Política de Privacidad

1. Responsable y alcance

Esta política se aplica a dos grupos:

• Usuarios del SaaS: titulares, administradores, operadores, usuarios de lectura, invitados y personas que interactúan con Spot por registro, soporte o contratación.
• Compradores: personas que navegan o realizan pedidos en tiendas creadas con Spot.

Se interpreta principalmente conforme a la Ley 25.326, su Decreto reglamentario 1558/2001 y las normas argentinas aplicables. La política informa el tratamiento; no convierte al comprador de una tienda en cliente del SaaS.

2. Cuándo decide Spot y cuándo decide el comercio

Datos de compradores

El comercio decide qué datos necesita para vender, preparar, cobrar y entregar sus productos, y cómo usa luego la relación con sus clientes. En los casos en que legalmente corresponda, el comercio actúa como responsable de ese tratamiento. Debe recopilar datos lícitamente, informar sus propias finalidades, atender derechos y configurar promociones, comunicaciones y trackers de forma legal.

Cuando Spot procesa esa información sólo para brindar el SaaS y ejecutar la operación decidida por el comercio, actúa como encargado o proveedor de tratamiento según corresponda. Spot trata los datos para prestar el servicio, limita accesos, exige confidencialidad, aplica medidas de seguridad y utiliza los subproveedores técnicos necesarios.

Tratamientos propios de Spot

Spot actúa bajo su propia responsabilidad cuando trata información para crear y administrar cuentas, gestionar planes y cobranzas, proteger la plataforma, prevenir fraude o abuso, cumplir obligaciones legales, responder soporte, comunicar cambios del servicio y analizar la operación de Spot.

3. Qué información tratamos

Cuenta, identidad y comercio

• email de cuenta y datos de autenticación administrados por Supabase;
• nombre, foto u otros datos básicos que un proveedor OAuth como Google pueda entregar si elegís ese acceso;
• rol, invitaciones, permisos, titularidad y pertenencia a tiendas;
• nombre y datos del comercio, catálogo, sucursales, teléfonos, direcciones, coordenadas, horarios, configuraciones y contenido publicado.

Pedidos y compradores

• nombre, teléfono, dirección de entrega, ubicación o coordenadas cuando se usan, y modalidad de entrega o retiro;
• productos, cantidades, variantes, notas de producto y pedido, importes, promociones, método y estado de pago;
• historial de pedidos, identificadores de seguimiento y eventos necesarios para informar su estado;
• perfil de cliente dentro de cada comercio, que puede incluir email, fecha de cumpleaños, notas, métricas de compra y puntos de fidelización si el comercio utiliza esas funciones;
• comprobantes de transferencia que la persona decide adjuntar.

Planes y cobranzas de Spot

• plan, período de prueba, abonos, comisiones, ajustes, créditos, estados de cuenta, vencimientos y comprobantes de pago a Spot;
• en integraciones históricas con Mercado Pago, identificadores de suscripción o pago y datos limitados como marca y últimos dígitos; Spot no almacena el número completo de la tarjeta.

Contenido, soporte y Fotos IA

Tratamos logos, imágenes, textos y archivos cargados por el comercio; imágenes originales y resultados de Fotos IA; mensajes enviados por el formulario; email de respuesta; categoría de la consulta; y comunicaciones operativas relacionadas.

Datos técnicos, almacenamiento y adquisición

La aplicación y sus proveedores pueden generar datos de red y seguridad como dirección IP, fecha y hora, URL, navegador, dispositivo, identificadores técnicos, logs, errores y métricas de uso. Spot también registra datos de campaña o referencia —por ejemplo UTM, dominio de referencia y, si llega en la URL, identificadores publicitarios como fbclid— para atribución y análisis.

4. Para qué usamos la información

• crear, autenticar y administrar cuentas, tiendas, equipos y permisos;
• publicar catálogos y operar sucursales, pedidos online y de mostrador;
• identificar al comprador y gestionar delivery, retiro, pago y comprobantes;
• aplicar promociones, cumpleaños y programas de fidelización configurados por el comercio;
• calcular planes, abonos, comisiones, ajustes, créditos, vencimientos y estados de cuenta de Spot;
• enviar comunicaciones operativas, de seguridad, soporte y cambios contractuales;
• detectar errores, fraude, abuso o accesos no autorizados y proteger la plataforma;
• cumplir obligaciones legales y defender derechos;
• medir y mejorar razonablemente el servicio con datos adecuados para ese fin;
• procesar una foto con IA únicamente cuando el comercio solicita esa función.

Según el caso, el tratamiento se apoya en la ejecución de la relación contractual, la gestión de la operación pedida por la persona o el comercio, obligaciones legales, finalidades legítimas compatibles con el servicio o el consentimiento cuando resulte exigible. No usamos datos de compradores para hacer marketing propio de Spot.

5. Quiénes reciben o pueden procesar datos

El comercio donde comprás

La tienda y la sucursal correspondiente reciben los datos necesarios para recibir, preparar, cobrar y entregar el pedido y atenderte. Dentro del comercio, acceden los usuarios que tengan permisos para esa operación. Un comercio no puede acceder a la base de clientes o pedidos de otro comercio.

Proveedores tecnológicos relevantes

• Supabase: base de datos, autenticación, almacenamiento, funciones y servicios de infraestructura.
• Vercel: hosting, entrega del sitio, APIs y tareas programadas.
• Resend: envío de emails transaccionales, de soporte y contacto.
• OpenAI: procesamiento de imágenes cuando se solicita Fotos IA.
• Google: Maps Platform para direcciones, geocodificación y mapas; OAuth si se elige ese acceso; Google Analytics cuando un comercio lo configura; y recursos web como fuentes.
• Meta: Meta Pixel en superficies de Spot y, cuando el comercio lo configura, en su tienda; Facebook OAuth permanece contemplado técnicamente si se habilita.
• Mercado Pago: gestión de pagos o suscripciones en cuentas o flujos legacy donde la integración continúa aplicando.
• Servicios cartográficos y de entrega de recursos: OpenStreetMap, CARTO, Georef y redes de distribución de librerías pueden recibir solicitudes técnicas o consultas de ubicación cuando se usan esas funciones.

También podemos comunicar información cuando lo exige una autoridad competente o cuando sea razonablemente necesario para investigar fraude, proteger derechos o cumplir la ley. No vendemos bases de datos personales ni compartimos la clientela de un comercio con otros comercios.

6. Dirección, ubicación y mapas

Para configurar una sucursal o entrega, Spot puede tratar el texto de la dirección, provincia, localidad, coordenadas, identificadores de lugar y el punto elegido en el mapa. Si tocás “usar mi ubicación”, el navegador solicita permiso y comparte la ubicación sólo después de que lo autorizás.

La información necesaria puede enviarse a Google Maps Platform o a los proveedores cartográficos utilizados para buscar, representar o validar el punto. Google trata la información conforme a su Política de Privacidad. La geocodificación es aproximada: revisá siempre calle, altura y punto antes de confirmar.

7. Fotos IA

Cuando un usuario autorizado pide mejorar una foto, Spot envía a la API de OpenAI la imagen original, una referencia de fondo seleccionada por Spot y las instrucciones técnicas necesarias. El resultado vuelve a Spot, se convierte y almacena para que el comercio lo revise, apruebe, rechace o publique.

Spot conserva además el registro técnico del trabajo —estado, modelo, preset, uso y URLs de origen y resultado— para operar la función y controlar sus límites. Spot usa estas imágenes sólo para prestar el procesamiento solicitado y no las utiliza para entrenar modelos propios.

OpenAI puede tratar información conforme a las condiciones y controles de datos de su API. La configuración contractual y de retención del proveedor puede cambiar; no presentamos la función como si se ejecutara dentro de Spot ni garantizamos prácticas del proveedor más allá de lo contratado.

8. Cookies, almacenamiento local y herramientas de medición

Spot utiliza almacenamiento del navegador para funciones necesarias o pedidas por la persona, como sesión, preferencias, borradores, carrito y datos de checkout que elegís recordar. La atribución de campañas y el control de eventos de medición sólo se activan si aceptás la medición opcional. Proveedores de autenticación, seguridad, hosting o medición también pueden usar cookies o identificadores propios según la función que prestan.

Medición en superficies de Spot

La landing pública y el funnel de alta de Spot pueden usar Meta Pixel para medir visitas, campañas e interacciones. El Pixel, la captura de parámetros de campaña y el registro de atribución no se inicializan hasta que aceptás la medición opcional. Spot no carga este Pixel en el login, el dashboard ni la operación habitual de una tienda.

Cuando se completa un registro y existe una sesión válida, Spot también puede comunicar a Meta el evento CompleteRegistration mediante una API propia. Para mejorar la atribución, el evento puede incluir el email normalizado y cifrado mediante hash, IP, navegador e identificadores de campaña de Meta. El navegador y el servidor comparten un identificador técnico para evitar contar dos veces la misma alta. Este envío también depende de la aceptación previa y no incluye datos del comercio, pedidos ni compradores.

Medición configurada por cada comercio

Un comercio puede ingresar un identificador de Google Analytics 4 o Meta Pixel para su tienda. Sólo en ese caso la tienda muestra un aviso visible. Si el visitante acepta, se carga la herramienta y pueden enviarse eventos como vista, producto, carrito, inicio de checkout y compra, junto con datos técnicos y comerciales del evento. Sin aceptación, esos scripts y eventos permanecen deshabilitados.

Comprar no exige aceptar la Política de Privacidad ni la medición opcional. Aceptar o rechazar no afecta el registro, la autenticación, el carrito, el checkout ni los pedidos. La decisión se guarda localmente con una versión y se separa por tienda, incluso si varias tiendas comparten el mismo dominio. Si cambia materialmente el alcance de la medición, Spot puede solicitarla otra vez.

Podés revisar o retirar la decisión desde “Privacidad” al pie de la tienda o, para las superficies propias de Spot, con el siguiente control. Retirar el consentimiento impide mediciones futuras desde ese navegador; no obliga a Meta o Google a borrar inmediatamente información que ya hayan recibido.

Configurar cookies

El comercio sigue siendo responsable de informar sus finalidades y de evaluar cualquier requisito adicional aplicable a los trackers que configura.

9. Tratamiento fuera de Argentina

Algunos proveedores tecnológicos pueden tratar o alojar información fuera de Argentina, en países donde operan sus equipos, centros de datos o subproveedores. Esto puede ocurrir con servicios de infraestructura, email, mapas, medición, autenticación, pagos e inteligencia artificial.

Cuando corresponda, Spot debe evaluar el país de destino y utilizar una excepción válida, una decisión de adecuación, cláusulas contractuales u otro mecanismo admitido por la legislación argentina. Esta política no afirma que cada flujo esté cubierto por un mecanismo específico si esa verificación contractual todavía no fue documentada.

10. Conservación, cancelación y eliminación

Conservamos cada categoría durante el tiempo necesario para la finalidad informada, la relación con la cuenta o el comercio y los plazos legales, contractuales o de defensa de derechos que resulten aplicables.

• Cuenta, tiendas, catálogo, clientes y pedidos: permanecen mientras la cuenta se encuentra activa y durante el proceso de eliminación. Cancelar el plan no los borra.
• Eliminación de cuenta: el sistema programa la purga 14 días después de la confirmación. Durante ese período puede cancelarse la solicitud. Vencido el plazo, una tarea elimina autenticación, tiendas, catálogo, pedidos, clientes y archivos operativos asociados; si una parte falla, la cuenta queda pendiente y se reintenta en lugar de declarar una eliminación incompleta como finalizada.
• Comprobantes de transferencias de pedidos: el archivo privado se habilita para purga 30 días después de ser aceptado, 7 días después de ser rechazado y 1 día después de ser reemplazado. Si el pedido termina cancelado o vencido con un comprobante vigente, el archivo se acota a 7 días. La metadata y los eventos de auditoría pueden permanecer con el registro del pedido.
• Registros financieros y comprobantes de estados de cuenta de Spot: antes de la purga operativa, el sistema separa un archivo mínimo con la suscripción, estados, líneas, ajustes, eventos y comprobantes necesarios para respaldar los cargos e ingresos de Spot y defender derechos. No conserva allí el catálogo, la base de clientes ni el contenido completo de los pedidos. El archivo financiero y los comprobantes sometidos o aceptados como respaldo tienen un vencimiento técnico de 10 años desde la separación o el plazo mayor ya asignado al comprobante; al vencer, una tarea elimina los binarios y luego el archivo. Los comprobantes rechazados o reemplazados no se extienden automáticamente a ese plazo.
• Evidencia de aceptación legal: las versiones aceptadas, fecha, usuario y superficie se conservan separadas del uso operativo. No incluyen IP ni fingerprint. Al eliminar la cuenta, su vencimiento se extiende por 5 años para permitir acreditar la relación y luego queda habilitada para purga.
• Fotos IA: la imagen generada y el registro del trabajo permanecen en el historial o almacenamiento de la tienda hasta que se eliminen o la cuenta sea purgada; no existe una eliminación automática general por el solo rechazo de la foto.
• Soporte y logs: se conservan mientras sean necesarios para responder, mantener seguridad, investigar incidentes y defender derechos. Los proveedores pueden aplicar sus propios ciclos de logs y copias de respaldo.

Una solicitud de supresión puede no producir el borrado inmediato de información que deba conservarse por una obligación legal, seguridad, prevención de fraude, defensa de derechos o registros financieros legítimos. Cuando la retención ya no sea necesaria, los datos deben eliminarse conforme al ciclo aplicable. La eliminación de una cuenta y la cancelación del plan son procesos distintos.

11. Seguridad y confidencialidad

Spot aplica medidas técnicas y organizativas acordes al servicio, entre ellas autenticación, roles y permisos, controles del lado del servidor, Row Level Security, aislamiento por comercio, almacenamiento privado para comprobantes, enlaces o capacidades de acceso acotadas y registros específicos de seguridad u operación.

Los integrantes del comercio acceden según su rol y deben mantener confidencialidad y credenciales seguras. Ningún sistema es 100 % seguro: Spot no promete que un incidente sea imposible, pero debe prevenir, detectar y responder de forma razonable a riesgos dentro de su control.

12. Derechos de las personas titulares

Podés solicitar acceso a tus datos y conocer su origen, finalidad y destinatarios. El pedido de acceso es gratuito en intervalos no inferiores a seis meses, salvo interés legítimo, y debe responderse dentro de 10 días corridos.

También podés pedir rectificación, actualización o supresión cuando corresponda. Esas solicitudes deben resolverse dentro de 5 días hábiles. La supresión puede rechazarse o limitarse si existe una obligación legal de conservación o si afectaría derechos o intereses legítimos de terceros.

Para ejercer un derecho, usá el formulario de contacto, elegí “Legal y privacidad”, explicá el pedido y proporcioná la información necesaria para verificar tu identidad. Si sos comprador, indicá también la tienda y, si lo tenés, el pedido. Spot colaborará con el comercio cuando el pedido corresponda a un tratamiento realizado por cuenta de éste.

Si la respuesta no es satisfactoria, podés presentar una denuncia ante la Agencia de Acceso a la Información Pública, órgano de control de la Ley 25.326, o ejercer las acciones judiciales que correspondan.

13. Menores de edad

Las cuentas y la administración del SaaS sólo pueden ser contratadas por personas de 18 años o más con capacidad legal.

Una tienda puede ser navegada o utilizada para pedir alimentos por una persona menor según su autonomía, representación y las reglas aplicables. Spot no incorpora actualmente una verificación general de edad en checkout. El comercio debe aplicar controles adicionales si vende productos restringidos o si la legislación de su actividad los exige.

14. Cambios en esta política

Ante cambios materiales, Spot procurará notificar con una anticipación razonable mediante uno o más medios adecuados, como email, panel o aviso dentro del servicio, e indicará la fecha de actualización y vigencia.

Un cambio puede aplicarse de inmediato cuando resulte necesario por una obligación legal o regulatoria, seguridad, prevención de fraude o abuso, corrección de errores, o cuando esperar perjudique a usuarios o terceros. Si la ley requiere consentimiento expreso adicional, seguir usando Spot no lo reemplaza.

15. Contacto de privacidad

Para consultas o solicitudes sobre datos personales, usá el formulario de contacto y elegí “Legal y privacidad”. El formulario envía el mensaje al canal interno configurado por Spot y permite responder al email que indiques. Conservá la confirmación de envío.