Política de Privacidad y Datos Personales
Versión 2.0 · actualizado el
Esta Política explica qué datos personales trata Valija.uy, con qué finalidad, con quién los comparte y cómo el titular puede ejercer sus derechos de Acceso, Rectificación, Cancelación y Oposición. Se aplica a todos los usuarios, se hayan registrado de forma manual o mediante Google, Facebook o X.
1. Responsable del Tratamiento
El responsable del tratamiento de los datos personales recabados a través de la plataforma Valija.uy (en adelante, "Valija" o "la Plataforma") es su operador, identificado como: Bruno Berriel, C.I. 5.259.330-2, con domicilio a estos efectos en Av. Libertador 1854, Montevideo, Uruguay (en adelante, el "Responsable").
Cualquier consulta, reclamo o ejercicio de derechos relativo al tratamiento de datos personales puede dirigirse por escrito a privacidad@valija.uy.
Esta base de datos se encuentra en trámite de inscripción ante el Registro Permanente de Bases de Datos que administra la Unidad Reguladora y de Control de Datos Personales (URCDP), conforme el artículo 30 de la Ley N° 18.331.
2. Datos Recolectados
Para poder operar como Comprador o Viajero dentro de la Plataforma, Valija recaba las siguientes categorías de datos personales:
a) Datos provistos manualmente en el registro
- Nombre completo.
- Dirección de correo electrónico y contraseña (esta última se almacena de forma cifrada mediante el proveedor de autenticación; Valija nunca accede a la contraseña en texto plano).
- Fecha de nacimiento (utilizada para verificar la mayoría de edad).
- Cédula de identidad (utilizada exclusivamente para la verificación de identidad y prevención de fraude, en el marco del proceso de aprobación de cuentas descrito en la Sección 3).
- Pasaporte o documento de viaje, únicamente en el caso de Viajeros y cuando resulte necesario para validar la identidad del titular del pasaje o el itinerario declarado. Valija no conserva copia del documento una vez concluida la validación, salvo el número de documento y la constancia de que la verificación fue superada.
- Datos de pago. Valija NO almacena números completos de tarjeta, códigos de seguridad ni credenciales bancarias: la captura y tokenización de esos datos se realiza íntegramente en el entorno de Mercado Pago. Valija conserva únicamente los identificadores de la operación, el importe, la fecha, el estado del pago y los últimos dígitos y la marca del medio utilizado, a los solos efectos de conciliación, soporte y atención de disputas.
- Dirección residencial y teléfono de contacto (utilizados para la logística de entrega y para que la Administración pueda contactar al usuario en caso de incidencias).
- Rol elegido dentro de la Plataforma (Comprador o Viajero).
b) Datos provistos por redes sociales (inicio de sesión con Google, Facebook o X)
- Nombre y apellido asociados a la cuenta del proveedor.
- Dirección de correo electrónico verificada por el proveedor.
- Foto de perfil pública (avatar), cuando el proveedor la comparte.
- Un identificador único de la cuenta del proveedor, utilizado únicamente para vincular la sesión con el perfil de Valija.
- Valija no solicita ni accede a contraseñas de Google, Facebook o X, ni a listas de contactos, publicaciones, mensajes privados o cualquier otro dato del proveedor que exceda el perfil básico de autenticación.
c) Datos generados por el uso de la Plataforma
- Historial de pedidos, viajes publicados, calificaciones y reputación entre usuarios.
- Comprobantes de pasaje y demás documentación cargada para la validación de viajes.
- Registros técnicos de sesión (dirección IP, fecha y hora de acceso) generados automáticamente por la infraestructura de autenticación.
- Métricas de rendimiento y experiencia de navegación, descritas en la Sección 7.
3. Finalidad del Tratamiento
Los datos personales recabados se utilizan exclusivamente para las siguientes finalidades, todas ellas necesarias para el funcionamiento seguro de la Plataforma:
- Crear y administrar la cuenta de usuario, y habilitar el inicio de sesión (manual u OAuth).
- Verificación de identidad (KYC): toda cuenta nueva —se haya registrado manualmente o mediante Google, Facebook o X— queda en estado "pendiente" hasta que un Administrador de Valija valida la cédula de identidad, la fecha de nacimiento y la dirección declaradas, y aprueba o rechaza la cuenta. Ninguna cuenta puede publicar viajes ni realizar compras mientras se encuentre en estado pendiente o rechazado.
- Prevención de fraude y protección de la comunidad: la validación manual por un Administrador busca reducir el riesgo de identidades falsas, suplantación y uso fraudulento de la franquicia aduanera personal de los Viajeros.
- Gestión operativa de los pedidos: coordinar la compra, el traslado y la entrega de las prendas entre Compradores y Viajeros, incluida la custodia temporal (escrow) de los pagos.
- Comunicaciones relativas al servicio: notificaciones sobre el estado de un pedido, un viaje, una disputa o la aprobación/rechazo de la cuenta.
- Cumplimiento de obligaciones legales y atención de requerimientos de autoridades competentes.
- Mejora del servicio y de la experiencia de uso, a partir de métricas agregadas y anónimas de rendimiento (Sección 7).
4. Base Legal y Consentimiento
De conformidad con los artículos 8° y 9° de la Ley N° 18.331, el tratamiento de datos personales por parte de Valija se funda en el consentimiento previo, informado y expreso del titular, prestado al momento de crear su cuenta (ya sea completando el formulario de registro manual o autorizando el acceso mediante Google, Facebook o X) y al aceptar los Términos y Condiciones y la presente Política de Privacidad.
El titular puede retirar su consentimiento en cualquier momento mediante el procedimiento descrito en la Sección 12, sin perjuicio de que dicho retiro pueda implicar la imposibilidad de continuar utilizando la Plataforma.
5. Comunicación a Terceros e Inicio de Sesión Social
Valija no vende, alquila ni comercializa datos personales de sus usuarios. Los datos se comparten únicamente con los siguientes terceros, en su calidad de encargados del tratamiento o proveedores de infraestructura, y exclusivamente en la medida necesaria para prestar el servicio:
- Supabase Inc.: proveedor de infraestructura de autenticación y base de datos, actuando como encargado del tratamiento bajo instrucciones del Responsable.
- Mercado Pago (Mercado Libre Uruguay S.R.L.): procesador de pagos, utilizado para la tokenización de tarjetas y la liquidación de fondos entre Compradores y Viajeros.
- Vercel Inc.: proveedor de hosting y de las métricas de rendimiento descritas en la Sección 7.
- Google LLC, Meta Platforms, Inc. y X Corp.: proveedores del servicio de autenticación federada (OAuth), utilizados únicamente cuando el usuario elige iniciar sesión con alguna de estas cuentas.
6. Transferencia Internacional de Datos
Dado que los proveedores mencionados en la Sección 5 operan con infraestructura fuera de la República Oriental del Uruguay, el tratamiento de los datos personales del usuario puede implicar su transferencia internacional. De conformidad con el artículo 23 de la Ley N° 18.331, el usuario presta su consentimiento expreso a dicha transferencia al aceptar esta Política de Privacidad, entendiendo que los proveedores mencionados cuentan con mecanismos de protección de datos y cláusulas contractuales estándar reconocidas internacionalmente.
8. Plazo de Conservación de los Datos
Los datos personales se conservan mientras la cuenta del usuario permanezca activa y durante el plazo adicional necesario para el cumplimiento de obligaciones legales, contables o de prevención de fraude, o para la atención de eventuales reclamos o disputas derivadas de pedidos ya finalizados.
Ante una solicitud de eliminación conforme la Sección 12, los datos se eliminarán o anonimizarán dentro de los plazos allí indicados, salvo aquella información que deba conservarse por imperio de una obligación legal.
9. Medidas de Seguridad
Valija implementa medidas técnicas y organizativas razonables para proteger los datos personales contra el acceso no autorizado, la pérdida o la alteración, entre ellas: cifrado de contraseñas mediante el proveedor de autenticación, políticas de seguridad a nivel de fila (Row Level Security) en la base de datos que restringen el acceso de cada usuario a su propia información, y acceso restringido a datos sensibles (cédula de identidad, dirección) únicamente al personal de Administración encargado de la verificación de cuentas.
No obstante, ningún sistema de transmisión o almacenamiento de datos es enteramente inviolable, por lo que Valija no puede garantizar la seguridad absoluta de la información transmitida a través de internet.
10. Menores de Edad
La Plataforma está destinada exclusivamente a personas mayores de 18 años. Valija solicita la fecha de nacimiento en el registro precisamente para verificar este requisito, y no recaba deliberadamente datos de menores de edad. Si Valija tomara conocimiento de que se ha registrado una cuenta perteneciente a un menor de edad, procederá a suspenderla y a eliminar los datos correspondientes.
11. Derechos ARCO y Acción de Habeas Data
De conformidad con la Ley N° 18.331 y el artículo 37 de la Constitución de la República, todo titular de datos personales registrado en la Plataforma tiene derecho a ejercer, en cualquier momento y de forma gratuita, los siguientes derechos:
- Acceso: solicitar información sobre qué datos personales propios son objeto de tratamiento, con qué finalidad y a qué terceros han sido comunicados.
- Rectificación: solicitar la corrección o actualización de datos inexactos, incompletos o desactualizados.
- Cancelación (supresión): solicitar la eliminación de sus datos personales cuando su tratamiento no se ajuste a la ley, haya cesado la finalidad que lo justificaba, o el titular retire su consentimiento.
- Oposición: oponerse al tratamiento de sus datos personales por motivos fundados y legítimos, salvo que exista una obligación legal de conservarlos.
Estos derechos podrán ejercerse, de forma gratuita, mediante solicitud escrita dirigida a la casilla oficial legal@valija.uy (también atendida en privacidad@valija.uy), acreditando la identidad del titular —por ejemplo, mediante copia de su cédula de identidad— o enviando la solicitud desde la misma dirección de correo asociada a la cuenta.
Conforme a los artículos 14 y 15 de la Ley N° 18.331, Valija acusará recibo de la solicitud y proporcionará la información requerida dentro de los cinco días hábiles de acreditada la identidad del titular en el caso del derecho de acceso, y practicará la rectificación, actualización o supresión que corresponda dentro de los cinco días hábiles de recibida la solicitud fundada. Si la solicitud fuese denegada, la respuesta será fundada y se indicarán las vías de reclamo disponibles.
Asimismo, en caso de que el Responsable no dé cumplimiento a lo solicitado o no responda dentro de los plazos legales, el titular podrá promover la acción de protección de datos personales ("Habeas Data") ante los tribunales competentes, conforme el procedimiento previsto en el Capítulo VI de la Ley N° 18.331, así como presentar una denuncia ante la Unidad Reguladora y de Control de Datos Personales (URCDP).
12. Procedimiento de Eliminación de Datos
Esta sección constituye, además, la "Data Deletion Instructions URL" a los efectos de las políticas de plataforma de Google, Meta (Facebook) y X para aplicaciones con inicio de sesión social.
Cualquier usuario —haya iniciado sesión de forma manual o a través de Google, Facebook o X— puede solicitar la eliminación total de sus datos personales y de su cuenta por cualquiera de las siguientes vías:
a) Borrado inmediato (autoservicio)
- Si el usuario tiene la sesión iniciada, puede eliminar su cuenta y todos sus datos personales de forma inmediata e irreversible desde la página /legal/eliminar-datos, sin necesidad de intervención manual.
b) Solicitud por correo electrónico
- 1. Enviar un correo electrónico a privacidad@valija.uy desde la misma dirección asociada a la cuenta, con el asunto "Solicitud de eliminación de datos", indicando el nombre de usuario o correo electrónico de la cuenta y, si el registro fue realizado mediante Google, Facebook o X, el proveedor utilizado.
- 2. Valija verificará la identidad del solicitante y confirmará la recepción dentro de un plazo de 5 (cinco) días hábiles.
- 3. Dentro de un plazo máximo de 30 (treinta) días corridos desde la confirmación, Valija eliminará o anonimizará de forma permanente los datos personales del usuario (nombre, correo electrónico, cédula de identidad, dirección, teléfono, fecha de nacimiento y foto de perfil), salvo aquella información que deba conservarse por obligación legal (por ejemplo, registros vinculados a pedidos con disputas abiertas o requerimientos de organismos de contralor).
c) Eliminación automática desde Facebook
- Si el usuario se registró con Facebook, puede remover el acceso de Valija directamente desde Configuración de Facebook → Aplicaciones y sitios web. Facebook notifica automáticamente a Valija mediante un callback de eliminación de datos, que procesa la baja sin intervención manual y genera un código de confirmación de seguimiento.
d) Revocación del acceso OAuth ante el proveedor
- Independientemente de la vía elegida, se recomienda al usuario revocar el acceso otorgado a Valija desde la configuración de su cuenta de Google, Facebook o X (ver enlaces en la Sección 5), ya que la revocación del token de acceso OAuth debe gestionarse directamente ante cada proveedor.
13. Autoridad de Control
La autoridad de contralor en materia de protección de datos personales en Uruguay es la Unidad Reguladora y de Control de Datos Personales (URCDP), dependiente de Presidencia de la República, con domicilio en Andes 1365, Piso 8, Montevideo, y sitio web datospersonales.gub.uy.
14. Cambios a esta Política
Valija podrá modificar la presente Política de Privacidad para reflejar cambios normativos, técnicos u operativos. Toda modificación relevante será notificada a los usuarios a través de la Plataforma o por correo electrónico, e indicará la fecha de la nueva versión en el encabezado de este documento.
15. Contacto
La casilla oficial de contacto en materia legal y de protección de datos es legal@valija.uy. También se atiende privacidad@valija.uy para solicitudes específicas sobre tratamiento de datos personales. Toda comunicación recibe acuse de recibo.
El Responsable del Tratamiento es Bruno Berriel, C.I. 5.259.330-2, con domicilio a estos efectos en Av. Libertador 1854, Montevideo, Uruguay.
Documento redactado conforme a la normativa de la República Oriental del Uruguay. Se encuentra sujeto a revisión por profesional del derecho previo a su versión definitiva. Consultas a legal@valija.uy.