Política de Privacidad

1. Objeto y alcance

ALACARTTA S.A.S. (“Alacartta”, “nosotros” o “la Compañía”) reconoce la importancia de la privacidad y del derecho de todas las personas a conocer, actualizar, rectificar y controlar la información que se trate sobre ellas.

Esta Política explica cómo Alacartta recolecta, registra, organiza, almacena, consulta, utiliza, transmite, analiza, actualiza, anonimiza, elimina y, en general, trata datos personales, tanto mediante operaciones manuales como automatizadas, en relación con las actividades cubiertas por esta versión.

El alcance incluye el sitio web alacartta.com; sus contenidos editoriales; la iniciativa Crecer; comunicaciones y relaciones con personas interesadas, leads, contactos comerciales, participantes de investigación o feedback; los canales habilitados en WhatsApp, Instagram, Facebook y correo electrónico; y, cuando Authentication V1 entre en vigor públicamente, la creación y uso de cuentas de Alacartta, autenticación mediante teléfono, correo o Google, verificación OTP, sesiones, recuperación de acceso, Product Profile, vinculación de identificadores verificados y resolución del contexto de acceso autorizado.

Authentication V1 identifica y autentica a una persona, pero una sesión válida no concede por sí sola autorización para actuar sobre un negocio ni acceso de Internal Staff. Los permisos y contextos de acceso se resuelven separadamente.

Esta versión no regula como capacidades públicas existentes el contenido funcional completo del Panel B2B, la experiencia Cartta B2C, procesamiento de pedidos, checkout, planes pagos, suscripciones de pago ni Mercado Pago. Antes de activar funcionalidades que modifiquen materialmente el tratamiento de datos personales, Alacartta realizará la correspondiente revisión legal y actualizará esta Política cuando sea necesario.

2. Responsable del tratamiento

El Responsable del tratamiento de los datos personales es:

Razón social: ALACARTTA S.A.S.
NIT: 901979629-2
Domicilio: Bogotá D.C., Colombia
Dirección: Carrera 65 A 98 25 Oficina 4004, Andes Norte, Bogotá D.C.
Correo general: hola@alacartta.com
Correo para protección de datos: privacidad@alacartta.com
Correo para asuntos legales: legal@alacartta.com
Teléfono comercial: +57 333 742 4242
Sitio web: alacartta.com

El área funcional de Privacidad de ALACARTTA S.A.S., a través de privacidad@alacartta.com, es la encargada de tramitar las peticiones, consultas y reclamos relacionados con el tratamiento de datos personales y el ejercicio del Habeas Data.

3. Personas a las que puede aplicar esta Política

Esta Política puede aplicar, según la interacción concreta, a visitantes del sitio web; lectores de contenidos; personas que contacten a Alacartta por WhatsApp, Instagram, Facebook o correo electrónico; potenciales clientes y contactos comerciales; personas que suministren feedback o participen voluntariamente en actividades de investigación; titulares de cuentas de Alacartta; propietarios, administradores, empleados, colaboradores o representantes de negocios; personas invitadas a un contexto de negocio; personal interno autorizado cuando utilice el mismo gateway de autenticación; y otras personas naturales cuyos datos sean tratados legítimamente en desarrollo de las actividades cubiertas por esta versión.

La autenticación de una persona no prueba por sí sola que esté autorizada para representar a un negocio. Cuando una funcionalidad requiera dicha autorización, Alacartta resolverá el contexto de acceso de forma separada.

4. Datos personales que podemos tratar

Alacartta aplica un criterio de minimización y busca tratar únicamente la información razonablemente necesaria para cada finalidad.

Identificación y contacto: Nombre, correo electrónico, teléfono, identificador de WhatsApp, Instagram o Facebook y, cuando la plataforma lo suministre, nombre de usuario o información básica de perfil.

Autenticación e identidad: Identificador técnico del usuario de autenticación, proveedor o método utilizado, estado de verificación, identificadores de proveedor cuando correspondan y, en el caso de Google, la información básica asociada a los alcances de identidad openid, email y profile. Authentication V1 no solicita acceso a Gmail, Drive, Calendar, Contacts ni otras APIs de Google.

Sesión y seguridad: Identificadores y metadata de sesión, fechas y horas de autenticación, eventos necesarios para prevenir abuso, fraude o acceso no autorizado, y registros técnicos razonablemente necesarios para diagnosticar o proteger el servicio.

Recuperación de acceso: Identificadores de challenge, clase de prueba, destino enmascarado, expiración, estado y resultado de procesos de recuperación cuando sean necesarios para restablecer acceso de forma segura.

Identidad de producto y contexto de acceso: Product Profile, relación con la Person canónica, identificadores verificados y datos mínimos necesarios para resolver si una persona tiene un Business Context o Internal Staff Context autorizado.

Información profesional o del negocio: Nombre del negocio, tipo de negocio, relación con el negocio y otra información que la persona proporcione voluntariamente o que resulte necesaria para activar un contexto de negocio cuando corresponda.

Contenido de comunicaciones: Mensajes, respuestas, comentarios, solicitudes, preguntas, feedback y demás contenido enviado en conversaciones con Alacartta.

Información conversacional y operacional: Canal de origen, fecha y hora, estado de la conversación, identificadores de mensajes y conversaciones, historial de interacción, estado de atención y datos necesarios para realizar un handoff a una persona del equipo.

Información técnica: Información técnica necesaria para operar, proteger y diagnosticar los servicios, como identificadores de solicitud, eventos de seguridad, registros técnicos y datos proporcionados automáticamente por la infraestructura utilizada.

Información de aceptación, autorización y privacidad: Fecha y hora, fuente o superficie, versión de Términos y Política de Privacidad, versión del texto/evento de aceptación cuando se controle separadamente, idioma o locale cuando corresponda, solicitudes de derechos y estado y resultado de su atención.

Feedback e investigación: Respuestas, comentarios u observaciones que una persona decida proporcionar para ayudar a comprender problemas o mejorar los servicios de Alacartta.

Alacartta no solicita actualmente información financiera o de tarjetas para procesar pagos, porque esa funcionalidad no está activa bajo esta versión.

5. Cómo obtenemos los datos

Los datos pueden obtenerse directamente de la persona cuando escribe, responde, entrega su información, completa un registro o interactúa voluntariamente con Alacartta; automáticamente cuando la infraestructura técnica genera la información estrictamente necesaria para prestar, proteger o diagnosticar el servicio; a través de las plataformas mediante las cuales la persona decide interactuar, como WhatsApp, Instagram o Facebook; o, cuando la persona elige continuar con Google, desde Google respecto de la información básica de identidad autorizada por los alcances openid, email y profile.

Cuando corresponda, Alacartta también puede resolver de manera segura que un identificador autenticado coincide con una Person o Product Profile ya existente. Esa resolución no implica fusionar automáticamente identidades ambiguas ni conceder permisos sobre un negocio.

Cuando sea exigible obtener autorización, Alacartta informará de manera clara el tratamiento, sus finalidades, los derechos del Titular y los datos de contacto del Responsable, y conservará prueba razonable de dicha información y de la manifestación asociada.

El silencio, la inacción o una opción preseleccionada no serán considerados autorización.

6. Finalidades del tratamiento

Alacartta podrá tratar los datos personales, según corresponda a cada interacción, para:

• responder consultas, solicitudes o mensajes;
• brindar acompañamiento y soporte;
• identificar y gestionar personas interesadas en los servicios de Alacartta;
• crear o completar un Product Profile cuando corresponda;
• verificar identidad mediante teléfono, correo o Google;
• solicitar, entregar y verificar códigos OTP cuando se utilice ese método;
• establecer, mantener y proteger una sesión autenticada;
• recuperar acceso cuando existan señales suficientes para hacerlo de forma segura;
• resolver si una identidad es recurrente, requiere registro o requiere recuperación;
• vincular identificadores verificados con una Person o Product Profile de forma segura e idempotente;
• resolver separadamente los contextos de acceso autorizados;
• preservar y reanudar una intención de navegación o acción privada cuando sea seguro y autorizado;
• registrar evidencia mínima de aceptación legal asociada al registro;
• mantener continuidad en conversaciones iniciadas por el Titular;
• entender el contexto del negocio sobre el cual una persona solicita información;
• activar un Business Context cuando la experiencia aplicable lo requiera y la persona suministre la información correspondiente;
• transferir una conversación a una persona del equipo cuando se requiera atención humana;
• enviar confirmaciones o seguimientos directamente relacionados con una solicitud iniciada por el Titular;
• recibir y analizar feedback;
• realizar investigación orientada al desarrollo y mejora de los servicios;
• diagnosticar fallas y proteger la seguridad e integridad de la infraestructura;
• prevenir abuso, fraude o usos no autorizados;
• administrar proveedores tecnológicos necesarios para operar estos procesos;
• atender solicitudes de privacidad;
• cumplir obligaciones legales o requerimientos legítimos de autoridades;
• ejercer o defender derechos de Alacartta cuando resulte necesario.

Los datos no deberán utilizarse para finalidades incompatibles con aquellas informadas o autorizadas.

Comunicaciones comerciales

Autenticarse, verificar un teléfono o correo, usar Google, recibir un OTP o crear una cuenta no se entenderá por sí solo como autorización para recibir marketing recurrente.

Cuando Alacartta habilite una elección específica de comunicaciones recurrentes en el registro, dicha elección será independiente de la aceptación de Términos y del tratamiento necesario para Authentication, no vendrá preseleccionada y una respuesta negativa no impedirá la creación de la cuenta.

Mientras no exista una capacidad canónica para persistir y respetar preferencias de comunicaciones, Alacartta no activará esa elección en runtime ni guardará un boolean paralelo que pueda aparentar una suscripción inexistente.

7. Autorización

Salvo los eventos exceptuados por la ley, Alacartta realizará el tratamiento con autorización previa, expresa e informada, susceptible de consulta posterior.

La autorización podrá obtenerse mediante mecanismos escritos, electrónicos, conversacionales o mediante conductas inequívocas diferentes del silencio, siempre que la persona haya recibido previamente la información exigible y que Alacartta pueda conservar prueba del mecanismo y del contexto aplicable.

En Minimal Registration de Authentication V1, la interfaz conserva el patrón visible aprobado en Figma:

Al seleccionar “Aceptar y continuar”, acepto los Términos y condiciones y reconozco la Política de privacidad de Alacartta.

Los enlaces a ambos documentos están disponibles en el mismo punto de captura. La aceptación de los Términos y el reconocimiento de la Política no se tratarán, por sí solos y de manera abstracta, como sustitutos automáticos de la autorización exigible. Para Authentication V1, Alacartta documenta el contexto completo de registro, las finalidades necesarias para crear y proteger la cuenta y la acción deliberada de “Aceptar y continuar” como el evento electrónico afirmativo cuya suficiencia depende de que la información previa sea clara, completa y consultable y de que se conserve evidencia verificable de la actuación.

La evidencia de este punto de captura deberá identificar, como mínimo, la persona o identidad autenticada, fecha/hora, fuente, versión de Términos, versión de Política, versión del patrón de aceptación y locale cuando corresponda.

Authentication V1 no solicita datos sensibles como requisito de registro.

La elección de comunicaciones comerciales recurrentes, cuando llegue a estar habilitada, será una decisión separada y no se inferirá de la aceptación anterior.

8. WhatsApp, Instagram y Facebook

Alacartta utiliza WhatsApp, Instagram y Facebook como canales de interacción con personas interesadas y contactos.

Cuando una persona utiliza uno de estos canales, determinados datos son tratados inicialmente por la plataforma correspondiente bajo sus propios términos y políticas de privacidad. Alacartta no controla los tratamientos que estas plataformas realizan para sus finalidades independientes.

Una vez que Alacartta recibe la información necesaria para atender la interacción, puede tratarla en sus propios sistemas para las finalidades descritas en esta Política.

En WhatsApp, el sistema puede almacenar el número del contacto, mensajes entrantes y salientes, identificadores del mensaje, estado de la conversación, nombre, email, negocio y otra información voluntariamente suministrada. También puede trasladar determinadas conversaciones al equipo humano cuando se solicita o requiere atención personal.

Para Authentication V1, WhatsApp puede utilizarse adicionalmente como transporte de entrega de un código OTP asociado al teléfono que la persona está utilizando para autenticarse. Supabase Auth conserva la autoridad de verificación y sesión; recibir un OTP por WhatsApp no convierte esa interacción en una conversación comercial ni concede autorización para marketing recurrente.

Instagram y Facebook cuentan igualmente con integraciones para gestionar mensajes, identificadores de la plataforma y, en determinados escenarios, atención humana. No son métodos de autenticación de Authentication V1 bajo esta versión.

9. Inteligencia artificial y automatización

Alacartta puede utilizar sistemas de inteligencia artificial para apoyar determinadas interacciones conversacionales, por ejemplo, para interpretar la intención de un mensaje, organizar contexto y generar una respuesta.

Para ello, el contenido estrictamente necesario de la conversación y determinados datos de contexto pueden ser enviados a un proveedor tecnológico que procese la información para prestar esa funcionalidad.

Alacartta utiliza actualmente servicios de OpenAI para algunas de estas operaciones y procura limitar la información compartida a aquella necesaria para la finalidad correspondiente.

Alacartta no utiliza actualmente estos sistemas para adoptar decisiones exclusivamente automatizadas que produzcan por sí mismas efectos jurídicos o efectos comparables significativos sobre las personas.

Si en el futuro se incorporan sistemas de IA con finalidades materialmente distintas, se realizará una nueva revisión legal antes de su activación.

10. Datos sensibles

Alacartta no solicita como parte normal de sus flujos datos sensibles y recomienda no enviar este tipo de información a través de campos o mensajes cuando no sea necesaria.

Debido a que los canales conversacionales permiten texto libre, es posible que una persona suministre espontáneamente información sensible que Alacartta no haya solicitado. En ese caso se aplicarán medidas de minimización y, cuando sea necesario conservar o utilizar esa información, se verificará la existencia de una habilitación legal suficiente.

La respuesta a preguntas sobre datos sensibles siempre será facultativa cuando resulte aplicable.

11. Datos de niñas, niños y adolescentes

Los servicios actualmente dirigidos por Alacartta están orientados principalmente a personas adultas vinculadas con negocios gastronómicos.

Alacartta no busca recolectar intencionalmente datos personales de niñas, niños o adolescentes.

Si se identifica que se ha recibido información de una persona menor de edad sin una base jurídica adecuada, se evaluará su eliminación o el tratamiento que corresponda teniendo en cuenta el interés superior y los derechos prevalentes del menor.

12. Proveedores y terceros

Para operar sus servicios, Alacartta puede utilizar proveedores tecnológicos que procesan información necesaria para prestar infraestructura, almacenamiento, autenticación, comunicaciones, atención, automatización o servicios relacionados.

Entre los proveedores tecnológicos relevantes utilizados actualmente, dependiendo del flujo, se encuentran:

Vercel: Hosting, entrega del sitio web y ejecución de aplicaciones/APIs.

Supabase: Infraestructura de Authentication V1 para usuarios de Auth, identidades de proveedor, OTP, sesiones, intercambio OAuth/PKCE cuando corresponda y funciones de datos asociadas a Product Identity y Access Context.

Google: Proveedor de identidad cuando la persona elige continuar con Google. Authentication V1 limita el acceso a los alcances básicos openid, email y profile.

Google / Firebase / Google Cloud: Firestore, Firebase Functions/Cloud Run, almacenamiento técnico y servicios asociados a otros flujos de Alacartta.

Google / Gmail: Envío de determinados correos electrónicos operacionales.

Meta: WhatsApp, Instagram y Facebook. En Authentication V1, WhatsApp puede utilizarse como transporte del OTP de teléfono.

Slack: Atención y handoff humano de determinadas conversaciones.

Notion: Organización interna de contactos, empresas, oportunidades u otra información operacional según el flujo.

OpenAI: Procesamiento de determinadas interacciones mediante IA. La prueba de identidad, verificación OTP, Product Identity y autorización de acceso no se delegan al modelo conversacional.

La existencia de un proveedor no significa que reciba toda la información de una persona. Alacartta procura limitar el suministro a aquello necesario para el servicio o flujo correspondiente.

Los roles jurídicos, ubicaciones y mecanismos contractuales aplicables pueden variar según el servicio y el tratamiento concreto. Alacartta mantendrá su inventario interno de proveedores y revisará los acuerdos y salvaguardas aplicables.

13. Tratamiento y almacenamiento internacional

Algunos proveedores utilizados por Alacartta, incluyendo proveedores de infraestructura, autenticación, comunicaciones e identidad, pueden operar infraestructura o entidades fuera de Colombia. Como consecuencia, ciertos datos personales pueden ser objeto de tratamiento o almacenamiento internacional.

Dependiendo de la naturaleza de la operación, esta puede constituir una transmisión internacional, cuando un proveedor procesa datos por cuenta de Alacartta, o una transferencia, cuando otro Responsable recibe datos para finalidades propias.

Alacartta procurará utilizar mecanismos contractuales y demás salvaguardas aplicables conforme al régimen colombiano.

La ubicación concreta de procesamiento puede variar dependiendo del proveedor, servicio y configuración técnica utilizada. Alacartta no atribuirá públicamente una región o país específico a un proveedor sin haber verificado la configuración y relación aplicables.

14. Conservación de datos

Alacartta conservará los datos durante el tiempo razonablemente necesario para las finalidades para las cuales fueron tratados y aplicará criterios de minimización y temporalidad.

La política operacional objetivo para los tratamientos actuales es:

Lead o contacto inactivo que no deriva en una relación activa: 24 meses desde la última interacción.

Conversaciones de WhatsApp, Instagram o Facebook: 12 meses desde la última interacción.

Copias operativas de conversaciones utilizadas para handoff en Slack: Hasta 12 meses.

Contactos y oportunidades inactivas en sistemas internos como Notion: 24 meses desde la última actividad.

Feedback identificable: 12 meses; posteriormente se anonimizará cuando resulte razonablemente viable.

brainJobs y mailJobs completados: 90 días.

Datos técnicos de deduplicación o rate limiting: 30 días.

Logs operativos que puedan contener identificadores: Hasta 90 días, salvo que deban conservarse temporalmente por un incidente de seguridad.

Solicitudes de privacidad: Evidencia mínima necesaria para acreditar su atención.

Datos de Authentication V1: Usuarios de Auth, identidades de proveedor, sesiones, evidencia de aceptación legal, Product Profile, vínculos de identificadores verificados, recovery y evidencia de seguridad se conservarán durante el tiempo necesario para prestar y proteger el servicio, mantener la integridad de la identidad, atender derechos, resolver incidentes y cumplir obligaciones legales o contractuales aplicables. Alacartta no publica todavía un plazo único y fijo para todas estas categorías porque sus ciclos operativos son diferentes.

El cierre de una cuenta, la pérdida de una credencial o la eliminación de un Business Membership no son eventos equivalentes y pueden producir efectos de conservación distintos.

Estos periodos o criterios podrán extenderse cuando exista una obligación legal, necesidad de defensa de derechos, investigación de seguridad o deber contractual válido que justifique una conservación adicional. Cuando la identificación de la persona deje de ser necesaria, Alacartta procurará eliminar, anonimizar o restringir la información según corresponda.

Estado operacional de implementación: los periodos cuantificados anteriores continúan siendo el calendario objetivo de Alacartta y la automatización/verificación técnica de algunos mecanismos de retención sigue en proceso. Para Authentication V1, los plazos específicos adicionales se documentarán únicamente cuando la capacidad técnica de limpieza y las obligaciones aplicables hayan sido verificadas.

15. Supresión, anonimización y revocatoria

El Titular puede solicitar la supresión de sus datos personales o la revocatoria de la autorización cuando resulte procedente.

Una solicitud de supresión no implica necesariamente la eliminación instantánea e indiscriminada de toda la información. Alacartta evaluará los sistemas en los que existan datos asociados al Titular y eliminará, anonimizará o restringirá el tratamiento de aquellos que ya no deban conservarse.

Para Authentication V1, cerrar o desactivar una cuenta, desvincular una credencial, revocar sesiones, eliminar un Product Profile, retirar un Business Membership y suprimir datos personales son operaciones diferentes. Una solicitud será atendida conforme a su alcance y a la relación legítima que exista con registros de negocio, seguridad, cumplimiento o terceros.

Esto puede comprender, según el flujo, datos en Supabase Auth y Postgres, Firestore, conversaciones, registros de procesamiento, sistemas internos, copias operacionales y datos mantenidos por proveedores bajo control de Alacartta.

La supresión podrá no proceder respecto de determinada información cuando exista un deber legal o contractual válido de conservación.

Mientras Alacartta no disponga de una experiencia self-service de cierre o exportación plenamente verificada, estas solicitudes serán gestionadas mediante el canal de privacidad. Alacartta no considerará cumplida una solicitud únicamente porque un registro haya sido marcado internamente como “deleted”; el procedimiento debe reflejar la eliminación, anonimización o restricción material que corresponda.

16. Seguridad y confidencialidad

Alacartta adopta y seguirá desarrollando medidas técnicas, humanas y administrativas razonables y proporcionales a la naturaleza de los datos tratados y a los riesgos identificados.

Estas medidas pueden incluir controles de acceso; manejo de secretos y credenciales fuera del código público; autenticación de sistemas; verificación mediante OTP o proveedor de identidad; sesiones administradas por infraestructura especializada; separación entre identidad autenticada y autorización; limitación de privilegios; registros operacionales; medidas contra procesamiento duplicado o abusivo; controles de acceso a servicios internos; revisión de proveedores y prácticas de minimización.

Una sesión autenticada no concede automáticamente acceso a /panel o /admin. Los contextos autorizados se resuelven separadamente y las rutas privadas deben volver a verificar el acceso aplicable.

Ningún sistema puede garantizar seguridad absoluta. Por ello, Alacartta no promete ausencia total de incidentes, pero sí el cumplimiento del deber de adoptar medidas razonables dirigidas a evitar adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Las personas que intervengan en el tratamiento deberán mantener la confidencialidad correspondiente.

17. Derechos de los Titulares

De acuerdo con la legislación colombiana, el Titular puede:

• conocer, actualizar y rectificar sus datos;
• solicitar prueba de la autorización cuando sea exigible;
• solicitar información sobre el uso dado a sus datos;
• presentar quejas ante la Superintendencia de Industria y Comercio una vez agotado el trámite correspondiente ante el Responsable o Encargado;
• revocar la autorización o solicitar supresión cuando proceda;
• acceder gratuitamente a sus datos en los términos legales.

18. Canal para ejercer derechos

Las solicitudes relacionadas con datos personales deberán dirigirse principalmente a:

Alacartta podrá solicitar información razonablemente necesaria para verificar la identidad del solicitante y evitar que los datos sean entregados o modificados por una persona no autorizada.

Podrán ejercer los derechos el Titular, sus causahabientes cuando corresponda, sus representantes o apoderados debidamente acreditados, y las demás personas legitimadas por la ley.

19. Consultas

Cuando una persona desee conocer la información personal que Alacartta mantiene sobre ella, podrá enviar una consulta al canal de privacidad.

La solicitud deberá permitir identificar al Titular y explicar razonablemente la información consultada.

Las consultas serán atendidas en un plazo máximo de diez (10) días hábiles desde su recepción. Si no fuera posible responder dentro de ese plazo, Alacartta informará los motivos de la demora y la nueva fecha de respuesta, que no podrá exceder de cinco (5) días hábiles adicionales.

20. Reclamos

Cuando el Titular considere que la información debe corregirse, actualizarse o eliminarse; desee revocar una autorización; considere que existe un incumplimiento; o pretenda ejercer otro derecho que deba tramitarse como reclamo, podrá escribir a privacidad@alacartta.com.

El reclamo deberá contener información suficiente para identificar al Titular, una descripción de los hechos o de la solicitud, datos de contacto para recibir la respuesta y, cuando corresponda, los documentos que soporten la petición.

Si el reclamo está incompleto, Alacartta podrá requerir al solicitante para que subsane la información faltante dentro de los términos legales. Transcurridos dos meses sin que se atienda el requerimiento, podrá entenderse desistido el reclamo.

Una vez recibido un reclamo completo, se mantendrá la indicación interna correspondiente de que existe un reclamo en trámite mientras este sea decidido cuando resulte aplicable.

El término máximo para atender un reclamo será de quince (15) días hábiles, contados desde el día siguiente a su recepción. Cuando no sea posible atenderlo dentro de ese término, se informarán los motivos de la demora y la fecha de respuesta, que no podrá superar ocho (8) días hábiles adicionales.

Antes de elevar una queja ante la Superintendencia de Industria y Comercio por asuntos de Habeas Data, el Titular deberá haber agotado el trámite de consulta o reclamo ante Alacartta cuando la ley así lo exige.

21. Cookies y tecnologías similares

El sitio de Alacartta puede utilizar cookies, almacenamiento local u otras tecnologías estrictamente necesarias para prestar funcionalidades técnicas, mantener seguridad, entregar correctamente el contenido o conservar determinadas preferencias cuando corresponda.

Alacartta no utilizará la mera existencia de esta sección como autorización genérica para instalar tecnologías de publicidad, profiling o seguimiento no esencial.

Si se incorporan posteriormente herramientas de analítica, publicidad u otros trackers que modifiquen materialmente el tratamiento actual, Alacartta revisará sus obligaciones de información y consentimiento y actualizará esta Política o adoptará una Política de Cookies independiente cuando resulte necesario.

22. Enlaces y plataformas externas

El sitio o las comunicaciones de Alacartta pueden contener enlaces a plataformas o servicios operados por terceros.

Cuando una persona abandona los entornos controlados por Alacartta y utiliza un servicio externo, el tratamiento realizado directamente por dicho tercero se regirá por sus propias políticas y términos, salvo que se indique expresamente lo contrario.

23. Requerimientos legales y autoridades

Alacartta podrá suministrar información cuando exista una obligación legal, orden judicial, requerimiento legítimo de autoridad competente o alguna de las demás circunstancias permitidas por la legislación aplicable.

24. Cambios a esta Política

Alacartta puede actualizar esta Política para reflejar cambios regulatorios, tecnológicos, operacionales o de producto.

Cada versión deberá indicar de manera estática su número y fecha de entrada en vigor.

La versión 1.1 incorpora el tratamiento asociado a Authentication V1 y cuentas de usuario, pero no activa por sí misma funcionalidades todavía excluidas como pagos, checkout, Cartta B2C o el contenido funcional completo del Panel B2B.

Cuando un cambio afecte materialmente las finalidades previamente informadas o implique un nuevo tratamiento para el cual la ley requiera una nueva autorización, Alacartta realizará las acciones de información y autorización que correspondan antes de aplicar el nuevo tratamiento.

Las versiones anteriores deberán conservarse internamente para fines de trazabilidad.

25. Vigencia

Esta Política será aplicable desde la fecha indicada como entrada en vigor en su versión publicada y permanecerá vigente mientras Alacartta realice los tratamientos aquí descritos o hasta que sea sustituida por una nueva versión.

La versión 1.1 entra en vigor el 29 de septiembre de 2026 y acompaña el lanzamiento público de Authentication V1. Su fecha y número de versión se mantienen de forma estática para permitir identificar el texto aplicable.

Las bases y registros que contengan datos personales permanecerán vigentes únicamente durante el tiempo necesario para las finalidades correspondientes, sin perjuicio de obligaciones legales o contractuales de conservación.