Política de Privacidad

1. Responsable y alcance

Esta política describe cómo Pagatu o Pagatu Pro, como titular operativo del servicio, trata datos personales en sus dominios oficiales pagatu.io y app.pagatu.io, incluyendo la aplicación web, páginas públicas de reserva y cobro, cotizaciones, agenda, pagos registrados manualmente, recibos y comunicaciones operativas.

País principal de operación: Perú. Contacto de privacidad y soporte: hola@pagatu.io.

2. Datos que tratamos

Según las funciones que uses, Pagatu puede tratar datos de cuenta como nombre, correo, teléfono, foto de perfil si se entrega por autenticación, preferencias y datos del negocio. También puede almacenar datos ingresados por el usuario sobre clientes, cotizaciones, citas, métodos de cobro, pagos registrados manualmente, recibos, logos, firmas e información necesaria para configurar el kit de marca.

También se tratan datos técnicos necesarios para operar el servicio: identificadores de sesión, cookies esenciales de autenticación, direcciones IP, navegador, dispositivo, registros de seguridad y eventos necesarios para prevenir abuso, depurar errores y mantener la disponibilidad.

Pagatu usa estos datos para prestar el servicio, autenticar usuarios, administrar cotizaciones, organizar citas, sincronizar eventos autorizados, enviar comunicaciones operativas, registrar pagos, prevenir fraude o abuso, brindar soporte y cumplir obligaciones aplicables.

3. Datos de Google y Google Calendar

Conectar Google Calendar es voluntario. La conexión se inicia desde Agenda > Integraciones y requiere que el usuario acepte los permisos en la pantalla de consentimiento de Google.

La implementación actual solicita el correo de la cuenta de Google conectada y el permiso de Google Calendar necesario para crear, actualizar y cancelar eventos relacionados con citas gestionadas dentro de Pagatu. Pagatu usa el calendario principal de la cuenta conectada, identificado como primary.

Cuando la integración queda autorizada, Pagatu puede guardar el correo de Google conectado, el identificador del calendario usado, tokens de acceso y actualización cifrados, fecha de expiración del token, permisos concedidos, estado de la integración, identificadores de eventos creados en Google Calendar, enlaces del evento y enlaces de Google Meet cuando se generan para una cita.

Los tokens de Google se guardan cifrados con cifrado autenticado AES-GCM usando una clave de servidor configurada como CALENDAR_TOKEN_ENCRYPTION_KEY. No se guardan client secrets ni tokens en el navegador.

Pagatu no descarga tu calendario completo para fines publicitarios, no vende datos de Google Calendar, no los usa para perfiles publicitarios y no comparte esos datos con terceros para publicidad. La información de Google se conserva mientras la integración esté activa o mientras sea necesaria para mantener registros operativos de citas gestionadas en Pagatu.

4. Uso limitado de información de Google

El uso y transferencia de información recibida desde las API de Google por parte de Pagatu se limita a prestar o mejorar funciones visibles para el usuario y cumplirá la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de Uso limitado.

Pagatu no vende datos de Google, no los transfiere a redes publicitarias, no los usa para publicidad personalizada y no los utiliza para determinar solvencia crediticia. El acceso humano a datos de Google queda limitado a casos justificados: solicitud expresa de soporte, investigación de seguridad, cumplimiento legal u operaciones internas autorizadas y necesarias para prestar el servicio.

5. Seguridad y conservación

Pagatu usa HTTPS, autenticación con Clerk, control de acceso por usuario, Convex como base de datos, Cloudflare Workers para ejecutar la aplicación, secretos fuera del código cliente y cifrado de tokens de Google en reposo. Las funciones de Convex filtran la información por identidad autenticada para evitar que un usuario acceda a datos de otro.

Los datos se conservan mientras la cuenta o integración estén activas, mientras sean necesarios para prestar el servicio o durante el tiempo razonable requerido para seguridad, soporte, auditoría u obligaciones aplicables. Cuando desconectas Google Calendar, Pagatu intenta revocar el token ante Google y elimina o inutiliza los tokens almacenados.

6. Proveedores y transferencias

Pagatu usa proveedores técnicos para operar el servicio: Clerk para autenticación, Convex para base de datos y funciones backend, Cloudflare para infraestructura, R2, Workers y las métricas del sitio web descritas más abajo, Google para la integración voluntaria de Calendar y servicios de correo transaccional configurados en el proyecto.

Estos proveedores pueden procesar información fuera del país de residencia del usuario. Pagatu aplica controles contractuales y técnicos disponibles según el proveedor y la finalidad del tratamiento.

7. Métricas del sitio web

El sitio público de Pagatu (pagatu.io) usa Cloudflare Web Analytics para conocer cómo se navega y qué tal rinden las páginas. Recoge de forma agregada la página visitada, la página de origen desde la que se llegó, el país aproximado, el tipo de dispositivo y navegador, y los tiempos de carga.

Esta medición no utiliza cookies ni guarda información en el navegador. No crea perfiles, no identifica a personas concretas, no sigue la navegación por otros sitios y no se usa con fines publicitarios. Los datos tampoco se cruzan con la cuenta de quien tenga una en Pagatu.

Dentro de la aplicación (app.pagatu.io) sí existen cookies necesarias para mantener la sesión iniciada, gestionadas por el proveedor de autenticación, y una preferencia de idioma guardada en el navegador. Ninguna de las dos sirve para publicidad ni para seguimiento entre sitios.

8. Derechos, revocación y eliminación

Puedes solicitar acceso, corrección, eliminación, oposición, portabilidad cuando corresponda y revocación de consentimientos escribiendo a hola@pagatu.io. Pagatu evaluará la solicitud y responderá por el mismo canal.

Puedes desconectar Google Calendar desde Agenda > Integraciones. También puedes revocar el acceso desde tu Cuenta de Google en la sección de aplicaciones conectadas. La eliminación autoservicio total de cuenta aún debe confirmarse por el propietario; mientras tanto, las solicitudes deben enviarse por correo al contacto indicado.

Pagatu no está dirigido a menores de edad. Si detectamos una cuenta usada por una persona que no cumple la edad mínima aplicable, podremos restringir o eliminar el acceso conforme al caso.

Si actualizamos esta política por cambios relevantes en el servicio o en el uso de datos de Google, publicaremos la nueva versión en esta página y, cuando corresponda, notificaremos dentro de la aplicación o por correo.