Política de privacidad

1. Quién recopila tus datos

El responsable del tratamiento de tus datos personales es Servicios Vanegas, razón social de Jefferson Stid Vanegas Solís, con domicilio en Managua, Nicaragua, titular y único propietario de la plataforma Norte, que opera en los dominios tunorte.app (el sitio público), erp.tunorte.app (la aplicación) y movil.tunorte.app (la aplicación del teléfono). Para cualquier consulta relacionada con tus datos, escribinos a privacidad@tunorte.app.

2. Datos que recopilamos

Datos que vos nos das

• Cuenta: nombre completo, correo electrónico, contraseña encriptada, número de teléfono opcional.
• Empresa: nombre del negocio, RUC, dirección, país, moneda, sector.
• Datos operativos: clientes, proveedores, productos, facturas, inventarios, transacciones, mensajes que ingresás al Servicio.
• Comunicación: consultas que enviás por chat, email o WhatsApp.
• Pago: Norte no almacena datos de tarjetas. Hoy la suscripción se cobra fuera de la aplicación (transferencia o acuerdo directo), así que ningún dato de tarjeta pasa por nuestros servidores. Cuando el cobro en línea esté disponible lo procesa Tilopay, y los datos de la tarjeta se los das a ellos, no a nosotros.

Datos automáticos

• Sesión: dirección IP, tipo de navegador, sistema operativo, idioma, zona horaria.
• Bitácora de acciones: quién creó, cambió o anuló cada documento, con la fecha y la hora. Es la bitácora del ERP, para que el dueño pueda auditar su propio negocio.
• Registro de descargas: quién exportó un listado a Excel, qué listado y cuándo.
• Errores: cuando la aplicación falla se envía el error con la dirección de la pantalla donde ocurrió.
• Cookies y similares: ver nuestra Política de Cookies.

Lo que NO recogemos: no hay ninguna herramienta de analítica instalada en el sitio ni en la aplicación — ni Google Analytics, ni Facebook Pixel, ni PostHog, ni nada parecido. Con una precisión: el sistema que nos avisa de los errores (Sentry) registra, en aproximadamente 1 de cada 10 aperturas de pantalla, cuál se abrió y cuánto tardó. No graba lo que hacés adentro ni el contenido de tus datos. Acá decía «no medimos qué páginas visitás», y con eso a mano era decir de más.

3. Para qué usamos tus datos

• Prestación del Servicio: crear y mantener tu cuenta, procesar transacciones, emitir facturas electrónicas, enviar comprobantes.
• Soporte: responder a tus consultas y resolver incidencias.
• Mejora continua: entender qué funciona y qué no, para perfeccionar la plataforma.
• Comunicación: enviarte notificaciones operativas (cambios en el Servicio, mantenimientos, actualizaciones legales). Sólo te mandamos marketing si nos das tu consentimiento explícito.
• Cumplimiento legal: atender requerimientos de autoridades fiscales, judiciales o regulatorias cuando corresponda por ley.
• Seguridad: detectar y prevenir fraude, abuso o accesos no autorizados.

4. Base legal del tratamiento

Tratamos tus datos personales en base a:

• Contrato: para prestarte el Servicio que vos contrataste.
• Consentimiento: para marketing, y sólo si lo pedís. Hoy no hay ninguna cookie opcional que consentir — ver la Política de Cookies.
• Obligación legal: para cumplir obligaciones fiscales y regulatorias.
• Interés legítimo: para asegurar la operación segura del Servicio.

5. Con quién compartimos

No vendemos tus datos. Los compartimos sólo con:

• Infraestructura: Supabase (base de datos y autenticación), Vercel (los tres sitios: el público, la aplicación de computadora y movil.tunorte.app, que también es un sitio) y Cloudflare (dominio y red). Cada uno publica sus propias certificaciones de seguridad; las de ellos no son certificaciones de Norte.
• Archivos: Cloudflare R2. Ahí se guardan las fotos y los documentos que subís: el logo del negocio, las imágenes de los productos, las fotos de la barbería, del lavadero y de la revisión de los vehículos, y los adjuntos del expediente clínico (por ejemplo, resultados de laboratorio en PDF).
• Servidor propio: Hetzner (Falkenstein, Alemania), donde corren los procesos en segundo plano, el asistente de la aplicación y donde se guardan las copias de seguridad.
• Procesador de pagos: Tilopay. Todavía no está en uso: hoy la suscripción se cobra fuera de la aplicación y no hay ni un pago procesado por esta vía. Lo listamos porque es el proveedor elegido y no queremos que aparezca de sorpresa el día que se encienda.
• Correo: Resend, para los avisos que te mandamos (cartera vencida, aviso de que entró soporte) y para los recordatorios de cita que salen a los clientes de tu negocio. O sea que Resend recibe también correos de terceros que vos cargaste, no sólo el tuyo.
• Freno de intentos de ingreso: Upstash (Redis), que cuenta los intentos fallidos para frenar a quien prueba contraseñas. Recibe la dirección IP y el correo del intento, nada más.
• Errores de la aplicación: Sentry, para enterarnos cuando algo falla. Recibe el error, la dirección de la página y el identificador de la sesión — no el contenido de tus facturas ni de tus clientes.
• App móvil: Expo es la herramienta con la que está hecha la aplicación del teléfono. Corrección: acá decía «para publicarla y actualizarla», y no es así — la versión de teléfono que se usa hoy se publica por Vercel, igual que el resto.
• Autoridades fiscales de Nicaragua: sólo si tu negocio activa la facturación electrónica. Hoy ningún negocio la tiene activa en producción, así que no se le ha enviado un solo comprobante.
• Google Calendar: si conectás tu agenda (vertical Barbería), Norte escribe y lee las citas de ese calendario. Sólo funciona si vos la activás. Corrección: acá decía que era «la única integración externa que existe hoy», y era falso — la lista completa es ésta.
• Asistente del sitio público: los mensajes que escribís al chat de tunorte.app se envían a OpenAI (modelo GPT-4o) para generar la respuesta. Es el chat de la página de ventas: no ve los datos de ningún negocio. OpenAI no usa los mensajes de su API para entrenar modelos.
• Asistente de adentro de la aplicación (esto sí ve tus datos): el ERP tiene su propio asistente, distinto del anterior y disponible en todas las pantallas. Cuando le preguntás algo, tu pregunta y los datos del negocio que hagan falta para responderla se envían a OpenRouter, que los pasa al modelo de Anthropic (Claude). Lo que puede consultar: clientes —con su código, RUC, correo y teléfono—, facturas, productos con su precio, cuentas por cobrar y por pagar. Contesta sólo sobre tu negocio y nunca sobre otro. Corrección: hasta el 7 de septiembre de 2026 esta política sólo declaraba el chat del sitio público y no mencionaba éste. Era la omisión más importante del documento y por eso queda escrita.
• Autoridades judiciales: cuando exista orden judicial válida.

Ésta es la lista completa, y está en negativo también: no usamos Google Analytics, Facebook Pixel, PostHog ni ninguna herramienta de analítica o publicidad, y no hay integración activa con Meta, LinkedIn, TikTok, YouTube ni la API de WhatsApp Business. Si algún día se agrega alguna, aparece acá antes de encenderse.

6. Transferencias internacionales

Tus datos no se guardan en Centroamérica. La base de datos y la autenticación están en Supabase; la aplicación web, en Vercel. El servidor donde corren los procesos en segundo plano y donde se guardan las copias de seguridad está en Hetzner, en Falkenstein, Alemania. Si necesitás la región exacta de cada proveedor para tu propio expediente, te la damos por escrito.

Cada uno de esos proveedores publica su propio acuerdo de tratamiento de datos con las cláusulas contractuales tipo de la Unión Europea, y es lo que ampara la transferencia. Norte no ha negociado condiciones distintas a las estándar de cada proveedor — decirlo de otra manera sería prometer un contrato que no existe.

7. Cuánto tiempo conservamos los datos

• Cuenta activa: mientras tu suscripción esté vigente.
• Cuenta cancelada: 90 días para que puedas exportar todo. Pasado ese plazo eliminamos los datos. Cómo se hace, dicho de frente: el borrado lo ejecuta una persona cuando lo pedís o cuando vence el plazo — no hay todavía un proceso automático que barra las cuentas vencidas. Si querés que se borre antes de los 90 días, lo pedís y se hace.
• Comprobantes fiscales: conservación por el plazo que exija la ley (mínimo 5 años en Nicaragua).
• Bitácora de acciones: se conserva mientras la cuenta esté activa. No se puede borrar ni modificar, tampoco por nosotros — ése es justamente su valor.
• Copias de seguridad: siete días las del proveedor, treinta días las diarias propias. Una cuenta eliminada sigue estando en las copias hasta que éstas venzan.
• Registro de descargas: igual que la bitácora — mientras la cuenta esté activa, sin poder editarse ni borrarse.
• Datos anonimizados: pueden conservarse indefinidamente para estadísticas internas.

8. Tus derechos

Sobre tus datos personales tenés derecho a:

• Acceder: saber qué datos tenemos sobre vos.
• Rectificar: corregir datos incorrectos o desactualizados.
• Eliminar: pedir la supresión (sujeto a obligaciones legales).
• Portabilidad: llevarte tus datos. Y no hay que pedirlo: desde Configuración → «Tus datos son tuyos», el dueño o un administrador baja el negocio completo en un solo archivo de Excel —clientes, productos, facturas, cobros, inventario, asientos y todo lo demás que tengas cargado—. El archivo trae una pestaña por cada cosa que uses: en un negocio real suelen ser entre 20 y 60. Está disponible en todos los planes, incluido el más barato: llevarse lo propio no se cobra.
• Oponerte: al tratamiento basado en interés legítimo.
• Limitar: el procesamiento en casos específicos.
• Retirar el consentimiento: en cualquier momento, sin afectar tratamientos previos.

Para ejercer cualquiera de estos derechos, escribinos a privacidad@tunorte.app. Te respondemos en menos de 15 días hábiles.

9. Seguridad

Implementamos medidas técnicas y organizativas razonables para proteger tus datos:

• Aislamiento entre negocios, verificado con pruebas. Cada organización sólo alcanza sus propios datos, y no es sólo una promesa: hay dos pruebas automáticas que se convierten en un usuario real de un solo negocio y recorren todas las tablas que llevan identificador de organización —hoy 252 de 271— contando cuántas filas ajenas alcanza a ver y cuántas alcanza a modificar. Las dos tienen que dar cero. Corren solas cada vez que se cambia la estructura de la base, y se corrieron contra el sistema en producción el 18 de agosto de 2026 —232 tablas, resultado cero y cero—; podemos mostrarte esa constancia. Dicho con precisión: acá se afirmaba que se corren contra producción de continuo, y no es así: contra producción se corren a mano.
• Cifrado en tránsito (HTTPS/TLS) en toda la aplicación. El cifrado de los discos donde vive la base lo provee nuestro proveedor de infraestructura.
• Contraseñas guardadas con hash y salt — ni nosotros podemos leerlas. También se puede entrar con enlace de un solo uso.
• Bitácora de acciones críticas (facturas, cobros, movimientos de inventario, cierres de caja) con quién y cuándo, visible para el dueño desde la propia aplicación. Registra escrituras: quién creó, cambió o anuló algo.
• Respaldos diarios automáticos hechos por nuestro proveedor, con siete días de historia, más una copia propia cada 30 minutosguardada en un servidor distinto. La restauración se ensayó de verdad, cargando una copia en una base nueva y comparando los números.
• Permisos por persona. Quién puede vender, cobrar, anular, ver los números o cambiar la configuración se decide uno por uno, y lo hace cumplir la base de datos, no sólo la pantalla.
• Verificación en dos pasos. Además de la contraseña se puede pedir un número de seis dígitos que cambia en el teléfono. La activa cada persona desde «Mi cuenta», y está disponible para todo el equipo, no sólo para el dueño. Al activarla se entregan códigos de respaldo para no quedarse afuera si se pierde el teléfono. Nace apagada: quien no la active entra como siempre.
• Y el negocio la puede exigir, con plazo. El dueño puede pedir que todo su equipo la use; la cuenta atrás la lleva nuestro servidor, no la pantalla, y sólo puede exigirla quien ya la tiene puesta y guardó sus códigos de respaldo. Un administrador puede reiniciarle el segundo factor a alguien del equipo que perdió el teléfono, y eso queda anotado. Desde septiembre de 2026 la exigencia también corta en la app del teléfono, no sólo en la computadora: vencido el plazo, la app manda a la pantalla donde se activa. El cajero que entra con PIN queda afuera de esto a propósito — no tiene cuenta, y el segundo factor no puede dejar a nadie sin poder cobrar.
• Queda escrito quién se baja los datos de tu negocio. Cada vez que alguien exporta a Excel un listado —cartera, clientes, inventario, kardex, libro mayor— se anota quién fue, qué se llevó, cuándo y si lo hizo desde la computadora o desde el teléfono. Corrección: acá decía «desde qué dirección», y la dirección IP no se guarda en ese registro. Lo ves en Configuración → «Quién vio tus datos», en tu propia pantalla y sin pedírselo a nadie. Ahí mismo se marca cuándo entró soporte de Norte a tus datos, y desde ahí le cortás el acceso. Lo escrito no se puede editar ni borrar, tampoco por nosotros. Lo que este registro no es: no atrapa a quien tenga conocimientos técnicos y consulte la base por fuera de la aplicación — registra el uso normal, que es lo que hace el 100 % de la gente. La barrera de verdad es el aislamiento del primer punto.

Lo que todavía no tenemos, dicho de frente: no contamos con certificaciones externas (SOC 2, ISO 27001) ni con auditorías de seguridad de terceros, y no tenemos guardia 24/7 ni pruebas de intrusión periódicas. Tampoco podemos volver a un minuto exacto anterior a una falla (eso se llama PITR y no está contratado): lo que se puede perder en el peor caso es lo hecho en la última media hora. Preferimos decirlo a que lo descubras después.

10. Menores de edad

El Servicio no está dirigido a menores de 18 años. No recopilamos datos personales de menores intencionalmente. Si sos padre/madre/tutor y detectás que tu hijo/a creó una cuenta, contactanos para eliminarla.

11. Cambios a esta política

Si modificamos esta política de forma que cambie lo que aceptaste, te lo notificaremos por correo electrónico al menos con 30 días de antelación. Al inicio de este documento están siempre la fecha y la versión; esa versión es la misma que queda anotada en tu constancia de aceptación, para que dentro de dos años se pueda saber exactamente qué texto firmaste.

Una excepción, y va dicha: las correcciones que sacan de este documento algo que Norte no hacía —un proveedor que no usábamos, una medida de seguridad que no teníamos— entran en vigor de inmediato y sin aviso previo. Esperar treinta días para dejar de afirmar algo falso sería sostener la falsedad treinta días más. La versión sube igual, así que el cambio queda registrado y es comparable.

12. Contacto

Para cualquier consulta sobre privacidad: privacidad@tunorte.app.
Responsable: Servicios Vanegas — Jefferson Stid Vanegas Solís · Managua, Nicaragua.