Política de Privacidad

En [PENDIENTE — actualizar antes de lanzamiento] (en adelante, "ALVEX", "nosotros", "nuestro") respetamos tu privacidad y la de tus clientes finales. Esta política explica qué datos recopilamos, para qué los usamos, con quién los compartimos y cómo puedes ejercer tus derechos.

1. Quién es el responsable de tus datos

[PENDIENTE — actualizar antes de lanzamiento]
NIT [PENDIENTE — actualizar antes de lanzamiento]
[PENDIENTE — actualizar antes de lanzamiento]
Teléfono: [PENDIENTE — actualizar antes de lanzamiento]
Contacto de privacidad: privacidad@alvexsaas.com
Sitio web: https://alvexsaas.com

2. Qué datos recopilamos

2.1. Datos de tu cuenta (cliente directo de ALVEX)

• Nombre, correo electrónico, número de teléfono y nombre del negocio.
• Datos de facturación: razón social, NIT/RUT, dirección fiscal — procesados por Polar (Merchant of Record).
• Información de pago (tarjeta) — almacenada y procesada exclusivamente por Polar y sus subprocesadores PCI-DSS compliant. ALVEX no recibe ni almacena números de tarjeta.
• Configuración del agente: nombre, tono, idiomas, prompts, catálogos, plantillas, lista de números autorizados.

2.2. Datos de tus clientes finales (a través de tu agente)

• Contenido de los mensajes intercambiados por WhatsApp, voz, SMS o email.
• Metadatos: número de teléfono, fecha y hora, idioma detectado, duración de llamadas, estado de entrega.
• Información que el cliente final comparte voluntariamente con el agente (nombre, intención, datos contextuales para citas, pedidos, soporte).
• Identificador único de WhatsApp Business Account (WABA ID) y Phone Number ID (asignados por Meta).

2.3. Datos técnicos

• Logs de uso del dashboard: páginas visitadas, acciones realizadas, errores.
• Información del dispositivo: navegador, sistema operativo, IP aproximada.
• Cookies esenciales para el funcionamiento del servicio (ver Política de Cookies).

3. Para qué usamos tus datos

• Operar el servicio: permitir que tu agente responda en tiempo real, sincronizar con tu calendario, ejecutar acciones que tú configuras, mantener conexión con la WhatsApp Business Platform de Meta.
• Soporte: responder tus consultas y resolver incidentes.
• Facturación: Polar emite facturas y procesa pagos, retiene impuestos (IVA, sales tax) según tu jurisdicción.
• Cumplimiento con políticas de Meta: aplicar las reglas de la WhatsApp Business Policy, registrar opt-in y opt-out de clientes finales, mantener calidad del número.
• Mejora del producto: métricas agregadas y anónimas. Nunca usamos contenido individual de tus mensajes para entrenar modelos públicos.
• Cumplimiento legal: responder a requerimientos válidos de autoridades competentes.

4. Con quién compartimos los datos

Compartimos datos únicamente con los subprocesadores necesarios para operar el servicio, bajo contratos de procesamiento de datos:

• Meta Platforms Ireland Limited — operador de WhatsApp Business Platform. ALVEX actúa como Tech Provider oficial registrado en Meta. Sujeto a la WhatsApp Business Policy y a las Políticas de Privacidad de WhatsApp.
• Polar Software Inc. — Merchant of Record. Procesa pagos, emite facturas, retiene y remite impuestos en jurisdicciones aplicables. Polar mantiene certificación PCI-DSS.
• Proveedores de modelos de IA (OpenAI, Anthropic, Google) — para procesar mensajes en tiempo real. Los mensajes se envían en modo "no training" / "zero data retention" según acuerdos enterprise. No se usan para entrenar modelos públicos.
• Supabase Inc. — base de datos y autenticación (servidores en EU/US).
• Vercel Inc. — hosting de la aplicación web y edge functions.
• Railway Corp. — workers de procesamiento background (incluido el conector Baileys QR de WhatsApp).
• Resend Inc. — envío de correos transaccionales.
• Cloudflare Inc. — DNS, mitigación DDoS, WAF.

Lista completa con ubicaciones y mecanismos de transferencia en el Acuerdo de Procesamiento de Datos (Anexo II).

No vendemos ni cedemos tus datos a terceros con fines publicitarios.

5. Cómo manejamos el consentimiento de tus clientes finales (Meta opt-in)

La WhatsApp Business Platform exige que el cliente final dé consentimiento explícito antes de recibir mensajes iniciados por tu negocio (mensajes outbound). Como cliente de ALVEX, tú eres responsable de obtener ese consentimiento. ALVEX facilita el proceso de las siguientes formas:

• Almacenamiento del consentimiento: registramos la fecha, hora, canal y mecanismo de opt-in para cada contacto.
• Opt-out automático: si un cliente final escribe "STOP", "BAJA", "ELIMINAR" o equivalentes en cualquier idioma soportado, el sistema lo detecta automáticamente, deja de enviar mensajes a ese número y lo marca como opt-out en tu lista.
• Plantillas pre-aprobadas: los mensajes outbound fuera de la ventana de 24 horas se envían usando solo plantillas (templates) que Meta haya aprobado previamente.
• Ventana de servicio de 24 horas: los mensajes de respuesta libre solo se envían dentro de las 24 horas siguientes al último mensaje del cliente final. Fuera de esa ventana, solo se usan plantillas.

Más detalle en nuestra Política de Uso Aceptable.

6. Dónde se almacenan los datos

Tus datos se almacenan en servidores ubicados principalmente en Estados Unidos y la Unión Europea (Frankfurt), en proveedores que cumplen con estándares ISO 27001, SOC 2 Type II y PCI-DSS. Toda la comunicación está cifrada en tránsito (TLS 1.2 o superior) y los datos en reposo se cifran con AES-256. Los secretos (tokens de Meta, claves de API) se cifran con KMS.

7. Cuánto tiempo guardamos los datos

• Datos de cuenta activa: mientras tu suscripción esté vigente.
• Conversaciones: mientras tu suscripción esté vigente. Al cancelar, te exportamos todo y eliminamos nuestras copias en máximo 30 días (90 días para backups históricos), salvo obligaciones legales de retención.
• Datos de facturación: 5 años por obligaciones contables y fiscales (Estatuto Tributario Colombia y equivalentes en otras jurisdicciones).
• Registros de consentimiento (opt-in/opt-out): mientras dure la relación + 12 meses para evidencia ante Meta y autoridades.
• Logs técnicos: máximo 90 días.
• Logs de auditoría de accesos administrativos: 12 meses.

8. Tus derechos

Sin importar tu país, puedes ejercer los siguientes derechos sobre tus datos:

• Acceso: obtener una copia de los datos que tenemos sobre ti.
• Rectificación: corregir datos inexactos.
• Eliminación: solicitar el borrado completo (ver Política de Eliminación de Datos).
• Portabilidad: exportar tus datos en formato estándar (CSV, JSON).
• Oposición: oponerte a usos específicos.
• Limitación: restringir el procesamiento.
• No ser objeto de decisiones automatizadas que produzcan efectos jurídicos significativos sin intervención humana (GDPR Art. 22).

Para ejercer cualquier derecho, escribe a privacidad@alvexsaas.com. Te respondemos en máximo 30 días.

9. Datos de tus clientes finales

Como cliente de ALVEX, tú eres el responsable (controller) del tratamiento de los datos de tus clientes finales. ALVEX actúa como encargado (processor). Debes:

• Tener una base legal válida (consentimiento, contrato, interés legítimo) para usar el servicio con tus clientes finales.
• Informar a tus clientes finales sobre el uso de un agente de IA en tu propia política de privacidad.
• Procesar solicitudes de eliminación o acceso de tus clientes finales directamente o redirigirlas a ALVEX.
• Cumplir con la WhatsApp Business Policy de Meta cuando uses el canal WhatsApp.

Para clientes B2B en jurisdicciones con normativa estricta (GDPR, UK GDPR, LGPD), nuestro Acuerdo de Procesamiento de Datos (DPA) aplica automáticamente y forma parte de los Términos.

10. Menores de edad

El servicio no está dirigido a menores de 18 años. Si descubrimos que recolectamos datos de un menor sin autorización válida del tutor, los eliminamos de inmediato. Si crees que un menor está usando ALVEX sin autorización, repórtalo a privacidad@alvexsaas.com.

11. Transferencias internacionales

Por la naturaleza global del servicio, algunos datos se procesan fuera de tu país. Aplicamos:

• Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea (Decisión 2021/914).
• Decisión de Adecuación EU-US Data Privacy Framework cuando el subprocesador está certificado.
• Medidas técnicas adicionales (cifrado, pseudonimización) cuando aplique.

12. Seguridad

Implementamos medidas técnicas y organizativas razonables para proteger tus datos. Ver el Anexo I del DPA para el detalle completo. En caso de brecha de seguridad que afecte tus datos, te notificaremos sin demora indebida (máximo 72 horas desde la detección).

13. Cookies y tecnologías similares

Ver nuestra Política de Cookies para el detalle completo de qué cookies usamos, para qué y cómo controlarlas.

14. Cambios a esta política

Podemos actualizar esta política. Cualquier cambio material te lo notificaremos por correo electrónico al menos 30 días antes de su entrada en vigor. La versión vigente siempre está disponible en esta URL.

15. Autoridad de protección de datos

Si consideras que el tratamiento de tus datos vulnera la normativa aplicable, puedes presentar una queja ante:

• Colombia: Superintendencia de Industria y Comercio (SIC) — sic.gov.co
• España / UE: Agencia Española de Protección de Datos (AEPD) o la autoridad equivalente de tu país.
• Reino Unido: Information Commissioner's Office (ICO).
• Otros países: la autoridad nacional competente en protección de datos personales.

16. Contacto

Responsable: [PENDIENTE — actualizar antes de lanzamiento]
Correo de privacidad / DPO: privacidad@alvexsaas.com
Correo general: hola@alvexsaas.com
Correo legal: legal@alvexsaas.com
Dirección postal: [PENDIENTE — actualizar antes de lanzamiento]