Política de Privacidad

En Lazoo SpA nos comprometemos a proteger tu privacidad y la de los clientes de tu negocio. Esta Política describe qué datos recopilamos, cómo los usamos, con quién los compartimos y cuáles son tus derechos.

Esta Política se rige por la Ley N° 21.719 sobre Protección de Datos Personales de Chile (y su normativa complementaria), que actualizó y reemplazó a la Ley N° 19.628 con plena vigencia desde 2026. En lo no cubierto por la Ley 21.719, se aplica la normativa sectorial y general chilena pertinente.

1. Responsable del tratamiento

El responsable del tratamiento de tus datos personales es Lazoo SpA, sociedad constituida y domiciliada en Chile. Para solicitudes formales relacionadas con privacidad, puedes contactarnos en hola@lazoo.app indicando en el asunto: "Solicitud de privacidad".

Nota: Lazoo actúa como responsable del tratamiento respecto a los datos de los negocios que utilizan la plataforma y respecto al Perfil Transversal (GlobalProfile) descrito en la Sección 7. Respecto a los datos de los clientes finales de cada negocio, Lazoo actúa como encargado de tratamiento por cuenta del negocio correspondiente (ver Sección 6).

2. Datos que recopilamos

2.1 Datos del negocio (tú, nuestro usuario B2B)

• Identificación: nombre del negocio, nombre del dueño o administrador, RUT empresa, dirección.
• Contacto: email, teléfono.
• Facturación: razón social, RUT, email de facturación, dirección de facturación.
• Acceso: email y contraseña (almacenada con hash bcrypt, costo 12 — nunca en texto plano).
• Configuración: logotipo, colores, textos y preferencias del programa de fidelización.
• Actividad: registros de acceso, escaneos realizados, notificaciones enviadas, promociones creadas.
• Personal autorizado: email y nombre de los usuarios con rol de escáner (personal del negocio que registra visitas de clientes mediante QR).

2.2 Datos de los clientes finales de tu negocio

Cuando tus clientes se registran en tu programa de fidelización, Lazoo almacena en tu nombre los siguientes datos:

• Nombre y apellido del cliente.
• Email (identificador único en la plataforma).
• Teléfono (si se solicita).
• Fecha de nacimiento completa (día, mes y año), cuando se proporciona. El día y mes se usan para notificaciones de cumpleaños; el año puede usarse para análisis demográficos agregados del negocio.
• Historial de visitas, sellos y canjes en tu negocio.
• Token de dispositivo para envío de notificaciones push a través de Apple Wallet o Google Wallet.
• Segmento de fidelidad asignado automáticamente (ver Sección 9).

Tú, como negocio, eres el responsable del tratamiento de los datos de tus clientes finales y debes contar con la base legal adecuada para recopilarlos. Lazoo actúa como encargado de tratamiento en tu nombre conforme a la Ley 21.719 (ver Sección 6).

2.3 Datos de la tarjeta Wallet

Para generar y mantener las tarjetas digitales en Apple Wallet y Google Wallet, Lazoo incorpora en cada tarjeta los siguientes datos del cliente:

• Nombre y apellido del cliente.
• Cantidad de sellos acumulados y objetivo del nivel actual.
• Segmento o nivel de fidelidad asignado.
• Código QR vinculado al cliente.
• Nombre e identificación visual del negocio.

Estos datos son transmitidos a los servidores de Apple Inc. y Google LLC para su almacenamiento y visualización en los dispositivos del cliente. Apple y Google operan como responsables independientes del tratamiento de esos datos bajo sus propias políticas de privacidad, que son ajenas a Lazoo.

2.4 Datos técnicos (recopilación automática)

• Dirección IP en el momento del acceso, registro y durante sesiones autenticadas.
• Tipo de dispositivo, sistema operativo y navegador.
• Logs de acceso para seguridad y detección de fraude.

3. Finalidades del tratamiento

3.1 Respecto a los datos del negocio

• Crear y gestionar tu cuenta en la plataforma.
• Prestar el servicio de fidelización contratado.
• Enviarte comunicaciones transaccionales (confirmación de cuenta, facturas, avisos de vencimiento).
• Enviarte comunicaciones sobre actualizaciones y nuevas funcionalidades (puedes darte de baja en cualquier momento).
• Detectar y prevenir fraudes, accesos no autorizados y abusos.
• Cumplir con obligaciones legales y tributarias.
• Mejorar la plataforma mediante análisis estadístico de uso, usando datos agregados o anonimizados que no permiten identificar a una persona o negocio específico.

3.2 Respecto a los datos de clientes finales (en calidad de encargado)

• Registrar visitas, sellos y canjes en el programa de fidelización del negocio.
• Generar y actualizar tarjetas Apple Wallet y Google Wallet.
• Enviar notificaciones push a través de las plataformas Wallet.
• Calcular el segmento de fidelidad del cliente según las reglas configuradas por el negocio.
• Gestionar gift cards cuando el negocio tenga esta funcionalidad activa.

4. Base legal del tratamiento

4.1 Datos del negocio

• Ejecución del contrato: para prestarte el servicio que has solicitado al aceptar los Términos y Condiciones.
• Consentimiento: para el envío de comunicaciones de marketing y actualizaciones de producto.
• Interés legítimo (Art. 13 Ley 21.719): para la seguridad de la plataforma, prevención de fraude y análisis estadístico agregado de uso.
• Obligación legal: para el cumplimiento de normativa tributaria y legal chilena.

4.2 Datos de clientes finales (como encargado)

El tratamiento de datos de clientes finales se realiza según las instrucciones del negocio responsable, que debe contar con la base legal adecuada frente a sus clientes (generalmente, consentimiento o ejecución del programa de fidelización al que el cliente se adhirió voluntariamente).

5. Compartición de datos con terceros

No vendemos ni cedemos tus datos personales a terceros con fines comerciales propios. Solo compartimos datos con los siguientes subprocesadores y proveedores, en la medida necesaria para prestar el servicio:

• Vercel Inc. (EE.UU.): hosting de la plataforma web y almacenamiento de archivos (imágenes de negocios y respaldos de datos en Vercel Blob).
• Neon (EE.UU.): base de datos PostgreSQL donde se almacenan todos los datos de negocios y clientes finales.
• Resend (EE.UU.): envío de emails transaccionales.
• Upstash / QStash (EE.UU.): sistema de colas y tareas programadas (ejecución de notificaciones, promociones automáticas y respaldos periódicos).
• Apple Inc. (EE.UU.): transmisión de datos de tarjetas y notificaciones push mediante Apple Push Notification Service (APNs). Apple actúa como responsable independiente para los datos que almacena en sus sistemas.
• Google LLC (EE.UU.): transmisión de datos de tarjetas y notificaciones push mediante Google Wallet API. Google actúa como responsable independiente para los datos que almacena en sus sistemas.
• Autoridades competentes: cuando sea requerido por ley, resolución judicial o para proteger derechos legítimos de terceros.

Todos los proveedores listados (excepto Apple y Google, que actúan como responsables independientes para los datos que almacenan en sus plataformas) han suscrito compromisos de confidencialidad y protección de datos. Puedes solicitar la lista actualizada de subprocesadores escribiendo a hola@lazoo.app.

6. Relación entre Lazoo y los negocios — Contrato de encargo

Respecto a los datos de los clientes finales de cada negocio, Lazoo actúa como encargado de tratamiento conforme a la Ley 21.719. El negocio es el responsable del tratamiento de esos datos y Lazoo solo los procesa según sus instrucciones y para los fines del servicio contratado.

Como negocio, tienes las siguientes obligaciones respecto a tus clientes finales:

• Informar a tus clientes sobre el tratamiento de sus datos y la participación de Lazoo como plataforma tecnológica.
• Contar con la base legal adecuada para recopilar y tratar sus datos personales.
• Atender las solicitudes de derechos (acceso, rectificación, cancelación, etc.) que tus clientes dirijan a tu negocio.
• No instruir a Lazoo para tratar los datos de tus clientes de manera contraria a la ley.

Los Términos y Condiciones de uso de Lazoo, aceptados al registrarse, constituyen el contrato de encargo de tratamiento entre el negocio y Lazoo en los términos de la Ley 21.719. Para negocios que requieran un Acuerdo de Encargo de Tratamiento formal independiente (DPA), escríbenos a hola@lazoo.app.

7. Perfil Transversal (GlobalProfile)

Lazoo mantiene un Perfil Transversal (identificado internamente como GlobalProfile) vinculado a cada cliente final que participa en uno o más programas de fidelización en la red de negocios de Lazoo.

El propósito de este perfil es técnico y operativo: permite que Lazoo reconozca que la misma persona (identificada por su email) ha participado en distintos negocios de la plataforma, evitando la creación de perfiles duplicados y facilitando la administración de la sesión web del cliente.

Qué datos contiene el Perfil Transversal

• Email (identificador único global).
• Nombre preferido (opcional).
• Teléfono (opcional).
• Fecha de registro del perfil y fecha de última actualización.
• Registro de consentimiento para funcionalidades de inteligencia artificial (cuando el cliente lo otorgue explícitamente).

Principios de aislamiento

• Los negocios no comparten datos entre sí. Cada negocio solo accede a los datos de sus propios clientes. El Perfil Transversal nunca es visible ni accesible por ningún negocio.
• Lazoo no informa a ningún negocio que un cliente suyo también es cliente de otro negocio en la plataforma.
• Los datos de fidelización son independientes por negocio. Los sellos, canjes e historial de visitas de un negocio no son visibles en el contexto de otro negocio.

Respecto al Perfil Transversal, Lazoo actúa como responsable independiente del tratamiento. La base legal es el interés legítimo de Lazoo (Art. 13 Ley 21.719) en mantener la integridad y consistencia de la plataforma y prevenir duplicidades. Los clientes finales pueden solicitar acceso, rectificación o eliminación de su Perfil Transversal directamente a Lazoo en hola@lazoo.app.

8. Inteligencia Artificial

Lazoo desarrolla funcionalidades de inteligencia artificial orientadas a ayudar a los negocios a comprender mejor a sus clientes y mejorar sus programas de fidelización. Estas funcionalidades están en desarrollo y, cuando estén disponibles, operarán bajo los siguientes principios:

• Solo datos agregados o anonimizados: Lazoo podrá usar datos estadísticos de la plataforma (patrones de visita, tasas de retención, comportamiento por segmento) para entrenar o alimentar modelos de IA, siempre que los datos no permitan identificar a personas o negocios específicos.
• Consentimiento explícito para datos identificables: cualquier uso de datos personales identificables del cliente final para funcionalidades de IA requerirá el consentimiento previo, libre, informado y específico del cliente final, a través del flujo de consentimiento de Lazoo (campo aiConsentAt en el Perfil Transversal).
• Transparencia: cuando estas funcionalidades estén activas, Lazoo actualizará esta Política con el detalle de los datos usados, la finalidad específica y cómo retirar el consentimiento.

A la fecha de esta Política, las funcionalidades de IA que usen datos identificables de clientes no están activas. Ningún dato personal identificable de clientes finales es usado actualmente para entrenamiento de modelos de IA.

9. Decisiones automatizadas y segmentación

Lazoo utiliza un sistema automatizado para clasificar a los clientes finales en segmentos de fidelidad según su historial de visitas al negocio. Los segmentos disponibles son:

• Nuevo: clientes que aún no han alcanzado el umbral de visitas configurado como "Frecuente".
• Frecuente: clientes que superan el umbral de visitas definido por el negocio en un período determinado.
• VIP: clientes que superan el umbral superior definido por el negocio.
• Inactivo: clientes que no han registrado visitas en el período configurado.
• Embajador: segmento asignado manualmente por el negocio para clientes con rol especial.

Esta segmentación es configurada por cada negocio (umbrales, períodos, recompensas) y determinada automáticamente por Lazoo con base en los datos de visita registrados. El segmento puede afectar las promociones y comunicaciones que el cliente recibe del negocio.

Conforme a la Ley 21.719, los titulares tienen derecho a conocer la lógica aplicada en la segmentación automatizada y a solicitar revisión humana de su clasificación. Para ejercer este derecho, el cliente final debe contactar directamente al negocio del programa de fidelización, que es el responsable del tratamiento de esos datos.

10. Transferencias internacionales de datos

Los proveedores tecnológicos de Lazoo (Vercel, Neon, Resend, Upstash, Apple, Google) operan fuera de Chile, principalmente en Estados Unidos. Estas transferencias son necesarias para prestar el servicio contratado.

Lazoo se asegura de que estas transferencias se realicen conforme a la Ley 21.719, priorizando proveedores que cuenten con certificaciones de seguridad reconocidas (SOC 2 Tipo II o equivalente) y que hayan suscrito compromisos contractuales de protección de datos. Apple y Google, como responsables independientes del tratamiento, se rigen por sus propias políticas de privacidad y marcos de cumplimiento.

11. Retención de datos

11.1 Datos del negocio

• Cuenta activa: mantenemos tus datos mientras tu cuenta esté activa.
• Trial sin activar: la cuenta pasa a estado "eliminada" a los 14 días del inicio del trial; los datos dejan de estar accesibles operativamente. La eliminación física definitiva se ejecuta en un plazo adicional de hasta 30 días.
• Cancelación: conservamos tus datos por 30 días para permitir la reactivación. Vencido ese plazo, los datos operativos se eliminan, salvo los que debamos conservar por obligación legal (ej: datos de facturación, que se conservan por los plazos que exige la normativa tributaria chilena, actualmente hasta 6 años).

11.2 Datos de clientes finales

• Mientras el negocio esté activo: los datos del cliente se conservan asociados al programa de fidelización del negocio.
• Clientes "eliminados" por el negocio: el negocio puede marcar clientes como eliminados. El registro permanece en estado inactivo (invisible para la operación normal) durante 90 días para permitir recuperación accidental, tras lo cual se elimina definitivamente del sistema.
• Cancelación del negocio: cuando un negocio cancela definitivamente su cuenta, los datos de sus clientes finales se eliminan en el mismo plazo que los datos del negocio (máximo 30 días tras la cancelación definitiva), salvo lo que exija la ley.

11.3 Datos técnicos y sesiones

• Sesiones web (cookie lazoo_sid): expiran a los 90 días desde el último uso. Se renuevan automáticamente en cada acceso activo.
• Logs de seguridad y acceso: se conservan por 30 días.
• Respaldos periódicos: Lazoo realiza respaldos semanales automáticos en formato cifrado. Los respaldos se conservan por 30 días y luego son eliminados.

12. Seguridad

Implementamos las siguientes medidas técnicas y organizativas para proteger tus datos:

• Contraseñas almacenadas con hash bcrypt (costo 12) — nunca en texto plano.
• Comunicaciones cifradas mediante TLS/HTTPS en todas las conexiones.
• Base de datos con cifrado en reposo (AES-256) provisto por Neon.
• Tokens de autenticación y sesión con fecha de expiración y renovación controlada.
• Rate limiting para prevenir ataques de fuerza bruta sobre endpoints críticos.
• Acceso a datos de producción restringido al personal técnico autorizado de Lazoo.
• Respaldos automáticos semanales almacenados de forma segura.

Notificación de brechas de seguridad

En caso de una brecha de seguridad que afecte datos personales, Lazoo cumplirá con las obligaciones de notificación establecidas en la Ley 21.719: notificación a la Agencia de Protección de Datos Personales en el plazo legal aplicable y, cuando la brecha suponga un riesgo significativo para los derechos de los titulares, notificación directa a los afectados con la información y recomendaciones pertinentes.

13. Derechos de los negocios (usuarios B2B)

Como negocio usuario de Lazoo, tienes los siguientes derechos sobre tus datos personales:

• Acceso: solicitar una copia de los datos personales que tenemos sobre tu negocio y sus representantes.
• Rectificación: corregir datos inexactos o incompletos.
• Cancelación / Eliminación: solicitar la eliminación de tus datos cuando ya no sean necesarios para la finalidad que justificó su tratamiento.
• Oposición: oponerte al tratamiento de tus datos para fines de marketing.
• Portabilidad: recibir tus datos en un formato estructurado, de uso común y lectura mecánica (ej: JSON, CSV).

Para ejercer cualquiera de estos derechos, escríbenos a hola@lazoo.app indicando en el asunto "Solicitud de privacidad" y el derecho que deseas ejercer. Responderemos en un plazo máximo de 15 días hábiles desde la recepción de tu solicitud, prorrogable en casos complejos.

14. Derechos de los clientes finales

Los clientes finales que participan en programas de fidelización gestionados a través de Lazoo también son titulares de datos personales. Sus derechos se ejercen de la siguiente manera:

• Respecto a datos del programa de fidelización (sellos, visitas, información del cliente en un negocio específico): los clientes finales deben dirigirse directamente al negocio correspondiente, que es el responsable del tratamiento de esos datos.
• Respecto al Perfil Transversal (GlobalProfile) (datos mantenidos por Lazoo como responsable independiente — email, nombre global, registro de consentimientos): los clientes finales pueden contactar directamente a Lazoo en hola@lazoo.app indicando en el asunto "Solicitud de privacidad — cliente final". Lazoo responderá en un plazo máximo de 15 días hábiles.

Los titulares tienen derecho a presentar reclamos ante la Agencia de Protección de Datos Personales de Chile, una vez que esta autoridad esté plenamente operativa conforme a la Ley 21.719.

15. Cookies y sesiones web

Lazoo utiliza los siguientes tipos de cookies y tecnologías similares:

• Cookie de sesión del negocio (NextAuth): cookie de sesión autenticada del panel de administración. Se elimina al cerrar sesión.
• Cookie de sesión del cliente final (lazoo_sid): cookie httpOnly persistente utilizada para la sesión web del cliente. Expira a los 90 días desde el último uso y se renueva automáticamente en cada acceso. El cliente puede eliminarla borrando las cookies de su navegador o cerrando su sesión explícitamente.

No utilizamos cookies de seguimiento de terceros, publicidad comportamental ni analítica de sesión de usuarios no autenticados.

16. Menores de edad

16.1 Usuarios del panel de administración

El acceso al panel de administración de Lazoo está reservado a personas mayores de 18 años o representantes legales de personas jurídicas. No recopilamos conscientemente datos de menores de edad en esta capacidad.

16.2 Clientes finales de los programas de fidelización

Los negocios que utilizan Lazoo pueden tener clientes finales de cualquier edad. La responsabilidad de verificar la edad de los participantes en sus programas de fidelización y de obtener el consentimiento parental cuando corresponda recae exclusivamente en el negocio-responsable del tratamiento.

Si Lazoo detecta o recibe notificación de que un menor de edad ha participado en un programa de fidelización sin el consentimiento parental requerido, colaborará con el negocio responsable para gestionar la eliminación de los datos correspondientes.

17. Modificaciones a esta política

Podemos actualizar esta Política de Privacidad cuando sea necesario. Ante cambios materiales que afecten derechos de los titulares, notificaremos por email con al menos 15 días de anticipación. La fecha de "última actualización" al inicio del documento siempre refleja la versión vigente. Las versiones anteriores están disponibles previa solicitud a hola@lazoo.app.

18. Contacto

Para consultas, solicitudes de derechos o reclamos relacionados con privacidad, contacta a nuestro equipo en hola@lazoo.app indicando en el asunto: "Solicitud de privacidad". Esta dirección gestiona solicitudes de negocios (usuarios B2B) y clientes finales.