Política de privacidad

Resumen

• Recopilamos lo que necesitamos para gestionar su cuenta y para comprar y retirar créditos de carbono para usted: su correo electrónico, un hash de su contraseña, un nombre y una foto de perfil opcionales, su suscripción y sus pedidos.
• Los pagos los gestiona Stripe. Los datos de su tarjeta van directamente a Stripe y nunca llegan a nuestros servidores.
• CNaught compra y retira los créditos en una cuenta que mantiene para usted. Los retiros quedan inscritos en registros públicos y no se pueden deshacer, aunque usted elimine su cuenta de TrimCarbon.
• La analítica en el navegador (PostHog) solo se activa después de que usted la acepta. Puede cambiar de opinión en cualquier momento desde Opciones de privacidad.
• Solo le enviamos correos de marketing si usted opta por recibirlos, y puede dejar de recibirlos en cualquier momento.
• No vendemos sus datos personales, no los compartimos para publicidad dirigida y no mostramos anuncios.
• Puede eliminar usted mismo su cuenta desde la página Mi cuenta, y pedirnos una copia de sus datos en contact@trimcarbon.com.

Quiénes somos y cómo contactarnos

Raccoon Ventures Inc. es responsable de sus datos personales, es decir, el “responsable del tratamiento” en el sentido del Reglamento General de Protección de Datos (RGPD) y de la LGPD de Brasil. Somos una empresa con sede en Quebec, Canadá:

Persona responsable de la protección de los datos personales

En virtud de la ley de Quebec sobre la protección de la información personal en el sector privado (Act respecting the protection of personal information in the private sector, la “Ley 25”), la persona responsable de la protección de los datos personales en nuestra empresa es JP Valery, director ejecutivo (Chief Executive Officer). Puede escribirle a contact@trimcarbon.com o enviarle una carta a la dirección indicada arriba, con la mención “Attention: Privacy”.

No hemos designado un representante en la Unión Europea ni en el Reino Unido (artículo 27 del RGPD y del RGPD del Reino Unido, o UK GDPR), dada la pequeña escala de nuestra actividad en esos territorios. Si se encuentra en la UE o en el Reino Unido, escríbanos directamente a contact@trimcarbon.com.

No hemos designado un delegado de protección de datos (encarregado) en virtud de la LGPD de Brasil, ya que los agentes de tratamiento de pequeño porte pueden optar por no hacerlo (Resolución CD/ANPD 2/2022 de la ANPD). Si se encuentra en Brasil, escríbanos a contact@trimcarbon.com.

Dondequiera que se encuentre, puede contactarnos directamente sobre cualquier aspecto de esta política.

Qué recopilamos y por qué

Recopilamos la información que usted nos proporciona (cuando crea una cuenta, compra o nos escribe), la información que su navegador envía cuando usa el sitio y la información de los servicios que trabajan para nosotros: Stripe nos indica si un pago se realizó correctamente, CNaught nos indica el estado de sus pedidos y de dónde provienen sus créditos, y nuestro proveedor de alojamiento nos indica el país y la región de donde proviene su conexión.

La columna “Base jurídica” se aplica si usted se encuentra en la UE, el EEE o el Reino Unido (y, con las bases equivalentes, en Brasil). Las bases se explican en Bases jurídicas.

Correos de marketing. Solo los enviamos si usted opta por recibirlos, mediante la casilla que aparece al crear la cuenta, que está desmarcada de forma predeterminada, o mediante la opción de la página Mi cuenta. Registramos la fecha en que dio su consentimiento. Puede revocarlo en cualquier momento en la página Mi cuenta o con el enlace para darse de baja que figura en cualquier correo de marketing. Los correos que necesita para usar el servicio, como la verificación del correo electrónico, los recibos, las confirmaciones de pedido y el único correo de bienvenida de nuestro fundador, se envían sea cual sea su elección.

Si usted forma parte de una cuenta de equipo o la administra (actualmente solo se ofrece a algunos clientes), también conservamos el nombre, el logotipo, los miembros, los roles y las invitaciones pendientes de la organización, incluido el correo electrónico de la persona invitada.

No solicitamos información sensible, como datos de salud. La única información “sensible” en el sentido de la legislación de California son sus credenciales de inicio de sesión, que usamos solo para permitirle iniciar sesión. Las llaves de acceso usan localmente el desbloqueo por huella dactilar o reconocimiento facial de su dispositivo: recibimos una clave pública, nunca datos biométricos.

No tomamos decisiones sobre usted basadas únicamente en un tratamiento automatizado y no elaboramos perfiles sobre usted con fines publicitarios.

Bases jurídicas

En virtud del RGPD y del RGPD del Reino Unido, nos basamos en estas bases jurídicas (la LGPD de Brasil tiene bases equivalentes):

• Ejecución del contrato: para prestar el servicio para el que usted creó una cuenta o que pagó, y para aplicar las medidas que usted solicite antes de crear una cuenta.
• Obligación legal: para llevar registros contables y fiscales y para demostrar el consentimiento.
• Consentimiento: para la analítica en el navegador y los correos de marketing. Puede revocarlo en cualquier momento; esto no afecta a lo que ocurrió antes. Para los correos de marketing, este es también el consentimiento expreso que exige la ley antispam de Canadá (CASL).
• Interés legítimo: cuando el uso es algo que usted esperaría razonablemente y no prevalece sobre sus derechos. Nuestros intereses legítimos son: mantener las cuentas y el servicio seguros y libres de bots y abusos; responder a los mensajes; medir la creación de cuentas, la conversión y las cancelaciones a partir de nuestros propios eventos de cuenta; enviar un único correo de bienvenida después de la creación de la cuenta; y conservar la prueba de sus elecciones de consentimiento. Puede oponerse a cualquiera de ellos (consulte Sus derechos).

Con quién los compartimos

Usamos los siguientes proveedores de servicios. Tratan datos personales por cuenta nuestra, en virtud de contratos que limitan lo que pueden hacer con ellos.

Stripe también usa algunos datos como responsable independiente del tratamiento para sus propios fines, como la prevención del fraude y el cumplimiento legal, conforme a la Política de privacidad de Stripe. Las páginas de pago y de facturación de Stripe las gestiona Stripe.

También divulgamos datos personales:

• Públicamente, cuando usted así lo elige: cada pedido tiene un certificado en nuestro registro (trimcarbon.com/registry), con un enlace público que puede abrir cualquier persona con quien usted lo comparta. Las páginas de los certificados están excluidas de los motores de búsqueda. Si elige un nombre para sus certificados (en la página Mi cuenta o antes de comprar), aparece en los certificados de sus próximos pedidos, y un certificado conserva el nombre con el que se emitió. CNaught inscribe los retiros en registros públicos de carbono. No proporcionamos a CNaught su nombre ni su correo electrónico. Hasta el 8 de octubre de 2026, CNaught también recibía el nombre que usted eligió y lo mostraba en sus propios certificados, que lo conservan. Las fotos de perfil se almacenan en una dirección web pública.
• Cuando la ley lo exige, por ejemplo para responder a una orden judicial válida, o cuando es necesario para proteger la seguridad de alguien o para establecer o defender nuestros derechos legales.
• Si nuestra empresa cambia de manos, al comprador o sucesor, que deberá seguir protegiéndolos conforme a esta política. Le avisaremos si eso ocurre.

No vendemos ni alquilamos datos personales, ni los compartimos para publicidad dirigida (“publicidad conductual de contexto cruzado”, o cross-context behavioral advertising). No mostramos anuncios ni usamos rastreadores publicitarios.

Algunas imágenes de nuestras páginas provienen de Unsplash. Nuestro propio servidor las obtiene y las redimensiona, por lo que su navegador no se comunica con Unsplash. Las imágenes de vista previa que se usan cuando alguien comparte un enlace a nuestro sitio las genera un servicio gestionado por nuestro fundador, que no recibe de nuestras páginas ninguna información sobre los visitantes.

Transferencias internacionales

Estamos en Quebec, Canadá. Los proveedores indicados en Con quién los compartimos tratan sus datos en Estados Unidos (Stripe también en Irlanda), conforme a sus condiciones de tratamiento de datos, que les exigen protegerlos. Por lo tanto, sus datos pueden almacenarse y tratarse fuera de su provincia o de su país, donde las leyes de privacidad pueden ser diferentes y donde los tribunales y las autoridades pueden tener acceso a ellos en virtud de la legislación local.

• Desde la UE, el EEE y el Reino Unido: la Comisión Europea considera que Canadá ofrece una protección adecuada para las organizaciones sujetas a la PIPEDA, y el Reino Unido también reconoce a Canadá. Para el tratamiento en Estados Unidos, nuestros proveedores se basan en su certificación conforme al EU-US Data Privacy Framework (y su extensión para el Reino Unido), cuando la tienen, y, en caso contrario, en las cláusulas contractuales tipo de la Comisión Europea (con la adenda del Reino Unido) incluidas en sus condiciones de tratamiento de datos.
• Desde Brasil: transferimos datos en los casos en que la LGPD lo permite, por ejemplo cuando la transferencia es necesaria para ejecutar nuestro contrato con usted.

Cookies y tecnologías similares

Las cookies son pequeños archivos que un sitio almacena en su navegador; el almacenamiento local (local storage) y el almacenamiento de sesión (session storage) son similares. Usamos los siguientes:

En HTTPS, los navegadores ven los nombres de nuestras cookies de inicio de sesión con el prefijo __Secure-. Stripe establece sus propias cookies en sus páginas de pago y de facturación, que están en los dominios de Stripe y se rigen por la política de cookies de Stripe. PostHog solo se descarga después de que usted acepta la analítica; hasta entonces, no establece nada.

Sus opciones de consentimiento

Nuestra herramienta de consentimiento, c15t, funciona en nuestros propios servidores y almacena sus elecciones en nuestra base de datos. Esté donde esté, un banner le pide que acepte o rechace la analítica. La analítica permanece desactivada a menos que usted pulse Aceptar. Si la rechaza, lo recordamos.

El texto del banner se ajusta a la ley del lugar donde usted se encuentra, según el país y la región de su conexión, que determina nuestro proveedor de alojamiento.

Su elección es válida durante 365 días; después, volvemos a preguntarle. Puede cambiarla en cualquier momento con Opciones de privacidad, aquí o al pie de cada página. Desactivar la analítica impide que PostHog recopile cualquier otro dato y que almacene cualquier cosa en su navegador.

Si su navegador envía una señal Global Privacy Control, no tenemos que hacer nada más: nunca vendemos ni compartimos datos personales, y la analítica solo se activa después de que usted la acepta. Lo mismo ocurre con la señal más antigua “Do Not Track”.

Sus derechos

Según dónde viva, usted tiene algunos de estos derechos o todos ellos. Extendemos los principales (acceso, rectificación, supresión, copia de sus datos y revocación del consentimiento) a todas las personas.

UE, EEE y Reino Unido

En virtud del RGPD y del RGPD del Reino Unido, usted puede solicitarnos que le demos acceso a sus datos personales, que los rectifiquemos, que los suprimamos, que limitemos el uso que hacemos de ellos o que le entreguemos una copia en un formato portable. Puede oponerse en cualquier momento a los usos basados en nuestros intereses legítimos y revocar su consentimiento en cualquier momento. Puede presentar una reclamación ante su autoridad local de protección de datos (cuya lista publica el Comité Europeo de Protección de Datos) o, en el Reino Unido, ante la Information Commissioner's Office. Le agradeceríamos que nos diera antes la oportunidad de resolverlo con usted.

Quebec y el resto de Canadá

En virtud de la Ley 25 y de la ley federal PIPEDA, usted puede solicitar el acceso a sus datos personales y su rectificación, y revocar su consentimiento. En virtud de la Ley 25, también puede recibir la información que nos proporcionó en un formato tecnológico estructurado y de uso común. En Quebec, también puede pedirnos que dejemos de difundir su información o que desindexemos un enlace hacia ella cuando la ley lo permita, y que le informemos de cualquier decisión tomada exclusivamente mediante un tratamiento automatizado (no tomamos ninguna). Puede presentar una reclamación ante la Commission d'accès à l'information du Québec o ante la Office of the Privacy Commissioner of Canada.

Usamos el país y la región de su conexión únicamente para mostrar el aviso de consentimiento que corresponde a la ley del lugar donde usted se encuentra. Aparte del registro de consentimiento que usted crea al hacer una elección, no almacenamos esa información. Nuestra analítica deduce una ubicación aproximada a partir de su dirección IP y permanece desactivada hasta que usted la acepte.

California y otros estados de EE. UU.

Si vive en California, le otorgamos los derechos de la CCPA (modificada por la CPRA), se apliquen o no estas leyes a nosotros: el derecho a saber qué datos personales recopilamos, usamos y divulgamos; a acceder a ellos, corregirlos y eliminarlos; a oponerse (opt-out) a su venta o a que se compartan; a limitar el uso de los datos personales sensibles; y a no sufrir discriminación por ejercer estos derechos. Puede recurrir a un agente autorizado; podemos pedir al agente una prueba y pedirle a usted que confirme su identidad.

• No vendemos datos personales ni los compartimos para publicidad conductual de contexto cruzado, y no lo hemos hecho en los últimos 12 meses. No tenemos conocimiento de haber vendido ni compartido información sobre ninguna persona menor de 16 años.
• Usamos los datos personales sensibles (sus credenciales de inicio de sesión) únicamente para prestar el servicio, por lo que el derecho a limitar no se aplica.
• Una señal Global Privacy Control no requiere ninguna otra acción por nuestra parte, como se explica en Sus opciones de consentimiento.

Las fuentes, las finalidades y los plazos de conservación de cada categoría figuran en Qué recopilamos y por qué.

Los residentes de otros estados de EE. UU. con leyes de privacidad (por ejemplo, Virginia, Colorado, Connecticut, Oregón o Texas) pueden tener derechos similares de acceso, rectificación, eliminación y portabilidad de sus datos, y de oposición (opt-out) a la publicidad dirigida, la venta y la elaboración de perfiles, prácticas que no llevamos a cabo. Si rechazamos su solicitud, puede apelar respondiendo a nuestra respuesta; si rechazamos la apelación, puede ponerse en contacto con el fiscal general (attorney general) de su estado.

Brasil

En virtud de la LGPD, usted puede solicitarnos: la confirmación de que tratamos sus datos; el acceso a ellos; la corrección de datos incompletos, inexactos o desactualizados; la anonimización, el bloqueo o la eliminación de datos innecesarios, excesivos o tratados de forma ilícita; su portabilidad a otro proveedor; la eliminación de los datos tratados con su consentimiento; información sobre con quién los compartimos; información sobre lo que ocurre si no da su consentimiento; y la revocación del consentimiento. Puede presentar una reclamación ante la Autoridade Nacional de Proteção de Dados (ANPD).

Cómo ejercer sus derechos

• Modificar sus datos: su nombre, su foto, su idioma, su contraseña, sus llaves de acceso y su configuración de dos factores están en la página Mi cuenta. Los datos de facturación están en el portal de facturación de Stripe, que usted abre desde la página Mi cuenta.
• Eliminar su cuenta: use “Eliminar cuenta” en la página Mi cuenta. Consulte Conservación y eliminación de la cuenta para saber qué se elimina y qué se conserva.
• Todo lo demás (una copia de sus datos, una exportación en formato portable, la rectificación de algo que no puede editar, la oposición, la limitación o cualquier pregunta): escriba a contact@trimcarbon.com desde la dirección de su cuenta, o indíquenos cómo comunicarnos con usted.
• Analítica: cambie su elección en cualquier momento con Opciones de privacidad.
• Correos de marketing: desactívelos en la página Mi cuenta o use el enlace para darse de baja que figura en cualquier correo de marketing.

Es posible que necesitemos confirmar que realmente es usted, normalmente mediante una respuesta suya enviada desde el correo electrónico de su cuenta. Respondemos en un plazo de 30 días, o antes cuando la ley lo exija (por ejemplo, 15 días para algunas solicitudes en virtud de la LGPD de Brasil). Si la ley nos concede más tiempo y lo necesitamos, le explicaremos el motivo. El ejercicio de sus derechos es gratuito.

Conservación y eliminación de la cuenta

Conservamos los datos personales solo durante el tiempo necesario para las finalidades anteriores; la tabla de Qué recopilamos y por qué indica el plazo para cada tipo. Después, los suprimimos o los anonimizamos.

La información que nuestros proveedores conservan por cuenta nuestra, como los logs de entrega de correos, los eventos de analítica, los logs de alojamiento y los datos de ejecución de los flujos de trabajo, se conserva durante el plazo de conservación que cada proveedor fija para nuestra cuenta y después se elimina. Solo la usamos para las finalidades anteriores.

Eliminar su cuenta desde la página Mi cuenta cancela cualquier suscripción activa en Stripe y elimina su cuenta, sus sesiones, sus llaves de acceso y su foto de perfil. No elimina:

• sus pedidos en CNaught y sus certificados en nuestro registro. El retiro de un crédito es permanente y queda inscrito en un registro público, y los certificados conservan el nombre con el que se emitieron;
• los registros de facturación, incluidos el libro mayor de tramitación y las facturas y los recibos en Stripe, que conservamos durante 6 años después del final del año de cada transacción, según lo exige la legislación fiscal y contable. El libro mayor deja de estar vinculado a su cuenta;
• los eventos de analítica vinculados a su ID de cuenta, que se conservan durante el plazo de conservación de la analítica, salvo que usted nos pida eliminarlos;
• los mensajes que usted nos envió, que conservamos durante 2 años después de nuestro último intercambio;
• los registros de consentimiento, que no están vinculados a su cuenta.

Menores

TrimCarbon no está dirigido a menores de 16 años, y no recopilamos deliberadamente datos personales de ellos. Las cuentas y las compras son para adultos (consulte nuestros Términos y condiciones). Si cree que un menor nos ha proporcionado datos personales, escriba a contact@trimcarbon.com y los eliminaremos.

Seguridad

Protegemos su información con medidas que incluyen:

• conexiones cifradas (HTTPS) en todas partes;
• contraseñas almacenadas solo como hashes irreversibles, códigos de inicio de sesión de un solo uso almacenados como hash y secretos de dos factores almacenados cifrados;
• verificación del correo electrónico antes del primer inicio de sesión, llaves de acceso y autenticación de dos factores opcionales;
• límites de solicitudes en el inicio de sesión y en otras acciones de la cuenta, y detección de bots en la creación de cuentas y en nuestros formularios;
• pagos con tarjeta gestionados íntegramente por Stripe, que cuenta con la certificación del estándar PCI DSS;
• acceso a los datos personales limitado a las personas y los proveedores que lo necesitan.

Ningún sistema es perfectamente seguro. Si un incidente de confidencialidad genera un riesgo de perjuicio grave para usted, se lo notificaremos a usted y a las autoridades según lo exija la ley, y llevamos un registro de los incidentes.

Cambios en esta política

Publicaremos cualquier nueva versión aquí, con una nueva fecha de “Última actualización”. Si un cambio es significativo, por ejemplo una nueva finalidad o un nuevo tipo de proveedor, se lo comunicaremos por correo electrónico (si tiene una cuenta) y en el sitio al menos 30 días antes de que entre en vigor, y volveremos a pedir su consentimiento cuando la ley lo exija.

Contacto

Preguntas, solicitudes o reclamaciones sobre privacidad: escriba a contact@trimcarbon.com o por correo postal a: