1. Identidad y contacto del operador

Esta Política de Privacidad explica cómo Boxful Technologies, S.A. de C.V., en adelante "Boxful", "nosotros" o el "Operador", trata datos personales en relación con Drop, sus sitios web, cuentas, módulos, integraciones y servicios asociados.

Drop es una plataforma que facilita la coordinación de actividades comerciales, inventario, órdenes, fulfillment, paquetería, cobro contra entrega, acreditaciones, liquidaciones y otras funcionalidades efectivamente habilitadas.

Los datos de contacto del Operador son:

• Razón social: Boxful Technologies, S.A. de C.V.
• Nombre comercial: Boxful Technologies, S.A. de C.V.
• País de constitución: El Salvador.
• Domicilio legal: Colonia Las Mercedes, Calle Los Granados y Avenida Las Mercedes, Casa #645, San Salvador Centro, El Salvador.
• Número de registro fiscal: 0614-200722-103-8.
• Teléfono de la empresa: +503 7041 5171.
• Correo para asuntos de privacidad, ejercicio de derechos y eliminación de datos: soporte@soydrop.com.
• Sitio oficial de Drop: app.soydrop.com.

Cuando un servicio sea prestado por otra entidad del grupo Boxful o por un tercero que determine sus propias finalidades de tratamiento, su identidad y participación deberán informarse en el aviso o contratación correspondiente.

2. Alcance de esta política

Esta política comprende el tratamiento de datos personales relacionados con:

• Titulares de cuentas, representantes de empresas y usuarios autorizados.
• Comercios, vendedores, dropshippers y proveedores.
• Compradores, destinatarios y contactos asociados a órdenes.
• Personas que solicitan información, soporte o atención de reclamos.
• Personas que conectan activos o cuentas publicitarias mediante la integración de Meta Ads.
• Visitantes del sitio y usuarios de funcionalidades digitales de Drop.

La política se aplica a las funcionalidades que una persona utilice y a los datos que efectivamente intervengan en ellas. La existencia de un módulo no significa que recopilemos todas las categorías descritas respecto de todos los usuarios.

Los sitios, bancos, paqueteras y plataformas externas pueden tratar información conforme a sus propias políticas. Esta política describe la intervención de Boxful y no sustituye los avisos de esos terceros.

3. Relación con los términos y condiciones

Los Términos y Condiciones de Drop regulan la contratación y utilización del servicio. Esta Política de Privacidad explica el tratamiento de datos personales.

La aceptación de un contrato no constituye por sí sola consentimiento para cualquier tratamiento de información. Cuando una actividad requiera consentimiento específico, lo solicitaremos mediante un mecanismo adecuado antes de realizarla.

La conexión de una cuenta de Meta tampoco autoriza usos ilimitados de sus datos ni sustituye los derechos de las personas cuya información pueda estar involucrada.

Los términos contractuales, las autorizaciones técnicas y esta política deben interpretarse de forma compatible con las normas aplicables y con las restricciones de las plataformas integradas.

4. Roles de Boxful y de los comercios

El rol de cada participante depende de quién determine las finalidades y los medios del tratamiento en cada actividad.

Boxful puede actuar como responsable del tratamiento respecto de información necesaria para administrar sus relaciones con usuarios, gestionar cuentas, facturar sus servicios, proteger la plataforma y cumplir obligaciones propias.

Cuando Boxful procese datos de compradores siguiendo instrucciones de un comercio para gestionar sus órdenes, podrá actuar como encargado o prestador de tratamiento, según la legislación y el servicio aplicables.

El comercio deberá informar a sus compradores sobre los tratamientos que determine, contar con una base legal válida para compartir sus datos y atender las obligaciones que le correspondan como vendedor y responsable de su actividad comercial.

Un mismo servicio puede involucrar tratamientos bajo roles distintos. Estos deberán delimitarse en los contratos o acuerdos de tratamiento correspondientes, sin trasladar automáticamente todas las obligaciones al comercio o a Boxful.

La condición de proveedor tecnológico o logístico no elimina la responsabilidad de Boxful por los tratamientos que realice bajo su propio control.

5. Fuentes de información

Podemos recibir información de las siguientes fuentes, según el servicio utilizado:

Información proporcionada directamente. Datos ingresados al registrarse, administrar una cuenta, crear usuarios, solicitar liquidaciones, contactar soporte o presentar documentación.

Información proporcionada por un comercio o proveedor. Datos de compradores, destinatarios, órdenes, contactos, inventario y documentos necesarios para ejecutar instrucciones válidas.

Canales integrados. Información de órdenes y productos recibida mediante Shopify u otras plataformas conectadas por el usuario.

Operadores de servicios. Estados de entrega, constancias de recaudo, confirmaciones de pago, devoluciones e información necesaria para conciliar operaciones.

Meta. Información obtenida mediante la integración autorizada y dentro de los permisos y activos habilitados.

Uso de la plataforma. Registros técnicos necesarios para autenticación, seguridad, diagnóstico y funcionamiento.

No solicitamos a los usuarios que obtengan información mediante accesos no autorizados, suplantación, extracción ilícita o incumplimiento de obligaciones de privacidad.

6. Datos de registro y administración de cuentas

Según la naturaleza de la cuenta, podemos tratar:

• Nombre y apellidos.
• Correo electrónico y teléfono.
• Nombre comercial y razón social.
• País y datos de contacto.
• Cargo o relación con la empresa.
• Identificación fiscal.
• Datos necesarios para verificar identidad y representación.
• Identificadores de cuenta, tienda y usuarios.
• Roles, permisos y estado de acceso.
• Registros de aceptación de documentos contractuales.

La documentación de identidad o representación se solicitará cuando resulte necesaria para verificar una cuenta, una instrucción, un beneficiario o una operación concreta.

No deberá exigirse información excesiva respecto de la finalidad de verificación. Los requisitos pueden variar según el país, el servicio y el riesgo de la operación.

7. Datos de compradores, destinatarios y órdenes

Para gestionar una orden y sus servicios asociados, podemos tratar:

• Nombre del comprador o destinatario.
• Teléfono y correo electrónico, cuando se proporcionen.
• País, departamento, municipio, localidad y dirección.
• Referencias e instrucciones de entrega.
• Productos, variantes, cantidades y precios.
• Identificadores de orden, tienda, guía y canal de origen.
• Fechas y estados de confirmación, preparación, despacho, entrega o devolución.
• Monto solicitado de cobro contra entrega.
• Incidencias, reclamos y soluciones registradas.
• Evidencia de entrega o devolución, cuando forme parte del servicio.

Los comercios deben limitar la información cargada a lo necesario. Los campos de observaciones no deben utilizarse para incluir documentos, datos sensibles o comentarios personales ajenos a la operación.

La recepción de información para una entrega no autoriza a utilizarla para campañas publicitarias independientes o a vender bases de compradores.

8. Datos de proveedores e inventario

Podemos tratar información de representantes y contactos de proveedores, así como documentación vinculada con sus productos y operaciones.

Esta información puede incluir contactos comerciales, datos fiscales, documentos de origen, autorizaciones, movimientos de inventario, ingresos y retiros de mercancía, solicitudes de garantía y registros de atención.

Las fotografías, documentos y descripciones deben limitarse a lo necesario para identificar productos, verificar operaciones o atender casos.

El almacenamiento de mercancía no habilita recopilar datos personales adicionales sin una finalidad válida.

9. Datos de COD, Wallet y liquidaciones

Para registrar, conciliar y liquidar operaciones, podemos tratar:

• Montos recaudados y pendientes.
• Créditos, débitos y saldo operativo.
• Costos y comisiones asociados a órdenes.
• Beneficiario de una liquidación.
• Nombre del banco, número de cuenta y datos necesarios para transferir.
• Datos de transferencias internacionales, cuando corresponda.
• Dirección de recepción, activo y red en modalidades digitales habilitadas.
• Comprobantes, referencias y estados de pago.
• Documentación necesaria para verificar titularidad, autorización o legitimidad de una operación.

No solicitaremos claves privadas de activos digitales, frases de recuperación, contraseñas bancarias ni códigos secretos para ejecutar una liquidación.

Cuando se utilicen bancos o procesadores externos, estos recibirán los datos necesarios para prestar su servicio y pueden asumir obligaciones propias de identificación, prevención de fraude y conservación de registros.

La Wallet de Drop muestra información operativa. Su uso no autoriza la divulgación de saldos a personas que carezcan de permisos.

10. Datos técnicos y de seguridad

Según la infraestructura y las herramientas efectivamente utilizadas, podemos tratar información técnica necesaria para operar y proteger el servicio, como:

• Dirección IP.
• Fecha y hora de acceso.
• Tipo de navegador y dispositivo.
• Identificadores de sesión.
• Eventos de autenticación.
• Acciones realizadas dentro de la cuenta.
• Errores y registros de diagnóstico.
• Cambios de permisos o configuración.

Estos registros se utilizarán para autenticación, control de acceso, prevención de uso indebido, investigación de incidentes y resolución de fallas.

Su recopilación no autoriza vigilancia ajena al servicio ni el seguimiento publicitario entre sitios sin los avisos y controles correspondientes.

11. Información de soporte, incidencias y garantías

Cuando una persona contacte soporte o registre un caso, podemos tratar los mensajes, datos de contacto, identificadores de operación y documentos que aporte.

Los adjuntos pueden contener fotografías, capturas, comprobantes y otros elementos necesarios para investigar una incidencia.

Antes de enviar archivos, el usuario deberá ocultar información innecesaria de terceros, contraseñas, códigos de acceso o datos financieros que no sean relevantes.

El acceso interno a los casos se limitará a las funciones necesarias para atenderlos, supervisar su resolución y cumplir obligaciones aplicables.

Si se utilizan grabaciones de llamadas o herramientas de transcripción, deberán informarse antes de su utilización y cumplir los requisitos aplicables.

12. Finalidades del tratamiento

Tratamos información para las siguientes finalidades, según la actividad utilizada y la base legal correspondiente:

Administrar cuentas. Registrar usuarios, verificar facultades, autenticar accesos, gestionar permisos y mantener contactos actualizados.

Prestar servicios comerciales y operativos. Procesar órdenes, coordinar inventario, preparar mercancía, gestionar despachos y atender devoluciones.

Ejecutar entregas y recaudos. Compartir instrucciones necesarias con operadores habilitados, consultar estados y conciliar COD.

Gestionar liquidaciones. Verificar beneficiarios, ejecutar instrucciones de pago y documentar movimientos.

Prestar soporte. Investigar errores, responder consultas, gestionar incidencias y tramitar solicitudes.

Ofrecer reportes. Mostrar información operativa de la cuenta y, cuando exista conexión autorizada, reportes de Meta Ads.

Proteger el servicio. Detectar accesos no autorizados, investigar fraude y preservar la integridad de cuentas y operaciones.

Cumplir obligaciones. Atender requerimientos válidos, conservar registros exigibles y gestionar obligaciones fiscales o contractuales.

Enviar comunicaciones necesarias. Informar cambios relevantes, incidencias, movimientos y asuntos indispensables para utilizar el servicio.

Las comunicaciones promocionales, analítica opcional y otros tratamientos adicionales se sujetarán a las condiciones descritas más adelante.

Una finalidad general de "mejora del servicio" no habilita cualquier uso de información ni prevalece sobre restricciones aplicables a datos personales o Datos de Meta.

13. Bases legales y autorizaciones

El fundamento del tratamiento dependerá de la legislación aplicable y de la actividad concreta.

Puede comprender la ejecución de un contrato o instrucciones válidas, el cumplimiento de obligaciones legales, el consentimiento cuando sea necesario u otras bases reconocidas por la ley.

Cuando se invoque un interés legítimo u otra base equivalente, deberá verificarse que esté reconocida en la jurisdicción correspondiente y que el tratamiento sea necesario y compatible con los derechos de las personas afectadas.

No se considerará que una persona consiente cualquier tratamiento por visitar el sitio o aceptar los términos de uso.

El comercio debe contar con fundamento válido para compartir datos de sus compradores. La autorización de un empleado para conectar una cuenta publicitaria no sustituye las facultades del titular de los activos ni las obligaciones respecto de terceros.

14. Datos obligatorios y opcionales

Algunos datos son indispensables para crear una cuenta, entregar un pedido, verificar una instrucción o realizar una liquidación.

Si no se proporcionan, puede ser imposible ejecutar la actividad solicitada. Informaremos esa consecuencia mediante los campos, avisos o requerimientos correspondientes.

Los datos opcionales deberán identificarse como tales. Negarse a proporcionarlos no debe impedir funciones que no los necesiten.

Conectar Meta Ads es una decisión del usuario. No hacerlo puede impedir utilizar sus reportes dentro de Drop, pero no supone por sí solo incumplimiento del contrato general.

15. Integración de Meta Ads

La integración permite conectar cuentas o activos publicitarios sobre los que el usuario tenga acceso legítimo para consultar anuncios e información de rendimiento dentro de Drop.

El acceso se realiza mediante el flujo de autorización de Meta y dentro de los permisos efectivamente concedidos.

El usuario debe revisar los permisos solicitados, verificar que puede actuar por el comercio y seleccionar los activos correctos.

No debe proporcionar a Boxful su contraseña de Facebook ni códigos de autenticación para conectar la integración.

La descripción de esta política corresponde a una integración de consulta y reportes. Si Drop incorpora otras funciones, deberá actualizar su información y solicitar las autorizaciones adicionales que correspondan antes de habilitarlas.

16. Categorías de Datos de Meta

Dentro del alcance autorizado y de los campos efectivamente implementados, la integración puede comprender:

• Identificadores de usuario o conexión necesarios para vincular la autorización.
• Identificadores y nombres de cuentas publicitarias.
• Moneda y zona horaria de la cuenta.
• Identificadores, nombres y estados de campañas, conjuntos y anuncios.
• Métricas de inversión, impresiones, alcance, clics y resultados.
• Conversiones y otros indicadores reportados por Meta.
• Tokens de acceso y fechas relevantes para mantener o revocar la conexión.

Datos de perfil recibidos durante la conexión: el identificador y el nombre del usuario de Meta que autoriza la conexión. No recibimos su correo, fotografía ni otros datos de perfil.

Campos publicitarios y contenido creativo consultados: de cada cuenta publicitaria, su identificador, nombre, moneda, zona horaria y estado; de cada anuncio, su identificador, nombre y estado, la campaña a la que pertenece (identificador, nombre y objetivo), su conjunto de anuncios (identificador y nombre) y una miniatura del creativo; y, por anuncio y por día, gasto, impresiones, alcance, clics, compras y valor de las compras reportados por Meta.

Consultar métricas no significa recibir la identidad de todas las personas que visualizaron un anuncio o hicieron clic en él.

Los tokens son credenciales técnicas de acceso y deberán protegerse conforme al riesgo que representan.

17. Finalidades y límites del uso de Datos de Meta

Utilizamos los Datos de Meta autorizados para:

• Identificar la conexión y los activos seleccionados.
• Consultar y sincronizar los reportes solicitados.
• Mostrar información publicitaria dentro de la cuenta correspondiente.
• Calcular indicadores cuya metodología se explique al usuario.
• Comparar información publicitaria con la operación de su tienda.
• Atender problemas técnicos y proteger la integración.

No venderemos estos datos ni los pondremos a disposición de otros comercios para consultar campañas, inversión o estrategias ajenas.

La conexión no autoriza utilizar Datos de Meta para contactar a personas que interactuaron con anuncios, construir bases comerciales independientes o realizar finalidades no descritas.

Tampoco constituye autorización para evaluar crédito, entrenar modelos de inteligencia artificial o elaborar perfiles de otros negocios. Cualquier uso distinto requiere análisis específico de legalidad, compatibilidad con las reglas de Meta y las autorizaciones necesarias.

La agregación o desidentificación de información no elimina automáticamente las restricciones que Meta imponga a sus datos o a información derivada de ellos.

18. Comparación de anuncios con órdenes

Cuando esté habilitado, Drop puede mostrar indicadores publicitarios junto a órdenes generadas, confirmadas, despachadas o entregadas de la tienda conectada.

Método de asociación o comparación utilizado: el dropshipper vincula manualmente cada anuncio con un producto de su catálogo, y Drop compara el gasto de los anuncios vinculados con las órdenes vendidas y entregadas de ese producto en su tienda. La asociación es por producto, no por comprador.

Comparar gasto y órdenes de un mismo período no demuestra por sí solo que cada venta provenga de un anuncio específico. Las asociaciones individuales solo se realizarán cuando exista información suficiente y un tratamiento permitido.

La conexión para consulta no autoriza automáticamente enviar información de compradores, órdenes o eventos a Meta mediante Pixel, Conversions API o audiencias.

Drop no envía a Meta información de compradores, órdenes o eventos mediante Pixel, Conversions API ni audiencias.

El consentimiento contractual de un comercio no sustituye las bases legales y obligaciones frente a sus compradores para esos envíos.

19. Acceso a los reportes de Meta Ads

Los reportes se vincularán a la cuenta o tienda autorizada y estarán disponibles conforme a los permisos definidos.

Roles que pueden visualizar reportes publicitarios: Dropshipper.

El titular debe asignar acceso solo a personas autorizadas y revocarlo cuando deje de ser necesario.

El personal de Boxful y sus proveedores técnicos únicamente deberá acceder a Datos de Meta cuando sea necesario para prestar soporte, proteger la integración o ejecutar las funciones autorizadas, sujeto a restricciones y obligaciones apropiadas.

La conexión de un activo a una tienda no autoriza mostrar sus datos en cuentas de otros comercios.

20. Desconexión y eliminación de Datos de Meta

El usuario puede revocar el acceso mediante las opciones que Meta ofrezca para administrar aplicaciones, permisos o integraciones.

También puede ejecutar la desconexión en Drop desde Configuraciones → Integraciones.

Una vez revocado el acceso, detendremos las nuevas consultas correspondientes y deshabilitaremos las credenciales de conexión bajo nuestro control conforme al procedimiento aplicable.

Desconectar Meta y eliminar datos son acciones distintas. La desconexión no cierra por sí sola la cuenta de Drop ni elimina sus órdenes o saldos.

El usuario puede solicitar la eliminación de los Datos de Meta asociados mediante:

• Correo: soporte@soydrop.com.
• Instrucciones públicas: app.soydrop.com/data-deletion.
• Plazo de atención: máximo 30 días.

Atenderemos también las solicitudes y mecanismos de desautorización o eliminación que correspondan a la app implementada.

Eliminaremos los datos cuando su conservación deje de estar permitida o sea exigible su eliminación. Una necesidad comercial genérica no justificará retenerlos frente a una solicitud procedente.

Si una obligación legal exige conservar información específica, limitaremos esa conservación a lo necesario y documentaremos su fundamento, sujeto a las reglas aplicables.

Las obligaciones de eliminación deberán extenderse a los proveedores que procesen esos datos por nuestra cuenta.

21. Destinatarios de la información

Compartiremos únicamente la información necesaria para una finalidad válida y dentro del alcance de cada servicio.

Personal autorizado de Boxful: operación, soporte, conciliación y seguridad, según sus funciones.

Comercio responsable de la orden: gestión de su venta, pedido y atención al comprador.

Proveedor del producto: información necesaria para suministro, preparación o garantía; no recibirá indiscriminadamente toda la base de compradores.

Bodegas y operadores de fulfillment: preparación, custodia, despacho y retorno de mercancía.

Paqueteras y operadores de entrega: datos indispensables para entregar, recaudar y gestionar incidencias.

Bancos y prestadores de liquidación: información necesaria para verificar y ejecutar pagos.

Proveedores tecnológicos: infraestructura, soporte y servicios contratados dentro de instrucciones y restricciones aplicables.

Autoridades competentes: información necesaria ante requerimientos válidos u obligaciones legales.

No compartiremos datos de compradores entre comercios independientes para publicidad propia ni datos publicitarios de una cuenta con otra sin fundamento y autorización válidos.

Cuando un destinatario actúe como encargado o proveedor de tratamiento, deberán establecerse obligaciones sobre finalidad, confidencialidad, seguridad, subcontratación y eliminación.

Cuando determine finalidades propias, deberá informarse esa intervención y la política que corresponda.

22. Transferencias internacionales

La operación regional, infraestructura tecnológica o prestación de servicios puede requerir tratar información fuera del país donde se encuentra la persona.

Las transferencias se realizarán con los requisitos y mecanismos exigibles por la legislación aplicable, como contratos, garantías u otras medidas reconocidas.

No se presumirá que cualquier país o proveedor ofrece una protección equivalente sin verificarlo.

Los Datos de Meta estarán sujetos además a las restricciones y condiciones aplicables a su transferencia. Una autorización general para transferencias internacionales no elimina esas restricciones.

23. Conservación de información

Conservaremos los datos durante el tiempo necesario para las finalidades informadas y las obligaciones aplicables.

Los períodos dependerán de la categoría, el servicio, los plazos legales y la existencia de casos concretos que justifiquen conservación adicional.

Una conservación adicional por litigio o requerimiento deberá limitarse a información pertinente y contar con fundamento documentado.

Los Datos de Meta y los tokens de integración se conservan mientras la conexión esté activa y se eliminan al desconectar la integración en Drop o al recibir la solicitud de eliminación de Meta. Las métricas se vuelven a consultar en una ventana móvil de 28 días para que coincidan con Ads Manager.

Los plazos generales de registros contables no se aplicarán automáticamente a todos los datos publicitarios, tokens o documentos de identidad.

Una vez agotada la finalidad y el período permitido, eliminaremos o anonimizaremos la información cuando corresponda. Para Datos de Meta, se aplicarán también las restricciones sobre información agregada o derivada.

24. Cookies y tecnologías similares

Drop puede utilizar tecnologías necesarias para mantener sesiones, autenticar accesos, recordar configuraciones y proteger el servicio.

Usamos PostHog para medir de forma limitada la creación de cuentas y órdenes de usuarios autenticados. PostHog recibe identificadores técnicos de cuenta, eventos de esos flujos y datos técnicos de sesión; no enviamos datos de compradores, direcciones, teléfonos, correos ni importes de órdenes.

Las sesiones autenticadas pueden incluir una grabación de uso para diagnosticar esos flujos. El texto y los campos de entrada se enmascaran para reducir la exposición de datos personales.

Las herramientas de analítica opcional, publicidad o seguimiento se identificarán separadamente y se habilitarán conforme a los requisitos legales aplicables.

Cuando sea necesario consentimiento, las tecnologías opcionales no deberán activarse antes de obtenerlo. Rechazarlas no impedirá funciones que no dependan de ellas.

El usuario puede configurar su navegador, aunque bloquear tecnologías indispensables puede afectar el funcionamiento.

La autorización para consultar Meta Ads no equivale a consentir cookies publicitarias ni el envío de eventos del navegador a Meta.

25. Comunicaciones y marketing

Podemos enviar avisos necesarios sobre cuentas, órdenes, incidencias, seguridad, pagos y cambios contractuales.

Las comunicaciones promocionales se realizarán únicamente cuando exista una base válida y se respetarán las preferencias de las personas.

La baja de promociones no impedirá recibir mensajes indispensables para cumplir una relación contractual vigente.

Los datos de destinatarios obtenidos para entregar mercancía no se incorporarán automáticamente a campañas propias de Boxful.

La conexión de Meta Ads tampoco autoriza enviar mensajes publicitarios al anunciante o a personas que interactuaron con sus anuncios fuera de las finalidades informadas.

26. Analítica y herramientas de inteligencia artificial

Podemos utilizar información operativa para ofrecer los reportes y recomendaciones que formen parte del servicio efectivamente habilitado.

PostHog actúa como proveedor de analítica para medir los flujos de registro y creación de órdenes, bajo las finalidades y salvaguardas descritas en esta política.

Cuando participen proveedores externos, deberá identificarse qué información reciben, bajo qué instrucciones y si existen usos propios, incluidos entrenamiento o conservación adicional.

No se enviarán datos personales o Datos de Meta a herramientas externas por el solo hecho de que estén disponibles dentro de la plataforma.

La información agregada o anonimizada deberá contar con medidas suficientes para evitar su asociación con personas o negocios identificables. La simple eliminación del nombre no garantiza anonimato.

La reutilización de Datos de Meta para analítica o modelos deberá respetar sus restricciones específicas.

27. Financiamiento y evaluaciones

Si se ofrecen servicios de crédito, su tratamiento de información se describirá mediante avisos y acuerdos específicos.

Estos deberán identificar al prestador, datos evaluados, fuentes, finalidades, destinatarios, conservación y participación de decisiones automatizadas cuando corresponda.

Utilizar Drop o conectar Meta Ads no autoriza automáticamente una evaluación crediticia basada en datos publicitarios.

Las autorizaciones para consultar fuentes externas o compartir información financiera deberán solicitarse cuando sean necesarias y legalmente válidas.

28. Medidas de seguridad

Aplicaremos medidas organizativas y técnicas proporcionales a la información tratada y a los riesgos del servicio.

Entre las medidas implementadas se encuentran el cifrado en tránsito, el control de acceso por roles y el registro de actividad. Los tokens de acceso de Meta se guardan cifrados con AES-256-GCM y cada consulta a Meta se firma con la prueba del secreto de la app (appsecret_proof).

El acceso deberá limitarse a personas autorizadas y a las necesidades de sus funciones. Los proveedores que procesen información por nuestra cuenta deberán asumir obligaciones apropiadas de seguridad y confidencialidad.

Ningún sistema garantiza ausencia absoluta de incidentes. Ante un evento relevante, investigaremos su alcance, adoptaremos medidas de contención y efectuaremos las comunicaciones exigibles.

La advertencia sobre riesgos tecnológicos no elimina nuestras obligaciones de seguridad ni constituye una renuncia de las personas a reclamar por incumplimientos imputables.

29. Derechos y solicitudes de privacidad

Las personas podrán ejercer los derechos reconocidos por la legislación aplicable, que pueden comprender acceso, corrección, eliminación, oposición, limitación, portabilidad o retiro del consentimiento, según corresponda.

Las solicitudes se presentan escribiendo a soporte@soydrop.com. En la solicitud se deberá indicar:

• Nombre y medio de contacto.
• Relación con Drop, si se conoce.
• Derecho o solicitud que se desea ejercer.
• Información suficiente para localizar los datos.

Solicitaremos únicamente la verificación necesaria para evitar entregar o modificar información de una persona equivocada. No deberán enviarse contraseñas, tokens o códigos secretos.

Responderemos dentro de un plazo máximo de 30 días. Si existe una extensión permitida, se comunicará su motivo y duración.

Cuando actuemos por instrucciones de un comercio, coordinaremos la atención con el responsable correspondiente, sin ignorar la solicitud ni exigir trámites innecesarios.

Las solicitudes relativas a Datos de Meta también estarán disponibles mediante el canal descrito en esta política.

30. Eliminación y cierre de cuenta

Cerrar una cuenta y eliminar todos sus datos no siempre son procesos simultáneos.

Antes del cierre puede ser necesario coordinar órdenes en curso, inventario, liquidaciones y obligaciones pendientes. Esa coordinación no autoriza conservar indefinidamente toda la información.

Si conservamos información por una obligación legal o un motivo permitido, explicaremos las categorías y el fundamento cuando corresponda. La información retenida no se utilizará para finalidades incompatibles.

Si una copia de respaldo se restaura, deberán mantenerse o reaplicarse las solicitudes de eliminación pertinentes.

Eliminar una conexión de Meta no elimina automáticamente las órdenes recibidas de otras fuentes; cada categoría se tratará según su origen, finalidad y reglas aplicables.

31. Información sensible y menores

Drop se orienta al uso comercial y no está diseñado para solicitar datos sensibles innecesarios para sus servicios.

Los usuarios no deben cargar información sobre salud, creencias, biometría u otras categorías especialmente protegidas sin una finalidad necesaria y un fundamento válido.

Las cuentas comerciales deben ser administradas por personas con capacidad y facultades suficientes.

Cuando una operación incluya datos de un comprador o destinatario menor de edad, deberán cumplirse los requisitos de protección y representación aplicables. Esa información no deberá reutilizarse para publicidad o perfiles ajenos a la operación.

Si se detecta información recopilada indebidamente, se evaluará su eliminación y las medidas necesarias.

32. Requerimientos legales y cambios corporativos

Podremos comunicar información cuando sea necesario para cumplir una obligación legal o atender un requerimiento válido de autoridad competente.

La comunicación se limitará al alcance exigible. Informaremos a la persona cuando corresponda y no exista prohibición.

Ante una reorganización, adquisición o transferencia de actividades, el tratamiento deberá seguir contando con fundamento válido, restricciones de finalidad y garantías apropiadas.

Un cambio corporativo no autoriza vender indiscriminadamente bases de compradores o Datos de Meta. Se respetarán también las condiciones y autorizaciones exigidas por las plataformas integradas.

33. Cambios a esta política

Podemos actualizar esta política para reflejar cambios legales o de las actividades de tratamiento.

Publicaremos la versión y fecha correspondiente en app.soydrop.com/privacy-policy.

Los cambios materiales se comunicarán con anticipación razonable por los canales disponibles. Si una nueva finalidad requiere consentimiento u otra autorización específica, se obtendrá antes de realizarla.

Una actualización no legitimará retroactivamente tratamientos que carecían de fundamento ni eliminará solicitudes o derechos pendientes.

34. Contacto y reclamaciones

Para consultas sobre esta política o el tratamiento de información, puede comunicarse con:

• Boxful Technologies, S.A. de C.V.
• Domicilio: Colonia Las Mercedes, Calle Los Granados y Avenida Las Mercedes, Casa #645, San Salvador Centro, El Salvador.
• Teléfono de la empresa: +503 7041 5171.
• Correo de privacidad: soporte@soydrop.com.
• Instrucciones de eliminación de Datos de Meta: app.soydrop.com/data-deletion.

El uso de estos canales no impide acudir a la autoridad o instancia competente cuando la legislación aplicable reconozca ese derecho.

Contacto

Razón social

Boxful Technologies, S.A. de C.V.

Número de registro fiscal (NIT)

0614-200722-103-8

País de registro

El Salvador

Dirección

Colonia Las Mercedes, Calle Los Granados y Avenida Las Mercedes, Casa #645, San Salvador Centro, El Salvador

Teléfono

+503 7041 5171

Correo electrónico

soporte@soydrop.com

1. Operator identity and contact

This Privacy Policy explains how Boxful Technologies, S.A. de C.V., hereinafter "Boxful", "we" or the "Operator", processes personal data in connection with Drop, its websites, accounts, modules, integrations and related services.

Drop is a platform that helps coordinate commercial activities, inventory, orders, fulfillment, parcel delivery, cash on delivery, credits, settlements and other features actually enabled.

The Operator's contact details are:

• Legal name: Boxful Technologies, S.A. de C.V.
• Trade name: Boxful Technologies, S.A. de C.V.
• Country of incorporation: El Salvador.
• Registered address: Colonia Las Mercedes, Calle Los Granados y Avenida Las Mercedes, Casa #645, San Salvador Centro, El Salvador.
• Tax registration number: 0614-200722-103-8.
• Company phone: +503 7041 5171.
• Email for privacy matters, rights requests and data deletion: soporte@soydrop.com.
• Official Drop website: app.soydrop.com.

When a service is provided by another Boxful group entity or by a third party that determines its own processing purposes, its identity and involvement must be disclosed in the corresponding notice or contract.

2. Scope of this policy

This policy covers the processing of personal data relating to:

• Account holders, company representatives and authorized users.
• Merchants, sellers, dropshippers and vendors.
• Buyers, recipients and contacts associated with orders.
• People who request information, support or claims handling.
• People who connect advertising assets or accounts through the Meta Ads integration.
• Site visitors and users of Drop digital features.

The policy applies to the features a person uses and to the data actually involved in them. The existence of a module does not mean that we collect every category described for every user.

External websites, banks, couriers and platforms may process information under their own policies. This policy describes Boxful's involvement and does not replace those third parties' notices.

3. Relationship with the terms and conditions

The Drop Terms and Conditions govern contracting and using the service. This Privacy Policy explains the processing of personal data.

Accepting a contract does not by itself constitute consent to any processing of information. When an activity requires specific consent, we will request it through an appropriate mechanism before carrying it out.

Connecting a Meta account does not authorize unlimited use of its data nor does it replace the rights of the people whose information may be involved.

The contractual terms, technical authorizations and this policy must be interpreted consistently with the applicable rules and the restrictions of the integrated platforms.

4. Roles of Boxful and merchants

The role of each participant depends on who determines the purposes and means of processing in each activity.

Boxful may act as data controller for information needed to manage its relationships with users, manage accounts, invoice its services, protect the platform and meet its own obligations.

When Boxful processes buyer data following a merchant's instructions to manage its orders, it may act as processor or processing service provider, depending on the applicable law and service.

The merchant must inform its buyers about the processing it determines, have a valid legal basis for sharing their data and meet the obligations that apply to it as seller and controller of its business activity.

A single service may involve processing under different roles. These must be defined in the corresponding contracts or processing agreements, without automatically shifting all obligations to the merchant or to Boxful.

Being a technology or logistics provider does not remove Boxful's responsibility for the processing it carries out under its own control.

5. Sources of information

We may receive information from the following sources, depending on the service used:

Information provided directly. Data entered when signing up, managing an account, creating users, requesting settlements, contacting support or submitting documents.

Information provided by a merchant or vendor. Data about buyers, recipients, orders, contacts, inventory and documents needed to carry out valid instructions.

Integrated channels. Order and product information received through Shopify or other platforms connected by the user.

Service operators. Delivery statuses, collection receipts, payment confirmations, returns and information needed to reconcile operations.

Meta. Information obtained through the authorized integration and within the enabled permissions and assets.

Use of the platform. Technical logs needed for authentication, security, diagnostics and operation.

We do not ask users to obtain information through unauthorized access, impersonation, unlawful scraping or breach of privacy obligations.

6. Registration and account management data

Depending on the nature of the account, we may process:

• First and last name.
• Email address and phone number.
• Trade name and legal name.
• Country and contact details.
• Position or relationship with the company.
• Tax identification.
• Data needed to verify identity and representation.
• Account, store and user identifiers.
• Roles, permissions and access status.
• Records of acceptance of contractual documents.

Identity or representation documents will be requested when necessary to verify an account, an instruction, a beneficiary or a specific operation.

No information beyond what the verification purpose requires should be demanded. Requirements may vary by country, service and the risk of the operation.

7. Buyer, recipient and order data

To manage an order and its related services, we may process:

• Name of the buyer or recipient.
• Phone number and email address, when provided.
• Country, department, municipality, locality and address.
• Delivery references and instructions.
• Products, variants, quantities and prices.
• Order, store, shipping label and source channel identifiers.
• Dates and statuses of confirmation, preparation, dispatch, delivery or return.
• Requested cash on delivery amount.
• Recorded incidents, claims and solutions.
• Proof of delivery or return, when part of the service.

Merchants must limit the information they upload to what is necessary. Notes fields must not be used to include documents, sensitive data or personal comments unrelated to the operation.

Receiving information for a delivery does not authorize its use for independent advertising campaigns or the sale of buyer databases.

8. Vendor and inventory data

We may process information about vendor representatives and contacts, as well as documents related to their products and operations.

This information may include business contacts, tax data, origin documents, authorizations, inventory movements, inbound and outbound goods, warranty requests and support records.

Photos, documents and descriptions must be limited to what is necessary to identify products, verify operations or handle cases.

Storing goods does not allow collecting additional personal data without a valid purpose.

9. COD, Wallet and settlement data

To record, reconcile and settle operations, we may process:

• Collected and pending amounts.
• Credits, debits and operating balance.
• Costs and commissions associated with orders.
• Settlement beneficiary.
• Bank name, account number and data needed to make the transfer.
• International transfer details, where applicable.
• Receiving address, asset and network for enabled digital methods.
• Receipts, references and payment statuses.
• Documents needed to verify ownership, authorization or legitimacy of an operation.

We will never ask for digital asset private keys, recovery phrases, bank passwords or secret codes to carry out a settlement.

When external banks or processors are used, they will receive the data needed to provide their service and may have their own identification, fraud prevention and record-keeping obligations.

The Drop Wallet shows operating information. Its use does not authorize disclosing balances to people without permission.

10. Technical and security data

Depending on the infrastructure and tools actually used, we may process technical information needed to operate and protect the service, such as:

• IP address.
• Date and time of access.
• Browser and device type.
• Session identifiers.
• Authentication events.
• Actions performed within the account.
• Errors and diagnostic logs.
• Permission or configuration changes.

These logs will be used for authentication, access control, misuse prevention, incident investigation and troubleshooting.

Their collection does not authorize surveillance unrelated to the service or cross-site advertising tracking without the corresponding notices and controls.

11. Support, incident and warranty information

When a person contacts support or opens a case, we may process the messages, contact details, operation identifiers and documents they provide.

Attachments may contain photos, screenshots, receipts and other items needed to investigate an incident.

Before sending files, users must hide unnecessary third-party information, passwords, access codes or financial data that is not relevant.

Internal access to cases will be limited to the functions needed to handle them, supervise their resolution and meet applicable obligations.

If call recordings or transcription tools are used, this must be disclosed before use and must comply with applicable requirements.

12. Purposes of processing

We process information for the following purposes, depending on the activity and the corresponding legal basis:

Managing accounts. Registering users, verifying authority, authenticating access, managing permissions and keeping contacts up to date.

Providing commercial and operational services. Processing orders, coordinating inventory, preparing goods, managing dispatches and handling returns.

Carrying out deliveries and collections. Sharing necessary instructions with enabled operators, checking statuses and reconciling COD.

Managing settlements. Verifying beneficiaries, executing payment instructions and documenting movements.

Providing support. Investigating errors, answering questions, managing incidents and processing requests.

Offering reports. Showing account operating information and, where there is an authorized connection, Meta Ads reports.

Protecting the service. Detecting unauthorized access, investigating fraud and preserving the integrity of accounts and operations.

Meeting obligations. Responding to valid requests, keeping required records and managing tax or contractual obligations.

Sending necessary communications. Reporting relevant changes, incidents, movements and matters essential to using the service.

Promotional communications, optional analytics and other additional processing will be subject to the conditions described below.

A general purpose of "service improvement" does not allow any use of information nor does it override restrictions applicable to personal data or Meta Data.

13. Legal bases and authorizations

The basis for processing will depend on the applicable law and the specific activity.

It may include performance of a contract or valid instructions, compliance with legal obligations, consent where necessary, or other bases recognized by law.

When legitimate interest or an equivalent basis is relied upon, it must be verified that it is recognized in the relevant jurisdiction and that the processing is necessary and compatible with the rights of the people affected.

A person will not be considered to consent to any processing merely by visiting the site or accepting the terms of use.

The merchant must have a valid basis for sharing its buyers' data. An employee's authorization to connect an ad account does not replace the authority of the owner of the assets or the obligations towards third parties.

14. Mandatory and optional data

Some data is essential to create an account, deliver an order, verify an instruction or carry out a settlement.

If it is not provided, it may be impossible to carry out the requested activity. We will indicate that consequence through the corresponding fields, notices or requests.

Optional data must be identified as such. Declining to provide it must not prevent features that do not need it.

Connecting Meta Ads is the user's decision. Not doing so may prevent using its reports within Drop, but does not by itself breach the general agreement.

15. Meta Ads integration

The integration lets users connect ad accounts or assets to which they have legitimate access in order to view ads and performance information within Drop.

Access is granted through Meta's authorization flow and within the permissions actually granted.

Users must review the requested permissions, verify that they can act on behalf of the merchant and select the correct assets.

Users must not give Boxful their Facebook password or authentication codes to connect the integration.

The description in this policy corresponds to a read-only reporting integration. If Drop adds other features, it must update its information and request the corresponding additional authorizations before enabling them.

16. Categories of Meta Data

Within the authorized scope and the fields actually implemented, the integration may include:

• User or connection identifiers needed to link the authorization.
• Ad account identifiers and names.
• Account currency and time zone.
• Identifiers, names and statuses of campaigns, ad sets and ads.
• Spend, impressions, reach, clicks and results metrics.
• Conversions and other metrics reported by Meta.
• Access tokens and relevant dates to maintain or revoke the connection.

Profile data received during the connection: the ID and name of the Meta user who authorizes the connection. We do not receive their email, photo or other profile data.

Advertising fields and creative content accessed: for each ad account, its ID, name, currency, time zone and status; for each ad, its ID, name and status, its campaign (ID, name and objective), its ad set (ID and name) and a thumbnail of the creative; and, per ad and per day, the spend, impressions, reach, clicks, purchases and purchase value reported by Meta.

Viewing metrics does not mean receiving the identity of everyone who viewed or clicked an ad.

Tokens are technical access credentials and must be protected according to the risk they represent.

17. Purposes and limits on the use of Meta Data

We use authorized Meta Data to:

• Identify the connection and the selected assets.
• Query and synchronize the requested reports.
• Show advertising information within the corresponding account.
• Calculate metrics whose methodology is explained to the user.
• Compare advertising information with the store's operations.
• Address technical issues and protect the integration.

We will not sell this data or make it available to other merchants to view other parties' campaigns, spend or strategies.

The connection does not authorize using Meta Data to contact people who interacted with ads, build independent commercial databases or pursue purposes not described.

Nor does it authorize credit assessment, training artificial intelligence models or profiling other businesses. Any other use requires a specific analysis of lawfulness, compatibility with Meta's rules and the necessary authorizations.

Aggregating or de-identifying information does not automatically remove the restrictions Meta imposes on its data or on information derived from it.

18. Comparing ads with orders

When enabled, Drop may show advertising metrics alongside orders generated, confirmed, dispatched or delivered for the connected store.

Association or comparison method used: the dropshipper manually links each ad to a product in their catalog, and Drop compares the spend of the linked ads with the sold and delivered orders of that product in their store. The association is by product, not by buyer.

Comparing spend and orders over the same period does not by itself prove that each sale comes from a specific ad. Individual associations will only be made when there is sufficient information and permitted processing.

The read-only connection does not automatically authorize sending buyer, order or event information to Meta through Pixel, the Conversions API or audiences.

Drop does not send buyer, order or event information to Meta through Pixel, the Conversions API or audiences.

A merchant's contractual consent does not replace the legal bases and obligations towards its buyers for such transfers.

19. Access to Meta Ads reports

Reports will be linked to the authorized account or store and will be available according to the defined permissions.

Roles that can view advertising reports: Dropshipper.

The account holder must grant access only to authorized people and revoke it when no longer needed.

Boxful staff and its technical providers may only access Meta Data when necessary to provide support, protect the integration or perform the authorized functions, subject to appropriate restrictions and obligations.

Connecting an asset to a store does not authorize showing its data in other merchants' accounts.

20. Disconnection and deletion of Meta Data

Users can revoke access through the options Meta offers to manage apps, permissions or integrations.

They can also disconnect the integration in Drop from Settings → Integrations.

Once access is revoked, we will stop the corresponding new queries and disable the connection credentials under our control according to the applicable procedure.

Disconnecting Meta and deleting data are different actions. Disconnecting does not by itself close the Drop account or delete its orders or balances.

Users can request deletion of the associated Meta Data through:

• Email: soporte@soydrop.com.
• Public instructions: app.soydrop.com/data-deletion.
• Response time: up to 30 days.

We will also honor the deauthorization or deletion requests and mechanisms that apply to the implemented app.

We will delete the data when keeping it is no longer permitted or its deletion is required. A generic business need will not justify retaining it against a valid request.

If a legal obligation requires keeping specific information, we will limit that retention to what is necessary and document its basis, subject to the applicable rules.

Deletion obligations must extend to providers that process that data on our behalf.

21. Recipients of information

We will only share the information necessary for a valid purpose and within the scope of each service.

Authorized Boxful staff: operations, support, reconciliation and security, according to their roles.

Merchant responsible for the order: management of its sale, order and buyer support.

Product vendor: information needed for supply, preparation or warranty; it will not indiscriminately receive the entire buyer database.

Warehouses and fulfillment operators: preparation, custody, dispatch and return of goods.

Couriers and delivery operators: data essential to deliver, collect and manage incidents.

Banks and settlement providers: information needed to verify and execute payments.

Technology providers: infrastructure, support and contracted services within applicable instructions and restrictions.

Competent authorities: information needed for valid requests or legal obligations.

We will not share buyer data between independent merchants for their own advertising, or one account's advertising data with another, without a valid basis and authorization.

When a recipient acts as processor or processing service provider, obligations regarding purpose, confidentiality, security, sub-processing and deletion must be established.

When it determines its own purposes, that involvement and the corresponding policy must be disclosed.

22. International transfers

Regional operations, technology infrastructure or service provision may require processing information outside the country where the person is located.

Transfers will be made with the requirements and mechanisms required by applicable law, such as contracts, safeguards or other recognized measures.

It will not be presumed that any country or provider offers equivalent protection without verifying it.

Meta Data will also be subject to the restrictions and conditions applicable to its transfer. A general authorization for international transfers does not remove those restrictions.

23. Data retention

We will keep data for as long as necessary for the stated purposes and applicable obligations.

Retention periods will depend on the category, the service, legal deadlines and the existence of specific cases that justify additional retention.

Additional retention due to litigation or a legal request must be limited to relevant information and have a documented basis.

Meta Data and integration tokens are kept while the connection is active and are deleted when the integration is disconnected in Drop or when the deletion request from Meta is received. Metrics are re-queried over a rolling 28-day window so they match Ads Manager.

General accounting record periods will not automatically apply to all advertising data, tokens or identity documents.

Once the purpose and the permitted period have ended, we will delete or anonymize the information where appropriate. For Meta Data, restrictions on aggregated or derived information will also apply.

24. Cookies and similar technologies

Drop may use technologies necessary to maintain sessions, authenticate access, remember settings and protect the service.

We use PostHog to measure, in a limited manner, authenticated users' account and order creation. PostHog receives technical account identifiers, events from those flows and technical session data; we do not send buyer data, addresses, phone numbers, emails or order amounts.

Authenticated sessions may include a usage recording to diagnose those flows. Text and input fields are masked to reduce exposure of personal data.

Optional analytics, advertising or tracking tools will be identified separately and enabled in accordance with applicable legal requirements.

When consent is required, optional technologies must not be activated before obtaining it. Declining them will not prevent features that do not depend on them.

Users can configure their browser, although blocking essential technologies may affect operation.

Authorization to view Meta Ads does not amount to consent to advertising cookies or to sending browser events to Meta.

25. Communications and marketing

We may send necessary notices about accounts, orders, incidents, security, payments and contractual changes.

Promotional communications will only be sent where there is a valid basis, and people's preferences will be respected.

Unsubscribing from promotions will not prevent receiving messages essential to an ongoing contractual relationship.

Recipient data obtained to deliver goods will not be automatically added to Boxful's own campaigns.

Connecting Meta Ads does not authorize sending advertising messages to the advertiser or to people who interacted with its ads beyond the stated purposes.

26. Analytics and artificial intelligence tools

We may use operational information to provide the reports and recommendations that are part of the service actually enabled.

PostHog acts as an analytics provider to measure registration and order-creation flows, subject to the purposes and safeguards described in this policy.

When external providers are involved, it must be identified what information they receive, under what instructions and whether they have their own uses, including training or additional retention.

Personal data or Meta Data will not be sent to external tools merely because it is available within the platform.

Aggregated or anonymized information must have sufficient measures to prevent its association with identifiable people or businesses. Simply removing the name does not guarantee anonymity.

Reusing Meta Data for analytics or models must respect its specific restrictions.

27. Financing and assessments

If credit services are offered, their processing of information will be described through specific notices and agreements.

These must identify the lender, data assessed, sources, purposes, recipients, retention and the involvement of automated decisions where applicable.

Using Drop or connecting Meta Ads does not automatically authorize a credit assessment based on advertising data.

Authorizations to consult external sources or share financial information must be requested when necessary and legally valid.

28. Security measures

We will apply organizational and technical measures proportionate to the information processed and the risks of the service.

The measures implemented include encryption in transit, role-based access control and activity logging. Meta access tokens are stored encrypted with AES-256-GCM, and every request to Meta is signed with the app secret proof (appsecret_proof).

Access must be limited to authorized people and to the needs of their roles. Providers that process information on our behalf must assume appropriate security and confidentiality obligations.

No system guarantees the absolute absence of incidents. In the event of a relevant incident, we will investigate its scope, take containment measures and make the required notifications.

Warnings about technology risks do not remove our security obligations nor do they constitute a waiver of people's right to claim for breaches attributable to us.

29. Privacy rights and requests

People may exercise the rights recognized by applicable law, which may include access, correction, deletion, objection, restriction, portability or withdrawal of consent, as applicable.

Requests are submitted by writing to soporte@soydrop.com. Requests must include:

• Name and contact method.
• Relationship with Drop, if known.
• Right or request to be exercised.
• Enough information to locate the data.

We will only request the verification necessary to avoid disclosing or changing the information of the wrong person. Passwords, tokens or secret codes must not be sent.

We will respond within a maximum of 30 days. If a permitted extension applies, its reason and duration will be communicated.

When we act on a merchant's instructions, we will coordinate the response with the relevant controller, without ignoring the request or requiring unnecessary steps.

Requests relating to Meta Data will also be available through the channel described in this policy.

30. Deletion and account closure

Closing an account and deleting all its data are not always simultaneous processes.

Before closure it may be necessary to coordinate ongoing orders, inventory, settlements and pending obligations. That coordination does not authorize keeping all information indefinitely.

If we retain information due to a legal obligation or a permitted reason, we will explain the categories and the basis where appropriate. Retained information will not be used for incompatible purposes.

If a backup is restored, the relevant deletion requests must be maintained or reapplied.

Removing a Meta connection does not automatically delete orders received from other sources; each category will be handled according to its origin, purpose and applicable rules.

31. Sensitive information and minors

Drop is intended for commercial use and is not designed to request sensitive data that is unnecessary for its services.

Users must not upload information about health, beliefs, biometrics or other specially protected categories without a necessary purpose and a valid basis.

Business accounts must be managed by people with sufficient capacity and authority.

When an operation includes data about a minor buyer or recipient, the applicable protection and representation requirements must be met. That information must not be reused for advertising or profiling unrelated to the operation.

If improperly collected information is detected, its deletion and the necessary measures will be assessed.

32. Legal requests and corporate changes

We may disclose information when necessary to comply with a legal obligation or respond to a valid request from a competent authority.

Disclosure will be limited to the required scope. We will inform the person where appropriate and not prohibited.

In the event of a reorganization, acquisition or transfer of activities, processing must continue to have a valid basis, purpose restrictions and appropriate safeguards.

A corporate change does not authorize indiscriminately selling buyer databases or Meta Data. The conditions and authorizations required by the integrated platforms will also be respected.

33. Changes to this policy

We may update this policy to reflect legal changes or changes in our processing activities.

We will publish the corresponding version and date at app.soydrop.com/privacy-policy.

Material changes will be communicated with reasonable advance notice through the available channels. If a new purpose requires consent or another specific authorization, it will be obtained before carrying it out.

An update will not retroactively legitimize processing that lacked a basis nor remove pending requests or rights.

34. Contact and complaints

For questions about this policy or the processing of information, you can contact:

• Boxful Technologies, S.A. de C.V.
• Address: Colonia Las Mercedes, Calle Los Granados y Avenida Las Mercedes, Casa #645, San Salvador Centro, El Salvador.
• Company phone: +503 7041 5171.
• Privacy email: soporte@soydrop.com.
• Meta Data deletion instructions: app.soydrop.com/data-deletion.

Using these channels does not prevent going to the competent authority or body when the applicable law recognizes that right.

Contact

Legal name

Boxful Technologies, S.A. de C.V.

Tax registration number (NIT)

0614-200722-103-8

Country of registration

El Salvador

Address

Colonia Las Mercedes, Calle Los Granados y Avenida Las Mercedes, Casa #645, San Salvador Centro, El Salvador

Phone

+503 7041 5171

Email

soporte@soydrop.com