Última actualización: 21 de octubre de 2026
Este acuerdo forma parte de los Términos del Servicio entre tú, el cliente, y LF Consultoria de Desenvolvimento e Operacional Ltda, CNPJ 58.117.575/0001-79, Av. Presidente Getúlio Vargas, 1605, Loja 09, Bairro Novo, Olinda, PE, 53030-010, Brasil ("Korzen"). Se aplica siempre que Korzen trata datos personales por ti para prestar Bot Protection, y se acepta junto con los términos; si necesitas una copia firmada, escribe a contact@korzen.dev. Donde este acuerdo y los términos difieran sobre datos personales, prevalece este acuerdo.
1. Funciones
Eres el responsable de los datos personales de tus visitantes; Korzen es tu encargado del tratamiento. Korzen los trata solo según tus instrucciones documentadas: estos términos, tus ajustes y las llamadas a la API que hace tu servidor. Si una instrucción parece infringir la ley, Korzen te avisa.
2. Qué se trata
| Finalidad | distinguir personas de bots en tus sitios, y un navegador que vuelve de uno nuevo en el registro, y mostrar por qué, para que protejas registros, inicios de sesión, checkouts y otras acciones |
|---|---|
| Interesados | los visitantes de tus sitios donde usas la tag o llamas a la API |
| Datos | dirección IP, y la red, el país y la subnet derivados de ella; User-Agent y cabeceras de la petición, incluidas huellas TLS y HTTP tomadas en el edge; rutas, métodos, códigos de estado y tiempos de las peticiones que nos envías; señales del navegador que lee la tag, por ejemplo tamaño de la pantalla y de la ventana, renderizador gráfico, un hash de canvas, características del dispositivo (núcleos de CPU, memoria, puntos táctiles), zona horaria e idiomas, client hints, indicadores de automatización, tiempos de ida y vuelta de la red y tipos y recuentos de eventos de entrada, nunca lo que se escribe; la dirección IP pública que el navegador muestra por WebRTC, solo donde la activas con el ajuste data-stun de la tag; el token de sesión de la tag y un identificador aleatorio del navegador; y lo que envías sobre un resultado, como una cuenta verificada |
| Categorías especiales | ninguna; no envíes ninguna |
| Duración | mientras tu cuenta esté abierta; después, se suprimen según la sección 9 |
La página de desafío. Cuando tu servidor marca una acción con require_token y un visitante no tiene un token válido, se le envía a la página de desafío de Korzen en korzen.dev, que ejecuta la tag propia de Korzen, en la cuenta propia de Korzen, antes de dejarle pasar a tu acción. Korzen trata lo que esa tag lee (las señales del navegador de arriba, el token de sesión de la tag y el identificador del navegador) como responsable, según su Política de Privacidad, solo para saber si la página se ejecutó en un navegador real y para impedir que los scripts la usen; el pase y tu decisión se tratan por tu cuenta, según este acuerdo. La tag conserva identificadores distintos en esa página para cada cliente que envía allí a un visitante, así que no vinculan un mismo navegador entre clientes.
3. Cómo se guarda
- Los identificadores (direcciones IP, sesiones, navegadores) se guardan solo como hashes con clave, con claves propias de tu cuenta, la mayoría rotadas cada día; Korzen no guarda direcciones IP en claro.
- La memoria de trabajo sobre un visitante cubre sus últimos diez minutos: cada registro caduca 20 minutos después de su último uso. El desafío de una comprobación caduca en 10 minutos y su pase en 30; un token gastado en una acción que exige token se conserva, como hash con clave, una hora.
- Cada decisión, con su ruta, país y motivos, se guarda para tu dashboard según el historial de decisiones de tu plan: 7 días en la prueba gratis, hasta 90 días en Scale.
- Lo que el feedback estableció sobre una sesión (verificada, revocada) se guarda hasta 400 días desde la última actividad de la sesión. Una sesión continúa mientras el mismo navegador conserve el token del tag y vuelva.
- El identificador de navegador del tag, visto en una acción sobre la que tu servidor pregunta (un registro, un inicio de sesión, un checkout), se guarda como hash con clave, bajo una clave tuya que no cambia, con cuándo se vio allí por primera y por última vez y cuántas sesiones lo trajeron, hasta 90 días desde la última vez que se vio en esa página, para que un visitante que abre otra cuenta desde el mismo navegador sea reconocido. Korzen aprende cuáles de tus páginas son registros solo a partir de esos hashes.
- Tus datos nunca se mezclan con los de otro cliente, ni se usan para otra finalidad que no sea protegerte. Korzen puede usar recuentos y resultados de reglas sin datos personales para mejorar sus reglas.
4. Confidencialidad
Solo las personas que operan Korzen acceden a datos personales, solo en la medida en que el servicio lo requiera, y con deber de confidencialidad.
5. Seguridad
Korzen mantiene medidas técnicas y organizativas adecuadas al riesgo (artículo 32 del RGPD, artículo 46 de la LGPD), como mínimo:
- TLS en toda conexión; claves de API y tokens de sesión firmados y comprobados en cada petición;
- hash con clave de los identificadores, con claves por cliente, la mayoría rotadas cada día;
- servidores en la UE tras un firewall, administrados solo por clave SSH; cuentas del dashboard con hashes de contraseña con salt e inicio de sesión con doble factor;
- copias de seguridad cifradas con recuperación a un momento dado, que se renuevan en un plazo de 35 días;
- pruebas automáticas, análisis estático y escaneo de secretos en cada cambio, y dependencias al día.
6. Subencargados
Autorizas a Korzen a usar los subencargados de la lista de subencargados. Korzen exige a cada uno condiciones de protección de datos al menos tan estrictas como estas, y sigue siendo responsable de ellos. Korzen anuncia un nuevo subencargado en esa página y por email al menos 30 días antes de que empiece; si te opones por motivos razonables de protección de datos y no logramos resolverlo, puedes cerrar tu cuenta y recibir el reembolso de un periodo prepagado aún no usado.
7. Transferencias
Los datos personales se tratan en la Unión Europea. Cuando un subencargado los trata en otro lugar, la transferencia se basa en una decisión de adecuación o en las cláusulas contractuales tipo de la Comisión Europea (y, para Brasil, las aprobadas por la ANPD), incorporadas por referencia.
8. Cómo te ayudamos
- Solicitudes de visitantes: Korzen te avisa de toda solicitud que reciba sobre tus visitantes y te ayuda a responderla. Tu dashboard encuentra las decisiones de un visitante por su dirección IP, su User-Agent o un
request_id, mientras tu plan las conserve, y así respondes a una solicitud de acceso; sin uno de ellos, las decisiones de días distintos no se vinculan, porque la mayoría de los hashes cambian cada día. Un propietario también las elimina ahí: busca al visitante en la página Decisiones y elige Eliminar las decisiones de este visitante, que elimina al momento toda decisión guardada que la búsqueda encuentra; a petición tuya, por escrito, Korzen lo hace por ti en 30 días. Korzen guarda un registro de cada borrado, como los hashes con clave por los que borró, durante 35 días, para que una restauración desde una copia de seguridad vuelva a borrar esas decisiones. - Brechas: Korzen te avisa sin dilación indebida, y en 48 horas desde que tenga conocimiento, de una violación de seguridad que afecte a tus datos, con lo que sabe y lo que está haciendo.
- Evaluaciones: Korzen te da la información que necesites para una evaluación de impacto o una consulta a una autoridad.
- Auditorías: Korzen responde por escrito a preguntas razonables sobre su cumplimiento y pone a tu disposición la información necesaria para demostrarlo. Una auditoría presencial, si la ley la exige, se acuerda con antelación, a tu cargo, con confidencialidad.
9. Al terminar
Cuando tu cuenta se cierra, Korzen borra los datos personales de tus visitantes en 30 días; y desaparecen de las copias de seguridad en otros 35. La memoria de trabajo caduca sola en minutos.
10. Tus obligaciones
Te aseguras de que los datos pueden tratarse legítimamente: informas a tus visitantes en tu aviso de privacidad, decides si Bot Protection es estrictamente necesario para el servicio que pidieron o necesita su consentimiento según las normas de ePrivacy, y envías solo los datos que pide la API.