Política de privacidad

1. Qué datos recopilamos, de dónde y para qué

Recopilamos los datos descritos abajo. "Fuente" indica de dónde viene el dato; "finalidad", para qué lo usamos.

Cuenta y autenticación

Qué: correo electrónico, contraseña (nunca en texto plano — la gestiona Supabase Auth), nombre, apellido, teléfono opcional, y —si inicia sesión con Google— su identificador de cuenta de Google. Fuente: usted, al registrarse o iniciar sesión. Finalidad: crear y proteger su cuenta, identificarlo dentro de su empresa.

Datos de su empresa

Qué: nombre de la empresa, país, moneda, zona horaria, configuración de mora, logo, formato de recibo. Fuente: usted, al configurar su cuenta. Finalidad: operar el Servicio con las condiciones de su negocio.

Datos de uso del usuario (equipo)

Qué: rol (administrador/cobrador), permisos asignados, estado activo/inactivo. Fuente: la cuenta administradora de su empresa. Finalidad: control de acceso y permisos dentro de su empresa.

Datos operativos de su cartera (los carga usted sobre sus propios clientes)

Qué: clientes (nombre, identidad, teléfono, dirección, colonia, lugar de trabajo, referencias personales, avales, fotografía de fachada del negocio/vivienda si usted la sube), préstamos (monto, tasa, plazo, cuotas), pagos (monto, fecha, recibos), rutas de cobro y gestiones de cobranza, movimientos de caja. Fuente: usted o su equipo, al usar el Servicio. Finalidad: permitirle administrar su propia cartera. Vea la sección 9 sobre estos datos de terceros.

Registros técnicos y de auditoría

Qué: una bitácora interna de ciertas acciones sensibles (por ejemplo, cambios de permisos o de responsable de una ruta) que registra QUÉ ocurrió y CUÁNDO, sin datos personales identificables en el propio registro. Finalidad: trazabilidad y seguridad.

Datos técnicos y de dispositivo

Qué: dirección IP y datos básicos de la solicitud HTTP (los procesa automáticamente nuestro proveedor de hosting, Vercel, como parte de operar cualquier sitio web); información de errores técnicos (ver Sentry, sección 3); eventos de uso agregados y sin datos personales (ver PostHog, sección 3). Finalidad: operar, diagnosticar y mejorar el Servicio.

2. Nuestro rol frente a sus datos y los de sus clientes

Distinguimos dos categorías, con un tratamiento conceptualmente distinto (compatible con estándares internacionales de protección de datos, aunque Honduras no exija hoy esta terminología por ley):

• Datos de su cuenta, facturación y uso de Prestalit: aquí Prestalit decide parte del tratamiento (por ejemplo, cómo medimos el uso del producto o cómo diagnosticamos errores).
• Datos de sus clientes/prestatarios que usted carga en Prestalit: aquí es usted quien decide por qué los recopila y con qué fin (esa es su relación comercial con su propio cliente, ajena a Prestalit). Prestalit los procesa únicamente por su instrucción, con el único fin de prestarle el Servicio que usted contrató, y no los usa para ningún otro propósito.

3. Proveedores (subprocesadores) que participan en el Servicio

Usamos estos proveedores para operar Prestalit. Cada uno procesa datos en la medida necesaria para su función:

• Supabase (base de datos, almacenamiento de archivos y orquestación de autenticación) — aloja toda la información operativa descrita arriba y gestiona los flujos de registro, inicio de sesión, invitación y recuperación de contraseña.
• Resend (proveedor SMTP de correo transaccional) — envía, por instrucción de Supabase Auth y desde nuestro subdominio auth.prestalit.com, los correos de confirmación de cuenta, invitación y recuperación de contraseña. No participa en ningún otro tipo de comunicación.
• Vercel (hosting) — sirve la aplicación y la web pública, y procesa automáticamente direcciones IP como parte del tráfico HTTP.
• Sentry (monitoreo de errores) — recibe reportes técnicos de fallas del software. Configuramos Sentry para NO enviar datos personales por defecto y para eliminar automáticamente nombres, correos, teléfonos, identidades y montos antes de que un reporte salga de su navegador.
• PostHog (analítica de producto) — recibe eventos de uso agregados (por ejemplo, "se generó un préstamo") identificados solo por el ID interno de su usuario, nunca por nombre, correo o datos financieros; sin grabación de sesión ni captura automática de clics.
• Zoho Mail (correo corporativo/humano, separado del correo transaccional descrito arriba) — gestiona nuestras casillas soporte@, facturacion@, privacidad@ y seguridad@. Zoho no está integrado con la aplicación: solo recibe los correos que usted decida enviarnos.

4. Cookies y almacenamiento local

Prestalit no usa cookies de publicidad ni de rastreo entre sitios. Usamos dos tipos de almacenamiento del navegador (localStorage/IndexedDB), con propósitos distintos:

Funcional — necesario para operar el Servicio

• mantener su sesión iniciada;
• guardar una copia de sus datos operativos en su dispositivo para poder trabajar sin conexión y sincronizar al recuperar internet (aislada por usuario: al cerrar sesión, esa copia se elimina antes de que otra persona pueda iniciar sesión en el mismo dispositivo);
• recordar preferencias de interfaz (por ejemplo, tema claro/oscuro).

Analítica — PostHog

Por separado, PostHog guarda en localStorage un identificador interno pseudónimo para agrupar los eventos de uso de una misma sesión. Este almacenamiento no es estrictamente necesario para operar el Servicio, pero tampoco es una cookie: no se comparte entre sitios ni con fines publicitarios, y actualmente PostHog está configurado sin grabación de sesión (session replay) y sin captura automática de clics (autocapture). Prestalit sigue funcionando igual si su navegador bloquea este almacenamiento.

No mostramos un aviso de cookies porque no usamos cookies no esenciales; el único almacenamiento no esencial que sí usamos (PostHog, arriba) queda descrito aquí con total transparencia.

5. Almacenamiento y transferencias internacionales

Sus datos se almacenan en la infraestructura de nuestros proveedores (Supabase y Vercel), que pueden procesar información en centros de datos fuera de Honduras. Estos proveedores aplican medidas de seguridad reconocidas en la industria (cifrado en tránsito, control de acceso). Al usar el Servicio, usted acepta esta transferencia, necesaria para prestarle el Servicio.

6. Seguridad

Aplicamos medidas técnicas razonables: aislamiento de datos por empresa a nivel de base de datos, control de acceso por permisos, cifrado en tránsito (HTTPS) y revisión de nuestras propias funciones de acceso a datos. Ninguna plataforma puede garantizar seguridad absoluta; si detecta un problema de seguridad, repórtelo a seguridad@prestalit.com.

7. Conservación de datos

Conservamos sus datos mientras su cuenta esté activa. Si cancela su cuenta, los conservamos por un período razonable para permitirle exportarlos y luego los eliminamos o anonimizamos, salvo lo que debamos conservar por obligación legal, contable, de seguridad o para resolver disputas.

8. Sus derechos: acceso, corrección y eliminación

Puede solicitar acceso, corrección o eliminación de sus datos personales, o de los datos de su empresa, escribiendo a privacidad@prestalit.com. Responderemos en un plazo razonable. Muchos de estos datos también puede corregirlos usted mismo directamente desde su cuenta (perfil, clientes, configuración de empresa) o exportarlos en cualquier momento (ver Términos de servicio, sección de exportación).

9. Datos de terceros que usted carga (sus clientes/prestatarios)

Si usted registra en Prestalit información sobre sus propios clientes o deudores, usted es responsable de contar con la base legal o autorización necesaria para recopilar y tratar esos datos, y de atender cualquier solicitud que esos terceros le hagan directamente a usted sobre su información. Prestalit procesa esos datos únicamente como se describe en la sección 2, por instrucción suya y para prestarle el Servicio.

10. Cambios a esta política

Podemos actualizar esta política para reflejar cambios del Servicio, de nuestros proveedores o de requisitos legales. Publicaremos la versión vigente en esta página con su fecha de actualización.