Política de Privacidad

01 Responsable y banco de datos inscrito

Freddy Gabriel Sotelo Ñaves, persona natural que opera el proyecto denominado GASTELO, es el titular del banco de datos personales y responsable del tratamiento descrito en esta política. GASTELO es la denominación del proyecto; no se presenta como una persona jurídica distinta de su titular.

• Domicilio y dirección para solicitudes: Jirón Villacampa 278, distrito del Rímac, provincia y departamento de Lima, Perú.
• Correo oficial de privacidad y derechos: gastelobuyersclub@gmail.com.
• Banco de datos: «USUARIOS DE LA PAGINA WEB».
• Código de inscripción: PN-2026-301.
• Constancia: INS-2026-5443, registrada el 21 de septiembre de 2026.

El banco está inscrito en el Registro Nacional de Protección de Datos Personales del Ministerio de Justicia y Derechos Humanos del Perú. La inscripción identifica el banco declarado; no equivale a una certificación de seguridad ni a una aprobación estatal del modelo de negocio.

En pocas palabras: utilizamos tus datos para administrar tu cuenta y el piloto, registrar tus recorridos y gestionar la recompensa cuando corresponda. No vendemos ni alquilamos tu información. Puedes comunicarte directamente con el responsable para ejercer tus derechos.

02 Alcance, legislación y principios

Esta política se aplica a gastelo.pe, sus páginas de registro y acceso, cuenta, perfil, formularios, simulaciones, valoraciones y canales oficiales de atención. Las rutas personalizadas que contienen el nombre de usuario están sujetas a la misma política.

GASTELO está en fase piloto. Los recorridos permiten probar una propuesta de coordinación de compras. Las operaciones, importes y medios de pago representados en la simulación no constituyen por sí mismos una compra, un cargo bancario ni una transferencia real. La recompensa promocional, si corresponde, se gestiona separadamente.

El marco principal es la Ley N.º 29733, Ley de Protección de Datos Personales, su Reglamento aprobado por Decreto Supremo N.º 016-2024-JUS y las disposiciones aplicables de la Autoridad Nacional de Protección de Datos Personales. El tratamiento debe respetar legalidad, consentimiento, finalidad, proporcionalidad, calidad, seguridad, transparencia y un nivel adecuado de protección.

La visita al sitio, el silencio o una casilla premarcada no constituyen consentimiento. Esta política no sustituye los Términos y Condiciones ni elimina derechos legales. Una futura operación comercial real requerirá información específica previa: esta versión no autoriza anticipadamente cualquier servicio futuro.

03 Datos tratados y su procedencia

3.1. Registro, autenticación y perfil

Nombre y apellidos, nombre de usuario, correo, celular, departamento y provincia; identificadores internos de autenticación y cuenta; estado y fecha de confirmación del correo; fechas de registro y actualización; declaración de mayoría de edad y constancias de aceptación. Las preferencias comerciales solo se consideran autorizadas cuando exista una elección separada válida.

La contraseña se transmite al servicio de autenticación para gestionar el acceso. No se incorpora en texto legible a las tablas de perfiles o simulaciones de GASTELO. La administración ordinaria de usuarios no necesita conocerla. Nunca la incluyas en consultas, comentarios o solicitudes de derechos.

3.2. Participación y simulaciones

Rol elegido, datos del formulario, expectativas opcionales, identificadores de sesión y recorrido, tramos realizados, fechas, finalización o abandono, productos y comercios representados, importes simulados, opciones de entrega, medios de pago o reembolso elegidos, valoración y comentarios. Estas opciones describen la prueba; no acreditan compras ni hábitos financieros reales.

3.3. Recompensas y atención

Cuenta y correo verificado vinculados al recorrido, cumplimiento de requisitos, primera simulación completada y recompensa ganada. Si solicitas el abono mediante Yape o Plin, se utilizarán únicamente el número y los datos indispensables que proporciones para ese fin. También tratamos los mensajes y antecedentes necesarios para atender consultas, incidencias y solicitudes de derechos.

3.4. Datos técnicos y constancias

Cookies e identificadores necesarios para la sesión; fechas y eventos de acceso, confirmación y uso de formularios; versión de los avisos cuando queda registrada; y datos técnicos procesados por la infraestructura para entregar el sitio, diagnosticar fallos o prevenir abuso, como dirección IP y datos del navegador. No todos estos registros se conservan en la misma base ni durante el mismo plazo.

La información procede principalmente de ti, de tu interacción con el sitio y de los servicios tecnológicos que intervienen en su funcionamiento. No compramos bases de contactos para completar tu perfil. Si recibimos información de otra fuente, informaremos sobre su origen y finalidad cuando corresponda legalmente.

04 Finalidades y fundamento del tratamiento

Las finalidades del piloto se corresponden con el banco inscrito y se concretan en:

1. Administrar registros y cuentas: tramitar solicitudes, verificar el correo, autenticar sesiones, recuperar accesos y gestionar el perfil.
2. Facilitar la simulación: autocompletar los datos de una cuenta autenticada, identificar el rol y conservar el avance y resultado de cada recorrido.
3. Gestionar la recompensa: comprobar requisitos y evitar que una misma cuenta o correo verificado obtenga repetidamente la recompensa única.
4. Evaluar el piloto: analizar expectativas, comentarios y valoraciones y elaborar estadísticas agregadas de participación, ubicación, finalización y opciones elegidas.
5. Atender y comunicar: enviar mensajes operativos de registro, confirmación, recuperación y atención de solicitudes o incidencias.
6. Proteger y acreditar: mantener controles de seguridad, conservar las constancias necesarias de consentimiento y atender obligaciones legales y solicitudes de derechos.

Cuando se requiere consentimiento, debe ser previo, libre, informado, expreso e inequívoco y recogerse mediante una acción afirmativa. Los datos estrictamente necesarios para preparar o ejecutar la relación solicitada, cumplir obligaciones legales o atender a una autoridad se tratarán sin consentimiento adicional únicamente cuando concurra una excepción concreta del artículo 14 de la Ley N.º 29733. No invocamos un «interés legítimo» genérico para ampliar finalidades.

Las estadísticas pueden mantenerse sin identificar participantes. Agrupar datos o sustituir el nombre por un código no equivale, por sí solo, a anonimizarlos: mientras sea razonablemente posible identificar a una persona, siguen protegidos como datos personales.

Publicidad y usos adicionales

Registrarte, aceptar esta política o participar para ganar una recompensa no autoriza campañas publicitarias, venta de datos ni publicación de testimonios identificables. Cualquier finalidad promocional deberá ofrecerse por separado, con una elección opcional y revocable, sin condicionar el acceso al piloto. Los mensajes indispensables para una solicitud o para la seguridad de la cuenta no son publicidad.

05 Campos obligatorios, opcionales y datos de terceros

El registro exige nombre completo, nombre de usuario, correo, contraseña, celular, departamento y provincia, así como las confirmaciones necesarias de mayoría de edad y condiciones aplicables. Su ausencia impide tramitarlo. El correo debe estar bajo tu control para activar la cuenta.

En la simulación, los campos obligatorios permiten construir el recorrido; las expectativas se identifican como opcionales. Puedes usar datos ficticios en el modo de prueba no vinculado a una cuenta, pero no datos de otra persona real sin autorización. Los datos inventados no acreditan identidad ni habilitan por sí solos una recompensa.

Si participas con una cuenta oficial, nombre, correo, celular y ubicación se incorporan desde el perfil como campos no editables en ese formulario. Esta restricción evita asociar el recorrido a otra identidad; no limita tu derecho a corregir datos mediante el perfil, cuando esté disponible, o solicitándolo al responsable.

No facilites números completos de tarjetas, CVV, PIN, claves bancarias, códigos de autorización de pagos, documentos de identidad ni datos de terceros en campos libres. El piloto no requiere datos biométricos, de salud, ideología, afiliación sindical u otros datos sensibles. Si se reciben por error, se limitará su uso a gestionar la incidencia y se evaluará su eliminación segura.

06 Registro pendiente y confirmación del correo

Al enviar el formulario se inicia una solicitud pendiente y el servicio de autenticación puede generar un registro técnico no confirmado. No equivale a una cuenta oficial activa ni concede acceso como usuario verificado. La activación exige confirmar válidamente el correo y completar los datos requeridos.

El enlace de confirmación tiene una vigencia configurada de una hora. El intervalo mínimo entre solicitudes de reenvío es de 60 segundos: limita los envíos, pero no es el plazo de vigencia del enlace. Un enlace vencido o ya utilizado no debe permitir confirmar nuevamente el correo.

La caducidad del enlace no borra inmediatamente el formulario pendiente ni todos los registros técnicos. Se utilizan para completar el proceso solicitado, prevenir abuso y atender incidencias, sujetos a los límites de conservación. La verificación acredita el control del buzón, no una validación documental de identidad.

07 Simulaciones, decisiones automáticas y recompensa

Se distingue entre cuenta registrada y confirmada, simulación en curso o parcial y simulación terminada. Finalizar requiere completar los tramos exigidos y ejecutar la acción final del último tramo; visitar una pantalla intermedia no basta.

Para evaluar la recompensa se comprueba la sesión autenticada, la correspondencia del correo con la cuenta oficial, el recorrido completo y la existencia de una recompensa anterior. Escribir el correo de otra persona no permite usar su verificación.

Estas comprobaciones automáticas pueden impedir funciones reservadas o indicar que no corresponde una nueva recompensa. No constituyen una calificación crediticia ni una evaluación de solvencia. Puedes solicitar revisión humana al correo de privacidad, explicar tu caso y aportar información pertinente, sin entregar contraseñas.

La recompensa promocional vigente es de S/3. Una recompensa ganada no acredita que haya sido pagada. El abono por Yape o Plin se realiza separadamente por el responsable. Repetir la simulación no genera otra recompensa cuando ya se obtuvo la recompensa única conforme a sus condiciones.

Las valoraciones y comentarios se utilizan para evaluar el piloto. Esta política no otorga una licencia para publicarlos junto con tu nombre, imagen o datos de contacto.

08 Personas y servicios que acceden a los datos

El acceso debe limitarse al responsable y a quienes necesiten intervenir en una finalidad informada, con permisos adecuados. El panel administrativo no es un directorio público de usuarios.

• SUPABASE PTE. LTD.: registro técnico, confirmación del correo, credenciales y autenticación, como encargada del tratamiento.
• Infraestructura AWS: forma parte de la cadena tecnológica de Supabase. La entidad de infraestructura identificada para la región brasileña es A100 ROW Servicos De Dados Brasil Ltda.; no se presenta como un proveedor contratado directamente por el usuario.
• Cloudflare, Inc.: infraestructura web y base D1 utilizada por la aplicación para perfiles, formularios, recorridos, constancias y recompensas. La web se publica mediante el servicio Sites. Esta capa es distinta de la base de autenticación de Supabase.
• Google, mediante Gmail: envío de correos operativos y recepción de mensajes en gastelobuyersclub@gmail.com. Puede tratar destinatarios, contenido y metadatos del mensaje. No se presenta como Google Workspace con residencia regional contratada.
• Operadores de la billetera o entidad financiera elegida: cuando solicitas un abono real por Yape o Plin, los datos necesarios para ejecutarlo quedan sujetos también a las condiciones del operador. Mostrar sus logotipos en una simulación no implica enviarles automáticamente tus datos.

Los proveedores no sustituyen la responsabilidad de GASTELO de informar, seleccionar servicios adecuados y gestionar encargos y garantías. No todos los terceros actúan como encargados: entidades financieras y autoridades pueden tratar información para sus propias obligaciones legales.

Solo se comunicarán datos a una autoridad con fundamento legal o requerimiento válido y dentro del alcance necesario. No se autoriza a otros participantes a reutilizar información ajena para publicidad, hostigamiento o fines incompatibles.

09 Transferencias internacionales y ubicación

9.1. Autenticación: Singapur y Brasil

Para gestionar el registro, la verificación del correo electrónico y la autenticación de las cuentas, GASTELO utiliza los servicios de SUPABASE PTE. LTD., domiciliada en Singapur, en calidad de encargada del tratamiento y conforme a su acuerdo de tratamiento de datos personales.

La base principal de autenticación del proyecto está configurada en South America (São Paulo), Brasil, región sa-east-1, sobre infraestructura de Amazon Web Services. La lista de entidades de infraestructura de AWS identifica para esta región a A100 ROW Servicos De Dados Brasil Ltda., que interviene dentro de esa cadena de prestación tecnológica. Esta referencia distingue a la encargada contratada de la entidad que proporciona infraestructura regional.

Estas operaciones implican tratamiento y flujo transfronterizo de datos personales desde el Perú. La elección de São Paulo establece la ubicación principal de almacenamiento y procesamiento del proyecto, pero no garantiza que toda operación de Supabase, sus subencargados o los restantes servicios de GASTELO se realice exclusivamente en Brasil. El domicilio de Supabase en Singapur tampoco significa que la base principal se encuentre físicamente en ese país.

El alcance regional, los subencargados y las condiciones del servicio constan en el acuerdo de tratamiento de Supabase, su lista de subencargados y la lista de entidades de infraestructura de AWS.

9.2. Otras capas tecnológicas

La región de Supabase no determina la ubicación de la base operativa D1, la entrega web ni los mensajes de Gmail. Cloudflare y Google utilizan infraestructuras distribuidas y pueden tratar datos fuera del Perú. No se ofrece una garantía de residencia exclusiva de esas capas en Brasil o Singapur. La localización de un servicio debe distinguirse de la nacionalidad o domicilio de su proveedor.

Consulta las descripciones de ubicación de datos D1 y la política de privacidad de Google. Estas referencias no reemplazan el deber de GASTELO de informar sobre sus tratamientos ni representan una autorización abierta para nuevas transferencias.

9.3. Garantías y cambios

Las transferencias deben ajustarse a la Ley N.º 29733 y su Reglamento mediante el nivel de protección o las garantías exigibles en cada caso, con delimitación de finalidades, confidencialidad, seguridad, derechos y subcontratación. Un acuerdo extranjero o unas cláusulas contractuales tipo no constituyen por sí solos una certificación de cumplimiento peruano.

La constancia del banco identifica los receptores declarados en Singapur y Brasil; no debe interpretarse como una lista exhaustiva de todos los tratamientos técnicos de Internet. Los cambios relevantes de destinatarios, países o finalidades requieren evaluar garantías, actualizar la información y el registro cuando corresponda y obtener un nuevo consentimiento si la ley lo exige, antes del tratamiento que dependa de él.

10 Conservación, bloqueo y eliminación

No existe autorización para conservar todos los datos indefinidamente. Se aplican los siguientes límites, sin perjuicio de una solicitud procedente de supresión anterior:

• Registros no confirmados: hasta 30 días desde el último intento de registro. La hora de vigencia del enlace y la ventana técnica de siete días del formulario pendiente no son plazos de borrado. La depuración debe abarcar el perfil pendiente y el registro no confirmado de autenticación.
• Cuenta y perfil: mientras la cuenta esté activa y sea necesaria para la relación solicitada. El cierre o una cancelación procedente pone fin al uso ordinario; no se mantendrá activa únicamente para conservar evidencia.
• Simulaciones, expectativas y opiniones identificables: hasta 24 meses desde la última participación. Después se eliminarán o anonimizarán, excepto el mínimo necesario para una recompensa o reclamación vigente.
• Recompensas: evidencia mínima de elegibilidad y de la recompensa ganada durante la campaña y la atención de reclamaciones relacionadas. Esto no permite conservar todo el historial ni reutilizar el número de pago para publicidad.
• Atención y derechos: durante su tramitación y, después, solo la evidencia necesaria para acreditar la respuesta y atender responsabilidades legalmente exigibles.
• Consentimientos y trazabilidad de operadores: mientras sea necesario acreditar el tratamiento y durante los plazos legales exigibles. Los registros de interacción lógica de operadores sujetos al Reglamento deben conservarse como mínimo dos años; no se confunden con seguimiento publicitario de visitantes.
• Cookies: según los plazos de la sección siguiente. Borrarlas del navegador no elimina por sí solo los registros de los servidores.

Si una obligación, investigación o controversia justifica una excepción, se limitarán los datos al mínimo pertinente, se documentará el motivo y plazo aplicable y se restringirá su uso a esa finalidad. El bloqueo no permite reutilizarlos para publicidad ni actividades ordinarias.

La eliminación en sistemas activos debe coordinarse con los proveedores. Las copias técnicas residuales están sujetas a los ciclos de sustitución o eliminación del servicio y no deben restaurarse para reanudar un tratamiento cancelado. No se promete un borrado físico simultáneo de todas las copias ni un plazo de respaldo no comprobado. Puedes solicitar información sobre la ejecución y las excepciones de tu caso.

11 Cookies y tecnologías necesarias

La aplicación utiliza cookies de primera parte para mantener el acceso solicitado y el recorrido. No autorizan fines publicitarios:

• gastelo_access_token: acredita la sesión. Su duración depende del vencimiento emitido por autenticación, habitualmente una hora, y puede renovarse durante el uso.
• gastelo_refresh_token: renueva la sesión; duración configurada de hasta 30 días por emisión. Cerrar sesión elimina las cookies de autenticación del navegador utilizado.
• Cookie de acceso a la demostración: vincula el navegador con el recorrido; vigencia configurada de hasta 30 días.

Estas cookies se configuran para limitar su lectura desde scripts y transmitirse de forma segura en producción. La infraestructura puede utilizar mecanismos adicionales estrictamente necesarios para seguridad o entrega del sitio.

Esta política no habilita cookies publicitarias ni analítica opcional. Si se incorporan, se informará de finalidad, proveedor y duración y se solicitará la elección previa exigible. Puedes bloquear o borrar cookies desde tu navegador, aunque ello puede cerrar tu sesión o impedir continuar un recorrido.

12 Seguridad, confidencialidad e incidentes

La web utiliza HTTPS, verificación del correo para el acceso oficial, comprobaciones de sesión y controles de acceso a funciones administrativas. Los perfiles y las simulaciones no deben contener contraseñas de autenticación ni claves bancarias. Estas medidas deben complementarse con gestión de permisos, documentación de seguridad y revisión de los servicios utilizados.

El nombre de usuario puede aparecer en la dirección de páginas de tu cuenta. Una ruta personalizada no es una contraseña: conocerla no debe conceder acceso. Evita compartir enlaces privados o capturas con identificadores. Nunca compartas enlaces de confirmación o recuperación. El nombre en la ruta no convierte el resto de tu perfil en información pública.

Ningún sistema garantiza riesgo cero. Ante un incidente corresponde evaluar su alcance, contenerlo, documentarlo y adoptar medidas correctivas. Cuando se configuren los supuestos del Reglamento, se notificará a la Autoridad Nacional de Protección de Datos Personales dentro de las 48 horas siguientes a su conocimiento y se efectuarán las demás comunicaciones exigibles, incluidas las dirigidas a las personas afectadas cuando corresponda.

La comunicación debe ser comprensible e incluir la información disponible y medidas pertinentes, sin exigir renuncias de responsabilidad. Reporta accesos sospechosos al correo oficial, sin adjuntar claves ni códigos.

13 Derechos, procedimiento y plazos

Puedes ejercer los derechos reconocidos por la legislación peruana:

• Información: conocer condiciones, finalidades, destinatarios y circunstancias del tratamiento.
• Acceso: conocer tus datos, su origen, uso y comunicaciones y obtener la información que corresponda.
• Actualización, inclusión y rectificación: corregir información inexacta o incompleta.
• Cancelación o supresión: solicitar eliminación cuando no exista fundamento para el tratamiento, salvo excepciones legales justificadas.
• Oposición: objetar tratamientos en los supuestos previstos por la ley.
• Revocación: retirar el consentimiento sin efectos retroactivos sobre tratamientos lícitos ya realizados.
• Portabilidad: solicitarla cuando concurran los requisitos legales y técnicos aplicables.
• Tratamiento objetivo: conocer y cuestionar decisiones que te afecten significativamente, expresar tu posición y solicitar intervención humana cuando corresponda.

La solicitud es gratuita. No necesitas comprar un servicio ni iniciar sesión para presentarla. Retirar un consentimiento necesario puede impedir mantener la función que dependa de él, pero no justifica retener otros datos sin fundamento ni imponer penalidades.

Cómo presentar la solicitud

Escribe a gastelobuyersclub@gmail.com o presenta tu solicitud en Jirón Villacampa 278, Rímac, Lima, Perú, dirigida a Freddy Gabriel Sotelo Ñaves. Indica:

1. Nombre completo y correo o identificador con el que interactuaste con GASTELO.
2. El derecho que deseas ejercer y una descripción clara de lo solicitado.
3. El medio para recibir respuesta.
4. La acreditación de identidad o representación que corresponda; para una rectificación, la información que permita sustentarla.

Verificaremos la identidad de forma proporcional antes de entregar datos o modificar una cuenta. No pediremos contraseñas ni pagos. La documentación adicional se limitará a lo necesario; si debes aclarar o subsanar una solicitud, te indicaremos el motivo y procedimiento aplicable.

Plazos y tutela

Según el artículo 69 del Reglamento, los plazos máximos son ocho días hábiles para información, veinte días hábiles para acceso y diez días hábiles para rectificación, cancelación u oposición, desde el día siguiente de presentada la solicitud, con las reglas legales de subsanación. Una ampliación solo procede en los casos permitidos, debe justificarse y comunicarse dentro del plazo inicial; no es automática.

La respuesta explicará lo realizado o el motivo legal de una denegación. Si no recibes respuesta o no estás conforme, puedes solicitar tutela ante la Autoridad Nacional de Protección de Datos Personales, sin renunciar a otras vías legales.

14 Menores y servicios externos

El piloto se dirige a personas de 18 años o más. La declaración de mayoría de edad es obligatoria y no se sustituye por verificar el correo. Si se detectan datos de un menor, se evaluará el bloqueo y eliminación correspondientes, atendiendo a su protección y las obligaciones legales.

Los sitios externos se rigen por sus propias condiciones. Mostrar la marca de un banco, comercio o billetera no autoriza al tercero a acceder a tu cuenta GASTELO ni acredita una operación real.

15 Versiones, cambios y efectos

Esta versión identifica al responsable y al banco inscrito y describe el piloto actual. No se modificarán constancias anteriores para atribuirte una aceptación que no realizaste.

Los cambios relevantes se comunicarán mediante un aviso visible o mensaje operativo, según corresponda. Si introducen finalidades incompatibles o tratamientos que necesitan autorización adicional, se informará y solicitará nuevo consentimiento antes de aplicarlos. Continuar navegando no sustituye esa autorización.

La política debe mantenerse coherente con las funciones y proveedores reales. Publicarla no reemplaza las medidas técnicas y organizativas, los acuerdos con proveedores ni las actualizaciones registrales exigibles.