Política de Privacidad

1. Introducción y alcance

Esta política describe cómo Cost & Profitability Consulting, Lda. (NIF 509495389), que opera bajo el nombre CostCtrl, con domicilio en Oporto, Portugal (en adelante "nosotros" o "la empresa"), recolecta, usa, almacena, comparte y protege los datos personales obtenidos a través del sitio costandprofitability.com, de nuestras herramientas de diagnóstico (incluido el Profit Check), de nuestros servicios y de cualquier comunicación relacionada.

Aplica a visitantes, usuarios, clientes y contactos profesionales que consultan el sitio, responden nuestros diagnósticos, se suscriben a nuestras comunicaciones, asisten a nuestros eventos o se relacionan de otro modo con nosotros. Aplica sin importar el país, incluidos los países de América Latina, el Espacio Económico Europeo, el Reino Unido y Brasil.

Qué ley rige, dicho con precisión. Somos un responsable de tratamiento establecido en Portugal, así que el Reglamento (UE) 2016/679 (RGPD) y la Ley portuguesa n.º 58/2019 rigen nuestro tratamiento, cualquiera sea su país de residencia. Esto le conviene: el RGPD es, en la mayoría de los puntos, más exigente que la legislación local de la región. Además, cuando el titular está en Brasil se aplica también la Ley General de Protección de Datos brasileña (LGPD), y la edición brasileña de esta política detalla ese punto.

Su ley local no desaparece. Varios países de América Latina cuentan con legislación propia de protección de datos, con derechos y autoridades propias. Si la ley de su país le otorga derechos adicionales a los descritos aquí, escríbanos y los atenderemos; y usted conserva el derecho de reclamar ante la autoridad de protección de datos de su país.

Cuando nos apoyamos en el consentimiento, lo solicitamos en el momento de la recolección y usted puede retirarlo cuando quiera.

3. Datos que recolectamos

3.1 Datos de identidad y contacto

Cuando usted responde un diagnóstico, solicita una conversación, se suscribe a nuestras comunicaciones o nos contacta, podemos recolectar: nombre y apellido, correo electrónico, teléfono, cargo, empresa, cantidad de empleados, sector de actividad y país.

3.2 Datos de diagnóstico

Cuando completa el Profit Check u otra herramienta de diagnóstico, recolectamos: sus respuestas a cada pregunta, los puntajes calculados por dimensión, el puntaje global y la clasificación de riesgo, la fecha, la hora y la duración del llenado, el idioma utilizado y cualquier comentario libre que agregue.

3.3 Datos técnicos y de uso

Cuando visita el sitio, recolectamos automáticamente: dirección IP, tipo y versión de navegador, sistema operativo, tipo de dispositivo, páginas visitadas y tiempo en cada una, sitio o fuente de referencia, e interacciones con nuestras herramientas de diagnóstico (tasas de finalización, puntos de abandono).

3.4 Datos de comunicación

Cuando nos escribe o conversamos con usted, conservamos: el contenido de correos, mensajes y formularios, los registros de reuniones o llamadas (con su conocimiento) y sus preferencias sobre comunicaciones de marketing.

3.5 Datos de relación comercial

Para clientes y contactos comerciales también podemos recolectar: datos de facturación, historial de contratos y notas de reuniones o talleres.

3.6 Información de fuentes públicas y de terceros

Para desarrollo comercial recolectamos información profesional limitada sobre personas que ocupan funciones de finanzas, control de gestión y operaciones en organizaciones que puedan necesitar nuestros servicios. La tomamos únicamente de fuentes profesionales de acceso público: comunicaciones de la propia empresa a sus inversionistas, comunicados de prensa, avisos de empleo públicos, presentaciones regulatorias oficiales y licitaciones públicas.

La información se limita a nombre, cargo, empleador y la fuente pública donde la encontramos. No recolectamos datos de contacto personales, ni actividad personal en redes sociales, ni información alguna sobre su vida fuera del trabajo. No compramos bases de contactos a corredores de datos y no construimos perfiles de personas. Cualquier puntaje o priorización se aplica a una organización y a sus actividades anunciadas públicamente, nunca a una persona.

Nuestra base legal es el interés legítimo del artículo 6(1)(f) del RGPD, en concreto ofrecer un servicio profesional pertinente a organizaciones que han indicado públicamente estar trabajando en costos y rentabilidad. Realizamos y documentamos la ponderación correspondiente, y podemos entregarla si nos la solicita.

Conservamos esta información un máximo de 100 días desde el hecho público que la originó; después se elimina automáticamente, salvo que haya pasado a formar parte de una relación activa con un cliente. Cuando lo contactamos por primera vez usando información obtenida así, le decimos dónde la encontramos, según exige el artículo 14 del RGPD. Puede oponerse en cualquier momento escribiendo a [email protected]; nos detenemos y lo incorporamos a una lista de supresión permanente.

5. Uso del nombre y del logotipo de su empresa

5.1 Sin su consentimiento. Nunca identificaremos públicamente a su empresa por nombre, logotipo o cualquier información que permita reconocerla, en relación con puntajes, resultados o recomendaciones específicas.

5.2 Con su consentimiento explícito por escrito (por correo, formulario de consentimiento o casilla de verificación), podemos: incluir el nombre y el logotipo de su empresa en nuestra lista de clientes; mencionar su empresa en casos de estudio y testimonios; usar el nombre en propuestas y presentaciones para demostrar experiencia.

5.3 Referencias anonimizadas. Podemos mencionar a un participante de forma anonimizada (por ejemplo, "una empresa industrial mediana en Portugal, con 85 empleados") sin consentimiento específico, siempre que la descripción no permita una identificación razonable. Si la combinación de sector, tamaño y geografía pudiera revelar la identidad a un lector informado, pediremos consentimiento antes de publicar.

5.4 Retiro del consentimiento. Puede retirarlo en cualquier momento escribiendo a [email protected]. Quitaremos la información identificatoria dentro de los 30 días, salvo cuando sea técnicamente inviable (material impreso ya en circulación, publicaciones de terceros).

7. Compartición de datos y terceros

7.1 Proveedores y encargados. Contratamos proveedores que tratan datos por cuenta nuestra. A la fecha de última actualización de esta página son: el proveedor de alojamiento del sitio (InMotion Hosting, Estados Unidos, con las salvaguardas de transferencia correspondientes); Cloudflare, Inc. (Estados Unidos), para entrega, caché y seguridad del sitio; Google Ireland Limited, para Google Analytics 4 y para reCAPTCHA, que protege nuestros formularios frente a envíos automatizados; Microsoft Corporation, para Microsoft Clarity, que graba sesiones solo después de su consentimiento (vea la sección 10); LinkedIn Ireland, para medir nuestras campañas publicitarias; Plausible Analytics, para medición de audiencia sin cookies; además de un proveedor de envío de correos y herramientas de CRM y facturación. Todos están vinculados por contratos que los obligan a tratar los datos solo según nuestras instrucciones y a aplicar medidas de seguridad adecuadas.

7.2 Socios. Cuando ofrecemos una versión con marca compartida de una herramienta de diagnóstico junto a un socio, podemos compartir con ese socio sus datos de contacto y resultados, pero solo si usted fue informado con claridad, en el momento de la recolección, de que el diagnóstico es de marca compartida y de que sus datos se compartirán con el socio identificado.

7.3 Asesores profesionales. Podemos compartir datos con nuestros asesores legales, contables o de seguros cuando sea necesario para la conducción del negocio.

7.4 Requerimientos legales y regulatorios. Podemos divulgar datos cuando lo exija la ley, un reglamento, una orden judicial o un requerimiento gubernamental, o cuando creamos de buena fe que la divulgación es necesaria para proteger nuestros derechos o la seguridad de las personas.

7.5 Operaciones societarias. En caso de fusión, adquisición, reorganización o venta de activos, sus datos personales podrían transferirse a la entidad sucesora, sujetos a las mismas protecciones descritas aquí.

No vendemos sus datos personales. La venta de referencias anonimizadas y agregadas descrita en las secciones 4.2 y 6.3 no constituye venta de datos personales.

9. Retención de datos

Conservamos los datos personales solo el tiempo necesario para los fines de su recolección, o el plazo que exija la ley.

9.1 Respuestas individuales de diagnóstico: hasta 36 meses desde su realización. Después se eliminan o se anonimizan de forma irreversible y se incorporan a nuestra base agregada de referencia.

9.2 Datos de contacto: la duración de la relación comercial, más 24 meses. Para suscriptores de marketing: hasta que cancele la suscripción, más 12 meses (para mantener listas de supresión y registros de consentimiento).

9.3 Datos anonimizados y agregados: se conservan de forma indefinida, ya que dejaron de ser datos personales.

9.4 Registros financieros y de facturación: 10 años, conforme a la legislación fiscal y comercial portuguesa (Código do IRC, artículo 123).

9.5 Registros del servidor: hasta 12 meses.

9.6 Datos de cookies: un máximo de 13 meses, conforme a las directrices del Comité Europeo de Protección de Datos.

9.7 Registros de consentimiento (cuándo y cómo se obtuvo): la duración del consentimiento, más 5 años, para demostrar cumplimiento.

9.8 Datos de desarrollo comercial de fuentes públicas: un máximo de 100 días desde el hecho público que los originó, y luego eliminación automática, salvo que hayan pasado a formar parte de una relación activa con un cliente.

11. Sus derechos

Bajo el RGPD usted tiene los siguientes derechos sobre sus datos personales, y se los reconocemos con independencia de su país de residencia.

Acceso (artículo 15). Obtener confirmación de si tratamos sus datos y recibir una copia en un formato estructurado y de uso común.

Rectificación (artículo 16). Corregir datos inexactos o incompletos.

Supresión (artículo 17). Pedir la eliminación cuando los datos ya no sean necesarios, cuando retire el consentimiento o cuando el tratamiento sea ilícito. No aplica a datos anonimizados ni a datos cuya conservación exige la ley.

Limitación (artículo 18). Pedir que restrinjamos el uso de sus datos en determinadas circunstancias.

Portabilidad (artículo 20). Recibir sus datos en un formato legible por máquina y transmitirlos a otro responsable.

Oposición (artículo 21). Oponerse al tratamiento basado en interés legítimo. Cesaremos salvo que acreditemos motivos legítimos imperiosos que prevalezcan sobre sus intereses.

Oposición al marketing directo. Cuando la oposición sea al marketing directo, incluido el contacto comercial descrito en la sección 3.6, el derecho es absoluto bajo el artículo 21(2) del RGPD. Nos detenemos, sin ponderación alguna, y dejamos registro de su oposición para respetarla en el futuro.

Decisiones automatizadas (artículo 22). Nuestras herramientas de diagnóstico producen puntajes y recomendaciones automatizadas. Son informativas y consultivas, y no constituyen decisiones con efectos jurídicos o de impacto significativo sobre usted. Puede pedir revisión humana de cualquier resultado.

Retiro del consentimiento. Cuando nos apoyamos en el consentimiento, puede retirarlo en cualquier momento, sin afectar la licitud del tratamiento anterior.

Derechos bajo su legislación local. Si la ley de protección de datos de su país le reconoce derechos adicionales o distintos, indíquelo en su solicitud y los atenderemos conforme a esa ley.

Cómo ejercerlos. Escriba a [email protected]. Verificaremos su identidad antes de tramitar la solicitud y responderemos dentro de los 30 días. Una solicitud compleja puede requerir una prórroga de hasta 60 días adicionales, de la que le informaríamos indicando los motivos.

13. Notificación de brechas de datos

Ante una violación de datos personales que pueda suponer un riesgo para sus derechos y libertades, notificaremos a la autoridad de control competente (la CNPD en Portugal) sin dilación indebida y, cuando sea posible, dentro de las 72 horas desde que tengamos conocimiento. Cuando el riesgo sea alto, también se lo comunicaremos a usted directamente y sin dilación indebida. Si la ley de su país exige además una notificación a su autoridad local, la haremos conforme a esa exigencia.

15. Enlaces a sitios de terceros

Nuestro sitio contiene enlaces a sitios, plataformas y servicios de terceros (LinkedIn, CostCtrl.com, herramientas de agendamiento, procesadores de pago). No somos responsables de sus prácticas de privacidad. Le recomendamos revisar sus políticas antes de entregarles datos personales.

17. Autoridades de control

Si nuestra respuesta no le satisface, tiene derecho a presentar un reclamo ante una autoridad de control:

Portugal, donde estamos establecidos: Comissão Nacional de Proteção de Dados (CNPD).
Brasil: Autoridade Nacional de Proteção de Dados (ANPD).
Países de la UE o del EEE: la autoridad de su país de residencia; la lista está en edpb.europa.eu.
Resto de América Latina: la autoridad de protección de datos de su país, cuando exista.

19. Ley aplicable y jurisdicción

Esta política se rige por las leyes de Portugal y de la Unión Europea. Las controversias que surjan de ella quedan sujetas a la jurisdicción exclusiva de los tribunales de Oporto, Portugal, sin perjuicio de su derecho a presentar un reclamo ante una autoridad de control o a acudir a los tribunales de su lugar de residencia habitual.