Política de Privacidad

1. Identificación del Responsable

La plataforma Quetzalink es operada por [NOMBRE_EMPRESA], sociedad constituida conforme las leyes de la República de Guatemala, con Número de Identificación Tributaria (NIT) [NIT], con domicilio en [DIRECCIÓN], Ciudad de Guatemala, Guatemala.

Para cualquier comunicación relacionada con esta Política de Privacidad, puede contactarnos al correo electrónico: [EMAIL_LEGAL].

Quetzalink actúa como responsable del tratamiento (data controller) respecto a los datos de cuenta de usuario. En relación con los datos comerciales y operativos de las Organizaciones, Quetzalink actúa como encargado del tratamiento (data processor), procesando los datos según las instrucciones de cada Organización.

2. Definiciones

Para efectos de la presente Política de Privacidad, se entenderá por:

• Datos Personales: Cualquier información relativa a una persona individual identificada o identificable, incluyendo pero no limitado a nombre, correo electrónico, dirección, número de teléfono e información fiscal.
• Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre Datos Personales, ya sea por procedimientos automatizados o no, como la recopilación, registro, organización, conservación, elaboración, modificación, extracción, consulta, utilización, comunicación, supresión o destrucción.
• Responsable del Tratamiento: La persona individual o jurídica que determina los fines y medios del tratamiento de Datos Personales. Quetzalink es responsable respecto a los datos de cuenta de usuario.
• Encargado del Tratamiento: La persona individual o jurídica que trata Datos Personales por cuenta del Responsable. Quetzalink actúa como encargado respecto a los datos comerciales de las Organizaciones.
• Derechos ARCO: Conjunto de derechos que asisten a los titulares de Datos Personales: Acceso, Rectificación, Cancelación y Oposición, reconocidos por la legislación guatemalteca.
• Consentimiento: Manifestación de voluntad libre, específica, informada e inequívoca por la que el titular acepta el tratamiento de sus Datos Personales.
• Sub-procesador: Tercero contratado por Quetzalink para llevar a cabo actividades de tratamiento específicas en nombre y por cuenta de Quetzalink.

3. Datos que Recopilamos

Quetzalink recopila y trata las siguientes categorías de datos, según la funcionalidad utilizada:

3.1. Datos de cuenta

• Nombre completo
• Correo electrónico
• Contraseña (almacenada únicamente como hash criptográfico)
• Avatar o imagen de perfil

3.2. Datos de organización

• Nombre del negocio
• Tipo de negocio e industria
• Número de Identificación Tributaria (NIT)
• Dirección comercial

3.3. Datos de empleados y recursos humanos

Cuando la Organización utiliza el módulo de Recursos Humanos:

• Perfiles de empleados (nombre, contacto, puesto)
• Información salarial y registros de pagos
• Registros de anticipos y reembolsos
• Horarios y plantillas de turnos
• Registros de asistencia y entradas de tiempo
• Solicitudes y balances de permisos laborales

3.4. Datos de clientes

• Nombres y datos de contacto
• Números de teléfono
• Correos electrónicos
• Historial de compras y transacciones

3.5. Datos transaccionales

• Registros de ventas y detalles de transacciones
• Órdenes de compra y recepciones de mercadería
• Movimientos y ajustes de inventario
• Facturas y documentos fiscales
• Registros de pagos y métodos de pago

3.6. Datos de tienda en línea (storefront)

• Pedidos en línea y estados de orden
• Contenido de carritos de compra
• Direcciones de envío
• Datos de visitantes y analíticas de navegación

3.7. Datos técnicos

• Dirección IP
• Agente de usuario (user agent) del navegador
• Cookies de sesión y autenticación
• Registros de acceso y actividad (logs)

4. Base Legal del Tratamiento

El tratamiento de Datos Personales por parte de Quetzalink se fundamenta en las siguientes bases legales, conforme la legislación guatemalteca:

• Consentimiento explícito (Art. 31 Constitución Política de la República de Guatemala): El usuario otorga su consentimiento de forma libre, específica e informada al momento de crear su cuenta y aceptar la presente Política de Privacidad.
• Necesidad contractual: El tratamiento es necesario para la ejecución del contrato de prestación de servicios entre Quetzalink y el Usuario, incluyendo la provisión de todas las funcionalidades de la Plataforma.
• Obligaciones legales: El cumplimiento de obligaciones fiscales y tributarias ante la Superintendencia de Administración Tributaria (SAT), incluyendo los requisitos de Factura Electrónica en Línea (FEL) y la retención obligatoria de documentos fiscales por un período mínimo de cuatro (4) años conforme el Decreto 6-91, Código Tributario, Artículo 94.
• Interés legítimo: La protección de la seguridad de la Plataforma, la prevención de fraude, la detección de actividades sospechosas y la mejora continua del Servicio.

5. Finalidad del Tratamiento

Los Datos Personales recopilados serán utilizados para las siguientes finalidades:

1. Prestación y mantenimiento del Servicio: Proporcionar acceso a las funcionalidades de la Plataforma, gestionar cuentas de usuario y Organizaciones, y garantizar el funcionamiento correcto de todos los módulos.
2. Procesamiento de pagos: Gestionar las suscripciones, procesar cobros recurrentes a través de nuestra pasarela de pagos y emitir comprobantes de pago.
3. Comunicaciones transaccionales: Enviar notificaciones esenciales relacionadas con el Servicio, incluyendo confirmaciones de registro, alertas de seguridad, cambios en el plan y avisos sobre el período de prueba.
4. Soporte al cliente: Atender consultas, resolver incidencias técnicas y proporcionar asistencia relacionada con el uso de la Plataforma.
5. Mejora del Servicio y analíticas: Analizar patrones de uso de forma agregada para optimizar la experiencia del usuario, desarrollar nuevas funcionalidades y mejorar el rendimiento de la Plataforma.
6. Cumplimiento de obligaciones legales: Satisfacer los requerimientos de la legislación fiscal, tributaria y comercial guatemalteca, incluyendo la conservación de documentos fiscales.
7. Seguridad y detección de fraude: Proteger la integridad de la Plataforma, prevenir accesos no autorizados, detectar actividades sospechosas y garantizar el aislamiento de datos entre Organizaciones.

6. Consentimiento

El consentimiento para el tratamiento de Datos Personales se obtiene de forma explícita mediante un mecanismo de click-wrap (casilla de verificación) durante el proceso de registro en la Plataforma. De conformidad con el Decreto 47-2008 del Congreso de la República de Guatemala (Ley para el Reconocimiento de las Comunicaciones y Firmas Electrónicas), esta manifestación de voluntad electrónica constituye un consentimiento válido y vinculante.

El Usuario tiene derecho a retirar su consentimiento en cualquier momento, comunicando su decisión al correo electrónico [EMAIL_LEGAL]. El retiro del consentimiento no afectará la licitud del tratamiento realizado con anterioridad. No obstante, el retiro del consentimiento podrá afectar la disponibilidad de determinadas funcionalidades del Servicio o la posibilidad de continuar utilizando la Plataforma.

El consentimiento es granular y diferenciado: el tratamiento esencial para la prestación del Servicio se basa en la necesidad contractual, mientras que el tratamiento con fines de analíticas y mejora del Servicio requiere consentimiento opcional que puede ser otorgado o denegado de forma independiente.

7. Derechos ARCO

De conformidad con el Artículo 31 de la Constitución Política de la República de Guatemala y la jurisprudencia de la Corte de Constitucionalidad, usted tiene los siguientes derechos respecto a sus Datos Personales:

7.1. Acceso

Usted tiene derecho a conocer qué Datos Personales mantenemos sobre su persona, así como la finalidad de su tratamiento y los destinatarios a quienes se hayan comunicado. Puede ejercer este derecho enviando una solicitud a [EMAIL_LEGAL]. La respuesta será proporcionada dentro de un plazo de quince (15) días hábiles.

7.2. Rectificación

Usted tiene derecho a solicitar la corrección de Datos Personales que sean inexactos, incompletos o desactualizados. La mayoría de los datos pueden ser corregidos directamente por el Usuario a través de la configuración de su cuenta dentro de la Plataforma. Para datos a nivel de sistema que no puedan ser modificados directamente, puede enviar una solicitud a [EMAIL_LEGAL].

7.3. Cancelación

Usted tiene derecho a solicitar la supresión de sus Datos Personales. Este derecho está sujeto a las obligaciones legales de retención aplicables, en particular la conservación de documentos fiscales por un período mínimo de cuatro (4) años conforme las disposiciones de la SAT. Los datos de cuenta serán eliminados dentro de los treinta (30) días siguientes a la verificación de su solicitud.

7.4. Oposición

Usted tiene derecho a oponerse al tratamiento de sus Datos Personales en determinadas circunstancias. Tenga en cuenta que el ejercicio de este derecho podrá resultar en la imposibilidad de prestar determinadas funcionalidades del Servicio.

Ejercicio de los Derechos ARCO

Para ejercer cualquiera de los Derechos ARCO, envíe una solicitud al correo electrónico [EMAIL_LEGAL] incluyendo la siguiente información:

1. Nombre completo del titular de los datos.
2. Correo electrónico asociado a la cuenta de Quetzalink.
3. Derecho específico que desea ejercer (Acceso, Rectificación, Cancelación u Oposición).
4. Descripción detallada de la solicitud.

Se requerirá verificación de identidad para procesar la solicitud. El plazo de respuesta es de quince (15) días hábiles a partir de la recepción de la solicitud completa.

8. Sub-procesadores

Quetzalink utiliza los siguientes sub-procesadores para la prestación del Servicio. Todos los sub-procesadores están vinculados por acuerdos de tratamiento de datos:

• Convex (convex.dev) - Infraestructura de base de datos y backend. Ubicación de datos: Estados Unidos. Finalidad: almacenamiento de datos y consultas en tiempo real.
• Recurrente (recurrente.com) - Procesamiento de pagos. Ubicación de datos: Guatemala. Finalidad: facturación de suscripciones y procesamiento de pagos.
• Resend (resend.com) - Servicio de correo electrónico. Ubicación de datos: Estados Unidos. Finalidad: envío de correos electrónicos transaccionales.
• Vercel (vercel.com) - Hosting y CDN. Ubicación de datos: Estados Unidos / Global. Finalidad: alojamiento y distribución de la aplicación.
• Better Auth - Autenticación. Auto-alojado (self-hosted). Finalidad: autenticación de usuarios y gestión de sesiones.

9. Transferencias Internacionales

Los Datos Personales del Usuario podrán ser transferidos a servidores ubicados en los Estados Unidos de América, en particular a través de los sub-procesadores Convex, Vercel y Resend.

Estas transferencias internacionales se fundamentan en:

• Necesidad contractual: La transferencia es indispensable para la ejecución del contrato de prestación de servicios y el correcto funcionamiento de la Plataforma.
• Consentimiento del Usuario: El Usuario otorga su consentimiento para dichas transferencias al momento de registrarse y aceptar la presente Política de Privacidad.

Las salvaguardas implementadas para proteger los datos transferidos incluyen: cifrado en tránsito y en reposo, acuerdos de tratamiento de datos con cada proveedor, y controles de acceso estrictos.

10. Retención de Datos

Quetzalink conserva los Datos Personales durante los períodos estrictamente necesarios para cumplir con las finalidades del tratamiento y las obligaciones legales aplicables:

• Datos de cuenta activa: Durante la vigencia de la relación contractual más treinta (30) días posteriores a la eliminación de la cuenta.
• Documentos fiscales y tributarios: Cuatro (4) años conforme el Código Tributario de Guatemala (Decreto 6-91, Artículo 94).
• Datos de empleados y recursos humanos: Conforme los requisitos del Código de Trabajo de Guatemala, con un período mínimo de cinco (5) años.
• Registros de transacciones: Cinco (5) años para fines de auditoría.
• Registros de seguridad: Un (1) año.
• Registros de consentimiento de marketing: Durante la vigencia del consentimiento más tres (3) años adicionales.

Transcurridos los períodos de retención aplicables, los datos serán eliminados de forma segura o anonimizados de manera irreversible.

11. Seguridad

Quetzalink implementa medidas técnicas y organizativas apropiadas para proteger los Datos Personales contra el acceso no autorizado, la alteración, divulgación o destrucción:

• Cifrado en tránsito: Todas las comunicaciones entre el navegador del Usuario y la Plataforma se realizan mediante TLS/HTTPS.
• Hash de contraseñas: Las contraseñas se almacenan utilizando algoritmos de hash criptográfico (bcrypt), nunca en texto plano.
• Aislamiento de datos multi-tenant: Todos los datos de cada Organización están lógicamente aislados a nivel de base de datos. Todas las consultas son filtradas por identificador de Organización (organizationId).
• Control de acceso basado en roles: Sistema de permisos granular con cinco niveles de acceso (propietario, administrador, gerente, empleado, observador).
• Gestión de sesiones: Sesiones con expiración automática y gestión segura de tokens de autenticación.
• Revisiones de seguridad: Evaluaciones periódicas de seguridad y actualizaciones de dependencias.

Ningún sistema es 100% seguro. Quetzalink se compromete a notificar a los Usuarios afectados en caso de cualquier brecha de seguridad que comprometa sus Datos Personales, conforme se detalla en la sección 15 de esta Política.

12. Cookies y Tecnologías Similares

Quetzalink utiliza las siguientes tecnologías de almacenamiento local:

• Cookies esenciales: Necesarias para la autenticación de sesión, protección CSRF y preferencias de interfaz (como el estado de la barra lateral). Estas cookies son estrictamente necesarias para el funcionamiento de la Plataforma.
• Sin cookies de rastreo de terceros: En la versión actual de la Plataforma, Quetzalink no utiliza cookies de seguimiento ni analíticas de terceros.
• Almacenamiento local (localStorage): Utilizado para guardar preferencias de interfaz de usuario y el estado del proceso de incorporación (onboarding).

Los Usuarios pueden gestionar las cookies a través de la configuración de su navegador. La desactivación de cookies esenciales podrá afectar el funcionamiento correcto de la Plataforma.

13. Datos de Empleados

Cuando las Organizaciones utilizan el módulo de Recursos Humanos de Quetzalink, se aplican las siguientes consideraciones específicas:

• La Organización es el responsable del tratamiento (data controller) de los datos de sus empleados.
• Quetzalink actúa como encargado del tratamiento (data processor) de dichos datos.
• Es responsabilidad de la Organización obtener el consentimiento adecuado de sus empleados para el ingreso y tratamiento de sus datos en la Plataforma.
• Quetzalink procesa los datos de empleados únicamente conforme las instrucciones de la Organización y para las finalidades establecidas en la relación contractual.

Los datos de empleados tratados a través del módulo incluyen: perfiles laborales, información salarial, registros de anticipos y reembolsos, turnos y horarios, registros de asistencia y entradas de tiempo, y solicitudes y balances de permisos laborales.

14. Menores de Edad

Quetzalink no está dirigido a personas menores de dieciocho (18) años de edad. No recopilamos conscientemente Datos Personales de menores de edad. La creación de una cuenta requiere que el Usuario declare ser mayor de edad y tener capacidad legal para celebrar contratos vinculantes.

En caso de que Quetzalink descubra que se han recopilado Datos Personales de un menor de edad, procederemos a eliminar dichos datos de forma inmediata.

Los padres o tutores legales que consideren que un menor bajo su responsabilidad ha proporcionado datos a Quetzalink pueden contactarnos al correo electrónico [EMAIL_LEGAL] para solicitar la eliminación de dichos datos.

15. Notificación de Brechas de Seguridad

En caso de una brecha de seguridad que comprometa Datos Personales, Quetzalink seguirá el siguiente protocolo:

1. Evaluación interna: Identificación y evaluación del alcance de la brecha dentro de las primeras veinticuatro (24) horas desde su detección.
2. Notificación a usuarios afectados: Los Usuarios cuyos datos hayan sido comprometidos serán notificados dentro de las setenta y dos (72) horas siguientes a la confirmación de la brecha.
3. Contenido de la notificación: La comunicación incluirá la naturaleza de la brecha, los datos afectados, las medidas adoptadas para mitigar el impacto y las recomendaciones para que el Usuario proteja su información.
4. Cooperación con autoridades: Quetzalink cooperará con las autoridades competentes según lo requiera la legislación aplicable.

16. Contacto y Delegado de Protección de Datos

Para cualquier consulta, solicitud o reclamación relacionada con la protección de sus Datos Personales y el ejercicio de sus derechos, puede comunicarse con nosotros a través de los siguientes medios:

• Correo electrónico: [EMAIL_LEGAL]
• Dirección física: [DIRECCIÓN], Ciudad de Guatemala, Guatemala

Plazos de respuesta:

• Solicitudes de Derechos ARCO: quince (15) días hábiles.
• Consultas generales sobre privacidad: cinco (5) días hábiles.