Política de privacidad y protección de datos

1. Quién responde por tus datos

El responsable del tratamiento es JBK SOLUCIONES DE SOFTWARE SOFTCRAFT S.A.S., con RUC 1091799991001 y domicilio en Calle Manuela Cañizares e intersección Los Galeanos, s/n, parroquia Ibarra, cantón Ibarra, provincia de Imbabura, Ecuador (referencia: a una cuadra del Centro de Revisión Vehicular), que opera comercialmente como Canjex.

Para cualquier asunto de privacidad, incluido el ejercicio de tus derechos, escribe a legal@canjex.com o llama al +593 96 753 2544.

2. Dos papeles distintos, y conviene no confundirlos

Esta es la parte que más se malinterpreta, así que va primero. Canjex trata datos personales en dos situaciones que la LOPDP considera diferentes:

• Como responsable. Cuando los datos son de nuestros propios usuarios: el comercio que contrata el servicio, las personas de su equipo con cuenta, la facturación y el soporte. Ahí decidimos nosotros para qué se usan, y respondemos nosotros.
• Como encargado. Cuando los datos son de los clientes del comercio, capturados a través de su programa de fidelización. Ahí el responsable es el comercio: define él la finalidad, y nosotros tratamos esos datos siguiendo sus instrucciones y para sus fines, no para los nuestros.

La consecuencia práctica: si eres cliente de un comercio y quieres ejercer tus derechos sobre los datos de tu cartilla, puedes escribirnos y te encaminamos, pero quien responde formalmente es el comercio. Las condiciones de ese encargo se pactan por escrito con cada comercio en el anexo correspondiente de su contrato.

3. Qué datos tratamos

3.1 En este sitio web

El formulario de contacto de esta página pide cuatro datos obligatorios —nombre del negocio, nombre de la persona, número de WhatsApp y categoría del negocio — y un correo electrónico opcional. No hay creación de cuenta aquí: es una solicitud para que te contactemos.

Junto con eso, capturamos automáticamente datos de origen de la visita: el país (inferido de tu dirección IP, no preguntado), de qué página venías (referrer), por cuál página de este sitio entraste primero, y los parámetros UTM de la campaña si llegaste desde un anuncio o enlace de marketing. Los usamos solo para saber qué canal atrajo el contacto, no para perfilarte.

Además, como en cualquier sitio web, el servidor registra datos técnicos de la conexión (dirección IP, tipo de navegador, fecha y hora).

3.2 En el producto

• Del comercio y su equipo: datos de contacto, credenciales de acceso, sucursal asignada y registros de actividad en la aplicación de caja.
• Del cliente final: su número de teléfono, que es el identificador con el que entra. Si además decide completar su perfil: nombre y apellido, correo, cédula, ciudad, género y fecha de nacimiento. Todo eso es opcional, puede vaciarlo cuando quiera, y la cartilla funciona igual solo con el teléfono.
• Datos generados por el uso: sellos acumulados, cartillas completadas, premios emitidos y canjeados, y las fechas de cada uno. Esta información describe hábitos de consumo y por tanto es dato personal, aunque nadie la haya escrito en un formulario.

4. Para qué los usamos y con qué base legal

Cada finalidad tiene su propia base. No las agrupamos en un «para mejorar el servicio».

• Atender tu solicitud de contacto — base: tu consentimiento al enviar el formulario. Si no quieres que te contactemos más, basta con decírnoslo.
• Prestar el servicio contratado (operar cartillas, sellos y premios) — base: ejecución del contrato con el comercio.
• Identificar al cliente en la caja — base: ejecución del programa de fidelización en el que la persona decidió participar.
• Prevenir el fraude (por ejemplo, sellos regalados por un cajero) — base: interés legítimo del comercio en que su programa no se vacíe.
• Enviar comunicaciones comerciales — base: consentimiento, pedido aparte y retirable en cualquier momento con la misma facilidad con que se dio.
• Cumplir obligaciones legales y tributarias — base: obligación legal.

5. Cuánto tiempo los guardamos

• Datos del formulario de contacto:12 meses desde el último contacto, salvo que antes pidas su eliminación o que la relación comercial comience.
• Datos de la relación con el comercio: mientras dure el contrato y, después, el plazo que exija la normativa tributaria y contable ecuatoriana.
• Actividad de la cartilla: mientras el programa esté activo. Los registros de sellos y canjes son inmutables por diseño: no se editan ni se borran uno a uno, porque son la prueba de lo que ocurrió en la caja.

«Mientras sea necesario» no es un plazo, y por eso no lo usamos como respuesta.

6. Quién más ve estos datos

No vendemos datos personales, y no los usamos para fines propios cuando actuamos como encargados. Trabajamos con estos proveedores, que los tratan siguiendo nuestras instrucciones:

• Resend (este sitio) — Envío del correo con los datos del formulario de contacto. Datos implicados: Nombre, negocio, WhatsApp y categoría enviados en el formulario. Presta el servicio desde fuera del Ecuador.
• Resend (producto, vía svc-loyalty) — Verificación del correo del cliente, recuperación de contraseña de empleados, y avisos automáticos de fidelización (bienvenida, premio disponible, recibo de canje). Datos implicados: Correo electrónico del destinatario y el contenido del mensaje (asunto y cuerpo, incluye el nombre del comercio y el avance de la cartilla cuando aplica). Presta el servicio desde fuera del Ecuador.
• Vercel — Alojamiento y entrega de este sitio web. Datos implicados: Datos técnicos de la conexión (IP, navegador) en registros de servidor. Presta el servicio desde fuera del Ecuador.
• Cloudflare (R2) — Almacenamiento de las imágenes que el comercio sube a su programa. Datos implicados: Logo, banner e imágenes de los premios. No contiene datos del cliente final. Presta el servicio desde fuera del Ecuador.
• Meta Platforms (WhatsApp Cloud API) — Envío del código de verificación (OTP) por WhatsApp al iniciar sesión o registrarte. Datos implicados: Número de teléfono del cliente y el código de verificación enviado. Presta el servicio desde fuera del Ecuador.
• Google (Wallet API) — Emisión del pase de la cartilla en Google Wallet, únicamente si el cliente decide agregarlo. Datos implicados: Identificador del pase, nombre del comercio y avance de sellos mostrado en la tarjeta. Presta el servicio desde fuera del Ecuador.
• Hetzner Online GmbH (Alemania) — Alojamiento de los servidores y de la base de datos donde vive el programa de fidelización. Datos implicados: Todos los datos del producto: cuentas de comercio, clientes registrados, sellos, premios y canjes. Presta el servicio desde fuera del Ecuador.
• Servicio de notificaciones push del navegador (Google, Mozilla o Apple) — Entrega de los avisos push a tu dispositivo si los activaste. Datos implicados: La dirección de entrega que genera tu navegador. El contenido del aviso viaja cifrado y el intermediario no puede leerlo. Presta el servicio desde fuera del Ecuador.

7. Transferencias fuera del Ecuador

Nuestra infraestructura está alojada fuera del país —en la Unión Europea y en Estados Unidos, según el proveedor de la lista anterior—, de modo que tus datos se transfieren internacionalmente. Lo decimos explícitamente porque callarlo es en sí mismo un incumplimiento, aunque el proveedor sea seguro.

Esa transferencia se ampara en dos cosas. Primero, es necesaria para ejecutar el servicio que pediste: no hay forma de operar una cartilla digital sin un servidor que la guarde, ni de mandarte un aviso por WhatsApp sin pasar por WhatsApp. Segundo, con cada uno de los proveedores de la lista anterior rige un acuerdo de tratamiento de datos que le obliga a tratarlos solo bajo nuestras instrucciones, a protegerlos con medidas técnicas y organizativas, y a devolverlos o eliminarlos cuando termine el servicio.

Si la Superintendencia de Protección de Datos Personales fija un régimen más exigente para alguno de estos destinos, nos ajustamos a él y actualizamos esta política.

8. Tus derechos

Puedes ejercer, sin costo, tus derechos de acceso, rectificación, eliminación, oposición, portabilidad, así como limitar el tratamiento y no ser objeto de decisiones automatizadas que te afecten significativamente. Escribe a legal@canjex.com indicando qué derecho ejerces.

Responderemos dentro del término de diez (10) días que fija el artículo 62 de la LOPDP. Si consideras que no atendimos bien tu solicitud, puedes presentar un reclamo ante la Superintendencia de Protección de Datos Personales del Ecuador.

8.1 Qué significa «eliminar» en la práctica

Conviene ser exacto en lugar de prometer de más. Cuando pides la eliminación de tus datos, inutilizamos de forma irreversible la información que te identifica, de modo que tu actividad pasada deja de poder vincularse contigo. Lo que no hacemos es borrar los registros contables y de operaciones que la ley obliga a conservar, ni reescribir copias de seguridad ya creadas: esas caducan por sí solas en su propio ciclo.

9. Menores de edad

Un programa de fidelización en un local va a ser usado por menores, así que preferimos decir con exactitud qué ocurre en lugar de prometer una barrera que no existe.

• Para participar solo hace falta un número de teléfono. El sistema no comprueba la edad en ese momento, porque no tiene con qué: nadie declara su edad para recibir un sello.
• Si la persona decide completar su perfil e incluir su fecha de nacimiento, el sistema rechaza una edad menor de 12 años. Ese es el único control automático que existe hoy, y solo actúa sobre ese campo.
• El tratamiento de datos de un niño, niña o adolescente requiere la autorización de su padre, madre o representante legal. Quien tiene delante a la persona en el mostrador es el comercio, así que es el comercio quien debe recabar y conservar esa autorización antes de inscribirlo en su programa. Nosotros no estamos en la caja y no podemos comprobarlo por él.
• Si nos avisan de que tenemos datos de un menor sin esa autorización, los eliminamos sin pedir explicaciones ni exigir formalidades. Escribe a legal@canjex.com.

10. Decisiones automáticas

El sistema aplica reglas automáticas: cuenta sellos, marca una cartilla como completa, emite un premio y puede bloquear un sello por sospecha de fraude. Son reglas fijas y comprobables, no perfilado que decida sobre ti de forma opaca. Si un bloqueo antifraude te afecta, el comercio puede revisarlo y resolverlo con intervención humana.

11. Seguridad

Los datos personales se almacenan cifrados y viajan cifrados. El acceso está segmentado por comercio, de modo que un negocio no puede ver los datos de otro. El personal de caja ve el teléfono del cliente enmascarado, nunca completo, porque para atender en la caja no hace falta el número entero. Las acciones sensibles quedan registradas para poder auditarlas.

No afirmamos tener ninguna certificación de seguridad, porque no la tenemos.

Si ocurre una vulneración de seguridad que ponga en riesgo tus derechos, lo notificamos a la Superintendencia de Protección de Datos Personales dentro de cinco (5) días de conocerla, y a ti directamente dentro de tres (3) días, salvo que la información ya esté protegida de forma efectiva (por ejemplo, cifrada) o notificarte exija un esfuerzo desproporcionado — en ese caso lo comunicamos públicamente en su lugar. Son los plazos de los artículos 43 y 46 de la LOPDP.

12. Cookies

Este sitio no usa cookies de rastreo ni de terceros. El detalle está en la página de cookies, que se actualiza antes de activar cualquier cookie no esencial.

13. Cambios en esta política

Si cambiamos algo relevante lo avisaremos por los medios de contacto que tengamos, y la nueva versión indicará su fecha de vigencia. Seguir usando el servicio no equivale a aceptar un cambio sustancial del que no te hayamos avisado de verdad.