1. Responsable del tratamiento
Joykoo Smart es operado por Joykoo, con domicilio fiscal en México. Para cualquier solicitud relacionada con esta política o con el ejercicio de tus derechos ARCO (acceso, rectificación, cancelación, oposición), puedes escribirnos a privacidad@joykoo.mx.
2. Qué datos recopilamos
Joykoo Smart es una plataforma multi-marketplace que conecta cuentas de vendedores (MercadoLibre, Amazon, Walmart, Liverpool, Coppel, entre otros) para centralizar la operación. Recopilamos:
- Datos de la cuenta del usuario: nombre, correo electrónico corporativo, rol.
- Credenciales OAuth y claves de API que el propio vendedor nos autoriza a conectar.
- Datos operativos del vendedor: pedidos, inventario, publicaciones, precios, preguntas, reclamos, finanzas, obtenidos exclusivamente desde las APIs oficiales de cada marketplace.
- Datos de compradores finales únicamente en la medida que el marketplace los entrega junto al pedido (nombre del destinatario, dirección de envío, email alias del marketplace).
- Logs técnicos: IPs, timestamps y respuestas HTTP para fines de seguridad y auditoría.
3. Cómo obtenemos la información de Amazon y otros marketplaces
Exclusivamente a través de las APIs oficiales (Amazon SP-API, MercadoLibre API, Walmart Marketplace API, Mirakl, etc.), utilizando credenciales OAuth que el vendedor autoriza voluntariamente conectando su cuenta. No realizamos web scraping, no compramos datos a terceros, ni utilizamos intermediarios no oficiales.
4. Para qué usamos la información
- Sincronización de pedidos, inventario, precios y publicaciones entre marketplaces y el catálogo central del vendedor.
- Atención al cliente: responder preguntas y mensajes de los compradores.
- Reportes financieros y fiscales del vendedor (comisiones, retenciones, payouts).
- Notificaciones operativas (alertas de stock bajo, pedidos pendientes, etc.).
- Mejora del servicio y soporte técnico.
No usamos la información de Amazon para ningún propósito distinto al beneficio directo del propio vendedor que la aportó.
5. Almacenamiento y seguridad
- Los datos se almacenan en PostgreSQL dentro de infraestructura en la nube de acceso restringido.
- Credenciales sensibles (client_secret, access_token, refresh_token, API keys) se cifran con AES-256-GCM antes de persistirse; la llave maestra se deriva con PBKDF2-SHA256 (100,000 iteraciones), reside solo en variables de entorno (separadas por ambiente) y cuenta con procedimiento de rotación.
- Las contraseñas de usuario se guardan con bcrypt (cost factor ≥ 10), exigen mínimo 12 caracteres con complejidad, no pueden contener datos del propio usuario y caducan a los 365 días.
- Autenticación multifactor (MFA) por TOTP disponible como segundo factor.
- Las sesiones usan JWT con expiración (8 h) y lista de revocación.
- Todo el tráfico viaja cifrado con TLS 1.2 o superior, con HSTS.
- Red: firewall (UFW) que expone únicamente 80/443 y SSH por llave; las bases de datos no están expuestas a internet; el servidor ejecuta antivirus ClamAV y fail2ban, con parches de seguridad automáticos.
- Backups cifrados con GPG AES-256 cada 6 horas, replicados en región y proveedor distintos, con pruebas de recuperación periódicas verificadas.
- Registros de auditoría de solo inserción con retención de 12 meses.
6. Con quién compartimos los datos
No vendemos, cedemos, ni compartimos datos de Amazon con terceros fuera de los subprocesadores estrictamente necesarios para operar el servicio:
- DigitalOcean — infraestructura de hosting.
- Groq — modelos de IA para redacción asistida de respuestas a clientes. Solo se envía el texto de la pregunta a responder, nunca datos personales del comprador.
- Proveedores de correo transaccional — para enviar notificaciones al vendedor.
Todos los subprocesadores operan bajo acuerdos de tratamiento de datos que exigen niveles de seguridad equivalentes a los nuestros.
7. Retención y eliminación
Conservamos los datos operativos del vendedor mientras su cuenta permanezca activa. La información personal del comprador (nombre, correo y dirección de envío) se anonimiza automáticamente dentro de los 30 días posteriores a la entregadel pedido: el nombre se reemplaza por un identificador irreversible y la dirección se elimina, conservando únicamente datos no identificables (código postal, ciudad, estado). Para reclamos o devoluciones posteriores, dichos datos se recuperan bajo demanda desde las APIs oficiales del marketplace. Los comprobantes fiscales (CFDI) son registros independientes que residen en el sistema de facturación conforme a la legislación aplicable.
El vendedor puede solicitar en cualquier momento:
- Exportación completa de sus datos en formato estructurado (JSON/CSV).
- Eliminación anticipada total de sus datos (derecho al olvido).
- Revocación del acceso a cualquier marketplace conectado.
8. Derechos ARCO (usuarios en México)
De conformidad con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), tienes derecho a acceder, rectificar, cancelar u oponerte al tratamiento de tus datos personales. Para ejercerlos escríbenos a privacidad@joykoo.mx identificándote y describiendo tu solicitud. Tenemos 20 días hábiles para responder.
9. Respuesta a incidentes
Contamos con un plan documentado de respuesta a incidentes. En caso de filtración o acceso no autorizado a información de vendedores, notificaremos a los afectados dentro de las 72 horas posteriores a la detección, junto con una descripción del alcance y las medidas correctivas aplicadas. Para reportar un incidente contacta a seguridad@joykoo.mx.
10. Cambios en esta política
Podemos actualizar esta política para reflejar cambios legales o de producto. Notificaremos los cambios significativos por correo al administrador de la cuenta con al menos 15 días de anticipación. La versión vigente siempre estará publicada en esta URL.
11. Contacto
Dudas o solicitudes relacionadas con esta política:
Correo general de privacidad: privacidad@joykoo.mx
Reporte de incidentes de seguridad: seguridad@joykoo.mx