Versión 1.0 · Última actualización: 24 de julio de 2026

Política de Privacidad y Protección de Datos — BotanikTrace

Última actualización: 24 de julio de 2026 Versión: 1.0 (borrador para revisión legal previa a publicación)

⚠️ Nota sobre este documento. Este borrador fue elaborado siguiendo los estándares habituales del RGPD/GDPR (UE/EEE y Reino Unido), la CCPA/CPRA (California), la LGPD (Brasil), la Ley 25.326 (Argentina) y normativa equivalente en otras jurisdicciones de habla hispana y portuguesa. Antes de publicarlo, completar los campos entre corchetes [ ], designar formalmente (si corresponde) un Delegado de Protección de Datos (DPO) o representante en la UE/UK, y validar con asesoría legal local en cada país donde BotanikTrace tenga usuarios — en especial por tratarse de datos vinculados a una actividad regulada (cultivo de cannabis).

Esta Política de Privacidad ("Política") describe cómo [RAZÓN SOCIAL COMPLETA] ("BotanikTrace", "la Compañía", "nosotros"), con domicilio en [DOMICILIO LEGAL], recopila, usa, comparte y protege los datos personales de quienes usan nuestro sitio web, panel (panel.botaniktrace.com), aplicaciones, APIs y dispositivos asociados (conjuntamente, el "Servicio"). Forma parte integrante de los Términos y Condiciones.

Índice

1. Alcance y responsable del tratamiento
2. Datos que recopilamos
3. Finalidades y bases legales del tratamiento
4. Datos de dispositivos IoT y sensores
5. Evidencia fotográfica y geolocalización
6. Pasaportes públicos y datos expuestos sin autenticación
7. Con quién compartimos datos
8. Transferencias internacionales de datos
9. Retención y conservación de datos
10. Medidas de seguridad
11. Cookies y tecnologías similares
12. Tus derechos sobre tus datos
13. Derechos específicos — Unión Europea / EEE / Reino Unido (RGPD)
14. Derechos específicos — California (CCPA/CPRA)
15. Derechos específicos — Brasil (LGPD)
16. Derechos específicos — Argentina (Ley 25.326) y otras jurisdicciones latinoamericanas
17. Menores de edad
18. Notificación de incidentes de seguridad
19. Cambios a esta Política
20. Contacto y Delegado de Protección de Datos

1. Alcance y responsable del tratamiento

1.1. Esta Política aplica a los datos personales tratados a través del Servicio, incluyendo el sitio de marketing (botaniktrace.com), el panel de aplicación (panel.botaniktrace.com), las APIs (/api/*), los dispositivos y gateways que se conectan al Servicio, y las comunicaciones asociadas (email, Telegram, Discord).

1.2. BotanikTrace actúa como responsable/controlador de los datos personales de cuenta (por ejemplo, tus datos de registro, facturación y uso de la plataforma). Respecto de los Datos del Cultivo que una Organización carga sobre terceros (por ejemplo, el nombre de un testigo en una destrucción, o datos de contacto de un comprador en un documento de distribución), BotanikTrace actúa como encargado/procesador en nombre de la Organización, que es responsable/controladora de dichos datos frente a esos terceros. Si administrás una Organización con datos de terceros, sos responsable de contar con base legal propia para tratarlos y de cumplir tus propias obligaciones de información hacia ellos.

1.3. Si actuás en nombre de una Organización (empresa, cooperativa, asociación), esta Política se entiende sin perjuicio de los acuerdos de tratamiento de datos (DPA) que puedan suscribirse adicionalmente entre la Organización y la Compañía cuando la normativa aplicable (por ejemplo, el RGPD) así lo requiera.

2. Datos que recopilamos

2.1. Datos que nos proporcionás directamente

• Datos de cuenta y perfil: nombre, correo electrónico, contraseña (almacenada con hash bcrypt, nunca en texto plano), organización, zona horaria, idioma preferido, unidades de medida.
• Datos de verificación y seguridad: estado de verificación de email, secreto/estado de 2FA (TOTP), historial de sesiones e intentos de acceso (para rate-limiting antifraude).
• Datos de facturación: plan contratado, ciclo de facturación, historial de pagos e identificadores de transacción proporcionados por la pasarela de pago (MercadoPago/Stripe). No almacenamos números completos de tarjetas de crédito/débito; ese dato lo procesa directamente la pasarela de pago.
• Vinculaciones de mensajería: identificadores de cuenta de Telegram y/o Discord, únicamente si decidís vincularlas.
• Datos del Cultivo: información sobre plantas, lotes, ambientes, cosechas, análisis de laboratorio, licencias, reglas de automatización, evidencia fotográfica y registros de destrucción que cargues en la Plataforma.
• Comunicaciones: contenido de tickets de soporte, correos o mensajes que nos envíes.

2.2. Datos que recopilamos automáticamente

• Datos técnicos y de uso: dirección IP, tipo de dispositivo y navegador, sistema operativo, páginas visitadas, marcas de tiempo, identificadores de sesión, y registros de auditoría de acciones dentro de la Plataforma.
• Datos de dispositivos IoT: lecturas de sensores (temperatura, humedad, CO₂, VPD, EC, N-P-K, etc.), identificadores de hardware, estado de conectividad (last_seen) y metadatos de las solicitudes firmadas por HMAC. Ver Sección 4.
• Cookies y almacenamiento local: ver Sección 11.

2.3. Datos que recibimos de terceros

• Confirmaciones de pago y estado de suscripción desde MercadoPago y/o Stripe (mediante webhooks validados por firma).
• Información de vinculación desde Telegram y/o Discord cuando conectás tu cuenta (identificador de chat/usuario), conforme a los flujos de autorización de dichas plataformas.

2.4. Categorías especiales de datos

2.4.1. En principio, el Servicio no está diseñado para recopilar categorías especiales de datos personales (por ejemplo, datos de salud, origen étnico, opiniones políticas o afiliación sindical) de los Usuarios. No obstante, advertimos que:

a) los datos de geolocalización asociados a evidencia fotográfica de un cultivo (Sección 5) pueden considerarse sensibles por motivos de seguridad, dado que revelan la ubicación de una actividad regulada; y

b) en jurisdicciones donde el cultivo, posesión o uso de cannabis está vinculado a una condición médica o a un registro de paciente (por ejemplo, programas de cannabis medicinal), los datos que un Usuario decida cargar podrían constituir datos relativos a la salud bajo el RGPD, la LGPD u otra normativa aplicable, y serán tratados con las salvaguardas reforzadas que dicha normativa exige (base legal específica, minimización, controles de acceso adicionales).

2.4.2. Solicitamos a los Usuarios no cargar categorías especiales de datos de terceros (por ejemplo, datos de salud de un tercero) salvo que exista base legal específica y necesidad estricta para la finalidad de trazabilidad perseguida.

3. Finalidades y bases legales del tratamiento

Cuando la base legal sea el consentimiento, podés retirarlo en cualquier momento sin afectar la licitud del tratamiento previo, a través de la configuración de tu cuenta o contactándonos (Sección 20).

4. Datos de dispositivos IoT y sensores

4.1. Los Dispositivos (sensores, gateways RS-485, Raspberry Pi) transmiten mediciones firmadas mediante HMAC, junto con su identificador de hardware y una marca de tiempo, a nuestros endpoints de ingesta (/api/metrics/ingest.php). Estos datos se validan (firma, rango razonable, límite de tasa) antes de almacenarse.

4.2. Estos datos ambientales, por sí solos, generalmente no constituyen datos personales. Sin embargo, cuando se combinan con la identidad del Usuario/Organización titular del Dispositivo y con datos de geolocalización (Sección 5), pueden volverse indirectamente identificables, y en ese caso se tratan con las mismas garantías que el resto de los Datos del Cultivo.

4.3. El Usuario es responsable de la seguridad física de sus Dispositivos y de sus credenciales (device_secret, API-Key); la Compañía no puede proteger datos que se filtren por pérdida o compromiso de credenciales fuera de nuestros sistemas.

5. Evidencia fotográfica y geolocalización

5.1. Cuando cargás evidencia fotográfica con coordenadas de geolocalización (latitud/longitud), tratamos esas coordenadas como un dato personal potencialmente sensible (revela la ubicación de una actividad regulada) y las almacenamos con los mismos controles de acceso que el resto de los Datos del Cultivo (aislamiento multi-tenant, roles y permisos).

5.2. No usamos las coordenadas de geolocalización para publicidad ni las compartimos con terceros salvo: (a) que decidas incluirlas en un pasaporte público (Sección 6) o en un reporte que exportes; (b) que sea necesario para cumplir una obligación legal; o (c) que lo autorices expresamente.

5.3. Podés optar por no incluir geolocalización al cargar evidencia; esto no afecta el resto de las funcionalidades del Servicio.

6. Pasaportes públicos y datos expuestos sin autenticación

6.1. Como se detalla en la Sección 13 de los Términos y Condiciones, la Plataforma permite generar pasaportes públicos accesibles sin login. Cualquier dato personal que decidas incluir en un pasaporte público (por ejemplo, el nombre de un responsable, o coordenadas de ubicación) quedará accesible públicamente en internet.

6.2. Es tu responsabilidad, como Usuario u Organización, evaluar qué información incluís en un pasaporte público, minimizando datos personales de terceros que no sea estrictamente necesario divulgar. La Compañía no controla el acceso posterior de terceros a un enlace público ya generado y compartido.

7. Con quién compartimos datos

Compartimos datos personales únicamente en las siguientes circunstancias:

• Proveedores de infraestructura y subencargados de tratamiento: proveedores de hosting/nube, base de datos, correo transaccional (SMTP), y almacenamiento de archivos, bajo acuerdos contractuales que exigen niveles de seguridad y confidencialidad adecuados. [Completar: listar proveedores concretos, p. ej. proveedor de hosting/cloud, proveedor de email transaccional].
• Pasarelas de pago: MercadoPago y/o Stripe, para procesar suscripciones y pagos, conforme a sus propias políticas de privacidad.
• Servicios de mensajería: Telegram y/o Discord, únicamente si vinculás tu cuenta, y solo la información necesaria para entregar notificaciones.
• Otros miembros de tu Organización: según el rol y los permisos que el administrador de tu Organización te asigne.
• Autoridades públicas o reguladoras: cuando exista una obligación legal válida (orden judicial, requerimiento con base legal), o cuando sea necesario para proteger derechos, propiedad o seguridad de la Compañía, los Usuarios o terceros. Te notificaremos de dichos requerimientos salvo que la ley lo prohíba.
• En el marco de una operación societaria: fusión, adquisición, reorganización o venta de activos, sujeto a que el adquirente asuma compromisos de protección de datos equivalentes.

No vendemos datos personales a terceros con fines publicitarios, ni compartimos Datos del Cultivo con fines comerciales ajenos a la prestación del Servicio, salvo en formato agregado/anonimizado conforme a la Sección 10.3 de los Términos y Condiciones.

8. Transferencias internacionales de datos

8.1. Nuestra infraestructura y proveedores pueden estar ubicados en países distintos al tuyo, incluyendo transferencias fuera del Espacio Económico Europeo (EEE) o del Reino Unido.

8.2. Cuando transferimos datos personales de usuarios del EEE/Reino Unido a países que no cuentan con una decisión de adecuación de la Comisión Europea, implementamos garantías adecuadas conforme al RGPD, tales como las Cláusulas Contractuales Tipo (Standard Contractual Clauses, SCC) aprobadas por la Comisión Europea, y evaluaciones de impacto de transferencia cuando corresponda.

8.3. Podés solicitar más información sobre las garantías específicas aplicadas a tu caso contactándonos (Sección 20).

9. Retención y conservación de datos

9.1. Conservamos los datos personales durante el tiempo necesario para cumplir las finalidades descriptas en esta Política, y luego los eliminamos o anonimizamos, salvo que la ley exija un plazo distinto.

9.2. Plazos orientativos (a completar/ajustar según política interna definitiva):

9.3. Como se explica en la Sección 12 de los Términos y Condiciones, determinados registros de trazabilidad regulatoria pueden conservarse más allá de una solicitud de borrado, en la medida permitida por las excepciones al derecho de supresión previstas en el art. 17.3 del RGPD, la CCPA/CPRA, la Ley 25.326 y normativa equivalente, por tratarse de información sujeta a obligación legal de conservación.

10. Medidas de seguridad

Implementamos medidas técnicas y organizativas razonables y proporcionales al riesgo, entre ellas:

• Hashing de contraseñas con bcrypt (nunca texto plano).
• Autenticación de dos factores (2FA/TOTP) opcional para los Usuarios.
• Cookies de sesión seguras (HttpOnly, SameSite) y expiración de tokens.
• Protección CSRF en operaciones que modifican datos.
• Aislamiento lógico multi-tenant: una Organización no puede acceder a datos de otra.
• Registro de auditoría encadenado por hash (hash chain), que permite detectar alteraciones no autorizadas del historial.
• Firma HMAC en la ingesta de datos de sensores y validación de firma en webhooks de pago.
• Cabeceras de seguridad HTTP y Content Security Policy (CSP) en el servidor.
• Límite de intentos de acceso (rate limiting) para mitigar ataques de fuerza bruta.
• Controles de acceso basados en roles y permisos granulares, con opción de doble aprobación para operaciones sensibles.

Estas medidas se describen con fines informativos y no constituyen una garantía de seguridad absoluta. Ningún sistema es completamente invulnerable; ver también la Sección 18 sobre notificación de incidentes.

11. Cookies y tecnologías similares

11.1. Utilizamos cookies y tecnologías similares (localStorage, tokens de sesión) para: (a) mantener tu sesión iniciada; (b) recordar preferencias (idioma, unidades); (c) proteger contra CSRF; y, si están habilitadas, (d) analítica de uso agregada.

11.2. Cookies estrictamente necesarias (sesión, seguridad/CSRF) se instalan sin requerir consentimiento previo, por ser indispensables para el funcionamiento del Servicio, conforme lo permite la normativa de cookies aplicable (por ejemplo, la Directiva ePrivacy en la UE).

11.3. Cookies no esenciales (analítica, preferencias no funcionales), si las hubiera, se instalarán únicamente con tu consentimiento previo, gestionable mediante un panel de preferencias de cookies. [Completar según las herramientas de analítica/marketing efectivamente utilizadas, si las hay, y activar un banner de consentimiento de cookies conforme al RGPD/ePrivacy para usuarios del EEE/UK, y a la LGPD para usuarios de Brasil].

11.4. Podés gestionar o bloquear cookies desde la configuración de tu navegador, aunque esto podría afectar el funcionamiento del Servicio.

12. Tus derechos sobre tus datos

Con independencia de tu ubicación, y en la medida en que la normativa local te los reconozca, podés ejercer los siguientes derechos sobre tus datos personales:

• Acceso: obtener confirmación de si tratamos datos tuyos y copia de los mismos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión / cancelación: solicitar la eliminación o anonimización de tus datos, sujeto a las excepciones legales descriptas en la Sección 9.3.
• Portabilidad: recibir tus datos en un formato estructurado, de uso común y lectura mecánica (JSON), y transmitirlos a otro responsable cuando sea técnicamente posible.
• Oposición: oponerte al tratamiento de tus datos basado en interés legítimo o para fines de marketing directo.
• Limitación del tratamiento: solicitar que restrinjamos el tratamiento en determinados supuestos.
• Revocar el consentimiento, cuando el tratamiento se base en él, sin efecto retroactivo.
• No ser objeto de decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos significativos sobre vos. (BotanikTrace no utiliza actualmente perfilado automatizado con efectos jurídicos o significativos sobre los Usuarios; las alertas y automatizaciones operan sobre reglas configuradas por el propio Usuario.)

Cómo ejercerlos. Desde el panel, en Ajustes → Privacidad (/privacy), podés exportar tus datos y solicitar el borrado/anonimización de tu cuenta de forma self-service. Para cualquier otro derecho, o si preferís gestionarlo por correo, escribinos a los contactos de la Sección 20. Responderemos dentro de los plazos exigidos por la normativa aplicable (por ejemplo, un mes conforme al RGPD, prorrogable; los plazos específicos de CCPA/CPRA, LGPD y Ley 25.326 se detallan en las secciones 13 a 16).

Tenés además derecho a presentar una reclamación ante la autoridad de control de protección de datos que corresponda a tu país de residencia (ver ejemplos en las secciones siguientes).

13. Derechos específicos — Unión Europea / EEE / Reino Unido (RGPD)

13.1. Si resides en el EEE, Reino Unido o Suiza, además de los derechos generales de la Sección 12, tenés derecho a presentar una reclamación ante tu autoridad nacional de control (por ejemplo, la AEPD en España, la CNIL en Francia, o el ICO en el Reino Unido).

13.2. Base legal para transferencias internacionales: ver Sección 8.

13.3. Delegado de Protección de Datos / Representante en la UE: si la Compañía está obligada a designarlo conforme al art. 27 o 37 del RGPD, sus datos de contacto se publicarán en la Sección 20.

13.4. No realizamos tratamiento automatizado con efectos jurídicos significativos sin intervención humana, conforme al art. 22 del RGPD.

14. Derechos específicos — California (CCPA/CPRA)

14.1. Si sos residente de California, tenés derecho a: saber qué categorías de información personal recopilamos, usamos, divulgamos y (en su caso) "vendemos" o "compartimos" (en el sentido amplio de la CPRA); solicitar el acceso y la portabilidad de tus datos; solicitar su eliminación; solicitar la corrección de información inexacta; limitar el uso y divulgación de información personal sensible; y no ser objeto de trato discriminatorio por ejercer estos derechos.

14.2. Declaración sobre venta/"compartición" de datos: BotanikTrace no vende información personal según la definición de la CCPA/CPRA. [Confirmar/ajustar si se incorporan herramientas de publicidad o analítica de terceros que puedan constituir "sharing" bajo la CPRA; en tal caso, habilitar mecanismo de exclusión "Do Not Sell or Share My Personal Information" y honrar señales Global Privacy Control (GPC)].

14.3. Podés ejercer tus derechos CCPA/CPRA a través del panel de Privacidad o escribiendo a los contactos de la Sección 20. Verificaremos tu identidad antes de procesar la solicitud, conforme lo exige la ley.

15. Derechos específicos — Brasil (LGPD)

15.1. Si te encontrás en Brasil, la Lei Geral de Proteção de Dados (Lei nº 13.709/2018) reconoce los derechos de confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação, portabilidade, eliminação, información sobre entidades públicas/privadas con las que compartimos datos, información sobre la posibilidad de no dar consentimiento y sus consecuencias, y revocación del consentimiento.

15.2. Podés presentar una reclamación ante la Autoridade Nacional de Proteção de Dados (ANPD).

15.3. [Completar]: identificar al Encarregado de Dados (DPO) designado conforme al art. 41 de la LGPD, cuyos datos de contacto se publicarán en la Sección 20.

16. Derechos específicos — Argentina (Ley 25.326) y otras jurisdicciones latinoamericanas

16.1. Argentina. Conforme a la Ley 25.326 de Protección de los Datos Personales y su reglamentación, tenés derecho de acceso, rectificación, actualización y supresión de tus datos personales, así como a revocar el consentimiento otorgado. La Agencia de Acceso a la Información Pública (AAIP), en su carácter de autoridad de control, tiene la atribución de atender denuncias y reclamos que interpongan quienes resulten afectados en sus derechos por incumplimiento de las normas vigentes en materia de protección de datos personales.

16.2. Los datos personales tratados en el marco del Servicio se incorporan a una base de datos de titularidad de la Compañía, y podrán ser cedidos únicamente conforme a lo previsto en la Ley 25.326 y en esta Política.

16.3. Otras jurisdicciones latinoamericanas. Si resides en un país con legislación específica de protección de datos personales (a título de ejemplo: Ley N.º 19.628 y Ley N.º 21.719 en Chile; Ley 1581 de 2012 en Colombia; Ley Federal de Protección de Datos Personales en Posesión de los Particulares en México; Ley N.º 18.331 en Uruguay; Ley de Protección de Datos Personales en Perú), te reconocemos los derechos de acceso, rectificación, cancelación/supresión, oposición y portabilidad que dicha normativa te otorgue, y podés ejercerlos mediante los contactos de la Sección 20. Ante cualquier duda sobre el marco específico aplicable a tu país, contactanos y te orientaremos sobre el procedimiento correspondiente.

17. Menores de edad

El Servicio no está dirigido a menores de edad (ver Sección 2.4 de los Términos y Condiciones) y no recopilamos intencionalmente datos de menores. Si sos madre, padre o tutor y creés que un menor a tu cargo nos proporcionó datos personales, contactanos para solicitar su eliminación.

18. Notificación de incidentes de seguridad

18.1. Contamos con procedimientos internos para detectar, evaluar y responder ante incidentes de seguridad que puedan afectar datos personales.

18.2. En caso de una violación de seguridad de datos personales que suponga un riesgo para tus derechos y libertades, te notificaremos sin dilación indebida, y notificaremos a la autoridad de control competente dentro de los plazos exigidos por la normativa aplicable (por ejemplo, 72 horas conforme al art. 33 del RGPD desde que tengamos conocimiento del incidente, u otros plazos según la ley de tu jurisdicción), indicando la naturaleza del incidente, las categorías y el volumen aproximado de datos afectados, las consecuencias probables y las medidas adoptadas o propuestas.

19. Cambios a esta Política

Podemos actualizar esta Política periódicamente. Ante cambios sustanciales, te notificaremos por correo electrónico y/o mediante un aviso destacado en la Plataforma antes de que entren en vigencia, indicando la nueva fecha de "Última actualización". Te recomendamos revisar esta página periódicamente.

20. Contacto y Delegado de Protección de Datos

Para ejercer tus derechos, realizar consultas sobre esta Política o reportar un incidente de seguridad:

• Protección de datos / DPO / Encargado(a) de Datos: [[email protected]]
• Soporte general: [[email protected]]
• Domicilio legal: [DOMICILIO LEGAL COMPLETO]
• Representante en la UE/EEE (si aplica conforme al art. 27 RGPD): [A DESIGNAR]
• Autoridad de control de referencia (Argentina): Agencia de Acceso a la Información Pública (AAIP) — www.argentina.gob.ar/aaip

Documento relacionado: Términos y Condiciones de Uso.