Política de Privacidad

1. Quién es el responsable de tus datos

El responsable del tratamiento es Codexy, con domicilio comercial en la República Argentina, contacto contact@codexyoficial.com.

Cumplimos con la Ley argentina 25.326 de Protección de Datos Personales y, cuando aplica, con normativas equivalentes (GDPR para residentes de la UE, LGPD para Brasil).

2. Qué datos recolectamos

Recolectamos tres tipos de datos:

a) Datos de cuenta

• Email (para signup y comunicaciones).
• Contraseña (hasheada con bcrypt — nunca en texto plano).
• Nombre del owner y del negocio.
• WhatsApp del negocio.

b) Datos del negocio

• Productos, precios, stock, fotos que cargás.
• Logo y datos de marca.
• Sucursales y vendedores (planes Pro/Empresa).
• Configuración del catálogo.

c) Datos de uso

• Logs de acceso (IP, user agent, timestamp) — guardados 90 días para detección de abuso y debugging.
• Consultas que recibe tu catálogo (qué producto, desde qué IP, timestamp) — para que veas tus métricas.
• Eventos de pago (vía MercadoPago, sin datos de tarjeta).

3. Para qué los usamos

• Operar el Servicio (mostrar tu catálogo, procesar tus cambios).
• Cobrar la suscripción (vía MercadoPago).
• Soporte (responder consultas, debugging).
• Comunicaciones relacionadas al Servicio (avisos de cobro, cambios importantes, vencimiento de trial).
• Métricas agregadas, anonimizadas, para mejorar el producto.
• Cumplimiento de obligaciones legales y contables.

NO vendemos tu data a terceros. NO la usamos para entrenar modelos de IA de terceros. NO hacemos marketing de afiliados con tu información.

4. Dónde se guarda (terceros que procesan datos)

Usamos infraestructura de terceros confiables:

• Supabase (DB + Storage + Auth) — provider de base de datos PostgreSQL hospedada. Encriptación en reposo (AES-256) y en tránsito (TLS 1.3). Servidores en US/EU.
• Vercel (hosting de la app web) — CDN y compute serverless. Servidores en US/EU.
• MercadoPago (procesamiento de pagos) — recibe email + monto para crear suscripciones. Nosotros NO vemos datos de tarjeta. Servidores en LATAM.
• DolarApi (cotización del dólar) — consulta pública, no enviamos data tuya.
• Microsoft Clarity (análisis de uso) — recibe cómo se navega nuestro sitio y tu panel: clics, scroll y recorrido de pantallas. Con enmascarado estricto activado, de modo que los textos de la pantalla —precios, stock, datos de contacto— se reemplazan por bloques antes de salir de tu navegador. Servidores en US.
• Google Analytics y Meta(medición de campañas) — reciben visitas y eventos de nuestras páginas públicas cuando tenemos campañas activas. Nunca de tu panel ni de tu catálogo. Servidores en US.

Estos terceros tienen sus propias políticas de privacidad que se aplican adicionalmente. Al usar el Servicio aceptás esa transferencia de datos.

5. Cuánto tiempo los guardamos

• Cuenta activa: mientras tengas suscripción activa.
• Cuenta cancelada: 30 días de gracia (para que puedas volver), después se eliminan los productos y data del negocio. El registro de auth y facturación se conserva 5 años por obligación fiscal (Resolución AFIP).
• Logs de acceso: 90 días.
• Audit log de operaciones admin: indefinido (registro de operaciones críticas).

6. Tus derechos (Ley 25.326)

Como titular de los datos personales tenés derecho a:

• Acceder a tu información (ver qué tenemos guardado).
• Rectificar datos incorrectos o desactualizados.
• Solicitar la supresión (eliminación) — sujeto a las obligaciones legales que nos exijan conservarlos.
• Oponerte al tratamiento o pedir limitación.
• Portabilidad — exportar tu data en formato JSON.

Para ejercer estos derechos, escribinos a contact@codexyoficial.com. Te respondemos en máximo 10 días corridos. Si considerás que incumplimos, podés denunciar ante la Agencia de Acceso a la Información Pública (organismo de control en Argentina).

7. Seguridad

Implementamos medidas razonables para proteger tu data:

• Encriptación en reposo (AES-256) y en tránsito (HTTPS/TLS 1.3).
• Row Level Security en la DB — cada tenant solo accede a SU data.
• Aislamiento estricto entre clientes (testeado con script automatizado).
• Backups diarios automatizados con retención de 7 días.
• 2FA disponible para cuentas (recomendado).
• Audit log inmutable de operaciones administrativas críticas.
• Política de rotación de credenciales internas (trimestral).

Ningún sistema es 100% seguro. En caso de brecha que afecte tus datos, te notificamos en máximo 72 horas con detalle del incidente y medidas tomadas.

8. Datos de los clientes finales (de tu negocio)

Si tu catálogo recibe consultas de tus clientes finales (vía botón WhatsApp), nosotros NO guardamos sus datos personales — el cliente va a tu WhatsApp directamente. Solo registramos el evento agregado (qué producto se consultó, IP general, timestamp) para tus métricas.

Vos sos responsable del tratamiento de los datos de tus clientes finales cuando los recibís en tu WhatsApp.

9. Cookies y tecnologías similares

Necesarias. Sin estas el Servicio no funciona:

• Mantener tu sesión iniciada (cookie de auth de Supabase).
• Preferencias de configuración (idioma, tema).

De medición. Usamos herramientas que nos muestran cómo se usa el producto, para encontrar dónde se traba la gente y arreglarlo:

• Microsoft Clarity — registra clics, scroll y recorrido de pantallas, y permite reproducir esa navegación. Corre con enmascarado estricto: los textos de la pantalla se reemplazan por bloques antes de salir de tu navegador, así que lo que se reproduce muestra cómo te moviste, no qué decían tus productos ni tus precios.
• Google Analytics y el píxel de Meta — cuando tenemos campañas activas, para saber de qué anuncio llegó una visita. Solo en nuestras páginas públicas.

No todas están activas todo el tiempo: las de campañas funcionan únicamente mientras haya publicidad corriendo.

Dónde NO corren, y es un límite del código. Ninguna de estas herramientas se carga en el catálogo público de tu negocio (catalogoar.com/tu-marca). Quien lo visita es cliente tuyo, no nuestro, y no nos corresponde medirlo con nuestras herramientas. La restricción no es una promesa suelta: las páginas donde se cargan estos scripts son una lista cerrada dentro de la aplicación, y tu catálogo no está en esa lista.

Nunca vendemos tu data de navegación ni la de tus clientes, a nadie.

Podés bloquear las cookies de medición desde tu navegador o con una extensión; el Servicio sigue funcionando igual. Las necesarias no se pueden desactivar sin perder la sesión.

10. Cambios a esta política

Si modificamos esta política sustancialmente, te avisamos por email al menos 30 días antes de que entren en vigencia. La versión vigente siempre está acá con la fecha de "Última actualización" arriba.

11. Contacto

Para cualquier pregunta sobre tus datos o esta política, escribinos a contact@codexyoficial.com.