Política de Privacidad

1. Información que recopilamos

• Información de cuenta: nombre, correo electrónico, organización y rol, proporcionados cuando usted o su organización crean una cuenta. Los proveedores mantienen una sola cuenta que puede servir a múltiples relaciones con clientes. Cuando su organización ha configurado inicio de sesión único o aprovisionamiento de directorio, su nombre, correo electrónico, identificador de directorio y estado activo nos los proporciona el propio proveedor de identidad de su organización, por instrucción de su organización, y el directorio de su organización controla cuándo su cuenta se crea, actualiza o desactiva.
• Información de registro: cuando una organización se registra por su cuenta, las respuestas que su representante da a nuestro breve cuestionario de registro (por ejemplo, para qué espera usar el Servicio la organización). Se almacenan con la cuenta de la organización y en nuestro registro del alta (Sección 6).
• Datos de proveedores y documentos: información que una organización cliente carga o solicita sobre sus proveedores, incluidos datos de contacto y documentos de cumplimiento (como certificados de seguro, licencias y formularios fiscales), que pueden contener información personal sobre contactos del proveedor. Los proveedores también pueden describir su negocio con sus propias palabras para que el Servicio sugiera un código de clasificación industrial (NAICS).
• Documentos de renuncia de gravamen (lien waivers): para organizaciones que usan nuestras funciones de contabilidad de construcción, documentos firmados de renuncia de gravamen cargados por la organización. Son documentos legales y normalmente contienen el nombre, cargo y firma del firmante; cuando una renuncia concierne a un subcontratista o suministrador de nivel inferior, puede contener información sobre personas o empresas que no son usuarias del Servicio.
• Registros de pagos y contabilidad: para organizaciones que usan nuestras funciones de contabilidad, los registros que la organización mantiene sobre órdenes de compra, facturas, pagos y montos retenidos ("retención"). Contienen números de referencia de pago que la organización decide registrar (por ejemplo, un número de cheque), nunca credenciales bancarias ni números de tarjeta.
• Facturas y renuncias de gravamen enviadas por proveedores: cuando una organización usa nuestras funciones contables, sus proveedores pueden enviar sus propias facturas contra las órdenes de compra de la organización y cargar sus propias renuncias de gravamen firmadas. Estas pasan a formar parte de los registros de la organización, contienen la misma información del firmante descrita arriba, y el proveedor puede ver el estado de pago de lo que envió.
• Preguntas al asistente: las preguntas que el personal hace al asistente del Servicio ("Ask VendMetric") sobre los registros de su propia organización, y las respuestas dadas, se almacenan en el espacio de trabajo de esa organización.
• Datos de uso: datos de registro, información del dispositivo e interacciones con el Servicio, incluidas métricas operativas por organización que calculamos para mostrar el impacto medido del Servicio. Las métricas mutuas de trabajo — por ejemplo, la rapidez con que cada parte de una relación cliente–proveedor responde a la otra — se calculan a partir de registros existentes y se muestran a ambas partes de esa relación; se agregan por lado de la organización, nunca se calculan sobre una persona identificada.
• Registros de solicitudes de API: cuando una organización usa nuestra API pública, registramos cada solicitud — incluida la dirección IP solicitante, la clave de API utilizada, la ruta accedida y el número de registros devueltos — para monitoreo de seguridad y respuesta a incidentes. Las solicitudes con credenciales inválidas o ausentes se registran de la misma manera. Estos registros se conservan 12 meses (Sección 6).
• Información de facturación: cuando usted o su organización pagan una suscripción o un servicio opcional por uso, nuestro procesador de pagos (actualmente Stripe) recopila y procesa sus datos de pago directamente. Recibimos y almacenamos metadatos limitados de facturación (por ejemplo, su plan y estado de suscripción), pero no su número completo de tarjeta.
• Datos de verificación: cuando se solicita y paga una verificación de entidad comercial o de listas de sanciones, el nombre comercial del proveedor y su estado de registro (para verificaciones de entidad) o nombre comercial y país (para listas de sanciones) se envían al proveedor de verificación correspondiente y el resultado se devuelve a la organización solicitante. Vea la Sección 3.
• Números de identificación fiscal: los documentos de cumplimiento que su organización recopila (en particular el Formulario W-9 del IRS) contienen el número de identificación fiscal (TIN) del proveedor. Un TIN es un EIN para una empresa o, para un propietario único, el número de Seguro Social de esa persona. Cuando se solicita y paga una verificación de TIN, el nombre comercial y el TIN del proveedor se transmiten a un proveedor de verificación externo (vea la Sección 3). También usamos TINs y totales de pago para preparar informes candidatos del Formulario 1099 del IRS para organizaciones que usan nuestras funciones de contabilidad.
• Datos de detección de exclusión federal: cuando una organización registra una contratación como financiada con fondos federales, enviamos el nombre comercial del proveedor a los datos de exclusiones de SAM.gov de la Administración de Servicios Generales de EE. UU. para comprobar si el proveedor está inhabilitado. Esto se ejecuta solo en gasto con fondos federales, nunca en contrataciones comerciales.
• Información del tablero de oportunidades: las organizaciones pueden publicar una oportunidad de contratación en un tablero compartido visible para otros proveedores de VendMetric. Cuando un proveedor expresa interés, su identidad comercial y estado de verificación se divulgan a la organización que publicó. Vea la Sección 5.
• Mensajes: mensajes intercambiados entre una organización y un proveedor a través del Servicio, adjuntos al registro específico (como una solicitud de documento o una licitación) al que se refieren.
• Información de prospectos: si nos contacta a través de nuestro sitio web (por ejemplo, el formulario de demostración) sin convertirse en cliente o proveedor, conservamos su envío (nombre, correo, empresa y mensaje) para dar seguimiento. Si no se desarrolla ninguna relación, cerramos la consulta y eliminamos su envío 12 meses después de cerrarla (Sección 6).
• Comunicaciones: información que proporciona cuando nos contacta, incluso a través del formulario de solicitud de demostración.
• Preguntas del chat del sitio web: nuestro sitio web público ofrece un chat que responde preguntas sobre VendMetric a partir de nuestros materiales publicados. No almacenamos sus preguntas en nuestra base de datos ni las vinculamos a una cuenta. Se escriben en los registros operativos de nuestro proveedor de alojamiento, y la primera pregunta de cada día que el chat no pudo responder se envía por correo a nuestro equipo para mejorar las respuestas. Por favor, no ingrese información personal o confidencial en el chat.

2. Cómo usamos la información

• Para proporcionar, operar y mantener el Servicio.
• Para procesar extracción, clasificación y revisión de anomalías de documentos con IA en nombre de la organización que solicitó el documento, incluidos documentos de garantía que una organización carga para su análisis.
• Para responder preguntas del personal sobre los registros de su propia organización mediante el asistente del Servicio, redactar la narrativa de los resúmenes semanales y de los paquetes de revisión de proveedores a partir de datos que el Servicio ya calculó, y sugerir un código de clasificación industrial a partir de la descripción que un proveedor hace de su negocio (Sección 3).
• Para responder preguntas que los visitantes hacen en nuestro sitio web público y traducir los mensajes de contacto entre inglés y español para nuestro equipo.
• Para escanear cada archivo cargado en busca de malware antes de almacenarlo.
• Para ejecutar la instrucción de un proveedor de reutilizar un documento para otro de sus clientes (vea la Sección 4).
• Para procesar pagos de suscripción y por uso, y facturar servicios opcionales de pago (Sección 3).
• Para realizar verificaciones de entidad comercial o de listas de sanciones que una organización o proveedor haya solicitado y pagado (Sección 3).
• Para crear, actualizar y desactivar cuentas de usuario por instrucción del proveedor de identidad de una organización, cuando la organización ha configurado inicio de sesión único o aprovisionamiento de directorio.
• Para monitorear y asegurar el Servicio, incluido el registro de solicitudes de API (con direcciones IP de origen) para poder detectar, investigar y responder a accesos no autorizados o intentos de acceso.
• Para enviar recordatorios de cumplimiento, resúmenes y notificaciones de cuenta.
• Para prestar los Servicios Gestionados que un cliente haya comprado, dentro del espacio de trabajo de ese cliente y bajo sus instrucciones.
• Para responder consultas y brindar soporte, y dar seguimiento a clientes potenciales que nos contactan.
• Para mejorar y asegurar el Servicio.

No usamos Datos del Cliente para entrenar modelos de IA de propósito general, y nuestros proveedores de IA tienen prohibido contractualmente hacerlo. Los archivos de documentos cargados nunca se usan para entrenar ningún modelo de IA.

Datos desidentificados y agregados. Podemos crear y usar datos derivados de los Datos del Cliente que han sido desidentificados y agregados de modo que ya no identifican, y no pueden razonablemente usarse para identificar, a usted, su organización, sus proveedores o ninguna persona, con el fin de desarrollar, evaluar y mejorar el Servicio. Este trabajo se realiza sobre campos estructurados y desidentificados; los archivos de documentos cargados no se usan para este propósito. No intentamos reidentificar datos desidentificados, no los vendemos y no los divulgamos de ninguna forma que identifique a un cliente o proveedor.

3. Procesamiento de IA, pagos, verificación y detección

• Extracción con IA. Los documentos cargados en VendMetric son procesados por proveedores externos de IA (actualmente Anthropic) para extraer metadatos como fechas de vencimiento y montos de cobertura, y para señalar anomalías para revisión humana. Las categorías de documentos procesadas así incluyen documentos de cumplimiento, documentos de contratos importados y documentos de garantía. Los archivos de documentos cargados se envían al proveedor de IA solo para este fin.
• Asistente de IA, resúmenes y sugerencias. El mismo proveedor de IA también se usa dentro del Servicio para: responder la pregunta de un miembro del personal sobre los registros de su propia organización ("Ask VendMetric"), en cuyo caso recibe la pregunta y los registros que el Servicio recupera del espacio de trabajo de esa organización para responderla, que pueden incluir nombres de proveedores, nombres y correos electrónicos de contactos de proveedores, estado de cumplimiento, fechas de documentos, detalles de compras y actividad reciente de auditoría con los nombres de las personas involucradas; redactar la narrativa de los resúmenes semanales y de los paquetes de revisión de proveedores a partir de datos que el Servicio ya calculó, incluidos nombres de proveedores, nunca los documentos subyacentes; y sugerir un código de clasificación industrial a partir de la breve descripción que el propio proveedor hace de su negocio. El asistente solo puede leer, y solo los datos de la organización que pregunta. En cada caso el resultado es texto orientativo para que una persona lo lea; no modifica registros ni toma decisiones.
• Chat del sitio web y traducción de mensajes. En nuestro sitio web público, el proveedor de IA recibe las preguntas que un visitante escribe en el chat, con los turnos anteriores de esa conversación, y responde solo a partir de nuestros materiales publicados. Cuando alguien nos envía un mensaje mediante el formulario de contacto, el proveedor de IA lo traduce para que nuestro equipo lo reciba en inglés y en español.
• Escaneo de malware. Cada archivo proporcionado por un usuario se transmite a un proveedor de escaneo de malware (actualmente Cloudmersive) y se escanea antes de almacenarse. Los archivos que no pasan el escaneo se rechazan y no se conservan.
• Procesamiento de pagos. Los pagos de suscripción y por uso son procesados por nuestro procesador de pagos (actualmente Stripe), que recopila los datos de pago directamente en su propia página de pago alojada. Nunca recibimos ni almacenamos su número completo de tarjeta.
• Verificación de entidad comercial y listas de sanciones. Cuando una organización o proveedor solicita y paga una verificación, enviamos el nombre comercial y la ubicación del proveedor a un proveedor de verificación (actualmente Cobalt para verificaciones de entidad y OpenSanctions para listas de sanciones) y devolvemos el resultado a la organización solicitante. Estas verificaciones son evidencia para la revisión de una persona; una posible coincidencia nunca se trata como un hallazgo confirmado, y los resultados nunca afectan el Vendor Intelligence Score (VIS™).
• Verificación de TIN. Cuando una organización o proveedor solicita y paga una verificación del número de identificación fiscal de un proveedor contra los registros del IRS, enviamos el nombre comercial y el TIN del proveedor a un proveedor de verificación (actualmente Cobalt). Se devuelve un resultado de "coincide", "no coincide" o "no disponible" a la organización solicitante.
• Detección de exclusión federal. Para contrataciones que una organización marca como financiadas con fondos federales, comprobamos el nombre comercial del proveedor contra los datos de exclusiones de SAM.gov. A diferencia de otras verificaciones de esta Sección, una exclusión confirmada sí bloquea una adjudicación o pago en el Servicio, porque la ley federal prohíbe adjudicar fondos federales a una parte excluida. Un resultado no concluyente o no disponible nunca bloquea nada. Esta verificación está construida pero aún no está conectada a los datos reales de SAM.gov; hasta que lo esté, no se envía ninguna información de proveedores a SAM.gov.
• Análisis de integridad de documentos. Inspeccionamos metadatos técnicos incrustados en archivos cargados (por ejemplo, marcas de tiempo de creación y modificación y software de origen) para señalar posibles indicios de alteración. Son indicadores para revisión humana, nunca conclusiones sobre autenticidad o intención, y ningún indicador se comunica fuera de la organización que posee el documento.
• Controles de cumplimiento y pago configurados por su organización. El Servicio aplica reglas que una organización configura para sí misma: una adjudicación o un pago puede bloquearse cuando falta o venció un documento requerido, o (para organizaciones que lo habilitan) cuando no se ha proporcionado una renuncia de gravamen requerida. Estos controles aplican los requisitos configurados por la propia organización — no son juicios de terceros — y la única vía para superarlos es una excepción documentada registrada por una persona de esa organización, con un motivo declarado, preservada en el registro de auditoría.
• Decisiones humanas. Los resultados de IA y de verificación son consultivos. Una persona de la organización solicitante aprueba o rechaza documentos e interpreta los resultados. La única excepción es una exclusión federal confirmada, descrita arriba; los controles configurados por la organización siempre tienen una vía de excepción humana documentada.

4. Cuentas de proveedor y reutilización de documentos

Los proveedores mantienen una sola cuenta para todos los clientes a los que sirven en VendMetric.

• Dentro de cada relación con un cliente, los documentos de un proveedor son visibles solo para ese proveedor y ese cliente.
• Un proveedor puede indicar al Servicio que reutilice un documento ya proporcionado a un cliente para satisfacer la solicitud de otro. Solo entonces se crea una copia (con sus metadatos extraídos) en el espacio de trabajo del segundo cliente, donde se revisa bajo los requisitos propios de ese cliente. El evento se registra en los registros de auditoría de ambos clientes.
• Los clientes nunca obtienen acceso a los espacios de trabajo o registros de otros clientes, y no compartimos la información de un proveedor entre clientes salvo por indicación del proveedor como se describe aquí.

5. Divulgación de datos

No vendemos información personal. Podemos compartir información con:

• Proveedores de servicios que procesan datos en nuestro nombre (alojamiento, base de datos y almacenamiento, procesamiento de IA, escaneo de malware, entrega de correo, procesamiento de pagos, verificación, monitoreo de errores, analítica web sin cookies y protección contra bots del sitio web), cada uno listado en nuestra página de subprocesadores.
• Otros usuarios dentro de su organización, según los roles configurados por su organización.
• El cliente que solicitó un documento, en el caso de envíos de proveedores; y un segundo cliente del mismo proveedor, solo por indicación del proveedor (Sección 4).
• La otra parte de una relación cliente–proveedor, en el caso de las métricas mutuas de trabajo (Sección 1): las métricas agregadas de tiempo de respuesta de un cliente son visibles para el proveedor de esa relación, y viceversa. Se agregan por lado de la organización y nunca se refieren a una persona identificada.
• Nuestro personal, al actuar dentro del espacio de trabajo de un cliente para prestar Servicios Gestionados comprados o soporte solicitado; ese acceso es visible en la lista de equipo del cliente y queda registrado en su auditoría. El acceso interno para asistencia de configuración se concede a un solo miembro del personal designado para un solo cliente designado a la vez, es revocable y queda registrado — incluido quién lo concedió y cuándo. Nuestro personal de ventas y soporte también puede ver el plan y estado de facturación de la cuenta para atenderla, sin acceso a sus Datos del Cliente.
• Otras organizaciones y proveedores en el tablero compartido de oportunidades, pero solo cuando alguien decidió publicar o responder. El interés de un proveedor divulga su identidad comercial y estado de verificación a la organización que publicó; los listados públicos muestran la oportunidad y la organización que publica, no las identidades de los proveedores que respondieron.
• Sistemas de terceros que su organización autoriza mediante nuestra API pública. El acceso se limita al espacio de trabajo de la organización emisora, las claves caducan y su uso queda registrado. Cuando usted dirige datos a un sistema de terceros de esta manera, los términos y prácticas de privacidad de ese sistema rigen lo que ocurre con ellos.
• Autoridades, cuando la ley lo exija.

6. Retención, exportación y eliminación de datos

Conservamos los datos de cuentas y proveedores mientras la cuenta correspondiente esté activa, y según sea necesario para cumplir obligaciones legales, resolver disputas y hacer cumplir acuerdos.

• Exportación. Las organizaciones pueden generar paquetes de auditoría de proveedores y exportar el historial de auditoría desde el Servicio. Una exportación completa de los registros y documentos de una organización está disponible a solicitud y al terminar el servicio.
• Eliminación. Por solicitud escrita, o dentro de los 30 días posteriores a la terminación de la cuenta, eliminamos los Datos del Cliente de la organización de nuestros sistemas de producción. Las copias de seguridad se purgan en su rotación normal.
• Historial de auditoría. Los eventos de auditoría son de solo anexado por diseño y no pueden editarse. Se conservan durante la vida de la cuenta de la organización — son evidencia que la organización puede necesitar años después — y se eliminan solo cuando los datos de la organización se eliminan en su totalidad.
• Períodos de retención declarados. Además de lo anterior: los registros de solicitudes de API se conservan 12 meses y luego se eliminan automáticamente; los registros de correo saliente, 24 meses; los informes de errores operativos, 90 días; los registros de límite de intentos de inicio de sesión (que almacenan direcciones IP solo en forma de hash), 24 horas; y las consultas de prospectos cerradas, 12 meses después de su cierre.
• Registros de seguridad y eliminación de cuentas. Los registros de solicitudes de API atribuibles a una organización se eliminan con los datos de esa organización. Los registros no atribuibles a ninguna organización — por ejemplo, solicitudes con credenciales inválidas o ausentes — son registros de seguridad sobre la solicitud misma y se conservan según el calendario de 12 meses anterior, independientemente de la eliminación de cualquier cuenta.
• Cuentas de proveedor. Un proveedor puede solicitar el cierre de su cuenta en cualquier momento; los documentos ya proporcionados a un cliente siguen siendo parte de los registros de ese cliente hasta que ese cliente los elimine o al eliminarse la cuenta de ese cliente.
• Nuestro registro de alta. Cuando una organización se registra, conservamos un registro comercial del alta (el nombre y correo electrónico del representante, y un resumen de las respuestas del cuestionario). Es nuestro propio registro comercial y no Datos del Cliente, y no se elimina cuando se eliminan los Datos del Cliente de la organización. Puede pedirnos que lo eliminemos en privacy@vendmetric.com.
• Registros del chat del sitio web. Las preguntas del chat del sitio web se conservan solo en los registros operativos de nuestro proveedor de alojamiento y caducan automáticamente según el calendario de ese proveedor.