Política de Privacidad

Versión 1.1

1. Responsable del tratamiento

2. Alcance y roles

Esta Política aplica a cuentas, administración de comercios, validación/conciliación de pagos, soporte, seguridad, facturación y demás funcionalidades compatibles.

Respecto de los datos de la cuenta de cada comercio y de sus usuarios autorizados, 3-102-930166 S.R.L. actúa como responsable del tratamiento. Respecto de los datos personales de los clientes o pagadores de cada comercio que consten en notificaciones bancarias procesadas por la plataforma, 3-102-930166 S.R.L. actúa como encargado del tratamiento por cuenta e instrucción del comercio respectivo, exclusivamente para la finalidad de detección y conciliación de pagos, conforme al Anexo de Tratamiento de Datos por Encargo suscrito con cada comercio.

3. Datos de cuenta

• Nombre completo.
• Nombre del comercio.
• Correo electrónico.
• Teléfono opcional.
• Roles, sesiones y datos de auditoría.
• Evidencia de aceptación de Términos y Política.

Los datos de identificación fiscal, dirección y provincia/cantón/distrito, así como los datos de facturación, se recopilan únicamente cuando el comercio activa un plan comercial que requiera facturación electrónica; no se recopilan durante el uso del programa piloto gratuito ni en cuentas que no facturen.

4. Datos del dispositivo

VerySinple puede procesar identificadores técnicos, información operativa, fechas/horas, estado del dispositivo, registros (logs) y datos de seguridad razonablemente necesarios para prestar y proteger el servicio.

Conforme a la auditoría técnica realizada, la aplicación Android de VerySinple no incorpora un SDK de analítica que recopile sistemáticamente el modelo, el fabricante o la versión de Android del dispositivo, y no existe ningún registro técnico adicional de esos datos más allá de lo aquí descrito. La aplicación puede procesar la dirección IP del dispositivo únicamente como parte necesaria del establecimiento de la conexión con los servidores de VerySinple, sin que exista un registro técnico adicional de direcciones IP más allá de lo estrictamente necesario para dicha conexión. La aplicación no utiliza Firebase Cloud Messaging ni ningún otro servicio de notificaciones push remotas; las notificaciones que muestra la aplicación relacionada con la detección y validación de pagos son notificaciones locales que no dependen de ese servicio. Tampoco utiliza Firebase Crashlytics ni otro SDK externo de recopilación automática de informes de fallos (crash reports), ni Advertising ID ni SDK de publicidad o seguimiento comercial. Utiliza Google ML Kit únicamente para procesamiento local en el dispositivo, sin que se haya identificado transmisión de esos datos a un servicio externo. No incluye una versión para iOS.

5. Android y notificaciones bancarias

La app Android usa NotificationListenerService para detectar notificaciones visibles en el dispositivo y aplicar filtros destinados a reconocer fuentes bancarias compatibles. No usa READ_SMS, RECEIVE_SMS ni SEND_SMS como mecanismo de lectura general de la bandeja de mensajes de texto.

Por la naturaleza de este permiso, el sistema operativo expone a la aplicación el contenido de todas las notificaciones mostradas en el dispositivo antes de que se aplique el filtro de reconocimiento bancario. El filtrado se realiza localmente en el dispositivo; VerySinple descarta de inmediato toda notificación que no corresponda a una fuente bancaria compatible y no la retiene, analiza ni transmite al backend.

El parsing se realiza localmente y, ordinariamente, el backend recibe datos normalizados necesarios para conciliación. Existe un flujo excepcional de corrección que puede remitir evidencia bruta al backend; ese texto bruto tiene retención máxima de 90 días salvo retention hold legítimo.

6. Gmail

La conexión de Gmail es opcional y utiliza OAuth 2.0 + Gmail API con alcance restringido gmail.readonly. VerySinple no recibe ni almacena la contraseña de Gmail. La autorización se usa únicamente para identificar y procesar notificaciones SINPE Móvil compatibles y no es un método de login de VerySinple.

VerySinple utiliza búsquedas restringidas; no usa Gmail para enviar, modificar ni eliminar correos. Actualmente la fuente Gmail implementada es BCR mediante mensajero@bancobcr.com y Banco Popular mediante BPNotifica@bpdc.fi.cr.

Uso Limitado (Google API Services User Data Policy). El uso y la transferencia de información obtenida a través de las API de Google se adhieren a la Google API Services User Data Policy, incluidos los requisitos de Uso Limitado: los datos de Gmail no se utilizan para publicidad, no se comparten con terceros salvo lo necesario para prestar o mejorar el servicio conforme a esta Política, no son leídos por personas salvo las excepciones limitadas que dicha política permite (consentimiento expreso, seguridad o cumplimiento legal), y no se utilizan para entrenar modelos de inteligencia artificial o aprendizaje automático de uso general.

7. Credenciales excluidas

VerySinple no solicita nombres de usuario bancarios, contraseñas bancarias, PIN, OTP, tokens bancarios, preguntas de seguridad ni códigos de autenticación financiera.

8. Datos de pagos y terceros

Según la fuente, pueden procesarse banco, monto, referencia, fecha/hora, nombre del pagador/remitente cuando esté presente y otros identificadores incluidos en la señal bancaria, además de información de la orden necesaria para conciliación.

Estos datos corresponden a personas que no son usuarias directas de VerySinple (clientes o pagadores del comercio). Su tratamiento por VerySinple se realiza como encargado, por cuenta del comercio, conforme a la Sección 2 de esta Política. El comercio es responsable de cumplir frente a sus propios clientes las obligaciones de información que correspondan conforme a la Ley N.º 8968.

9. Finalidades

• Crear y administrar cuentas y usuarios.
• Verificar correo y gestionar autenticación/sesiones.
• Detectar, validar y conciliar pagos SINPE Móvil.
• Prevenir fraude, abuso y acceso no autorizado.
• Brindar soporte y resolver incidencias.
• Gestionar suscripciones y facturación.
• Cumplir obligaciones legales, tributarias, contables y de auditoría.
• Proteger seguridad e integridad del servicio.
• Generar estadísticas operativas legítimas con datos agregados o anonimizados cuando corresponda.

VerySinple no utiliza datos bancarios, Gmail, notificaciones, compradores o transacciones para entrenamiento de modelos de IA dentro del producto actual. Cualquier cambio material futuro en esta finalidad requerirá evaluación legal, actualización documental y, cuando corresponda, nuevo consentimiento.

10. Bases jurídicas

11. Proveedores y transferencias internacionales

VerySinple utiliza actualmente cuatro proveedores tecnológicos principales, todos ellos fuera de Costa Rica: Google Cloud (infraestructura principal: backend, base de datos, procesamiento de tareas y almacenamiento protegido de credenciales), Firebase (alojamiento del sitio web y los paneles administrativos, y distribución de versiones de prueba de la aplicación Android a comercios del programa piloto, sin constituir una base de datos de clientes), Gmail API (lectura restringida y de solo lectura de notificaciones bancarias compatibles, cuando la persona usuaria autoriza la conexión de su cuenta de Gmail) y Resend (envío de correos transaccionales y recepción de los correos dirigidos a las direcciones corporativas de VerySinple). No utiliza pasarelas de pago externas integradas, servicios externos de analítica, plataformas publicitarias ni servicios de WhatsApp. Tilopay está contemplado como futura integración y no está operativo como cobro recurrente a la fecha.

Google Cloud opera desde la región us-east1 (Carolina del Sur, Estados Unidos) para la infraestructura principal. Firebase, como parte de la infraestructura global de Google, no opera desde una región única y fija: Google puede alojar y distribuir estos servicios desde distintas ubicaciones de su red global, conforme al diseño propio de esa infraestructura. La Gmail API tampoco cuenta con una región geográfica exclusiva garantizada por Google para el tratamiento realizado mediante esa API. Resend opera desde la región us-east-1 (Virginia del Norte, Estados Unidos); con independencia de las políticas internas de retención propias de Resend como proveedor de infraestructura, la conservación de estos datos por parte de VerySinple se rige por los plazos indicados en la Sección 12 de esta Política. Dichas transferencias se realizan únicamente con la autorización expresa, informada e inequívoca del titular recabada en el Consentimiento Informado, y están sujetas a acuerdos de tratamiento de datos que imponen a cada proveedor obligaciones de protección equivalentes a las exigidas por la Ley N.º 8968 y su Reglamento.

Estos cuatro proveedores son actualmente los únicos sub encargados de tratamiento de VerySinple; cualquier incorporación futura de otro proveedor se reflejará en una actualización de esta Política.

El Responsable suscribe o suscribirá con cada proveedor los acuerdos de tratamiento de datos necesarios para imponerles obligaciones de protección equivalentes a las exigidas por la Ley N.º 8968 y su Reglamento.

12. Retención de datos

El plazo de conservación de cualquier categoría de datos personales que pueda afectar a su titular no excederá en ningún caso el máximo de diez (10) años desde que cesa la finalidad del tratamiento, conforme al artículo 6, inciso 1), de la Ley N.º 8968 y al artículo 11 de su Reglamento, salvo las excepciones que dicha normativa reconoce.

13. Derechos del titular

Las personas titulares podrán ejercer los derechos que correspondan conforme a la Ley 8968 mediante privacidad@VerySinple.com.

VerySinple fija como compromiso operativo de servicio (no como plazo de caducidad legal) un máximo de 5 días hábiles para atender solicitudes válidas de acceso, rectificación, actualización, supresión y revocación, sin que ello implique destruir datos sujetos a conservación legal. VerySinple podrá solicitar información razonable para verificar la identidad de quien presenta la solicitud antes de tramitarla.

14. Eliminación y retention holds

VerySinple dispone de un flujo auditable de solicitudes de eliminación. Los datos eliminables se suprimen o anonimizan; registros contables, legales, de seguridad, auditoría o disputas pueden conservarse conforme a sus plazos y holds, sin exceder el tope de 10 años salvo excepción legal expresa.

15. Seguridad

VerySinple utiliza medidas como cifrado, gestión de tokens/secretos, separación por comercio, controles de acceso, auditoría, revocación de sesiones y respaldos.

Cloud SQL cuenta con 30 respaldos diarios y point-in-time recovery. Los logs operativos controlados por VerySinple se configuraron a 90 días; ciertos logs administrativos de Google tienen retenciones propias.

16. Incidentes

Ante incidentes de seguridad, VerySinple detecta, contiene, revoca accesos, preserva evidencia, rota secretos, recupera y realiza análisis de causa raíz.

Cuando un incidente implique un riesgo real para los derechos de las personas titulares, VerySinple lo notificará, sin dilación indebida, a las personas afectadas y, cuando corresponda conforme al régimen costarricense, a la Agencia de Protección de Datos de los Habitantes (PRODHAB), indicando la naturaleza del incidente, las categorías de datos afectadas y las medidas adoptadas.

17. Menores

VerySinple no está dirigido a menores de 18 años como titulares de cuenta o contratantes. Si VerySinple detecta que una cuenta es operada por una persona menor de edad, podrá suspenderla o cancelarla.

18. Cookies y almacenamiento local

Conforme a la auditoría técnica realizada sobre el sitio público de VerySinple.com y sus paneles administrativos, la plataforma no utiliza cookies, incluidas cookies publicitarias, analíticas, de marketing, de remarketing o de terceros, y no incorpora integraciones con herramientas de seguimiento como Google Analytics, Google Tag Manager, Meta Pixel, Hotjar u otras equivalentes. La plataforma utiliza almacenamiento local del navegador (localStorage), estrictamente necesario para mantener la sesión autenticada de la persona usuaria (token de actualización e información básica de sesión), de forma que no deba iniciar sesión repetidamente. Esta tecnología es de carácter esencial u operativo: sirve exclusivamente para prestar la funcionalidad que la propia persona usuaria solicita al iniciar sesión, y no se emplea con fines analíticos, publicitarios ni de perfilamiento. Por tratarse de una tecnología estrictamente necesaria para el funcionamiento del servicio solicitado, su uso no requiere consentimiento previo mediante un aviso o banner, sino únicamente esta declaración informativa; VerySinple no cuenta actualmente con un banner de consentimiento de cookies, lo cual es consistente con que no existen tecnologías no esenciales activas en las superficies verificadas. Si en el futuro VerySinple incorpora cookies o tecnologías de seguimiento no esenciales, deberá implementar previamente un aviso o banner que permita a la persona usuaria aceptarlas, rechazarlas o configurarlas, y revocar su consentimiento en cualquier momento, y publicará entonces una Política de Cookies específica detallando cada tecnología incorporada.

19. PRODHAB

Las personas titulares pueden acudir a la Agencia de Protección de Datos de los Habitantes (PRODHAB) cuando corresponda conforme al régimen costarricense.

La Ley N.º 8968 exige inscribir ante PRODHAB las bases de datos administradas con fines de distribución, difusión o comercialización a terceros. VerySinple actúa, respecto de los datos de pago de terceros pagadores, como encargado de tratamiento que procesa esa información por instrucción del comercio y le devuelve el resultado únicamente a ese mismo comercio, sin distribuirla ni difundirla a otras personas o empresas ajenas a esa relación.

20. Cambios a la Política

VerySinple podrá actualizar esta Política por cambios legales, técnicos, de seguridad o del servicio. Los cambios menores se publicarán con aviso general. Los cambios materiales —que afecten las finalidades, los destinatarios, las transferencias internacionales o los plazos de conservación— se comunicarán con al menos 15 días naturales de antelación por correo electrónico o aviso destacado dentro de la plataforma, y se solicitará nueva aceptación expresa cuando corresponda.

21. Marco normativo

Esta Política se elabora conforme a la Constitución Política de Costa Rica, la Ley N.º 8968 y su Reglamento, la Ley N.º 7472 y su Reglamento, y considerando los principios de la Ley N.º 10.946, Gobernanza de los Servicios Digitales y el Comercio Electrónico (publicada el 24 de junio de 2026, con entrada en vigencia el 24 de junio de 2027, pendiente de reglamento). VerySinple revisará esta Política antes de la entrada en vigencia de dicha ley y de cualquier otra normativa aplicable.