Política de Privacidad
Última actualización: 2 de septiembre de 2026 — Versión 2.3
1. Introducción
Pactly, Inc., una corporación de Delaware, con domicilio registrado en 131 Continental Dr, Suite 305, Newark, Delaware 19713, Estados Unidos (en adelante, «Pactly») se compromete a proteger la privacidad de sus usuarios. Esta Política describe cómo recopilamos, usamos, almacenamos y protegemos tu información personal cuando utilizas nuestra Plataforma.
Al usar Pactly, aceptas las prácticas descritas en esta Política.
2. Datos que recopilamos
2.1 Datos que proporcionas directamente
Cuenta Creator:
- Nombre completo y handle.
- Email y contraseña (hasheada).
- Biografía y avatar.
- Redes sociales declaradas y verificadas.
- Ubicación (ciudad, país).
- Información de cuenta Stripe (gestionada por Stripe, no almacenada por Pactly).
Cuenta Buyer:
- Nombre completo.
- Email (autenticación principalmente mediante enlace mágico; los Creators usan email y contraseña).
- Nombre de marca y sitio web.
- Datos de facturación (gestionados por Stripe, no almacenados por Pactly).
Compra como Guest (sin cuenta):
- Email y nombre para identificación.
- Token JWT de seguimiento enviado al email.
- Datos de pago (gestionados por Stripe).
Contenido generado:
- Briefs, mensajes, evidencia de publicaciones.
- Screenshots de publicaciones y URLs de contenido.
- Reportes a otros usuarios.
- Tickets de soporte.
2.2 Datos recopilados automáticamente
- Dirección IP: se conserva únicamente en forma hasheada (registros de consentimiento y de visitas). Durante la verificación anti-bots se transmite en claro a nuestro proveedor de seguridad (Sección 5.1) sin que Pactly la almacene.
- User agent (navegador, sistema operativo).
- Idioma preferido.
- Páginas visitadas, acciones realizadas y URL de procedencia (referer) en visitas a perfiles y servicios.
- Fecha y hora de sesiones y de los eventos de cada Orden (incluido qué usuario o proceso originó cada evento).
2.3 Datos de terceros
- Datos de pago procesados por Stripe. Pactly no almacena números de tarjeta; sí conserva temporalmente los eventos técnicos de pago que Stripe nos envía (montos, identificadores de transacción, email del pagador), que se purgan automáticamente a los 90 días (Sección 8).
2.4 Datos derivados e inferidos que generamos sobre ti
- Puntuaciones internas de confianza y desempeño: para Creators, el Pactly Score (CRS) y sus insumos (órdenes completadas, tasa de disputas, tasa de aceptación) junto con agregados financieros (totales cobrados, saldos); para Buyers, una puntuación de confianza basada en su historial de pagos, contracargos y reportes. Parte de estos datos se muestra públicamente: el Pactly Score del Creator en su perfil, y el historial de pagos del Buyer (órdenes pagadas y abandonos) en sus solicitudes a Creators. Ver Sección 5.2.
- Resultados del análisis asistido por IA de las capturas que envías (verificación de cuentas y validación de publicaciones): confianza del análisis, elementos detectados y, en verificaciones, el tamaño de audiencia visible en la captura.
- Registros internos de seguridad y riesgo asociados a tu cuenta u órdenes (eventos antifraude).
- Relaciones dentro de la Plataforma: bloqueos entre usuarios, reportes y notas privadas que un Buyer guarda sobre Creators con los que trabaja.
3. Cómo usamos tus datos
Usamos tus datos para las siguientes finalidades, cada una con su base legal (Art. 6 RGPD):
- Procesar Órdenes, pagos y payouts — ejecución del contrato.
- Verificar la publicación del contenido conforme al alcance de la validación — ejecución del contrato.
- Enviar notificaciones transaccionales (confirmaciones, alertas de estado) — ejecución del contrato.
- Calcular puntuaciones internas de confianza y desempeño (Pactly Score del Creator, puntuación de confianza del Buyer) y aplicar los límites operativos derivados — interés legítimo en la seguridad del marketplace (Sección 5.2).
- Tomar las decisiones automatizadas descritas en la Sección 5.2 — ejecución del contrato e interés legítimo, según el caso.
- Prevenir fraude y garantizar la seguridad de la Plataforma (incluidos los registros de riesgo) — interés legítimo.
- Cumplir con obligaciones legales y fiscales — obligación legal.
- Mejorar la Plataforma mediante análisis agregado (no identificable individualmente) — interés legítimo; la analítica con cookies requiere tu consentimiento.
- Enviar comunicaciones promocionales — solo con consentimiento expreso.
5. Compartir datos con terceros
NO vendemos datos personales a terceros. Compartimos datos únicamente con los siguientes proveedores de servicios necesarios para operar la Plataforma.
5.1 Subprocesadores esenciales
- Stripe, Inc. (Estados Unidos) — procesamiento de pagos. Datos: email, nombre, datos bancarios (gestionados por Stripe).
- Supabase, Inc. (Estados Unidos, región us-east-2 / AWS Ohio) — base de datos, autenticación y almacenamiento de archivos. Datos: todos los datos de cuenta y los archivos que subes o generas (capturas de verificación de cuenta, evidencia de publicaciones, avatares y material de marca).
- Resend (Estados Unidos) — emails transaccionales. Datos: email, nombre, contenido de notificaciones (incluidos enlaces de acceso de un solo uso).
- Vercel, Inc. (Estados Unidos / global) — hosting y ejecución de la aplicación. Datos: IPs, logs de acceso y registros técnicos de la aplicación, que pueden incluir direcciones de email en eventos operativos.
- Upstash (Estados Unidos) — límites de uso (rate limiting) y caché. Datos: claves temporales de limitación que incluyen emails, IPs e identificadores de usuario, y caché de corta duración (24 horas) de resultados de análisis de IA indexados por huella de imagen.
- Sentry (Estados Unidos) — monitoreo de errores y rendimiento. Datos: user agents, URLs y trazas técnicas de error. No se graban sesiones de usuario.
- Cloudflare, Inc. (Estados Unidos) — verificación anti-bots (Turnstile) en inicio de sesión, registro, enlaces de acceso y formularios sensibles, incluido el formulario de derechos de privacidad. Datos: dirección IP y señales técnicas del navegador, procesadas en tránsito para resolver el desafío; Pactly no las almacena.
- Anthropic PBC (Estados Unidos) — verificación asistida por IA de medios enviados (Claude Vision API). Datos: capturas de pantalla de verificación de cuenta y de evidencia de publicación de Órdenes, handle declarado, código de verificación y, en validación de publicaciones, la URL declarada y los requisitos del Brief (incluidas imágenes de referencia aportadas por el Buyer). Las imágenes se procesan en tránsito y Anthropic no las retiene más allá del tiempo necesario para devolver el resultado del análisis. Sujeto a la Política de Privacidad de Anthropic y sus Términos Comerciales.
5.2 Decisiones automatizadas y perfilado (Art. 22 GDPR)
Pactly emplea sistemas automatizados en los siguientes procesos. En todos ellos tienes derecho a obtener intervención humana, expresar tu punto de vista e impugnar la decisión escribiendo a privacy@pactly.io:
- Verificación de cuentas sociales: el análisis de tu captura puede aprobar automáticamente (alta confianza), derivar a revisión humana (confianza media) o rechazar con opción a reintentar (baja confianza). Todo rechazo o derivación lo revisa un administrador.
- Validación de publicaciones de Órdenes: el análisis automático puede aprobar la publicación (lo que inicia el ciclo de pago al Creator), solicitar corrección, o derivar el caso a revisión humana. Los rechazos definitivos y las señales ambiguas siempre pasan por un administrador antes de cualquier efecto económico adverso.
- Comprobaciones automáticas de entrega (N0): verificaciones determinísticas (plataforma, plazo, cuenta de publicación, evidencia presente) que pueden devolver una entrega para corrección.
- Pactly Score (CRS) y límites del Creator: un proceso diario recalcula tu puntuación y nivel a partir de tu historial (órdenes, disputas, aceptación), lo que determina tus límites de monto por Orden y mensuales. Puedes solicitar la revisión de tu puntuación.
- Puntuación de confianza del Buyer: tu historial de pagos puede activar verificaciones de seguridad adicionales (3D Secure) en el checkout, y parte de ese historial (órdenes pagadas y abandonos) es visible para los Creators que reciben tus solicitudes.
- Moderación por reportes: la acumulación de reportes de usuarios distintos puede suspender temporalmente (3 reportantes en 30 días) o cerrar (5 reportantes) una cuenta de forma automática. Toda suspensión o cierre automático puede apelarse escribiendo a support@pactly.io y es reversible por un administrador.
5.3 Subprocesadores de marketing
Actualmente Pactly emplea como subprocesador de marketing a X Corp. (píxel de X para medición de campañas), activado únicamente con consentimiento previo del usuario. No hay píxel de Meta ni Google Ads; si en el futuro se incorporan, se activarán únicamente con consentimiento previo del usuario y esta Política se actualizará antes de su puesta en marcha.
5.4 Datos compartidos con Stripe
Compartimos con Stripe los datos necesarios para procesar transacciones y cumplir con regulaciones financieras: nombre completo, dirección de email, dirección IP, datos de la transacción (montos, fechas, descripción del servicio) y, para Creators que reciben pagos, datos de verificación de identidad y cuenta bancaria. Stripe procesa estos datos conforme a su Política de Privacidad.
5.5 Divulgación legal
Podemos compartir datos cuando sea legalmente requerido por:
- Autoridades judiciales o administrativas (con orden válida).
- Cumplimiento de obligaciones fiscales o regulatorias.
- Protección de derechos, seguridad o propiedad de Pactly o sus usuarios.
6. Transferencia internacional de datos
Pactly, Inc. está constituida en Estados Unidos. Al utilizar nuestros servicios, tus datos personales pueden ser transferidos y procesados en Estados Unidos —nuestra infraestructura de base de datos y archivos está alojada en la región us-east-2 (AWS, Ohio)—, donde pueden aplicarse leyes de protección de datos diferentes a las de tu país de residencia.
Para usuarios del Espacio Económico Europeo (EEE) y Reino Unido: la transferencia de datos se realiza conforme a las Cláusulas Contractuales Estándar (SCCs) aprobadas por la Comisión Europea y decisiones de adecuación cuando apliquen.
Para usuarios de Brasil: el tratamiento de datos se realiza de conformidad con la Lei Geral de Proteção de Dados (LGPD). Tienes los derechos previstos en los artículos 17 y 18 de la LGPD.
Para usuarios de México: el tratamiento de datos se realiza de conformidad con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP).
Al registrarte en Pactly, consientes la transferencia y procesamiento de tus datos en Estados Unidos bajo las garantías aquí descritas.
7. Seguridad de los datos
Implementamos medidas técnicas y organizativas para proteger tus datos:
- Cifrado en tránsito (TLS 1.3).
- Cifrado en reposo (base de datos).
- Row Level Security (RLS) en base de datos.
- Autenticación con hasheo seguro.
- Rate limiting en endpoints críticos.
- Monitoreo activo de seguridad.
- Acceso restringido a datos sensibles (principio de menor privilegio).
- Datos de pago procesados exclusivamente por Stripe (certificación PCI DSS Level 1).
Si una brecha de seguridad afecta tus datos personales y representa un alto riesgo para tus derechos y libertades, te notificaremos sin demora indebida (en plazo no superior a 72 horas cuando sea técnicamente viable), conforme al Art. 34 del RGPD. La notificación incluirá la naturaleza de la brecha, las consecuencias probables, y las medidas tomadas para mitigarlas. También notificaremos a las autoridades supervisoras competentes en plazo de 72 horas según Art. 33 del RGPD.
8. Retención de datos
Conservamos tus datos conforme a lo siguiente:
- Cuenta activa: mientras uses Pactly.
- Registros de Órdenes, pagos y financieros: se conservan mientras existan obligaciones legales y fiscales (mínimo 7 años tras el cierre de la cuenta).
- Eventos técnicos de pago (webhooks de Stripe): purga automática a los 90 días de procesados.
- Registros de consentimiento: se conservan como prueba de cumplimiento normativo.
- Resto de los datos (disputas, tickets de soporte, registros de visitas, eventos de seguridad): se conservan mientras la cuenta exista. Pactly está implementando purgas automáticas por categoría con estos plazos objetivo: disputas, 5 años tras su resolución; tickets, 2 años tras su cierre; registros de visitas, 12 meses. Mientras esas purgas se completan, atendemos solicitudes de supresión de forma individual (Sección 9).
- Cookies y tecnologías del navegador: según lo indicado en la Sección 4.
- Comunicaciones de marketing: hasta el retiro del consentimiento.
9. Tus derechos
Tienes derecho a:
- Acceso: solicitar una copia de tus datos personales.
- Rectificación: corregir datos inexactos. La mayor parte de la información se puede editar desde Configuración.
- Eliminación: solicitar el borrado de tus datos (derecho al olvido). Lo ejecutamos mediante un proceso manual verificado, dentro de los plazos legales y con las excepciones de retención de la Sección 8.
- Portabilidad: recibir una copia de tus datos en un formato estructurado de uso común. La preparamos de forma manual para cada solicitud.
- Oposición: objetar el procesamiento basado en interés legítimo.
- Limitación: restringir el uso de datos en casos específicos.
- Retiro de consentimiento: revocar consentimiento otorgado.
- No discriminación: no ser penalizado por ejercer tus derechos.
9.1 Cómo ejercer tus derechos
- Email: privacy@pactly.io.
- Formulario: pactly.io/privacidad/ejercer-derechos.
Responderemos en un plazo máximo de 30 días. Nota: los datos de transacciones completadas se retienen por obligaciones legales y fiscales durante el periodo requerido por ley.
10. Residentes de California (CCPA)
Los residentes del estado de California (EE. UU.) tienen derechos adicionales bajo la California Consumer Privacy Act (CCPA) y la California Privacy Rights Act (CPRA):
- Derecho a saber qué información personal recopilamos y cómo la usamos.
- Derecho a eliminar información personal que tengamos sobre ti (sujeto a excepciones legales).
- Derecho a corregir información inexacta.
- Derecho a optar por no vender ni compartir información personal.
No vendemos tu información personal ni la compartimos para publicidad conductual. Actualmente Pactly no emplea píxeles publicitarios de terceros (Sección 4.3). Si eso cambiara, esta sección se actualizará y el opt-out estará disponible antes de la activación.
El enlace «Do Not Sell My Info» del pie de página abre el centro de preferencias de cookies, donde puedes gestionar cualquier tecnología opcional; también puedes escribir a privacy@pactly.io.
No aplicaremos trato discriminatorio por el ejercicio de estos derechos.
11. Menores de edad
Pactly no está dirigido a menores de 18 años. No recopilamos conscientemente datos de menores. Si detectamos una cuenta de menor, procederemos a su cierre inmediato y a la supresión de sus datos mediante el proceso de la Sección 9, con las excepciones de retención legal que apliquen.
Si eres padre, madre o tutor y crees que tu hijo o hija nos ha proporcionado datos, contáctanos en privacy@pactly.io.
12. Enlaces a sitios externos
Pactly contiene enlaces a sitios de terceros (redes sociales, procesadores de pago, páginas legales de proveedores). No somos responsables de las prácticas de privacidad de esos sitios. Te recomendamos revisar sus políticas.
13. Cambios a esta Política
Podemos actualizar esta Política ocasionalmente. Los cambios sustanciales se notificarán con al menos 30 días de anticipación a través de al menos uno de los siguientes canales: email al correo registrado o aviso prominente en la Plataforma.
La fecha de última actualización y la versión del documento aparecen al inicio de esta página.
14. Contacto
Para preguntas sobre esta Política de Privacidad, ejercer tus derechos o reportar una preocupación:
- Email: privacy@pactly.io.
- Formulario: pactly.io/privacidad/ejercer-derechos.
- Correo postal: Pactly, Inc., 131 Continental Dr, Suite 305, Newark, Delaware 19713, USA.
Para residentes en la Unión Europea: dirige tus consultas de protección de datos a dpo@pactly.io, indicando tu país de residencia.