Política de Privacidad

1. Introducción e Identidad del Responsable

Esta Política de Privacidad describe cómo Synvaxis LLC, sociedad de responsabilidad limitada constituida bajo las leyes del Estado de Wyoming, Estados Unidos de América, con domicilio registrado en 30 N Gould St Ste N, Sheridan, WY 82801, USA ("Synvaxis", "nosotros", "nuestro"), recopila, utiliza, almacena, comparte y protege los datos personales cuando usted utiliza SynvaxisApp ("la Plataforma", "el Servicio").

Roles en el tratamiento. Synvaxis actúa como responsable del tratamiento (data controller) respecto de los datos necesarios para prestarle el servicio al cliente titular de la cuenta (registro, facturación, soporte). Respecto de los datos de usuarios finales (contactos, conversaciones, pedidos) que el cliente administra mediante la Plataforma, Synvaxis actúa como encargado del tratamiento (data processor) por cuenta del cliente.

Al utilizar la Plataforma, usted consiente las prácticas de tratamiento de datos descritas en esta política. Le recomendamos leerla detenidamente.

2. Datos que Recopilamos

2.1 Datos de Registro

Al crear una cuenta, recopilamos:

• Nombre completo
• Dirección de correo electrónico
• Contraseña (almacenada de forma cifrada)

2.2 Datos de Uso de la Plataforma

Durante el uso de la Plataforma, procesamos:

• Conversaciones: Mensajes entre usted/su IA y los clientes finales a través de WhatsApp.
• Contactos: Nombres, números de teléfono y metadatos de los contactos gestionados.
• Pedidos: Información de productos, precios, estados de orden y datos de envío.
• Productos: Catálogo de productos incluyendo descripciones, precios e imágenes/multimedia.
• Audio: Notas de voz enviadas y recibidas, así como transcripciones generadas por IA.
• Campañas: Datos de campañas de marketing, métricas de rendimiento y atribución de ventas.

2.3 Datos de Integraciones

Al conectar servicios de terceros, procesamos:

• Tokens de WhatsApp Business API: Credenciales de acceso a la API de Meta para envío y recepción de mensajes.
• Claves API de IA (BYOK): Tokens de OpenAI, Google Gemini, Groq, Anthropic, xAI, DeepSeek u otros proveedores compatibles configurados por el usuario, junto con el estado de validación y la identificación del proveedor.
• Credenciales de ElevenLabs: Claves para servicios de generación de voz y llamadas con IA.

2.4 Datos Técnicos

• Dirección IP
• Tipo de navegador y dispositivo
• Datos de sesión y logs de actividad
• Cookies funcionales y de sesión

2.5 Datos de IA, Saldo y Pagos

Cuando utiliza BYOK, enrutamiento administrado o Saldo de IA, podemos tratar:

• Contenido de la tarea: Instrucciones, fragmentos de conversaciones, archivos, contexto recuperado y respuestas necesarias para ejecutar y diagnosticar la solicitud.
• Metadatos de enrutamiento y uso: Categoría de tarea, proveedor y modelo seleccionados, tokens o unidades consumidas, latencia, estado, errores y reintentos.
• Datos económicos: Costo del proveedor, margen aplicable, reservas, liquidaciones, liberaciones, saldo disponible e historial de movimientos.
• Datos de pago y riesgo: Importe y moneda de la recarga, identificadores de Stripe, estado del pago, reembolso o disputa, y señales técnicas utilizadas para prevenir fraude. No recibimos ni almacenamos el número completo de la tarjeta.

3. Cómo Utilizamos los Datos

Utilizamos sus datos para:

• Prestar el servicio: Procesar conversaciones, gestionar contactos, ejecutar pedidos y operar la IA autónoma.
• Mejorar el servicio: Analizar patrones de uso para optimizar el rendimiento de la plataforma y la calidad de las respuestas de IA.
• Seguridad: Detectar y prevenir actividades fraudulentas, abusos o violaciones de los términos de servicio; aplicar límites, revisiones o congelaciones justificadas.
• Comunicaciones: Enviar notificaciones del sistema, alertas de rendimiento de IA y actualizaciones del servicio.
• Procesamiento y enrutamiento de IA: Enviar los datos necesarios a un proveedor elegido por el usuario mediante BYOK o seleccionado por Synvaxis para IA administrada, a fin de generar respuestas, análisis y contexto RAG (Retrieval Augmented Generation).
• Facturación y conciliación: Validar recargas, reservar y liquidar consumo, calcular costos y margen, corregir movimientos, procesar reembolsos o disputas y mantener registros contables.

4. Almacenamiento y Seguridad

4.1 Infraestructura

Los datos se almacenan en servidores de Supabase (basado en PostgreSQL) con cifrado en reposo y en tránsito. Los archivos multimedia (imágenes, audio) se almacenan en Supabase Storage con políticas de acceso seguro (RLS — Row Level Security).

4.2 Cifrado de Credenciales

Las claves API de terceros (OpenAI, WhatsApp, ElevenLabs, etc.) se almacenan cifradas mediante AES-256-GCM en la base de datos. Solo se descifran en tiempo de ejecución en el servidor para realizar las llamadas API correspondientes.

4.3 Aislamiento Multi-Tenant

La Plataforma implementa aislamiento a nivel de usuario (multi-tenant) mediante Row Level Security (RLS) en PostgreSQL. Cada usuario solo puede acceder a sus propios datos, contactos, conversaciones y pedidos.

5. Compartición de Datos con Terceros

No vendemos ni "compartimos" (según la definición de la CCPA/CPRA) datos personales con fines publicitarios. Los datos se comparten únicamente con los siguientes proveedores de servicio (subencargados) en el contexto estricto del funcionamiento de la Plataforma y bajo acuerdos contractuales de protección de datos:

• Meta Platforms, Inc. (WhatsApp Business API): Mensajes y metadatos de conversaciones para la entrega de mensajes. El uso se rige por los WhatsApp Business Solution Terms y la política de datos de Meta.
• Proveedores configurados por el usuario (BYOK), incluidos OpenAI, Google Gemini, Groq, Anthropic, xAI y DeepSeek: Reciben los datos necesarios únicamente cuando el cliente conecta y utiliza su propia cuenta con ese proveedor.
• OpenAI (IA administrada inicial): Es el único proveedor habilitado para consumo pagado con Saldo de IA en el lanzamiento inicial. Recibe instrucciones, contenido de conversaciones, archivos o contexto necesario para generar resultados como subencargado operativo de Synvaxis. Google Gemini, Groq, Anthropic, xAI y DeepSeek no forman parte de la IA administrada inicial; podrán estar disponibles mediante BYOK o incorporarse en el futuro después de las aprobaciones, salvaguardas y avisos aplicables.
• ElevenLabs, Inc.: Texto para la generación de audio y contenido de llamadas con IA.
• Supabase, Inc.: Proveedor de infraestructura para base de datos, autenticación y almacenamiento (hospedado en EE. UU.).
• Stripe, Inc. / pasarelas de pago: Procesamiento de suscripciones y recargas de Saldo de IA, prevención de fraude, reembolsos y disputas. Stripe recibe directamente los datos del medio de pago; Synvaxis recibe identificadores, importes, estados y metadatos relacionados, pero no almacena el número completo de la tarjeta.

Este envío de datos fuera de la infraestructura de Synvaxis ("egress") es necesario para ejecutar las funciones solicitadas. Limitamos el contenido transmitido a lo razonablemente necesario según la tarea, pero no podemos prestar una función de IA de terceros sin comunicar datos al proveedor correspondiente. La lista de proveedores BYOK puede depender de la configuración del usuario. La lista de proveedores administrados puede cambiar por disponibilidad, calidad, costo o seguridad; notificaremos los cambios materiales conforme a la sección 14 antes de habilitarlos.

También podremos divulgar datos cuando sea requerido por ley, orden judicial válida, solicitud gubernamental legítima, o cuando sea necesario para proteger los derechos, la propiedad o la seguridad de Synvaxis, nuestros usuarios o el público.

6. Base Legal del Tratamiento

Tratamos datos personales sobre las siguientes bases legales, según resulten aplicables a su jurisdicción:

• Ejecución del contrato: Para prestarle el Servicio conforme a los Términos.
• Consentimiento: Cuando usted nos autoriza expresamente, incluso cuando una función opcional o la legislación aplicable lo requiera. Puede retirar el consentimiento para usos futuros, sin afectar tratamientos previos.
• Interés legítimo: Para seguridad, prevención de fraude, conciliación, mejora del servicio y analítica agregada, sujeto a los derechos aplicables.
• Obligación legal: Para cumplir obligaciones fiscales, contables, de pagos y otras obligaciones legales aplicables.

Al activar IA, conectar una clave BYOK o utilizar Saldo de IA, el titular de la cuenta solicita el procesamiento y el egress necesarios para la tarea. Cuando Synvaxis actúa como encargado, el cliente determina la base legal y es responsable de proporcionar avisos y obtener cualquier consentimiento exigido de sus contactos o usuarios finales.

7. Derechos del Usuario

Dependiendo de su jurisdicción, usted puede ejercer los siguientes derechos sobre sus datos personales. Synvaxis honra los derechos previstos en el Reglamento General de Protección de Datos (GDPR, UE 2016/679), el UK GDPR, la California Consumer Privacy Act/CPRA, la Lei Geral de Proteção de Dados (LGPD, Brasil), la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (México), la Ley Orgánica de Protección de Datos Personales del Ecuador, y demás normativas aplicables a nuestros usuarios:

• Acceso: Solicitar una copia de los datos personales que mantenemos sobre usted.
• Rectificación: Corregir datos inexactos o incompletos.
• Eliminación / "derecho al olvido": Solicitar la eliminación de sus datos personales, sujeto a obligaciones legales de retención. Consulte nuestra Política de Eliminación de Datos.
• Portabilidad: Recibir sus datos en un formato estructurado, de uso común y lectura mecánica.
• Oposición: Oponerse al tratamiento de sus datos basado en interés legítimo.
• Limitación: Solicitar la restricción del tratamiento de sus datos.
• Retirar el consentimiento: Cuando el tratamiento se base en consentimiento, sin afectar la licitud previa.
• No discriminación (CCPA/CPRA): No recibirá un trato diferenciado por ejercer sus derechos.
• Reclamación ante autoridad: Presentar reclamaciones ante la autoridad de protección de datos competente en su jurisdicción.

Para ejercer cualquiera de estos derechos, contáctenos a gerencia@synvaxis.com. Responderemos en los plazos exigidos por la ley aplicable (generalmente treinta (30) días; hasta cuarenta y cinco (45) días bajo CCPA, prorrogables).

8. Retención de Datos

Mantenemos sus datos mientras su cuenta esté activa o mientras sea necesario para cumplir con las finalidades descritas en esta política. Tras la cancelación o eliminación de la cuenta:

• Los datos de la cuenta se mantienen durante 30 días para permitir la recuperación o exportación.
• Transcurrido ese período, los datos se eliminan de forma permanente de nuestros sistemas activos.
• Los respaldos (backups) se purgan en un plazo máximo de 90 días adicionales.
• Ciertos datos pueden retenerse por obligaciones legales (registros fiscales, prevención de fraude, cumplimiento normativo) por el período exigido por la ley aplicable.

Las claves BYOK se conservan cifradas mientras la integración esté activa y se eliminan o inutilizan al desconectarla, salvo copias de respaldo sujetas a su ciclo de eliminación. Los registros de Saldo de IA, recargas, reservas, liquidaciones, reembolsos, disputas, contracargos, fraude y facturación pueden conservarse después del cierre de la cuenta durante el período razonablemente necesario para conciliación, obligaciones fiscales o contables, requerimientos legales y defensa de reclamaciones. Esta conservación limitada puede prevalecer sobre una solicitud de eliminación cuando la ley lo permita o exija.

9. Cookies y Tecnologías de Seguimiento

La Plataforma utiliza cookies estrictamente funcionales y de sesión para:

• Mantener la sesión de autenticación del usuario.
• Almacenar preferencias (como modo oscuro/claro, idioma).
• Garantizar la seguridad de la sesión y prevenir CSRF.

No utilizamos cookies de terceros para seguimiento publicitario, análisis de comportamiento entre sitios ni publicidad dirigida.

10. Datos de Menores

La Plataforma no está dirigida a menores de 18 años y no recopilamos intencionalmente datos de menores. Conforme a la Children's Online Privacy Protection Act (COPPA) y normativas equivalentes, si tenemos conocimiento de que hemos recopilado datos de un menor de 13 años (o de la edad mínima aplicable en su jurisdicción) sin el consentimiento verificable de un padre o tutor, procederemos a eliminarlos de inmediato.

11. Transferencias Internacionales de Datos

Synvaxis LLC opera desde Estados Unidos y sus proveedores de infraestructura, pagos e IA pueden procesar datos en Estados Unidos y otros países. El enrutamiento por tarea puede producir egress internacional hacia el proveedor seleccionado, donde las leyes de protección de datos pueden diferir de las de su jurisdicción.

Cuando la ley aplicable lo requiera, procuramos utilizar mecanismos contractuales u otras salvaguardas disponibles para transferencias internacionales y medidas técnicas y organizativas apropiadas. Esto no elimina todos los riesgos derivados de las leyes o prácticas del país receptor. Puede solicitar información sobre las salvaguardas aplicables escribiendo a gerencia@synvaxis.com.

12. Seguridad y Notificación de Incidentes

Implementamos medidas técnicas y organizativas razonables para proteger sus datos, incluyendo cifrado en tránsito (TLS 1.2+), cifrado en reposo, cifrado de credenciales sensibles (AES-256-GCM), controles de acceso por rol, aislamiento multi-tenant mediante RLS, registros de auditoría y revisiones periódicas de seguridad.

Ninguna transmisión por Internet o método de almacenamiento es completamente seguro. En caso de una vulneración de datos que afecte sus datos personales, Synvaxis notificará a los usuarios y a las autoridades competentes dentro de los plazos exigidos por la ley aplicable (p. ej. 72 horas bajo GDPR).

13. Política "Do Not Track" y Señales de Privacidad

Actualmente la Plataforma no responde a señales "Do Not Track" de los navegadores. Respetamos las señales Global Privacy Control (GPC) cuando son técnicamente detectables, tratándolas como solicitud válida de opt-out bajo CCPA/CPRA.

14. Cambios en esta Política

Podemos actualizar esta Política de Privacidad periódicamente. Los cambios sustanciales —incluidos cambios relevantes en las categorías de proveedores administrados, finalidades o flujos de egress— serán notificados con al menos quince (15) días de antelación a través de la Plataforma o por correo electrónico a los usuarios registrados, salvo que una necesidad urgente de seguridad o una obligación legal requiera otro plazo. Cuando la ley exija consentimiento afirmativo, lo solicitaremos antes de aplicar el cambio correspondiente. La fecha de "Última actualización" en la parte superior indica cuándo se modificó por última vez.

15. Contacto y Responsable de Protección de Datos

Para consultas, solicitudes de ejercicio de derechos o reclamos relacionados con la privacidad de sus datos, puede contactarnos en:

• Razón social: Synvaxis LLC
• Domicilio: 30 N Gould St Ste N, Sheridan, WY 82801, USA
• Correo electrónico: gerencia@synvaxis.com
• Asunto sugerido: "Solicitud de Privacidad / Data Subject Request"

Si reside en la Unión Europea, el Reino Unido o el EEE y considera que el tratamiento de sus datos infringe la normativa aplicable, tiene derecho a presentar una reclamación ante la autoridad de control competente en su país de residencia.