Política de Privacidad

1. Responsable del tratamiento y contacto

1.1. El responsable del tratamiento de los datos personales descritos en esta Política es Zetta, con domicilio en Rosario, Provincia de Santa Fe, República Argentina, que presta el servicio de gestión empresarial Zetta a través del sitio https://zetta.ar y de la aplicación https://app.zetta.ar (en adelante, «Zetta», «el Prestador» o «nosotros»).

1.2. Toda consulta, pedido o reclamo sobre datos personales se dirige a privacidad@zetta.ar. Para consultas generales: hola@zetta.ar. Para reportar una vulnerabilidad o un incidente de seguridad: hola@zetta.ar.

1.3. Zetta inscribe en el Registro Nacional de Bases de Datos de la Agencia de Acceso a la Información Pública las bases de datos de las que es responsable y mantiene la inscripción actualizada, conforme a los arts. 3 y 21 de la Ley 25.326 y a la Resolución 132/2018 de esa Agencia. Los datos de la inscripción se informan a quien los solicite por el canal de la cláusula 1.2.

2. Marco legal y autoridad de control

2.1. Esta Política se rige por la Ley 25.326 de Protección de los Datos Personales, su Decreto reglamentario 1558/2001, la Ley 27.483 que aprueba el Convenio 108 del Consejo de Europa, el art. 43 de la Constitución Nacional, y las disposiciones y resoluciones de la Agencia de Acceso a la Información Pública («AAIP») aplicables, en particular la Resolución 47/2018 (medidas de seguridad), la Resolución 4/2019 (criterios orientadores), la Disposición 60-E/2016 y la Resolución 198/2023 (transferencias internacionales), la Disposición 10/2008 (deber de información) y la Resolución 126/2024 (régimen de infracciones).

2.2. Cuando Zetta trate datos de personas que se encuentren en la Unión Europea o en el Reino Unido en el marco de una oferta de servicios dirigida a ellas, aplica además el Reglamento (UE) 2016/679 («RGPD») o su equivalente británico. La República Argentina cuenta con una decisión de adecuación de la Comisión Europea (Decisión 2003/490/CE, confirmada por el informe COM(2024) 7 del 15 de enero de 2024).

2.3. La AGENCIA DE ACCESO A LA INFORMACIÓN PÚBLICA, en su carácter de Órgano de Control de la Ley N° 25.326, tiene la atribución de atender las denuncias y reclamos que interpongan quienes resulten afectados en sus derechos por incumplimiento de las normas vigentes en materia de protección de datos personales. Sitio: argentina.gob.ar/aaip.

3. Dos roles distintos: cuándo Zetta es responsable y cuándo es encargado

3.1. Zetta es responsable de los datos que trata por decisión propia: las cuentas de acceso de cada usuario, los datos de contacto y facturación de cada empresa cliente, los registros de seguridad, los formularios del sitio institucional y las comunicaciones de soporte. Sobre esos datos, Zetta decide finalidades y medios y responde directamente ante los titulares. Esta Política describe principalmente ese tratamiento.

3.2. Zetta es encargado (art. 25 de la Ley 25.326; art. 28 del RGPD) de los datos personales que cada empresa cliente carga en su organización: sus clientes, proveedores, empleados, contactos y compradores de su tienda online. Sobre esos datos la empresa cliente es la responsable; Zetta los trata únicamente por cuenta y orden de ella, para prestarle el servicio, bajo las instrucciones y los límites del Acuerdo de Encargo de Tratamiento de Datos, y no los usa para ninguna finalidad propia.

3.3. En términos prácticos: si sos cliente, proveedor, empleado o comprador de una empresa que usa Zetta y querés acceder, corregir o suprimir tus datos, el pedido corresponde a esa empresa. Si nos llega a nosotros, lo derivamos a la empresa responsable dentro de los 2 días hábiles, le informamos lo que haga falta para que pueda atenderlo en plazo y te avisamos a quién fue derivado.

4. Qué datos tratamos y de dónde provienen

4.1. Cuenta y acceso. Nombre y apellido, nombre de usuario, correo electrónico, teléfono si se carga, rol dentro de cada organización, preferencias de la cuenta e idioma. La contraseña se almacena de forma irreversible: no puede leerse ni recuperarse, sólo verificarse. Si se activa la verificación en dos pasos, la clave que genera los códigos, cifrada, y los códigos de recuperación, almacenados también de forma irreversible. Si se registran llaves de acceso vinculadas a un dispositivo, la parte pública de la llave, su identificador y la etiqueta que el usuario le asigna; la parte privada nunca sale del dispositivo. Si se ingresa con una cuenta de Google o de Microsoft, el nombre, el correo y el identificador de la cuenta que el proveedor informa. Provienen del propio usuario, de quien lo invita o del proveedor de identidad elegido.

4.2. Datos de la empresa cliente y de facturación del servicio. Razón social, CUIT, condición frente al IVA, domicilio, datos de contacto y de facturación, plan contratado, estado de la suscripción, identificador de la suscripción en Mercado Pago y correo del pagador. Si la empresa habilita facturación electrónica, su certificado digital de ARCA y la clave asociada; si habilita cobros, la autorización de su cuenta de Mercado Pago. Esos secretos se almacenan cifrados, igual que las autorizaciones de las integraciones conectadas, y nunca se muestran en pantalla ni en el panel de plataforma.

4.3. Datos operativos cargados por la empresa cliente. Clientes, proveedores, empleados y su liquidación de sueldos, comprobantes, productos, stock, movimientos de caja y bancos, asientos contables, documentos adjuntos, y los compradores, pedidos y pagos de la tienda online. Son datos de la empresa cliente, Zetta los trata como encargado (cláusula 3.2) y se guardan separados de los de cualquier otra empresa. Pueden incluir datos sensibles en el sentido del art. 2 de la Ley 25.326 (por ejemplo, afiliación sindical, obra social o licencias por enfermedad en la liquidación de sueldos): la empresa cliente es responsable de contar con base legal para tratarlos y Zetta los protege con las mismas medidas que al resto, sin usarlos para ningún fin propio.

4.4. Datos de seguridad. Dirección IP, tipo de navegador y dispositivo, fecha y hora de cada ingreso, intentos de ingreso fallidos, sesiones abiertas, bloqueos de seguridad, errores de la aplicación y el registro de auditoría: cada alta, modificación y baja realizada en una organización queda asentada automáticamente con su autor, el registro afectado y el detalle de lo que cambió. Ese registro existe para poder reconstruir qué pasó ante un problema, un reclamo o un incidente, y pertenece a la organización en la que se produce.

4.5. Registro de aceptación de los documentos contractuales. Por cada aceptación de los Términos y Condiciones, de esta Política o del Acuerdo de Encargo de Tratamiento: identificación del usuario y de la organización, documento, versión y huella digital única del texto, fecha y hora exactas, dirección IP, navegador y dispositivo utilizados y canal (aplicación, alta de la empresa o invitación), junto con una copia del nombre de usuario, correo y nombre completo al momento de aceptar. Es la prueba del contrato (arts. 286, 288 y 1106 del CCyC; art. 5 de la Ley 25.506).

4.6. Soporte y comunicaciones. El contenido de los correos y pedidos de soporte, los datos de contacto de quien escribe y los registros de las comunicaciones que enviamos (avisos de seguridad, cambios del servicio, vencimientos, comprobantes).

4.7. Sitio institucional. Lo que se completa en los formularios de contacto, de solicitud de demostración y de suscripción al boletín: nombre, correo, empresa, teléfono si se carga y mensaje, junto con la dirección IP desde la que se envía, que se usa para limitar abusos. Además, medición de uso del sitio: una herramienta de medición sin cookies, que no identifica personas, y Google Analytics, que sólo se activa si aceptás las cookies de medición (Política de Cookies).

4.8. Lo que no tratamos. Zetta no almacena datos de tarjetas de crédito o débito: los pagos, tanto de la suscripción al servicio como de los cobros que cada empresa realiza a sus clientes, se procesan en el entorno de Mercado Pago. No recopilamos datos sensibles de los usuarios de la plataforma ni realizamos perfilamiento, decisiones automatizadas con efectos jurídicos o publicidad basada en el comportamiento.

5. Finalidades y bases legales

5.1. Cada tratamiento tiene una finalidad concreta y una base que lo habilita. No usamos los datos para nada que no figure en esta tabla.

5.2. Lo que no hacemos. No vendemos datos, no los cedemos a redes de publicidad ni a corredores de datos, no los cruzamos entre empresas clientes, no los usamos para entrenar modelos de inteligencia artificial y no entramos a los datos operativos de una empresa salvo para resolver un pedido de soporte o un incidente. El personal de plataforma sólo accede a los datos de una organización mediante una sesión de acceso asistido que nace en modo de sólo lectura, vence a los 60 minutos y exige un motivo escrito; sólo un superadministrador puede elevarla a escritura, y la apertura, la elevación y cada operación de escritura quedan registradas en el registro de auditoría de la plataforma.

6. Carácter obligatorio o facultativo de los datos

6.1. Para crear una cuenta son obligatorios el nombre, el apellido, el nombre de usuario, el correo electrónico y la contraseña o una llave de acceso. Sin ellos no es posible identificar a la persona, atribuirle sus acciones en el registro de auditoría ni recuperar el acceso, por lo que no se puede prestar el servicio. El teléfono, la foto y las preferencias son facultativos.

6.2. Para habilitar la facturación electrónica y los cobros son obligatorios el CUIT, el certificado de ARCA y la autorización de Mercado Pago de la empresa, respectivamente; sin ellos esas funciones permanecen desactivadas y el resto del servicio opera con normalidad.

6.3. En los formularios del sitio institucional, el nombre y el correo son obligatorios para poder responder; el resto es facultativo.

7. Con quién compartimos los datos

7.1. Proveedores que tratan datos por cuenta de Zetta (subencargados). Para prestar el servicio, Zetta se apoya en proveedores de alojamiento de la aplicación y de la información, de entrega del contenido y protección del tráfico, de almacenamiento de archivos y copias de seguridad, de envío de correo electrónico y, únicamente para las empresas que activan el asistente, del modelo de lenguaje que lo responde. Procesan datos sólo para prestarnos su servicio, bajo nuestras instrucciones y con obligaciones contractuales de confidencialidad y seguridad equivalentes a las nuestras. La identidad de cada proveedor se informa a la empresa cliente que la solicite por el canal de la cláusula 1.2, y todo cambio de proveedor se avisa con 30 días de anticipación conforme al Acuerdo de Encargo de Tratamiento de Datos.

7.2. Terceros que actúan como responsables independientes. No son subencargados y tratan los datos bajo sus propias políticas: ARCA, que recibe los comprobantes que cada empresa emite con su propio certificado; Mercado Pago, que procesa los pagos de la suscripción y los cobros de cada empresa con su propia cuenta; Google y Microsoft, cuando el usuario elige ingresar con una cuenta de esos proveedores; y Google (Google Analytics) en el sitio institucional, sólo si se aceptan las cookies de medición.

7.3. Autoridades. Podemos comunicar datos cuando lo exija una autoridad judicial o administrativa competente, en la medida del requerimiento. Si la ley lo permite, avisamos a la empresa o al usuario afectado para que pueda ejercer sus derechos.

7.4. Reorganización. Si el servicio se transfiriera a una sociedad constituida para continuarlo, a una sociedad del mismo grupo o a un sucesor, los datos se transfieren con el servicio, bajo las mismas condiciones y con aviso previo de 30 días a los titulares y a las empresas clientes.

7.5. Fuera de esos casos, no cedemos datos personales a nadie.

8. Transferencias internacionales

8.1. Algunos de los proveedores de la cláusula 7.1 procesan datos fuera de la República Argentina, en países que no cuentan con un nivel de protección declarado adecuado por la AAIP. Eso constituye una transferencia internacional en los términos del art. 12 de la Ley 25.326 y del art. 12 de su Decreto reglamentario.

8.2. Cada transferencia se ampara en cláusulas contractuales que incorporan las obligaciones de los contratos modelo aprobados por la Disposición 60-E/2016 (Anexo II, prestación de servicios de tratamiento) y por la Resolución 198/2023 de la AAIP, mediante los acuerdos de tratamiento de datos que celebramos con cada proveedor, y, cuando el proveedor las ofrece, en las cláusulas contractuales tipo de la Unión Europea o en su certificación en el Marco de Privacidad de Datos UE-EE.UU. Los contratos que se apartan del modelo se presentan ante la AAIP dentro de los 30 días de celebrados, conforme al art. 2 de la Disposición 60-E/2016. En el caso de Google Analytics, la base de la transferencia es tu consentimiento, y sin él no se envía nada.

8.3. Las copias de seguridad de la base de datos se almacenan cifradas con una clave que ningún proveedor posee: quien acceda al almacenamiento no puede leerlas. Las copias de los archivos se almacenan en un repositorio separado del que usa la aplicación.

8.4. Si cambiamos de proveedor o sumamos uno nuevo que implique una transferencia, lo avisamos con al menos 30 días de anticipación conforme al Acuerdo de Encargo de Tratamiento de Datos.

9. Cómo protegemos los datos

9.1. Las medidas que siguen están efectivamente implementadas y se corresponden con las medidas recomendadas por la Resolución 47/2018 de la AAIP. No afirmamos contar con certificaciones que no tengamos; cuando una exista, se publicará con su alcance.

• Separación por empresa. La información de cada organización se guarda separada de la de cualquier otra. No existen consultas que crucen organizaciones; la única excepción es el panel de plataforma. El personal de plataforma sólo accede a los datos de una organización mediante una sesión de acceso asistido que nace en modo de sólo lectura, vence a los 60 minutos y exige un motivo escrito; sólo un superadministrador puede elevarla a escritura, y la apertura, la elevación y cada operación de escritura quedan registradas en el registro de auditoría de la plataforma.
• Sesiones acotadas. La sesión de trabajo se renueva de forma automática y protegida, y toda operación que modifica datos lleva una protección adicional contra pedidos falsificados. Cualquier sesión puede cerrarse desde la configuración de seguridad y deja de valer de inmediato.
• Autenticación reforzada. Verificación en dos pasos con códigos de recuperación de un solo uso, llaves de acceso vinculadas al dispositivo y enlaces de ingreso de un solo uso con 15 minutos de validez, cuando están habilitados. Toda operación de escritura del panel de plataforma exige verificación en dos pasos del superadministrador.
• Freno a la fuerza bruta. La cuenta se bloquea 15 minutos tras 5 intentos fallidos, el origen de los intentos se bloquea automáticamente tras 10 fallos y existe un límite de pedidos por origen.
• Cifrado. Todo el tráfico viaja cifrado; las contraseñas se almacenan de forma irreversible; el certificado y la clave de ARCA, la autorización de Mercado Pago y las autorizaciones de las integraciones se guardan cifradas con una clave que no reside junto a los datos; las copias de seguridad de la base de datos se cifran con una clave que ningún proveedor posee.
• Auditoría automática. Cada alta, modificación y baja queda registrada con autor, registro afectado y detalle del cambio, sin depender de que una persona lo anote.
• Copias de seguridad. De la base de datos: una copia completa diaria, verificada, cifrada, guardada en un repositorio separado del que usa la aplicación, con 7 copias diarias y 35 días de copias semanales y una restauración de prueba por semana; la copia local sin cifrar se elimina del servidor a los 3 días. De los archivos (documentos, comprobantes en PDF, adjuntos e imágenes): una copia diaria a un repositorio de respaldo separado, que se elimina junto con la organización a la que pertenece.
• Supervisión propia. Los registros de funcionamiento y los errores de la aplicación se procesan en infraestructura administrada por Zetta, sin servicios externos de seguimiento de errores.
• Mínimo privilegio. El acceso administrativo a los servidores y a la base de datos de producción está restringido a las personas que operan el servicio, con llaves personales y registro de acceso.
• Desarrollo seguro. Revisión de código, pruebas automatizadas de seguridad (separación entre empresas, autenticación, autorización) y dependencias actualizadas.

9.2. Ningún sistema es infalible. Si encontrás una vulnerabilidad, escribinos a hola@zetta.ar antes de divulgarla, conforme a la Política de Uso Aceptable: respondemos, la corregimos y te contamos cómo.

10. Incidentes de seguridad

10.1. Zetta mantiene un procedimiento de respuesta a incidentes que comprende la detección, la contención, la evaluación del impacto, la notificación y el análisis posterior, con el contenido mínimo que recomienda el ítem E del Anexo I de la Resolución 47/2018 de la AAIP.

10.2. Si confirmamos un incidente que afecte datos personales, notificamos a los titulares cuyos datos tratamos como responsables y a las empresas clientes cuyos datos tratamos como encargados dentro de las 72 horas de confirmado, indicando la naturaleza del incidente, las categorías de datos y de personas afectadas, las consecuencias probables, las medidas adoptadas y las recomendadas. Informamos además a la AAIP conforme a sus lineamientos y a Mercado Pago, dentro de las 24 horas, cuando el incidente involucre credenciales o datos de su plataforma.

11. Cuánto tiempo conservamos los datos

Vencido el plazo, los datos se eliminan o se anonimizan de forma irreversible.

12. Tus derechos y cómo ejercerlos

12.1. Como titular de los datos podés pedir, en cualquier momento y sin explicar por qué:

• Acceso. Saber qué datos tuyos tratamos, con qué finalidad, de dónde provienen y a quién se comunicaron. Respondemos dentro de los 10 días corridos de recibido el pedido (art. 14 de la Ley 25.326). El acceso es gratuito a intervalos no inferiores a 6 meses, salvo interés legítimo acreditado.
• Rectificación, actualización y supresión. Corregir datos inexactos o incompletos, o eliminar datos, en la medida en que no exista una obligación legal de conservarlos o no sean necesarios para una relación contractual vigente. Resolvemos dentro de los 5 días hábiles (art. 16 de la Ley 25.326).
• Oposición y retiro del consentimiento. Oponerte a un tratamiento basado en nuestro interés legítimo, y retirar en cualquier momento el consentimiento que hayas dado (por ejemplo, para el boletín o las cookies de medición), sin que ello afecte la licitud del tratamiento anterior.
• Portabilidad. Recibir los datos que nos diste en un formato estructurado y de uso común. Las empresas clientes exportan sus datos desde la Plataforma; los usuarios pueden pedir una copia de los datos de su cuenta.
• Limitación y demás derechos del RGPD, cuando ese reglamento resulte aplicable.
• Eliminación de la cuenta. Cualquier usuario puede pedir la eliminación de su cuenta desde Configuración → Legal y privacidad o escribiendo a privacidad@zetta.ar. La completamos dentro de los 5 días hábiles. Los registros que la empresa cliente deba conservar (comprobantes, asientos, auditoría) no se eliminan con la cuenta, porque pertenecen a la organización y la ley obliga a conservarlos; la cuenta queda desvinculada de ellos y sólo se retiene el registro de aceptación de documentos y lo que una obligación legal exija.

12.2. El ejercicio de estos derechos es gratuito. Escribí a privacidad@zetta.ar con el asunto «Ejercicio de derechos», indicando tu nombre completo, el correo con el que operás y qué querés hacer. Podemos pedirte que acredites tu identidad antes de responder, por un medio razonable y proporcionado: es una protección para vos.

12.3. Si los datos que te interesan fueron cargados por una empresa cliente (porque sos su cliente, empleado, proveedor o comprador), el pedido corresponde a esa empresa, conforme a la cláusula 3.3.

12.4. Si considerás que tu pedido no fue atendido como corresponde, podés presentar un reclamo ante la Agencia de Acceso a la Información Pública (cláusula 2.3) o, en su caso, ante la autoridad de control del país en el que residas, y ejercer la acción de hábeas data del art. 43 de la Constitución Nacional.

13. Cookies y tecnologías similares

Qué cookies usamos en el sitio institucional, en la aplicación y en las tiendas online, para qué sirve cada una, cuánto dura y cómo cambiar tu preferencia está en la Política de Cookies. La aplicación usa únicamente cookies estrictamente necesarias para sostener la sesión; las cookies de medición del sitio institucional sólo se activan si las aceptás.

14. Menores de edad

Zetta es una herramienta de trabajo y no está dirigida a menores de 18 años. No recopilamos intencionalmente datos de menores a través del sitio ni de la aplicación. Si detectamos que recibimos datos de un menor sin autorización de sus representantes legales, los eliminamos. Si creés que puede ser el caso, avisanos a privacidad@zetta.ar.

15. Comunicaciones comerciales

15.1. Los avisos operativos (seguridad, cambios del servicio, vencimientos, comprobantes, incidentes) forman parte de la prestación del servicio y no pueden desactivarse mientras la cuenta esté activa.

15.2. Las comunicaciones de novedades o promociones sólo se envían a quien las pidió, llevan la palabra «publicidad» en el encabezado e incluyen un enlace de baja de un solo clic, con efecto inmediato y registro de la baja, conforme al art. 27 de la Ley 25.326 y a la Disposición 4/2009 de la Dirección Nacional de Protección de Datos Personales. Nunca usamos los datos de los clientes de las empresas clientes para comunicaciones propias.

16. Cambios en esta Política

16.1. Podemos actualizar esta Política si cambia la normativa, si sumamos o reemplazamos un proveedor o si cambiamos la forma de tratar los datos. Cada versión indica su fecha de vigencia y la huella digital de su texto en el encabezado; las versiones anteriores se conservan y se entregan a pedido.

16.2. Cuando el cambio sea sustancial —una finalidad nueva, un destinatario nuevo, un plazo de conservación más largo o una transferencia nueva— lo avisamos por correo a las empresas clientes y a los usuarios con al menos 30 días corridos de anticipación a su entrada en vigencia y pedimos a cada usuario que lea y acepte la versión nueva en la Plataforma. Si no estás de acuerdo, podés ejercer los derechos de la cláusula 12 y la empresa cliente puede dar de baja el servicio sin penalidad.

17. Contacto

Datos personales y ejercicio de derechos: privacidad@zetta.ar. Consultas generales: hola@zetta.ar. Seguridad: hola@zetta.ar. Domicilio del responsable: Rosario, Provincia de Santa Fe, República Argentina.