Política de privacidad de la API

Introducción

Esta política de privacidad explica cómo Vzla.io trata los datos cuando accedes a nuestro producto de forma programática a través de la API de Vzla.io. Está dirigida a un público técnico y de desarrolladores: personas que crean un token de API e integran nuestro servicio en sus propias aplicaciones, scripts o sistemas.

Vzla.io es operada por una empresa registrada en los Estados Unidos (Wyoming). Aunque no estamos establecidos en la Unión Europea, hemos decidido cumplir con el Reglamento General de Protección de Datos (RGPD) de la UE para todos los usuarios de nuestra API. Cuando esta política se refiere a “datos personales”, “responsable”, “encargado”, “base jurídica” e “interesado”, esos términos tienen el significado que les da el RGPD.

En esta política, “Vzla.io”, “nosotros” o “la API” se refieren a nuestra plataforma y al equipo que la respalda. “Tú”, “el desarrollador” o “el usuario de la API” se refieren a la persona u organización que posee un token de API y realiza llamadas a la API.

Al acceder o utilizar nuestra API, aceptas los términos de esta política de privacidad.

Quién es responsable de los datos

Entender quién controla cada tipo de dato es importante, porque la API es un canal por el que fluyen dos tipos distintos de datos.

Datos sobre tu uso de la API. Respecto de los datos de la cuenta, el token de API y los registros técnicos generados cuando llamas a la API (descritos más abajo), Vzla.io es el responsable del tratamiento. Esta política rige esos datos.
Datos que envías a través de la API. Si las solicitudes que realizas a la API contienen datos personales sobre tus propios usuarios o terceros (por ejemplo, registros que creas, consultas o actualizas mediante nuestros endpoints), tú eres el responsable de esos datos y Vzla.io actúa como encargado que los trata siguiendo tus instrucciones. Tus obligaciones sobre esos datos se describen en “Tus responsabilidades como desarrollador”.

Datos que recopilamos

Datos recopilados automáticamente

Cada solicitud a la API se registra para que podamos operar, proteger y dar soporte al servicio. Por cada solicitud podemos registrar:

La dirección IP desde la que se origina la solicitud.
Metadatos de la solicitud: la marca temporal, el método HTTP, el endpoint (ruta) invocado, el código de estado de la respuesta, el tiempo de respuesta y el tamaño aproximado de la solicitud y la respuesta.
El agente de cliente o el identificador de la librería enviado con la solicitud.
El identificador del token de API utilizado para autenticar la solicitud. Registramos un identificador del token, no el valor secreto del token (ver “El token de API como identificador”).
Contadores de uso y de límite de tasa: el número de solicitudes realizadas, los endpoints utilizados y los contadores que mantenemos para aplicar los límites de tasa y detectar abusos.

Estos registros son logs técnicos. Dado que una dirección IP y un identificador de token pueden asociarse a una persona, tratamos estos registros como datos personales y los protegemos en consecuencia.

Datos que proporcionas

Cuando te registras para obtener acceso a la API o gestionas tu integración, puedes proporcionar:

Datos de contacto asociados a tu cuenta (como tu nombre y tu dirección de correo electrónico).
La configuración de tu acceso, incluidos los nombres de los tokens, los alcances y los permisos.

Datos que pasan a través de la API

El contenido de las solicitudes y respuestas que intercambias con la API lo determinas tú. Si ese contenido incluye datos personales, los tratamos únicamente para entregar la respuesta de la API y para operar el servicio, siguiendo tus instrucciones, tal como se describe en “Tus responsabilidades como desarrollador”.

El token de API como identificador

Tu token de API autentica tus solicitudes e identifica tu integración. Almacenamos una representación segura del token (por ejemplo, un hash) y un identificador de token que nos permite atribuir las solicitudes a tu cuenta para autenticación, aplicación de límites de tasa, facturación, prevención de abusos y soporte. Como el identificador del token puede vincularse a tu cuenta, es un dato personal.

Eres responsable de mantener tu token en secreto. Cualquier persona que posea tu token puede actuar como tú frente a la API. Si un token queda expuesto, debes revocarlo y emitir uno nuevo de inmediato, y notificárnoslo para que podamos ayudarte a investigar.

Cómo usamos los datos y nuestras bases jurídicas

Utilizamos los datos descritos anteriormente únicamente para operar la API, y cada uso se apoya en una base jurídica del RGPD:

Para prestar la API que solicitaste: autenticar las solicitudes, enrutarlas, devolver las respuestas y gestionar tu cuenta y tus tokens. Base jurídica: ejecución de un contrato.
Para proteger la API y prevenir abusos: detectar y mitigar accesos no autorizados, fraude, denegación de servicio y otros usos indebidos; aplicar límites de tasa y cuotas de uso. Base jurídica: nuestro interés legítimo en mantener el servicio seguro y disponible.
Para mantener y mejorar la fiabilidad: supervisar el rendimiento, diagnosticar errores y optimizar los tiempos de respuesta. Base jurídica: nuestro interés legítimo en operar un servicio fiable.
Para prestar soporte técnico: investigar y resolver los problemas que nos comuniques sobre el acceso o el uso. Base jurídica: ejecución de un contrato y nuestro interés legítimo en dar soporte a los usuarios.
Para cumplir con la ley: atender obligaciones legales, contables y regulatorias, y responder a requerimientos lícitos de las autoridades. Base jurídica: cumplimiento de una obligación legal.

No utilizamos los datos de la API para publicidad, no los vendemos y no los usamos para ningún fin ajeno a la operación de la API.

Analítica

Para nuestro sitio web público utilizamos Umami, una herramienta de analítica sin cookies y centrada en la privacidad que no recopila datos personales ni instala cookies publicitarias. Las llamadas programáticas a la API no forman parte de esa analítica del sitio web; el uso de la API se mide únicamente mediante los logs y contadores operativos descritos anteriormente.

Conservación de los datos

Conservamos los datos solo durante el tiempo que sirven a la finalidad para la que se recopilaron:

Los logs técnicos y de límite de tasa se conservan durante un período limitado, suficiente para la supervisión de seguridad, la investigación de abusos y la resolución de incidencias, y después se eliminan o se agregan en estadísticas no identificativas.
Los datos de cuenta y de token se conservan mientras tu acceso a la API esté activo, y durante un período limitado posterior cuando necesitemos cumplir obligaciones legales, contables o de seguridad.
Los datos que pasan a través de la API se conservan según el modelo de datos del producto y tus instrucciones como responsable; cuando eliminas registros o cierras tu integración, eliminamos o devolvemos esos datos según lo acordado, sujeto a cualquier requisito legal de conservación.

Compartición de datos

No vendemos los datos que recopilamos ni los compartimos con terceros para sus propios fines. Solo divulgamos datos en los siguientes casos:

Proveedores de servicios (encargados). Utilizamos un número reducido de proveedores de infraestructura y alojamiento para operar la API. Estos tratan los datos únicamente en nuestro nombre, bajo obligaciones contractuales de confidencialidad y protección de datos, y solo en la medida necesaria para prestar su servicio.
Cumplimiento legal. Cuando así lo exija la ley o en respuesta a un requerimiento válido de una autoridad competente.
Seguridad y prevención de abusos. Para investigar y mitigar el fraude, los accesos no autorizados o el uso indebido de la API.

Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

Cifrado en tránsito. Toda la comunicación con la API está protegida mediante HTTPS/TLS.
Acceso restringido. Solo el personal autorizado de Vzla.io puede acceder a los logs de la API y a los datos de cuenta, según el principio de necesidad de conocer.
Protección de los tokens. Los secretos de los tokens se almacenan mediante una representación segura y no reversible, y los tokens pueden revocarse en cualquier momento.

Ningún sistema es perfectamente seguro y no podemos garantizar una seguridad absoluta, pero trabajamos para proteger tus datos y para detectar y responder a los incidentes.

Tus responsabilidades como desarrollador

Cuando envías datos personales sobre tus propios usuarios o terceros a través de la API, tú eres el responsable de esos datos y Vzla.io es tu encargado. En ese rol debes:

Contar con una base jurídica válida bajo el RGPD para los datos que envías a través de la API, y facilitar la información de privacidad exigida a las personas a las que pertenecen esos datos.
Enviar únicamente los datos necesarios para tu integración; no transmitas categorías especiales de datos a través de la API salvo que sea realmente necesario y lícito.
Proteger tus credenciales de API, mantener tu token en secreto y no compartirlo nunca con partes no autorizadas.
Implementar medidas de seguridad adecuadas en tus propios sistemas e integración para prevenir accesos no autorizados.
Cumplir con los límites de uso y los términos establecidos en los términos y condiciones de la API.
Notificarnos con prontitud cualquier incidente de seguridad o sospecha de uso indebido que afecte a la API o a tus credenciales.

Como encargado, actuamos únicamente siguiendo tus instrucciones documentadas (las llamadas que realizas a la API y la configuración de tu cuenta), te asistimos con las solicitudes de los interesados y las obligaciones de seguridad cuando los datos están bajo nuestro control, y no usamos los datos que envías para nuestros propios fines. Vzla.io no es responsable del uso que terceros hagan de la API, ni de los fallos de seguridad de las aplicaciones que la integran.

Transferencias internacionales de datos

Vzla.io opera desde los Estados Unidos, por lo que los datos tratados a través de la API —incluidos los logs y los datos de cuenta— pueden transferirse y almacenarse en los Estados Unidos. Cuando transferimos datos personales desde la Unión Europea, nos apoyamos en garantías adecuadas reconocidas por el RGPD, como las Cláusulas Contractuales Tipo de la Comisión Europea, junto con medidas técnicas adicionales como el cifrado en tránsito. Al decidir cumplir con el RGPD, aplicamos sus protecciones a tus datos con independencia del lugar donde se traten.

Tus derechos de protección de datos

Con arreglo al RGPD, tienes derecho a acceder a los datos personales que tenemos sobre ti, a que se rectifiquen o supriman, a limitar u oponerte a su tratamiento y a solicitar que se transfieran a otra organización (portabilidad de los datos). Cuando nuestro tratamiento se base en el consentimiento, puedes retirarlo en cualquier momento.

Para ejercer cualquiera de estos derechos sobre los datos respecto de los cuales Vzla.io es el responsable, contáctanos en privacy@vzla.io. Respondemos a las solicitudes dentro de los plazos que establece el RGPD (normalmente en el plazo de un mes). Si tu solicitud se refiere a datos personales que otro desarrollador envía a través de la API, ese desarrollador es el responsable y debes dirigirle tu solicitud a él; nosotros le asistiremos en calidad de encargado.

Reclamación ante una autoridad de control

Si consideras que no hemos tratado correctamente tus datos personales o tu solicitud, tienes derecho a presentar una reclamación ante una autoridad de control de protección de datos del Estado miembro de la Unión Europea en el que residas, trabajes o donde se haya producido el problema. Nos gustaría tener la oportunidad de atender tu inquietud primero, así que te animamos a contactarnos en privacy@vzla.io antes de hacerlo.

Cambios en esta política de privacidad

Podemos actualizar esta política de privacidad periódicamente. Los cambios entran en vigor una vez publicados en nuestro sitio web, y la fecha de “actualización” que figura arriba refleja la última revisión. Te recomendamos revisar esta página con regularidad para mantenerte informado.

Contacto

Si tienes preguntas sobre esta política de privacidad o sobre cómo tratamos los datos en la API, contáctanos en privacy@vzla.io. Para soporte general con tu integración, puedes escribirnos a support@vzla.io.

Al utilizar nuestra API, confirmas que has leído y aceptado esta política de privacidad.