Política de privacidad de Carey
Última actualización: [FECHA DE PUBLICACIÓN]
Esta política explica qué datos personales tratamos, para qué, con quién los compartimos y qué derechos tiene usted, conforme a la Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales de Costa Rica y su Reglamento.
1. Quién es el responsable
[TITULAR DE CAREY], con domicilio en [DIRECCIÓN DE CAREY], Costa Rica. Contacto para todo lo relativo a sus datos: hola@careyapp.com.
2. Existe una base de datos
Al usar Carey, sus datos quedan registrados en una base de datos personales administrada por el responsable indicado en la sección 1. Esta política le informa todo lo que la ley exige antes de que usted consienta.
3. Qué datos pedimos y cuáles son opcionales
Esta es la lista completa. La columna «obligatorio» indica qué pasa si usted no lo suministra.
| Dato | ¿Obligatorio? | Si no lo da |
|---|---|---|
| Correo electrónico | Sí | No puede tener cuenta: es su forma de ingresar. |
| Nombre | Sí | El negocio no podría identificarlo al entregarle un premio. |
| Documento de identidad | Sí | No podría registrar visitas cuando falle el código QR. Ver la sección 5: no guardamos el número. |
| Fecha de nacimiento | No — facultativo | Simplemente no recibe el regalo de cumpleaños. Todo lo demás funciona igual. |
| Género | No — facultativo | Ninguna. Solo se usa para estadísticas generales del negocio (nunca se muestra individualmente) y puede dejarlo en "prefiero no decir". |
| Teléfono | No — facultativo | Ninguna consecuencia. |
| Notificaciones push | No — facultativo | No recibe avisos en el teléfono. Puede apagarlas cuando quiera. |
| Historial de visitas, premios y cupones | Se genera solo | Es el resultado de usar la tarjeta; sin él no hay programa de fidelidad. |
No pedimos datos sensibles (salud, religión, orientación sexual, origen étnico ni condición socioeconómica). No inferimos ni clasificamos su nivel socioeconómico a partir de sus compras, y se lo prohibimos contractualmente a los negocios.
4. Para qué usamos sus datos
- Operar su tarjeta de sellos y registrar su progreso en cada negocio.
- Otorgarle premios al completar la tarjeta y permitirle canjearlos.
- Hacerle llegar los cupones del negocio al que usted se afilió.
- Enviarle avisos, solo por los canales que usted deje activados.
- Darle a cada negocio las estadísticas agregadas de su propio programa (por ejemplo, la distribución por género de sus clientes, nunca datos individuales).
- Prevenir el fraude (evitar que se registren visitas que no ocurrieron).
No usamos sus datos para ninguna otra finalidad. No hacemos publicidad de terceros, no vendemos perfiles y no tomamos decisiones automatizadas que le afecten.
5. Su cédula: no la guardamos
Cuando usted ingresa su documento, el servidor lo convierte en un código irreversible (un hash calculado con una llave secreta que nunca sale del servidor) y guarda además los últimos cuatro dígitos. El número completo no queda almacenado en ninguna parte. Ni nosotros ni el negocio podemos reconstruirlo.
6. Con quién se comparten (destinatarios)
- Los negocios a los que usted se afilie. Cada uno ve únicamente su nombre, los últimos cuatro dígitos de su documento, desde cuándo es su cliente y su historial en ese negocio. Nunca ve su correo, su teléfono, su fecha de nacimiento ni su actividad en otro negocio. Usted decide a qué negocios se afilia, y afiliarse es el acto por el que consiente esa transferencia.
- Proveedores de infraestructura, que procesan los datos por cuenta nuestra y bajo nuestras instrucciones: Supabase (base de datos y autenticación), Vercel (alojamiento) y Resend (correo). Sus servidores están en Estados Unidos, de modo que sus datos se alojan y procesan fuera de Costa Rica. Seguimos siendo responsables de lo que ellos hagan.
- Nadie más. No vendemos, alquilamos ni cedemos sus datos a anunciantes, agencias ni terceros de ningún tipo.
Con cada negocio firmamos un contrato que le traslada, como mínimo, las mismas obligaciones que asumimos nosotros: finalidad limitada, prohibición de ceder los datos, confidencialidad, seguridad y borrado cuando usted lo pida. Puede leerlo en los términos para negocios.
7. Su consentimiento, y cómo revocarlo
Tratamos sus datos con base en su consentimiento expreso, que usted otorga —de forma separada de la aceptación de los términos— al entrar por primera vez. Guardamos la fecha y una huella del texto exacto que usted aceptó, para poder probar qué consintió.
Puede revocarlo en cualquier momento, en tres niveles:
- Por tipo de aviso: apague los que no quiera en Avisos → Ajustes.
- Por negocio: cancele esa membresía. El negocio deja de verlo de inmediato y su historial con él se elimina.
- Del todo: elimine su cuenta desde Perfil. Se borra todo, en todos los negocios, de inmediato.
La revocación no tiene efecto retroactivo sobre los tratamientos ya realizados legítimamente, pero detiene cualquier tratamiento futuro.
8. Cuánto tiempo los conservamos
Mientras su cuenta exista, porque la relación con usted sigue viva. Al eliminar su cuenta, sus datos personales se borran en cascada e inmediatamente: perfil, membresías, visitas, premios y cupones. En los registros de auditoría del negocio (quién registró qué visita) queda la operación, pero sin ningún dato suyo. En ningún caso conservamos datos personales más de diez años desde que termina la relación (art. 11 del Reglamento).
9. Sus derechos (Ley 8968)
Usted puede, gratuitamente y sin justificar el motivo:
- Acceder a los datos que tenemos suyos.
- Rectificarlos si están incorrectos o incompletos.
- Solicitar su supresión.
- Revocar su consentimiento (sección 7).
Muchos de estos derechos los puede ejercer usted mismo, al instante, desde la aplicación (Perfil). Si prefiere escribirnos, respondemos dentro de los cinco días hábiles que fija el artículo 7 de la ley, al correo de la sección 1. Si considera que no lo atendimos, puede acudir a la Agencia de Protección de Datos de los Habitantes (PRODHAB).
10. Si ocurre una brecha de seguridad
Si sus datos se ven comprometidos por una pérdida, filtración o acceso indebido, se lo comunicaremos a usted y a la PRODHAB dentro de los cinco días hábiles que fijan los artículos 38 y 39 del Reglamento, indicándole qué pasó, qué datos se vieron afectados, qué hicimos al respecto y dónde obtener más información.
11. Seguridad
Ciframos los datos en tránsito (HTTPS) y en reposo. La base de datos aplica control de acceso por fila: técnicamente, un negocio no puede leer los datos de otro ni de un cliente que no sea suyo. Su cédula se guarda como código irreversible (sección 5) y la llave de su código QR se guarda cifrada. Las llaves secretas viven únicamente en el servidor, nunca en la aplicación.
12. Qué guarda la aplicación en su dispositivo
Su sesión, su preferencia de tema y la llave de su código QR (para que el QR funcione sin conexión). No usamos cookies de publicidad ni analítica de terceros.
13. Menores
El servicio no está dirigido a menores de edad sin la autorización de su padre, madre o representante legal.
14. Cambios a esta política
Los cambios se publican en esta página con una nueva fecha. Si el cambio afecta a lo que usted consintió, le pediremos aceptarlo de nuevo dentro de la aplicación antes de seguir tratando sus datos bajo las nuevas condiciones.