Política de privacidad

Cartero es una aplicación de Shopify operada por Gocode Informática SpA ("Cartero", "nosotros"). Permite a un comerciante enviar mensajes de WhatsApp a sus propios clientes para recuperar carritos abandonados y confirmar pedidos.

Esta política explica qué datos maneja Cartero, para qué, con quién se comparten y cómo pedir que se eliminen. Cubre la aplicación Cartero y el sitio carteroapp.com.

En caso de discrepancia entre esta versión y la versión en inglés, prevalece la versión en inglés.

1. Nuestro rol y el del comerciante

Hay dos relaciones distintas:

• Comerciantes. Respecto de los datos de la cuenta del comerciante que instala Cartero, actuamos como responsables del tratamiento.
• Compradores. Respecto de los datos personales de los clientes del comerciante, el comerciante es el responsable del tratamiento y Cartero es encargado. Tratamos los datos de los compradores solo por instrucción del comerciante, para entregar los mensajes que él configuró. No los usamos para fines propios.

Si eres un comprador que recibió un mensaje de WhatsApp y quieres que se eliminen tus datos, lo más rápido es contactar a la tienda que te escribió. También puedes escribirnos a privacy@carteroapp.com y lo gestionaremos — ver la sección 7.

2. Datos que recopilamos

Datos del comerciante y de la tienda

Obtenidos de Shopify al instalar la aplicación:

• Nombre de la tienda, dominio myshopify e identificador de Shopify
• Correo de la tienda y correo de contacto, teléfono
• Razón social, país, ciudad, zona horaria, moneda e idioma
• Plan de Shopify y si es una tienda de desarrollo
• Un token de acceso a la API de Shopify, almacenado cifrado

Datos de los compradores

Obtenidos de la tienda Shopify del comerciante, limitados a carritos abandonados y pedidos:

• Nombre y apellido
• Número de teléfono — es el dato del que depende el servicio, porque es el destino en WhatsApp
• Monto y moneda del carrito, y la URL de recuperación que genera Shopify
• Los identificadores de cliente y de pedido de Shopify
• Si el comprador aceptó recibir comunicaciones de marketing
• Fechas de creación, abandono y completado del carrito

No recopilamos correos electrónicos de los compradores, ni direcciones postales, ni datos de pago o de tarjetas. Cartero nunca ve información de pago.

Registro de mensajes

• El texto de cada mensaje enviado, el paso de la automatización al que correspondía y la fecha de envío
• El estado de entrega o el error que devuelve Meta

Datos de la conexión con WhatsApp

• ID de la cuenta de WhatsApp Business, ID del número y el número visible que conectó el comerciante
• Un token de acceso de Meta, almacenado cifrado

Datos técnicos y del sitio

Registros del servidor con dirección IP, agente de usuario y URL solicitada, conservados por razones operativas y de seguridad. Usamos una cookie de sesión estrictamente necesaria para que la aplicación funcione dentro del panel de Shopify. No usamos cookies de publicidad ni de analítica.

3. Cómo usamos los datos

No vendemos datos personales, ni usamos datos de compradores para publicidad ni para entrenar modelos de aprendizaje automático. No escribimos a los compradores por cuenta propia: cada mensaje se envía en nombre del comerciante y con el contenido que él definió.

4. Con quién compartimos datos

• Meta Platforms — para entregar los mensajes por la WhatsApp Business Cloud API transmitimos el teléfono del comprador y el contenido del mensaje. Meta los trata según sus propios términos. La cuenta de WhatsApp Business es del comerciante, y Meta le cobra directamente los mensajes.
• Shopify — origen de los datos de la tienda y de los carritos, y procesador del cobro de la suscripción.
• Nuestro proveedor de hosting — DigitalOcean, LLC, donde corren la aplicación y la base de datos.
• Proveedores de correo — Namecheap, que reenvía el correo dirigido a nuestras direcciones; Google (Gmail), donde se guardan los buzones de soporte y privacidad; y Amazon Web Services (Amazon SES), que envía nuestras respuestas. Solo manejan lo que viene en la correspondencia, como los datos de contacto de un comerciante o el número que un comprador incluye al pedir que se borren sus datos.
• Requerimientos legales — cuando la ley nos obligue a entregar datos, o para proteger nuestros derechos o la seguridad de terceros.

No usamos otros encargados externos y no compartimos datos con redes publicitarias ni con corredores de datos.

5. Bases legales

Donde aplica el GDPR, invocamos: la ejecución de un contrato, para los datos de la cuenta del comerciante; el interés legítimo, para la seguridad y la operación del servicio; y, para los datos de los compradores, la base legal que establezca el comerciante como responsable — típicamente el consentimiento para mensajes de marketing, o la ejecución del contrato para confirmaciones de pedido. Es responsabilidad del comerciante contar con una base legal válida para escribir a sus clientes (ver los Términos y condiciones).

6. Conservación

Conservamos los datos personales solo mientras sirvan a la finalidad para la que se recogieron. En concreto:

• Datos identificatorios del comprador — el nombre, el teléfono, el ID de cliente de Shopify y la URL de recuperación del carrito se borran 90 días después de creado el carrito. Un carrito deja de tener valor de recuperación mucho antes: nuestra ventana de atribución es de 72 horas y las secuencias de mensajes corren en pocos días.
• Estadísticas anónimas de carritos — una vez borrados los campos anteriores, la fila deja de ser un dato personal, y conservamos el monto y las fechas para que el comerciante pueda ver su historial de recuperación en el tiempo.
• Registro de mensajes — el texto de cada mensaje se borra en el mismo plazo de 90 días, porque lleva el nombre del comprador.
• Datos de la tienda y de la cuenta del comerciante — se eliminan al recibir el webhook shop/redact de Shopify, que Shopify envía 48 horas después de que el comerciante desinstala la aplicación.
• Tokens de acceso — se eliminan de inmediato al desinstalar, o cuando el comerciante desconecta su cuenta de WhatsApp.
• Registros del servidor — hasta 90 días.

Una solicitud de eliminación anticipada según la sección 7 prima sobre todo lo anterior.

7. Tus derechos y cómo eliminar datos

Según dónde vivas, puedes tener derecho a acceder, corregir, exportar, limitar o eliminar tus datos personales, a oponerte al tratamiento y a presentar un reclamo ante una autoridad de control.

Comerciantes. Desinstalar Cartero desde el panel de Shopify inicia la eliminación de los datos de tu tienda. Para pedir acceso o eliminación inmediata, escribe a privacy@carteroapp.com.

Compradores. Contacta a la tienda que te escribió, o escríbenos a privacy@carteroapp.com indicando la tienda y el número que recibió el mensaje. Atendemos los webhooks obligatorios de privacidad de Shopify (customers/data_request, customers/redact y shop/redact), así que una solicitud hecha desde el panel de Shopify del comerciante nos llega automáticamente.

Respondemos las solicitudes dentro de 30 días.

8. Seguridad

Todo el tráfico va cifrado en tránsito con TLS. Los tokens de acceso de Shopify y de Meta se almacenan cifrados con AES-256-GCM, con una clave que vive fuera de la base de datos. Cada consulta a la base de datos en Cartero está acotada a una sola tienda, de modo que un comerciante no puede leer los datos de otro. El acceso a los sistemas de producción está restringido al personal que lo necesita.

Ningún sistema es perfectamente seguro. Si detectamos una brecha que afecte datos personales, notificaremos a los comerciantes afectados y a las autoridades correspondientes según lo exija la ley.

9. Transferencias internacionales

Nuestros servidores están en Nueva York, Estados Unidos (DigitalOcean, región NYC1). Meta, Shopify y nuestros proveedores de correo pueden tratar datos en otros países bajo sus propios mecanismos de transferencia. Donde aplica el GDPR, las transferencias se amparan en Cláusulas Contractuales Tipo o en una decisión de adecuación.

10. Menores de edad

Cartero es una herramienta para empresas y no está dirigida a menores. No recopilamos a sabiendas datos de personas menores de 16 años.

11. Cambios

Podemos actualizar esta política. Los cambios relevantes se anunciarán en la aplicación y se actualizará la fecha de arriba. Seguir usando Cartero después de un cambio implica aceptar la política revisada.

12. Contacto

Gocode Informática SpA
privacy@carteroapp.com