Titular del tratamiento / Responsable: MapsX.LLC (“MapsX”) Contacto DPO / Soporte de Privacidad: privacy@mapsx.app | support@mapsx.app

ÍNDICE (resumen rápido)

Principios generales de tratamiento Finalidades del tratamiento Datos de carácter público requeridos para registro de tiendas Datos privados (no públicos) susceptibles de verificación (KYC) Bases legales que legitiman el tratamiento Consentimiento y aceptación de términos Procedimiento y alcance de las verificaciones (qué se solicita, cuándo y cómo) Tratamiento de datos para pagos y recompensas (Asesor / Coordinador) Transferencias, compartición con terceros y subprocessors Compartición con autoridades: delitos mayores, criterios y procedimiento Definición de “delito mayor” y lista de supuestos Conservación y plazos de retención Derechos de los titulares (acceso, rectificación, supresión, oposición, portabilidad, limitación) Medidas de seguridad técnicas y organizativas Minimización de datos y principios de proporcionalidad Tratamiento de menores y restricciones específicas Gestión de brechas de seguridad (data breach) Procedimientos de auditoría, revisiones y cambios de política Cláusulas de responsabilidad y limitaciones Información práctica y formularios (consentimiento, revocación, solicitud de datos) Contacto y vías de reclamación

Principios generales de tratamiento

MapsX tratará los datos personales de conformidad con los principios de licitud, lealtad, transparencia, finalidad, minimización, exactitud, limitación del plazo de conservación, integridad y confidencialidad. MapsX adoptará como guías el Reglamento General de Protección de Datos (GDPR) para usuarios en la UE y buenas prácticas internacionales, aplicando reglas compatibles cuando la normativa local exija concretos adicionales.

Finalidades del tratamiento

Los datos recabados serán tratados para las finalidades siguientes, sin perjuicio de otras que expresamente se indiquen en formularios o avisos: Gestión del registro y habilitación de tiendas dentro de MapsX (publicación de ficha, catálogo, contacto). Verificación de identidad y autenticidad (KYC/KYB) para prevenir fraude y garantizar integridad de la plataforma. Procesamiento de pagos y transferencias relacionadas con recompensas (Asesor / Coordinador) y facturación. Servicio al cliente, notificaciones, comunicaciones de producto y gestión de incidencias. Prevención de fraudes, lavado de activos y otros delitos, cumplimiento de obligaciones legales (AML/CFT) y respuesta a requerimientos de autoridades. Estadísticas, medición de uso y mejora de producto (análisis agregados y/o anonimizados). Gestión del Programa de Reconocimientos (cálculo, validación y pago de beneficios) y control de elegibilidad. Retención de evidencias y trazabilidad para resolución de conflictos y garantías contractuales.

Datos de carácter PÚBLICO requeridos para registrar una tienda (se harán visibles en la ficha de la tienda)

Al crear una tienda en MapsX, el usuario declara y consiente que los siguientes datos serán públicos en la ficha (visibles a otros usuarios y buscadores) y serán obligatorios para completar el registro: Nombre comercial de la tienda (o nombre asignado automáticamente en caso de tienda gratuita). Foto de fachada del negocio (imagen principal). Fotos complementarias y/o imágenes de productos (opcionalmente múltiples). Información y descripciones de los artículos en venta (títulos, descripciones, categorías, atributos). Contactos públicos: número de WhatsApp, número telefónico de contacto, correo electrónico público de la tienda, y direcciones URL a páginas web y redes sociales que el propio comerciante provea. Localización aproximada / dirección comercial (según configuración de privacidad puede mostrarse dirección completa o solo zona) — la política de privacidad debe indicar claramente el nivel de precisión mostrado. Aviso: MapsX publicará exactamente la información que el comerciante facilite como pública. Es responsabilidad del comerciante confirmar que tiene derechos sobre las imágenes y la información aportada (propiedad intelectual de imágenes, permisos de uso, etc.).

Datos PRIVADOS (no públicos) que MapsX podrá solicitar y tratar para VERIFICACIÓN

MapsX podrá solicitar, en cumplimiento de su política de verificación y prevención de fraude, los siguientes documentos o datos para validar la autenticidad de la persona o empresa. Estos datos no se publican en la ficha pública y se utilizarán únicamente para las finalidades estrictamente necesarias (KYC/KYB, pagos, cumplimiento legal):

1 Personas naturales / comerciantes individuales

Documento de identidad oficial (DNI, cédula, pasaporte). Documento de servicios públicos a nombre del solicitante o que verifiquen dirección (agua, electricidad, gas) — cuando sea necesario para confirmar la dirección declarada. Licencia de conducción (como documento complementario de verificación, si aplica). Foto de perfil y fotografía de cuerpo completo del solicitante. Foto del solicitante sosteniendo su documento de identidad (selfie con documento) para verificación biométrica visual. Información bancaria para pagos: número de cuenta, titular, banco, SWIFT/IBAN o detalles equivalentes; o cuenta de PayPal/Stripe/similar para recibir transferencias de recompensas. Cualquier otro documento legalmente admisible para verificar identidad (por ejemplo, certificado tributario, cartilla militar, etc.), conforme a políticas internas.

2 Personas jurídicas / empresas

Documento de constitución / escritura constitutiva. Número único de identificación fiscal / registro mercantil (RUC, NIT, EIN, CIF, según jurisdicción). Número de seguridad social o identificación del representante legal (si la ley local lo exige para verificaciones business). Copias de documentos del representante legal (identidad, comprobante de domicilio). Documentación que pruebe la titularidad de la cuenta bancaria indicada para pagos. Otros documentos legales que la normativa local o la política interna de MapsX requieran para acreditación. Principio de proporcionalidad: MapsX solicitará solo los documentos necesarios según riesgo y según la modalidad solicitada (Asesor vs Coordinador), pudiendo requerir información adicional para habilitar funciones de pago o niveles superiores.

Bases legales que legitiman el tratamiento

MapsX tratará datos personales con base en una o varias de las siguientes bases legales, según corresponda: Ejecución de un contrato: para prestar servicios solicitados por el usuario (registro y habilitación de tienda, gestión de pedidos, procesamiento de pagos cuando proceda). Consentimiento explícito del titular: cuando el tratamiento requiera el consentimiento (ej. publicación de imágenes, uso de datos sensibles si fuese aplicable, consentimiento para compartir datos con terceros para KYC). Obligación legal: cumplimiento de obligaciones legales aplicables (fiscales, contables, AML/KYC, requerimientos judiciales o administrativos). Interés legítimo: prevención de fraude, seguridad de la plataforma y protección de otros usuarios, siempre ponderando derechos del titular. Ejecución de medidas precontractuales: cuando el usuario haya suministrado datos para evaluar la posibilidad de uso del servicio. MapsX documentará la base legal aplicable a cada tratamiento y mantendrá registros de dicha justificación.

Consentimiento y aceptación de términos

Al registrarse y suministrar datos, el usuario: Declara que la información pública aportada puede ser publicada en la ficha de la tienda y aceptada por otros usuarios. Otorga su consentimiento explícito para que MapsX recabe y trate datos privados indicados en la sección 4 para los fines de verificación, procesamiento de pagos y prevención de fraude. Acepta expresamente los Términos del Programa de Reconocimientos y la Política de Privacidad de MapsX. Tiene derecho a revocar el consentimiento en cualquier momento (con efectos prospectivos), sin perjuicio de la licitud del tratamiento efectuado anteriormente. MapsX proporcionará mecanismos claros para otorgar y revocar el consentimiento (checkboxes, registros de aceptación, formularios).

Procedimiento y alcance de las verificaciones (KYC / KYB)

Momento de solicitud: MapsX podrá solicitar documentos en los siguientes casos, entre otros: al crear la tienda, al solicitar habilitación para venta de ciertos servicios, al optar por recibir pagos recompensas (Asesor/Coordinador), o si el sistema detecta actividad sospechosa. Notificación: El solicitante será notificado con antelación sobre qué documentos se requieren y la finalidad de su aportación. Validación: MapsX realizará comprobaciones manuales y/o automáticas (OCR, verificación biométrica básica, comprobación de consistencia, verificación de titulares de cuentas bancarias). Resultado: Tras la verificación, la cuenta podrá ser: habilitada, habilitada con restricciones, o denegada/suspendida si existe inconsistencia o riesgo. Registro: Se conservarán evidencias de verificación (hashes, fechas, estados) por el tiempo necesario para cumplimiento regulatorio y resolución de disputas. Transparencia: El usuario podrá consultar qué documentos fueron solicitados y el estado de su verificación.

Tratamiento de datos para pagos y recompensas (Asesor / Coordinador)

Datos necesarios para pagos: nombre, identificación fiscal (si corresponde), datos de la cuenta de pago (bancaria / PayPal / Stripe o similar), dirección de residencia, y documentación KYC. Periodicidad de pago: (si aplica) los pagos resultantes del Programa se efectuarán conforme a las reglas del Programa (por ejemplo, cada 15 días) y tras la validación del derecho al cobro y cumplimiento de KYC. Comprobación de elegibilidad: MapsX calculará y validará montos o créditos y verificará ausencia de sanciones, fraude u otras incidencias antes de autorizar el pago. Impuestos y obligaciones: Los beneficiarios son responsables de cumplir sus obligaciones fiscales; MapsX podrá retener o reportar información si la ley aplicable lo exige. Registro de transacciones: Se archivarán comprobantes, registros de transferencia y evidencia de pago durante plazos compatibles con normativas fiscales.

Transferencias, compartición con terceros y subprocessors

MapsX podrá compartir datos personales con: Proveedores de servicios operativos (hosting, almacenamiento, procesamiento de pagos, análisis, notificaciones). Entidades bancarias y proveedores de pagos (Stripe, PayPal, bancos) para ejecución de transferencias. Empresas externas encargadas de verificación KYC/KYB y prevención de fraude. Autoridades competentes en cumplimiento de obligaciones legales. Socios comerciales cuando el usuario acepte participar en programas gestionados por terceros. Requisitos para terceros: MapsX exigirá acuerdos contractuales (DPA / Data Processing Agreements) que obliguen a subprocessors a cumplir medidas de seguridad y limitar el uso de datos a las finalidades indicadas. Transferencias internacionales: Cuando se transfieran datos fuera del espacio económico del titular (p. ej. fuera de la UE), MapsX adoptará garantías adecuadas (cláusulas contractuales tipo, evaluación de seguridad, etc.) y lo informará al titular cuando la ley lo exija.

Compartición con autoridades: delitos mayores, criterios y procedimiento

MapsX podrá suministrar datos personales a autoridades públicas (policiales, fiscales, judiciales) cuando: Exista requerimiento legal vigente (orden judicial, citación, requerimiento administrativo). Se detecte actividad que, a juicio razonable y conforme a los criterios de MapsX (y previa revisión interna), constituya un delito mayor (definido en la sección 11). Se sospeche de operaciones que impliquen riesgo real e inminente para la seguridad de usuarios u operaciones (fraude masivo, blanqueo, terrorismo, explotación sexual de menores, etc.). Procedimiento interno antes de transferir datos a autoridades: Revisión por el equipo de cumplimiento (Compliance / Legal). Registro documental del motivo, alcance y fundamento legal de la entrega. En la medida permitida por la ley, notificación al titular sobre la solicitud (salvo cuando la ley prohíba la notificación o cuando la notificación pudiera interferir con una investigación). Limitación de la información entregada al mínimo necesario para la finalidad legítima del requerimiento. MapsX conservará registro de las solicitudes de autoridades y de las comunicaciones realizadas en respuesta, por plazos razonables.

Definición de “DELITO MAYOR”

A los efectos de esta política, se entenderá por “delito mayor” cualquier conducta que, por su naturaleza, alcance, gravedad o impacto, constituya una infracción penal grave o un riesgo significativo para la seguridad pública o la integridad del sistema financiero. Entre otros, se incluyen: Terrorismo, financiación del terrorismo y organización criminal. Tráfico de drogas y estupefacientes a gran escala. Trata de personas y explotación sexual de menores. Lavado de activos (money laundering) y financiación del terrorismo (AML/CFT). Delitos contra la persona: homicidio, secuestro, lesiones graves. Delitos económicos graves: fraude masivo, fraude bancario institucionalizado, malversación con impacto sistémico. Delitos relacionados con armas: tráfico de armas y municiones. Cibercrimen grave: ataques informáticos que causen daños significativos o riesgo masivo (ransomware a infraestructuras críticas, robo masivo de datos con fines delictivos). Corrupción y soborno institucional a gran escala. Delitos transnacionales que involucren patrones organizados y riesgo para terceros. Criterio adicional: MapsX considerará delito mayor cualquier conducta que, aun sin entrar en la lista anterior, cumpla criterios de gravedad análogos (alto impacto, organización, reiteración y uso de estructuras para eludir controles).

Conservación y plazos de retención

MapsX aplicará criterios de retención basados en la finalidad del dato, obligaciones legales y necesidades operativas: Datos públicos de la ficha de la tienda: se conservarán mientras la tienda esté activa y por un periodo adicional razonable (p. ej. 2 años) tras la desactivación, salvo que el titular solicite supresión y no existan obligaciones legales que impidan su eliminación. Documentos de verificación (KYC/KYB): conservación mínima necesaria para cumplimiento regulatorio y trazabilidad (recomendación: 5–10 años según jurisdicción y obligaciones fiscales/AML). Registros de pagos y transacciones: conforme a requisitos fiscales aplicables (por ejemplo, 5–7 años). Logs técnicos y registros de seguridad: períodos variables (por ejemplo, 1–3 años) según necesidad de auditoría y respuesta a incidentes. Datos de usuarios inactivos: política específica de retención y notificación previa a eliminación tras período de inactividad (p. ej. 12–24 meses). La retención será siempre proporcional y documentada. El usuario puede solicitar supresión o liminar datos no obligados por ley, respetando requisitos legales

Derechos de los titulares

Los usuarios titulares de los datos disponen, según la normativa aplicable, de los siguientes derechos: Acceso: conocer si se están tratando sus datos y obtener copia de los mismos. Rectificación: solicitar corrección de datos inexactos o incompletos. Supresión (“derecho al olvido”): solicitar borrado cuando proceda (con limitaciones por obligaciones legales). Limitación del tratamiento: pedir limitación en casos previstos. Oposición: oponerse al tratamiento por motivos legítimos, salvo prevalencia de interés legítimo de MapsX legalmente justificado. Portabilidad: solicitar entrega de sus datos en formato estructurado cuando proceda. Retirada del consentimiento: cuando el tratamiento se base en consentimiento. Reclamación ante autoridad de control: derecho a interponer reclamación (p. ej. autoridad de protección de datos local). Procedimiento para ejercer derechos: enviar solicitud a privacy@mapsx.app con identificación del solicitante; MapsX contestará en los plazos legales. MapsX podrá solicitar verificaciones adicionales antes de procesar la solicitud para evitar fraudes.

Medidas de seguridad técnicas y organizativas

MapsX implementa medidas adecuadas considerando el riesgo:

Técnicas: Cifrado en tránsito (TLS 1.2/1.3) y cifrado en reposo para datos sensibles. Control de acceso por roles (RBAC) y autenticación multifactor para personal sensible. Registro y monitoreo de accesos (audit logs inmutables). Sistemas de detección de intrusiones (IDS/IPS) y WAF para la infraestructura web. Segregación de entornos (producción / staging) y pruebas seguras. Backups cifrados y políticas de recuperación (DRP).

Organizativas: Políticas de gestión de incidentes y continuidad de negocio. Contratos y acuerdos de confidencialidad con proveedores. Formación periódica del personal en protección de datos. Evaluaciones de impacto (DPIA) cuando proceda. Procedimientos de baja y revocación de acceso. MapsX realiza revisiones periódicas y pruebas (pen testing) con terceros.

Minimización y proporcionalidad

MapsX aplicará principios de minimización: solo se recabarán datos estrictamente necesarios para la finalidad declarada. Las pruebas/documentación solicitadas se ajustarán al riesgo y al nivel de privilegios que el usuario solicite (por ejemplo, Coordinador vs Asesor).

Tratamiento de menores

MapsX no aceptará el registro de menores para la creación de tiendas comerciales. Si por error se detecta registro de menor, la cuenta será suspendida y se avisará al titular responsable para proceder conforme a la normativa aplicable.

Gestión de brechas de seguridad (data breach)

En caso de brecha: Activación del equipo de respuesta inmediata. Contención y análisis forense. Notificación a autoridades y titulares cuando la ley lo exija (plazos legales,
p. ej. 72 horas en GDPR). Medidas correctivas y reporte de impacto. Registro y documentación completa del incidente.

Procedimientos de auditoría y cambios de política

MapsX realizará auditorías internas y externas periódicas, y se reserva el derecho de actualizar estas políticas. Los cambios se publicarán con fecha y, en caso de afectar derechos de los usuarios, se comunicará de manera adicional vía correo.

Cláusulas de responsabilidad y limitaciones

MapsX adopta medidas razonables; sin embargo, no será responsable por daños indirectos, pérdida de negocio o lucro cesante en la medida permitida por ley. MapsX podrá suspender cuentas en caso de riesgo hasta clarificar la situación.

Formularios y textos sugeridos (consentimientos y avisos)

1 Texto breve para checkbox de consentimiento (registro de tienda)

“Acepto que MapsX publique la información y fotos de mi tienda en la ficha pública y autorizo a MapsX a solicitar documentación adicional para verificar mi identidad y/o la veracidad de la tienda. He leído y acepto la Política de Privacidad y los Términos del Programa de Reconocimientos.”

2 Aviso previo a solicitud de documentos KYC

“Para activar funciones de cobro de recompensas o Coordinador, Map sX requiere verificación adicional. Por favor adjunte [documentos solicitados]. La información se utilizará exclusivamente para verificación y pago conforme a nuestras políticas.”

3 Modelo de revocación de consentimiento (email)

“Solicito la revocación del consentimiento prestado para el tratamiento de mis datos con finalidad [especificar]. Entiendo que la revocación tendrá efectos prospectivos y que MapsX podrá mantener ciertos datos por obligaciones legales.”

Contacto y vías de reclamación

Correo DPO / Privacidad: privacy@mapsx.app

Soporte general: support@mapsx.app Autoridad de control: En caso de residentes en la UE, derecho a reclamar ante la autoridad competente (ej. ICO/Agencia Española de Protección de Datos o equivalente).

Disposiciones finales — Prioridad de MapsX.LLC

MapsX.LLC se reserva la interpretación final de estos procedimientos y condiciones, así como la facultad de modificar requisitos de verificación, escalas de retención y medidas según evolución normativa o riesgos detectados. Las decisiones de MapsX relativas a cumplimiento y seguridad prevalecerán en el ámbito operacional, siempre sujetas a derecho aplicable y controles jurisdiccionales.

ANEXOS RECOMENDADOS (para publicar en la web como descargas / PDFs) Formato de consentimiento (PDF) descargable. Procedimiento paso a paso: “Cómo verificar tu cuenta” (capturas y checklist). Preguntas frecuentes sobre privacidad y pagos. Política de cookies y tracking. Documento DPA (Data Processing Agreement) resumido para partners. Lista de información importante que debes mostrar / incluir en la web y en los formularios de registro Identidad del responsable (MapsX.LLC) y datos de contacto DPO. Finalidades del tratamiento (claras, separadas por finalidad). Base legal aplicable para cada finalidad. Lista de datos públicos que se publicarán y consentimiento para su publicación. Tipos de documentos privados que podrán solicitarse y la finalidad concreta de cada uno. Qué terceros recibirán datos (lista de subprocessors / proveedores). Política de retención con plazos concretos (por tipo de dato). Procedimiento para ejercer derechos (con formulario o enlace directo). Política de seguridad (resumen) y medidas adoptadas. Descripción de cuándo y cómo se comparten datos con autoridades (criterios). Definición de “delito mayor” usada por MapsX y ejemplos. Procedimiento de verificación KYC/KYB paso a paso. Información sobre pagos/recompensas: periodicidad, requisitos (KYC), umbral mínimo. Enlaces a documentos legales completos: términos, privacidad, cookies, DPA. Traducción o versión local si operas en jurisdicciones con idioma distinto. Recomendaciones operativas y técnicas adicionales (prácticas) Implementa un portal seguro para la subida de documentos con cifrado en tránsito y en reposo, y visualización temporal con control de acceso. Mantén retenciones segregadas: separa datos públicos y KYC en almacenes distintos con accesos diferentes. Usa hashing y/o eliminación de campos sensibles cuando no sean necesarios. Implementa workflows de revisión y marca de auditoría para cada verificación manual. Asegura que la interfaz de usuario muestre claramente qué datos se harán públicos.