Política de privacidad
Aquí explicamos qué datos tratamos, para qué, quién los ve y cuánto tiempo los guardamos. Y, sobre todo, cómo los controlas tú.
Faltan los datos legales del titular: lo marcado como «por confirmar» se completa antes de publicar.
Lo esencial, en simple
- Usamos tus datos para prestarte el servicio. No los vendemos, no hacemos publicidad con ellos y no entrenamos inteligencia artificial con ellos.
- Los correos de novedades, ofertas y consejos son opcionales y los dejas en un clic.
- Desde tu perfil puedes ver qué aceptaste, cambiar tus preferencias, descargar tus datos y borrar tu cuenta.
- Aplicamos el estándar europeo (RGPD) como mínimo, aunque Venezuela todavía no tenga una ley general de datos.
- Las cookies que no son necesarias, como las de publicidad, vienen apagadas y solo se activan si las aceptas.
- Medimos cuánto se usa cada negocio sin nombrar personas ni guardar montos. Registrar qué partes usas tú es opcional y viene apagado.
- Si un negocio cierra, sus documentos quedan bajo llave 10 años, porque la ley obliga a conservarlos, y solo se abren con una orden válida.
Este resumen ayuda a leer, pero lo que vale es el texto completo.
1. Quién responde por tus datos
por confirmar, RIF por confirmar, con domicilio en por confirmar, Venezuela, responde por los datos de las personas que usan Merlin: dueños y miembros de los equipos.
Los datos que un negocio registra sobre sus clientes, proveedores o empleados son responsabilidad de ese negocio; nosotros los tratamos por su encargo. Si eres cliente de un comercio que usa Merlin, tu solicitud va primero al comercio. Si nos escribes a nosotros, se la pasamos en un máximo de 3 días hábiles y lo ayudamos a responderla.
2. Leyes y estándar que seguimos
En Venezuela tu información está protegida por la Constitución (artículos 28 y 60, que reconocen el habeas data y la vida privada), por los principios que fijó la Sala Constitucional del Tribunal Supremo de Justicia en la sentencia 1318 de 2011 (consentimiento, finalidad, calidad, conservación limitada, seguridad y responsabilidad), por la Ley sobre Mensajes de Datos y Firmas Electrónicas y por la Ley Especial contra los Delitos Informáticos.
Como Venezuela aún no tiene una ley general de protección de datos, tomamos como mínimo el Reglamento General de Protección de Datos de la Unión Europea (RGPD), el más exigente de uso amplio. Así, vivas donde vivas, recibes al menos lo que tu propia ley exige.
3. Qué datos tratamos
Datos de tu cuenta: nombre, correo, teléfono, contraseña cifrada, idioma, preferencias y las decisiones que tomas sobre tu privacidad, con su fecha.
Datos opcionales sobre ti: fecha de nacimiento (para saludarte en tu cumpleaños), género, rango de edad y cómo nos conociste. Los pedimos para atenderte mejor y para entender, en cifras de conjunto, quién usa Merlin. Puedes no darlos, cambiarlos o borrarlos desde tu perfil.
Datos del negocio: nombre y RIF, sucursales, cajas, productos, precios, existencias, ventas, compras, documentos y las personas del equipo con sus permisos.
Datos técnicos: equipos emparejados, inicios de sesión, dirección IP, navegador y una bitácora de acciones sensibles (anular una venta, cambiar un precio, ajustar existencias).
Datos de uso por negocio: cuántas operaciones hace cada negocio por día en cada área del sistema (ventas, inventario, compras…). No nombran a nadie ni incluyen montos.
Qué áreas usas tú, solo si activas «Ayudar a mejorar Merlin»: las áreas que usaste cada día, nunca cuántas veces, qué hiciste ni por cuánto.
Cómo llegaste: la campaña o el enlace de invitación que usaste, los pasos del registro por los que pasaste y, si alguien te recomendó, quién fue.
Datos de pago de tu plan: monto, fecha, método y referencia. No guardamos números completos de tarjetas.
Lo que nos escribes en soporte.
No recogemos tu ubicación precisa, datos biométricos ni datos para publicidad.
4. Para qué los usamos
Para prestarte el servicio que contrataste: crear tu cuenta, vender, guardar el inventario, emitir documentos, sincronizar tus cajas y darte soporte. Base: el contrato.
Para cumplir la ley: conservar documentos fiscales y de pago y responder a órdenes de autoridades. Base: obligación legal.
Para proteger el servicio: detectar accesos raros, evitar fraudes y que una misma persona abra pruebas gratis sin fin (para esto guardamos una huella cifrada del correo y del RIF). Base: interés legítimo, siempre que no pese más tu derecho.
Para atender y mejorar el servicio: ver con las cifras de uso por negocio qué negocios están activos, cuáles necesitan ayuda, dónde se traba el registro y qué áreas se usan más. Base: interés legítimo. Esas cifras no nombran a nadie ni incluyen montos.
Para enviarte novedades, ofertas y consejos, registrar qué áreas usas tú y dejar que Nora, la asistente, lea los datos del negocio. Base: tu consentimiento, que puedes retirar cuando quieras sin afectar lo anterior.
Para decidir dónde y a quién anunciar Merlin usamos solo cifras de conjunto: cuántos negocios hay por rubro, estado o ciudad, y proporciones de género y edad en grupos de al menos 10 personas. Nunca subimos tus datos personales a plataformas de anuncios.
5. Lo que nunca hacemos
No vendemos ni alquilamos datos personales. No los compartimos para publicidad. No usamos los datos de tu negocio para entrenar modelos de inteligencia artificial. No tomamos decisiones automáticas que te afecten sin intervención de una persona.
6. Quién puede ver tus datos
Tú y las personas de tu equipo, según los permisos que el dueño les da. Por ejemplo, el cajero no ve costos ni ganancias.
Nuestro personal, solo cuando hace falta para soporte o seguridad, con deber de confidencialidad y registro de cada acceso. Las cifras de uso que ve no incluyen montos.
Los proveedores que nos ayudan a prestar el servicio (siguiente sección), cada uno solo con lo que necesita.
Una autoridad, solo con una orden válida. Dos personas de nuestro equipo la revisan, el acceso dura un máximo de 2 horas, cubre solo lo que la orden pide y queda en un registro. Si la orden no lo prohíbe, te avisamos cuando se abre.
7. Proveedores que nos ayudan
Servidores y base de datos: Contabo (región por confirmar). Protección de la red y nombres de dominio: Cloudflare (global). Correos del servicio: Resend (Estados Unidos). Copias de seguridad: proveedor por confirmar. Asistente Nora, solo si el dueño la activa: Anthropic (Estados Unidos), sin que guarde ni use los datos para entrenar.
Cada uno trata los datos solo para lo que le encargamos. Te avisamos con 30 días antes de sumar un proveedor que trate datos personales.
8. Datos fuera de Venezuela
Nuestros servidores y la mayoría de nuestros proveedores están fuera de Venezuela. Para proteger esas transferencias usamos contratos con cláusulas de protección de datos, cifrado en tránsito y en reposo, y elegimos proveedores con estándares reconocidos.
9. Correos y avisos
Los mensajes de seguridad, de cobro y de cambios en estos documentos llegan siempre, porque los necesitas.
Las novedades del producto, las ofertas y los consejos y noticias son tres opciones separadas, nunca vienen marcadas y puedes cambiarlas en tu perfil. Cada correo trae un enlace para dejarlo de recibir en un clic; después de eso, esa dirección no vuelve a recibir ese tipo de correo, salvo que lo actives otra vez.
11. Cuánto tiempo guardamos los datos
Datos de la cuenta: mientras esté activa. Al cerrarla, se borran después de los 30 días de gracia. Queda solo un registro vacío, sin tu nombre ni tu correo, para que las ventas y las bitácoras sigan cuadrando.
Datos del negocio: mientras el negocio exista en Merlin. Al cerrarlo, después de los 30 días de gracia borramos los datos que identifican a sus clientes y proveedores, y lo demás se guarda como dice el punto siguiente.
Ventas, documentos fiscales, libros, movimientos, registros de pago y archivos de un negocio cerrado: 10 años desde el cierre, en un archivo restringido que solo se abre con una orden válida, y luego se borran. Aplicamos el plazo más estricto de la ley venezolana; si se confirma uno menor, lo ajustaremos y lo publicaremos aquí.
Historial de lo que aceptaste: se conserva 10 años, sin tu IP, sin tu navegador y sin datos que te identifiquen directamente, porque en ese plazo podría haber un reclamo y sirve de prueba para ambas partes.
Cifras de uso por negocio: no nombran a nadie y se guardan con los demás datos del negocio. Qué áreas usaste tú: hasta 35 días; si apagas la opción, se borra en ese momento.
Bitácoras técnicas y de seguridad: hasta 12 meses. Copias de seguridad: hasta 35 días; si alguna vez restauramos una, volvemos a aplicar los borrados antes de usarla.
12. Tus derechos
Puedes saber qué datos tenemos y para qué, corregirlos, borrarlos, oponerte a un uso, pedir que limitemos su tratamiento, recibirlos en un archivo que puedas llevar a otro sistema y retirar un consentimiento cuando quieras. También puedes acudir a los tribunales mediante el habeas data.
Casi todo lo haces solo desde tu perfil: ver tus consentimientos, cambiar tus preferencias, descargar tus datos y borrar tu cuenta. Para lo demás, escribe a por confirmar desde el correo de tu cuenta.
Respondemos en un máximo de 15 días hábiles, sin costo. Podemos pedirte algo para confirmar que eres tú.
13. Cómo se cierra una cuenta o un negocio
Desde tu perfil pides el cierre, confirmas con tu contraseña y te llega un correo con un enlace para cancelarlo. Antes puedes descargar una copia de tus datos. Durante 30 días la cuenta queda bloqueada pero intacta; después borramos los datos y te enviamos un comprobante.
Si eres parte del equipo de un negocio, se borran tus datos personales, pero las ventas y movimientos que hiciste siguen en el negocio con una referencia anónima, porque son del negocio.
Si eres dueño de un negocio, antes de cerrar tu cuenta debes transferirlo a un administrador o cerrarlo. La transferencia la confirman los dos con su contraseña y ocurre 72 horas después de pedirla; hasta entonces cualquiera de los dos puede cancelarla.
Para cerrar un negocio, el dueño lo pide y confirma con su contraseña. El negocio deja de vender al terminar su día y hay 30 días para cancelar. Después queda cerrado, como explica «Cuánto tiempo guardamos los datos».
No terminamos un cierre mientras haya una orden judicial o fiscal o un fraude en investigación. Si una caja tiene ventas sin enviar, esperamos hasta 7 días más para no perderlas; si no llegan, cerramos y dejamos constancia.
Si eres cliente de un comercio, el comercio puede anonimizarte: se borran tu nombre, cédula o RIF, teléfono, correo, dirección y notas, y sus ventas quedan sin identificarte. Lo que ya salió impreso en un documento fiscal no cambia, porque la ley lo prohíbe.
14. Menores de edad
Merlin es para personas de 18 años o más. Si sabemos que una cuenta es de un menor, la cerramos y borramos sus datos.
15. Cómo protegemos los datos
Cifrado en tránsito y en las copias de seguridad, aislamiento estricto entre negocios en la base de datos, contraseñas cifradas, PIN y verificación en dos pasos, permisos mínimos para nuestro personal y una bitácora que no se puede editar.
16. Si algo sale mal
Si un incidente de seguridad pone en riesgo tus datos, te avisamos sin demora, y en no más de 72 horas desde que lo sepamos, con lo que pasó, lo que puede afectarte y lo que estamos haciendo.
17. Cambios a esta política
Cada versión lleva su fecha y las anteriores siguen publicadas. Si un cambio amplía el uso de tus datos, te avisamos con 30 días y te pedimos aceptarlo; si es un uso basado en consentimiento, nunca lo activamos sin tu permiso.
18. Contacto
Privacidad: por confirmar. Soporte: por confirmar. Responsable: por confirmar, RIF por confirmar, por confirmar, Venezuela.