Política de Privacidad y Tratamiento de Datos Personales — APARTE

Responsable del tratamiento: AIROBO SAS (RUT 220850130015) — nombre comercial APARTE Última actualización: 10 de julio de 2026 · Versión: 0.2 (preliminar) Marco legal: Ley 18.331 (Protección de Datos Personales y Acción de Habeas Data) · Decreto 414/009 · Ley 19.670 y Decreto 64/020 (vulneraciones de seguridad y transferencias) · Ley 18.600 (documento y firma electrónica) Documento complementario: Términos y Condiciones

1. Quiénes somos — Responsable del tratamiento

AIROBO SAS es una Sociedad por Acciones Simplificada (Ley 19.820), titular y responsable de la plataforma de gestión ganadera APARTE (en adelante, "APARTE", "la plataforma", "nosotros"). Es el responsable del tratamiento de los datos personales descritos en esta Política, en los términos del artículo 4 literal K de la Ley 18.331.

Delegado / Responsable de Protección de Datos (DPO): la obligación de designar un Delegado de Protección de Datos no surge de la Ley 18.331, sino del artículo 40 de la Ley 19.670 (Rendición de Cuentas 2018, arts. 37 a 40 — disposiciones autónomas en materia de protección de datos), reglamentado por el Decreto 64/020. Dicha designación es exigible cuando se traten datos sensibles como actividad principal o grandes volúmenes de datos personales. AIROBO SAS no encuadra en ninguno de esos supuestos: no trata datos sensibles en el sentido del art. 4 lit. E de la Ley 18.331 (los datos sanitarios que gestiona la plataforma son de animales, no de personas), y no trata grandes volúmenes de datos personales (su base se limita a datos de contacto y fiscales de una cartera acotada de clientes). En consecuencia, la designación de un DPO no resulta obligatoria. Sin perjuicio de ello, y como buena práctica de responsabilidad proactiva (art. 37 de la Ley 19.670), AIROBO designa como punto de contacto en materia de datos personales la casilla hola@aparte.uy.

Toda consulta, reclamo o ejercicio de derechos sobre datos personales puede dirigirse a hola@aparte.uy (ver §9).

2. Alcance y aclaración clave: qué es y qué NO es dato personal

Esta Política aplica a los datos personales que tratamos con motivo de la contratación y uso de APARTE: los datos de personas físicas (y, en lo pertinente, de personas jurídicas, conforme al alcance particular del art. 2 de la Ley 18.331) que se registran, contratan o son invitadas a operar la plataforma.

⭐ Aclaración conceptual central para APARTE: los datos de los animales NO son datos personales. Las caravanas (identificación RFID/SNIG), pesos, categorías, tratamientos sanitarios, movimientos de tropa, potreros, coordenadas de predios y demás información productiva refieren a semovientes y al establecimiento, no a personas físicas identificadas o identificables. Por eso quedan fuera del régimen de la Ley 18.331. Lo que SÍ es dato personal —y por eso se rige por esta Política— son los datos de las personas: nombre, documento, correo, teléfono y el RUT/DICOSE en la medida en que identifique a una persona física.

3. Qué datos recolectamos y con qué finalidad

Tratamos únicamente los datos necesarios para prestar el servicio, facturarlo y cumplir nuestras obligaciones legales. No recolectamos datos sensibles en el sentido del art. 4 lit. E y art. 18 de la Ley 18.331 (salud humana, origen racial, opiniones políticas, convicciones religiosas, vida sexual). Los datos sanitarios que gestiona la plataforma son de animales, no de personas.

Datos de animales y del establecimiento (caravana, peso, sanidad, potreros, movimientos, NDVI): se procesan como contenido del servicio pero no constituyen datos personales y no integran las bases inscriptas ante la URCDP a esos efectos.

Perfilado / decisiones automatizadas: APARTE no adopta decisiones automatizadas con efectos jurídicos sobre las personas. Las funcionalidades de apoyo (indicadores, recomendaciones de manejo, importación asistida de planillas) operan sobre datos productivos del establecimiento y del animal —no sobre datos personales— y tienen carácter orientativo, sujetas a la validación del usuario y de sus asesores.

4. Base de legitimación del tratamiento

En el régimen de la Ley 18.331, el consentimiento del titular es la regla (art. 9), pero la propia ley prevé excepciones que eximen de recabarlo. La más relevante para APARTE es el art. 9 literal C, que exceptúa del consentimiento a los datos que deriven de una relación contractual del titular y resulten necesarios para su desarrollo o cumplimiento. Por eso esta Política no funda todo en el consentimiento, sino que asigna a cada tratamiento su base propia:

El consentimiento que se recaba al aceptar los Términos y Condiciones y esta Política durante el registro/onboarding —con validez conforme a la Ley 18.600 (documento y firma electrónica)— queda reservado para lo que efectivamente lo requiere (marketing y uso de datos agregados), y no como paraguas único que pudiera comprometer los datos núcleo necesarios para el contrato y para la retención fiscal.

Cuando el cliente titular invita a otros usuarios (capataces, veterinarios, contadores) a operar su cuenta, se obliga contractualmente a contar con el consentimiento de esas personas para que sus datos de contacto sean cargados en la plataforma.

5. Destinatarios y encargados del tratamiento

No vendemos ni cedemos a título oneroso los datos personales. Solo los comunicamos a encargados de tratamiento (terceros que tratan datos por cuenta y bajo instrucciones de AIROBO, con contrato de encargo / Data Processing Agreement) y a organismos públicos cuando la ley lo exige.

Adicionalmente, APARTE puede recurrir a proveedores para el procesamiento puntual de documentos aportados por el cliente (importación asistida de planillas) y para el monitoreo de errores de la plataforma, con tratamiento en Estados Unidos y sujetos a las mismas garantías de encargo descritas en esta sección y en §6.

Cada encargado está o estará vinculado por un contrato de encargo de tratamiento con cláusulas de confidencialidad, seguridad y limitación de finalidad, conforme al art. 25 de la Ley 18.331.

6. ⚠️ Transferencia internacional de datos

El alojamiento de APARTE está en AWS región sa-east-1 (São Paulo, Brasil). Esto implica una transferencia internacional de datos personales hacia Brasil, y —según los encargados activos— hacia Estados Unidos (email transaccional y, en su caso, monitoreo de errores y procesamiento de documentos).

La transferencia no se apoya en una "adecuación" del país de destino: la adecuación no es autoevidente por la mera existencia de una ley extranjera de protección de datos, sino una determinación que en Uruguay sigue los criterios de la URCDP, y Brasil no cuenta con declaración de adecuación de la URCDP. Por eso APARTE legitima sus transferencias en el régimen reformado por la Ley 19.670 (art. 38) y el Decreto 64/020, que admite la transferencia internacional cuando el responsable ofrece garantías adecuadas (cláusulas contractuales tipo, acuerdos de tratamiento con cláusulas de protección de datos, o normas corporativas vinculantes). Concretamente:

• Base primaria — necesidad contractual + garantías adecuadas. El hosting (AWS) y el envío de correos transaccionales (SendGrid) son imprescindibles para prestar el servicio contratado por el titular; sin ellos la plataforma no puede funcionar. Esa transferencia se ampara, además, en las garantías adecuadas aportadas por los Data Processing Agreements (DPA) con cláusulas contractuales de protección de datos suscriptos con cada proveedor, conforme al art. 38 de la Ley 19.670 y al Decreto 64/020. Este fundamento aplica tanto a Brasil (AWS, región sa-east-1) como a Estados Unidos (SendGrid y, en su caso, los encargados de monitoreo de errores y procesamiento de documentos).
• Consentimiento — refuerzo, no base autónoma. El consentimiento informado que el titular presta al aceptar esta Política opera como respaldo adicional, y no como base única revocable: dado que la transferencia es imprescindible para el servicio, su legitimación descansa en la necesidad contractual y en las garantías adecuadas, de modo que el eventual retiro del consentimiento no obliga por sí solo a cesar el alojamiento de los datos mientras subsista la relación contractual.

Al aceptar esta Política, el titular queda informado de que sus datos serán tratados en los países indicados, con las garantías descritas.

7. Plazos de conservación

Conservamos los datos personales solo por el tiempo necesario para las finalidades declaradas y para cumplir obligaciones legales. Vencidos los plazos, los datos se anonimizan o se eliminan de forma definitiva.

Los datos productivos del establecimiento (no personales) se conservan mientras el tenant esté activo, según los Términos y Condiciones del servicio.

8. Uso de datos agregados y anonimizados

⭐ APARTE se reserva el derecho de tratar datos AGREGADOS y ANONIMIZADOS —esto es, información estadística que NO identifica ni permite reidentificar a ningún productor, establecimiento ni persona individual— con las siguientes finalidades:

• Generar benchmarks e indicadores sectoriales (por ejemplo, valores de referencia de producción, sanidad o manejo a nivel de zona o de rubro).
• Mejorar el producto y sus funcionalidades.
• Desarrollar modelos analíticos y de inteligencia que aporten valor al conjunto de usuarios y al sector.

El procedimiento de disociación —definido en el art. 4 literal G de la Ley 18.331 como todo tratamiento que impide vincular la información obtenida a una persona determinada o determinable— se aplica de modo que el resultado deja de ser dato personal. Ahora bien, la anonimización solo produce ese efecto si es efectivamente irreversible; en un entorno multi-tenant, un benchmark por zona o rubro con muy pocos establecimientos en una celda podría permitir la reidentificación (en cuyo caso no habría disociación sino seudonimización, y el dato seguiría amparado por la Ley 18.331). Para evitarlo, AIROBO se compromete a las siguientes salvaguardas contra la reidentificación:

• Umbral mínimo de agregación (k-anonimato): no se publica ni comparte ningún benchmark de una celda (combinación de zona, rubro, período u otra dimensión) que agrupe menos de cinco (5) establecimientos.
• Supresión de valores atípicos (outliers) que, por su singularidad, pudieran identificar a un establecimiento concreto.
• Prohibición de difundir cualquier dato individualizable: nunca se publica ni comercializa información que permita identificar a un productor, establecimiento o persona.

Debe entenderse que el proceso de disociación es, en sí mismo, un tratamiento de datos personales amparado en el consentimiento informado prestado en esta Política (ver §4); únicamente el resultado agregado y anonimizado queda fuera del régimen de la Ley 18.331. El consentimiento se mantiene, además, como respaldo frente a cualquier riesgo residual de reidentificación. Sujeto a esas garantías, la información agregada resultante puede ser utilizada, publicada o compartida por AIROBO sin afectar los derechos de los titulares, precisamente por su carácter anonimizado.

Este uso es transparente para el usuario y constituye una base del funcionamiento y la mejora continua de la plataforma.

9. Derechos de los titulares (ARCO) y cómo ejercerlos

Esta Política satisface, además, el deber de información al momento de la recolección que impone el art. 13 de la Ley 18.331: informa al titular quién es el responsable, qué datos se tratan, con qué finalidad, a quién se comunican y cómo ejercer sus derechos.

Todo titular puede ejercer ante AIROBO SAS los derechos de:

Cómo ejercerlos:

1. Autoservicio en la plataforma: los usuarios registrados disponen de funciones para exportar sus datos (acceso), corregir datos personales (rectificación), dar de baja la cuenta con anonimización (supresión) y darse de baja de comunicaciones (opt-out).
2. Por correo electrónico a hola@aparte.uy, acreditando su identidad (verificación de la titularidad de la cuenta/correo registrado).
3. Por escrito al domicilio del responsable indicado en §1.

El derecho de acceso se ejerce en forma gratuita; conforme al art. 14, puede reiterarse a intervalos no inferiores a seis meses, salvo que se acredite un interés legítimo. Responderemos dentro de los plazos legales: acceso, 5 días hábiles (art. 14); rectificación y supresión, 5 días hábiles (art. 15).

Derecho a reclamar ante la autoridad de control: con independencia de lo anterior, el titular puede presentar denuncias o reclamos ante la URCDP (Unidad Reguladora y de Control de Datos Personales), órgano de control de la Ley 18.331 dentro de AGESIC.

10. Medidas de seguridad

Aplicamos medidas técnicas y organizativas para proteger la integridad, confidencialidad y disponibilidad de los datos (art. 10, Ley 18.331):

• Cifrado en tránsito mediante TLS/HTTPS obligatorio en todos los accesos.
• Cifrado en reposo de los datos sensibles del sistema, con esquema de claves por cliente (DEK/KEK) y gestión de claves en producción.
• Envelope encryption de los certificados digitales (X.509) usados para la firma de comprobantes fiscales, con las claves protegidas en un almacén cifrado (vault).
• Aislamiento multi-tenant estricto: la arquitectura separa lógicamente los datos de cada cliente (1 RUT = 1 tenant = 1 suscripción), con verificación de pertenencia en cada operación.
• Contraseñas almacenadas con funciones de hashing robustas; autenticación por tokens firmados de vida corta y control de acceso basado en roles.
• Registro de auditoría de las operaciones de modificación y de los accesos a datos sensibles (IP, usuario, marca temporal).
• Respaldos cifrados y monitoreo de errores y alertas.

Nivel de seguridad autoevaluado: ALTO (según política interna).

11. Notificación de vulneraciones de seguridad (art. 39 Ley 19.670 y Decreto 64/020)

La obligación de comunicar las vulneraciones de seguridad tiene su fuente legal en el art. 39 de la Ley 19.670 (Rendición de Cuentas 2018) y su reglamentación en el Decreto 64/020. Ante una vulneración de seguridad que afecte de manera significativa datos personales, AIROBO SAS:

1. Notificará a la URCDP dentro de las 72 horas de tomado conocimiento del incidente, describiendo su naturaleza, los datos afectados, las medidas adoptadas y las de mitigación previstas.
2. Notificará a los titulares afectados, sin dilación, cuando la vulneración pueda afectar significativamente sus derechos. La comunicación al titular incluirá, como mínimo y conforme al Decreto 64/020: la naturaleza del incidente, las categorías de datos afectados, las medidas adoptadas y recomendadas, y un punto de contacto para obtener más información.
3. Mantendrá un registro interno de los incidentes de seguridad, con el contenido exigido por el Decreto 64/020.

12. Cookies y analítica web

El sitio y la aplicación utilizan cookies y herramientas de analítica —en particular Google Analytics 4 (GA4)— para medir el uso, mejorar la experiencia y analizar el rendimiento de las páginas y campañas.

• Se utilizan cookies estrictamente necesarias para el funcionamiento y la autenticación, y cookies analíticas para métricas de uso.
• El usuario puede configurar su navegador para rechazar cookies no esenciales; algunas funciones podrían verse afectadas.
• Al ingresar al sitio, el usuario podrá aceptar o rechazar las cookies analíticas y de terceros mediante el aviso de cookies correspondiente.

13. Registro de la base de datos ante la URCDP

La Ley 18.331 y el Decreto 414/009 obligan a inscribir las bases de datos personales en el Registro de la URCDP. AIROBO SAS tiene este trámite en trámite / en preparación (ver borrador interno de inscripción). Una vez obtenida la resolución, se consignará aquí el N.º de registro correspondiente.

• Estado: En trámite ante la URCDP. El número de registro se publicará en esta Política una vez emitida la resolución de inscripción.

14. Cambios en esta Política

Podemos actualizar esta Política para reflejar cambios legales, técnicos u operativos. La versión vigente se publica en el sitio con su fecha de actualización. Los cambios sustanciales se comunicarán a los usuarios por los canales habituales. El uso continuado de la plataforma tras la publicación de una nueva versión implica la aceptación de los cambios, sin perjuicio de los derechos del titular.

15. Legislación aplicable y jurisdicción

Esta Política se rige por la ley uruguaya, en particular la Ley 18.331, el Decreto 414/009 y el Decreto 64/020. Para toda controversia derivada de esta Política que no pueda resolverse de común acuerdo, las partes se someten a la jurisdicción de los tribunales ordinarios de Montevideo, Uruguay (se descarta la vía arbitral). Esta cláusula se fija en coherencia con la cláusula equivalente de los Términos y Condiciones de APARTE, de modo que ambos documentos consignen la misma ley aplicable y la misma jurisdicción.

Salvedades. La sumisión a los tribunales de Montevideo se entiende sin perjuicio de: (i) el derecho del titular a presentar denuncias o reclamos ante la URCDP, como autoridad de control de la Ley 18.331 (ver §9), por la vía administrativa que le es propia; y (ii) los foros y derechos que la normativa de defensa del consumidor (Ley 17.250) reserve de modo irrenunciable a quienes revistan la condición de consumidores, a quienes esta cláusula de jurisdicción no les es oponible.

16. Contacto

Para cualquier consulta sobre esta Política o sobre el tratamiento de sus datos personales:

• Responsable: AIROBO SAS — RUT 220850130015
• Correo: hola@aparte.uy
• Domicilio: San Luis S/N, manzana 262, solar 6, El Pinar, Canelones, Uruguay

APARTE es un servicio de AIROBO SAS (RUT 220850130015), Uruguay. Versión 0.2 — 10 de julio de 2026. Documento preliminar sujeto a revisión; su versión definitiva regirá desde su publicación.