En Checklist S.A., RUC 80118457-6, con domicilio legal en Asunción, Paraguay ("Arai" o "nosotros"), protegemos la privacidad de las personas que usan nuestros servicios y la de aquellas cuyas transferencias bancarias son consultadas por los comercios que usan Arai.
Esta política explica qué datos tratamos, para qué, con quién los compartimos, cuánto tiempo los conservamos y qué derechos tienen las personas sobre sus datos, de conformidad con la Ley N.º 7593/2025 de Protección de Datos Personales de la República del Paraguay.
Arai es un servicio de software para comercios. No es un banco, ni una entidad de pago, ni una empresa de medios de pago electrónico. Arai no recibe, custodia, transfiere ni administra dinero; solo lee y muestra información que el propio comercio nos autoriza a consultar en su banco.
1. Quién es quién en los datos (roles)
1.1. Datos de los usuarios del Comercio. Cuando un comercio se registra en Arai, nos entrega datos de las personas que lo representan y de sus operadores (nombre, correo, teléfono, RUC del comercio, función, accesos). Para estos datos, Checklist S.A. es el Responsable del Tratamiento conforme a la Ley N.º 7593/2025.
1.2. Datos de las transferencias recibidas por el Comercio. Cuando Arai consulta el banco del Comercio para mostrarle sus transferencias en tiempo real, lee datos de las personas que le transfirieron dinero al Comercio (nombre del ordenante, documento o RUC si el banco lo provee, banco de origen, monto, fecha, hora, concepto o referencia). Para estos datos:
- El Comercio es el Responsable del Tratamiento. Es el Comercio quien vende al cliente, recibe el dinero en su cuenta y decide usar Arai para verificar el cobro en su caja. EL COMERCIO DECLARA Y GARANTIZA QUE CUENTA CON LA BASE LEGAL Y LEGITIMACIÓN ADECUADA PARA QUE SUS ENCARGADOS TRATEN DICHOS DATOS DE COBRO.
- Checklist S.A. es el Encargado del Tratamiento. Arai trata esos datos únicamente por cuenta del Comercio, bajo las instrucciones de los Términos y Condiciones del Servicio y con el solo fin de prestarle el servicio de visualización de transferencias. Arai no usa los datos de las transferencias para ningún fin propio.
2. Qué datos tratamos y cómo los obtenemos
2.1. Datos de registro y uso del Comercio: RUC, razón social, correo de contacto y de facturación, teléfono, nombres y correos de los usuarios, su contraseña (guardada cifrada de forma irreversible: no la podemos leer) y, si se cargaron, su celular y su número de cédula; registros de acceso (dirección IP, fecha y hora, navegador, acciones en el portal); datos de los puntos de venta (PDV) activos, incluida la ficha del dispositivo (sistema operativo, versión, modelo y navegador del equipo donde corre la caja, para que el propietario identifique y administre sus puntos de venta); y datos de facturación y cobro del servicio.
2.2. Datos de las transferencias: los que la interfaz de banca abierta (open banking) del banco del Comercio entrega a Arai al consultar la cuenta conectada (sección 1.2).
2.3. Datos de activación del punto de venta. Cada caja se habilita con un código de un solo uso provisto por el comercio. La app guarda su llave de acceso en el almacenamiento seguro del dispositivo (Keystore de Android); no usa contraseñas.
2.4. Ubicación del dispositivo en la app PDV: solo si el usuario de la caja lo autoriza de forma explícita al iniciar un cobro (botón "Introducir Monto"), la app Arai PDV puede registrar la ubicación geográfica del dispositivo para armar el mapa de ventas que ve el propio Comercio en su portal. Nunca se registra la ubicación en segundo plano ni sin acción directa del usuario.
2.5. Credenciales bancarias: el certificado digital y las claves de acceso al servicio de banca abierta que el banco emite para el Comercio y que este entrega a Arai. Se guardan cifradas y se usan solo para consultar el banco. Arai NUNCA pide ni trata contraseñas personales de homebanking ni claves de token de seguridad.
2.6. Datos del asistente virtual: cuando los usuarios utilizan el asistente virtual disponible en el portal, Arai registra las consultas e interacciones realizadas con la finalidad de brindar soporte y mejorar el funcionamiento del servicio. Los usuarios no deben ingresar en el asistente contraseñas, claves de homebanking, códigos de token ni otras credenciales bancarias personales.
3. Para qué usamos los datos
Tratamos los datos únicamente para:
- Prestar el servicio contratado por el Comercio: mostrar las transferencias en su portal y en sus puntos de venta, aplicar la señal de confirmación de cobro, armar métricas y mapas de venta para el Comercio. Base: la relación contractual con el Comercio.
- Administrar la relación comercial: facturar el servicio, gestionar cobros, enviar facturas electrónicas y comunicarnos con el Comercio sobre el servicio.
- Brindar soporte técnico y atender consultas a través de los canales habilitados, incluidos [email protected] y el asistente virtual.
- Mantener la seguridad del servicio, detectar usos indebidos y conservar registros de auditoría conforme a las exigencias legales.
- Cumplir obligaciones legales, fiscales y requerimientos de autoridad competente.
ARAI NO VENDE, NO ALQUILA, NO CEDE NI COMERCIALIZA DATOS PERSONALES DE NINGUNA CLASE. Tampoco los usa para enviar publicidad, ni para hacer perfiles de consumo, ni para ningún fin distinto de la prestación del servicio al Comercio. No usamos SDKs de publicidad ni de seguimiento.
4. Con quién compartimos los datos
Arai no comparte datos personales con terceros, salvo en los siguientes casos indispensables:
4.1. Proveedores de infraestructura tecnológica. Para operar el servicio usamos proveedores de alojamiento en la nube, bases de datos y red de entrega de contenidos. Nuestros servidores están alojados en un proveedor de infraestructura en la nube ubicado en la ciudad de São Paulo, República Federativa del Brasil. AL ACEPTAR ESTA POLÍTICA Y UTILIZAR EL SERVICIO, EL COMERCIO Y SUS USUARIOS OTORGAN SU CONSENTIMIENTO PREVIO, EXPRESO E INFORMADO PARA EL FLUJO Y TRANSFERENCIA INTERNACIONAL DE SUS DATOS HACIA DICHA JURISDICCIÓN, CONFORME A LAS EXIGENCIAS DE LA LEY N.º 7593/2025. Estos proveedores tratan la información de forma cifrada, bajo estrictos compromisos de confidencialidad y seguridad, y solo para sostener nuestra infraestructura.
4.2. Autoridades públicas. Si una norma legal, una orden judicial o un requerimiento formal de autoridad competente (fiscalía, juez, BCP, DNIT) lo exige, compartiremos la información requerida, estrictamente en la medida necesaria y previa verificación de la validez del pedido.
4.3. El propio Comercio. Los datos de las transferencias recibidas solo se muestran al Comercio titular de la cuenta bancaria consultada, en su portal y en los puntos de venta que el Comercio haya autorizado.
5. Cuánto tiempo conservamos los datos
5.1. Datos de las transferencias: se conservan en la base de datos del Comercio mientras la cuenta esté activa.
5.2. PLAZO TRAS LA BAJA DEL SERVICIO: ANTE LA CANCELACIÓN O BAJA DEL SERVICIO POR PARTE DEL COMERCIO, ARAI RESERVA LA INFORMACIÓN Y EL HISTORIAL DURANTE UN PLAZO MÁXIMO DE NOVENTA (90) DÍAS CORRIDOS (PARA PERMITIR LA REACTIVACIÓN SI EL CLIENTE LO SOLICITA). CUMPLIDO DICHO PLAZO, SE PROCEDERÁ A LA ELIMINACIÓN DEFINITIVA Y SEGURA DE LOS DATOS DE LOS SERVIDORES, SALVO AQUELLOS REGISTROS FISCALES, DE FACTURACIÓN Y DE AUDITORÍA QUE DEBAN CONSERVARSE POR LOS PLAZOS OBLIGATORIOS ESTABLECIDOS POR LA LEGISLACIÓN PARAGUAYA.
5.3. Credenciales bancarias: si el Comercio da de baja el servicio, las credenciales cifradas se eliminan definitivamente de nuestros servidores a los 7 días corridos de la baja (sección 7.10 de los Términos y Condiciones).
5.4. Usuarios eliminados: cuando una persona elimina su usuario o un propietario la quita del Comercio, su nombre, correo, contraseña, celular y cédula se eliminan al instante (sección 8). Sus conversaciones con el asistente virtual, los correos que el sistema le envió y los registros de sus sesiones se eliminan a los noventa (90) días corridos. El registro de auditoría de lo que hizo en el sistema se conserva por los plazos legales.
5.5. Registros de facturación y facturas electrónicas: se conservan por los plazos que exige la legislación tributaria paraguaya (DNIT).
5.6. Copias de seguridad: las copias de seguridad cifradas de la base de datos se conservan hasta 30 días; un dato eliminado desaparece de ellas al vencer ese plazo.
6. Seguridad de los datos
6.1. Cifrado en tránsito y en reposo. Todo el tráfico entre los dispositivos del Comercio, la app PDV, el portal y nuestros servidores viaja cifrado mediante HTTPS/TLS. Las credenciales bancarias y las claves sensibles se guardan cifradas en la base de datos.
6.2. Control de acceso. El acceso de los colaboradores de Arai a la infraestructura se limita estrictamente a lo necesario para operar y mantener el servicio, mediante llaves criptográficas y autenticación de doble factor. Cada punto de venta y cada usuario pueden revocarse al instante desde el portal del Comercio.
6.3. Incidentes de seguridad. En caso de detectar un incidente de seguridad que afecte o pueda afectar la confidencialidad o integridad de datos personales, Arai lo avisará al Comercio sin demora indebida, indicando las medidas tomadas y las recomendaciones para mitigar el impacto.
7. Derechos de las personas sobre sus datos
7.1. Conforme a la Ley N.º 7593/2025, los titulares de datos personales tienen derecho a solicitar el acceso, rectificación, cancelación, oposición o portabilidad de sus datos.
7.2. Para usuarios del Comercio: pueden consultar, actualizar o corregir sus datos de usuario escribiendo a [email protected], y eliminar su propio usuario desde el portal (sección 8). Si trabaja en la caja de un comercio, su empleador (el comercio) es quien administra el punto de venta; igualmente puede contactarnos.
7.3. Para ordenantes de transferencias (clientes del Comercio): dado que Arai actúa como Encargado del Tratamiento por cuenta del Comercio (sección 1.2), si una persona que transfirió dinero desea ejercer un derecho sobre los datos de esa transferencia, debe dirigir su solicitud al Comercio al que le transfirió. Si recibimos una solicitud directamente de un ordenante, la derivaremos al Comercio correspondiente para su atención y colaboraremos con él para responderla.
7.4. Plazo de respuesta. Las solicitudes recibidas en [email protected] se responden dentro de los 30 días corridos, previa verificación de la identidad del solicitante con el Comercio titular de la cuenta cuando corresponda.
8. Eliminación de datos — Arai PDV
Hay dos caminos: desde el portal, sin pedirle nada a nadie, o por correo si no tiene acceso al portal o quiere pedir la eliminación de datos puntuales.
Desde el portal (autogestión)
- Un punto de venta (un dispositivo). El propietario o un administrador entra a Mis Puntos de Venta y le da de baja. La llave de acceso de ese dispositivo se revoca al instante: deja de ver transferencias y no puede volver a entrar sin un código nuevo. El punto pasa a la lista de "Eliminados", que se puede vaciar.
- Su usuario del portal. Cada persona elimina el suyo en Configuración → Eliminar mi usuario (se confirma con la contraseña). Es inmediato y no se puede deshacer: deja de poder entrar y se eliminan su contraseña, su nombre, su correo y, si estaban cargados, su celular y su cédula; el correo queda libre para volver a usarse. El comercio sigue funcionando. Un administrador puede hacerlo siempre; un propietario, cuando en el comercio hay otro propietario con su usuario activado (si es el único, su usuario sigue con el comercio). Lo mismo pasa con el usuario de una persona cuando un propietario la quita desde Usuarios, salvo que ese usuario esté bloqueado por Arai: en ese caso solo pierde el acceso a ese comercio. Cada persona es usuaria de un solo comercio en Arai: un correo que ya tiene un usuario en otro comercio no puede ser invitado hasta que esa persona elimine ese usuario.
- Todo el comercio. El propietario entra a Configuración → Eliminar cuenta y toca "Dar de baja el comercio" (se confirma con la contraseña). Es inmediato: se cierra el acceso al portal, a la app y a todas las cajas, y Arai deja de consultar el banco. Durante 7 días quedan reservadas la dirección IP y la conexión bancaria por si quiere volver; al octavo día las credenciales bancarias cifradas se eliminan definitivamente. El historial se conserva 90 días por si el comercio reactiva el servicio y después se elimina (sección 5.2).
Por correo
- Escriba a [email protected] desde el correo del comercio (o indicando el comercio y el punto de venta), con el asunto "Eliminación de datos".
- Verificamos la identidad del solicitante con el comercio titular de la cuenta.
- Confirmamos la eliminación por la misma vía dentro de los 30 días.
Qué se elimina: al eliminar un usuario, su contraseña, su nombre, su correo, su celular y su cédula, y la dirección IP y el navegador guardados en sus sesiones (al instante); a los 90 días, sus conversaciones con el asistente, los correos que el sistema le envió y el resto de los registros de sus sesiones. Al dar de baja un punto de venta, su llave de acceso (al instante). A pedido por correo, también la ficha del dispositivo (modelo, sistema, navegador) y los puntos de ubicación registrados por ese punto de venta. Al dar de baja el comercio, además, las credenciales bancarias (al octavo día), las llaves de todos sus dispositivos y, a los 90 días, todo su historial (sección 5.2).
Qué se conserva de un usuario eliminado: el registro de lo que hizo en el sistema (el historial de auditoría, que incluye el correo con el que se lo dio de alta y la dirección IP de cada ingreso), por los plazos legales; si aceptó los Términos y Condiciones en nombre del comercio, la constancia de esa aceptación (su nombre, su correo, la fecha y hora, la dirección IP y la versión aceptada), que es la prueba del contrato y se conserva mientras exista el comercio y por los plazos legales; el aviso que recibieron los propietarios del comercio al momento de su salida (dice su nombre y su rol); y las copias de seguridad, hasta 30 días. Nada de eso sirve para entrar.
Qué se conserva siempre: los registros fiscales, de facturación y de auditoría que la legislación paraguaya obliga a conservar, por los plazos que ella fija.
9. Cambios en esta política
Podemos actualizar esta Política de Privacidad para reflejar mejoras en el servicio o cambios legales. Si los cambios son sustanciales, los avisaremos al Comercio con al menos 30 días de anticipación por correo electrónico y en el portal. La versión nueva se publica siempre en esta misma dirección, y su número de versión y su fecha de vigencia se indican al inicio del documento.
10. Contacto
Para consultas, dudas o solicitudes relacionadas con esta Política de Privacidad o el tratamiento de datos personales en Arai, escriba a:
Checklist S.A. — Asistencia de Privacidad y Cumplimiento
Correo: [email protected]
Asunción, Paraguay
Checklist S.A. — Asunción, Paraguay · [email protected] · Versión 1.0