Política de Privacidad

1. Introducción y alcance

Esta política describe cómo Cost & Profitability Consulting, Lda. (NIF 509495389), que opera bajo el nombre CostCtrl, con domicilio en Oporto, Portugal (en adelante "nosotros" o "la empresa"), recolecta, usa, almacena, comparte y protege los datos personales obtenidos a través del sitio costandprofitability.com, de nuestras herramientas de diagnóstico (incluido el Profit Check), de nuestros servicios y de cualquier comunicación relacionada.

Aplica a visitantes, usuarios, clientes y contactos profesionales que consultan el sitio, responden nuestros diagnósticos, se suscriben a nuestras comunicaciones, asisten a nuestros eventos o se relacionan de otro modo con nosotros. Aplica sin importar el país, incluidos los países de América Latina, el Espacio Económico Europeo, el Reino Unido y Brasil.

Qué ley rige, dicho con precisión. Somos un responsable de tratamiento establecido en Portugal, así que el Reglamento (UE) 2016/679 (RGPD) y la Ley portuguesa n.º 58/2019 rigen nuestro tratamiento, cualquiera sea su país de residencia. Esto le conviene: el RGPD es, en la mayoría de los puntos, más exigente que la legislación local de la región. Además, cuando el titular está en Brasil se aplica también la Ley General de Protección de Datos brasileña (LGPD), y la edición brasileña de esta política detalla ese punto.

Su ley local no desaparece. Varios países de América Latina cuentan con legislación propia de protección de datos, con derechos y autoridades propias. Si la ley de su país le otorga derechos adicionales a los descritos aquí, escríbanos y los atenderemos; y usted conserva el derecho de reclamar ante la autoridad de protección de datos de su país.

Cuando nos apoyamos en el consentimiento, lo solicitamos en el momento de la recolección y usted puede retirarlo cuando quiera.

3. Datos que recolectamos

3.1 Datos de identidad y contacto

Cuando usted responde un diagnóstico, solicita una conversación, se suscribe a nuestras comunicaciones o nos contacta, podemos recolectar: nombre y apellido, correo electrónico, teléfono, cargo, empresa, cantidad de empleados, sector de actividad y país.

3.2 Datos de diagnóstico

Cuando completa el Profit Check u otra herramienta de diagnóstico, recolectamos: sus respuestas a cada pregunta, los puntajes calculados por dimensión, el puntaje global y la clasificación de riesgo, la fecha, la hora y la duración del llenado, el idioma utilizado y cualquier comentario libre que agregue.

3.3 Datos técnicos y de uso

Cuando visita el sitio, recolectamos automáticamente: dirección IP, tipo y versión de navegador, sistema operativo, tipo de dispositivo, páginas visitadas y tiempo en cada una, sitio o fuente de referencia, e interacciones con nuestras herramientas de diagnóstico (tasas de finalización, puntos de abandono).

3.4 Datos de comunicación

Cuando nos escribe o conversamos con usted, conservamos: el contenido de correos, mensajes y formularios, los registros de reuniones o llamadas (con su conocimiento) y sus preferencias sobre comunicaciones de marketing.

3.5 Datos de relación comercial

Para clientes y contactos comerciales también podemos recolectar: datos de facturación, historial de contratos y notas de reuniones o talleres.

3.6 Información de fuentes públicas y de terceros

Para desarrollo comercial recolectamos información profesional limitada sobre personas que ocupan funciones de finanzas, control de gestión y operaciones en organizaciones que puedan necesitar nuestros servicios. La tomamos únicamente de fuentes profesionales de acceso público: comunicaciones de la propia empresa a sus inversionistas, comunicados de prensa, avisos de empleo públicos, presentaciones regulatorias oficiales y licitaciones públicas.

La información se limita a nombre, cargo, empleador y la fuente pública donde la encontramos. No recolectamos datos de contacto personales, ni actividad personal en redes sociales, ni información alguna sobre su vida fuera del trabajo. No compramos bases de contactos a corredores de datos y no construimos perfiles de personas. Clasificamos organizaciones, no personas. Nuestra priorización puntúa a una empresa según la actividad que ella misma anunció públicamente, como un programa de costos que haya publicado o un puesto que esté buscando cubrir. Cuando una fuente pública identifica a la persona que ocupa el puesto financiero o de operaciones correspondiente, registramos ese nombre junto a la organización y el orden en que tenemos previsto hacer el contacto. Ese orden se deriva del puntaje de la organización y de la facilidad para llegar a ese puesto. Es una secuencia de contacto, no una evaluación de la persona. No calificamos, no clasificamos ni inferimos nada sobre el desempeño, las cualidades o las circunstancias de una persona.

Nuestra base legal es el interés legítimo del artículo 6(1)(f) del RGPD, en concreto ofrecer un servicio profesional pertinente a organizaciones que han indicado públicamente estar trabajando en costos y rentabilidad. Realizamos y documentamos la ponderación correspondiente, y podemos entregarla si nos la solicita.

Conservamos esta información un máximo de 30 días desde la fecha en que la recopilamos; después se elimina automáticamente, salvo que haya pasado a formar parte de una relación activa con un cliente. Cuando lo contactamos por primera vez usando información obtenida así, le decimos dónde la encontramos, según exige el artículo 14 del RGPD. Puede oponerse en cualquier momento escribiendo a info@costandprofitability.com; nos detenemos y lo incorporamos a una lista de supresión permanente.

5. Uso del nombre y del logotipo de su empresa

5.1 Sin su consentimiento. Nunca identificaremos públicamente a su empresa por nombre, logotipo o cualquier información que permita reconocerla, en relación con puntajes, resultados o recomendaciones específicas.

5.2 Con su consentimiento explícito por escrito (por correo, formulario de consentimiento o casilla de verificación), podemos: incluir el nombre y el logotipo de su empresa en nuestra lista de clientes; mencionar su empresa en casos de estudio y testimonios; usar el nombre en propuestas y presentaciones para demostrar experiencia.

5.3 Referencias anonimizadas. Podemos mencionar a un participante de forma anonimizada (por ejemplo, "una empresa industrial mediana en Portugal, con 85 empleados") sin consentimiento específico, siempre que la descripción no permita una identificación razonable. Si la combinación de sector, tamaño y geografía pudiera revelar la identidad a un lector informado, pediremos consentimiento antes de publicar.

5.4 Retiro del consentimiento. Puede retirarlo en cualquier momento escribiendo a info@costandprofitability.com. Quitaremos la información identificatoria dentro de los 30 días, salvo cuando sea técnicamente inviable (material impreso ya en circulación, publicaciones de terceros).

7. Compartición de datos y terceros

7.1 Proveedores y encargados. Contratamos proveedores que tratan datos por cuenta nuestra. A la fecha de última actualización de esta página son: el proveedor de alojamiento del sitio (InMotion Hosting, Estados Unidos, con las salvaguardas de transferencia correspondientes); Cloudflare, Inc. (Estados Unidos), para entrega, caché y seguridad del sitio; Google Ireland Limited, para Google Analytics 4 y para reCAPTCHA, que protege nuestros formularios frente a envíos automatizados; Microsoft Corporation, para Microsoft Clarity, que graba sesiones solo después de su consentimiento (vea la sección 10); Stripe, para el pago con tarjeta de la inscripción al curso en línea (vea la sección 7.7); InvoiceXpress, para la emisión de las facturas correspondientes; además de un proveedor de envío de correos y herramientas de CRM y facturación. El módulo de pago con tarjeta está construido, pero todavía no está activado, porque aún no tenemos las credenciales de producción: a la fecha indicada arriba, ni Stripe ni InvoiceXpress tratan datos por cuenta nuestra. Todos están vinculados por contratos que los obligan a tratar los datos solo según nuestras instrucciones y a aplicar medidas de seguridad adecuadas.

7.2 Socios. Cuando ofrecemos una versión con marca compartida de una herramienta de diagnóstico junto a un socio, podemos compartir con ese socio sus datos de contacto y resultados, pero solo si usted fue informado con claridad, en el momento de la recolección, de que el diagnóstico es de marca compartida y de que sus datos se compartirán con el socio identificado.

7.3 Asesores profesionales. Podemos compartir datos con nuestros asesores legales, contables o de seguros cuando sea necesario para la conducción del negocio.

7.4 Requerimientos legales y regulatorios. Podemos divulgar datos cuando lo exija la ley, un reglamento, una orden judicial o un requerimiento gubernamental, o cuando creamos de buena fe que la divulgación es necesaria para proteger nuestros derechos o la seguridad de las personas.

7.5 Operaciones societarias. En caso de fusión, adquisición, reorganización o venta de activos, sus datos personales podrían transferirse a la entidad sucesora, sujetos a las mismas protecciones descritas aquí.

No vendemos sus datos personales. La venta de referencias anonimizadas y agregadas descrita en las secciones 4.2 y 6.3 no constituye venta de datos personales.

7.6 Soporte y contacto por WhatsApp. Publicamos un número de WhatsApp, +351 910 313 731, como canal de contacto y de soporte, junto al correo electrónico.

WhatsApp está operado por Meta Platforms Ireland Limited. Cuando usted nos escribe por ese canal, Meta transporta el mensaje y trata su número de teléfono y los metadatos del intercambio conforme a su propia política de privacidad, que no controlamos. El contenido del mensaje está cifrado de extremo a extremo en tránsito, de modo que Meta no recibe lo que usted escribe. Nosotros sí lo recibimos, y desde ese momento es dato de comunicación conforme a esta política, conservado por el plazo de la sección 9 y suprimido a su solicitud.

Meta no es uno de nuestros encargados: no actúa siguiendo nuestras instrucciones, y las salvaguardas descritas en la sección 8 son las que mantenemos con nuestros propios proveedores, no con Meta. Meta puede tratar estos datos fuera del Espacio Económico Europeo, conforme a sus propios términos.

La base legal para el tratamiento de lo que usted nos envía es la ejecución del contrato, cuando es cliente o alumno nuestro, y nuestro interés legítimo en responder a quien nos contacta, cuando no lo es.

7.7 La plataforma del curso. El curso en línea funciona en una plataforma nuestra, en campus.costandprofitability.com. La construimos nosotros y la operamos nosotros, en el alojamiento descrito en la sección 7.1. No es una plataforma de aprendizaje de terceros, y ningún proveedor de plataformas tiene sus datos.

Para darle una cuenta y un espacio de trabajo, guarda su correo electrónico, su contraseña solo como hash y nunca en texto legible, el nombre con el que aparece, el nombre que quiere ver en el certificado, su edición y su idioma, su código de inscripción, el sector que nos indicó, su progreso por las sesiones, sus intentos de examen y las respuestas que dio, y las fechas registradas en el certificado. Los registros de inicio de sesión y de recuperación de contraseña guardan un hash de su dirección IP, y no la dirección.

Los ejercicios le piden que escriba sobre su propia organización, y lo que escribe queda guardado para que las sesiones posteriores puedan volver sobre ello. Esas respuestas son el dato más sensible que guarda la plataforma, y las tratamos como suyas. Solo las leemos nosotros, y solo para responderle o para corregir su trabajo. No se publican, no se venden y no se comunican a nadie más, y no forman parte de las referencias anonimizadas descritas en las secciones 4.2 y 6.3. Se conservan mientras exista su cuenta, porque el propio curso vuelve sobre ellas; la sección 11 explica cómo pedir que se supriman.

La inscripción se paga por transferencia bancaria contra factura, o con tarjeta a través de Stripe cuando se ofrece el pago con tarjeta. Las facturas se emiten con InvoiceXpress. Registramos la referencia del pago y el número de factura, y nunca guardamos los datos de su tarjeta. La base legal de todo ello es la ejecución del contrato que celebró al inscribirse.

7.8 Grabación de las sesiones en vivo. Las tres sesiones en vivo del curso se graban, y la grabación es el material de la modalidad que no incluye las salas en vivo. Esto no es la "grabación de sesión" descrita en la sección 10, que se refiere al uso de este sitio y no tiene nada que ver con el curso.

La grabación capta únicamente la pantalla y la voz del formador. No capta la imagen, el nombre, la voz ni la empresa de ningún participante, y ningún participante aparece en ninguna grabación que vendamos o publiquemos. No tratamos, a este efecto, ningún dato personal de los participantes, y por eso no se le pide ningún consentimiento para ser grabado.

Lo que diga dentro de la sala lo escuchan las personas que estén en ella en ese momento, y no pasa a la grabación.

9. Retención de datos

Conservamos los datos personales solo el tiempo necesario para los fines de su recolección, o el plazo que exija la ley.

9.1 Respuestas individuales de diagnóstico: hasta 36 meses desde su realización. Después se eliminan o se anonimizan de forma irreversible y se incorporan a nuestra base agregada de referencia.

9.2 Datos de contacto: la duración de la relación comercial, más 24 meses. Para suscriptores de marketing: hasta que cancele la suscripción, más 12 meses (para mantener listas de supresión y registros de consentimiento).

9.3 Datos anonimizados y agregados: se conservan de forma indefinida, ya que dejaron de ser datos personales.

9.4 Registros financieros y de facturación: 10 años, conforme a la legislación fiscal y comercial portuguesa (Código do IRC, artículo 123).

9.5 Registros del servidor: hasta 12 meses.

9.6 Datos de cookies: un máximo de 13 meses, conforme a las directrices del Comité Europeo de Protección de Datos.

9.6a Datos de medición de audiencia: Google Analytics 4 guarda dos registros distintos, con plazos distintos. Los datos de eventos, el registro de cada vista de página e interacción, se conservan durante 2 meses, el plazo más corto que ofrece Google Analytics 4. Los datos de usuario, el registro vinculado al identificador generado aleatoriamente que contiene la cookie _ga, se conservan durante 14 meses, plazo que se reinicia cada vez que el mismo navegador vuelve a tener actividad.

9.7 Registros de consentimiento (cuándo y cómo se obtuvo): 24 meses, el período durante el cual podemos necesitar acreditar un consentimiento que, por su parte, dura 12 meses.

9.8 Datos de desarrollo comercial de fuentes públicas: un máximo de 30 días desde la fecha en que los recopilamos, y luego eliminación automática, salvo que hayan pasado a formar parte de una relación activa con un cliente.

11. Sus derechos

Bajo el RGPD usted tiene los siguientes derechos sobre sus datos personales, y se los reconocemos con independencia de su país de residencia.

Acceso (artículo 15). Obtener confirmación de si tratamos sus datos y recibir una copia en un formato estructurado y de uso común.

Rectificación (artículo 16). Corregir datos inexactos o incompletos.

Supresión (artículo 17). Pedir la eliminación cuando los datos ya no sean necesarios, cuando retire el consentimiento o cuando el tratamiento sea ilícito. No aplica a datos anonimizados ni a datos cuya conservación exige la ley.

Limitación (artículo 18). Pedir que restrinjamos el uso de sus datos en determinadas circunstancias.

Portabilidad (artículo 20). Recibir sus datos en un formato legible por máquina y transmitirlos a otro responsable.

Oposición (artículo 21). Oponerse al tratamiento basado en interés legítimo. Cesaremos salvo que acreditemos motivos legítimos imperiosos que prevalezcan sobre sus intereses.

Oposición al marketing directo. Cuando la oposición sea al marketing directo, incluido el contacto comercial descrito en la sección 3.6, el derecho es absoluto bajo el artículo 21(2) del RGPD. Nos detenemos, sin ponderación alguna, y dejamos registro de su oposición para respetarla en el futuro.

Decisiones automatizadas (artículo 22). Nuestras herramientas de diagnóstico producen puntajes y recomendaciones automatizadas. Son informativas y consultivas, y no constituyen decisiones con efectos jurídicos o de impacto significativo sobre usted. Puede pedir revisión humana de cualquier resultado.

Retiro del consentimiento. Cuando nos apoyamos en el consentimiento, puede retirarlo en cualquier momento, sin afectar la licitud del tratamiento anterior.

Derechos bajo su legislación local. Si la ley de protección de datos de su país le reconoce derechos adicionales o distintos, indíquelo en su solicitud y los atenderemos conforme a esa ley.

Cómo ejercerlos. Escriba a info@costandprofitability.com. Verificaremos su identidad antes de tramitar la solicitud y responderemos dentro de los 30 días. Una solicitud compleja puede requerir una prórroga de hasta 60 días adicionales, de la que le informaríamos indicando los motivos.

13. Notificación de brechas de datos

Ante una violación de datos personales que pueda suponer un riesgo para sus derechos y libertades, notificaremos a la autoridad de control competente (la CNPD en Portugal) sin dilación indebida y, cuando sea posible, dentro de las 72 horas desde que tengamos conocimiento. Cuando el riesgo sea alto, también se lo comunicaremos a usted directamente y sin dilación indebida. Si la ley de su país exige además una notificación a su autoridad local, la haremos conforme a esa exigencia.

15. Enlaces a sitios de terceros

Nuestro sitio contiene enlaces a sitios, plataformas y servicios de terceros (LinkedIn, CostCtrl.com, herramientas de agendamiento, procesadores de pago). No somos responsables de sus prácticas de privacidad. Le recomendamos revisar sus políticas antes de entregarles datos personales.

17. Autoridades de control

Si nuestra respuesta no le satisface, tiene derecho a presentar un reclamo ante una autoridad de control:

Portugal, donde estamos establecidos: Comissão Nacional de Proteção de Dados (CNPD).
Brasil: Autoridade Nacional de Proteção de Dados (ANPD).
Países de la UE o del EEE: la autoridad de su país de residencia; la lista está en edpb.europa.eu.
Resto de América Latina: la autoridad de protección de datos de su país, cuando exista.

19. Ley aplicable y jurisdicción

Esta política se rige por las leyes de Portugal y de la Unión Europea. Las controversias que surjan de ella quedan sujetas a la jurisdicción exclusiva de los tribunales de Oporto, Portugal, sin perjuicio de su derecho a presentar un reclamo ante una autoridad de control o a acudir a los tribunales de su lugar de residencia habitual.