Política de privacidad y tecnologías de seguimiento Versión 2026-10-11-r3 # Política de privacidad y tecnologías de seguimiento ## 1. Quién trata los datos KMSOFT, nombre comercial de 3-102-066857 Sociedad de Responsabilidad Limitada, cédula jurídica 3-102-066857, con dirección para notificaciones en 25 norte, 200 oeste y 75 sur, Supermercado Las Palmas, Cañas, Guanacaste, Costa Rica, es propietaria y proveedora del servicio CatalogoCR. Puede contactar al equipo de privacidad en info@kmsoftcr.com. KMSOFT administra los datos de registro, contratación, soporte y seguridad de su relación con los suscriptores. Cuando aloja o gestiona información de compradores, alumnos, huéspedes, contactos o empleados para un comercio, actúa por encargo de este en el alcance de sus instrucciones. El comercio determina sus finalidades y debe facilitar su propia política y contacto. Estos papeles se determinan por lo que cada parte hace realmente. Si KMSOFT decide un uso propio de datos, debe informarlo y cumplir las obligaciones de ese uso; no queda exenta por llamar al comercio «responsable». ## 2. Datos y origen Según las funciones que utilice, se tratarán las categorías siguientes: | Contexto | Datos | Origen principal | | --- | --- | --- | | Cuenta y contratación | Nombre, correo, teléfono, negocio, país, identificación necesaria, plan, autorizaciones, usuarios y registros de aceptación | Usted, su representante y su equipo | | Seguridad y soporte | Solicitudes, comunicaciones, eventos de acceso, datos técnicos del dispositivo y registros necesarios para investigar fallas o abusos | Uso del servicio y contacto con soporte | | Operación del comercio | Productos, archivos, imágenes, pedidos, direcciones, reservas, alumnos, cobros, créditos y datos fiscales que el comercio capture | Comercio y personas que interactúan con él | | Pagos | Importe, referencia, estado de transacción y datos limitados facilitados por el procesador | Comercio y procesador conectado | | Integraciones | Identificadores, permisos, tokens, mensajes, adjuntos, contactos y métricas correspondientes a la función autorizada | Proveedor conectado, comercio y sus interlocutores | | IA | Instrucciones, materiales y fragmentos de información necesarios para la tarea solicitada; resultado generado | Usuario y proveedor de IA seleccionado | | Seguimiento opcional | Visitas, interacciones e identificadores del navegador o dispositivo, según la herramienta y la autorización aplicable | Uso del sitio cuando la herramienta esté habilitada legalmente | No se deben enviar números completos de tarjeta, códigos de seguridad o credenciales por mensajes, adjuntos o campos libres. El procesador de pago informa las condiciones de su formulario y el uso de los datos que recibe directamente. Los campos necesarios para crear una cuenta, prestar una función o cumplir una obligación se identificarán al solicitarlos. Si no se proporcionan, no podrá completarse esa operación. La negativa a publicidad o seguimiento opcional no impedirá el acceso ordinario al servicio. ## 3. Para qué se utilizan Los datos se utilizan para administrar la cuenta y el plan, ejecutar las instrucciones del comercio, atender soporte, tramitar cobros y comprobantes, proteger el servicio, investigar abusos y cumplir deberes legales. Las campañas propias de KMSOFT, las del comercio y la analítica opcional son finalidades diferenciadas que requieren su fundamento y elecciones correspondientes. Se solicita consentimiento informado expreso cuando lo exige la legislación aplicable y se registra separadamente por finalidad. Cuando una disposición legal autorice u obligue un tratamiento sin consentimiento, se limita a ese supuesto. No se supone que crear una cuenta, comprar o subir una lista autoriza todo uso posterior. Donde resulte aplicable un régimen que permita tratamiento necesario para un contrato o intereses legítimos, se identificará la base concreta y se evaluarán sus límites. Esas bases no se importan automáticamente a Costa Rica ni sustituyen los requisitos locales de consentimiento y transferencia. ## 4. Datos de los comercios y sus compradores El comercio debe informar su identidad, datos que solicita, destinatarios, finalidades y derechos, y obtener las autorizaciones necesarias. Su personal verá información conforme a sus permisos. KMSOFT solo accederá a ella en el alcance necesario para el servicio, soporte autorizado, seguridad o una obligación legal. Si la solicitud de una persona se refiere a una compra, curso o reserva de un comercio, puede dirigirse al contacto de ese negocio. También puede escribir a KMSOFT: se canalizará la solicitud cuando proceda y se cumplirá cualquier obligación directa que corresponda. No se exigirá a la persona gestionar un conflicto interno entre proveedor y comercio para poder ejercer sus derechos. ## 5. Integraciones y destinatarios Al conectar una integración se informa el proveedor, función, permisos y datos implicados. El usuario puede retirar la conexión por los mecanismos disponibles en su cuenta y en el proveedor. Desconectar una cuenta no equivale a borrar todos los mensajes anteriores ni las copias que conserve el proveedor externo. - **Meta / WhatsApp / Instagram / Facebook:** información de cuenta y negocio, permisos, mensajes y adjuntos de los canales conectados, datos de interlocutores y métricas autorizadas. Un mensaje enviado llega al servicio de Meta y a su destinatario. - **TikTok:** perfil, videos y métricas autorizadas para las funciones conectadas. La desconexión y eliminación de datos almacenados son procesos diferentes. - **Google Calendar:** identificadores y autorización de la cuenta conectada, y datos de reservas necesarios para sincronizar eventos del negocio. La visibilidad de un evento depende de los permisos y de la configuración del calendario; no se promete que solo pueda verlo quien conectó la cuenta. - **Pagos y entregas:** información necesaria para la transacción o envío, con destinatarios y condiciones del proveedor elegido. - **IA:** datos y materiales que necesita la tarea, remitidos al proveedor activado. No se enviarán por defecto expedientes completos ni secretos que no sean necesarios. Se informarán las opciones de proveedor y sus condiciones relevantes antes del uso. La infraestructura de alojamiento, almacenamiento, distribución de archivos, correo y soporte puede tratar datos para operar CatalogoCR. Estas comunicaciones necesarias no se describen como «no compartimos información con nadie». El registro de categorías de proveedores figura al final de esta política. Se puede solicitar por info@kmsoftcr.com la identificación contractual y las ubicaciones aplicables a una función antes de habilitarla. Cuando un destino requiera información o autorización específica, se debe facilitar y obtener antes de transferir los datos. El servicio no concede permiso para vender o alquilar datos personales ni para usarlos en publicidad propia de terceros. Un cambio de finalidad necesitará información y fundamento legal específico. Tampoco se permite entrenamiento para fines ajenos al servicio por la sola aceptación de esta política: verificar las condiciones del proveedor de IA antes de enviar datos es parte de la operación. ## 6. Transferencias y acceso desde otros países El alojamiento o el acceso técnico puede ocurrir fuera del país del comercio o de la persona. Se informarán los destinos, proveedores y mecanismos de protección correspondientes. La transferencia se realizará únicamente con las condiciones que exija la jurisdicción aplicable. Elegir Costa Rica como ley contractual no elimina reglas de transferencia de otro país. Cuando se requieran cláusulas específicas, evaluación del destino, autorización o un representante, deben establecerse antes de realizar la operación. No se presenta la disponibilidad mundial del sitio como una habilitación universal de tratamiento. ## 7. Conservación, eliminación y respaldos Se conservarán los datos por el tiempo necesario para la finalidad informada, obligaciones legales y defensa de reclamaciones concretas. No se retienen indefinidamente por una referencia genérica a «seguridad». Los datos de cuenta, archivos y operación se conservan mientras sean necesarios para prestar las funciones activas. Al solicitar cierre o supresión, se evalúan y comunican las categorías a eliminar y las obligaciones de conservación restantes. Los comprobantes del contribuyente se sujetan al plazo fiscal aplicable, en Costa Rica cinco años con las salvedades legales. Las aceptaciones y reclamaciones se conservan durante la relación y los plazos legales de prescripción o defensa que correspondan, con acceso restringido. Los logs se limitan a lo necesario para seguridad e investigación; los respaldos no se usan para marketing ni para reactivar datos eliminados. Al finalizar una cuenta se aplicará el proceso de devolución y eliminación convenido. Los datos cuya conservación sea obligatoria o esté justificada para una controversia concreta se separarán o restringirán. Las copias de respaldo dejarán de utilizarse operativamente y se eliminarán al completar su ciclo documentado; si se restaura una copia, se volverán a aplicar las supresiones pendientes. Retirar el consentimiento impide los usos futuros basados en él, pero no borra automáticamente un comprobante sujeto a conservación legal ni vuelve ilícito el tratamiento previo válidamente realizado. Se explicará cualquier negativa parcial a eliminar. ## 8. Seguridad e incidentes Se deben mantener controles técnicos y organizativos proporcionales al riesgo: permisos, autenticación, protección de credenciales, comunicaciones seguras, control de proveedores, registros pertinentes, respaldos y respuesta a incidentes. No se garantiza ausencia absoluta de fallas ni se anuncian certificaciones que no se hayan obtenido. Si un incidente afecta datos, se investigará, contendrá y comunicará a quien corresponda dentro de los plazos legales. La notificación incluirá la información disponible, riesgos y medidas útiles; no se esperará a terminar toda la investigación si ello impide una comunicación oportuna. ## 9. Derechos y solicitudes Puede solicitar acceso, rectificación, actualización, supresión y los demás derechos que le reconozca la legislación aplicable, así como retirar consentimientos. Escriba a info@kmsoftcr.com e identifique qué cuenta, comercio o tratamiento corresponde. Solo se pedirá información proporcionada para verificar identidad y atender la solicitud; no se exigirá una cuenta activa si existe otro medio adecuado. Para los derechos regulados por la Ley 8968 de Costa Rica, la solicitud se resolverá gratuitamente dentro de cinco días hábiles desde su recepción, conforme a esa ley. No se sustituye ese plazo por una regla general de treinta días. Puede recurrir a PRODHAB y a las autoridades o tribunales que sean competentes. [Ley 8968, artículo 7 — TSE](https://tse.go.cr/infoconsuladostse/Normativa/Ley%208968%20Ley%20de%20protecci%C3%B3n%20de%20la%20persona%20frente%20al%20tratamiento%20de%20sus%20datos%20personales..pdf). Para solicitudes sujetas a otros países se aplicarán sus requisitos y plazos. La respuesta podrá ser parcial cuando exista una obligación válida de conservar datos; deberá explicar la causa y el recurso disponible. ## 10. Menores y datos sensibles La cuenta de administración del comercio se dirige a adultos autorizados. Los servicios de un comercio pueden involucrar alumnos u otras personas menores; antes de habilitarlos se deben determinar edad, representación, autorizaciones, acceso y protección aplicables. No basta con trasladar esa responsabilidad al comercio para permitir cualquier uso. No se solicitan datos sensibles por defecto en campos generales. Una actividad de salud u otra que necesite esa información requiere evaluación, fundamento y medidas específicas antes de utilizar CatalogoCR con esos datos. No se subirán expedientes clínicos, biometría o información de similar riesgo por la sola disponibilidad de un campo o archivo. ## 11. Cookies, almacenamiento local y rastreadores Las tecnologías estrictamente necesarias permiten funciones como autenticación, carrito, seguridad o conservar la elección de privacidad. Las herramientas opcionales de analítica y marketing deben mantenerse desactivadas hasta que exista una autorización válida donde esta sea requerida. Cerrar el banner, seguir navegando o encontrar una casilla premarcada no se tomará como una aceptación válida para esos usos. Las opciones «Aceptar», «Rechazar» y «Configurar» serán claras y accesibles. La elección podrá modificarse o retirarse desde un acceso permanente a preferencias de privacidad. Las decisiones se comunicarán a todos los componentes de seguimiento, incluidos eventos de compra y formularios; no basta con guardar una preferencia sin aplicarla. En la tienda, cookie-consent registra la elección durante seis meses; auth-storage y la sesión se utilizan para autenticación; el carrito conserva la selección del usuario. Si el comercio configura Google Analytics o Meta Pixel, sus herramientas solo se cargan después de autorizar la categoría correspondiente. Las cookies _ga y _ga_* pertenecen a Google Analytics y _fbp a Meta; su duración depende de la configuración del proveedor. Rechazar no las habilita y retirar la autorización bloquea nuevos eventos y solicita su eliminación cuando el navegador permite hacerlo. El acceso «Preferencias de cookies» permite cambiar la decisión. Los contenidos externos incrustados deberán usar controles adecuados cuando produzcan seguimiento opcional. La excepción para tecnologías necesarias no se extenderá automáticamente a marketing o medición. [Directiva 2002/58/CE, texto y modificaciones — EUR-Lex](https://eur-lex.europa.eu/legal-content/ES/ALL/?uri=CELEX%3A32002L0058). ## 12. Actualizaciones y contacto Las modificaciones indicarán versión y fecha de aplicación y se comunicarán cuando afecten materialmente a las personas. Un nuevo uso que requiera consentimiento no se habilitará por cambiar esta página. Contacto: info@kmsoftcr.com. ## 13. Proveedores e integraciones por función | Proveedor o categoría | Función y datos implicados | Activación | | --- | --- | --- | | Infraestructura técnica de CatalogoCR | Alojamiento de la cuenta y bases operativas; personal autorizado de soporte | Necesaria para prestar el servicio; detalles de alojamiento y acceso disponibles por el contacto de privacidad | | Cloudflare (R2) | Almacenamiento y distribución de imágenes y archivos cargados; servicios de red distribuidos internacionalmente | Cuando la función utiliza ese almacenamiento | | Hostinger (correo SMTP) | Remitente, destinatario y contenido de mensajes de servicio enviados mediante la cuenta configurada | Envío de correo; puede utilizarse la cuenta que configure el comercio | | Google | Identidad de Google al elegir ese acceso; eventos si se conecta Calendar; analítica solo con autorización | Según acceso o integración elegidos | | Meta / TikTok | Identidad, canales, mensajes y contenido indicados en los permisos conectados | Según integración; el login no autoriza marketing propio | | Telegram | Avisos operativos al personal autorizado; datos de contacto y negocio necesarios para gestionar un alta o soporte | Cuando el canal de avisos operativos esté configurado | | Sentry o servicio de diagnóstico compatible | Datos técnicos de errores y contexto limitado para diagnosticar fallas; no es una autorización para enviar secretos o expedientes completos | Cuando esté configurado para diagnóstico y seguridad | | Microsoft Clarity | Medición de uso e interacciones cuando esté configurada y se autorice analítica; puede utilizar _clck y _clsk | Solo con autorización de analítica | | OpenAI, Anthropic o Google Gemini | Instrucciones y datos que la función de IA remita al proveedor seleccionado | Al utilizar la función correspondiente; no introducir datos sensibles o secretos innecesarios | | Procesadores de pago y entrega conectados | Datos necesarios para el pago o envío solicitado; el proveedor se identifica en la función | Elección y configuración de esa integración | Los servicios globales pueden tratar información desde otros países. La lista no promete una región fija de alojamiento ni certifica la existencia de un mecanismo legal de transferencia para todos los territorios. Antes de una operación que exija un destino específico o garantías adicionales, solicite los detalles a info@kmsoftcr.com. No se habilitará esa transferencia sin cumplir los requisitos aplicables.