Cómo tratamos tus datos.

1. Quién es el responsable

Clavero es operado por AGSint SpA, con domicilio en Chile. Para cualquier asunto relacionado con tus datos, escríbenos a legal@clavero.cl.

2. Qué datos recogemos

Como cerrajero certificado nos das estos datos durante el alta y la solicitud de Certificate:

• Identidad: nombre completo, correo, contraseña (cifrada).
• Contacto profesional: teléfono, dirección, ciudad, zonas de servicio, nombre comercial.
• Foto de perfil (subida por ti).
• Diplomas y documentos de compliance (antecedentes, identificación tributaria, seguro de responsabilidad civil).
• Metadatos del consentimiento: fecha, dirección IP y navegador con que aceptaste el código ético y los consentimientos de privacidad.

Como visitante del directorio público no necesitas cuenta. Solo recogemos datos técnicos básicos del navegador (no identifican a la persona) y los registros de errores que envía Sentry — con identificadores personales redactados antes de enviar.

3. Para qué los usamos

• Emitir y mantener tu Certificate. Validar tus diplomas, comprobar tu identidad y demostrar la vigencia ante terceros.
• Publicar tu ficha en el directorio. El nombre, foto, teléfono, dirección, ciudades y skills aparecen de forma pública en clavero.cl/directorio mientras tu Certificate esté vigente. Es el corazón del producto y requiere tu consentimiento explícito (lo aceptas al solicitar el Certificate).
• Verificar tu credencial a quien escanee el QR público o consulte /verify/[código]. Esta verificación devuelve solo el estado (vigente/expirado/revocado) y los skills acreditados, no expone datos sensibles.
• Compartir con terceros legítimos (aseguradoras, organismos públicos, plataformas) bajo solicitud documentada y solo si diste tu consentimiento opcional. Puedes activarlo o revocarlo desde /profile sin afectar al directorio público.
• Procesar pagos de inscripción anual mediante Stripe. Clavero no almacena datos de tarjeta — los gestiona Stripe directamente.
• Comunicaciones operativas por correo: confirmación de email, recordatorios de renovación, notificaciones de avisos disciplinarios y resoluciones de reclamaciones.

4. Base legal

El tratamiento se basa en el consentimiento explícito que otorgas al registrarte y al aceptar los términos del wizard de Certificate. Ese consentimiento es granular: aceptas por separado el código ético, la publicación pública y la cesión a terceros. Cualquiera de los tres es revocable desde tu panel.

Cumplimos con la Ley 19.628 (Chile), Ley 25.326 (Argentina), Ley 1581 de 2012 (Colombia), Ley 29733 (Perú), LFPDPPP (México), Ley Orgánica de Protección de Datos Personales (Ecuador) y Ley 18.331 (Uruguay), según la región del cerrajero.

5. Con quién compartimos

Compartimos datos solo con los proveedores estrictamente necesarios para operar:

• Vercel — hosting de la aplicación (Estados Unidos / Europa según región).
• Supabase — base de datos (eu-west-1).
• Cloudflare R2 — almacenamiento de archivos (foto, diplomas, documentos compliance).
• Resend — envío de correos transaccionales.
• Stripe — procesamiento de pagos.
• Sentry — registro de errores en producción, con PII redactada antes del envío (ver lib/logger.ts en el código abierto).
• SES (Securitas et Salus) — verificación de los códigos de diplomas que aportas como prueba de formación.

No vendemos datos a terceros con fines publicitarios. Los datos del directorio público son visibles para cualquiera que acceda al sitio web, como cualquier directorio profesional.

6. Cuánto tiempo los conservamos

• Mientras tengas Certificate vigente o cuenta activa: todos los datos.
• Tras revocar el Certificate o eliminar tu cuenta: conservamos solo lo mínimo legal (factura del pago, registro de revocaciones por motivos éticos) durante el plazo que exija la normativa fiscal y disciplinaria local. El resto se elimina.
• Verificaciones públicas históricas: el código del Certificate y su estado siguen siendo verificables incluso tras expiración o revocación, para que quien lo recibió en el pasado pueda comprobar su autenticidad. No incluimos datos personales en esta consulta.

7. Tus derechos

Tienes derecho a:

• Acceder a los datos que Clavero tiene sobre ti.
• Rectificar los datos incorrectos desde /profile.
• Revocar consentimientos (publicación pública, cesión a terceros) desde /profile en cualquier momento.
• Eliminar tu cuenta escribiéndonos. Conservaremos únicamente lo mínimo legal.
• Portabilidad: solicitar una copia de tus datos en formato estructurado.

Para ejercer cualquiera de estos derechos, escríbenos a legal@clavero.cl. Respondemos en un plazo máximo de 30 días.

8. Cookies

Clavero usa solo cookies estrictamente necesarias para operar. No usamos cookies de seguimiento, publicidad ni analítica de terceros. Por eso el aviso de cookies es informativo, no un banner de consentimiento — bajo GDPR y leyes equivalentes en LATAM, las cookies necesarias no requieren consentimiento previo, pero sí transparencia.

Las cookies que usamos son:

• next-auth.session-token (httpOnly, secure, sameSite=lax) — mantiene tu sesión iniciada. Caduca al cerrar sesión o tras inactividad. Sin ella no podrías acceder a tu panel.
• next-auth.csrf-token — token CSRF de NextAuth, protege contra ataques de falsificación de petición en el formulario de login.
• theme — recuerda tu preferencia entre tema claro y oscuro. Si no la guardáramos, tendrías que volver a elegir en cada visita.

Adicionalmente almacenamos en localStorage del navegador (no es cookie técnica, no se envía al servidor):

• clavero.cookiesNoticeDismissedAt — recuerda que ya viste el aviso de cookies para no volver a mostrártelo.

Si en el futuro añadimos cookies de analítica o publicidad, te presentaremos un banner de consentimiento granular antes de activarlas.

9. Seguridad

Las contraseñas se almacenan cifradas con bcrypt. Las conexiones usan HTTPS con HSTS activo. Los archivos de diplomas se sirven con URLs firmadas y caducidad corta. Los datos sensibles en logs se redactan antes de salir del servidor. Puedes auditar la implementación: el código de Clavero es abierto.

10. Cambios a esta política

Si modificamos esta política te avisaremos por correo a la dirección con la que estás registrado, con un plazo razonable de antelación (típicamente 15 días) antes de que el cambio sea efectivo. Puedes consultar el historial completo en el repositorio público.