Política de Privacidad — Central de Mensajes

1. Quiénes somos

Central de Mensajes es un servicio operado por HUMAN SOFTWARE J.Y. SOCIEDAD ANONIMA, una empresa constituida bajo las leyes de la República de Costa Rica. Nos dedicamos a ofrecer una plataforma de mensajería multicanal con inteligencia artificial para pequeñas y medianas empresas.

Para cualquier consulta relacionada con esta política, puede contactarnos en: [email protected]

2. Datos que recopilamos

Recopilamos la siguiente información cuando usted utiliza nuestra plataforma:

Información de cuenta: nombre, dirección de correo electrónico, número de teléfono y datos de perfil de Google al autenticarse con Google OAuth.
Información del negocio: nombre del negocio, logo, descripción, horarios, productos o servicios, y cualquier contexto que usted proporcione para configurar las respuestas automáticas de IA. Si su negocio no tiene logo cuando conecta por primera vez una Página de Facebook, una cuenta de Instagram o un número de WhatsApp, usamos la foto de perfil de esa cuenta como logo, y usted puede cambiarlo en cualquier momento.
Mensajes procesados: conversaciones de WhatsApp, mensajes y comentarios de Facebook, y mensajes directos y comentarios de Instagram que usted gestiona a través de nuestra plataforma. Estos mensajes pertenecen a sus clientes y los procesamos exclusivamente para prestar el servicio.
Mensajes de audio: archivos de audio enviados por sus clientes a través de WhatsApp, que transcribimos para habilitar respuestas de IA.
Visitantes del chat del sitio web de un negocio (solo si ese negocio lo instala): los mensajes que el visitante escribe al asistente, los datos de contacto que decida compartir en el chat, un identificador aleatorio que permite al chat reconocer el mismo navegador cuando el visitante vuelve, y la dirección IP del visitante, que usamos solo para limitar abusos (por ejemplo, cuántas conversaciones puede abrir una misma red). El visitante es cliente del negocio, y el negocio controla esos datos (sección 6).
Clientes que abren una cotización de un negocio (solo si ese negocio envía cotizaciones): si el cliente pide un cambio en la página de la cotización, el mensaje que escribe, que se muestra a ese negocio; y, si acepta la cotización, esa aceptación y el momento en que ocurrió. A la página se llega por un enlace privado que el negocio le envió. El cliente es cliente del negocio, y el negocio controla esos datos (sección 6).
Datos de calendario (solo si conecta Google Calendar): vea la sección 5.
Consultas y reportes que nos envía: cuando nos escribe desde la plataforma (por ejemplo con el botón «Contanos»), conservamos su mensaje, la página en la que estaba, un registro breve de los pasos que dio en esa sesión para poder reproducir el problema, su nombre y correo, y el teléfono o WhatsApp que decida dejarnos para que le llamemos o le escribamos. Si no deja ninguno, podemos usar el número de WhatsApp que su negocio configuró para notificaciones.
Datos de uso: información sobre cómo interactúa con la plataforma, incluyendo páginas visitadas, funciones utilizadas, tiempos de sesión y registros técnicos del sistema.
Datos técnicos: dirección IP, tipo de navegador, sistema operativo, la zona horaria de su navegador y cookies de sesión. También usamos su dirección IP para inferir su país y zona horaria aproximados, por ejemplo para crear un negocio nuevo en la zona horaria correcta y para saber si debemos pedirle consentimiento para el análisis (sección 10).
Pagos (solo si usted o sus clientes pagan en línea): para un link de pago o la suscripción a un plan conservamos qué se cobró y por qué (los productos o la cita, el monto, su estado y fechas), los identificadores que nos entrega ONVO, y el nombre y correo de quien paga. Los números de tarjeta se escriben en la página o el formulario de pago de ONVO y nunca llegan ni se guardan en nuestros servidores.
Campos de contactos (solo si el negocio los define): propiedades que un negocio decide guardar de sus propios clientes, por ejemplo marcar a alguien como contacto personal o cliente de confianza, el valor que asigna a cada persona y las reglas que les asocia. El negocio decide qué registrar y controla esos datos (sección 6).
Notificaciones del navegador (solo si las activa): la dirección que el servicio de notificaciones de su navegador nos entrega para su dispositivo, para poder enviarle las notificaciones.

3. Cómo usamos sus datos

Utilizamos la información recopilada para los siguientes fines:

Prestación del servicio: conectar sus cuentas de mensajería, mostrar conversaciones en el panel unificado y permitirle responder a sus clientes.
Respuestas automáticas con IA: generar respuestas sugeridas o automáticas usando el contexto de su negocio y el historial de la conversación.
Transcripción de audio: convertir mensajes de voz a texto para facilitar la gestión y las respuestas automáticas.
Análisis y mejora: entender cómo se usa la plataforma para mejorar funcionalidades, detectar errores y optimizar el rendimiento.
Comunicaciones del servicio: enviarle notificaciones importantes sobre su cuenta, actualizaciones de la plataforma o cambios en estas políticas.
Responderle: contestar las consultas y reportes que nos envía, por correo, por llamada telefónica o por mensaje de WhatsApp. Su reporte llega a nuestro equipo por correo y como notificación del navegador para que se atienda con rapidez.
Pagos: abrir links de pago para pedidos y citas, confirmar que se pagaron, avisarle a su equipo, cobrar su plan y detectar pagos abandonados, devueltos o disputados.
Chat del sitio web: mostrar el botón de chat en el sitio de un negocio, atender a sus visitantes con el mismo asistente y mantener junta la conversación de cada visitante cuando vuelve.
Campos de contactos: aplicar las reglas que un negocio definió para las propiedades de sus clientes: por ejemplo, no responder automáticamente a un cliente y avisar al equipo, no pedirle un pago por adelantado a un cliente de confianza, o seguir una instrucción al atenderlo. El asistente lee esas propiedades solo en las conversaciones de ese mismo negocio.
Seguridad: detectar, prevenir e investigar actividades fraudulentas o violaciones a nuestros Términos de Servicio, y limitar cuántas veces y con qué rapidez una red o un navegador puede usar el chat del sitio web.

No utilizamos sus datos ni los de sus clientes para entrenar modelos de inteligencia artificial propios, ni los vendemos a terceros.

4. Terceros con acceso a datos

Para operar el servicio, compartimos datos con los siguientes proveedores de confianza:

Meta Platforms (WhatsApp, Facebook, Instagram)

Accedemos a sus canales de mensajería mediante la API oficial de Meta Business. Los mensajes de sus clientes se transmiten a través de la infraestructura de Meta conforme a su política de privacidad. Usted es responsable de cumplir con las políticas de uso de Meta como usuario de la API.

Google (Gemini AI y Google Analytics)

Utilizamos Google Gemini para generar respuestas automáticas con IA. Los fragmentos de conversación necesarios para generar respuestas se envían a la API de Gemini. También usamos Google Analytics para medir el uso de la plataforma y el sitio de marketing. Desde la plataforma (incluidas las páginas públicas de reservas y de chat), Google Analytics recibe únicamente las páginas visitadas (sin identificadores ni datos personales en la dirección), eventos como crear una cuenta, iniciar sesión, conectar un canal, avanzar en la configuración guiada, abrir el panel donde le enseña al asistente o avanzar en una reserva, y un identificador derivado de su cuenta que no permite reconocerle ni deshacerse. Nunca recibe su correo, su nombre, sus mensajes ni los datos de sus clientes.

ONVO Pay (procesamiento de pagos)

Los pagos que se hacen a través de Central de Mensajes —un pedido o una cita que paga un cliente suyo, y la suscripción a su plan— los procesa ONVO Pay, un procesador de pagos. Para abrir un pago le enviamos a ONVO el monto, las líneas que se pagan (nombre y cantidad de los productos, o el servicio), el nombre y correo de quien paga cuando los tenemos y una referencia interna. Los datos de la tarjeta los recoge ONVO y se rigen por su propia política de privacidad. El dinero de los pagos de sus clientes lo liquida ONVO a la cuenta que usted conectó; nosotros nunca lo recibimos. ONVO nos informa si cada pago se completó, falló, fue devuelto o fue disputado.

Deepgram (Transcripción de audio)

Los archivos de audio enviados por sus clientes vía WhatsApp se transmiten a Deepgram para su transcripción a texto. El audio no se almacena en los servidores de Deepgram más allá del tiempo necesario para completar la transcripción.

El servicio de notificaciones de su navegador (Google, Apple, Mozilla)

Si activa las notificaciones del navegador, su entrega pasa por el servicio de notificaciones del fabricante de su navegador. El aviso en sí no contiene ningún contenido de conversaciones: su navegador le pide el texto a nuestros servidores cuando llega.

Cloudflare

Toda la plataforma funciona sobre la infraestructura de Cloudflare. La aplicación se ejecuta en Cloudflare Workers; los datos de su cuenta, la configuración de su negocio y el historial de conversaciones se almacenan en Cloudflare D1; los archivos que usted y sus clientes envían (imágenes, audios, documentos) se guardan en Cloudflare R2; las sesiones se mantienen en Cloudflare KV; y los correos que le enviamos salen por el servicio de correo de Cloudflare. Los registros del servidor y los datos de las solicitudes HTTP también pasan por su infraestructura. Cloudflare Turnstile comprueba que quien visita es una persona antes de iniciar sesión, registrarse, usar el chat público y usar el chat del sitio web, y recibe los datos que el navegador envía para esa comprobación. Todo viaja cifrado en tránsito y se almacena cifrado en reposo.

5. Datos de usuario de Google (Google Calendar)

Conectar una cuenta de Google es opcional y lo inicia usted desde la configuración de su agenda. Iniciar sesión con Google, por sí solo, no nos da acceso a su calendario.

A qué accedemos

Si conecta Google Calendar, solicitamos estos permisos (alcances):

https://www.googleapis.com/auth/calendar.calendarlist.readonly: para listar los calendarios de su cuenta de Google y que usted elija cuál vincular a una agenda. No lo usamos para nada más.
https://www.googleapis.com/auth/calendar.events.owned: para leer los eventos del calendario que usted eligió y para crear, mover, editar y cancelar eventos en ese calendario únicamente por las citas reservadas a través de Central de Mensajes. Alcanza solo calendarios de los que su cuenta de Google es dueña, nunca calendarios que otras personas compartan con usted.
openid, email y profile: para identificar qué cuenta de Google conectó.

No solicitamos acceso a su Gmail, Drive, contactos ni a ningún otro producto de Google, y no solicitamos el alcance completo calendar.

Cómo lo usamos

Leemos los eventos del calendario vinculado (horarios, títulos y descripciones) para saber cuándo está ocupado, de modo que el asistente y su página pública de reservas ofrezcan solo horarios libres, y para mostrarlos en su agenda.
Creamos un evento por cada cita reservada en la plataforma. Lo movemos, le cambiamos la hora o el servicio, o lo cancelamos cuando el cliente lo pide en el chat y las reglas del negocio lo permiten, cuando su equipo lo hace desde la vista de calendario o cuando la cita se libera.
Usamos la lista de calendarios únicamente para mostrar el selector.

Usamos los datos de usuario de Google solo para prestar y mejorar estas funciones. No los usamos para publicidad, no los vendemos y no permitimos que personas los lean, salvo que usted nos pida soporte, sea necesario por seguridad o lo exija la ley.

Almacenamiento y protección

Guardamos en Cloudflare D1 los identificadores de su calendario vinculado y de los eventos que leímos o escribimos, con sus horarios, títulos y descripciones. Sus tokens de acceso y de actualización de Google se almacenan cifrados con AES-256-GCM y todo el tráfico viaja cifrado.

Cómo se comparten

No transferimos los datos de usuario de Google a terceros, salvo a los proveedores de infraestructura de la sección 4 que alojan el servicio, cuando la ley lo exija o en una fusión o adquisición con aviso previo a usted. No usamos los datos de usuario de Google para entrenar modelos de inteligencia artificial o aprendizaje automático de uso general.

Uso limitado

El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google se ajustarán a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de Uso Limitado.

Desconectar y eliminar

Puede desvincular un calendario o desconectar su cuenta de Google en cualquier momento desde la configuración de su agenda; al hacerlo revocamos nuestro token de acceso ante Google. Los eventos que ya escribimos en su calendario de Google se quedan allí, porque son citas reales con personas; puede borrarlos desde Google Calendar. También puede revocar el acceso en myaccount.google.com/permissions. Para que eliminemos los datos de Google que guardamos, escriba a [email protected] o use la página de eliminación de datos.

6. Procesamiento de mensajes via Meta (WhatsApp/Facebook/Instagram)

Al conectar sus cuentas de Meta a nuestra plataforma, usted nos autoriza a actuar como procesador de datos en nombre suyo para gestionar los mensajes de sus clientes. Esto significa que:

Procesamos los mensajes de sus clientes únicamente para prestar el servicio contratado.
No leemos ni analizamos los mensajes de sus clientes con fines distintos a los descritos en esta política.
Los tokens de acceso a la API de Meta se almacenan cifrados con AES-256-GCM en nuestra base de datos.
Usted, como operador del negocio, es el controlador de datos de sus clientes y es responsable de informarles adecuadamente sobre el uso de herramientas de automatización.
No vendemos, alquilamos ni compartimos los datos de sus clientes con terceros no mencionados en esta política.

7. Seguridad de los datos

Implementamos medidas técnicas y organizativas para proteger sus datos, incluyendo cifrado en tránsito (HTTPS/TLS), cifrado en reposo para datos sensibles (tokens de API con AES-256-GCM), control de acceso basado en roles, y verificación de firmas HMAC-SHA256 en todos los webhooks de Meta. Sin embargo, ningún sistema es completamente infalible y no podemos garantizar seguridad absoluta.

8. Retención de datos

Conservamos sus datos mientras su cuenta esté activa. Si cancela su cuenta, eliminaremos su información personal y el historial de conversaciones dentro de los 30 días calendario siguientes a la confirmación de la cancelación. Podemos retener datos anonimizados o agregados por períodos más largos para análisis interno. Los registros de facturación pueden retenerse por el período que exija la legislación costarricense aplicable.

Mensajes y comentarios que un cliente elimina. Cuando un cliente de su negocio elimina en Instagram o Facebook un mensaje o un comentario, dejamos de mostrar y de usar su contenido: si nadie lo había respondido, borramos el texto y los archivos y solo queda un aviso de que fue eliminado. Si su equipo o el asistente ya lo había respondido, conservamos el texto, tachado y marcado como eliminado, mientras su cuenta esté activa, para que la respuesta siga teniendo contexto; el asistente nunca lo responde de nuevo.

9. Sus derechos

Usted tiene los siguientes derechos sobre sus datos personales:

Acceso: solicitar una copia de los datos personales que tenemos sobre usted.
Corrección: solicitarnos que corrijamos datos inexactos o incompletos.
Eliminación: solicitar la eliminación de su cuenta y datos personales.
Portabilidad: solicitar sus datos en un formato estructurado y legible por máquina.
Oposición: oponerse al procesamiento de sus datos para ciertos fines.

Para ejercer cualquiera de estos derechos, escríbanos a [email protected]. Responderemos dentro de los 30 días hábiles siguientes a su solicitud.

10. Cookies

Utilizamos cookies estrictamente necesarias para mantener su sesión autenticada. También utilizamos cookies de análisis de Google Analytics para entender cómo se navega nuestro sitio de marketing y cómo se usa la plataforma. Si usted visita desde el Espacio Económico Europeo, el Reino Unido o Suiza, le pedimos su consentimiento antes de activar las cookies de análisis: no se cargan ni se guardan hasta que las acepte, y puede rechazarlas con la misma facilidad. Puede cambiar su decisión en cualquier momento desde «Preferencias de cookies» en el pie de página. También puede configurar su navegador para rechazar cookies, aunque esto puede afectar el funcionamiento de la plataforma.

En su navegador se guardan además dos cosas más, ninguna para rastrearle: una cookie de preferencia con la zona horaria de su navegador, para que un negocio nuevo empiece en la correcta, y pequeños datos en el almacenamiento local del navegador (su idioma, si ya vio un consejo y el último teléfono que escribió en nuestro formulario de contacto, para que no tenga que escribirlo de nuevo). Permanecen en su dispositivo; borrar los datos del navegador los elimina.

Si un negocio instala nuestro chat en su sitio web, la ventana de chat que mostramos allí guarda dos datos pequeños en su propio almacenamiento local en ese sitio: un identificador aleatorio del navegador del visitante, que permite continuar la conversación cuando regresa (hasta unos 13 meses), y, cuando el visitante pasa nuestra verificación de que es una persona, un pase que dura unas 2 horas. No usamos cookies para esto ni cargamos análisis dentro de la ventana de chat. Permanecen en el dispositivo del visitante; borrar los datos del navegador los elimina.

11. Menores de edad

Nuestro servicio está dirigido exclusivamente a personas mayores de 18 años que operan negocios. No recopilamos intencionalmente información de menores de edad. Si nos enteramos de que hemos recopilado datos de un menor, los eliminaremos de inmediato.

12. Cambios a esta política

Podemos actualizar esta Política de Privacidad periódicamente. Cuando hagamos cambios materiales, se lo notificaremos por correo electrónico o mediante un aviso destacado en la plataforma al menos 15 días antes de que entren en vigor. El uso continuo del servicio después de esa fecha constituye la aceptación de los cambios.

13. Contacto

Si tiene preguntas, inquietudes o desea ejercer sus derechos, contáctenos:

HUMAN SOFTWARE J.Y. SOCIEDAD ANONIMA
Operador de Central de Mensajes
Costa Rica
[email protected]