Política de privacidad

Esta política describe cómo Effia SAS (“Effia”, “nosotros”), sociedad uruguaya inscripta con RUT 221023390013 y domicilio en el departamento de Canelones, Uruguay, trata los datos personales en el marco de su servicio. Effia es una plataforma que conecta los canales de comunicación de un negocio (WhatsApp, Instagram, Facebook y Gmail) con inteligencia artificial para automatizar la atención y la gestión de sus clientes.

1. Responsable del tratamiento

Responsable: Effia SAS — RUT 221023390013, Canelones, Uruguay. Representante: Martín Gareis. Contacto para asuntos de privacidad: effia585@gmail.com.

2. Qué datos tratamos

Según el canal que el negocio conecte, Effia puede tratar:

• Datos de las cuentas conectadas por el negocio: identificadores de la página de Facebook, de la cuenta profesional de Instagram y de la cuenta de WhatsApp Business (WABA) con su número, tokens de acceso provistos por Meta, y la dirección de correo de Gmail conectada y sus tokens de Google.
• Contenido de las interacciones: comentarios, mensajes directos de Instagram y Messenger, mensajes de WhatsApp y correos electrónicos que llegan a las cuentas conectadas, junto con el nombre de perfil público y el identificador o número de la persona que los envía. Incluye los archivos que esa persona adjunta —fotos, audios, videos y documentos— y, cuando el negocio conecta su número de WhatsApp en coexistencia y lo autoriza expresamente en ese momento, el historial de conversaciones y la agenda de contactos que ya tenía en su teléfono.
• Datos de uso del portal: correo de inicio de sesión (autenticación con Google), y datos técnicos mínimos de sesión.

No solicitamos ni almacenamos deliberadamente datos sensibles ni datos de tarjetas o cuentas bancarias.

3. Para qué usamos los datos

• Recibir, mostrar y organizar en el portal los mensajes y comentarios de los canales conectados.
• Generar respuestas automáticas o asistidas mediante inteligencia artificial, en nombre del negocio.
• Publicar y gestionar contenido en las redes conectadas cuando el negocio lo indica.
• Operar, mantener y asegurar el servicio.

La base para este tratamiento es la prestación del servicio contratado por el negocio y, respecto de las personas que interactúan con él, el interés legítimo del negocio en atender sus consultas por los canales que ellas mismas eligieron para contactarlo.

4. Datos obtenidos a través de plataformas de terceros

Effia accede a datos de Meta (WhatsApp Business Platform, Instagram Graph API y Facebook Pages API) y de Google (Google Calendar por su API, y Gmail por IMAP/SMTP con una contraseña de aplicación que genera el propio negocio) únicamente con la autorización explícita del negocio titular de esas cuentas, y sólo en la medida necesaria para las funciones descritas. El uso de la información de Meta se rige por las condiciones para desarrolladores de Meta.

4.1. Google Calendar: qué pedimos y qué hacemos con eso

Cuando el negocio conecta su agenda, Effia le pide a Google un único permiso: https://www.googleapis.com/auth/calendar.events — ver, crear, modificar y cancelar eventos. No pedimos ni recibimos permiso para crear o eliminar agendas, ni para cambiar quién tiene acceso a ellas.

• Para qué: mostrarle al negocio su agenda dentro del portal y, cuando él lo habilita, agendar, mover o cancelar turnos acordados en una conversación con su cliente. Nada más.
• Quién ve esos datos: las personas del negocio con acceso al portal. El personal de Effia no lee la agenda de un cliente, salvo que él lo pida expresamente para resolver un problema, o que la ley lo exija.
• Inteligencia artificial: para proponer un horario, el asistente recibe únicamente los datos del calendario necesarios para esa respuesta (por ejemplo, qué franjas están ocupadas). Ese contenido no se usa para entrenar ni mejorar modelos de inteligencia artificial, ni los nuestros ni los de nuestros proveedores.
• Nunca: no vendemos los datos de Google, no los usamos para publicidad, ni para elaborar perfiles, ni para ningún fin ajeno a las funciones que el negocio contrató.
• Cómo se corta: desde Canales → Google → Agenda en el portal, o desde la página de permisos de la cuenta de Google. Al desconectar borramos el permiso guardado y dejamos de acceder a la agenda.

El uso que Effia hace de la información recibida de las API de Google se ajusta a la Política de Datos de Usuario de los Servicios de API de Google, incluidos sus requisitos de Uso Limitado.

5. Con quién compartimos los datos

Effia no vende datos personales. Los compartimos únicamente con proveedores que nos permiten prestar el servicio (subencargados):

• Proveedores de inteligencia artificial: Anthropic, PBC para generar las respuestas, y OpenAI, L.L.C. para pasar a texto las notas de voz. Se les envía el contenido necesario del mensaje o comentario a atender, bajo condiciones comerciales que excluyen el entrenamiento de sus modelos con ese contenido.
• Meta y Google, como origen y destino de los mensajes en sus respectivas plataformas.
• Hetzner Online GmbH, proveedor de infraestructura: aloja los servidores y el volumen de datos donde vive el servicio.

También podremos divulgar datos cuando la ley lo exija.

6. Transferencias internacionales

Estos proveedores están fuera de Uruguay y allí se procesan los datos: los servidores donde effia se aloja están en Estados Unidos, y Hetzner, que los opera, es una empresa alemana que accede a ellos en remoto. Anthropic y OpenAI procesan y almacenan en Estados Unidos. Procuramos que existan garantías adecuadas para la transferencia conforme a la normativa aplicable.

7. Conservación

Conservamos los datos mientras el negocio mantenga su cuenta activa y sean necesarios para el servicio. Cuando el negocio desconecta un canal, se eliminan los tokens de acceso correspondientes. Al cerrar la cuenta, eliminamos o anonimizamos los datos asociados, salvo que debamos conservarlos por obligación legal.

8. Eliminación de datos

Cualquier persona puede solicitar el acceso, la rectificación o la eliminación de sus datos escribiendo a effia585@gmail.com con el asunto Eliminación de datos, indicando la cuenta o el negocio con el que interactuó. Atenderemos la solicitud dentro de un plazo razonable. El negocio titular también puede eliminar mensajes y desconectar canales desde el propio portal.

Si conectaste tu cuenta de Facebook o Instagram, además podés pedirlo desde Facebook: en Configuración y privacidad → Configuración → Apps y sitios web, elegí effia y usá Eliminar. Al hacerlo borramos los datos que recibimos de Meta —mensajes, conversaciones, comentarios y publicaciones de esas cuentas— y los permisos de acceso. Facebook te devuelve un código de confirmación con el que podés ver en qué quedó tu pedido en eff-ia.com/eliminar-datos.

9. Seguridad y respeto por los datos del negocio

Los datos de un negocio son suyos: los alojamos para prestarle el servicio y no los usamos para otra cosa. Sobre ese principio aplicamos medidas técnicas y organizativas concretas:

• Cifrado en reposo de los tokens de cada canal y de las credenciales de Google, con una clave que vive fuera de la base de datos y fuera del código.
• Cifrado en tránsito (TLS) en todo el portal, la API y los webhooks.
• Verificación de firma en cada webhook y en los enlaces internos: un evento sin firma válida no se procesa.
• Aislamiento por negocio: cada empresa tiene su propia base de datos y su propia carpeta de archivos, no filas mezcladas con las de otras.
• Permisos aplicados en el servidor —no sólo ocultando botones en la pantalla—, con tres roles: dueño, operador y observador.
• Sesiones de vida corta y credenciales de sesión guardadas únicamente como hash.
• Registros sin contenido personal: la bitácora y el monitoreo de errores excluyen mensajes de clientes, correos, cookies, direcciones IP y credenciales.
• Mínimo necesario hacia la inteligencia artificial: los proveedores reciben sólo el contenido preciso para generar la respuesta pedida, bajo condiciones comerciales que excluyen el entrenamiento de sus modelos con ese contenido.

Tampoco vendemos, cedemos ni cruzamos los datos de un negocio con los de otro, ni los usamos para fines publicitarios propios. Ningún sistema es completamente infalible, pero trabajamos para mantener un nivel de protección adecuado y para comunicar con honestidad cualquier incidente que afecte datos personales.

10. Compromiso de eliminación

Irse de effia tiene que ser tan simple como entrar. Borrar no es un trámite comercial ni requiere autorización de nadie: está en el portal y se ejecuta.

• Un mensaje o una conversación: desde la bandeja del canal. Pasa a la papelera y luego se elimina, con registro de quién lo hizo y cuándo.
• Un canal conectado: al desconectarlo se cortan y eliminan sus tokens de acceso.
• Lo que vino de Meta: quitando effia desde Configuración y privacidad → Apps y sitios web, como se explica en el punto 8.
• Todos los datos del negocio: un dueño lo pide desde Configuración de la cuenta, escribiendo el nombre de la empresa. Avisamos a todo el equipo, el pedido puede revertirse mientras esté abierto y, al ejecutarse, se eliminan la base de datos de la empresa y su carpeta de archivos.
• Los datos de una persona que escribió al negocio: por correo, sin necesidad de tener cuenta en effia (punto 8).

No retenemos datos como forma de retener clientes: no hay período de gracia comercial, ni exportación bloqueada, ni pasos adicionales para dar de baja una cuenta.

11. Menores

El servicio está dirigido a negocios y a personas mayores de edad. No recopilamos conscientemente datos de menores; si detectamos que se han recibido, los eliminamos.

12. Cambios en esta política

Podremos actualizar esta política. Publicaremos la versión vigente en esta misma página, con su fecha de actualización.

13. Contacto

Por cualquier consulta sobre privacidad o para ejercer tus derechos, escribinos a effia585@gmail.com.