Esta política explica qué hacemos con los datos personales que pasan por Torqueado. Está escrita para que se entienda sin ser abogado, y con cifras reales en vez de frases generales.
Quiénes somos
Torqueado es operado por CC Labs, RUC 8-926-508 DV 0, con domicilio en la República de Panamá. Para asuntos de datos personales escribe a [email protected].
Esta política cubre el sitio torqueado.com y las aplicaciones del producto: el tablero del negocio, la recepción, el portal para dueños de vehículos y el portal de administración.
Los dos papeles
Hay dos relaciones distintas y conviene no confundirlas, porque determinan a quién le pides qué.
- Sobre los datos de los clientes del negocio, es decir los dueños de vehículos, el negocio es el responsable y nosotros somos el encargado del tratamiento. El taller, carwash o local de detailing decide qué datos recoge, para qué y por cuánto tiempo. Nosotros los tratamos únicamente siguiendo sus instrucciones y para prestarle el servicio.
- Sobre los datos de la cuenta del negocio y de su personal que inicia sesión, y sobre quien nos escribe desde el sitio, nosotros somos el responsable.
Esa separación no es solo una frase. Los datos de cada negocio están aislados en la base de datos por negocio, los correos a los clientes salen a nombre del negocio y se responden a su propio buzón, y cuando un cliente se da de baja de los avisos, esa baja aplica al negocio que se los enviaba y no a los demás.
Qué datos tratamos
| Categoría | Qué incluye |
|---|---|
| Del negocio | Nombre comercial y razón social, RUC y DV, dirección, teléfono, correo, logo y datos de facturación. |
| De su personal | Nombre y apellido, correo, teléfono, tipo y número de documento, rol, fecha del último inicio de sesión y un resumen de las acciones hechas en el sistema. La contraseña se guarda únicamente como un resumen criptográfico: no la conocemos. |
| De los clientes del negocio | Nombre y apellido, teléfono, correo, tipo y número de documento (cédula, pasaporte o RUC) y las notas que el negocio escriba sobre la persona. |
| De sus vehículos | Placa, VIN, marca, modelo, año, color, kilometraje, y el historial de órdenes, cotizaciones, citas, fotos y pagos asociado a ese vehículo. |
| De pagos | Método, monto, fecha, quién lo recibió y una referencia libre que escribe el negocio, por ejemplo los últimos cuatro dígitos de una tarjeta o el número de una confirmación. Nunca un número de tarjeta completo: el sistema no procesa cobros ni se conecta a una pasarela de pago. |
| Técnicos | Dirección IP y tipo de navegador, registrados junto a las acciones sensibles para poder auditarlas, más los registros de acceso al servidor. |
Las fotos que el negocio toma de un vehículo pueden mostrar la placa y, sin quererlo, a personas alrededor. Se guardan en un almacenamiento privado y solo se ven con enlaces temporales.
La foto que se toma para leer una placa no se guarda. Se procesa en nuestros propios servidores, se extraen los caracteres y la imagen se descarta en el acto. No sale hacia ningún servicio externo.
De dónde vienen
- Los escribe el negocio cuando recibe un vehículo o registra a un cliente.
- Los aporta el propio cliente cuando entrega su vehículo o entra al portal.
- Se generan solos al usar el sistema: fechas, estados de una orden, quién cambió qué, y los registros técnicos.
Para qué los usamos
Tratamos los datos conforme a la Ley 81 de 26 de marzo de 2019 sobre protección de datos personales y su reglamento, el Decreto Ejecutivo 285 de 2021. Los usamos para:
- Prestar el servicio contratado, que es la razón por la que existen los datos en el sistema: recibir vehículos, cotizar, agendar, cobrar y dejar constancia de todo ello.
- Dar acceso y mantener la seguridad: autenticar a quien entra, bloquear intentos repetidos de adivinar una contraseña y poder reconstruir quién hizo qué.
- Enviar avisos a los clientes del negocio cuando el negocio lo pide expresamente, y correos de acceso a la cuenta.
- Facturar y cobrar el servicio al negocio, y cumplir las obligaciones contables y fiscales que la ley nos impone.
- Mejorar el producto, usando información agregada que no identifica a ninguna persona.
No usamos los datos para publicidad, no elaboramos perfiles comerciales y no tomamos decisiones automatizadas que afecten a una persona.
Con quién los compartimos
No vendemos datos personales. No hay publicidad ni herramientas de analítica de terceros en ninguna parte del producto ni en este sitio. Los compartimos únicamente con:
- Un proveedor de infraestructura que aloja los servidores donde corre el servicio.
- Un proveedor de red y seguridad, por el que pasa el tráfico entre el navegador y nuestros servidores, y que nos protege de ataques.
- Un proveedor de envío de correo. Recibe la dirección del destinatario y el contenido del mensaje, y nada más. Los avisos a los clientes del negocio pasan por él solo si el negocio los tiene habilitados; los correos de acceso a la cuenta, como crear o restablecer una contraseña, pasan siempre, porque sin ellos nadie podría entrar a la suya.
- Autoridades competentes, cuando una orden legal válida nos obligue. Cuando la ley lo permita, avisamos al negocio antes.
Cada uno de esos proveedores trata los datos por instrucción nuestra y está obligado a protegerlos. El almacenamiento de fotos y la lectura de placas corren en nuestra propia infraestructura y no se subcontratan.
Transferencias internacionales
La infraestructura principal del servicio está alojada en Estados Unidos, y el proveedor de correo también opera fuera de Panamá. Eso significa que los datos se transfieren y se almacenan fuera del territorio panameño.
Las salvaguardas que aplicamos a esa transferencia:
- Todo el tráfico viaja cifrado entre el navegador y los servidores.
- Los proveedores están obligados contractualmente a tratar los datos solo por instrucción nuestra y con medidas de seguridad adecuadas.
- Las copias de seguridad viajan por una red privada cifrada hasta equipos que no publican nada a internet, y el archivo de claves que las acompaña va cifrado aparte, para que la clave nunca viaje junto a los datos.
- La copia continua de la base de datos y la copia que se conserva fuera de sitio van cifradas.
- El acceso del personal técnico está limitado a lo necesario para operar el servicio y queda registrado.
Cookies y almacenamiento local
Este sitio, torqueado.com, no pone ninguna cookie. No carga tipografías, scripts ni recursos de terceros: la tipografía viaja con la página. Lo único que guarda en el navegador es tu preferencia de tema, claro u oscuro, que es una decisión tuya sobre tu propio equipo. Por eso no verás un banner de cookies aquí: no habría nada que consentir.
Dentro de las aplicaciones del producto sí hay almacenamiento, todo necesario para que funcionen:
| Qué es | Para qué sirve |
|---|---|
| Cookie de sesión | Mantiene la sesión iniciada. No es legible por scripts, viaja solo por conexión cifrada, está limitada al dominio exacto que la emitió y caduca con la sesión. |
| Cookie de protección | Evita que otro sitio envíe peticiones en nombre de quien tiene la sesión abierta. |
| Almacenamiento local | Guarda el tema, el color de la marca del negocio y un resumen de la sesión, para que la aplicación no se dibuje en blanco al abrirla. |
| Base de datos del navegador | Guarda en el dispositivo lo que se captura sin conexión, incluidas las fotos, hasta que se sincroniza con el servidor. Nunca sale del equipo antes de eso, y al cerrar sesión deja de estar a la vista. |
Ninguna de ellas sirve para publicidad ni para seguir a nadie entre sitios.
Cuánto tiempo los conservamos
| Qué | Cuánto |
|---|---|
| Sesión del personal | 48 horas sin actividad, y 30 días como máximo absoluto |
| Sesión del portal del vehículo | 2 horas sin actividad, y 24 horas como máximo |
| Enlace para crear una contraseña | 7 días |
| Enlace para restablecer una contraseña | 1 hora |
| Reintentos de un correo que no se pudo enviar | 24 horas. Después deja de intentarse y se borra su contenido sellado, como la contraseña del portal |
| Registro de un correo (destinatario, plantilla, fecha) | Mientras la cuenta del negocio esté activa |
| Enlaces temporales a fotos | 5 minutos para ver una, 10 para subirla |
| Registros técnicos del servidor | 30 días |
| Copias de seguridad | Se rotan de forma automática y las más antiguas se eliminan |
| Clientes, vehículos, órdenes, pagos y bitácoras | Mientras la cuenta del negocio esté activa, por ser su registro operativo y contable |
Cuando un negocio termina su contrato, tiene treinta días para pedir una exportación de su información. Pasado ese plazo eliminamos sus datos de los sistemas en producción, y los respaldos ya tomados se eliminan conforme rota su ciclo. Conservamos lo que la ley nos obligue a conservar.
Cómo protegemos la información
- Cada negocio está aislado en la base de datos. La separación la impone el motor de base de datos, no una condición escrita en el código que alguien pueda olvidar, y una consulta sin filtro no devuelve nada en vez de devolver datos de otro negocio.
- Las contraseñas no se guardan. Se guarda un resumen criptográfico con Argon2id, el algoritmo recomendado hoy para esto. Ni nosotros podemos leer una contraseña.
- Todo el tráfico viaja cifrado, y los servidores no exponen puertos directamente a internet: el tráfico entra por un túnel que ellos mismos abren hacia afuera.
- Los secretos se guardan cifrados y la clave vive fuera de la base de datos, así que una copia de la base por sí sola no los revela.
- Las bitácoras no se pueden alterar ni borrar, tampoco desde la aplicación: el permiso para modificarlas no existe.
- Intentos repetidos de adivinar una contraseña bloquean el acceso durante períodos crecientes.
- Las copias de seguridad se guardan fuera del servidor principal, en equipos que no publican nada a internet y con acceso restringido, y viajan hasta ahí por una red privada cifrada. La copia continua de la base de datos y la que se conserva fuera de sitio van cifradas, con claves que no se guardan junto a ellas.
Ningún sistema es invulnerable. Si ocurre un incidente que afecte datos personales, avisamos al negocio afectado sin demora y a la autoridad cuando la ley lo exija.
Tus derechos
La Ley 81 reconoce los derechos de acceso, rectificación, supresión, oposición y portabilidad. A quién se los pides depende de quién es el responsable:
- Si eres cliente de un taller, carwash o local de detailing y quieres ver, corregir o eliminar tus datos, pídeselo al negocio que atiende tu vehículo: es quien decide sobre ellos. Nosotros lo asistimos para atenderte, y no podemos modificar los datos de un negocio por nuestra cuenta.
- Si eres el negocio o parte de su personal, escríbenos a [email protected].
Respondemos dentro de los plazos que fija la ley panameña, y en la práctica lo antes posible. Para proteger los datos, podemos pedir que confirmes tu identidad antes de actuar sobre una solicitud.
Una solicitud de eliminación se atiende como gestión: la revisamos caso por caso, porque puede haber información que el negocio deba conservar por obligación contable o legal, como el registro de un trabajo ya facturado. Cuando eso ocurre, lo decimos y explicamos qué se conserva y por qué.
Buena parte de esto el propio negocio lo resuelve desde el sistema: corregir el nombre o el teléfono de un cliente, cambiar el vehículo de dueño, o revocar el acceso al portal.
El portal del vehículo
El dueño de un vehículo puede entrar a un portal con la placa y una contraseña que le entrega el negocio. Ahí ve el estado de su orden, las fechas, la cotización, el saldo, las fotos de su vehículo y sus próximas citas.
No ve el diagnóstico técnico interno, las notas internas del negocio, ni el detalle de quién cobró y en qué turno. El negocio decide qué eventos del historial son visibles para su cliente.
La contraseña del portal la emite el negocio y puede revocarla en cualquier momento. Si crees que alguien más tiene acceso a la de tu vehículo, pídele al negocio que emita una nueva.
Avisos por correo
Los avisos por correo se envían porque alguien en el negocio marcó expresamente la casilla al recibir el vehículo, al enviar una cotización o al entregar el trabajo. No hay envíos automáticos por cada cambio de estado.
Para dejar de recibirlos hay dos caminos, y ambos escriben la misma baja:
- El enlace al pie de cualquiera de esos correos, que funciona de un clic.
- El interruptor «Avisos por correo» dentro del portal del vehículo.
La baja aplica al negocio que enviaba esos correos, no a todos los negocios que usan Torqueado, porque la relación es con ese negocio. Volver a activarlos se hace desde el portal, con la contraseña, para que solo el dueño de la dirección pueda pedirlo.
Los correos de acceso a la cuenta, como el de crear o restablecer una contraseña, no se detienen con esa baja: sin ellos nadie podría volver a entrar a su propia cuenta.
Menores de edad
El servicio está dirigido a negocios y a personas mayores de edad. No recogemos datos de menores de forma consciente. Si un negocio carga los datos de un menor, lo hace bajo su propia responsabilidad y debe contar con la autorización de quien ejerce la patria potestad.
Cambios a esta política
Podemos actualizar esta política. La fecha al inicio de la página dice cuándo cambió por última vez, y si el cambio es significativo lo avisamos a los negocios por correo o dentro del sistema.
Contacto y reclamos
Para cualquier asunto de datos personales, incluidos el ejercicio de tus derechos y los reclamos: [email protected].
Si no quedas conforme con nuestra respuesta, puedes acudir a la Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI), que es la autoridad de protección de datos personales en Panamá.
CC Labs, RUC 8-926-508 DV 0. República de Panamá. Las condiciones del servicio están en los Términos de servicio.