1. Quiénes somos#
Fufills (la "Plataforma", "nosotros") es una plataforma B2B de cumplimiento de pedidos contra entrega operada por Fufills. Proveemos a los comerciantes almacenamiento, entrega de última milla, confirmación asistida por IA en call center, cobro COD y liquidación al comerciante en más de 16 países de Latinoamérica y la región MENA.
Esta política explica cómo tratamos los Datos Personales cuando: (a) usted visita fufills.com, drop.fufills.com o cualquier subdominio relacionado; (b) registra u opera una cuenta de comerciante en la Plataforma; (c) entregamos pedidos por cuenta de un comerciante del que usted es cliente final; o (d) interactúa con nosotros por correo electrónico, WhatsApp o teléfono.
Para todas las interacciones de cuenta de comerciante, Fufills es el *responsable del tratamiento*. Para los datos de pedidos del cliente final (su comprador), Fufills es el *encargado del tratamiento* y el comerciante es el responsable — un Acuerdo de Tratamiento de Datos (DPA) separado regula esa relación.
2. Datos que recopilamos#
Solo recopilamos lo que necesitamos para prestar el servicio, operar el negocio de forma segura y cumplir con la ley.
Datos de cuenta
- Identidad — nombre, apellido, nombre comercial, país de operación.
- Contacto — correo de trabajo, número de teléfono (con código de país).
- Credenciales — contraseña (almacenada como hash bcrypt; nunca vemos el texto plano), secreto TOTP de 2FA opcional (cifrado en reposo), códigos de recuperación (hasheados).
- Artefactos de verificación — dirección IP, user-agent, sistema operativo, geolocalización aproximada (ciudad / país) en el momento de la verificación del correo o restablecimiento de contraseña.
Datos de negocio + onboarding
- Perfil del operador — años en e-commerce, etapa COD (explorando / corriendo ads / lanzando / escalando), franja de pedidos mensuales, tasa de confirmación actual, tasa de entrega actual, franja de precio promedio.
- Intención de mercado — países a los que envía hoy, su país más fuerte, país objetivo de crecimiento.
- Preferencia de track — Seller (SKUs propios), Drop (nuestro catálogo), Ambos o Aún no decidido.
- Dolores y objetivos a 90 días seleccionados en el paso de calificación.
- Stack actual — si opera Shopify, WooCommerce, equipo propio, otro partner COD o ninguno aún.
- Canal de adquisición — cómo nos encontró (YouTube, Instagram, referencia, anuncio pago, etc.).
Datos de pedidos + cumplimiento (los procesamos como encargados por cuenta del comerciante)
- Nombre del cliente final, número de teléfono y dirección de envío — necesarios para confirmar y entregar el pedido.
- Producto comprado, cantidad, valor declarado, moneda.
- Transcripciones de llamadas de confirmación del call center (asistidas por IA) — usadas para calcular tasa de confirmación, mejorar calidad de producto y resolver disputas.
- Eventos de estado de entrega (en tránsito, intentado, entregado, devuelto, RTO).
- Importe de liquidación, moneda, método de pago, líneas de factura.
Datos técnicos + de seguridad
- Cookies — cookie de sesión propia (requerida para login), cookies anti-bot de Cloudflare, cookies analíticas opcionales (solo se establecen tras consentimiento explícito en el banner de cookies).
- Token de Cloudflare Turnstile — para distinguir humanos de bots en registro y restablecimiento de contraseña. Cloudflare recibe la URL de la petición y una huella del entorno del navegador. No recibe el contenido de su formulario.
- Señales de honeypot + tiempo de relleno en formularios públicos (registro, contacto) — se descartan tras validar la petición.
- Informes de error de Sentry — cuando un bug rompe una página capturamos el stack trace, la URL, el ID anonimizado del usuario y el navegador. Eliminamos los cuerpos de petición antes de enviar.
- Registro de auditoría — acciones de relevancia de seguridad (login, cambio de contraseña, cambio de correo, cambio de método de pago, acciones de admin) con timestamp, actor, IP y user-agent. Retenido 7 años para respuesta a incidentes y forense.
Comunicaciones + marketing
- Mensajes de WhatsApp Business (detallados en §4 abajo).
- Correo — transaccional (verificación, restablecimiento de contraseña, facturas, avisos de pago) y actualizaciones de producto (puede darse de baja de las actualizaciones de producto sin perder los correos transaccionales).
- Notificaciones in-app + tickets de soporte.
- Parámetros UTM y referrer al registrarse — usados para atribuir canales de marketing.
3. Por qué los usamos (y nuestra base legal)#
GDPR y LGPD nos exigen declarar una base legal para cada finalidad de tratamiento. CCPA y las leyes de privacidad de MENA exigen declarar el propósito comercial. Hacemos ambos.
| Finalidad | Base legal (GDPR / LGPD) | Propósito comercial (CCPA) |
|---|---|---|
| Prestar el servicio de cumplimiento COD (cuenta, pedidos, liquidaciones). | Ejecución del contrato que acepta al registrarse. | Prestación del servicio solicitado por el consumidor. |
| Operar la confirmación asistida por IA en el call center sobre pedidos del cliente final. | Ejecución del contrato entre usted y su cliente final; nuestro DPA con usted nos autoriza como encargados. | Prestación del servicio. |
| Prevenir fraude, abuso y toma de cuenta (rate limits, honeypots, Turnstile, 2FA, audit log, registro de IP/UA). | Interés legítimo en operar una plataforma segura. | Seguridad y detección de fraude. |
| Cumplir con reguladores fiscales, financieros, antilavado y de protección al consumidor. | Cumplimiento de una obligación legal. | Cumplimiento de obligación legal. |
| Enviar mensajes transaccionales por WhatsApp / correo vinculados a su cuenta o pedidos. | Ejecución del contrato. | Prestación del servicio. |
| Enviar actualizaciones de producto por WhatsApp / correo tras opt-in. | Su consentimiento (opt-in, revocable en cualquier momento). | N/A — basado en consentimiento. |
| Medir desempeño publicitario con Meta Pixel + Conversions API. | Su consentimiento mediante el banner de cookies. | Marketing (solo tras opt-in). |
| Analítica interna, investigación de producto, benchmarking (agregado y anonimizado antes de analizar). | Interés legítimo en mejorar el servicio. | Investigación interna. |
Cuando nos basamos en interés legítimo, hemos realizado una Evaluación de Interés Legítimo (LIA) y concluimos que el tratamiento es proporcional, esperado y balanceado contra sus derechos. Puede solicitar un resumen escribiendo a privacy@fufills.com.
4. Mensajes de WhatsApp BusinessDivulgación Meta / WhatsApp BSP#
Fufills usa la WhatsApp Business Platform (operada por Meta Platforms Ireland Ltd. para residentes EEE / Reino Unido y Meta Platforms Inc. en el resto) para comunicarse con comerciantes que dan opt-in explícito. Esta sección es nuestra divulgación formal bajo la WhatsApp Business Messaging Policy y la Commerce Policy de Meta.
Cuándo y cómo da el opt-in
- Durante el onboarding (Paso 5 de 5), se presenta una casilla claramente etiquetada "Envíenme mensajes por WhatsApp" junto a una descripción en lenguaje claro de qué mensajes enviaremos. La casilla aparece desmarcada por defecto.
- Al marcar la casilla y enviar el Paso 5, nuestro servidor estampa whatsapp_consent = true y whatsapp_consent_at = NOW(). Conservamos el timestamp + IP + user-agent que envió el consentimiento como evidencia del mismo.
- Dentro de la app puede revocar el consentimiento cuando quiera desde Perfil → Notificaciones. La revocación se respeta inmediatamente para todas las plantillas.
- También puede desuscribirse respondiendo STOP, BAJA, ARRÊT, إلغاء, ANNULLA o СТОП a cualquiera de nuestros mensajes. La baja se registra contra su número y persiste tras eliminar la cuenta.
Qué enviamos (y qué no enviamos)
- Mensajes de gestión de cuenta — bienvenida, presentación de su account manager, recordatorios de onboarding, códigos de restablecimiento de contraseña.
- Mensajes de servicio / transaccionales — confirmación de pedido, actualizaciones de estado de entrega de pedidos que cumplimos para usted, avisos de pago, resúmenes de liquidación, disponibilidad de factura, fallos de facturación.
- Respuestas de soporte — cuando usted nos escribe primero, respondemos en el mismo hilo de WhatsApp dentro de nuestra ventana de atención.
- Actualizaciones de producto — lanzamientos de funciones, expansiones de país, contenido de la Academia. Solo tras opt-in separado dentro de la app, nunca combinado con avisos transaccionales.
- NO enviamos contenido promocional por cuenta de terceros, ofertas de afiliados ni marketing de productos no relacionados. No usamos WhatsApp para outbound frío a personas que nunca dieron opt-in.
- No enviamos mensajes a sus clientes finales por WhatsApp para fines promocionales — las llamadas de confirmación del call center usan la red telefónica, salvo que su cliente final haya optado por un flujo de confirmación por WhatsApp.
Almacenamiento y compartición del número
- Almacenamos su número de WhatsApp en nuestra base de datos, cifrado en reposo. El número se comparte con la WhatsApp Business Platform de Meta solo como sobre del mensaje — Meta necesita la dirección del destinatario para entregar el mensaje.
- Meta procesa el contenido conforme a los WhatsApp Business Solution Terms y la WhatsApp Business Messaging Policy. No autorizamos a Meta a usar su número para audiencias publicitarias. No exportamos datos de mensajes de WhatsApp a plataformas de anuncios.
- Si da de baja (STOP / interruptor en Perfil / revocación vía privacy@fufills.com), dejamos de enviar — pero Meta retiene metadatos de entrega según sus propias políticas, que no controlamos.
Plantillas y ventana de 24 horas
- Cuando no nos ha escrito en 24 horas, solo podemos enviarle plantillas pre-aprobadas. Cada plantilla es revisada por Meta antes de su activación.
- Dentro de la ventana de atención al cliente de 24 horas después de que usted nos escriba, podemos responder con texto libre dentro del tema que planteó.
- No encadenamos una respuesta de atención con un outreach de marketing dentro de la misma ventana de 24 horas.
5. Meta Pixel + Conversions APIDivulgación de cookies y publicidad#
En el sitio de marketing fufills.com (no dentro de la app autenticada), podemos cargar el Meta Pixel y enviar un stream de eventos paralelo del lado servidor mediante la Conversions API de Meta. Ambos se disparan SOLO después de que acepte cookies de marketing en el banner.
Qué se mide
- Vistas de página, clics en botones, profundidad de scroll en páginas de marketing.
- Finalización de registro (CompleteRegistration).
- Finalización de paso de onboarding (evento Subscribe, usado para medir coste por lead calificado).
- Upgrades y pagos (evento Purchase con el valor de ingresos bruto).
Cómo manejamos los PII
- Email y teléfono, cuando están presentes, son hasheados con SHA-256 antes de enviarse a la Conversions API de Meta. Es el setup recomendado por Meta para Advanced Matching y limita lo que Meta puede aprender sobre usted.
- Nunca enviamos PII sin hashear al Pixel ni a la Conversions API.
- Nunca enviamos números de tarjeta, detalles bancarios ni datos de cliente final (su comprador) a Meta.
Cómo dar de baja
- Rechazar "Marketing" en el banner de cookies — el Pixel no carga y los eventos CAPI se suprimen.
- Dentro de Meta puede gestionar actividad en https://www.facebook.com/off_facebook_activity/.
- Usar señal Global Privacy Control (GPC) — la honramos como opt-out de venta / compartición bajo CCPA.
7. Sub-encargados y terceros con los que compartimos#
Somos conservadores sobre quién toca sus datos. La lista de abajo es exhaustiva para las categorías de destinatarios. La lista actualizada de sub-encargados está disponible a petición desde privacy@fufills.com — adiciones materiales se notifican con 30 días de anticipación a los comerciantes clientes con DPA.
| Destinatario | Propósito | Dónde procesa | Salvaguarda de transferencia |
|---|---|---|---|
| DigitalOcean LLC | Hosting de aplicación + base de datos | UE (primario), EE.UU. (failover) | SCC UE (2021/914) |
| Cloudflare Inc. | CDN, WAF, Turnstile, protección DDoS | Edge global | SCC UE + IDTA Reino Unido |
| Meta Platforms Ireland Ltd. / Inc. | WhatsApp Business + Pixel + CAPI | EEE / EE.UU. | SCC UE + Data Privacy Framework |
| Functional Software, Inc. (Sentry) | Monitoreo de errores | EE.UU. | SCC UE + DPF |
| Postmark (ActiveCampaign) | Correo transaccional | EE.UU. | SCC UE + DPF |
| Carriers locales de última milla (por país) | Entrega de pedidos | País de entrega | DPA por carrier |
| Operadores locales de call center (por país) | Confirmación de pedidos (donde la IA se complementa con humanos) | País de operación | DPA + NDA por operador |
| Bancos y partners de pago | Liquidación a su cuenta bancaria | País del pago | Regulatorio (secreto bancario) |
| Asesores profesionales (auditores, abogados, contadores) | Auditoría estatutaria + defensa en disputas | País del profesional | Acuerdo de confidencialidad + privilegio profesional |
No vendemos ni compartimos Datos Personales para publicidad conductual cross-context bajo CCPA / CPRA. La definición de "Sale" en CCPA es amplia — incluso el Meta Pixel puede considerarse "venta" o "compartición". Puede deshabilitarlo desde el banner de cookies o enviando una señal Global Privacy Control.
8. Datos del cliente final (su comprador) — Fufills como encargado#
Cuando usted envía un pedido a través de su tienda o de la Plataforma, recibimos el nombre, teléfono, dirección de envío y contenido del pedido de su cliente. Para estos datos, el *comerciante* es responsable bajo GDPR / LGPD; Fufills actúa como *encargado*.
Solo usaremos datos del cliente final para prestar el servicio que el comerciante solicitó — confirmación del call center, despacho, entrega, cobro COD y la liquidación resultante. No haremos marketing al cliente final, y no usaremos sus datos para entrenar modelos de IA que se vendan fuera del servicio de Fufills.
Nuestros términos de comerciante incluyen un Acuerdo de Tratamiento de Datos (DPA) que refleja GDPR Art. 28 y LGPD Art. 39. Los comerciantes que sirven a consumidores EEE / Reino Unido / Brasil deberían basarse en el DPA para detalles transfronterizos. Se entrega DPA firmado a petición a privacy@fufills.com.
Los sub-encargados para datos de cliente final (carriers, call centers, bancos) están listados en §7. Las adiciones materiales se notifican con 30 días de anticipación a los comerciantes clientes con derecho a objetar.
9. Transferencias internacionales de datos#
Fufills sirve a comerciantes y clientes finales en LATAM, MENA, Europa y EE.UU. Los datos inevitablemente cruzan fronteras. Usamos las siguientes salvaguardas:
EEE / Reino Unido → exterior
- Cláusulas Contractuales Estándar UE (2021/914) + International Data Transfer Addendum del Reino Unido (IDTA) con cada sub-encargado.
- Transfer Impact Assessment (TIA) por cada destino, con medidas suplementarias (cifrado, pseudonimización) donde la ley local lo requiere.
- Para transferencias a Meta, el EU-US Data Privacy Framework (DPF) más SCC como respaldo.
Brasil (LGPD) → exterior
- Nos basamos en las cláusulas contractuales estándar aprobadas por la ANPD cuando finalicen; mientras tanto en el Art. 33 LGPD (consentimiento específico o necesidad contractual) y salvaguardas contractuales equivalentes a las SCC UE.
Arabia Saudita / EAU → exterior
- Arabia Saudita: transferencia transfronteriza según el Art. 29 PDPL y el Reglamento SDAIA de Transferencia Transfronteriza — mantenemos un registro de transferencias y nos basamos en una determinación de adecuación aprobada por SDAIA o en la evaluación de impacto de nuestro DPO.
- EAU: Decreto-Ley Federal No. 45/2021 — nos basamos en la decisión de adecuación del país receptor, en compromisos contractuales del receptor, o en su consentimiento explícito.
10. Cuánto tiempo conservamos sus datos#
Conservamos datos solo el tiempo que los necesitemos para la finalidad recopilada, más los plazos de prescripción y los exigidos por reguladores fiscales / financieros.
| Datos | Retención | Por qué |
|---|---|---|
| Datos de cuenta activa (perfil, ajustes, tokens API). | Mientras dure la cuenta. | Prestación del servicio. |
| Datos de cuenta cerrada. | 90 días post-cierre, luego anonimizados o eliminados. | Permitir reactivación, traza de auditoría. |
| Datos de pedidos + facturas (suyos y del cliente final). | 7 años desde emisión de factura. | Reguladores fiscales y financieros en LATAM y MENA. |
| Liquidaciones y pagos. | 10 años. | Mantenimiento de registros antilavado. |
| Audit logs (login, eventos de seguridad). | 7 años. | Respuesta a incidentes + forense. |
| Timestamp de consentimiento WhatsApp + registros de baja. | Mientras dure el número en archivo, más 5 años post-eliminación. | Prueba de cumplimiento con WhatsApp Business Policy. |
| Crash reports Sentry. | 90 días. | Solo troubleshooting de ingeniería. |
| Logs de aplicación (web, cola). | 90 días hot, archivado 12 meses. | Operaciones + respuesta a incidentes. |
| Listas de baja de marketing email / WhatsApp. | Indefinido. | Para no volver a contactarle tras la baja. |
11. Sus derechos#
Tiene derechos sobre sus Datos Personales. La lista exacta varía por jurisdicción — honramos la lista más generosa aplicable.
GDPR / UK GDPR
- Acceso — solicitar copia de los Datos Personales que tenemos.
- Rectificación — corregir datos inexactos o incompletos.
- Supresión ("derecho al olvido") — eliminar datos donde aplique la base legal.
- Limitación — limitar el tratamiento mientras se resuelve una disputa.
- Portabilidad — recibir datos en formato legible por máquina y transmitir a otro responsable.
- Oposición — al tratamiento basado en interés legítimo, incluyendo profiling para marketing.
- Retirar el consentimiento — en cualquier momento, para tratamientos basados en consentimiento (marketing WhatsApp, Pixel).
- Presentar reclamación ante su autoridad de control. Para usuarios EEE / Reino Unido, listamos la DPC irlandesa como nuestra autoridad principal.
LGPD (Brasil)
- Confirmación de existencia + acceso.
- Corrección + anonimización, bloqueo o eliminación de datos innecesarios / excesivos / no conformes.
- Portabilidad + información sobre compartición con entidades públicas o privadas.
- Retirar consentimiento y solicitar revisión de decisiones automatizadas.
- Presentar reclamación ante la ANPD (Autoridade Nacional de Proteção de Dados).
CCPA / CPRA (California)
- Derecho a Saber — categorías y piezas específicas de Personal Information recopilada.
- Derecho a Eliminar.
- Derecho a Corregir.
- Derecho a Opt Out de Venta / Compartición para publicidad conductual cross-context — honrado vía banner de cookies + GPC.
- Derecho a Limitar el Uso de Sensitive Personal Information — no usamos SPI más allá de prestar el servicio solicitado.
- Derecho a No Discriminación — sin degradación del servicio por ejercer un derecho.
PDPL KSA + PDPL EAU
- Derecho a ser informado, acceso, corrección, eliminación, restricción, oposición y retirar consentimiento.
- En KSA — queja directa ante SDAIA.
- En EAU — queja directa ante la UAE Data Office.
Cómo ejercer un derecho
- Escriba a privacy@fufills.com desde el correo electrónico registrado en su cuenta. Verificamos identidad (para no entregar sus datos a un suplantador) pidiendo confirmar el teléfono o enviando un correo de verificación a la dirección registrada.
- Tiempo de respuesta estándar: 30 días (15 días bajo LGPD para la respuesta inicial). Podemos extender 60 días para solicitudes complejas y le explicaremos por qué.
- Las solicitudes son gratuitas, excepto repetidas donde podemos cobrar un cargo administrativo razonable según ley local.
12. Seguridad#
Tratamos la seguridad como una característica del producto, no un check box. La lista de abajo es lo que hacemos hoy; la postura real se aplica y audita internamente.
En tránsito + en reposo
- TLS 1.2+ en cada endpoint público. HSTS + preload. Cloudflare al frente para DDoS + WAF.
- Cifrado a nivel de columna para tokens API del sistema origen — la clave de cifrado vive fuera de la base de datos.
- Contraseñas almacenadas como bcrypt (factor de coste ≥ 12) — no podemos recuperar una contraseña en texto plano.
- Secretos TOTP de 2FA cifrados en reposo. Códigos de recuperación hasheados.
Control de acceso
- Las cuentas admin requieren 2FA. Roles + permisos enforcement del lado servidor (Spatie/laravel-permission).
- El acceso a base de datos de producción se limita a ingenieros on-call nombrados con credenciales de corta duración.
- Todas las acciones admin van al audit log con actor, timestamp, IP, user-agent y target.
Prevención de abuso
- Cloudflare Turnstile en registro, login, restablecimiento de contraseña y edición de correo.
- Bloqueo de cuenta y rate limits en cada endpoint de autenticación.
- Honeypot + tiempo de relleno en formularios públicos.
- CSP (enforcing), SRI, X-Frame-Options DENY, Referrer-Policy strict-origin-when-cross-origin.
- Audit diario de composer + npm. Los CVEs materiales se parchean dentro del SLA de nuestra política de seguridad.
Respuesta a incidentes
- Notificamos a comerciantes afectados dentro de 72 horas de una violación de datos personales confirmada que les impacte, con la información requerida por GDPR Art. 33-34 / LGPD Art. 48 / PDPL KSA Art. 20.
- Notificamos a la autoridad de control correspondiente donde se alcance el umbral.
- Post-incidente, publicamos análisis de causa raíz a los clientes afectados.
13. IA + decisiones automatizadas#
Fufills usa IA en dos formas que tocan Datos Personales: (a) la confirmación asistida por IA del call center sobre pedidos del cliente final, y (b) el agente de IA conversacional que mensajea a comerciantes recién onboarded en WhatsApp.
Ninguno de los flujos toma decisiones legalmente significativas sin un humano en el loop. La IA sugiere el guión óptimo de confirmación y el momento óptimo de contacto; el Account Manager asignado al comerciante (humano) toma las decisiones comerciales finales sobre su cuenta.
Puede solicitar revisión humana de cualquier decisión automatizada que le afecte bajo GDPR Art. 22 / LGPD Art. 20. Escriba a privacy@fufills.com.
No usamos datos personales del cliente final para entrenar modelos de IA que se vendan fuera del servicio de Fufills. Métricas agregadas y anonimizadas pueden usarse para mejora interna de modelos.
14. Menores#
Fufills es una plataforma B2B construida para comerciantes y operadores mayores de 18 años. No recopilamos conscientemente Datos Personales de menores de 18.
Si cree que un menor se registró o que procesamos datos de un menor, escriba a privacy@fufills.com y eliminaremos la cuenta.
15. Cambios a esta política#
Cuando cambiemos esta política de forma que afecte materialmente sus derechos o nuestras prácticas, le notificaremos por correo + banner in-app con al menos 30 días de anticipación.
Cambios no materiales (correcciones de erratas, aclaraciones, actualizaciones de la lista de sub-encargados dentro de la misma categoría) entran en vigor al publicarse. La fecha de "Última actualización" arriba refleja la última revisión.
El historial de revisiones materiales está disponible a petición desde privacy@fufills.com.
16. Contacto#
Data Protection Officer + Contacto de privacidad: privacy@fufills.com
Soporte general: hello@fufills.com
WhatsApp (soporte): +44 7418 310214
Para usuarios EEE / Reino Unido, nuestra autoridad de control principal es la Irish Data Protection Commission. Puede reclamar también ante su autoridad local.
Para usuarios LGPD, puede reclamar ante la ANPD en https://www.gov.br/anpd/.
Para residentes de California, agente designado para solicitudes de privacidad: privacy@fufills.com.
