México, es el responsable del tratamiento de tus datos personales.

Domicilio fiscal completo: [pendiente de publicación post-alta SAT]. RFC: [RFC pendiente de alta SAT].

CINABA recaba los datos mínimos necesarios para prestar el servicio de análisis de postura de infraestructura de red y seguridad:

• Datos de identificación y contacto: nombre, correo electrónico y, cuando aplique, organización —todos obtenidos a través del proveedor de autenticación Clerk.
• Datos de telemetría de infraestructura: hostname, vendor, versión de firmware y metadatos técnicos de dispositivos (F5, Palo Alto, Infoblox, Algosec, Extreme Networks) que tú o tu organización registran en la plataforma.
• Bundles de soporte: archivos de diagnóstico (.qkview, .tar.gz, etc.) que cargas para análisis. El contenido se procesa con fines exclusivamente técnicos y se conserva el tiempo estrictamente necesario para completar el análisis.
• Datos de uso y diagnóstico: registros técnicos (logs) con IP, user-agent, identificador de sesión y timestamps, empleados para operación y seguridad.

No recabamos datos personales sensibles según la definición de la LFPDPPP.

Tratamos tus datos para las siguientes finalidades primarias, necesarias para la relación jurídica con CINABA:

• Prestación del servicio de análisis (CII Score™, hallazgos, recomendaciones).
• Emisión de alertas de vulnerabilidades (CVE) y vulnerabilidades activamente explotadas (CISA KEV) sobre dispositivos que tú registras.
• Análisis técnico de bundles de soporte que cargas.
• Autenticación, control de acceso y trazabilidad de tenant.
• Seguridad de la plataforma y cumplimiento regulatorio.

Finalidades secundarias (opcionales): mejora del producto, comunicación sobre nuevas funcionalidades. Puedes oponerte a estas finalidades escribiendo a [email protected].

CINABA transfiere datos personales a los siguientes encargados para operar el servicio. Cada uno se rige por sus propios términos y firma con CINABA acuerdos de tratamiento (DPA/SCC) que replican el nivel de protección descrito en este aviso:

• Clerk (autenticación y gestión de identidad) — base legal: ejecución del contrato. Transferencia internacional (EE. UU.).
• Cloudflare R2 (almacenamiento temporal de bundles) — base legal: ejecución del contrato. Transferencia internacional.
• Railway PostgreSQL (base de datos operativa) — base legal: ejecución del contrato. Transferencia internacional.
• Resend (correo transaccional de alertas y notificaciones) — base legal: ejecución del contrato e interés legítimo en seguridad. Transferencia internacional.

No vendemos ni cedemos tus datos a terceros con fines comerciales. Las transferencias a autoridades competentes solo ocurren cuando exista mandamiento debidamente fundado y motivado (artículo 37 LFPDPPP).

Tienes derecho a acceder, rectificar, cancelar u oponerte al tratamiento de tus datos personales (derechos ARCO), así como a revocar el consentimiento que hayas otorgado y limitar el uso o divulgación de tus datos.

Para ejercer cualquiera de estos derechos envía una solicitud a [email protected] incluyendo:

• Nombre completo y correo electrónico de contacto.
• Identificación oficial vigente (copia legible).
• Descripción clara y precisa de los datos y derecho que deseas ejercer.

CINABA dará respuesta en un plazo no mayor a 20 días hábiles conforme al artículo 32 de la LFPDPPP. Si consideras que tus derechos han sido vulnerados puedes acudir al INAI.

CINABA implementa medidas administrativas, técnicas y físicas razonables y congruentes con los estándares de la industria para proteger tus datos frente a daño, pérdida, alteración, destrucción o uso no autorizado:

• Cifrado en tránsito con TLS 1.3.
• Hashing determinístico de identificadores técnicos (números de serie, MACs) antes de persistirlos; los valores en claro no salen de la memoria del analizador.
• Aislamiento estricto por tenant a nivel de base de datos (tenant_id en cada registro) y a nivel de objeto en almacenamiento.
• Control de acceso basado en roles (RBAC) y autenticación multifactor disponible vía Clerk.
• Auditoría mediante registros estructurados, análisis estático de seguridad (Bandit, Semgrep) y escaneo de dependencias (pip-audit) en el pipeline CI.

Los datos de cuenta se conservan mientras exista la relación con CINABA y los plazos que imponga la normativa aplicable. Los bundles de soporte se procesan y eliminan cuando el análisis concluye; los resultados derivados (hallazgos, CII Score) se conservan asociados a tu tenant hasta que solicites la cancelación.

CINABA puede actualizar este aviso en cualquier momento. La fecha al inicio del documento refleja la última actualización vigente. Publicaremos los cambios en app.cinaba.io/legal/privacidad y, cuando los cambios sean sustanciales, notificaremos por correo al administrador del tenant.

Preguntas sobre este aviso o sobre el tratamiento de tus datos: [email protected].