Política de Privacidad

1. Introducción

La privacidad, seguridad de la información y protección de datos personales constituyen pilares fundamentales dentro del modelo operativo y tecnológico de Lavapass. Por esta razón, la presente Política de Privacidad y Tratamiento de Datos Personales (en adelante, la "Política") describe de forma transparente:

• Qué información recopilamos.
• Cómo la utilizamos.
• Bajo qué fundamentos legales la tratamos.
• Cómo la protegemos.
• Con quién puede compartirse.
• Cuáles son los derechos de los titulares.
• Y cuáles son las responsabilidades de los Usuarios Comerciales que utilizan nuestra plataforma.

AL ACCEDER, REGISTRARSE, CREAR UNA CUENTA O UTILIZAR CUALQUIER SERVICIO DE LAVAPASS, USTED DECLARA HABER LEÍDO, ENTENDIDO Y ACEPTADO ESTA POLÍTICA DE PRIVACIDAD DE MANERA LIBRE, EXPRESA, INFORMADA E INEQUÍVOCA.

2. Objetivo de esta política

El objetivo de esta Política es establecer el marco legal, operativo, técnico y organizacional aplicable al tratamiento de datos personales realizado por Lavapass, garantizando:

• El cumplimiento de la Ley No. 172-13 sobre Protección Integral de Datos Personales de la República Dominicana.
• La protección de los derechos de los titulares.
• Una gobernanza adecuada de los datos.
• La mitigación de riesgos tecnológicos.
• El cumplimiento de estándares razonables de seguridad.
• La prevención del fraude.
• La continuidad operacional del servicio SaaS.

3. Alcance

La presente Política aplica a toda información personal tratada por Lavapass (tanto de forma automatizada como manual) en relación con:

4. Definiciones Clave

4.1 Datos Personales

Cualquier información vinculada o asociada a una persona física identificada o identificable.

4.2 Titular

Persona física cuyos datos personales son objeto de tratamiento.

4.3 Tratamiento

Cualquier operación realizada sobre datos personales, incluyendo recopilación, almacenamiento, organización, estructuración, uso, consulta, circulación, transferencia, transmisión, actualización, modificación, anonimización, bloqueo o eliminación.

4.4 Responsable del Tratamiento

Persona física o jurídica que decide sobre la finalidad y uso de los datos personales.

4.5 Encargado del Tratamiento

Persona física o jurídica que procesa datos personales por cuenta del Responsable.

4.6 Datos Sensibles

Datos cuyo uso indebido podría afectar la intimidad o generar discriminación, incluyendo información biométrica, datos financieros, ubicación precisa, datos de salud, credenciales y otra información sensible.

4.7 Anonimización

Proceso mediante el cual los datos dejan de identificar directa o indirectamente a una persona.

4.8 Usuario Comercial

Negocio afiliado que utiliza Lavapass para administrar operaciones de Car Wash.

4.9 Cliente Final

Cliente del Usuario Comercial cuyos datos pueden ser registrados dentro de la plataforma.

5. Gobernanza de Datos y Roles Legales

Debido al modelo B2B SaaS de Lavapass, las partes reconocen expresamente la siguiente estructura legal:

5.1 Lavapass como Responsable

Lavapass es el Responsable del tratamiento de los datos de:

• Usuarios Comerciales y administradores.
• Empleados internos.
• Proveedores, contratistas y usuarios de soporte.

5.2 Usuario Comercial como Responsable

El Usuario Comercial actúa como Responsable respecto a los datos de sus clientes finales, empleados, operadores y terceros registrados en su propio espacio dentro de la plataforma.

5.3 Lavapass como Encargado

Cuando Lavapass procesa información de los Clientes Finales por cuenta del Usuario Comercial, actúa como Encargado. En este rol, el Usuario Comercial garantiza:

• Haber obtenido un consentimiento válido de los titulares.
• Cumplir con las obligaciones legales correspondientes.
• Informar adecuadamente a sus clientes sobre el uso de sus datos.
• Contar con legitimidad legal para cargar dicha información.

El Usuario Comercial mantendrá indemne a Lavapass frente a reclamaciones derivadas del incumplimiento de dichas obligaciones.

6. Responsable del Tratamiento

• Entidad: Grupo Lopez Abreu, SRL (Nombre comercial: Lavapass)
• RNC: 1-33-61528-2
• Dirección: Av. Jacobo Majluta, Jardines del Arroyo 102, Villa Mella, Santo Domingo
• Correo: info@lavapass.app
• WhatsApp de soporte: +1 (829) 431-2114

7. Información que Recopilamos

7.1 Datos del Usuario Comercial

• Comercial: Nombre del negocio, RNC, representante legal, sucursales, dirección, información tributaria y de contacto.
• Autenticación: Correo de acceso, contraseñas cifradas, tokens de sesión, identificadores Firebase, roles y permisos.
• Operativa: Métricas, configuración de sucursales, historial de operaciones, dashboards y actividad administrativa.

7.2 Datos de Clientes Finales

Los Usuarios Comerciales pueden registrar la siguiente información de sus clientes:

• Nombres
• Teléfonos
• Placas de vehículos
• Membresías
• Historial de servicios
• Historial de escaneos QR
• Fotografías
• Observaciones y preferencias

7.3 Datos Técnicos y Telemetría

De forma automática, nuestros sistemas pueden recopilar:

• Dirección IP y ubicación aproximada
• Identificadores de sesión y timestamps
• Navegador, SO y modelo de dispositivo
• Versión de la aplicación y errores técnicos
• Logs de auditoría y eventos de seguridad
• Actividad de autenticación y comportamiento

7.4 Datos Relacionados con Pagos

Lavapass procesa referencias transaccionales, confirmaciones de pago, historial de suscripciones, estado de facturación y tokens parciales de pago.

7.5 Datos de Comunicación

Podemos recopilar mensajes enviados a soporte, correos electrónicos, mensajes de WhatsApp, tickets, historial de atención y metadatos relacionados con dichas comunicaciones.

8. Formas de Recopilación

Obtenemos la información a través de los siguientes medios:

• Formularios dentro de la plataforma
• Uso directo de la plataforma y APIs
• Cookies y Local Storage
• Herramientas analíticas y de monitoreo
• Soporte técnico, correo y WhatsApp
• Integraciones con terceros y proveedores
• Logs automáticos y eventos de seguridad

9. Finalidades del Tratamiento

Tratamos la información personal para las siguientes finalidades esenciales:

• Operación del SaaS: Crear cuentas, autenticar usuarios, administrar membresías, validar QR, controlar accesos, gestionar operaciones y automatizar procesos.
• Seguridad y Prevención de Fraude: Detectar accesos anómalos (account takeover), prevenir fraude o abuso, proteger la infraestructura y mantener trazabilidad mediante auditorías.
• Cumplimiento AML/CFT: Prevenir lavado de activos, financiamiento del terrorismo, evasión fiscal y uso ilícito, pudiendo restringir accesos o colaborar con autoridades.
• Continuidad de Negocio: Realizar backups, recuperación ante desastres, monitoreo cloud y mantenimiento de la infraestructura.
• Soporte Técnico: Resolver incidentes, analizar errores, mejorar la estabilidad y asistir a los usuarios.
• Analítica e Inteligencia de Negocio: Usar data agregada, anonimizada y estadística para benchmarking, machine learning y mejora continua del producto.
• Comunicaciones: Enviar alertas, mensajes de seguridad, soporte, notificaciones operativas y comunicaciones comerciales autorizadas.

10. Base Legal del Tratamiento

Nuestras actividades de tratamiento se fundamentan en:

• El consentimiento explícito.
• La ejecución contractual del servicio.
• El cumplimiento de obligaciones legales.
• Nuestro interés legítimo.
• La prevención del fraude y la seguridad tecnológica.

11. Cookies y Tecnologías Similares

Empleamos cookies, JWT tokens, session/local storage y herramientas analíticas para mantener sesiones autenticadas, mejorar el rendimiento, prevenir fraudes, optimizar la experiencia y detectar errores. El bloqueo de estas cookies por parte del usuario puede afectar funcionalidades esenciales de la plataforma.

12. Proveedores y Sub-Procesadores

Lavapass se apoya en proveedores de clase mundial, sujetos a estrictas obligaciones de confidencialidad y seguridad, tales como:

• Google Cloud Platform
• Vercel
• Firebase
• Twilio
• Azul
• Herramientas de observabilidad y antifraude

13. Transferencia Internacional de Datos

Los datos pueden almacenarse o procesarse fuera de la República Dominicana (ej. Estados Unidos), donde operan nuestros proveedores tecnológicos. El usuario acepta expresamente esta transferencia, la cual se realiza bajo estándares razonables de seguridad.

14. Retención y Conservación de Datos

• Datos Activos: Se conservan mientras exista una relación contractual vigente.
• Logs y Auditoría: Los registros técnicos, de seguridad y trazabilidad se conservan hasta por diez (10) años si son necesarios para cumplimiento regulatorio, disputas legales o prevención AML/CFT.
• Eliminación: Tras la cancelación, los datos podrán eliminarse, anonimizarse o retenerse temporalmente solo si existe una obligación legal.

15. Seguridad de la Información

Implementamos fuertes medidas para proteger la información:

• Cifrado TLS/HTTPS en tránsito
• Cifrado en reposo
• Segmentación multi-tenant
• Control de acceso (RBAC)
• Monitoreo, logs y backups
• Autenticación segura y expiración de tokens

Nota: Ningún sistema tecnológico puede garantizar seguridad absoluta.

16. Responsabilidad Compartida y Limitaciones

Lavapass no es responsable por vulneraciones derivadas de:

• Negligencia del usuario
• Contraseñas débiles
• Phishing, malware o dispositivos comprometidos
• Accesos físicos no autorizados o uso de dispositivos con root/jailbreak
• Incumplimientos legales del propio Usuario Comercial

El Usuario Comercial es el único responsable de proteger sus credenciales, gestionar el acceso de sus empleados y cumplir con la ley frente a sus clientes.

17. Derechos del Titular (ARCO)

Todo titular de datos tiene derecho a:

• Acceder
• Rectificar
• Cancelar
• Oponerse
• Limitar el tratamiento
• Revocar consentimiento

18. Menores de Edad

No recopilamos deliberadamente información de menores sin autorización legal válida por parte de sus padres o tutores.

19. Incidentes de Seguridad

Ante un incidente, Lavapass procederá a investigar el suceso, monitorear la actividad, suspender accesos comprometidos, preservar evidencia digital, colaborar con las autoridades y ejecutar medidas de contención.

20. Modificaciones y Legislación

Las modificaciones a esta Política entrarán en vigor desde su publicación en la plataforma. Su uso continuo constituye la aceptación de dichas actualizaciones. Esta Política se rige por la Ley No. 172-13 sobre Protección Integral de Datos Personales y demás normativas aplicables de la República Dominicana.