Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales es el operador de CardIndex.cl (en adelante, «CardIndex» o «nosotros»).

Contacto para privacidad y derechos ARCO-P: hola@cardindex.cl. Acusamos recibo en un plazo orientativo de 2 días hábiles.

2. Qué datos recopilamos

• Cuenta: email, identificador de usuario, nombre o display name, foto de perfil (si la provee Google), fecha de registro, aceptación de Términos/Privacidad y preferencia de emails de marketing (opt-in).
• Perfil de vendedor (opcionales): WhatsApp, Instagram, región, comuna; estado de verificación de contacto.
• Marketplace C2C: publicaciones, wishlist, historial asociado a tus publicaciones.
• Tienda oficial / pedidos: contacto, entrega, email y detalle del pedido (pago con Mercado Pago).
• Uso del sitio: datos técnicos y cookies de analítica solo con tu consentimiento (Google Analytics).
• Comunicaciones: email vía Resend (transaccionales y, si optas, campañas).
• Verificación SMS: número de teléfono si usas verificación vía Twilio Verify.

No solicitamos RUT ni fecha de nacimiento. Las credenciales fuera de Google OAuth las gestiona Supabase Auth con hashing.

3. Para qué los usamos

• Crear y mantener tu cuenta; autenticarte (incl. Google OAuth).
• Facilitar el marketplace C2C y la tienda oficial.
• Enviar correos transaccionales (p. ej. pedido, verificación de cuenta).
• Enviar correos promocionales o de producto solo si activaste el opt-in de marketing.
• Analítica de uso solo con consentimiento de cookies.
• Seguridad, prevención de abuso y obligaciones legales.

4. Bases del tratamiento

(a) Ejecución del servicio; (b) consentimiento (cookies de analítica, aceptación de Términos/Privacidad, opt-in de marketing); (c) intereses legítimos de seguridad y mejora; (d) obligaciones legales cuando corresponda.

5. Encargados y con quién compartimos

No vendemos tus datos. Usamos proveedores (encargados) necesarios para operar:

• Supabase: autenticación, base de datos y archivos (email, perfil, pedidos, imágenes). Puede implicar almacenamiento fuera de Chile según su infraestructura.
• Google: OAuth; Analytics solo si aceptas cookies.
• Mercado Pago: pagos (tienda, PRO, destacados) — datos del checkout según sus políticas.
• Resend: envío de correos (destinatario y contenido del mensaje).
• Twilio: SMS de verificación (número de teléfono).
• Hosting / borde (p. ej. Railway, Cloudflare si aplica): logs técnicos (IP, ruta) con retención limitada.
• Otros usuarios: solo lo que haces público en perfil o publicaciones.

Algunas transferencias pueden ser internacionales. Elegimos proveedores con medidas contractuales/técnicas habituales del sector (DPA / términos del servicio).

6. Conservación (retención)

• Cuenta, perfil, listings, wishlist, mazos, guías: mientras la cuenta exista; se borran al eliminar la cuenta.
• Pedidos tienda oficial: hasta ~5 años con fines comerciales/contables; al borrar la cuenta se anonimiza la PII (email, nombre, teléfono, dirección) y se conserva el registro del pedido.
• Logs de aplicación: orientación ~90 días (rotación en el host).
• Registros de envíos de email diarios: hasta ~12 meses.
• Analytics (GA): según la retención configurada en Google Analytics (recomendamos ≤ 14 meses).

7. Tus derechos (ARCO-P)

Puedes ejercer acceso, rectificación, eliminación, oposición, portabilidad y bloqueo, entre otros.

• Self-service: /cuenta/privacidad (exportar JSON, marketing on/off, eliminar cuenta).
• Rectificar: edita tu perfil en el dashboard.
• Por email (hola@cardindex.cl): plazos orientativos de 5 días hábiles (acceso/portabilidad), 10 días hábiles (eliminación) y 3 días hábiles (baja de marketing).

8. Marketing vs. correos del servicio

Los correos necesarios para el servicio (p. ej. confirmación de pedido o recordatorio de verificación) no dependen del opt-in de marketing. Las campañas promocionales (PRO, sorteos, tips de producto, etc.) solo se envían si activaste el consentimiento de marketing — en el login (opcional) o en Privacidad y datos. Puedes retirarlo en cualquier momento.

9. Cookies

Cookies esenciales de sesión (Supabase Auth). Google Analytics solo si aceptas el aviso de cookies. Puedes cambiar de opinión borrando el consentimiento en el navegador o contactándonos.

10. Seguridad e incidentes

Aplicamos HTTPS y controles de acceso. Ante una brecha relevante, actuaremos según la ley (notificación a la autoridad y a afectados cuando corresponda).

11. Menores

El servicio está orientado a mayores de edad o a quienes cuenten con autorización de su representante legal según la legislación aplicable.

12. Cambios

Podemos actualizar esta política. La versión vigente se indica arriba (2026-07-26b). Los cambios materiales se comunicarán en el sitio; puede pedirse una nueva aceptación para seguir usando la cuenta.

Términos (versión 2026-07-26): /terms