ZUWU · INFORMACIÓN LEGAL
Política de Privacidad
Versión propuesta 1.0 · Actualizado el 23 de octubre de 2026
1. Responsable y alcance
ZUWU es operada inicialmente por una persona natural en Chile. Responsable: [TODO: nombre legal pendiente de validación antes de producción]. Contacto para privacidad: contacto@zuwu.cl. Esta política describe el código y la infraestructura prevista; no certifica cumplimiento legal ni afirma que el servicio ya esté desplegado.
2. Datos tratados
Se registran nombre del responsable, correo normalizado, contraseña transformada en hash, estado de cuenta, roles y membresías; versiones legales y fecha de aceptación; nombres y contactos de partners y responsables invitados; datos de comercios, sucursales, direcciones, imágenes y destinos configurados. También se almacenan inventario de placas, ventas declaradas y auditoría de cambios relevantes. No se requieren documentos de identidad para el flujo inicial de autorización.
3. Finalidades y fundamentos
Los datos se utilizan para crear y proteger cuentas, verificar correos, recuperar acceso, administrar autorizaciones, prestar las funciones solicitadas y gestionar seguridad y soporte. El registro exige aceptación expresa de términos y aviso, y registra versiones y fecha. Esto no representa consentimiento general para marketing ni para tratamientos opcionales. TODO: validar jurídicamente los fundamentos de cada finalidad y la información que debe entregarse al titular.
4. Comercios, partners y contenido público
Partners y comercios deben estar autorizados para proporcionar datos de terceros. El contacto del responsable no se publica como parte de la landing. Los contenidos configurados y publicados del comercio son accesibles sin sesión. La invitación y verificación de correo no otorgan automáticamente titularidad. TODO: precisar contractualmente las responsabilidades de cada parte en los distintos tratamientos.
5. Proveedores y transferencias
La infraestructura de producción prevista utiliza Google Cloud Run, Firebase Hosting, Artifact Registry y Secret Manager; Neon PostgreSQL y Aiven Valkey. El correo transaccional utilizará un proveedor SMTP todavía pendiente; Mailpit se usa para pruebas locales. Estos proveedores pueden tratar datos fuera de Chile: Neon se ha configurado en us-east-2, Aiven en San Francisco y Cloud Run se prevé en us-east1. TODO: confirmar regiones, condiciones, subencargados y garantías de transferencias antes de producción. Google Reviews recibe al visitante cuando este sigue su enlace y aplica sus propias políticas.
6. Seguridad y sesiones
La implementación usa hash Argon2id de contraseñas, cookies HttpOnly y Secure en producción, protección CSRF, validación de origen y permisos por recurso. Las conexiones productivas a PostgreSQL y Valkey verifican TLS. Valkey mantiene hashes de refresh tokens y metadatos mínimos de sesiones, con rotación y revocación. Ninguna medida elimina todos los riesgos. No envíes contraseñas ni tokens por correo de soporte.
7. Cookies y navegación
Las cookies implementadas son necesarias para autenticación y protección CSRF; no se almacenan JWT en localStorage. Con Firebase se utiliza la cookie firmada __session. El acceso JWT dura 15 minutos; las sesiones tienen un máximo absoluto de siete días y expiración por inactividad configurable. No se incorporan píxeles publicitarios. Los parámetros UTM validados pueden acompañar la navegación al registro sin cookies de seguimiento. Las solicitudes usan direcciones IP para controles de abuso; los logs propios evitan cuerpos, cookies y URLs completas. La infraestructura puede generar sus propios registros, cuya configuración y conservación deben revisarse.
8. Conservación y eliminación
Los tokens de verificación de cuenta expiran en 24 horas y los de recuperación en 30 minutos. La expiración no implica por sí misma borrado físico de todas las tablas. Las invitaciones tienen una tarea de depuración con retención de 90 días cuya ejecución debe programarse. No existe una política general automatizada de eliminación de cuentas, ventas, auditorías o respaldos. TODO: fijar plazos por categoría, responsables, tratamiento de copias y procedimiento verificable de eliminación antes de producción. No prometemos borrado inmediato ni plazos aún no implementados.
9. Derechos y solicitudes
Puedes escribir a contacto@zuwu.cl para solicitar información y ejercer los derechos de acceso, rectificación, eliminación o bloqueo que correspondan conforme a la normativa vigente. Se requerirá verificar tu legitimación de forma proporcionada; no adjuntes documentos sensibles sin indicación y canal seguro. No hay portal autoservicio ni procedimiento automatizado general. TODO: designar responsable operativo y formalizar la atención dentro de los plazos legales aplicables.
10. Enlaces externos
Los destinos HTTPS configurados, redes y sitios externos tienen sus propias prácticas. Al abrirlos abandonas ZUWU. Revisa sus avisos antes de proporcionar datos. ZUWU no controla la publicación de opiniones en Google ni las cookies de servicios externos.
11. Normativa y actualizaciones
Al 23 de octubre de 2026 rige la Ley 19.628 en su versión vigente. Las modificaciones de la Ley 21.719 entran en vigor el 1 de diciembre de 2026; no se presentan aquí como ya vigentes. TODO: revisar este borrador y los procesos antes de esa fecha. No se declara cumplimiento integral. Las futuras modificaciones se identificarán mediante fecha y versión.
Contacto: contacto@zuwu.cl
Fuentes: Ley 19.628 vigente hasta el 30 de noviembre de 2026 y texto con vigencia diferida desde el 1 de diciembre de 2026.