Versão em português (prevalece)
Política de Privacidad — Crisarium
Versión 1.3 · vigente desde el 5 de octubre de 2026
Esta política explica cómo Segurança em Jogo LTDA trata los datos personales en Crisarium, el simulador de crisis cibernética para líderes. Se aplica al sitio, a la simulación gratuita, al certificado y, cuando estén disponibles, a los planes de pago. Los fragmentos marcados como (planes de pago) entran en vigor cuando esas funciones se lancen.
1. Quiénes somos y cómo contactarnos
Crisarium es una marca de Segurança em Jogo LTDA, que es la empresa responsable del tratamiento de sus datos.
| Ítem | Información |
|---|---|
| Razón social | Segurança em Jogo LTDA |
| CNPJ (registro fiscal brasileño) | 58.907.118/0001-88 |
| Dirección | Rua Paes Leme, 215, Conj. 1713, Pinheiros, São Paulo - SP, Brasil, CEP 05424-150 |
| Marca del producto | Crisarium — crisarium.com |
| Encargado del tratamiento de datos (DPO) | Paulo R. Barbosa |
| Canal de privacidad | privacidade@segurancaemjogo.com.br |
El canal de privacidad recibe las solicitudes de los titulares, las dudas sobre esta política y las comunicaciones de autoridades. Lo atiende el encargado.
2. A quién se aplica esta política
Somos responsables de los datos de quien visita el sitio, realiza la simulación gratuita, recibe el certificado, contrata un plan o administra la cuenta de una organización. En esas situaciones, nosotros decidimos cómo y por qué se tratan los datos, y esta política lo describe.
(planes de pago) Cuando una organización contrata Crisarium e invita a sus ejecutivos a un ejercicio, la organización es la responsable y nosotros actuamos como encargados, tratando los datos en su nombre y según sus instrucciones. Esto vale para:
- la lista de participantes (nombre, correo electrónico y rol);
- las decisiones, justificaciones y tiempos de respuesta de los participantes;
- los informes individuales y grupales;
- el plan de gestión de crisis enviado para medir la adherencia;
- los datos de calibración financiera informados por la organización.
En ese caso, las reglas de tratamiento están en el Acuerdo de Procesamiento de Datos celebrado con la organización, publicado en crisarium.com/acordo-de-dados. Antes de la primera ronda, cada participante ve una pantalla que informa qué se registra, quién tendrá acceso y por cuánto tiempo. Las solicitudes sobre esos datos deben dirigirse preferentemente a la organización que hizo la invitación. Si llegan a nosotros, las remitiremos a ella y apoyaremos la respuesta.
3. Qué datos tratamos, para qué y con qué base legal
Recopilamos solo lo necesario para cada actividad. No tratamos datos personales sensibles y no pedimos documentos de identidad.
| Actividad | Datos | Finalidad | Base legal — LGPD | Base legal — GDPR |
|---|---|---|---|---|
| Realizar la simulación gratuita | Rol elegido, decisiones, tiempos de respuesta, idioma, identificador técnico de la simulación | Ejecutar la simulación y calcular el resultado | Ejecución de contrato (art. 7, V) | Art. 6(1)(b) |
| Registro en la pantalla de resultado | Nombre, cargo, empresa y correo electrónico | Entregar el resultado, emitir el certificado y crear su cuenta | Ejecución de contrato (art. 7, V) | Art. 6(1)(b) |
| Contacto comercial | Nombre, cargo, empresa y correo electrónico | Presentar los planes de pago a profesionales que completaron la simulación | Interés legítimo (art. 7, IX, y art. 10) | Solo con consentimiento — art. 6(1)(a) |
| Novedades por correo | Correo electrónico | Enviar contenido y novedades de Crisarium | Consentimiento (art. 7, I), opcional y revocable | Art. 6(1)(a) |
| Cuenta del jugador | Correo electrónico, historial de simulaciones y certificados | Dar acceso por enlace enviado a su correo, sin contraseña | Ejecución de contrato (art. 7, V) | Art. 6(1)(b) |
| (planes de pago) Cuenta del administrador | Nombre, correo, organización, credenciales y segundo factor | Gestionar la cuenta, las licencias y las sesiones | Ejecución de contrato (art. 7, V) | Art. 6(1)(b) |
| (planes de pago) Pago y facturación | Razón social, número fiscal, dirección de facturación, contacto financiero | Cobrar, emitir factura y cumplir obligaciones tributarias | Ejecución de contrato y obligación legal (art. 7, II y V) | Art. 6(1)(b) y (c) |
| Seguridad y prevención de abuso | Dirección IP convertida en código irreversible, registros de acceso, código irreversible del correo | Limitar intentos, impedir robots, garantizar una simulación gratuita por correo y proteger la plataforma | Interés legítimo (art. 7, IX) y obligación legal (Marco Civil de Internet de Brasil, art. 15) | Art. 6(1)(f) y (c) |
| Atención y solicitudes de titulares | Datos de la solicitud y de la comunicación | Responderle y cumplir la ley | Obligación legal y ejercicio regular de derechos (art. 7, II y VI) | Art. 6(1)(c) y (f) |
| Mejora del producto | Datos agregados de uso, como la tasa de finalización por ronda | Entender dónde puede mejorar la simulación | Interés legítimo (art. 7, IX) | Art. 6(1)(f) |
Registro y contacto comercial. El registro es necesario para entregar el resultado y el certificado. No es un consentimiento para recibir publicidad. Usted puede oponerse al contacto comercial en cualquier momento, por el enlace para darse de baja o por el canal de privacidad. A las personas en la Unión Europea solo les enviamos contacto comercial por correo con consentimiento previo.
Normativa de gestión de crisis (planes de pago). El documento enviado por la organización se usa solo para extraer las reglas que miden la adherencia. Después de que el administrador valida esas reglas, el archivo original se descarta y queda solo la estructura validada: quién actúa, qué debe hacer, cuándo y en qué orden.
4. Certificado y página pública de verificación
El certificado de participación tiene un código de verificación. Cualquier persona con ese código accede a una página pública que muestra solo el nombre, la empresa, el escenario, el rol y la fecha. El cargo, el correo y el resultado nunca aparecen en esa página, y el certificado no contiene puntaje.
- El nombre y la empresa son los que usted informó en el registro, y el certificado lo indica.
- La página de verificación no es indexada por los buscadores.
- Usted puede pedir que se despublique en cualquier momento por el canal de privacidad. La página deja de existir y el código pasa a indicar "no encontrado".
Publicación en LinkedIn. Si usa el botón de publicación, LinkedIn recibe el enlace de la página de verificación y arma la vista previa a partir de ella. Lo que pase después con su publicación sigue la política de privacidad de LinkedIn, que actúa como responsable independiente.
5. Inteligencia artificial, puntuación y decisiones automatizadas
La IA narra, pero no evalúa. Los personajes que responden por los roles no ocupados por personas son inteligencia artificial, y eso se indica en pantalla. La IA escribe diálogos y elige entre las opciones disponibles en esos roles. No asigna puntos a nadie.
La puntuación es determinística. Cada decisión mueve cuatro medidores (financiero, regulatorio y legal, reputacional y operativo) según una matriz fija, definida antes de la simulación e igual para todos. El mismo camino produce siempre el mismo resultado.
Lo que muestra el resultado.
- Simulación gratuita: hasta tres puntos fuertes y el cumplimiento de los plazos de respuesta. No se muestra ninguna nota ni posición.
- (planes de pago) Informe individual: cuánto alcanzó la persona del mejor resultado posible en su propio rol, considerando las decisiones disponibles en cada momento. Una decisión se evalúa por lo que se sabía en ese momento, nunca por lo que se descubrió después.
- (planes de pago) Informe grupal: el resultado de la organización en cuatro dimensiones separadas, divergencias entre áreas, tiempos de respuesta y ausencias.
Sus derechos sobre ese resultado. El informe individual es un perfil profesional calculado de forma automatizada. Usted puede pedir información clara sobre los criterios usados y la revisión del resultado (LGPD, art. 20; GDPR, arts. 15 y 22). Le explicaremos la lógica y los factores que pesaron en sus decisiones. Los valores exactos de la matriz son secreto comercial y no se divulgan, como lo permite la propia LGPD (art. 20, §1).
Uso del informe por la organización (planes de pago). Crisarium es un instrumento de capacitación y de prueba del plan de crisis. Los Términos de Uso prohíben que la organización use el informe como base exclusiva para decisiones de contratación, promoción, remuneración o desvinculación.
Extracción de reglas de la normativa (planes de pago). Un modelo de lenguaje lee el documento enviado y propone reglas. Ninguna regla se usa sin revisión y validación del administrador de la organización.
Entrenamiento de modelos. Ningún dato suyo ni de su organización se usa para entrenar modelos de inteligencia artificial, nuestros o de terceros.
6. Con quién compartimos
No vendemos datos personales. Compartimos solo con proveedores que hacen posible el servicio, bajo contrato y con obligaciones de protección de datos, y solo lo necesario para cada función.
| Proveedor | País de la empresa | Función | Dónde quedan los datos |
|---|---|---|---|
| Supabase Inc. | EE. UU. | Base de datos y autenticación | São Paulo, Brasil |
| Vercel Inc. | EE. UU. | Alojamiento y entrega de la aplicación | Procesamiento en São Paulo; red de entrega global |
| Anthropic PBC | EE. UU. | IA de los personajes y (planes de pago) extracción de reglas de la normativa | EE. UU. — sin uso para entrenamiento |
| Hostinger International Ltd. | Chipre (Unión Europea) | Correo corporativo, canal de privacidad y envío de enlaces de acceso, invitaciones y avisos | Brasil |
| Contabilizei | Brasil | (planes de pago) Contabilidad, emisión de facturas y cobro por boleto y Pix (Cobre PJ) | Brasil |
| Stripe Brasil Soluções de Pagamento – Instituição de Pagamento Ltda. | Brasil | (planes de pago) Pago con tarjeta de clientes en el exterior | Brasil y EE. UU. |
(planes de pago) No tendremos acceso a los datos de su tarjeta.
La lista de proveedores se mantiene actualizada en esta política. Avisaremos a los clientes de los planes de pago antes de incluir un nuevo proveedor que trate sus datos.
También podemos compartir datos cuando la ley lo exija, por orden judicial o solicitud de autoridad competente, o para defender derechos en un proceso judicial, administrativo o arbitral. En caso de venta o reorganización de la empresa, los datos pueden transferirse al sucesor, que seguirá obligado por esta política.
7. Transferencia internacional
La base de datos de Crisarium está en Brasil, en São Paulo. Algunos proveedores de la lista son empresas extranjeras y pueden tratar datos fuera de Brasil, principalmente en Estados Unidos.
- De Brasil a otros países: para los países de la Unión Europea, nos apoyamos en la decisión de adecuación de la ANPD (Resolución CD/ANPD nº 32/2026); para los demás, como Estados Unidos, usamos las cláusulas contractuales estándar aprobadas por la ANPD (Resolución CD/ANPD nº 19/2024) u otro mecanismo previsto en el art. 33 de la LGPD.
- De la Unión Europea a Brasil: Brasil cuenta con decisión de adecuación de la Comisión Europea, y la ANPD reconoció recíprocamente a la Unión Europea (Resolución CD/ANPD nº 32/2026). Los datos de personas en la UE almacenados en Brasil cuentan con ese reconocimiento.
- (planes de pago) Las organizaciones que exijan almacenamiento en la Unión Europea pueden solicitar esa opción en el plan anual, cuando esté disponible.
Usted puede pedir, por el canal de privacidad, información sobre el mecanismo usado en cada transferencia.
8. Por cuánto tiempo guardamos los datos
Guardamos cada dato solo durante el tiempo necesario para la finalidad o el exigido por ley. Después, el dato se elimina o se anonimiza.
| Dato | Plazo |
|---|---|
| Registro, simulaciones gratuitas, cuenta del jugador y certificado | 24 meses después de la última actividad, o antes, a su pedido |
| Contacto comercial | Hasta que usted se oponga, con el límite de 24 meses sin actividad |
| Novedades por correo | Hasta que usted revoque el consentimiento |
| Registros de acceso a la aplicación | 6 meses (Marco Civil de Internet de Brasil, art. 15) |
| IP convertida en código irreversible, para limitar intentos | 24 horas |
| Código irreversible del correo, para la regla de una simulación gratuita por correo | 24 meses después de la simulación |
| (planes de pago) Normativa de gestión de crisis, archivo original | Se descarta después de que el administrador valida las reglas |
| (planes de pago) Datos de sesión: participantes, decisiones, informes, reglas validadas | Según lo defina la organización; por defecto, 12 meses después del fin del contrato |
| (planes de pago) Datos de facturación y facturas | 5 años, por la legislación tributaria |
| Copias de seguridad | Hasta 90 días, cifradas; las eliminaciones hechas en la base se reflejan cuando la copia vence |
Al pedir la eliminación, conservamos solo el código irreversible de su correo, para impedir que se repita la simulación gratuita, y lo que la ley obliga a guardar.
9. Cómo protegemos los datos
Adoptamos medidas técnicas y administrativas proporcionales al riesgo de cada dato. Las principales son:
- Acceso sin contraseña para jugadores y participantes: enlace de un solo uso, con validez corta, enviado a su correo.
- Segundo factor obligatorio para los administradores y para el acceso interno del equipo.
- Aislamiento entre organizaciones en la propia base de datos, con una prueba automatizada que intenta leer datos de otra organización en cada cambio.
- Nuestro acceso interno no alcanza el contenido de los clientes: las normativas y las respuestas individuales solo se consultan a pedido formal de la organización, con registro.
- Minimización: la normativa original se descarta después de la validación; las IP se guardan solo como código irreversible.
- Archivos enviados: aceptamos solo formatos de texto, verificados por su contenido. El archivo nunca se ejecuta ni lo abren personas: se convierte en texto y se descarta enseguida, sin guardarse ni quedar disponible para descarga.
- Registros de auditoría de los accesos administrativos, las exportaciones y las eliminaciones.
- Plan de respuesta a incidentes propio y ejercitado. Si un incidente puede generar riesgo o daño relevante, se lo comunicaremos a usted y a las autoridades competentes en los plazos legales.
Los investigadores de seguridad pueden informar vulnerabilidades por el canal indicado en crisarium.com/.well-known/security.txt.
10. Sus derechos
Usted puede, en cualquier momento y sin costo:
- confirmar si tratamos sus datos y acceder a ellos;
- corregir datos incompletos, inexactos o desactualizados;
- pedir la anonimización, el bloqueo o la eliminación de datos innecesarios o tratados en desacuerdo con la ley;
- recibir sus datos en formato estructurado (portabilidad);
- eliminar su cuenta y sus datos, respetando los plazos legales de la sección 8;
- saber con quién compartimos sus datos;
- revocar el consentimiento dado para las novedades por correo;
- oponerse al tratamiento basado en interés legítimo, incluido el contacto comercial;
- pedir la revisión y la explicación de un resultado calculado de forma automatizada (sección 5);
- presentar una reclamación ante la Autoridad Nacional de Protección de Datos de Brasil (ANPD) o, si usted está en la Unión Europea, ante la autoridad de protección de datos de su país.
Cómo pedirlo. Envíe un correo a privacidade@segurancaemjogo.com.br desde la dirección registrada. Si la solicitud llega desde otra dirección, podemos pedirle una confirmación simple de identidad. La eliminación de la cuenta también estará disponible en el área del jugador.
Plazo de respuesta. Respondemos en hasta 15 días. Para las personas en la Unión Europea, el plazo máximo es de un mes, según el GDPR.
(planes de pago) Si usted participó en un ejercicio por invitación de una organización, ella es la responsable de esos datos (sección 2). Le remitiremos su solicitud.
11. Cookies, comunicaciones y edad mínima
Cookies. Usamos solo cookies y almacenamiento local esenciales: mantener su sesión, recordar el idioma y proteger contra el abuso. No usamos cookies de publicidad ni herramientas de análisis de terceros. Si esto cambia, le pediremos su consentimiento antes.
Comunicaciones. Enviamos los correos necesarios para el servicio, como enlaces de acceso, invitaciones y avisos de ronda. Esos correos nunca piden contraseña ni datos de pago. En los planes de pago, una invitación legítima puede verificarse en la página de verificación de invitaciones de Crisarium, sin hacer clic en el enlace recibido. Los correos comerciales siempre incluyen la opción de darse de baja.
Edad mínima. Crisarium está destinado a profesionales y no debe ser usado por menores de 18 años. Si identificamos datos de un menor, los eliminaremos.
12. Cambios en esta política
Podemos actualizar esta política cuando cambien el servicio o la legislación. La versión vigente y la fecha de la última actualización quedan siempre en esta página. Los cambios relevantes se avisarán por correo o en la plataforma antes de entrar en vigor. La versión vigente está publicada en crisarium.com/privacidade.
Esta es una traducción de la versión en portugués, publicada en crisarium.com/privacidade. Si las versiones difieren, prevalece la versión en portugués.
Versión 1.3 · vigente desde el 5 de octubre de 2026.