Política de Privacidad

Versión 1.0 — Última actualización: 12 de octubre de 2026

Preámbulo

En BoxItem entendemos que la información que nos confías es tuya — y la tratamos como tal. Esta Política de Privacidad describe de forma clara y completa qué datos personales recolectamos, para qué los usamos, cómo los protegemos, con quién los compartimos y cuáles son tus derechos sobre ellos.

Esta política aplica a todos los usuarios de BoxItem.app, a los visitantes que usan la demostración sin cuenta y a quienes donan a BoxItem (sección 4.2). Al registrarte, autorizas el tratamiento de tus datos conforme a lo aquí descrito con una casilla propia, separada de la aceptación de los Términos y Condiciones.

Compromiso fundamental: Los datos de tu inventario — la ubicación de tus bodegas, las imágenes y descripciones de tus artículos — son privados. Jamás se venden y jamás se usan con fines publicitarios. Solo salen de BoxItem en los casos limitados de la sección 7, por ejemplo, hacia un proveedor de IA cuando tú lo autorizas. Solo se usan para entrenar modelos de inteligencia artificial si tú lo autorizas expresamente (secciones 6.3 y 6.8).

1. Responsable del Tratamiento

El responsable del tratamiento de tus datos personales es:

Nombre: Daniel Martínez (persona física)
Domicilio: Costa Rica
Correo de privacidad: [email protected]
Correo general: [email protected]
Teléfono / WhatsApp: +506 6395-4505
Sitio web: https://boxitem.app

2. Marco Legal Aplicable

El tratamiento de datos personales en BoxItem se realiza conforme a la Ley 8968 — "Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales" de Costa Rica — y su Reglamento (Decreto Ejecutivo N.° 37554-JP y sus reformas). Es la ley aplicable por el domicilio del operador y la ubicación de los servidores.

BoxItem todavía no se ofrece en la Unión Europea, el Espacio Económico Europeo, Suiza ni el Reino Unido (sección 3.1). Si usas BoxItem desde otro país, BoxItem respetará además los derechos que te reconozca la ley de tu país, en lo que corresponda.

En caso de conflicto entre normativas, se aplicará la que ofrezca mayor protección al usuario afectado.

3. Datos Personales que Recolectamos

3.1 Datos que el Usuario nos proporciona directamente

Nombre y apellidos (o nombre de perfil).
Correo electrónico.
País de residencia (obligatorio). BoxItem todavía no está disponible en la Unión Europea, el Espacio Económico Europeo, Suiza ni el Reino Unido, y la lista del registro no incluye esos países.
Tu declaración de ser mayor de 18 años, que haces al aceptar los Términos y Condiciones.
Fotografía de perfil (opcional; si usa registro con Google, se importa la foto de la cuenta de Google).
Contraseña (almacenada de forma cifrada; BoxItem no tiene acceso al texto plano).
Información de los ítems del inventario: nombre, descripción, etiquetas, serial, estado físico, precio, peso, dimensiones, cantidad, fechas de compra y vencimiento, notas personalizadas.
Imágenes de los ítems del inventario cargadas por el usuario. Se guardan reducidas, sin metadatos y con los rostros y las placas de vehículos detectados difuminados (sección 6.5).
Información de las bodegas: nombre, descripción, y datos de ubicación opcionales (dirección, coordenadas GPS) en la medida en que el usuario decida proporcionarlos. La dirección de una bodega es la del lugar donde guardas cosas, que no tiene por qué ser tu casa. Nunca se envía a proveedores de IA.
Lo que envías a las funciones de IA: fotos, videos cortos, textos y órdenes por voz (ver sección 6).
Tus decisiones: la aceptación de los Términos, la autorización de esta política, la IA en la nube, los modelos gratuitos, la revisión de tus análisis y los correos de avisos de IA (sección 6.3).
Datos del Saldo de IA, si BoxItem te acreditó uno: consumo y saldo disponible.
Si apoyas a BoxItem: si quieres aparecer en el muro de gracias y el nombre que eliges para mostrar ahí (alias) (sección 4.2).
Lo que nos cuentas en Mi cuenta → Tu opinión (ideas, cosas que fallaron u otras), las respuestas que intercambias con nosotros y, si cierras tu cuenta, las razones o el comentario que quieras dejar (sección 4.5).

Son obligatorios el nombre, el correo, el país, la contraseña (salvo que entres con Google) y las dos casillas de aceptación. Todo lo demás es opcional. Sin los datos obligatorios no se puede crear la cuenta.

3.2 Datos que recolectamos automáticamente

Dirección IP de origen de las solicitudes a los servidores, usada para seguridad (detección de intentos de acceso no autorizado y bloqueo temporal) y, al registrarte, para saber desde qué país te conectas (sección 3.1).
Fecha y hora del último inicio de sesión.
Registro de acciones sobre el inventario (AuditLog): tipo de acción, elemento afectado, estado anterior y posterior, timestamp e IP. Solo visible para el propietario de la cuenta.
Datos técnicos de sesión: tokens JWT y refresh tokens (identificadores de sesión).
Registro de tus decisiones (sección 6.3): de qué se trata, si la diste o la retiraste, la versión del texto, la fecha, la dirección IP y el navegador.
Registro de cada uso de la IA: fecha, tipo de trabajo, modelo y proveedor que lo procesó, país del proveedor, cantidad procesada (tokens), costo y valor descontado. No incluye lo que enviaste ni lo que respondió la IA (ver sección 6.6).
Tu código de donador: un código corto que BoxItem le asigna a tu cuenta para relacionar tus donaciones (sección 4.2).

3.3 Datos recolectados mediante servicios de terceros

Google OAuth: si el usuario elige registrarse o iniciar sesión con Google, BoxItem recibe de Google el nombre, correo electrónico y fotografía de perfil asociados a la cuenta de Google del usuario. No se reciben ni almacenan contraseñas de Google.
Google Analytics: si se habilita, recolectará datos de navegación anonimizados (páginas visitadas, tiempo en el sitio, tipo de dispositivo). Se notificará a los usuarios cuando se active.
Cloudflare: BoxItem usa Cloudflare para el DNS, el enrutamiento del tráfico y la protección contra ataques. Cloudflare procesa la dirección IP de cada visita y le indica a BoxItem el país desde el que se conecta. Cloudflare tiene su propia política de privacidad.
Ko-fi: si donas, Ko-fi le avisa a BoxItem de tu donación con los datos de la sección 4.2. Es un camino de una sola vía: BoxItem no le envía nada a Ko-fi.

3.4 Demostración de IA sin cuenta

En la página principal puedes probar la IA sin crear una cuenta. En la demostración:

Antes del primer análisis te mostramos unas condiciones breves, que tienes que aceptar. Tu navegador recuerda que las aceptaste.
Es anónima: no te pedimos nombre ni correo.
Se usa solo el modelo de IA de los servidores de BoxItem en Costa Rica. Nada se envía a proveedores externos ni sale del país.
La foto se analiza en memoria y se descarta al terminar. No se guarda en nuestros servidores ni se asocia a ninguna cuenta.
Para evitar abusos, se usa tu dirección IP para limitar la cantidad de análisis por día (hoy, 2). En nuestros servidores solo guardamos la IP con la cantidad de usos, y se borra a más tardar a los 7 días.
Los ítems que la IA detecta se guardan solo en tu navegador (almacenamiento local), no en nuestros servidores. Si creas una cuenta desde ese navegador, se agregan a tu primera bodega como inventario inicial. Si no, puedes borrarlos limpiando los datos del sitio en tu navegador (Política de Cookies, sección 2.2).

Te pedimos no fotografiar personas, documentos ni pantallas con datos personales, igual que en el resto de BoxItem (sección 6.5).

3.5 Datos que NO recolectamos

BoxItem no recolecta ni almacena:

Datos de tarjetas de crédito o débito ni otros datos de pago. BoxItem no cobra por el Servicio. Las donaciones se pagan en Ko-fi, a través de PayPal o Stripe: BoxItem nunca ve los datos de tu tarjeta ni de tu cuenta de PayPal.
Documentos de identidad.
Datos biométricos. BoxItem detecta rostros y placas en las fotos solo para difuminarlos: no identifica a las personas ni guarda ningún dato de sus rostros.
Datos de salud ni otros datos sensibles.

Si una foto que subes muestra por accidente alguno de estos datos, BoxItem no los extrae ni los usa. Te pedimos evitar esas fotos (sección 6.5).

4. Finalidades del Tratamiento de Datos

Tratamos tus datos personales únicamente para las siguientes finalidades, todas ellas necesarias para la prestación del Servicio o para cumplir con obligaciones legales, salvo las que dependen de una autorización tuya aparte:

4.1 Prestación del Servicio

Crear y gestionar tu cuenta de usuario.
Permitirte organizar, catalogar y gestionar tu inventario de artículos.
Procesar con inteligencia artificial las fotos, videos, textos y órdenes por voz que envías, para proponerte ítems, buscar en tu inventario y ejecutar las órdenes que confirmes.
Llevar la cuenta de tu asignación mensual de IA y de tu Saldo de IA, y avisarte de tu consumo.
Atender tus solicitudes de revisión de un análisis (sección 6.7).
Habilitar el acceso colaborativo con otras cuentas que tú invites.
Publicar los comentarios que escribes en las vitrinas públicas que los permiten, con tu nombre para mostrar, y revisarlos antes con la lista de palabras y un modelo de IA que corre en nuestros servidores en Costa Rica (nunca en la nube). Al dueño de la vitrina le avisamos de cada comentario nuevo.
Gestionar las transferencias de bodegas entre cuentas.
Enviar notificaciones in-app y por correo electrónico sobre eventos de tu cuenta (según tu configuración de preferencias).

4.2 Donaciones

BoxItem no cobra por el Servicio y no procesa pagos. Quien quiere apoyarlo puede hacer una donación voluntaria en Ko-fi, una plataforma de terceros con sus propias condiciones y su propia política de privacidad (Términos y Condiciones, sección 6.3).

La información de BoxItem nunca se envía a Ko-fi ni a ninguna otra plataforma de donaciones. Ni tu nombre, ni tu correo, ni tu inventario, ni nada de tu cuenta. Lo único que viaja es el código de donador que tú mismo pegas en el mensaje de Ko-fi, si quieres que la donación quede a tu nombre. Ese código no dice nada de ti fuera de BoxItem.

Lo que haces en Ko-fi (el pago, tu cuenta de Ko-fi y lo que Ko-fi muestra en su página) se rige por las condiciones de Ko-fi, y el pago lo procesan PayPal o Stripe. BoxItem nunca ve los datos de tu tarjeta ni de tu cuenta de PayPal.

Lo que Ko-fi nos avisa

Cuando alguien dona, Ko-fi le avisa a BoxItem con estos datos:

el nombre que pusiste en Ko-fi;
tu correo;
el monto y la moneda;
el tipo de pago y si es una donación mensual;
el mensaje que escribiste.

Ko-fi también manda otros datos (por ejemplo, de su tienda o de Discord) que BoxItem no usa ni guarda.

Para qué lo usamos

Relacionar la donación con tu cuenta: primero por el código de donador del mensaje y, si no lo trae, por tu correo, si coincide con el correo verificado de una cuenta.
Agradecerte: un aviso en la Plataforma y, si tienes esos correos activados, un correo. Si tienes una donación mensual, te escribimos cada mes para agradecerte. Puedes apagar esos correos en tus preferencias de correo (Mi cuenta → Notificaciones por correo).
Sumar al fondo común de las metas de la comunidad y calcular tu medalla.
Detectar donaciones duplicadas o con errores y devolverlas cuando corresponde.

El mensaje se usa solo para buscar el código y no se guarda. Estos datos no se usan para publicidad ni se comparten con nadie. Si dejas de donar, no te escribimos para pedirte que vuelvas.

Lo que se publica, solo si tú quieres

Por defecto, nada: tu medalla y lo que llevas donado solo los ves tú. Si marcas la casilla "Aparecer en el muro de gracias", se muestran el nombre que eliges para el muro (alias) y tu medalla en el muro de gracias y en el Top 100, que solo ven las cuentas registradas, y en las vitrinas públicas que compartas. Nunca se publica cuánto donaste.

Tu alias se revisa antes de publicarlo con una lista de palabras y con un modelo de IA que corre en los servidores de BoxItem en Costa Rica: no se envía a proveedores externos (Términos y Condiciones, sección 6.6).

Puedes quitar la casilla en cualquier momento en "Apoyar BoxItem", y desapareces del muro, del Top 100 y de tus vitrinas al momento.

Cuánto tiempo lo guardamos

De cada donación guardamos el monto, la moneda, la fecha, el tipo, si es mensual y a qué cuenta quedó relacionada. Se conserva como registro contable mientras exista tu cuenta y, después, el tiempo que exija la ley.
Si una donación no se pudo relacionar con una cuenta, guardamos el nombre y el correo que llegaron de Ko-fi solo para relacionarla a mano, y los borramos a los 90 días, o antes si se relaciona.
El mensaje no se guarda.
El alias y la casilla del muro, mientras exista tu cuenta o hasta que los cambies.

Tus derechos sobre estos datos

Puedes pedir acceso, rectificación o supresión de los datos de tus donaciones como con el resto de tus datos (sección 9). Si no tienes cuenta en BoxItem y donaste, también puedes escribir a [email protected].

4.3 Seguridad

Detectar y prevenir accesos no autorizados mediante el registro de IPs y bloqueo temporal ante intentos fallidos.
Prevenir el abuso de la IA (por ejemplo, la pausa de 30 minutos tras fallas repetidas) y de la demostración sin cuenta.
Mantener el registro de auditoría de acciones sobre tu inventario.
Verificar la identidad del usuario al recuperar contraseñas.

4.4 Cumplimiento legal

Cumplir con requerimientos de la Ley 8968 de Costa Rica y normativas aplicables, incluida la prueba de tus consentimientos.
Comprobar que BoxItem no se ofrece en los países donde todavía no está disponible.
Responder a solicitudes legales de autoridades competentes cuando sea obligatorio por ley.

4.5 Mejora del Servicio

BoxItem puede analizar patrones de uso del Servicio de forma agregada y anonimizada, de manera que no sea posible identificar a usuarios individuales, con el fin de mejorar las funcionalidades y la experiencia de uso.

Solo si lo autorizas aparte (sección 6.8), BoxItem revisa tus análisis para mejorar la IA.

Lo que escribes en Tu opinión, y lo que respondes al cerrar tu cuenta, lo lee el equipo de BoxItem para corregir y mejorar el Servicio. No se publica ni se comparte. Para entenderlo mejor, una IA resume lo que escribes en Tu opinión y te muestra el resumen para que lo confirmes o lo corrijas. Lo hace por la misma ruta de la sección 6: primero un modelo en nuestros servidores en Costa Rica; los modelos gratuitos o la IA en la nube fuera de Costa Rica, solo si los autorizaste (sección 6.3). No se descuenta de tu uso de IA. Lo que respondes al cerrar tu cuenta no pasa por ninguna IA. Podemos responderte ahí mismo, y te avisamos con la campanita y por correo solo si tienes encendida esa opción en Mi cuenta → Notificaciones.

BoxItem NO utiliza tus datos personales para publicidad dirigida, venta de perfiles, ni para ningún fin distinto a los aquí listados.

5. Base Legal para el Tratamiento

El tratamiento de tus datos personales se basa en lo siguiente:

Consentimiento (art. 5 Ley 8968): al registrarte autorizas el tratamiento descrito en esta política con una casilla propia, separada de la aceptación de los Términos. Incluye los registros de seguridad (IP e intentos de acceso) y el registro de tus decisiones. Puedes retirarlo eliminando tu cuenta.
Consentimientos separados y opcionales (arts. 5 y 14 Ley 8968): para la IA en la nube, para los modelos gratuitos y para la revisión de tus análisis. Cada uno tiene su propia casilla, desmarcada, y se da o se retira en cualquier momento en Cuenta → IA, sin cerrar tu cuenta (secciones 6.3 y 6.8).
Donaciones: los datos que Ko-fi nos avisa se tratan porque tú decidiste donar, solo para los fines de la sección 4.2. Aparecer en el muro de gracias es un consentimiento aparte, con su propia casilla desmarcada, que retiras en cualquier momento en "Apoyar BoxItem".
Obligación legal: ciertos tratamientos pueden ser requeridos por la legislación costarricense aplicable.

6. Tratamiento Especial: Inteligencia Artificial

Las fotos que subes a BoxItem pueden mostrar el interior de tu casa, tu negocio o tu bodega. Por eso explicamos aquí, en detalle, qué hace la IA con tus datos, dónde se procesan y cómo puedes decidir sobre ellos.

6.1 Qué hace la IA y qué datos usa

La IA solo trabaja cuando tú la usas. Cada función usa estos datos:

Analizar fotos (una o varias seguidas): la foto. Con ella, la IA propone los ítems que se ven, con nombre, descripción, etiquetas y cantidad.
Analizar videos cortos (cuando esta función esté disponible para tu cuenta): hasta 8 cuadros del video, que se analizan como fotos.
Proponer la forma de una bodega: las fotos del espacio que envías y, si pides una corrección, el texto de la corrección.
Agregar ítems con un texto: el texto que escribes o dictas.
Órdenes por voz o por texto y búsqueda en lenguaje natural (por ejemplo, "¿dónde está el taladro?"): el texto de la orden y los datos de tu inventario necesarios para responderla, como nombres, cantidades y en qué bodega y contenedor está cada ítem. No incluye la dirección ni las coordenadas GPS de tus bodegas.
Búsqueda por significado: los textos de tus ítems se convierten en representaciones numéricas ("embeddings") en los servidores de BoxItem en Costa Rica. Este cálculo nunca sale del país.

Lo que se envía a un proveedor de IA nunca incluye tu nombre, tu correo ni el identificador de tu cuenta.

Todo lo que propone la IA lo revisas tú antes de guardarlo. Las órdenes que cambian datos siempre piden tu confirmación. BoxItem no toma decisiones automatizadas que te afecten: la IA solo sugiere.

Dictado por voz. Cuando usas el botón de voz de BoxItem, la Plataforma graba el audio y lo convierte en texto en los servidores de BoxItem en Costa Rica. Si ese proceso no está disponible y autorizaste la IA en la nube, el audio puede enviarse a un proveedor de la sección 6.4 solo para convertirlo en texto. El audio se borra en cuanto se obtiene el texto.

Si en lugar del botón de BoxItem usas el dictado del teclado de tu teléfono o de tu navegador, ese dictado no es parte de BoxItem: según el fabricante, el audio puede enviarse a sus servidores, bajo sus propias políticas. BoxItem solo recibe el texto resultante y no controla ese envío.

6.2 Dónde se procesa: primero en Costa Rica

Cada análisis se procesa primero en los servidores de BoxItem en Costa Rica, con un modelo de IA que corre en esos servidores. En este caso tus datos no salen del país.
Si esos servidores están ocupados o no disponibles, el análisis puede ir a un modelo gratuito o a la IA en la nube, solo si autorizaste esa vía (sección 6.3). Cuando el análisis se descuenta de tu Saldo de IA, se prefiere la IA en la nube. Si no autorizaste ninguna, o no hay capacidad, el análisis espera su turno en Costa Rica, y te mostramos la posición en la fila y un tiempo estimado.
Si no autorizaste ninguna vía, todo se procesa solo en Costa Rica. Las funciones son las mismas, pero pueden tardar más.
La demostración sin cuenta de la página principal usa siempre y únicamente los servidores de Costa Rica (sección 3.4).

El orden completo está en la sección 7.2 de los Términos y Condiciones.

6.3 Tus autorizaciones para enviar datos fuera de Costa Rica

Enviar tus datos a un proveedor de IA fuera de Costa Rica requiere tu consentimiento expreso, separado de la aceptación de esta política. Hay dos autorizaciones distintas, cada una con su propia casilla, opcional y desmarcada.

IA en la nube

Se pide al registrarte y en Cuenta → IA.
Al marcarla, autorizas que, cuando los servidores de BoxItem en Costa Rica estén ocupados o no disponibles, las fotos y textos que mandes a la IA se envíen a los proveedores de IA en la nube de la sección 6.4, en los países indicados, con el único fin de procesar el trabajo que pediste. Estos proveedores no los usan para entrenar sus modelos. Antes de enviarlos, BoxItem les quita a las fotos los datos ocultos del archivo (como la ubicación y la fecha), difumina los rostros y las placas de vehículos que aparezcan, y no manda tu nombre ni tu correo.

Modelos gratuitos

Se pide en Cuenta → IA, o la primera vez que los servidores de BoxItem están ocupados. En ese caso te preguntamos una sola vez, antes de subir nada. Si respondes que no, guardamos tu respuesta y no te volvemos a preguntar; puedes cambiarla en Cuenta → IA.
Al marcarla, autorizas que, cuando los servidores de BoxItem estén ocupados o no disponibles, las fotos y textos que mandes a la IA se envíen a los modelos gratuitos de la sección 6.4. Esos proveedores pueden guardarlos, usarlos para entrenar sus modelos y hacerlos revisar por personas, según sus propios términos. Antes de enviarlos, BoxItem les quita a las fotos los datos ocultos del archivo (como la ubicación y la fecha), difumina los rostros y las placas de vehículos que aparezcan, y no manda tu nombre ni tu correo.
Cada análisis por un modelo gratuito cuenta igual en tu asignación de IA.

Reglas para las dos

Si no das ninguna, no pasa nada más: puedes usar todas las funciones de IA, que se procesarán solo en Costa Rica y pueden tardar más.
Puedes retirar cualquiera en cualquier momento en Cuenta → IA, de forma gratuita y sin cerrar tu cuenta. Desde ese momento, ningún trabajo nuevo se envía por esa vía. El retiro no tiene efecto retroactivo: lo que ya se envió no se puede recuperar, y en el caso de los modelos gratuitos el proveedor puede haberlo guardado o usado para entrenar.
Si un proveedor no está permitido para el país donde vives, no se usa contigo.

Registro de tus decisiones

Cada vez que aceptas los Términos, autorizas esta política o das o retiras una de las autorizaciones de esta sección o de la sección 6.8, guardamos de qué se trata, si la diste o la retiraste, la versión del texto que viste, la fecha, la dirección IP y el navegador. Lo guardamos mientras exista tu cuenta, como prueba de tu decisión, y puedes pedir una copia (sección 9.1).

6.4 Proveedores de IA y países

Esta es la lista completa y vigente de quienes pueden procesar tus datos con IA:

Servidores de BoxItem — País: Costa Rica · Cuándo se usan: siempre primero; son los únicos si no autorizaste la IA en la nube ni los modelos gratuitos, y los únicos en la demostración sin cuenta · Qué reciben: los datos de la sección 6.1 · ¿Entrena con tus datos?: No, salvo que autorices la revisión de tus análisis (sección 6.8).
Google LLC, API de Gemini (modalidad de pago) — Tipo: IA en la nube · País: Estados Unidos. Según sus términos, Google puede guardar los datos de forma transitoria o en caché en otros países donde tiene instalaciones · Cuándo se usa: solo si autorizaste la IA en la nube y los servidores de Costa Rica están ocupados · Qué recibe: la foto ya protegida (sección 6.5), el texto de tu orden y los datos del inventario necesarios para responderla · ¿Entrena con tus datos?: No. En la modalidad de pago, Google se compromete a no usar las solicitudes ni las respuestas para mejorar sus productos, y las conserva por un tiempo limitado solo para detectar abusos y cumplir obligaciones legales.
Google LLC, API de Gemini (modalidad gratuita) — Tipo: modelo gratuito · País: Estados Unidos; Google puede procesar los datos en otros países donde tiene instalaciones · Cuándo se usa: solo si autorizaste los modelos gratuitos y los servidores de Costa Rica están ocupados · Qué recibe: lo mismo que la modalidad de pago · ¿Entrena con tus datos?: Sí, puede. En la modalidad gratuita, Google usa lo que recibe y lo que responde para prestar, mejorar y desarrollar sus productos, y personas revisoras pueden leerlo, anotarlo y procesarlo.

Reglas que siempre se cumplen:

Ningún proveedor de IA recibe tu nombre, tu correo ni el identificador de tu cuenta.
Los modelos gratuitos solo se usan con quien los autorizó (sección 6.3).
Si un proveedor no está permitido para el país donde vives, no se usa contigo.
Mantenemos esta lista al día. Si se agrega un proveedor, actualizamos esta sección y avisamos por correo a quienes autorizaron esa vía, con el enlace a Cuenta → IA para retirar la autorización. El proveedor nuevo solo recibe tus datos 7 días después de ese aviso. No te pedimos la autorización otra vez: si no estás de acuerdo, puedes retirarla en cualquier momento.

6.5 Cómo protegemos tus fotos

Toda foto que BoxItem guarda o envía a analizar (la de un ítem, la que envías a analizar y tu foto de perfil) pasa antes por los servidores de BoxItem en Costa Rica, que:

La reducen (como máximo 1600 píxeles por lado).
Le quitan todos los metadatos: fecha, ubicación GPS, modelo del teléfono y cualquier otro dato del archivo.
Detectan los rostros y las placas de vehículos y los difuminan.

Lo que se guarda, se muestra y se incluye cuando exportas tus datos es esa versión protegida: BoxItem no conserva la foto original.

Si en ese momento el proceso no está disponible, la foto se guarda igual, ya sin metadatos, y los rostros y placas se difuminan automáticamente en cuanto el proceso vuelve a funcionar. Una foto que no se pudo proteger nunca sale de Costa Rica: espera su turno en los servidores de BoxItem.

La detección automática no es perfecta. Puede no encontrar todos los rostros o placas, y no detecta documentos, pantallas, tarjetas ni papeles con datos, que quedan tal como se tomaron. Por eso te pedimos no fotografiar personas, documentos de identidad, tarjetas, recibos, ni pantallas o papeles con datos personales. Si una foto muestra algo de esto, recórtala o tómala de nuevo antes de subirla o analizarla.

6.6 Registro de cada procesamiento

Cada vez que la IA procesa algo tuyo, BoxItem registra la fecha, el tipo de trabajo, el modelo y el proveedor que lo procesó, el país del proveedor, la cantidad procesada (tokens), el costo y el valor descontado. Este registro no guarda lo que enviaste ni lo que respondió la IA. Así puedes saber en cualquier momento a quién se enviaron tus datos:

En Cuenta → IA ves los proveedores que pueden recibir tus datos y qué autorizaciones tienes activas.
Si escribes a [email protected], te enviamos la lista completa de tus procesamientos, con el proveedor y el país de cada uno (sección 9.1).

6.7 Cuánto tiempo guardamos lo relacionado con la IA

Fotos que guardas en un ítem: se guardan como imagen del ítem, ya protegidas (sección 6.5), en los servidores de BoxItem en Costa Rica, mientras la cuenta esté activa. Al eliminar el ítem (o cuando se vacía la papelera, a los 30 días), se elimina su imagen. Al cancelar la cuenta, se eliminan a las 48 horas (sección 10).
Lo que envías a analizar: la copia completa de la foto o del cuadro de video que vio la IA se guarda 30 días, para mostrarte la revisión y atender lo que reportes. Después, y hasta cumplir 2 años, solo se guardan una miniatura de esa imagen y un resumen del texto de hasta 300 caracteres, para que puedas pedirnos que revisemos un análisis. Pasados los 2 años, se borra todo. El video completo se borra en cuanto se extraen sus cuadros.
Audio de las órdenes por voz: se borra en cuanto se obtiene el texto. Nunca se guarda el audio, solo el resumen de lo transcrito.
Si autorizaste la revisión (sección 6.8): la foto completa de tus análisis se conserva mientras dure ese permiso. Si lo retiras, se aplican los plazos anteriores.
Registro de procesamientos (sección 6.6): se conserva 2 años. Si borras tu cuenta antes, se conserva hasta completar ese plazo sin tu nombre ni tu correo.
Al borrarse tu cuenta, tus análisis (fotos, miniaturas y resúmenes) se borran con ella.
Proveedores de IA en la nube: conservan los datos solo el tiempo limitado que indican sus términos para detectar abusos y cumplir la ley (sección 6.4).
Modelos gratuitos: el proveedor puede conservar lo que recibió y usarlo según sus propios términos. BoxItem no puede pedirle que lo borre.

6.8 Revisión de tus análisis por BoxItem

En Cuenta → IA puedes marcar la casilla opcional "Permitir que BoxItem revise mis análisis". Viene desmarcada.

Si la marcas, BoxItem puede ver tus análisis (la foto que vio la IA, lo que propuso y lo que guardaste) para evaluar y mejorar la IA de BoxItem: ajustar sus instrucciones, elegir modelos, armar conjuntos de prueba y entrenar o ajustar el modelo propio de BoxItem, que corre en Costa Rica. Esos análisis no se venden ni se comparten con proveedores externos.
Si no la marcas, BoxItem no mira tus análisis para mejorar la IA. Para mejorarla solo usa estadísticas agregadas y anónimas, como el porcentaje de propuestas que se aceptan sin cambios (sección 4.5).
Puedes retirarla en cualquier momento en Cuenta → IA.

Aparte de esto, el operador de BoxItem accede a tus análisis únicamente para resolver un problema que reportes, atender una solicitud de revisión, investigar una falla o un abuso, o cumplir una obligación legal.

6.9 Asistentes de IA externos conectados por MCP

Si conectas a tu cuenta un asistente de otro proveedor (por ejemplo Claude, ChatGPT u otro compatible con MCP), ocurre lo siguiente:

Qué sale de BoxItem. Lo que el asistente pida dentro de los permisos que le diste: tus bodegas, contenedores, ítems (nombres, notas, cantidades, precios, fechas, etiquetas), las fotos de los ítems que pida ver y su ubicación. Si le preguntas por BoxItem mismo (costos, donaciones, límites), también lo que ves en "Apoyar BoxItem" sobre ti: tu código de donador, tu medalla, si tu donación mensual está activa, lo que llevas donado y los límites de tu cuenta; nunca lo que donaron otras personas ni lo recaudado. Las fotos se entregan sin metadatos y con los rostros difuminados, mediante enlaces o imágenes que vencen en poco tiempo.
A quién. Al proveedor de ese asistente, que actúa como responsable de lo que recibe y lo trata según su propia política de privacidad. BoxItem no lo controla una vez entregado. Solo se entrega lo que tú puedes ver: nunca datos de otras personas, ni de bodegas a las que tu conexión no llega.
Tu decisión. La conexión es opcional. Al permitirla se registra tu consentimiento (con fecha, versión del texto y dirección IP, igual que las autorizaciones de la IA en la nube). Puedes elegir solo lectura o también cambios, limitarla a ciertas bodegas y desconectarla cuando quieras en Cuenta → Conexiones.
Qué guardamos nosotros. Tus conexiones (qué asistente, desde cuándo, con qué permisos y cuándo se usó por última vez) y las llaves de acceso solo como huella irreversible. Contadores diarios por conexión (llamadas, cambios, errores y esperas), sin guardar qué pediste. El historial de cambios que hizo el asistente, con su nombre, para que puedas verlos y deshacerlos. Los contadores se borran a los 90 días, las llaves vencidas a los 30 y las propuestas de plano pendientes a las 24 horas.
Enlaces de fotos. Un enlace para subir fotos funciona sin iniciar sesión y solo guarda el hash de su código. Las fotos que se suban pasan por el mismo saneamiento que las demás.
Qué no hace BoxItem. No usa lo que tu asistente lea o escriba para entrenar modelos ni lo comparte con otros proveedores.

7. Compartición de Datos con Terceros

BoxItem comparte datos personales con terceros únicamente en los siguientes casos limitados:

7.1 Proveedores de servicios esenciales

Compartimos datos con terceros que prestan servicios necesarios para operar BoxItem:

Proveedores de IA en la nube (sección 6.4): solo si autorizaste la IA en la nube. Reciben la foto ya protegida, el texto de tu orden y los datos del inventario necesarios para cada trabajo, únicamente para procesarlo. No reciben tu nombre, tu correo ni el identificador de tu cuenta.
Proveedores de modelos gratuitos (sección 6.4): solo si los autorizaste. Reciben lo mismo que la IA en la nube, y pueden guardarlo, usarlo para entrenar sus modelos y hacerlo revisar por personas.
Cloudflare: procesa las IPs como parte del enrutamiento y la protección del sitio.
Google (OAuth): si el usuario inicia sesión con Google, Google conoce que ese usuario accedió a BoxItem.

7.2 Requerimientos legales

BoxItem puede divulgar datos personales cuando sea requerido por ley, resolución judicial o autoridad competente costarricense, y únicamente en la medida estrictamente necesaria para cumplir con dicho requerimiento. En la medida de lo legalmente posible, notificaremos al usuario afectado.

7.3 Lo que jamás hacemos

BoxItem no vende, arrienda ni cede los datos de tu inventario (artículos, bodegas, imágenes, ubicaciones) a ningún tercero, bajo ninguna circunstancia. Aparte de lo que tú decidas compartir (con colaboradores o en una vitrina pública), solo salen de BoxItem cuando autorizas la IA en la nube o los modelos gratuitos (sección 6.3), o por un requerimiento legal (sección 7.2). Tampoco usamos tus datos para publicidad dirigida ni para construir perfiles comerciales.

BoxItem nunca envía información de la Plataforma a Ko-fi ni a ninguna otra plataforma de donaciones: solo recibe sus avisos (sección 4.2).

8. Transferencias Internacionales de Datos

Tus datos se guardan en los servidores de BoxItem en Costa Rica. Solo salen del país en los casos de la sección 7.1, y en particular cuando autorizas la IA en la nube o los modelos gratuitos.

IA en la nube y modelos gratuitos. Si los autorizaste, los datos de la sección 6.1 pueden enviarse a los proveedores de la sección 6.4, en los países que ahí se indican. Este envío se basa en tu consentimiento expreso y separado (sección 6.3), conforme a los artículos 5 y 14 de la Ley 8968, y puedes retirarlo en cualquier momento en Cuenta → IA. Sin ese consentimiento, tus datos de IA no salen de Costa Rica.

Para reducir los riesgos de estos envíos, BoxItem:

Procesa primero en los servidores de Costa Rica, y solo usa los proveedores externos si estos están ocupados.
Reduce las fotos, les quita los metadatos y difumina los rostros y las placas antes de guardarlas y antes de enviarlas (sección 6.5).
No envía tu nombre, tu correo, el identificador de tu cuenta ni la dirección o las coordenadas de tus bodegas.
Usa los modelos gratuitos solo con quien los autorizó sabiendo que pueden entrenar con los datos.
Registra a qué proveedor y a qué país se envió cada trabajo (sección 6.6).

Otros servicios. Google (inicio de sesión con Google) y Cloudflare (enrutamiento y protección) también pueden procesar datos fuera de Costa Rica, en los términos de la sección 7.1.

9. Derechos del Usuario sobre sus Datos

De conformidad con la Ley 8968 de Costa Rica y otras normativas aplicables, tienes los siguientes derechos sobre tus datos personales:

9.1 Derecho de acceso

Puedes solicitar una copia completa de los datos personales que BoxItem tiene sobre ti. Esto incluye saber a quién se enviaron (la lista de tus procesamientos con IA, con el proveedor y el país de cada uno, sección 6.6) y el registro de tus decisiones (sección 6.3).

9.2 Derecho de rectificación

Puedes corregir datos incorrectos o desactualizados directamente desde la sección "Mi Cuenta" de la Plataforma, o solicitando la corrección a [email protected].

9.3 Derecho de supresión ("derecho al olvido")

Puedes solicitar la eliminación de tus datos personales. Al cancelar tu cuenta, tus datos se conservan 48 horas por si quieres recuperarla (te avisamos por correo unas 20 horas antes) y después se eliminan definitivamente, salvo lo indicado en la sección 10. También puedes solicitar la eliminación de datos específicos sin cancelar tu cuenta, en la medida en que ello no impida la prestación del Servicio.

9.4 Derecho de oposición

Puedes oponerte al tratamiento de tus datos para finalidades específicas, como el análisis agregado de uso del Servicio, sin que ello afecte el uso básico de BoxItem.

9.5 Derecho de portabilidad

Puedes solicitar la exportación de los datos de tu inventario en un formato estructurado y legible (JSON o CSV). BoxItem facilitará esta exportación dentro del plazo de 30 días desde la solicitud.

9.6 Derecho a revocar el consentimiento

Puedes retirar tu consentimiento en cualquier momento eliminando tu cuenta. La revocación no afecta la licitud del tratamiento realizado antes de la misma.

Tus autorizaciones para la IA en la nube, los modelos gratuitos y la revisión de tus análisis se retiran por separado, sin cerrar la cuenta: en Cuenta → IA, de forma gratuita y en cualquier momento. Desde ese momento, ningún trabajo nuevo se envía por esa vía y la IA sigue funcionando con lo que sigas autorizando (como mínimo, los servidores de Costa Rica). También puedes pedirlo a [email protected].

El permiso para aparecer en el muro de gracias también se retira por separado, en "Apoyar BoxItem", y desapareces al momento (sección 4.2).

9.7 Derecho de reclamación ante PRODHAB

Si consideras que el tratamiento de tus datos infringe la Ley 8968 de Costa Rica, tienes derecho a presentar una reclamación ante la Agencia de Protección de Datos de los Habitantes (PRODHAB), disponible en www.prodhab.go.cr.

9.8 Cómo ejercer tus derechos

Para ejercer cualquiera de los derechos anteriores, envía tu solicitud a [email protected] indicando tu nombre, correo registrado y el derecho que deseas ejercer. BoxItem responderá dentro de los 5 días hábiles siguientes a la recepción de la solicitud completa, conforme al plazo establecido en la Ley 8968.

Podemos solicitar una verificación de identidad antes de procesar tu solicitud, para proteger la seguridad de tu cuenta.

10. Retención de Datos

Conservamos tus datos personales durante el tiempo necesario para los fines descritos en esta política:

Datos de cuenta y de inventario: se conservan mientras la cuenta esté activa. Tras la cancelación de la cuenta, se conservan 48 horas para que puedas recuperarla y después se eliminan definitivamente, salvo que una obligación legal exija su conservación por un período mayor. Te avisamos por correo unas 20 horas antes del borrado y te confirmamos cuando se hizo.
Ítems en la papelera: se eliminan definitivamente, con sus fotos, a los 30 días de enviarlos a la papelera. Te avisamos en la Plataforma y por correo unas 20 horas antes.
Registros de seguridad (IPs, intentos de acceso): se conservan por un máximo de 90 días.
Registros de auditoría del inventario (AuditLog): se conservan mientras la cuenta esté activa.
Comentarios en vitrinas públicas: hasta que los borres, hasta que se borre la vitrina o hasta que se borre tu cuenta. Van en "Exportar mis datos".
Tu opinión (sección 4.5): hasta que la retires. Va en "Exportar mis datos". Cuando tu cuenta se borra, lo que nos contaste y su conversación se conservan sin ningún vínculo con tu cuenta (sin tu nombre ni tu correo), para no perder lo aprendido. Si no quieres que se conserve, retíralo antes de cerrar la cuenta.
Datos de IA: según la sección 6.7. La copia completa de lo que vio la IA, 30 días; la miniatura y el resumen, 2 años; el audio, solo hasta obtener el texto; el registro de procesamientos, 2 años.
Saldo de IA al cerrar la cuenta: cuando la cuenta se borra, se guardan solo tu correo, el monto del saldo y el idioma y la zona horaria para avisarte, durante un mes, para devolvértelo si vuelves a registrarte con ese correo. El correo se usa solo como referencia para relacionar el saldo contigo: no se usa para publicidad ni se comparte. Te avisamos por correo unas 20 horas antes de que venza. Cuando se devuelve o vence, se borra tu correo y queda solo el monto con sus fechas, sin datos que te identifiquen.
Registro de tus decisiones (sección 6.3): se conserva mientras exista la cuenta, como prueba de tu consentimiento.
Demostración sin cuenta: el conteo por IP se borra a más tardar a los 7 días.
Donaciones (sección 4.2): el registro de cada donación (monto, moneda, fecha y tipo) se conserva como registro contable mientras exista la cuenta y, después, el tiempo que exija la ley. El nombre y el correo de una donación que no se pudo relacionar con una cuenta se borran a los 90 días. El mensaje de Ko-fi no se guarda.
Copias de seguridad: los backups automáticos se retienen por 30 días con rotación diaria.

11. Seguridad de los Datos

BoxItem implementa medidas técnicas y organizativas razonables para proteger tus datos personales contra acceso no autorizado, pérdida, alteración o divulgación:

HTTPS obligatorio en todas las comunicaciones con la Plataforma (certificado SSL/TLS renovado automáticamente).
Contraseñas almacenadas con hash criptográfico. BoxItem no conoce ni puede recuperar tu contraseña en texto plano.
Tokens de sesión (JWT) con expiración de 1 hora y refresh tokens de 30 días. Toda la cadena de tokens se invalida al cambiar la contraseña.
Bloqueo temporal de acceso por IP ante intentos de acceso fallidos reiterados.
Fotos reducidas, sin metadatos y con rostros y placas difuminados (sección 6.5).
Backups automáticos diarios con retención de 30 días.
Acceso a los servidores restringido al operador de BoxItem.
Los servidores están ubicados físicamente en Costa Rica.

A pesar de estas medidas, ningún sistema de seguridad es infalible. BoxItem no puede garantizar la seguridad absoluta de los datos. Si ocurre una brecha de seguridad que afecte tus datos personales, te avisaremos dentro de los 5 días hábiles siguientes a que la conozcamos, con lo que pasó, qué datos se vieron comprometidos, qué hicimos y dónde puedes informarte, y lo comunicaremos también a la PRODHAB.

12. Menores de Edad

BoxItem es un servicio solo para personas mayores de 18 años, y quien crea una cuenta lo declara al aceptar los Términos y Condiciones. BoxItem no recopila conscientemente datos personales de menores de edad. Si tenemos conocimiento de que una persona menor de 18 años ha creado una cuenta, eliminaremos dicha cuenta y sus datos asociados.

Si eres padre, madre o tutor y tienes razones para creer que una persona menor de edad a tu cargo ha creado una cuenta en BoxItem, contáctanos a [email protected] para proceder con la eliminación de la cuenta.

La demostración sin cuenta usa solo los servidores de BoxItem en Costa Rica.

13. Cookies y Tecnologías Similares

BoxItem utiliza el almacenamiento local del navegador (localStorage y sessionStorage) para el correcto funcionamiento del Servicio. El detalle completo se describe en la Política de Cookies de BoxItem, disponible en boxitem.app/cookies.

En resumen, BoxItem utiliza:

Almacenamiento local para mantener tu sesión y tus preferencias en el navegador.
Almacenamiento local para la demostración sin cuenta: que aceptaste sus condiciones y los ítems que detectó la IA, para agregarlos a tu primera bodega si creas una cuenta.
Cookies de terceros solo si eliges iniciar sesión con Google, y cookies técnicas de seguridad de Cloudflare cuando detecta tráfico sospechoso.
Cookies analíticas (uso futuro): si se habilita Google Analytics, se usarán cookies de análisis de navegación. Los usuarios serán notificados y podrán optar por no participar.

14. Cambios a esta Política

BoxItem puede actualizar esta Política de Privacidad para reflejar cambios en nuestras prácticas, en los servicios de terceros que utilizamos o en la legislación aplicable.

Cuando se realicen cambios materiales, notificaremos a los usuarios mediante correo electrónico a la dirección registrada en su cuenta y/o mediante un aviso visible dentro de la Plataforma, con al menos 15 días de anticipación a su entrada en vigencia. Agregar un proveedor de IA sigue la regla de la sección 6.4.

La versión vigente siempre estará disponible en boxitem.app/privacidad con la fecha de última actualización.

15. Contacto para Asuntos de Privacidad

Para cualquier consulta, solicitud de ejercicio de derechos o reclamación relacionada con el tratamiento de tus datos personales, puedes contactarnos por cualquiera de estos medios:

Correo de privacidad: [email protected] (canal preferido para solicitudes formales)
Correo general: [email protected]
WhatsApp / Teléfono: +506 6395-4505
Sitio web: https://boxitem.app

BoxItem se compromete a responder todas las solicitudes relacionadas con privacidad dentro de los 5 días hábiles siguientes a su recepción.

Tus datos son tuyos. BoxItem los protege como si fueran propios.

Versión 1.0 — Última actualización: 12 de octubre de 2026