Política de privacidad

Última actualización: 5 de noviembre de 2026.

Quién es el responsable

A-REX (entidad en constitución) opera este sitio, platform.a-rex.org, y A-REX Platform, el servicio de trazabilidad que las empresas usan a través de la consola, la API y el asistente. Hasta que A-REX esté constituida, sus fundadores actúan en su nombre. Para cualquier pregunta o solicitud sobre sus datos personales, escriba a [email protected].

Esta política aplica la Ley General de Protección de Datos de Brasil (LGPD, Ley 13.709/2018), el Reglamento General de Protección de Datos (RGPD) europeo para las personas en el Espacio Económico Europeo y las leyes de privacidad del consumidor de los estados de Estados Unidos que las tienen. Se aplica a todas las personas, estén donde estén.

El estándar abierto A-REX y su sitio, standard.a-rex.org, están a cargo de la A-REX Foundation, que tiene su propia política de privacidad.

Dos funciones

A-REX decide (responsable). Para este sitio, el formulario de contacto, su cuenta de usuario, la seguridad del servicio, las solicitudes de soporte y la facturación, A-REX decide para qué y cómo se tratan sus datos.
A-REX actúa por cuenta de una empresa (encargado, u operador según la LGPD). Los registros que una empresa lleva en A-REX Platform (sus lotes, entregas, certificados y las personas y empresas de su directorio, como proveedores, productores y compradores) pertenecen a esa empresa. La empresa decide qué registra y para qué; A-REX trata esos registros solo según sus instrucciones. Si una empresa tiene sus datos, escriba primero a esa empresa; nosotros la ayudamos a responder.

En este sitio

El sitio no instala cookies ni usa herramientas de analítica o rastreadores publicitarios. Su navegador guarda en su almacenamiento local el tema de color que usted eligió; ese dato nunca sale de su dispositivo.

Cloudflare aloja el sitio. Para entregarlo y protegerlo, Cloudflare trata datos técnicos como su dirección IP, su navegador y las páginas que usted solicita.

Cuando nos escribe a través del formulario de contacto, guardamos su nombre, su correo electrónico de trabajo, su empresa, a qué se dedica, el país, los productos, el mensaje, el plan por el que preguntó y el idioma de la página. Para limitar abusos guardamos durante un día una huella de su conexión, nunca la dirección en sí. Cloudflare Turnstile comprueba que el formulario lo envió una persona; trata datos técnicos de su navegador y de su conexión, y nosotros recibimos solo el resultado.

En A-REX Platform

Su cuenta. Su nombre, correo electrónico, idioma, las empresas y funciones que se le asignaron, sus métodos de inicio de sesión (llaves de acceso, o passkeys, y el segundo factor; nunca una contraseña en claro), las sesiones y un registro de lo que hizo en la consola: cada propuesta, aprobación, descarga y cambio conserva quién lo hizo. El inicio de sesión usa cookies estrictamente necesarias para el servicio.

Los registros de una empresa. Lo que la empresa registra: lotes, cantidades, entregas, certificados, documentos, eventos de campo y las personas y empresas de su directorio. Los nombres, números fiscales, contactos, direcciones y coordenadas de las parcelas se guardan cifrados, con claves guardadas en un servicio de gestión de claves.

El asistente, Humboldt y los agentes. Cuando usted le hace una pregunta al asistente, o un agente trabaja para su empresa, la pregunta y los registros necesarios para responderla se envían a Anthropic, que provee los modelos de IA. Los números fiscales e identificadores similares se reemplazan por marcadores antes de llegar al modelo. Anthropic trata estos datos como nuestro subencargado y no los usa para entrenar sus modelos. El asistente solo prepara propuestas; las personas aprueban cada cambio.

Soporte. Lo que usted escribe en una solicitud de soporte y lo que decide adjuntar. El soporte nunca ve una conversación con el asistente, salvo que usted la incluya en un reporte de problema.

Facturación. El nombre de la organización, el contacto de facturación y el plan. Stripe procesa los pagos; A-REX nunca ve los números de tarjeta. Durante la alfa, la facturación funciona en el modo de prueba de Stripe y no se cobra nada.

Mapas y clima. Para mostrar el clima de un evento de campo, su ubicación y su fecha, sin ningún nombre, se envían a OpenWeather y a Copernicus (ERA5). Cuando usted abre un mapa con imágenes satelitales de Esri, su navegador pide las imágenes a Esri, que ve su dirección IP.

Mensajes. Si una empresa conecta su propio canal de correo electrónico o de WhatsApp, los mensajes enviados a ese canal se tratan por cuenta de la empresa, que es responsable de ellos. Los mensajes de WhatsApp pasan por Meta.

Registros públicos: lo que queda para siempre

Los registros de cada empresa también se escriben en registros públicos, para que cualquiera pueda comprobarlos sin tener que confiar en A-REX: el registro de trazabilidad propio de la empresa en una red compatible con EVM, y huellas diarias publicadas en Hedera y en Bitcoin (a través de OpenTimestamps). Durante la alfa, solo se usan redes de prueba.

Lo que se escribe en un registro público no lo puede cambiar ni borrar nadie, tampoco A-REX. Por eso el registro público no guarda nombres, números fiscales, contactos, direcciones, coordenadas ni documentos: solo registros de lotes sin datos personales, huellas y las direcciones públicas de las claves que aprueban. Esas direcciones no llevan ningún nombre, pero la empresa y A-REX pueden vincular una clave con el miembro que la tiene. Si usted nos pide borrar sus datos, eliminamos ese vínculo y todo lo demás que tenemos; la dirección en sí queda en el registro público, sin su nombre.

Para qué los usamos y con qué base

Finalidad	Base legal
Prestar el servicio que contrató una empresa: cuentas, registros, aprobaciones, informes	Ejecución de un contrato (LGPD art. 7, V; RGPD art. 6(1)(b))
Tratar los registros de una empresa según sus instrucciones	La base propia de la empresa, como su encargado (LGPD art. 39; RGPD art. 28)
Mantener seguro el servicio, registrar quién hizo qué, prevenir abusos	Interés legítimo (LGPD art. 7, IX; RGPD art. 6(1)(f))
Responder al formulario de contacto y a las solicitudes de soporte	Medidas que usted pidió antes de un contrato, o el contrato (LGPD art. 7, V; RGPD art. 6(1)(b))
Facturación, facturas y registros fiscales	Obligación legal y el contrato (LGPD art. 7, II y V; RGPD art. 6(1)(b) y (c))
Cumplir una orden judicial o un requerimiento legítimo de una autoridad	Obligación legal (LGPD art. 7, II; RGPD art. 6(1)(c))

No vendemos datos personales, no los compartimos para publicidad conductual entre contextos y no los usamos con fines publicitarios. No tomamos decisiones con efectos jurídicos o similares sobre usted solo por medios automatizados: las personas aprueban cada cambio.

Quién nos ayuda (subencargados)

Cloudflare: alojamiento de este sitio, la base de datos del formulario de contacto, Turnstile.
Anthropic: los modelos de IA detrás del asistente, Humboldt y los agentes.
Stripe: facturación y pagos.
Resend: envío de correos electrónicos.
Esri: imágenes satelitales para los mapas.
OpenWeather y Copernicus (ERA5): clima para los eventos de campo.
Meta: mensajes de WhatsApp, solo para las empresas que conectan ese canal.
Hedera, Bitcoin (OpenTimestamps) y redes compatibles con EVM: los registros públicos descritos arriba.

Antes de que empiece el servicio de producción, esta lista indicará también dónde se alojan la consola, su base de datos y sus claves. Actualizamos esta lista antes de sumar un subencargado.

Transferencias fuera de su país

Algunos de estos proveedores tratan datos fuera de Brasil y del Espacio Económico Europeo, también en Estados Unidos. Cuando la ley lo exige, nos basamos en cláusulas contractuales tipo (las de la Comisión Europea y las aprobadas por la ANPD de Brasil en la Resolución CD/ANPD 19/2024) o en otro mecanismo de transferencia que la ley permita.

Cuánto tiempo los conservamos

Formulario de contacto: doce meses después de nuestro último mensaje, salvo que su empresa se convierta en cliente.
Cuenta: mientras exista la cuenta. Cuando usted deja una empresa, su acceso termina; su nombre queda en la historia de las aprobaciones que hizo, porque esa historia es la evidencia de la empresa.
Los registros de una empresa: mientras la empresa los conserve y su contrato esté vigente; después se borran, una vez que la empresa tuvo la oportunidad de exportarlos, salvo lo que la ley nos obliga a conservar.
Solicitudes de soporte: tres años después de cerrarse, salvo que se aplique una conservación por motivos legales.
Registros de facturación: el tiempo que exija la ley tributaria.
Registros públicos: de forma permanente, como se explicó arriba, sin datos personales.

Sus derechos

Puede pedirnos que confirmemos si tratamos sus datos, que le demos acceso a ellos o una copia, que los corrijamos, que los borremos, que los anonimicemos, que limitemos su uso o que dejemos de usarlos si usted se opone, que los traslademos a otro proveedor y que le informemos con quién los compartimos. Puede retirar su consentimiento en cualquier momento cuando nos basemos en él. Escriba a [email protected]; respondemos en un plazo de 15 días y podemos pedirle que confirme su identidad.

Si sus datos están en los registros de una empresa, trasladamos su solicitud a esa empresa y la ayudamos a responder.

En Estados Unidos, según las leyes de privacidad del consumidor de estados como California, Virginia, Colorado, Connecticut y Texas, usted puede pedir conocer, acceder, corregir y borrar su información personal, y oponerse a su venta, a que se comparta o a su uso para publicidad dirigida (no hacemos ninguna de estas cosas). Puede actuar a través de un agente autorizado, y verificaremos la solicitud. Nunca le daremos un trato distinto por ejercer estos derechos. Si rechazamos una solicitud, puede apelar respondiendo a nuestra respuesta.

También puede presentar una reclamación ante una autoridad de protección de datos: en Brasil, la ANPD (Autoridade Nacional de Proteção de Dados); en el Espacio Económico Europeo, la autoridad de su país; en Estados Unidos, el fiscal general de su estado o, en California, la California Privacy Protection Agency.

Seguridad

Cada cambio es una propuesta que una persona aprueba con un segundo factor. Los registros de cada empresa se mantienen separados de los de cualquier otra empresa. Los campos sensibles están cifrados, y el acceso de nuestro personal es limitado y queda registrado. La página de seguridad explica cómo.