Políticas de Privacidad y Protección de Datos Personales

1. Responsable del Tratamiento y Oficial de Privacidad

El responsable del tratamiento de las bases de datos generadas por el sitio web compraspar.com y sus subsistemas es la empresa operadora de Compraspar, con domicilio legal en la República del Paraguay y Registro Único del Contribuyente (RUC) habilitado ante la Dirección Nacional de Ingresos Tributarios (DNIT).

Para canalizar cualquier consulta, ejercicio de derechos o fiscalización relativa a la privacidad de datos personales, los usuarios disponen de un Oficial de Privacidad y Cumplimiento permanente:

• Entidad Responsable: Compraspar (www.compraspar.com)
• Oficial de Privacidad: Departamento de Ciberseguridad y Asesoría Jurídica
• Correo Electrónico Exclusivo: privacidad@compraspar.com
• Canal Supletorio de Soporte: soporte@compraspar.com

2. Marco Jurídico Paraguayo Aplicable

La presente política se fundamenta, interpreta y ejecuta bajo las siguientes disposiciones de orden público de la República del Paraguay:

1. Constitución Nacional de la República del Paraguay (Art. 135): Garantía fundamental del Hábeas Data que faculta a toda persona a conocer la existencia de registros con sus datos personales, su finalidad y a exigir su rectificación, actualización o destrucción en caso de falsedad o ilicitud.
2. Ley N° 6534/2020: "De Protección de Datos Personales Crediticios", regulando los principios de exactitud, legalidad, finalidad, proporcionalidad y los derechos de los titulares.
3. Ley N° 4868/2013: "De Comercio Electrónico", que impone el deber de estricta confidencialidad de las comunicaciones telemáticas y la prohibición de envío de comunicaciones publicitarias no solicitadas (SPAM).
4. Ley N° 1334/1998: "De Defensa del Consumidor y del Usuario", que sanciona las prácticas engañosas y vulneraciones a la tranquilidad del consumidor.
5. Código Penal Paraguayo (Ley N° 1160/1997): Sanciones a los delitos contra la inviolabilidad del secreto de la correspondencia telemática (Art. 144) y acceso indebido a sistemas informáticos (Art. 146).

3. Datos Personales que Recopilamos en Compraspar

Compraspar recopila únicamente aquellos datos personales estrictamente indispensables para la navegación segura, la formalización de compras, la emisión de comprobantes fiscales legales y la entrega física o digital de pedidos:

• Datos de Identificación y Registro: Nombre y apellidos completos, tipo y número de documento (Cédula de Identidad paraguaya o Pasaporte), fecha de nacimiento, sexo y credenciales de acceso (usuario y contraseña cifrada con algoritmo irreversible).
• Datos de Contacto y Notificación: Dirección de correo electrónico verificada, número de teléfono celular (para confirmaciones vía WhatsApp y SMS de entrega) y dirección postal de residencia o entrega.
• Datos Tributarios y de Facturación (DNIT): Razón Social, RUC, estado tributario y domicilio fiscal para la emisión de Facturas Electrónicas mediante SIFEN.
• Datos de Localización y Despacho: Coordenadas de geolocalización satelital (GPS), referencias de calles y puntos de entrega para cálculo de distancias y despacho por repartidores en Compraspar Food y Compraspar Catálogo.
• Datos Financieros y Transaccionales: Montos de compra, historial de pedidos, cuotas pagadas o pendientes, método de pago seleccionado y tokens bancarios. (Se aclara expresamente que Compraspar NO almacena números completos de tarjetas de crédito ni códigos CVV/CVC, los cuales son gestionados directamente por pasarelas autorizadas como Bancard).
• Datos Técnicos de Navegación: Dirección IP, tipo de dispositivo, sistema operativo, identificador de navegador, tiempos de carga y eventos de interacción en el portal.

4. Finalidades Legítimas del Tratamiento de Datos

Los datos recabados en Compraspar se tratan con arreglo a las siguientes finalidades lícitas y explícitas:

• Gestión y Ejecución Contractual: Procesar pedidos, gestionar cobros telemáticos, coordinar la preparación con las tiendas oficiales y asegurar la entrega en domicilio con los repartidores.
• Cumplimiento Tributario Nacional: Generar los Documentos Tributarios Electrónicos (KuDE) ante la Dirección Nacional de Ingresos Tributarios (DNIT) vía FacturaSend.
• Emisión del Acuse de Recibo: Remitir por correo electrónico la confirmación formal exigida por el Art. 17 de la Ley N° 4868/2013 en plazo no superior a 24 horas.
• Seguridad y Detección de Fraudes: Prevenir transacciones apócrifas, suplantación de identidad o compras irregulares conforme a las pautas de SEPRELAD y BCP.
• Atención al Cliente y Postventa: Brindar soporte a través del chat, procesar devoluciones o tramitar solicitudes amparadas por el derecho de retracto legal o garantías de fábrica.

5. Régimen de Datos Crediticios y Burós de Información (Ley N° 6534/20)

En caso de que el Usuario solicite compras a crédito, financiamiento en cuotas o refinanciación de deudas en Compraspar:

Asimismo, de conformidad con el artículo 9° de la Ley N° 6534/2020:

• La información crediticia solo podrá ser reportada ante los burós cuando la obligación crediticia registre una mora superior a noventa (90) días contados desde su vencimiento.
• Una vez cancelada íntegramente la deuda, el Vendedor o Compraspar gestionará la actualización o baja inmediata del registro negativo ante la entidad de información crediticia en el plazo legal de cuarenta y ocho (48) horas hábiles.

6. Tratamiento de Datos Sensibles y Salud (Compraspar Farma)

En el módulo Compraspar Farma, la adquisición de determinados medicamentos o productos farmacéuticos puede requerir la presentación, carga fotográfica o validación de recetas médicas de acuerdo con las normativas de la Dirección Nacional de Vigilancia Sanitaria (DINAVISA) y el Ministerio de Salud Pública y Bienestar Social (MSPYBS).

Compraspar garantiza que los datos contenidos en recetas médicas o consultas farmacéuticas son tratados con carácter de secreto profesional y confidencialidad médica estricta. Dichos datos son accesibles únicamente por el químico farmacéutico regente y personal dispensador autorizado de la farmacia proveedora adherida, prohibiéndose expresamente su comercialización, cesión a anunciantes o uso con fines de perfilamiento publicitario o discriminatorio.

7. Geolocalización en Tiempo Real y Logística de Entrega (Food & Delivery)

Para habilitar funciones como la búsqueda de restaurantes cercanos, tiendas a distancia adecuada, estimación precisa de tarifas de flete y seguimiento en vivo del repartidor:

• El Usuario consiente compartir su ubicación geográfica (coordenadas GPS) al autorizar el permiso correspondiente en su navegador web o dispositivo móvil.
• La ubicación del Comprador se comparte con el Repartidor (Driver) exclusivamente durante el lapso de ejecución del despacho y se desactiva una vez completada la entrega.
• El Usuario puede revocar el acceso a su geolocalización en cualquier momento desde los ajustes de privacidad de su navegador, pudiendo ingresar manualmente su dirección de entrega.

8. Pasarelas de Pago y Estándares de Seguridad Financiera (PCI-DSS)

Las transacciones electrónicas se canalizan a través de pasarelas de pago homologadas por el Banco Central del Paraguay (BCP):

• Bancard vPOS / QR Interoperable / Zimple: Las interfaces de pago operan bajo estándares de certificación internacional PCI-DSS (Payment Card Industry Data Security Standard).
• Los datos de las tarjetas ingresadas por el Comprador son tokenizados y transmitidos de manera cifrada directamente a los servidores de Bancard o de la red bancaria correspondiente mediante túneles seguros con protocolo TLS 1.3 (Transport Layer Security).
• Los servidores de Compraspar no tienen acceso, no interceptan ni almacenan números completos de tarjetas, códigos de seguridad (CVV) ni contraseñas bancarias de los usuarios.

9. Comunicaciones Informativas y Cláusula Anti-SPAM (Art. 21 Ley N° 4868/13)

En rigurosa conformidad con el artículo 21 de la Ley N° 4868/2013 de Comercio Electrónico:

• Compraspar no envía correos electrónicos comerciales, promociones o mensajes publicitarios masivos no autorizados por el titular.
• Toda comunicación promocional enviada por Compraspar estará claramente identificada como tal y contendrá un mecanismo directo, ágil, gratuito y visible de baja voluntaria (*opt-out* o botón "Cancelar suscripción").
• Las notificaciones transaccionales obligatorias (confirmación de compra, acuse de recibo legal, factura electrónica KuDE y alertas de entrega de pedidos) no revisten carácter publicitario y son esenciales para el cumplimiento del contrato.

10. Política de Cookies y Almacenamiento Local

El sitio web compraspar.com utiliza cookies técnicas, cookies analíticas anonimizadas y tecnologías de almacenamiento local (*localStorage* y *sessionStorage*) con la finalidad de:

• Preservar el estado de la sesión autenticada del Usuario y la persistencia de productos en el carrito de compras.
• Recordar preferencias de navegación (idioma seleccionado, filtros de búsqueda y radio geográfico de tiendas).
• Garantizar el correcto funcionamiento de las funciones sin conexión (*Offline Service Worker PWA*).

El Usuario puede configurar o deshabilitar las cookies desde las opciones de su navegador web, advirtiéndose que ciertas funciones esenciales del carrito o del checkout podrían verse limitadas.

11. Destinatarios y Cesión Legítima de Datos a Terceros

Compraspar no comercializa, no alquila ni cede bases de datos personales a terceros ajenos a la operatoria. Los datos personales son comunicados única y exclusivamente a los siguientes destinatarios autorizados para el fiel cumplimiento del servicio:

1. Vendedores y Tiendas Oficiales: Reciben el nombre, teléfono y dirección del Comprador para la correcta preparación y empaque del pedido.
2. Repartidores y Empresas de Logística: Reciben la dirección, teléfono y coordenadas de destino con el único fin de materializar la entrega.
3. Dirección Nacional de Ingresos Tributarios (DNIT): Datos de facturación para la validación fiscal obligatoria de los Documentos Tributarios Electrónicos (SIFEN).
4. Pasarelas Financieras y Redes Bancarias: Para la liquidación electrónica y prevención de fraudes (Bancard, BCP, procesadoras).
5. Autoridades Judiciales o Administrativas: En virtud de orden judicial competente, requerimiento fundado de la Fiscalía o mandamiento legal expreso.

12. Plazos Legales de Conservación de Datos (5 Años)

De acuerdo con las exigencias del Código Civil Paraguayo, la Ley N° 6380/2019 de la DNIT y normativas de SEPRELAD sobre prevención de lavado de activos, los registros contables, comprobantes de pago, facturas electrónicas y bitácoras transaccionales se conservarán de manera inalterable y segura durante el plazo legal obligatorio de cinco (5) años.

Transcurrido el plazo legal de prescripción y no existiendo litigio o investigación fiscal pendiente, los datos que no requieran custodia legal serán anonimizados o eliminados de forma segura e irreversible.

13. Medidas de Ciberseguridad y Cifrado de Información

Compraspar implementa salvaguardas técnicas, administrativas y operativas de vanguardia para mitigar riesgos de alteración, pérdida, acceso no autorizado o fuga de datos:

• Cifrado de extremo a extremo en tránsito mediante protocolo HTTPS / TLS 1.3 con certificados criptográficos validados.
• Almacenamiento de contraseñas bajo funciones de derivación de claves criptográficamente seguras con salting dinámico (Bcrypt/Argon2).
• Firewalls de aplicaciones web (WAF), monitoreo continuo contra ataques de inyección, denegación distribuida de servicio (DDoS) y escaneos de vulnerabilidades periódicos.
• Acceso restringido a las bases de datos bajo el principio de mínimo privilegio (*least privilege*) con autenticación multifactor (MFA) para el personal técnico.

14. Ejercicio de los Derechos ARCO y Acción Constitucional de Hábeas Data

En observancia del Artículo 135 de la Constitución Nacional de la República del Paraguay y de la Ley N° 6534/2020, todo titular de datos personales tiene derecho a:

Para ejercer cualquiera de estos derechos, el titular deberá remitir un correo electrónico a privacidad@compraspar.com adjuntando copia legible de su Cédula de Identidad paraguaya y describiendo claramente la petición. La solicitud será resuelta de manera gratuita en un plazo máximo de cinco (5) días hábiles.