Política de privacidad

Esta política explica qué datos personales trata Repitoo, para qué, con quién los comparte y cómo ejercer sus derechos. Está escrita conforme a la Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales de Costa Rica (Ley N.º 8968) y su reglamento.

1. Quiénes somos y a quién aplica

Repitoo es una plataforma de tarjetas de lealtad para negocios, nombre comercial de Raul Armando Gonzalez Urbina, persona física con cédula de identidad 801540401, en Costa Rica. Esta política aplica a dos grupos de personas, y nuestro papel es distinto en cada uno:

• Dueños y equipos de los negocios que usan el panel de Repitoo. Para sus datos, Repitoo es el responsable.
• Clientes de esos negocios, que llevan una tarjeta de lealtad en su celular o en la web. Para sus datos, el responsable es el negocio que les dio la tarjeta y Repitoo actúa como encargado: trata los datos por cuenta del negocio y solo para prestarle el servicio.

Si usted es cliente de un negocio, el negocio decide qué datos pide y para qué; esta política explica cómo los cuidamos en Repitoo.

2. Qué datos tratamos

De los dueños y sus equipos:

• Nombre, correo, idioma y preferencias de la app (tema y color).
• El negocio: nombre, tipo de negocio, ubicación de sus locales, horario, logos y diseños de tarjetas.
• El rol de cada persona en cada negocio y las invitaciones enviadas.
• Datos de la suscripción: plan, fechas y estado de los cobros. El número de la tarjeta lo recibe el proveedor de pagos, no Repitoo.
• Datos técnicos de seguridad: sesiones, dirección IP y registros de accesos, para limitar intentos y prevenir abusos.

De los clientes de cada negocio, lo que ese negocio decida pedir o cargar:

• Nombre y, si se dan, correo y teléfono.
• Día y mes de cumpleaños, sin el año.
• Otros datos que el negocio agregue, como dirección, notas o campos propios.
• La actividad de la tarjeta: sellos, premios, cupones, regalos, mensajes recibidos y fechas de visita.
• Si se usa Apple Wallet, un identificador del dispositivo para avisarle cuando la tarjeta cambia.
• Si se crea una cuenta en «Mis tarjetas»: correo y contraseña (guardada cifrada) o el inicio de sesión con Google.

Lo que no tratamos: no recibimos la ubicación de los clientes (el celular compara por su cuenta si está cerca del local), no usamos herramientas de analítica ni de publicidad de terceros y no vendemos datos personales.

3. Para qué los usamos

• Prestar el servicio: crear y actualizar las tarjetas, sumar sellos, entregar premios y cupones y mostrar el panel.
• Enviar los correos del servicio: el enlace para entrar, la tarjeta del cliente, invitaciones y avisos de cobro.
• Enviar a las tarjetas los mensajes que el negocio programe, con tope por tarjeta y solo en su horario.
• Cobrar la suscripción y llevar la contabilidad.
• Dar soporte, resolver problemas y mejorar Repitoo con métricas internas del uso de la plataforma.
• Proteger la plataforma: prevenir fraudes, accesos no autorizados y abusos.
• Cumplir obligaciones legales.

No usamos los datos de los clientes de un negocio para nuestros propios fines comerciales ni los cruzamos con los de otro negocio.

4. Consentimiento y base para tratarlos

Tratamos los datos con el consentimiento informado de su titular o cuando la ley lo permite, por ejemplo para cumplir el contrato con el negocio o una obligación legal. Cuando un cliente se une a un programa, la página le explica para qué usará el negocio sus datos antes de que los envíe. El negocio es responsable de contar con el consentimiento de los clientes que carga por su cuenta, por ejemplo al importar un archivo. El consentimiento se puede revocar en cualquier momento, sin efecto retroactivo.

5. Inteligencia artificial

Algunas funciones usan un modelo de inteligencia artificial (hoy, Claude de Anthropic) para proponer textos, diseños y cómo leer un archivo importado. Al leer un archivo, el modelo recibe solo los encabezados de las columnas y la forma de los valores (por ejemplo, «8 dígitos»), nunca los datos de los clientes. En los demás asistentes recibe lo que el dueño escribe sobre su negocio. Según las condiciones comerciales del proveedor, esos datos no se usan para entrenar sus modelos.

Asistentes que usted conecta. Desde Ajustes → Tu IA, un dueño o miembro de un equipo puede conectar a Repitoo un asistente de otra empresa, como Claude (de Anthropic) o ChatGPT (de OpenAI), que usa con su propia cuenta. La conexión solo existe si esa persona entra con su cuenta de Repitoo y la permite en una pantalla nuestra que le dice qué podrá ver y hacer. Desde entonces, el asistente puede consultar lo mismo que esa persona ve en el panel según su rol en cada negocio (negocios, programas, clientes, métricas y ajustes; en las búsquedas, el correo y el teléfono de los clientes van ocultos) y, cuando la persona se lo confirma en la conversación, hacer los cambios que su rol permite. Lo que el asistente recibe queda sujeto a las condiciones y la política de privacidad de su proveedor, que es quien la persona eligió; Repitoo no envía datos a ningún asistente que nadie conectó. De cada conexión guardamos el nombre del asistente, cuándo se conectó y se usó por última vez, y sus llaves de acceso como un resumen criptográfico, no en claro. No guardamos las conversaciones con el asistente. La persona quita la conexión cuando quiera en Tu IA y el acceso termina al instante; si no se usa en 90 días, vence sola.

6. Con quién compartimos datos

Solo con quien necesitamos para prestar el servicio, y cada uno recibe lo mínimo necesario:

• El negocio dueño del programa, que ve los datos de sus propios clientes.
• Proveedores que trabajan por nuestra cuenta: alojamiento en la nube y base de datos, almacenamiento de archivos, envío de correos, procesamiento de pagos (por ejemplo, Stripe) e inteligencia artificial.
• El asistente de inteligencia artificial que un dueño o miembro de un equipo conecte por su cuenta, solo con lo que esa persona puede ver (sección 5).
• Apple y Google, para emitir y actualizar los pases de sus billeteras y, si la persona lo elige, para iniciar sesión con Google.
• Autoridades, cuando una ley o una orden judicial lo exija.
• Un comprador o sucesor de Repitoo, si la empresa se vende o fusiona, con las mismas protecciones de esta política.

Los mapas de los locales en el panel se piden a OpenStreetMap desde nuestros servidores, sin datos de quien los ve.

7. Transferencias internacionales

Algunos proveedores guardan o procesan datos fuera de Costa Rica, por ejemplo en Estados Unidos. Solo trabajamos con proveedores que ofrecen garantías de seguridad y confidencialidad adecuadas, y les exigimos tratar los datos únicamente para prestarnos el servicio.

8. Cómo protegemos los datos

• Toda conexión va cifrada (HTTPS) y las contraseñas se guardan cifradas.
• Los datos de cada negocio están separados: un negocio nunca ve los clientes de otro.
• Las llaves de la API se guardan como un resumen criptográfico, no en claro.
• Los archivos subidos se guardan en un almacenamiento privado y las imágenes se procesan antes de mostrarlas.
• Nuestro equipo con acceso de administración entra con un segundo factor de autenticación, y cada acción que hace en una cuenta queda registrada.

Ningún sistema es completamente seguro. Si ocurre un incidente que afecte datos personales, lo comunicaremos a los afectados y a la autoridad en los plazos que fija la ley.

9. Cuánto tiempo los guardamos

Guardamos los datos mientras la cuenta del negocio esté activa y el programa los necesite. Si el negocio cierra su cuenta, los eliminamos o anonimizamos dentro de los 90 días siguientes, salvo lo que la ley nos obligue a conservar (por ejemplo, registros contables) o lo necesario para atender un reclamo. Los archivos importados se borran en cuanto termina la importación. Los registros técnicos de seguridad se guardan por el tiempo necesario para su fin.

10. Sus derechos

Toda persona tiene derecho a saber qué datos suyos tratamos y a pedir su acceso, rectificación, actualización o eliminación, y a revocar su consentimiento. También puede oponerse a recibir mensajes del negocio.

• Si es cliente de un negocio, puede pedírselo directamente al negocio o escribirnos; trasladaremos la solicitud al negocio y le ayudaremos a atenderla. También puede quitar el pase de su billetera o borrar su cuenta de «Mis tarjetas» cuando quiera.
• Si es dueño o miembro de un equipo, puede cambiar sus datos en el panel o escribirnos.

Respondemos dentro del plazo de la ley, de cinco días hábiles. Podemos pedir que confirme su identidad antes de entregar o cambiar datos. Si cree que no atendimos bien su solicitud, puede acudir a la Agencia de Protección de Datos de los Habitantes (PRODHAB).

11. Cookies

Usamos solo las cookies necesarias para que Repitoo funcione, nunca de publicidad ni de analítica de terceros:

• De sesión, para mantener abierta la sesión del panel o de «Mis tarjetas».
• De preferencias, para recordar el idioma, el tema claro u oscuro, el color de la marca y ajustes de pantalla, como el paso de los botones al sumar sellos.

Si el navegador las bloquea, no podrá iniciar sesión, pero las tarjetas en la billetera seguirán funcionando. Para saber cómo nos encuentran, medimos las visitas a nuestras páginas públicas (la página de inicio, entrar, pedir invitación, contacto y estos textos) con una herramienta propia, sin cookies y sin terceros: el país y la ciudad aproximados según la IP, que no guardamos; el sitio desde el que llegó; el tipo de dispositivo; hasta dónde bajó en la página y dónde tocó. Para contar a una persona una sola vez al día usamos un resumen de su conexión y su navegador que cambia cada día y no permite identificarla. Si su navegador pide no ser rastreado (Global Privacy Control o Do Not Track), no medimos nada. No usamos estas medidas en el panel, en las tarjetas ni en «Mis tarjetas».

12. Menores de edad

Repitoo es un servicio para negocios y no está dirigido a menores. Un negocio que ofrezca su programa a menores de edad debe contar con el consentimiento de sus padres o representantes cuando la ley lo exija. Si descubrimos datos de un menor tratados sin ese consentimiento, los eliminaremos.

13. Cambios a esta política

Si cambiamos esta política, publicaremos la nueva versión con su fecha. Si el cambio es importante, avisaremos a los dueños por correo con anticipación.

14. Contacto

Para cualquier consulta sobre privacidad o para ejercer sus derechos, escriba a [email protected] (también nuestro medio para recibir notificaciones) indicando el negocio y la tarjeta o el correo de la cuenta.