Política de privacidad

Quién es responsable de tus datos

Trazza Pro es una plataforma para negocios de belleza que se opera desde Santiago de Chile. Esta política explica qué datos personales tratamos, para qué, dónde se guardan y qué derechos tienes.

Trazza es responsable del tratamiento de los datos de acceso de las cuentas de usuario (nombre, correo, contraseña, idioma, preferencias de avisos y registros de seguridad), de las solicitudes de demostración que llegan desde nuestra página y de la analítica de las páginas públicas.

Los datos que cada negocio carga sobre sus clientes finales y su equipo, y el rol, las sucursales asignadas y el registro de actividad de sus usuarios, son de ese negocio, que es el responsable. Trazza los trata por su cuenta, como encargado, según el Acuerdo de tratamiento de datos.

Qué datos tratamos

Cuentas de usuario: nombre, correo, idioma, foto si la agregas, rol, negocio y sucursales asignadas, preferencias de avisos y los avisos que recibes dentro de la plataforma. Tu contraseña se guarda solo como hash, nunca en texto legible.

Seguridad: intentos fallidos de inicio de sesión, con el correo usado, el navegador y una huella irreversible de la dirección IP, y registros de límites de uso. En estos registros no guardamos la dirección IP en texto legible.

Solicitudes de demostración: tu nombre, el nombre de tu negocio, tu correo, tu WhatsApp, tu Instagram si lo indicas, tu mensaje y tu idioma.

Datos que carga cada negocio: de sus clientes finales, nombre, correo, teléfono, documento de identidad, fecha de nacimiento, comuna o barrio, canal de contacto preferido, consentimiento de contacto, notas, citas y compras; y de su equipo, nombre, contacto, cargo, horarios, ausencias, comisiones, sueldos, anticipos y propinas.

Archivos: comprobantes de gastos, fotos de comprobantes del POS, logos y fotos del equipo para el sitio público.

Registros de actividad: quién hizo cada cambio y cuándo, y un registro de cada correo enviado con su destinatario, su asunto y su contenido.

Datos del negocio: razón social, identificador tributario, rubro, teléfonos, direcciones y redes sociales. No guardamos datos de tarjetas de pago.

Para qué usamos los datos y con qué base legal

Prestar el servicio: crear y proteger tu cuenta, mostrar a cada usuario solo lo que su rol permite y hacer funcionar la agenda, la caja, las ventas y los informes. La base es la ejecución del contrato con el negocio y, para las personas que este invita, nuestro interés legítimo en prestarles el servicio que el negocio contrató.

Proteger la plataforma: limitar intentos de acceso, detectar abusos y registrar los cambios para que se puedan auditar. La base es nuestro interés legítimo en mantener el servicio seguro.

Responder solicitudes de demostración por WhatsApp o por correo. La base es tu propia solicitud, y usamos esos datos solo para contactarte sobre Trazza.

Enviar correos del servicio, como recuperación de contraseña, invitaciones y avisos de caja. En nombre de cada negocio, también confirmaciones y recordatorios de citas a sus clientes finales, solo cuando el negocio registró su correo y su consentimiento de contacto.

Los recordatorios por WhatsApp no salen de nuestros servidores: el negocio los envía desde su propio dispositivo con un enlace de WhatsApp, y solo si la persona dio su consentimiento. Trazza no tiene integración con la API de WhatsApp.

Medir el uso de las páginas públicas con Google Analytics, solo si aceptas la analítica. La base es tu consentimiento, que puedes retirar cuando quieras.

Cumplir obligaciones legales y atender requerimientos de autoridades competentes.

No vendemos datos personales, no los usamos para publicidad de terceros y no los usamos para entrenar modelos de inteligencia artificial.

Dónde se guardan los datos

La aplicación funciona en Vercel, en la región de São Paulo (Brasil), y la base de datos está en Neon, sobre la infraestructura de AWS en São Paulo (Brasil). Los archivos que subes se guardan en el almacenamiento de archivos de Vercel, cuya región todavía estamos confirmando.

Algunos proveedores que necesitamos para funcionar están fuera de Brasil, probablemente en Estados Unidos: Resend para los correos, OpenAI para la inteligencia artificial, Google para la analítica y los mapas, y Cloudflare para el DNS y la protección contra bots. El almacenamiento de archivos de Vercel también podría estar fuera de Brasil. Usarlos implica transferencias internacionales de datos.

Limitamos lo que enviamos a cada proveedor a lo necesario para su función. Cuando la ley de un país exige garantías específicas para estas transferencias, como cláusulas contractuales, trabajamos para aplicarlas; el detalle de cada país está en el Marco legal por país.

Proveedores que tratan datos

Usamos estos proveedores para prestar el servicio: Vercel (alojamiento, funciones y archivos), Neon (base de datos), Resend (correo), OpenAI (inteligencia artificial, solo si tu plan la incluye y está activada), Cloudflare (DNS y verificación contra bots), Google Analytics (analítica, solo con tu consentimiento) y Google Maps (mapa en los sitios de los negocios).

Los que tratan los datos de los negocios por cuenta de Trazza, con la finalidad y la ubicación de cada uno, están en el Acuerdo de tratamiento de datos. Google Analytics y Cloudflare Turnstile los usamos para fines propios, como responsables.

Las tipografías se sirven desde nuestros propios servidores, así que tu navegador no se conecta con Google para cargarlas.

Cuánto tiempo guardamos los datos

Algunos datos se borran solos: los intentos fallidos de inicio de sesión a los 30 días, los registros de límites de uso a los 7 días, los contadores de cuota de inteligencia artificial a los 62 días y los enlaces QR para subir fotos del POS 24 horas después de vencer.

Los códigos para recuperar la contraseña sirven por 15 minutos y una sola vez. Las invitaciones vencen a las 48 horas. Las sesiones duran 30 días.

El resto de los datos se conserva mientras la cuenta del negocio está activa y, después, el tiempo necesario para cumplir obligaciones legales o hasta que el negocio pida su eliminación. Esa eliminación se hace a pedido e incluye, en un paso aparte, los registros de actividad y los archivos del negocio.

Un negocio puede eliminar a un cliente final que no tiene ventas ni citas; si las tiene, puede desactivarlo. Aun así, el registro de auditoría conserva el nombre, el documento, el correo y el teléfono del registro eliminado, para mantener la trazabilidad de los cambios.

Hoy no hay plazos de borrado automático para los registros de auditoría, los registros de correos enviados ni las solicitudes de demostración. Tampoco hay borrado automático para los registros de uso de inteligencia artificial, los códigos de verificación, las invitaciones vencidas, los avisos dentro de la plataforma ni las sesiones vencidas. Si definimos plazos, actualizaremos esta política.

Tus derechos

Según la ley de tu país, puedes pedir acceso a tus datos, su rectificación y su eliminación, oponerte a ciertos usos, pedir su portabilidad y, cuando corresponda, la limitación o el bloqueo del tratamiento. También puedes retirar tu consentimiento cuando lo hayas dado, sin afectar lo hecho antes.

El nombre de estos derechos cambia según el país: derechos ARCO en México y Perú, ARCO-POL en El Salvador, habeas data en Colombia y Argentina, direitos do titular en Brasil. El Marco legal por país resume cada caso.

Si no te respondemos o no estás conforme con la respuesta, puedes reclamar ante la autoridad de protección de datos de tu país, cuando exista.

Cómo ejercer tus derechos

Si tienes una cuenta en Trazza o nos escribiste desde el formulario de demostración, escríbenos por el canal de contacto indicado al final de esta página.

Si eres cliente o colaborador de un negocio que usa Trazza, dirígete primero a ese negocio: es el responsable de tus datos y puede corregirlos desde la plataforma y, en el caso de las fichas de clientes, exportarlas en CSV; para otros datos puede pedirnos una copia. Si nos escribes a nosotros, le enviaremos tu solicitud y lo ayudaremos a responderla.

Podemos pedirte que confirmes tu identidad antes de entregar o cambiar datos. Respondemos dentro de los plazos que fija la ley aplicable.

Cómo protegemos los datos

Las contraseñas se guardan con scrypt, un algoritmo de hash con sal aleatoria, y los tokens de sesión se guardan solo como hash. Los códigos de recuperación y los enlaces de invitación se verifican contra un hash, pero una copia del correo que los contiene queda en el registro de envíos.

Todo el tráfico viaja cifrado por HTTPS con HSTS, y las páginas usan una política de seguridad de contenido (CSP) con un valor único en cada respuesta. La conexión con la base de datos también va cifrada.

Limitamos los intentos de inicio de sesión, de recuperación de contraseña y de envío de formularios, y revisamos cada día señales de ataque, como pruebas masivas de contraseñas.

Cada negocio ve solo sus propios datos. El aislamiento entre negocios se comprueba en el servidor en cada acción, la base de datos rechaza referencias cruzadas entre negocios y hay pruebas automáticas que lo verifican.

Los comprobantes y documentos privados se guardan en un almacenamiento separado y solo se entregan después de verificar la sesión y los permisos de quien los pide.

Los accesos del equipo de Trazza a cuentas de clientes quedan registrados en la auditoría.

Ningún sistema es infalible. Si detectamos un incidente que afecte tus datos, te avisaremos como lo exija la ley.

Inteligencia artificial

El asistente y la lectura de comprobantes del POS usan OpenAI. Las llamadas salen solo desde nuestros servidores: tu navegador no se conecta con el proveedor de inteligencia artificial.

Qué se envía: tu pregunta, el historial de la conversación que guarda tu navegador, tu nombre visible, tu rol y el nombre del negocio. En las preguntas sobre números se envían también resultados agregados que tus permisos te dejan ver, como nombres del equipo con sus servicios, ventas, comisiones y anticipos, nombres de productos y servicios, gastos y cantidad de citas por estado. En la lectura de comprobantes se envía la foto del comprobante.

Qué no se envía: ningún informe del asistente lee las fichas de los clientes finales, así que el sistema no envía sus nombres, correos, teléfonos, documentos ni fechas de nacimiento. Pero si escribes datos personales en tu pregunta, se envían tal como los escribes, así que evita incluirlos.

Del asistente, Trazza no guarda el texto de tus preguntas ni de las respuestas, solo datos de uso como el modelo, los tokens, el costo y el resultado. En la lectura de comprobantes guardamos la foto y la lectura extraída junto al cierre de caja. OpenAI puede conservar los datos que recibe según las políticas de su API.

El asistente no toma decisiones con efectos legales sobre nadie: solo consulta y responde.

Menores de edad

Trazza es un servicio para negocios y no está dirigido a niñas, niños ni adolescentes.

Un negocio puede registrar a clientes finales menores de edad, por ejemplo con su fecha de nacimiento. Lo hace bajo su propia responsabilidad y debe contar con la autorización de sus padres o representantes cuando la ley lo exija.

Cuándo entra el equipo de Trazza a una cuenta

Algunas personas de Trazza pueden entrar al panel de un negocio para dar soporte, ayudar con la configuración o, si tienen asignada esa cuenta, revisar su uso y su configuración. El negocio autoriza ese acceso en los Términos y condiciones.

Para hacerlo necesitan un rol de plataforma y, salvo la administración general de Trazza, estar asignadas a ese negocio. Cada ingreso queda registrado en la auditoría junto con su rol, y el acceso dura como máximo 8 horas antes de tener que volver a entrar.

Ese acceso se usa solo para esos fines.

Cambios a esta política

Si cambiamos esta política, actualizaremos la fecha de esta página. Si el cambio es relevante, también te avisaremos dentro de la plataforma o por correo.

Contacto

Para cualquier consulta sobre privacidad o para ejercer tus derechos, usa el canal de contacto indicado al final de esta página.