Política de Privacidad de TiendaPagos
English version ↓Esta Política de Privacidad explica qué información trata TiendaPagos, con qué finalidad, dónde se almacena, con quién se comparte y cómo puedes ejercer tus derechos. Le damos especial atención a los datos de tu cuenta de Google (Gmail), porque TiendaPagos solicita tu autorización para leer únicamente los correos de notificación de pago que te envía Nequi.
1. Responsable del tratamiento y contacto
Responsable: TiendaPagos, operado por Johan Londoño (persona natural), Colombia.
Correo de contacto y soporte: jlondono2803@gmail.com
Sitio web: https://tiendapagos.store
Esta política: https://tiendapagos.store/privacidad.html
2. Qué es TiendaPagos
TiendaPagos es una herramienta para tiendas físicas en Colombia que reciben pagos por Nequi (código QR Bre-B). Cuando un cliente paga, Nequi envía un correo de notificación al Gmail del comerciante. TiendaPagos detecta ese correo y muestra el pago en la pantalla del negocio (con aviso de voz o sonido), lo guarda en un historial y, opcionalmente, envía un resumen diario. También ofrece un punto de venta (POS) sencillo.
El componente que accede a Gmail es un script de Google Apps Script que se ejecuta dentro de la propia cuenta de Google del comerciante, con su autorización explícita a través de la pantalla de consentimiento de Google. TiendaPagos no tiene acceso a la cuenta de Google del comerciante fuera de ese script.
3. Datos de Google a los que accedemos
TiendaPagos solicita el permiso de Gmail https://www.googleapis.com/auth/gmail.modify. Este permiso
se usa de forma estrictamente limitada:
- El script solo busca y lee los correos oficiales de notificación de venta que Nequi envía cuando tu negocio recibe un pago por código QR (Bre-B). Ningún otro correo de la cuenta es leído, listado ni procesado.
-
El script registra una suscripción de notificaciones push de Gmail (
watch) para enterarse al instante de que llegó correo nuevo. Esa notificación no contiene el contenido de ningún mensaje; solo indica que hay novedades, tras lo cual el script vuelve a ejecutar la búsqueda filtrada anterior. -
El script crea y aplica dos etiquetas en el Gmail del comerciante —
NequiTienda/ProcesadoyNequiTienda/Error— para que el comerciante vea qué notificaciones ya fueron procesadas.
Lo que nunca hacemos con tu Gmail: no enviamos correos en tu nombre, no eliminamos, archivamos, reenviamos ni modificamos mensajes (más allá de aplicar las dos etiquetas anteriores), no accedemos a tus contactos, adjuntos, borradores ni a la configuración de tu cuenta.
4. Cómo usamos los datos obtenidos de Gmail
De cada correo de notificación de pago de Nequi, el script extrae únicamente estos campos:
| Campo | Uso |
|---|---|
| Monto del pago | Mostrar el aviso en pantalla, historial, totales y reportes |
| Nombre del pagador | Mostrar quién pagó en el aviso y el historial |
| Referencia de la transacción | Evitar registrar dos veces el mismo pago |
| Banco | Información del historial |
| Fecha y hora del pago | Historial y resumen diario |
Esos campos se envían cifrados (HTTPS) desde el script al servidor de TiendaPagos, se muestran al comerciante como aviso en tiempo real y quedan en su historial de pagos. Si el comerciante lo activa, recibe además un resumen diario por correo que contiene solo el total y la cantidad de pagos del día; el resumen no incluye nombres de pagadores ni referencias.
Los datos de Gmail se usan exclusivamente para prestar esta funcionalidad al comerciante. No se usan para publicidad, perfilado, entrenamiento de modelos ni ninguna otra finalidad.
5. Qué almacenamos y dónde
- En el servidor de TiendaPagos (base de datos SQLite alojada fuera del directorio web público): monto, nombre del pagador, referencia, banco, fecha del pago y fecha de registro de cada notificación procesada, asociados a la tienda correspondiente.
- En las Propiedades del Script (dentro de la cuenta de Google del comerciante): únicamente los identificadores de los últimos 300 mensajes ya procesados, para no procesarlos dos veces. No se guarda contenido de correo.
- No almacenamos en el servidor cuerpos de correo, adjuntos, contactos, contraseñas de Google ni tokens de acceso a Google.
6. Otros datos que nos proporcionas
Además de los datos de Gmail, para prestar el servicio tratamos:
- Datos de la cuenta de la tienda: nombre del negocio, correo electrónico de acceso, contraseña (almacenada solo como hash), correo para el resumen diario, preferencias de sonido y monto mínimo, y la imagen del código QR si el comerciante la configura.
- Datos del punto de venta (POS): productos, inventario y ventas que el comerciante registra voluntariamente en su cuenta.
- Datos técnicos: dirección IP de las peticiones (usada temporalmente para limitar abusos) y registros estándar del servidor web. Se usan cookies de sesión y, si el comerciante lo elige, una cookie de "recordarme" de hasta un año, solo para mantener la sesión iniciada.
7. Con quién compartimos los datos
Con nadie. TiendaPagos no vende, alquila ni cede a terceros los datos de los comerciantes ni los datos obtenidos de Google; no los usa para publicidad ni los transfiere a intermediarios de datos ("data brokers").
El único tercero que interviene es el proveedor de alojamiento del servidor, como infraestructura técnica. Las personas del equipo de TiendaPagos solo acceden a datos cuando el comerciante lo solicita para soporte, cuando es necesario por seguridad (por ejemplo, investigar un abuso) o cuando lo exige la ley.
8. Uso Limitado de los datos de Google (Limited Use)
El uso que TiendaPagos hace de la información recibida de las API de Google se ajustará a la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado.
TiendaPagos' use of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements.
En concreto, respecto a los datos obtenidos de Gmail, TiendaPagos:
- Solo los usa para mostrar y registrar los pagos del comerciante (la función visible para el usuario).
- No los transfiere a terceros, salvo lo necesario para prestar esa función, por seguridad o por obligación legal.
- No los usa para publicidad ni para ninguna finalidad ajena a la descrita.
- No permite que personas los lean, salvo con tu consentimiento explícito, por seguridad, por obligación legal, o de forma agregada y anonimizada para operaciones internas.
9. Conservación y eliminación
- Los pagos registrados se conservan mientras exista la cuenta de la tienda, para que el comerciante disponga de su historial.
- Al eliminar una tienda se eliminan de forma definitiva todos sus pagos y datos asociados.
- Puedes solicitar la eliminación de tu cuenta y de todos tus datos escribiendo a jlondono2803@gmail.com; atendemos las solicitudes en un plazo máximo de 30 días.
- La lista de identificadores de mensajes procesados (en tu cuenta de Google) se renueva sola y nunca supera 300 entradas.
- Las etiquetas
NequiTienda/ProcesadoyNequiTienda/Errorquedan en tu Gmail bajo tu control; puedes eliminarlas cuando quieras.
10. Cómo revocar el acceso a tu cuenta de Google
Puedes retirar la autorización en cualquier momento, con efecto inmediato:
- Entra en https://myaccount.google.com/permissions, busca TiendaPagos y elige "Quitar acceso".
- Opcionalmente, en el editor de Apps Script ejecuta la función
stopGmailWatcho elimina el proyecto del script.
Tras revocar el acceso, TiendaPagos deja de recibir nuevas notificaciones. Los pagos ya registrados permanecen en tu historial hasta que solicites su eliminación.
11. Seguridad
- Toda la comunicación con tiendapagos.store va cifrada por HTTPS.
- La base de datos se almacena fuera del directorio web público y cuenta con copias de seguridad automáticas.
- Cada tienda tiene un secreto propio que debe acompañar cada notificación enviada al servidor; las notificaciones sin ese secreto se rechazan.
- Las contraseñas se guardan únicamente como hash; el servidor aplica cabeceras de seguridad (Content-Security-Policy, X-Frame-Options, entre otras) y límites de peticiones por dirección IP.
12. Datos de los pagadores (clientes de la tienda)
El nombre del pagador y la referencia que aparecen en la notificación de Nequi son datos personales de los clientes del comerciante. Se tratan conforme a la Ley 1581 de 2012 y el Decreto 1377 de 2013 de Colombia. A estos efectos, el comerciante actúa como responsable del tratamiento y TiendaPagos como encargado, que trata los datos únicamente por cuenta del comerciante y para la finalidad descrita. Los pagadores pueden ejercer sus derechos de acceso, rectificación y supresión a través del comerciante o escribiendo a jlondono2803@gmail.com.
13. Menores de edad
TiendaPagos está dirigido a comerciantes mayores de edad. No recopilamos deliberadamente datos de menores de 18 años.
14. Cambios en esta política
Si modificamos esta política, publicaremos la nueva versión en esta misma dirección y actualizaremos la fecha de vigencia. Si el cambio afecta de forma sustancial al uso de los datos de Google, lo comunicaremos al comerciante por correo electrónico antes de que entre en vigor.
15. Contacto
Para cualquier pregunta, solicitud o reclamación sobre privacidad: jlondono2803@gmail.com.
TiendaPagos Privacy Policy
Versión en español ↑This Privacy Policy explains what information TiendaPagos processes, for what purpose, where it is stored, with whom it is shared, and how you can exercise your rights. We pay particular attention to your Google Account data (Gmail), because TiendaPagos asks for your authorization to read only the payment-notification emails that Nequi sends to you.
1. Data controller and contact
Controller: TiendaPagos, operated by Johan Londoño (individual), Colombia.
Contact and support email: jlondono2803@gmail.com
Website: https://tiendapagos.store
This policy: https://tiendapagos.store/privacidad.html
2. What TiendaPagos is
TiendaPagos is a tool for brick-and-mortar stores in Colombia that accept payments through Nequi (Bre-B QR code). When a customer pays, Nequi sends a notification email to the merchant's Gmail inbox. TiendaPagos detects that email and shows the payment on the store's screen (with a voice or sound alert), keeps it in a payment history and, optionally, sends a daily summary. It also offers a simple point of sale (POS).
The component that accesses Gmail is a Google Apps Script that runs inside the merchant's own Google Account, under the merchant's explicit authorization through Google's consent screen. TiendaPagos has no access to the merchant's Google Account outside that script.
3. Google user data we access
TiendaPagos requests the Gmail scope https://www.googleapis.com/auth/gmail.modify. This permission is
used in a strictly limited way:
- The script only searches for and reads the official sale-notification emails that Nequi sends when your business receives a QR code (Bre-B) payment. No other email in the account is read, listed or processed.
-
The script registers a Gmail push notification subscription (
watch) so it learns immediately that new mail has arrived. That notification does not contain the content of any message; it only signals that there is new activity, after which the script re-runs the filtered search above. -
The script creates and applies two labels in the merchant's Gmail —
NequiTienda/ProcesadoandNequiTienda/Error— so the merchant can see which notifications have already been processed.
What we never do with your Gmail: we do not send email on your behalf; we do not delete, archive, forward or modify messages (other than applying the two labels above); we do not access your contacts, attachments, drafts or account settings.
4. How we use the data obtained from Gmail
From each Nequi payment-notification email, the script extracts only these fields:
| Field | Use |
|---|---|
| Payment amount | On-screen alert, history, totals and reports |
| Payer name | Show who paid in the alert and the history |
| Transaction reference | Avoid recording the same payment twice |
| Bank | History information |
| Payment date and time | History and daily summary |
Those fields are sent encrypted (HTTPS) from the script to the TiendaPagos server, shown to the merchant as a real-time alert and kept in the merchant's payment history. If the merchant enables it, a daily summary email is sent containing only the total and the number of payments for the day; it does not include payer names or references.
Gmail data is used exclusively to provide this feature to the merchant. It is not used for advertising, profiling, training models or any other purpose.
5. What we store and where
- On the TiendaPagos server (a SQLite database stored outside the public web directory): amount, payer name, reference, bank, payment date and record date of each processed notification, linked to the corresponding store.
- In the Script Properties (inside the merchant's Google Account): only the identifiers of the last 300 already-processed messages, to avoid processing them twice. No email content is stored there.
- We do not store email bodies, attachments, contacts, Google passwords or Google access tokens on the server.
6. Other data you provide
In addition to Gmail data, to provide the service we process:
- Store account data: business name, login email, password (stored only as a hash), daily-summary email, sound preferences and minimum amount, and the QR code image if the merchant configures one.
- Point-of-sale (POS) data: products, inventory and sales the merchant voluntarily records in their account.
- Technical data: the IP address of requests (used temporarily to limit abuse) and standard web-server logs. We use session cookies and, if the merchant chooses, a "remember me" cookie of up to one year, solely to keep the session signed in.
7. Who we share data with
No one. TiendaPagos does not sell, rent or transfer merchants' data or data obtained from Google to third parties; it does not use them for advertising and does not transfer them to data brokers.
The only third party involved is the server hosting provider, as technical infrastructure. TiendaPagos staff only access data when the merchant requests support, when necessary for security (for example, investigating abuse), or when required by law.
8. Limited Use of Google user data
TiendaPagos' use of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements.
Specifically, with regard to data obtained from Gmail, TiendaPagos:
- Only uses it to display and record the merchant's payments (the user-facing feature).
- Does not transfer it to third parties, except as necessary to provide that feature, for security purposes, or to comply with applicable law.
- Does not use it for advertising or for any purpose other than the one described.
- Does not allow humans to read it, except with your explicit consent, for security purposes, to comply with applicable law, or in aggregated and anonymized form for internal operations.
9. Retention and deletion
- Recorded payments are kept for as long as the store account exists, so the merchant has access to their history.
- Deleting a store permanently deletes all of its payments and associated data.
- You can request deletion of your account and all your data by writing to jlondono2803@gmail.com; requests are handled within 30 days at most.
- The list of processed message identifiers (in your Google Account) rolls over automatically and never exceeds 300 entries.
- The
NequiTienda/ProcesadoandNequiTienda/Errorlabels remain in your Gmail under your control; you can delete them at any time.
10. How to revoke access to your Google Account
You can withdraw your authorization at any time, with immediate effect:
- Go to https://myaccount.google.com/permissions, find TiendaPagos and choose "Remove access".
- Optionally, in the Apps Script editor run the
stopGmailWatchfunction or delete the script project.
After revoking access, TiendaPagos stops receiving new notifications. Payments already recorded remain in your history until you request their deletion.
11. Security
- All communication with tiendapagos.store is encrypted over HTTPS.
- The database is stored outside the public web directory and is backed up automatically.
- Each store has its own secret that must accompany every notification sent to the server; notifications without it are rejected.
- Passwords are stored only as hashes; the server applies security headers (Content-Security-Policy, X-Frame-Options, among others) and per-IP request limits.
12. Payer data (the store's customers)
The payer name and reference shown in the Nequi notification are personal data of the merchant's customers. They are processed in accordance with Colombia's Law 1581 of 2012 and Decree 1377 of 2013. For these purposes, the merchant acts as the data controller and TiendaPagos as the data processor, processing the data solely on the merchant's behalf and for the purpose described. Payers may exercise their rights of access, rectification and erasure through the merchant or by writing to jlondono2803@gmail.com.
13. Children
TiendaPagos is intended for adult merchants. We do not knowingly collect data from anyone under 18.
14. Changes to this policy
If we change this policy, we will publish the new version at this same address and update the effective date. If a change materially affects how Google user data is used, we will notify the merchant by email before it takes effect.
15. Contact
For any question, request or complaint about privacy: jlondono2803@gmail.com.