Política de
privacidad.

1. Identidad y Datos del Responsable del Tratamiento

El responsable del tratamiento de los datos personales recopilados a través de la aplicación móvil y el panel web de CAIR es:

2. Ámbito de Aplicación y Usuarios

La presente Política de Privacidad aplica a todos los usuarios de CAIR, incluyendo:

• Empresas distribuidoras que contratan el servicio (Administradores o Titulares de cuenta)
• Empleados de campo de dichas distribuidoras: preventistas, repartidores y vendedores
• Gestores y encargados de depósito
• Terceros y revendedores autorizados que operen bajo el esquema de una distribuidora contratante

El término "Usuario" abarca a cualquiera de las personas mencionadas anteriormente. El término "Titular de cuenta" refiere específicamente a la empresa distribuidora que suscribió el servicio y que asume las responsabilidades principales frente a CAIR.

2.1 Ámbito Territorial

El servicio CAIR opera exclusivamente en el territorio de la República Argentina, bajo la jurisdicción de la Ley N° 25.326 de Protección de Datos Personales y normas complementarias dictadas por la Agencia de Acceso a la Información Pública (AAIP). Cualquier expansión futura a otros países será comunicada con anticipación y podrá implicar modificaciones a la presente política.

2.2 Menores de Edad

3. Datos Personales que Recopilamos

CAIR recopila datos personales de distintas categorías según el tipo de usuario y la funcionalidad utilizada. A continuación se detalla de forma exhaustiva cada categoría de dato:

3.1 Datos de Usuarios de la Aplicación (Empleados y Admin)

3.1.1 Datos de Identificación y Contacto

• Nombre y apellido completo
• Dirección de correo electrónico
• Número de teléfono celular
• Rol asignado dentro del sistema (preventista, repartidor, vendedor, gestor, admin)
• Fecha de alta y baja en el sistema

3.1.2 Datos de Ubicación y Movilidad

• Ubicación GPS en tiempo real durante el uso de la aplicación en jornada laboral
• Historial de rutas recorridas por jornada laboral
• Zonas geográficas asignadas por la distribuidora
• Dirección IP del dispositivo al sincronizar

3.1.3 Datos de Actividad y Rendimiento

• Historial de pedidos procesados por usuario
• Historial de cobranzas realizadas
• Registros de sincronización (fecha, hora, duración offline)
• Métricas de rendimiento (velocidad de carga, errores de app)
• Eventos de uso de la aplicación (apertura, funciones utilizadas, tiempo de sesión)

3.1.4 Datos de Seguridad y Autenticación

• Credenciales de acceso (la contraseña es almacenada de forma segura por Better Auth, infraestructura propia de CAIR; CAIR nunca almacena contraseñas en texto plano)
• Tokens de sesión
• Registros de inicio y cierre de sesión
• Identificador único del dispositivo (Device ID)
• Token de notificaciones push

3.2 Datos de Clientes de la Distribuidora

Cuando los usuarios de CAIR registran o consultan clientes de la distribuidora, se recopilan y procesan los siguientes datos de dichos clientes:

3.2.1 Datos de Identificación Comercial

• Nombre completo o razón social
• CUIT / CUIL o número de DNI
• Foto del Documento Nacional de Identidad (DNI) o documento equivalente
• Foto del local o establecimiento comercial
• Categoría impositiva ante ARCA / AFIP

3.2.2 Datos de Contacto y Ubicación

• Dirección comercial y domicilio de entrega
• Coordenadas geográficas del local (latitud y longitud)
• Número de teléfono y correo electrónico de contacto
• Zona de reparto asignada

3.2.3 Datos Comerciales y Financieros

• Historial completo de pedidos realizados
• Historial de pagos, cobranzas y saldos pendientes
• Lista de precios personalizada aplicable
• Facturas electrónicas emitidas a través de ARCA
• Devoluciones y sus motivos
• Notas y observaciones ingresadas por el vendedor

3.3 Datos Técnicos y de Diagnóstico

• Modelo y sistema operativo del dispositivo (iOS / Android)
• Versión de la aplicación CAIR instalada
• Logs de errores y crashes para diagnóstico técnico
• Métricas de rendimiento de la aplicación
• Cookies de sesión y analíticas en el panel web (ver Sección 9)

3.4 Datos que NO Recopilamos

CAIR NO recopila ni procesa los siguientes tipos de datos:

• Datos biométricos (huellas dactilares, reconocimiento facial)
• Datos de salud o información médica
• Orientación sexual o identidad de género
• Afiliación política, religiosa o sindical
• Datos genéticos
• Contenido de comunicaciones privadas entre usuarios

4. Finalidad y Base Legal del Tratamiento

El tratamiento de datos personales por parte de CAIR se fundamenta en las siguientes bases legales establecidas por la Ley 25.326 y sus normas reglamentarias:

4.1 Ejecución del Contrato de Servicio

El tratamiento es necesario para la prestación del servicio contratado por el Titular de cuenta. Comprende:

• Autenticación y control de acceso al sistema
• Procesamiento de pedidos, cobranzas y entregas
• Facturación electrónica a través de ARCA
• Sincronización de datos entre dispositivos y panel web
• Generación de reportes operativos y financieros
• Auditoría de operaciones realizadas en la Plataforma

4.2 Cumplimiento de Obligaciones Legales

CAIR debe conservar ciertos datos para cumplir con obligaciones legales y regulatorias:

• Registros de facturación electrónica exigidos por ARCA / AFIP (10 años según normativa impositiva)
• Registros de auditoría para el cumplimiento de obligaciones tributarias del Titular de cuenta
• Respuesta a requerimientos de autoridades judiciales o administrativas competentes

4.3 Interés Legítimo

CAIR puede tratar ciertos datos sobre la base de intereses legítimos, siempre que no prevalezcan los derechos y libertades fundamentales del titular:

• Mejora continua del servicio mediante análisis de métricas de uso
• Detección y prevención de fraudes, accesos no autorizados y actividades maliciosas
• Mantenimiento de la seguridad e integridad del sistema
• Análisis estadístico agregado y anonimizado del rendimiento de la plataforma

4.4 Consentimiento

Para tratamientos que no están cubiertos por las bases legales anteriores, CAIR solicitará el consentimiento expreso, libre e informado del titular, conforme al Art. 5 de la Ley 25.326. En particular:

• Uso de cookies analíticas no esenciales en el panel web
• Envío de comunicaciones de marketing o novedades del producto
• Participación en encuestas de satisfacción

4 BIS. Firma Digital en Pantalla como Mecanismo de Consentimiento

CAIR implementa en su aplicación móvil un sistema de captura de firma manuscrita en pantalla como mecanismo principal y obligatorio para acreditar el consentimiento expreso del titular de los datos personales al momento de su recopilación. Este mecanismo constituye la base fundamental sobre la cual CAIR sustenta la legitimidad de la recopilación de datos personales de terceros a través de la Plataforma.

4 BIS.1 Principio Rector: La Firma como Prueba de Consentimiento

La Ley 25.326 (Art. 5) exige que el consentimiento para el tratamiento de datos personales sea expreso, libre e informado. CAIR, en su calidad de prestador tecnológico, implementa la firma digital en pantalla como herramienta técnica destinada a acreditar que dicho consentimiento fue efectivamente solicitado y obtenido al momento de la carga de datos personales en la Plataforma.

La firma en pantalla es un requisito obligatorio e ineludible de la aplicación móvil para las operaciones que implican recopilación de datos personales de terceros. Sin la captura de la firma, la aplicación no permite completar dichas operaciones. Este diseño es deliberado y tiene como único objetivo proteger los derechos del titular de los datos y proveer evidencia verificable de que el consentimiento fue solicitado.

4 BIS.2 Operaciones que Requieren Firma Obligatoria

La aplicación móvil de CAIR exige la captura de firma manuscrita en pantalla como condición previa e indispensable para completar las siguientes operaciones:

• Alta de nuevos usuarios: al registrar a un nuevo empleado o colaborador de la distribuidora como usuario de la Plataforma, se requiere la firma del propio usuario, quien con ella declara conocer y aceptar que sus datos personales (incluidos datos de ubicación y actividad operativa) serán recopilados y tratados conforme a la presente Política de Privacidad.
• Alta de nuevos clientes comerciales: al registrar a un nuevo cliente de la distribuidora en la Plataforma, se requiere la firma del propio cliente o de su representante legal, quien con ella declara otorgar su consentimiento expreso para la recopilación, almacenamiento y tratamiento de sus datos personales y comerciales conforme a esta Política.
• Captura de fotografía de DNI: cuando la operación incluya la captura fotográfica del Documento Nacional de Identidad del cliente, la firma constituye adicionalmente el consentimiento específico para la recopilación de este dato sensible, conforme al Art. 2 y Art. 5 de la Ley 25.326.

4 BIS.3 Alcance del Consentimiento Otorgado Mediante Firma

La persona que estampa su firma en la pantalla del dispositivo móvil declara, al hacerlo:

• Que ha sido informada por el Usuario de campo de la distribuidora sobre la recopilación de sus datos personales a través de la Plataforma CAIR
• Que conoce las finalidades del tratamiento de sus datos, conforme a lo descrito en la Sección 4 de la presente Política de Privacidad
• Que otorga su consentimiento expreso, libre e informado para la recopilación, almacenamiento y tratamiento de los datos personales ingresados en esa operación específica
• Que los datos personales proporcionados son verídicos y le corresponden, o que tiene autorización para proporcionarlos en representación del titular
• Que ha sido informada sobre la existencia de sus derechos de acceso, rectificación y supresión previstos en la Ley 25.326, ejercitables conforme a la Sección 11 de esta Política

4 BIS.4 Datos Asociados a Cada Firma Capturada

Con el objetivo de garantizar la trazabilidad y el valor probatorio de la firma como evidencia de consentimiento, CAIR registra y almacena de forma automática los siguientes datos asociados a cada firma capturada:

• Imagen digital de la firma manuscrita en formato gráfico
• Marca de tiempo (timestamp) del momento exacto de la captura, en formato UTC
• Coordenadas GPS del dispositivo al momento de la captura (latitud, longitud y precisión)
• Identificador del Usuario de campo que ejecutó la operación y capturó la firma
• Identificador único del dispositivo móvil utilizado (UUID)
• Tipo de operación asociada a la firma (alta de usuario, alta de cliente, captura de DNI)
• Referencia al registro de la persona cuyos datos fueron cargados

Estos datos asociados se almacenan junto con la firma como evidencia del consentimiento, conforme a lo previsto en los Términos y Condiciones de Servicio.

4 BIS.5 Posición de CAIR y Deslinde de Responsabilidad

CAIR declara expresamente lo siguiente en relación con la firma digital en pantalla:

• CAIR no tiene la capacidad técnica ni la obligación legal de verificar la identidad de la persona que estampa la firma en la pantalla del dispositivo. La verificación de identidad es responsabilidad exclusiva del Usuario de campo que captura la firma y del Titular de cuenta que lo supervisa
• CAIR no puede determinar si la firma capturada corresponde efectivamente a la persona cuyos datos se están registrando. La autenticidad de la firma es responsabilidad exclusiva del Usuario de campo y del Titular de cuenta
• CAIR no es responsable por firmas falsificadas, suplantadas o capturadas sin el conocimiento o contra la voluntad de la persona cuyos datos se registran
• CAIR no es responsable por la carga de datos personales falsos, inexactos o correspondientes a terceros no presentes al momento de la firma
• CAIR no es responsable por el incumplimiento del deber de información previo a la firma. Es obligación del Usuario de campo informar a la persona sobre la finalidad de la recopilación de datos y sus derechos antes de solicitar la firma
• CAIR no valida, audita ni supervisa el proceso de obtención del consentimiento en el campo. El mecanismo de firma es una herramienta a disposición del Titular de cuenta; su uso correcto es responsabilidad de este

En caso de que un titular de datos personales presente un reclamo o denuncia ante CAIR o ante la Agencia de Acceso a la Información Pública (AAIP) alegando que sus datos fueron recopilados sin su consentimiento, CAIR pondrá a disposición la evidencia técnica almacenada (imagen de firma, timestamp, geolocalización, identificación del usuario que capturó la firma) y derivará la responsabilidad al Titular de cuenta conforme a lo establecido en la Sección 12 de esta Política.

4 BIS.6 Cadena de Responsabilidad en la Obtención del Consentimiento

La obtención del consentimiento para la recopilación de datos personales a través de la Plataforma CAIR opera bajo la siguiente cadena de responsabilidad:

• CAIR (prestador tecnológico): provee la herramienta de firma, almacena la evidencia de consentimiento, y resguarda el registro. No participa en el proceso de obtención del consentimiento ni tiene contacto directo con los titulares de datos de la distribuidora
• Titular de cuenta (distribuidora): es el responsable principal del tratamiento de datos personales cargados en la Plataforma. Debe capacitar a sus Usuarios de campo sobre el procedimiento correcto de obtención de consentimiento, supervisar su cumplimiento, y responder ante reclamos de los titulares de datos
• Usuario de campo (preventista, repartidor, vendedor): es quien ejecuta la operación en el campo. Tiene la obligación operativa de: (a) informar a la persona sobre la recopilación de sus datos y sus derechos; (b) solicitar la firma únicamente a la persona cuyos datos se registran o a su representante autorizado; (c) no capturar firmas de personas que no otorguen su consentimiento; y (d) no falsificar ni simular firmas

4 BIS.7 Retención de las Firmas y su Evidencia

Las firmas capturadas y sus datos asociados se conservan conforme a los siguientes plazos:

• Firmas vinculadas a registros de usuarios activos: durante la vigencia del contrato de suscripción más 12 meses posteriores a la cancelación
• Firmas vinculadas a registros de clientes comerciales: durante la vigencia del contrato más 12 meses posteriores a la cancelación
• Firmas vinculadas a capturas de DNI: durante la vigencia del contrato más 12 meses posteriores a la baja del registro asociado

En todos los casos, si la firma está vinculada a una transacción comercial, la retención se extiende al plazo aplicable a dicha transacción (hasta 10 años para registros vinculados a facturación electrónica). El Titular de cuenta puede solicitar la exportación de las firmas y su evidencia asociada en cualquier momento durante la vigencia de la suscripción, a través de soporte@cair.com.ar.

4 BIS.8 Derecho del Titular de Datos a Impugnar el Consentimiento

Si un titular de datos personales considera que su firma fue capturada sin su conocimiento, contra su voluntad, o que no fue debidamente informado antes de firmar, tiene derecho a:

• Presentar un reclamo ante el Titular de cuenta (la distribuidora) solicitando la rectificación o supresión de sus datos, conforme a la Sección 11 de esta Política
• Solicitar a CAIR, a través de soporte@cair.com.ar, la información sobre la firma asociada a su registro (fecha, hora, ubicación, usuario que la capturó)
• Presentar una denuncia ante la Agencia de Acceso a la Información Pública (AAIP) si considera que sus derechos fueron vulnerados

CAIR colaborará con la AAIP y con el titular afectado proporcionando toda la evidencia técnica disponible (imagen de firma, metadatos, registro de auditoría). La responsabilidad sobre la validez del consentimiento obtenido será evaluada conforme a la cadena de responsabilidad descrita en la Sección 4 BIS.6.

5. Integraciones con Servicios de Terceros

Para la correcta operación de sus funcionalidades, CAIR se integra con los siguientes servicios de terceros. Cada integración implica la transmisión de los datos estrictamente necesarios para su funcionamiento:

5.1 Responsabilidad sobre Terceros

CAIR selecciona proveedores externos que ofrecen garantías suficientes de cumplimiento con estándares de protección de datos. Sin embargo, cada proveedor tiene sus propias políticas de privacidad, las cuales el usuario puede consultar directamente en sus sitios web oficiales. CAIR no es responsable por las prácticas de privacidad de los servicios de terceros, una vez que los datos son transmitidos a dichos servicios dentro del flujo normal de operación.

5.2 Condiciones Específicas por Integración

5.2.1 ARCA / AFIP

La transmisión de datos a ARCA es un requisito legal para la emisión de comprobantes electrónicos válidos. CAIR no puede prescindir de esta integración para las funciones de facturación. Ante rechazos de ARCA, el usuario debe gestionar la situación directamente ante la AFIP. CAIR no es responsable por indisponibilidades del sistema de AFIP ni por rechazos de facturas derivados de la situación fiscal del Titular de cuenta.

5.2.2 MapBox

La funcionalidad de mapas y rutas utiliza la API de MapBox. Al activar la geolocalización, las coordenadas del dispositivo son procesadas por MapBox conforme a la Política de Privacidad de la misma. El usuario puede revocar el permiso de ubicación desde la configuración del dispositivo, lo que inhabilitará las funciones de mapa y ruta optimizada.

6. Geolocalización y Seguimiento de Rutas

6.1 Tipo de Recopilación

CAIR recopila ubicación GPS:

• En primer plano (foreground): cuando la aplicación está abierta y en uso activo
• No en segundo plano (background): la app NO rastrea ubicación cuando está minimizada o cerrada
• Con frecuencia configurable por el Titular de cuenta para optimizar el consumo de batería

6.2 Uso de los Datos de Ubicación

Los datos de ubicación se utilizan exclusivamente para:

• Mostrar el mapa de clientes asignados al preventista o repartidor
• Calcular rutas optimizadas entre puntos de visita
• Registrar el historial de visitas por jornada laboral
• Permitir al administrador visualizar la cobertura de rutas en tiempo real
• Asociar pedidos y cobranzas a una ubicación geográfica para auditoría

6.3 Derechos del Empleado

Los empleados cuyos datos de ubicación son recopilados tienen derecho a:

• Ser informados por el Titular de cuenta (su empleador) sobre la recopilación de ubicación antes del primer uso
• Conocer qué datos de ubicación se han registrado sobre ellos
• Solicitar información sobre el período de retención de sus datos de movimiento

7. Almacenamiento, Seguridad y Cifrado de Datos

7.1 Infraestructura de Almacenamiento

Los datos de CAIR se almacenan en infraestructura cloud de nivel enterprise (imágenes de las bases de datos en Docker, con despliegue en Railway), en datacenters con certificaciones de seguridad ISO 27001 y SOC 2. Los datos son almacenados con las siguientes medidas de seguridad:

• Cifrado en tránsito: TLS 1.2 o superior en todas las comunicaciones entre la app y el servidor
• Cifrado en reposo: AES-256 para todos los datos almacenados en nuestra infraestructura
• Registro de auditoría: cada transacción queda registrada con fecha, hora y usuario al momento de su creación

7.2 Control de Acceso Interno

El equipo interno de CAIR que tiene acceso a los datos de usuarios se rige por:

• Política de mínimo privilegio: cada miembro del equipo accede únicamente a los datos necesarios para su función
• Autenticación de dos factores obligatoria para acceso a sistemas de producción
• Registro de auditoría de todos los accesos realizados por el equipo interno
• Acuerdos de confidencialidad (NDA) firmados por todos los miembros del equipo
• Capacitación periódica en protección de datos personales

7.3 Funcionamiento Offline y Seguridad Local

Dado que CAIR opera en modo 100% offline para las funciones de campo, los datos almacenados temporalmente en el dispositivo del usuario cuentan con:

• Bloqueo de acceso mediante credenciales del sistema operativo
• Eliminación automática de datos locales sensibles al desinstalar la aplicación

7.4 Notificación de Incidentes de Seguridad

En caso de producirse una brecha de seguridad que afecte datos personales, CAIR se compromete a:

• Notificar a la Agencia de Acceso a la Información Pública (AAIP) dentro de las 72 horas de haber tenido conocimiento del incidente
• Notificar a los Titulares de cuenta afectados sin demora indebida
• Describir la naturaleza del incidente, datos afectados, consecuencias probables y medidas tomadas
• Mantener un registro interno de todos los incidentes de seguridad

7 BIS. Resguardo de Datos, Incidentes de Seguridad y Limitación de Responsabilidad

La presente sección complementa las medidas de seguridad descriptas en la Sección 7 y el procedimiento de notificación de la Sección 7.4, estableciendo de forma detallada el modelo de responsabilidad compartida, las limitaciones de responsabilidad de CAIR y los derechos y obligaciones de las partes ante escenarios de pérdida de datos, acceso no autorizado o incidentes de seguridad.

7 BIS.1 Modelo de Responsabilidad Compartida en la Seguridad de Datos

La seguridad de los datos personales almacenados y procesados a través de la Plataforma CAIR opera bajo un modelo de responsabilidad compartida entre CAIR y el Titular de cuenta. Cada parte es responsable de la seguridad dentro de su ámbito de control:

• Ámbito de responsabilidad de CAIR: seguridad de la infraestructura de servidores, cifrado de datos en tránsito y en reposo, control de acceso a los sistemas de producción, monitoreo de amenazas, aplicación de parches de seguridad, mantenimiento de backups, implementación de firewalls y sistemas de detección de intrusiones, y seguridad del código fuente de la Plataforma
• Ámbito de responsabilidad del Titular de cuenta: protección de las credenciales de acceso de sus usuarios, seguridad de los dispositivos móviles utilizados por sus empleados, revocación oportuna de accesos ante desvinculaciones laborales, configuración adecuada de roles y permisos, protección física de los dispositivos, y cumplimiento de las políticas de uso aceptable
• Ámbito de responsabilidad del Usuario de campo: protección de su contraseña personal, bloqueo del dispositivo con PIN, contraseña o biometría, notificación inmediata ante pérdida o robo del dispositivo, no compartir credenciales con terceros, y no utilizar la aplicación en dispositivos comprometidos o con sistema operativo modificado

7 BIS.2 Declaración sobre Seguridad Absoluta

El Titular de cuenta reconoce y acepta que, a pesar de las medidas de seguridad implementadas por CAIR, existe un riesgo residual inherente a cualquier sistema tecnológico conectado a internet, incluyendo pero no limitándose a: ataques de día cero (zero-day), amenazas persistentes avanzadas (APT), vulnerabilidades en software de terceros, ataques de ingeniería social, y eventos de fuerza mayor que afecten la infraestructura tecnológica.

7 BIS.3 Política de Copias de Seguridad (Backups)

CAIR mantiene una política de copias de seguridad destinada a la recuperación de datos ante fallos técnicos o incidentes. Esta política incluye:

• Realización de copias de seguridad automatizadas con frecuencia diaria como mínimo
• Almacenamiento de backups en ubicaciones geográficamente separadas de los servidores de producción
• Cifrado de las copias de seguridad con estándares equivalentes a los datos en producción
• Pruebas periódicas de restauración para verificar la integridad de los backups

No obstante, el Titular de cuenta reconoce y acepta las siguientes limitaciones:

• Los backups permiten la restauración de datos al estado del último punto de respaldo disponible. Las operaciones realizadas entre el último backup y el momento del incidente pueden no ser recuperables
• CAIR no garantiza la recuperación del 100% de los datos en todos los escenarios de fallo. La recuperación depende de la naturaleza y magnitud del incidente
• Los datos eliminados intencionalmente por el Titular de cuenta o sus usuarios no son objeto de la política de backups. CAIR no se compromete a restaurar datos borrados por decisión del Titular de cuenta
• CAIR recomienda enfáticamente al Titular de cuenta mantener sus propias copias de seguridad de los datos críticos de su negocio mediante las funciones de exportación disponibles en el panel de administración

7 BIS.4 Escenarios de Pérdida de Datos y Alcance de la Responsabilidad de CAIR

A los efectos de esta sección, se distinguen los siguientes escenarios de pérdida de datos con sus respectivas asignaciones de responsabilidad:

• a) Pérdida por falla técnica en la infraestructura de CAIR: incluye fallos de hardware en servidores, corrupción de bases de datos, errores en actualizaciones del sistema realizadas por CAIR, o fallos en el servicio de almacenamiento cloud. En estos casos, CAIR asumirá la responsabilidad de ejecutar los procedimientos de restauración a partir de los backups disponibles y notificará al Titular de cuenta sobre el alcance del incidente y los datos recuperados. La responsabilidad de CAIR se limita a la restauración de los datos al último punto de respaldo disponible.
• b) Pérdida por acceso no autorizado a los sistemas de CAIR (brecha de seguridad): incluye intrusión en los servidores de CAIR, exfiltración de datos, ransomware u otros ataques dirigidos contra la infraestructura de CAIR. En estos casos, CAIR activará su protocolo de respuesta a incidentes conforme a la Sección 7.4, restaurará los datos afectados en la medida de lo posible, y cooperará con las autoridades competentes. CAIR no será responsable por los daños derivados de ataques que superen las medidas de seguridad razonables implementadas conforme a la Sección 7, en la medida en que dichas medidas se encontraran actualizadas y operativas al momento del incidente.
• c) Pérdida por acciones del Titular de cuenta o sus usuarios: incluye eliminación intencional o accidental de datos por parte de usuarios autorizados, configuración incorrecta de permisos que permita accesos indebidos internos, compartición de credenciales que derive en acceso no autorizado, o pérdida de datos locales en dispositivos por negligencia del usuario. En estos casos, CAIR no asume responsabilidad alguna. La restauración de datos eliminados intencionalmente no está contemplada en la política de backups.
• d) Pérdida por falla de servicios de terceros: incluye indisponibilidad o falla de los proveedores de infraestructura cloud (AWS, GCP), fallas en los servicios de Firebase, Google Maps, ARCA u otros servicios integrados. En estos casos, CAIR no asume responsabilidad por las consecuencias derivadas de fallas en servicios de terceros que estén fuera de su control directo. CAIR realizará esfuerzos razonables para mitigar el impacto y restaurar el servicio en el menor tiempo posible.
• e) Pérdida por eventos de fuerza mayor: incluye desastres naturales, incendios, inundaciones, cortes masivos de energía o conectividad, actos de guerra, terrorismo, pandemias, acciones gubernamentales o cualquier otro evento fuera del control razonable de CAIR. En estos casos, CAIR no asume responsabilidad alguna. Aplicará los procedimientos de recuperación de desastres disponibles y notificará al Titular de cuenta sobre la situación y las acciones de mitigación.

7 BIS.5 Limitación de Responsabilidad de CAIR ante Incidentes de Seguridad

Sin perjuicio de lo anterior, CAIR asume las siguientes obligaciones en caso de incidente:

• Activar de inmediato su protocolo de respuesta a incidentes, incluyendo la contención del incidente, la evaluación del impacto y la preservación de evidencia
• Notificar a la Agencia de Acceso a la Información Pública (AAIP) dentro de las 72 horas de tener conocimiento del incidente, conforme a la Sección 7.4
• Notificar a los Titulares de cuenta afectados sin demora indebida, detallando: naturaleza del incidente, categorías de datos potencialmente comprometidos, medidas adoptadas y recomendaciones de acción para el Titular de cuenta
• Ejecutar los procedimientos de restauración de datos disponibles a partir de los backups
• Cooperar con las autoridades judiciales o administrativas que intervengan en la investigación del incidente
• Implementar las medidas correctivas necesarias para evitar la recurrencia del incidente
• Documentar el incidente en un registro interno de seguridad con las lecciones aprendidas

En todos los casos, la responsabilidad máxima acumulada de CAIR frente al Titular de cuenta por incidentes de seguridad que afecten datos personales no podrá exceder el importe equivalente a 3 (tres) meses de suscripción al precio vigente al momento del incidente, conforme a lo establecido en los Términos y Condiciones de Servicio.

7 BIS.6 Escenarios en los que CAIR No Asume Responsabilidad

CAIR no asume responsabilidad alguna por la pérdida, filtración, acceso no autorizado o destrucción de datos personales en los siguientes supuestos:

• Acceso no autorizado derivado de la negligencia del Titular de cuenta o sus usuarios en la protección de sus credenciales de acceso, incluyendo el uso de contraseñas débiles, la compartición de credenciales o la falta de revocación de accesos ante desvinculaciones laborales
• Pérdida de datos almacenados localmente en dispositivos móviles como consecuencia de pérdida, robo, rotura, descarga de batería o desinstalación de la aplicación antes de la sincronización
• Acceso no autorizado a cuentas de usuario resultante de ataques de phishing, ingeniería social u otras técnicas dirigidas contra los usuarios del Titular de cuenta y no contra la infraestructura de CAIR
• Filtración de datos derivada de la captura de pantalla, fotografía de pantalla, transcripción manual o cualquier otra forma de extracción de datos realizada por usuarios autorizados del Titular de cuenta con acceso legítimo a la información
• Pérdida o exposición de datos derivada del uso de la Plataforma en dispositivos con sistema operativo modificado (jailbreak / root) o con software malicioso instalado
• Acceso indebido entre sucursales o entre usuarios de la misma distribuidora derivado de una configuración incorrecta de roles y permisos realizada por el Titular de cuenta
• Daños derivados de la falta de actualización de la aplicación móvil por parte del usuario cuando CAIR haya publicado actualizaciones de seguridad
• Pérdida de datos provocada por la interrupción, modificación o discontinuación de servicios de terceros integrados (Firebase, Google Maps, proveedores cloud) que estén fuera del control de CAIR
• Cualquier incidente de seguridad que sea consecuencia directa de un incumplimiento por parte del Titular de cuenta o sus usuarios de las obligaciones previstas en estos Términos, la Política de Privacidad o las indicaciones de seguridad comunicadas por CAIR

7 BIS.7 Obligaciones del Titular de Cuenta en Materia de Seguridad

El Titular de cuenta se compromete a colaborar activamente con la seguridad de los datos personales procesados a través de la Plataforma, asumiendo las siguientes obligaciones:

• Mantener actualizadas las credenciales de acceso de todos sus usuarios y exigir contraseñas robustas conforme a las recomendaciones de CAIR
• Revocar inmediatamente el acceso de usuarios desvinculados de la organización o que ya no requieran acceso a la Plataforma
• Asegurar que los dispositivos móviles utilizados por sus Usuarios de campo cuenten con bloqueo de pantalla, sistema operativo actualizado y sin modificaciones (jailbreak / root)
• Notificar a CAIR de inmediato, a través de soporte@cair.com.ar, ante cualquier sospecha de acceso no autorizado, pérdida o robo de dispositivos, o cualquier otra situación que pueda comprometer la seguridad de los datos
• Mantener actualizada la aplicación CAIR en todos los dispositivos de sus usuarios, aplicando las actualizaciones de seguridad publicadas en el menor plazo posible
• Realizar exportaciones periódicas de sus datos críticos como medida adicional de resguardo, sin depender exclusivamente de los backups de CAIR
• Capacitar a sus empleados sobre prácticas básicas de seguridad informática, incluyendo la prevención de phishing y la protección de credenciales

7 BIS.8 Procedimiento ante Sospecha de Incidente

Ante cualquier sospecha de incidente de seguridad que pueda afectar datos personales, las partes se comprometen a seguir el siguiente procedimiento:

• El Titular de cuenta o el Usuario de campo que detecte una anomalía (acceso sospechoso, datos alterados, comportamiento inusual de la aplicación) debe notificar a CAIR de inmediato a través de soporte@cair.com.ar con el asunto "INCIDENTE DE SEGURIDAD — [Nombre de la distribuidora]"
• CAIR evaluará la notificación dentro de las 4 horas hábiles siguientes y comunicará al Titular de cuenta si se confirma la existencia de un incidente
• En caso de confirmarse un incidente, CAIR activará su protocolo de respuesta conforme a la Sección 7.4 y a la presente sección
• El Titular de cuenta deberá colaborar con CAIR en la investigación del incidente, proporcionando la información que le sea solicitada sobre las circunstancias del mismo
• Ambas partes se abstendrán de realizar declaraciones públicas sobre el incidente hasta que se complete la evaluación inicial, salvo que una obligación legal requiera lo contrario

7 BIS.9 Derecho de Auditoría del Titular de Cuenta

El Titular de cuenta tiene derecho a solicitar a CAIR información sobre las medidas de seguridad implementadas para la protección de sus datos. CAIR se compromete a:

• Proveer, ante solicitud formal, un resumen de las medidas técnicas y organizativas de seguridad vigentes, sin revelar detalles que pudieran comprometer la seguridad del sistema
• Informar al Titular de cuenta sobre cualquier cambio material en las medidas de seguridad que pueda afectar la protección de sus datos
• Atender consultas específicas sobre seguridad a través de soporte@cair.com.ar en un plazo razonable

CAIR no está obligada a permitir auditorías directas o tests de penetración sobre su infraestructura por parte del Titular de cuenta, salvo que ello sea requerido por autoridad judicial o administrativa competente.

8. Plazos de Conservación de Datos

8.1 Criterios Generales

CAIR conserva los datos personales durante el tiempo estrictamente necesario para cumplir con las finalidades descritas en esta política, salvo que la ley exija o permita un período de conservación mayor.

8.2 Plazos Específicos

8.3 Eliminación de Datos

Una vez vencidos los plazos de conservación, CAIR eliminará o anonimizará los datos de forma segura, mediante procesos técnicos que impidan su recuperación posterior. Los datos requeridos por obligaciones legales serán mantenidos en entornos aislados, sin acceso operativo, exclusivamente para cumplir con dichas obligaciones.

9. Cookies y Tecnologías de Rastreo en el Panel Web

El panel web de administración de CAIR (accesible desde cualquier navegador) utiliza cookies y tecnologías similares. La aplicación móvil NO utiliza cookies.

9.1 Tipos de Cookies Utilizadas

9.1.1 Cookies Esenciales / de Sesión (no desactivables)

Son estrictamente necesarias para el funcionamiento del panel web. Sin ellas, no es posible autenticarse ni utilizar la plataforma.

• Cookie de autenticación de sesión
• Preferencias básicas de la interfaz (idioma, zona horaria)

9.1.2 Cookies Analíticas / de Seguimiento (requieren consentimiento)

Se utilizan para medir el uso del panel web y mejorar la experiencia. Pueden desactivarse sin afectar el funcionamiento básico.

• Métricas de rendimiento: velocidad de carga, errores de interfaz

El usuario puede gestionar sus preferencias de cookies desde el banner de consentimiento que aparece en el primer acceso al panel web, o desde la sección de configuración. Asimismo, puede configurar su navegador para rechazar o eliminar cookies, aunque esto puede afectar algunas funcionalidades del panel.

10. Notificaciones Push y Comunicaciones Automáticas

10.1 Notificaciones Push

CAIR podrá enviar notificaciones push a los dispositivos de los usuarios de la aplicación con fines operativos. El proveedor del servicio de notificaciones push se encuentra en definición; al momento de su implementación se actualizará la presente sección.

10.2 Emails Automáticos

CAIR envía correos electrónicos automáticos para:

• Confirmación de registro y bienvenida
• Restablecimiento de contraseña
• Alertas de seguridad (intentos de acceso no reconocidos)
• Resúmenes de operaciones del día o semana (si el Titular de cuenta lo activa)
• Notificaciones de cambios en la Política de Privacidad o en los Términos de Servicio
• Comunicaciones sobre el estado de la suscripción y facturación del servicio

Los emails transaccionales (restablecimiento de contraseña, alertas de seguridad) no pueden desactivarse ya que son esenciales para la seguridad de la cuenta. El resto de las comunicaciones pueden gestionarse desde la sección de preferencias del perfil.

11. Derechos de los Titulares de Datos

De conformidad con los Artículos 14 a 16 de la Ley 25.326 y las disposiciones de la Agencia de Acceso a la Información Pública (AAIP), los titulares de datos personales tienen los siguientes derechos:

11.1 Catálogo de Derechos

• Derecho de Acceso: el titular puede solicitar, gratuitamente y a intervalos no inferiores a seis meses, información sobre sus datos personales en posesión de CAIR, la finalidad del tratamiento y el origen de los datos.
• Derecho de Rectificación: el titular puede solicitar la corrección de datos inexactos, incompletos, desactualizados o que induzcan a error.
• Derecho de Supresión: el titular puede solicitar la eliminación de sus datos cuando el tratamiento sea ilegal, los datos sean innecesarios para la finalidad original, o haya revocado el consentimiento. Este derecho está limitado por las obligaciones de conservación legales descritas en la Sección 8.
• Derecho de Confidencialidad: el titular puede solicitar que sus datos sean tratados con un nivel adicional de confidencialidad o que sean marcados como bloqueados temporalmente.
• Derecho a la No Discriminación: el ejercicio de cualquiera de estos derechos no puede ser motivo de penalización ni de restricción del servicio, salvo aquellos casos donde el tratamiento de los datos es técnicamente indispensable para la prestación del servicio contratado.

11.2 Procedimiento para el Ejercicio de Derechos

Para ejercer cualquiera de los derechos mencionados:

• Enviar solicitud escrita a soporte@cair.com.ar
• Indicar en el asunto: "Derechos ARCO - [Apellido y Nombre]"
• Acompañar copia de DNI o documento acreditativo de identidad
• Describir con precisión el derecho que desea ejercer y los datos involucrados

CAIR responderá dentro de los 10 (diez) días hábiles desde la recepción de la solicitud completa y debidamente acreditada, conforme al Art. 14 de la Ley 25.326.

11.3 Limitaciones al Ejercicio de Derechos

El ejercicio de ciertos derechos puede estar limitado en los siguientes supuestos:

• Cuando los datos deban conservarse por obligación legal (registros fiscales, auditoría)
• Cuando la modificación alteraría la integridad del registro de auditoría de transacciones cerradas
• Cuando la solicitud afecte derechos de terceros (otros titulares de datos en la misma operación)
• Cuando sea necesario para la defensa de derechos en procedimientos judiciales o administrativos

11.4 Reclamación ante la Autoridad de Control

Si el titular considera que CAIR ha vulnerado sus derechos en materia de protección de datos, puede presentar una reclamación ante la Agencia de Acceso a la Información Pública (AAIP), organismo de control competente en la Argentina, a través de su sitio web: www.argentina.gob.ar/aaip

12. Responsabilidades del Titular de Cuenta

El Titular de cuenta (empresa distribuidora) que contrata los servicios de CAIR asume las siguientes responsabilidades en materia de protección de datos:

• Informar a sus empleados sobre la recopilación de datos de ubicación, historial de rutas y actividad operativa antes del primer uso de la aplicación
• Obtener el consentimiento de sus clientes para la recopilación de fotos de DNI, datos de contacto y domicilio, conforme a la normativa vigente
• Asignar roles y permisos de acceso adecuados dentro del sistema, evitando privilegios excesivos
• Mantener la confidencialidad de las credenciales de acceso de sus usuarios
• Notificar a CAIR inmediatamente ante el cese laboral de un empleado para revocar su acceso
• Verificar que los datos ingresados al sistema sean correctos y se refieran a personas reales con consentimiento otorgado
• Cumplir con las obligaciones tributarias que derivan del uso de la facturación electrónica con ARCA
• No ingresar al sistema datos de personas sin su consentimiento o que no guarden relación con la operación comercial
• Garantizar que la firma digital en pantalla sea capturada exclusivamente de la persona cuyos datos se registran o de su representante legal debidamente autorizado, conforme al mecanismo previsto en la Sección 4 BIS
• Capacitar a sus Usuarios de campo sobre el procedimiento correcto de obtención de consentimiento mediante firma digital: informar previamente al titular, verificar su identidad, solicitar la firma en su presencia y no simular ni falsificar firmas bajo ninguna circunstancia
• Implementar controles internos de supervisión para verificar que las firmas capturadas correspondan a procesos legítimos de obtención de consentimiento y no a prácticas fraudulentas o negligentes de sus empleados
• Asumir la responsabilidad exclusiva ante reclamos de titulares de datos que aleguen que su consentimiento no fue válidamente obtenido, en los términos de la cadena de responsabilidad descrita en la Sección 4 BIS.6
• Conservar, en la medida en que su operación interna lo requiera, registros complementarios propios que refuercen la evidencia de consentimiento más allá de la firma digital capturada por CAIR

13. Eliminación de Cuenta y Portabilidad de Datos

13.1 Proceso de Eliminación de Usuarios

Dentro de la plataforma CAIR, la eliminación de usuarios opera de la siguiente forma:

• Solo el administrador de la distribuidora puede eliminar o desactivar usuarios desde el panel web
• El empleado no puede eliminar su propia cuenta directamente desde la app (debe solicitarlo al admin)
• Tras la eliminación del usuario, sus datos operativos quedan disociados del perfil pero pueden conservarse para auditoría, conforme a los plazos de la Sección 8

13.2 Cancelación de Suscripción por el Titular de Cuenta

Cuando el Titular de cuenta decide cancelar su suscripción:

• Los datos operativos se conservan durante 12 meses desde la fecha de cancelación
• Durante ese período, el Titular puede solicitar una exportación completa de sus datos
• Transcurridos los 12 meses, los datos son eliminados de forma segura, con excepción de los retenidos por obligación legal
• Los registros de facturación electrónica se conservan durante 10 años, conforme a la normativa de ARCA / AFIP

13.3 Portabilidad de Datos

El Titular de cuenta tiene derecho a solicitar la exportación de sus datos en un formato estructurado y de uso común (CSV o JSON). Para solicitarlo, debe contactar a soporte@cair.com.ar con al menos 15 días de antelación a la fecha de cancelación deseada. CAIR procesará la exportación y la entregará dentro de los 10 días hábiles posteriores a la solicitud.

14. Transferencias Internacionales de Datos

Algunos de los proveedores de servicios con los que CAIR trabaja operan en infraestructuras ubicadas fuera de la República Argentina (en particular, servicios de Google y Amazon). CAIR garantiza que dichas transferencias se realizan bajo las siguientes salvaguardas:

• Los proveedores cuentan con certificaciones de seguridad equivalentes o superiores a los estándares argentinos (ISO 27001, SOC 2 Tipo II)
• Se celebran contratos de procesamiento de datos con cláusulas de protección adecuadas
• Los datos transferidos son los estrictamente necesarios para la funcionalidad del servicio
• No se transfieren datos a países que no ofrezcan un nivel adecuado de protección, salvo bajo las excepciones previstas en la normativa argentina

15. Integridad de Datos y Auditoría

Una característica central de CAIR es su registro de auditoría de operaciones, que tiene las siguientes implicaciones para la privacidad:

• Cada transacción (pedido, cobranza, cierre de caja) queda registrada con fecha, hora y usuario al momento de su creación
• Las transacciones cerradas forman parte del registro de auditoría de la operación
• Esto significa que las solicitudes de rectificación de datos que afecten a transacciones ya cerradas pueden resultar en la creación de un nuevo registro de corrección, en lugar de la modificación del original
• Los titulares de datos son informados de este mecanismo al aceptar estos términos

Este mecanismo tiene como objetivo proteger la integridad financiera de la operación de la distribuidora y garantizar que los registros sean confiables para fines de auditoría tributaria. No implica que CAIR pueda negarse a corregir datos incorrectos; en tales casos, se procede con un registro de enmienda que queda documentado junto al registro original.

16. Limitación de Responsabilidad

CAIR no será responsable en los siguientes supuestos:

• Incumplimientos del Titular de cuenta en la obtención de consentimientos de sus empleados o clientes
• Uso indebido de las credenciales de acceso por parte de usuarios
• Pérdida de datos resultante de la pérdida, robo o daño del dispositivo del usuario
• Interrupciones del servicio de ARCA / AFIP o de cualquier otro servicio de terceros fuera del control de CAIR
• Errores en la información ingresada al sistema por los usuarios
• Accesos no autorizados resultantes de negligencia del usuario en la protección de sus credenciales
• Daños derivados del uso de la aplicación en dispositivos con sistemas operativos modificados (jailbreak / root)

17. Actualizaciones de esta Política

CAIR se reserva el derecho de modificar la presente Política de Privacidad en cualquier momento. Ante modificaciones sustanciales:

• Se notificará a los Titulares de cuenta mediante email a la dirección registrada con al menos 30 días de antelación
• Se enviará notificación push a todos los usuarios activos de la aplicación
• La nueva política estará disponible en https://cair.com.ar/privacidad
• La fecha de última actualización visible en el encabezado del documento será actualizada

El uso continuado del servicio tras la fecha de entrada en vigencia de la nueva política constituye aceptación de los nuevos términos. Si el Titular de cuenta no acepta las modificaciones, debe proceder a cancelar su suscripción antes de la fecha de entrada en vigencia, sin penalización.

18. Ley Aplicable y Jurisdicción

La presente Política de Privacidad se rige por la legislación de la República Argentina, en particular:

• Ley N° 25.326 de Protección de Datos Personales y su Decreto Reglamentario N° 1558/01
• Disposiciones de la Agencia de Acceso a la Información Pública (AAIP)
• Ley N° 24.240 de Defensa del Consumidor (en lo que aplique)
• Ley N° 19.550 de Sociedades Comerciales
• Normativa vigente de ARCA / AFIP en materia de facturación electrónica

Para la resolución de disputas derivadas de la aplicación de esta política, las partes se someten a la jurisdicción de los Tribunales Ordinarios competentes de la Provincia de Misiones, República Argentina, con renuncia expresa a cualquier otro fuero que pudiera corresponder.

19. Contacto y Consultas sobre Privacidad

Para cualquier consulta, reclamo o ejercicio de derechos relacionados con esta Política de Privacidad, el usuario puede contactarse con CAIR a través de:

• Correo electrónico (canal principal): soporte@cair.com.ar
• Asunto recomendado para consultas de privacidad: "Privacidad CAIR - [Nombre de tu empresa]"
• Sitio web: https://cair.com.ar
• Tiempo de respuesta comprometido: 10 días hábiles