Política de privacidad

1. Quién es el responsable

Bridges Agents, CNPJ (registro de empresas de Brasil) 60.453.617/0001-94, es la responsable de los datos personales tratados en BridgesAgents, en los términos de la Ley General de Protección de Datos de Brasil (Ley 13.709/2018, “LGPD”). Encargado de protección de datos (DPO): [nombre del encargado, por completar], [correo del encargado, por completar].

Cuando atendemos a personas en el Espacio Económico Europeo o en el Reino Unido, aplicamos también el Reglamento General de Protección de Datos (RGPD/UK GDPR); representante en la Unión Europea: [representante en la UE, si corresponde]. Para residentes de California, seguimos la CCPA/CPRA. En los pedidos, la tienda es responsable independiente de los datos del consumidor que recibe para atender el pedido.

2. Datos que tratamos

• Personas que usan el panel (comercios y su equipo): nombre, correo electrónico, contraseña (guardada solo como hash, nunca como texto), rol y tiendas a las que accede, fecha de aceptación de estos documentos.
• Empresa y tiendas: razón social, CNPJ, direcciones, ubicación, horarios y zonas de entrega. Son datos de la empresa; pueden contener datos personales cuando el comercio es una persona física con actividad empresarial.
• Ubicación enviada por agentes: cuando un agente consulta ofertas, puede enviar el CEP (código postal de Brasil) o las coordenadas del consumidor. Lo usamos solo para calcular qué tiendas atienden esa zona y a qué distancia están; no identificamos al consumidor.
• Registros de acceso: dirección IP, fecha y hora de acceso y de uso de la API, usados para la seguridad y los límites de uso.
• Consumidores que confirman pedidos: nombre, celular, correo (opcional; obligatorio para producto digital), dirección (en la entrega y en el servicio a domicilio) y fecha pedida (servicio y reserva). Van a la tienda del pedido, que los necesita para atenderlo.
• Consentimiento para compartir: el asistente de IA que usas (su operador) recoge tu consentimiento para que los datos del pedido lleguen a BridgesAgents y se compartan con socios, según su contrato con BridgesAgents. Registramos de qué asistente vino el pedido y, si dejas de compartir, la fecha.
• Tickets de soporte: nombre, correo y lo que escribas en la conversación con el equipo.
• Señales de prevención de fraude: lo que pasa con cada pedido (hecho, cancelado, pagado, rechazado, reembolsado), el monto, el medio de pago y la zona (inicio del código postal). El correo, nombre, teléfono, documento y dirección del comprador se guardan solo como código (hash con clave secreta), nunca el dato en claro.
• Avisos del checkout de la tienda: cuando la tienda usa un checkout externo (como AppMax o Mercado Pago), nos informa el estado del pago del pedido y, si los envía, el correo, nombre, documento y teléfono del comprador, usados solo para las señales anteriores.

3. Para qué los usamos y con qué base legal

• Crear y mantener la cuenta, autenticar y prestar el servicio: ejecución de contrato (art. 7, V).
• Enviar correos de invitación, confirmación de correo, restablecimiento de contraseña y avisos operativos: ejecución de contrato.
• Prevenir fraude y abuso, aplicar límites de uso y proteger la plataforma: interés legítimo (art. 7, IX).
• Calcular el nivel de riesgo de cada pedido para la tienda (señales de la propia tienda y, si participa en la red, de otras tiendas de la red) y mostrar números agregados por zona: prevención de fraude y protección del crédito, por interés legítimo (art. 7, IX y X). La tienda ve solo el nivel y los motivos, nunca los datos dados en otra tienda; la zona nunca decide sola. Puedes pedir la revisión de esta evaluación (art. 20).
• Compartir tu nombre, correo y teléfono con socios de BridgesAgents, para ofertas y prevención de fraude: con base en el consentimiento (art. 7, I) recogido por el operador del asistente de IA que usaste, que responde por él según su contrato con BridgesAgents. Puedes dejar de compartir cuando quieras en Mis datos.
• Mostrar a socios con contrato los pedidos por zona (productos, montos, pago, rechazos y motivos), sin el nombre ni el contacto de quien compró: interés legítimo (art. 7, IX), para estudio de mercado, ofertas y prevención de fraude.
• Guardar los registros de acceso durante el plazo legal: cumplimiento de una obligación legal (Marco Civil de Internet de Brasil, art. 15).

4. Con quién los compartimos

• Microsoft Azure: alojamiento de la aplicación y de la base de datos, en la región Canadá Central (transferencia internacional, con las salvaguardas contractuales de Microsoft).
• Resend: envío de los correos transaccionales (recibe el nombre y el correo del destinatario). Puede haber transferencia internacional, con las salvaguardas previstas en la LGPD.
• BrasilAPI: consulta de CEP para obtener la ciudad y las coordenadas aproximadas (recibe solo el CEP).
• OpenStreetMap (Nominatim): consulta de código postal de otros países para obtener la coordenada aproximada (recibe solo el código postal y el país).
• Woovi: cobro de las facturas por Pix (recibe los datos de la empresa cobrada).
• Bling y Nuvemshop: solo cuando el comercio conecta su cuenta, para importar el catálogo.
• Tiendas: reciben los datos del consumidor de cada pedido confirmado con ellas.
• Otras tiendas de la red de señales: reciben solo el nivel de riesgo y los motivos (por ejemplo, "contracargo en otra tienda"), sin nombre, contacto, dirección ni la tienda de origen, y totales de zonas con volumen mínimo y al menos 3 empresas.
• Socios con contrato (desarrolladores de agentes, empresas de anuncios y de prevención de fraude y otras tiendas): ven los pedidos de las tiendas de la red por zona, con los campos liberados en el contrato. Nombre, correo y teléfono solo de pedidos con consentimiento del comprador. Cada consulta queda registrada, y el socio responde por el uso que haga de los datos, según el contrato y la LGPD.
• Checkout de la tienda: el enlace del pedido te lleva al checkout elegido por la tienda; el pago se hace directo con la tienda y ese checkout, que tiene su propia política. BridgesAgents no recibe ni transfiere el dinero del pedido.
• Público, agentes e integraciones: reciben el catálogo y los datos de las tiendas (no los datos de las personas que usan el panel).
• Autoridades, cuando exista una obligación legal o una orden judicial.

Solo compartimos tu contacto con base en el consentimiento recogido por el asistente que usaste, y puedes dejar de compartir en Mis datos.

5. Durante cuánto tiempo los guardamos

• Datos de la cuenta: mientras la cuenta exista y, después, durante el plazo necesario para cumplir obligaciones legales.
• Registros de acceso: 6 meses, como exige el Marco Civil de Internet.
• Enlaces de invitación, confirmación y restablecimiento de contraseña: vencen en un máximo de 7 días y solo pueden usarse una vez.
• Caché de consultas de CEP y de código postal: hasta 90 días.
• Pedidos y tickets de soporte: mientras sean necesarios para atenderte y por los plazos legales (fiscales y de protección al consumidor).
• Señales de prevención de fraude: 12 meses, y luego se borran automáticamente.

6. Tus derechos

Puedes solicitar la confirmación del tratamiento, acceso, corrección, anonimización, portabilidad, eliminación, información sobre con quién se comparten tus datos y revisión de decisiones automatizadas (LGPD, art. 18), escribiendo a [correo del encargado, por completar]. Respondemos dentro del plazo legal. También puedes presentar un reclamo ante la ANPD (autoridad de protección de datos de Brasil).

Si compraste con un asistente de IA, puedes pedir la copia o la eliminación de los datos de tus pedidos en Mis datos, confirmando por el correo usado en los pedidos.

En Mis datos también puedes dejar de compartir tu contacto con socios. Vale desde ese momento; lo que un socio ya recibió sigue su contrato y la LGPD, y puedes pedirle directamente la eliminación.

Bajo el RGPD, también puedes pedir la limitación del tratamiento, oponerte al uso por interés legítimo y reclamar ante la autoridad de protección de datos de tu país. Bajo la CCPA/CPRA, puedes conocer, corregir y eliminar tus datos; no vendemos ni compartimos datos personales para publicidad comportamental.

7. Seguridad

Conexiones cifradas (HTTPS), contraseñas con hash bcrypt, claves de API y enlaces de acceso guardados solo como hash, sesiones que vencen y pueden cerrarse, control de acceso por rol y límite de intentos de inicio de sesión. Ninguna medida es infalible; en caso de un incidente relevante, avisaremos a los afectados y a la ANPD conforme a la ley.

8. Cookies

Usamos solo cookies estrictamente necesarias: la de sesión, para mantenerte conectado (no accesible para los scripts de la página), y la de idioma. No usamos cookies de publicidad ni de rastreo, por eso no pedimos consentimiento de cookies.

9. Cambios en esta política

Podemos actualizar esta política; la versión y la fecha aparecen al principio de la página, y los cambios relevantes se avisan por el panel o por correo electrónico.