Política de Privacidad y Tratamiento de Datos Personales
Qué datos recogemos, para qué, cuánto los guardamos y cómo ejercer tus derechos.
1. Quiénes somos
El titular del banco de datos personales es Oscar Ortiz, con domicilio en Magdalena del Mar, Lima, Perú, quien opera el servicio Stoka (en adelante, "Stoka", "nosotros").
Para cualquier asunto sobre tus datos personales, escríbenos a stoka.contacto@gmail.com.
Esta política se rige por la Ley N° 29733, Ley de Protección de Datos Personales, y su Reglamento aprobado por Decreto Supremo N° 003-2013-JUS.
2. Dos roles distintos, y conviene no confundirlos
Stoka trata datos personales de dos maneras muy diferentes:
Cuando eres nuestro cliente, tratamos tus datos de cuenta y facturación. Ahí somos titulares del banco de datos: decidimos para qué se usan y respondemos por ellos ante ti.
Cuando cargas información en tu inventario —los nombres de tus proveedores, de tus responsables, de tus clientes— esos datos son tuyos, no nuestros. Ahí somos encargados del tratamiento: solo los guardamos y procesamos siguiendo tus instrucciones, no los usamos para nada propio, y tú sigues siendo el titular responsable frente a esas personas.
Las obligaciones que asumimos como encargado están detalladas en el Anexo de Encargo de Tratamiento.
3. Qué datos recogemos
3.1 Datos de tu cuenta
| Dato | Cómo lo obtenemos |
|---|---|
| Nombre y apellido | Tú lo escribes al registrarte |
| Nombre de tu empresa | Tú lo escribes al registrarte |
| Correo electrónico | Tú lo escribes al registrarte |
| Contraseña | Tú la eliges. Nunca la guardamos en texto legible: se almacena cifrada con bcrypt y ni nosotros podemos leerla |
| RUC de tu empresa | Opcional, si lo completas en Configuración |
3.2 Datos de uso del servicio
Registramos qué acciones se hacen dentro de tu cuenta —quién registró cada movimiento y cuándo— porque esa trazabilidad es parte de lo que el servicio hace por ti. Esa bitácora es visible para ti dentro del sistema.
También guardamos la dirección IP desde la que se ingresa, únicamente para limitar intentos de acceso y proteger tu cuenta de ataques automatizados.
3.3 Datos de facturación
Si contratas un plan de pago, guardamos los datos necesarios para emitir tu comprobante: razón social, RUC, dirección fiscal y el historial de pagos.
3.4 Los datos que tú cargas
Todo lo que registras en tu inventario: productos, proveedores, responsables, movimientos. Puede contener datos personales de terceros —el nombre de tu proveedor, el de la persona que retiró mercadería—. Sobre esos datos actuamos como encargados, según el punto 2.
No recogemos datos sensibles (origen racial, salud, opiniones políticas, religión, vida sexual, datos biométricos). Si los cargas en campos libres de tu inventario, lo haces bajo tu responsabilidad y sin que nosotros los solicitemos.
4. Para qué usamos tus datos
Cada finalidad tiene su base que la legitima, y no las mezclamos en un solo consentimiento:
| Finalidad | Qué la legitima | ¿Puedes negarte? |
|---|---|---|
| Crear y mantener tu cuenta | Ejecución del contrato de servicio | No, sin esto no hay servicio |
| Guardar y procesar tu inventario | Ejecución del contrato | No, es el servicio mismo |
| Enviarte avisos del servicio (verificación de correo, recuperación de contraseña, avisos de vencimiento) | Ejecución del contrato | No, son imprescindibles |
| Emitir comprobantes de pago | Obligación legal tributaria | No, es exigencia de SUNAT |
| Proteger las cuentas de accesos indebidos | Interés legítimo en la seguridad | No |
| Enviarte novedades, mejoras y promociones | Tu consentimiento expreso | Sí, y puedes retirarlo cuando quieras |
| Medir cómo se usa la web para mejorarla | Tu consentimiento expreso | Sí, desde el panel de cookies |
Las dos últimas son opcionales. Si dices que no, el servicio funciona igual.
5. Tu consentimiento
Cuando pedimos consentimiento, lo pedimos antes de tratar el dato, de forma expresa (una acción tuya, nunca una casilla premarcada), informada (te decimos para qué), libre (negarte no te quita el servicio) e inequívoca (sin ambigüedad).
Cómo retirarlo: para los correos promocionales, desde el enlace de baja al pie de cada mensaje o escribiéndonos. Para la analítica, desde el enlace "Preferencias de cookies" que está siempre en el pie de la web. Retirarlo es tan fácil como darlo, y no afecta la validez del tratamiento anterior.
6. Cuánto tiempo guardamos tus datos
| Dato | Plazo |
|---|---|
| Datos de cuenta e inventario | Mientras tu cuenta esté activa |
| Después de que canceles | 30 días para que puedas exportar todo |
| Al vencer esos 30 días | Se eliminan de forma permanente |
| Respaldos | Hasta 90 días, luego se sobrescriben |
| Comprobantes de pago | El plazo que exige la normativa tributaria |
| Bitácora de actividad | Las últimas 500 acciones por empresa |
| Registros de IP para seguridad | 48 horas |
Si cancelas, te avisamos antes del borrado y puedes exportar tu inventario completo a Excel en cualquier momento antes de que venza el plazo.
7. Con quién compartimos datos
No vendemos tus datos. Nunca. Tu inventario, tus proveedores, tus movimientos y tus costos no salen hacia ninguna empresa de publicidad, ni aceptando cookies ni rechazándolas.
Para funcionar necesitamos apoyarnos en proveedores que actúan como encargados nuestros, sujetos a obligaciones de confidencialidad:
| Proveedor | Para qué | Dónde están los datos |
|---|---|---|
| Neon | Base de datos | Estados Unidos |
| Render | Alojamiento de la aplicación | Estados Unidos |
| Resend | Envío de correos del servicio | Estados Unidos |
Publicidad en las páginas públicas
En nuestras páginas públicas —la portada, los precios y estos documentos— mostramos anuncios de Google AdSense, y solo si nos das permiso en el aviso de cookies.
Google no es encargado nuestro: es un responsable independiente. Recoge datos de navegación por su cuenta y bajo su propia política, y nosotros no los recibimos ni podemos consultarlos. Puedes revisar cómo usa Google los datos de los sitios que lo utilizan.
Dos cosas importantes:
- Dentro de tu cuenta no hay anuncios. Ni scripts de publicidad. Lo que haces con tu inventario no pasa por Google.
- Si eliges "Solo las necesarias", el script de Google ni siquiera se descarga. Detalle en el Aviso de Cookies.
Flujo transfronterizo
Como ves en la tabla, tus datos se almacenan fuera del Perú, en Estados Unidos. Al usar Stoka aceptas este flujo transfronterizo, que es necesario para prestarte el servicio. Elegimos proveedores con medidas de seguridad acreditadas y compromisos contractuales de protección de datos.
También podemos entregar datos cuando una autoridad competente lo exija por ley o por orden judicial. Si eso ocurre y podemos avisarte legalmente, lo haremos.
8. Tus derechos
Puedes ejercer, gratuitamente:
- Acceso: saber qué datos tuyos tenemos y cómo los usamos.
- Rectificación: corregir los que estén mal o incompletos.
- Cancelación: pedir que los eliminemos, cuando corresponda.
- Oposición: oponerte a un tratamiento concreto.
- Información: conocer las condiciones de cualquier tratamiento.
- Portabilidad: llevarte tu inventario en Excel, cuando quieras y sin pedir permiso.
Cómo ejercerlos: escribe a stoka.contacto@gmail.com indicando qué derecho quieres ejercer y adjuntando copia de tu documento de identidad, para confirmar que eres tú y no un tercero pidiendo tus datos.
Plazos de respuesta: 20 días hábiles para el derecho de acceso, y 10 días hábiles para rectificación, cancelación y oposición, contados desde que recibimos tu solicitud completa.
Si no te respondemos o no quedas conforme, puedes reclamar ante la Autoridad Nacional de Protección de Datos Personales, del Ministerio de Justicia y Derechos Humanos.
9. Cómo protegemos tus datos
- Cifrado en tránsito: todo viaja por HTTPS.
- Contraseñas cifradas: con bcrypt. Ni nosotros podemos leerlas.
- Aislamiento entre clientes: cada empresa está separada en el servidor. Aunque alguien intente forzar el identificador de otra empresa, el sistema lo rechaza. Está verificado con pruebas automatizadas.
- Acceso por roles: cada persona ve solo lo que su rol permite.
- Límites contra ataques: los intentos de acceso están limitados por frecuencia.
- Respaldos automáticos de la base de datos.
- Sesiones firmadas que caducan a los 7 días.
Ningún sistema es infalible. Nos comprometemos a mantener medidas razonables y actualizadas, no a garantizar lo imposible.
10. Si ocurre una brecha de seguridad
Si detectamos un incidente que afecte tus datos personales:
- Lo contenemos y evaluamos su alcance de inmediato.
- Te avisamos por correo, describiendo qué pasó, qué datos se vieron afectados y qué deberías hacer.
- Lo comunicamos a la autoridad de protección de datos cuando corresponda.
- Te informamos las medidas que tomamos para que no se repita.
11. Menores de edad
Stoka es una herramienta de trabajo dirigida a negocios. No está dirigida a menores de 18 años y no recogemos sus datos a sabiendas. Si detectamos una cuenta creada por un menor, la eliminaremos. Si crees que un menor nos dio sus datos, escríbenos.
12. Cambios en esta política
Podemos actualizarla cuando cambie el servicio o la normativa. Cuando eso pase:
- Cambiamos la fecha de "última actualización" del encabezado.
- Si el cambio es significativo, te avisamos por correo con 15 días de anticipación.
- Si el cambio requiere tu consentimiento, te lo pediremos de nuevo. No lo damos por asumido.
Las versiones anteriores quedan disponibles si las pides.