Agendá 30 min
Agendá 30 min
Seguridad y compliance
Esta página existe para que la reenvíes. Está escrita para seguridad, riesgo, data y procurement, sin traducir nada, y dice también lo que no tenemos.
01 · El modelo
Kunko no aloja tus datos ni corre software dentro de tu entorno. Trabajamos dentro de tus plataformas, con permisos de lectura y el alcance más chico que permita hacer el trabajo.
Eso cambia la conversación de seguridad. No hay una transferencia masiva de datos personales hacia un tercero, no hay un sistema nuestro que puedas auditar porque no existe, y el vector de riesgo se reduce a una cosa concreta y revocable: quién tiene qué permiso, en qué herramienta y hasta cuándo.
◆ Si tu política no permite accesos a terceros, hay una ruta sin accesos. Está más abajo.
02 · Accesos
Publicar la columna derecha nos conviene tanto como a vos: evita una conversación incómoda en la semana tres, cuando alguien asume que necesitamos algo que nunca vamos a necesitar.
03 · El ciclo del acceso
El riesgo de un acceso a terceros no está en darlo: está en olvidarse de sacarlo. Por eso la revocación es parte del entregable, no un favor que hay que pedir después.
Antes de recibir cualquier acceso o dato. Firmamos el tuyo o te pasamos el nuestro, lo que sea más rápido para tu legal.
Se dan los permisos más chicos que permitan hacer el trabajo, nominales por persona. Sin cuentas compartidas.
Los extractos que se descargan quedan en el Drive de Kunko, en una carpeta del proyecto con acceso restringido al equipo asignado.
Los accesos se revocan al cierre y te lo confirmamos por escrito, junto con el borrado de los extractos. Si preferís revocarlos vos, mejor.
◆ En el Diagnóstico de Activación la revocación cae el día 8, con confirmación escrita.
04 · Lo que no tenemos
No tenemos SOC 2 ni ISO 27001, y preferimos decirlo en la primera llamada.
Somos un equipo especializado, no un proveedor de infraestructura. No alojamos tus datos, no corremos software en tu entorno y no procesamos transacciones. Certificar eso costaría bastante y no cambiaría el riesgo real de este alcance, así que la plata va a otro lado.
Ahora bien: si tu política exige una certificación para cualquier proveedor con acceso a analítica, sin distinguir alcance, eso es un no. Decilo en la primera llamada y te lo confirmamos ahí mismo, en vez de hacerte gastar un ciclo de compra entero para llegar a la misma conclusión.
05 · Subprocesadores
Estos son los proveedores que actúan como encargados del tratamiento en la operación de Kunko. La lista definitiva y sus condiciones van en el DPA, que firmamos a pedido.
| Proveedor | Para qué | Alcance |
|---|---|---|
| HubSpot | CRM y formularios del sitio | Datos de contacto comercial |
| Customer.io · Klaviyo | Envío de comunicaciones y automatización | Instancias propias de Kunko, separadas de las de cada cliente |
| Google Workspace | Correo, documentos y extractos de análisis | Carpeta por proyecto, acceso restringido al equipo asignado |
| Slack | Operación interna y con el cliente | Canal compartido, si el cliente lo habilita |
| Vercel | Hosting del sitio y las aplicaciones | Sin datos de usuarios finales de clientes |
| Stripe | Cobro de servicios | Kunko no accede a datos de tarjeta |
| Google Analytics 4 | Medición del sitio de Kunko | Con IP anonimizada |
El detalle legal completo está en la política de privacidad, incluidas transferencias internacionales y plazos de conservación.
Transferencia internacional
Kunko, LLC está constituida en Delaware, Estados Unidos, con domicilio operativo en Miami, Florida. Si tu marco exige cláusulas contractuales tipo o un mecanismo equivalente para la transferencia de datos fuera de tu jurisdicción, se incorporan al DPA. Se aplica a operaciones bajo LGPD en Brasil y bajo las normas de protección de datos de cada país de la región.
05b · Quién toca qué
Accede solo el equipo asignado al proyecto, cada persona con su propia cuenta. Sin usuarios compartidos y sin contraseñas pasando por mensajes.
Si querés la lista de personas con nombre y rol antes de dar el alta, te la pasamos. Y si tu política exige revisarla cada vez que cambia, también.
06 · Incidentes
Si detectamos un incidente de seguridad que involucre datos tuyos o accesos a tus sistemas, te lo notificamos sin demora indebida y a más tardar dentro de las 72 horas desde que tomamos conocimiento, al contacto que nos designes en el contrato.
La notificación incluye qué pasó, qué datos o accesos estuvieron involucrados, qué hicimos para contenerlo y qué recomendamos hacer de tu lado. Si en el momento de notificar no tenemos toda la información, mandamos lo que hay y actualizamos, en lugar de esperar a tener el cuadro completo.
La primera medida frente a cualquier sospecha es la misma: revocar los accesos. Cuesta poco y se puede volver a dar.
Canal de reporte
Si detectás una vulnerabilidad en cualquier propiedad de Kunko, escribinos a hola@kunkoagency.com. Respondemos por el mismo canal y no perseguimos legalmente a quien reporte de buena fe.
07 · Contratación
| Punto | Cómo funciona |
|---|---|
| Entidad contratante | Kunko, LLC · Delaware, Estados Unidos · domicilio operativo en Miami, Florida |
| Facturación | Factura formal por cada trabajo. El Diagnóstico de Activación se factura una vez; el engagement, mensualmente por adelantado. |
| Moneda | Dólares estadounidenses. Se puede facturar en moneda local según el país, a convenir. |
| Compromiso mínimo | El sprint no obliga a contratar el engagement. El engagement se revisa mes a mes. |
| Al terminar | Se entrega la documentación de lo construido: journeys, segmentos, taxonomía de eventos y criterios de medición. Queda tuyo y es operable por tu equipo. |
| Dependencia | Todo se construye en tus plataformas, con tus cuentas. No hay nada que migrar si dejás de trabajar con nosotros. |
08 · Preguntas frecuentes
No como práctica de trabajo. Operamos dentro de tus plataformas: los datos de tus usuarios se quedan donde ya estaban. Lo que sí guardamos son extractos agregados y capturas necesarias para el análisis y el reporte, en nuestro Google Workspace, y se borran al cierre del trabajo con confirmación escrita.
No. Somos un equipo especializado, no un proveedor de infraestructura, y no alojamos tus datos ni corremos software en tu entorno. Si tu política exige una certificación para cualquier proveedor con acceso a analítica, decilo en la primera llamada: te lo confirmamos ahí y no te hacemos perder un ciclo de compra.
Lectura sobre la plataforma de mensajería y sobre la herramienta de analítica de producto, con el alcance más chico que permita hacer el trabajo. Nunca pedimos acceso a producción, a bases de datos core, a datos de tarjeta ni a credenciales de usuarios finales.
Sí. Trabajamos en sesión de pantalla compartida: vos manejás la herramienta y nosotros miramos y dirigimos. Es más lento y lo decimos de frente, pero el diagnóstico se puede hacer igual y evita abrir un proceso de alta de proveedor.
Sí. Firmamos el tuyo o te pasamos el nuestro, lo que sea más rápido para tu área legal. El NDA se firma antes de recibir cualquier acceso o dato, no después.
Se revocan al cierre y te lo confirmamos por escrito, junto con el borrado de los extractos que hubiéramos descargado. Si preferís revocarlos vos desde tu lado, mejor: nos avisás y listo.
Solo el equipo asignado al proyecto, con cuentas nominales. Sin cuentas compartidas ni credenciales que circulen por chat. Si querés la lista de personas con nombre y rol antes de dar el alta, te la pasamos.
El copy de recupero se escribe dentro del marco del regulador de cada país y se manda a tu área legal antes de publicarse. Es parte del proceso, no un paso opcional. El detalle del criterio está en la página de recupero y mora.
La estrategia se conecta, se automatiza y queda funcionando. Con cuentas nominales y sin credenciales circulando por chat.
Escribinos y lo respondemos por escrito antes de cualquier llamada comercial. Si la respuesta es que no podemos cumplirlo, también te lo decimos por escrito.
◆ Playbook · PDF
Los once módulos completos: activación, retención y recupero sobre Customer.io y Mixpanel. El mismo que corre en las cuentas que operamos.
Listo
Mientras tanto, si querés que lo veamos sobre tu propia data:
Agendá un diagnóstico de 30 minSeguí el circuito