Agenda Tico Online.

Cuentas del equipo

Correo y contraseña para entrar, el negocio al que pertenecés, tu rol y tus permisos, y el nombre con que aparecés como profesional. El proveedor de autenticación Supabase guarda un hash de la contraseña (bcrypt), no una copia legible ni un cifrado reversible.

Clientes y citas

Lo que el negocio registra: nombre, teléfono, correo (si lo agrega), notas, y de cada cita la fecha, hora, servicios, profesional, estado, precio y notas. Agenda no pide fecha de nacimiento, número de identificación ni datos de pago de las clientas.

Página pública de reservas y widget

Cuando una clienta pide una cita en la página del negocio, se guardan su nombre, su teléfono y la nota que escriba. En la tabla de solicitudes se guarda un hash de la dirección IP para frenar abusos, no la IP en claro. La infraestructura que recibe la conexión también puede procesar la IP y registros técnicos. En el modo que continúa por WhatsApp, la consulta se arma en el navegador y Agenda no guarda nombre ni teléfono.

Tarjeta de sellos

Si el negocio la activa, Agenda guarda los sellos de cada clienta. La credencial de su tarjeta se guarda como un hash para verificarla sin conservar el valor original.

Notificaciones

Si activás los avisos en tu dispositivo, guardamos el identificador que entrega el navegador o el teléfono para poder enviarlos, junto con tus preferencias (citas nuevas, cambios, cancelaciones).

Apps de iPhone y Android

Las apps usan los mismos datos que la web. Si activás el desbloqueo con Face ID o la huella, la verificación la hace el teléfono: Agenda nunca recibe tu rostro ni tu huella. Solo piden acceso a la cámara o a tus fotos cuando elegís adjuntar un comprobante de pago del plan, y solo para ese archivo. No acceden a tus contactos, tu ubicación ni tu micrófono.

En Android, Firebase Cloud Messaging y su dependencia Firebase Installations pueden tratar un identificador de instalación, la versión de la app y datos técnicos del SDK para operar el servicio. El permiso de mostrar avisos y el tratamiento técnico del SDK son aspectos distintos.

Lo que no hacemos

• No vendemos ni alquilamos datos personales.
• No usamos los datos para publicidad ni hacemos seguimiento entre apps o sitios de terceros.
• Agenda no tiene herramientas de analítica publicitaria ni cookies de terceros.

Siempre

• Supabase: base de datos, autenticación y funciones del servidor. Los datos se alojan en Estados Unidos (Ohio).
• Cloudflare: entrega la aplicación web y sus actualizaciones.
• Apple: distribuye la app de iPhone por TestFlight y la App Store y, si activás los avisos en el iPhone, los entrega.
• Google: distribuye la app de Android por Google Play y, si activás los avisos en Android, los entrega por Firebase Cloud Messaging.

Solo si la función está activa

• Google Calendar: si el negocio lo conecta, cada cita se escribe en el calendario de la profesional con el nombre y el teléfono de la clienta, los servicios, el estado, el total y las notas.
• Chat Tico y WhatsApp (Meta): si el negocio activa mensajes automáticos, se envían el teléfono de la clienta y los datos de la cita que lleve el mensaje. Ver la política de Chat Tico ↗.
• Proveedor de correo (Resend): si el negocio envía correos, recibe la dirección de la clienta y el texto del mensaje.
• Servicios de notificaciones del navegador o del teléfono (Apple, Google, Mozilla): reciben el aviso que corresponde a tu dispositivo.
• Agentes de inteligencia artificial: si el negocio conecta uno (por ejemplo Claude o ChatGPT), solo puede ver lo que el negocio autorizó. El teléfono y el correo de las clientas requieren un permiso aparte, y los cambios sensibles piden aprobación de una persona. Todo queda registrado.
• Sentry: cuando ocurre un error, recibe datos técnicos (pantalla, navegador, dispositivo, detalle del error) para poder corregirlo. Los enlaces privados se recortan antes de enviarse.

Algunos de estos proveedores procesan datos fuera de Costa Rica, principalmente en Estados Unidos, bajo sus propias medidas de seguridad. Solo les compartimos lo necesario para cada función.

• Cada negocio solo puede ver sus propios datos: la separación la aplica la base de datos, no solo la pantalla.
• Las profesionales ven únicamente lo que su rol permite, y el negocio puede ocultarles el nombre completo de las clientas.
• Las llaves de las conexiones (Google, Chat Tico, correo) se guardan en una bóveda cifrada a la que la app no tiene acceso directo.
• Todo viaja cifrado (HTTPS).

Si encontrás una posible vulnerabilidad, escribí a soporte@ticoonline.com.

Podés pedir acceso a tus datos, corregirlos o eliminarlos. Las solicitudes amparadas por la Ley 8968 se resuelven dentro de cinco días hábiles.

• Si usás el panel (dueña, administradora o profesional): escribí a soporte@ticoonline.com, o eliminá tu cuenta desde Ajustes → Avanzado.
• Si sos clienta de un negocio: pedíselo primero al negocio, que es quien decidió registrar tus datos. Si no te responde, escribinos y lo coordinamos con el negocio.

Si considerás que tus derechos no fueron atendidos, podés acudir a la Agencia de Protección de Datos de los Habitantes (Prodhab).

Menores de edad

El panel de Agenda está pensado para negocios y su equipo, no para menores de edad.

Cambios a esta política

Si cambia algo importante, actualizamos esta página y su fecha de vigencia. El centro legal reúne las demás políticas de Tico Online.