Política de Privacidad

Recopilamos los siguientes datos personales cuando te registrás y usás el Servicio:

• Datos de cuenta: nombre completo, email, teléfono (con código de país) y estado de residencia. Opcionalmente, red social y handle (Instagram o Facebook).
• Datos de actividad: campañas en las que participás, números de cachitos reservados y pagados, historial de compras, fecha y hora de cada transacción, dirección IP y user-agent del navegador al crear la cuenta o aceptar reglas de campaña.
• Datos de autenticación: si usás Google OAuth, almacenamos tu email, nombre y foto de perfil de Google. La contraseña (cuando usás email + contraseña) se guarda hasheada con bcrypt — el hash no permite recuperar la contraseña original.
• Datos de pago: nunca recopilamos ni almacenamos el número de tu tarjeta, fecha de expiración ni CVC. Los datos de la tarjeta se capturan directamente por Stripe en un iframe seguro y viajan a Stripe sin tocar nuestros servidores. Solo almacenamos el identificador de la transacción (PaymentIntent ID) y el estado del pago.

Tus datos se usan exclusivamente para:

• Verificar tu identidad y prevenir fraude o suplantación
• Procesar tus reservas y compras de cachitos
• Asignarte los cachitos numerados correspondientes a cada compra
• Enviarte confirmaciones de compra por email con los códigos de tus cachitos
• Notificarte el resultado del sorteo cuando una campaña en la que participaste se cierre
• Contactarte si sos ganador de un sorteo para coordinar la entrega del premio
• Enviar emails transaccionales (confirmaciones, OTP, notificaciones de sorteo)
• Cumplir con obligaciones legales o requerimientos de autoridades competentes

No usamos tus datos para fines comerciales, ni vendemos ni alquilamos tu información a terceros.

Tus datos se comparten con los siguientes proveedores que nos ayudan a operar el Servicio:

• Stripe, Inc. — procesador de pagos con tarjeta. Recibe los datos de tu tarjeta directamente (no a través de nosotros). Su Política de Privacidad está en: stripe.com/privacy.
• Google LLC — proveedor de autenticación OAuth (si elegís iniciar sesión con Google). Recibe tu email y los datos básicos de tu perfil. Política: policies.google.com/privacy.
• Brevo (SMTP relay) — proveedor de envío de emails transaccionales (confirmaciones, OTP, notificaciones de sorteo). Recibe únicamente el contenido del email y tu dirección de destinatario. Política: brevo.com/legal/privacypolicy.
• Proveedor de hosting — donde está alojado el Servicio. Tiene acceso técnico a los logs del servidor, sujeto a sus propias políticas.

No compartimos datos con terceros adicionales sin tu consentimiento explícito, salvo cuando sea requerido por una autoridad competente mediante orden judicial debidamente fundada.

Tratamos tus datos personales con base en:

• Tu consentimiento explícito al registrarte y aceptar esta Política
• La ejecución de un contrato (la compra de cachitos y la participación en campañas)
• El cumplimiento de obligaciones legales (registro de transacciones, auditoría de sorteos)
• Nuestro interés legítimo en prevenir fraude y garantizar la integridad de los sorteos

Podés retirar tu consentimiento en cualquier momento cerrando tu cuenta; sin embargo, esto no afecta los datos que debamos conservar por obligaciones legales (registros de transacciones financieras y auditoría de sorteos).

Conservamos tus datos mientras tu cuenta esté activa. Si cerrás tu cuenta:

• Eliminamos los datos de identificación personal (nombre, email, teléfono) tras 90 días
• Conservamos los registros de transacciones y auditoría de sorteos por 5 años (obligación legal mexicana en materia fiscal)
• Los registros conservados se anonimizan en la medida de lo posible

Implementamos medidas técnicas y administrativas para proteger tus datos:

• Conexión HTTPS obligatoria en todo el sitio
• Contraseñas hasheadas con bcrypt (cost 10)
• Códigos OTP de un solo uso, hasheados y con expiración
• Firma de JWT con NEXTAUTH_SECRET (secreto de servidor)
• Verificación de firma en webhooks de Stripe (HMAC SHA-256)
• Datos de tarjeta nunca en nuestros servidores (Stripe Elements)
• Acceso administrativo restringido (rol ADMIN en base de datos)

En caso de brecha de seguridad que afecte tus datos, te notificaremos por email dentro de las 72 horas hábiles siguientes a la detección, conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de México.

Como titular de los datos, tienes los siguientes derechos:

• Acceso: solicitar una copia de los datos personales que tenemos sobre ti
• Rectificación: corregir datos inexactos o incompletos
• Cancelación: solicitar el cierre de tu cuenta y la eliminación de tus datos (con las salvedades del punto 5)
• Oposición: oponerte al tratamiento de tus datos para fines específicos
• Portabilidad: recibir tus datos en un formato estructurado y machine-readable
• Revocación del consentimiento: retirar tu consentimiento en cualquier momento

Para ejercer estos derechos, contactanos a través de los medios listados en nuestra página de contacto indicando en el asunto "Ejercicio de derechos ARCO". Responderemos en un plazo máximo de 20 días hábiles.

El Servicio usa cookies y tecnologías similares para:

• Mantener la sesión iniciada (cookie de sesión firmada con JWT)
• Prevenir ataques CSRF (cookie csrf-token)
• Recordar cachitos reservados temporalmente (localStorage del navegador)

No usamos cookies de terceros para tracking publicitario ni analítica. Podés deshabilitar las cookies en tu navegador, pero esto afectará la funcionalidad del Servicio (no podrás iniciar sesión ni reservar cachitos).

Tus datos pueden ser transferidos a los proveedores mencionados en la sección 3, algunos de los cuales pueden tener servidores fuera de México (principalmente Estados Unidos y la Unión Europea). Esta transferencia se realiza bajo los estándares de cada proveedor, los cuales cumplen con regulaciones internacionales de protección de datos (GDPR para Europa, CCPA para California, etc.).

Podemos actualizar esta Política en cualquier momento. La versión vigente se identifica por el número mostrado arriba. Si los cambios son significativos, te notificaremos por email antes de su entrada en vigor. Continuar usando el Servicio después de un cambio constituye la aceptación de la nueva versión.

El Servicio está dirigido a personas mayores de 18 años. No aceptamos registros de menores. Si detectamos que una cuenta fue creada por un menor, la cerraremos y eliminaremos los datos asociados.

Para consultas sobre privacidad o ejercicio de derechos ARCO, contactanos a través de los medios listados en nuestra página de contacto.