Política de privacidad

Esta página explica qué datos personales recopila KED Peptides, por qué los recopilamos, cuánto tiempo los conservamos y qué puede hacer con ellos. La versión corta: recopilamos lo necesario para enviarle un pedido y atender sus consultas, y no vendemos ninguno de ellos. La versión más larga está abajo.

La versión corta

• Recopilamos datos de contacto, dirección de envío e historial de pedidos cuando nos compra.
• Si solicita un CFDI, también almacenamos su RFC, razón social y domicilio fiscal.
• Los números de tarjeta van directamente a Stripe; nosotros nunca los vemos ni los almacenamos.
• Usamos un número reducido de cookies; las estrictamente necesarias se ejecutan por defecto y las analíticas son opt-in.
• Puede pedirnos que exportemos o eliminemos sus datos en cualquier momento. Escriba a privacy@kedpeptides.mx y lo gestionamos.

Quién es responsable de sus datos

KED Peptides, operado por Kyle Edward Donaldson desde México, es el responsable del tratamiento de los datos que nos proporciona a través de kedpeptides.mx. Conforme a la legislación mexicana (la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, o LFPDPPP), eso significa que somos la entidad legalmente responsable de lo que ocurra con sus datos.

Qué recopilamos, y por qué

Cuando realiza un pedido

• Nombre, correo electrónico, teléfono (opcional) y dirección de envío. Los necesitamos para enviar el pedido, mandar actualizaciones del mismo y permitir que la paquetería lo contacte si surge un problema de entrega.
• Historial de pedidos. Qué productos, presentaciones y cantidades compró, el precio que pagó y el lote/COA que recibió. Lo conservamos para responder consultas de soporte, cumplir nuestra política de reembolsos y atender obligaciones contables.
• Metadatos de pago. Stripe procesa los datos de su tarjeta directamente: van de su navegador a Stripe, nunca por nuestros servidores. Recibimos un id de payment-intent, los últimos cuatro dígitos de la tarjeta, la marca y la confirmación de que el pago se acreditó. Eso es todo.
• Campos de CFDI (solo si marca la opción de CFDI). Su RFC, razón social, código postal del domicilio fiscal y el código de "uso de CFDI" del SAT. Los pasamos a Facturapi para que el SAT timbre la factura; conservamos nuestra propia copia porque la legislación fiscal mexicana lo requiere.

Cuando crea una cuenta

• Correo electrónico y hash de contraseña. Nunca almacenamos la contraseña en sí, solo un hash con sal que se puede verificar pero no revertir.
• Direcciones y preferencias guardadas. Para que no tenga que volver a capturarlas en el siguiente pedido.
• Secretos de autenticación de dos factores si activa el 2FA, cifrados en reposo con una llave que solo el proceso de la aplicación posee.

Cuando visita el sitio

• Logs del servidor. Logs de petición estándar (IP, user agent, URL solicitada, marca de tiempo, código de respuesta). Los conservamos durante 30 días para fines de seguridad y depuración, y luego los eliminamos.
• Cookies estrictamente necesarias. Cookie de sesión para el inicio de sesión, preferencia de tema y token CSRF. Ninguna puede deshabilitarse sin que el sitio deje de funcionar; ninguna se utiliza para rastreo.
• Analíticas (opt-in). Hasta que aceptes el aviso de cookies al entrar, no se establece ninguna cookie analítica. Tras aceptar, Google Analytics registra métricas agregadas anonimizadas, como qué páginas se visitan y cuánto dura una sesión. Puedes negar el consentimiento rechazando al entrar.

Cuando contacta a soporte

Lo que nos diga en el mensaje, junto con la dirección de correo desde la que llegó. Se almacena junto a su pedido para que la siguiente persona que le ayude tenga contexto.

Cuánto tiempo lo conservamos

• Registros de pedidos (incl. CFDI): 5 años después de que el pedido se complete. La legislación contable mexicana lo requiere.
• Perfil de cuenta: hasta que nos pida eliminarlo, o dos años después de su último inicio de sesión si no lo hace.
• Logs del servidor: 30 días, luego se eliminan.
• Correspondencia de soporte: 2 años desde la última respuesta.
• Analíticas: 13 meses en forma agregada.

Con quién los compartimos

Solo compartimos datos con los proveedores de servicios que necesitamos para operar el negocio, y solo los datos que cada proveedor realmente requiere:

• Stripe: procesamiento de pagos. Datos de tarjeta, dirección de facturación y monto del pedido.
• Facturapi: emisión de CFDI. Su RFC, datos fiscales y datos de partida, solo si solicita un CFDI.
• AWS SES: correo transaccional. Su dirección de correo y el contenido del mensaje (confirmación de pedido, actualizaciones de envío, etc.).
• AWS S3: almacenamiento de los PDF de COA. El propio COA no contiene datos personales; solo se comparte la URL en el correo de su pedido.
• Paqueterías (DHL, Estafeta, FedEx, Correos de México según el destino). Nombre del destinatario, dirección de envío y teléfono si lo proporcionó.
• Proveedores de hospedaje e infraestructura (Hetzner para el servidor de aplicación, Cloudflare para DNS y CDN).
• Google Analytics — analíticas agregadas de uso del sitio, solo después de que aceptas al entrar. Rutas de página y métricas de sesión; procesadas por Google, que puede transferir los datos a Estados Unidos.

No vendemos sus datos. No los compartimos con marketers, anunciantes ni intermediarios de datos. Si una orden judicial, citatorio o requerimiento legal equivalente nos exige divulgarlos, cumpliremos solo en la medida que la ley lo requiera y (cuando la ley lo permita) se lo informaremos.

Sus derechos

Conforme a la legislación mexicana, tiene derecho de acceder, rectificar, cancelar y oponerse al tratamiento de sus datos: los llamados derechos "ARCO".

En concreto, puede:

• Descargar sus datos. Configuración de la cuenta → "Descargar mis datos" le entrega un ZIP con todo lo que tenemos sobre usted.
• Corregir sus datos. Actualice los datos del perfil directamente en la configuración de la cuenta; para los campos que no puede editar usted mismo (por ejemplo, la dirección de envío de un pedido ya despachado), escriba a privacy@kedpeptides.mx.
• Eliminar su cuenta. Configuración de la cuenta → "Eliminar mi cuenta" elimina su perfil y anonimiza sus pedidos pasados (conservamos los números de pedido y las partidas para fines contables, pero retiramos los campos personales). La acción es reversible dentro de 30 días; después es definitiva.
• Retirar el consentimiento de cookies en cualquier momento desde el enlace del banner de cookies en el pie de página.
• Presentar queja ante la autoridad de protección de datos de México (INAI, home.inai.org.mx) si considera que hemos manejado sus datos de forma indebida. Preferimos con mucho que nos lo diga primero a nosotros para poder resolverlo.

Cómo los protegemos

Las conexiones al sitio son por HTTPS. Las contraseñas se almacenan con hash bcrypt; los secretos de 2FA están cifrados en reposo. La base de datos corre en una red privada detrás de nuestros servidores de aplicación y no es accesible desde la internet pública. Parchamos dependencias semanalmente y tenemos alertas automáticas ante actividad sospechosa. No somos perfectos —nadie lo es— pero nos tomamos la seguridad en serio y tratamos cualquier incidente con transparencia.

Si alguna vez detectamos una vulneración que afecte sus datos, se lo informaremos (y al INAI, cuando la ley lo requiera) dentro de los plazos que marca la legislación mexicana. La notificación incluirá qué ocurrió, qué datos estuvieron involucrados, qué hicimos al respecto y qué puede hacer usted.

Transferencias internacionales

Nuestra infraestructura de hospedaje y de correo reside en Europa (Hetzner) y en Estados Unidos (AWS). Stripe y Facturapi procesan datos en sus respectivas jurisdicciones de origen. Cuando los datos cruzan fronteras, nos apoyamos en los compromisos contractuales de protección de datos de la parte receptora; Stripe y AWS publican sus cláusulas contractuales estándar y estamos sujetos a ellas.

Cambios a esta política

Cuando modifiquemos esta página, la fecha de "última actualización" en la parte superior se mueve. Si un cambio es material —por ejemplo, agregar un nuevo proveedor de analíticas o cambiar de paquetería— lo destacaremos en su cuenta y en un banner del sitio durante 30 días para que tenga oportunidad de notarlo.

Contacto

Para cualquier asunto de esta política, o para ejercer los derechos anteriores, escriba a privacy@kedpeptides.mx. Es la dirección a usar si quiere una respuesta por escrito que ambas partes podamos archivar. Para consultas cotidianas, el soporte general es suficiente.