Política de Privacidad

1. Quién es el controlador

La Lista es operado por DECKE LTDA, inscrita en el CNPJ 53.518.447/0001-13, con sede en Avenida Paulista, 1106 — Piso 16, Sala 1 — Bela Vista, São Paulo/SP — CP 01310-914, Brasil.

Encargado de datos (DPO): privacy@lalista.club.

2. Qué datos recopilamos

Recopilamos solo lo necesario para construir y refinar tu perfil de estilo:

• Correo electrónico — registro; autenticación por código y comunicación transaccional (ejecución de contrato).
• Nombre de exhibición y nombre de usuaria — identificación dentro del producto y entre personas que se siguen (ejecución de contrato).
• Fecha de nacimiento y género — opcionales; personalización de las recomendaciones (consentimiento).
• Contraseña — opcional; método alternativo de inicio de sesión (ejecución de contrato).
• Respuestas del quiz — cálculo del perfil de estilo (ejecución de contrato).
• Grados de estilo derivados de fotos — refinamiento del perfil (consentimiento).
• Reacciones de me gusta y descartar — evolución continua del perfil (interés legítimo).
• Clics de compra — métricas y remuneración por asociación (interés legítimo).
• Identificador y handle de Instagram — conexión opcional; identidad verificada e importación de fotos (consentimiento).
• Token de Instagram — conexión opcional; acceso a tus propios medios (consentimiento). Guardado cifrado y nunca exhibido.
• Opt-in de marketing — envío de novedades (consentimiento).

3. Tus fotos nunca se almacenan

Este es el punto más importante de esta política. Las fotos que subes y los medios importados de Instagram se procesan en memoria, se convierten en siete grados numéricos de estilo y se descartan en la misma solicitud.

No hay copia en disco, en base de datos ni en respaldo. Lo que persiste es solo el vector derivado — números, no imágenes.

4. Con quién compartimos y transferencia internacional

Utilizamos operadores (subprocesadores) que tratan datos en nuestro nombre. Todos están en Estados Unidos:

• Anthropic — clasificación de estilo por inteligencia artificial; recibe imágenes en tránsito (no retenidas por nosotros) y texto descriptivo de las piezas.
• Amazon Web Services — alojamiento y envío de correo; recibe tu dirección para entregar los mensajes del producto.
• Amplitude — analytics de producto; recibe identificador, correo y eventos de uso.
• Meta/Instagram — conexión opcional; autenticación y lectura de tus propios medios.

La transferencia internacional de datos se ampara en el art. 33 de la LGPD, mediante cláusulas contractuales y las garantías ofrecidas por cada operador.

5. Tus derechos y cómo ejercerlos

La LGPD (art. 18) garantiza los derechos siguientes, y La Lista los atiende técnicamente:

• Confirmación y acceso — exportación completa en JSON, disponible en Mi perfil → Descargar mis datos.
• Corrección — edición directa de tus datos en el perfil.
• Eliminación — eliminación de la cuenta en Mi perfil → Eliminar mi cuenta, o por correo.
• Portabilidad — la misma exportación en JSON, en formato legible por máquina.
• Revocación del consentimiento — desconectar Instagram, desmarcar el opt-in de marketing o rehacer tu perfil descartando las fotos subidas antes.
• Información sobre el compartir — la lista de operadores de la sección anterior.

6. Los clics de compra se anonimizan, no se borran

Cuando eliminas tu cuenta, los registros de clic de compra no se borran: se elimina el vínculo contigo y la fila estadística permanece, sin ningún identificador personal.

Lo decimos de forma explícita porque es diferente de la eliminación — el dato deja de ser personal, pero sigue existiendo como número agregado.

7. Cuánto tiempo conservamos los datos

• Datos de la cuenta — mientras la cuenta exista.
• Después de la eliminación — solo un registro de auditoría con el hash de tu correo y la fecha, para comprobar que la solicitud fue atendida.
• Códigos de verificación — 10 minutos.
• Token de Instagram — hasta que desconectes o elimines la cuenta; cifrado en reposo.

8. Seguridad

Los tokens de acceso y de Instagram se guardan cifrados y nunca se muestran en la interfaz. Los enlaces de compartir usan tokens de alta entropía y pueden revocarse en cualquier momento. Tu informe de estilo nunca se comparte — solo el clóset.

9. Solicitudes de autoridades públicas

Las autoridades públicas a veces piden datos sobre personas. No entregamos nada solo porque se haya pedido.

Exigimos un instrumento legal válido. Una solicitud informal — por correo, teléfono u oficio sin base legal — se rechaza, y pedimos que se formalice por la vía correspondiente.

Analizamos cada solicitud y cuestionamos las que sean excesivas, vagas o desproporcionadas. Cuando es posible atender solo en parte, entregamos únicamente lo estrictamente exigido.

Te avisamos cuando una solicitud alcance tus datos, salvo cuando la ley o una orden judicial nos prohíba avisarte. Si la prohibición es temporal, avisamos en cuanto se levante.

Registramos internamente cada solicitud recibida: qué se pidió, qué se entregó, el fundamento legal de la decisión y quién la tomó. El registro existe para que esta conducta pueda auditarse.

Las solicitudes deben enviarse a privacy@lalista.club.

10. Contacto

Para ejercer cualquier derecho o resolver dudas sobre esta política, escribe a privacy@lalista.club. Respondemos en un plazo de 15 días.

11. Cambios

Si esta política cambia de forma relevante, te avisaremos por correo o dentro del producto antes de que el cambio entre en vigor.