Aviso de privacidad

1. Quiénes somos

Responsable del tratamiento: Voltaflow LLC, con domicilio en 1021 E Lincolnway, 7729, Cheyenne, WY 82001, US.

Contacto para asuntos de privacidad y ejercicio de derechos (DPO): hi@connver.com.

2. Datos que recolectamos

Datos de cuenta: nombre, correo electrónico, nombre del tenant (cuenta de equipo), roles y permisos dentro del tenant.

Datos de uso del Servicio: mensajes intercambiados a través de los canales conectados (WhatsApp y otros), catálogo de productos que subes, automatizaciones que configures, imágenes que subas al catálogo, contenido generado por el agente de IA en tu nombre.

Datos técnicos: dirección IP, tipo de navegador y sistema operativo, identificadores de sesión, registros (logs) de actividad, cookies estrictamente necesarias y funcionales (ver Política de Cookies).

Datos de facturación: procesados directamente por Paddle como Merchant of Record. NO almacenamos ni vemos los datos completos de tu tarjeta; recibimos solo confirmación del cobro y datos mínimos de facturación (nombre, dirección fiscal, últimos 4 dígitos).

3. Base legal del tratamiento

Ejecución del contrato: procesar los datos necesarios para prestarte el Servicio conforme a los Términos de Servicio.

Interés legítimo: seguridad del Servicio, prevención de fraude, mejora del producto sin usar contenido identificable, comunicaciones transaccionales indispensables.

Consentimiento: comunicaciones de marketing (opt-in explícito), cookies no esenciales cuando existan (hoy no aplican).

Obligación legal: retención de datos fiscales y respuesta a solicitudes de autoridades competentes.

4. Cómo usamos los datos

Para operar el Servicio: procesar mensajes con el agente de IA, ejecutar automatizaciones, almacenar tu catálogo, permitirte administrar tu equipo.

Para comunicaciones transaccionales: notificaciones de cuenta, alertas de consumo de créditos, facturación, avisos legales.

Para mejorar el producto: métricas agregadas y anonimizadas de uso. NO usamos el contenido de tus mensajes ni de tu catálogo para entrenar modelos de terceros ni con fines ajenos a operar el Servicio para ti.

Para seguridad: detección de abuso, prevención de fraude, cumplimiento de la política de uso aceptable.

5. Subprocesadores

Compartimos datos con los siguientes subprocesadores, cada uno bajo obligaciones contractuales de confidencialidad y seguridad equivalentes a las nuestras:

Supabase (EE.UU.): base de datos, autenticación y almacenamiento.

Vercel Inc. y Vercel AI Gateway (EE.UU.): hospedaje del Servicio, gateway hacia modelos de IA y analítica web anónima de páginas vistas (Vercel Web Analytics, sin cookies ni identificadores personales).

OpenAI (EE.UU., vía Vercel AI Gateway): embeddings para la búsqueda semántica de conocimiento (text-embedding-3-small) y transcripción de notas de voz (gpt-4o-transcribe). Por defecto OpenAI no entrena modelos con datos de API y retiene registros de abuso hasta 30 días.

Meta Platforms, Inc. — WhatsApp Cloud API (EE.UU. / UE según región de la cuenta WhatsApp Business): canal oficial de mensajería.

DeepSeek (República Popular China): modelo de lenguaje deepseek-v4-flash usado para el agente y validadores. Esta transferencia internacional es material y la declaramos explícitamente; se sustenta en tu consentimiento al aceptar estos Términos y en cláusulas contractuales equivalentes con nuestro proveedor gateway.

Google LLC — Gemini (EE.UU.): modelo gemini-2.5-flash usado para el copiloto Enki (catálogo).

Cloudflare, Inc. — R2 (global edge): almacenamiento de imágenes del catálogo.

Envia.com (México): generación de etiquetas de envío en México, solo cuando el tenant activa esta funcionalidad.

MercadoPago (México/Argentina): procesamiento de pagos que el tenant recibe de sus clientes finales dentro de las conversaciones. NO es el procesador del billing SaaS.

Paddle.com Market Ltd (Reino Unido / UE): Merchant of Record del billing SaaS. Procesa todos los cobros y datos de tarjeta.

Resend (EE.UU.): envío de correos electrónicos transaccionales (magic links de acceso, alertas, confirmaciones).

6. Transferencias internacionales

Los datos pueden transferirse fuera de tu país de residencia hacia jurisdicciones donde nuestros subprocesadores operen (principalmente EE.UU., UE, Reino Unido, México y China en el caso específico de DeepSeek).

Para transferencias desde el Espacio Económico Europeo o Reino Unido hacia países sin decisión de adecuación (incluidos EE.UU. y China), nos apoyamos en las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea o mecanismos equivalentes.

Al aceptar estos Términos, reconoces y consientes expresamente la transferencia de datos hacia los subprocesadores listados en la sección 5, incluida China para el procesamiento por DeepSeek.

7. Retención de datos

Datos de cuenta y perfiles: se conservan mientras la cuenta esté activa y hasta 90 días naturales después de la cancelación, para permitir reactivación.

Mensajes de conversaciones, catálogo, automatizaciones: mismo criterio — 90 días post-cancelación.

Registros de agente (agent_runs, credit_debits, logs de IA): datos identificables durante 90 días post-cancelación; posteriormente se anonimizan y se retienen únicamente como agregados sin información personal identificable.

Datos fiscales y comprobantes de pago: se conservan por 5 a 10 años según la ley fiscal aplicable a Voltaflow y a Paddle. Paddle es responsable primario de esta retención.

Copias de seguridad (backups): rotación de 30 días naturales adicionales al período de retención principal.

8. Tus derechos

Bajo el GDPR (residentes de la UE / EEE / Reino Unido): derecho de acceso, rectificación, supresión, limitación del tratamiento, portabilidad, oposición y a no ser objeto de decisiones automatizadas con efectos jurídicos significativos.

Bajo la LFPDPPP (residentes de México): derechos ARCO (Acceso, Rectificación, Cancelación, Oposición), así como el derecho a oponerse al tratamiento automatizado (LFPDPPP 2025, Art. 26) y el derecho a revocar el consentimiento otorgado.

Bajo la CCPA (residentes de California, EE.UU.): derecho a saber qué información personal se recopila, derecho a solicitar su eliminación, derecho a optar por no ser objeto de la venta o cesión (sharing) de datos personales (nota: nosotros NO vendemos ni cedemos datos personales).

Para ejercer cualquiera de estos derechos, escribe a hi@connver.com con el asunto "Solicitud de derechos de datos" indicando tu identidad, el derecho que ejerces y los datos específicos. Responderemos dentro de 20 días hábiles contados desde la recepción de la solicitud completa y haremos efectivo el derecho dentro de los 15 días hábiles siguientes a nuestra respuesta (LFPDPPP 2025, Art. 31).

9. Seguridad

Aplicamos medidas técnicas y organizativas razonables incluidas: cifrado en tránsito (TLS) y en reposo, autenticación multifactor disponible, aislamiento por tenant mediante Row Level Security de Postgres, principio de mínimo privilegio en accesos internos.

Ningún sistema es 100% seguro. En caso de brecha de seguridad que afecte datos personales, notificaremos a los usuarios afectados y a las autoridades competentes dentro de los plazos legales aplicables.

10. Menores de edad

El Servicio no está dirigido a menores de 18 años y no recolectamos intencionadamente datos personales de menores. Si descubres que un menor nos ha proporcionado datos, contáctanos en hi@connver.com para eliminarlos.

11. Cambios a este Aviso

Podemos actualizar este Aviso periódicamente. Para cambios materiales daremos aviso con al menos 30 días naturales de anticipación por correo electrónico o notificación dentro del Servicio. La fecha de última actualización se indica al inicio del documento.

12. Contacto

Voltaflow LLC · 1021 E Lincolnway, 7729, Cheyenne, WY 82001, US.

Contacto DPO y solicitudes de derechos: hi@connver.com.