Política de Privacidad

Política de Privacidad

BUYENJOY · PLATFORM LEGAL DOCUMENT

Política de Privacidad

Cómo BuyEnjoy recopila, usa y protege los datos personales

Esta Política de Privacidad explica cómo BuyEnjoy procesa los datos personales. Atacama Technologies LLC d/b/a BuyEnjoy es el único Responsable del tratamiento en todos los países, Costa Rica y Ecuador incluidos; ninguna otra sociedad trata sus datos como responsable ni por cuenta de BuyEnjoy. El proveedor de verificación de identidad Argos actúa como Encargado. Esta asignación refleja la estructura operativa verificada para la Plataforma.

I. Datos que Recopilamos

Datos de identidad y contacto: nombre, correo electrónico, teléfono, documento de identidad y, para KYC, una selfie/plantilla biométrica capturada por Argos.

Regla de residencia para datos biométricos. Los identificadores biométricos se recopilan únicamente según lo permite el Consentimiento de Datos Biométricos (documento 22). La residencia en Illinois, Texas o Washington se determina por la residencia que usted declara; a los residentes de esos estados siempre se les muestra el aviso biométrico y se les pide la autorización escrita antes de cualquier captura.

Datos de verificación empresarial (KYB), para cuentas de personas jurídicas: registros societarios, datos personales de beneficiarios finales (nombre, fecha de nacimiento, nacionalidad, números de identificación, porcentaje de titularidad, dirección), datos del firmante autorizado y resultados de filtrado (sanciones, personas expuestas políticamente y medios adversos). Los resultados de filtrado pueden revelar estatus sancionatorio o penal y se tratan como información personal sensible, con salvaguardas reforzadas y minimización de datos.

Datos de transacción: interés en propiedades, visitas, ofertas, declaraciones de origen de fondos y metadatos de pago.

Datos del canal financiero procesados por los agentes de escrow independientes que mantienen y desembolsan los fondos de la operación —para el Comprador residente en los Estados Unidos, un custodio estadounidense con licencia o exento para ese fin, y en todo caso el custodio del país del inmueble— y por nuestros procesadores de pago.

Datos técnicos: dispositivo, dirección IP, eventos de análisis (PostHog y Google Analytics) y telemetría de errores (Sentry). Sólo si usted lo permite: la grabación de su sesión en el sitio, con todo el texto y los campos enmascarados (PostHog), y los identificadores y eventos publicitarios de Meta Pixel y Google Ads. La grabación nunca corre en las pantallas de verificación de identidad, pagos, datos bancarios, documentos de la operación, firma ni mensajes.

Datos de residencia: país y, para usuarios de EE.UU., estado de residencia, recopilados para aplicar las reglas de jurisdicción AML/GAFI y la elegibilidad geográfica.

II. Finalidades y Bases Legales

Procesamos datos para operar la plataforma, verificar identidad y titularidad empresarial, cumplir obligaciones AML/KYC, KYB y de sanciones, aplicar restricciones geográficas, procesar pagos, prevenir fraudes, cumplir deberes legales y, sólo con su consentimiento, medir nuestras campañas y mostrarle publicidad de BuyEnjoy.

Las bases legales incluyen: (a) ejecución de un contrato (Art. 6(1)(b) RGPD); (b) cumplimiento de una obligación legal, incluyendo AML/GAFI y filtrado de sanciones OFAC (Art. 6(1)(c)); (c) su consentimiento expreso documentado para datos biométricos/sensibles (Art. 6(1)(a) y Art. 9(2)(a)); (d) nuestro interés legítimo en la seguridad de la Plataforma y la prevención de delitos financieros (Art. 6(1)(f)); y (e) su consentimiento para la analítica no esencial, la grabación de sesión y la publicidad (Art. 6(1)(a) y la ley de privacidad electrónica aplicable), que puede retirar cuando quiera en «Opciones de privacidad».

III. Cómo Compartimos los Datos

Compartimos datos con encargados estrictamente para prestar el servicio: Argos (identidad, verificación empresarial y filtrado, bajo un acuerdo de tratamiento de datos que cubre todas las categorías anteriores), los agentes de escrow independientes que mantienen y desembolsan los fondos de la operación (en lo necesario para abrir, depositar y desembolsar la operación), Stripe y PayPal (pagos), Twilio/SendGrid/Resend (comunicaciones); WhatsApp, operado por Meta Platforms, sólo como canal de los avisos de cuenta y de operación que usted aceptó, que recibe su número y el texto de cada aviso; Cloudflare (Turnstile, para proteger los formularios del abuso automatizado) y Upstash (límites de uso); OpenAI, sólo para el asistente del catálogo y la traducción automática, con el texto que usted escribe o pide traducir y nunca con documentos de identidad, datos biométricos ni números de cuenta; y proveedores de alojamiento y análisis (Vercel, Supabase, PostHog y Sentry). Los encargados quedan vinculados a nuestras instrucciones documentadas, a la limitación de finalidad y a términos de prestador de servicios consistentes con la CCPA/CPRA. Divulgamos datos a notarios y contrapartes solo cuando sea necesario para completar una transacción, y a las autoridades cuando lo exija la ley. Fuera de la publicidad que se describe más abajo, que sólo corre con su consentimiento, BuyEnjoy no vende ni comparte datos personales.

Información móvil y mensajes de texto. No se compartirá información móvil con terceros ni afiliados para fines de marketing o promocionales. Los datos y el consentimiento de suscripción a mensajes de texto no se compartirán con ningún tercero. Sólo se exceptúan los encargados que entregan los mensajes en nuestro nombre (Twilio), que pueden usar esos datos únicamente para enviarlos.

Publicidad y medición de campañas. Si usted acepta las cookies de marketing, el sitio carga Meta Pixel y las etiquetas de Google Ads, y Meta Platforms y Google reciben identificadores de su navegador, las páginas que visita y eventos como el registro o la solicitud de una visita, para medir nuestras campañas y mostrarle anuncios de BuyEnjoy. Meta y Google tratan esos datos también bajo sus propias políticas. Según algunas leyes estatales de EE. UU., eso puede considerarse «compartir» datos para publicidad dirigida o una «venta»: no lo hacemos sin su consentimiento, tratamos la señal Global Privacy Control como una exclusión y usted puede retirar el consentimiento cuando quiera en «Opciones de privacidad» (buyenjoy.io/privacy-choices), al pie de cada página. Nunca usamos con fines publicitarios sus datos de identidad, biométricos, financieros, fiscales ni de la operación, ni la grabación de su sesión.

Qué recibe el notario y qué no. El notario vinculado a una transacción recibe los datos de identidad y residencia que necesita para otorgar la escritura y para cumplir sus propios deberes de prevención de lavado, y el hecho de que la verificación de identidad se completó junto con su resultado. El notario asignado a su operación recibe el informe de verificación de identidad, con las imágenes de su documento de identidad (frente y reverso) y de su selfie, que BuyEnjoy pide al proveedor en el momento de la descarga y no conserva, cuando usted otorgó el consentimiento expreso del Consentimiento de Datos Biométricos (documento 22), para otorgar la escritura, cumplir sus propios deberes de prevención de lavado de dinero y conservar su archivo notarial de referencias; cada descarga queda registrada. No recibe la puntuación interna del proveedor de verificación ni plantilla biométrica alguna.

IV. Transferencias Internacionales

Operar la Plataforma implica transferir datos a Estados Unidos y otros países. Las transferencias se rigen por la ley aplicable de transferencia internacional de datos. Aplicamos salvaguardas adecuadas, incluyendo cláusulas contractuales estándar cuando sea necesario, y cumplimos cualquier deber de inscripción o notificación del país de origen. Para los datos personales recibidos de la Unión Europea, el Reino Unido y Suiza, Atacama Technologies LLC participa en el Marco de Privacidad de Datos UE-EE. UU., en su Extensión del Reino Unido y en el Marco de Privacidad de Datos Suiza-EE. UU. (sección VII-bis).

Nuestro proveedor de verificación de identidad, ARGOS Identity, conserva los datos de verificación en servidores de Amazon Web Services en Estados Unidos. Su personal en la República de Corea puede acceder a ellos en forma remota, sólo para el fin de la verificación. Ese acceso remoto es una transferencia internacional de datos: se lo informamos al recopilarlos, se rige por las salvaguardas de esta Sección y los datos no se almacenan en Corea.

IV-bis. Imágenes de Proveedores y de la Propiedad Listada

Dos consentimientos rigen las imágenes y están separados a propósito.

La Licencia de Activos de Marca cubre el logotipo, la razón social y el material de marca de un proveedor de servicios, mostrados en su perfil, en el directorio de servicios, en cotizaciones y facturas enviadas a clientes, y en el marketing de la Plataforma. Es una licencia sobre propiedad de la empresa y termina cuando el perfil del proveedor se desactiva.

El Consentimiento de Retrato e Imagen cubre la fotografía o imagen reconocible de una persona. Como se trata de un dato personal y no de propiedad de la empresa, el consentimiento es explícito, específico y revocable: usted puede retirarlo en cualquier momento y retiraremos la imagen, sin que ello afecte su condición de proveedor, su logotipo ni su cuenta.

Las fotografías de la propiedad listada se rigen por la licencia de contenido de los Términos de Servicio. Cuando en ese material aparezca una persona identificable, el Consentimiento de Retrato e Imagen le aplica también a esa persona.

V. Sus Derechos

Sujeto a la ley aplicable, usted puede acceder, rectificar, eliminar y oponerse o restringir el tratamiento de sus datos, y solicitar portabilidad. Los residentes de California tienen derechos CCPA/CPRA, incluidos conocer, eliminar, corregir, limitar el uso de información personal sensible y optar por no venta/compartición (BuyEnjoy no vende datos personales a cambio de dinero; la publicidad descrita en la Sección III, que puede calificar como «compartir», sólo corre con su consentimiento y se apaga en «Opciones de privacidad» o con Global Privacy Control); los residentes de otros estados de EE.UU. con leyes integrales de privacidad tienen los derechos equivalentes que esas leyes otorguen. Para ejercer derechos, use la opción de privacidad en Ajustes de su cuenta o escriba a support@buyenjoy.io. Respondemos dentro del plazo que fije la ley aplicable a su caso (nuestra meta interna es contestar en cinco (5) días hábiles), y mantenemos un proceso documentado para impugnar falsos positivos de filtrado y corregir datos derivados. Las notificaciones de incidentes de seguridad se emiten según lo dispuesto en la Sección VI.

VI. Retención y Seguridad

Conservamos los registros personales y de AML/KYB durante los períodos exigidos por ley — siete (7) años desde el último movimiento de la operación para registros AML, o diez (10) años cuando el inmueble está en Ecuador — y eliminamos o anonimizamos los datos posteriormente. Los datos de los formularios fiscales —su número de identificación tributaria, fecha de nacimiento, ciudadanía y domicilio— se conservan durante siete (7) años desde el fin del año del último pago que se apoyó en ese formulario; el número de identificación tributaria se cifra a nivel de campo y sólo se muestra por sus últimos cuatro dígitos. Cuando una solicitud de supresión entre en conflicto con un deber de retención, conservamos únicamente lo que la obligación legal exige, sobre esa base legal, y documentamos la reconciliación. Aplicamos salvaguardas administrativas, técnicas y físicas, con controles reforzados y evaluación de impacto para datos biométricos y de filtrado.

Datos biométricos. Su imagen facial (selfie), la prueba de vida y toda plantilla biométrica derivada de ellas se destruyen en la fecha que ocurra primero entre (a) treinta (30) días después de cumplido el fin de la verificación o de que usted retire su consentimiento, y (b) tres (3) años después de su última interacción con BuyEnjoy. Nunca se conservan con fines de prevención de lavado de dinero ni de otro registro. El registro de la verificación —el resultado de la comparación, los datos extraídos del documento de identidad y el resultado del filtrado de listas, sin imágenes— se conserva por separado durante el plazo que exija la ley contra el lavado de dinero, lo que no extiende la retención biométrica anterior. BuyEnjoy no conserva la imagen del documento de identidad: permanece en el proveedor y se destruye en el mismo plazo de treinta (30) días.

Notificación de incidentes. Cuando ocurra una violación de datos personales, BuyEnjoy notifica a los usuarios afectados sin demora indebida, y a la autoridad de control competente dentro del plazo que exija la ley aplicable, indicando qué ocurrió, qué datos se vieron involucrados y qué se está haciendo, y da seguimiento conforme avanza la investigación.

VII. Derechos Adicionales para Residentes de la UE / EEE (RGPD)

Si usted es residente de un estado miembro de la Unión Europea o del Espacio Económico Europeo (UE/EEE), el Reglamento General de Protección de Datos (RGPD) se aplica al tratamiento de sus datos personales por Atacama Technologies LLC d/b/a BuyEnjoy como Responsable.

Información al recopilar (Art. 13): Responsable: Atacama Technologies LLC d/b/a BuyEnjoy, support@buyenjoy.io. Las finalidades y bases legales se establecen en la Sección II. Puede presentar una reclamación ante la autoridad de control de su estado miembro en cualquier momento.

Sus derechos RGPD (Arts. 15–22): acceso; rectificación; supresión ("derecho al olvido"), sujeta a la reconciliación de retención AML de la Sección VI; limitación; portabilidad en formato legible por máquina; oposición al tratamiento basado en interés legítimo; y el derecho a no ser objeto de decisiones exclusivamente automatizadas con efectos jurídicos o similares — los resultados adversos de filtrado siempre son adjudicados por una persona.

Datos biométricos (Art. 9): los datos biométricos usados para identificarle son datos de categoría especial, tratados únicamente con su consentimiento explícito y documentado (Art. 9(2)(a)), precedido de una evaluación de impacto. Puede retirar el consentimiento en cualquier momento; el retiro no afecta el tratamiento lícito anterior.

Transferencias internacionales: los datos personales de la UE tratados en Estados Unidos se reciben al amparo del Marco de Privacidad de Datos UE-EE. UU. (sección VII-bis) y, cuando este no aplique, de cláusulas contractuales estándar y medidas suplementarias.

Representante en la UE y el Reino Unido: Al lanzamiento la Plataforma no ofrece compras a residentes de la UE/EEE ni se dirige a ellos. Cuando BuyEnjoy trata datos personales de un residente de la UE/EEE, se aplica esta Sección. Como la verificación de identidad está abierta a residentes de la UE/EEE y del Reino Unido, BuyEnjoy ha designado a Prighter Group, con sus socios locales, como su representante de privacidad conforme al artículo 27 del RGPD y al artículo 27 del RGPD del Reino Unido, y como su punto de contacto para la Unión Europea (UE) y el Reino Unido. Prighter le ofrece una forma sencilla de ejercer sus derechos de privacidad (por ejemplo, solicitudes de acceso o de supresión de datos personales). Si quiere contactarnos a través de nuestro representante, Prighter, o ejercer sus derechos como titular de los datos, visite https://app.prighter.com/portal/buyenjoy. BuyEnjoy comunica el contacto de su Delegado de Protección de Datos a la autoridad de control del estado miembro donde está establecido el representante en la UE.

Ejercicio de derechos: contacte support@buyenjoy.io. Respondemos en 30 días (ampliables dos meses para solicitudes complejas). Si no está satisfecho, puede reclamar ante su autoridad nacional de control (lista: edpb.europa.eu).

VII-bis. Marco de Privacidad de Datos UE-EE. UU., Extensión del Reino Unido y Marco de Privacidad de Datos Suiza-EE. UU.

Atacama Technologies LLC, d/b/a BuyEnjoy, cumple con el Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. DPF), la Extensión del Reino Unido al EU-U.S. DPF y el Marco de Privacidad de Datos Suiza-EE. UU. (Swiss-U.S. DPF), según los establece el Departamento de Comercio de los Estados Unidos. Atacama Technologies LLC ha certificado ante el Departamento de Comercio de los Estados Unidos que se adhiere a los Principios del Marco de Privacidad de Datos UE-EE. UU. (Principios del EU-U.S. DPF) en cuanto al tratamiento de los datos personales recibidos de la Unión Europea al amparo del EU-U.S. DPF y del Reino Unido (y Gibraltar) al amparo de la Extensión del Reino Unido al EU-U.S. DPF. Atacama Technologies LLC ha certificado ante el Departamento de Comercio de los Estados Unidos que se adhiere a los Principios del Marco de Privacidad de Datos Suiza-EE. UU. (Principios del Swiss-U.S. DPF) en cuanto al tratamiento de los datos personales recibidos de Suiza al amparo del Swiss-U.S. DPF. Si hubiera algún conflicto entre esta Política de Privacidad y los Principios del EU-U.S. DPF o los Principios del Swiss-U.S. DPF, prevalecen los Principios. Para conocer más sobre el programa del Marco de Privacidad de Datos (DPF) y ver nuestra certificación, visite https://www.dataprivacyframework.gov/.

Quién está cubierto. Atacama Technologies LLC. No tiene subsidiarias ni otras entidades en los Estados Unidos que se adhieran a los Principios.

Datos que recibimos y finalidades. Las categorías de datos personales descritas en la sección I, recibidas de usuarios y visitantes de la UE, el Reino Unido y Suiza, para las finalidades de la sección II. No recibimos datos de recursos humanos al amparo del DPF.

Sus opciones. Usted puede acceder a los datos personales que tenemos sobre usted y corregirlos, modificarlos o eliminarlos cuando sean inexactos o se hayan tratado en contra de los Principios. Puede oponerse a que sus datos personales se divulguen a un tercero que no sea nuestro agente y a que se usen para una finalidad sustancialmente distinta de aquella para la que se recopilaron o se autorizaron después. Los datos sensibles, incluidos los biométricos, se tratan o divulgan sólo con su consentimiento expreso y afirmativo. Escriba a support@buyenjoy.io o use Ajustes.

Transferencias ulteriores. Divulgamos datos personales a los terceros descritos en la sección III. Nuestros encargados actúan como nuestros agentes bajo contratos que limitan el tratamiento a nuestras instrucciones y exigen al menos el mismo nivel de protección que exigen los Principios. Seguimos siendo responsables conforme a los Principios si un agente trata datos personales de forma contraria a ellos, salvo que demostremos que no somos responsables del hecho que causó el daño.

Autoridades públicas. Podemos estar obligados a divulgar datos personales en respuesta a solicitudes legítimas de autoridades públicas, incluso para cumplir requisitos de seguridad nacional o de aplicación de la ley.

Cumplimiento. La Comisión Federal de Comercio de los Estados Unidos (FTC) tiene jurisdicción sobre nuestro cumplimiento del EU-U.S. DPF, de la Extensión del Reino Unido al EU-U.S. DPF y del Swiss-U.S. DPF.

Quejas. En cumplimiento del EU-U.S. DPF, de la Extensión del Reino Unido al EU-U.S. DPF y del Swiss-U.S. DPF, Atacama Technologies LLC se compromete a resolver las quejas relacionadas con los Principios del DPF sobre la recopilación y el uso de su información personal. Las personas de la UE, el Reino Unido y Suiza con consultas o quejas sobre el tratamiento de los datos personales recibidos al amparo de esos marcos deben dirigirse primero a nuestro Delegado de Protección de Datos, Gabriel Morales, en support@buyenjoy.io. Respondemos en un plazo de 45 días.

Recurso independiente. En cumplimiento del EU-U.S. DPF, de la Extensión del Reino Unido al EU-U.S. DPF y del Swiss-U.S. DPF, Atacama Technologies LLC se compromete a cooperar con el panel establecido por las autoridades de protección de datos de la UE (DPA), con la Oficina del Comisionado de Información del Reino Unido (ICO) y la Autoridad Reguladora de Gibraltar (GRA), y con el Comisionado Federal Suizo de Protección de Datos e Información (FDPIC), respectivamente, y a seguir sus recomendaciones en cuanto a las quejas no resueltas sobre el tratamiento de los datos personales recibidos al amparo de esos marcos. Estos servicios no tienen costo para usted.

Arbitraje vinculante. En ciertas condiciones, descritas en el Anexo I de los Principios del DPF, usted puede acudir a un arbitraje vinculante por una queja que no se haya resuelto por ninguno de los otros mecanismos del DPF.

Verificación. Verificamos nuestro cumplimiento de los Principios mediante autoevaluación, al menos una vez al año.

VIII. Registro de Protección de Datos y Contacto

Atacama Technologies LLC d/b/a BuyEnjoy es también el responsable ante la PRODHAB de Costa Rica (Ley 8968) y ante la autoridad de protección de datos de Ecuador (LOPDP). Donde lo exija la ley local, mantiene un protocolo de tratamiento documentado, lo inscribe ante la autoridad de protección de datos de cada país de operación y designa a quien esa ley pida que la represente en el país. Oficial de Protección de Datos: Gabriel Morales, en support@buyenjoy.io.

ACEPTACIÓN

Usuario / Titular de cuenta (registro de consentimiento en la aplicación con captura de evidencia)