Política de privacidad

Qué datos personales recopila Node Lodge, para qué, adónde van, cuánto tiempo se conservan y sus derechos (Ley 25 de Quebec, RGPD, UK GDPR, leyes de EE. UU.).

Esta versión en español es una traducción de cortesía. Solo las versiones en inglés y en francés son vinculantes. En caso de discrepancia prevalece la versión en inglés y, para los clientes de Québec, la versión en francés.

1. Quiénes somos

1.1. Node Lodge (https://nodelodge.com) es operado por Vision Digitale TI Inc. («VDTI», «nosotros»), una sociedad constituida conforme a las leyes de Quebec, Canadá.

1.2. Esta política explica cómo tratamos la información personal cuando usted visita nuestro sitio web, solicita acceso, se suscribe a las novedades del producto, utiliza la consola, la API o nuestras herramientas para desarrolladores, compra Crédito, contacta con Soporte, denuncia un abuso o aloja una máquina en Community.

1.3. Persona responsable de la protección de la información personal. Conforme a la Ley sobre la protección de la información personal en el sector privado de Quebec («Ley 25»), la persona responsable de la protección de la información personal en VDTI es su Presidente. Contacto: privacy@nodelodge.com.

2. Nuestro papel

2.1. Responsable del tratamiento. Decidimos por qué y cómo tratamos la información descrita en la sección 3. Respecto de ella, somos la empresa responsable conforme al derecho de Quebec y de Canadá, y el responsable del tratamiento conforme al RGPD y al RGPD del Reino Unido.

2.2. Encargado del tratamiento. Los datos, el código, los modelos y los archivos que usted coloca en una Máquina («Contenido del Cliente») le pertenecen. Los tratamos únicamente para ejecutar sus Sesiones, siguiendo sus instrucciones, en calidad de encargado del tratamiento o de proveedor de servicios. Nuestro Anexo de tratamiento de datos rige ese tratamiento. No abrimos, leemos ni analizamos el Contenido del Cliente.

3. Información que recopilamos

3.1. Información que usted nos proporciona

Contexto	Información
Solicitud de acceso	Dirección de correo electrónico, empresa, cargo y caso de uso que usted describe
Cuenta	Dirección de correo electrónico, nombre visible, contraseña (almacenada únicamente como hash), versión y fecha de aceptación de los Términos
Organización	Nombre, miembros y sus roles
Autenticación de dos factores	Secreto del autenticador (almacenado cifrado) y códigos de recuperación (almacenados únicamente como hashes)
Claves SSH	Claves públicas que usted guarda, sus nombres y la dirección o el rango de direcciones IP que usted autoriza para una Sesión Secure
Claves de API	Nombre de la clave, ámbitos, vencimiento y los límites de gasto y de concurrencia que usted fija
Pagos	Nombre y dirección de facturación, número fiscal de la empresa si lo proporciona; marca de la tarjeta, últimos cuatro dígitos y fecha de vencimiento. Los números de tarjeta los recopila nuestro procesador de pagos, nunca nosotros
Soporte	Sus solicitudes, mensajes, archivos adjuntos y valoraciones de satisfacción
Denuncias de abuso	Su dirección de correo electrónico, el objetivo denunciado, la descripción y las pruebas que aporta
Anfitrión	Nombre de la máquina, oferta (tarifa, país declarado), calendario de pagos. La verificación de identidad para los pagos la realiza nuestro procesador de pagos (sección 6.3)
Novedades del producto	Dirección de correo electrónico, el texto de consentimiento que usted aceptó, y las fechas y la dirección IP truncada (primeros 24 bits en IPv4, primeros 48 bits en IPv6) de su solicitud, su confirmación y su retirada

Smart Launch y la calculadora de GPU calculan en su navegador o responden a su solicitud sin almacenar lo que usted introduce.

3.2. Información generada cuando usted utiliza el Servicio

Contexto	Información
Inicio de sesión	Token de sesión (almacenado únicamente como hash), sus fechas y el momento en que se confirmó por última vez un código de dos factores
Seguridad de la cuenta	Enlaces de un solo uso enviados por correo electrónico (almacenados únicamente como hashes); contadores de intentos fallidos indexados por un hash unidireccional
Sesiones	Máquina, nivel, país, entorno, Presupuesto, horas de inicio y de fin, tarifa, cargos, motivo de finalización, la Cuenta o la clave de API que la lanzó y las licencias que usted aceptó para un modelo
Crédito y pagos	Asientos del libro de cuentas, pagos, impuestos, fallos, reembolsos y disputas, configuración de recarga automática y si la Cuenta está bloqueada
Límites de la cuenta	El nivel de su cuenta y los hechos a partir de los cuales se calcula (antigüedad de la Organización, pagos realizados con éxito, disputas)
Registro de actividad	Acciones relevantes para la seguridad sobre cuentas, sesiones, pagos y administración: quién, qué, cuándo, identificador de la solicitud, clave de API utilizada y algunos detalles
Agente del anfitrión	La clave pública de la máquina, la versión del agente, señales de actividad cada 30 segundos, inventario de hardware (sistema, CPU, memoria, modelo de GPU, memoria y controlador, un hash del identificador de cada GPU, almacenamiento), resultados de la prueba de velocidad semanal y la dirección IP de las solicitudes del agente. El agente no recopila ningún nombre de host, nombre de usuario, número de serie ni archivo
Ganancias del anfitrión	Ganancias, retenciones, reversiones y pagos
Registros de red de Community	Para cada Sesión Community: hora, protocolo, dirección y puerto de destino y volumen de las conexiones que abre fuera del relé. Ningún contenido
Registros del relé	Identificador de la Sesión y direcciones de red de las conexiones que pasan por el relé de Sesiones
Registros del servidor	Dirección IP, fecha, método y ruta de cada solicitud, estado, duración y un identificador de la solicitud. Se eliminan los valores de consulta, las contraseñas, las cookies, las cabeceras de autorización y las firmas
Informes de errores	El error, dónde se produjo, la dirección de la página sin su cadena de consulta, el tipo de navegador y de sistema y la versión del software. Se eliminan las cookies, las cabeceras y los cuerpos de las solicitudes

3.3. Lo que no hacemos

No utilizamos rastreadores publicitarios ni de analítica, no compramos datos sobre usted, no vendemos información personal y no la compartimos para publicidad comportamental entre contextos.

4. Para qué la utilizamos

Finalidad	Información	Base jurídica (RGPD, RGPD del Reino Unido)
Responder a las solicitudes de acceso y enviar invitaciones	Solicitud de acceso	Medidas precontractuales adoptadas a petición suya; interés legítimo
Crear y gestionar su Cuenta y su Organización	Cuenta, organización, dos factores	Contrato
Ejecutar las Sesiones: crearlas, conectarlas, medirlas, detenerlas y eliminarlas	Sesiones, claves SSH, rango IP	Contrato
Vender Crédito, reservar y cobrar Presupuestos, calcular impuestos, emitir recibos, llevar la contabilidad	Pagos, libro de cuentas, sesiones	Contrato; obligación legal
Fijar los límites de la cuenta, prevenir el fraude y gestionar las disputas	Límites, pagos, registro de actividad	Interés legítimo en proteger el Servicio y a sus usuarios; obligación legal
Revisar, listar y pagar a los Anfitriones	Agente del anfitrión, ofertas, ganancias	Contrato con el Anfitrión; obligación legal (fiscal)
Proteger el Servicio y responder a las denuncias de abuso	Inicio de sesión, seguridad, registro de actividad, registros, registros de red, denuncias	Interés legítimo; obligación legal
Responder a las solicitudes de Soporte	Soporte	Contrato; interés legítimo
Corregir errores y mantener la fiabilidad del Servicio	Informes de errores, registros	Interés legítimo
Enviar correos electrónicos del servicio y notificaciones de la consola	Dirección de correo electrónico, notificaciones	Contrato
Enviar novedades del producto	Novedades del producto	Consentimiento
Cumplir la ley y las solicitudes legítimas	Según sea necesario	Obligación legal

Utilizamos su información únicamente para estas finalidades o para finalidades compatibles que la ley permita. Para cualquier otra finalidad, le pedimos antes su consentimiento.

5. Correos electrónicos y notificaciones

5.1. Los correos electrónicos del servicio se refieren al dinero, a la seguridad y a acciones que solo usted puede realizar: confirmaciones, restablecimientos de contraseña, recibos, avisos de pago y de disputa, alertas de presupuesto y de sesión, alertas de seguridad y avisos sobre estos documentos. Los demás avisos permanecen en la consola. Usted elige los correos electrónicos opcionales en su configuración de notificaciones.

5.2. Las novedades del producto se envían únicamente a las personas que las solicitaron en nuestro sitio web y lo confirmaron haciendo clic en el enlace de un correo electrónico de confirmación. Cada envío incluye un enlace de baja con un solo clic e identifica a VDTI, como exige la Ley antispam de Canadá. Atendemos una retirada de inmediato y, a más tardar, en un plazo de 10 días hábiles.

6. Con quién la compartimos

6.1. Proveedores de servicios. Nuestros subencargados del tratamiento alojan la plataforma, almacenan las copias de seguridad y los archivos adjuntos de Soporte, entregan los correos electrónicos, procesan los pagos y reciben los informes de errores. Figuran por categoría y país en nuestra página de Subencargados del tratamiento. Tratan la información únicamente siguiendo nuestras instrucciones, en virtud de contratos escritos que la protegen.

6.2. Socios de infraestructura y Anfitriones. Para ejecutar una Sesión, el socio Secure o el Anfitrión Community recibe lo que la Máquina necesita: su configuración y, en Secure, su clave pública SSH y el rango IP autorizado. Ninguno de ellos recibe su nombre ni su dirección de correo electrónico. El Contenido del Cliente se encuentra en su hardware mientras dura la Sesión.

6.3. Procesador de pagos. Nuestro procesador de pagos gestiona los pagos con tarjeta, el cálculo de impuestos, los recibos y los pagos a los Anfitriones, y verifica la identidad de los Anfitriones. También utiliza los datos de pago y de identidad como responsable del tratamiento independiente, para la prevención del fraude y el cumplimiento de sus obligaciones legales, conforme a su propia política de privacidad.

6.4. Su Organización. Los propietarios y administradores de su Organización ven sus miembros, Sesiones, Crédito, pagos y registro de actividad. Los Anfitriones ven las Sesiones en sus máquinas sin la identidad del arrendatario.

6.5. Nuestro personal. El personal autorizado de VDTI accede a los registros para operar, dar soporte y proteger el Servicio, con autenticación de dos factores, y sus cambios quedan anotados en el registro de actividad.

6.6. Requisitos legales. Comunicamos información cuando la ley lo exige, en respuesta a una orden válida de una autoridad competente, o para proteger los derechos, los bienes o la seguridad de los usuarios, los socios, los Anfitriones o el público. Cuando la ley lo permite, se lo comunicamos a usted previamente.

6.7. Transmisiones de empresa. En caso de fusión, adquisición o venta de activos, la información puede transmitirse a la otra parte en virtud de un acuerdo que limite su uso a las finalidades de esta política.

7. Dónde se almacena la información

7.1. Nuestra plataforma y nuestra base de datos funcionan en servidores situados en Canadá.

7.2. Parte de la información se trata fuera de Quebec y fuera de Canadá, en los países que figuran en nuestra página de Subencargados del tratamiento, entre ellos los Estados Unidos y la Unión Europea. El Contenido del Cliente se trata en el país de la Máquina que usted elige, indicado antes del lanzamiento.

7.3. Quebec. Antes de comunicar información personal fuera de Quebec, realizamos una evaluación de impacto relativa a la privacidad y solo la comunicamos si la información va a recibir una protección adecuada, en virtud de un acuerdo escrito.

7.4. RGPD y RGPD del Reino Unido. Las transferencias a Canadá se basan en la decisión de adecuación de la Comisión Europea relativa a Canadá y en la normativa correspondiente del Reino Unido. Las demás transferencias se basan en una decisión de adecuación o en las cláusulas contractuales tipo de la Comisión Europea y el addendum del Reino Unido. Puede solicitar una copia de las garantías a privacy@nodelodge.com.

7.5. La información almacenada en otro país puede ser accesible para sus autoridades conforme a sus leyes.

8. Cuánto tiempo la conservamos

Información	Conservación
Contenido del Cliente en una Máquina	Se elimina con la Máquina al final de la Sesión
Solicitud de acceso que no da lugar a una cuenta	12 meses
Cuenta y Organización	Mientras la Cuenta esté abierta; después, se elimina o se desidentifica en un plazo de 30 días tras el cierre
Registros de inicio de sesión	Hasta su vencimiento, como máximo 7 días
Enlaces de un solo uso enviados por correo electrónico	30 días después de su vencimiento o uso
Clave SSH, rango IP y dirección de la máquina de una Sesión	12 meses después de la Sesión
Libro de cuentas, pagos, recibos y Sesiones facturadas	Mientras la Cuenta esté abierta; después, 6 años a partir del final del ejercicio fiscal en que se cierre (fiscalidad y contabilidad)
Ganancias y pagos del anfitrión	Mientras la Cuenta esté abierta; después, 6 años a partir del final del ejercicio fiscal en que se cierre (fiscalidad y contabilidad)
Registro de actividad	6 años para las acciones relativas al dinero, 2 años para las demás
Solicitudes de Soporte y archivos adjuntos	3 años después del cierre de la solicitud
Denuncias de abuso	3 años después del cierre, o más mientras lo exija una reclamación judicial o una investigación
Registros de red de Community	90 días
Registros del servidor y del relé	30 días
Informes de errores	90 días
Copias de seguridad de la base de datos	Hasta 30 días
Novedades del producto	Mientras dure la suscripción; después, 3 años tras la retirada, transcurridos los cuales la dirección de correo electrónico se sustituye por una huella con clave
Notificaciones de la consola	180 días

Las leyes fiscales de Canadá y de Quebec nos obligan a conservar los registros contables durante 6 años a partir del final del último ejercicio fiscal al que se refieren.

Cuando se cierra una Cuenta, lo que la ley nos obliga a conservar se conserva únicamente para ese fin, vinculado a un identificador aleatorio en lugar de a su nombre y su dirección de correo electrónico. Al término de su plazo de conservación, la información se elimina o se anonimiza.

9. Seguridad

9.1. Protegemos la información con medidas adecuadas a su sensibilidad, entre ellas: cifrado en tránsito; contraseñas convertidas en hash con argon2id; tokens, enlaces y claves de API almacenados únicamente como hashes; autenticación de dos factores obligatoria para nuestros administradores; una cookie de sesión que los scripts no pueden leer; una base de datos no expuesta a internet; administración de los servidores únicamente a través de una red privada; un registro de actividad y un libro de cuentas de solo anexión; y copias de seguridad diarias.

9.2. Ningún sistema es perfectamente seguro. Comunique cualquier vulnerabilidad a security@nodelodge.com.

10. Sus derechos

10.1. Todas las personas. Dondequiera que viva, usted puede: pedirnos que confirmemos si tenemos información personal sobre usted y que le demos acceso a ella; pedirnos que rectifiquemos la información inexacta, incompleta o ambigua; pedirnos que eliminemos la información que ya no necesitamos y que cerremos su Cuenta; retirar un consentimiento, con efectos para el futuro.

10.2. Quebec. Usted tiene además derecho a: recibir la información informatizada que haya proporcionado en un formato tecnológico estructurado y de uso común, y a que se transmita a la persona que usted elija; pedirnos que dejemos de difundir su información o que desindexemos un enlace asociado a su nombre cuando se cumplan las condiciones de la ley; ser informado de una decisión basada exclusivamente en un tratamiento automatizado; y presentar una reclamación ante la Commission d’accès à l’information du Québec.

10.3. Canadá. Puede presentar una reclamación ante la Oficina del Comisionado de Privacidad de Canadá.

10.4. Unión Europea, Reino Unido y Suiza. Usted tiene además derecho a la limitación del tratamiento, a oponerse al tratamiento basado en nuestros intereses legítimos y a la portabilidad de los datos, así como a presentar una reclamación ante su autoridad de control (en el Reino Unido, la Information Commissioner’s Office; en Suiza, el Comisionado Federal de Protección de Datos e Información).

10.5. California y otros estados de EE. UU. Cuando nos sea aplicable una ley estatal de privacidad de EE. UU., los residentes de ese estado pueden tener derecho a conocer, acceder, rectificar y eliminar su información personal y a recibirla en un formato portable, así como a recurrir nuestra decisión sobre su solicitud respondiendo a ella. No vendemos ni compartimos información personal para publicidad comportamental entre contextos, y no utilizamos información personal sensible para inferir características sobre usted. No le daremos un trato diferente por ejercer sus derechos. Un agente autorizado puede presentar una solicitud en su nombre con prueba de la autorización.

10.6. Global Privacy Control. Atendemos las señales Global Privacy Control como una solicitud de exclusión de la venta y del intercambio. Dado que no realizamos ninguna de las dos cosas, la señal no cambia nada en nuestro Servicio.

10.7. Cómo presentar una solicitud. El propietario de una Organización puede cerrar la Cuenta desde la configuración de la consola. Para cualquier otra solicitud, escriba a privacy@nodelodge.com. Verificamos su identidad antes de actuar, normalmente pidiéndole que escriba desde la dirección de correo electrónico de su Cuenta. Respondemos en un plazo de 30 días, y el acceso y la rectificación son gratuitos. Si la ley que le es aplicable concede más tiempo y lo necesitamos, le indicamos el motivo dentro de esos 30 días.

11. Decisiones automatizadas

11.1. No tomamos ninguna decisión basada exclusivamente en un tratamiento automatizado que produzca efectos jurídicos para usted o le afecte de forma igualmente significativa.

11.2. Algunos controles se ejecutan automáticamente, y puede pedir a privacy@nodelodge.com que se los explique y que una persona revise una decisión: rechazo de un lanzamiento que supera su Crédito, sus Límites o los límites de su clave de API; detención de una Sesión al alcanzar su Presupuesto; niveles de cuenta elevados en función de la antigüedad y de los pagos, y rebajados al primer nivel tras una disputa de pago; bloqueo de una Cuenta tras un pago reembolsado o disputado; bloqueo temporal del inicio de sesión tras fallos repetidos.

12. Cookies

Utilizamos una única cookie estrictamente necesaria para mantener su sesión iniciada, y el almacenamiento de su navegador para sus preferencias de interfaz. Consulte nuestra Política de cookies.

13. Menores

El Servicio no está destinado a personas menores de 18 años, y no recopilamos a sabiendas su información.

14. Incidentes de confidencialidad

14.1. Anotamos en un registro todo incidente de confidencialidad que afecte a información personal.

14.2. Cuando un incidente presenta un riesgo de perjuicio grave, lo notificamos sin demora a la Commission d’accès à l’information du Québec, a la Oficina del Comisionado de Privacidad de Canadá cuando se aplica la ley federal, y a las personas afectadas. Conforme al RGPD y al RGPD del Reino Unido, lo notificamos a la autoridad competente en un plazo de 72 horas cuando así se exige, y a las personas afectadas cuando el riesgo para ellas es alto.

15. Modificaciones

Podemos actualizar esta política. En caso de una modificación sustancial, se lo comunicamos por correo electrónico o en la consola antes de que entre en vigor. Cada versión tiene un número y unas fechas, y las versiones anteriores siguen disponibles en nuestra página legal.

16. Contacto

Preguntas sobre esta política o sobre su información: privacy@nodelodge.com.