1. Responsable del tratamiento
La extensión de navegador Raidos (en adelante, "la Extensión") es desarrollada y operada por MercadoLibre, Inc. y las entidades afiliadas del grupo MercadoLibre (en conjunto, "Mercado Libre"), en el marco del programa interno de seguridad de la información de la organización. La entidad jurídica responsable concreta del tratamiento para cada colaborador se determina según la entidad MercadoLibre que lo emplea.
2. Por qué la Extensión está publicada como "Pública (no listada)" en Chrome Web Store
Importante. La Extensión está destinada exclusivamente a personas colaboradoras de Mercado Libre. Se publica en Chrome Web Store con visibilidad pública no listada (unlisted), no porque esté abierta al público general, sino por una restricción operativa específica:
Mercado Libre opera equipos administrados compartidos (Chrome Enterprise managed devices) que son utilizados por múltiples colaboradores en distintos turnos. Estos equipos deben poder recibir actualizaciones automáticas de la Extensión incluso cuando ninguna sesión de Google de un colaborador está activa. Si la Extensión estuviera restringida a la organización en Chrome Web Store, los dispositivos sin sesión iniciada no podrían descargar nuevas versiones, lo cual afecta la disponibilidad del control de seguridad.
Por ese motivo, el listado es público no listado pero la Extensión solo es funcional para identidades del dominio corporativo de Mercado Libre; no se autoriza, recomienda ni soporta su instalación o uso por personas ajenas a la organización.
3. Categorías de datos personales que la Extensión procesa
Las siguientes categorías están alineadas con las categorías declaradas en el formulario de Chrome Web Store y reflejan exclusivamente los datos que la Extensión procesa para cumplir su finalidad de detección de phishing dirigido a colaboradores de Mercado Libre.
| Categoría | Qué se procesa | Finalidad |
|---|---|---|
| Información de identificación personal | Dirección de correo electrónico corporativo del colaborador, obtenida vía la API chrome.identity con el permiso identity.email. |
Validar pertenencia al dominio corporativo de Mercado Libre y asociar eventos de seguridad a la persona usuaria. No se obtiene nombre, dirección física, fecha de nacimiento, número de documento ni datos similares. |
| Comunicaciones personales | Contenido textual de los mensajes recibidos en la bandeja de LinkedIn del colaborador y metadatos del remitente (nombre público y URL del perfil), capturados sobre el DOM de la pestaña activa cuando el usuario interactúa con LinkedIn. | Detectar intentos de ingeniería social / phishing dirigidos al colaborador a través de LinkedIn. Sin acceso a mensajes enviados por el colaborador. |
| Ubicación | Sistema operativo del equipo (macOS, Windows, ChromeOS) reportado por chrome.runtime.getPlatformInfo(). La dirección IP queda implícita en las solicitudes HTTPS a la infraestructura de Mercado Libre. |
Diagnóstico técnico y correlación de incidentes. No se accede a GPS, coordenadas ni se solicita el permiso de geolocalización. |
| Historial web | URLs y dominios de las páginas a las que el navegador se dirige, capturados mediante chrome.webNavigation.onCommitted. |
Evaluar dominios y URLs contra listas internas y heurísticas de phishing. |
| Actividad del usuario | Eventos de descarga (nombre de archivo, tamaño, URL de origen, hash SHA-256), eventos de navegación y eventos de portapapeles, con marcas temporales. | Detectar descargas o flujos asociados a campañas de phishing/clickfix. Sin keystroke logging, sin posición del mouse, sin scroll, sin monitoreo de tráfico de red. |
| Contenido del sitio web | Texto del portapapeles cuando el colaborador realiza una operación de copia o pegado (incluida la captura del valor original cuando una página intenta sobrescribir el portapapeles programáticamente). Texto extraído del DOM de mensajes de LinkedIn cuando dichas pestañas están activas. | Detectar ataques clickfix y otros que utilizan el portapapeles como vector. Solo se envía contenido completo al backend cuando el evento matchea un patrón malicioso; en condiciones normales se conserva únicamente una vista previa truncada local. |
Categorías que la Extensión NO procesa: información de salud, datos financieros o de pagos, información de autenticación (contraseñas, credenciales, PINs, preguntas de seguridad), comunicaciones distintas a las indicadas (correo electrónico personal, SMS, otros chats), grabaciones de audio/video, capturas de pantalla, ni datos biométricos.
3.1 Sobre la lectura del portapapeles
Dado que el portapapeles del sistema puede contener información sensible introducida por la persona usuaria (contraseñas, tokens, números de tarjeta), Raidos aplica las siguientes salvaguardas:
- El contenido del portapapeles se evalúa localmente contra patrones de detección antes de cualquier transmisión.
- Únicamente cuando un evento es clasificado como potencialmente malicioso, una vista previa truncada (hasta 120 caracteres) se incluye en el reporte de seguridad para análisis del equipo.
- Se recomienda al colaborador no copiar credenciales en texto plano y utilizar gestores de contraseñas corporativos.
4. Procesamiento mediante inteligencia artificial (IA / LLM)
Para la detección de phishing en mensajes de LinkedIn, el contenido textual de los mensajes recibidos por el colaborador se envía a un servicio de inteligencia artificial generativa operado dentro de la infraestructura corporativa de Mercado Libre, que ejecuta modelos de lenguaje (LLM) para clasificar el mensaje como benigno o sospechoso.
- El procesamiento ocurre bajo acuerdos contractuales que excluyen el uso de los datos para entrenamiento de modelos.
- El contenido del mensaje no se persiste fuera del flujo de evaluación más allá del tiempo necesario para registrar el resultado.
- El servicio de IA opera bajo los controles de seguridad de Mercado Libre y los datos no se comparten con terceros independientes.
5. Finalidad del tratamiento
- Detectar y prevenir intentos de phishing y otras amenazas dirigidas a personas colaboradoras de Mercado Libre.
- Alertar al colaborador en tiempo real ante una amenaza detectada.
- Mejorar reglas internas de detección y modelos de clasificación.
- Investigar y responder incidentes concretos de seguridad de la información.
- Cumplir obligaciones de seguridad establecidas por las políticas internas de Mercado Libre.
6. Base legal
El tratamiento se sustenta en:
- Interés legítimo de Mercado Libre en proteger su infraestructura, activos y a sus colaboradores frente a amenazas de seguridad (art. 6.1.f GDPR / art. 5 LGPD / art. 5 Ley 25.326 AR / normativa equivalente en cada país de operación).
- Cumplimiento de obligaciones legales aplicables en materia de seguridad de la información y prevención del fraude.
- La relación laboral con sus colaboradores, conforme a las políticas internas de uso aceptable de recursos tecnológicos, debidamente comunicadas.
7. Destinatarios de los datos
Los datos procesados por la Extensión se transmiten exclusivamente a la infraestructura interna de seguridad de Mercado Libre y son accedidos por equipos internos con necesidad operativa (Seguridad de la Información, Seguridad de Aplicaciones, Respuesta a Incidentes).
Mercado Libre no comparte, vende, cede ni transfiere estos datos a terceros independientes, excepto cuando:
- Sea requerido por ley, autoridad judicial o regulatoria competente.
- Sea estrictamente necesario para investigar un incidente concreto que afecte a la organización.
8. Cumplimiento con la Limited Use Policy del Chrome Web Store
El uso que Raidos hace de la información obtenida desde APIs de Google y desde las páginas a las que accede el navegador del colaborador cumple con la Chrome Web Store User Data Policy, incluyendo los requisitos de Limited Use:
- Los datos se utilizan únicamente para proporcionar y mejorar las funciones de detección de amenazas de la Extensión, declaradas en esta política.
- Los datos no se transfieren a terceros, excepto en los supuestos descritos en la sección 7.
- Los datos no se utilizan ni se transfieren con fines de publicidad, incluyendo publicidad personalizada o re-targeting.
- Los datos no se utilizan ni se transfieren para determinar la solvencia crediticia ni con fines de préstamos.
- No se permite la lectura humana de los datos del colaborador, excepto: (a) con consentimiento explícito; (b) cuando sea necesario por razones de seguridad (por ejemplo, investigar abuso); (c) para cumplir leyes aplicables; (d) para fines internos limitados, como agregar datos para análisis estadísticos no personalmente identificables.
9. Transferencias internacionales
Mercado Libre opera infraestructura en múltiples jurisdicciones (Argentina, Brasil, México, Estados Unidos, entre otras). Los datos procesados por la Extensión pueden almacenarse o procesarse en cualquiera de ellas, bajo acuerdos internos de transferencia que garantizan un nivel de protección equivalente al exigido por la normativa de origen del colaborador (cláusulas contractuales estándar y mecanismos equivalentes cuando corresponda).
10. Conservación
Los datos se conservan únicamente durante el tiempo necesario para cumplir las finalidades indicadas. Tras dicho plazo se eliminan o anonimizan conforme a las políticas internas de retención de datos de Mercado Libre. La retención específica varía según el tipo de evento: los eventos de telemetría operativa se conservan por períodos cortos; los eventos con valor forense (vinculados a incidentes confirmados) pueden conservarse por períodos más extensos, dentro de los límites legales aplicables.
11. Seguridad
Los datos se transmiten cifrados (HTTPS/TLS 1.2+) y se almacenan en infraestructura controlada por Mercado Libre, con controles de acceso basados en mínimo privilegio, registros de auditoría y los controles de seguridad estándar aplicados a sistemas internos críticos de la organización.
12. Permisos solicitados por la Extensión y justificación
La Extensión declara los siguientes permisos en su manifest. Cada uno se justifica por la funcionalidad de seguridad descrita en esta política:
| Permiso | Por qué es necesario |
|---|---|
identity.email | Verificar que la persona usuaria pertenece al dominio corporativo de Mercado Libre. |
tabs y <all_urls> | Evaluar URLs visitadas contra listas de dominios/URLs sospechosos. |
webNavigation | Recibir eventos de navegación para análisis de URL antes de la carga completa de la página. |
downloads | Inspeccionar metadatos y hash de archivos descargados para detectar payloads maliciosos. |
clipboardRead / clipboardWrite | Detectar y mitigar ataques de tipo clickfix que abusan del portapapeles del sistema. |
storage | Almacenar configuración local de la Extensión y buffer temporal de eventos antes de su envío. |
scripting | Inyectar lógica de detección en páginas web (por ejemplo, observador de mensajes de LinkedIn). |
13. Derechos del titular de los datos
Las personas colaboradoras de Mercado Libre pueden ejercer los derechos reconocidos por la legislación que les resulte aplicable, incluidos sin limitarse a:
- Acceso, rectificación, supresión, oposición, portabilidad y limitación del tratamiento (Reglamento UE 2016/679 — GDPR — para colaboradores en la UE/EEE).
- Confirmação, acesso, correção, anonimização, bloqueio, eliminação, portabilidade y revogação del consentimento (Lei 13.709 — LGPD — Brasil).
- Acceso, rectificación, actualización y supresión (Ley 25.326 — Argentina).
- Acceso, rectificación, cancelación y oposición (ARCO) (LFPDPPP — México).
- Right to know, delete, correct, opt-out (CCPA/CPRA — California, Estados Unidos).
El ejercicio de estos derechos se canaliza a través del equipo de Privacidad / Protección de Datos de Mercado Libre. Las personas colaboradoras pueden contactar a dicho equipo mediante los canales internos publicados en los recursos de Recursos Humanos y Seguridad de la Información.
14. Privacidad de menores
La Extensión está destinada exclusivamente a personas colaboradoras adultas de Mercado Libre. La Extensión no recolecta deliberadamente datos de menores de edad. Si se detecta una recolección inadvertida, los datos serán eliminados a la mayor brevedad.
15. Cambios en esta política
Esta política puede actualizarse para reflejar cambios en la Extensión, en la infraestructura interna o en la normativa aplicable. La versión vigente siempre estará disponible en la URL declarada en el listado de Chrome Web Store, con la fecha y número de versión indicados al inicio. Los cambios materiales se comunicarán a los colaboradores a través de los canales internos.
16. Contacto
Para consultas sobre el tratamiento de datos personales realizado por la Extensión Raidos o para ejercer derechos sobre los datos:
- Equipo de Seguridad de Aplicaciones de Mercado Libre — a través de los canales internos de la organización (Slack, sistema interno de tickets).
- Equipo de Privacidad / Protección de Datos de Mercado Libre — a través de los canales internos publicados por Recursos Humanos y Legales.