Política de Privacidad

Versión 1.0 — vigente desde el 11 de setiembre de 2026.

Este documento explica qué datos recogemos, para qué, quién más los ve y qué puede usted hacer al respecto. Está redactado conforme a la Ley N.º 8968, Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales, y su Reglamento.

Le pedimos que lo lea antes de crear una cuenta. Si algo no le queda claro, escríbanos: preferimos contestar una pregunta ahora que un reclamo después.

1. Quién es el responsable

OVERSEAS CRC S.A., sociedad anónima costarricense, cédula jurídica 3-101-408786, con domicilio en San José, Costa Rica.

Correo para asuntos de datos personales: contacto@overseascrc.com
Teléfono: +506 2258-1870

PENDIENTE: completar la dirección exacta del domicilio social (provincia, cantón, distrito y señas), que el Aviso Legal también requiere.

Somos el responsable de la base de datos en el sentido del artículo 2 de la Ley 8968. Ninguna decisión sobre sus datos la toma nadie más.

2. Que existe una base de datos, y cuál es

Sí, existe. Al crear una cuenta en OVERSEAS Prospecta, sus datos quedan almacenados en una base de datos administrada por nosotros, alojada en servidores de Railway en los Estados Unidos.

Es una base de datos interna: su contenido no se vende, no se publica, no se cede ni se intercambia con terceros. Solo existe para prestarle a usted el servicio que contrató.

3. Qué datos guardamos, exactamente

No es una lista genérica. Es lo que hay:

De su cuenta

Su correo electrónico. Obligatorio: es su nombre de usuario y el canal por el que le confirmamos la cuenta y le permitimos recuperar la contraseña.
Su nombre y su empresa. Ambos opcionales. Si no los da, la cuenta funciona igual.
Su contraseña, nunca en texto legible. Guardamos únicamente una huella criptográfica calculada con el algoritmo bcrypt y un factor de coste de 12. No podemos leer su contraseña ni recuperarla: si la olvida, se restablece, no se consulta.
Marcas de tiempo y de estado: cuándo creó la cuenta, cuándo confirmó el correo, cuándo cambió sus credenciales, si la cuenta está activa o suspendida, cuántos intentos fallidos de ingreso lleva y hasta cuándo está bloqueada tras varios intentos.

De su conexión con Telegram

El identificador numérico de su chat, si decide enlazar el bot. Es lo que nos permite entregarle los avisos.
Hasta cuándo pidió no recibir avisos, si usa la función de vacaciones.

Su nombre de Telegram y su nombre de usuario (@) nos los entrega Telegram con cada mensaje. No los guardamos en la base de datos; sí quedan escritos en los registros técnicos del servicio cuando usted inicia la conversación con el bot.

De lo que usted busca

Sus filtros: el nombre que usted les puso y las condiciones que los componen — categorías de producto, palabras, instituciones, montos mínimos o máximos, y las exclusiones.

Tratamos esta información con especial cuidado y le pedimos que entienda por qué: la lista de sus filtros es, en la práctica, la declaración escrita de qué vende su empresa, a qué instituciones del Estado le apunta y desde qué monto le interesa competir. Para nosotros no es una preferencia de notificación; es información comercial suya.

Sus avisos: qué concursos le calzaron, cuándo se le enviaron y por cuál condición de su filtro.

Lo que NO guardamos

Decirlo importa tanto como lo anterior:

No guardamos su dirección IP. Ninguna tabla de nuestra base tiene una columna para ella.
No guardamos su teléfono, su cédula, su dirección postal ni datos de facturación.
No usamos cookies de publicidad, de analítica ni de seguimiento. La única cookie del panel es la de su sesión, que es estrictamente necesaria para mantenerlo dentro.
No tratamos datos sensibles en el sentido del artículo 9 de la Ley 8968.

Sí procesamos su dirección IP de forma momentánea y solo en la memoria del servidor, para limitar la cantidad de intentos de ingreso y de registro por minuto. No se escribe en ninguna parte y desaparece al reiniciarse el servicio. Se lo decimos porque «no tratamos su IP» sería inexacto.

4. Para qué usamos sus datos

Para una sola cosa y sus consecuencias directas:

Prestarle el servicio: comparar los concursos que publica el Estado contra sus filtros, y avisarle cuando alguno calza.
Dejarlo entrar a su cuenta y permitirle recuperar el acceso si pierde la contraseña.
Proteger la cuenta de intentos de ingreso automatizados.
Administrar su suscripción: cuándo empieza, cuándo termina, si sigue vigente.
Escribirle por asuntos del servicio, como confirmar su correo o avisarle de un cambio en estas condiciones.

No usamos sus datos para publicidad, ni para elaborar perfiles comerciales, ni para venderle otra cosa, ni los cruzamos con otras bases. Si algún día quisiéramos usarlos para algo distinto de lo que dice esta lista, se lo pediríamos antes y usted podría decir que no sin perder el servicio.

5. Qué es obligatorio y qué pasa si no lo da

Correo electrónico — obligatorio. Sin él no es posible crear la cuenta: es su identificador y el único canal por el que puede recuperar el acceso.
Contraseña — obligatoria. Sin ella no es posible crear la cuenta.
Nombre — opcional. Si no lo da, la cuenta funciona igual; los correos y el bot lo saludan de forma impersonal.
Empresa — opcional. Si no la da, la cuenta funciona igual.
Chat de Telegram — opcional. La cuenta funciona sin enlazarlo, pero no recibirá avisos: hoy Telegram es el único canal de entrega.
Filtros — opcionales para tener cuenta, necesarios para recibir. Sin al menos un filtro no hay nada que comparar y no se genera ningún aviso.

6. Quién más ve sus datos

Para operar necesitamos estos proveedores. Ninguno recibe sus datos para usarlos por su cuenta: los tratan por encargo nuestro y nosotros seguimos siendo responsables frente a usted.

Lo que le llega: el identificador de su chat y el texto íntegro de cada aviso. Y aquí queremos ser explícitos, porque la frase cómoda sería falsa: el aviso incluye la etiqueta del filtro que lo disparó y la línea concreta del concurso que calzó. Además, el resumen semanal le manda la lista de los nombres de sus filtros activos.

Eso significa que Telegram puede deducir qué vende su empresa, no solamente que usted recibe avisos. No es un transportista ciego. Si esto le incomoda, no enlace Telegram: la cuenta y el panel funcionan sin él, aunque entonces no recibirá los avisos en el momento.

Resend

Nuestro proveedor de correo. Ve su dirección de correo y el texto de los mensajes que le enviamos — la confirmación de cuenta y el restablecimiento de contraseña. No ve sus filtros ni sus avisos.

Railway

Donde corre el servicio y vive la base de datos. Técnicamente tiene acceso a la infraestructura que contiene todo lo descrito en la sección 3. Servidores en los Estados Unidos.

Vercel

Donde corre el sitio web. Además de servir las páginas, el tráfico del panel pasa por Vercel camino a nuestro servidor — es lo que permite que su sesión funcione correctamente en todos los navegadores. Eso significa que, técnicamente, su contraseña en el momento de ingresar y su cookie de sesión atraviesan la infraestructura de Vercel. No las almacena, pero preferimos decirlo a que usted lo deduzca.

PENDIENTE: si algún día se agrega un boletín o cualquier otra herramienta

que reciba datos de quien visita prospectacr.com, hay que declararla acá

como encargada, con qué recibe y para qué.

Nadie más

Fuera de lo anterior, no hay analítica de terceros, ni pixeles, ni redes publicitarias. La fuente de los concursos es el Observatorio de Compra Pública, datos abiertos del Estado costarricense: nosotros leemos de ahí, y no le enviamos a nadie ningún dato suyo.

7. Que sus datos salen de Costa Rica

Nuestros proveedores alojan la información fuera del país, principalmente en los Estados Unidos. Al aceptar esta política y marcar la casilla de consentimiento al registrarse, usted consiente esa transferencia.

Si no consiente, no podemos prestarle el servicio, porque no operamos infraestructura propia en Costa Rica. Preferimos decírselo con claridad antes que enterrarlo en una cláusula.

8. Cuánto tiempo los conservamos

Mientras su cuenta exista, conservamos lo de la sección 3.
Si usted pide la eliminación, la ejecutamos dentro de los cinco días hábiles siguientes, según la sección 9.
Si su suscripción vence y usted no renueva, conservamos la cuenta doce meses por si decide volver, y después la eliminamos o la desasociamos de su persona.
Los avisos que ya le enviamos se conservan mientras exista la cuenta, porque son el historial de lo que le entregamos.
Los registros técnicos del servicio se conservan según la política de nuestro proveedor de alojamiento y no los usamos para otra cosa que diagnosticar fallas.

En ningún caso conservamos datos que puedan afectarle más de diez años desde que termina el motivo del tratamiento, conforme al artículo 11 de la Ley 8968.

9. Sus derechos, y cómo ejercerlos

Usted puede, en cualquier momento y sin costo alguno:

Acceder a todo lo que tenemos sobre usted.
Rectificar lo que esté equivocado o incompleto.
Suprimir sus datos y eliminar su cuenta.
Revocar su consentimiento, lo que detiene el tratamiento hacia adelante sin afectar lo ya hecho.

Cómo: escriba a contacto@overseascrc.com desde la dirección de correo de su cuenta, diciendo qué quiere. Si escribe desde otra dirección le pediremos alguna forma de comprobar que la cuenta es suya, y no es un trámite: es lo que impide que un tercero pida sus datos haciéndose pasar por usted.

Plazos, que son los de la ley y no los nuestros:

Le respondemos dentro de los cinco días hábiles siguientes a recibir su solicitud.
Si revoca el consentimiento, ejecutamos la revocación dentro de cinco días hábiles y se lo comunicamos a nuestros proveedores.
Si pide confirmación de que cesó el tratamiento, se la damos dentro de tres días hábiles.

Le responderemos aunque resulte que no tenemos datos suyos, y la respuesta cubrirá todo su registro aunque haya preguntado por un solo punto.

Si considera que no atendimos bien su solicitud, puede acudir a la Agencia de Protección de Datos de los Habitantes (PRODHAB).

10. Qué hacemos si hay una brecha de seguridad

Si ocurre una vulneración que afecte sus datos, se lo informaremos a usted y a la PRODHAB dentro de los cinco días hábiles siguientes a conocerla, indicando qué pasó, qué datos se vieron comprometidos, qué hicimos de inmediato y dónde puede obtener más información. Dentro de ese mismo plazo iniciaremos una revisión completa del incidente.

Preferimos escribirlo acá, donde queda comprometido, que descubrirlo el día que haga falta.

11. Cómo protegemos la información

Lo concreto, no adjetivos:

Las contraseñas se guardan como huella bcrypt con coste 12, nunca en texto legible.
La sesión viaja en una cookie que el navegador no deja leer a ningún script, y se invalida sola al cambiar la contraseña.
Los enlaces de confirmación y de recuperación vencen a los treinta minutos, se guardan hasheados y se invalidan al usarse.
Hay límites de intentos de ingreso por dirección IP y por cuenta, para frenar los ataques automatizados.
Todo el tráfico entre su navegador y nuestros servidores va cifrado.

Ningún sistema es infalible y no le vamos a decir lo contrario. Lo que sí le decimos es qué hay puesto y qué haremos si algo falla.

12. Menores de edad

El servicio está dirigido a empresas y a personas mayores de edad. No lo ofrecemos a menores ni recogemos datos de ellos a sabiendas.

13. Cambios a esta política

Si la cambiamos, publicaremos la versión nueva acá con su fecha y se lo avisaremos por correo antes de que entre en vigencia cuando el cambio le afecte de manera relevante. No damos por aceptado un cambio por el hecho de que usted siga usando el servicio: si el cambio requiere su consentimiento, se lo pediremos.

Última actualización: 11 de setiembre de 2026.