Acuerdo de tratamiento de datos

El Responsable decide para qué se recogen los datos de sus clientes (nombre, correo, visitas, sellos y premios). El Encargado los trata solo para prestar el servicio de Marea, según este acuerdo y las instrucciones del Responsable que da la propia plataforma (configuración del programa, empleados, exportaciones). Entregar datos al Encargado no es una transferencia (Reglamento, art. 40).

• Trata los datos solo para operar el programa; no los usa para fines propios, no los vende, no los cede ni los cruza con los de otros negocios.
• Pide y guarda el consentimiento de cada cliente en nombre del Responsable, con la versión de la política y la fecha.
• Da a cada cliente medios gratuitos e inmediatos para acceder, rectificar, revocar y suprimir sus datos.
• Mantiene medidas de seguridad técnicas y organizativas: cifrado en tránsito, control de acceso por roles, reglas de seguridad en la base de datos, PIN con bloqueo, bitácoras.
• Guarda confidencialidad, también después de terminado el servicio, y exige lo mismo a su personal y proveedores.
• Avisa al Responsable por correo a más tardar 24 horas después de detectar una vulneración, con la información del art. 39, y le prepara el aviso para los afectados y la PRODHAB, que debe darse dentro de los 5 días hábiles desde que ocurrió (Reglamento, arts. 38–39).
• Ayuda al Responsable a atender las solicitudes de acceso, rectificación, revocación y supresión que le lleguen directamente.
• Permite que el Responsable verifique las medidas de seguridad (Reglamento, art. 29): a pedido, le entrega una descripción de las medidas vigentes y responde sus consultas.
• Borra las cuentas de clientes sin uso por 24 meses.
• Al terminar este acuerdo, entrega los datos al Responsable si los pide dentro de 30 días y luego los suprime, incluidas las copias de respaldo en un máximo de 30 días más (art. 31).
• No sigue instrucciones del Responsable que sean contrarias a la ley; si recibe un requerimiento de una autoridad sobre esos datos, se lo informa al Responsable salvo que la ley lo impida.

El Responsable autoriza al Encargado a apoyarse en estos proveedores, con servidores en Estados Unidos, bajo obligaciones equivalentes:

• Supabase: base de datos y acceso por correo (Estados Unidos).
• Proveedor de alojamiento web (Vercel o Railway): servidor de la aplicación (Estados Unidos).
• Resend: envío de correos (enlace de acceso y avisos) (Estados Unidos).

Si se agrega o cambia un proveedor, se avisa al Responsable por correo con al menos 30 días de anticipación; si no está de acuerdo, puede terminar el servicio sin penalidad.

• Completar en el panel sus datos legales (nombre o razón social, cédula, dirección y correo de privacidad), que aparecen en su política.
• Usar los datos solo para el programa.
• Para promociones: descargar un CSV nuevo antes de cada envío (los permisos cambian al instante) y borrar los anteriores; escribir solo a quienes tienen «acepta_promociones = sí»; identificarse como remitente e incluir en cada correo una forma válida y gratuita de darse de baja (Ley 8642, art. 44); y registrar en el panel cada baja que le pidan por otro medio en un máximo de 5 días hábiles (Reglamento, art. 8).
• Atender en 5 días hábiles las solicitudes que le lleguen directamente.
• Cuidar las exportaciones (CSV): cada descarga queda registrada en la bitácora del panel.
• Asignar los permisos de su personal y desvincular teléfonos de caja y empleados que ya no trabajen ahí.

La base de datos de un programa de lealtad es de uso interno del negocio y no se distribuye, difunde ni comercializa (Reglamento, art. 2), por lo que, en principio, no está sujeta a inscripción (Ley 8968, art. 21; Reglamento, arts. 3 y 44). Es la interpretación de Novaria Labs y no sustituye una consulta a la PRODHAB ni a un abogado. Si el Responsable vende, cede o usa los datos con otros fines, debe inscribirla.

Mientras el negocio tenga su cuenta en Marea. Cancelar el plan o dejar de pagarlo no termina este acuerdo: el programa queda en pausa y el Encargado sigue guardando los datos por cuenta del Responsable, con las mismas obligaciones, para que pueda volver cuando quiera. El acuerdo termina cuando el Responsable borra su negocio desde el panel (los datos se suprimen en ese momento) o pide la terminación por escrito. Las obligaciones de confidencialidad siguen vigentes después.

Novaria Labs avisa al Responsable al correo de la cuenta con la que administra su negocio. El Responsable escribe a alejo.rz93@gmail.com (incidentes, solicitudes de clientes, auditoría de medidas o terminación).