Política de Privacidad de Northstack

Fecha de vigencia: 19 de octubre de 2026

Esta Política de Privacidad explica cómo Northstack ("Northstack," "nosotros"), operado por Alejandro Bravo, una persona física con domicilio en Buenos Aires, Argentina, recolecta, usa, comparte y protege información en relación con el servicio Northstack (el "Servicio"). Los términos en mayúscula no definidos aquí tienen el significado que les da nuestros Términos de Servicio.

Estado beta. El Servicio se ofrece actualmente como un producto en beta / acceso anticipado (ver la Sección 1.1 de nuestros Términos de Servicio). Por eso, el Servicio — y esta Política — pueden cambiar más seguido, y con menos aviso previo, que un producto maduro y de disponibilidad general; ver la Sección 10 (Cambios a esta Política).

1. Alcance y dos tipos de datos

Northstack es una plataforma business-to-business. Por eso, esta Política cubre dos tipos distintos de datos personales, y nuestro rol es diferente para cada uno:

• Datos de Cuenta: información sobre las personas que se registran y usan Northstack directamente — el owner, los admins y los members de un Tenant (nombre, email, número de teléfono, contraseña, rol, y actividad de cuenta relacionada). Northstack es el responsable (controller) de los Datos de Cuenta y es directamente responsable de ellos bajo esta Política.
• Datos Procesados: información que un Tenant ingresa al Servicio sobre sus propios empleados, contratistas o clientes (por ejemplo, registros de RR.HH., registros de clientes/contactos, y valores de campos personalizados). El Tenant es el responsable (controller) de los Datos Procesados; Northstack solo los procesa en nombre del Tenant y según la configuración que el Tenant le dé al Servicio, como se describe más en detalle en la Sección 3.5 de nuestros Términos de Servicio.

Si sos empleado o cliente de una empresa que usa Northstack, y tu información aparece como Datos Procesados en la cuenta de esa empresa, por favor dirigí cualquier pedido sobre tus datos directamente a esa empresa — generalmente no estamos en posición de actuar sobre eso unilateralmente, ya que la empresa controla esos datos. La Sección 6 más abajo explica cómo manejamos esos pedidos si nos llegan directamente a nosotros.

2. Información que recolectamos

2.1 Datos de Cuenta que proporcionás directamente

• Información de registro: nombre de la empresa, tu nombre, dirección de email, número de teléfono, y contraseña (guardada como un hash criptográfico con salt, nunca en texto plano).
• Información de perfil que actualizás después del registro.
• Contenido de las comunicaciones de soporte o contacto que nos enviás.
• Información de facturación y suscripción: el plan que elegís, el estado de la prueba gratuita y la suscripción, y metadatos de transacciones (como monto, fecha y moneda) de pagos procesados a través de Dodo Payments o Mercado Pago (Sección 4.1). No recolectamos ni guardamos directamente tu número completo de tarjeta de pago o cuenta bancaria — nuestros procesadores de pago recolectan y conservan esa información directamente.
• Si te sumás a nuestro Programa de Referidos: tu método de cobro y los datos de cuenta que ese método requiere (por ejemplo, un email, una cuenta bancaria, CBU/CVU, o un CUIT/CUIL), guardados encriptados y usados solo para pagarte tus comisiones de referido. Ver nuestros Términos y Condiciones del Programa de Referidos.

2.2 Datos Procesados que los Tenants envían

• Registros de empleados y clientes/contactos ingresados por los usuarios de un Tenant, incluyendo nombres, emails, números de teléfono, departamentos, roles, estado de empleo/cliente, y cualquier campo personalizado que un Tenant configure (sujeto a la restricción de categorías prohibidas en la Sección 3.4 de nuestros Términos de Servicio).
• Registros de nómina y compensación que un Tenant ingresa para sus propios empleados/contratistas — frecuencia de pago, corridas de pago, recibos de sueldo, y los datos de cuenta de pago usados para indicarle al Tenant adónde depositarle el sueldo a esa persona (guardados encriptados). Northstack no usa estos datos para ejecutar o transmitir ningún pago — el módulo de Nómina es solo una herramienta de registro; ver la Sección 1.3 de nuestros Términos de Servicio.
• Registros de facturas que un Tenant crea para sus propios clientes a través de la integración con Stripe (ítems de línea, descripciones, montos y memos). Estos datos se envían a la propia cuenta de Stripe conectada por ese Tenant para que Stripe pueda entregar y cobrar la factura; ver la Sección 4.5.

2.3 Información recolectada automáticamente

• Datos de uso y registro (logs): dirección IP, tipo de navegador, información del dispositivo, marcas de tiempo, y acciones realizadas dentro del Servicio, recolectados con fines de seguridad, depuración, y confiabilidad.
• Almacenamiento local: guardamos una pequeña cantidad de datos en el almacenamiento local de tu navegador (por ejemplo, tu preferencia de modo oscuro/claro) para recordar configuraciones en ese dispositivo. Estos datos se quedan en tu dispositivo y no se nos transmiten como datos de seguimiento.

Actualmente no usamos rastreadores de publicidad o analítica de terceros, y no usamos cookies para seguimiento entre sitios ni con fines publicitarios.

3. Cómo usamos la información

Usamos los Datos de Cuenta y los Datos Procesados para:

• proveer, operar, asegurar y mantener el Servicio (incluyendo autenticación, aislamiento entre tenants, y permisos);
• dar soporte al cliente, incluyendo el acceso temporal a la cuenta que un usuario de tu Tenant autorice (Sección 4.6);
• procesar pagos de suscripción y gestionar la facturación, incluyendo pruebas gratuitas, cambios de plan, y cancelaciones, a través de nuestros procesadores de pago (Sección 4.1);
• enviar emails transaccionales, como emails de invitación, avisos relacionados con la contraseña, y anuncios del servicio;
• diagnosticar problemas técnicos, monitorear abusos, y mejorar la confiabilidad y seguridad;
• cumplir obligaciones legales y hacer valer nuestros Términos de Servicio; y
• comunicarnos con vos sobre tu cuenta o, con tu consentimiento, sobre novedades del producto.

No usamos los Datos Procesados para ningún fin fuera de proveer el Servicio al Tenant que los ingresó, y no usamos los Datos Procesados para entrenar modelos de machine learning externos/de terceros.

4. Cómo compartimos la información

No vendemos datos personales. Solo compartimos información de las siguientes formas:

4.1 Subprocesadores (infraestructura y proveedores de servicios)

Usamos proveedores externos para operar el Servicio, cada uno actuando bajo obligaciones contractuales consistentes con el fin para el cual les compartimos datos:

La infraestructura de estos proveedores está ubicada principalmente en Estados Unidos, excepto Mercado Pago, que tiene su sede en Argentina y procesa las transacciones en ARS correspondientemente; ver la Sección 7 (Transferencias Internacionales de Datos).

4.2 Dentro de un Tenant

Los Datos de Cuenta y los Datos Procesados dentro de un Tenant son visibles para los propios usuarios de ese Tenant según los roles y permisos que el Tenant configure (owner/admin/member). No somos responsables de las decisiones internas de un Tenant sobre a quién darle acceso.

4.3 Cuestiones legales y de seguridad

Podemos divulgar información si lo exige la ley, una regulación, un proceso legal, o un pedido gubernamental, o cuando creamos de buena fe que la divulgación es necesaria para proteger los derechos, la propiedad, o la seguridad de Northstack, nuestros usuarios, u otros.

4.4 Transferencias de negocio

Si Northstack se ve involucrado en una fusión, adquisición, o venta de activos, la información puede transferirse como parte de esa transacción. Vamos a avisar antes de que la información quede sujeta a una política de privacidad diferente.

4.5 Integraciones que elegís conectar

El Servicio ofrece integraciones que un Tenant puede elegir, a su propia opción, conectar a sus propias cuentas de terceros — actualmente Google Calendar (para sincronizar Tareas, Licencias y Turnos como eventos de calendario) y Stripe. Para Stripe: un Tenant conecta su propia cuenta de Stripe proporcionando su propia API key de Stripe, y el Servicio solo hace lo que los permisos de esa key permitan — solo lectura si la key del Tenant es de solo lectura, o, si la key otorga acceso de escritura, el Servicio también puede crear y enviar facturas alojadas en Stripe a los propios clientes de ese Tenant en su nombre. Crear y enviar una factura es por el momento la única acción de escritura que realiza el Servicio — no crea un Payment Intent ni cobra o recauda una tarjeta directamente de ninguna otra forma; la propia página de factura alojada por Stripe es la que efectivamente entrega la factura y cobra el pago. Cuando un Tenant conecta una de estas integraciones, el tercero que conecta — no Northstack — recibe y procesa los datos expuestos a través de esa conexión, bajo las propias prácticas de privacidad de ese tercero; ver la Sección 8.2 de nuestros Términos de Servicio.

Asistentes de IA (MCP). Cuando un usuario de un Tenant conecta un asistente de IA de terceros a través del Model Context Protocol ("MCP"), el asistente puede leer — y, cuando el usuario se lo pide, modificar — los datos a los que ese usuario ya tiene acceso en el Servicio con su rol actual, que pueden incluir tareas y notas, registros de CRM (empresas, contactos, oportunidades), fichas de empleados, licencias, turnos y timesheets, y corridas de nómina (solo lectura); nunca datos ocultos para el rol de ese usuario. Los datos que el asistente lee se envían al proveedor del asistente, que los procesa bajo sus propias prácticas de privacidad (ver la Sección 8.2 de nuestros Términos de Servicio); Northstack no controla ese procesamiento. Para mantener la conexión guardamos: el nombre del asistente, el usuario que lo conectó, y cuándo se conectó, se usó por última vez y se desconectó; sus tokens de acceso y de renovación, guardados solo en forma de hash (los de acceso vencen a la hora y los de renovación a los 30 días); un registro de los pedidos que hace (método, ruta, resultado y dirección IP); y entradas en el Registro de Actividad por cada cambio que hace y por cada conexión y desconexión. El usuario, o quien administre las integraciones del Tenant, puede desconectar un asistente en cualquier momento.

4.6 Acceso de soporte de Northstack a tu cuenta (solo con tu permiso)

El personal de Northstack nunca inicia sesión en tu cuenta, ni la ve como la ves vos, a menos que un usuario de tu cuenta acepte explícitamente un pedido para hacerlo. Cuando nuestro equipo de soporte necesita revisar tu cuenta para ayudarte:

• Le enviamos el pedido a un usuario específico de tu cuenta, dentro del Servicio y por email. Indica quién lo pide, por qué, si el acceso es solo de vista o también permite hacer cambios, y por cuánto tiempo. Un pedido que nadie responde vence a las 24 horas.
• El acceso empieza solo cuando ese usuario lo acepta, dura como máximo el período indicado (30 minutos, 2 horas, o 24 horas, contadas desde la aceptación), y ese usuario puede terminarlo en cualquier momento.
• Durante el acceso, nuestro personal ve la cuenta con los permisos del usuario que lo aceptó, nunca más. En modo de solo vista no pueden cambiar nada. Si se permitieron cambios, cada cambio que hagan queda registrado en tu Registro de Actividad como hecho por el soporte de Northstack.
• Guardamos un registro de cada pedido, aceptación, entrada, y fin del acceso.

Por separado de esto, una cantidad limitada de personal autorizado de Northstack puede ver información administrativa de cada Tenant que necesitamos para operar, dar soporte, y facturar el Servicio — como los datos de la empresa, los usuarios de la cuenta y sus roles, el plan y el estado de facturación, y cuánto se usa cada módulo — a través de una herramienta administrativa interna. Esa herramienta también le permite al personal autorizado tomar acciones administrativas como extender una prueba, cambiar un plan, suspender una cuenta, o exportar una copia de los datos de un Tenant (por ejemplo, para cumplir con un pedido bajo la Sección 6). Cada acción administrativa que nuestro personal toma sobre un Tenant queda registrada junto con su motivo.

5. Conservación de datos

Conservamos los Datos de Cuenta mientras la cuenta asociada esté activa, y por un período razonable después para permitir la recuperación de la cuenta, cumplir obligaciones legales, resolver disputas, y hacer valer nuestros acuerdos. Conservamos los Datos Procesados mientras la cuenta del Tenant esté activa.

Eliminar la cuenta de un Tenant. El owner de un Tenant puede eliminar la cuenta de la empresa desde el Servicio (Configuración → Empresa), y Northstack también puede eliminar una cuenta, por ejemplo a pedido del owner o bajo nuestros Términos de Servicio. En ambos casos, nadie puede iniciar sesión en la cuenta desde ese momento, el owner recibe un aviso por email, y todos los Datos de Cuenta y Datos Procesados de ese Tenant se eliminan permanentemente diez (10) días después. Durante esos 10 días, la eliminación se puede revertir escribiendo a info@joinnorthstack.com; después de eso, no se puede deshacer.

Conservamos nuestras propias copias de las facturas y los registros de facturación por más tiempo, según sea necesario para cumplir con nuestras propias obligaciones fiscales y contables, incluso después de que se elimine el resto de los datos de un Tenant. Los registros de pago que tienen nuestros procesadores de pago (Dodo Payments, Mercado Pago) los conservan ellos según sus propias obligaciones, independientes de las nuestras.

Si sos Miembro del Programa de Referidos, eliminar o dar de baja tu cuenta no elimina en ese momento tu método y datos de cobro ni el registro de tus comisiones y transferencias de referidos: los conservamos, cifrados, durante el tiempo necesario para liquidarte las comisiones que ya habías ganado y para cumplir con nuestras obligaciones fiscales y contables. Ver los Términos y Condiciones del Programa de Referidos.

Nuestro registro interno de acciones administrativas tomadas sobre un Tenant (Sección 4.6) sigue existiendo después de que se elimina la cuenta de ese Tenant, para nuestros propios fines operativos y de cumplimiento. Ya no está vinculado al Tenant eliminado, pero todavía puede contener detalles limitados que un miembro del personal incluyó al tomar una acción — por ejemplo, el email de un usuario anotado al resetear una contraseña.

Vos (o el owner/admin de tu Tenant) pueden pedir una eliminación anticipada escribiendo a info@joinnorthstack.com.

6. Tus derechos y opciones

6.1 Si sos un usuario de Northstack (Datos de Cuenta)

Podés acceder y actualizar la mayoría de tus propios Datos de Cuenta directamente en el Servicio (Configuración de perfil). También podés escribirnos a info@joinnorthstack.com para pedir acceso, corrección, o eliminación de tus Datos de Cuenta. Si sos el owner de un Tenant, podés eliminar vos mismo toda la cuenta de la empresa desde Configuración → Empresa; ver la Sección 5 (Conservación de datos).

6.2 Si tus datos aparecen como Datos Procesados

Si sos empleado o cliente de un Tenant de Northstack, esa empresa controla sus Datos Procesados y es la parte adecuada para manejar tu pedido en primera instancia. Si nos contactás directamente a info@joinnorthstack.com, vamos a hacer un esfuerzo razonable para identificar al Tenant correspondiente y dirigir tu pedido, o darte asistencia técnica para actuar sobre las instrucciones del Tenant, de forma consistente con nuestro rol como procesador.

6.3 Derechos de privacidad de estados de EE.UU.

Algunos estados de EE.UU. le dan a sus residentes derechos específicos sobre su información personal (por ejemplo, el derecho a saber qué se recolecta, y el derecho a pedir la eliminación). Si estas leyes aplican formalmente a Northstack depende de factores como umbrales de ingresos y volumen de datos que pueden cumplirse o no en un momento dado. Independientemente de la aplicabilidad legal estricta, extendemos voluntariamente lo siguiente a todos los titulares de Datos de Cuenta: el derecho a pedir una copia de los Datos de Cuenta que tenemos sobre vos, y el derecho a pedir su eliminación, escribiendo a info@joinnorthstack.com. No vendemos datos personales ni hacemos publicidad basada en comportamiento, así que los derechos relacionados con optar por no participar en la venta/compartición de datos no aplican a nuestras prácticas.

7. Transferencias internacionales de datos

Northstack opera desde Argentina, y nuestros proveedores de infraestructura (Sección 4.1) tienen su sede principalmente en Estados Unidos. Al usar el Servicio, entendés que tu información, y cualquier Dato Procesado que tu Tenant envíe, va a transferirse y almacenarse en Estados Unidos. Tomamos medidas contractuales y técnicas con nuestros proveedores destinadas a proteger los datos en tránsito y en reposo, como se describe en la Sección 8.

Esta Política no está actualmente estructurada para soportar mecanismos de transferencia específicos del RGPD (como las Cláusulas Contractuales Estándar) ni un representante con sede en la UE. Si tu organización tiene su sede, o vos estás ubicado, en el Espacio Económico Europeo, el Reino Unido, o Suiza, por favor contactanos a info@joinnorthstack.com antes de enviar datos personales de personas ubicadas ahí, para que podamos conversar si el Servicio es actualmente adecuado para tus necesidades de cumplimiento.

8. Seguridad de los datos

Usamos medidas técnicas y organizativas razonables diseñadas para proteger los Datos de Cuenta y los Datos Procesados, incluyendo encriptación de datos en tránsito (HTTPS/TLS), hash criptográfico de contraseñas con salt (scrypt), y controles de acceso por tenant aplicados a nivel de la aplicación. También estamos construyendo la autenticación de dos factores (2FA) como una función de seguridad de cuenta adicional y opcional; todavía no está disponible, y la vamos a anunciar cuando lo esté. Ningún método de transmisión o almacenamiento es 100% seguro, y no podemos garantizar seguridad absoluta. Si tomamos conocimiento de un incidente de seguridad que afecte tus datos y que la ley nos exija notificarte, lo vamos a hacer sin demora indebida.

9. Privacidad de menores

El Servicio está pensado para uso empresarial por parte de adultos y no está dirigido a, ni debe ser usado por, personas menores de 18 años. No recolectamos conscientemente datos personales de menores. Si creés que un menor nos proporcionó datos personales, contactanos a info@joinnorthstack.com y vamos a tomar las medidas adecuadas para eliminarlos.

10. Cambios a esta Política

Podemos agregar, quitar, o modificar cualquier disposición de esta Política en cualquier momento y sin aviso previo, salvo que la ley aplicable exija lo contrario. Cuando hagamos un cambio, vamos a publicar la Política actualizada con una nueva fecha de vigencia y vamos a avisar a los owners de cada Tenant con una notificación dentro de la app. Esa notificación puede llegar en el momento en que el cambio entra en vigencia o después, no necesariamente antes. Tu uso continuado del Servicio después de que un cambio entra en vigencia implica la aceptación de la Política actualizada.

11. Contacto

Las consultas, pedidos, o inquietudes sobre esta Política o tus datos se pueden enviar a info@joinnorthstack.com.

Northstack es operado por Alejandro Bravo, con domicilio en Buenos Aires, Argentina.