Política de privacidad y protección de datos — Ideia Arsenal e Órbita Ideia

Versión 2026-09-28-1 · En vigor desde el 28/09/2026

Esta Política explica, honestamente y concretamente, qué datos personales tratamos cuando utilizas el Ideia Arsenal y el área de miembros Órbita Ideia, por qué los tratamos, con quién los compartimos, cuánto tiempo los conservamos y cómo puedes ejercer tus derechos. Se ha redactado a partir de lo que nuestro sistema hace realmente. Se aplica junto con los Términos de uso.

En pocas palabras

• Quién los trata: Ideia Business (Ideia Business Soluções Tecnológicas LTDA, CNPJ 30.082.914/0001-00) es la responsable del tratamiento. Delegado de protección de datos: Victor Lopes Paiva, dpo@ideiabusiness.com.br.
• Qué datos tuyos guardamos: nombre, correo electrónico y teléfono (de la compra), el estado de tu plan, el registro de tus accesos a Órbita, tu progreso en el itinerario de aprendizaje y, si lo activas, un perfil público. No guardamos datos de tarjeta.
• Instalador: la IP, la contraseña root (o clave SSH), el token del bot y el código de autorización del Proveedor de IA que facilitas se usan solo para la instalación que solicitaste y no se guardan en una base de datos, un disco permanente o registros.
• Tus clientes y tu Iara: los datos que pasan por tu Iara instalada quedan en tu entorno. No los recibimos. Allí, tú eres el responsable del tratamiento.
• Entrevista de incorporación a Órbita: si haces la entrevista con Iara, guardamos tus respuestas en texto y el expediente de tu negocio que resulta de ellas, para personalizar tu Iara. No grabamos audio. Cuando termina tu acceso, tienes 90 días para leer y exportar; avisamos por correo electrónico al menos 15 días antes de eliminar. Puedes pedir una copia o la eliminación cuando quieras (sección 5-A).
• Con quien compartimos: solo con quienes necesitamos para que el servicio funcione (Kiwify, Vercel, Neon, Resend, Telegram, el proveedor de la VPS del instalador y, solo si se activa la voz en vivo de la entrevista, el proveedor de voz contratado). Algunos tienen servidores fuera de Brasil; explicamos el fundamento.
• Cookies: solo las estrictamente necesarias (sesión). No usamos cookies de rastreo ni herramientas de analítica.
• Tus derechos: acceso, rectificación, eliminación, portabilidad, información sobre el intercambio de datos, revocación del consentimiento y otros derechos del art. 18 de la LGPD. Solicitudes por correo electrónico al delegado de protección de datos; respuesta en un plazo de 15 días.
• Menores: el producto está destinado a personas de 18 años o más.

Índice

1. Quiénes somos y quién es el delegado de protección de datos
2. A quién se aplica esta Política y qué no cubre
3. Qué datos tratamos y de dónde proceden
4. Para qué los usamos y con qué base jurídica
5. El instalador de Iara: credenciales de tu VPS y del Proveedor de IA

5-A. La entrevista de incorporación a Órbita: tus respuestas y el expediente

6. Con quién los compartimos (encargados del tratamiento y terceros)
7. Transferencia internacional de datos
8. Durante cuánto tiempo los guardamos
9. Cómo protegemos los datos
10. Tus derechos y cómo ejercerlos
11. Cookies y almacenamiento en el navegador
12. Menores de 18 años
13. Decisiones automáticas
14. Incidentes de seguridad
15. Enmiendas a esta política
16. Contacto

1. Quiénes somos y quién es el delegado de protección de datos

Responsable del tratamiento: Ideia Business Soluções Tecnológicas LTDA ("Ideia Business"), CNPJ 30.082.914/0001-00, con domicilio en Rua Siqueira Campos, 940, 1º andar, Centro Histórico, Porto Alegre/RS, CEP 90010-000. Producto: Ideia Arsenal y Órbita Ideia, en arsenal.ideiabusiness.com.br. Creador: Gustavo Lopes Paiva.

Delegado de protección de datos personales (art. 41 de la LGPD): Victor Lopes Paiva — dpo@ideiabusiness.com.br. Es el canal para dudas, solicitudes de los titulares de datos y comunicación con la ANPD.

2. A quién se aplica esta Política y qué no cubre

2.1. Se aplica a: quienes compran un plan o acceso a la comunidad; Miembros de Órbita; quienes solicitan un enlace de acceso, usan el instalador, realizan la entrevista de incorporación en Órbita, participan en Tempestade Solar o nos contactan por los canales de atención.

2.2. No cubre los datos que tú tratas usando tu Iara y los agentes en tu entorno (VPS, cuentas, CRM, WhatsApp, Proveedor de IA). En ese caso, tú eres el responsable del tratamiento y no somos responsables ni encargados del tratamiento: no recibimos, accedemos ni almacenamos esos datos. La responsabilidad por la LGPD en ese entorno es tuya, como explican los Términos de Uso (cap. 14). La entrevista de incorporación con Iara es diferente: tiene lugar dentro de Órbita, fuera de tu entorno, y nosotros tratamos sus datos (sección 5-A).

2.3. Tampoco cubre el tratamiento realizado por plataformas de terceros que usas por tu cuenta o con las que contratas directamente: Kiwify (responsable del tratamiento de los datos de pago en el checkout), Telegram, OpenAI, Anthropic, tu proveedor de alojamiento y tu navegador (incluidos el servicio de reconocimiento de voz y las voces en línea que ofrece). Cada uno tiene su propia política.

2.4. Hasta el 27/09/2026, Arsenal también vendía "Poder" (una funcionalidad que se podía comprar por separado), sin ningún comprador registrado. Su retirada fue decidida el 27/09/2026; la desactivación de los checkouts de Kiwify y la eliminación del mapa de ofertas (arsenal_offer_map) debe realizarlas el dueño y requieren confirmación — la última comprobación mediante la API (28/09/2026, 15h) todavía encontró los 3 checkouts de Poder active. Por eso esta Política ya no trata Poder como una categoría vigente de datos o de derechos de acceso, pero la venta solo termina de hecho cuando se desactivan los checkouts.

3. Qué datos tratamos y de dónde proceden

Lo que no recopilamos: datos de tarjeta o cuenta bancaria (se quedan en Kiwify); contraseñas de Miembro (no existen); datos sensibles (art. 5º, II, de la LGPD), que la entrevista tampoco solicita; geolocalización; datos de navegación para publicidad; audio de tu voz; contenido de las conversaciones de tu Iara instalada contigo o con tus clientes. La única conversación con Iara que guardamos es la entrevista de incorporación en Órbita, solo en texto (sección 5-A).

4. Para qué los usamos y con qué base jurídica

Cuando la base jurídica sea interés legítimo, tratamos solo lo necesario, de acuerdo con tus expectativas razonables y sin anteponernos a tus derechos; puedes oponerte por el canal de la sección 10.

5. El instalador de Iara: credenciales de tu VPS y del Proveedor de IA

Esta sección describe lo que hace nuestro código. Estamos comprometidos a mantener estas prácticas y actualizar esta Política si cambian.

5.1. Lo que tú proporcionas. IP de la VPS; la contraseña del usuario root o una clave SSH privada (una de las dos opciones); opcionalmente, la clave pública de host de la VPS; el token del bot de Telegram; tu ID numérico de Telegram; el Proveedor de IA (ChatGPT/OpenAI o Claude/Anthropic). En el flujo Claude, también el código de autorización que Anthropic muestra después de que autorices en la tu cuenta.

5.2. Finalidad única. Usamos estos datos sólo para realizar la instalación que solicitaste, en tu VPS y en ese momento. No los usamos para ningún otro fin, no accedemos a tu VPS fuera de la instalación ni conservamos medios para volver a ella.

5.3. Sin retención.

• Las credenciales se quedan sólo en memoria servicio de instalación mientras la instalación está en funcionamiento.
• La contraseña se escribe en un archivo temporal con permisos restringidos (0600, en una carpeta 0700) solo para autenticar el SSH, y el archivo se elimina cuando termina la sesión SSH. La misma regla se aplica a la clave SSH.
• En cuanto se completa la autenticación SSH, la contraseña y la clave se descartan de la memoria. El token del bot se descarta después de guardarse en el archivo de configuración de tu VPS. El código de autorización del Proveedor se transmite a tu VPS una sola vez y se descarta.
• Nada de esto se guarda en una base de datos, disco permanente, respuesta de la API ni registro. Antes de escribir los registros del servicio, un filtro sustituye cualquier secreto por "[redigido]".
• El estado de la instalación solo existe en memoria: si el servicio se reinicia, la instalación en curso se pierde y no queda nada de ella. El servicio admite como máximo 8 instalaciones simultáneas.
• No recibimos ni guardamos claves de API ni tokens de acceso del Proveedor de IA. La autenticación se realiza entre tu VPS y el Proveedor, en tu cuenta; las credenciales resultantes se quedan en tu VPS.

5.4. Regístrate en la pantalla inicial del instalador. La pantalla pide nombre, correo electrónico y teléfono. Actualmente estos datos solo permanecen en la memoria del servicio de instalación: no se guardan en una base de datos, el equipo no los lee y desaparecen cuando el servicio se reinicia. Tu navegador solo guarda una marca local de que se completó el registro (sección 11). Si empezamos a usar ese registro para otra finalidad (por ejemplo, soporte de instalación), actualizaremos esta Política antes.

5.5. Dónde se ejecuta y quién puede acceder. El servicio de instalación se ejecuta en un servidor de Ideia Business, alojado en un proveedor de nube externo (Hetzner Online GmbH, en el centro de datos en Ashburn, Virginia, Estados Unidos; por eso hay una transferencia internacional, sección 7), con HTTPS, firewall, un usuario de sistema propio sin privilegios, directorios aislados y escucha solo en la red local. Solo se puede acceder tras iniciar sesión en Órbita, mediante un secreto compartido entre Órbita y el servicio. Transparencia: este servidor se comparte con otros servicios de Ideia Business y su administrador (root) tiene, por naturaleza, capacidad técnica para acceder a la memoria de cualquier proceso. Mitigamos este riesgo con las medidas anteriores y el descarte inmediato de las credenciales; está prevista la migración a un servidor dedicado. Por eso, y como buena práctica, recomendamos cambiar la contraseña root de tu VPS justo después de la instalación y pasar a usar acceso mediante clave.

5.6. Identidad de la VPS. Si no proporcionas la clave de host, la identidad de tu VPS se acepta en el primer contacto ("confiar en el primer uso"). Proporcionarla reduce el riesgo de que la instalación se conecte a un servidor impostor.

5.7. Lo que queda en tu VPS. El agente de código abierto que ejecuta Iara, el servicio que lo mantiene en funcionamiento, el archivo de configuración con el token del bot y tu ID de Telegram (para que solo tú hables con tu Iara) y, en el flujo Claude, la herramienta de línea de comandos del Proveedor. Todo esto está bajo tu control y no conservamos acceso.

5-A. La entrevista de incorporación a Órbita: tus respuestas y el expediente

Esta sección describe lo que nuestro sistema hace en la entrevista. Estamos comprometidos a mantener estas prácticas y actualizar esta Política si cambian.

5-A.1. Lo que es. La entrevista es tu primera conversación con Iara dentro de Órbita, por voz o texto: unas doce preguntas sobre ti, tu negocio, lo que Iara puede hacer sola y tus prioridades para los próximos 90 días. Es el paso "Descreva" del método y solo comienza cuando tú lo eliges. Puedes saltarte cualquier pregunta, pausar, cambiar entre voz y texto en cualquier momento y parar para volver después. Antes de la primera pregunta, Iara explica que es una inteligencia artificial y qué se guarda.

5-A.2. Qué guardamos y para qué. Cada respuesta se guarda como texto en tu cuenta en cuanto respondes, para que puedas parar y retomar donde lo dejaste. También guardamos la interpretación de Iara (lo que entendió), si la respuesta llegó por voz o texto y si se omitió la pregunta. La única finalidad es conocer tu negocio, personalizar tu Iara y preparar el expediente. No usamos las respuestas para publicidad, no las vendemos, no las mostramos a otros Miembros ni las usamos para entrenar modelos de IA. Completar la entrevista suma puntos en tu itinerario de aprendizaje (sección 13.2).

5-A.3. El expediente. Al final ves todas tus respuestas en un resumen que puedes corregir. El expediente solo se guarda cuando confirmas ese resumen, y su contenido es lo que queda en el expediente. Organiza las respuestas en el formato que usa tu Iara (quién eres, el negocio, lo que puede y no puede hacer sin preguntar, las prioridades de 90 días y los asuntos pendientes) y permanece en Órbita para que lo copies y pegues en tu Iara instalada. No enviamos el expediente a tu VPS ni a un Proveedor de IA: tú lo llevas. Si repites la entrevista, la anterior se conserva como historial en tu cuenta hasta que solicites su eliminación.

5-A.4. Modo de audio y voz por navegador. No grabamos audio, ni en la base de datos ni en archivos. Tu voz se convierte en texto antes de llegar a nosotros y solo recibimos el texto. En el modo de voz del navegador, que es el predeterminado, no enviamos tu audio a ningún tercero y no lo recibimos: el reconocimiento de voz de tu propio navegador convierte tu voz en texto. Ten en cuenta que el navegador puede enviar el audio al servicio de transcripción del fabricante (en Chrome, a Google), conforme a sus reglas y sin contrato con nosotros. Del mismo modo, Iara habla con una voz del navegador o del sistema, y algunas funcionan por internet: en ese caso el fabricante recibe el texto que Iara dice, incluida su interpretación de tus respuestas. Si no quieres esto, haz la entrevista por texto (no activa el micrófono) o desactiva la voz de Iara.

5-A.5. El proveedor de voz contratado. Hay un segundo modo, de conversación continua, que utiliza un proveedor de voz contratado por nosotros. Actualmente está desactivado. Solo se activará por decisión expresa nuestra. Antes publicaremos una nueva versión de esta Política con el nombre del proveedor contratado y el país donde trata los datos. Cuando esté activado y elijas hablar:

• tu audio, la transcripción, el texto que escribes durante la conversación, las intervenciones de Iara y tu nombre de pila pasan por el proveedor mientras dura la conversación, para que conduzca la entrevista en tiempo real;
• seguimos guardando las respuestas solo en texto, mediante nuestra propia API y con las mismas reglas de esta sección;
• el proveedor actúa como encargado del tratamiento: trata estos datos solo para prestar el servicio, bajo un contrato de tratamiento de datos que prohíbe al proveedor usarlos para otro fin, incluido el entrenamiento de modelos;
• el proveedor tiene servidores fuera de Brasil, así que hay transferencia internacional (sección 7). Solo activaremos este modo con las garantías del art. 33 de la LGPD, en especial las cláusulas contractuales tipo aprobadas por la ANPD (Resolução CD/ANPD nº 19/2024) en el contrato con el proveedor;
• tú eliges: la pantalla muestra qué modo está activo y el modo de texto ofrece la misma entrevista sin enviar tu voz a nadie.

5-A.6. Qué evitar en las respuestas. No pegues claves, contraseñas ni tokens. La pantalla te lo indica y el sistema rechaza y no guarda respuestas con formato de clave o frases como "a senha é...", pero el filtro no detecta todo. Evita también los datos de tus clientes y los datos sensibles (salud, religión, opinión política y los demás del art. 5º, II, de la LGPD): la entrevista pide los nombres de los sistemas y la descripción del negocio, no datos de terceros. Si aparece algo así en una respuesta, puedes corregirlo en el resumen antes de confirmar o solicitar su eliminación.

5-A.7. Durante cuánto tiempo los guardamos y cómo borrarlos o exportarlos.

• Plazo: las respuestas, las interpretaciones de Iara y los expedientes se conservan mientras tengas acceso a ellos, porque son la base de tu Iara. Cuando termina tu acceso, se guardan durante otros 90 (noventa) días, contados a partir de Fin del acceso — y no desde el fin de la voz o el soporte, que por sí solo no cuenta (Términos, cap. 6.5, c): - en Primeira Iara, el acceso termina 12 meses después de la confirmación del pago (Términos, cap. 3.4); - en Iara Completa, el acceso termina al finalizar el período pagado, tras la cancelación por ti o por la plataforma de cobro por impago (un boleto o pago con tarjeta atrasado que aún se está cobrando supone una suspensión, no el fin del acceso: el plazo no comienza mientras dure); - en caso de desistimiento, reembolso o contracargo (y en caso de cierre por incumplimiento de los Términos), el acceso termina de inmediato y Órbita deja de mostrar contenido; el plazo de 90 días comienza en esa fecha y la copia se solicita por correo electrónico al delegado de protección de datos.
• Advertencia antes de borrar: al menos 15 (quince) días antes de la eliminación, enviamos un correo a la dirección de tu cuenta indicando la fecha. La eliminación solo se realiza después de cumplirse los los dos plazos (los 90 días y los 15 días del aviso); si el aviso se retrasa, la eliminación también se retrasa, nunca al revés.
• Si no podemos avisarte: si el correo no puede enviarse (proveedor de correo no disponible o sin configurar, dirección rechazada), no se borra nada. Lo intentamos de nuevo cada hora, conservamos los datos con acceso restringido y la rutina de eliminación registra cuántas entradas quedaron retenidas por falta de aviso para que nuestro equipo lo resuelva. No borramos sin avisar; en este caso conservamos los datos un poco más, hasta que se envíe el aviso.
• Si se restablece el acceso (renovación o nueva compra antes de la eliminación), la cuenta atrás se detiene: no se borra nada mientras haya un plan activo.
• Fin de la cuenta: si se cierra la cuenta, las entrevistas se borran antes que los datos de registro.
• Suprimir en cualquier momento: solicítalo por correo electrónico al delegado de protección de datos (sección 10). En un plazo de 15 días eliminamos de una vez todas tus entrevistas, respuestas y expedientes, junto con los puntos de la entrevista. Solo queda el registro en la pista de auditoría de que hubo una eliminación y de cuántas entrevistas se borraron, sin su contenido.
• Obtener una copia: el expediente está visible en Órbita, listo para copiar. La copia completa, con todas las respuestas y el estado de tus derechos de acceso, está disponible como archivo estructurado (JSON) en https://arsenal.ideiabusiness.com.br/api/arsenal/orbita/exportar, con la sesión iniciada, mientras tengas acceso y durante los 90 días posteriores a su finalización. Fuera de ese plazo, o si lo prefieres, solicítala por el mismo correo electrónico; la enviamos en un formato estructurado en un plazo de 15 días.

6. Con quién los compartimos (encargados del tratamiento y terceros)

No vendemos datos personales. Los compartimos solo con quienes son necesarios para que el servicio funcione, dentro de los límites que se indican a continuación.

Mantenemos contratos con nuestros encargados del tratamiento que exigen confidencialidad, seguridad y uso exclusivo para la finalidad contratada.

7. Transferencia internacional de datos

Algunos de nuestros encargados del tratamiento mantienen servidores fuera de Brasil. La transferencia se basa en el art. 33 de la LGPD y en las normas de la ANPD sobre cláusulas contractuales tipo (Resolução CD/ANPD nº 19/2024), según el cuadro:

Puedes solicitar más información sobre estas transferencias por el canal de la sección 10.

8. Durante cuánto tiempo los guardamos

Conservamos cada dato solo el tiempo necesario para su finalidad o el plazo que exige la ley. Plazos:

Una vez vencidos los plazos, los datos se eliminan o anonimizan de forma segura. Los que deban conservarse por obligación legal (art. 16, I, de la LGPD) o para la defensa en un proceso (art. 16, II) se mantienen con acceso restringido hasta que termine esa necesidad.

9. Cómo protegemos los datos

Medidas vigentes en nuestro sistema (artículo 46 de la LGPD):

• Cifrado en tránsito: todo acceso a Órbita, a las API, a la base de datos y al servicio de instalación se realiza por HTTPS/TLS; las conexiones SSH con tu VPS están cifradas.
• Sin contraseña de Miembro: el acceso se realiza mediante un enlace mágico de un solo uso, válido durante 15 minutos. El token se genera con 32 bytes aleatorios y se guarda únicamente como hash SHA-256; el enlace no puede reconstruirse a partir de la base de datos.
• Sesiones: cookie de sesión con atributos HttpOnly, Secure, SameSite y prefijo __Host- (solo se envía a nuestro dominio, por HTTPS, sin acceso desde scripts), con una validez de 8 horas, token guardado solo como hash y revocación al cerrar sesión.
• Contraseña del equipo (administración): mínimo de 16 caracteres, guardada como hash scrypt (costo 32768, salt aleatorio), comparación en tiempo constante, bloqueo durante 15 minutos tras 5 intentos fallidos y cookie con SameSite=Strict. Los Miembros no pueden acceder a las áreas administrativas.
• Límites de solicitudes: como máximo 5 solicitudes de enlace cada 15 minutos por correo electrónico y por origen; la clave del límite es un HMAC del correo y la IP, no el dato en texto claro.
• Webhook de pago: solo aceptamos eventos firmados por Kiwify (HMAC verificado en tiempo constante); los eventos con firma inválida se rechazan y se registran sin el secreto.
• Puerta de acceso: todas las rutas de Órbita están bloqueadas por defecto; solo accede quien tiene sesión válida y plan activo, según la comprobación del servidor en cada solicitud ("denegar ante fallos").
• Cabeceras de seguridad: protección contra la inserción en otros sitios (X-Frame-Options: DENY) y la interpretación incorrecta del contenido (nosniff), sin envío de referencia a terceros (Referrer-Policy: no-referrer), cámara y geolocalización desactivadas; el micrófono solo puede usarse en la página de la entrevista y solo se solicita cuando eliges la voz.
• Registro de auditoría inmutable: los eventos de auditoría no pueden ser modificados o borrados por el sistema.
• Instalador: ver sección 5 (secretos solo en memoria, archivos temporales 0600 eliminados, filtro de secretos en registros, servicio con usuario propio y directorios aislados, firewall, HTTPS).
• Entrevista: las respuestas solo se guardan mediante nuestra API, para el propio Miembro, con sesión válida, plan activo, aceptación vigente y verificación de origen; cada respuesta tiene un límite de tamaño y se rechazan las que tienen formato de clave o contraseña. La clave del proveedor de voz, cuando lo hay, permanece solo en el servidor: el navegador recibe únicamente una credencial de corta duración.
• Mínimo privilegio y secretos: las claves y los tokens de servicio se guardan en variables de entorno del alojamiento, fuera del código; los tokens de webhook se rotan cuando es necesario.
• Copia de seguridad: copias de la base de datos según las prácticas del proveedor, con acceso restringido.
• Acceso del equipo: restringido a quienes lo necesitan, mediante contraseña segura y sesión breve, con registro en auditoría.

Ninguna medida garantiza una seguridad absoluta. Contribuyes protegiendo tu correo electrónico (tu clave de acceso), tu VPS y tus cuentas de terceros.

10. Tus derechos y cómo ejercerlos

Conforme al art. 18 de la LGPD, puedes solicitar en cualquier momento y de forma gratuita:

• confirmación que procesamos sus datos y acceso a ellos;
• corrección datos incompletos, inexactos o desactualizados;
• anonimización, bloqueo o supresión de datos innecesarios, excesivos o tratados de forma contraria a la normativa;
• portabilidad de tus datos a otro proveedor, en un formato estructurado;
• supresión los datos tratados sobre la base del consentimiento;
• información sobre con quién compartimos los datos y sobre la posibilidad de no dar consentimiento y sus consecuencias;
• Retiro del consentimiento (por ejemplo, desactivar el perfil público);
• oposición al tratamiento basado en el interés legítimo;
• revisión de decisiones automatizadas (sección 13);
• queja a la ANPD (gov.br/anpd) o organismos de protección del consumidor.

Cómo solicitarlo: correo electrónico a dpo@ideiabusiness.com.br desde la dirección registrada en Órbita (así confirmamos tu identidad). Si la solicitud llega desde otro correo, pediremos confirmación mediante el registrado. Los representantes deben aportar un poder. Las solicitudes sobre la entrevista (copia o eliminación de respuestas y del expediente) siguen este mismo canal (sección 5-A.7).

Plazo: respondemos en un plazo de 15 días. Las solicitudes sencillas (confirmación del tratamiento, acceso resumido) se atienden de inmediato cuando es posible. Si su complejidad requiere más tiempo, te comunicaremos el motivo y el nuevo plazo.

Límites: algunos datos no pueden eliminarse mientras exista una obligación legal (fiscal, Marco Civil) o la necesidad de defender derechos (sección 8). En esos casos indicamos cuáles y por qué, y restringimos su acceso. En la pista de auditoría, que es inmutable, la eliminación se realiza mediante la anonimización de tu registro: el identificador interno permanece, pero se eliminan el nombre, el correo electrónico y el teléfono.

11. Cookies y almacenamiento del navegador

Nosotros usamos sólo cookies estrictamente necesarias. No utilizamos cookies de seguimiento, publicidad ni redes sociales, ni herramientas de analítica. Por eso no hay un aviso de cookies: las cookies necesarias no requieren consentimiento.

Almacenamiento local del navegador (localStorage), sólo en la página del instalador: el identificador de la instalación en curso y su token de seguimiento, la clave de idempotencia (para no iniciar dos instalaciones al recargar la página) y una marca de que se completó el registro inicial. Estos elementos permanecen solo en tu navegador, no se envían a terceros y el propio instalador los elimina al terminar o fallar; también puedes borrarlos limpiando los datos del sitio en el navegador. No se guarda ninguna contraseña, clave ni token del bot en el navegador.

Los sitios de terceros a los que Órbita te dirige (Kiwify, Telegram, Proveedores de IA) usan sus propias cookies conforme a sus políticas.

12. Menores de 18 años

Ideia Arsenal y Órbita Ideia están destinados a personas de 18 años o más. No recopilamos intencionadamente datos de niños ni adolescentes. Si sabemos que una cuenta pertenece a alguien menor de 18 años, la cerraremos y eliminaremos los datos, salvo que exista una obligación legal de conservarlos. Si eres responsable de un menor y crees que se ha registrado, contacta con el delegado de protección de datos (sección 16).

13. Decisiones automatizadas

13.1. Acceso según el pago. Tu acceso se habilita, suspende y revoca automáticamente, a partir de los eventos que Kiwify nos envía (pago aprobado, renovado, atrasado, reembolsado, contracargo, cancelado), según una tabla que relaciona productos y derechos de acceso. No se elaboran perfiles ni se evalúan tus características: es una regla objetiva vinculada al pago. Si crees que ha habido un error, puedes solicitar revisión por una persona por el canal de la sección 16 (art. 20 de la LGPD); el equipo puede conceder o corregir derechos de acceso manualmente, con registro en auditoría.

13.2. Gamificación. Los puntos y rangos se calculan automáticamente a partir de eventos objetivos (clase completada, skill instalada, asistencia, caso publicado, entrevista completada), con reglas fijas y sin afectar a tu acceso al producto. Su visualización pública requiere tu consentimiento (perfil público).

13.3. Expediente de la entrevista. El expediente se genera automáticamente a partir de tus respuestas, mediante reglas fijas, y solo se guarda después de que revises y confirmes el resumen. No afecta a tu acceso al producto ni se utiliza para evaluarte.

13.4. No tomamos otras decisiones automatizadas que afecten a tus intereses ni usamos tus datos para entrenar modelos de IA.

14. Incidentes de seguridad

Si ocurre un incidente de seguridad que pueda suponer un riesgo o daño relevante para ti (por ejemplo, acceso no autorizado a la base de datos), lo comunicaremos a ANPD y los titulares afectados en un plazo razonable, conforme al art. 48 de la LGPD y a la normativa de la ANPD sobre comunicación de incidentes (Resolução CD/ANPD nº 15/2024), con una descripción de lo ocurrido, los datos implicados, los riesgos, las medidas adoptadas y las recomendaciones para ti. Mantenemos un registro interno de incidentes, incluidos los que no requieren comunicación.

Puedes comunicar una sospecha de incidente a dpo@ideiabusiness.com.br. Si recibes un enlace de acceso que no solicitaste, ignóralo: solo funciona una vez y caduca en 15 minutos; avísanos si se repite.

15. Cambios en esta política

Podemos actualizar esta Política para reflejar cambios en el producto, los proveedores o la ley. Cada versión tiene un número (fecha) y una fecha de entrada en vigor. Los cambios que afecten a las finalidades, bases legales, intercambio de datos, transferencias internacionales o plazos de conservación se materiales: te avisaremos con antelación por correo y en Órbita y pediremos nueva aceptación en tu próximo acceso; cuando la base sea el consentimiento, pediremos uno nuevo. Los cambios de redacción o contacto entran en vigor al publicarse, con aviso en Órbita. Las versiones anteriores están disponibles a petición.

16. Contacto

• Delegado de protección de datos (DPO): Victor Lopes Paiva — dpo@ideiabusiness.com.br
• Atención general: contato@ideiabusiness.com.br
• Responsable del tratamiento: Ideia Business Soluções Tecnológicas LTDA · CNPJ 30.082.914/0001-00 · Rua Siqueira Campos, 940, 1º andar, Centro Histórico, Porto Alegre/RS, CEP 90010-000
• Autoridad Nacional de Protección de Datos: gov.br/anpd

Versión 2026-09-28-1 · En vigor desde el 28/09/2026