1. Responsable y alcance
El responsable del tratamiento es Jos茅 Dimas Rodr铆guez Valderrama, quien opera NexoFlow Digital y NexoFlow Agent CRM en Chile. Esta pol铆tica se aplica al sitio, al CRM y a las integraciones que una empresa conecte voluntariamente, incluidas Google Workspace, Meta y WhatsApp Business.
Para consultas de privacidad, puedes escribir a contacto@deunatesis.com.
2. Informaci贸n que tratamos
- Cuenta y empresa: nombre, correo electr贸nico, datos de autenticaci贸n protegidos, empresa, membres铆a, rol y preferencias.
- Actividad comercial: leads, contactos, cotizaciones, tareas, estados del embudo, notas, comunicaciones y registros de auditor铆a que el usuario decida gestionar en el CRM.
- Datos t茅cnicos y de seguridad: fecha y resultado de accesos, identificadores de sesi贸n, direcci贸n IP, agente de usuario, eventos de error y trazas m铆nimas necesarias para seguridad, diagn贸stico y prevenci贸n de abuso.
- Datos de integraciones: identificadores de la cuenta conectada, permisos concedidos, estado y vencimiento de la conexi贸n, credenciales o tokens cifrados y recursos que el usuario seleccione.
3. Google Workspace y servicios de Google
Cuando un usuario autorizado conecta Google, NexoFlow utiliza 煤nicamente los permisos que se muestran durante el consentimiento:
- Gmail readonly: buscar y previsualizar mensajes conforme a la consulta definida por el usuario, e importar solo los mensajes que este confirme.
- Google Drive file: crear, abrir y organizar archivos generados o seleccionados mediante NexoFlow, sin acceso general a todo Drive.
- Google Sheets: crear o actualizar hojas que el usuario utilice expresamente con NexoFlow.
- Google Analytics y Search Console: leer las propiedades seleccionadas y sus m茅tricas cuando estas integraciones est茅n habilitadas.
Uso limitado de datos de Google
El uso y la transferencia a otras aplicaciones de informaci贸n recibida desde las APIs de Google cumplen la Pol铆tica de Datos de Usuario de los Servicios API de Google, incluidos sus requisitos de Uso Limitado. No vendemos estos datos, no los usamos para publicidad y no los empleamos para entrenar modelos generales de inteligencia artificial.
4. Meta y WhatsApp Business
Cuando un propietario o administrador inicia Embedded Signup y conecta activos bajo su control, NexoFlow puede tratar las siguientes categor铆as de Datos de la Plataforma de Meta:
- Identidad y activos: identificador de usuario de Meta y datos b谩sicos de perfil disponibles mediante
public_profile; identificadores y nombres de Meta Business, WhatsApp Business Account (WABA), n煤meros de tel茅fono y aplicaciones asociadas. - Autorizaci贸n: permisos concedidos, estado y expiraci贸n del token y credenciales cifradas necesarias para mantener la conexi贸n.
- Comunicaciones entrantes: mensajes y archivos multimedia recibidos, nombre o identificadores del contacto, n煤mero o BSUID cuando Meta los entrega, identificadores de mensaje y conversaci贸n, fechas y metadatos t茅cnicos.
- Eventos operativos: historial autorizado, estados de entrega, cambios de identidad, sincronizaci贸n de estado de la WhatsApp Business App, actualizaciones de cuenta y ecos de mensajes enviados desde la aplicaci贸n de WhatsApp Business.
Usamos estos datos exclusivamente para:
- validar que el usuario controla los activos elegidos y completar la conexi贸n en modo Coexistence;
- recibir y mostrar comunicaciones en una l铆nea de tiempo CRM unificada;
- relacionar conversaciones con el contacto y la empresa correctos;
- mantener seguridad, idempotencia, auditor铆a y diagn贸stico del servicio.
L铆mites del entorno sometido a revisi贸n
La versi贸n Preview de Meta/WhatsApp es solo de recepci贸n. No env铆a mensajes, plantillas ni respuestas autom谩ticas; tampoco registra, desregistra, migra n煤meros ni modifica perfiles o activos de WhatsApp. Los ecos y el historial se muestran como contexto y no disparan acciones comerciales autom谩ticas.
No vendemos Datos de la Plataforma de Meta, no los usamos para publicidad de terceros ni para perfiles ajenos a las funciones solicitadas por el usuario, y no los compartimos con data brokers.
5. Base y finalidad del tratamiento
Tratamos la informaci贸n cuando es necesario para prestar el servicio contratado o solicitado, por autorizaci贸n del usuario que conecta una integraci贸n, para cumplir obligaciones legales o para proteger la seguridad e integridad del CRM. No utilizamos los datos para finalidades incompatibles con aquellas informadas al momento de su recopilaci贸n.
6. Proveedores y transferencias
Acceden a informaci贸n solo los proveedores necesarios para operar NexoFlow, bajo sus contratos y controles de seguridad:
- Supabase, Inc.: base de datos, autenticaci贸n y almacenamiento controlado.
- Vercel Inc.: alojamiento de la aplicaci贸n y ejecuci贸n de funciones web.
- Hostinger International Ltd.: infraestructura aislada de staging para recepci贸n y procesamiento t茅cnico de webhooks de Meta.
- Google y Meta: plataformas externas elegidas por el usuario para autorizar y suministrar los datos de sus respectivas integraciones.
Estos servicios pueden procesar informaci贸n fuera de Chile, incluidos Estados Unidos, Brasil y Singapur, seg煤n la regi贸n configurada y los subprocesadores documentados por cada proveedor. Limitamos la transferencia a lo necesario para prestar la funci贸n solicitada y aplicamos medidas contractuales y t茅cnicas razonables.
Podremos comunicar informaci贸n si una obligaci贸n legal v谩lida lo exige o cuando sea necesario para proteger derechos, prevenir fraude o responder a una emergencia de seguridad. No realizamos divulgaciones voluntarias para vigilancia p煤blica.
7. Seguridad
- Conexiones cifradas mediante HTTPS/TLS.
- Tokens de Google y Meta cifrados con AES-256-GCM y asociados a su empresa y activo correspondiente.
- Aislamiento por empresa, controles de acceso por rol y pol铆ticas de menor privilegio.
- Validaci贸n criptogr谩fica de webhooks de Meta antes de procesarlos.
- Acceso restringido a payloads sin procesar, secretos y registros sensibles; estos no se muestran al navegador ni a usuarios ordinarios.
Ning煤n sistema es infalible, pero revisamos y ajustamos los controles conforme evoluciona el servicio.
8. Retenci贸n
- Credenciales de integraci贸n: se conservan mientras la conexi贸n est茅 activa o hasta que se revoque, expire o se atienda una solicitud de eliminaci贸n.
- Payloads de Meta: los eventos v谩lidos y resueltos se conservan hasta 30 d铆as; los eventos rechazados o en cuarentena conservan solo hash y metadatos m铆nimos hasta 7 d铆as.
- Mensajes y datos CRM: las copias can贸nicas que el usuario decidi贸 incorporar se conservan mientras la empresa utilice el servicio o hasta su eliminaci贸n conforme a esta pol铆tica.
- Registros t茅cnicos: se mantienen durante el tiempo razonablemente necesario para seguridad, auditor铆a, soluci贸n de incidentes y cumplimiento.
Una solicitud v谩lida se tramita y se confirma dentro de un m谩ximo de 30 d铆as, salvo una obligaci贸n legal o un incidente de seguridad que justifique conservar informaci贸n espec铆fica. Copias residuales en respaldos protegidos pueden permanecer durante su ciclo normal, sin utilizarse para operaci贸n activa, hasta ser sobrescritas de forma segura.
9. Control, derechos y eliminaci贸n
El titular puede solicitar acceso, correcci贸n, portabilidad cuando corresponda, oposici贸n o eliminaci贸n. Tambi茅n puede revocar una integraci贸n desde el proveedor externo para detener el acceso futuro.
Para eliminar Datos de la Plataforma de Meta, credenciales, mensajes importados o una cuenta completa, sigue las instrucciones de eliminaci贸n de datos. La revocaci贸n en Meta detiene el acceso nuevo, pero debes usar ese procedimiento si tambi茅n deseas borrar datos que ya fueron incorporados al CRM.
10. Cambios y contacto
Podemos actualizar esta pol铆tica cuando cambien las funciones, proveedores o requisitos aplicables. Publicaremos aqu铆 la fecha de la 煤ltima actualizaci贸n y, cuando el cambio sea relevante, lo comunicaremos por un medio razonable.
Contacto de privacidad: contacto@deunatesis.com.