Gobernanza de datos
Cómo tratamos los datos de su cadena.
Esta página es la declaración pública de gobernanza de datos de Tracebud para compradores, socios y revisiones de compras. Acompaña a nuestra política de privacidad y a la visión general de datos y seguridad.
Alcance
Qué abarca esto.
Tracebud AS (Oslo, Noruega) ofrece una app de campo centrada en la EUDR, un Dashboard para organizaciones y una API. Tratamos datos personales y operativos para que agricultores, cooperativas y compradores puedan cartografiar parcelas, guardar evidencia y preparar declaraciones de diligencia debida.
Propiedad
Los agricultores y las organizaciones son dueños de sus registros.
- Las parcelas, los documentos y los recibos de entrega de un productor le pertenecen al productor. Los conserva en su app y puede llevarlos a otro comprador.
- Las listas de socios, los lotes, los sellos y las declaraciones pertenecen a la organización que los creó. La exportación está disponible; dejar Tracebud no significa perder sus datos.
- Tracebud es el transportista, no el dueño. No vendemos los datos de cadena de nuestros clientes ni los usamos para fijar precios en su contra.
Consentimiento
Compartir sigue el consentimiento registrado.
Los registros solo cruzan los límites entre organizaciones con el consentimiento adjunto (por ejemplo un envío sellado o una autorización explícita). Los agricultores pueden revisar y gestionar lo que se comparte mediante la cartera de consentimientos en app.tracebud.com. Los usuarios del Dashboard solicitan y respetan esas autorizaciones.
Cartera de consentimientos (agricultores)Subencargados del tratamiento
Quién trata datos por nosotros.
La base de datos principal, la autenticación, la API, el Redis de límite de peticiones y las Vercel Functions funcionan en la UE: Supabase Fráncfort (eu-central-1), Railway EU West para api.tracebud.com, Upstash Redis eu-central-1 y Vercel Functions en Fráncfort (fra1). La ingesta de monitorización de errores usa Sentry Alemania. Los encargados residuales fuera del EEE incluyen Twilio (OTP por SMS), Expo/Apple/Google (push y OTA) y Notion (herramientas piloto). La CDN Edge de Vercel sigue siendo multirregión. No afirmamos que todos los encargados sean solo de la UE.
Los encargados activos incluyen Supabase (base de datos, autenticación, almacenamiento), Railway (alojamiento de la API), Vercel (marketing y Dashboard), Sentry (monitorización de errores con eliminación de datos personales), Expo/EAS (compilaciones móviles y OTA), Apple APNs y Google FCM (tokens push) y Twilio Verify (OTP por teléfono). Los encargados opcionales, como Resend (correo) o Stripe (facturación), se usan cuando esas funciones están activas.
Se mantiene internamente un registro más completo para los DPA de clientes. Cuestionarios de compras: hello@tracebud.com.
Conservación y supresión
Conserve lo que exige la ley; destruya lo que permite.
La eliminación de cuentas y las herramientas de destrucción criptográfica están implementadas para los campos personales cuando la ley de conservación lo permite. La EUDR y obligaciones afines pueden exigir conservar algunas referencias de cumplimiento. Se atienden las solicitudes de exportación y corrección. Las afirmaciones absolutas de «certificado RGPD» quedan reservadas hasta que el asesor jurídico las apruebe.
Postura de seguridad
Controles que aplicamos hoy.
TLS en tránsito, cifrado del proveedor en reposo, aislamiento por inquilino, acceso limitado por rol, registros de auditoría de las acciones de cumplimiento, limitación de peticiones y CAPTCHA en las superficies de autenticación. La certificación independiente (SOC 2, ISO 27001) está en la hoja de ruta; no es una afirmación de certificación actual.