Política de Privacidad
Septiembre 2026 · Versión 3.0
1. Alcance
Esta política describe cómo Zarooa POS recopila, usa, comparte y elimina su información cuando utiliza nuestro sitio web y aplicación de escritorio. Corresponde a los Términos y Condiciones y forma parte del acuerdo con usted.
2. Datos que recopilamos
| Categoría | Qué incluye | Cuándo |
|---|---|---|
| Cuenta | Nombre, correo, contraseña (hash bcrypt) | Registro y login |
| Perfil | Nombre, teléfono, foto (opcional) | Edición de perfil |
| Negocio | Productos, precios, inventario, clientes, ventas, empleados | Uso del sistema |
| Navegación | Páginas visitadas, idioma, país, IP (anonimizada) | Google Analytics |
2.1 Lo que nunca recopilamos
- Contraseñas en texto plano. Se gestionan exclusivamente mediante Supabase Auth con bcrypt. No tenemos acceso a ellas.
- Datos de tarjetas de crédito o débito. Número, CVV, fecha de expiración. Todo el procesamiento de pagos lo hace Wompi directamente; la información nunca pasa por nuestros servidores.
- Datos biométricos (huellas, reconocimiento facial).
- Datos de menores de 18 años.
- Ubicación GPS precisa.
- Contenido de comunicaciones privadas (correos, llamadas, mensajes).
3. Uso de los datos
| Propósito | Base legal |
|---|---|
| Proporcionar el Servicio POS (almacenar y procesar datos de negocio) | Ejecución del contrato |
| Autenticación y seguridad de la cuenta | Ejecución del contrato |
| Procesar pagos de suscripción (vía Wompi) | Ejecución del contrato |
| Soporte técnico y diagnóstico | Interés legítimo |
| Analítica del sitio web (Google Analytics) | Consentimiento (cookie banner) |
| Cumplir obligaciones legales | Obligación legal |
4. Almacenamiento
Sus datos residen en Supabase (PostgreSQL gestionado, certificado SOC 2 e ISO 27001) con encriptación AES-256 en reposo y TLS 1.2+ en tránsito. La aplicación de escritorio mantiene una copia local SQLite que se sincroniza con la nube cada 30 segundos.
Aplicamos Row Level Security (RLS): cada usuario accede únicamente a datos de sus propias tiendas. Ningún usuario puede ver, modificar ni eliminar datos de tiendas ajenas.
5. Terceros
| Proveedor | Datos que procesa | Propósito |
|---|---|---|
| Supabase | Todo el contenido del usuario (encriptado) | Base de datos, autenticación, archivos |
| Wompi | Datos de tarjetas (no pasan por Zarooa POS) | Pasarela de pagos |
| Google Analytics | Datos de navegación agregados, IP anonimizada | Analítica web (solo con consentimiento) |
| Cloudflare Pages | Archivos estáticos del sitio | Hosting y CDN |
Nunca: vendemos sus datos, compartimos sus datos comerciales con otros usuarios, usamos sus datos para entrenar IA, enviamos sus datos a terceros con fines publicitarios, o divulgamos datos a autoridades sin orden judicial válida.
6. Cookies
| Cookie | Tipo | Propósito | Duración |
|---|---|---|---|
| zarooa_session | Esencial | Sesión activa (localStorage) | 7 días |
| zarooa-lang | Preferencia | Idioma preferido | Permanente |
| zarooa_cookie_consent | Consentimiento | Respuesta al banner | 365 días |
| _ga, _gid | Analítica | Google Analytics (solo si acepta) | 24h / 2 años |
Google Analytics solo se carga si usted hace clic en "Aceptar" en el banner de cookies. Si rechaza, GA se bloquea completamente y su IP se anonimiza cuando está activo. Puede cambiar su decisión eliminando las cookies del navegador.
7. Retención
| Dato | Retención |
|---|---|
| Cuenta activa | Mientras dure la suscripción |
| Suscripción cancelada (sin eliminar cuenta) | Datos conservados indefinidamente en plan Starter |
| Cuenta eliminada | Eliminación permanente en 30 días (irreversible) |
| Logs de seguridad | 90 días |
| Datos de Google Analytics | 14 meses |
8. Seguridad
- Encriptación en tránsito (HTTPS/TLS 1.2+) y en reposo (AES-256).
- Autenticación Supabase Auth con bcrypt.
- Row Level Security (RLS) en todas las tablas.
- Content Security Policy (CSP) estricto, HSTS, X-Frame-Options.
- Rate limiting en autenticación (Supabase Auth).
- Honeypot anti-bot en formularios de login.
En caso de brecha de seguridad que afecte sus datos personales, le notificaremos por correo dentro de 72 horas de identificada.
9. Sus derechos
| Derecho | Cómo ejercerlo |
|---|---|
| Acceso a sus datos | Solicitar por correo |
| Rectificación | Editar perfil en la aplicación |
| Eliminación | Configuración → Zona de peligro → Eliminar cuenta |
| Portabilidad | Reportes → Exportar CSV |
| Oposición al tratamiento | Eliminar cuenta |
Contáctenos en soporte@zarooa.com. Respondemos en máximo 30 días.
10. Responsabilidad sobre sus clientes
Cuando usted registra clientes en su tienda (nombres, teléfonos, compras), esos datos se almacenan bajo su cuenta. Usted es el responsable de cumplir las leyes de protección de datos aplicables a sus clientes (como el Habeas Data colombiano, Ley 1581 de 2012), incluyendo obtener el consentimiento correspondiente. Nosotros almacenamos los datos que usted ingresa; no determinamos su propósito.
11. Transferencias internacionales
Los datos pueden residir en servidores de Supabase fuera de Colombia. Supabase cumple con cláusulas contractuales estándar (SCCs) aprobadas por la UE para transferencias internacionales de datos.
12. Menores
El Servicio no está dirigido a menores de 18 años. Si descubre que un menor creó una cuenta, contáctenos y la eliminaremos inmediatamente.
13. Cambios
Podemos actualizar esta política. Notificaremos cambios significativos por correo con 30 días de anticipación. El uso continuado implica aceptación.