Política de Privacidad

1. Introducción

Esta Política de Privacidad explica cómo Startup58 LLC ("la Compañía", "nosotros") recolecta, usa y protege la información cuando usas trackpetition.com (el "Servicio"). Al usar el Servicio, aceptas las prácticas descritas en esta Política.

2. Información que recolectamos (tipos específicos de datos)

a) Información de cuenta

• Dirección de email (requerida para crear cuenta)
• Número de teléfono (opcional; requerido solo si activas alertas por WhatsApp)
• ID de chat de Telegram (opcional; requerido solo si activas alertas por Telegram)
• Nombre de visualización (opcional, provisto por el usuario)
• Contraseña encriptada (nunca guardamos texto plano)
• Preferencias de cuenta (idioma, configuración de notificaciones)

b) Información de caso

• Número de recibo USCIS (receiptNumber) — el identificador de caso de 13 caracteres (3 letras + 10 dígitos) que ingresas voluntariamente. Lo tratamos como Información de Identificación Personal (PII) porque está asociado al caso migratorio de USCIS de una persona.
• Información de estado de caso obtenida de los sistemas oficiales de USCIS
• Historial de caso dentro de nuestro Servicio

c) Datos de uso

• Páginas visitadas y tiempo de uso
• Dirección IP (prevención de fraude y analytics)
• Tipo de dispositivo e información del navegador
• Geolocalización (a nivel ciudad o país, no precisa)

d) Información de pago (solo suscriptores)

• Procesada por Paddle (nuestro Merchant of Record)
• Nunca almacenamos números completos de tarjeta de crédito
• Solo recibimos confirmaciones de transacción

e) Comunicación

• Consultas de soporte al cliente
• Preferencias de email y registros de consentimiento

Lo que NO recolectamos

• Números de Seguro Social (SSN)
• Números de Alien (A-numbers)
• Números de pasaporte
• Números de cuenta bancaria
• Información médica
• Datos biométricos
• Datos de personas menores de 18 años

3. Cómo usamos tus datos

Usamos tus datos para:

• Proveer el Servicio
• Procesar pagos vía Paddle
• Enviar notificaciones de servicio
• Mejorar el Servicio mediante analytics anonimizados
• Cumplir obligaciones legales
• Prevenir fraude y abuso
• Responder solicitudes de soporte

Obtendremos tu consentimiento activo antes de cualquier nuevo uso de datos no descrito en esta Política.

4. Compartir datos — terceros identificados

Compartimos datos solo con las siguientes entidades específicas, todas obligadas por acuerdos de procesamiento de datos:

a) Paddle (Merchant of Record)

• Propósito: Procesamiento de pagos, cumplimiento fiscal
• Datos compartidos: Email, nombre, datos de pago
• Su política de privacidad: paddle.com/legal/privacy

b) Hostinger (envío de email)

• Propósito: Enviar emails transaccionales y de cuenta (registro, restablecimiento de contraseña, recibos)
• Datos compartidos: Tu dirección de email y el contenido del mensaje
• Su política de privacidad: hostinger.com/legal/privacy-policy

c) Twilio (notificaciones por WhatsApp)

• Propósito: Enviar alertas de cambio de caso por WhatsApp
• Datos compartidos: Tu número de teléfono y el mensaje de alerta
• Su aviso de privacidad: twilio.com/legal/privacy

d) Telegram (notificaciones por Telegram)

• Propósito: Enviar alertas de cambio de caso por Telegram
• Datos compartidos: Tu ID de chat de Telegram y el mensaje de alerta
• Su política de privacidad: telegram.org/privacy

e) OneSignal (push y email — al lanzamiento)

• Propósito: Notificaciones push del navegador/dispositivo y emails de notificación/alerta
• Datos compartidos: Tu token push del dispositivo y/o tu email
• Su política de privacidad: onesignal.com/privacy_policy

f) Cloudflare

• Propósito: Protección DDoS, CDN, performance
• Datos compartidos: Dirección IP, metadata de requests
• Su política de privacidad: cloudflare.com/privacypolicy

g) Google Analytics (Google LLC)

• Propósito: Analítica web agregada (páginas visitadas, fuentes de tráfico, tipo de dispositivo/navegador) para entender el uso y mejorar el Servicio
• Datos compartidos: Un identificador de cliente aleatorio y eventos de interacción con la página. Tu dirección IP es usada transitoriamente por Google para geolocalización aproximada; Google Analytics 4 no registra ni almacena direcciones IP. No enviamos identificadores personales (nombre, email ni números de recibo de USCIS) a Google Analytics
• Su política de privacidad: policies.google.com/privacy

h) U.S. Citizenship and Immigration Services (USCIS)

• Propósito: Obtener información de estado de caso a tu solicitud
• Datos transmitidos: el número de recibo USCIS (receiptNumber) que tú provees
• Base de acceso: integración con la API del USCIS Developer Portal (acceso a producción pendiente al momento de redactarse)

Cómo usamos tu número de recibo: cuando envías un número de recibo de USCIS, nuestro servidor se autentica a la API oficial USCIS Case Status usando OAuth 2.0 y envía ese receiptNumber para consultar el estado actual de ese caso. Lo usamos únicamente para obtener y mostrarte —y, si activaste alertas, notificarte— las actualizaciones de estado del caso que pediste seguir. No usamos los números de recibo para ningún otro fin, y no los compartimos con nadie más que USCIS para hacer la consulta.

NO vendemos tus datos. Nunca vendimos datos y nunca venderemos datos, ya sea con fines de lucro, intercambios de marketing, ni ningún intercambio monetario o no monetario.

Los terceros tienen prohibición contractual de usar tus datos para cualquier propósito que no sea proveer servicios en nuestro nombre. Los terceros no pueden usar tu información para su propio marketing, perfilado, ni analytics sin tu consentimiento explícito. Todos los terceros están obligados por los términos y condiciones de esta Política de Privacidad.

5. Compartir datos — tus elecciones, riesgos e impacto en otros

Tus elecciones de compartición

Tú decides qué información envías al Servicio. Puedes usar el Servicio con los datos mínimos requeridos para una solicitud específica. Puedes retirar un permiso de compartición en cualquier momento desde configuración de cuenta. También puedes eliminar tus datos por completo (ver Sección 6).

Beneficios, riesgos y limitaciones

• Beneficios: compartir más información de caso nos permite enviar alertas mejor enfocadas e historial más rico de tu caso.
• Riesgos: cualquier información que compartas amplía el conjunto de sistemas y personas que pueden verla. Compartir información de caso con familiares o representantes puede revelarles el estado migratorio familiar.
• Limitaciones: una vez eliminados los datos, no podemos reconstruir respuestas históricas, hacer debug de requests pasados en tu nombre, ni restaurar registros eliminados.

Impacto en otros

Si eliges compartir información de tu caso con familiares o representantes (por ejemplo, cónyuge o abogado/a), ten en cuenta:

• Los receptores ven la información de caso que compartes.
• No controlamos cómo los receptores usan la información compartida.
• Compartir puede revelar el estado migratorio familiar, historia familiar u otros datos personales del individuo al que pertenece el caso.
• Considera las implicaciones antes de compartir en nombre de otra persona.

Puedes revocar permisos de compartición en cualquier momento desde la configuración de cuenta.

6. Tus derechos — acceso, corrección, eliminación

Tienes derecho a:

• Acceder a todos los datos personales que tenemos sobre ti
• Corregir datos inexactos o incompletos
• Solicitar eliminación permanente
• Oponerte a ciertos usos de datos
• Recibir tus datos en formato legible por máquina
• Retirar consentimiento en cualquier momento

Cómo solicitar eliminación de datos

• Auto-servicio: Configuración de cuenta → "Eliminar mi cuenta" (opción de un solo click).
• Email: Escribir a [email protected] con asunto "Solicitud de Eliminación de Datos".

Cuándo ocurre la eliminación

• Auto-servicio: Eliminación permanente dentro de 24 horas.
• Solicitud por email: Confirmación dentro de 48 horas; eliminación permanente dentro de 7 días calendario.

La eliminación de datos (esta sección) borra tus datos personales y es una acción separada del cierre de cuenta (Sección 10), que además termina tu suscripción y acceso antes de eliminar los datos restantes dentro de 7 días. Si solo quieres que tus datos se borren lo más rápido posible, usa la opción de auto-servicio "Eliminar mi cuenta" de arriba (dentro de 24 horas).

Excepciones

• Registros de pago retenidos 7 años (requisito legal).
• Analytics agregados anonimizados pueden persistir.

7. Derechos CCPA — consumidores de California

Si eres residente de California, tienes derechos bajo la California Consumer Privacy Act (CCPA):

• Derecho a saber qué información personal recolectamos.
• Derecho a saber si la información se vende (no vendemos).
• Derecho a acceder a la información personal recolectada.
• Derecho a solicitar eliminación.
• Derecho a no discriminación por ejercer derechos.

Para ejercer: envía un email a [email protected] con "CCPA Request" en el asunto. Respondemos dentro de 45 días.

No vendemos a sabiendas información personal de ningún usuario, incluyendo residentes de California.

8. Derechos internacionales — GDPR / LGPD

Si estás ubicado en el EEE, Reino Unido, u otra jurisdicción con leyes de protección de datos, tienes derechos que incluyen:

• Base legal para el procesamiento.
• Portabilidad de datos.
• Derecho al olvido.
• Derecho a presentar reclamo ante una autoridad supervisora.

Escribe a [email protected] para ejercer derechos.

9. Política de retención de datos

• Datos de cuenta activa: retenidos mientras la cuenta esté activa.
• Cuentas inactivas (12+ meses): enviamos email de reactivación; si no hay respuesta dentro de 60 días, la cuenta se archiva; eliminación permanente después de 24 meses de inactividad total.
• Historial de consultas de caso: 24 meses activos, entradas más antiguas archivadas.
• Registros de pago: 7 años (requisito legal).
• Registros de comunicación: 3 años.
• Analytics anonimizados: indefinido, no-identificables.

Política de cuentas inactivas (dormant)

Después de 12 meses sin actividad de login, enviamos un email de reactivación. Si no respondes dentro de 60 días, tu cuenta pasa a estado "archivada" (datos preservados, servicio pausado). Las cuentas archivadas se eliminan permanentemente después de 24 meses de inactividad total.

10. Cierre de cuenta

Puedes cerrar tu cuenta en cualquier momento:

• Método 1 — Auto-servicio: Configuración de cuenta → "Cerrar mi cuenta" → confirmación por link de email.
• Método 2 — Email: Escribir a [email protected] con asunto "Cerrar Cuenta".

Qué pasa:

• Revocación inmediata de acceso al Servicio.
• Suscripción cancelada (sujeto a la Política de Reembolso).
• Datos personales eliminados permanentemente dentro de 24 horas (auto-servicio) o dentro de 7 días (solicitud por email).
• Registros de pago retenidos 7 años (requisito legal).
• Analytics anonimizados pueden persistir.

El cierre de cuenta termina tu suscripción y acceso, y luego elimina los datos personales restantes dentro de 7 días. Esto es distinto de la eliminación inmediata de datos: si solo quieres que tus datos se borren y no necesitas el flujo de cierre, usa la eliminación de auto-servicio en la Sección 6 (dentro de 24 horas).

11. Notificación de brecha de datos

En caso de una brecha de datos que afecte tu información personal, vamos a:

• Notificarte por email dentro de 72 horas de la detección.
• Proveer detalles sobre la naturaleza de la brecha.
• Explicar qué datos fueron potencialmente afectados.
• Informarte de los pasos que estamos tomando.
• Proveer guía sobre acciones que puedes tomar.
• Cooperar con los reguladores aplicables.

Las notificaciones vienen de [email protected].

12. Seguridad

Protegemos tus datos con:

• Encriptación HTTPS en tránsito (TLS)
• Contraseñas con hashing PBKDF2-HMAC-SHA256 — nunca en texto plano
• Tokens de sesión firmados y con expiración (HMAC-SHA256)
• Credenciales y secretos solo del lado del servidor, nunca en el navegador
• Acceso limitado en base a necesidad
• Separación entre entornos de producción y no-producción
• Revisión periódica de dependencias y seguridad

Ningún sistema es 100% seguro. Usamos medidas comercialmente razonables.

13. Cambios a la política

Podemos actualizar esta Política periódicamente.

Cambios materiales

• Notificación por email a todos los usuarios al menos 30 días antes de que los cambios entren en vigor.
• Consentimiento activo requerido: debes aceptar activamente antes de que los cambios se apliquen (por ejemplo, botón "Sí, acepto" en el próximo login).
• Resumen en lenguaje plano: proveeremos una explicación clara de qué cambió y por qué.

Cambios no-materiales (correcciones de typos, aclaraciones)

• Publicados con una fecha "Última actualización" actualizada.
• No se requiere notificación.

Si no aceptas los cambios materiales, puedes cerrar tu cuenta antes de que los cambios entren en vigor, sin penalidad.

14. Transferencia de negocio / cambio de titularidad

Si Startup58 LLC es adquirida, se fusiona, transfiere titularidad, o cesa operaciones:

• Notificaremos a los usuarios con al menos 60 días de anticipación por email.
• La política de privacidad del nuevo titular debe cumplir o superar las protecciones de esta Política.
• Vas a tener opciones:
  • Continuar con el nuevo titular (con notificación de nueva política).
  • Exportar tus datos de forma segura.
  • Eliminar permanentemente tus datos antes de la transferencia.

En caso de cese: todos los datos de usuario se eliminan de forma segura dentro de 90 días, salvo que la ley requiera retenerlos.

15. Privacidad de menores

El Servicio está destinado a usuarios mayores de 18 años. No recolectamos a sabiendas datos de menores de 18.

16. Transferencias internacionales de datos

Startup58 LLC opera desde Estados Unidos. Los datos pueden ser transferidos o procesados en:

• Estados Unidos (primario) — nuestro proveedor de hosting (Hetzner) opera el servidor en su región de EE.UU. (Ashburn, Virginia), y Cloudflare provee una red global de borde (edge).

Para transferencias desde el EEE o el Reino Unido hacia Estados Unidos: nos basamos en Cláusulas Contractuales Estándar (SCCs) aprobadas por la Comisión Europea.

17. Contacto

Para consultas, solicitudes o inquietudes de privacidad:

• Email: [email protected]
• Protección de Datos: [email protected] (asunto "DPO")
• Empresa: Startup58 LLC
• Correo postal: 30 N Gould St Ste N, Sheridan, WY 82801, Estados Unidos