Política de Privacidad

1. Quiénes somos

Kulto es una plataforma de software como servicio (SaaS) que permite a negocios crear y operar programas de fidelización digital. La hace Bonsai, un equipo con sede en Ecuador. Los negocios suscritos (que llamamos "negocios") emiten tarjetas digitales de sellos, puntos, prepago o de regalo a sus propios clientes (que llamamos "clientes finales") a través de Apple Wallet y Google Wallet.

En esta política, las palabras "Kulto", "nosotros" y "nuestro" se refieren al servicio Kulto, accesible en kultoapp.com.

2. Alcance de esta política y roles

Esta política se aplica a:

• El sitio web público kultoapp.com.
• La aplicación web de Kulto que usan los negocios y su personal autorizado (panel y escáner).
• Las páginas públicas en las que los clientes finales obtienen, activan o consultan su tarjeta.
• Los pases emitidos en Apple Wallet y Google Wallet.
• La API pública y las conexiones con el sistema de facturación del negocio.
• Los correos que Kulto envía y las herramientas internas con las que atiende a los negocios y a los vendedores autorizados.

3. Datos que recolectamos

3.1 Datos de los negocios y su personal

• Datos de cuenta: nombre del negocio, nombre y apellido del usuario, correo electrónico, contraseña (almacenada con hash, nunca en claro), teléfono, país, dirección y ciudad, moneda de facturación, zona horaria e idioma. Mientras el registro no se confirma con el código enviado por correo, estos datos quedan en un registro provisional que deja de ser válido a las pocas horas y se elimina en la limpieza diaria.
• Datos del personal: nombre, correo, rol, sucursal asignada, estado de la invitación y fechas de último acceso de cada usuario que el negocio invita a su panel.
• Datos de facturación: plan y período contratados, historial de pagos y solicitudes de pago; la imagen del comprobante de transferencia que el negocio sube; los identificadores del acuerdo de cobro en PayPal o Stripe y las notificaciones que esos procesadores nos envían sobre cada cobro (que pueden incluir el correo de la cuenta pagadora); y, en pagos con USDT, la red, el monto, el identificador de la transacción y la dirección de origen. Nunca recibimos ni guardamos números de tarjeta.
• Datos operativos: programas y su configuración, diseños e imágenes de las tarjetas, sucursales (dirección y coordenadas), textos de las notificaciones y campañas, claves de la API (guardadas como hash), integraciones con el sistema de facturación (credenciales cifradas, punto de avance y bitácora de cada sincronización) y el avance de la configuración inicial de la cuenta.
• Datos técnicos y de uso: dirección IP, tipo de navegador y sistema operativo, registros de acceso, y un registro de auditoría de las acciones críticas (inicios de sesión, acreditaciones y canjes, anulaciones, cambios de plan, gestión de personal y de claves) con la IP y el navegador de quien las hizo.
• Comunicaciones y seguimiento: los correos que te enviamos y tus respuestas, y las notas que nuestro equipo registra al atenderte (llamadas, mensajes, reuniones, estado de la cuenta, resultado de la revisión de un comprobante).

3.2 Datos de los clientes finales

Kulto no exige que el cliente final cree una cuenta ni tenga contraseña. Los datos que se recogen son los que el negocio decide pedir al configurar su programa y los que genera el uso de la tarjeta:

• Identificadores del pase: identificador único y número de serie asignados por Kulto, los identificadores de Apple Wallet o Google Wallet y los registros de los dispositivos en los que la tarjeta está guardada, necesarios para actualizarla.
• Datos de inscripción: nombres y apellidos, y los campos personalizados que el programa pida (texto, número, placa de vehículo, fecha —incluida la fecha de cumpleaños—, opción de una lista, correo electrónico o teléfono). Uno de esos campos puede ser la clave con la que el sistema de facturación del negocio identifica al cliente (cédula o RUC, teléfono, placa, correo). También se guarda la fecha y hora en que el cliente aceptó los términos del programa del negocio, el navegador desde el que se inscribió y, si llegó por una invitación, el código de referido de quien lo invitó.
• Actividad del programa: sellos, puntos y saldos acumulados y gastados, recompensas canjeadas, bonos recibidos, fecha y sucursal de cada movimiento y, cuando el negocio los registra o los envía su sistema de facturación, el monto de la compra y el número de factura. En programas con caducidad del saldo, la fecha de vencimiento de cada tanda de puntos o sellos.
• Tarjetas de regalo: nombre del destinatario, nombre de quien la regala y su mensaje, saldo y movimientos, y las entregas del enlace.
• Correo electrónico para el envío de la tarjeta: cuando el negocio envía la tarjeta por correo desde el panel o el mostrador, o cuando el comprador de una tarjeta de regalo la envía a su destinatario, usamos esa dirección solo para ese envío. No la guardamos en la base de datos; queda únicamente en registros técnicos por tiempo limitado.
• Datos derivados para el negocio: a partir de la actividad calculamos indicadores que el negocio consulta en su panel: segmentos por recencia, frecuencia y monto, ciclo de visita, riesgo de abandono y ranking de clientes. También se guardan las anotaciones que el propio negocio registra sobre una tarjeta (por ejemplo, el motivo de una cuarentena).

Lo que no recogemos del cliente final: su ubicación (ver sección 5), datos de pago ni información financiera. El dinero de un programa prepago o de una tarjeta de regalo lo cobra el negocio por sus propios medios; Kulto solo registra el saldo.

3.3 Datos de vendedores autorizados y prospectos

• Vendedores autorizados: nombre, correo, contraseña (hash), condiciones de comisión y las notas de pago acordadas, además de las comisiones devengadas por los negocios que refirieron.
• Prospectos: los vendedores registran en el CRM de Kulto los negocios con los que están en contacto: nombre del negocio, persona de contacto, correo, teléfono, ciudad, rubro, origen del contacto, estado del seguimiento y notas de sus conversaciones.
• Negocios referidos: si un negocio se registra a través del enlace de un vendedor, queda asociado a ese vendedor. El vendedor ve el nombre del negocio, su plan, el estado de su suscripción, la fecha de fin del período, la fecha de alta y el monto cobrado sobre el que se calcula su comisión. No ve a los clientes finales ni la operación del negocio. El precio del plan es el mismo para negocios referidos y no referidos.

3.4 Visitantes del sitio público

En las páginas informativas de kultoapp.com y en el formulario de registro recogemos datos técnicos (dirección IP, navegador, páginas visitadas) en nuestros registros de acceso y, mediante el píxel de Meta, los eventos descritos en la sección 12.

4. Cómo usamos los datos

Usamos los datos recolectados para los siguientes fines:

• Operar la plataforma y prestar el servicio contratado por el negocio.
• Emitir, actualizar, cerrar y, cuando corresponda, anular pases en Apple Wallet y Google Wallet.
• Enviar a las tarjetas las notificaciones que el negocio decide (mensajes a todos sus clientes, a un programa o a un público) y las que configura para que se envíen solas (saludo de cumpleaños, aviso de saldo por vencer), y acreditar los bonos automáticos que el negocio activa (bienvenida, referido, cumpleaños).
• Acreditar sellos, puntos y saldos a partir del escáner, de la API pública o de las ventas que registra el sistema de facturación del negocio.
• Calcular, para el negocio, las métricas, los reportes y los indicadores de la ventana Clientes, y preparar el reporte diario por correo que, en los planes que lo tienen, incluye sugerencias de clientes a recuperar.
• Procesar los pagos de la suscripción, revisar comprobantes de transferencia y verificar en la cadena de bloques los pagos en USDT.
• Enviar correos de cuenta y de servicio al negocio (código de registro, invitaciones, recuperación de contraseña, estado de los pagos, recordatorios de renovación, gracia y suspensión, reporte diario, alertas de sus integraciones) y correos de acompañamiento durante la activación de la cuenta (ver sección 7).
• Atender al negocio: resolver consultas y revisar incidencias, lo que puede incluir que nuestro equipo acceda a su cuenta en modo de solo lectura (ver sección 11).
• Prevenir fraude y abuso, aplicar límites de peticiones y proteger la seguridad de la plataforma.
• Atribuir a los vendedores autorizados los negocios que refirieron y calcular sus comisiones.
• Cumplir con obligaciones legales y contables.
• Generar estadísticas agregadas y anónimas sobre el uso del servicio.

Kulto no escribe a los clientes finales por iniciativa propia. El único correo que un cliente final recibe de Kulto es el que lleva su tarjeta o su tarjeta de regalo, y lo origina el negocio que la emite o la persona que la regala. No enviamos SMS ni mensajes de WhatsApp a los clientes finales.

5. Integración con Apple Wallet y Google Wallet

Kulto utiliza las APIs oficiales de Apple PassKit y Google Wallet para emitir tarjetas de fidelización en los dispositivos de los clientes finales. Para este propósito:

• El pase contiene el nombre del negocio, el nombre del programa, el saldo, el código QR rotativo, el diseño configurado por el negocio y, si el negocio así lo configuró, el nombre del cliente y hasta cuatro campos personalizados. En el reverso lleva el detalle de la actividad, los términos y enlaces del programa, un enlace de invitación con el código de referido del cliente, el número de serie y los datos de contacto del negocio.
• En Apple Wallet, el archivo del pase lo genera Kulto y el teléfono lo descarga de Kulto. Cuando hay un cambio, Apple recibe únicamente una notificación sin contenido para que el teléfono vuelva a descargarlo. Si el cliente quita la tarjeta de su Wallet, el teléfono nos lo avisa y borramos el registro de ese dispositivo.
• En Google Wallet, el pase se registra en los servidores de Google en el momento de la emisión, para que el botón "Agregar a Google Wallet" funcione, y cada actualización se envía a Google.
• No transmitimos a Apple ni a Google contraseñas, datos de pago, correos ni teléfonos de los clientes finales, salvo que el negocio haya configurado un campo de ese tipo para mostrarse en la tarjeta.
• Aviso por cercanía: en los planes que lo incluyen, el pase lleva las coordenadas de hasta diez sucursales del negocio. Es el propio teléfono el que detecta la cercanía y muestra la tarjeta; Kulto no recibe la ubicación del cliente en ningún momento. En Google Wallet esta función depende además de que el cliente la tenga activada en su dispositivo.
• El uso de los pases dentro de Apple Wallet y Google Wallet está adicionalmente sujeto a las políticas de privacidad de Apple y Google.

6. Conexión con el sistema de facturación del negocio

Un negocio puede conectar su sistema de facturación o punto de venta para que las ventas acrediten automáticamente en la tarjeta de sus clientes. Hay dos modos:

• El sistema del negocio envía la venta a Kulto a través de la API pública: recibimos el programa, el número y el monto de la factura y el identificador con el que el negocio reconoce al cliente (por ejemplo, su cédula o teléfono), y lo cruzamos con la clave externa de su tarjeta.
• Kulto consulta el sistema del negocio con las credenciales que el negocio nos entrega. En cada consulta leemos únicamente las ventas nuevas (número, fecha, estado y monto de la factura) y los datos del cliente necesarios para encontrar su tarjeta (su identificador y, según el sistema, su nombre o su teléfono). En algunos sistemas, para reconocer a los clientes, guardamos temporalmente una copia del directorio de clientes reducida a código y teléfono (y correo, solo si el negocio vende tarjetas de regalo por esa vía), que se renueva cada día.

Las credenciales se guardan cifradas con una clave propia, nunca se muestran de vuelta en la API ni en el panel, y Kulto solo las usa para leer: no modifica datos en el sistema del negocio. Las conexiones salen únicamente hacia direcciones públicas y por canales cifrados.

7. Comunicaciones por correo

Kulto envía a los negocios tres clases de correos, todos a través de Amazon SES:

• De cuenta y de servicio: código de registro, invitaciones, recuperación de contraseña, estado de los pagos y comprobantes, recordatorios de renovación, inicio del período de gracia, suspensión, inicio de la prueba y alertas de las integraciones. Son necesarios para operar la cuenta y se envían mientras la cuenta exista.
• Operativos: el reporte diario del programa, disponible en los planes con analítica avanzada. El negocio puede desactivarlo o cambiar su horario desde Configuración.
• De acompañamiento: durante la activación, la prueba y los períodos de gracia, nuestro equipo puede escribirte para ayudarte a arrancar o a regularizar tu cuenta, de forma manual o mediante secuencias automáticas con una espera mínima entre correos. Puedes pedir que dejemos de enviarlos respondiendo cualquiera de ellos con "no contactar" o escribiendo a [email protected]; los correos de cuenta y de servicio se siguen enviando.

Conservamos una copia de los correos que te enviamos para poder atender tus consultas. Si una dirección rebota, podemos dejar de escribirle hasta que el negocio la corrija.

8. Proveedores de servicios y transferencias internacionales

Para operar el servicio compartimos los datos estrictamente necesarios con proveedores que actúan por cuenta de Kulto o como procesadores independientes de pagos:

• Amazon Web Services, Inc. — alojamiento de la plataforma, la base de datos y los archivos (servidores en Estados Unidos) y envío de correos mediante Amazon SES.
• Cloudflare, Inc. — red de entrega y protección del tráfico hacia kultoapp.com; procesa las direcciones IP y las peticiones de quienes usan el sitio y la aplicación.
• Apple Inc. — emisión y actualización de pases en Apple Wallet.
• Google LLC — emisión y actualización de pases en Google Wallet; Google Maps Platform para autocompletar la dirección en el registro y ubicar sucursales en el panel (la biblioteca de mapas se carga en toda la aplicación web, incluidas las páginas públicas de inscripción, lo que supone una petición técnica a Google desde el navegador); y Google Fonts para las tipografías del sitio y la aplicación.
• PayPal y Stripe — procesamiento de los pagos con tarjeta de los negocios que eligen esa vía. Recogen los datos de pago en sus propias páginas y bajo sus propias políticas; Kulto les envía el plan, el precio y una referencia interna, no datos personales del pagador.
• TronGrid y Etherscan — consulta de las cadenas de bloques para verificar los pagos en USDT; reciben únicamente la dirección receptora de Kulto y los identificadores de transacción.
• Meta Platforms, Inc. — medición de nuestra publicidad, únicamente en el sitio público, el formulario de registro y, hasta la primera tarjeta, la pantalla de inicio del panel (ver sección 12).

Estos proveedores están establecidos en Estados Unidos y otros países, por lo que los datos pueden tratarse fuera del país del negocio o del cliente final. No vendemos datos personales a terceros. Los datos del servicio —tu cuenta, tus programas y los clientes finales de tu negocio— nunca se usan con fines publicitarios ni salen hacia plataformas de anuncios.

9. Retención de datos

• Los datos de la cuenta del negocio se conservan mientras la cuenta esté activa o suspendida y por un período razonable posterior al cierre, para fines legales, contables y de seguridad. El historial de movimientos y el registro de auditoría se escriben una sola vez y no se editan, porque son el respaldo de los saldos y de los cobros.
• Un registro de cuenta que no se confirma con el código deja de ser válido a las 12 horas como máximo y se elimina en la limpieza diaria. Los tokens de sesión vencidos o revocados se eliminan a diario.
• Los datos de los clientes finales se conservan mientras el programa del negocio esté vigente o hasta que el negocio o el cliente final soliciten su eliminación. Un pase anulado o vencido conserva sus datos como parte del historial del programa hasta esa solicitud. Si el negocio elimina un campo personalizado de su programa, los valores que los clientes habían ingresado en ese campo se borran de todas las tarjetas.
• Los comprobantes de pago y las notificaciones de los procesadores se conservan junto con el historial de facturación.
• Las copias temporales del directorio de clientes de un sistema de facturación conectado se renuevan cada 24 horas. Las respuestas de la API pública se guardan hasta 24 horas para evitar acreditaciones duplicadas.
• Los registros técnicos de la aplicación y de acceso al servidor se conservan por un período limitado, del orden de dos semanas, suficiente para detectar y responder a incidentes de seguridad.
• Respaldamos la plataforma en la infraestructura de Amazon Web Services para poder recuperarla ante una falla. Un dato eliminado puede seguir en esas copias hasta que se renuevan según su ciclo de retención, y no se usa para ningún otro fin.

10. Tus derechos

Sin importar tu ubicación, te ofrecemos los siguientes derechos sobre tus datos personales:

• Acceso: solicitar una copia de los datos que tenemos sobre ti.
• Rectificación: corregir datos inexactos o incompletos.
• Eliminación: solicitar el borrado de tus datos.
• Oposición y limitación: oponerte a ciertos tratamientos o solicitar que se limiten.
• Portabilidad: recibir tus datos en un formato estructurado y legible.
• Retiro de consentimiento: cuando el tratamiento se base en tu consentimiento.

En Ecuador, estos derechos están reconocidos por la Ley Orgánica de Protección de Datos Personales; en México, corresponden a los derechos ARCO (acceso, rectificación, cancelación y oposición) de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Para ejercerlos escríbenos a [email protected], desde el correo asociado a tu cuenta si eres un negocio.

Si eres un cliente final, el responsable de tus datos es el negocio que emitió tu tarjeta, y te recomendamos contactarlo primero; cuando el negocio los configura, su correo y teléfono de contacto aparecen en el reverso de la tarjeta. Puedes quitar la tarjeta de tu Wallet en cualquier momento: eso detiene las notificaciones y las actualizaciones, pero no borra tus datos del programa del negocio, para lo cual debes pedir la eliminación al negocio o a Kulto. Si no obtienes respuesta del negocio, podemos atender tu solicitud directamente.

Si eres un negocio, puedes exportar los datos de tus programas desde el panel en los planes que lo incluyen, o solicitárnoslos. También puedes pedirnos el cierre de tu cuenta y la eliminación de sus datos, incluidos los de tus clientes finales, sin perjuicio de lo que debamos conservar por obligación legal o contable.

11. Seguridad

Aplicamos medidas técnicas y organizativas razonables para proteger los datos, entre ellas:

• Cifrado en tránsito mediante HTTPS/TLS en el sitio, la aplicación, la API y las conexiones con los sistemas de facturación.
• Contraseñas almacenadas con funciones de hash robustas; códigos de verificación y claves de la API guardados solo como hash.
• Autenticación basada en tokens de corta duración que se renuevan y rotan, y purga diaria de los tokens vencidos.
• Aislamiento por negocio: cada negocio accede únicamente a sus propios datos, y el personal con rol de cajero solo a los de su sucursal.
• Credenciales de los sistemas de facturación cifradas con una clave propia, independiente de las demás.
• Registro de auditoría inmutable sobre las acciones críticas (acreditaciones, canjes, anulaciones, cambios de plan, gestión de personal y de claves, inicios de sesión, accesos de soporte) y registro de cada petición a la API pública.
• Códigos QR dinámicos que rotan para impedir su reutilización, y límites de peticiones por dirección IP y por clave de la API.
• Monitoreo continuo de la salud de la plataforma y de sus registros, con alertas a nuestro equipo.
• Acceso de soporte acotado: nuestro equipo puede abrir la cuenta de un negocio para atenderlo, siempre en modo de solo lectura, por un máximo de 15 minutos por acceso y con cada acceso registrado en la auditoría.

Ningún sistema es 100% inviolable, pero trabajamos continuamente para mejorar nuestras defensas. Si detectamos un incidente que afecte tus datos, te lo comunicaremos conforme a la ley aplicable.

12. Cookies, almacenamiento local y tecnologías similares

Kulto usa estas tecnologías únicamente para los siguientes fines:

• Sesión de la aplicación: la aplicación web guarda tus tokens de sesión y tus preferencias de uso (por ejemplo, el estado de la barra lateral o los ajustes del escáner) en el almacenamiento local de tu navegador, no en cookies. Se borran al cerrar sesión o al limpiar los datos del navegador.
• Cookie del kit de ventas: los vendedores autorizados que abren el material de ventas reciben una cookie técnica, limitada a esa sección y con vigencia máxima de 12 horas, que acredita su acceso.
• Medición publicitaria (píxel de Meta): usamos el píxel de Meta (Facebook) para saber qué anuncios traen visitantes a nuestro sitio y cuáles terminan en un registro, y para volver a mostrar anuncios a quien nos visitó. Registra la visita a la página, la dirección IP y el navegador, el clic en nuestro botón de WhatsApp, la creación de una cuenta si la hubo y, ya dentro del panel, el momento en que el negocio emite su primera tarjeta.

El píxel se carga en el sitio público —las páginas informativas, estas páginas legales y el formulario de registro— y, dentro del panel, solo en la pantalla de inicio y mientras el negocio no ha emitido ninguna tarjeta: ahí registra la visita a esa pantalla y que la primera tarjeta existe, sin datos de la tarjeta ni de quien la recibió. No se carga en el resto del panel ni en las páginas donde tus clientes obtienen o consultan su tarjeta. No enviamos a Meta datos de tu cuenta ni de los clientes finales de tu negocio. Si ya eres cliente y visitas las páginas públicas, esa visita queda medida como la de cualquier otro visitante.

Puedes desactivarlo desde las preferencias de anuncios de tu cuenta de Facebook o Instagram, con la configuración de cookies de tu navegador o con cualquier extensión de bloqueo de rastreadores. Hacerlo no afecta en nada el funcionamiento de Kulto. Las tipografías del sitio y de la aplicación se cargan desde Google Fonts, y la biblioteca de mapas desde Google Maps Platform, lo que supone una petición técnica a Google desde tu navegador (ver sección 8).

13. Menores de edad

Kulto no está dirigido a menores de 13 años. No recolectamos conscientemente datos de menores de esta edad. Si consideras que un menor nos ha proporcionado datos personales, escríbenos a [email protected] y los eliminaremos.

14. Cambios a esta política

Podemos actualizar esta política de privacidad de tiempo en tiempo para reflejar cambios en el servicio o en la normativa aplicable. Cuando los cambios sean significativos, notificaremos al negocio por correo electrónico o mediante un aviso en la plataforma. La fecha de última actualización aparece al inicio del documento.

15. Contacto

Si tienes preguntas, comentarios o quieres ejercer alguno de tus derechos, escríbenos a:

Correo: [email protected]
WhatsApp: +593 99 986 4024