Política de Privacidad

En Lazoo SpA nos comprometemos a proteger tu privacidad y la de los clientes de tu negocio. Esta Política describe qué datos recopilamos, cómo los usamos, con quién los compartimos y cuáles son tus derechos.

Esta Política se rige por la Ley N° 21.719 sobre Protección de Datos Personales de Chile (y su normativa complementaria), que actualizó y reemplazó a la Ley N° 19.628 con plena vigencia desde 2026. En lo no cubierto por la Ley 21.719, se aplica la normativa sectorial y general chilena pertinente.

1. Responsable del tratamiento

El responsable del tratamiento de tus datos personales es Lazoo SpA, sociedad constituida y domiciliada en Chile. Para solicitudes formales relacionadas con privacidad, puedes contactarnos en hola@lazoo.app indicando en el asunto: "Solicitud de privacidad".

Nota: Lazoo actúa como responsable del tratamiento respecto a los datos de los negocios que utilizan la plataforma. Respecto a los datos de los clientes finales de cada negocio, Lazoo actúa exclusivamente como encargado de tratamiento por cuenta del negocio correspondiente (ver Sección 6).

2. Datos que recopilamos

2.1 Datos del negocio (tú, nuestro usuario B2B)

• Identificación: nombre del negocio, nombre del dueño o administrador, RUT empresa, dirección.
• Contacto: email, teléfono.
• Facturación: razón social, RUT, email de facturación, dirección de facturación.
• Acceso: email y contraseña (almacenada con hash bcrypt, costo 12 — nunca en texto plano).
• Configuración: logotipo, colores, textos y preferencias del programa de fidelización.
• Actividad: registros de acceso, escaneos realizados, notificaciones enviadas, promociones creadas.
• Personal autorizado: email y nombre de los usuarios con rol de escáner (personal del negocio que registra visitas de clientes mediante QR).

2.2 Datos de los clientes finales de tu negocio

Cuando tus clientes se registran en tu programa de fidelización, Lazoo almacena en tu nombre los siguientes datos:

• Nombre y apellido del cliente.
• Email (identificador único en la plataforma).
• Teléfono (si se solicita).
• Fecha de nacimiento completa (día, mes y año), cuando se proporciona. El día y mes se usan para notificaciones de cumpleaños; el año puede usarse para análisis demográficos agregados del negocio.
• Historial de visitas, sellos y canjes en tu negocio.
• Token de dispositivo para envío de notificaciones push a través de Apple Wallet o Google Wallet.
• Segmento de fidelidad asignado automáticamente (ver Sección 9).

Tú, como negocio, eres el responsable del tratamiento de los datos de tus clientes finales y debes contar con la base legal adecuada para recopilarlos. Lazoo actúa como encargado de tratamiento en tu nombre conforme a la Ley 21.719 (ver Sección 6).

2.3 Datos de la tarjeta Wallet

Para generar y mantener las tarjetas digitales en Apple Wallet y Google Wallet, Lazoo incorpora en cada tarjeta los siguientes datos del cliente:

• Nombre y apellido del cliente.
• Cantidad de sellos acumulados y objetivo del nivel actual.
• Segmento o nivel de fidelidad asignado.
• Código QR vinculado al cliente.
• Nombre e identificación visual del negocio.

Estos datos son transmitidos a los servidores de Apple Inc. y Google LLC para su almacenamiento y visualización en los dispositivos del cliente. Apple y Google operan como responsables independientes del tratamiento de esos datos bajo sus propias políticas de privacidad, que son ajenas a Lazoo.

2.4 Datos técnicos (recopilación automática)

• Dirección IP en el momento del acceso, registro y durante sesiones autenticadas.
• Tipo de dispositivo, sistema operativo y navegador.
• Logs de acceso para seguridad y detección de fraude.

3. Finalidades del tratamiento

3.1 Respecto a los datos del negocio

• Crear y gestionar tu cuenta en la plataforma.
• Prestar el servicio de fidelización contratado.
• Enviarte comunicaciones transaccionales (confirmación de cuenta, facturas, avisos de vencimiento).
• Enviarte comunicaciones sobre actualizaciones y nuevas funcionalidades (puedes darte de baja en cualquier momento).
• Detectar y prevenir fraudes, accesos no autorizados y abusos.
• Cumplir con obligaciones legales y tributarias.
• Mejorar la plataforma mediante análisis estadístico de uso, usando datos agregados o anonimizados que no permiten identificar a una persona o negocio específico.

3.2 Respecto a los datos de clientes finales (en calidad de encargado)

• Registrar visitas, sellos y canjes en el programa de fidelización del negocio.
• Generar y actualizar tarjetas Apple Wallet y Google Wallet.
• Enviar notificaciones push a través de las plataformas Wallet.
• Calcular el segmento de fidelidad del cliente según las reglas configuradas por el negocio.
• Gestionar gift cards cuando el negocio tenga esta funcionalidad activa.

4. Base legal del tratamiento

4.1 Datos del negocio

• Ejecución del contrato: para prestarte el servicio que has solicitado al aceptar los Términos y Condiciones.
• Consentimiento: para el envío de comunicaciones de marketing y actualizaciones de producto.
• Interés legítimo (Art. 13 Ley 21.719): para la seguridad de la plataforma, prevención de fraude y análisis estadístico agregado de uso.
• Obligación legal: para el cumplimiento de normativa tributaria y legal chilena.

4.2 Datos de clientes finales (como encargado)

El tratamiento de datos de clientes finales se realiza según las instrucciones del negocio responsable, que debe contar con la base legal adecuada frente a sus clientes (generalmente, consentimiento o ejecución del programa de fidelización al que el cliente se adhirió voluntariamente).

5. Compartición de datos con terceros

No vendemos ni cedemos tus datos personales a terceros con fines comerciales propios. Solo compartimos datos con los siguientes subprocesadores y proveedores, en la medida necesaria para prestar el servicio:

• Vercel Inc. (EE.UU.): hosting de la plataforma web y almacenamiento de archivos (imágenes de negocios y respaldos de datos en Vercel Blob).
• Neon (EE.UU.): base de datos PostgreSQL donde se almacenan todos los datos de negocios y clientes finales.
• Resend (EE.UU.): envío de emails transaccionales.
• Flow Chile S.A. (Chile): procesamiento de pagos de instalación y suscripciones mensuales. Flow actúa como procesador de pagos independiente bajo sus propios términos y política de privacidad.
• Upstash / QStash (EE.UU.): sistema de colas y tareas programadas (ejecución de notificaciones, promociones automáticas y respaldos periódicos).
• Apple Inc. (EE.UU.): transmisión de datos de tarjetas y notificaciones push mediante Apple Push Notification Service (APNs). Apple actúa como responsable independiente para los datos que almacena en sus sistemas.
• Google LLC (EE.UU.): transmisión de datos de tarjetas y notificaciones push mediante Google Wallet API. Google actúa como responsable independiente para los datos que almacena en sus sistemas.
• Autoridades competentes: cuando sea requerido por ley, resolución judicial o para proteger derechos legítimos de terceros.

Todos los proveedores listados (excepto Apple y Google, que actúan como responsables independientes para los datos que almacenan en sus plataformas) han suscrito compromisos de confidencialidad y protección de datos. Puedes solicitar la lista actualizada de subprocesadores escribiendo a hola@lazoo.app.

6. Relación entre Lazoo y los negocios — Contrato de encargo

Respecto a los datos de los clientes finales de cada negocio, Lazoo actúa como encargado de tratamiento conforme a la Ley 21.719. El negocio es el responsable del tratamiento de esos datos y Lazoo solo los procesa según sus instrucciones y para los fines del servicio contratado.

Como negocio, tienes las siguientes obligaciones respecto a tus clientes finales:

• Informar a tus clientes sobre el tratamiento de sus datos y la participación de Lazoo como plataforma tecnológica.
• Contar con la base legal adecuada para recopilar y tratar sus datos personales.
• Atender las solicitudes de derechos (acceso, rectificación, cancelación, etc.) que tus clientes dirijan a tu negocio.
• No instruir a Lazoo para tratar los datos de tus clientes de manera contraria a la ley.

Los Términos y Condiciones de uso de Lazoo, aceptados al registrarse, constituyen el contrato de encargo de tratamiento entre el negocio y Lazoo en los términos de la Ley 21.719. Para negocios que requieran un Acuerdo de Encargo de Tratamiento formal independiente (DPA), escríbenos a hola@lazoo.app.

7. Aislamiento de datos por negocio

Los datos de los clientes finales de cada negocio pertenecen exclusivamente a ese negocio. Lazoo no comparte, cruza ni transfiere la información de los clientes de un negocio con ningún otro negocio, ni los utiliza para ningún fin distinto a la prestación del servicio contratado por ese negocio.

Cada negocio accede únicamente a los datos de sus propios clientes. La información de un cliente en un negocio es completamente independiente e inaccesible para cualquier otro negocio de la plataforma.

Principios de aislamiento

• Datos exclusivos por negocio. Los sellos, canjes, historial de visitas, segmento de fidelidad y datos personales de un cliente son visibles solo para el negocio en cuyo programa participa.
• Sin compartición entre negocios. Lazoo no informa a ningún negocio sobre la existencia de clientes en otros negocios de la plataforma, ni permite el acceso cruzado a esa información.
• Sin uso comercial de datos de clientes. Lazoo no utiliza los datos de los clientes finales para perfilarlos, vender publicidad, ni para ningún fin comercial propio.

Lazoo actúa como encargado de tratamiento de los datos de clientes finales. El negocio es el único responsable del tratamiento de esos datos y tiene control exclusivo sobre ellos. Lazoo los trata únicamente siguiendo las instrucciones del negocio y para los fines del servicio contratado.

8. Inteligencia Artificial

Lazoo desarrolla funcionalidades de inteligencia artificial orientadas a ayudar a los negocios a comprender mejor a sus clientes y mejorar sus programas de fidelización. Estas funcionalidades están en desarrollo y, cuando estén disponibles, operarán bajo los siguientes principios:

• Solo datos agregados o anonimizados: Lazoo podrá usar datos estadísticos de la plataforma (patrones de visita, tasas de retención, comportamiento por segmento) para entrenar o alimentar modelos de IA, siempre que los datos no permitan identificar a personas o negocios específicos.
• Consentimiento explícito para datos identificables: cualquier uso de datos personales identificables del cliente final para funcionalidades de IA requerirá el consentimiento previo, libre, informado y específico del cliente final, obtenido mediante un flujo de consentimiento explícito dentro de la plataforma.
• Transparencia: cuando estas funcionalidades estén activas, Lazoo actualizará esta Política con el detalle de los datos usados, la finalidad específica y cómo retirar el consentimiento.

A la fecha de esta Política, las funcionalidades de IA que usen datos identificables de clientes no están activas. Ningún dato personal identificable de clientes finales es usado actualmente para entrenamiento de modelos de IA.

9. Decisiones automatizadas y segmentación

Lazoo utiliza un sistema automatizado para clasificar a los clientes finales en segmentos de fidelidad según su historial de visitas al negocio. Los segmentos disponibles son:

• Nuevo: clientes que aún no han alcanzado el umbral de visitas configurado como "Frecuente".
• Frecuente: clientes que superan el umbral de visitas definido por el negocio en un período determinado.
• VIP: clientes que superan el umbral superior definido por el negocio.
• Inactivo: clientes que no han registrado visitas en el período configurado.
• Embajador: segmento asignado manualmente por el negocio para clientes con rol especial.

Esta segmentación es configurada por cada negocio (umbrales, períodos, recompensas) y determinada automáticamente por Lazoo con base en los datos de visita registrados. El segmento puede afectar las promociones y comunicaciones que el cliente recibe del negocio.

Conforme a la Ley 21.719, los titulares tienen derecho a conocer la lógica aplicada en la segmentación automatizada y a solicitar revisión humana de su clasificación. Para ejercer este derecho, el cliente final debe contactar directamente al negocio del programa de fidelización, que es el responsable del tratamiento de esos datos.

10. Transferencias internacionales de datos

Los proveedores tecnológicos de Lazoo (Vercel, Neon, Resend, Upstash, Apple, Google) operan fuera de Chile, principalmente en Estados Unidos. Estas transferencias son necesarias para prestar el servicio contratado.

Lazoo se asegura de que estas transferencias se realicen conforme a la Ley 21.719, priorizando proveedores que cuenten con certificaciones de seguridad reconocidas (SOC 2 Tipo II o equivalente) y que hayan suscrito compromisos contractuales de protección de datos. Apple y Google, como responsables independientes del tratamiento, se rigen por sus propias políticas de privacidad y marcos de cumplimiento.

11. Retención de datos

11.1 Datos del negocio

• Cuenta activa: mantenemos tus datos mientras tu cuenta esté activa.
• Trial sin activar: la cuenta pasa a estado "eliminada" a los 14 días del inicio del trial; los datos dejan de estar accesibles operativamente. La eliminación física definitiva se ejecuta en un plazo adicional de hasta 30 días.
• Cancelación: conservamos tus datos por 30 días para permitir la reactivación. Vencido ese plazo, los datos operativos se eliminan, salvo los que debamos conservar por obligación legal (ej: datos de facturación, que se conservan por los plazos que exige la normativa tributaria chilena, actualmente hasta 6 años).

11.2 Datos de clientes finales

• Mientras el negocio esté activo: los datos del cliente se conservan asociados al programa de fidelización del negocio.
• Clientes "eliminados" por el negocio: el negocio puede marcar clientes como eliminados. El registro permanece en estado inactivo (invisible para la operación normal) durante 90 días para permitir recuperación accidental, tras lo cual se elimina definitivamente del sistema.
• Cancelación del negocio: cuando un negocio cancela definitivamente su cuenta, los datos de sus clientes finales se eliminan en el mismo plazo que los datos del negocio (máximo 30 días tras la cancelación definitiva), salvo lo que exija la ley.

11.3 Datos técnicos y sesiones

• Sesión del panel de administración (negocio): expira a los 60 días desde el inicio de sesión. Se renueva con la actividad del usuario.
• Sesión del cliente final (menú digital): expira a los 90 días desde el último uso. Se renueva automáticamente en cada acceso activo. Solo aplica cuando el negocio tiene habilitado el módulo de menú digital.
• Logs de seguridad y acceso: se conservan por 30 días.
• Respaldos periódicos: Lazoo realiza respaldos semanales automáticos en formato cifrado. Los respaldos se conservan por 30 días y luego son eliminados.

12. Seguridad

Implementamos las siguientes medidas técnicas y organizativas para proteger tus datos:

• Contraseñas almacenadas con hash bcrypt (costo 12) — nunca en texto plano.
• Comunicaciones cifradas mediante TLS/HTTPS en todas las conexiones.
• Base de datos con cifrado en reposo (AES-256) provisto por Neon.
• Tokens de autenticación y sesión con fecha de expiración y renovación controlada.
• Rate limiting para prevenir ataques de fuerza bruta sobre endpoints críticos.
• Acceso a datos de producción restringido al personal técnico autorizado de Lazoo.
• Respaldos automáticos semanales almacenados de forma segura.

Notificación de brechas de seguridad

En caso de una brecha de seguridad que afecte datos personales, Lazoo cumplirá con las obligaciones de notificación establecidas en la Ley 21.719: notificación a la Agencia de Protección de Datos Personales en el plazo legal aplicable y, cuando la brecha suponga un riesgo significativo para los derechos de los titulares, notificación directa a los afectados con la información y recomendaciones pertinentes.

13. Derechos de los negocios (usuarios B2B)

Como negocio usuario de Lazoo, tienes los siguientes derechos sobre tus datos personales:

• Acceso: solicitar una copia de los datos personales que tenemos sobre tu negocio y sus representantes.
• Rectificación: corregir datos inexactos o incompletos.
• Cancelación / Eliminación: solicitar la eliminación de tus datos cuando ya no sean necesarios para la finalidad que justificó su tratamiento.
• Oposición: oponerte al tratamiento de tus datos para fines de marketing.
• Portabilidad: recibir tus datos en un formato estructurado, de uso común y lectura mecánica (ej: JSON, CSV).

Para ejercer cualquiera de estos derechos, escríbenos a hola@lazoo.app indicando en el asunto "Solicitud de privacidad" y el derecho que deseas ejercer. Responderemos en un plazo máximo de 15 días hábiles desde la recepción de tu solicitud, prorrogable en casos complejos.

14. Derechos de los clientes finales

Los clientes finales que participan en programas de fidelización gestionados a través de Lazoo son titulares de sus datos personales. Dado que el negocio es el responsable del tratamiento de esos datos, los clientes finales deben dirigirse directamente al negocio del programa de fidelización en que participan para ejercer sus derechos de acceso, rectificación, cancelación u oposición.

Si el negocio ya no está operativo o el cliente tiene una consulta directamente relacionada con la plataforma Lazoo (por ejemplo, solicitar la eliminación de su información de la infraestructura técnica), puede contactarnos en hola@lazoo.app indicando en el asunto "Solicitud de privacidad — cliente final". Responderemos en un plazo máximo de 15 días hábiles.

Los titulares tienen derecho a presentar reclamos ante la Agencia de Protección de Datos Personales de Chile, una vez que esta autoridad esté plenamente operativa conforme a la Ley 21.719.

15. Cookies y sesiones web

Lazoo utiliza los siguientes tipos de cookies y tecnologías similares:

• Cookie de sesión del negocio (panel de administración): cookie httpOnly persistente que mantiene autenticada la sesión del panel de administración de Lazoo. Expira a los 60 días desde el inicio de sesión y se renueva automáticamente con la actividad del usuario. Se elimina al cerrar sesión explícitamente o al vencer el plazo.
• Cookie de sesión del cliente final (menú digital): cookie httpOnly persistente utilizada para identificar al cliente en el módulo de menú digital, cuando el negocio tiene esa funcionalidad habilitada. Expira a los 90 días desde el último uso y se renueva automáticamente en cada acceso. El cliente puede eliminarla borrando las cookies de su navegador. No aplica en negocios sin módulo de menú digital.

No utilizamos cookies de seguimiento de terceros, publicidad comportamental ni analítica de sesión de usuarios no autenticados.

16. Menores de edad

16.1 Usuarios del panel de administración

El acceso al panel de administración de Lazoo está reservado a personas mayores de 18 años o representantes legales de personas jurídicas. No recopilamos conscientemente datos de menores de edad en esta capacidad.

16.2 Clientes finales de los programas de fidelización

Los negocios que utilizan Lazoo pueden tener clientes finales de cualquier edad. La responsabilidad de verificar la edad de los participantes en sus programas de fidelización y de obtener el consentimiento parental cuando corresponda recae exclusivamente en el negocio-responsable del tratamiento.

Si Lazoo detecta o recibe notificación de que un menor de edad ha participado en un programa de fidelización sin el consentimiento parental requerido, colaborará con el negocio responsable para gestionar la eliminación de los datos correspondientes.

17. Modificaciones a esta política

Podemos actualizar esta Política de Privacidad cuando sea necesario. Ante cambios materiales que afecten derechos de los titulares, notificaremos por email con al menos 15 días de anticipación. La fecha de "última actualización" al inicio del documento siempre refleja la versión vigente. Las versiones anteriores están disponibles previa solicitud a hola@lazoo.app.

18. Contacto

Para consultas, solicitudes de derechos o reclamos relacionados con privacidad, contacta a nuestro equipo en hola@lazoo.app indicando en el asunto: "Solicitud de privacidad". Esta dirección gestiona solicitudes de negocios (usuarios B2B) y clientes finales.