Política de tratamiento de datos personales

1. Responsable y ámbito

El responsable, identificación tributaria, domicilio y correo para ejercer derechos figuran en la ficha legal de esta versión. Su confirmación es condición de publicación. Esta política comprende cuentas, contacto, ventures, seguridad y servicios efectivamente habilitados; no convierte funciones propuestas en tratamientos actualmente operativos.

2. Datos y procedencia

Para una cuenta se utilizan identificador Firebase, nombre, correo, proveedor de autenticación y, si lo suministra Google, imagen de perfil. Las contraseñas se gestionan mediante Firebase Authentication; no deben guardarse en documentos de perfil ni registros de aplicación.

El servicio puede tratar contenido que aportes, referencias de ventures, solicitudes de soporte, permisos y evidencia de aceptación: identificador de cuenta, versión y hash del documento, declaraciones aceptadas, proveedor y fecha del servidor. No se exige almacenar IP completa o huella del dispositivo para esa constancia.

Las direcciones de wallet y transacciones pueden permitir identificar personas. KYC, datos financieros o información sensible no se solicitan durante el alta básica. Un módulo que los necesite exige aviso específico, finalidad, legitimación y controles antes de recolectarlos.

3. Finalidades y autorización

Las finalidades necesarias son crear y autenticar la cuenta, habilitar funciones solicitadas, administrar permisos, proteger el servicio, atender derechos y conservar constancia de obligaciones. Se informa el efecto de no autorizar: no podrá prestarse la función que necesite esos datos, sin bloquear la consulta de páginas públicas.

La autorización de tratamiento se solicita de forma expresa e informada, diferenciada de los términos. Publicidad, newsletter y analítica opcional no son requisitos para crear una cuenta. No se deduce consentimiento comercial del uso de Google, de una compra ni de un registro.

Cuando corresponda una excepción legal a la autorización, se documentarán su fundamento y alcance. Los datos no se reutilizarán para finalidades incompatibles ni para entrenamiento de IA sin una evaluación y autorización aplicables.

4. Encargados, destinatarios y circulación internacional

El staging utiliza Google Firebase para autenticación y Firestore; la base se encuentra en us-central1, Estados Unidos. Esto no implica que todos los servicios del proveedor limiten allí su tratamiento. Deben documentarse sus condiciones, subencargados, transferencias y medidas contractuales antes del uso productivo.

El acceso interno se limita por función y necesidad. Solo se comparten datos con proveedores necesarios bajo condiciones adecuadas, con destinatarios autorizados o cuando una autoridad competente lo exija legalmente. No se autoriza una venta general de información personal.

Google actúa también bajo sus propias condiciones al autenticar al usuario. Resend, analítica, IA, KYC, pasarelas y otros destinatarios se incorporarán al inventario cuando se habiliten; su mención no significa que estén activos ni autoriza automáticamente el envío de datos.

5. Derechos y canales

Puedes conocer, acceder, actualizar y rectificar tus datos; solicitar prueba de autorización e información sobre su uso; pedir supresión o revocar autorización cuando proceda; y presentar reclamaciones ante la autoridad competente. La revocatoria no invalida tratamientos anteriores lícitos ni elimina deberes de conservación.

Presenta la solicitud por el correo de privacidad de la ficha legal, indicando derecho solicitado y datos necesarios para localizar tu cuenta. Se verificará identidad de forma proporcional, sin pedir contraseñas ni claves privadas. Si actúas por otra persona, acredita representación.

Para el marco colombiano propuesto, las consultas se atienden en diez días hábiles; si resulta imposible, se informa la razón y fecha antes de vencer, con máximo cinco días hábiles adicionales. Los reclamos se atienden en quince días hábiles desde el día siguiente a su recepción, con prórroga informada de hasta ocho días hábiles.

Un reclamo incompleto requiere subsanación dentro de los cinco días siguientes; transcurridos dos meses sin respuesta se entiende desistido. Si quien lo recibe no es competente lo traslada en máximo dos días hábiles e informa al interesado. Se incorpora la leyenda de reclamo en trámite en máximo dos días hábiles después de recibirlo completo, hasta resolverlo. La reclamación ante la SIC exige agotar previamente consulta o reclamo ante responsable o encargado según corresponda.

6. Minimización, conservación y eliminación

Se conservarán los datos solo durante la finalidad necesaria y los plazos legales o de defensa de reclamaciones documentados. El inventario debe asignar período, evento inicial, responsable y mecanismo de eliminación a cada conjunto; no se fija aquí una retención indefinida o un plazo arbitrario para todos los datos.

Al cerrar una cuenta se separan los datos eliminables de los sujetos a conservación justificada y se restringe su acceso. Las copias de respaldo siguen un ciclo documentado y no deben reintroducir datos eliminados en el servicio activo. El calendario concreto debe aprobarse antes de producción.

7. Blockchain y datos públicos

No publiques documentos de identidad, datos sensibles, emails ni secretos en una blockchain. Los hashes y direcciones tampoco garantizan anonimato. Los documentos personales deben permanecer fuera de cadena con acceso restringido.

Una red pública puede replicar registros y dificultar o impedir su borrado técnico. Debe explicarse este efecto antes de cada operación pertinente; no constituye renuncia a los derechos que sí puedan ejercerse sobre datos y sistemas bajo control del responsable.

8. Seguridad, incidentes y menores

Se aplican controles de acceso, separación de entornos, revisión de permisos y validación de entradas según el riesgo. Las medidas no constituyen garantía absoluta. Los incidentes se investigan, contienen y notifican a autoridades y afectados cuando corresponda, documentando alcance y acciones.

La propuesta de servicio es para mayores de 18 años. No se pretende recolectar datos de menores. Si se detectan, se restringe el tratamiento y se resuelve conforme al interés superior del menor y la normativa aplicable. Los datos sensibles son facultativos y requieren información y fundamento adicionales.

9. Vigencia y modificaciones

La fecha de entrada en vigor y versión se muestran en la ficha legal publicada. Los cambios de responsable, finalidades o condiciones relevantes se comunican y, cuando corresponda, requieren nueva autorización. Puedes consultar los documentos y tu constancia de aceptación sin recibir publicidad.