Política de Privacidad de LockerPlus

1. Introducción y alcance

LockerPlus es una plataforma SaaS multi-tenant que ofrece casilleros virtuales en Estados Unidos para clientes en Latinoamérica. A través del servicio, los clientes pueden comprar en tiendas de EE.UU. usando una dirección de bodega operada por su agencia local, recibir sus paquetes ahí, pagarlos y enviarlos hasta su país de residencia.

Esta Política de Privacidad describe cómo LockerPlus recolecta, almacena, usa, comparte y protege los datos personales de las personas que usan el servicio (en adelante, "el Usuario" o "tú"), incluyendo clientes finales, operarios de agencia, operarios de bodega destino y administradores de agencia.

El responsable del tratamiento de los datos es LockerPlus / Tuanigo, con datos de contacto detallados en la Sección 12. Esta política aplica a la aplicación web disponible en https://lockerplus-backend.onrender.com y a todos los servicios relacionados.

2. Datos personales que recolectamos

Solo recolectamos los datos estrictamente necesarios para operar el servicio. A continuación detallamos cada categoría:

a. Datos de identidad

• Nombre completo
• Correo electrónico
• Teléfono (opcional)
• Contraseña: la almacenamos cifrada con bcrypt (algoritmo de hashing de un solo sentido). Nunca guardamos tu contraseña en texto plano y nadie en LockerPlus puede leerla, ni siquiera el personal de soporte.

b. Datos de ubicación y direcciones

• País de residencia
• Una o más direcciones de entrega completas: calle, apartamento/suite, ciudad, departamento/estado, código postal, país y referencias para encontrar el lugar
• Nombre y teléfono de la persona que recibe en cada dirección

Puedes tener múltiples direcciones registradas y elegir cuál es la predeterminada para entregas a domicilio.

c. Número de WhatsApp para notificaciones

Si decides activar las notificaciones por WhatsApp, te pediremos tu número en formato internacional. Activar este canal requiere consentimiento explícito y un proceso de verificación por código (te enviamos un código de 6 dígitos por WhatsApp y debes ingresarlo en la aplicación). Este paso confirma que el número es realmente tuyo. Puedes desactivar las notificaciones en cualquier momento desde tu perfil.

d. Datos de pago

No almacenamos tarjetas de crédito ni débito en nuestros servidores. Todas las transacciones se procesan a través de Stripe, un proveedor certificado PCI-DSS Nivel 1 (el estándar más alto de la industria de pagos). En nuestra base de datos solo guardamos el historial de transacciones: monto, moneda, fecha, estado y la referencia de Stripe que nos permite consultar el detalle del pago si fuera necesario.

e. Datos sobre tus paquetes

• Descripción de la compra (qué producto es, valor declarado, tienda)
• Fotos de los paquetes recibidos en bodega y, cuando aplica, fotos del recibo o factura
• Datos de envío: peso real y volumétrico, dimensiones, número de tracking
• Foto de constancia de entrega cuando el paquete se entrega en destino

f. Casillero virtual

Al registrarte te asignamos automáticamente un número de casillero con el formato LP-XX-XXXXX, donde XX es el código ISO de tu país (por ejemplo LP-CO-04321 para Colombia). Este número identifica tus paquetes desde que llegan a la bodega de EE.UU. hasta que te los entregamos.

g. Logs y datos de auditoría

• Fechas y horas de creación y modificación de cada registro
• Intentos de inicio de sesión, incluyendo los fallidos (los necesitamos para protegerte contra ataques de fuerza bruta y bloquear automáticamente la cuenta tras varios intentos)
• Notificaciones enviadas (canal, evento, estado, mensaje de error si lo hubo)
• Tickets de PQRS (Peticiones, Quejas, Reclamos y Sugerencias) y sus respuestas

3. Cómo usamos tus datos

Usamos tus datos personales únicamente para los siguientes fines:

• Operación del servicio: recibir tus paquetes en EE.UU., consolidarlos, calcular el costo del envío internacional, despacharlos hacia tu país y entregártelos.
• Notificaciones de estado: avisarte por WhatsApp cuando tu paquete llega a bodega, cuando se confirma un pago, cuando se despacha y cuando se entrega. Solo enviamos notificaciones por WhatsApp si activaste el opt-in y verificaste tu número.
• Atención al cliente: responder tus consultas y reclamos a través del módulo de PQRS dentro de la aplicación.
• Cumplimiento legal y prevención de fraude: cumplir con obligaciones contables, fiscales y aduaneras, y detectar usos abusivos del servicio.
• Mejora del servicio: entender cómo se usa la plataforma para mejorarla. Para este fin trabajamos con datos agregados o anonimizados que no permiten identificarte individualmente.

4. Procesadores de datos (con quién compartimos)

Para operar el servicio necesitamos apoyarnos en proveedores de tecnología externos. Compartimos con ellos solo los datos estrictamente necesarios para la función que realizan, bajo acuerdos de confidencialidad y siempre que cumplan con estándares de seguridad equivalentes a los nuestros.

No vendemos tus datos personales. No los compartimos con anunciantes ni con terceros con fines comerciales ajenos al servicio.

5. Tiempo de retención

• Datos operativos generales: se conservan mientras tu cuenta esté activa y, posteriormente, hasta por 5 años para cumplir con obligaciones contables, fiscales y aduaneras.
• Datos asociados a WhatsApp: los códigos de verificación, mensajes y metadatos enviados por este canal se eliminan a los 90 días.
• Logs de auditoría e intentos de login: se conservan por el tiempo necesario para proteger la cuenta y detectar fraude, generalmente entre 6 y 12 meses.
• Cuando solicitas la eliminación de tu cuenta, borramos tus datos personales identificables salvo aquellos que estamos legalmente obligados a conservar (por ejemplo, comprobantes de pago para efectos contables).

6. Derechos del usuario

Como titular de los datos, tienes los siguientes derechos:

• Acceso: saber qué datos personales tuyos tenemos.
• Rectificación: corregir datos inexactos o desactualizados (puedes hacerlo tú mismo desde la sección "Mi perfil" de la aplicación).
• Eliminación: solicitar el borrado de tu cuenta y de tus datos personales, con las excepciones legales descritas en la sección anterior.
• Portabilidad: recibir una copia de tus datos en un formato estructurado y de uso común.
• Oposición y revocación de consentimiento: revocar el consentimiento otorgado para usos específicos, como las notificaciones por WhatsApp.

Para ejercer cualquiera de estos derechos puedes:

• Abrir un ticket en el módulo de PQRS dentro de la aplicación, o
• Escribirnos a privacidad@tuanigo.com [PLACEHOLDER: este email aún no está activo, será confirmado antes de la publicación oficial]

Responderemos a tu solicitud en los plazos previstos por la ley aplicable a tu país de residencia (típicamente entre 10 y 30 días hábiles).

7. Seguridad de la información

Aplicamos medidas técnicas y organizativas razonables para proteger tu información:

• Cifrado en tránsito: toda la comunicación con la aplicación usa HTTPS obligatorio.
• Contraseñas hasheadas con bcrypt: nunca almacenamos contraseñas en texto plano.
• Autenticación con JWT y expiración: los tokens de sesión tienen tiempo de vida limitado.
• Captcha invisible (Cloudflare Turnstile) en el registro para frenar bots.
• Rate limiting en los endpoints sensibles (login, recuperación de contraseña, etc.).
• Lockout de cuenta tras varios intentos fallidos consecutivos para mitigar ataques de fuerza bruta.
• Verificación de WhatsApp mediante código de 6 dígitos antes de habilitar el canal.
• Foto obligatoria de constancia de entrega como evidencia operativa cuando se entrega un paquete a domicilio.
• Aislamiento multi-tenant: los datos de cada agencia están separados a nivel de aplicación.

Ningún sistema es 100% invulnerable. Si detectamos un incidente de seguridad que afecte tus datos personales, te lo notificaremos según los plazos exigidos por la ley aplicable.

8. Cookies y tecnologías similares

LockerPlus usa exclusivamente localStorage del navegador para almacenar el JWT de tu sesión, lo que te permite mantener la sesión iniciada entre visitas.

No usamos cookies de tracking ni de publicidad. No tenemos píxeles de Facebook, Google Ads ni similares. No vendemos perfiles de comportamiento.

9. Menores de edad

El servicio LockerPlus NO está dirigido a menores de 18 años. No recolectamos intencionalmente datos personales de menores. Si llegamos a detectar que se ha creado una cuenta en nombre de un menor de edad, eliminaremos esa cuenta y los datos asociados.

10. Cambios a esta política

Podemos actualizar esta Política de Privacidad de tiempo en tiempo para reflejar cambios en nuestras prácticas, en la tecnología que usamos o en la legislación aplicable. Cuando hagamos cambios significativos, te avisaremos con al menos 30 días de anticipación mediante notificación dentro de la aplicación, y actualizaremos la fecha de "Última actualización" en la cabecera de este documento. Si continúas usando el servicio después de la entrada en vigor de los cambios, se entenderá que los aceptas.

11. Marco legal aplicable

Esta política se redacta tomando como referencia el marco normativo de protección de datos personales de los países donde opera o puede operar el servicio:

• Colombia: Régimen general de Habeas Data — Ley 1581 de 2012 y su Decreto reglamentario 1377 de 2013.
• México: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su reglamento.
• Brasil: Marco Civil da Internet (Lei nº 12.965/2014) y Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018), aplicable cuando haya clientes brasileños.
• Otras legislaciones de protección de datos personales de países LATAM aplicables según el país de residencia del usuario (Perú, Argentina, Chile, Ecuador, etc.).
• Unión Europea: Reglamento General de Protección de Datos (GDPR), aplicable en el caso poco probable de que tengamos clientes residentes en la UE.

12. Datos de contacto del responsable