Privacy Notice / Aviso de Privacidad — Ignia Cloud

STATUS: DRAFT pending legal review (SUPUESTO A VALIDAR). Written from what the system actually does (verified in code and audits, 2026-07-27). Must be reviewed by legal counsel before publication. Placeholder for the acceptance flow required before customer sign-up opens (remediation R5-1).

Mirror: this file is served publicly at apps/portal/src/pages/legal/ — tests/portal-legal.test.ts fails if they drift. Regenerate the portal copy when you edit this.

English below · Español en la segunda mitad.

EN — Privacy Notice (LFPDPPP 2025 / GDPR-informed)

1. Controller. Ignia Cloud, operating through two legal entities: Ignia Cloud LLC (United States) and Ignia Cloud S.A. (Mexico). Contact: esteban@ignia.cloud.

2. Personal data we collect.

• Account data: email address, name (optional), authentication credentials (passkeys are public keys only; TOTP secrets are stored hashed; passwords do not exist in this system).
• Usage data: storage consumption, API operations, metering events (object counts, bytes stored, bytes transferred), session metadata (IP address, browser/device information, timestamps).
• Support data: tickets and Larry chat conversations (opt-in memory only — chat content is not persisted unless the user enables memory). Recordings of support/co-browse sessions will exist only when that feature ships, always with visible prior notice (then retained 1 year).
• Billing data: customer/contact details for invoicing. Card data never touches Ignia systems — payments are processed entirely by Stripe (PCI SAQ-A scope).
• Partner data: partner contact emails, referral and commission records.

3. What we never collect by design.

• The contents of your stored files for any purpose other than delivering them back to you. Larry (our AI assistant) indexes object metadata only — never object contents.
• Full API keys, secrets, or credentials in readable form after creation (reveal-once, then AES-256-GCM encrypted or hashed).

4. Purposes. Provide and operate the storage service; billing and collections; security and fraud prevention; support (including recorded assistance with notice); product improvement through aggregated, non-content analytics; legal and tax compliance.

5. Processors (subencargados). Cloudflare (compute, storage, network — global), Backblaze (immutable storage replica, US), Stripe (payments, US/MX), Odoo (ERP/invoicing, hosted ignia.cloud), Microsoft (staff email/collaboration; customer tenants only if the customer purchases Microsoft 365 through us). AI processing of support/chat runs on Cloudflare-hosted models by default; frontier-model processing (if enabled) uses no-training/no-retention API terms. Current at the date above; the authoritative list lives in the DPA.

6. Data residency. Customers choose their storage region at bucket creation (Cloudflare R2 regional options); the immutable replica is stored in Backblaze’s US region selected at onboarding. Account/billing data is processed in the US and Mexico.

7. Retention. Account data: life of the account + legal minimums. Metering: per the observability retention tier purchased (30 days–5 years aggregates). Support recordings, once the co-browse feature ships (it is not live today): 1 year, then automatic deletion. Audit logs: ≥1 year.

8. Your rights (ARCO/GDPR). Access, rectification, cancellation (erasure), objection, portability, and withdrawal of consent. Requests are exercised today by writing to esteban@ignia.cloud; the self-service erasure path in the my.ignia.cloud account page is on the roadmap and this section will be updated when it ships. Erasure deletes objects (both representations per the CAS invariant), account rows, and revokes sessions within 30 days; backups/immutable tiers follow their legal retention terms (Object Lock data cannot be deleted before its retention date — this is disclosed at purchase).

9. Transparency commitment (roadmap, not yet live). We are building the surface where every action Ignia staff takes in your account (impersonation, co-browse) will be visible to you in your portal — who, when, why, and the recording. Until it ships, staff access is governed by the RBAC model: least privilege, ticket-bound authorization, and a full audit log available to you on request at esteban@ignia.cloud.

10. Changes. Material changes are notified by email 30 days in advance.

ES — Aviso de Privacidad (LFPDPPP 2025)

1. Responsable. Ignia Cloud, a través de dos entidades: Ignia Cloud LLC (EE.UU.) e Ignia Cloud S.A. (México). Contacto: esteban@ignia.cloud.

2. Datos personales que recabamos.

• Cuenta: correo electrónico, nombre (opcional), credenciales de autenticación (las passkeys son solo llaves públicas; los secretos TOTP se guardan hasheados; no existen contraseñas en este sistema).
• Uso: consumo de almacenamiento, operaciones de API, eventos de medición (objetos, bytes almacenados y transferidos), metadatos de sesión (IP, navegador/dispositivo, fechas y horas).
• Soporte: tickets y conversaciones con Larry (memoria solo con opt-in — el contenido del chat no se persiste salvo que el usuario active la memoria). Las grabaciones de sesiones de soporte/co-browse existirán solo cuando esa función esté disponible, siempre con aviso visible previo (entonces se conservarán 1 año).
• Facturación: datos del cliente para facturar. Los datos de tarjeta nunca tocan los sistemas de Ignia — los pagos los procesa Stripe en su totalidad (alcance PCI SAQ-A).
• Partners: correos de contacto, registros de referidos y comisiones.

3. Lo que por diseño nunca recabamos.

• El contenido de tus archivos para cualquier fin distinto de devolvértelos. Larry (nuestro asistente de IA) indexa solo metadatos de objetos — nunca su contenido.
• Llaves de API, secretos o credenciales legibles después de su creación (se muestran una vez; después cifrados AES-256-GCM o hasheados).

4. Finalidades. Proveer y operar el servicio de almacenamiento; facturación y cobranza; seguridad y prevención de fraude; soporte (incluida la asistencia grabada con aviso); mejora del producto mediante analítica agregada sin contenido; cumplimiento legal y fiscal.

5. Encargados (subprocesadores). Cloudflare (cómputo, almacenamiento, red — global), Backblaze (réplica inmutable, EE.UU.), Stripe (pagos, EE.UU./México), Odoo (ERP/facturación, hospedado en ignia.cloud), Microsoft (correo/colaboración del personal; tenants de clientes solo si el cliente compra Microsoft 365 con nosotros). El procesamiento de IA de soporte/chat corre en modelos hospedados en Cloudflare por defecto; el procesamiento en modelos frontera (si se habilita) usa términos de API sin entrenamiento ni retención. Vigente a la fecha indicada; la lista autoritativa vive en el DPA.

6. Residencia de datos. El cliente elige la región de almacenamiento al crear su bucket (opciones regionales de Cloudflare R2); la réplica inmutable se almacena en la región de Backblaze en EE.UU. seleccionada al contratar. Los datos de cuenta y facturación se procesan en EE.UU. y México.

7. Conservación. Datos de cuenta: vigencia de la cuenta + mínimos legales. Medición: según el nivel de retención de observabilidad contratado (30 días–5 años en agregados). Grabaciones de soporte, cuando la función de co-browse esté disponible (hoy no está en operación): 1 año, con borrado automático. Bitácoras de auditoría: ≥1 año.

8. Tus derechos (ARCO/GDPR). Acceso, rectificación, cancelación (supresión), oposición, portabilidad y revocación del consentimiento. Hoy se ejercen escribiendo a esteban@ignia.cloud; la supresión self-service desde la página de cuenta en my.ignia.cloud está en el roadmap y esta sección se actualizará cuando esté disponible. La supresión elimina objetos (ambas representaciones, según el invariante CAS), filas de cuenta y revoca sesiones en un plazo de 30 días; los respaldos/niveles inmutables siguen sus términos legales de retención (los datos con Object Lock no pueden eliminarse antes de su fecha de retención — esto se informa al comprar).

9. Compromiso de transparencia (roadmap, aún no disponible). Estamos construyendo la superficie donde toda acción del personal de Ignia en tu cuenta (impersonación, co-browse) será visible para ti en tu portal — quién, cuándo, por qué y la grabación. Mientras tanto, el acceso del personal se rige por el modelo RBAC: mínimo privilegio, autorización ligada a ticket y bitácora completa disponible a petición en esteban@ignia.cloud.

10. Cambios. Los cambios sustanciales se notifican por correo con 30 días de anticipación.