Política de Privacidad

Versión 1.2 · Vigente desde 6 de septiembre de 2026

Versión 1.2 — vigente desde 2026-09-06

Esta Política explica qué datos personales tratamos, para qué, con qué fundamento legal, con quién los compartimos, cuánto tiempo los guardamos y qué puedes hacer al respecto. Está escrita para ser leída: si algo no queda claro, escríbenos y te lo explicamos.

No necesitas aceptar esta Política para comprar. Que no la aceptes no significa que no nos obligue: conforme a las cláusulas 4.1 letra d) y 4.2 de los Términos de Venta, todo lo que prometemos acá —los plazos de conservación, los destinatarios y los límites que nos fijamos— es una obligación contractual exigible por ti, no una declaración de intenciones. Y si alguna disposición de esta Política resultara incompatible con otra de los Términos o de las demás Políticas, se aplica la regla de prelación de la cláusula 4.3 de los Términos, que en caso de duda resuelve a tu favor.

Te la informamos porque tienes derecho a saber qué hacemos con tus datos. El tratamiento que es necesario para venderte y entregarte un producto se funda en el contrato y en nuestras obligaciones legales, no en tu consentimiento. Lo que sí requiere tu consentimiento —el newsletter y las notificaciones de novedades— te lo pedimos por separado y lo puedes retirar cuando quieras sin perder nada. Dos cosas preferimos decirte en la primera página y no esconderlas en la última: la medición del sitio y de nuestra publicidad (Google Analytics, Google Ads y el píxel de Meta) puede funcionar, desde esta versión, sin pedirte consentimiento antes —el punto 2.5 dice hasta cuándo, y el punto 8 qué hace exactamente y cómo apagarla ahora mismo—; y la analítica de uso de la app móvil, que hoy está en versión de prueba, tampoco te lo pide todavía, y te la explicamos tal cual en el punto 5.2.

1. Quién es responsable de tus datos y cómo contactarnos

1.1. El responsable del tratamiento de tus datos personales es BURUBOX SpA, que opera bajo el nombre BURUBOX, con domicilio en la comuna de La Florida, Región Metropolitana, Santiago de Chile. El RUT y el representante legal de la sociedad se incorporarán en la siguiente versión de esta Política, una vez completada su inscripción; mientras tanto, toda solicitud sobre tus datos la recibe y la responde BURUBOX por el canal del punto 1.2.

1.2. Canal para privacidad y ejercicio de derechos. Correo soporte@burubox.cl, que es la dirección establecida para recibir y notificar las solicitudes de ejercicio de derechos (artículo 14 ter letra c) y artículo 11 inciso primero de la Ley 21.719). Es el mismo correo de atención general de la cláusula 14.1 de los Términos, y sirve para cualquier consulta o reclamo, no solo para los de privacidad: no te exigimos usar un canal en particular ni llenar un formulario determinado (cláusula 14.2 de los Términos). Hoy no atendemos por WhatsApp ni por SMS; si abrimos otros canales, los publicaremos en esta Política y en los Términos.

1.3. Delegado de protección de datos. BURUBOX no ha designado un delegado de protección de datos personales. La designación es voluntaria (artículo 50 de la Ley 21.719) y hoy no corresponde por el tamaño de la operación. Las solicitudes las atiende directamente el equipo de BURUBOX a través de soporte@burubox.cl (punto 1.2): no hay intermediarios ni un formulario que llenar.

1.4. Ámbito. Esta Política cubre el sitio burubox.cl, la app móvil BURUBOX (Android e iOS) y nuestros sistemas internos de gestión de pedidos. El checkout ocurre en checkout.burubox.cl, que es un dominio propio apuntando a la plataforma de Shopify: ahí también somos responsables de tus datos, aunque la infraestructura no sea nuestra (ver punto 6).

2. Qué ley se aplica y desde cuándo

2.1. La Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, fue publicada el 13 de diciembre de 2024 y entra en vigencia el 1 de diciembre de 2026 (artículo primero transitorio). Hasta esa fecha rige la Ley N° 19.628.

2.2. BURUBOX aplica desde ya los estándares de la Ley 21.719, aunque parte de ellos aún no sean exigibles. Esta Política está escrita sobre esa ley.

2.3. Se aplica además la Ley N° 19.496 sobre protección de los derechos de los consumidores, en particular su artículo 28 B respecto de las comunicaciones promocionales por correo electrónico y mensajería.

2.4. Ninguna cláusula de esta Política limita derechos irrenunciables. Los derechos que la Ley 21.719 te reconoce son personales, intransferibles e irrenunciables y no pueden limitarse por ningún acto o convención (artículo 4°).

2.5. Una transición que hacemos explícita. Casi todo lo que dice esta Política ya cumple el estándar de la Ley 21.719. La única materia en la que, desde esta versión, operamos con un estándar distinto es la medición del sitio y de nuestra publicidad (punto 8): las herramientas de Google y de Meta, desde el momento en que las conectamos al sitio (punto 8.1), se activan al entrar sin pedirte consentimiento previo, con la información detallada de esta Política y con medios para oponerte que funcionan de inmediato (punto 8.10). Nos comprometemos a que antes del 1 de diciembre de 2026 el sitio tenga un aviso que pida tu consentimiento antes de activarlas, y a que, desde entonces, esas herramientas no se carguen ni instalen ninguna cookie hasta que las aceptes (punto 8.11). Cuando eso ocurra publicaremos una nueva versión de esta Política y esta advertencia desaparecerá. Este compromiso nos obliga contractualmente a tu favor, como todo lo demás que prometemos acá (cláusula 4.2 de los Términos).

3. Cómo entendemos la privacidad acá

No es una sección decorativa: es la regla con la que tomamos cada decisión técnica.

• Recogemos lo mínimo. Si un dato no es necesario para venderte, entregarte o avisarte, no lo pedimos.
• Guardamos lo mínimo. Casi nada vive en bases de datos nuestras. Lo que sí vive, se borra o se anonimiza apenas se cumple la finalidad.
• Preferimos no tener el dato antes que protegerlo. Por eso el checkout, tu historial de compras y tus direcciones guardadas viven en Shopify y no en un servidor nuestro: lo único que copiamos a una base propia es lo justo para despacharte, y por plazo acotado (punto 5.3). Por eso tu foto de perfil es opcional y la procesa tu propio dispositivo antes de enviarla —recortada, reducida y sin los metadatos de tu archivo original (punto 4.5)—; por eso el feed de Instagram de la portada lo pide nuestro servidor y no tu navegador.
• No vendemos ni arrendamos tus datos, y ninguna red publicitaria recibe de nosotros tu nombre, tu correo, tu teléfono ni tu dirección en claro. Nunca.
• Lo que sí hacemos, lo decimos con nombre y apellido. Desde esta versión usamos herramientas de medición y publicidad de Google y de Meta en el sitio y en el checkout (el punto 8.1 dice desde cuándo se cargan). Ellas ven cómo navegas —qué páginas abres, qué figuras y colecciones miras, qué escribes en el buscador, qué agregas al carro y cuándo pasas a pagar— junto con tu IP, los datos de tu navegador y un identificador que guardan en una cookie, y con eso sabemos qué anuncios funcionan y podemos volver a mostrarte anuncios nuestros. En el checkout, lo único de tu identidad que puede salir hacia ellas es una huella criptográfica (hash) de tus datos de contacto, para emparejar la compra con el anuncio (punto 8.9): esa huella no se puede leer, pero a ellas les sirve para reconocerte si ya tienes cuenta con ellas, así que la tratamos como lo que es —un dato personal seudonimizado— y no como un dato anónimo. Nada de esto es invisible ni lo manejamos como si lo fuera: el punto 8 lista cada cookie, cuánto dura y cómo te opones hoy.

4. Qué datos tratamos y de dónde salen

4.0. De quiénes tratamos datos

Tratamos datos personales de cuatro grupos de personas (artículo 14 ter letra d)):

• Clientes y compradores del sitio y de la app;
• Visitantes del sitio y usuarios de la app que aún no compran;
• Suscriptores de nuestros correos y de las notificaciones;
• El equipo y los colaboradores de BURUBOX (punto 13).

No tratamos datos de personas ajenas a esos grupos, salvo el destinatario que tú nos indiques cuando el despacho va dirigido a un tercero.

4.1. Los que nos entregas tú

4.2. Los que se generan cuando usas el sitio o la app

4.3. Los que recibimos de terceros

4.4. Datos que no tratamos

Esto es tan importante como lo anterior:

• No te pedimos tu RUT ni tu cédula de identidad para comprar: no existe ningún campo de RUT en los formularios de burubox.cl ni de la app, ni en nuestras bases de datos. Un RUT tuyo solo llega a nosotros en dos casos: si tú mismo nos envías el comprobante de tu transferencia del 30%, donde aparece el del titular de la cuenta —ese comprobante lo eliminamos apenas conciliamos el pago y su contenido no se copia a ninguna base (puntos 4.1 y 5.3)—, o si pides factura o el checkout te lo solicita para el documento tributario: en ese caso se usa solo para emitir ese documento —lo tratan Shopify, quien emite el documento y el SII— y se conserva con él por el plazo del punto 7.3, sin copiarse a ninguna base de datos nuestra.
• No vemos ni almacenamos los datos de tu tarjeta. Ni el número, ni la fecha de vencimiento, ni el CVV, ni tu clave dinámica. El formulario donde los digitas es de la pasarela de pago. En nuestro código no existe ninguna integración de pagos.
• No tratamos datos personales sensibles en el sentido del artículo 2° letra g) de la Ley 21.719: no pedimos ni inferimos datos de salud, origen étnico, afiliación política o sindical, creencias, vida sexual, orientación sexual, identidad de género ni datos biométricos. (Única salvedad, que no te concierne como cliente: el monto de los honorarios de quienes colaboran con nosotros, que la ley califica de dato sensible por referirse a la situación socioeconómica — ver punto 13.)
• No te pedimos fotos para comprar ni publicamos imágenes tuyas en el sitio. La única imagen tuya que puede existir en nuestros sistemas es la foto de perfil que tú decidas subir, que es opcional, no aparece listada hoy en ninguna página pública de burubox.cl y puedes quitar cuando quieras. El punto 4.5 explica exactamente cómo viaja, dónde queda y quién puede verla.
• En la app no usamos identificadores publicitarios de dispositivo (IDFA de Apple, Advertising ID de Google) ni ningún SDK publicitario. En el sitio web, en cambio, desde esta versión sí puede haber cookies analíticas y publicitarias de Google y de Meta (punto 8.1): están listadas una por una en el punto 8.1.1, con su duración, y el punto 8.10 te dice cómo cortarlas hoy.
• No elaboramos perfiles tuyos que produzcan efectos jurídicos sobre ti ni tomamos decisiones automatizadas propias que te afecten significativamente. El remarketing de Google y de Meta sí es una elaboración de perfiles con fines publicitarios, que hacen ellos con tu navegación: la usan para mostrarte anuncios nuestros, para medir si esos anuncios terminaron en una compra y, según sus propias políticas, para mejorar sus sistemas de anuncios. Nada de eso cambia el precio ni las condiciones de tu compra, que fijamos nosotros y son iguales para todos: el punto 14 lo explica, junto con las decisiones automatizadas de terceros que intervienen en tu compra.
• No usamos Google Tag Manager, píxel de TikTok ni ninguna herramienta de medición distinta de las que declara el punto 8: Google Analytics 4, Google Ads y el píxel de Meta en el sitio, las apps oficiales de Google y de Meta en el checkout (punto 8.9) y, en la app, la analítica del punto 5.2. (La etiqueta de Google se descarga desde el dominio googletagmanager.com aunque no exista ningún contenedor de Tag Manager: así lo verás en las herramientas de tu navegador.) Los nombres exactos de las cookies de esas herramientas los fijan Google y Meta y pueden variar dentro de la misma familia (por ejemplo _gcl_*) sin intervención nuestra; revisamos la tabla del punto 8.1.1 en cada versión. Lo que sí depende de nosotros y prometemos: no conectamos ninguna herramienta ni proveedor de medición o publicidad distinto de los aquí nombrados sin actualizar antes esta Política y avisarte (punto 15.3).

4.5. Tu foto de perfil y tu nombre de usuario

Los dos son opcionales. Puedes crear tu cuenta, comprar y usar todo el servicio sin ninguno de ellos, no son condición de nada, y los puedes quitar cuando quieras desde tu cuenta. Su única finalidad es identificarte a ti mismo dentro de tu cuenta.

Cómo viaja tu foto. Cuando eliges una imagen —en el sitio o en la app—, tu propio dispositivo la recorta, la reduce a 256×256 píxeles y la vuelve a codificar en JPEG antes de enviarla. Lo que se envía va sin los metadatos de tu archivo original: no viajan ni el lugar donde se tomó la fotografía ni los datos del equipo con que se tomó. Shopify, al guardarla, le deja un dato técnico mínimo con el nombre de su propio programa de procesamiento de imágenes; nada tuyo. El archivo original nunca se envía. La imagen tampoco pasa por nuestros servidores: sube desde tu dispositivo a la infraestructura de archivos de Shopify, que la aloja siguiendo nuestras instrucciones, como encargado del tratamiento ya declarado en el punto 6.1, y la sirve desde su red de distribución de contenidos (cdn.shopify.com).

La dirección de tu foto es pública, y preferimos decírtelo con todas sus letras. Cualquier persona que tenga esa dirección puede abrir la imagen sin iniciar sesión. Hoy esa dirección no aparece listada en ninguna parte pública de burubox.cl, pero eso no la vuelve secreta: si prefieres que una imagen no sea accesible por quien tenga su dirección, no la subas.

Qué guardamos nosotros. En nuestra base de datos (Neon, punto 6.1) quedan el identificador técnico de tu cuenta, el identificador del archivo y la dirección desde la que se sirve; en esa parte no guardamos tu nombre, tu correo ni tu teléfono. Guardamos además un registro técnico de cada subida, rechazo o retiro, con tu identificador de cliente, la fecha, el identificador del archivo, el resultado técnico de la operación y una huella (hash) de tu dirección IP calculada con una clave secreta nuestra —la huella, no la IP—. La tratamos como lo que es, un dato personal seudonimizado, igual que en el punto 8.9. Ese registro existe para poder atender requerimientos de la autoridad y reportes de abuso sobre una imagen determinada.

El nombre de usuario. Lo eliges tú: entre 3 y 24 caracteres y único, de modo que dos cuentas no puedan tener el mismo. Se guarda en esa misma base de datos junto a tu identificador de cliente, con una copia en tu ficha de Shopify para que el sitio y la app muestren siempre el mismo. Hoy no se muestra en ninguna parte pública del sitio. Puedes cambiarlo libremente durante las primeras 24 horas desde que lo eliges y, después, una vez cada 30 días; si necesitas cambiarlo antes por un motivo atendible —por ejemplo, porque te identifica sin que lo quisieras—, escríbenos al canal del punto 1.2 y lo hacemos nosotros dentro del plazo del punto 10.4. El nombre que dejas libre —al cambiarlo, al quitarlo o al eliminar tu cuenta— queda bloqueado 90 días antes de que otra persona pueda tomarlo: así nadie puede quedarse con tu nombre apenas lo sueltas y hacerse pasar por ti.

Base de licitud y plazo. Tu consentimiento (artículo 12 de la Ley 21.719): subir la foto o elegir el nombre es un acto voluntario tuyo, que no te pedimos para venderte nada y que puedes deshacer cuando quieras, sin perder ninguna otra función. Los conservamos mientras exista tu cuenta o hasta que los quites, lo que ocurra primero. El registro técnico de las operaciones sobre tu foto se conserva 12 meses desde la operación, o antes si eliminas tu cuenta.

Cuando quitas la foto, se borra el archivo de nuestra tienda. Ten presente que la red de distribución de contenidos de Shopify puede seguir entregando una copia en caché durante un tiempo después del borrado, que no controlamos ni podemos garantizar, y que quien ya vio la imagen puede conservarla en la caché de su navegador o haberla guardado. Por eso, si prefieres que una imagen no pueda quedar en manos de quien tuvo su dirección, no la subas. El archivo puede permanecer además en los respaldos técnicos de nuestros proveedores durante la ventana de restauración que describe el punto 11.1, sin que se use para ninguna finalidad. Si eliminas tu cuenta, la foto, el nombre de usuario y el registro técnico se borran con ella.

5. Para qué usamos tus datos y con qué base de licitud

Cada finalidad tiene su propia base de licitud, conforme a los artículos 12, 13 y 16 de la Ley 21.719. Las bases que usamos son cinco:

• Contrato — artículo 13 letra c): necesario para celebrar o ejecutar el contrato de compraventa contigo.
• Obligación legal — artículo 13 letra b): lo exige la ley (tributaria, de consumo, de protección de datos).
• Defensa de derechos — artículo 13 letra e): necesario para formular, ejercer o defender un derecho. No está sujeto al derecho de oposición del punto 5.4.
• Interés legítimo — artículo 13 letra d): necesario para un interés legítimo nuestro que no afecta tus derechos. Puedes oponerte en cualquier momento (artículo 8° letra a)).
• Consentimiento — artículo 12: nos lo das libre, informado, específico, previo e inequívoco, y lo puedes retirar cuando quieras, con la misma facilidad con que lo diste.

5.1. Tienda web y compras

5.2. App móvil

Sobre la analítica de la app, en claro: el identificador que agrupa tus eventos es seudónimo (lo genera PostHog en tu teléfono y no lleva tu nombre ni tu correo), pero hoy la app lo adjunta como atributo a tu carrito, y si compras queda grabado en tu orden de Shopify. Eso significa que, mientras dure esta versión, tus eventos de uso sí pueden cruzarse con tu compra; no lo hacemos, ningún sistema nuestro lee ese atributo, pero el vínculo existe y preferimos decírtelo. El evento de búsqueda incluye el texto que escribiste y el proveedor recibe tu IP desde Estados Unidos. Si quieres que borremos tus eventos o que dejemos de cruzarlos, escríbenos a soporte@burubox.cl.

5.3. Gestión interna de pedidos y despachos

5.4. Sobre el interés legítimo

Cuando la base es el interés legítimo, tienes derecho a que te contemos cuál es y a oponerte en cualquier momento (artículos 5° letra e) y 8° letra a) de la Ley 21.719). Si te opones, dejamos de tratar esos datos, salvo que acreditemos motivos legítimos imperiosos que prevalezcan sobre tus derechos. Nuestros intereses legítimos, sin eufemismos, son seis: que el sitio funcione y no lo abusen; que no pierdas el carrito que ibas armando; que no te lleguen avisos duplicados; saber quién de nuestro equipo modificó una dirección de despacho; poder atender un reporte de abuso o un requerimiento de la autoridad sobre una foto de perfil subida, con el registro técnico del punto 4.5; y —solo mientras no exista el aviso de consentimiento del punto 8.11— saber si el sitio y la publicidad que pagamos funcionan, incluido volver a mostrarte anuncios nuestros después de tu visita (puntos 5.1 y 5.3; a esto último puedes oponerte siempre y sin condiciones, porque es marketing directo: artículo 8° letra b)). Para este último no vamos a alegar motivos imperiosos en tu contra: basta que te opongas. Y no necesitas escribirnos para hacerlo: los medios del punto 8.10 operan al instante; si prefieres escribirnos al canal del punto 1.2, también vale y lo tratamos como oposición del artículo 8° letra a). Somos claros sobre lo que hace cada vía: si nos escribes, dejamos de usar esos datos en lo que depende de nosotros —por ejemplo, quitamos la campaña de origen de tu pedido—, pero lo que tu navegador ya envió a Google o a Meta no lo podemos borrar nosotros, ni podemos apagar sus cookies por ti: eso se corta en tu navegador y en tus cuentas con ellos (punto 8.10).

La evidencia de tu contrato y de nuestras notificaciones (punto 5.3) no se funda en el interés legítimo, sino en la obligación legal de acreditar la licitud del tratamiento y en la defensa de derechos: por eso no está sujeta al derecho de oposición y la conservamos hasta que venza su plazo, aunque nos pidas lo contrario (artículo 8° letra a), parte final, y punto 10.8).

5.5. Sobre el consentimiento

5.5.1. Respecto de ti como cliente o visitante, hoy se fundan en tu consentimiento el marketing (newsletter y canal novedades de la app) y, desde esta versión, tu foto de perfil y tu nombre de usuario (punto 4.5), que son opcionales, se activan con un acto voluntario tuyo y los puedes deshacer cuando quieras. Otros dos no te lo piden, y te lo decimos tal cual: la analítica de la app, en su versión de prueba (punto 5.2), y la medición del sitio y de nuestra publicidad (punto 5.1), que se funda en el interés legítimo, con oposición inmediata por los medios del punto 8.10, y pasará a consentimiento cuando exista el aviso del punto 8.11, antes del 1 de diciembre de 2026; ese día publicaremos una nueva versión de esta Política. (El consentimiento que pedimos a quienes colaboran con nosotros por el monto de sus honorarios es otro asunto: punto 13.)

5.5.2. El consentimiento no es condición para comprar (cláusula 2.2 de los Términos). Si no lo das, compras igual y recibes igual todos los avisos de tu pedido.

5.5.3. Lo puedes retirar en cualquier momento, sin expresar causa, por el mismo canal o uno equivalente al que usaste para darlo (artículo 12 inciso cuarto de la Ley 21.719; hasta el 30 de noviembre de 2026 rige el artículo 4° de la Ley 19.628, que pide que la revocación conste por escrito: un correo a soporte@burubox.cl siempre sirve):

• Newsletter: enlace "cancelar suscripción" al pie de cada correo, o escribiendo a soporte@burubox.cl. Esto también satisface el derecho del artículo 28 B de la Ley 19.496.
• Notificaciones de novedades: interruptor Novedades dentro de la app (Cuenta → Notificaciones), o el permiso de notificaciones de tu teléfono.
• Analítica de la app: hoy no hay interruptor dentro de la app. Escríbenos a soporte@burubox.cl y borramos tus eventos; desinstalar la app detiene el envío de inmediato.
• Medición y publicidad del sitio web: hoy el sitio no te pide consentimiento, así que no hay nada que «retirar»: lo que tienes es tu derecho de oposición, que ejerces por los medios del punto 8.10 desde tu propio navegador y tus cuentas de Google y de Meta, o escribiéndonos. Ten presente qué cubre cada uno: un bloqueador de rastreadores detiene las etiquetas de Google y de Meta; borrar las cookies elimina _ga, _gcl_*, _fbp y _fbc, pero la clave bb_atribucion solo se va con «borrar datos del sitio»; el complemento de inhabilitación de Google Analytics detiene solo Google Analytics; y los ajustes de anuncios de Google y de Meta apagan la personalización, no la recolección. Cuando exista el aviso de consentimiento, podrás retirarlo desde el propio aviso, con la misma facilidad con que lo aceptes.

5.5.4. Retirarlo no afecta la licitud de lo que hicimos antes (artículo 12 inciso cuarto, parte final): la revocación no tiene efecto retroactivo.

5.5.5. El newsletter opera con confirmación en un solo paso: quedas suscrito al enviar el formulario del pie de página, sin correo de confirmación intermedio. Como constancia de tu consentimiento guardamos solo tu correo y la fecha y hora de la suscripción, que quedan en tu ficha de cliente en Shopify; no guardamos tu IP (la usamos únicamente durante 60 segundos, en memoria, para limitar el abuso del formulario). Si alguien inscribió tu correo sin tu permiso, basta un clic en «cancelar suscripción» al pie del primer correo que recibas, o un mensaje a soporte@burubox.cl, y te damos de baja de inmediato.

6. A quién comunicamos tus datos

No vendemos ni arrendamos tus datos. Los comunicamos únicamente a quienes necesitamos para operar, y solo lo mínimo indispensable.

6.1. Proveedores que tratan datos por cuenta nuestra (encargados, artículo 15 bis)

Actúan siguiendo nuestras instrucciones y no pueden usar tus datos para fines propios distintos del encargo. Con cada uno operamos bajo los términos de tratamiento de datos que el propio proveedor publica y que forman parte del contrato de servicio que aceptamos al contratarlo. Puedes leerlos aquí:

• Shopify: https://www.shopify.com/legal/dpa
• Vercel: https://vercel.com/legal/dpa
• Neon: https://neon.com/pdf/DPA.pdf
• PostHog: https://posthog.com/dpa
• Sanity: https://www.sanity.io/legal/dpa
• Expo: no publica un anexo de tratamiento de datos de acceso abierto; opera bajo sus términos de servicio (https://expo.dev/terms) y su política de privacidad (https://expo.dev/privacy), y entrega su anexo a quien lo solicita (https://expo.dev/trust).

6.2. Terceros que actúan como responsables por cuenta propia

Aquí no damos instrucciones: cada uno responde por su propio tratamiento y tiene su propia política de privacidad.

6.2.1. Sobre el transportista: para entregar tu paquete, el transportista trata tus datos de destinatario como responsable por cuenta propia y bajo su propia política de privacidad, igual que cuando tú mismo envías una encomienda; por eso está en esta tabla y no en la anterior. Nosotros ingresamos tus datos de despacho en su plataforma de emisión de envíos y no le entregamos nada más que lo necesario para que el paquete llegue. Eso no cambia nuestra responsabilidad ante ti por la entrega (Política de Entrega y Despacho, sección 1).

6.2.2. Sobre Google y Meta: están en esta tabla, y no en la de encargados, porque usan lo que reciben también para fines propios —mejorar sus productos y su publicidad— bajo sus propias políticas de privacidad (policies.google.com/privacy y facebook.com/privacy/policy). Google ofrece para Google Analytics unos términos de tratamiento por cuenta nuestra, pero como usamos esa medición junto con Google Ads preferimos no hacer distinciones y tratarlo entero como responsable propio: es la lectura más exigente y la que más te protege. Nosotros decidimos qué les enviamos (eventos de comportamiento, nunca identidad en claro) y cuándo (hoy, desde la primera página; desde el aviso de consentimiento, solo si aceptas), y respondemos por haber puesto las etiquetas, por informarte y por darte medios reales de oposición (punto 8.10); ellos responden por lo que hacen con lo que reciben. Ambos están en Estados Unidos: el punto 6.3.6 explica cómo amparamos esa transferencia, y el punto 8.10 cómo cortarla tú mismo.

6.3. Transferencias internacionales: cómo las amparamos

6.3.1. Como ves en el punto 6.1, la mayoría de nuestros proveedores está fuera de Chile, principalmente en Estados Unidos. Eso significa que tus datos salen del país.

6.3.2. A la fecha de esta versión, la Agencia de Protección de Datos Personales aún no ha publicado la lista de países con niveles adecuados de protección que ordena el artículo 28 de la Ley 21.719. Por eso amparamos estas transferencias en el artículo 27 letra b): los términos de tratamiento de datos que cada proveedor incorpora a su contrato de servicio —enlazados en el punto 6.1— son cláusulas contractuales que establecen garantías adecuadas, con derechos exigibles y acciones legales efectivas para ti.

6.3.3. Estas transferencias son permanentes y estructurales —no ocasionales—, por lo que no nos amparamos en las excepciones del inciso segundo del artículo 27, que están previstas para transferencias específicas y no habituales. Nuestra única base es la del artículo 27 letra b).

6.3.4. Cuando la Agencia publique su lista de países adecuados y sus cláusulas modelo, revisaremos cada transferencia y actualizaremos esta Política.

6.3.5. Si quieres saber, respecto de un proveedor determinado, qué garantías lo amparan, revisa el enlace de ese proveedor en el punto 6.1 o escríbenos a soporte@burubox.cl y te lo explicamos.

6.3.6. Google y Meta. La transferencia a Google LLC y a Meta Platforms, Inc. tiene una particularidad: la hace en gran parte tu propio navegador, al cargar sus etiquetas, directamente a sus servidores en Estados Unidos —y en el checkout, también el servidor de Shopify—, y es la única de este documento que puedes cortar tú mismo (punto 8.10). La amparamos igual que las demás, en la vía del punto 6.3.2: los términos de tratamiento y protección de datos que ambas empresas incorporan al contrato de uso de sus herramientas analíticas y publicitarias, con garantías, derechos y acciones a tu favor —los de Google (https://privacy.google.com/businesses/processorterms/ y https://marketingplatform.google.com/about/analytics/terms/us/) y los de Meta (https://www.facebook.com/legal/terms/businesstools)—. Ambas empresas están además certificadas en el Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework), que la Comisión Europea reconoció en 2023 como nivel adecuado de protección. Ese reconocimiento es europeo, no chileno: la Agencia de Protección de Datos Personales todavía no se ha pronunciado sobre ningún país ni mecanismo, no afirmamos que lo haya hecho y no lo invocamos como base; te lo contamos porque es un antecedente público y verificable del nivel de protección al que se comprometen, y porque cuando la Agencia publique su lista de países y sus cláusulas modelo (punto 6.3.4) será uno de los antecedentes que revisaremos.

6.4. Lo que no hacemos con tus datos

No los vendemos. No los arrendamos. No los cedemos a corredores de datos ni a terceros para que hagan su propio marketing con ellos. La única salida de datos con fin publicitario es la del punto 8: Google y Meta reciben tu navegación bajo un identificador de cookie y, en el checkout, tu compra y a lo más una huella (hash) de tus datos de contacto (punto 8.9); nunca tu nombre, tu correo ni tu dirección en claro. No subimos listas de clientes —correos, teléfonos, nombres— a Google ni a Meta para crear audiencias. No los usamos para entrenar modelos de inteligencia artificial. No los combinamos con bases de datos compradas a terceros. Todo está declarado con nombre y apellido en la tabla del punto 6.2, y puedes oponerte hoy (punto 8.10).

7. Cuánto tiempo conservamos tus datos

7.1. La regla general está en el artículo 3° letra c) de la Ley 21.719: los datos se conservan solo por el tiempo necesario para cumplir la finalidad, y después se suprimen o anonimizan. Nosotros aplicamos esa regla de forma estricta.

7.2. Regla del sistema BURUBOX: la evidencia de tu compra se conserva mientras la operación esté vigente y por 12 meses adicionales contados desde la entrega o desde la terminación del contrato y el pago de las restituciones que correspondan (cláusulas 2.3 y 17.3 de los Términos). Cumplido ese plazo, se elimina o se anonimiza.

Cuando de tu operación queda pendiente una obligación nuestra —un Crédito de Tienda vigente, la conversión automática de ese crédito en dinero, o la devolución proporcional por la reventa de tu unidad—, la operación sigue vigente para estos efectos y el plazo de 12 meses empieza a correr recién cuando esa obligación se cumple.

7.3. Única excepción: la documentación tributaria y únicamente ella: boletas, facturas, notas de crédito y sus respaldos contables, que la ley nos obliga a conservar mientras esté pendiente el plazo de revisión del SII —3 años, o 6 en los casos del artículo 200 del Código Tributario (artículo 17 del mismo Código)—. Esa obligación legal prevalece sobre el plazo de 12 meses solo respecto de esos documentos: no alcanza a tu dirección de despacho ni a tu teléfono, que se borran a los 12 meses.

7.4. Plazos por sistema. Los plazos concretos de cada tratamiento están en las tablas del punto 5. En resumen:

8. Cookies y tecnologías del sitio

8.1. Qué hay en tu navegador, sin vueltas. El sitio usa, desde esta versión, tres tipos de cookies y tecnologías: (a) las propias y estrictamente necesarias para que puedas iniciar sesión y comprar (puntos 8.2 y 8.3); (b) el medidor de velocidad de Vercel, que no instala cookies; y (c) cookies analíticas y publicitarias de Google y de Meta —Google Analytics 4, Google Ads y el píxel de Meta—, que sí instalan cookies y sí envían datos a esas empresas (punto 8.1.1). Sobre la letra (c), esto es lo que hoy tienes que saber:

• Desde que las conectamos al sitio, se cargan apenas la página queda lista para usarse, sin que hagas nada, y siguen midiendo mientras navegas entre páginas. Vienen desde servidores de Google (googletagmanager.com, aunque no usamos Google Tag Manager) y de Meta (connect.facebook.net). Al cargarlas, tu navegador se conecta directamente con Google y con Meta en Estados Unidos, y ambos reciben tu IP, tu user-agent, la dirección de la página que estás viendo y desde qué página llegaste.
• Lo que les contamos es lo que hiciste, no quién eres. Los eventos que enviamos son: página vista, colección vista, figura vista, término que escribiste en el buscador, agregar al carro e iniciar el checkout, con el identificador, el nombre, la marca y la colección de la figura, su precio y la cantidad. Ningún evento lleva tu nombre, tu correo, tu teléfono ni tu dirección: nuestro código no se los pasa. Te destacamos el buscador porque es el único evento que contiene texto escrito por ti. El píxel de Meta tiene además dos opciones —«eventos automáticos» y «coincidencia avanzada automática»— que, si estuvieran encendidas en nuestra cuenta de Meta, le permitirían registrar por su cuenta el texto de los botones que pulsas y una huella de lo que escribes en formularios (por ejemplo, el correo del newsletter); no las activamos, y comprobarlo es parte de lo que revisamos antes de publicar cada versión de esta Política.
• Hoy el sitio no tiene aviso de cookies, y estas herramientas se activan sin pedirte consentimiento previo. Las etiquetas de Google usan el Modo de consentimiento v2 y la de Meta un mecanismo equivalente; en ambas la señal inicial está configurada como «concedido», así que la medición y la publicidad funcionan desde la primera página. Lo hacemos mientras rige la Ley 19.628 —hasta el 30 de noviembre de 2026—, con la base del punto 5.1, informándotelo aquí en detalle y dándote medios para oponerte que funcionan de inmediato (punto 8.10). Antes del 1 de diciembre de 2026 habrá aviso de consentimiento, y estas herramientas no se cargarán hasta que las aceptes (punto 8.11). Las cookies de las letras (a) y (b) no requieren consentimiento en ningún escenario. Estas herramientas están previstas en el sitio desde esta versión de la Política: se cargan desde el momento en que conectamos al sitio nuestras cuentas de Google y de Meta, lo que puede ocurrir en cualquier momento a partir de la fecha de vigencia de esta versión y sin nuevo aviso, porque todo lo que hacen ya está descrito aquí; antes de esta versión el sitio no tenía ninguna. Mientras no estén conectadas, no se carga nada ni se instala ninguna de las cookies del punto 8.1.1.
• El sitio no lee todavía las señales Do Not Track ni Global Privacy Control de tu navegador. Te lo decimos para que no cuentes con ellas: los medios que sí funcionan están en el punto 8.10.

8.1.1. Cookies de Google y Meta (analíticas y publicitarias). Las instalan las etiquetas de Google y de Meta que, desde que las conectamos (punto 8.1), corren en burubox.cl y, a través de las apps del punto 8.9, también en checkout.burubox.cl. Aunque las instalan empresas terceras, se guardan bajo el dominio burubox.cl (son cookies «de primera parte», en la jerga): por eso el ajuste «bloquear cookies de terceros» de tu navegador no las detiene por sí solo (punto 8.10), y por eso son las mismas cookies en la vitrina y en el checkout, lo que permite unir lo que viste con lo que compraste.

Todas se renuevan en cada visita mientras no las borres o las bloquees. Ninguna contiene tu nombre, tu correo ni tu dirección; contienen un número aleatorio que, cruzado con lo que Google o Meta saben de ti por sus propios servicios, puede identificarte ante ellos. Por eso las tratamos como dato personal y no como «dato técnico», y por eso están en los puntos 6.2 y 7.4. Dos cosas que no se ven a simple vista: (1) cada vez que estas etiquetas se conectan a Google o a Meta, tu navegador les envía también las cookies que esas empresas ya tenían puestas en él por sus propios sitios, si tu navegador lo permite, y con eso Meta o Google pueden asociar tu visita a tu cuenta en sus servicios; (2) en el checkout ocurre algo parecido, y ahí una parte del envío va de servidor a servidor (punto 8.9).

8.2. Cookies propias del sitio (todas estrictamente necesarias).

8.3. Almacenamiento local de tu navegador. Tres claves. Ninguna lleva tu nombre, pero la tercera merece explicación:

La atribución viaja con tu carrito hasta tu pedido. Lo que guarda bb_atribucion se copia, mientras está vigente, como atributos internos de tu carrito en Shopify (_gclid, _gbraid, _wbraid, _utm_*), y así queda grabado en tu pedido. No se te muestra en la confirmación de compra, pero está ahí, y puedes pedirlo con tu derecho de acceso. Sirve para dos cosas: ver en nuestro panel interno y en nuestro registro de ventas (punto 5.3) de qué campaña vino cada venta, y poder informar a Google Ads —con ese identificador de clic, el monto y el número de pedido, sin tu nombre— qué venta corresponde a qué anuncio, incluida la anulación de esa conversión si el pedido se cancela o te desistes. Se conserva mientras exista el pedido y se anonimiza con él al cumplirse el plazo del punto 7.2; antes de eso, puedes pedirnos que lo quitemos de tu pedido con tu derecho de supresión (punto 10).

No usamos sessionStorage. No hay ninguna otra clave nuestra; las herramientas del punto 8.1.1 trabajan con cookies, no con almacenamiento local.

8.4. Cookies del panel interno. __panel_preauth, __panel_mfa_pending, __panel_webauthn_challenge, __panel_stepup y __panel_session solo se instalan en el navegador de los administradores de BURUBOX. Nunca en el tuyo.

8.5. Cookies de previsualización. __prerender_bypass y __next_preview_data las emite el framework del sitio y solo afectan a quien edita el contenido.

8.6. El carrito habla directo con Shopify. Cuando abres o modificas tu carrito, tu navegador se conecta directamente a los servidores de Shopify, sin pasar por los nuestros. Eso significa que Shopify recibe tu IP y tu user-agent en ese momento. Te lo decimos porque no se nota mirando la barra de direcciones. (La búsqueda del sitio, en cambio, sí pasa por nuestro servidor y no te expone a Shopify; lo que sí recibe el término que buscaste es la medición del punto 8.1.)

8.7. El feed de Instagram de la portada no te expone a Meta. Los posts los pide nuestro servidor, y las imágenes se sirven a través de nuestro propio optimizador. Tu navegador nunca hace una petición a servidores de Meta por causa del feed: no recibe scripts, ni cookies, ni tu IP por esa vía. Es una decisión de diseño deliberada, y está documentada en el código para que nadie la rompa por accidente. Esto sigue siendo cierto con el píxel de Meta activo: son dos cosas distintas. El feed no manda nada a Meta; el píxel sí, y por eso está declarado aparte (puntos 8.1 y 8.1.1) y es lo que el aviso del punto 8.11 podrá bloquear.

8.8. El botón de compartir por WhatsApp es un enlace pasivo: no envía nada a nadie hasta que tú haces clic, y en ese momento eres tú quien comparte.

8.9. El checkout. El checkout ocurre en checkout.burubox.cl, sobre la infraestructura de Shopify, que instala sus propias cookies necesarias para procesar tu compra. Además, desde esta versión el checkout puede ejecutar dos apps oficiales de Shopify, que instalamos nosotros y que, una vez conectadas —en el mismo momento que las etiquetas del punto 8.1—, ejecutan etiquetas de Google y de Meta dentro del checkout:

• Google & YouTube (de Google): informa a Google Ads y a Google Analytics 4 que tu compra ocurrió, con el número de pedido, el monto, la moneda y los productos. El número de pedido es lo que permite no contar dos veces una misma compra y descontarla si después se cancela o te desistes.
• Facebook & Instagram (de Meta): informa a Meta los pasos del checkout y la compra —número de pedido, monto y productos— por dos vías a la vez: desde tu navegador (píxel) y desde el servidor de Shopify (Conversions API), con un mismo identificador de evento para que Meta no lo cuente dos veces.

Según el nivel de intercambio de datos con que esté configurada cada app, pueden enviar además a Google o a Meta una huella criptográfica (hash) de tu correo, tu teléfono o tu nombre, que cada plataforma coteja con sus propios usuarios para reconocer si esa compra corresponde a alguien a quien le mostró nuestro anuncio. Ese intercambio ocurre entre Shopify y cada plataforma, no pasa por sistemas nuestros, y es la única vía por la que un dato de contacto tuyo —transformado en una huella que no se puede leer pero que les permite reconocerte; nunca en claro— llega a Google o a Meta (punto 3). Ninguna de las dos apps recibe los datos de tu tarjeta.

Tres cosas más que conviene saber: estas etiquetas usan las mismas cookies del punto 8.1.1, porque checkout.burubox.cl es un subdominio de burubox.cl y las cookies se comparten; también se ejecutan cuando compras desde la app móvil, porque el checkout de la app se abre en un navegador incrustado que carga esta misma página; y el envío desde el servidor de Shopify no lo detiene ningún ajuste de tu navegador: para esa parte sirven los ajustes de tu cuenta de Meta del punto 8.10, que hacen que Meta deje de asociar esa actividad a tu cuenta para mostrarte anuncios, aunque la reciba.

8.10. Cómo oponerte hoy, sin esperar el aviso de consentimiento. Cualquiera de estos medios funciona de inmediato y no necesitas escribirnos (aunque puedes hacerlo al canal del punto 1.2 y lo tomaremos como oposición del artículo 8° letra a)). Te decimos con precisión qué detiene cada uno, porque no todos detienen lo mismo:

1. Un bloqueador de rastreadores o la protección antirrastreo de tu navegador (la protección reforzada de Firefox, los escudos de Brave, la prevención de rastreo de Safari, o una extensión como uBlock Origin): impiden que se carguen googletagmanager.com y connect.facebook.net, y con eso no se instala ninguna de las cookies del punto 8.1.1 ni se envía ningún evento, ni en la vitrina ni en la parte del checkout que corre en tu navegador. Es el medio más completo. No hacemos nada para evadirlo, y el sitio funciona exactamente igual: las cookies del punto 8.2 son propias y no se ven afectadas.
2. La extensión de inhabilitación de Google Analytics (tools.google.com/dlpage/gaoptout): impide que Google Analytics reciba datos de tu navegador, en este y en cualquier sitio.
3. Tus ajustes de anuncios en Google (myadcenter.google.com): desactivar la personalización de anuncios corta el remarketing asociado a tu cuenta de Google, incluido el que ya estuviera armado con visitas anteriores.
4. Tus preferencias de anuncios en Meta (facebook.com/adpreferences) y la sección «Tu actividad fuera de las tecnologías de Meta» de tu cuenta: desconectan la actividad que Meta recibe de sitios como el nuestro —también la que llega por el servidor de Shopify— y desactivan los anuncios basados en ella.
5. Borrar los datos del sitio desde tu navegador: elimina las cookies del punto 8.1.1 y la clave bb_atribucion antes de sus plazos. Ojo: esto evita que te reconozcan en la próxima visita, pero no te saca de una audiencia en la que ya estabas —para eso sirven los medios 3 y 4, y en todo caso la pertenencia vence sola (punto 7.4)—.
6. Bloquear las cookies de terceros en tu navegador: limita el cruce entre sitios que Google y Meta hacen con sus propias cookies, pero no detiene por sí solo las del punto 8.1.1, que se guardan bajo burubox.cl. Combínalo con el medio 1.
7. Si ya compraste y prefieres que la campaña de origen no quede en tu pedido, escríbenos: es un dato que puedes pedir que quitemos con tu derecho de supresión (punto 10). Lo que ya está en Google o en Meta no lo podemos borrar nosotros, pero sí decirte exactamente cómo pedírselo a ellos.

Oponerte no te quita nada: no cambia precios, ni stock, ni tu cuenta, ni tus pedidos.

8.11. El aviso que viene. Nos comprometemos a que antes del 1 de diciembre de 2026 —fecha en que entra en vigencia la Ley 21.719— el sitio tenga un aviso de consentimiento con estas reglas, que fijamos desde ya: (a) las etiquetas de Google y de Meta no se cargan ni instalan ninguna de las cookies del punto 8.1.1 hasta que las aceptes (mientras tanto, la señal de consentimiento de ambas queda en «denegado»); (b) rechazar es tan fácil como aceptar, en el mismo aviso y sin menús escondidos; (c) puedes cambiar tu elección después desde el propio sitio; (d) no hay casillas premarcadas ni «aceptación» por seguir navegando; y (e) las cookies del punto 8.2 no se preguntan, porque son necesarias. Cuando el aviso esté en producción publicaremos una nueva versión de esta Política, y el punto 8.1 dejará de decir lo que dice hoy.

9. La app móvil: permisos y qué queda en tu teléfono

9.1. La app pide exactamente dos permisos, y ninguno al arrancar:

9.2. La app no pide cámara, ubicación o GPS, contactos, micrófono, calendario, Bluetooth ni biometría, y no los usa en ninguna pantalla. Ninguno de esos módulos está instalado, con una salvedad que preferimos decirte: el componente con el que eliges la foto de tu galería declara en la ficha técnica de la app (la lista de permisos que muestra el sistema) la capacidad de usar la cámara y el micrófono, aunque la app nunca los use ni te pida ese permiso.

9.3. Tu foto de perfil, si decides ponerla. Es opcional y funciona igual en el sitio y en la app. Cuando eliges una foto de tu galería, tu propio teléfono le quita los datos EXIF —incluida la geolocalización—, la recorta a 256×256 y la vuelve a codificar: eso es lo que se envía, y el archivo original no sale del teléfono. Lo que se envía queda alojado en la infraestructura de archivos de Shopify y se sirve desde su red de distribución, con una dirección que cualquiera que la tenga puede abrir sin iniciar sesión; el punto 4.5 lo explica en detalle, junto con lo que guardamos nosotros y por cuánto tiempo. Puedes quitarla cuando quieras con la opción «Quitar foto y volver al avatar» de tu perfil, y se borra si eliminas tu cuenta. Mientras la foto no alcance a subirse —por ejemplo, si te quedas sin señal—, la app guarda una copia en tu teléfono como respaldo, y la borra en cuanto la foto queda alojada.

9.4. Al cerrar sesión. Se borran de tu teléfono los tokens de sesión y la caché de tus datos (perfil, direcciones y pedidos), se vacía el carrito y le pedimos a Shopify que cierre tu sesión. Tu foto de perfil no se borra: sigue asociada a tu cuenta y vuelve a aparecer si inicias sesión de nuevo (punto 9.3). Lo que hoy puede sobrevivir es la sesión web de Shopify dentro del navegador incrustado de la app —el que usas para iniciar sesión y pagar—: por una limitación técnica de la versión actual, la app no puede borrar esas cookies al cerrar sesión, y otra persona que abra el checkout en ese mismo teléfono podría encontrarlo con tus datos de contacto y dirección ya rellenados. Si compartes el teléfono, borra los datos de la app después de cerrar sesión (Android: Ajustes → Aplicaciones → BURUBOX → Almacenamiento → Borrar datos; iOS: desinstala y vuelve a instalar la app). Estamos trabajando para que este paso deje de ser necesario.

9.5. Lo que sí se guarda en tu teléfono, y solo ahí: tokens de sesión (en el almacén seguro del sistema operativo, nunca en almacenamiento común), el identificador de tu carrito, tu elección de avatar de marca, tus últimas 10 búsquedas, tus preferencias de notificación y el token de notificaciones (del que también guardamos copia nosotros: punto 5.2), si ya viste la introducción, el tema claro u oscuro, qué pedidos ya te celebramos al entregarlos, y una caché del catálogo y de los contenidos del sitio (colecciones, resultados de búsqueda, preguntas frecuentes) para que la app abra rápido. La caché en disco excluye a propósito casi todo lo que es tuyo: perfil, direcciones y pedidos no se escriben nunca en el disco del teléfono; la única excepción es el respaldo temporal de la foto que describe el punto 9.3.

9.6. Los avisos que recibes salen de nuestro servidor, pasan por el servicio de Expo y luego por Google (Android) o Apple (iOS). El texto del aviso puede incluir tu número de pedido, el producto y el monto de tu saldo pendiente: procura no dejar los avisos visibles en la pantalla bloqueada si eso te incomoda.

10. Tus derechos y cómo ejercerlos

10.1. La Ley 21.719 te reconoce los siguientes derechos sobre tus datos (artículos 4° a 9°, incluidos los artículos 8° bis y 8° ter):

10.2. Cómo los ejerces. Escríbenos a soporte@burubox.cl (el canal del punto 1.2). Para poder atenderte necesitamos, como mínimo (artículo 11):

• tu identificación y, si actúas por otro, la acreditación de tu representación;
• una dirección de correo electrónico o domicilio donde responderte;
• qué datos o qué tratamiento específico es el que te preocupa;
• si pides rectificación: qué hay que corregir y con qué respaldo;
• si pides supresión, oposición o bloqueo: en qué causal te apoyas;
• para el acceso basta con que te identifiques.

10.3. Verificación de identidad. Te vamos a pedir que acredites que eres tú, para no entregarle tus datos a otra persona. Usaremos el método menos molesto posible, y no te vamos a exigir enviarnos una foto de tu cédula salvo que no exista otra forma razonable de verificarte.

10.4. Plazos.

10.4.1. Sobre el bloqueo. Mientras no resolvamos tu solicitud de bloqueo temporal, dejamos de tratar los datos comprendidos en ella; el bloqueo no afecta su almacenamiento. Tu solicitud de bloqueo debe venir fundada. Si la rechazamos, te lo diremos fundadamente y comunicaremos esa decisión a la Agencia por vía electrónica; podrás reclamar de ella ante la Agencia, que debe resolver en un plazo máximo de 3 días hábiles (artículos 11 inciso final y 41 inciso final).

10.5. Gratuidad. La rectificación, la supresión, la oposición y el bloqueo son siempre gratuitos. El acceso también lo es. La ley nos permitiría cobrarte los costos directos solo si ejercieras acceso y portabilidad más de una vez en un mismo trimestre, y únicamente según los parámetros que fije la Agencia mediante instrucción general (artículo 10). Mientras esa instrucción no exista, no cobramos nada: todo el ejercicio de tus derechos es gratuito.

10.6. Si te decimos que no. Te responderemos por escrito, fundando la negativa, indicando la causal y los antecedentes que la justifican, y avisándote expresamente que tienes 30 días hábiles para reclamar ante la Agencia (artículos 11 y 41 letra a)). Si lo que rechazamos es un bloqueo, se aplica además la regla especial del punto 10.4.1.

10.7. Efecto en cadena. Si ya habíamos comunicado a alguien los datos que corriges, suprimes o a cuyo tratamiento te opones, le comunicaremos el cambio, salvo que sea imposible o exija un esfuerzo desproporcionado (artículos 6° y 11).

10.8. Límites. Hay casos en que la ley no permite suprimir: cuando el dato es necesario para cumplir una obligación legal o ejecutar el contrato contigo, o para formular, ejercer o defender una reclamación (artículo 7°). Es el caso de la evidencia del punto 5.3. En esos casos te lo diremos claramente y te explicaremos qué sí podemos hacer —por ejemplo, bloquear el tratamiento.

10.9. Herederos. Si el titular fallece, sus herederos pueden ejercer los derechos que reconoce la ley. Con todo, no podrán acceder a los datos del causante ni pedir su rectificación o supresión cuando la persona fallecida lo hubiese prohibido expresamente o cuando así lo establezca una ley (artículo 4°, incisos tercero y cuarto).

10.10. Un atajo útil. Buena parte de tus datos los administras tú directamente, sin pedirnos nada: tu nombre, tus direcciones y tu correo, desde tu cuenta en la app o en el checkout; tu foto de perfil y tu nombre de usuario, desde tu cuenta en el sitio o en la app (punto 4.5); el newsletter, desde el enlace de baja; las notificaciones de novedades, desde el interruptor de la app (la analítica de la app hoy no tiene interruptor: punto 5.5.3); y la medición y publicidad del sitio, desde tu navegador y tus ajustes de anuncios en Google y en Meta (punto 8.10) o, cuando exista, desde el aviso de consentimiento (punto 8.11).

11. Seguridad y qué hacemos si hay una brecha

11.1. Medidas que aplicamos (artículos 14 quáter y 14 quinquies):

• Menos datos, menos riesgo. La superficie es deliberadamente pequeña. En bases de datos propias solo viven: los registros de notificaciones push (token del dispositivo, identificador de cliente, correo, plataforma y preferencias); los datos de despacho necesarios para generar tu etiqueta de envío (nombre, teléfono, correo y dirección); el registro técnico de los avisos que nos manda Shopify —solo una huella del aviso, no su contenido—, que se borra a los 30 días; y la traza de quién modificó una dirección. Además, el registro mínimo de cada venta con el que calculamos cuánto nos cuesta conseguirla: número de pedido, fecha, monto, si fue preventa y campaña de origen, sin nombre ni correo, y cuyo número de pedido se anonimiza a los 12 meses (punto 5.3). Todo lo demás —tu cuenta, tus direcciones guardadas y tu historial de compras— vive en Shopify y se lee de ahí en cada uso.
• Todo el tráfico va cifrado en tránsito (HTTPS).
• Nuestras bases de datos propias se alojan en Neon, que cifra los datos en reposo y a la que nos conectamos solo por conexiones cifradas. Las etiquetas de envío no se almacenan en nuestros sistemas: se generan e imprimen desde la plataforma del courier, y nuestro sistema de envíos guarda únicamente el número de orden de transporte y el de seguimiento.
• Nuestras bases de datos propias se alojan en un proveedor que mantiene un historial de cambios que permite restaurarlas a un punto anterior dentro de una ventana corta (horas, en el plan que tenemos hoy). No hacemos respaldos propios adicionales: la copia maestra de tu cuenta, tus direcciones y tus pedidos vive en Shopify, y los datos de despacho que guardamos nosotros se pueden reconstruir desde tu pedido en Shopify (artículo 14 quinquies, inciso segundo, letra c)).
• Revisamos estas medidas cada vez que cambia un sistema que trata datos personales, y dejamos constancia de cada revisión en el historial de versiones de esta Política y en el control de versiones de nuestro código (artículo 14 quinquies, inciso segundo, letra d)). La última revisión completa se hizo en agosto de 2026.
• Los tokens de sesión viven en cookies HttpOnly en el sitio y en el almacén seguro del sistema operativo (Keychain / Keystore) en la app.
• El acceso al panel interno está limitado a un máximo de dos personas (el sistema no admite más cuentas), con contraseña resguardada mediante función de hash robusta, segundo factor obligatorio (código TOTP; la llave de seguridad WebAuthn se puede exigir como factor adicional), flujo de acceso atado al navegador que lo inició y límite de intentos.
• Los accesos automatizados a nuestros sistemas internos (el registro de notificaciones desde la app y el agente de despacho) se autentican con secretos dedicados y distintos para cada sistema, comparados en tiempo constante, que podemos revocar de inmediato desde la configuración del servidor sin afectar al resto. Las llamadas del agente de despacho quedan registradas.
• Los avisos que recibimos de Shopify se verifican criptográficamente antes de procesarlos.
• Nuestros registros de servidor no imprimen correos, teléfonos, direcciones, contraseñas, tokens ni códigos de verificación. En la app, además, los registros quedan completamente desactivados en las versiones publicadas.
• El panel interno pide a Shopify solo el nombre visible del cliente, y tiene una variante de consulta sin datos personales para seguir funcionando aunque se le niegue el acceso a ellos.

11.2. Si ocurre una brecha. Si se produce una vulneración de seguridad que destruya, filtre, pierda o altere tus datos, o permita un acceso no autorizado a ellos, y exista un riesgo razonable para tus derechos:

• Reportamos a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas (artículo 14 sexies).
• Llevamos un registro de cada incidente: naturaleza, efectos, categorías de datos, número aproximado de personas afectadas y medidas adoptadas.
• Te avisamos a ti directamente. La ley obliga a comunicárselo a los titulares cuando la brecha afecta datos sensibles, datos de niños y niñas menores de 14 años o datos de obligaciones económicas, financieras, bancarias o comerciales. Nosotros nos comprometemos a avisarte siempre que la brecha afecte tus datos y haya riesgo razonable para ti, aunque no caiga en esas categorías. Te lo diremos en lenguaje claro: qué datos, qué puede pasar y qué estamos haciendo.
• Si no fuera posible avisarte individualmente, publicaremos el aviso en un medio de comunicación masivo y de alcance nacional.

11.3. Si el incidente ocurre en uno de nuestros proveedores, ellos deben reportárnoslo, y nosotros seguimos siendo responsables frente a ti.

12. Menores de edad

12.1. burubox.cl no está dirigido a menores de edad. Para comprar debes ser mayor de 18 años o actuar debidamente representado (cláusula 2.5 de los Términos).

12.2. Conforme al artículo 16 quáter de la Ley 21.719, el tratamiento de datos de niños, niñas y adolescentes solo puede realizarse atendiendo a su interés superior y al respeto de su autonomía progresiva. Para la ley, son niños o niñas los menores de 14 años y adolescentes los de 14 a 17 años.

12.3. Tratar datos de niños y niñas menores de 14 años requiere el consentimiento de su padre, madre o representante legal. No recogemos a sabiendas datos de menores de 14 años. Hoy no te pedimos declarar tu edad: la cuenta la crea Shopify con tu correo y un código de verificación, y el formulario del newsletter solo pide tu correo. Por eso nos apoyamos en esta regla: si sabemos o tenemos motivos razonables para creer que una cuenta o una suscripción es de un menor de 14 años, suprimimos sus datos en lugar de conservarlos. Si eres padre, madre o representante legal y crees que un menor de 14 años nos entregó sus datos, escríbenos a soporte@burubox.cl y los eliminamos.

12.4. Los datos de adolescentes se tratan bajo las mismas reglas que los de adultos, salvo los datos sensibles de menores de 16 años, que requieren consentimiento de sus representantes legales. Nosotros no tratamos datos sensibles de nuestros clientes ni de los visitantes del sitio y de la app (punto 4.4); el único dato sensible que tratamos es el monto de los honorarios de quienes colaboran con nosotros, y no tiene relación alguna con menores de edad (punto 13).

12.4.1. Si tienes entre 14 y 17 años puedes usar la app y suscribirte a nuestros correos, y tus datos se tratan bajo las mismas reglas que los de un adulto; para comprar, en cambio, necesitas actuar representado por tu padre, madre o representante legal (cláusula 2.5 de los Términos).

12.5. Si detectamos que un menor de 14 años creó una cuenta o se suscribió al newsletter sin autorización, suprimimos esos datos. Si eres su padre, madre o representante legal y crees que eso ocurrió, escríbenos a soporte@burubox.cl y lo resolvemos.

12.6. Somos conscientes de que vendemos figuras de anime y coleccionables, un rubro que atrae público joven. Por eso: no dirigimos anuncios a menores de edad ni segmentamos por edad, no usamos identificadores publicitarios en la app, y el remarketing del punto 14.2 se define únicamente por haber visitado el sitio —qué figura miraste, qué dejaste en el carro—, nunca por tu edad ni por datos de tu cuenta de BURUBOX.

12.7. La ley nos impone un deber especial de velar por el uso lícito y la protección de los datos de niños, niñas y adolescentes (artículo 16 quáter, inciso final). Lo cumplimos así: no dirigimos publicidad a menores ni segmentamos por edad, no usamos identificadores publicitarios en la app, no perfilamos por cuenta propia, y cualquier duda sobre la edad de una persona la resolvemos suprimiendo los datos y no conservándolos.

12.8. Foto de perfil y menores de edad. Si tienes entre 14 y 17 años puedes usar la app, pero te recomendamos no subir una foto tuya: la dirección desde la que se sirve es pública y cualquiera que la tenga puede abrirla (punto 4.5). No subas fotos de otras personas menores de edad; si nos avisan de una, la retiramos (cláusula vigésima de los Términos). Si eres padre, madre o representante legal y quieres que retiremos la foto de perfil de un menor a tu cargo, escríbenos a soporte@burubox.cl y la eliminamos.

13. Datos de nuestro equipo y colaboradores

13.1. BURUBOX SpA no tiene trabajadores dependientes: hoy el equipo somos su socio administrador y una persona que presta servicios a honorarios. De quienes colaboran con nosotros tratamos: nombre, correo electrónico, RUT, identificador de usuario en nuestra herramienta de tareas, horas semanales pactadas, honorarios brutos mensuales, las tareas que completan (título, categoría, horas estimadas, fecha y hora) y los datos de sus boletas de honorarios (folio y copia).

13.2. Finalidad: organizar el trabajo, elaborar el informe semanal interno, calcular los costos de la operación y respaldar ante el Servicio de Impuestos Internos el gasto en honorarios mediante un paquete de evidencia mensual (detalle de tareas con fecha y hora, horas y boleta del período).

Dónde viven y quién los ve: en nuestro sistema interno de gestión (base de datos alojada en Neon, Brasil — punto 6.1), en Asana (Asana, Inc., Estados Unidos), que solo recibe nombre, correo y tareas, nunca montos, y en Resend (Resend, Inc., Estados Unidos, https://resend.com/legal/dpa), que envía por correo el informe semanal y las alertas internas. El informe semanal no incluye montos: los honorarios solo los ve quien debe pagarlos.

Base de licitud: para el nombre, correo, RUT, identificador de herramientas, horas y tareas, la ejecución del contrato de prestación de servicios (artículo 13 letra c)) y las obligaciones tributarias (artículo 13 letra b)).

Conservación: mientras dure la colaboración. Terminada, conservamos únicamente los paquetes de evidencia y las boletas de honorarios por el plazo tributario del punto 7.3, y eliminamos el resto.

Para el monto de los honorarios, que la Ley 21.719 califica de dato sensible por referirse a la situación socioeconómica (artículo 2° letra g)), la base es el consentimiento expreso y escrito de cada persona que colabora con nosotros (artículo 16, inciso primero). Ese consentimiento se puede retirar en cualquier momento; si se retira, dejamos de tratar el monto salvo en lo que la ley tributaria nos obliga a conservar (punto 7.3).

13.3. Tratamos además, respecto de los administradores del panel interno: usuario, contraseña resguardada mediante hash, credenciales de segundo factor, y la dirección IP y el navegador desde los que intentan iniciar sesión. Base: interés legítimo en la seguridad del sistema (artículo 13 letra d)). En las cookies del flujo de acceso la IP no se almacena en claro: se guarda solo su huella criptográfica.

13.4. Como el monto de los honorarios es "situación socioeconómica" y, por tanto, dato personal sensible (artículo 2° letra g) de la Ley 21.719), su tratamiento tiene un estándar más exigente que el resto (artículo 16): se funda en el consentimiento expreso y escrito del punto 13.2, está restringido a quien debe pagarlo, y no se incluye en el informe semanal ni en ninguna otra comunicación del equipo. Si algún día contratamos trabajadores dependientes y tratamos sus remuneraciones bajo la excepción del artículo 16, inciso segundo, letra e), realizaremos antes la evaluación de impacto del artículo 15 ter y actualizaremos este punto.

14. Decisiones automatizadas y elaboración de perfiles

14.1. BURUBOX no toma decisiones automatizadas propias sobre ti que produzcan efectos jurídicos o te afecten significativamente: no hay puntajes, ni scoring crediticio, ni precios personalizados según tu comportamiento, ni nada que te niegue o condicione una compra. El único perfilado que existe es el publicitario del punto 14.2 —el remarketing de Google y de Meta—, y no es una decisión sobre ti: solo cambia qué anuncio nuestro ves, nunca el precio, el stock ni las condiciones.

Sí debes saber que la pasarela de pago aprueba o rechaza automáticamente tu transacción y que la plataforma del checkout aplica filtros automáticos de riesgo de fraude a los pedidos: son decisiones automatizadas de terceros, necesarias para celebrar el contrato (artículo 8° bis, inciso segundo, letra a)). Si un pedido tuyo es rechazado por esa vía, puedes pedirnos una explicación, la intervención de una persona, expresar tu punto de vista y solicitar la revisión de la decisión escribiéndonos al canal del punto 1.2, y lo haremos (artículo 8° bis, inciso final).

14.2. Remarketing: el perfilado publicitario que sí existe. Las herramientas de Google y de Meta del punto 8 permiten agrupar en audiencias a los navegadores que hicieron algo en el sitio —«vio una figura y no la compró», «agregó al carro y abandonó»— y mostrarles después anuncios nuestros en Google, YouTube, Facebook o Instagram. Eso es, en los términos de la ley, una elaboración de perfiles con fines publicitarios, y te lo decimos con ese nombre. Sus límites: las audiencias las definimos nosotros en esas herramientas solo en términos de comportamiento en el sitio, nunca de nombre, correo, edad ni datos de tu cuenta de BURUBOX; quien te reconoce dentro de ellas es Google o Meta, con sus cookies y con lo que ya saben de ti por sus propios servicios (puntos 6.2 y 8.1.1); no subimos listas de clientes a ninguna de las dos plataformas (punto 6.4); no produce efectos jurídicos ni te afecta significativamente —lo peor que te puede pasar es ver un anuncio de una figura que miraste—; y no cambia precios, stock ni condiciones, que son las mismas para todos. Para dejar de entrar en esas audiencias, bloquea las etiquetas (punto 8.10, medio 1); para que dejen de mostrarte anuncios basados en ellas, usa tus ajustes de anuncios en Google y en Meta (medios 3 y 4); y en todo caso la pertenencia vence sola (punto 7.4). Cuando exista el aviso del punto 8.11, no entrarás en ninguna sin haberlo aceptado. Tienes además el derecho de oposición sin condiciones al marketing directo del punto 10.1.

14.3. La analítica de la app agrupa eventos de uso para entender cómo se navega el producto en general. No la usamos para tomar decisiones sobre ti, ni para segmentarte, ni para mostrarte precios u ofertas distintas de las de cualquier otra persona.

14.4. Si algún día introdujéramos decisiones automatizadas propias, o un perfilado que fuera más allá del remarketing del punto 14.2, te informaríamos previamente la lógica aplicada y las consecuencias, y tendrías los mismos derechos del punto 14.1 (artículo 8° bis, inciso final).

15. Cambios a esta Política

15.1. Cada versión de esta Política lleva número de versión y fecha de vigencia en su encabezado (artículo 14 ter letra a)).

15.2. La versión vigente está permanentemente publicada en burubox.cl, en formato legible, descargable e imprimible. Las versiones anteriores se conservan archivadas con su hash SHA-256; ese archivo no contiene datos personales (cláusula 4.4 de los Términos).

15.3. Si el cambio es sustancial —una finalidad nueva, un destinatario nuevo, un plazo más largo— te lo avisaremos por correo o dentro del sitio y la app antes de que entre en vigencia. Si el cambio requiere tu consentimiento, te lo pediremos: el silencio nunca vale como consentimiento.

15.4. Puedes pedirnos en cualquier momento la versión exacta de esta Política que estaba vigente en la fecha de tu compra.

15.5. Cambios respecto de la versión 1.1. Esta versión 1.2 se publica el 6 de septiembre de 2026 e incorpora dos funciones nuevas y opcionales: la foto de perfil y el nombre de usuario del punto 4.5, fundadas en tu consentimiento. Ninguna de las dos está habilitada antes de la publicación de esta versión: se habilitan solo después, de modo que nadie pudo subir una foto ni elegir un nombre de usuario bajo la versión anterior. Lo que cambia respecto de la v1.1: (a) la foto de perfil deja de ser un archivo que solo vive en tu teléfono y pasa a alojarse en la infraestructura de archivos de Shopify, con una dirección pública que cualquiera que la tenga puede abrir; (b) se agrega el nombre de usuario, único, con cambio libre las primeras 24 horas y luego una vez cada 30 días, y bloqueo de 90 días del nombre liberado; (c) se agrega un registro técnico de cada subida, rechazo o retiro de foto, con una huella (hash) de tu IP y no la IP, conservado 12 meses; (d) se agregan los puntos 4.5 y 12.8, el antiguo 15.5 pasa a ser el 15.6, y se actualizan en consecuencia los puntos 3, 4.1, 4.4, 5.1, 5.4, 5.5.1, 6.1, 7.4, 9.3 a 9.5 y 10.10. Ningún destinatario nuevo entró: Shopify y Neon ya estaban declarados como encargados en el punto 6.1.

15.6. Qué versión se aplica a tu compra. Los compromisos de esta Política que forman parte de tu contrato —los plazos de conservación, los destinatarios de tus datos y las bases de licitud del tratamiento necesario para venderte y entregarte— se rigen por la versión que estaba vigente y se te informó al momento de tu compra, conforme a las cláusulas 2.4, 4.1 letra d) y 16.2 de los Términos: una versión posterior no puede empeorarlos respecto de una compra ya realizada. Las mejoras de esta Política, en cambio, se te aplican desde que se publican. La descripción de nuestros tratamientos actuales es siempre la de la versión vigente, porque describe lo que hacemos hoy.

16. Reclamo ante la Agencia de Protección de Datos Personales

16.1. Si rechazamos tu solicitud o no te respondemos dentro del plazo legal, puedes reclamar ante la Agencia de Protección de Datos Personales, corporación autónoma de derecho público creada por la Ley 21.719 (artículo 30), que se relaciona con el Presidente de la República a través del Ministerio de Economía, Fomento y Turismo.

16.2. Plazo: 30 días hábiles contados desde que recibiste nuestra respuesta negativa o desde que venció el plazo que teníamos para responderte (artículo 41 letra a)).

16.3. El reclamo se presenta por escrito, en formato físico o electrónico, señalando la decisión que impugnas, acompañando los antecedentes y fijando un domicilio o correo para las notificaciones. La Agencia debe resolver el procedimiento de tutela dentro de seis meses (artículo 41 letra h)), y su resolución es impugnable judicialmente dentro de 15 días hábiles.

16.4. La Agencia de Protección de Datos Personales inicia sus funciones el 1 de diciembre de 2026, el mismo día en que entra en vigencia la Ley 21.719. A la fecha de esta versión todavía no está en funciones y no tiene canales de atención públicos, así que el reclamo de este punto se podrá presentar desde que empiece a operar; apenas publique sus datos de contacto, los incorporaremos en esta Política. Hasta entonces rige la Ley 19.628 (punto 2.1): si rechazamos tu solicitud o no te respondemos, puedes acudir a los tribunales conforme a esa ley, además del SERNAC (punto 16.5). Y en cualquier caso, escríbenos primero a soporte@burubox.cl: te respondemos de fondo dentro de 10 días hábiles.

16.5. Nada de esto te impide reclamar además ante el SERNAC o ante los tribunales, ni ejercer la acción de indemnización del artículo 47 de la Ley 21.719. Preferimos, en todo caso, que primero hables con nosotros: casi todo se arregla en un correo.

Esta Política de Privacidad forma parte del sistema de documentos de burubox.cl junto con los Términos y Condiciones de Venta, la Política de Preventas y Contrato Simplificado y la Política de Entrega y Despacho, y tiene pleno valor contractual conforme a las cláusulas 4.1 letra d) y 4.2 de los Términos. Las definiciones de la cláusula tercera de los Términos prevalecen sobre cualquier definición divergente de este documento, conforme al párrafo introductorio de esa misma cláusula.