Política de privacidad.

1. Identidad del Responsable del Tratamiento

El responsable del tratamiento de los datos personales recopilados a través de la plataforma Inari y del sitio web inarihq.com es LA CASA DE DRAGO SOCIEDAD ANÓNIMA (cédula jurídica número 3-101-841916), constituida en San José, República de Costa Rica (en adelante, "Inari" o "la Empresa").

Para cualquier consulta, reclamo, ejercicio de derechos o comunicación referente a privacidad y protección de datos personales, puedes dirigirte a nuestro canal oficial: soporte@inarihq.com.

2. Marco Normativo Aplicable

Esta Política de Privacidad ha sido redactada para satisfacer de forma simultánea los requerimientos de:

• Costa Rica: Ley N° 8968 (Protección de la Persona frente al Tratamiento de sus Datos Personales) y su Reglamento Ejecutivo N° 37554-JP.
• Unión Europea (UE / EEE): Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (Reglamento General de Protección de Datos - RGPD / GDPR) y la Directiva 2002/58/CE (ePrivacy).
• Estados Unidos: California Consumer Privacy Act y California Privacy Rights Act (CCPA/CPRA), y leyes estatales de privacidad de datos (Virginia VCDPA, Colorado CPA, Connecticut CTDPA, Utah UCPA).

3. Categorías de Datos que Recopilamos (Aviso de Recopilación / Notice at Collection)

Recopilamos las siguientes categorías de información:

1. Datos de Identificación y Registro: Nombre completo, correo electrónico, número de teléfono, nombre de la empresa, cargo, número de identificación fiscal (cédula física, cédula jurídica, DIMEX, NITE o Tax ID) y credenciales cifradas de acceso.
2. Datos Fiscales y de Facturación de Suscripción: Dirección de facturación, comprobantes de pago (transferencias SINPE o registros de pasarela de tarjetas), últimos 4 dígitos y marca de la tarjeta (tokenizada por procesadores seguros que cumplen PCI-DSS; Inari nunca almacena el número de tarjeta completo ni el CVV).
3. Credenciales Tributarias de Facturación Electrónica: Usuario y contraseña del portal fiscal (ATV de Costa Rica) y certificado de llave criptográfica (archivo PKCS#12 / .p12 con su PIN), almacenados con cifrado en reposo AES-256 exclusivo para la firma y envío automático de comprobantes a la Dirección General de Tributación.
4. Datos Técnicos, Telemétricos y de Navegación: Dirección IP de origen, tipo y versión de navegador, sistema operativo, páginas visitadas, fecha y hora de acceso, identificadores de sesión y registros de actividad del sistema (audit logs).
5. Interacciones de Soporte y Comunicaciones: Consultas enviadas por correo electrónico a soporte y transcripciones del chat de ayuda del sitio web o la app.

4. Bases Jurídicas del Tratamiento (Bajo Art. 6 RGPD)

Tratamos tus datos personales únicamente al amparo de las siguientes bases legales reconocidas:

• Ejecución Contractual (Art. 6.1.b RGPD): Necesario para crear tu cuenta, autenticarte, dar acceso al ERP, procesar pagos de tu suscripción y emitir tus facturas.
• Cumplimiento de Obligación Legal (Art. 6.1.c RGPD): Cumplimiento de mandatos tributarios, mercantiles y contables (conservación obligatoria de comprobantes fiscales durante 5 años conforme al Código de Normas y Procedimientos Tributarios de Costa Rica).
• Interés Legítimo (Art. 6.1.f RGPD): Protección contra ciberataques, prevención de fraudes, mitigación de abusos en la plataforma, resolución de incidentes técnicos y trazabilidad de seguridad en bitácoras inmutables.
• Consentimiento Expreso (Art. 6.1.a RGPD): Para la activación opcional de cookies de analítica de terceros (Google Analytics y PostHog, con datos procesados en Estados Unidos) o píxeles de mercadeo (Meta Pixel), así como para comunicaciones promocionales no transaccionales.

5. Plazos de Conservación y Supresión de Datos

5.1 Cuentas Activas: Conservamos tus datos mientras mantengas tu cuenta de Inari activa y vigente.

5.2 Deber Legal de Retención Fiscal (5 Años): Por disposición expresa del artículo 109 del Código de Normas y Procedimientos Tributarios de Costa Rica y normativas tributarias internacionales, todos los comprobantes electrónicos (facturas, tiquetes, notas de crédito, notas de débito y mensajes de confirmación de Hacienda) y registros contables vinculados se conservarán obligatoriamente por un plazo mínimo de cinco (5) años. Este deber legal prevalece sobre solicitudes de supresión inmediata de datos fiscales.

5.3 Transcripciones de Soporte y Chat de IA: Las transcripciones del chat de soporte se conservan durante un período máximo de noventa (90) días con fines de aseguramiento de calidad y seguimiento de consultas técnicas, tras lo cual son eliminadas automáticamente de nuestras bases de datos operativas.

6. Derechos de los Titulares (ARCO, RGPD y CCPA)

Conforme a la legislación vigente, los titulares de datos personales gozan de los siguientes derechos exigibles:

• Acceso: Obtener confirmación de si tratamos tus datos personales y acceder a una copia de los mismos.
• Rectificación: Corregir información inexacta, incompleta o desactualizada.
• Supresión ("Derecho al Olvido"): Solicitar el borrado de tus datos cuando ya no sean necesarios para los fines recabados, con la salvedad de los datos sujetos a retención legal tributaria obligatoria (5 años).
• Limitación del Tratamiento: Restringir temporalmente el tratamiento bajo supuestos específicos de controversia.
• Portabilidad: Recibir tus datos en un formato estructurado, de uso común y lectura mecánica (JSON/CSV/XML).
• Oposición: Oponerte al tratamiento sustentado en interés legítimo o revocar consentimientos otorgados.

Procedimiento y SLA de Atención: Para ejercer cualquiera de estos derechos, envía un correo a soporte@inarihq.com acreditando tu identidad. Inari responderá y atenderá tu solicitud de manera gratuita dentro de un plazo máximo de treinta (30) días naturales (o el término inferior que disponga la ley local aplicable).

7. Divulgaciones Específicas para Residentes de California (CCPA / CPRA)

Si resides en el Estado de California, cuentas con derechos adicionales específicos:

1. No Venta ni Cesión Comercial ("Do Not Sell or Share My Personal Information"): Inari NO VENDE NI COMPARTE información personal de sus usuarios a terceros por contraprestación económica. No comercializamos listas de clientes.
2. Aviso sobre Cookies de Terceros: El uso de píxeles publicitarios de terceros (Meta Pixel) en nuestro sitio web público solo se activa si otorgas consentimiento voluntario expreso a través de nuestro banner de cookies. Puedes revocar dicho consentimiento en cualquier instante desde /cookies.
3. Derecho a la No Discriminación: No recibirás un trato discriminatorio, incremento de tarifas ni merma en la calidad del servicio por el hecho de ejercer cualquiera de tus derechos bajo la CCPA/CPRA.

8. Medidas de Seguridad Técnicas y Organizativas (TOMs)

Inari implementa controles rigurosos de seguridad bajo el principio de seguridad y privacidad por diseño y por defecto:

• Aislamiento Estricto Multi-Tenant (Postgres RLS): Aislamiento de datos gobernado por políticas de Row Level Security (RLS) en el 100% de las tablas que contienen datos de empresas.
• Cifrado Criptográfico: Todo el tráfico en red está cifrado con TLS 1.3. Los certificados tributarios de firma y secretos de sesión se almacenan cifrados en reposo mediante AES-256 con claves independientes del motor de base de datos.
• Bitácoras Inmutables de Auditoría: Registro criptográfico y secuencial de mutaciones en transacciones financieras (quién modificó qué y en qué momento).
• Principio de Mínimo Privilegio: Acceso a datos restringido únicamente a personal técnico con acuerdos de confidencialidad y para fines estrictos de soporte o mantenimiento de infraestructura.

9. Transferencias Internacionales de Datos

Nuestros servidores e infraestructura de nube operan mediante centros de datos de alta seguridad en Estados Unidos y la Unión Europea proporcionados por empresas de primer nivel tecnológico (incluyendo Supabase, Cloudflare, Deno Land y Vercel).

Todas las transferencias internacionales de datos fuera del Espacio Económico Europeo (EEE) o de Costa Rica se encuentran legitimadas y protegidas mediante la suscripción de las Cláusulas Contractuales Tipo (Standard Contractual Clauses - SCCs) aprobadas por la Comisión Europea (Decisión de Ejecución UE 2021/914) y marcos equivalentes reconocidos (EU-US Data Privacy Framework).

10. Subencargados del Tratamiento (Sub-processors)

Para prestar el Servicio, Inari se apoya en proveedores tecnológicos especializados que actúan como subencargados del tratamiento. Mantenemos una lista pública, detallada y actualizada de dichos proveedores en /subprocesadores.

11. Tratamiento en Inteligencia Artificial y Transparencia (EU AI Act)

En cumplimiento del artículo 50 del Reglamento de Inteligencia Artificial de la Unión Europea (EU AI Act) y directrices de la Federal Trade Commission (FTC):

• El chat de asistencia técnica disponible en el sitio web y la aplicación es atendido por modelos de inteligencia artificial ejecutados en la red perimetral de Cloudflare Workers AI.
• El usuario es notificado de forma transparente de que está interactuando con un sistema automatizado.
• Compromiso de No Reentrenamiento: Los datos de tus consultas y la información contable o transaccional de tu empresa JAMÁS se emplean para entrenar modelos públicos de lenguaje de terceros.

12. Notificación de Incidentes y Brechas de Seguridad

En caso de confirmarse un incidente de seguridad que comprometa la confidencialidad o integridad de datos personales y que entrañe un riesgo para los derechos y libertades de los titulares, Inari notificará a la autoridad de protección de datos competente dentro de las setenta y dos (72) horas siguientes a tener conocimiento del hecho, conforme al artículo 33 del RGPD, así como a los clientes afectados sin dilación indebida.

13. Menores de Edad

La Plataforma está dirigida exclusivamente a personas mayores de dieciocho (18) años con plena capacidad jurídica comercial. No recopilamos a sabiendas datos personales de menores de edad. En caso de detectarse información de menores sin consentimiento parental verificado, será eliminada inmediatamente.

14. Cambios en esta Política

Podemos actualizar esta Política de Privacidad periódicamente para reflejar mejoras en la Plataforma o modificaciones legales. Cualquier cambio relevante se notificará a través de un aviso destacado en el sitio web o mediante correo electrónico antes de su fecha de efectividad.

15. Contacto

Para cualquier solicitud o consulta referente a esta política:
LA CASA DE DRAGO SOCIEDAD ANÓNIMA (Cédula: 3-101-841916)
San José, Costa Rica.
Correo: soporte@inarihq.com