Quién es responsable de los datos

  • Razón social — Importadora y Comercializadora Universo Lúdico Limitada
  • RUT — 78.451.749-7
  • Domicilio — Pedro de Valdivia N°1783, Local N°186, Providencia, Región Metropolitana, Chile
  • Contacto — contacto@shadowless.cl

Importadora y Comercializadora Universo Lúdico Limitada opera la tienda Shadowless y es responsable del tratamiento de los datos personales descritos en esta política.

Qué datos se tratan y con qué fundamento

La ley exige que cada tratamiento tenga una base que lo habilite. Estas son, sin letra chica:

  • Comprar — Nombre, correo y teléfono. Para pagar por transferencia, el RUT de la cuenta desde la que transfieres, con el que reconocemos tu pago. Con despacho, además dirección y RUT, que es lo que el courier exige para emitir la guía. Con retiro, el nombre y el RUT de quien va a retirar, para verificarlo contra su cédula en el local. Base: ejecución del contrato. Sin estos datos no se puede vender ni despachar.
  • La cuenta — Correo y contraseña, cifrada con bcrypt: no se guarda en texto plano y no se puede ver ni recuperar, solo restablecer. Base: consentimiento, otorgado al crear la cuenta.
  • Cotizaciones — Nombre, correo, teléfono opcional y la lista enviada. Base: la propia solicitud — medida precontractual.
  • Marketing — Solo el correo, y únicamente si se marca la casilla. Va separada de la aceptación de términos y nunca viene premarcada. Base: consentimiento específico, revocable en cualquier momento desde Mi cuenta.
  • El carro guardado — Con sesión iniciada y marketing autorizado, se guarda qué cartas quedaron en el carro y cuántas, para poder recordarlo por correo si se deja a medias. Nada más: el nombre y el precio se resuelven al momento de escribir. Sin esa autorización no se guarda, y al revocarla se borra. Base: consentimiento específico, revocable desde Mi cuenta.
  • Medición — Cómo se navega: qué páginas y qué cartas se ven, qué se agrega al carro y, al confirmar un pedido, su número y su monto. Va asociado a un identificador del navegador, no a un nombre. Base: consentimiento, otorgado en el aviso de cookies y revocable en cualquier momento.
  • Obligaciones legales — Datos de las ventas que deben conservarse por normativa tributaria y contable. Base: cumplimiento de una obligación legal.

No se tratan datos sensibles y no se guardan datos de tarjetas: el pago es por transferencia y nunca pasa por el sitio.

Cómo se registra el consentimiento

Al aceptar los términos o autorizar el marketing queda un registro con la fecha, la hora, la versión exacta del documento aceptado y desde dónde se hizo. Está disponible en Mi cuenta → Privacidad y datos.

Ese historial no se borra ni se edita: revocar agrega un registro nuevo, no elimina el anterior. Es lo que permite demostrar qué se autorizó y qué no.

Cookies y almacenamiento en el navegador

Se usan dos clases de almacenamiento, y solo una necesita autorización.

  • Necesarias — Mantienen la sesión iniciada y guardan el contenido del carrito. Sin ellas el sitio no funciona, así que no se pueden desactivar. No sirven para seguir a nadie ni se comparten con terceros.
  • De medición — Google Analytics, para saber qué se busca, qué se mira y dónde se traba la compra. Registra las páginas y las cartas que se ven, lo que entra y sale del carro y, al confirmar un pedido, su número, su monto y qué cartas llevaba. No recibe nombre, correo, teléfono, RUT ni dirección. Instala las cookies _ga y _ga_*, que duran hasta dos años. Solo se cargan si se aceptan en el aviso del sitio: sin respuesta, o con rechazo, Google Analytics no se ejecuta y no queda ninguna de esas cookies.

La decisión se puede cambiar en cualquier momento desde Preferencias de cookies, al pie de cualquier página. Al rechazar se borran las cookies de medición que hubieran quedado de antes.

Vercel, que aloja el sitio, también cuenta visitas de forma agregada, sin cookies ni datos que identifiquen a nadie. Aun así queda sujeto a la misma elección: con rechazo, tampoco se ejecuta.

Con quién se comparten y dónde se alojan

Solo con los proveedores que hacen funcionar la tienda, y solo con lo mínimo que necesitan. Ninguno los usa para fines propios.

  • Vercel — Hosting del sitio y estadísticas agregadas de visitas. Estados Unidos.
  • Google — Google Analytics: estadísticas de uso de la tienda, incluido el número y el monto de los pedidos confirmados. Solo recibe datos si se aceptan las cookies de medición. Estados Unidos.
  • MongoDB Atlas — Base de datos con el catálogo y los pedidos. Estados Unidos.
  • Resend — Correos de los pedidos y del restablecimiento de contraseña. Estados Unidos.
  • Cloudinary — Imágenes del catálogo. No recibe datos personales.
  • Courier — Starken o Blue Express reciben nombre completo, RUT, teléfono, correo y dirección: es lo que exigen para emitir la guía y entregar el paquete. Solo en pedidos con despacho. Chile.

Transferencia internacional: como se ve en la lista, la infraestructura está alojada en Estados Unidos, así que los datos salen de Chile. Esa transferencia es necesaria para ejecutar el contrato —prestar el servicio— y se hace con proveedores que ofrecen garantías contractuales de seguridad y confidencialidad. Quien prefiera no comprar bajo esa condición puede escribir a contacto@shadowless.cl.

Google Analytics es la excepción: ahí la transferencia no se apoya en el contrato sino en el consentimiento. Sin él, o revocado, no se ejecuta y no sale nada hacia Google.

Cuánto tiempo se conservan

  • Pedidos — Mientras dure la obligación tributaria y de garantía.
  • Cuenta — Hasta que se solicite su eliminación.
  • Marketing — Hasta que se revoque el consentimiento.
  • El carro guardado — 30 días sin actividad y se borra solo. También al comprar, al vaciarlo o al revocar el marketing.
  • Medición — Las cookies duran hasta dos años en el navegador, y se borran al rechazar o revocar. Los informes quedan en Google Analytics por el plazo de retención configurado en la propiedad.
  • Consentimientos — Mientras la relación esté vigente y el tiempo necesario para acreditar el cumplimiento. Es la evidencia de lo que se autorizó.

Derechos

Sobre los datos personales se pueden ejercer, sin costo:

  • Acceso — Saber qué datos hay y cómo se tratan.
  • Rectificación — Corregirlos si están erróneos, incompletos o desactualizados.
  • Cancelación — Pedir su eliminación cuando ya no sean necesarios o se retire el consentimiento.
  • Oposición — Oponerse a un tratamiento determinado por una situación particular.
  • Portabilidad — Recibir los datos en un formato estructurado y de uso común, o pedir que se envíen a otro responsable.
  • Bloqueo — Suspender temporalmente el tratamiento mientras se resuelve una solicitud.

Para ejercerlos, escribir a contacto@shadowless.cl indicando qué derecho se quiere ejercer. La respuesta llega dentro de 30 días; si la solicitud incluye bloqueo temporal, dentro de 2 días hábiles.

El consentimiento de marketing se revoca sin escribir a nadie, desde Mi cuenta → Privacidad y datos, donde además se ve qué se autorizó y cuándo. Para una compra hecha como invitado, sin cuenta, la baja se pide a contacto@shadowless.cl.

Si la respuesta no deja conforme, se puede reclamar ante la Agencia de Protección de Datos Personales.

Seguridad e incidentes

El sitio funciona sobre HTTPS, las contraseñas se guardan cifradas y el acceso a la base está restringido por credenciales y lista de direcciones autorizadas.

Ante una vulneración que afecte datos personales, se notifica a la Agencia de Protección de Datos Personales y a las personas afectadas sin dilaciones indebidas, explicando qué pasó, qué datos se vieron afectados y qué medidas se tomaron.

Cambios a esta política

Cada versión queda identificada por su fecha y el registro del consentimiento guarda cuál se aceptó. Si cambia algo sustantivo que requiera una nueva autorización, se vuelve a pedir en vez de darla por otorgada: aparece un aviso al entrar al sitio, con el enlace al documento antes del botón.