Quién es responsable de los datos

  • Razón social — Importadora y Comercializadora Universo Lúdico Limitada
  • RUT — 78.451.749-7
  • Domicilio — Pedro de Valdivia N°1783, Local N°186, Providencia, Región Metropolitana, Chile
  • Contacto — contacto@shadowless.cl

Importadora y Comercializadora Universo Lúdico Limitada opera la tienda Shadowless y es responsable del tratamiento de los datos personales descritos en esta política.

Qué datos se tratan y con qué fundamento

La ley exige que cada tratamiento tenga una base que lo habilite. Estas son, sin letra chica:

  • Comprar — Nombre, correo y teléfono. Con despacho, además dirección y RUT, que es lo que el courier exige para emitir la guía. Con retiro, el nombre y el RUT de quien va a retirar, para verificarlo contra su cédula en el local. Si pagas por transferencia directa, el RUT de la cuenta desde la que transfieres, para reconocer el pago en la cartola. Si pagas con Khipu, Khipu nos informa el nombre, el RUT y el correo de quien paga y el medio usado, para confirmar el pago. Si pagas con tarjeta, Flow nos informa el resultado, los últimos cuatro dígitos de la tarjeta, las cuotas y el código de autorización. Base: ejecución del contrato. Sin estos datos no se puede vender ni despachar.
  • La cuenta — Correo y contraseña, cifrada con bcrypt: no se guarda en texto plano y no se puede ver ni recuperar, solo restablecer. Base: consentimiento, otorgado al crear la cuenta.
  • Cotizaciones — Nombre, correo, teléfono opcional y la lista enviada. Base: la propia solicitud — medida precontractual.
  • Marketing — Solo el correo, y únicamente si se autoriza: con la casilla del checkout o del registro, que va separada de la aceptación de términos y nunca viene premarcada, o al pedir el código de descuento de bienvenida, cuyo formulario dice que el código va a cambio de recibir novedades y ofertas. Base: consentimiento específico, revocable en cualquier momento con el enlace de baja de cada correo o desde Mi cuenta.
  • El carro guardado — Con marketing autorizado, se guarda el correo y qué cartas quedaron en el carro y cuántas, para poder recordarlo por correo si se deja a medias. Con cuenta, se guarda al cambiar el carro; sin cuenta, desde el checkout, en cuanto se escribe el correo y se marca la casilla de novedades, antes de confirmar el pedido, porque el recordatorio es justamente para el pedido que no se terminó. Nada más: el nombre y el precio se resuelven al momento de escribir. Sin esa autorización no se guarda; al desmarcar la casilla o revocarla, se borra. Base: consentimiento específico, revocable con el enlace de baja del correo o desde Mi cuenta.
  • Medición — Cómo se navega: qué páginas y qué cartas se ven, qué se agrega al carro y, al confirmar un pedido, su número y su monto; y cómo se usa cada página —clics, desplazamiento y movimiento del cursor—, que puede quedar como una grabación de la visita. Va asociado a un identificador del navegador, no a un nombre. Base: consentimiento, otorgado en el aviso de cookies y revocable en cualquier momento.
  • Obligaciones legales — Datos de las ventas que deben conservarse por normativa tributaria y contable. Base: cumplimiento de una obligación legal.

No se tratan datos sensibles y no se guardan datos de tarjetas ni claves bancarias: el número de la tarjeta se ingresa en Flow o en Webpay, y las credenciales del banco en Khipu o en tu banco, nunca en este sitio.

Cómo se registra el consentimiento

Al aceptar los términos o autorizar el marketing queda un registro con la fecha, la hora, la versión exacta del documento aceptado y desde dónde se hizo. Está disponible en Mi cuenta → Privacidad y datos.

Ese historial no se borra ni se edita: revocar agrega un registro nuevo, no elimina el anterior. Es lo que permite demostrar qué se autorizó y qué no.

Cookies y almacenamiento en el navegador

Se usan dos clases de almacenamiento, y solo una necesita autorización.

  • Necesarias — Mantienen la sesión iniciada, guardan el contenido del carrito y recuerdan si ya se respondió el aviso de descuento de bienvenida, para no volver a mostrarlo. Sin ellas el sitio no funciona, así que no se pueden desactivar. No sirven para seguir a nadie ni se comparten con terceros.
  • De medición — Google Analytics, para saber qué se busca, qué se mira y dónde se traba la compra. Registra las páginas y las cartas que se ven, lo que entra y sale del carro y, al confirmar un pedido, su número, su monto y qué cartas llevaba. No recibe nombre, correo, teléfono, RUT ni dirección. Instala las cookies _ga y _ga_*, que duran hasta dos años. Solo se cargan si se aceptan en el aviso del sitio: sin respuesta, o con rechazo, Google Analytics no se ejecuta y no queda ninguna de esas cookies.
  • De medición: Microsoft Clarity — Muestra cómo se usa cada página —dónde se hace clic, hasta dónde se baja, dónde alguien se traba— con mapas de calor y grabaciones de la visita, para corregir lo que cuesta en la tienda. El texto que se escribe en los formularios (nombre, correo, teléfono, RUT, dirección) queda enmascarado y no llega a Clarity, y las páginas de la cuenta, del pago y del ingreso se enmascaran completas. Instala las cookies _clck, que dura un año, y _clsk, que dura un día. Se rige por la misma elección que Google Analytics: sin aceptar, no se ejecuta.

La decisión se puede cambiar en cualquier momento desde Preferencias de cookies, al pie de cualquier página. Al rechazar se borran las cookies de medición que hubieran quedado de antes, de Google Analytics y de Clarity.

Vercel, que aloja el sitio, también cuenta visitas de forma agregada, sin cookies ni datos que identifiquen a nadie. Aun así queda sujeto a la misma elección: con rechazo, tampoco se ejecuta.

Con quién se comparten y dónde se alojan

Solo con los proveedores que hacen funcionar la tienda, y solo con lo mínimo que necesitan. Ninguno los usa para fines propios.

  • Vercel — Hosting del sitio y estadísticas agregadas de visitas. Estados Unidos.
  • Google — Google Analytics: estadísticas de uso de la tienda, incluido el número y el monto de los pedidos confirmados. Solo recibe datos si se aceptan las cookies de medición. Estados Unidos.
  • Microsoft — Microsoft Clarity: mapas de calor y grabaciones de cómo se usa el sitio, sin el texto de los formularios. Solo recibe datos si se aceptan las cookies de medición. Estados Unidos.
  • MongoDB Atlas — Base de datos con el catálogo y los pedidos. Estados Unidos.
  • Resend — Correos de los pedidos, del restablecimiento de contraseña y, con autorización, de novedades, ofertas y recordatorios de carro. Estados Unidos.
  • Khipu — Pagos por transferencia instantánea en la tienda y con QR en el local: recibe el monto, el código del pedido, tu nombre y tu correo para procesar el pago, y nos informa el resultado. Chile.
  • Flow — Pagos con tarjeta de crédito, débito o prepago en la tienda: recibe el monto, el código del pedido y tu correo para procesar el pago; los datos de la tarjeta los ingresas en Flow o en Webpay. Nos informa el resultado y, si corresponde, procesa la devolución. Chile.
  • Cloudinary — Imágenes del catálogo. No recibe datos personales.
  • Courier — Blue Express recibe nombre completo, RUT, teléfono, correo y dirección: es lo que exige para emitir la guía y entregar el paquete. Solo en pedidos con despacho. Chile.

Transferencia internacional: como se ve en la lista, la infraestructura está alojada en Estados Unidos, así que los datos salen de Chile. Esa transferencia es necesaria para ejecutar el contrato —prestar el servicio— y se hace con proveedores que ofrecen garantías contractuales de seguridad y confidencialidad. Quien prefiera no comprar bajo esa condición puede escribir a contacto@shadowless.cl.

Google Analytics y Microsoft Clarity son la excepción: ahí la transferencia no se apoya en el contrato sino en el consentimiento. Sin él, o revocado, no se ejecutan y no sale nada hacia Google ni hacia Microsoft.

Cuánto tiempo se conservan

  • Pedidos — Mientras dure la obligación tributaria y de garantía.
  • Cuenta — Hasta que se solicite su eliminación.
  • Marketing — Hasta que se revoque el consentimiento.
  • El carro guardado — 30 días sin actividad y se borra solo. También al comprar, al vaciarlo, al desmarcar la casilla del checkout o al revocar el marketing.
  • Medición — Las cookies duran hasta dos años en el navegador, y se borran al rechazar o revocar. Los informes quedan en Google Analytics por el plazo de retención configurado en la propiedad. En Microsoft Clarity las grabaciones se conservan 30 días y los informes agregados, hasta 13 meses.
  • Consentimientos — Mientras la relación esté vigente y el tiempo necesario para acreditar el cumplimiento. Es la evidencia de lo que se autorizó.

Derechos

Sobre los datos personales se pueden ejercer, sin costo:

  • Acceso — Saber qué datos hay y cómo se tratan.
  • Rectificación — Corregirlos si están erróneos, incompletos o desactualizados.
  • Cancelación — Pedir su eliminación cuando ya no sean necesarios o se retire el consentimiento.
  • Oposición — Oponerse a un tratamiento determinado por una situación particular.
  • Portabilidad — Recibir los datos en un formato estructurado y de uso común, o pedir que se envíen a otro responsable.
  • Bloqueo — Suspender temporalmente el tratamiento mientras se resuelve una solicitud.

Para ejercerlos, escribir a contacto@shadowless.cl indicando qué derecho se quiere ejercer. La respuesta llega dentro de 30 días; si la solicitud incluye bloqueo temporal, dentro de 2 días hábiles.

El consentimiento de marketing se revoca sin escribir a nadie: con el enlace «Dejar de recibir ofertas» al pie de cada correo de marketing, con o sin cuenta, o desde Mi cuenta → Privacidad y datos, donde además se ve qué se autorizó y cuándo.

Si la respuesta no deja conforme, se puede reclamar ante la Agencia de Protección de Datos Personales.

Seguridad e incidentes

El sitio funciona sobre HTTPS, las contraseñas se guardan cifradas y el acceso a la base está restringido por credenciales y lista de direcciones autorizadas.

Ante una vulneración que afecte datos personales, se notifica a la Agencia de Protección de Datos Personales y a las personas afectadas sin dilaciones indebidas, explicando qué pasó, qué datos se vieron afectados y qué medidas se tomaron.

Cambios a esta política

Cada versión queda identificada por su fecha y el registro del consentimiento guarda cuál se aceptó. Si cambia algo sustantivo que requiera una nueva autorización, se vuelve a pedir en vez de darla por otorgada: aparece un aviso al entrar al sitio, con el enlace al documento antes del botón.