Política de Privacidad

Última actualización: 16 de septiembre de 2026

Esta Política de Privacidad explica cómo cuoHRe recolecta, usa, protege y comparte la información de los Clientes y sus empleados. Está alineada con la Ley 25.326 de Protección de Datos Personales de Argentina y, cuando aplica, con el GDPR (Reglamento UE 2016/679).

1. Roles

• Responsable de tratamiento: la empresa Cliente que contrata cuoHRe es la responsable de los datos de sus empleados que carga en el sistema.
• Encargado del tratamiento: cuoHRe procesa esos datos en nombre del Cliente, según las instrucciones del Cliente y siguiendo medidas técnicas y organizativas razonables.

2. Datos que recolectamos

2.1 Datos del Cliente (administrador de la cuenta)

• Nombre, email, teléfono
• Datos de la empresa (razón social, CUIT/CUIL, domicilio)
• Datos de facturación procesados por el processor de pagos (Paddle / MercadoPago)
• Logs de acceso (IP, fecha/hora, browser)

2.2 Datos de empleados (cargados por el Cliente)

• Datos personales: nombre, DNI/CUIL, fecha de nacimiento, dirección, contacto, foto
• Datos laborales: legajo, posición, sueldo, fecha de ingreso, antigüedad
• Datos bancarios: CBU, banco, tipo de cuenta (para liquidación)
• Datos de salud: solo si el Cliente carga certificados médicos para licencias
• Familiares a cargo (según planes deducción ganancias)
• Evaluaciones de desempeño y respuestas a encuestas
• Documentos firmados digitalmente (recibos, declaraciones, etc.)

2.3 Datos biométricos (aplicaciones móviles cuoHRe Fichadas y cuoHRe)

Las aplicaciones móviles del Servicio pueden procesar datos biométricos faciales con las siguientes finalidades:

• Fichada facial (cuoHRe Fichadas): captura de imagen del rostro del empleado en el momento de registrar entrada/salida en una tablet kiosk provista por el Cliente. La imagen se envía cifrada a Amazon Web Services Rekognition (región us-east-1), que devuelve un vector de embedding comparado contra la colección facial del tenant. El match confirma la identidad del empleado y registra la fichada.
• Firma biométrica de recibos (cuoHRe mobile): captura opcional del rostro del empleado al momento de firmar digitalmente un recibo de sueldo, para reforzar la evidencia legal de identidad. Mismo pipeline técnico.
• Autenticación por Face ID / huella (cuoHRe mobile): usado solo localmente en el dispositivo del empleado para desbloquear la app; NO se envía al servidor. Gestionado por el sistema operativo (Apple LocalAuthentication / Android BiometricPrompt).

Retención:

• El vector de embedding (representación matemática irreversible del rostro) queda en la colección Rekognition del tenant mientras el empleado esté activo. Se elimina en la baja del empleado o a solicitud.
• La imagen capturada de cada fichada se guarda en Cloudinary con tag de auto-eliminación a los 30 días, para permitir auditoría corta y disputas de fichada.
• La foto de perfil (registro inicial) se guarda mientras el empleado esté activo — es análoga a la foto de legajo en RRHH.

Base legal: ejecución del contrato laboral entre el empleado y el Cliente. cuoHRe recomienda al Cliente informar al empleado y obtener consentimiento documentado antes de habilitar la fichada facial (por ejemplo, cláusula en el contrato o adenda), conforme a la Ley 25.326 de Argentina que trata los datos biométricos como datos sensibles.

Derechos: el empleado puede solicitar al Cliente la eliminación de su vector biométrico. Cuando se aplique, cuoHRe borra el vector de la colección y las imágenes cacheadas dentro de las 72 horas hábiles.

2.4 Datos de geolocalización (cuoHRe mobile)

La aplicación cuoHRe mobile puede solicitar acceso a la ubicación fina del dispositivo cuando el empleado realiza una fichada desde el celular. La ubicación se compara contra los geofences definidos por el Cliente (sucursales, unidades de trabajo autorizadas) y se guarda junto con el registro de fichada para prevenir fraude. La app NO monitorea la ubicación en background — solo en el momento explícito de ficha.

2.5 Notificaciones push (cuoHRe mobile)

La app registra un token de notificaciones push con Expo Push, que actúa como relay hacia Firebase Cloud Messaging (Android) o Apple Push Notification service (iOS). Este token identifica al dispositivo del empleado a los efectos de entregar notificaciones del Cliente (recordatorios, aprobaciones, novedades). No se comparte con terceros distintos de los relays técnicos mencionados.

2.6 Datos de uso

• Acciones realizadas en la plataforma (audit log via entity_history)
• Métricas agregadas y anónimas para mejora del producto
• Crash reports y errores de aplicación enviados a Sentry (ver Sección 5), sin cuerpos de request ni tokens

3. Cómo usamos los datos

4. Almacenamiento y seguridad

• La API se ejecuta en Fly.io, región São Paulo (GRU). La base de datos productiva es Supabase Postgres, también región São Paulo.
• Los frontends del Servicio (web app, panel admin, landing) se sirven desde Render con CDN de Cloudflare.
• Comunicación cifrada en tránsito (HTTPS/TLS 1.2+) — terminación TLS gestionada por Cloudflare.
• Contraseñas hasheadas con bcrypt (cost factor 10+).
• Cifrado en reposo de PII: los campos sensibles (DNI, CUIT, CBU, bancarios) están cifrados a nivel columna con AES-256-GCM antes de persistir en la base.
• Firmas digitales con RSA-2048 + AES-256-GCM para llaves privadas (formato Minder).
• Backup diario con retención de 30 días.
• Logs de acceso y modificaciones (audit log) con retención de 1 año (estándar) o 3 años (tier Enterprise).
• Acceso a datos del Cliente restringido por roles + scopes (RBAC granular).
• Política de contraseñas por tenant: cada Cliente puede configurar mínimos de complejidad, expiración, historial de reuso y bloqueo por intentos fallidos desde su panel de administración de usuarios.
• Rate-limiting y lockout global por email: mitigación contra fuerza bruta distribuida además del lockout por tenant.

4.bis Aislamiento multi-tenant y subdominio propio

cuoHRe opera el Servicio en arquitectura multi-tenant: todos los Clientes comparten la misma instancia de aplicación y base de datos, pero los datos de cada Cliente están aislados lógicamente mediante un identificador único de empresa (company_id_tenant) aplicado como filtro obligatorio en toda consulta y operación. El modelo de control de accesos por roles (RBAC) impide el acceso cruzado entre tenants.

Los Clientes del tier Enterprise pueden activar el módulo de portal con dominio propio, en cuyo caso reciben un subdominio <cliente>.cuohre.com propio. En este modo, además del aislamiento lógico estándar, el frontend valida que el subdominio de acceso coincida con la empresa del usuario autenticado; cualquier discordancia rechaza la sesión.

Para clientes con requerimientos regulatorios particulares (sector financiero, gobierno, salud), está disponible bajo contrato específico el alojamiento en base de datos dedicada por tenant y, opcionalmente, llaves de cifrado gestionadas por el Cliente (BYOK). Estos servicios constituyen add-ons del tier Enterprise+.

5. Compartición de datos con terceros

cuoHRe NO vende ni alquila datos personales. Los compartimos solo con:

• Procesadores de pagos: Paddle Inc. (UK) y MercadoPago S.R.L. (Argentina) — solo datos del Cliente para facturación.
• Proveedor de email transaccional: Resend (EE.UU.) — para enviar notificaciones automáticas (recibos, alertas, recordatorios).
• Infraestructura cloud (backend): Fly.io Inc. (EE.UU., pero hosting físico en Brasil — región São Paulo) — cómputo de la API.
• Infraestructura cloud (base de datos): Supabase Inc. (EE.UU., hosting físico en Brasil — región São Paulo) — Postgres administrado.
• Frontends: Render.com (EE.UU.) — hosting de la web app y panel admin.
• CDN, WAF y terminación TLS: Cloudflare Inc. (global anycast) — protección DDoS, certificado wildcard para los subdominios de Cliente, caching de assets estáticos.
• Amazon Web Services (AWS Rekognition): procesamiento del vector de embedding facial para autenticación por reconocimiento facial (región us-east-1). Ver Sección 2.3.
• Cloudinary: almacenamiento de imágenes (fotos de perfil, logos del tenant, imágenes de fichada con auto-eliminación a 30 días).
• Expo Application Services (EAS Push) + Firebase Cloud Messaging + Apple Push Notification service: relay técnico para las notificaciones push de la app móvil. Ver Sección 2.5.
• Anthropic PBC (opcional): API de modelos de lenguaje, utilizada por el asistente IA cuando el Cliente lo habilita. Los datos del Cliente que se envían a la API NO se utilizan para entrenamiento de modelos (compromiso contractual del proveedor).
• Functional Software Inc. (Sentry, EE.UU. ingest): logging centralizado y captura de errores de las apps móviles y del backend. Excluye credenciales, tokens y campos sensibles vía filtros configurados.
• Autoridades: solo cuando hay obligación legal o requerimiento judicial.

Cada uno de estos proveedores tiene sus propias políticas de privacidad y cumplimiento (SOC 2, ISO 27001, etc.). El listado completo y actualizado de Subencargados se encuentra en el Anexo II del DPA.

5.ter Estado de auditorías

cuoHRe tiene los controles SOC 1 y SOC 2 implementados, documentados y operativos en producción. El engagement formal con auditor independiente se planifica según la demanda concreta de Clientes Enterprise.

Hasta la emisión del primer reporte SOC, los Clientes que requieran evidencia formal de controles pueden solicitar bajo NDA:

• Security questionnaire response (SIG-Lite, CAIQ, equivalentes).
• Documentation review: las 10 policies internas (information security, change management, segregation of duties, incident response, etc.) más el inventario detallado de controles SOC1-CONTROLS y el roadmap interno COMPLIANCE-ROADMAP.
• Walkthrough técnico en vivo: demo del audit log, RBAC granular, approval workflow, firma digital RSA-PSS, versionado de fórmulas.
• Agreed-upon procedures: el auditor designado del Cliente puede testear los controles directamente, con acceso de solo lectura coordinado al ambiente de prueba.

El reporte SOC 1 está específicamente orientado al auditor externo del Cliente que revisa los outputs de cálculo de payroll (liquidación de sueldos, aportes patronales, retenciones impositivas, asientos contables) en el marco de la auditoría de estados contables anuales. Cuando se emita, se incluirá Reliance Letter dirigida al auditor designado por el Cliente. La página pública Trust Center mantiene el estado actualizado.

5.bis Acuerdo de Procesamiento de Datos (DPA)

Para Clientes que requieran un instrumento contractual específico de protección de datos (típicamente Enterprise, empresas con compliance interno o entidades sujetas a GDPR / LGPD), cuoHRe pone a disposición un Acuerdo de Procesamiento de Datos (DPA) firmable. El DPA detalla los roles de las partes, el alcance del Tratamiento, los Subencargados, las medidas técnicas y organizativas, los plazos de notificación de incidentes y los derechos de auditoría.

Para solicitar la firma, contactar a legal@cuohre.com.

6. Transferencia internacional de datos

Dado que la infraestructura está en EE.UU., los datos pueden transferirse fuera de Argentina/UE. Para clientes UE, esto se ampara en cláusulas contractuales tipo (SCCs) y/o el Data Privacy Framework EE.UU.-UE cuando aplique.

7. Derechos del titular de los datos

Los empleados cuyos datos están cargados en cuoHRe pueden ejercer estos derechos a través de su empresa empleadora (Cliente):

• Acceso: ver los datos personales registrados (en la app, vía Mi Portal)
• Rectificación: corregir datos inexactos
• Supresión: solicitar borrado, sujeto a obligaciones legales del empleador
• Portabilidad: recibir copia en formato estructurado
• Oposición: a tratamientos basados en interés legítimo

El Cliente (empresa) debe atender estas solicitudes; cuoHRe asiste según corresponda.

8. Retención de datos

• Mientras la cuenta esté activa: indefinidamente (es la herramienta del Cliente).
• Al cancelar la cuenta: 90 días en backup, después borrado permanente.
• Datos de facturación: 5 años (obligación fiscal Argentina).
• Logs de acceso: 1 año.
• Vectores biométricos: mientras el empleado esté activo; eliminación dentro de 72h hábiles a solicitud (ver Sección 2.3).
• Imágenes de fichada facial: 30 días (auto-eliminación en Cloudinary).
• Tokens de notificación push: hasta que el empleado desinstale la app o revoque el permiso en el sistema.

9. Cookies y tracking

cuoHRe usa cookies estrictamente necesarias para el funcionamiento (sesión, preferencias de idioma, tema). NO usa cookies de tracking publicitario en la app. La landing puede incluir analytics agregado (sin identificación personal).

10. Menores de edad

El Servicio está destinado a empresas y empleados mayores de 18 años. cuoHRe no recolecta datos de menores intencionalmente.

11. Notificación de incidentes

En caso de brecha de seguridad que afecte datos personales, cuoHRe notificará al Cliente afectado dentro de las 72 horas de detectada, junto con las medidas tomadas y recomendaciones.

12. Cambios a esta política

Las modificaciones materiales se notifican por email al administrador con 30 días de anticipación.

13. Contacto y autoridad de control

Consultas sobre privacidad: privacidad@cuohre.com

Autoridad de control en Argentina: Agencia de Acceso a la Información Pública — aaip.gob.ar