Política de Privacidad

1. Introducción e Identidad del Responsable

Esta Política de Privacidad describe cómo Synvaxis LLC, sociedad de responsabilidad limitada constituida bajo las leyes del Estado de Wyoming, Estados Unidos de América, con domicilio registrado en 30 N Gould St Ste N, Sheridan, WY 82801, USA ("Synvaxis", "nosotros", "nuestro"), recopila, utiliza, almacena, comparte y protege los datos personales cuando usted utiliza SynvaxisApp ("la Plataforma", "el Servicio").

Roles en el tratamiento. Synvaxis actúa como responsable del tratamiento (data controller) respecto de los datos necesarios para prestarle el servicio al cliente titular de la cuenta (registro, facturación, soporte). Respecto de los datos de usuarios finales (contactos, conversaciones, pedidos) que el cliente administra mediante la Plataforma, Synvaxis actúa como encargado del tratamiento (data processor) por cuenta del cliente.

Al utilizar la Plataforma, usted consiente las prácticas de tratamiento de datos descritas en esta política. Le recomendamos leerla detenidamente.

2. Datos que Recopilamos

2.1 Datos de Registro

Al crear una cuenta, recopilamos:

• Nombre completo
• Dirección de correo electrónico
• Contraseña (almacenada de forma cifrada)

2.2 Datos de Uso de la Plataforma

Durante el uso de la Plataforma, procesamos:

• Conversaciones: Mensajes entre usted/su IA y los clientes finales a través de WhatsApp.
• Contactos: Nombres, números de teléfono y metadatos de los contactos gestionados.
• Pedidos: Información de productos, precios, estados de orden y datos de envío.
• Productos: Catálogo de productos incluyendo descripciones, precios e imágenes/multimedia.
• Audio: Notas de voz enviadas y recibidas, así como transcripciones generadas por IA.
• Campañas: Datos de campañas de marketing, métricas de rendimiento y atribución de ventas.

2.3 Datos de Integraciones

Al conectar servicios de terceros, procesamos:

• Tokens de WhatsApp Business API: Credenciales de acceso a la API de Meta para envío y recepción de mensajes.
• Claves API de IA: Tokens de OpenAI, Google Gemini, Deepseek u otros proveedores de IA configurados por el usuario.
• Credenciales de ElevenLabs y Vapi: Claves para servicios de generación de voz y llamadas con IA.

2.4 Datos Técnicos

• Dirección IP
• Tipo de navegador y dispositivo
• Datos de sesión y logs de actividad
• Cookies funcionales y de sesión

3. Cómo Utilizamos los Datos

Utilizamos sus datos para:

• Prestar el servicio: Procesar conversaciones, gestionar contactos, ejecutar pedidos y operar la IA autónoma.
• Mejorar el servicio: Analizar patrones de uso para optimizar el rendimiento de la plataforma y la calidad de las respuestas de IA.
• Seguridad: Detectar y prevenir actividades fraudulentas, abusos o violaciones de los términos de servicio.
• Comunicaciones: Enviar notificaciones del sistema, alertas de rendimiento de IA y actualizaciones del servicio.
• Procesamiento de IA: Las conversaciones se envían a proveedores de IA (utilizando las claves API del usuario) para generar respuestas y análisis. Esto incluye el sistema RAG (Retrieval Augmented Generation) para contextualizar las respuestas.

4. Almacenamiento y Seguridad

4.1 Infraestructura

Los datos se almacenan en servidores de Supabase (basado en PostgreSQL) con cifrado en reposo y en tránsito. Los archivos multimedia (imágenes, audio) se almacenan en Supabase Storage con políticas de acceso seguro (RLS — Row Level Security).

4.2 Cifrado de Credenciales

Las claves API de terceros (OpenAI, WhatsApp, ElevenLabs, etc.) se almacenan cifradas mediante AES-256-GCM en la base de datos. Solo se descifran en tiempo de ejecución en el servidor para realizar las llamadas API correspondientes.

4.3 Aislamiento Multi-Tenant

La Plataforma implementa aislamiento a nivel de usuario (multi-tenant) mediante Row Level Security (RLS) en PostgreSQL. Cada usuario solo puede acceder a sus propios datos, contactos, conversaciones y pedidos.

5. Compartición de Datos con Terceros

No vendemos ni "compartimos" (según la definición de la CCPA/CPRA) datos personales con fines publicitarios. Los datos se comparten únicamente con los siguientes proveedores de servicio (subencargados) en el contexto estricto del funcionamiento de la Plataforma y bajo acuerdos contractuales de protección de datos:

• Meta Platforms, Inc. (WhatsApp Business API): Mensajes y metadatos de conversaciones para la entrega de mensajes. El uso se rige por los WhatsApp Business Solution Terms y la política de datos de Meta.
• Proveedores de IA (OpenAI, Google, Deepseek, y otros configurados por el cliente): Contenido de conversaciones para la generación de respuestas de IA, transmitido con las claves API del cliente. Estos proveedores operan bajo sus propias políticas de privacidad; cuando el cliente aporta sus propias claves, Synvaxis no controla sus prácticas de retención.
• ElevenLabs, Inc. / Vapi, Inc.: Texto para la generación de audio y contenido de llamadas con IA.
• Supabase, Inc.: Proveedor de infraestructura para base de datos, autenticación y almacenamiento (hospedado en EE. UU.).
• Vercel, Inc.: Proveedor de hosting para el frontend y funciones serverless.
• Stripe, Inc. / Pasarelas de pago: Procesamiento de pagos por suscripciones (cuando aplique). Synvaxis no almacena información completa de tarjetas de crédito.

También podremos divulgar datos cuando sea requerido por ley, orden judicial válida, solicitud gubernamental legítima, o cuando sea necesario para proteger los derechos, la propiedad o la seguridad de Synvaxis, nuestros usuarios o el público.

6. Base Legal del Tratamiento

Tratamos datos personales sobre las siguientes bases legales, según resulten aplicables a su jurisdicción:

• Ejecución del contrato: Para prestarle el Servicio conforme a los Términos.
• Consentimiento: Cuando usted nos autoriza expresamente (p. ej. comunicaciones opcionales).
• Interés legítimo: Para seguridad, prevención de fraude, mejora del servicio y analítica agregada.
• Obligación legal: Para cumplir con obligaciones fiscales, contables y normativas.

7. Derechos del Usuario

Dependiendo de su jurisdicción, usted puede ejercer los siguientes derechos sobre sus datos personales. Synvaxis honra los derechos previstos en el Reglamento General de Protección de Datos (GDPR, UE 2016/679), el UK GDPR, la California Consumer Privacy Act/CPRA, la Lei Geral de Proteção de Dados (LGPD, Brasil), la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (México), la Ley Orgánica de Protección de Datos Personales del Ecuador, y demás normativas aplicables a nuestros usuarios:

• Acceso: Solicitar una copia de los datos personales que mantenemos sobre usted.
• Rectificación: Corregir datos inexactos o incompletos.
• Eliminación / "derecho al olvido": Solicitar la eliminación de sus datos personales, sujeto a obligaciones legales de retención. Consulte nuestra Política de Eliminación de Datos.
• Portabilidad: Recibir sus datos en un formato estructurado, de uso común y lectura mecánica.
• Oposición: Oponerse al tratamiento de sus datos basado en interés legítimo.
• Limitación: Solicitar la restricción del tratamiento de sus datos.
• Retirar el consentimiento: Cuando el tratamiento se base en consentimiento, sin afectar la licitud previa.
• No discriminación (CCPA/CPRA): No recibirá un trato diferenciado por ejercer sus derechos.
• Reclamación ante autoridad: Presentar reclamaciones ante la autoridad de protección de datos competente en su jurisdicción.

Para ejercer cualquiera de estos derechos, contáctenos a gerencia@synvaxis.com. Responderemos en los plazos exigidos por la ley aplicable (generalmente treinta (30) días; hasta cuarenta y cinco (45) días bajo CCPA, prorrogables).

8. Retención de Datos

Mantenemos sus datos mientras su cuenta esté activa o mientras sea necesario para cumplir con las finalidades descritas en esta política. Tras la cancelación o eliminación de la cuenta:

• Los datos de la cuenta se mantienen durante 30 días para permitir la recuperación o exportación.
• Transcurrido ese período, los datos se eliminan de forma permanente de nuestros sistemas activos.
• Los respaldos (backups) se purgan en un plazo máximo de 90 días adicionales.
• Ciertos datos pueden retenerse por obligaciones legales (registros fiscales, prevención de fraude, cumplimiento normativo) por el período exigido por la ley aplicable.

9. Cookies y Tecnologías de Seguimiento

La Plataforma utiliza cookies estrictamente funcionales y de sesión para:

• Mantener la sesión de autenticación del usuario.
• Almacenar preferencias (como modo oscuro/claro, idioma).
• Garantizar la seguridad de la sesión y prevenir CSRF.

No utilizamos cookies de terceros para seguimiento publicitario, análisis de comportamiento entre sitios ni publicidad dirigida.

10. Datos de Menores

La Plataforma no está dirigida a menores de 18 años y no recopilamos intencionalmente datos de menores. Conforme a la Children's Online Privacy Protection Act (COPPA) y normativas equivalentes, si tenemos conocimiento de que hemos recopilado datos de un menor de 13 años (o de la edad mínima aplicable en su jurisdicción) sin el consentimiento verificable de un padre o tutor, procederemos a eliminarlos de inmediato.

11. Transferencias Internacionales de Datos

Synvaxis LLC opera desde Estados Unidos y sus proveedores de infraestructura principales se ubican en Estados Unidos (Supabase, Vercel, OpenAI, Google Cloud, Anthropic, entre otros). Si usted se encuentra fuera de los Estados Unidos, al utilizar la Plataforma consiente la transferencia de sus datos a los Estados Unidos, donde las leyes de protección de datos pueden diferir de las de su jurisdicción.

Para transferencias desde el Espacio Económico Europeo (EEE), Reino Unido y Suiza, nos apoyamos en las Cláusulas Contractuales Tipo (Standard Contractual Clauses) aprobadas por la Comisión Europea, así como en medidas técnicas y organizativas complementarias. Puede solicitar una copia de estas cláusulas escribiendo a gerencia@synvaxis.com.

12. Seguridad y Notificación de Incidentes

Implementamos medidas técnicas y organizativas razonables para proteger sus datos, incluyendo cifrado en tránsito (TLS 1.2+), cifrado en reposo, cifrado de credenciales sensibles (AES-256-GCM), controles de acceso por rol, aislamiento multi-tenant mediante RLS, registros de auditoría y revisiones periódicas de seguridad.

Ninguna transmisión por Internet o método de almacenamiento es completamente seguro. En caso de una vulneración de datos que afecte sus datos personales, Synvaxis notificará a los usuarios y a las autoridades competentes dentro de los plazos exigidos por la ley aplicable (p. ej. 72 horas bajo GDPR).

13. Política "Do Not Track" y Señales de Privacidad

Actualmente la Plataforma no responde a señales "Do Not Track" de los navegadores. Respetamos las señales Global Privacy Control (GPC) cuando son técnicamente detectables, tratándolas como solicitud válida de opt-out bajo CCPA/CPRA.

14. Cambios en esta Política

Podemos actualizar esta Política de Privacidad periódicamente. Los cambios sustanciales serán notificados con al menos quince (15) días de antelación a través de la Plataforma o por correo electrónico a los usuarios registrados. La fecha de "Última actualización" en la parte superior indica cuándo se modificó por última vez.

15. Contacto y Responsable de Protección de Datos

Para consultas, solicitudes de ejercicio de derechos o reclamos relacionados con la privacidad de sus datos, puede contactarnos en:

• Razón social: Synvaxis LLC
• Domicilio: 30 N Gould St Ste N, Sheridan, WY 82801, USA
• Correo electrónico: gerencia@synvaxis.com
• Asunto sugerido: "Solicitud de Privacidad / Data Subject Request"

Si reside en la Unión Europea, el Reino Unido o el EEE y considera que el tratamiento de sus datos infringe la normativa aplicable, tiene derecho a presentar una reclamación ante la autoridad de control competente en su país de residencia.