1En resumen
Este es el resumen de nuestro aviso de privacidad (aviso simplificado). El aviso integral, con todo el detalle, empieza en la sección 2.
- Responsable
- NORTHSTAR TECHNOLOGIES S.A DE C.V, que opera como Northstar Technologies, con domicilio en [Domicilio completo].
- Datos que tratamos
- Identificación y contacto (nombre y correo), los de tu cuenta y su seguridad (contraseña guardada como hash, llaves de acceso, sesiones con dirección IP y navegador), los de tu organización, los de facturación cuando contratas y datos técnicos de uso de nuestros servicios. No te pedimos datos personales sensibles.
- Finalidades que no requieren tu consentimiento
- Crear y administrar tu cuenta, prestarte el servicio contratado, proteger tu cuenta y nuestros servicios, facturar, atenderte y cumplir la ley. Son necesarias para la relación que tenemos contigo.
- Finalidades que requieren tu consentimiento
- Avisarte cuando abramos el acceso, si te unes a la lista de espera, y entregar tus datos a las aplicaciones que autorices con Northstar ID. No usamos tus datos para publicidad ni mercadotecnia.
- Cómo limitar su uso o ejercer tus derechos
- Escríbenos a hola@bynorthstar.tech. Las secciones 13 y 14 explican cómo.
- Datos que guardan nuestros clientes
- Lo que una organización guarda o recibe con nuestros productos lo tratamos por su cuenta, como encargado. El responsable de esos datos es la organización (sección 6).
2Quién es el responsable
El responsable de tus datos personales es NORTHSTAR TECHNOLOGIES S.A DE C.V, que opera con el nombre comercial Northstar Technologies («Northstar» o «nosotros»), con RFC [RFC] y domicilio en [Domicilio completo].
Para todo lo relacionado con tus datos personales te atiende [Persona o departamento de datos personales], en hola@bynorthstar.tech o en el domicilio anterior.
3A quién aplica y en qué papel
Este aviso aplica a:
- Quienes visitan este sitio, se unen a la lista de espera o nos piden acceso.
- Quienes tienen una cuenta de Northstar ID y los miembros de las organizaciones que usan Northstar ID, Cipher, Haven, Workspace, Astra, Review, Pulse y Uptime.
- Los contactos de nuestros clientes para contratación, facturación y soporte.
Northstar tiene dos papeles distintos, y conviene separarlos:
| Aspecto | Como responsable | Como encargado |
|---|---|---|
| Qué datos | Los de este sitio, tu cuenta, tu organización como cliente, la facturación, el soporte y la seguridad. | Lo que una organización guarda o recibe con nuestros productos: archivos y documentos, transferencias, reportes de Review, mediciones de Pulse, monitores e incidentes de Uptime y los datos que cifra con Cipher. |
| Quién decide cómo se usan | Northstar, conforme a este aviso. | La organización cliente, conforme a su propio aviso de privacidad y a su contrato con nosotros. |
| Ante quién ejerces tus derechos | Ante Northstar (sección 13). | Ante la organización cliente (sección 6). |
4Datos que tratamos como responsable
Obtenemos datos directamente de ti, cuando llenas un formulario o usas un producto, y de forma automática, cuando tu navegador se conecta a nuestros servicios. Cuando entras a un producto de Northstar con tu cuenta de Northstar ID, el producto recibe tu nombre y tu correo desde ella.
Si visitas este sitio
Este sitio no usa cookies, no guarda nada en tu navegador y no tiene analítica ni publicidad. Las tipografías se sirven desde nuestro propio sitio, así que tu navegador no se conecta a terceros para mostrarlo (sección 9).
Si te unes a la lista de espera
Tratamos el correo electrónico que escribes en el formulario, solo para avisarte cuando abramos el acceso.
Si tienes una cuenta o usas nuestros productos
| Categoría | Datos |
|---|---|
| Identificación y contacto | Nombre y correo electrónico. |
| Acceso y seguridad | Contraseña (solo guardamos un hash), segundo factor (secreto TOTP y códigos de recuperación), llaves de acceso o passkeys (llave pública, modelo del autenticador y un nombre tomado de tu dispositivo) y los códigos que te enviamos por correo. |
| Sesiones y actividad | Dirección IP, navegador y sistema operativo, fecha y hora de cada inicio de sesión, métodos de autenticación usados y el registro de acciones de seguridad de tu cuenta. |
| Organización | Nombre de tu organización, tu rol, las invitaciones (correo de la persona invitada y quién invitó) y los dominios verificados. |
| Dispositivos | En Haven, el nombre de cada dispositivo (por ejemplo, «Chrome · macOS») y sus llaves públicas. |
| Desarrolladores | Si registras una aplicación en Northstar ID: su nombre, descripción, direcciones web y correo de soporte. |
| Facturación | Los que describe la sección 8. |
| Comunicaciones | Lo que nos escribas, por ejemplo al pedir ayuda o al ejercer tus derechos. |
La sección 7 detalla qué trata cada producto.
Datos sensibles
No te pedimos datos personales sensibles, es decir, los que tocan tu esfera más íntima o pueden dar lugar a discriminación, como el origen étnico, la salud, las creencias, las opiniones políticas o la preferencia sexual. Si una organización guarda datos sensibles en nuestros productos, los tratamos por su cuenta (sección 6).
5Para qué usamos tus datos
Usamos tus datos para estas finalidades. Todas son necesarias para el servicio que nos pides.
| Finalidad | ¿Requiere tu consentimiento? |
|---|---|
| Crear, verificar y administrar tu cuenta, y permitirte iniciar sesión en nuestros productos. | No. Es necesaria para la relación jurídica contigo (art. 9, fracción IV de la ley). |
| Prestarte los servicios que tú o tu organización contratan, con sus invitaciones, roles y permisos. | No, por la misma razón. |
| Proteger tu cuenta y nuestros servicios: limitar intentos, detectar abusos, avisarte de cambios de seguridad y llevar registros de actividad. | No, por la misma razón. |
| Permitir que los administradores de tu organización vean a sus miembros y su actividad en ella. | No, por la misma razón. |
| Cobrar, facturar y cumplir nuestras obligaciones fiscales. | No. Además, lo exige la ley (art. 9, fracciones I y IV). |
| Atender tus solicitudes y dudas, y el ejercicio de tus derechos. | No. |
| Cumplir obligaciones legales y requerimientos fundados de autoridades competentes. | No (art. 9, fracciones I y VII). |
| Avisarte cuando abramos el acceso, si te unes a la lista de espera. | Sí. Lo das al enviarnos tu correo y puedes retirarlo cuando quieras. |
| Entregar tus datos a una aplicación que autorizas con Northstar ID. | Sí, de forma expresa, en la pantalla de autorización de cada aplicación. |
No tenemos finalidades secundarias. No usamos tus datos para mercadotecnia, publicidad ni prospección comercial, y no los vendemos. Si algún día quisiéramos usarlos para algo que no está en este aviso, te lo pediríamos antes y podrías negarte sin que eso afecte tu servicio.
Decisiones automatizadas. No tomamos decisiones sobre ti basadas solo en un tratamiento automatizado que produzcan efectos jurídicos. Algunos controles de seguridad sí son automáticos, como bloquear por un tiempo los intentos de acceso después de varios fallos. Si uno te afecta, escríbenos y lo revisará una persona.
6Datos que tratamos por cuenta de clientes
Cuando una organización usa nuestros productos para guardar, enviar o analizar datos de otras personas, como sus clientes, empleados o visitantes, la organización es la responsable de esos datos y Northstar actúa como su encargado. Eso significa que:
- Los tratamos solo para prestar el servicio, conforme a las instrucciones del cliente y a su contrato.
- No los usamos para fines propios ni los vendemos, y no los comunicamos a nadie salvo por instrucción del cliente o mandato de autoridad.
- Al terminar el servicio, los suprimimos según lo acordado con el cliente, salvo que la ley obligue a conservarlos.
En Haven, Workspace y Astra el contenido se cifra de extremo a extremo en los dispositivos de quienes los usan: no tenemos las llaves para leerlo.
Si eres una de esas personas y quieres ejercer tus derechos, dirígete a la organización que recabó tus datos: su aviso de privacidad te dice cómo. Si nos escribes a nosotros, te diremos a quién acudir y ayudaremos al cliente a responderte.
Nuestros clientes deben informar a sus usuarios que usan nuestros productos. La sección 7 indica, para cada producto, qué deben avisarles.
7Cada producto, en detalle
Para cada producto explicamos qué datos tratamos, si podemos leerlos, cuánto tiempo los conservamos, qué registramos de tu conexión y qué debe avisar el cliente a sus propios usuarios.
| Producto | Papel de Northstar | ¿Northstar puede leer el contenido? |
|---|---|---|
| Northstar ID | Responsable | Sí. Los datos de tu cuenta se cifran con Cipher, y nuestros servidores los descifran para operar. |
| Northstar Cipher | Responsable de la consola; encargado de los datos que cifra el cliente | Los procesa en memoria para cifrarlos o descifrarlos y no los guarda en claro. |
| Northstar Haven | Responsable de las cuentas; encargado de los archivos | No: contenido y nombres van cifrados de extremo a extremo. Vemos metadatos, como tamaños y quién tiene acceso. |
| Northstar Workspace | Encargado | No el contenido, cifrado de extremo a extremo. Sí el registro de firmas, con IP y fechas. |
| Northstar Astra | Responsable de quien envía; encargado de las transferencias | No: archivos, nombres y mensaje van cifrados de extremo a extremo. Vemos tamaños, fechas y descargas. |
| Northstar Review | Responsable del tablero; encargado de los reportes | Sí. Se cifran en nuestros servidores, que los descifran para mostrarlos. |
| Northstar Pulse | Responsable del tablero; encargado de las mediciones | Sí. Se cifran en nuestros servidores, que los descifran para calcular los reportes. |
| Northstar Uptime | Responsable del panel; encargado de monitores, incidentes y suscriptores | Sí. Lo protegido se cifra con Cipher y nuestros servidores lo descifran para operar. Lo que el cliente publica en una página pública es público. |
7.1 Northstar IDResponsable
Northstar ID es la cuenta con la que entras a los productos de Northstar y a las aplicaciones de terceros que ofrecen «Iniciar sesión con Northstar ID». Somos responsables de los datos de tu cuenta.
- Qué datos tratamos
- Tu nombre y tu correo; tu contraseña, de la que solo guardamos un hash; tu segundo factor, tus códigos de recuperación y tus llaves de acceso; los códigos que te enviamos para verificar o cambiar tu correo o recuperar tu cuenta; tus sesiones, con IP y navegador; tus organizaciones, roles e invitaciones; y el registro de actividad de seguridad de tu cuenta.
- Qué recibe una aplicación que autorizas
- Un identificador tuyo, distinto para cada aplicación de terceros para que no puedan cruzar datos entre sí, y, si lo aceptas, tu correo (y si está verificado) y tu nombre, además de cómo y cuándo iniciaste sesión. La pantalla de autorización te muestra la aplicación, los datos que pide y el enlace a su aviso de privacidad, si lo dio.
- Cifrado y quién puede leerlos
- Tu nombre, tu correo, las IP y navegadores de tus sesiones, el secreto de tu segundo factor y la IP, el navegador y los detalles del registro de actividad se guardan cifrados con Northstar Cipher. Las contraseñas se guardan como hash (bcrypt) y los códigos, como HMAC. Nuestros servidores descifran los datos cuando los necesitan, por ejemplo para mostrártelos o enviarte un correo. El servidor de autorización (Ory Hydra, que operamos nosotros) no recibe tu nombre ni tu correo: guarda un identificador y las aplicaciones que autorizaste.
- Conservación
- Los datos de tu cuenta, mientras la tengas. Los códigos por correo valen 10 minutos y las sesiones caducan a las 12 horas; sus registros se conservan con tu cuenta. El registro de actividad se borra a los 90 días o, en una organización, al plazo que esta elija entre 30 y 365 días. Las invitaciones a una organización vencen a los 7 días. Las autorizaciones a aplicaciones no caducan: se retiran al restablecer tu contraseña o cuando nos lo pides.
- Registros y direcciones IP
- Guardamos la IP y el navegador de cada sesión y de cada evento del registro de actividad. Los administradores de tu organización ven tu actividad con la IP enmascarada. El servidor de autorización anota la IP y el navegador de cada solicitud en sus registros técnicos. También usamos la IP, por poco tiempo, para limitar intentos de acceso.
- Proveedores
- Resend envía nuestros correos (códigos, invitaciones y avisos de seguridad). En producción, Have I Been Pwned nos dice si una contraseña aparece en filtraciones conocidas (sección 10).
- Qué debe informar el cliente
- Quien integra Northstar ID en su aplicación debe explicar en su propio aviso qué datos recibe de Northstar ID y para qué los usa.
7.2 Northstar CipherResponsable y encargado
Northstar Cipher cifra los datos de las aplicaciones de nuestros clientes. Somos responsables de las cuentas de su consola y encargados de los datos que los clientes cifran.
- Cuentas de la consola
- Nombre y correo; contraseña opcional, guardada como hash (argon2id); segundo factor y códigos de recuperación; sesiones con IP y navegador; organizaciones, miembros e invitaciones, con el correo de la persona invitada; y un registro de auditoría con el nombre de quien actúa, los correos invitados y, en los intentos fallidos de acceso, el correo escrito y la IP. Northstar puede leer estos datos.
- Datos que cifran los clientes
- Cipher recibe los datos sellados hacia su servicio de cifrado, los procesa en memoria y no los guarda ni los registra. Del uso anota nombres de colecciones y campos, identificadores de llave, conteos, tamaños y el propósito declarado; nunca los valores ni los identificadores de los registros. Los índices ciegos se guardan en la base de datos del cliente.
- Búsqueda cifrada
- Si el cliente usa Northstar Search, guardamos en nuestros nodos de búsqueda una copia cifrada de los campos que indexa, hasta que el cliente borra el índice. La búsqueda puede devolver esos valores a las aplicaciones del cliente.
- Conservación
- Las sesiones de la consola duran 120 minutos y las invitaciones vencen a los 7 días; sus registros se conservan. El registro de auditoría es permanente: por diseño, la base de datos no permite modificarlo ni borrarlo. Destruir una llave requiere la aprobación de dos administradores distintos.
- Registros y direcciones IP
- Guardamos la IP y el navegador de las sesiones de la consola, y la IP de los eventos de seguridad del registro de auditoría. El servicio de cifrado no lee la IP de quien lo llama.
- Qué debe informar el cliente
- El cliente es responsable de los datos que cifra y debe informarlo a sus usuarios. Si usa la búsqueda cifrada, debe considerar que guardamos una copia cifrada de lo que indexa.
7.3 Northstar HavenResponsable y encargado
Northstar Haven guarda los archivos y documentos de una organización en un nodo dedicado. El contenido se cifra de extremo a extremo en los dispositivos: Northstar no tiene ninguna llave que lo abra. Somos responsables de los datos de las cuentas y encargados de los archivos.
- Lo que no podemos leer
- El contenido de los archivos y documentos, sus nombres y los de las carpetas, su tipo y su fecha de modificación.
- Lo que sí vemos
- Para guardar y sincronizar, nuestro servidor ve la estructura de carpetas y si cada elemento es carpeta, archivo o documento; el tamaño cifrado de cada versión, del que se deduce el tamaño real; cuántas versiones hay y quién las creó, desde qué dispositivo y cuándo; quién tiene acceso a qué, con qué rol y quién se lo dio; los enlaces compartidos y cuándo se usaron; y los dispositivos de cada persona: un nombre tomado del navegador y del sistema operativo, sus llaves públicas y su última conexión.
- Datos de las cuentas
- Tu nombre y tu correo, que recibimos de Northstar ID, y el nombre de tu organización, cifrados con Northstar Cipher; nuestros servidores pueden descifrarlos. Haven recibe de Northstar ID todas las organizaciones a las que perteneces. Llevamos un registro de actividad (quién hizo qué y cuándo), sin direcciones IP.
- Tus llaves
- Tus llaves viven en tus dispositivos. Tu llave de recuperación se muestra una sola vez, y solo guardamos una copia de tus llaves sellada con ella. Northstar no puede recuperarlas: si pierdes tus dispositivos y tu llave de recuperación, pierdes el acceso a tus datos.
- Invitados
- Si alguien invita a una persona externa, guardamos la etiqueta que escribe quien invita (por ejemplo, un nombre), cifrada; las llaves públicas del navegador del invitado; y cuándo y cuántas veces abrió. No enviamos correos a los invitados: quien invita comparte el enlace. El enlace se puede usar durante 72 horas, y el acceso dura 1, 7, 30 o 90 días, o no vence, según elija quien invita.
- Conservación
- Los archivos, sus versiones y sus metadatos se conservan mientras exista la organización. Hoy, mover algo a la papelera lo oculta pero no lo borra del nodo, y no hay límite de versiones. Al terminar el servicio, coordinamos la supresión con el cliente.
- Registros y direcciones IP
- Nuestro servidor, los nodos y el servicio de edición en vivo no anotan direcciones IP en sus registros. Usamos la IP solo por poco tiempo, para limitar solicitudes. La excepción son las firmas de Workspace (7.4).
- Dónde se guarda
- Cada nodo se crea con Vultr, en su región de Ciudad de México, y guarda solo datos cifrados.
- Qué debe informar el cliente
- A sus miembros e invitados: qué metadatos vemos, que sus nombres y correos pasan por Northstar ID y que perder las llaves significa perder el acceso a los datos.
7.4 Northstar WorkspaceEncargado
Northstar Workspace es el editor de documentos de Haven. El texto, los comentarios, las notas, las citas, las menciones y las imágenes viven dentro del documento, cifrado de extremo a extremo como cualquier archivo de Haven.
- Edición en vivo
- Para editar en equipo, un servicio de retransmisión reparte los cambios cifrados. Ve quién está conectado (identificadores de persona y de dispositivo, y su rol) y el tamaño y el momento de cada cambio, pero no su contenido. Guarda los cambios cifrados, con esos identificadores, en un diario en su disco. Conserva los cambios posteriores a la penúltima versión guardada o los de las últimas 24 horas, lo que abarque más, y descarta los anteriores; el diario de cada documento no se borra.
- Firmas electrónicas
Fuera del documento cifrado, nuestro servidor registra:
- De cada solicitud: quién la creó y desde qué dispositivo, el hash del documento, a quién se pide firmar y con qué etiqueta, su estado y sus fechas.
- De cada firma: quién firmó (miembro o invitado), desde qué dispositivo, su llave pública de firma, la fecha y la hora, la dirección IP y la imagen de la firma.
- De cada evento (crear, ver, firmar, completar, cancelar y desbloquear): quién, desde qué dispositivo, el hash del documento, la fecha y la hora, y la dirección IP.
La IP también se registra cuando un miembro abre un documento con una firma pendiente, aunque no firme.
- Quién ve el registro
- Las direcciones IP solo las ve quien pidió las firmas. Cualquier lector del documento puede ver el certificado, con los nombres y las imágenes de firma. Los invitados ven el nombre de quien les pidió firmar.
- Cifrado y quién puede leerlo
- La imagen de la firma está cifrada de extremo a extremo. Los nombres y las etiquetas se cifran con Northstar Cipher. Northstar puede leer las direcciones IP, las fechas y los identificadores del registro.
- Conservación
- Los registros de firma se conservan mientras exista la organización. Mover el documento a la papelera oculta el certificado pero no borra el registro, y las firmas se conservan aunque la persona deje la organización.
- Alcance legal
- Es una firma electrónica con registro de auditoría. No es una firma electrónica avanzada (e.firma) ni genera constancias de conservación conforme a la NOM-151-SCFI-2016.
- Imágenes de otros sitios
- Si pegas una imagen alojada en otro sitio y aceptas cargarla, tu navegador la pide a ese sitio, que ve tu dirección IP. Después se guarda cifrada en el documento.
- Qué debe informar el cliente
- A quienes firman: que se registran su IP, su dispositivo y la hora al ver y al firmar; que su nombre y su firma los verá cualquier lector del documento; y cuánto tiempo los conservará.
7.5 Northstar AstraResponsable y encargado
Northstar Astra envía archivos con cifrado de extremo a extremo. Somos responsables de las cuentas de quienes envían y encargados de las transferencias y de los datos de quienes las reciben.
- Cuentas que envían
- Tu correo, cifrado; una contraseña opcional, guardada como hash (bcrypt); el identificador de la cuenta con la que vinculas tu inicio de sesión, como Northstar ID, pero no tu nombre; los códigos de acceso por correo, que valen 10 minutos; y la IP y el navegador desde los que creas cada transferencia, cifrados.
- Lo que no podemos leer
- El contenido de los archivos, sus nombres, tipos y fechas, y tu mensaje se cifran en tu navegador. La llave va en el enlace, después del signo «#», una parte que los navegadores no envían al servidor.
- Envío por correo
- Si eliges que Astra envíe el enlace por correo, tu navegador nos manda el enlace completo, con la llave, para escribir el correo a cada destinatario. No lo guardamos, y este modo exige una contraseña que nunca recibimos y sin la cual el enlace no abre.
- Lo que sí vemos
- El tamaño de cada archivo y del total, cuántos archivos hay, las fechas, cuántas veces se descargó y si tiene contraseña.
- Destinatarios
- Los correos de los destinatarios, si envías por correo (hasta 20, cifrados); la IP y el navegador de cada apertura, intento fallido y descarga, cifrados; y los reportes de abuso, con su motivo, un correo de contacto opcional y la IP, cifrados. Quien abre una transferencia ve el correo de quien la envió, que también aparece en el asunto del correo. Quien envía ve cuándo se descargó y, salvo que lo desactive, recibe un correo con cada descarga.
- Conservación
- Una transferencia vence a los 1, 3, 7 o 14 días (7 si no eliges), al llegar a su límite de descargas (6 horas después de la última) o cuando la borras; entonces borramos sus archivos. Sus datos (destinatarios, eventos con IP y reportes de abuso) se borran 30 días después. Las cargas sin terminar se borran a las 24 horas, y los códigos de acceso, un día después de vencer. Tu cuenta se conserva mientras la tengas.
- Registros y direcciones IP
- Además de lo anterior, usamos la IP para limitar solicitudes. Tras 10 intentos fallidos de abrir una transferencia, esta se bloquea 60 minutos.
- Proveedores
- Los archivos cifrados se guardan en [Proveedor de infraestructura y región], y los correos los envía [Proveedor de correo de Astra y Review].
- Qué debe informar quien envía
- A sus destinatarios: que su correo pasa por Northstar, que registramos su IP y su navegador al abrir y al descargar, y que quien envía sabe cuándo descargan.
7.6 Northstar ReviewResponsable y encargado
Northstar Review es un botón que los clientes ponen en sus sitios para que sus usuarios reporten problemas con capturas de pantalla. Somos responsables de los miembros del tablero y encargados de los reportes.
- Miembros del tablero
- Nombre y correo, que recibimos de Northstar ID, cifrados; comentarios, asignaciones, vistas guardadas y preferencias de aviso; y un registro de actividad.
- Qué envía un reporte
- Lo que escribe quien reporta (título, descripción, pasos, qué esperaba y qué pasó); su nombre y su correo, si el sitio los pide; si el sitio lo configura, su propio identificador de usuario, nombre y correo; hasta 3 imágenes; y contexto técnico: el sitio, la ruta de la página sin parámetros, la versión del sitio, el tamaño de la ventana, el idioma, el navegador y el sistema operativo (solo familia y versión principal) y cómo se tomó la imagen. Quien reporta puede quitar la ruta, la versión, el tamaño y el navegador antes de enviar.
- Diagnósticos
- Solo si el sitio y quien reporta los activan: mensajes de error, de hasta 500 caracteres, y las solicitudes de red que el sitio decida registrar.
- Capturas
Por omisión, el botón dibuja la página visible sin pedir permisos al navegador. Oculta en automático las contraseñas, los campos de correo y de teléfono, los datos de tarjeta, los códigos de un solo uso, los campos cuyo nombre indica datos privados (como contraseña, tarjeta, CURP o RFC), los elementos que el sitio marca como privados y los marcos de otros sitios. Lo oculto nunca sale del navegador.
Todo lo demás que se vea en pantalla puede quedar en la imagen, incluido texto con datos personales y lo escrito en campos no ocultos. Si quien reporta comparte su pantalla, puede elegir otra pestaña o ventana: esas imágenes no se ocultan y debe confirmar que las revisó. Las imágenes que sube o pega tampoco se ocultan.
- Cifrado y quién puede leerlos
- El texto se cifra con Northstar Cipher y las imágenes con su cifrado de objetos antes de guardarse. No es cifrado de extremo a extremo: nuestros servicios los descifran para mostrarlos en el tablero, procesar las imágenes, buscar y exportar.
- Registros y direcciones IP
- El botón pide su configuración a nuestros servidores cada vez que carga una página del sitio, aunque nadie reporte. Así, nuestros servidores reciben la IP y el navegador de cada visita, pero solo anotamos el sitio y la versión del botón. No guardamos direcciones IP: para limitar abusos usamos una huella de la IP con una llave que cambia cada día, por un máximo de una hora.
- Conservación
- Reportes e imágenes: 365 días, o el plazo que elija el cliente entre 30 y 365. Diagnósticos: 30 días, o entre 1 y 30. Cargas sin enviar y exportaciones: 24 horas. Enlaces de seguimiento: 90 días. Al borrar un reporte se borra su contenido; el registro de actividad conserva que existió, sin detalles.
- Correos
- Si el cliente lo activa, enviamos a quien reportó un enlace para seguir su reporte. También avisamos a los miembros del tablero de reportes nuevos, asignaciones, comentarios y cambios. Los envía [Proveedor de correo de Astra y Review].
- Qué debe informar el cliente
- En su aviso: que el botón puede capturar la página visible, qué datos se envían y que Northstar es su proveedor. Además, debe marcar como privados los elementos con datos personales y configurar el enlace a su aviso de privacidad, que el botón muestra al reportar.
7.7 Northstar PulseResponsable y encargado
Northstar Pulse mide el tráfico de los sitios de nuestros clientes. Somos responsables de los miembros del tablero y encargados de las mediciones.
- Miembros del tablero
- Nombre y correo, que recibimos de Northstar ID, cifrados, y un registro de actividad.
- Consentimiento
- Por omisión, Pulse no mide nada hasta que el sitio le indica que la persona dio su consentimiento. El cliente puede elegir medir de forma agregada antes del consentimiento; esa decisión y su fundamento le corresponden. Si el navegador envía Global Privacy Control o Do Not Track, Pulse no mide o, si el sitio lo elige, solo mide de forma agregada.
- Modo agregado
- Sin cookies, sin guardar nada en el navegador y sin identificadores. Se envían la ruta de la página, sin parámetros y con correos, números largos y códigos ocultos; el dominio de origen, si vienes de otro sitio; los parámetros de campaña permitidos; los eventos que el sitio declara, con hasta 20 propiedades; y, si se activan, métricas de rendimiento. Nuestro servidor añade el tipo de dispositivo y la familia del navegador y del sistema operativo, que deduce del navegador.
- Modo de sesiones
- Solo con consentimiento: un identificador aleatorio por pestaña en sessionStorage, que cambia tras 30 minutos sin actividad, y el tiempo activo en la página. Si el sitio lo activa, otro identificador aleatorio en localStorage reconoce los navegadores que vuelven durante 30 días.
- Modo de identidad
- Si el cliente lo activa, su servidor firma un identificador de usuario propio, que Pulse enlaza con la sesión. Pulse no recibe nombres, correos ni otros rasgos.
- Ingresos
- El servidor del sitio puede enviar compras, reembolsos y contracargos firmados: tipo, identificador de la transacción, importes y moneda. Pulse rechaza cualquier otro dato.
- Registros y direcciones IP
- Nunca guardamos la IP ni el texto completo del navegador. Usamos la IP solo para limitar solicitudes, como una huella con una llave que cambia cada día y que dura 60 segundos.
- Cifrado y quién puede leerlos
- Las mediciones se cifran con Northstar Cipher desde que llegan. El servicio que las recibe no puede leerlas; los que calculan los reportes sí. No es cifrado de extremo a extremo.
- Conservación
- Eventos, sesiones, navegadores y enlaces de identidad: 30 días, o entre 1 y 30 si el cliente lo cambia. Reportes agregados e ingresos: 397 días, o entre 30 y 397. Eventos de prueba: 24 horas. Si el cliente borra un sitio, borramos todos sus datos. El cliente puede borrar los datos de una sesión, de un navegador o de un usuario identificado, y exportar los de un usuario identificado.
- Qué debe informar el cliente
- Que usa Pulse, qué mide, por cuánto tiempo y que Northstar es su proveedor. Debe obtener el consentimiento y comunicárselo a Pulse, sobre todo para sesiones, navegadores recurrentes, identidad e ingresos atribuidos; usar identificadores opacos en el modo de identidad; y atender los derechos ARCO con las herramientas de borrado y exportación.
7.8 Northstar UptimeResponsable y encargado
Northstar Uptime monitorea la disponibilidad de los servicios de nuestros clientes y publica sus páginas de estado. Somos responsables de los miembros del panel y encargados de lo que el cliente configura, escribe y recibe con Uptime.
- Miembros del panel
- Nombre y correo, que recibimos de Northstar ID, y el rol de cada persona en el panel.
- Monitores
- Las direcciones HTTPS o HTTP que el cliente monitorea y las credenciales que configure para consultarlas, cifradas con Northstar Cipher.
- Resultados del monitoreo
- De cada verificación guardamos el código de estado y los tiempos de respuesta. No guardamos el contenido de las respuestas.
- Incidentes y mantenimientos
- Lo que escribe el equipo del cliente: actualizaciones, correcciones y notas privadas. Las notas privadas nunca se publican, y el contenido de los incidentes privados se cifra con Cipher.
- Páginas privadas
- Solo las ven las personas que entran con Northstar ID y están en la audiencia que el cliente define. Las audiencias se cifran con Cipher.
- Suscriptores
- El correo de quien se suscribe a una página, cifrado con Cipher. La suscripción por correo todavía no está disponible.
- Webhooks
- La dirección a la que el cliente pide enviar los avisos y el secreto con el que se firman; el secreto se cifra con Cipher.
- Páginas públicas
- Lo que el cliente publica en una página pública, incluidos sus feeds y su JSON, es público a propósito. Las páginas de estado no usan analítica de terceros.
- Cifrado y quién puede leerlos
- Los datos protegidos se cifran con Northstar Cipher. No es cifrado de extremo a extremo: nuestros servicios los descifran para monitorear, mostrar el panel y publicar lo que el cliente decide.
- Qué debe informar el cliente
- Si usa páginas privadas o suscripciones, que Northstar es su proveedor y trata esos datos por su cuenta. Lo que publique en una página pública lo verá cualquiera.
8Facturación y pagos
Hoy no cobramos en línea: el pago con tarjeta y la emisión de facturas desde nuestros productos aún no están disponibles. Cuando contrates un plan de pago trataremos:
- Del pedido: la organización, quién lo hizo, el plan, el número de personas, los importes, el IVA y la referencia del pago.
- Para tu factura (CFDI): nombre o razón social, RFC, código postal del domicilio fiscal, régimen fiscal y uso del CFDI, que el SAT exige para emitirla. Los CFDI los timbra [Proveedor de facturación (PAC)].
- Datos de tu tarjeta: los recibe y guarda directamente [Procesador de pagos]. Northstar no los guarda.
Estos datos financieros y patrimoniales son necesarios para el contrato y para cumplir obligaciones fiscales, por lo que no requieren tu consentimiento expreso (arts. 7 y 9, fracciones I y IV). Conservamos los comprobantes fiscales y la documentación contable el plazo que exige el Código Fiscal de la Federación: cinco años (art. 30), o más si hay un procedimiento pendiente.
10Con quién compartimos datos
Transferencias
Comunicamos datos personales a terceros solo en estos casos:
| A quién | Para qué | ¿Requiere tu consentimiento? |
|---|---|---|
| Aplicaciones que autorizas con Northstar ID | Que inicies sesión en ellas. Reciben un identificador y, si lo aceptas, tu nombre y tu correo. | Sí. Lo das en la pantalla de autorización de cada aplicación; si no lo das, la aplicación no recibe nada. |
| La organización a la que perteneces | Que sus administradores gestionen a sus miembros y su seguridad. Ven tu nombre, tu correo, tu rol y tu actividad en la organización, con la IP enmascarada. | No: es parte del servicio al que te uniste. |
| Quienes reciben una transferencia de Astra | Saber quién les envía archivos. Ven el correo de quien envía. | No: es parte del servicio que pide quien envía. |
| Autoridades competentes | Cumplir una ley, una orden judicial o un requerimiento fundado. | No (art. 36, fracciones I, V y VI). |
Al autorizar una aplicación en la pantalla de Northstar ID, aceptas que le entreguemos los datos que esa pantalla te muestra. Si no estás de acuerdo, no la autorices. Desde ese momento, la aplicación trata tus datos conforme a su propio aviso de privacidad.
Proveedores que tratan datos por nuestra cuenta
Algunos proveedores tratan datos por cuenta de Northstar, como encargados. No es una transferencia y no requiere tu consentimiento, pero te decimos quiénes son. Solo les comunicamos lo necesario para su tarea, y algunos pueden tratar datos fuera de México.
- Infraestructura (servidores, bases de datos y almacenamiento): [Proveedor de infraestructura y región].
- Nodos de Haven: Vultr, en su región de Ciudad de México. Solo guardan datos cifrados de extremo a extremo.
- Correo de Northstar ID: Resend, que recibe tu dirección y el contenido de cada correo, como un código o una invitación.
- Correo de Astra y Review: [Proveedor de correo de Astra y Review].
- Pagos y facturación: [Procesador de pagos] y [Proveedor de facturación (PAC)] (sección 8).
Otros servicios con los que se conecta tu navegador o nuestro servidor
- Google Fonts, en la consola de Cipher (sección 9).
- Have I Been Pwned, en Northstar ID y Astra: cuando eliges una contraseña, comprobamos si aparece en filtraciones conocidas. Solo enviamos los primeros cinco caracteres de un hash de la contraseña; nunca la contraseña ni tu correo.
- Sitios de terceros: en la pantalla de autorización de Northstar ID, el logotipo de la aplicación se descarga del sitio de quien la desarrolló; en Workspace, una imagen que pegas desde otro sitio se descarga de ese sitio, después de que lo confirmas. Esos sitios ven tu dirección IP.
11Cuánto tiempo los conservamos
Conservamos tus datos mientras sean necesarios para las finalidades de este aviso. Después los bloqueamos (los guardamos sin usarlos, solo durante el plazo de prescripción de las responsabilidades que puedan derivar del tratamiento) y luego los suprimimos de forma segura.
| Datos | Plazo |
|---|---|
| Correo de la lista de espera | Hasta que te avisemos que abrimos el acceso o nos pidas salir de la lista. |
| Tu cuenta de Northstar ID | Mientras tengas la cuenta. |
| Sesiones de Northstar ID, con IP y navegador | Caducan a las 12 horas; su registro se conserva mientras tengas la cuenta. |
| Registro de actividad de Northstar ID | 90 días. En una organización, el plazo que esta elija entre 30 y 365 días (90 si no elige). |
| Registro de auditoría de la consola de Cipher | Permanente: por diseño no se puede modificar ni borrar. |
| Facturación | Cinco años (art. 30 del Código Fiscal de la Federación). |
| Datos de cada producto | Los que indica la sección 7 para ID, Cipher, Haven, Workspace, Astra, Review y Pulse. |
Hoy no puedes borrar tu cuenta desde los productos. Si quieres cancelarla, pídelo como explica la sección 13.
12Cómo los protegemos
Mantenemos medidas administrativas, técnicas y físicas para proteger tus datos contra daño, pérdida, alteración, destrucción y uso, acceso o tratamiento no autorizados. Entre ellas:
- Northstar ID, Haven, Astra, Review y Pulse cifran con Northstar Cipher los datos personales de las cuentas, como el nombre y el correo, antes de guardarlos. Nuestros servidores pueden descifrarlos para operar el servicio.
- Haven, Workspace y Astra cifran el contenido de extremo a extremo en tu dispositivo, y Northstar no tiene las llaves. Si en Astra eliges enviar el enlace por correo, este pasa por nuestro servidor sin guardarse, y abrirlo exige además una contraseña que no recibimos.
- Las contraseñas se guardan solo como hash, y los códigos de un solo uso y de recuperación, como códigos de autenticación (HMAC).
- Limitamos los intentos de acceso y de envío para frenar abusos.
- Review y Pulse no guardan direcciones IP: solo usan, por poco tiempo, una huella de la IP con una llave que cambia cada día.
Ningún sistema es infalible. Si ocurre una vulneración de seguridad que afecte de forma significativa tus derechos patrimoniales o morales, te lo informaremos de inmediato para que puedas tomar medidas.
13Tus derechos ARCO
Tienes derecho a acceder a tus datos y a saber cómo los tratamos; a rectificarlos si son inexactos o están incompletos; a cancelarlos cuando consideres que no se tratan conforme a la ley; y a oponerte a su tratamiento por una causa legítima, incluido un tratamiento automatizado que te afecte. Son los derechos ARCO.
Cómo presentar tu solicitud
Escribe a hola@bynorthstar.tech con el asunto «Derechos ARCO», o entrégala por escrito en [Domicilio completo]. Tu solicitud debe incluir:
- Tu nombre y un correo u otro medio para responderte.
- Una identificación oficial o, si te representa alguien, el documento que acredite la representación y la identificación de ambos.
- El derecho que quieres ejercer o lo que nos pides.
- Una descripción clara de los datos de que se trata, salvo que pidas acceso.
- Cualquier dato que nos ayude a encontrarlos, como el producto y el correo de tu cuenta. Si pides una rectificación, indica el cambio y acompaña los documentos que lo respalden.
Algunos datos los puedes corregir tú mismo: desde tu cuenta de Northstar ID puedes cambiar tu nombre y tu correo y revisar tu actividad.
Plazos y respuesta
- Te respondemos en un máximo de 20 días hábiles desde que recibimos tu solicitud.
- Si procede, la hacemos efectiva dentro de los 15 días hábiles siguientes a la respuesta.
- Podemos ampliar cada plazo una sola vez, por un periodo igual, si lo justifican las circunstancias.
- Si falta información, te la pediremos una sola vez dentro de los 5 días hábiles siguientes, y tendrás 10 días hábiles para darla.
Te responderemos por el medio que nos indiques. Si pides acceso, te entregaremos tus datos en copias electrónicas. El trámite es gratuito; solo podríamos cobrarte gastos de envío o de reproducción, y, si repites la solicitud en menos de 12 meses, hasta tres veces la Unidad de Medida y Actualización, salvo que el aviso haya cambiado sustancialmente.
Algunos datos no se pueden cancelar de inmediato, por ejemplo los que la ley fiscal obliga a conservar. En ese caso te lo diremos y los bloquearemos hasta que puedan suprimirse.
Si tus datos los trata una organización cliente con nuestros productos, presenta tu solicitud ante ella (sección 6).
14Revocar tu consentimiento o limitar el uso
Revocar tu consentimiento
Puedes revocar en cualquier momento el consentimiento que nos diste, sin efectos retroactivos. Escribe a hola@bynorthstar.tech con los mismos datos de una solicitud ARCO; te respondemos en los mismos plazos. Si la finalidad es necesaria para el servicio, revocarlo puede impedirnos seguir prestándolo, y te lo diremos.
- Para salir de la lista de espera, basta con pedirlo.
- Para retirar el acceso de una aplicación que autorizaste con Northstar ID, escríbenos. Al restablecer tu contraseña se retira el acceso de todas.
Limitar el uso o la divulgación
Puedes pedirnos que limitemos el uso o la divulgación de tus datos escribiendo a hola@bynorthstar.tech. Si procede, te inscribiremos en nuestra lista de exclusión y te daremos una constancia. Como no te enviamos publicidad, no necesitas inscribirte en el Registro Público para Evitar Publicidad de la Profeco para dejar de recibirla de nosotros.
15Menores de edad
Nuestros servicios son para organizaciones y no están dirigidos a menores de 18 años. No recabamos a sabiendas datos de menores como responsables. Si crees que tenemos datos de un menor, escríbenos y los suprimiremos.
Si una organización cliente trata datos de menores con nuestros productos, le corresponde obtener el consentimiento de quien ejerza la patria potestad o la tutela.
16Si estás fuera de México
Northstar es una empresa mexicana y este aviso se rige por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Puedes ejercer tus derechos por los mismos medios desde cualquier país. Algunos de nuestros proveedores pueden tratar datos fuera de México (sección 10).
Si las leyes de tu país te dan derechos adicionales, como el Reglamento General de Protección de Datos de la Unión Europea, escríbenos y atenderemos tu solicitud conforme a ellas cuando apliquen. Si tu organización está fuera de México y nos encarga datos de personas de otros países, acordemos el contrato de tratamiento que tu ley exija.
17Cambios a este aviso
Podemos cambiar este aviso por cambios en la ley, en nuestros productos o en cómo tratamos tus datos. Publicaremos cada versión en esta página, con su fecha de actualización.
Si el cambio es importante, por ejemplo una nueva finalidad que requiera tu consentimiento, una nueva transferencia o datos financieros o sensibles que antes no pedíamos, también te avisaremos por correo o dentro de los productos antes de que aplique y, cuando la ley lo exija, te pediremos de nuevo tu consentimiento.
18Autoridad y quejas
La autoridad que vigila la protección de datos personales en posesión de particulares es la Secretaría Anticorrupción y Buen Gobierno, a través de su Unidad de Protección de Datos Personales.
Si no estás de acuerdo con nuestra respuesta a una solicitud ARCO, o si no te respondemos a tiempo, puedes iniciar un procedimiento de protección de derechos ante ella dentro de los 15 días hábiles siguientes a nuestra respuesta, o una vez vencido el plazo para darla. Puedes presentarlo por escrito en su oficialía de partes, en Av. Insurgentes Sur 1735, colonia Guadalupe Inn, alcaldía Álvaro Obregón, C.P. 01020, Ciudad de México, o por los medios electrónicos que la Secretaría habilite.
Última actualización: .