Aviso de privacidad

1. Responsable del tratamiento

Paloma Navarro, que opera HatoJoestar en https://hatojoestar.com, es responsable del tratamiento de datos personales conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y la normativa aplicable. Contacto de privacidad y ARCO: [email protected]. Atención: [email protected].

2. Datos tratados

Cuentas: correo, credenciales de contraseña protegidas, tokens de confirmación e inicio de sesión, rol, idioma, información de intentos fallidos y bloqueo, y configuración opcional de doble factor y hashes de códigos de recuperación. Al registrarte guardamos el reconocimiento del aviso, su versión y la fecha y hora del servidor. Las contraseñas y los secretos de seguridad no se muestran como información de cuenta.

Compras y entregas: identificadores de carrito/sesión, productos, cantidades, precios, historial y estado de pedidos, correos de cliente y entrega, referencias de pago/reembolso y registros de compra e historial. Para envíos físicos se recaban nombre del destinatario, teléfono, calle y número, interior opcional, colonia, ciudad, estado, código postal y país. Las cotizaciones pueden conservar solicitudes y respuestas; los envíos incluyen transportista, rastreo y datos de guía. Los registros de entrega digital incluyen correo, contenido de acceso/entrega, notas y estado.

Aportaciones: correo del donante o vínculo con su cuenta, importe, mensaje opcional, elección de anonimato y estado de moderación y pago. Las aportaciones mensuales también conservan identificadores de autorización, estado de suscripción e historial de cargos. Compartir públicamente requiere una casilla expresa independiente; los mensajes y datos de aportaciones anónimas no se publican. Se mantiene el tratamiento necesario por proveedores de pago y servicios.

Preferencias y notificaciones: idioma, preferencias de anuncios y canales, contenido de notificaciones, estado de entrega y lectura, comprobantes de baja y registros de supresión de correo. Si activas recomendaciones de eventos cercanos, guardamos el país, estado y ciudad que proporciones. Si activas notificaciones del navegador, guardamos el endpoint, las claves de cifrado, plataforma, agente de usuario y datos de actividad/revocación de la suscripción.

La operación técnica puede tratar direcciones IP, información de dispositivo/navegador, identificadores de solicitudes, eventos de diagnóstico, bitácoras y registros de tareas en segundo plano. Las copias operativas pueden incluir datos de pedidos y envíos. No solicitamos deliberadamente datos sensibles para las funciones ordinarias. Los números completos de tarjeta y códigos de seguridad ingresados en Mercado Pago son tratados por ese proveedor y no se recaban en los formularios de compra de HatoJoestar.

3. Finalidades primarias

Utilizamos los datos necesarios para crear y proteger cuentas; mantener carritos; procesar, conciliar y entregar compras y aportaciones; proporcionar entregas por Google Drive y envíos físicos; administrar suscripciones, atención, devoluciones y reembolsos; enviar avisos operativos; prevenir abusos y atender obligaciones legales. Las compras como invitado no requieren cuenta cuando el proceso las permite.

4. Finalidades opcionales y controles

Los correos de anuncios de noticias, eventos, productos, Twitch e Instagram son opcionales y están desactivados por defecto. Puedes elegir categorías en los ajustes de notificaciones o usar el enlace de baja en los correos de anuncios. Los anuncios dentro del sitio están activados por defecto y se configuran por separado. Las notificaciones del navegador requieren su permiso. Las recomendaciones de eventos cercanos son opcionales; puedes desactivarlas y eliminar la ubicación aproximada guardada desde los ajustes.

Reconocer este aviso no autoriza publicidad ni compartir públicamente mensajes de aportaciones. Solo una casilla independiente para compartir públicamente puede autorizar la publicación de un mensaje. Puedes rechazar usos opcionales sin perder servicios esenciales y solicitar la revocación mediante privacidad o soporte. No vendemos bases de datos personales ni usamos tus datos para anunciar otras empresas.

5. Proveedores y comunicación de datos

Mercado Pago recibe datos de pago/aportación, como correo de cuenta o donante cuando corresponda, artículos, importes, moneda y referencias, y trata la información de pago que recaba directamente. Skydropx y los transportistas reciben datos del destinatario, contacto y destino necesarios para cotizaciones, guías, entregas y rastreo. Google Drive recibe el correo de entrega para otorgar acceso digital.

Hudson Valley Host proporciona el alojamiento. El almacenamiento, la entrega de correo y el diagnóstico pueden involucrar proveedores adicionales según la configuración activa. La aplicación admite almacenamiento compatible con S3 como Cloudflare R2, correo SMTP, OpenTelemetry/Grafana, Sentry y AppSignal opcional; esto no significa que todos los servicios opcionales estén activados. Los proveedores pueden tratar información fuera de México según su infraestructura y contratos.

Cuando se utilizan, las notificaciones del navegador involucran servicios push de Google, Mozilla o Apple. Al cargar imágenes remotas, seguir enlaces externos o elegir cargar un mapa de Google Maps, el navegador envía solicitudes al proveedor correspondiente, que puede recibir información de red/dispositivo conforme a sus políticas. Las integraciones de Instagram y Twitch obtienen contenido de Hato; Google Places permite buscar recintos. Estas integraciones no se presentan como inicio de sesión social para clientes.

El acceso a los datos debe limitarse al servicio correspondiente y al personal autorizado. Las autoridades pueden recibir datos cuando exista una obligación legal válida. Los cambios de destinatarios o finalidades que requieran aviso o consentimiento se atenderán antes del nuevo tratamiento, según corresponda. Los proveedores independientes tienen sus propios avisos de privacidad.

6. Seguridad y conservación

Utilizamos controles de acceso, credenciales de contraseña protegidas y otras medidas técnicas y organizativas. Ningún sistema garantiza seguridad absoluta. Las cuentas inactivas se conservan hasta que la persona solicite su eliminación; la inactividad por sí sola no las elimina. Soporte atiende solicitudes de corrección o eliminación, y el contacto de privacidad atiende solicitudes de privacidad y ARCO.

La conservación de pedidos, pagos, aportaciones, bitácoras y respaldos depende de las finalidades y obligaciones legales, fiscales o contractuales aplicables. Este aviso no asigna plazos fijos de conservación no confirmados. Una solicitud de eliminación puede requerir conservar o bloquear justificadamente ciertos registros; no implica el borrado inmediato de todas las copias operativas. El vencimiento de una sesión, cookie o token de baja no equivale a eliminar todos los registros relacionados.

7. Derechos ARCO y revocación

Puedes solicitar acceso, rectificación, cancelación u oposición (ARCO), revocar el consentimiento o limitar usos opcionales escribiendo a [email protected] con el asunto "Derechos ARCO". Soporte en [email protected] también atiende solicitudes de corrección y eliminación. Incluye tu nombre, medio de respuesta, derecho solicitado e información para localizar los registros. Podrá solicitarse una acreditación razonable de identidad o representación por un medio seguro.

Las solicitudes se atenderán dentro de los plazos legales aplicables y con las excepciones legítimas de conservación. La revocación no es retroactiva. Los ajustes de cuenta permiten consultar tu correo y administrar seguridad, notificaciones y ubicación aproximada; no son una exportación completa de todos los datos personales. Las direcciones, pedidos y aportaciones tienen páginas de cuenta independientes. Contáctanos para acceder a otros registros.

8. Cookies y almacenamiento del navegador

El sitio utiliza una cookie de sesión firmada (_hato_joestar_key), una cookie opcional de recordatorio de acceso de 14 días (_hato_joestar_web_user_remember_me), una cookie de idioma de un año (user_locale) y un indicador de presencia de carrito de siete días (_hato_cart_present). La firma protege la integridad de la sesión; por sí sola no cifra su contenido. El registro de diagnóstico de solicitudes puede usar una cookie request_logger cuando se utiliza esa función.

La clave hato:theme del almacenamiento local recuerda la apariencia. El service worker puede guardar la página de inicio y el manifiesto en caché y permitir notificaciones; el navegador también administra las suscripciones push. Puedes administrar cookies, almacenamiento local y permisos desde el navegador, aunque desactivarlos puede afectar funciones. La futura analítica no esencial o el seguimiento publicitario requerirán información y controles apropiados antes de su activación.

9. Datos de destinatarios y menores

Si proporcionas información de otra persona destinataria, debes contar con una base legítima e informarle del uso cuando corresponda. Las personas menores no pueden donar. Los demás usos del sitio no están sujetos a una restricción general para mayores de edad; se requiere representación legal para las operaciones en que corresponda. No incluyas datos sensibles ni información innecesaria de terceros en mensajes voluntarios.

10. Cambios y contacto

El aviso vigente está disponible en /privacy con su identificador de versión. Los cambios relevantes se comunicarán por medios adecuados y se solicitará nuevo consentimiento cuando corresponda. Privacidad y ARCO: [email protected]. Atención, corrección y eliminación: [email protected].