Política de privacidad

1. Responsable del tratamiento

Valentín Aristimuño Arrivillaga, RUT 220949880016, con domicilio en la República Oriental del Uruguay.
Contacto: valentin@daxos.lat

2. Daxos como encargado del tratamiento

Daxos es un servicio de asistente automático para negocios. Los negocios que contratan Daxos son los responsables del tratamiento de los datos de sus propios clientes finales (las personas que escriben por WhatsApp). Daxos actúa como encargado del tratamiento: procesa esos datos únicamente para prestar el servicio contratado por el negocio y siguiendo sus instrucciones de configuración.

3. Qué datos recolectamos

Datos de los dueños de negocio (usuarios registrados):

• Cuenta: email y contraseña (almacenada con hash bcrypt, nunca en texto plano), número de teléfono celular opcional.
• Negocio: nombre del negocio, número de WhatsApp Business, URL del sitio web, descripción de qué vendés, precios, horarios de atención, documentos o PDFs de catálogo que subís vos.
• Credenciales de WhatsApp: token de acceso de Meta/Kapso (almacenado cifrado), ID de número y cuenta de WhatsApp Business.
• Voz (opcional): archivo de audio de muestra si activás la función de clonación de voz. Se envía a ElevenLabs para crear tu voz sintética; el archivo original no se almacena en Daxos. El consentimiento queda registrado con fecha, texto y responsable.
• Pagos: Daxos recibe del webhook de MercadoPago el email del pagador, importe, moneda, fecha y el JSON completo de la notificación. Nunca recibimos ni almacenamos números de tarjeta ni datos financieros sensibles.

Datos de los clientes finales (quienes escriben al número de WhatsApp del negocio):

• Número de teléfono: identificador único del cliente en cada conversación.
• Contenido de los mensajes: texto completo de los mensajes enviados y recibidos.
• Transcripciones de audio: si el cliente envía un mensaje de voz, Kapso lo transcribe a texto y Daxos almacena únicamente esa transcripción. El archivo de audio no se descarga ni almacena.
• Imágenes: Las imágenes que envían los clientes se procesan temporalmente en memoria y se analizan con inteligencia artificial (Anthropic) para poder responder. No se guardan: solo se registra el texto "[el cliente envió una imagen]" y el pie de foto, si lo hay.
• Datos de turno (si el negocio usa la función de agenda): nombre del cliente, motivo de consulta, teléfono y horarios propuestos/confirmados.

4. Para qué usamos los datos

• Generar respuestas automáticas con el tono y estilo del negocio.
• Mantener el historial de conversaciones accesible para el dueño del negocio.
• Enviar notificaciones operativas al dueño del negocio (alertas de desconexión, resumen semanal, avisos de pausa).
• Gestionar el plan de suscripción y verificar pagos.
• Detectar errores y mantener la estabilidad del servicio.

5. Proveedores y transferencias internacionales

Daxos no vende datos. Los siguientes proveedores acceden a datos para prestar partes del servicio:

• Anthropic (EE.UU.) — motor de IA. Recibe el historial de cada conversación, el contexto del negocio y las imágenes que envían los clientes para generar respuestas.
• Kapso (servidores ubicados fuera de Uruguay) — intermediario de WhatsApp Business API. Todos los mensajes entrantes y salientes pasan por sus servidores. Transcribe audios entrantes a texto.
• Meta (WhatsApp / Graph API) (EE.UU.) — infraestructura de WhatsApp. Para negocios conectados directamente a la Graph API de Meta (caso legacy), los mensajes pasan por los servidores de Meta.
• ElevenLabs (servidores ubicados fuera de Uruguay) — síntesis y clonación de voz. Solo recibe datos si el negocio activa la función de voz: el audio de muestra del dueño y el texto de cada respuesta de voz.
• MercadoPago (Argentina y otros países de la región donde opera) — procesamiento de pagos. Procesa el cobro de suscripciones y notifica el resultado a Daxos.
• Resend (servidores ubicados fuera de Uruguay) — envío de emails. Recibe el email del destinatario, nombre del negocio y número de teléfono del negocio para notificaciones operativas.
• Railway (servidores ubicados fuera de Uruguay) — infraestructura de servidor. Aloja la base de datos SQLite y los archivos subidos (PDFs, imágenes del negocio).
• Cloudflare R2 (EE.UU.) — almacenamiento de backups. Recibe copias de seguridad diarias de la base de datos y de los archivos subidos, comprimidas.

Todos los proveedores tienen sus propias políticas de privacidad. Al usar Daxos aceptás la transferencia de datos fuera de Uruguay necesaria para el funcionamiento del servicio.

6. Retención de datos

• Mensajes y conversaciones de clientes finales: se conservan indefinidamente mientras el negocio tenga cuenta activa. No existe borrado automático.
• Datos de cuenta y negocio: se conservan mientras la cuenta esté activa.
• Backups en Cloudflare R2: se conservan las últimas 30 copias (aproximadamente 30 días con frecuencia diaria). Las más antiguas se eliminan automáticamente.
• Registros de deduplicación de mensajes: se eliminan automáticamente a los 7 días.
• Registros técnicos de diagnóstico (pueden incluir el teléfono y un fragmento de los mensajes): se eliminan automáticamente a los 30 días.
• Datos de pago: se conservan mientras sean necesarios para fines contables y legales.

Para solicitar la eliminación anticipada de tus datos o los de tus clientes, escribí a valentin@daxos.lat.

7. Tus derechos

De acuerdo con la Ley 18.331 de Protección de Datos Personales de Uruguay, tenés derecho a:

• Acceso: saber qué datos tuyos o de tus clientes tenemos almacenados.
• Rectificación: corregir datos incorrectos o desactualizados.
• Supresión: solicitar la eliminación de tus datos y los de tus clientes.

Para ejercer cualquiera de estos derechos, escribí a valentin@daxos.lat. Respondemos en un plazo de 5 días hábiles.

Los clientes finales que quieran ejercer sus derechos sobre los datos que el negocio tiene de ellos deben dirigirse directamente al negocio con quien se comunicaron.

8. Seguridad

Las contraseñas se almacenan con hash bcrypt. Los tokens de acceso de WhatsApp se almacenan cifrados. Las credenciales de servicios externos se mantienen en variables de entorno protegidas, fuera del código fuente. El acceso a los datos de cada negocio está restringido al usuario titular de esa cuenta.

9. Cambios a esta política

Si realizamos cambios relevantes, lo comunicaremos por email al menos 15 días antes de que entren en vigor. El uso continuado del servicio después de esa fecha implica aceptación de los cambios.