Seguridad y cumplimiento

Quién decide sobre los datos

La empresa cliente es la responsable de los datos de sus trabajadores: decide qué carga y para qué. Pedro Jeremías Salvadeo los trata por su cuenta, solo para prestar el servicio (encargado del tratamiento).

Transita no vende datos, no los usa para publicidad y no los usa para entrenar modelos de inteligencia artificial.

Dónde están los datos

Los datos se alojan en servidores de Railway en Estados Unidos (California), con conexión cifrada. Hoy no hay alojamiento separado por región: la región que se elige en el alta queda registrada para cuando lo haya.

Las transferencias internacionales se rigen por el acuerdo de tratamiento de datos, que contempla cláusulas contractuales tipo cuando la ley de la empresa cliente lo exige.

Medidas de seguridad

Conexión cifrada (HTTPS) en todo el servicio. Ingreso sin contraseñas, con enlaces de un solo uso que vencen a los 15 minutos, o con Google o Microsoft.

Las sesiones y las claves de API se guardan solo como huella criptográfica: si alguien leyera la base, no podría usarlas. Las claves de API se pueden revocar en cualquier momento.

Acceso según el rol (administración, RR. HH., líder de área, persona) y separación de los datos de cada empresa. Cada cambio queda en un registro de auditoría con quién, cuándo y qué cambió.

En el tablero y los reportes, los grupos de menos de 5 personas se muestran como «<5», para que nadie quede identificado.

Límites de uso contra abusos, pruebas automáticas antes de cada despliegue y alertas de errores.

La empresa puede exportar todos sus datos en un archivo y eliminar la empresa con todos sus datos desde «Configuración».

IA responsable

La IA de Transita sugiere tareas y su exposición a la automatización por puesto, no por persona. No evalúa, no puntúa ni toma decisiones sobre trabajadores.

Cada sugerencia la revisa y valida una persona, y cada plan de transición lo acepta la persona involucrada y lo firman su líder y RR. HH. A la IA no se le envían datos de personas.

Este diseño busca que Transita no funcione como un sistema de decisión automatizada sobre el empleo, en línea con la Ley de IA de la Unión Europea, que trata esos sistemas como de alto riesgo.

Marcos de referencia

Tomamos como referencia el Reglamento General de Protección de Datos de la Unión Europea (RGPD) y la Ley de IA europea, que también inspiran las nuevas leyes de varios países de la región, como la Ley 21.719 de Chile. También consideramos la Ley 25.326 de Argentina y la LGPD de Brasil.

Para el desarrollo y la gestión tomamos como guía las normas ISO/IEC/IEEE 12207 (ciclo de vida del software), ISO/IEC 25010 (calidad del producto), ISO/IEC 27001 (seguridad de la información) e ISO/IEC 42001 (gestión de la IA).

Transita no cuenta hoy con certificaciones de esas normas. Si tu empresa las necesita para contratar, conversemos el alcance.

Si ocurre un incidente

Si detectamos un incidente que afecte datos personales, avisamos a las empresas afectadas sin demora y a más tardar dentro de las 48 horas, con lo que sabemos y las medidas tomadas, para que puedan cumplir con sus propias obligaciones.

Para consultas sobre privacidad o para ejercer derechos, escribe a hola@usetransita.app.

Proveedores que tratan datos (subencargados)

Si sumamos o cambiamos un proveedor, lo avisamos con anticipación en esta página y por email a las empresas clientes.