Términos del Servicio

1. Alcance

Esta política forma parte de los Términos del Servicio y se aplica a toda persona que use Agripino, sea titular de la cuenta o persona usuaria invitada a una organización.

La lista es corta a propósito. No pretendemos anticipar toda conducta indebida imaginable, sino describir con claridad lo que no toleramos.

2. Usos prohibidos

No puede utilizar Agripino para:

• Actividades ilícitas. Cualquier finalidad contraria a la legislación costarricense o a la del país donde usted opere, incluida la falsificación de registros sanitarios, de trazabilidad o de planilla.
• Suplantación. Hacerse pasar por otra persona física o jurídica, o declarar falsamente su vínculo con una finca u organización.
• Acceso no autorizado. Intentar acceder a datos de otra organización, eludir los controles de autenticación o de seguridad a nivel de fila, o sondear la infraestructura sin autorización escrita.
• Degradar el servicio. Generar carga automatizada desproporcionada, ejecutar pruebas de estrés sin coordinación previa o interferir con el uso legítimo de otras personas.
• Código dañino. Cargar archivos que contengan programas maliciosos, o utilizar la plataforma para distribuirlos.
• Contenido de terceros sin derecho. Subir material sobre el que no tenga derechos, ni datos personales de terceros que usted no esté legitimado para tratar.
• Reventa no autorizada. Revender, sublicenciar o prestar el servicio a terceros ajenos a su organización sin acuerdo escrito con nosotros.
• Acoso. Utilizar los campos de texto, los nombres de registros o los mensajes de la plataforma para acosar, amenazar o difamar a cualquier persona, incluido nuestro personal de soporte.

3. Datos de su personal

Agripino incluye módulos de planilla y control de jornada. Cuando usted registra datos de sus personas trabajadoras, usted es la responsable del tratamiento y asume las obligaciones de la Ley 8968.

Esto significa, en concreto, que le corresponde a usted:

• Informar a su personal de que sus datos se registran en Agripino, con qué finalidad y quién puede consultarlos.
• Obtener su consentimiento expreso cuando la ley lo exija, de forma independiente del contrato de trabajo.
• Atender las solicitudes de acceso, rectificación y supresión que le presenten sus personas trabajadoras.
• Registrar únicamente los datos necesarios para la gestión laboral, y no datos sensibles que no requiera.

Nosotros actuamos como encargados y le damos las herramientas para cumplir. La relación se rige por el Contrato de Encargado de Tratamiento, que se incorpora a los Términos como anexo.

4. Cuentas y credenciales

• Cada persona usuaria debe tener su propia cuenta. Compartir credenciales entre varias personas impide saber quién hizo qué y compromete la trazabilidad de los registros.
• Usted es responsable de mantener la confidencialidad de su contraseña y de avisarnos de inmediato si sospecha un uso no autorizado.
• Al retirar a una persona de su organización, corresponde a usted desactivar su acceso en la plataforma.

5. Qué hacemos ante un incumplimiento

Preferimos hablar antes que suspender. Salvo que exista riesgo inmediato para otras personas usuarias o para la integridad del servicio, procedemos así:

• Aviso. Le comunicamos por escrito qué conducta consideramos contraria a esta política y le damos un plazo razonable, no menor a 10 días hábiles, para corregirla.
• Suspensión. Si el incumplimiento persiste tras el aviso, podemos suspender la cuenta. La suspensión se limita a lo necesario y se levanta al subsanarse la causa.
• Terminación. Ante un incumplimiento grave y no subsanado, podemos terminar el contrato. En ese caso le reembolsamos la parte proporcional no consumida del ciclo vigente y mantenemos sus datos disponibles para exportación durante 30 días naturales.

La suspensión inmediata y sin aviso previo queda reservada a los casos de actividad ilícita manifiesta, ataque a la infraestructura o riesgo cierto para los datos de terceros. Incluso en esos casos le informamos la razón dentro de las 24 horas siguientes.

6. Cómo reportar un abuso

Si observa un uso de Agripino que contravenga esta política, escríbanos a [email protected] con el detalle que pueda aportar. Revisamos todos los reportes.

1. Compromiso de disponibilidad

Nos comprometemos a mantener Agripino disponible el 99,5 % del tiempo en cada mes natural, medido conforme a la sección 3.

Un 99,5 % mensual admite aproximadamente 3 horas y 39 minutos de indisponibilidad al mes. Preferimos comprometer una cifra que podamos sostener con la infraestructura que hoy tenemos, antes que anunciar un 99,99 % que no estaríamos en condiciones de garantizar.

2. Definiciones

• Indisponibilidad. Período durante el cual la aplicación no responde a solicitudes válidas de inicio de sesión o de lectura de datos, o devuelve errores del servidor de forma sostenida por más de cinco minutos consecutivos.
• Mantenimiento programado. Intervención anunciada con al menos 48 horas de anticipación por correo electrónico, realizada preferentemente entre las 22:00 y las 05:00 hora de Costa Rica.
• Tiempo total del mes. Número de minutos del mes natural correspondiente.

3. Cómo se mide

La disponibilidad mensual se calcula así: se toma el tiempo total del mes, se resta la indisponibilidad registrada y el resultado se divide entre el tiempo total del mes.

No se computan como indisponibilidad:

• El mantenimiento programado, hasta un máximo de 4 horas al mes.
• Las interrupciones causadas por la red de la persona cliente, su proveedor de internet o su equipo.
• Las interrupciones derivadas de un uso contrario a la Política de Uso Aceptable.
• Los eventos de fuerza mayor, entendidos conforme al artículo 830 del Código de Comercio y al artículo 702 del Código Civil.

Si usted no está de acuerdo con nuestra medición, puede aportar sus propios registros y los revisaremos de buena fe.

4. Créditos por incumplimiento

Si en un mes natural no alcanzamos el compromiso, usted tiene derecho a un crédito sobre la mensualidad de ese mes:

Para solicitar el crédito, escriba a [email protected] dentro de los 30 días naturales siguientes al cierre del mes afectado. El crédito se aplica a la siguiente factura o, si el contrato ha terminado, se reembolsa por el mismo medio de pago utilizado.

5. Interrupciones prolongadas

Si el servicio permanece indisponible de forma continua por más de 72 horas, usted puede terminar el contrato de inmediato mediante comunicación escrita, con reembolso proporcional de la parte no consumida del ciclo vigente y sin penalidad alguna.

6. Tiempos de respuesta de soporte

Con independencia de la disponibilidad, nos comprometemos a los siguientes tiempos de primera respuesta en días hábiles de Costa Rica:

El canal de soporte es [email protected]. El canal de reclamos formales, gratuito conforme al artículo 195 del Reglamento a la Ley 7472, es [email protected].

1. Cómo cancelar

Encontrará la opción de cancelación en la configuración de su organización. La cancelación surte efecto al final del ciclo de facturación en curso, de modo que usted conserva el acceso por el tiempo que ya pagó.

Si prefiere hacerlo por escrito, puede escribirnos a [email protected] y lo tramitamos nosotros. No es obligatorio, es simplemente otra vía.

2. Derecho de retracto

Conforme al artículo 40 de la Ley 7472 y al artículo 72 de su Reglamento, usted dispone de ocho días hábiles contados desde el perfeccionamiento del contrato para retractarse, sin necesidad de justificar su decisión y sin penalidad.

El retracto se ejerce por el mismo medio que utilizó para dar su consentimiento, y el reembolso se realiza por el mismo medio de pago.

Ejemplo: si contrata un plan mensual y se retracta al quinto día hábil habiendo usado el servicio cinco días, le reembolsamos la proporción correspondiente a los días restantes del ciclo.

3. Otros reembolsos

Además del retracto, reembolsamos en los siguientes casos:

• Cobro por error. Si le cobramos un monto que no correspondía, lo devolvemos íntegro tan pronto lo verifiquemos.
• Interrupción prolongada. Si el servicio queda indisponible más de 72 horas continuas, puede terminar el contrato con reembolso proporcional, según el Acuerdo de Nivel de Servicio.
• Cambio de sub-encargado objetado. Si objeta razonablemente la incorporación de un nuevo sub-encargado y no podemos ofrecer una alternativa, puede terminar con reembolso proporcional.
• Terminación por nuestra causa. Si somos nosotros quienes terminamos el contrato sin que medie incumplimiento suyo, le reembolsamos la parte proporcional no consumida.

Fuera de estos supuestos, y del retracto, las mensualidades ya consumidas no se reembolsan. Los planes son mes a mes y sin permanencia mínima, de modo que puede cancelar cuando quiera para no ser facturado en el siguiente ciclo.

4. Qué pasa con sus datos

Al cancelar:

• Conserva el acceso hasta el final del ciclo pagado, incluida la posibilidad de exportar toda su información.
• Después de esa fecha, mantenemos sus datos disponibles para exportación durante 30 días naturales adicionales, en modo de solo lectura.
• Transcurrido ese plazo, eliminamos sus datos de los sistemas activos. Los respaldos cifrados los conservan hasta un máximo de 90 días adicionales mientras rotan.

Puede solicitar la eliminación inmediata en cualquier momento escribiendo a [email protected]. La atenderemos en el plazo de 5 días hábiles que fija el artículo 7 de la Ley 8968.

5. Cambios de precio

Si modificamos el precio de su plan, se lo comunicaremos con al menos 30 días naturales de anticipación. El nuevo precio se aplicará únicamente a partir del siguiente ciclo de facturación.

6. Impuestos

Los precios publicados incluyen el Impuesto al Valor Agregado del 13 % aplicable en Costa Rica, y se muestran con su desglose, conforme al artículo 187 del Reglamento a la Ley 7472. Los reembolsos se calculan sobre el monto efectivamente pagado, impuesto incluido.

1. Partes y objeto

Este contrato se celebra entre la persona física o jurídica titular de la cuenta, en adelante la Responsable, y PENDIENTE DE COMPLETAR (razón social registrada), en adelante la Encargada.

Este contrato forma parte integrante de los Términos del Servicio y se incorpora a ellos como anexo, de modo que su contenido se presenta junto con el contrato principal y no por remisión a un documento externo.

2. Definiciones

Datos personales

Cualquier dato relativo a una persona física identificada o identificable, conforme al artículo 3 de la Ley 8968.

Tratamiento

Cualquier operación sobre datos personales: recolección, registro, conservación, consulta, modificación, transferencia o supresión.

Persona titular

La persona física a la que se refieren los datos: una persona trabajadora de la finca, un proveedor, un cliente.

Sub-encargado

Tercero contratado por la Encargada que trata datos personales por cuenta de la Responsable.

3. Alcance del tratamiento

La Encargada trata los siguientes datos por cuenta de la Responsable:

El tratamiento se realiza por medios automatizados, durante la vigencia del contrato de servicio y por los plazos de conservación que se indican en la sección 9.

4. Obligaciones de la Encargada

La Encargada se obliga a:

• Tratar los datos únicamente conforme a instrucciones. No utilizará los datos para fines propios, ni para elaborar perfiles, ni para entrenar modelos, ni para ningún fin distinto de prestar el servicio contratado.
• No vender ni ceder los datos. En ningún caso comercializará, difundirá ni distribuirá los datos a terceros.
• Guardar confidencialidad. El deber de secreto subsiste incluso después de terminada la relación contractual, conforme al artículo 11 de la Ley 8968.
• Aplicar medidas de seguridad. Las descritas en el Resumen de Seguridad, que forma parte de este contrato.
• Asistir a la Responsable. Le facilitará los medios técnicos para atender las solicitudes de acceso, rectificación y supresión que reciba de las personas titulares.
• Notificar incidentes. Comunicará sin demora indebida cualquier violación de seguridad que afecte a los datos tratados por cuenta de la Responsable, con la información necesaria para que esta cumpla sus propias obligaciones.
• Devolver o suprimir. Al terminar la relación, procederá conforme a la sección 9.

5. Obligaciones de la Responsable

La Responsable declara y se obliga a:

• Haber informado a las personas titulares, en los términos del artículo 5.1 de la Ley 8968, sobre la existencia de la base de datos, sus finalidades, quiénes pueden consultarla y cómo ejercer sus derechos.
• Haber obtenido el consentimiento expreso cuando la ley lo exija, de forma independiente de cualquier otro documento, y conservar la prueba de haberlo obtenido.
• Registrar únicamente los datos necesarios para las finalidades declaradas, absteniéndose de introducir datos sensibles que no requiera para la gestión de su finca.
• Atender, en su condición de responsable, las solicitudes que le dirijan las personas titulares dentro del plazo de 5 días hábiles del artículo 7 de la Ley 8968.
• Mantener actualizada la lista de personas usuarias con acceso a su organización y revocar el acceso de quienes cesen.

6. Sub-encargados

La Responsable autoriza de forma general a la Encargada a contratar sub-encargados, con sujeción a las siguientes condiciones:

• La lista vigente se publica en la Lista de Sub-encargados y forma parte de este contrato.
• La Encargada impondrá a cada sub-encargado, por escrito, obligaciones de protección de datos no menos exigentes que las de este contrato.
• Toda incorporación o sustitución se notificará con al menos 10 días hábiles de anticipación.
• La Responsable podrá objetar por escrito dentro de los 30 días naturales siguientes a la notificación.
• Si la objeción es razonable y no existe alternativa viable, la Responsable podrá terminar el contrato sin penalidad, con reembolso proporcional de la parte no consumida.

La Encargada responde frente a la Responsable por los actos y omisiones de sus sub-encargados como si fueran propios.

7. Transferencias internacionales

La base de datos principal permanece alojada en Costa Rica. El almacenamiento de archivos y el enrutamiento de red implican transferencia hacia infraestructura de Cloudflare fuera del territorio nacional.

Conforme al Capítulo III de la Ley 8968, esas transferencias se amparan en el consentimiento informado de las personas titulares, que la Responsable se obliga a recabar, y en compromisos contractuales de confidencialidad y seguridad con el sub-encargado.

8. Verificación

La Responsable puede solicitar, una vez al año y con 30 días naturales de preaviso, información razonable para verificar el cumplimiento de este contrato. La Encargada responderá por escrito y podrá satisfacer la solicitud mediante documentación de sus medidas de seguridad.

Si la Responsable requiere una auditoría presencial, deberá acordarse previamente su alcance, fecha y costo, y no podrá comprometer la confidencialidad de los datos de otras personas clientes.

9. Devolución y supresión

Al terminar el contrato de servicio:

• La Responsable conserva acceso de solo lectura y capacidad de exportación durante 30 días naturales.
• Transcurrido ese plazo, la Encargada suprime los datos de los sistemas activos.
• Los respaldos cifrados conservan copias hasta 90 días naturales adicionales, mientras rotan, sin que sean accesibles para uso ordinario.

La Encargada conserva, con posterioridad a la supresión y con la única finalidad de acreditar el cumplimiento de sus obligaciones legales, el registro de aceptación de los documentos contractuales. Ese registro no contiene datos de finca ni de personal.

10. Responsabilidad

Cada parte responde por el incumplimiento de las obligaciones que este contrato le atribuye.

11. Vigencia y ley aplicable

Este contrato entra en vigor con la aceptación de los Términos del Servicio y permanece vigente mientras la Encargada trate datos por cuenta de la Responsable.

Se rige por la legislación de la República de Costa Rica, en particular la Ley 8968 y su Reglamento, y se somete a la jurisdicción de los tribunales costarricenses.

Para cualquier comunicación relativa a este contrato: [email protected].

1. Propósito de esta lista

Cuando una persona cliente utiliza Agripino, nosotros tratamos datos personales por su cuenta: los de su personal, sus proveedores y sus clientes. En esa relación la persona cliente es la responsable del tratamiento y Agripino es la encargada. Para prestar el servicio nos apoyamos en un número reducido de terceros, que actúan como sub-encargados.

Esta lista forma parte del Contrato de Encargado de Tratamiento y se mantiene actualizada. Cualquier cambio se comunica con al menos 10 días hábiles de anticipación, según se describe en la sección 4.

2. Infraestructura propia

Esto significa que sus datos de finca, sus registros de personal y sus movimientos financieros se almacenan en Costa Rica, en equipo que administramos directamente. No hay un proveedor de nube externo con acceso a esa base de datos.

Utilizamos PostgreSQL con Supabase en modalidad autoalojada. Supabase es software de código abierto que ejecutamos nosotros; la empresa Supabase Inc. no interviene en el tratamiento ni tiene acceso a los datos.

3. Sub-encargados vigentes

Los siguientes terceros participan en el tratamiento. Ninguno está autorizado a utilizar los datos para fines propios.

4. Transferencias internacionales

El almacenamiento de archivos y el tránsito de red implican transferencia de datos fuera de Costa Rica. Conforme al Capítulo III de la Ley 8968, esas transferencias se realizan sobre la base del consentimiento informado de la persona titular y de compromisos contractuales de confidencialidad y seguridad con el sub-encargado.

La base de datos principal, que contiene la mayor parte de la información de finca, personal y finanzas, permanece en Costa Rica y no se transfiere.

5. Cambios en la lista

Antes de incorporar un nuevo sub-encargado:

• Publicamos el cambio en esta página y lo notificamos por correo electrónico a la persona cliente con al menos 10 días hábiles de anticipación.
• La persona cliente dispone de 30 días naturales para objetar el cambio por escrito.
• Si la objeción es razonable y no podemos ofrecer una alternativa, la persona cliente puede terminar el contrato sin penalidad y con reembolso proporcional de la parte no consumida del ciclo vigente.

Para recibir estas notificaciones o para consultar el historial de cambios, escriba a [email protected].

6. Lo que no utilizamos

Para evitar dudas, y porque su ausencia es tan relevante como su presencia, hacemos constar que Agripino no utiliza:

• Herramientas de analítica web o de seguimiento de comportamiento.
• Redes publicitarias ni píxeles de terceros.
• Procesadores de pago con acceso a datos de la plataforma.
• Servicios de mensajería SMS ni de mapas de terceros.
• Servicios de inteligencia artificial de terceros que reciban datos de personas usuarias.

Si alguno de estos elementos se incorpora en el futuro, esta lista se actualizará conforme al procedimiento de la sección 5 antes de su puesta en funcionamiento.

1. Nuestro compromiso

Usted nos confía los datos de su finca: sus animales, su personal, sus costos y sus ingresos. Esa información describe su negocio con bastante precisión, y la tratamos en consecuencia.

2. Dónde viven sus datos

Agripino se ejecuta en infraestructura propia ubicada en Costa Rica. La base de datos, el servicio de autenticación y la aplicación corren en equipo bajo nuestro control directo, no en una nube gestionada por un tercero.

• Sin puertos expuestos. El servidor no acepta conexiones entrantes directas desde internet. Todo el tráfico entra por un túnel de Cloudflare, de modo que la dirección IP de origen no queda expuesta.
• Superficie mínima. La puerta de enlace de la API publica únicamente las rutas de autenticación y de datos que la aplicación necesita. Los servicios de administración, edición de esquema, GraphQL, tiempo real y funciones perimetrales están deshabilitados en el acceso público.
• Consola de administración fuera de internet. La herramienta de administración de la base de datos solo es accesible mediante túnel SSH desde la red interna.

3. Aislamiento entre organizaciones

Agripino es una plataforma multi-inquilino: varias fincas comparten la misma base de datos. La separación no depende del código de la aplicación, sino de la propia base de datos.

• Row Level Security. Todas las tablas tienen políticas de seguridad a nivel de fila que restringen cada consulta a la organización de la persona autenticada. Aunque una consulta de la aplicación estuviera mal escrita, la base de datos no devolvería filas de otra organización.
• Verificación automática. Un disparador de eventos activa Row Level Security en toda tabla nueva en el momento de su creación, de manera que una tabla no puede quedar desprotegida por olvido.
• Roles. Dentro de una organización, los permisos de lectura y escritura se controlan por rol, y las personas usuarias de solo lectura no pueden modificar registros.

4. Cifrado

• En tránsito. Todo el tráfico entre su navegador y Agripino viaja cifrado con TLS. No servimos la aplicación por HTTP sin cifrar.
• En reposo. Los volúmenes que contienen la base de datos y los respaldos están cifrados. Los archivos que usted sube se almacenan cifrados en reposo en el proveedor de almacenamiento de objetos.
• Contraseñas. Las contraseñas nunca se almacenan en texto plano. Se guardan como resúmenes criptográficos con sal, y no podemos recuperarlas ni consultarlas.

5. Acceso del personal

El acceso a los sistemas de producción se limita a las personas que lo necesitan para operar el servicio. En la práctica, y dada la etapa de la empresa, ese grupo es muy reducido.

• El acceso administrativo al servidor se realiza con llaves SSH, no con contraseñas.
• No consultamos los datos de su finca salvo que usted lo solicite expresamente para resolver un problema de soporte, o que sea imprescindible para restaurar el servicio.
• No vendemos, cedemos ni compartimos sus datos con terceros para fines propios de estos. La lista completa de terceros que intervienen está en la Lista de Sub-encargados.

6. Respaldos y continuidad

Realizamos respaldos periódicos de la base de datos y los conservamos cifrados. Los respaldos permiten restaurar el servicio ante una falla de hardware o un borrado accidental.

Si usted elimina su cuenta, sus datos desaparecen de los sistemas activos de inmediato y de los respaldos conforme estos rotan, en un plazo máximo de 90 días.

7. Lo que todavía no tenemos

Preferimos decirlo antes de que usted lo pregunte. A la fecha de este documento no contamos con:

• Certificación SOC 2, ISO 27001 ni equivalente.
• Pruebas de penetración realizadas por un tercero independiente.
• Autenticación de segundo factor para las personas usuarias.
• Registro de auditoría visible para la persona cliente.
• Monitoreo de seguridad 24/7 con guardia activa.

Estas medidas están en nuestro plan de trabajo. Actualizaremos este documento cuando cada una entre en funcionamiento, y no antes.

8. Reporte de vulnerabilidades

Si usted descubre una vulnerabilidad en Agripino, le pedimos que nos la comunique de forma privada a [email protected] antes de divulgarla públicamente.

Nos comprometemos a acusar recibo en 3 días hábiles, a mantenerle informado del avance y a no emprender acciones legales contra quien investigue de buena fe, sin acceder a datos de terceros, sin degradar el servicio y sin extraer información.

9. Incidentes de seguridad

Si ocurre un incidente que afecte la seguridad de sus datos personales, se lo comunicaremos sin demora indebida por correo electrónico, describiendo qué ocurrió, qué datos se vieron afectados, qué hicimos al respecto y qué le recomendamos hacer.