Política de privacidad de PymbuPay

Última actualización: 17 de agosto de 2026 · Responsable: Pymbú · hola@pymbu.com

1. Qué es PymbuPay y qué papel juega cada uno

PymbuPay es una app de Shopify que permite a una tienda cobrar a través de Plexo, una pasarela de pago uruguaya, y publicar descuentos por tarjeta y banco.

El comerciante es el responsable del tratamiento. Es su tienda, sus compradores y su relación con ellos. Es quien decide para qué se usan los datos.
Pymbú es encargado del tratamiento: procesa datos por cuenta y siguiendo instrucciones del comerciante, exclusivamente para hacer funcionar el cobro, y no los usa para ningún fin propio.
Plexo es un tercero independiente, con su propia relación contractual y su propia política de privacidad con el comerciante. Pymbú no decide ni controla qué hace Plexo con los datos, y no responde por ello.
Shopify es la plataforma donde vive la tienda, con su propia relación con el comerciante.

2. Qué datos se procesan, y para qué

Dato	Para qué	De dónde sale
Identificador y total del pedido	Saber cuánto cobrar. El importe se lee siempre de Shopify, nunca de lo que manda el navegador	Shopify
Moneda y líneas del pedido	Calcular el descuento por línea y ajustar la orden al confirmarse el pago	Shopify
Marca, banco, BIN y últimos cuatro dígitos de la tarjeta	Decidir qué descuento corresponde y mostrarlo antes de cobrar	Plexo, al tokenizar
Identificadores de pago de Plexo	Consultar el estado del pago y conciliar	Plexo
IP y navegador del comprador, en el momento del pago	Exigencia de la verificación 3-D Secure del banco emisor. Viajan a Plexo y no se guardan ni se registran	El navegador

Lo que NO se procesa

Nunca el número completo de la tarjeta, ni el código de seguridad, ni la fecha de vencimiento. Esos datos no pasan por nuestros servidores en ningún momento: se ingresan directamente en el formulario de Plexo.
Nunca el correo electrónico del comprador. Los avisos de pago pendiente los envía Shopify al cliente del pedido; la app pide el envío sin indicar la dirección, de modo que el dato no llega a nuestros servidores.
No se guarda la dirección del comprador, ni su teléfono, ni su documento de identidad.
No se usan datos para marketing. Los avisos son transaccionales: informan sobre un pago concreto que el comprador inició.
No se venden, ceden ni comparten datos con terceros fuera de los encargados del punto 6, ni se combinan datos de distintas tiendas.
No se elabora ningún perfil del comprador ni se toman decisiones automatizadas sobre personas.

3. Cuánto tiempo se conservan

Dato	Retención
Credenciales de Plexo del comerciante	Hasta que las borre o desinstale la app. Al desinstalar se borran al instante, no al final de un período
Registros de pago (identificadores, estados, importes)	90 días desde el cierre del pago
Marca, banco y últimos cuatro dígitos	90 días, junto con el pago
Promociones configuradas	Mientras la app esté instalada

4. Cómo se protegen

Las credenciales de Plexo se guardan cifradas (AES-256-GCM), con una clave que no vive en la base de datos. El cifrado está atado a la tienda: las credenciales de una tienda no se pueden descifrar en el contexto de otra, aunque alguien copie la fila.
Todo viaja por HTTPS.
Los datos de una tienda no son accesibles desde otra. No es una promesa de disciplina: el acceso a datos está construido de forma que no existe manera de consultar sin decir de qué tienda.
No se registran datos personales en los registros de actividad, que además se borran a los 90 días.

Ningún sistema conectado a internet es invulnerable. Lo anterior describe lo que se hace; no constituye una garantía de que no pueda ocurrir un incidente. Ante uno que afecte datos personales, Pymbú lo comunicará al comerciante sin demora indebida para que éste, como responsable, cumpla con sus propias obligaciones de notificación.

5. Derechos del comprador

Los ejerce a través de la tienda donde compró, que es la responsable del tratamiento. Pymbú atiende los tres pedidos que Shopify canaliza: solicitud de datos, borrado del comprador y borrado de la tienda.

6. Encargados y dónde están los datos

Quién	Para qué	Dónde
Shopify	La plataforma de la tienda y el envío de los avisos al comprador	Según su propia política
Plexo	Procesar los pagos. Relación contractual directa del comerciante	Uruguay
Render	Alojar la aplicación y su base de datos	Ohio, Estados Unidos

Transferencia internacional. La aplicación y su base de datos se alojan en Estados Unidos. Al instalar la app, el comerciante —como responsable— acepta esa transferencia y es quien debe contemplarla en la información que da a sus propios compradores.

7. Alcance y límites de la responsabilidad de Pymbú

La responsabilidad de Pymbú se limita a su papel de encargado del tratamiento, y a los datos enumerados en el punto 2 mientras están bajo su control.
Pymbú no responde por el tratamiento que hagan Shopify, Plexo, el comerciante ni ningún tercero, ni por el contenido, la exactitud o la legalidad de los datos que el comerciante introduce o autoriza a procesar.
Es responsabilidad del comerciante contar con base legal para el tratamiento, informar a sus compradores e instruir a Pymbú de forma lícita. Pymbú actúa conforme a esas instrucciones.
El servicio se presta tal como está, sin más garantías que las expresamente indicadas aquí y en el acuerdo de tratamiento de datos.
En la medida en que lo permita la ley aplicable, la responsabilidad total de Pymbú frente al comerciante por cualquier reclamo relacionado con esta política no excederá el importe abonado por el comerciante a Pymbú en los doce meses anteriores al hecho que la origine, y no alcanza a daños indirectos, lucro cesante ni pérdida de datos atribuibles a terceros o al propio comerciante.

8. Ley aplicable y jurisdicción

Esta política se rige por la ley de la República Oriental del Uruguay, en particular la Ley N.º 18.331 de Protección de Datos Personales y sus normas reglamentarias. Cualquier controversia se somete a los tribunales de Montevideo, Uruguay.

9. Cambios

Los cambios que afecten qué datos se procesan o para qué se avisan al comerciante dentro de la app antes de aplicarse. La fecha de la última actualización figura al comienzo.

10. Contacto

hola@pymbu.com

Ver también el acuerdo de tratamiento de datos y la política de respuesta a incidentes, que dice qué hacemos y en cuánto avisamos si algo sale mal.