1.Quiénes somos

Lealty (en adelante, "Lealty", "nosotros" o "la Plataforma") es un servicio operado desde Costa Rica que ofrece herramientas de fidelización de clientes a negocios (en adelante, "Negocios") y emite tarjetas digitales para clientes finales de esos Negocios (en adelante, "Clientes").

Sitio web: https://lealty.io
Correo de contacto: info@lealty.io

2.A quién aplica esta política

Esta política aplica a:

• Dueños y empleados de Negocios que se registran en Lealty para administrar su programa de fidelidad.
• Clientes finales de esos Negocios, cuyos datos son cargados por el Negocio o por ellos mismos al escanear un QR.
• Visitantes del sitio web lealty.io.

Para los datos de Clientes finales, Lealty actúa como encargado del tratamiento y el Negocio como responsable del tratamiento. Para los datos de Dueños/empleados de Negocio y visitantes del sitio, Lealty actúa como responsable directo.

3.Qué datos recopilamos

3.1 De los Dueños y empleados del Negocio

Categoría	Ejemplos
Identificación	Nombre y apellido, foto de perfil (opcional)
Contacto	Correo, teléfono
Cuenta	Hash de contraseña, rol (dueño / manager / staff), permisos asignados
Negocio	Nombre comercial, dirección, país, vertical, logo, moneda, datos de configuración del programa
Facturación	Datos enviados a Stripe para procesar la suscripción (no almacenamos números de tarjeta)
Uso	Logs de acceso, dirección IP, dispositivo, registros de actividad en la plataforma

3.2 De los Clientes finales

Categoría	Ejemplos
Identificación	Nombre y apellido
Contacto	Teléfono (obligatorio), correo (opcional)
Demográfico	Fecha de nacimiento (opcional, para felicitaciones de cumpleaños)
Comportamiento	Historial de visitas al Negocio, puntos acumulados, sellos, recompensas canjeadas, nivel VIP alcanzado
Identificador	Código QR único asignado por Lealty
Dispositivo (Wallet)	Si guardó la tarjeta en Apple o Google Wallet: token de dispositivo emitido por Apple/Google para enviar actualizaciones del pase

No recopilamos datos de ubicación en tiempo real, contactos del teléfono, historial de navegación, ni ningún dato categorizado como "sensible" (origen racial, religión, orientación sexual, datos biométricos, salud).

3.3 De visitantes del sitio web

• Logs de servidor (IP, user-agent, página visitada, fecha)
• Datos del formulario de contacto si lo enviás (nombre, correo, mensaje)
• Cookies esenciales para mantener tu sesión si te logueás

4.Para qué los usamos

Usamos los datos exclusivamente para las siguientes finalidades:

• Operar el servicio: autenticación, sincronización de tarjetas en Wallet, registro de visitas y recompensas, generación de QRs.
• Notificaciones del Wallet: enviar actualizaciones del pase cuando el Cliente acumula puntos o cambia de nivel.
• Comunicación operativa: notificarte cambios importantes, recordatorios de facturación, alertas de seguridad.
• Marketing del Negocio hacia sus Clientes: si el Negocio activa campañas de WhatsApp o email, las enviamos en su nombre. El Cliente puede darse de baja en cualquier momento.
• Analytics agregadas: métricas anonimizadas sobre el uso del servicio para mejorar la plataforma.
• Cumplimiento legal: responder a requerimientos judiciales o de autoridades competentes.
• Prevención de fraude y abuso: detectar uso anómalo, ataques o cuentas falsas.

5.Base legal del tratamiento

Tratamos tus datos basándonos en alguna de las siguientes bases legales:

• Ejecución de contrato — para prestar el servicio que contrataste.
• Consentimiento — cuando aceptás esta política o activás funciones opcionales (cumpleaños, marketing).
• Interés legítimo — para seguridad, prevención de fraude, analytics agregadas.
• Obligación legal — para responder a autoridades o cumplir con requerimientos fiscales.

6.Con quién los compartimos

Lealty no vende información personal a terceros. Sí compartimos datos con los siguientes proveedores tecnológicos, cada uno limitado al mínimo necesario para prestar su parte del servicio:

Proveedor	Para qué	Qué datos
Amazon Web Services (AWS)	Hosting, almacenamiento de archivos (S3), envío de correos (SES)	Todos los datos operativos del servicio
Apple Inc.	Apple Wallet PassKit	Datos del pase: nombre, puntos, nivel, QR
Google LLC	Google Wallet API	Datos del pase: nombre, puntos, nivel, QR
Stripe Inc.	Procesamiento de pagos de suscripción	Datos de facturación del Negocio (no Clientes)
Twilio Inc.	Envío de mensajes WhatsApp/SMS si el Negocio activa campañas	Teléfono y mensaje del Cliente final

Cada uno opera bajo sus propias políticas de privacidad y cumplimientos. Nos aseguramos de que tengan cláusulas contractuales adecuadas para protección de datos.

7.Transferencias internacionales

Lealty opera principalmente desde Costa Rica, pero algunos de nuestros proveedores (AWS, Apple, Google, Stripe) almacenan datos en servidores ubicados en Estados Unidos u otros países. Estas transferencias se realizan con las garantías legales adecuadas: cláusulas contractuales tipo, certificaciones internacionales (ISO 27001, SOC 2) y compromisos contractuales de confidencialidad.

8.Cuánto tiempo los guardamos

• Datos del Negocio activo: mientras la cuenta esté activa.
• Datos del Negocio después de cancelar: hasta 6 meses para permitir reactivación, luego se eliminan o anonimizan.
• Datos de Clientes finales: mientras el Negocio que los administra esté activo. Si el Cliente solicita su eliminación, lo hacemos en 30 días.
• Logs técnicos: 90 días para los logs de aplicación, 12 meses para los de seguridad.
• Datos fiscales y contables: los plazos que exija la legislación aplicable (en Costa Rica, 5 años).

9.Cómo los protegemos

• Comunicaciones cifradas con TLS 1.2+ en todos los endpoints.
• Contraseñas almacenadas con hash bcrypt (nunca en texto plano).
• API keys hasheadas con SHA-256 (mostradas solo una vez al crearlas).
• Servicios separados por entornos (desarrollo, staging, producción).
• Backups encriptados en AWS S3.
• Acceso al panel solo con autenticación.
• Logs de auditoría para acciones críticas (ajuste manual de puntos, eliminación de clientes).

A pesar de estas medidas, ningún sistema es 100% seguro. Si detectamos un incidente de seguridad que afecte tus datos, te notificaremos en un plazo razonable y según lo exija la ley aplicable.

10.Tus derechos

Independientemente de tu país, podés ejercer los siguientes derechos sobre tus datos personales:

• Acceso: saber qué datos tenemos sobre vos.
• Rectificación: corregir datos incorrectos o desactualizados.
• Cancelación / Eliminación: pedir que eliminemos tus datos.
• Oposición: oponerte a tratamientos específicos (por ejemplo, marketing).
• Portabilidad: recibir una copia de tus datos en formato estructurado (JSON o CSV).
• Revocación del consentimiento: en cualquier momento, sin efectos retroactivos.

Para ejercer cualquiera de estos derechos, escribinos a info@lealty.io. Respondemos en un plazo máximo de 30 días.

Si sos residente de Costa Rica, también podés presentar una denuncia ante la Agencia de Protección de Datos de los Habitantes (PRODHAB) conforme a la Ley 8968. Si sos residente de la Unión Europea, ante la autoridad de protección de datos de tu país. En México, ante el INAI. En Colombia, ante la SIC.

11.Cookies y tecnologías similares

Lealty usa cookies estrictamente esenciales:

• lealty-session — para mantener tu sesión cuando te logueás.
• XSRF-TOKEN — para prevenir ataques de falsificación de petición.

No usamos cookies de seguimiento publicitario, ni compartimos cookies con redes sociales o anunciantes. No usamos Google Analytics ni herramientas equivalentes en el sitio público.

12.Menores de edad

Lealty no está dirigido a menores de 13 años. No recopilamos a sabiendas datos personales de niños menores de esa edad. Si descubrimos que un Cliente final menor de 13 años fue registrado sin consentimiento parental, eliminaremos su registro inmediatamente.

Para menores entre 13 y 18 años, el registro debe ser autorizado por un padre, madre o tutor legal.

13.Cambios a esta política

Podemos actualizar esta política para reflejar cambios en nuestros servicios, en la legislación aplicable o en nuestras prácticas. Cuando lo hagamos:

• Actualizaremos la fecha de "Última actualización" arriba.
• Si los cambios son significativos, notificaremos a los Dueños de Negocio por correo al menos 15 días antes de que entren en vigor.
• El uso continuado del servicio después de la fecha de vigencia implica aceptación de la nueva política.

14.Cómo contactarnos

Si tenés preguntas, dudas o querés ejercer alguno de tus derechos:

Lealty
Costa Rica
Email: info@lealty.io
Web: https://lealty.io