Política de Privacidad

Esta política explica qué datos personales guarda Sututu, para qué los usa, quién los ve, dónde se guardan, cuánto tiempo y cómo puedes ejercer tus derechos. Se rige por la Ley Orgánica de Protección de Datos Personales del Ecuador (LOPDP).

Sututu es un sitio de compra y venta de coleccionables entre personas. Sututu no toca el dinero de las compras: quien compra le paga a quien vende en persona, fuera de Sututu. Lo único que Sututu cobra es la visibilidad (planes y patrocinios), que se paga con puntos que compras con una transferencia bancaria.

Quién es el responsable de tus datos

El responsable del tratamiento de tus datos es el titular del RUC 1712539814001, persona natural que usa el nombre comercial «Sututu», registrado ante el SRI.

Domicilio: Quito, Ecuador.

Para cualquier tema de privacidad puedes escribirnos por el formulario de contacto de sututu.club/contacto (eligiendo «Mis datos») o al correo soporte@sututu.club.

Delegado de protección de datos: Sututu todavía no designó un delegado de protección de datos; tus solicitudes las atiende el responsable en el correo de contacto.

Qué datos guardamos y para qué

Guardamos solo lo necesario para que Sututu funcione. Para cada grupo de datos te decimos para qué sirve y en qué se basa su uso según la LOPDP.

Tu cuenta – Qué: tu correo, tu contraseña (guardada de forma que nadie pueda leerla), tu alias (el nombre público que eliges) y tu declaración de que tienes 18 años o más. No guardamos tu fecha de nacimiento. – Para qué: crear tu cuenta, dejarte entrar y mostrarte en el sitio con tu alias. – Base legal: la ejecución del contrato que aceptas con los Términos.

Verificación de identidad – Qué: tu cédula, tu nombre legal, una cuenta bancaria a tu nombre y tu teléfono o WhatsApp. El historial de tus verificaciones y, si se cierra una cuenta, su causa. – Para qué: que el admin compruebe a mano que eres quien dices ser y que tienes 18 años o más. La cuenta bancaria sirve solo para eso: Sututu nunca te cobra ni te paga a esa cuenta. El teléfono sirve para coordinar la entrega de una compra. – Si alguien usa tu cédula y pides una revisión por suplantación, te pedimos tu cédula, una cuenta bancaria a tu nombre y tu contacto, aunque tu cuenta no esté verificada. Sirven solo para ese cotejo, los ve solo el admin al abrirlo (queda registrado) y se borran al resolverse tu solicitud. – Base legal: tu consentimiento al pedir la verificación y la ejecución del contrato.

Publicaciones, vitrina y comentarios – Qué: lo que publicas (fotos, títulos, descripciones, precios), los ítems de tu vitrina, tus comentarios, los corazones que das y las búsquedas que guardas o tu lista de deseos. – Las fotos se publican sin metadatos: al subirlas quitamos la ubicación GPS y los datos de la cámara. – Para qué: mostrar el catálogo y la vitrina, avisarte de lo que te interesa, y promocionar Sututu con tus fotos y descripciones como explican los Términos. – Base legal: la ejecución del contrato.

Compras, subastas y ofertas ciegas – Qué: tus compras, tus pujas y tus ofertas (con su monto), el motivo de cierre de una subasta o de una cancelación, los mensajes y las imágenes que se envían las partes de una compra, la hora en que se leen y el código que confirma una entrega. – Para qué: registrar el compromiso entre comprador y vendedor, coordinar la entrega y sostener la reputación. – Base legal: la ejecución del contrato.

Reputación, reportes y moderación – Qué: las reseñas, los indicadores negativos (por ejemplo, cancelaciones atribuidas), los reportes que haces o recibes, los strikes, los bloqueos, las apelaciones y las solicitudes de revisión. – Si una cuenta es vetada, guardamos una huella de su cédula (un código que se calcula a partir del número y que no permite leerlo) para que esa persona no vuelva con otra cuenta. También guardamos esa huella cuando alguien intenta verificarse con una cédula que ya usa otra cuenta. – Si se reporta una publicación, guardamos una copia de ella con sus fotos como evidencia hasta resolver el reporte. – Sututu compara el precio de cada publicación con un rango de referencia de su línea. Las que quedan muy por debajo o muy por encima las revisa el admin. Esa señal no la ve el vendedor y no suspende nada por sí sola. – Para qué: que la comunidad sepa con quién trata, frenar estafas y falsificaciones, y aplicar los Términos. – También guardamos tus solicitudes sobre tus datos (por ejemplo, una copia o la eliminación), para responderlas, y los ajustes de tu cupo de venta y la habilitación de Premium que decide el admin, para aplicar los límites y los planes que explican los Términos. – Base legal: el interés legítimo de Sututu y de sus usuarios en prevenir el fraude, y la ejecución del contrato.

Puntos y recargas – Qué: tus movimientos de puntos, tus recargas, la referencia bancaria y la imagen del comprobante de la transferencia, los planes y servicios que contratas y su historial. – El comprobante se guarda solo como imagen y sin metadatos. Si la transferencia sale de la cuenta de otra persona, el comprobante puede mostrar su nombre y parte de su cuenta: súbelo solo si esa persona está de acuerdo. – Para qué: que el admin confirme tu transferencia y acredite tus puntos, y llevar tu saldo. – Base legal: la ejecución del contrato y, si aplica, las obligaciones tributarias. Las recargas todavía no están abiertas; cuando se abran, esta política dirá qué se conserva por obligaciones tributarias.

Estadísticas de las tiendas, sin identificar a quien visita – Qué: cuántas veces se vio cada publicación o ítem por día, cuántas veces salió una pieza pagada o una tienda en los lugares de visibilidad, de dónde llegaron las visitas a una tienda y las palabras del buscador de Sututu que llevaron a ella. – Nada de esto guarda tu cuenta, tu IP ni una cookie de quien visita: para contar una visita usamos un valor al azar que no te identifica. Para no contar dos veces la misma vista, una publicación o un ítem se cuenta como mucho una vez por hora desde la misma IP, usando la huella de tu IP en el limitador de frecuencia (ver «Seguridad y control de abusos»); la huella no se guarda con la vista. – Para qué: mostrarle a cada vendedor las estadísticas de su tienda y comprobar que la visibilidad pagada se reparte de forma justa. – Base legal: el interés legítimo de Sututu y de los vendedores.

Seguridad y control de abusos – Qué: la versión de los Términos y de esta política que aceptaste, cuándo, desde qué IP y con qué navegador; los intentos y los topes de las acciones (cuántas veces intentas verificarte, reportar o enviar algo); una huella de tu IP, de tu cuenta o de tu correo en el limitador de frecuencia; los cambios de tu alias; los errores del servidor (la acción, tu cuenta y la hora); el registro de lo que hace el admin; y los avisos que te mandamos. – La huella de la IP es un código que se calcula a partir de tu IP con una clave secreta y que no permite leerla. – Para qué: probar qué aceptaste, frenar bots y abusos, diagnosticar fallas y auditar al admin. – Base legal: el cumplimiento de obligaciones legales (probar tu consentimiento) y el interés legítimo en la seguridad del sitio.

Formulario de contacto – Qué: el tipo de pedido, tu mensaje y el correo al que respondemos. No guardamos tu nombre ni tu IP. – Para qué: responder tu pedido. – Base legal: tu consentimiento al escribirnos y, si pides un derecho, la obligación legal de responderte.

Qué es público y qué no

Es público: – Tu alias, tu insignia de cuenta verificada, tu reputación y tu nivel de vendedor, y los indicadores negativos de quien vende. – Tus publicaciones, tu tienda, tu vitrina y tus comentarios. Un comentario que el dueño de la vitrina oculta lo ven solo tú, el dueño y el admin; en público se ve cuántos se ocultaron. – Las reseñas. Quien vende no puede borrarlas ni ocultarlas; el admin solo elimina una por abuso, con motivo, nunca por ser negativa. – El plan Pro o Premium vigente de una tienda, con su insignia, y lo que está patrocinado. El plan Básico o no tener plan no se muestra. – La puja más alta de una subasta mientras está activa y después de un cierre con venta. Mientras una oferta ciega está abierta, la oferta actual, cuántas ofertas hay y cuándo cierra, sin decir quién ofertó. – Cuántos corazones tiene un ítem, nunca quién los dio. Aun así, con pocos corazones alguien podría deducirlo.

Nunca es público ni lo ve otro usuario: – Tu cédula, tu nombre legal, tu cuenta bancaria ni tus comprobantes. Los ve solo el admin. – Tu correo. – Los ítems que sigues con un corazón: solo tú. – El umbral de una subasta y el mínimo secreto de una oferta ciega: solo quien lo fijó y el admin. – Tus ofertas en una oferta ciega: al cierre, el dueño ve los montos, pero no quién los hizo.

Lo que ve la otra parte de una compra: – Tu teléfono o WhatsApp lo ve solo la otra parte de una compra tuya, mientras la compra está abierta o después de entregada, y deja de verlo si la compra se cancela. Si cierras tu cuenta, lo sigue viendo en las compras ya entregadas. – Los mensajes de la compra los ven las dos partes mientras está abierta o entregada. Si se cancela, dejan de verlos y quedan guardados como registro. – El motivo de una cancelación lo ven la otra parte y el admin. Los indicadores negativos de quien compra los ve solo el vendedor de la compra donde se registraron, y el admin.

Lo que ve cada vendedor de su tienda: – Las veces que se mostró lo suyo y las vistas de su tienda, sin saber quién miró. – Con el plan Premium, las palabras que se buscaron para llegar a su tienda (solo las que se repiten 3 veces o más, nunca quién buscó) y una comparación con promedios de otras tiendas de su categoría, redondeados y mezclando varias tiendas. Aunque está pensada para que no se puedan calcular las cifras de una tienda, no podemos prometer que nunca se puedan estimar.

Lo que ve el admin y cómo se controla: – El admin lee los mensajes o ve el contacto de una compra solo si una de las partes la reporta o apela, y cada lectura queda registrada. – Puede ver el mínimo, los montos y quién hizo cada oferta de una oferta ciega desde su panel. Cada lectura queda registrada a nombre de la oferta ciega y de su dueño. – El admin entra a su panel con un segundo factor y todo lo que hace sobre una cuenta queda en un registro que no se puede borrar.

Quién más trata tus datos

Para funcionar, Sututu usa estos proveedores. Cada uno recibe solo lo que necesita para su tarea:

– Hostinger International Limited: nos alquila el servidor donde está la base de datos, el sistema de acceso y las fotos y comprobantes. Ahí corre Supabase, un programa que operamos nosotros. Recibe todos los datos de esta política. Servidor ubicado en Boston, Estados Unidos. – Vercel: ejecuta la aplicación web y el procesamiento de las imágenes. Por eso procesa lo que envías al sitio (incluidos tu cédula, tu cuenta bancaria, tus comprobantes y tus fotos) mientras atiende cada petición, además de tus peticiones y tu IP, y recibe señales de tu navegador para detectar bots al registrarte. Estados Unidos. – Resend: envía nuestros correos. Recibe tu correo y el texto del aviso (por ejemplo, el título de una publicación o el motivo de una decisión del admin). Nunca recibe tu cédula, tu cuenta bancaria ni tus comprobantes. Está en Estados Unidos. – Cloudflare (Turnstile): el control anti-bots. Recibe señales de tu navegador y tu IP al registrarte, entrar, recuperar tu contraseña, volver a pedir el enlace de confirmación de tu correo y usar el formulario de contacto. Atiende desde la red global de Cloudflare, en el centro de datos más cercano a ti. – Cloudflare (R2): guarda las copias de seguridad de la base de datos (y, cuando el respaldo automático esté activo, también de los archivos), cifradas, sin la llave para leerlas. La ubicación la asigna Cloudflare y puede estar fuera de Ecuador. – Anthropic: su asistente de inteligencia artificial, Claude, ayuda a escribir el código de Sututu y a mantener el servidor y la base de datos. Trabaja solo cuando el responsable le encarga una tarea, y el responsable revisa lo que hace. En esas tareas de mantenimiento (por ejemplo, actualizar la base o comprobar que funciona) puede ver datos guardados, incluidos los tuyos. Está en Estados Unidos. – GitHub: cuando el respaldo automático esté activo, ejecutará el proceso que hace las copias de seguridad. Mientras corra, verá la copia antes de cifrarla; no la guardará. Está en Estados Unidos.

Además: – Promocionamos Sututu en redes sociales con fotos y descripciones que ya son públicas en el sitio, como explican los Términos. No publicamos ahí tus datos de cuenta, tu contacto, tu cédula ni tu cuenta bancaria. Redes que usamos: Instagram, Facebook, TikTok y grupos de WhatsApp. – El botón «Escribir por WhatsApp» de una compra abre WhatsApp en tu teléfono con el número de la otra parte. Ese mensaje lo envía tu teléfono, no Sututu. – Para medir el negocio usamos solo conteos totales (por ejemplo, cuántas recargas hubo en un día), que no identifican a nadie. – No vendemos tus datos ni los usamos para publicidad de otras empresas. – Sututu se construye y se opera con ayuda de un asistente de inteligencia artificial (Claude, de Anthropic, ver «Quién más trata tus datos»). La inteligencia artificial no decide nada sobre ti, no te perfila y no analiza tus datos para fines propios de Sututu.

Tus datos se guardan fuera de Ecuador

Tus datos se guardan fuera de Ecuador: la base de datos, el sistema de acceso, las fotos y los comprobantes están en un servidor de Hostinger en Boston, Estados Unidos, la aplicación corre en Vercel, en Estados Unidos, y el limitador de frecuencia corre en el mismo servidor de Hostinger. Los demás proveedores de la lista anterior también tratan datos fuera de Ecuador.

Eso es una transferencia internacional de datos. Al registrarte y aceptar esta política, aceptas esa transferencia. Si no estás de acuerdo, no crees una cuenta.

La transferencia se apoya en tu consentimiento al registrarte y en los acuerdos de tratamiento de datos que cada proveedor ofrece a sus clientes. Un abogado revisará estas garantías; si cambian, publicaremos una versión nueva.

Cuánto tiempo guardamos cada dato

Los plazos que ya están fijados:

– Si envías el registro por correo y la cuenta no llega a crearse, esos datos (tu correo, tu alias, tu IP y tu navegador) se borran pasados 15 minutos, en menos de 15 minutos más. Una cuenta cuyo correo nunca confirmas se conserva sin poder usarse, hasta que lo confirmes o nos pidas borrarla por el formulario de contacto. – Tu alias: mientras exista tu cuenta. Si cierras tu cuenta, tu alias se conserva y nadie más puede usarlo. – Las fotos de una publicación o de un ítem de la vitrina: se borran cuando lo retiras o cuando se cierra tu cuenta. Si una foto respalda algo abierto (una compra sin entregar, un reporte o una apelación sin resolver), se borra apenas eso se cierra. Las de una publicación suspendida por un artículo prohibido se guardan 15 días después de la decisión, que es el plazo para pedir revisión, y mientras haya una revisión pendiente. – La foto que reemplazas en un ítem de la vitrina: se borra al reemplazarla, si nada la retiene. – Una imagen de un mensaje que subiste y no enviaste, o un comprobante que subiste sin crear la recarga: se borran pasadas 24 horas, en menos de una hora más. – La imagen original que sube tu navegador antes de procesarla: se borra pasada 1 hora, en menos de una hora más. Lo que se publica es una copia nueva, sin metadatos. – La copia de una publicación reportada: hasta resolverse el reporte. – Los datos que pides para una revisión por suplantación: hasta resolverse la solicitud. – Los corazones: hasta que los quitas, se quita el ítem o se cierra la cuenta (se borran los que diste y los de tus ítems). – Las vistas por día de una publicación o de un ítem: mientras exista la publicación o el ítem. – El origen de las visitas a una tienda y las palabras de búsqueda que llevaron a ella: 90 días. – Las páginas de explorar que se mostraron en una visita (sin datos de la persona): se borran pasado 1 día, en menos de una hora más. – Las veces que una pieza pagada o una tienda salió en los lugares de visibilidad: 13 meses en detalle; después queda solo el total por mes, sin plazo. – Las señales de precio que el admin desestima, y las de precio muy alto: 13 meses. – Los cambios de alias: 30 días. – Los errores del servidor: 30 días. – Los intentos de las acciones con tope: se borran pasada 1 hora, en menos de 15 minutos más. – Los intentos de verificarte o de cambiar tus datos: los de más de 24 horas se borran la próxima vez que lo intentas; si no vuelves a intentarlo, se guardan mientras exista tu cuenta. – La huella de tu IP o de tu cuenta en el limitador de frecuencia, con su conteo: hasta el doble de la ventana de cada tope más un segundo. Las ventanas van de 1 minuto a 24 horas, así que la huella dura de 2 minutos y un segundo a 48 horas y un segundo. – Las copias de seguridad: se borran a los 30 días. Por eso, un dato que ya borramos puede seguir dentro de una copia hasta que esa copia vence.

Una foto que borramos puede seguir viéndose un tiempo corto en la memoria de entrega del sitio, y en la vista previa que WhatsApp u otra aplicación ya guardó cuando alguien compartió el enlace. Eso no lo controla Sututu.

El resto de los datos de esta política (por ejemplo, tu cédula, tu cuenta bancaria, tu contacto, tus compras, mensajes, reseñas, movimientos de puntos, comprobantes, reportes, strikes, avisos, tus solicitudes sobre tus datos, los ajustes de tu cupo de venta y la habilitación de Premium, el registro de lo que aceptaste y el de lo que hace el admin) se guarda mientras tu cuenta exista y, después de cerrarla, hasta 7 años, el plazo general de conservación de registros contables y tributarios en Ecuador; al vencer, se borran.

Qué pasa con tus datos si cierras tu cuenta

Puedes pedir que eliminemos tus datos y cerremos tu cuenta desde Configuración, en «Mis datos personales», eligiendo «Eliminar mis datos y cerrar mi cuenta». Si ya no puedes entrar, pídelo por el formulario de contacto. El admin la resuelve y te avisa.

Al cerrarse tu cuenta: – Ya no puedes entrar con ella y tu saldo de puntos se pierde, como dicen los Términos. – Tu tienda, tu vitrina y tus comentarios dejan de verse en público. – Se borran las fotos de tus publicaciones y de tu vitrina, tus corazones y los de tus ítems, y las vistas por día de lo tuyo. – Las ofertas ciegas que tenías abiertas se cierran sin venta.

Hay datos que se conservan, porque son parte de lo que vivió otra persona o porque hacen falta para atender reclamos, obligaciones legales o prevenir fraudes: – Tus compras y sus mensajes quedan como registro. En las compras ya entregadas, la otra parte sigue viendo tu contacto. – Las reseñas que escribiste siguen públicas, firmadas como «Comprador con cuenta cerrada». – Tus ofertas en ofertas ciegas de otras personas quedan como registro, igual que las pujas. – Tus movimientos de puntos, el registro de lo que aceptaste, el registro de lo que hizo el admin y, si tu cuenta fue vetada, la huella de tu cédula. – Lo demás de tu cuenta se guarda sin mostrarse a nadie hasta que venza ese mismo plazo de 7 años. Tu cédula y tu cuenta bancaria se conservan solo para prevenir fraudes y atender reclamos, sin mostrarse a nadie.

Decisiones que toma el sistema solo

Algunas reglas se aplican sin que una persona las revise antes: tu nivel de confianza y los topes que fija (cuántas publicaciones puedes tener y si puedes lanzar subastas); el cupo de publicaciones, el de venta y el tope de ventas abiertas; el tope diario de las cuentas nuevas; los indicadores negativos según el motivo de cancelación; el strike automático cuando una compra se cancela porque la otra parte no se presentó, y los bloqueos al llegar a 3 strikes; el orden de lo pagado en los lugares de visibilidad; el control interno de las ofertas ciegas; la comprobación del motivo cuando un vendedor rechaza al ganador de una subasta; y la cuenta que se salta al cierre de una subasta o de una oferta ciega.

Cuando el sistema te niega algo, te dice por qué. Si crees que una decisión es injusta, puedes reportar la compra, pedir una revisión cuando el sitio lo ofrece, o escribirnos por el formulario de contacto, y el admin la revisa. Los Términos explican cada criterio.

Tus derechos y cómo ejercerlos

La LOPDP te da derecho a: – Acceder a tus datos: saber qué datos tuyos tenemos y recibir una copia. – Rectificarlos y actualizarlos si están mal o desactualizados. – Eliminarlos. – Oponerte a que los usemos para un fin concreto. – Pedir la suspensión de su tratamiento. – La portabilidad: recibirlos en un formato que se pueda leer con una computadora. – No ser objeto de una decisión basada solo en un tratamiento automatizado sin poder pedir que una persona la revise.

Cómo pedirlos: – Con tu cuenta: entra a Configuración, «Mis datos personales». Ahí puedes pedir una copia de tus datos (que se descarga solo desde tu sesión, en un archivo que se puede leer con una computadora), corregir tu alias o eliminar tus datos y cerrar tu cuenta. – Tu correo lo cambias tú en Configuración, con una confirmación en el correo nuevo. – Tu cédula, tu cuenta bancaria o tu contacto los cambias en Configuración, en «Verificación», con una solicitud de cambio que revisa el admin. – Para oponerte, pedir la suspensión o cualquier otro derecho, o si no tienes cuenta o ya la cerraste: escríbenos por el formulario de sututu.club/contacto, eligiendo «Mis datos». Te respondemos al correo que escribas.

Te respondemos en un plazo de 15 días.

Si no estás conforme con la respuesta, puedes reclamar ante la Superintendencia de Protección de Datos Personales.

Seguridad

Cuidamos tus datos con estas medidas: – Todo el sitio funciona con conexión cifrada (HTTPS). – La base de datos no está expuesta a internet y cada tabla tiene reglas de acceso, para que cada persona vea solo lo que le corresponde. – Las copias de seguridad se guardan cifradas. – El admin entra con un segundo factor y lo que hace queda registrado. – Quitamos la ubicación y los datos de la cámara de las fotos y de los comprobantes. – Ningún aviso ni correo lleva tu cédula, tu cuenta bancaria ni tus comprobantes.

Ningún sistema es infalible. Si ocurre una filtración de datos personales, avisaremos a la autoridad y a las personas afectadas como lo indique la LOPDP.

Menores de edad

Sututu es solo para personas de 18 años o más. Al registrarte declaras tener esa edad, y la verificación de la cédula lo confirma. Si detectamos que una cuenta es de un menor, el admin la cierra.

Cookies

Sututu usa solo cookies técnicas: la de tu sesión, para mantenerte dentro de tu cuenta, y la del tema claro u oscuro que elijas. No usamos cookies de publicidad ni de seguimiento.

Cambios a esta política

Si cambiamos esta política, publicamos una versión nueva en esta misma página, con su número y su fecha, y te avisamos. Antes de seguir comprando, pujando, ofertando, abriendo ofertas ciegas, publicando, republicando, editando publicaciones, lanzando subastas, recargando puntos, contratando un plan, patrocinando o activando la renovación de un plan, tendrás que aceptar la versión nueva. Guardamos qué versión aceptaste y cuándo.

Contacto

Para cualquier duda sobre esta política o sobre tus datos, escríbenos por el formulario de sututu.club/contacto o al correo soporte@sututu.club.