Política de Privacidad y Protección de Datos

1. Declaración y Principios Globales de Privacidad

1.1. La presente Política de Privacidad describe cómo la plataforma de software como servicio (SaaS) internacional Atokei recopila, utiliza, almacena, transfiere y protege los datos personales de sus usuarios registrados (comerciantes, creadores de contenido y administradores de cuentas) y de los visitantes o compradores finales que interactúan con las tiendas virtuales y perfiles Bio alojados en nuestra infraestructura.

1.2. Nuestro marco de gobernanza de datos se rige por los principios fundamentales de protección de datos reconocidos internacionalmente (incluyendo el Reglamento General de Protección de Datos de la UE - GDPR, la Ley General de Protección de Datos de Brasil - LGPD, los estándares de la Ley de Privacidad del Consumidor de California - CCPA/CPRA y las legislaciones latinoamericanas de protección de datos personales):

• Licitud, lealtad y transparencia: Los datos se tratan con bases legítimas claras y con pleno conocimiento del titular.
• Limitación de la finalidad: Solo se recopilan datos estrictamente necesarios para la prestación del servicio SaaS.
• Minimización de datos: Únicamente solicitamos los atributos indispensables para la operativa comercial y la autenticación.
• Exactitud y actualización: Mantenemos mecanismos para que los usuarios rectifiquen su información en todo momento.
• Limitación del plazo de conservación: Los datos no se almacenan más tiempo del estrictamente requerido para el fin contratado o por exigencia legal.
• Integridad y confidencialidad: Aplicamos cifrado robusto de nivel bancario en reposo y en tránsito.

2. Roles de Protección de Datos: Responsable vs. Encargado del Tratamiento

Para garantizar una adecuada distribución de responsabilidades jurídicas conforme a los estándares globales:

• Atokei como RESPONSABLE DEL TRATAMIENTO (Data Controller): Atokei actúa como Responsable del Tratamiento respecto a la información personal de sus clientes directos (usuarios suscriptores, administradores de tienda, creadores registrados, datos de facturación de planes y credenciales de acceso a la plataforma).
• Atokei como ENCARGADO DEL TRATAMIENTO (Data Processor): Respecto a los datos de los compradores finales de productos físicos o digitales que ingresan pedidos en los catálogos públicos (empresa.atokei.com) o interactúan en los perfiles Bio de los creadores, el comercio o creador suscriptor actúa como el Responsable del Tratamiento independiente, y Atokei interviene exclusivamente como Encargado del Tratamiento (proveedor tecnológico de alojamiento y procesamiento bajo mandato). Corresponde a cada comercio o creador publicar su propio aviso de privacidad frente a sus clientes finales.

3. Datos Personales que Recopilamos y Finalidad

Recopilamos y tratamos las siguientes categorías de datos personales:

4. Cumplimiento Estricto con la Política de Datos de Usuario de las APIs de Google (Google API Services User Data Policy)

Respecto a los datos de perfil y cuenta obtenidos a través de la autenticación con Google (Google Sign-In y Google One Tap), declaramos de forma taxativa y vinculante:

1. Finalidad Restringida de Uso: Los únicos alcances (scopes) de datos solicitados a Google son openid, email y profile. Estos datos se utilizan con la única y exclusiva finalidad de verificar la autenticidad del usuario, emitir un token seguro de sesión interna (JWT), aprovisionar su panel de administración y personalizar su avatar e interfaz de usuario en la plataforma.
2. PROHIBICIÓN ABSOLUTA DE VENTA O TRANSFERENCIA COMERCIAL: Atokei NO vende, NO comercializa, NO arrienda ni transfiere bajo ninguna modalidad onerosa o gratuita los datos de usuarios de Google a terceras partes, incluidos corredores de datos (data brokers), intermediarios de información, agregadores publicitarios ni redes sociales.
3. PROHIBICIÓN ESTRICTA DE PUBLICIDAD: Los datos de usuarios de Google NUNCA son utilizados, cedidos ni analizados para emitir, alimentar o servir publicidad de ninguna índole, lo que incluye de forma expresa la prohibición de utilizarlos para anuncios personalizados, retargeting publicitario o publicidad basada en intereses o comportamientos.
4. PROHIBICIÓN DE ENTRENAMIENTO DE MODELOS DE INTELIGENCIA ARTIFICIAL: Los datos obtenidos mediante las APIs de Google NO son transferidos, utilizados ni procesados para entrenar, reentrenar o ajustar modelos fundacionales o generalistas de Inteligencia Artificial (AI), modelos de lenguaje extenso (LLMs) ni algoritmos generalistas de aprendizaje automático (Machine Learning).
5. RESTRICCIÓN DE ACCESO HUMANO: Ningún empleado, agente o contratista de Atokei tiene autorización para acceder, inspeccionar visualmente o leer los datos personales de Google de los usuarios, salvo en los siguientes cuatro supuestos estrictamente taxativos contemplados por Google:
   • Cuando el usuario haya otorgado su consentimiento expreso e inequívoco para que un técnico examine su perfil al atender una solicitud específica de soporte técnico.
   • Cuando sea estrictamente necesario por razones de ciberseguridad interna (por ejemplo, para investigar un intento de hackeo, suplantación o abuso flagrante de la plataforma).
   • Para dar cumplimiento a una orden judicial o mandato legal vinculante emanado de una autoridad judicial o gubernamental competente.
   • Cuando la información haya sido previamente agregada y anonimizada de manera irreversible para análisis técnicos de rendimiento del sistema.

4.1. Tratamiento en Funcionalidades de Inteligencia Artificial (Google Gemini API): Atokei ofrece herramientas opcionales de IA generativa para asistir a los comercios en la redacción de catálogos y extracción de atributos. Aclaramos taxativamente que los datos de identidad o autenticación obtenidos mediante Google OAuth NUNCA son suministrados a modelos de IA. Únicamente los textos comerciales o nombres de productos que el usuario ingrese voluntariamente para su optimización son procesados a través de las APIs empresariales de Google Cloud / Google Gemini bajo políticas de privacidad corporativas de cero retención para entrenamiento público.

5. Bases Legales para el Tratamiento

Tratamos sus datos personales únicamente al amparo de las siguientes bases jurídicas válidas:

• Ejecución del Contrato SaaS (Art. 6.1.b GDPR): El tratamiento es indispensable para brindarle acceso a su cuenta, procesar sus ventas, emitir comprobantes de inventario y mantener operativos sus catálogos y perfiles Bio.
• Cumplimiento de Obligaciones Legales y Tributarias (Art. 6.1.c GDPR): Conservación de facturas, auditorías contables y respuesta a requerimientos de autoridades judiciales o fiscales.
• Interés Legítimo (Art. 6.1.f GDPR): Garantizar la seguridad cibernética de la infraestructura multi-tenant, mitigar ataques de denegación de servicio (DDoS), prevenir fraudes con tarjetas y monitorear la latencia de los servidores.
• Consentimiento Expreso (Art. 6.1.a GDPR): Para el inicio de sesión federado voluntario con Google y para la recepción de comunicaciones operativas o comerciales cuando el usuario lo acepte explícitamente.

6. Seguridad de la Información, Cifrado y Arquitectura Técnica

Atokei implementa medidas técnicas, físicas y organizativas de nivel corporativo para salvaguardar sus datos personales contra destrucción accidental, pérdida, alteración, divulgación o acceso no autorizado:

• Cifrado de Extremo a Extremo en Tránsito: Todo el tráfico hacia y desde Atokei viaja encriptado mediante protocolo seguro TLS 1.3 / HTTPS forzoso con certificados SSL de alta solidez criptográfica.
• Cifrado en Reposo: Los repositorios de datos y copias de seguridad se encuentran cifrados bajo el estándar militar AES-256 en servidores dedicados.
• Hashing Irreversible de Credenciales: Las contraseñas de los usuarios son procesadas con algoritmos criptográficos unidireccionales de derivación de claves fuertemente salteadas; ningún operador de Atokei puede conocer o visualizar su contraseña en texto claro.
• Aislamiento Lógico Multi-Tenant: La base de datos aplica controles estrictos de control de acceso a nivel de fila y segregación por identificador único de empresa (id_empresa), garantizando que los datos de un comercio permanezcan completamente inaccesibles e invisibles para los demás clientes del sistema.
• Mitigación de Bots y Amenazas Perimetrales: Uso de Cloudflare Turnstile para verificar interacciones humanas sin vulnerar la privacidad del usuario ni rastrear información en sitios web de terceros.

7. Destinatarios de los Datos, Sub-encargados y Transferencias Internacionales

7.1. Atokei se apoya en proveedores de infraestructura tecnológica de primer nivel (Sub-encargados del tratamiento) para suministrar el servicio. Todos ellos cumplen con exigentes estándares internacionales de seguridad (certificaciones SOC 2 Tipo II, ISO/IEC 27001) y suscriben cláusulas contractuales tipo (SCCs):

8. Plazos de Conservación y Política de Retención de Datos

8.1. Cuentas Activas: Los datos personales y comerciales se conservan durante todo el tiempo en que la cuenta de usuario se mantenga activa y la suscripción vigente.

8.2. Cuentas Inactivas o Periodos de Prueba Concluidos: Si un usuario culmina su periodo de prueba de 14 días y decide no suscribirse a un plan comercial, sus catálogos e inventarios permanecerán en estado de suspensión temporal por un plazo prudencial de sesenta (60) días calendario para permitirle reactivar su información si así lo desea. Concluido dicho plazo sin reactivación, los datos operativos serán sometidos a purga o anonimización definitiva.

8.3. Retención Legal y Fiscal: Los registros de comprobantes de pago, transacciones y facturas de suscripción emitidas se conservarán por los plazos de prescripción tributaria y comercial imperativos exigidos por la ley aplicable (típicamente entre 5 y 10 años), debidamente bloqueados y con acceso restringido exclusivamente para fines fiscales o de defensa jurídica.

9. Supresión de Datos, Eliminación de Cuenta e Instrucciones de Borrado (Meta / Facebook / Google Data Deletion)

9.1. El titular tiene el derecho incuestionable de solicitar en cualquier momento la eliminación total y definitiva de su cuenta de usuario y de todos sus datos personales asociados, incluyendo aquellos vinculados a través de Google Sign-In, Google One Tap o plataformas de Meta (Facebook / WhatsApp).

9.2. Instrucciones para Solicitar la Eliminación de Datos de Usuario (Data Deletion Instructions):

1. El usuario puede solicitar la baja directamente desde el panel de configuración de su cuenta o enviando un correo electrónico formal a [email protected] desde la dirección de correo registrada en Atokei, indicando en el asunto: "Solicitud de Eliminación Definitiva de Cuenta y Supresión de Datos (User Data Deletion Request)".
2. Si inició sesión a través de Google o Meta y desea revocar el acceso y borrar sus datos, puede revocar los permisos directamente desde la configuración de seguridad de su cuenta de Google o Facebook y solicitar a Atokei la purga inmediata de su identificador y avatar.
3. Por motivos de seguridad, nuestro equipo de soporte verificará la identidad del solicitante mediante autenticación de dos factores o confirmación por correo registrado.
4. Una vez verificada la solicitud, en un plazo máximo de treinta (30) días calendario, Atokei procederá a la destrucción segura, purga irreversible o disociación total (anonimización) de todos los datos personales, catálogos, archivos digitales y credenciales vinculados a la cuenta, emitiendo la confirmación respectiva.

10. Derechos Globales de los Titulares de Datos (Estándar Internacional)

Independientemente del país donde resida o acceda, Atokei garantiza a todos sus usuarios el ejercicio de los siguientes derechos de autodeterminación informativa:

• Derecho de Acceso: Conocer qué datos personales tratamos sobre usted y recibir una copia comprensible de los mismos.
• Derecho de Rectificación: Solicitar la corrección o actualización de datos incompletos, inexactos o desactualizados.
• Derecho de Supresión (Derecho al Olvido): Solicitar la eliminación de sus datos cuando hayan dejado de ser necesarios o cuando revoque su consentimiento.
• Derecho a la Limitación del Tratamiento: Solicitar que suspendamos temporalmente el tratamiento de sus datos en tanto se resuelven dudas sobre su exactitud o licitud.
• Derecho a la Portabilidad de los Datos: Recibir los datos personales que nos haya facilitado en un formato estructurado, interoperable y de uso común (por ejemplo, exportación de catálogos o clientes en formato CSV/JSON).
• Derecho de Oposición: Oponerse al tratamiento de sus datos por motivos legítimos derivados de su situación particular.
• Derecho a Revocar el Consentimiento: Retirar en cualquier momento cualquier consentimiento previamente otorgado, sin que ello afecte la licitud del tratamiento previo.

Para ejercitar cualquiera de estos derechos, basta con remitir un correo electrónico a [email protected]. La tramitación es completamente gratuita.

11. Política de Cookies y Tecnologías de Almacenamiento Local

11.1. Atokei utiliza cookies y almacenamiento local (LocalStorage) en su navegador únicamente con las siguientes finalidades técnicas y operativas:

• Cookies Técnicas y de Sesión (Estrictamente Necesarias): Mantener autenticada la sesión del usuario a través de tokens JWT firmados, recordar el carrito de compras en catálogos y prevenir ataques de falsificación de peticiones en sitios cruzados (CSRF). No pueden ser desactivadas en nuestros sistemas.
• Cookies de Seguridad y Verificación: Utilizadas por Cloudflare Turnstile para verificar que las solicitudes provienen de navegadores humanos reales y bloquear tráfico automatizado o fraudulento.
• Servicios de Mapas y Geolocalización: Las tiendas que emplean Google Maps Platform para el cálculo de delivery pueden interactuar con cookies y telemetría geoespacial procesada directamente por Google conforme a su política de privacidad.
• Píxeles y Scripts de Terceros en Atokei Bio: Cuando un creador o comercio inserta píxeles publicitarios propios (como Meta Pixel o Google Tag Manager) en su perfil, las cookies generadas corresponden a dichas plataformas de terceros. El titular del perfil Bio es el responsable exclusivo de informar a sus visitantes y recabar el consentimiento de cookies que resulte exigible.

12. Privacidad de Menores de Edad

Nuestros servicios están dirigidos exclusivamente a profesionales, comercios y creadores con plena capacidad jurídica. Atokei no recopila conscientemente datos personales de menores de edad (menores de 18 años o la edad mínima establecida en la jurisdicción del usuario). Si un padre, madre o tutor legal toma conocimiento de que un menor nos ha suministrado información personal sin su consentimiento, deberá notificarnos de inmediato a [email protected] y procederemos a la inmediata eliminación de dicha cuenta y datos.

13. Modificaciones a la Presente Política

Atokei se reserva el derecho de actualizar esta Política de Privacidad periódicamente para reflejar mejoras operativas, nuevas funcionalidades tecnológicas o exigencias legales. Cada versión incluirá la fecha de "Última actualización" en la parte superior. En caso de cambios sustanciales que afecten sensiblemente la forma en que tratamos sus datos, lo notificaremos mediante un aviso destacado en su panel de administración o mediante correo electrónico antes de que la modificación entre en vigor.

14. Canal de Privacidad, Delegado de Protección de Datos y Contacto

Si tiene preguntas, inquietudes, consultas sobre el tratamiento de sus datos o desea presentar una reclamación en materia de privacidad o cumplimiento con las directivas de Google, puede comunicarse directamente con nuestro canal oficial de privacidad y cumplimiento internacional: