Política de Privacidad y Protección de Datos

1. Introducción y Definiciones Clave

Esta Política de Privacidad describe cómo EMP Mercadeo («EMP», «la Empresa», «nosotros» o «nuestro»), con domicilio en la Ciudad de Panamá, República de Panamá, recopila, utiliza, protege y divulga la información cuando visitas nuestro sitio web, instalas nuestra aplicación web progresiva (PWA) o utilizas nuestra plataforma SaaS.

• «Empresa» o «EMP»: EMP Mercadeo, entidad responsable de operar la plataforma EMP.
• «Cliente» o «Negocio»: La persona natural o jurídica (y los miembros autorizados de su equipo) que contrata o utiliza EMP para gestionar su operación comercial.
• «Usuario Final»: El cliente, paciente, huésped o visitante que se comunica con un Negocio a través de WhatsApp, Instagram, Messenger o el widget de chat web.
• «Datos Personales»: Cualquier información relativa a una persona física identificada o identificable.
• «Datos del Servicio»: Todos los mensajes, contactos, citas, pedidos, notas y archivos procesados por EMP por cuenta y bajo las instrucciones del Cliente.

2. ¿Qué es la Plataforma EMP?

EMP es un espacio de trabajo empresarial diseñado para centralizar la atención por WhatsApp Business Cloud API y canales digitales, asistir respuestas con inteligencia artificial basada en fuentes verificables del propio negocio, coordinar agendas de servicios con capacidad y recursos, gestionar pedidos con control de existencias y facilitar enlaces de cobro mediante Yappy Comercial V2 bajo supervisión humana.

3. Recopilación y Uso de Datos Personales

Cuando integras EMP con servicios externos, el tratamiento que dichos proveedores hacen de la información en sus propios sistemas se rige también por sus respectivas políticas de privacidad oficiales:

• Meta / WhatsApp / Facebook / Instagram: Política de Privacidad de WhatsApp y Política de Privacidad de Meta.
• Google (Google Calendar y Google Sheets): Política de Privacidad de Google. Nuestro uso de los datos recibidos de las APIs de Google cumple estrictamente con la Google API Services User Data Policy, incluyendo los requisitos de Uso Limitado (Limited Use).
• Apple: Política de Privacidad de Apple.
• Shopify y WooCommerce: Política de Privacidad de Shopify y Política de Privacidad de Automattic / WooCommerce.
• OpenAI y Anthropic: Términos Empresariales de OpenAI y Términos Comerciales de Anthropic.

Protección de Menores: El Servicio está dirigido a empresas y profesionales y no está destinado a menores de dieciséis (16) años. No recopilamos intencionalmente datos personales de menores de 16 años; si detectamos o se nos notifica que se ha registrado información de un menor sin autorización legal, procederemos a su eliminación inmediata.

3.1 API en la Nube de WhatsApp (WhatsApp Cloud API)

Al conectar tu cuenta de WhatsApp Business (WABA), EMP procesa: el identificador de WABA, el identificador del número de teléfono comercial, el nombre y número telefónico del Usuario Final, el contenido textual y multimedia (notas de voz e imágenes enviadas voluntariamente en la conversación), los identificadores únicos de mensaje (wamid) para evitar duplicados, los recibos de entrega/lectura y el estado de consentimiento (opt-in / opt-out) de cada contacto. Toda notificación entrante del webhook de Meta se valida criptográficamente comprobando la firma HMAC sobre los bytes originales (rawBody).

3.2 Proporcionar y Administrar el Servicio

• Datos del Servicio (Actuando como Encargado del Tratamiento / Data Processor): Respecto de los datos de tus Usuarios Finales (contactos, conversaciones, reservas, pedidos y notas), tu Negocio actúa como Responsable del Tratamiento y EMP actúa únicamente como Encargado del Tratamiento, procesándolos exclusivamente para ejecutar las funciones de bandeja, asistente de IA, agenda, inventario, campañas y exportaciones configuradas por tu organización.
• Información de la Cuenta (Actuando como Responsable): Recopilamos el nombre completo, correo electrónico, teléfono, nombre de la organización, zona horaria, moneda y rol de los propietarios y miembros de equipo registrados. Para los pagos con Yappy Comercial o suscripciones, registramos la referencia del pedido o factura, el monto en centavos y el código de confirmación emitido por el proveedor; EMP jamás solicita, almacena ni tiene acceso a números de tarjetas de crédito, cuentas bancarias ni claves bancarias secretas de los clientes.
• Información sobre el Uso del Servicio: Registramos eventos de auditoría de seguridad, estado de trabajos del worker (IA, transcripción de medios, embeddings, sincronización de calendarios y envíos de mensajes), latencia y diagnósticos técnicos para garantizar la trazabilidad operativa y prevenir abusos.

3.3 Propósitos Internos y Compromiso de Inteligencia Artificial

• Inferencia de IA sin Entrenamiento Público: Cuando el negocio habilita el asistente de IA, la transcripción de audio o la lectura de imágenes, el texto o archivo pertinente se transmite de forma cifrada mediante las APIs empresariales de OpenAI o Anthropic únicamente para generar la respuesta o extracción en tiempo real. Tus conversaciones, documentos de conocimiento y datos de clientes no se utilizan para entrenar modelos públicos de IA.
• Comunicaciones Operativas y Marketing: Utilizamos el correo de la cuenta para enviar avisos de seguridad, confirmaciones de suscripción, invitaciones de equipo y actualizaciones del producto. Puedes darte de baja de las comunicaciones promocionales en cualquier momento.
• Facturación y Prevención de Fraude: Para verificar pagos de suscripción, proteger la integridad de los enlaces de pago y cumplir con obligaciones contables y legales.
• Contratación y Personal: Si postulas a una vacante laboral en EMP Mercadeo / EMP, utilizaremos tus datos curriculares únicamente para evaluar tu candidatura.
• Mejora del Servicio y Enlaces de Terceros: Analizamos métricas agregadas para optimizar el rendimiento de la interfaz. Nuestro sitio puede contener enlaces a sitios de terceros sobre los cuales no ejercemos control.

4. Divulgación de Datos Personales

EMP no vende ni alquila datos personales. Solo compartimos información en los siguientes supuestos estrictamente acotados:

• Proveedores de Infraestructura y Subencargados: Compartimos datos técnicos mínimos con proveedores que nos ayudan a operar la plataforma bajo obligaciones de confidencialidad y seguridad equivalentes (Supabase / PostgreSQL para persistencia aislada, Vercel para alojamiento web, Meta Platforms para mensajería de WhatsApp, Google cuando autorizas Calendar o Sheets, OpenAI / Anthropic para inferencia empresarial y Banco General para validación de enlaces Yappy).
• Cambios en la Estructura Empresarial: En caso de fusión, adquisición o reorganización societaria de EMP Mercadeo, los datos continuarán protegidos bajo esta Política de Privacidad y se notificará a los administradores de cuenta.
• Cumplimiento de la Ley: Cuando sea exigido por orden judicial válida o autoridad competente conforme a las leyes de la República de Panamá.
• Aplicación de Derechos y Seguridad: Para investigar o prevenir fraudes, ataques informáticos o violaciones graves a nuestros Términos y Condiciones.

5. Tus Derechos: Acceso, Corrección, Retención y Eliminación de Datos (Data Deletion)

En cumplimiento de la Ley 81 de 2019 sobre Protección de Datos Personales de la República de Panamá, estándares internacionales (GDPR/CCPA) y las políticas de Meta y Google, garantizamos el ejercicio efectivo de los derechos de acceso, rectificación, portabilidad, oposición y cancelación/eliminación:

• Baja Inmediata por WhatsApp (Opt-Out): Cualquier Usuario Final puede enviar la palabra STOP o BAJA en el chat de WhatsApp para revocar de inmediato su consentimiento comercial y detener envíos automatizados.
• Políticas de Retención y Borrado desde el Panel: El propietario o administrador del negocio puede configurar en Administración y Gobernanza la retención automática de conversaciones (0, 30, 90, 180 o 365 días), exportar toda su base en formatos abiertos y ejecutar el borrado irreversible de conversaciones (confirmando con la palabra ELIMINAR), lo cual suprime el contenido de mensajes, archivos multimedia, salidas y exportaciones previas, conservando únicamente las claves criptográficas de deduplicación y las referencias financieras requeridas por auditoría contable.
• Eliminación completa del negocio desde el Panel: El propietario puede eliminar su negocio y todos sus datos en Integraciones › Privacidad y límites, confirmando con el identificador del negocio y su segundo factor de verificación. Se suprimen de inmediato y de forma irreversible conversaciones, contactos, pedidos, reservas, registros de llamadas, catálogo, conocimiento, integraciones, credenciales y equipo; solo se conservan las facturas de la suscripción a EMP y el registro de seguridad de la solicitud, por obligaciones contables. El propietario puede eliminar también su cuenta de acceso cuando ya no pertenezca a ningún negocio.
• Programa voluntario de negocios colaboradores: Cada negocio decide una sola vez, y puede cambiarlo cuando quiera, si comparte cifras de uso anónimas para mejorar EMP. Solo se usan totales (cantidad de conversaciones, pedidos, reservas y llamadas, y la proporción atendida por el asistente) combinados con al menos otros dos negocios colaboradores. Nunca se usan mensajes, nombres, teléfonos, catálogos, precios ni montos de un negocio, y no participan los negocios que no aceptan.
• Llamadas de WhatsApp atendidas por IA: Si el negocio las activa, el asistente responde las llamadas de voz que sus clientes hacen a su número de WhatsApp mediante un proveedor de IA en tiempo real. El audio se procesa durante la llamada y no se graba; se conserva la duración, el resultado y lo que dijo el cliente en texto dentro de la conversación del negocio. Los pedidos y reservas se confirman siempre por escrito en WhatsApp.
• Solicitud de Eliminación por Correo Electrónico (Plazo máximo de 72 horas): Cualquier titular o Usuario Final puede solicitar la eliminación total de sus datos escribiendo a soporte@empchat.com e indicando su nombre, número de teléfono o negocio asociado. Procesaremos la eliminación irreversible y enviaremos confirmación en un plazo máximo de setenta y dos (72) horas hábiles.

6. Cómo Protegemos los Datos Personales

• Aislamiento Multi-Tenant con Row Level Security (RLS): Las 66 tablas operativas de nuestra base de datos PostgreSQL aplican políticas forzadas de nivel de fila (FORCE ROW LEVEL SECURITY) bajo el rol restringido mr_calendar_app y bloqueos transaccionales por negocio (tenantLock). Ninguna organización puede leer ni modificar registros de otro negocio.
• Cifrado en Tránsito y en Reposo (AES-256-GCM): Todas las conexiones utilizan HTTPS / TLS 1.3. Los secretos y tokens de integración (Meta, Yappy, Google OAuth, CalDAV, Alegra, Shopify, WooCommerce) se almacenan cifrados en el servidor mediante AES-256-GCM y nunca se exponen al navegador.
• Control de Acceso y Auditoría Inmutable: Validación estricta de sesión mediante JWT verificado, soporte para autenticación multifactor (MFA/AAL2) en acciones críticas y registro inmutable en audit_logs.

7. Política de Cookies y Declaración de Privacidad de la Aplicación Móvil / PWA

7.1 Política de Cookies y Almacenamiento Local

EMP utiliza únicamente cookies técnicas y almacenamiento local estrictamente necesarios para la seguridad y funcionamiento del servicio:

• Cookies de Sesión Segura (HttpOnly): Empleamos cookies HttpOnly, SameSite=Lax y Secure para mantener tu sesión autenticada protegida contra accesos por scripts maliciosos (XSS) y validar el origen de las solicitudes (protección CSRF).
• Preferencias de Interfaz (localStorage): Guardamos localmente en tu dispositivo tu preferencia de tema visual (mr-calendar-theme: claro/oscuro), el identificador del último negocio seleccionado (mr-calendar-business) y tu idioma preferido (mr-calendar-locale: español, inglés o portugués).
• Sin Rastreadores Publicitarios de Terceros: No instalamos cookies de publicidad comportamental ni vendemos perfiles de navegación a redes de anuncios.

7.2 Declaración de Privacidad de la Aplicación Instalable (PWA / Móvil y Escritorio)

Cuando instalas EMP como Aplicación Web Progresiva (PWA) en tu teléfono (iOS o Android), tablet o computadora (Windows o macOS):

• La aplicación instalada se comunica exclusivamente con los servidores de EMP mediante conexiones cifradas HTTPS utilizando las mismas garantías de sesión descritas en esta Política.
• La aplicación no accede en segundo plano a tu cámara, micrófono, libreta de contactos del teléfono ni ubicación GPS. Solo procesa archivos que tú selecciones explícitamente para subir al centro de conocimiento o a una conversación.
• El trabajador de servicio (Service Worker) almacena en caché únicamente recursos estáticos de interfaz (iconos y estilos) para acelerar la carga, sin almacenar conversaciones privadas ni credenciales sin protección.

8. Actualizaciones a esta Política de Privacidad

Podemos actualizar esta Política de Privacidad periódicamente para reflejar mejoras de seguridad, nuevas integraciones o cambios regulatorios. Cuando realicemos cambios sustanciales, actualizaremos la fecha de «Última actualización» en la parte superior de esta página y notificaremos a los titulares de cuenta registrados.

9. Contáctenos y Oficial de Protección de Datos (DPO)

Si tienes preguntas, inquietudes o deseas ejercer tus derechos de privacidad y protección de datos, comunícate con nuestro Oficial de Cumplimiento y Protección de Datos en:

• Responsable: EMP Mercadeo / EMP — Oficial de Protección de Datos
• Ubicación: Ciudad de Panamá, República de Panamá
• Correo Electrónico: soporte@empchat.com / empsignature@gmail.com