En VibesClub tomamos tu privacidad en serio. Esta Política explica qué datos recopilamos, por qué, con quién los compartimos, y qué derechos tenés sobre ellos. Se aplica a la plataforma web vibesclub.app, al dashboard administrativo admin.vibesclub.net y a la aplicación móvil VibesClub.

1. Responsable del tratamiento

El responsable del tratamiento de tus datos es el Operador de VibesClub (el “Operador”) — la parte que opera la plataforma y decide los fines y medios del tratamiento, conforme a la Ley 25.326 —, con domicilio constituido en Cipolletti, Río Negro, Argentina. Podés contactarnos por cuestiones de privacidad en [email protected].

En esta Política, “VibesClub” designa la plataforma y la marca; el responsable frente a vos es siempre el Operador. La titularidad de ese rol es cedible: si se transfiere a otra persona humana o jurídica, te lo vamos a notificar y esta Política sigue rigiendo sin cambios.

2. Qué datos recopilamos

2.1 Datos que vos nos das

Registro: email, nombre completo, contraseña (hasheada, nunca la vemos en claro).
Verificación opcional: DNI, número de teléfono — sólo si decidís alcanzar niveles de tier que lo requieran.
Perfil: avatar, preferencias de notificación, ciudad.
Datos de pago (Tenants): NO almacenamos tarjetas. Los pagos corren por MercadoPago, que los procesa directamente. Sólo guardamos un ID de referencia opaco.

2.2 Datos que generás al usar el Servicio

Tickets de compra: fotos de tickets/recibos que subís para acreditar Vibes. Se procesan (incluyendo lectura automática del monto) para validar la compra; Vibes acumulados y canjeados, recompensas reclamadas.
Logs de login (IP, User-Agent, timestamp) por razones de seguridad (prevención de fraude).
Eventos de uso agregados (qué páginas visitaste, cuándo, sin contenido).

2.3 Ubicación

Ubicación aproximada/precisa (opcional): si otorgás el permiso, la usamos en tiempo real para mostrarte comercios cercanos y confirmar tu ciudad. Solo funciona en primer plano (mientras usás la app) — no la usamos en segundo plano ni la guardamos como historial de ubicación. La ciudad de tu perfil es la que vos declarás al registrarte, no se deriva del GPS.

2.4 Datos técnicos automáticos

Dirección IP, tipo de navegador, sistema operativo, versión de la app móvil.
Cookies técnicas (ver Política de Cookies).
Error tracking: Sentry captura stack traces + user-id (sin email ni DNI; ver §6).

3. Por qué los usamos (bases jurídicas)

Tratamos tus datos para las siguientes finalidades, cada una con su base legal correspondiente:

Ejecución del contrato (Ley 25.326 art. 5 inc. 2.a): para prestarte el Servicio acordado (cuenta, login, canje de Vibes).
Cumplimiento legal: facturación y registros fiscales (Tenants), respuesta a requerimientos judiciales.
Interés legítimo: seguridad (detección de fraude, rate-limit, logs), mejora del producto (analytics agregados sin identificación individual).
Consentimiento (Ley 25.326 art. 5): comunicaciones de marketing, cookies no esenciales. Podés revocarlo en cualquier momento.

4. Con quién los compartimos

No vendemos tus datos. Los compartimos únicamente con los siguientes terceros, cada uno con obligaciones contractuales de confidencialidad:

Cloudflare Inc. (EE.UU.) — CDN, Tunnel, R2 (backups cifrados), Email Routing.
Resend (EE.UU.) — envío de emails transaccionales (verificación, reset, notificaciones).
MercadoPago (Argentina / Brasil) — procesamiento de pagos de Tenants.
Sentry (EE.UU.) — error tracking; recibe user-id sin PII (emails y DNIs redactados automáticamente).
Google Cloud (si usás “Sign in with Google”) — recibe únicamente tu email para autenticación.
Proveedores de hosting: nuestra base de datos y nuestros servidores de aplicación corren en Argentina (Córdoba) con Donweb SRL. Los backups cifrados se almacenan en Cloudflare R2 (EE.UU.), y el tráfico pasa por la red de Cloudflare Inc. (EE.UU.). Además, los datos mínimos indicados arriba salen del país hacia cada proveedor según su función: tu email a Resend (EE.UU.) para enviarte emails transaccionales, tu user-id sin PII a Sentry (EE.UU.) para diagnóstico de errores, y tu email a Google Cloud (EE.UU.) sólo si usás “Sign in with Google”. El resto de tus datos personales se procesa y reside en Argentina.

5. Por cuánto tiempo los guardamos

Datos de tu cuenta de usuario: mientras tu cuenta esté vigente + 2 años posteriores a la baja (por obligaciones fiscales y de seguridad). Este plazo es distinto del de los datos de un comercio (Tenant), que se rige por los Términos y Condiciones §15.4.
Logs de seguridad: 90 días.
Facturación (Tenants): 10 años (obligación fiscal, RG AFIP 1415).
Backups: rolling 7 días diarios + 4 semanales + 3 mensuales. Cifrados con AES-256 en reposo.

6. Tus derechos

Bajo la Ley 25.326 y criterios compatibles GDPR, tenés derecho a:

Acceso: solicitar copia de los datos personales que tenemos sobre vos.
Rectificación: corregir datos inexactos o desactualizados.
Supresión (“derecho al olvido”): solicitar la eliminación, sujeto a obligaciones legales de retención.
Oposición: oponerte al tratamiento basado en interés legítimo o marketing directo.
Portabilidad: recibir tus datos en formato estructurado (JSON) para transferirlos a otro servicio.
Revocación del consentimiento: para comunicaciones marketing y cookies no esenciales.

Para ejercer cualquier derecho, escribinos a [email protected]. Respondemos dentro de los 10 días hábiles (Ley 25.326 art. 14). Si no estás conforme con nuestra respuesta, podés reclamar ante la Agencia de Acceso a la Información Pública (AAIP), Sarmiento 1118, CABA — argentina.gob.ar/aaip.

7. Seguridad

Aplicamos medidas técnicas y organizativas razonables:

Cifrado en tránsito (TLS 1.3) y reposo (AES-256 para backups).
Aislamiento multi-tenant enforced por Row Level Security (PostgreSQL).
Autenticación con bcrypt 12 rounds; sesiones opacas de 64 bytes; rate-limiting en endpoints críticos.
Segregación de roles, least-privilege para staff.
Auditoría periódica del stack: inventario de secrets + rotación + security scan.

Pese a ello, ningún sistema es 100 % seguro. Si detectamos una violación de seguridad que afecte tus datos, te notificaremos por email dentro de las 72 horas de confirmada y reportaremos el incidente a la AAIP cuando la ley lo exija.

8. Menores de edad

VibesClub no está dirigido a menores de 16 años, y la app verifica la edad al registrarse. No recopilamos intencionalmente datos de menores sin consentimiento parental. Si sos padre/madre/tutor/a y creés que tu hijo/a nos dio datos sin autorización, escribinos a [email protected] y los eliminamos.

9. Cambios a esta Política

Podemos actualizar esta Política. Los cambios sustanciales se comunican por email con al menos 30 días de antelación. La fecha de última actualización aparece al inicio.

10. Contacto

Para consultas sobre privacidad o ejercicio de derechos: [email protected].

Política de Privacidad