Política de privacidad
Última actualización: 3 de mayo de 2026.
Vextra ("nosotros") opera la plataforma SaaS de marketing y gestión empresarial disponible en vextra-ar.com. Esta política explica qué datos recolectamos, cómo los usamos y qué derechos tenés.
1. Datos que recolectamos
- Datos de cuenta: nombre, email, empresa, rol, password (almacenada como hash bcrypt). Nunca vemos tu password en plano.
- Datos operativos que vos cargás: clientes, productos, ventas, campañas, obras, empleados. Son datos de tu empresa, sos el dueño.
- Métricas técnicas: dirección IP, user-agent, fecha y hora de cada request mutativo (queda en nuestro audit log con TTL de 90 días).
- Cookies: una cookie httpOnly (
refreshToken) para mantener tu sesión. No usamos cookies de tracking de terceros.
2. Uso de los datos
- Operar el servicio, autenticarte y mostrarte tu panel.
- Generar reportes mensuales que vos pediste explícitamente.
- Detectar abuso (rate limiting, audit log, replay detection en tokens).
- Resolver soporte cuando nos contactás.
No vendemos tus datos. No los compartimos con terceros para marketing.
3. Dónde se almacenan
Los datos viven en una instancia administrada de Supabase (Postgres) en región US-East. El backend corre en Railway (Estados Unidos). Si necesitás que los datos estén en región argentina por razones regulatorias, contactanos antes de firmar.
4. Quién puede acceder
- Vos y los usuarios de tu empresa que invitaste, según los permisos asignados (RBAC).
- Personal técnico de Vextra cuando vos abrís un ticket de soporte. Las consultas quedan registradas en nuestro audit log.
- Autoridades públicas, si recibimos una orden judicial válida.
5. Tus derechos (Ley 25.326 Argentina + GDPR si aplica)
- Acceso: podés ver y exportar todos tus datos desde el panel.
- Rectificación: editás cualquier dato directamente en el panel.
- Supresión: al cancelar tu cuenta, borramos los datos en 30 días (excepto los que la ley nos exige conservar más tiempo).
- Portabilidad: exportar a CSV/Excel desde cada listado del panel.
6. Seguridad
- Passwords hasheadas con bcrypt (12 rounds).
- JWT con rotación de refresh tokens y detección de replay.
- HTTPS obligatorio (HSTS + preload, 2 años).
- Content Security Policy estricta.
- Rate limiting en endpoints sensibles.
- Audit log inmutable para forensics.
7. Retención
- Datos operativos: mientras tu cuenta esté activa.
- Datos de auditoría (audit_log): 90 días rolling.
- Refresh tokens revocados: 30 días para forensics, después purga.
- Si cancelás: datos eliminados en máximo 30 días salvo obligación legal.
8. Menores
El servicio está dirigido a profesionales y empresas; no procesamos cuentas de menores de 18 años.
9. Cambios a esta política
Si actualizamos esta política, vamos a avisar por email a todos los usuarios activos al menos 30 días antes. La versión vigente siempre está en esta URL.
10. Contacto
Para ejercer cualquier derecho o consultar sobre tus datos: privacidad@vextra-ar.com.