Política de Privacidad

1. Quiénes somos y a quién aplica esta Política

Mekapal es una plataforma tecnológica de mensajería y entregas que opera mediante aplicaciones móviles nativas y un portal web administrativo, con presencia actual en la República de Guatemala y en proceso de expansión hacia los demás países de la región centroamericana. Nuestra plataforma conecta a tres tipos de usuarios: Clientes que necesitan enviar paquetes, Transportistas que prestan el servicio de entrega utilizando sus propios vehículos, y el equipo Administrador de Mekapal que supervisa la operación.

Esta Política de Privacidad tiene por objeto informarle, de manera clara y accesible, sobre qué datos personales recopilamos de usted, con qué finalidades los utilizamos, con quién los compartimos, cuánto tiempo los conservamos y cuáles son sus derechos como titular de esa información. Este documento es aplicable a toda persona que se registre y utilice la Plataforma, independientemente del rol que desempeñe.

Ecosistema contractual integrado. Esta Política forma parte de un conjunto contractual único junto con los Términos y Condiciones de Uso y la Política de Eliminación de Datos Personales de Mekapal. Estos tres documentos deben leerse, ejecutarse e interpretarse en perfecta armonía y concordancia entre sí. La aceptación de los Términos y Condiciones conlleva, de manera indisoluble, la ratificación de esta Política y de la Política de Eliminación de Datos.

Marco legal de referencia: Esta Política se elaboró observando los principios contenidos en la Constitución Política de la República de Guatemala (artículos 24 y 31, relativos a la inviolabilidad de correspondencia y el acceso a archivos y registros estatales), el Código de Comercio de Guatemala (Decreto 2-70), la Ley para el Reconocimiento de las Comunicaciones y Firmas Electrónicas (Decreto 47-2008), las disposiciones aplicables del Código Civil guatemalteco en materia de protección de la persona, la Ley de Protección al Consumidor y Usuario (Decreto 006-2003), así como la normativa sectorial vigente en materia financiera, tributaria y de telecomunicaciones. Para las operaciones en países centroamericanos donde Mekapal se encuentre habilitada, se aplicarán adicionalmente las leyes nacionales de protección de datos personales vigentes en cada jurisdicción.

Al registrarse en Mekapal, usted acepta expresamente el tratamiento de sus datos conforme a lo descrito en este documento.

2. Responsable del Tratamiento

Mekapal actúa como responsable del tratamiento de los datos personales que se recopilan a través de la Plataforma. Cualquier consulta, solicitud de ejercicio de derechos o comunicación relacionada con esta Política debe dirigirse a los canales indicados en la sección 14. Contacto.

Cuando Mekapal contrate a proveedores tecnológicos o de servicios que acceden a datos personales para ejecutar sus funciones, dichos proveedores actúan en calidad de encargados del tratamiento y están vinculados por acuerdos contractuales que les imponen las mismas obligaciones de confidencialidad y seguridad que asumimos internamente.

3. Qué información recopilamos y por qué la necesitamos

Recopilamos únicamente la información que resulta necesaria para operar la Plataforma de manera funcional, segura y conforme a las obligaciones legales aplicables. A continuación se detalla qué datos se recopilan según cada tipo de usuario.

3.1 Clientes

Cuando una persona se registra como Cliente en Mekapal, solicitamos los siguientes datos:

• Identidad: Nombre completo
• Contacto: Correo electrónico y número de teléfono, ambos únicos por cuenta
• Credenciales: Contraseña cifrada; no almacenamos contraseñas en texto plano
• Direcciones: Direcciones de recogida y destino, incluyendo coordenadas GPS cuando el usuario las proporciona a través del mapa
• Historial de servicio: Solicitudes de entrega, tipo de carga, descripción del paquete, notas de entrega, estado de cada orden
• Pagos: Datos de transacciones (monto, fecha, referencia). Las tarjetas de crédito o débito son procesadas íntegramente por el proveedor de pagos externo (Stripe o el procesador habilitado en cada país); Mekapal no almacena números de tarjeta ni códigos de seguridad
• Calificaciones: Puntuaciones y comentarios otorgados a Transportistas al cierre de cada servicio
• Dispositivo: Token de notificaciones push, versión del sistema operativo, tipo de dispositivo

3.2 Transportistas

El proceso de registro de Transportistas requiere información más extensa, dado que su actividad involucra la prestación directa de un servicio a terceros y la recepción de pagos bancarios. Los datos solicitados son:

• Identidad: Nombre completo, fotografía de la cédula de vecindad, DPI o pasaporte
• Contacto: Correo electrónico, número de teléfono, dirección física completa (calle, colonia, municipio, departamento, código postal, país)
• Licencia de conducir: Número de licencia, fecha de vencimiento, fotografía del anverso y del reverso
• Vehículos: Por cada vehículo registrado: marca, modelo, año, tipo, capacidad de carga, fotografías desde múltiples ángulos, documentos del vehículo
• Seguro vehicular: Número de póliza, fecha de vencimiento, documento de seguro en formato digital
• Datos bancarios: Nombre del titular, número de cuenta, código del banco, tipo de cuenta; necesarios para ejecutar las transferencias ACH de compensación diaria
• Zonas de trabajo: Preferencias geográficas y áreas de exclusión definidas por el Transportista
• Actividad en la plataforma: Historial de entregas, ofertas enviadas, ingresos, comisiones descontadas, calificaciones recibidas
• Dispositivo: Token de notificaciones push, versión del sistema operativo, tipo de dispositivo

Toda la documentación cargada por el Transportista queda sujeta a un proceso de validación manual por parte del equipo administrativo de Mekapal antes de que la cuenta sea habilitada para operar. Este proceso está diseñado para proteger tanto a los Clientes como a la integridad de la Plataforma.

Además de la documentación anterior, el Transportista deberá presentar de forma obligatoria, al momento del registro y con vigencia no mayor a seis (6) meses:

• Constancia de Antecedentes Penales, emitida por el Organismo Judicial de Guatemala.
• Constancia de Antecedentes Policiales, emitida por la Policía Nacional Civil.

Estas constancias deben estar vigentes y serán sometidas al mismo proceso de validación manual. La presentación de antecedentes permite a Mekapal garantizar la seguridad de los Clientes y resguardar la confianza de la comunidad de usuarios.

3.3 Administradores

Los usuarios con rol de Administrador en el portal web de Mekapal tienen acceso a la gestión operativa y financiera de la Plataforma. Para ellos recopilamos nombre completo, correo electrónico corporativo, credenciales de acceso y un registro detallado de todas las acciones realizadas en el sistema (audit trail), incluyendo validaciones de documentos, compensaciones ejecutadas y cambios de configuración.

3.4 Datos generados automáticamente

Con independencia del tipo de usuario, la Plataforma genera y registra automáticamente la siguiente información durante el uso normal del servicio:

• Datos de sesión y uso: secciones visitadas dentro de la aplicación, funciones utilizadas, duración de la sesión y frecuencia de acceso.
• Datos técnicos: dirección IP, tipo de dispositivo y navegador, versión del sistema operativo, identificadores únicos del dispositivo.
• Ubicación GPS en tiempo real: aplicable exclusivamente a Transportistas durante la ejecución de una entrega activa, previa aceptación explícita del permiso en el dispositivo. Esta información se utiliza para mostrar la posición al Cliente, estimar tiempos de llegada y gestionar incidentes en ruta.
• Eventos del sistema: registros de auditoría, logs de errores, métricas de rendimiento y alertas de seguridad. Estos datos alimentan el servicio de analítica interna y los dashboards del equipo administrador.

4. Para qué utilizamos su información

Cada dato que recopilamos tiene una finalidad específica y proporcional. No utilizamos información personal para fines distintos a los que se describen a continuación.

4.1 Operación de la Plataforma

Crear y gestionar cuentas de usuario; ejecutar el algoritmo de matching que conecta a Clientes con Transportistas disponibles en las zonas geográficas correspondientes; procesar solicitudes de entrega, recibir y gestionar ofertas competitivas de Transportistas, y gestionar el ciclo completo de vida de cada orden desde su creación hasta su cierre.

4.2 Procesamiento financiero

Procesar los cobros a Clientes mediante la pasarela de pago habilitada; calcular las comisiones que Mekapal retiene por cada servicio completado, aplicando las reglas configuradas por tipo de servicio y por cliente; ejecutar las transferencias bancarias ACH a los Transportistas al final de cada jornada operativa; y generar los reportes de reconciliación y los comprobantes de transacción requeridos por la normativa tributaria.

4.3 Validación y prevención de fraude

Revisar y aprobar la documentación de los Transportistas antes de habilitar su cuenta; verificar la vigencia de licencias y seguros vehiculares; detectar patrones de uso anómalos que puedan indicar actividades fraudulentas o abusivas; y mantener la seguridad e integridad general de la Plataforma.

4.4 Comunicaciones del servicio

Enviar notificaciones push a través de Firebase Cloud Messaging, correos electrónicos mediante AWS SES y mensajes SMS por Twilio, relacionados exclusivamente con el estado de solicitudes, entregas, pagos y actualizaciones operativas de la cuenta. Estas comunicaciones son necesarias para la prestación del servicio y no pueden desactivarse en su totalidad sin afectar la funcionalidad de la aplicación.

4.5 Analítica y mejora continua

Analizar datos agregados y anonimizados sobre el comportamiento de uso para optimizar el algoritmo de matching, mejorar la experiencia del usuario, generar proyecciones de demanda, elaborar los dashboards financieros y operativos del equipo administrador, y detectar oportunidades de mejora en los flujos de la Plataforma.

4.6 Cumplimiento legal y regulatorio

Conservar los registros contables y financieros que la normativa tributaria guatemalteca exige; atender requerimientos de autoridades judiciales, fiscales o administrativas competentes cuando medie una obligación legal; y cumplir con las obligaciones de reportería bancaria relacionadas con las transferencias ACH.

5. Base legal que justifica el tratamiento

En Guatemala, si bien no existe actualmente una ley específica e integral de protección de datos personales en el sector privado, el tratamiento que realiza Mekapal se sustenta en los siguientes fundamentos jurídicos:

• Ejecución del contrato de servicio: la mayor parte del tratamiento de datos es estrictamente necesaria para prestar los servicios que el usuario solicita al aceptar estos términos y completar su registro.
• Consentimiento libre e informado: para el acceso a la ubicación GPS en tiempo real y para cualquier comunicación de carácter promocional, solicitamos consentimiento expreso previo.
• Interés legítimo: para las actividades de monitoreo de seguridad, prevención de fraude y mejora del servicio, siempre que no prevalezcan los derechos e intereses del usuario.
• Obligación legal: para la conservación de registros contables y financieros conforme al Código Tributario guatemalteco (Decreto 6-91) y sus reformas, y la Ley del Impuesto al Valor Agregado (Decreto 27-92).

Para las operaciones en otros países de Centroamérica, Mekapal adaptará estas bases legales a la normativa de protección de datos vigente en cada jurisdicción al momento de iniciar operaciones.

6. Terceros con quienes compartimos información

Mekapal no vende, alquila ni cede datos personales a terceros con fines comerciales propios de esos terceros. Compartimos información únicamente en los siguientes supuestos:

6.1 Proveedores tecnológicos y de servicio

Todos los proveedores que se listan a continuación actúan como encargados del tratamiento y están sujetos a acuerdos contractuales que limitan el uso de los datos exclusivamente a la función para la que fueron contratados:

6.2 Entre usuarios de la Plataforma

El sistema comparte únicamente la información mínima necesaria para ejecutar cada entrega:

• El Cliente puede ver el nombre, calificación acumulada, tipo de vehículo y datos básicos del Transportista que fue asignado a su pedido.
• El Transportista recibe la dirección de recogida y la dirección de destino del paquete, junto con el nombre del Cliente.

En ningún caso se exponen datos bancarios, documentos de identidad, números de licencia ni información financiera entre usuarios.

6.3 Autoridades y entidades reguladoras

Cuando una autoridad judicial, fiscal, administrativa o de seguridad pública presente un requerimiento formal conforme a la legislación aplicable, Mekapal proporcionará la información que sea legalmente obligatorio entregar. En la medida en que la ley lo permita, notificaremos al usuario afectado antes de responder al requerimiento.

7. Almacenamiento, seguridad e infraestructura

7.1 Dónde se almacenan los datos

La infraestructura de Mekapal opera sobre Amazon Web Services (AWS), con la región primaria en us-east-1. La arquitectura incluye replicación de base de datos en múltiples zonas de disponibilidad (Multi-AZ) y mecanismos de recuperación ante desastres con un objetivo de tiempo de recuperación (RTO) inferior a 15 minutos y un objetivo de punto de recuperación (RPO) de no más de 30 minutos.

Los documentos y fotografías se almacenan en Amazon S3 con las siguientes políticas de ciclo de vida:

• Almacenamiento estándar mientras la cuenta se encuentra activa.
• Migración automática a almacenamiento de acceso infrecuente (S3 Infrequent Access) a partir de los 30 días de inactividad del objeto.
• Archivado en Amazon Glacier para copias de seguridad de largo plazo.

7.2 Controles de seguridad implementados

Mekapal aplica las siguientes medidas técnicas y organizativas para proteger la información:

• Cifrado en tránsito: protocolo TLS 1.3 en todas las comunicaciones entre las aplicaciones móviles, el portal web y los servicios backend.
• Cifrado en reposo: estándar AES-256 para todos los datos almacenados en la base de datos PostgreSQL y en los objetos de Amazon S3.
• Autenticación y control de acceso: tokens JWT de corta duración con refresh tokens, gestión de roles granular y autenticación delegada a través de AWS Cognito. Los administradores requieren credenciales adicionales para acceder al portal web.
• Acceso a documentos sensibles: los archivos de Transportistas almacenados en S3 (licencias, identificaciones, documentos de seguro) solo son accesibles mediante URLs firmadas temporales que expiran tras un período breve. Ningún usuario externo puede acceder directamente a estos objetos.
• Protección perimetral: Web Application Firewall (WAF) de AWS con reglas de protección contra inyección SQL, XSS y ataques DDoS; rate limiting en el API Gateway; bloqueo geográfico configurable.
• Monitoreo y auditoría: todos los eventos del sistema se registran en CloudWatch y en el stack ELK interno. El sistema de analítica monitorea en tiempo real umbrales de error, fallas de pago y patrones de posible fraude, generando alertas automáticas al equipo administrador.
• Cumplimiento PCI-DSS: el procesamiento de datos de tarjetas de pago se delega íntegramente a procesadores externos certificados, de modo que Mekapal nunca entra en posesión de los datos de la tarjeta en texto claro.

8. Cuánto tiempo conservamos sus datos

La retención de datos está determinada por dos criterios: la necesidad operativa mientras la cuenta está activa, y las obligaciones legales que persisten tras su cierre.

Una vez vencido el plazo de retención, los datos son eliminados de manera segura o anonimizados de forma irreversible.

9. Sus derechos como titular de los datos

Reconocemos a todos los usuarios de la Plataforma los siguientes derechos sobre su información personal, ejercibles en cualquier momento:

• Acceso: Conocer qué datos personales suyos obran en nuestros sistemas y recibir una copia de los mismos
• Rectificación: Corregir cualquier dato que sea inexacto, incompleto o desactualizado
• Supresión: Solicitar la eliminación de sus datos cuando ya no sean necesarios para las finalidades para las que fueron recopilados, o cuando revoque su consentimiento (sujeto a las excepciones legales descritas en esta Política y en la Política de Eliminación de Datos)
• Oposición: Oponerse al tratamiento de sus datos para finalidades específicas, como el análisis estadístico
• Portabilidad: Recibir sus datos personales en un formato estructurado, de uso común y lectura mecánica
• Limitación: Solicitar que suspendamos temporalmente el tratamiento de sus datos mientras se verifica la exactitud de los mismos o se resuelve una disputa
• Revocación del consentimiento: Retirar en cualquier momento el consentimiento que haya otorgado para tratamientos que se basen en dicha base legal, sin efecto retroactivo

Para ejercer cualquiera de estos derechos, consulte la sección 14. Contacto o la Política de Eliminación de Datos de Mekapal, disponible en la aplicación.

10. Ubicación GPS y privacidad del Transportista

Queremos ser especialmente transparentes respecto al uso de la ubicación en tiempo real porque se trata de uno de los datos más sensibles que procesamos.

La aplicación de Transportistas solicita acceso a la ubicación GPS del dispositivo durante la prestación activa de un servicio. Esa ubicación se utiliza exclusivamente para: mostrar al Cliente el estado y posición aproximada de la entrega, calcular estimaciones de tiempo de llegada, y apoyar la gestión de incidentes cuando el Transportista activa el estado InTrouble en la orden.

La recopilación de ubicación en tiempo real ocurre únicamente mientras la aplicación está en primer plano y existe una orden en estado InTransit o InTrouble. No rastreamos la ubicación del Transportista fuera de esos contextos. El permiso puede revocarse desde la configuración del dispositivo, aunque esto impedirá la visibilidad de la entrega por parte del Cliente.

11. Menores de edad

Los servicios de Mekapal están diseñados y dirigidos exclusivamente a personas mayores de 18 años. No recopilamos ni tratamos conscientemente información de menores de edad. Si tuviéramos conocimiento de que un usuario menor de 18 años ha creado una cuenta, procederemos a eliminarla y a borrar los datos asociados a la brevedad posible.

12. Operación en Centroamérica

Mekapal se encuentra en proceso de expansión hacia otros países de la región centroamericana. A medida que la Plataforma se habilite en cada nuevo territorio, actualizaremos esta Política para incorporar las disposiciones específicas exigidas por la legislación local de protección de datos, privacidad y comercio electrónico de cada país. Los usuarios de dichos territorios serán notificados de los términos locales aplicables en el momento del registro.

En cualquier caso, el estándar mínimo de protección de datos que Mekapal aplicará en toda la región será el descrito en esta Política.

13. Cambios a esta Política

Esta Política puede ser actualizada cuando cambien nuestras prácticas de tratamiento de datos, cuando lo exija la normativa aplicable, o cuando incorporemos nuevas funcionalidades a la Plataforma. Cuando los cambios sean de carácter sustancial, se lo comunicaremos con al menos 15 días de anticipación mediante notificación push en la aplicación, correo electrónico a la dirección registrada y aviso destacado en la pantalla de inicio de sesión.

La versión vigente de esta Política siempre estará disponible dentro de la aplicación en Perfil → Ayuda → Política de Privacidad.

14. Contacto

Para ejercer sus derechos, presentar una queja o realizar cualquier consulta relacionada con el tratamiento de sus datos personales:

• Correo electrónico: privacidad@mekapal.com
• Dentro de la aplicación: Perfil → Ayuda → Contacto
• Tiempo de respuesta: responderemos a su solicitud en un plazo máximo de 15 días hábiles contados desde su recepción.

Esta Política de Privacidad es aplicable a todos los usuarios de Mekapal registrados en Guatemala y, progresivamente, en los demás países centroamericanos donde la Plataforma opere. Su uso continuado del servicio implica la aceptación de los términos aquí descritos.