Acuerdo de tratamiento de datos

Este acuerdo forma parte de los Términos y condiciones y se celebra entre el comercio que usa Kambak (el “Comercio”, responsable de la base de datos) y Javier Bagdadi, con domicilio en Av. del Libertador 6199, CABA (C1428), Argentina, titular de Kambak (“Kambak”, encargado del tratamiento o prestador de servicios de tratamiento de datos, art. 25 de la Ley 25.326). Lo acepta el dueño del Comercio al registrarse o cuando publicamos una versión nueva. Versión 2026-10-10.

1. Objeto

Kambak trata los datos personales de los clientes del Comercio (los “Clientes finales”) solo para prestar el servicio: emitir y actualizar tarjetas en Google Wallet y Apple Wallet, registrar visitas y canjes, enviar los avisos que el Comercio decida, cobrar membresías a nombre del Comercio y darle estadísticas.

2. Datos y titulares

• Titulares: los Clientes finales que se suman a una tarjeta del Comercio (por QR, NFC, link o importación).
• Datos: nombre, email, teléfono y fecha de nacimiento (opcionales según la tarjeta), consentimiento para promociones, saldo de la tarjeta (sellos, puntos, saldo, vencimiento), historial de visitas y canjes, estado de pago de membresías e identificadores técnicos de los pases.
• No se tratan datos sensibles (art. 2, Ley 25.326). El Comercio se compromete a no cargarlos en ningún campo ni aviso.

3. Kambak actúa solo según las instrucciones del Comercio

Las instrucciones son las que el Comercio da al usar el panel (crear tarjetas, importar clientes, mandar campañas, borrar un cliente) y este acuerdo. Kambak no usa los datos para fines propios, no los vende, no los cede ni los cruza con los de otros comercios. Si una instrucción le parece contraria a la ley, se lo avisa al Comercio y puede no cumplirla.

4. Obligaciones de Kambak

• Confidencialidad (art. 10): las personas con acceso están obligadas al secreto, también después de terminar su relación con Kambak.
• Seguridad (art. 9): conexiones cifradas (HTTPS), contraseñas con hash, cifrado de credenciales y tokens, separación de los datos de cada comercio en la base y en el código, acceso restringido al personal que lo necesita, registro de acciones sensibles (exportaciones, bajas) y copias de seguridad.
• Incidentes: si Kambak detecta un incidente de seguridad que afecte los datos del Comercio, se lo informa sin demora indebida y como máximo dentro de las 72 horas de conocerlo, con lo que se sepa (qué pasó, qué datos, qué se hizo) para que el Comercio pueda cumplir sus propias obligaciones.
• Derechos de los titulares: el panel tiene herramientas para ver, corregir, exportar y borrar (anonimizar) clientes. Si un Cliente final le escribe a Kambak o usa Mis datos, Kambak verifica su email y le pasa el pedido al Comercio en Solicitudes con el plazo legal (10 días corridos para el acceso, 5 días hábiles para rectificación o supresión, arts. 14 y 16).
• Colaboración: Kambak le da al Comercio la información razonable que necesite para demostrar que cumple la ley (por ejemplo, ante la AAIP).

5. Obligaciones del Comercio

• Informar a sus clientes (la landing de alta ya muestra el aviso y linkea la política de privacidad del Comercio que arma Kambak) y tener base legal para cada uso; en particular, mandar promociones solo a quien las aceptó.
• Inscribir su base de datos en el Registro Nacional de Bases de Datos de la AAIP cuando corresponda.
• Si importa clientes, que los datos hayan sido obtenidos lícitamente y con el consentimiento que declara al importar.
• Responder en plazo los pedidos de sus clientes que le llegan a Solicitudes.
• Cuidar el acceso a su cuenta y dar acceso solo a empleados que lo necesiten.

6. Subencargados

El Comercio autoriza a Kambak a usar estos proveedores, con obligaciones de confidencialidad y seguridad equivalentes a las de este acuerdo:

Si Kambak suma o cambia un subencargado, lo publica en esta página y lo avisa por email con al menos 15 días de anticipación; si el Comercio no está de acuerdo, puede terminar el servicio sin costo antes de que rija.

7. Transferencias internacionales

Algunos subencargados están en países que la AAIP no considera con nivel adecuado de protección (por ejemplo, Estados Unidos). En esos casos la transferencia se hace con las garantías del art. 12 de la Ley 25.326 y su reglamentación: cláusulas contractuales con el proveedor que aseguren un nivel de protección equivalente (modelos de la Disposición DNPDP 60/2016 o las condiciones de cada proveedor), y solo con los datos necesarios para la función.

8. Inteligencia artificial

Las funciones de IA (proveedor: Anthropic, PBC) reciben textos del Comercio, datos agregados o identificadores. Antes de enviar, Kambak tapa los emails y teléfonos que aparezcan. El copiloto del panel puede recibir el nombre de pila de un Cliente final cuando el Comercio lo busca o le pregunta por él, nunca su apellido, email ni teléfono. Excepción: cuando el Comercio sube una foto de una planilla o de tarjetitas para importar clientes, la imagen se envía tal cual para leerla (se le pide al modelo que extraiga solo nombre y sellos) y Kambak no la guarda. Según las condiciones comerciales del proveedor, no usa esos datos para entrenar sus modelos.

9. Auditoría

Una vez por año, o ante un incidente, el Comercio puede pedir información sobre las medidas de seguridad. Kambak responde por escrito dentro de los 30 días; una auditoría presencial se acuerda con anticipación y a cargo del Comercio.

10. Fin del servicio: devolución y destrucción

• Cuando el Comercio pide la baja de su cuenta, tiene 30 días corridos para descargar sus datos y los de sus clientes (Ajustes → Zona de peligro → Exportar, JSON o CSV).
• Al terminar ese plazo, Kambak cierra la cuenta y destruye los datos personales de los Clientes finales (los anonimiza de forma irreversible y revoca los pases), y borra los tokens de Mercado Pago. Todo queda hecho dentro de los 90 días de la baja, como pide el art. 25 inc. 2 de la Ley 25.326. Las copias de seguridad se sobrescriben en su ciclo normal (hasta 30 días más).
• Se conservan solo los registros que la ley obliga a guardar (comprobantes de pagos y pedidos, por obligaciones fiscales y contables) y el historial de visitas sin datos que identifiquen a nadie.

11. Responsabilidad y vigencia

Cada parte responde por sus incumplimientos de este acuerdo y de la Ley 25.326. El acuerdo rige mientras el Comercio use Kambak y, para lo que hace falta (confidencialidad, destrucción), también después. Los cambios se avisan con 30 días de anticipación y se aceptan desde el panel. Consultas: jabagdadi@gmail.com.