Política de Privacidad de nQR

Versión PP-2026-08-31-1 · Vigencia: 31/08/2026

1. Responsable y contacto

BOMA Labs SAS, operadora de nQR, es responsable de los tratamientos necesarios para administrar el sitio, cuentas, seguridad, producto, soporte y relación comercial. Datos de identificación: RUT 21 893 851 0016; domicilio Río de la Plata 1539, Montevideo, Uruguay; correo para privacidad y ejercicio de derechos: soporte+privacidad@nqr.uy. BOMA Labs SAS no ha designado un delegado de protección de datos porque actualmente no trata datos sensibles como negocio principal ni datos personales de más de 35.000 personas. BOMA Labs SAS permanece como responsable del tratamiento y atiende las solicitudes mediante el canal indicado.

Esta Política se aplica a https://nqr.uy, la aplicación, formularios, correos y soporte. Los sitios a los que apuntan los QR tienen sus propios responsables y políticas.

2. Roles de tratamiento

• BOMA Labs SAS como responsable: datos de Usuarios, seguridad, soporte, analítica propia, facturación recibida de Paddle, leads y cumplimiento.
• Cliente como responsable: datos personales que incorpore a nombres, referencias, direcciones, destinos o campañas, así como datos que recoja en sus sitios de destino.
• BOMA Labs SAS como encargado: cuando aloja o procesa por instrucciones del Cliente datos personales contenidos en el uso empresarial de nQR. Las condiciones específicas deben documentarse en el Contrato Marco o un anexo de tratamiento.
• Responsables independientes: Paddle para la venta y pago; Google y otros proveedores cuando determinan finalidades propias conforme a sus políticas.

3. Datos de cuenta y autenticación

Tratamos nombre, apellido, correo, identificadores internos, nombre de usuario técnico, contraseña almacenada mediante hash, estado de actividad, verificación de correo, fechas y tokens temporales de verificación o recuperación. Los obtenemos del Usuario y del funcionamiento del sistema para crear, autenticar, proteger y recuperar la cuenta, ejecutar el contrato y prevenir abuso. Sin los datos obligatorios no puede crearse o protegerse la cuenta.

4. Empresa, membresías y aceptación

Tratamos nombre de empresa, UUID y código interno, Administradores y Gestores, roles, invitaciones, correos invitados, asignaciones y revocaciones del rol Administrador, preferencias del panel y ofertas privadas de planes, incluido el plan ofrecido y su fecha opcional de vencimiento. Al crear una cuenta, conservamos la versión y hash de los documentos legales aceptados, el Usuario, la empresa representada, la fecha y hora, el rol, el correo y el nombre de empresa registrados, y el canal de alta. Esta evidencia permite identificar qué versión se presentó y fue aceptada. No incorporamos dirección IP ni user agent en este registro.

5. Carteles, propiedades y destinos

Tratamos nombre y códigos del cartel, referencia de propiedad, dirección, URL de destino, estado activo, fecha de activación, preferencia de redirección, coordenadas opcionales, dominio Enterprise y un historial de cambios que puede incluir el nombre visible del Usuario actuante, destinos anteriores y ubicaciones anteriores. Son datos aportados por el Cliente o generados al operar el producto, necesarios para prestar el servicio, auditar cambios y atender incidentes. Estos campos están destinados a información empresarial y del inmueble: no deben incluir nombres, teléfonos, correos personales u otros datos de contacto de personas, aunque sean contactos profesionales. Esta restricción no comprende los datos de los Usuarios necesarios para administrar la cuenta.

nQR no es un sistema de información estudiantil y prohíbe incorporar datos de estudiantes o menores —incluidos datos identificatorios, números de estudiante, calificaciones, asistencia, sanciones, salud, discapacidad, imágenes u otros antecedentes personales o sensibles— en nombres, referencias, direcciones, URLs, parámetros, destinos o recursos administrados mediante la plataforma. El Cliente y sus Usuarios son responsables de controlar la información cargada. Si BOMA Labs SAS detecta una exposición de esta naturaleza, podrá adoptar las medidas de bloqueo, suspensión o terminación previstas en los Términos.

6. Escaneos y métricas

Por cada escaneo externo de un QR activo, la aplicación registra el cartel y empresa asociados, tipo de evento y fecha/hora. Los eventos pueden compactarse en conteos diarios. La tabla de métricas de escaneo no guarda dirección IP ni user agent del visitante. Sin embargo, la solicitud puede dejar datos técnicos —incluida IP, fecha, ruta y user agent— en logs estándar de servidor, proxy, CDN, seguridad o monitoreo, según la infraestructura que debe confirmarse.

Estas métricas permiten mostrar totales, actividad reciente y último escaneo. Un Administrador puede exportar en CSV datos operativos de carteles y métricas agregadas.

nQR no identifica, valida ni determina la edad de quien escanea un código. El escaneo no crea una cuenta ni una relación contractual directa con BOMA Labs SAS. El Cliente es responsable del contenido y de las obligaciones de información o protección aplicables en los ámbitos donde publique sus QR.

7. Planes, Paddle y eventos de facturación

Tratamos información del plan, prueba, oferta, cantidades, suscripción, transacción y estado del pago, junto con registros técnicos necesarios para abrir el checkout, aprovisionar el Servicio, conciliar cambios, impedir duplicados, brindar soporte y cumplir obligaciones contractuales, contables, de seguridad y prevención de fraude.

Paddle recopila directamente datos del comprador, dirección o país, información fiscal y método de pago, y actúa como Merchant of Record o revendedor autorizado. nQR no almacena números completos de tarjeta. Paddle y BOMA Labs SAS comparten nombres, correos, historial de compra y analítica transaccional en calidad de responsables independientes para la venta, según el Data Sharing Addendum de Paddle. Consulte también su aviso de privacidad.

Los registros locales de facturación no tienen un vencimiento automático. Al ejecutar la baja se eliminan o anonimizan identificadores y contenido vinculado a la empresa; pueden subsistir metadatos técnicos mínimos para conciliación, prevención de duplicados, auditoría y obligaciones legales.

8. Uso del producto y PostHog

nQR registra hitos de activación y uso mediante identificadores internos pseudónimos y datos limitados sobre plan, rol, origen, estado y cantidades. Excluimos de estos eventos nombres, correos, teléfonos, direcciones, URLs, tokens e identificadores de pago. PostHog recibe los eventos desde nuestros servidores y los aloja en Estados Unidos; no se instala una cookie adicional de PostHog en el navegador. No hay un vencimiento automático configurado: permanecen hasta su eliminación mediante las herramientas del proveedor o hasta eliminar el proyecto o la cuenta.

9. Leads, soporte y comunicaciones

Los formularios comerciales guardan nombre, datos de contacto, fuente y fechas para responder la consulta. Las comunicaciones de verificación, recuperación, invitación, soporte y operación pueden generar registros mínimos de entrega y seguridad. Actualmente no usamos esta infraestructura para campañas de marketing; toda comunicación comercial futura requerirá una base adecuada y un mecanismo de baja cuando corresponda.

10. Logs, seguridad y Sentry

Podemos tratar IP, fecha y hora, ruta, navegador, dispositivo, sesión, eventos de autenticación y errores para operar, diagnosticar y proteger nQR. Los logs de aplicación se conservan hasta 30 días. Sentry procesa en Estados Unidos errores técnicos minimizados durante 30 días; no usamos sus funciones de trazas, perfiles ni almacenamiento de IP para eventos nuevos.

11. Cookies, reCAPTCHA, GTM y mapas

• Necesarias: sessionid mantiene la sesión autenticada y csrftoken protege formularios y solicitudes contra ataques CSRF. Se usan para autenticación, continuidad y seguridad y no requieren una elección de analítica.
• Google reCAPTCHA: se carga en registro, login, recuperación, formularios de leads y páginas públicas de entrega de QR para imprenta. Envía a Google el token y datos técnicos para detectar automatización y proteger las descargas frente al abuso. Esta medida de seguridad necesaria funciona independientemente de la preferencia opcional de Google Tag Manager.
• Google Tag Manager y Google Analytics 4: se cargan en páginas públicas únicamente después de aceptar la analítica opcional. Miden vistas, desplazamientos, clics externos, descargas y datos técnicos de navegación; no están habilitadas la medición de formularios, videos, Google Signals ni la vinculación con Google Ads. Google procesa transitoriamente la IP para prestar el servicio y obtener ubicación aproximada. Las cookies _ga y _ga_* pueden renovarse hasta por dos años; los eventos y datos de usuario se conservan durante dos meses. Puede cambiar su decisión desde “Preferencias de privacidad”.
• PostHog: no se carga en el navegador; recibe únicamente los eventos server-side minimizados indicados en la sección anterior.
• OpenStreetMap/Nominatim: el editor y panel solicitan mosaicos de mapas; la búsqueda de dirección envía el texto consultado directamente a Nominatim desde el navegador. Esos servicios reciben al menos datos técnicos de conexión conforme a sus políticas.

Cuando Google Tag Manager está habilitado, nQR solicita una elección previa, ofrece rechazo tan sencillo como aceptación y guarda la preferencia de GTM localmente durante 180 días. Esta elección no impide las métricas server-side minimizadas descritas en la sección 8, necesarias para operar y mejorar el producto. Google explica que Tag Manager puede integrarse con un banner o plataforma de consentimiento; consulte su centro de privacidad y seguridad.

12. Finalidades y fundamentos

• Contrato y medidas precontractuales: alta, autenticación, equipo, carteles, métricas, soporte, checkout y aprovisionamiento.
• Obligación legal: requerimientos de autoridades, documentación contable o fiscal, privacidad y defensa de reclamos.
• Interés legítimo: seguridad, prevención de fraude, logs proporcionados, mejora limitada del producto y comunicaciones operativas, tras valorar necesidad y derechos afectados.
• Consentimiento: etiquetas o comunicaciones no necesarias cuando lo exijan la ley o el mercado. Puede retirarse sin afectar el tratamiento previo.
• Instrucciones del Cliente: tratamiento como encargado respecto de datos que el Cliente gestione en nQR.

El fundamento aplicable depende de la finalidad, el tipo de relación y la normativa imperativa del lugar correspondiente. No se realizan decisiones jurídicas significativas basadas exclusivamente en perfiles automatizados.

13. Destinatarios y proveedores

Compartimos datos en la medida necesaria con Paddle para pagos; Hetzner para alojamiento, base de datos y backups; Google para correo, reCAPTCHA y analítica opcional; PostHog para analítica de producto; Sentry para errores; y OpenStreetMap/Nominatim para mapas. Actualmente no entregamos datos de Clientes a contadores, abogados, asesores, desarrolladores externos, afiliados, revendedores ni socios comerciales. Si en el futuro contratamos un asesor o proveedor que necesite acceder a datos, informaremos su categoría cuando corresponda y aplicaremos obligaciones de confidencialidad y protección adecuadas. También podemos comunicar datos a autoridades o terceros para cumplir la ley, proteger derechos o investigar abuso, con alcance proporcional.

14. Transferencias internacionales

La aplicación y su base de datos se alojan mediante Hetzner Online GmbH en infraestructura ubicada en Estados Unidos; Hetzner actúa como encargado para las operaciones de alojamiento, almacenamiento, transmisión y soporte técnico contratado. Paddle, PostHog US, Google, Sentry y otros proveedores también pueden tratar datos fuera de Uruguay. BOMA Labs SAS limita los datos comunicados a lo necesario, utiliza las condiciones contractuales y controles de seguridad disponibles y mantiene estas transferencias dentro de su proceso progresivo de documentación, registro y regularización conforme a la normativa uruguaya. Puede solicitar información adicional mediante el canal de privacidad.

15. Conservación

Conservamos los datos de cuenta, empresa y contenido mientras la cuenta permanezca activa y luego según la baja descrita a continuación. Los leads se eliminan de la base de nQR a los 30 días; los correos de leads y soporte permanecen mientras sean necesarios para atender la consulta. Los logs de aplicación y los errores de Sentry se conservan hasta 30 días. Hetzner mantiene siete backups diarios rotativos. Google Analytics conserva eventos durante dos meses. PostHog y los registros locales de facturación no tienen vencimiento automático configurado y se eliminan o anonimizan conforme a las necesidades operativas, solicitudes aplicables y baja de cuenta. Podemos conservar información limitada por obligaciones contables, fiscales, seguridad, fraude o defensa de reclamos.

La baja abre 14 días de recuperación. Tras su ejecución se anonimizan Usuarios, empresa, carteles, destinos, coordenadas y payloads vinculados, conservando identificadores opacos, fechas y contadores agregables. Los backups existentes no se editan individualmente: permanecen aislados hasta vencer su ciclo y, si se restauran, la anonimización debe reaplicarse antes de habilitar el servicio. Se conservará lo estrictamente exigido para obligaciones contables, fiscales, seguridad, fraude o litigios, con acceso restringido.

16. Seguridad e incidentes

Aplicamos controles razonables según el riesgo, incluidos hashing de contraseñas, TLS y cookies seguras en producción, CSRF, roles, validación de entradas, firma de webhooks, minimización analítica, colas con vencimiento y conciliación idempotente de pagos. Ningún sistema es infalible. Mantendremos procedimientos de respuesta, evaluación y comunicación de incidentes conforme a la normativa; el Cliente debe proteger credenciales y administrar sus Usuarios.

17. Derechos

El titular puede solicitar información, acceso, rectificación, actualización, inclusión o supresión y, cuando corresponda, oponerse, impugnar valoraciones personales o retirar consentimiento. Para ejercerlos, escriba a soporte+privacidad@nqr.uy indicando el derecho, datos de contacto y contexto suficiente. Podremos pedir acreditación proporcionada de identidad o representación.

BOMA Labs SAS responderá en el plazo legal aplicable; en Uruguay, la regla general para acceso, rectificación y supresión es de cinco días hábiles. Una solicitud puede rechazarse o limitarse cuando exista una excepción legal, obligación de conservación, derechos de terceros o cuando BOMA Labs SAS actúe como encargado, caso en el que se coordinará con el Cliente responsable. También puede presentarse denuncia ante la Unidad Reguladora y de Control de Datos Personales. Para datos que Paddle trata como responsable, use sus canales propios.

18. Menores, cambios y contacto

nQR es un servicio B2B; el panel y las cuentas administrativas no están destinados a menores. Los códigos QR pueden ser escaneados por cualquier persona, incluidos alumnos, sin que nQR valide su identidad o edad y sin que el escaneo cree una cuenta o relación contractual directa con BOMA Labs SAS. El Cliente es responsable de sus contenidos y, cuando utilice QR en ámbitos educativos o frente a menores, de cumplir sus deberes de información y protección frente a estudiantes, padres o tutores. No se permite incorporar deliberadamente datos estudiantiles o de menores en nQR. Los cambios materiales de esta Política se notificarán previamente y, cuando se basen en consentimiento o amplíen sustancialmente finalidades, se solicitará una nueva decisión. Mantendremos versión y fecha visibles. Consultas y reclamos: soporte+privacidad@nqr.uy; domicilio: Río de la Plata 1539, Montevideo, Uruguay.