Política de protección de datos

1. Objeto y alcance

Esta política define cómo Genios recolecta, usa, almacena, comparte y protege los datos personales, y qué medidas de seguridad aplica a la información que maneja. Busca cumplir la legislación de El Salvador y garantizar el respeto a la intimidad y a la autodeterminación informativa de las personas.

Aplica a:

• Los socios, ejecutivos de ventas freelance, colaboradores y proveedores de Genios que accedan a datos personales.
• Todos los sistemas y herramientas que Genios usa: el sitio genios.digital, el portal genios.food, el panel administrativo GENIOS DIGITAL, hojas de cálculo, correo, analítica, redes sociales, WhatsApp y cualquier herramienta futura.
• Datos en formato digital o físico.

2. Marco legal

• Ley para la Protección de Datos Personales (Decreto Legislativo No. 144, 2024), con las reformas del Decreto Legislativo No. 659 de septiembre de 2026.
• Políticas de actuación y manejo de datos personales de la Agencia de Ciberseguridad del Estado (ACE), No. 001-0309025-DPDP, y los lineamientos que la ACE emita.
• Ley de Ciberseguridad y Seguridad de la Información (Decreto Legislativo No. 143, 2024), como referencia de buenas prácticas.
• Normativa tributaria y mercantil aplicable a la conservación de documentos de facturación.

La autoridad que supervisa y sanciona es la Agencia de Ciberseguridad del Estado (ACE).

3. Definiciones clave

• Dato personal: información de una persona natural identificada o identificable (nombre, correo, teléfono, imagen, ubicación, etc.).
• Dato personal sensible: datos sobre salud, origen étnico, religión, ideología o afiliación política, vida sexual, información biométrica o genética, entre otros de naturaleza íntima.
• Titular: la persona a quien pertenecen los datos.
• Responsable: quien decide para qué y cómo se tratan los datos.
• Encargado: quien trata datos por cuenta del responsable.
• Derechos ARCO-POL: Acceso, Rectificación, Cancelación, Oposición, Portabilidad, Olvido y Limitación.
• Vulneración de seguridad: cualquier pérdida, alteración, destrucción, acceso ilegítimo o uso no autorizado de datos personales, incluso accidental.

4. Roles de Genios

Genios actúa en dos roles distintos:

• Como responsable, cuando trata datos de sus propios prospectos, clientes, visitantes del sitio, seguidores y ejecutivos de ventas.
• Como encargado, cuando trata, por cuenta de cada restaurante cliente, los datos de los comensales que participan en el programa de sellos, reseñas y NPS, o que reciben comunicaciones del restaurante. En ese caso el restaurante decide la finalidad y Genios solo trata esos datos según sus instrucciones y el convenio firmado.

5. Principios que aplicamos

• Licitud: solo tratamos datos con una base legal válida (consentimiento, ejecución de un contrato, obligación legal o interés legítimo que no vulnere derechos del titular).
• Lealtad: nunca obtenemos datos por medios engañosos o ilícitos.
• Consentimiento y finalidad: el consentimiento es libre, específico, informado, expreso e individualizado, y se pide para fines concretos.
• Minimización: pedimos solo lo necesario para el servicio.
• Transparencia: informamos en lenguaje claro y sencillo, sin letra pequeña ni tecnicismos.
• Exactitud: mantenemos datos correctos y actualizados.
• Temporalidad: los conservamos solo el tiempo necesario para la finalidad.
• Seguridad y confidencialidad: protegemos la integridad, disponibilidad y confidencialidad de los datos.
• Responsabilidad demostrada: conservamos evidencia de nuestro cumplimiento. La carga de probar que obtuvimos el consentimiento y comunicamos el aviso de privacidad recae en Genios.
• Interés superior de la niñez: no recolectamos datos de menores de edad sin autorización de sus padres o tutores.

6. Datos que tratamos

7. Consentimiento y comunicaciones comerciales

• El consentimiento debe poder demostrarse: guardamos fecha, medio y versión del aviso de privacidad aceptado (casilla, formulario o mensaje).
• Todo formulario, página de contratación, chatbot o flujo de captación incluye un enlace al aviso de privacidad antes de pedir datos.
• Los correos de prospección incluyen la identificación de Genios y un mecanismo sencillo y gratuito de baja (por ejemplo, responder BAJA). Las bajas se aplican en un máximo de 5 días hábiles y el contacto se marca como "No contactar" en todas las hojas y automatizaciones.
• Los datos recolectados para un fin no se usan para otro distinto sin nueva autorización del titular.
• Está prohibido comprar listas de contactos, vender datos personales o compartirlos con terceros para fines propios de estos.
• Quien retire su consentimiento puede hacerlo en cualquier momento y sin efecto retroactivo.

8. Aviso de privacidad (versión corta)

Genios publica su aviso de privacidad en genios.digital y genios.food, y lo enlaza en formularios, correos y chatbots. En resumen:

¿Quién es responsable de tus datos?

Genios, con correo de contacto oscar@genios.digital.

¿Qué datos pedimos?

Nombre, correo, teléfono, nombre del restaurante y los datos de uso de nuestro sitio. No pedimos datos sensibles.

¿Para qué los usamos?

• Para responderte, contactarte y agendar reuniones (necesitamos tu consentimiento).
• Para prestarte el servicio contratado, configurarlo y facturar (necesario para el contrato).
• Para enviarte información y novedades de Genios (necesitamos tu consentimiento; puedes darte de baja cuando quieras).
• Para medir y mejorar nuestro sitio con analítica y cookies (según tu elección en el banner de cookies).

¿Con quién los compartimos?

Con proveedores que nos ayudan a operar, como servicios de correo, almacenamiento, analítica, mensajería y pagos. Algunos almacenan datos fuera de El Salvador. Solo compartimos lo necesario y bajo obligación de confidencialidad. No vendemos tus datos.

¿Cómo los protegemos?

Con contraseñas y autenticación en dos pasos, acceso restringido por roles, cifrado en las comunicaciones y copias de seguridad.

¿Cuánto tiempo los guardamos?

Solo el necesario para cada finalidad. Si dejas de interesarte, los eliminamos o anonimizamos (ver la sección de conservación).

Cambios

Si cambiamos este aviso, lo publicaremos en esta página y te lo comunicaremos por los medios que tengamos para contactarte.

9. Tus derechos ARCO-POL

Toda persona puede solicitar a Genios, sin costo, el acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación del tratamiento de sus datos, así como retirar su consentimiento. Si no estás conforme con nuestra respuesta, puedes acudir a la Agencia de Ciberseguridad del Estado.

Cómo presentar tu solicitud

Escribe a oscar@genios.digital o presenta tu solicitud por escrito. Debe incluir tu nombre, un medio para notificarte, un documento que acredite tu identidad (o tu representación), y la descripción del dato y del derecho que ejerces. Puedes usar el botón de más abajo, que abre un correo con el formato listo.

Plazos que cumplimos

Reglas que seguimos

• Verificamos la identidad antes de entregar datos, para que solo los reciba su titular o su representante acreditado.
• El ejercicio es gratuito. Solo pueden cobrarse costos de reproducción o envío cuando aplique.
• La entrega de datos de acceso se hace en forma clara, indicando con quién se han compartido.
• Mientras se verifica una rectificación, los datos se bloquean y se marcan "en revisión".
• Datos de comensales: si la solicitud llega a Genios pero los datos pertenecen a un restaurante cliente, la trasladamos al restaurante responsable y te informamos dentro de 5 días hábiles.
• Registramos todas las solicitudes (fecha, titular, derecho, respuesta y fecha de respuesta).

10. Medidas de seguridad

Genios aplica las medidas organizativas, técnicas y físicas que recomienda la ACE, proporcionales a su tamaño y riesgo.

Organizativas

• Política interna conocida y firmada por todos quienes acceden a datos.
• Registro de actividades de tratamiento, actualizado cada vez que se agrega una herramienta, formulario o finalidad nueva.
• Acuerdo de confidencialidad con cada ejecutivo freelance, colaborador y proveedor con acceso a datos.
• Capacitación al ingresar y una vez al año sobre manejo de datos, phishing y respuesta a incidentes.
• Evaluación de riesgos antes de lanzar un servicio o automatización que trate datos nuevos o en gran volumen.
• Auditoría interna anual de accesos, proveedores y cumplimiento de esta política.

Técnicas

• Autenticación en dos pasos (2FA) en las cuentas y servicios críticos.
• Contraseñas únicas y robustas, guardadas en un gestor de contraseñas; no se comparten por chat ni se reutilizan.
• Credenciales de administrador y cajero generadas como temporales, con cambio obligatorio en el primer ingreso, y entregadas por un canal seguro.
• Control de acceso por roles y mínimo privilegio: cada persona accede solo a lo que necesita.
• Cifrado en tránsito (HTTPS/TLS) y en almacenamiento.
• Separación de ambientes de prueba y producción; no se usan datos reales en demostraciones.
• Copias de seguridad periódicas con pruebas de restauración.
• Registro de accesos del panel y revisión de actividad inusual.
• Actualizaciones de sistemas y dispositivos, y revisión de vulnerabilidades al menos una vez al año o tras cambios importantes.
• Archivos con datos personales compartidos solo con personas específicas, nunca con "cualquiera con el enlace".

Físicas y de dispositivos

• Equipos con bloqueo de pantalla y cifrado de disco; no se dejan sesiones abiertas en equipos compartidos.
• Los documentos físicos con datos se guardan bajo llave y se destruyen de forma segura al terminar su plazo de conservación.
• Los dispositivos personales que accedan a datos de Genios deben cumplir estas mismas medidas.

Salida de personas

Al terminar la relación con un ejecutivo o colaborador se revocan de inmediato sus accesos, se recuperan los archivos y se le recuerda por escrito que la obligación de confidencialidad continúa.

11. Proveedores y transferencias de datos

Genios usa servicios de terceros, algunos con servidores fuera de El Salvador. Antes de usar un proveedor nuevo que trate datos personales, verificamos que ofrezca un nivel de protección al menos equivalente al exigido por la ley salvadoreña.

• Llevamos una lista de proveedores con los datos que recibe cada uno y dónde se alojan.
• Con los proveedores que tratan datos por cuenta de Genios firmamos o aceptamos un contrato o términos de tratamiento de datos que les exija, como mínimo, las mismas obligaciones que Genios asume.
• La transferencia de datos a terceros requiere consentimiento previo del titular, informado sobre la finalidad y el destinatario, salvo las excepciones que prevé la ley.
• Informamos que los datos se almacenan con proveedores en la nube e indicamos, de forma general, en qué países.
• Herramientas de inteligencia artificial: no ingresamos datos personales identificables de clientes, comensales o prospectos salvo que sea necesario, que el proveedor ofrezca términos que protejan los datos y que la persona esté informada. Por defecto se anonimiza o se usan datos ficticios.

12. Incidentes y brechas de seguridad

Una vulneración es cualquier pérdida, alteración, destrucción, acceso o uso no autorizado de datos personales, aunque sea accidental (por ejemplo: una cuenta de correo comprometida, una hoja compartida por error o un dispositivo perdido). Quien detecte un incidente lo reporta de inmediato al responsable interno, sin intentar ocultarlo ni resolverlo solo.

• La notificación incluye la naturaleza del incidente, los datos comprometidos, las acciones correctivas inmediatas, las recomendaciones al titular y los medios para obtener más información.
• Todo incidente se documenta (fecha, causa, hechos, efectos y medidas) y queda disponible para la autoridad.
• Cuando Genios actúa como encargado, también avisa sin demora al restaurante responsable.

13. Conservación y eliminación

Los datos se conservan solo mientras sean necesarios para su finalidad. Plazos de referencia:

Cuando un cliente cancela, se bloquean los datos que deban conservarse por obligación legal y se eliminan los demás. La eliminación incluye las copias de seguridad en su ciclo de rotación normal. Los datos anonimizados de forma irreversible pueden conservarse con fines estadísticos.

14. Cookies y analítica

Nuestros sitios informan el uso de cookies y herramientas de analítica en un banner con opción de aceptar o rechazar. Las etiquetas UTM de correos y campañas miden visitas y no contienen datos personales en la URL, como el correo de la persona.

15. Menores de edad

Los servicios de Genios están dirigidos a negocios y sus clientes adultos. No recolectamos intencionalmente datos de menores sin autorización de sus padres o tutores. Si un restaurante cliente configura promociones que involucren menores, deberá obtener esa autorización, y Genios no tratará los datos sin ella.

16. Vigencia y revisión

Esta política se revisa al menos una vez al año, o antes si cambia la ley, los lineamientos de la ACE, los proveedores o los servicios de Genios. Cada versión se archiva con su fecha, y los cambios importantes se comunican a los titulares por los medios indicados en el aviso de privacidad.

Versión 1.0 · Octubre de 2026 · Próxima revisión: octubre de 2027.