Política de Privacidad — Ocara

Última actualización: 13 de octubre de 2026

Ocara ("Ocara", "nosotros") es una plataforma de gestión de trabajo colectivo accesible en https://ocara.app y https://minha.ocara.app ("Plataforma"). Esta Política de Privacidad explica cómo recopilamos, usamos, almacenamos, compartimos y protegemos los datos personales, de conformidad con la Lei Geral de Proteção de Dados Pessoais (Ley General de Protección de Datos Personales de Brasil) — Ley n.º 13.709/2018 ("LGPD").

Al utilizar la Plataforma, usted declara haber leído y comprendido esta Política.

¿Integración con Google Tasks? Consulte la sección 5 (English summary: Google user data).

1. Quiénes somos (Controladora)

La plataforma Ocara es desarrollada y operada por:

Razón social: IDOPTER LABS TECNOLOGIA LTDA
CNPJ: 11.055.433/0001-60
Dirección: Avenida Roberto Camelier, 558, Jurunas, CEP 66033-640, Belém/PA
Canal del Encargado de Protección de Datos (DPO): [email protected]

Las referencias a "Ocara" o "nosotros" en esta Política se refieren a Idopter Labs Tecnologia Ltda.

Respecto de los datos de registro y uso de la Plataforma, Ocara actúa como controladora. Respecto de los contenidos que los clientes incorporan en sus espacios de trabajo (tareas, comentarios, archivos adjuntos), Ocara actúa como operadora, tratando los datos conforme a las instrucciones del cliente, que es el controlador de esos datos.

2. Datos que recopilamos

2.1. Datos proporcionados por usted

Registro: nombre, correo electrónico, contraseña (almacenada de forma cifrada) y, opcionalmente, foto de perfil y cargo.
Cuenta de la organización: nombre de la empresa, CNPJ y datos de facturación.
Pago: datos de cobro procesados por socios de pago; no almacenamos el número completo de la tarjeta.
Contenido: tareas, proyectos, comentarios, archivos y demás información que usted o su organización incorporen en la Plataforma.
Soporte: mensajes e información enviados en las solicitudes de atención.

2.2. Datos recopilados automáticamente

Datos de acceso y uso: dirección IP, fecha y hora de acceso, tipo de navegador, dispositivo, sistema operativo, páginas visitadas y acciones realizadas en la Plataforma. El registro de acceso a aplicaciones se conserva conforme al Marco Civil da Internet (Marco Civil de Internet de Brasil, Ley n.º 12.965/2014).
Cookies y tecnologías similares: utilizamos cookies esenciales (autenticación y seguridad) y, según su configuración, cookies de análisis de rendimiento. Usted puede gestionar las cookies en la configuración de su navegador; las cookies esenciales son necesarias para el funcionamiento de la Plataforma.

2.3. Datos de integraciones con servicios de terceros

Si usted decide conectar su cuenta de Google Tasks o de Todoist a Ocara, también tratamos los datos descritos en la sección 5 (Google) y los equivalentes de Todoist: el token de acceso, el identificador y el correo electrónico de la cuenta conectada y las tareas de la lista elegida. Nada de esto se recopila si usted no conecta una cuenta.

3. Finalidades y bases legales

Finalidad	Base legal (LGPD, art. 7)
Crear y gestionar su cuenta; prestar los servicios contratados	Ejecución de contrato
Procesar pagos y emitir facturas	Ejecución de contrato; cumplimiento de obligación legal
Cumplir obligaciones legales y regulatorias (fiscales, Marco Civil)	Cumplimiento de obligación legal
Garantizar la seguridad, prevenir fraudes y abusos	Interés legítimo
Mejorar la Plataforma y analizar el uso de forma agregada	Interés legítimo
Enviar comunicaciones sobre el servicio (avisos, actualizaciones, seguridad)	Ejecución de contrato
Enviar comunicaciones de marketing	Consentimiento (revocable en cualquier momento)
Atender solicitudes de soporte	Ejecución de contrato
Defensa en procesos judiciales, administrativos o arbitrales	Ejercicio regular de derechos

Cuando el tratamiento se base en el interés legítimo, se realizará únicamente en la medida necesaria y respetando sus expectativas y derechos.

4. Compartición de datos

No vendemos datos personales. Podemos compartir datos con:

Proveedores de infraestructura y servicios (alojamiento en la nube, correo electrónico transaccional, procesamiento de pagos, analítica), obligados contractualmente a proteger los datos y a tratarlos únicamente conforme a nuestras instrucciones;
Miembros de su organización, según los permisos configurados en el espacio de trabajo;
Autoridades públicas, cuando lo exija la ley, una orden judicial o el requerimiento de una autoridad competente;
Operaciones societarias (fusión, adquisición, reorganización), en cuyo caso usted será informado.

4.1. Subencargados del tratamiento

Los principales proveedores que tratan datos en nuestro nombre son:

Fly.io: alojamiento de la aplicación y de la base de datos (Brasil);
Tigris: almacenamiento de archivos y adjuntos;
Resend: envío y recepción de correos electrónicos transaccionales;
Asaas: procesamiento de pagos;
Rollbar: monitoreo de errores;
Google Analytics: análisis de uso, solo si usted consiente las cookies de análisis;
Cloudflare Turnstile: protección contra bots en formularios.

Si el administrador de un workspace configura una credencial de IA (Anthropic, OpenAI o Google Gemini), el contenido de la tarjeta en la que se ejecuta el agente se envía al proveedor elegido, con la credencial del propio workspace. Los datos obtenidos de Google Tasks nunca se envían a esos proveedores.

4.2. Ubicación de los datos y transferencia internacional

La Plataforma está alojada en la infraestructura de Fly.io en servidores ubicados en Brasil, donde se almacenan los datos de la cuenta y el Contenido del Usuario.

Los servicios auxiliares (como el envío de correos electrónicos transaccionales, el procesamiento de pagos o las herramientas de soporte) pueden implicar el procesamiento de datos personales fuera de Brasil. En esos casos puntuales, adoptamos las salvaguardas previstas en los arts. 33 y siguientes de la LGPD, como cláusulas contractuales que aseguran un nivel de protección adecuado.

5. Integración con Google (Google Tasks)

Ocara ofrece, de forma opcional, la sincronización de sus tareas personales con Google Tasks. La conexión solo se produce cuando usted la inicia en Mi área → Integraciones y autoriza el acceso en la pantalla de consentimiento de Google.

Datos de Google a los que accedemos (alcances OAuth solicitados):

https://www.googleapis.com/auth/tasks: leer, crear, editar y eliminar tareas y subtareas de Google Tasks. Los datos a los que efectivamente se accede son: el nombre de sus listas de tareas (para que usted elija cuál sincronizar) y, en la lista elegida, el título, las notas, la fecha de vencimiento, el estado y la jerarquía (subtareas) de cada tarea;
openid y email: identificar la cuenta de Google conectada (identificador único y dirección de correo electrónico), para mostrársela a usted e impedir la conexión duplicada de la misma cuenta.

Cómo usamos estos datos:

exclusivamente para sincronizar sus tareas personales entre Ocara y Google Tasks, en la dirección que usted configure (importar, exportar o ambas), y para mostrarle el estado de la sincronización;
los datos de Google no se usan para publicidad, elaboración de perfiles ni venta a terceros, ni para entrenar modelos de inteligencia artificial o de aprendizaje automático, no se envían a proveedores de IA y no se usan para generar contenido, imágenes u otros medios;
ninguna persona de Ocara lee el contenido de sus tareas de Google, salvo con su consentimiento expreso, por motivos de seguridad, para cumplir la ley o cuando sea necesario para operar la sincronización (soporte solicitado por usted).

Protección de los datos de Google (mecanismos de seguridad):

Cifrado en reposo: los tokens de acceso y de actualización de Google se cifran con AES-256-GCM (cifrado autenticado, con vector de inicialización aleatorio en cada escritura) antes de guardarse en la base de datos. Los tokens nunca se almacenan en texto plano;
Gestión de claves: la clave de cifrado se mantiene fuera de la base de datos, como secreto del entorno de producción, y el sistema no se inicia sin ella. Las claves están versionadas, lo que permite rotarlas sin exponer los datos ya guardados;
Cifrado en tránsito: toda comunicación con Ocara y con las APIs de Google usa TLS, y la Plataforma fuerza HTTPS con HSTS en producción;
Sin exposición en registros: los tokens se marcan como sensibles y se omiten de los registros (logs); el motivo técnico de un fallo de sincronización se registra únicamente de forma interna y nunca se muestra ni se guarda junto con el contenido de sus tareas;
Aislamiento y control de acceso: las tareas importadas permanecen en su área personal, visibles solo para usted y no compartidas con otros miembros de su organización; los tokens solo son leídos por el proceso de sincronización de su propia cuenta y nunca se devuelven a la interfaz, a la API pública ni a integraciones externas;
Mínimo necesario: solicitamos únicamente los alcances indicados arriba y accedemos solo a la lista que usted elija sincronizar;
Almacenamiento en Brasil: los datos se encuentran en una base de datos alojada en servidores en Brasil (sección 4.2), con acceso restringido mediante controles de acceso internos;
Respuesta a incidentes: en caso de un incidente de seguridad que afecte a datos de Google, comunicaremos a los titulares afectados y a la ANPD, conforme a la sección 8, y revocaremos los tokens involucrados.

Compartición: no transferimos ni divulgamos a terceros los datos obtenidos de Google, salvo (i) a proveedores de infraestructura que los tratan en nuestro nombre, conforme a la sección 4, (ii) para cumplir una obligación legal o (iii) como parte de una operación societaria, con aviso previo a usted.

Cómo revocar el acceso y eliminar los datos:

usted puede desconectar la cuenta en cualquier momento en Mi área → Integraciones. Al desconectar, revocamos el token ante Google, borramos los tokens y los vínculos de sincronización y dejamos de acceder a su cuenta; usted también puede elegir eliminar de su área personal las tareas que se importaron de ella (la eliminación definitiva de esas tareas se produce al cerrar la cuenta o previa solicitud al Encargado);
también es posible retirar el acceso directamente en myaccount.google.com/permissions;
para solicitar la eliminación de los datos de Google que conservamos, escriba a [email protected]; respondemos en un plazo máximo de 15 días. Al cerrar la cuenta, los datos de la integración se eliminan conforme a la sección 7.

Google user data: English summary

Purpose: Ocara is a project management platform for software teams. Its optional Google Tasks integration syncs a user's personal tasks between Ocara and Google Tasks. It is only enabled when the user connects their account and grants access on Google's consent screen.
Data accessed: scopes https://www.googleapis.com/auth/tasks, openid and email: the user's task list names, the title, notes, due date, status and subtasks of tasks in the list the user selects, and the Google account's e-mail address and unique ID.
Use: solely to provide the sync feature. We do not use Google user data for advertising, we do not sell it, we do not use it to train AI or machine learning models, we do not send it to AI providers, and our staff do not read it except with the user's explicit consent, for security purposes, or to comply with the law.
Storage: OAuth tokens are stored encrypted in our database, hosted in Brazil, and all traffic uses TLS.
Data protection: OAuth access and refresh tokens are encrypted at rest with AES-256-GCM (authenticated encryption, random IV per write) and are never stored in plaintext. The encryption key is kept outside the database as a production secret, and keys are versioned so they can be rotated. All traffic uses TLS, and HTTPS is enforced with HSTS. Tokens are flagged as sensitive and excluded from logs. Imported tasks are visible only to the user who connected the account, and tokens are never returned to the user interface, the public API or external integrations. We request only the minimum scopes needed, and we will notify affected users and the Brazilian data protection authority (ANPD) of any security incident affecting Google user data.
Revocation and deletion: users can disconnect at any time in Mi área → Integraciones or at myaccount.google.com/permissions, and can request deletion of their data at [email protected] (answered within 15 days).

Ocara's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy , including the Limited Use requirements.

Limited Use. El uso y la transferencia por parte de Ocara, a cualquier otra aplicación, de la información recibida de las APIs de Google se ajustarán a la Política de Datos del Usuario de los Servicios de API de Google (Google API Services User Data Policy), incluidos los requisitos de Uso Limitado (Limited Use).

6. Derechos del titular (art. 18 de la LGPD)

Usted puede solicitar, en cualquier momento:

Confirmación de la existencia de tratamiento;
Acceso a sus datos;
Corrección de datos incompletos, inexactos o desactualizados;
Anonimización, bloqueo o eliminación de datos innecesarios, excesivos o tratados en incumplimiento de la LGPD;
Portabilidad de los datos;
Eliminación de los datos tratados con base en el consentimiento;
Información sobre las comparticiones realizadas;
Información sobre la posibilidad de no otorgar el consentimiento y sus consecuencias;
Revocación del consentimiento;
Revisión de decisiones automatizadas, cuando corresponda.

Para ejercer sus derechos, comuníquese con el Encargado por correo electrónico a [email protected]. Responderemos dentro de los plazos previstos en la legislación. Usted también puede presentar una reclamación ante la Autoridad Nacional de Protección de Datos (ANPD).

7. Retención y eliminación

Conservamos los datos personales solo durante el tiempo necesario para las finalidades de esta Política, observando:

Datos de cuenta y contenido: se conservan mientras la cuenta esté activa. El cierre de la cuenta se realiza previa solicitud al Encargado (sección 11); tras la solicitud, los datos se eliminan o anonimizan en un plazo máximo de 90 días, salvo obligación legal de conservación;
Datos de integraciones (tokens y vínculos de sincronización): se eliminan al desconectar la cuenta o, como máximo, junto con los datos de la cuenta, en un plazo de 90 días tras el cierre;
Registros de acceso: se conservan durante un mínimo de 6 meses (Marco Civil da Internet);
Datos fiscales y de facturación: se conservan durante los plazos exigidos por la legislación tributaria;
Datos necesarios para el ejercicio regular de derechos: se conservan durante los plazos de prescripción aplicables.

8. Seguridad

Adoptamos medidas técnicas y organizativas adecuadas para proteger los datos personales, incluidos el cifrado en tránsito (TLS) y en reposo, el control de acceso, el registro de actividades y las prácticas de desarrollo seguro. Ningún sistema es totalmente inmune a riesgos; en caso de un incidente de seguridad que pueda acarrear un riesgo o daño relevante, comunicaremos a los titulares afectados y a la ANPD, conforme al art. 48 de la LGPD.

9. Datos de menores

La Plataforma está destinada al uso profesional por personas mayores de 18 años. No recopilamos intencionalmente datos de niños y adolescentes. Si identificamos un registro en esas condiciones, la cuenta se cerrará y los datos se eliminarán.

10. Cambios en esta Política

Podemos actualizar esta Política periódicamente. Los cambios relevantes se comunicarán por correo electrónico o mediante un aviso en la Plataforma, con indicación de la fecha de actualización en la parte superior de este documento. El uso continuado de la Plataforma tras los cambios implica el conocimiento de la nueva versión.

11. Contacto

Las dudas sobre esta Política o sobre el tratamiento de datos personales pueden dirigirse al Encargado (DPO):

Correo electrónico: [email protected]
Dirección: Avenida Roberto Camelier, 558, Jurunas, CEP 66033-640, Belém/PA