Política de Privacidad y Tratamiento de Datos — Realtor AI

1.1. Esta Política describe cómo tratamos los datos personales en el marco de la prestación del servicio Realtor AI, accesible en app.derpa.tech, a profesionales y empresas del sector inmobiliario.

1.2. Titular: Francisco Mana, CUIT 20-39921912-5, con domicilio en Ituzaingó 2786, Don Torcuato Norte, CP 1611, Provincia de Buenos Aires, República Argentina (en adelante, “Derpa” o “nosotros”).

1.3. Marco normativo. El tratamiento se rige por la Ley 25.326 de Protección de los Datos Personales, su Decreto Reglamentario 1558/2001, las disposiciones y resoluciones de la Agencia de Acceso a la Información Pública (AAIP) —autoridad de aplicación—, y las demás normas argentinas aplicables.

1.4. Alcance. Esta Política se aplica al uso de Realtor AI por clientes B2B y forma parte integrante de los Términos y Condiciones de Uso de Realtor AI. No sustituye la Política de Privacidad del servicio B2C de Derpa disponible en derpa.tech/privacidad, que continúa rigiendo el servicio dirigido a usuarios finales.

1.5. Contacto en materia de datos personales: privacidad@derpa.tech

2.1. Derpa como RESPONSABLE del tratamiento. Actuamos como Responsable —decidimos la finalidad y el contenido del tratamiento— respecto de:

• los datos de identificación y contacto del Cliente y de sus Usuarios Autorizados (brokers, empleados, administradores);
• los datos de facturación, cobranza y situación fiscal del Cliente;
• los datos técnicos y de uso de la Plataforma (registros de acceso, eventos de interacción, telemetría, seguridad);
• los datos de contacto obtenidos en el marco de nuestra relación comercial (prospección, soporte, comunicaciones administrativas).

2.2. Derpa como ENCARGADO del tratamiento. Actuamos como Encargado —tratamos datos por cuenta y orden del Cliente, siguiendo sus instrucciones— respecto de:

• los datos personales de contactos, clientes finales, prospectos y leads que el Cliente carga en el módulo Contactos;
• los datos personales de propietarios, inquilinos, contrapartes y referentes vinculados a las propiedades de la Cartera;
• los datos incorporados a la Lista Negra;
• los datos contenidos en documentos, imágenes, videos y planos que el Cliente sube a la Plataforma;
• los datos personales que el Cliente nos instruya extraer desde sus propios sistemas de origen.

En todos estos supuestos, el RESPONSABLE es el Cliente. Es el Cliente quien debe contar con la base de legitimación para tratar esos datos, informar a los titulares, atender sus derechos y responder ante la autoridad de aplicación. Nosotros nos limitamos a alojarlos y procesarlos conforme sus instrucciones documentadas, en los términos del artículo 25 de la Ley 25.326 y del Anexo A de esta Política.

2.3. Si usted es titular de datos personales y considera que un cliente nuestro trata sus datos en la Plataforma, debe dirigir su solicitud a ese cliente, quien es el Responsable. De todos modos, si nos contacta a privacidad@derpa.tech, le indicaremos el canal correspondiente y asistiremos al Responsable en la atención de su solicitud.

3.1. Datos que usted nos provee directamente

3.2. Datos que se generan por el uso de la Plataforma

3.3. Datos de terceros que usted carga (tratamos como Encargados)

3.4. Datos de fuentes externas

Incorporamos información de inmuebles y de mercado proveniente de portales y publicaciones de acceso público, de convenios e interfaces de programación de terceros, y de fuentes públicas oficiales y datos abiertos. Cuando esa información contenga datos personales, los tratamos con la finalidad exclusiva de prestar el Servicio y aplicamos las medidas de minimización razonables.

3.5. Datos de destinatarios de búsquedas compartidas

Cuando un cliente final del Cliente accede a un enlace de búsqueda compartida, registramos datos de navegación e interacción (aperturas, propiedades visualizadas, tiempo de permanencia, indicadores de interés) conforme la Política de Cookies. Estos datos se tratan por cuenta del Cliente, quien es responsable de informar dicho tratamiento a su cliente final.

3.6. Datos que NO tratamos

No solicitamos ni tratamos deliberadamente datos sensibles en los términos del artículo 2 de la Ley 25.326 (origen racial o étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical, información referente a la salud o a la vida sexual), ni datos de antecedentes penales o contravencionales, ni datos de solvencia patrimonial sujetos al régimen del artículo 26 de la Ley 25.326.

El Cliente se obliga contractualmente a no cargar datos sensibles en la Plataforma. Si detectamos su presencia, podremos suprimirlos o bloquearlos, notificando al Cliente.

La Plataforma no está dirigida a menores de dieciocho (18) años y no recolectamos deliberadamente sus datos. Si toma conocimiento de que un menor nos ha proporcionado datos, comuníquelo a privacidad@derpa.tech para su supresión.

4.1. Las comunicaciones comerciales se envían con consentimiento previo y pueden revocarse en cualquier momento mediante el enlace de baja incluido en cada mensaje o escribiendo a bajas@derpa.tech. La revocación no afecta las comunicaciones operativas indispensables (avisos de seguridad, cambios de términos, facturación).

4.2. No utilizamos los datos para finalidades incompatibles con aquellas para las que fueron recolectados, conforme el artículo 4 inciso 3 de la Ley 25.326.

5.1. Asumimos el compromiso expreso de que toda la información que se encuentre dentro del sistema es privada. En particular:

• no vendemos, alquilamos, cedemos ni comercializamos datos personales ni información de negocio de nuestros clientes;
• no exponemos, exhibimos ni ponemos a disposición de otro cliente —ni de tercero alguno— la cartera, los contactos, las búsquedas, las métricas, la Lista Negra ni ninguna información individualizada de un cliente;
• no utilizamos la información de un cliente para beneficiar a otro cliente de manera identificable;
• no entregamos Contenido del Cliente a proveedores de modelos de inteligencia artificial para su entrenamiento; contratamos dichos servicios bajo condiciones que lo excluyen expresamente.

5.2. Únicas excepciones. Solo compartimos información:

• con los encargados y subencargados de la nómina del Anexo B, en su calidad de proveedores de infraestructura y servicios necesarios para la prestación, obligados contractualmente a confidencialidad y a tratar los datos exclusivamente por nuestra cuenta;
• por requerimiento de autoridad judicial o administrativa competente, en la medida y con el alcance exigido por la orden. Notificaremos al Cliente salvo prohibición legal expresa;
• con instrucción o autorización expresa del Cliente;
• en el marco de una reorganización societaria, fusión, escisión o transferencia de fondo de comercio, en cuyo caso el adquirente quedará sujeto a las mismas obligaciones y el hecho será notificado al Cliente.

5.3. Estos compromisos no alcanzan a los Datos Agregados y Anonimizados, cuyo régimen se detalla en la sección 6.

6.1. El Cliente nos autoriza expresamente, en la Cláusula 11 de los Términos y Condiciones, a generar datos agregados y anonimizados a partir del contenido de la Plataforma y de su uso.

6.2. Qué significa “anonimizado”. Significa que aplicamos un proceso de disociación irreversible por el cual la información deja de poder asociarse a persona determinada o determinable. Una vez disociada, deja de constituir dato personal en los términos del artículo 2 de la Ley 25.326 y, por tanto, queda fuera del ámbito de aplicación de dicha ley.

6.3. Garantías que asumimos.

• La disociación es irreversible: no conservamos ni generamos claves, tablas de correspondencia ni mecanismos que permitan revertirla.
• Aplicamos umbrales mínimos de agregación: no publicamos ni exponemos indicadores calculados sobre una cantidad de observaciones tan reducida que permita deducir la identidad del cliente, del inmueble o del titular subyacente.
• Los resultados nunca identifican al Cliente, a sus Usuarios Autorizados, a sus contactos ni a inmuebles individuales de su cartera.
• No combinamos datos agregados con otras fuentes con el propósito de reidentificar.

6.4. Para qué los usamos. Para producir estadísticas e índices de mercado, ofrecer funcionalidades comparativas y de benchmark a nuestros clientes, mantener, asegurar y mejorar el Servicio y nuestros modelos propios, y elaborar reportes sectoriales agregados.

6.5. Titularidad y subsistencia. Los datos agregados y anonimizados, y los índices y modelos derivados de ellos, son de nuestra titularidad exclusiva y subsisten a la terminación del contrato. Ello no nos habilita a continuar tratando datos identificables luego de los plazos de la sección 10.

7.1. El Agente Realtor AI procesa las consultas del Cliente y el contexto asociado para generar respuestas, resúmenes, análisis y sugerencias. Ese procesamiento puede involucrar proveedores de modelos identificados en el Anexo B.

7.2. Garantías.

• Contratamos a los proveedores de modelos bajo condiciones que excluyen el uso del contenido para entrenar sus modelos.
• Conservamos registro de las interacciones con fines de seguridad, trazabilidad, soporte y mejora técnica, conforme los plazos de la sección 10.
• Los datos disociados sí pueden emplearse para evaluar y mejorar nuestros propios modelos.

7.3. Decisiones automatizadas. El artículo 20 de la Ley 25.326 establece que las decisiones que impliquen apreciación o valoración de conductas humanas no pueden tener como único fundamento el resultado de un tratamiento informatizado de datos personales que suministre una definición del perfil o la personalidad del interesado, sancionando con nulidad insanable los actos que lo contraríen. Adoptamos ese estándar como principio rector de todo el tratamiento, con independencia de la naturaleza del acto de que se trate.

En consecuencia: la Plataforma no adopta decisiones automatizadas sobre personas humanas. Las salidas del Agente son sugerencias que requieren validación humana del profesional. El Cliente se obliga contractualmente a no utilizar el Servicio para rechazar, seleccionar o dar trato diferencial a personas de manera automatizada y sin intervención humana significativa.

7.4. Gobernanza. Adherimos, en cuanto resulten aplicables, a las recomendaciones de la AAIP en materia de transparencia y protección de datos personales en el uso de la inteligencia artificial (Resolución AAIP 161/2023 y guías complementarias).

8.1. Para prestar el Servicio nos valemos de proveedores que actúan como encargados o subencargados del tratamiento, obligados contractualmente a: tratar los datos únicamente conforme nuestras instrucciones, mantener confidencialidad, aplicar medidas de seguridad adecuadas y suprimir o devolver los datos al finalizar el servicio.

8.2. La nómina vigente de encargados, con su función y localización, obra en el Anexo B de esta Política.

8.3. Cambios en la nómina. Podremos incorporar, sustituir o dar de baja proveedores. Los cambios se reflejarán en el Anexo B y se notificarán al Cliente con una anticipación no menor a treinta (30) días corridos cuando impliquen una modificación sustancial de la localización de los datos o de las categorías de datos accedidas. El Cliente podrá oponerse fundadamente dentro de ese plazo; de mantenerse la oposición, podrá rescindir sin penalidad con reembolso proporcional del período no devengado.

9.1. La prestación del Servicio implica que parte de los datos se aloje o procese en servidores ubicados fuera de la República Argentina, principalmente en los Estados Unidos de América y en la Unión Europea.

9.2. Marco legal. El artículo 12 de la Ley 25.326 prohíbe la transferencia de datos personales a países u organismos que no proporcionen niveles de protección adecuados, salvo que medie consentimiento expreso del titular o que la transferencia encuadre en alguna de las excepciones legales, entre ellas la cooperación internacional y la transferencia necesaria para la ejecución de un contrato entre el titular y el responsable.

9.3. Nuestro encuadre. Respecto de las transferencias a países sin nivel adecuado de protección:

• invocamos la necesidad de la transferencia para la ejecución del contrato celebrado con el Cliente;
• suscribimos con los proveedores involucrados cláusulas contractuales de transferencia que replican las garantías exigidas por la normativa argentina, tomando como referencia los modelos aprobados por la Disposición DNPDP 60-E/2016;
• el Cliente presta su consentimiento expreso e informado a dichas transferencias mediante la aceptación de esta Política y de los Términos y Condiciones;
• respecto de los datos de terceros que el Cliente carga y sobre los que actúa como Responsable, es carga del Cliente haber obtenido el consentimiento de los titulares para la transferencia internacional, conforme la Cláusula 8.3 de los Términos y Condiciones y el Anexo A de esta Política.

9.4. Aplicamos criterios de minimización: transferimos únicamente los datos necesarios para la finalidad de cada proveedor.

10.1. Vencidos los plazos, los datos se suprimen o se someten a un proceso de disociación irreversible.

11.1. Implementamos medidas técnicas y organizativas orientadas a los criterios de la Disposición AAIP 47/2018 (Medidas de Seguridad Recomendadas), entre ellas:

• cifrado de las comunicaciones en tránsito mediante TLS;
• cifrado de datos en reposo en la capa de almacenamiento;
• control de acceso basado en roles y principio de mínimo privilegio;
• segregación lógica de los datos de cada cliente;
• almacenamiento de contraseñas mediante funciones de derivación de clave (nunca en texto claro);
• registros de auditoría de accesos y operaciones sensibles;
• copias de seguridad periódicas y pruebas de restauración;
• gestión de vulnerabilidades y actualización de dependencias;
• acuerdos de confidencialidad con el personal y los colaboradores;
• procedimiento documentado de gestión de incidentes.

11.2. Ningún sistema informático es absolutamente inviolable. Nuestra obligación de seguridad es de medios: nos obligamos a aplicar diligentemente medidas adecuadas al estado de la técnica, no a garantizar un resultado de inviolabilidad absoluta.

11.3. Responsabilidad del Cliente. La seguridad depende también de usted: use contraseñas robustas y no reutilizadas, active el segundo factor de autenticación cuando esté disponible, gestione con diligencia las altas y bajas de sus Usuarios Autorizados, revise periódicamente los permisos asignados y no comparta credenciales.

12.1. Contamos con un procedimiento de detección, contención, evaluación y respuesta a incidentes.

12.2. Ante un incidente que afecte de manera significativa la confidencialidad, integridad o disponibilidad de datos personales, lo notificaremos sin dilación indebida desde que tomemos conocimiento fehaciente, informando: naturaleza del incidente, categorías y volumen aproximado de datos afectados, consecuencias probables, medidas adoptadas o propuestas, y punto de contacto.

12.3. Cuando actuemos como Encargado, notificaremos al Cliente en su calidad de Responsable para que éste evalúe las comunicaciones que correspondan a los titulares y a la autoridad de aplicación. Cuando actuemos como Responsable, evaluaremos y ejecutaremos dichas comunicaciones nosotros.

12.4. Cooperaremos razonablemente con el Cliente en la investigación, mitigación y remediación del incidente.

13.1. Conforme los artículos 13 a 20 de la Ley 25.326, usted tiene derecho a:

13.2. Cómo ejercerlos. Escriba a privacidad@derpa.tech indicando el derecho que ejerce y acompañando copia de su documento de identidad o acreditación de personería suficiente.

13.3. Plazos de respuesta. Solicitudes de acceso: diez (10) días corridos desde la acreditación de identidad (art. 14 inc. 2, Ley 25.326). Solicitudes de rectificación, actualización o supresión: cinco (5) días hábiles desde su recepción (art. 16 inc. 2, Ley 25.326). Vencidos dichos plazos sin respuesta satisfactoria, o si la respuesta se considerare insuficiente, queda expedita la acción de protección de los datos personales (habeas data).

13.4. Cuando la solicitud se refiera a datos respecto de los cuales actuamos como Encargado, la derivaremos al Cliente Responsable y le asistiremos en su atención, informándole al solicitante el canal correspondiente.

13.5. Autoridad de control. La Agencia de Acceso a la Información Pública, con domicilio en Av. Pte. Julio A. Roca 710, Piso 3°, Ciudad Autónoma de Buenos Aires, es el órgano de control de la Ley 25.326 y tiene atribuciones para atender denuncias y reclamos por incumplimiento de las normas de protección de datos personales.

14.1. El uso de cookies y tecnologías similares en app.derpa.tech se rige por la Política de Cookies de Derpa, que forma parte integrante de esta Política.

14.2. Las cookies estrictamente necesarias (sesión, autenticación, preferencia de consentimiento) se activan sin consentimiento previo por resultar indispensables para la prestación del Servicio. Las cookies de preferencias, analítica y marketing requieren consentimiento previo, libre, expreso e informado, gestionable desde el banner de consentimiento y desde el pie de página.

Cumplimos, en lo que nos concierne, con la obligación de inscripción de bases de datos ante el Registro Nacional de Bases de Datos Personales de la AAIP, conforme el artículo 21 de la Ley 25.326. Es carga del Cliente cumplir la misma obligación respecto de sus propias bases de datos, incluidas aquellas que aloje en la Plataforma y respecto de las cuales actúe como Responsable.

16.1. Podremos modificar esta Política. Toda modificación se publicará con indicación de número de versión y fecha de vigencia.

16.2. Las modificaciones sustanciales —en particular, la incorporación de nuevas finalidades, categorías de datos o destinos de transferencia— se notificarán al correo electrónico registrado con una anticipación no menor a treinta (30) días corridos. Si la modificación requiriera consentimiento adicional, lo solicitaremos expresamente.

16.3. Conservamos las versiones históricas y las ponemos a disposición del Cliente a su requerimiento.

A.1. Objeto

El Encargado tratará, por cuenta y orden del Responsable, los datos personales que éste incorpore a la Plataforma o cuya incorporación instruya, con la exclusiva finalidad de prestar el Servicio contratado.

A.2. Descripción del tratamiento

A.3. Obligaciones del ENCARGADO (Derpa)

El Encargado se obliga a:

• Instrucciones. Tratar los datos únicamente conforme instrucciones documentadas del Responsable, entre las que se cuentan los propios Términos y Condiciones, esta Política y las configuraciones que el Responsable establezca en la Plataforma. No los utilizará para finalidad propia distinta, ni los cederá a terceros salvo las excepciones de la sección 5.2 de esta Política.
• Advertencia de ilicitud. Informar al Responsable, sin demora, si a su criterio una instrucción infringe la Ley 25.326 o su normativa complementaria, pudiendo suspender su ejecución hasta obtener confirmación escrita.
• Confidencialidad. Mantener estricta confidencialidad sobre los datos, aun después de finalizada la relación, y garantizar que su personal y colaboradores estén sujetos a idéntico deber (art. 10, Ley 25.326).
• Seguridad. Aplicar las medidas técnicas y organizativas descriptas en la sección 11 de esta Política, adecuadas a los criterios de la Disposición AAIP 47/2018.
• Subencargados. Recurrir únicamente a los subencargados de la nómina del Anexo B, imponiéndoles por contrato obligaciones no menos exigentes que las asumidas aquí, y respondiendo frente al Responsable por su actuación. Los cambios se rigen por la sección 8.3.
• Asistencia en derechos de titulares. Asistir razonablemente al Responsable en la atención de solicitudes de acceso, rectificación, actualización, supresión y oposición, poniendo a su disposición las funcionalidades de la Plataforma y, cuando ello no sea suficiente, prestando colaboración técnica. Si el Encargado recibiere directamente una solicitud, la derivará al Responsable sin demora y se abstendrá de responder por sí, salvo para indicar el canal correspondiente.
• Asistencia en cumplimiento. Asistir razonablemente al Responsable en la evaluación de impacto, en la gestión de incidentes y en la respuesta a requerimientos de la autoridad de aplicación, poniendo a su disposición la información de que disponga.
• Notificación de incidentes. Notificar al Responsable, sin dilación indebida desde el conocimiento fehaciente, todo incidente de seguridad que afecte datos tratados por su cuenta, con el contenido de la sección 12.
• Devolución o supresión. A la terminación del contrato, y a opción del Responsable, devolver los datos en formato estructurado y de uso común o suprimirlos, conforme los plazos de la sección 10 y de la Cláusula 22.6 de los Términos, salvo la información que deba conservarse por imperativo legal.
• Acreditación de cumplimiento. Poner a disposición del Responsable, a su requerimiento razonable y con periodicidad no superior a una vez por año calendario, la información necesaria para acreditar el cumplimiento de estas obligaciones —descripción de medidas de seguridad, nómina de subencargados, certificaciones y reportes de auditoría de que disponga—. Las auditorías presenciales o intrusivas requieren acuerdo previo sobre alcance, fecha, alcance de la confidencialidad y costos, no podrán comprometer la seguridad ni la confidencialidad de otros clientes, y serán a cargo del Responsable.

A.4. Obligaciones del RESPONSABLE (el Cliente)

El Responsable declara, garantiza y se obliga a:

• Legitimación. Contar con base de legitimación válida —consentimiento libre, expreso e informado en los términos de los artículos 5 y 6 de la Ley 25.326, u otra causa legal— respecto de todos los datos personales que incorpore a la Plataforma o cuya incorporación instruya.
• Deber de información. Haber informado a los titulares, al menos: la finalidad del tratamiento, la existencia de un encargado de tratamiento y su identidad, el carácter obligatorio o facultativo de los datos requeridos, las consecuencias de proporcionarlos o de negarse, la posibilidad de transferencia internacional, y la forma de ejercer sus derechos de acceso, rectificación y supresión.
• Transferencia internacional. Haber obtenido, cuando resulte exigible, el consentimiento de los titulares para la transferencia internacional de sus datos conforme el artículo 12 de la Ley 25.326, en los términos de la sección 9 de esta Política.
• Exclusión de datos sensibles. No incorporar datos sensibles del artículo 2 de la Ley 25.326, ni datos de antecedentes penales o contravencionales, ni datos de solvencia patrimonial sujetos al artículo 26.
• Calidad del dato. Mantener los datos exactos, actualizados y pertinentes, y suprimir los que resulten innecesarios o excesivos respecto de la finalidad (art. 4, Ley 25.326).
• Atención de derechos. Atender por sí, en los plazos legales, las solicitudes de los titulares respecto de los datos de los que es Responsable.
• Registración. Inscribir sus bases de datos ante el Registro Nacional de Bases de Datos Personales cuando corresponda (art. 21, Ley 25.326).
• Instrucciones lícitas. Impartir únicamente instrucciones conformes a la normativa vigente.
• Indemnidad. Mantener indemne al Encargado frente a todo reclamo, denuncia, acción de habeas data, actuación ante la AAIP, sanción o multa derivada del incumplimiento de las obligaciones de esta sección A.4, conforme la Cláusula 21 de los Términos y Condiciones.

A.5. Responsabilidad

Cada Parte responde por el incumplimiento de las obligaciones que este Anexo le asigna. La responsabilidad del Encargado queda sujeta a los límites de la Cláusula 20 de los Términos y Condiciones, salvo dolo o culpa grave.

A.6. Vigencia

Este Anexo rige desde la aceptación de los Términos y Condiciones y hasta la supresión o devolución de la totalidad de los datos tratados por cuenta del Responsable.

Nómina vigente a la fecha de esta versión. Sujeta a actualización conforme la sección 8.3.

Realtor AI — Política de Privacidad y Tratamiento de Datos B2B — Versión 1.0.