1. Quiénes somos y quién responde
Associação Casa Hacker, CNPJ (registro de empresas de Brasil) 36.038.079/0001-97, asociación civil sin fines de lucro con sede en São Paulo y operación en Campinas, estado de São Paulo. Somos la controladora de los datos personales descritos aquí, conforme a la LGPD brasileña (Ley 13.709/2018).
Encargado de Datos (DPO): Geraldo Barros — privacidade@casahacker.org. Es el canal para cualquier duda o solicitud sobre sus datos, y respondemos en hasta 15 días.
2. Qué cubre este documento
Cubre el tratamiento de datos personales en todos los frentes de la Casa Hacker, y no solo en este sitio: programas educativos y socioculturales, inscripciones en eventos, relación con el equipo y con prestadores, obligaciones contables y fiscales, rendición de cuentas a financiadores y el canal de denuncias.
La relación completa de las operaciones de tratamiento se mantiene internamente en un Registro de Operaciones de Tratamiento (RoPA), con finalidad, base legal, plazo de conservación y operadores implicados, revisado periódicamente. Lo que se resume abajo se deriva de él.
3. Datos que tratamos, por finalidad
Agrupamos por para qué sirve, porque es eso lo que determina qué pedimos y por cuánto tiempo lo guardamos.
- Programas educativos y socioculturales — identificación, contacto, dirección, fecha de nacimiento, datos del responsable legal, registro de actividades, asistencia, progreso y entregas; cuando el programa evalúa impacto, también respuestas de instrumentos de evaluación. Incluye el expediente social de los participantes.
- Inscripción en eventos abiertos — nombre, contacto, dirección, fecha de nacimiento, género, necesidades de accesibilidad, asistencia y emisión de certificado.
- Equipo, prestadores y proveedores — datos de registro, financieros, fiscales y de contrato; verificación de integridad (due diligence) exigida por la legislación anticorrupción brasileña; beneficios, viajes y telefonía corporativa.
- Obligaciones contables, fiscales y societarias — contabilidad, facturas, documentos societarios y certificados digitales de representantes legales.
- Rendición de cuentas a financiadores — datos de participantes exigidos por convenios y sistemas públicos de fomento cultural.
- Comunicación y sitio — nombre, correo y el mensaje enviado; datos de navegación, cuando usted acepta la estadística y la medición de anuncios (ver cookies).
- Canal de denuncias — lo que la persona relate, y su identificación solo si desea identificarse (ver canal de denuncias).
4. Niños, niñas y adolescentes
Buena parte de nuestros programas atiende a niños, niñas y adolescentes — es el propósito de la Casa Hacker, y por eso este apartado existe por separado.
- El tratamiento observa el artículo 14 de la LGPD: el interés superior del niño, niña y adolescente orienta cada decisión sobre el dato.
- La participación depende de consentimiento específico y destacado de al menos uno de los padres o del responsable legal (art. 14, §1), recogido en el Término de Participación.
- No condicionamos la participación en ninguna actividad nuestra a entregar datos más allá de lo necesario (art. 14, §4).
- El uso de imagen y testimonio tiene autorización propia, separada de la inscripción, y puede retirarse.
- La solicitud de acceso, corrección o eliminación puede hacerla el responsable legal, por el formulario al final de esta página.
5. Datos sensibles
Algunas actividades exigen datos que la LGPD clasifica como sensibles (art. 5, II). Tratamos solo lo necesario, y siempre con base propia — nunca por conveniencia.
- Salud y discapacidad — cuando usted informa una necesidad de accesibilidad para participar en un evento o actividad. Sirve solo para organizar esa participación.
- Datos de niños, niñas y adolescentes en el expediente social — registro de desarrollo y participación en los programas, con consentimiento del responsable.
- Raza/color y género — usados de forma agregada, para medir el alcance y la equidad de los programas y rendir cuentas a financiadores.
- Biometría — solo en la emisión de certificado digital ICP-Brasil de representantes legales, por exigencia de la autoridad certificadora.
No usamos datos sensibles para publicidad, perfilado comercial ni ninguna decisión automatizada.
6. Bases legales
Todo tratamiento tiene una base legal declarada. Las que usamos:
- Consentimiento (art. 7, I; art. 11, I) — inscripción en eventos, comunicaciones opcionales, cookies de estadística, uso de imagen y testimonio, y el expediente social de los participantes;
- Consentimiento del responsable legal (art. 14, §1) — participación de niños, niñas y adolescentes;
- Ejecución de contrato (art. 7, V) — relación con el equipo, prestadores, proveedores y socios, y la ejecución de los programas;
- Obligación legal o regulatoria (art. 7, II; art. 11, II, a) — contabilidad, fiscal, societario, rendición de cuentas a órganos públicos y financiadores, y averiguación de denuncia;
- Interés legítimo (art. 7, IX) — seguridad de la información, prevención de fraude, soporte técnico a los equipos de la asociación y mejora de los programas.
7. Cookies y almacenamiento local
Esencial (siempre activo): guardamos en su navegador (localStorage) sus preferencias de la barra de accesibilidad (tema, fuente, contraste, etc.) y su elección en este aviso. Nada de eso lo identifica ni sale de su dispositivo.
Estadística y medición de anuncios (opcionales, solo con su aceptación): si acepta en el aviso, activamos Google Analytics 4 con IP anonimizada para entender cómo se usa el sitio. La misma aceptación permite medir qué anuncios del programa Google Ad Grants lo trajeron hasta aquí: la cookie _gcl_aw guarda durante 90 días el identificador del clic en el anuncio, y el recuento de conversiones (un material descargado, un correo iniciado) se envía a Google Ads — sin ningún dato que lo identifique. Puede rechazarlo sin perder ninguna función. Para revocarlo después, borre los datos de este sitio en el navegador — el aviso reaparece en la próxima visita.
No hacemos publicidad personalizada ni remarketing. La personalización de anuncios queda denegada en el propio Consent Mode, Google Signals está desactivado, y sus datos no se usan para crear perfiles ni para seguirlo en otros sitios. No vendemos datos de navegación.
8. Con quién compartimos
No vendemos ni cedemos datos personales. El intercambio ocurre en tres situaciones, y solo en ellas:
- Operadores — empresas que tratan datos por nuestra cuenta y siguiendo nuestras instrucciones, para hacer viable la operación. Exigimos cláusula de protección de datos en el contrato. Por categoría: infraestructura y nube, firma electrónica, sistema de gestión financiera y contable, plataforma educativa, plataforma de inscripción en eventos, movilidad y viajes, beneficios, telefonía, certificación digital y plataforma del canal de denuncias.
- Controladores autónomos — instituciones que reciben el dato y pasan a tratarlo por decisión y responsabilidad propias: financiadores y fundaciones a los que rendimos cuentas, órganos públicos de fomento cultural y servicios registrales.
- Autoridades — cuando la ley lo exige, y en el límite de lo exigido.
La relación nominal de operadores y la situación contractual de cada uno consta en nuestro registro interno y puede solicitarse por el formulario al final de esta página, eligiendo «¿Con quién lo compartieron?».
9. Transferencia internacional
Parte de nuestra infraestructura está fuera de Brasil, y eso debe decirse con claridad: hay transferencia internacional de datos (art. 33 de la LGPD).
- Nube y colaboración — servicios de infraestructura, correo, almacenamiento y videoconferencia alojados en Estados Unidos. Por ellos transita el conjunto de los datos de la organización.
- Copia de seguridad en nube — copias cifradas en regiones fuera de Brasil.
- Estadística del sitio y medición de anuncios — Google Analytics 4 y Google Ads procesan datos de navegación en Estados Unidos, y solo se activan si usted acepta.
- Movilidad corporativa — el servicio de transporte usado en actividades de la organización lo opera una empresa en Estados Unidos.
La transferencia se apoya en cláusulas contractuales de protección de datos con los operadores y en el cumplimiento del art. 33. Mantenemos copia de seguridad redundante en un centro de datos en Brasil (Valinhos, São Paulo) y el Cockpit — sistema propio donde vive el expediente de los participantes — funciona en un servidor en Brasil (São Paulo).
10. Cuánto tiempo lo guardamos
El plazo sigue la finalidad, y lo que la ley exige. Después de él, el dato se elimina o se anonimiza.
- Contabilidad, fiscal y due diligence de proveedor — 10 años, por exigencia de la legislación tributaria brasileña;
- Contratos y relación con el equipo y prestadores — vigencia + 5 años;
- Programas y expediente social — vigencia + 5 años, plazo de la rendición de cuentas a los financiadores;
- Evaluación de impacto — respuestas individuales hasta la publicación del informe del ciclo; después, anonimizadas. Resultados agregados: ciclo + 5 años;
- Inscripción en evento — 2 años después del evento;
- Formulario de contacto — 24 meses;
- Denuncia — averiguación + 5 años;
- Documento societario y validez jurídica de firma — permanente, por la naturaleza del registro;
- Estadística del sitio — 26 meses;
- Medición de anuncios — 90 días (cookie
_gcl_aw); - Preferencias en su navegador — hasta que usted las borre.
11. Seguridad
Datos en tránsito por TLS 1.2 o superior. Datos en reposo con cifrado, y copias de seguridad cifradas.
El acceso es por perfil y alcance — cada persona llega solo al dato necesario para su función — y las acciones sobre datos personales quedan registradas en una traza de auditoría encadenada por hash, que no permite alteración retroactiva.
Mantenemos registro de incidentes de seguridad. Si ocurre un incidente con riesgo relevante para sus derechos, se lo comunicamos a usted y a la ANPD (autoridad brasileña de protección de datos), como manda el art. 48.
12. Sus derechos, y cómo ejercerlos
Usted puede, en cualquier momento:
- Confirmar que existe tratamiento y acceder a sus datos;
- Corregir dato incompleto, inexacto o desactualizado;
- Pedir anonimización, bloqueo o eliminación de dato innecesario o excesivo;
- Pedir portabilidad;
- Saber con quién lo compartimos;
- Revocar el consentimiento, y saber qué ocurre si no consiente;
- Oponerse a tratamiento hecho sin consentimiento.
El camino es el formulario al final de esta página. Abre una solicitud formal con número de protocolo y plazo contado, que entra directo en la fila del Encargado — usted no necesita saber el nombre jurídico de lo que quiere, basta elegir la frase más parecida a su pregunta. Respondemos en hasta 15 días.
El formulario no pide documento, y usted no debe enviar CPF, documento de identidad ni foto de documento por él. Si la solicitud exige confirmar que es usted, el Encargado lo acuerda en la respuesta, de forma proporcional.
Si prefiere escribir, privacidade@casahacker.org vale lo mismo y tiene el mismo plazo. Y puede, en cualquier momento, reclamar a la ANPD.
13. Canal de denuncias
Irregularidad, acoso o violación ética tienen canal propio, confidencial e independiente de esta política: compliance.casahacker.org.
La identificación es opcional. Cuando la persona se identifica, su identidad queda protegida y el acceso restringido a quien averigua. La depuración del caso es acto humano del Encargado, sin automatización.
14. Cambios en esta política
Cuando esta política cambie de forma relevante, actualizamos la fecha arriba y, si el cambio afecta la base legal o amplía una finalidad, se lo avisamos por los canales que usted ya usa con nosotros.
Las anclas de las secciones (#dados, #direitos, #solicitar…) son estables: el enlace que usted compartió sigue funcionando.