Política de Privacidad

1. Identidad y alcance

GoPrise AI es la identidad comercial de GoPrise AI, Inc., una sociedad constituida en el estado de Delaware, Estados Unidos, que opera esta plataforma. Esta Política de Privacidad describe, de forma concreta y basada en cómo funciona realmente el producto, qué información procesamos cuando una empresa y sus usuarios utilizan GoPrise AI.

2. Información que recopilamos

Recopilamos información en tres categorías: (a) la que tú o tu empresa nos proporcionan directamente; (b) la que se genera automáticamente al usar el servicio; y (c) la que proviene de integraciones que tu empresa decide conectar. Cada una se detalla en las secciones siguientes.

3. Información proporcionada por usuarios y empresas

Para crear una cuenta solo se requiere un correo electrónico válido (inicio de sesión sin contraseña mediante "enlace mágico"); tomamos tu nombre inicial de la parte local de ese correo si no lo indicas de otra forma. A nivel de empresa, según lo que configures, podemos almacenar: nombre y slug de la empresa; datos de facturación (dirección, ciudad, departamento/estado, código postal, país, identificación tributaria); configuración operativa (idioma, zona horaria, moneda, tasa de impuesto, correo de facturación, firma de correo, horario laboral, días festivos, numeración de documentos); directorio de proveedores (nombre, teléfono/WhatsApp, correo); y el contenido que cargues a la Base de Conocimiento o a la configuración de cada Empleado IA (por ejemplo, descripción del negocio y preguntas frecuentes).

• Cuenta de usuario: nombre, correo electrónico, número de WhatsApp (opcional, si lo configuras para recibir notificaciones internas).
• Empresa: nombre, slug, estado de la cuenta, datos de facturación (dirección, ciudad, departamento/estado, código postal, país, identificación tributaria).
• Configuración de empresa: idioma, zona horaria, moneda, tasa de impuesto, correo de facturación, firma de correo, horario laboral, festivos, numeración de documentos.
• Proveedores registrados por tu empresa: nombre, teléfono/WhatsApp, correo electrónico.
• Contenido de configuración: descripción del negocio, preguntas frecuentes y documentos que subas a la Base de Conocimiento.

4. Información generada por el uso del servicio

A medida que usas GoPrise AI se generan registros operativos propios de la plataforma: conversaciones y mensajes con tus Empleados IA (internos, o con proveedores/clientes cuando corresponda), el estado y la historia de cada proceso de negocio (workflow) que ejecutas, cotizaciones, órdenes de compra, facturas de proveedores, solicitudes y aplicaciones de empleo (Reclutamiento), y reservas o citas (Servicio al Cliente/Ventas), según los módulos que tu empresa tenga instalados. También mantenemos un registro de auditoría interno de cambios relevantes (mediante `spatie/laravel-activitylog`, con la empresa, dirección IP y user agent asociados a cada entrada) y telemetría interna de la plataforma (uso y costo de IA por Empleado, estadísticas diarias) que es exclusivamente para uso interno de operación del producto y nunca se muestra a las empresas ni se les factura por tokens o costo de IA.

5. Datos de integraciones

Si tu empresa conecta una integración (por ejemplo, Google o WhatsApp), almacenamos una referencia local y el identificador externo necesario para enrutar acciones y eventos. Para las integraciones Google migradas a Activepieces, los tokens OAuth permanecen en nuestro servicio Activepieces autoalojado y no se copian a GoPrise. El contenido se procesa para ejecutar la función solicitada y, cuando se convierte en un registro empresarial, se almacena en GoPrise como parte del proceso correspondiente.

6. Datos de usuario de Google ("Google User Data")

Cuando una empresa conecta una cuenta de Google, solicitamos permisos (scopes) de OAuth específicos, uno por cada capacidad real que la empresa activa — nunca todos a la vez por defecto, y siempre mediante el flujo de autorización propio de Google iniciado por un administrador de la empresa. Los permisos que la plataforma puede solicitar hoy son: `email`; Gmail (`gmail.send`, `gmail.readonly`); Calendar (`calendar.events`, `calendar.readonly`); Google Sheets (`spreadsheets`); Google Drive (`drive`); y Google Ads (`adwords`).

• Gmail — envío de correos y lectura de mensajes y adjuntos entrantes necesarios para comunicaciones con proveedores, Reclutamiento o captura de facturas. Las facturas PDF y documentos de candidatos necesarios para un proceso se copian oportunamente al almacenamiento de GoPrise.
• Google Calendar — para qué se usa: crear, consultar disponibilidad, actualizar y cancelar eventos para agendar reuniones o citas (Ventas/Servicio al Cliente), también a través de Activepieces autoalojado.
• Google Sheets — lectura, búsqueda, creación, agregado y actualización de hojas usadas por procesos configurados, mediante Activepieces.
• Google Drive — listado y lectura de carpetas seleccionadas para Reclutamiento y carga de documentos empresariales cuando un proceso configurado lo solicita. Los documentos de candidatos descargados se almacenan en GoPrise al entrar a Reclutamiento. El OAuth de Drive se gestiona mediante Activepieces.
• Google Ads — para qué se usa: crear y pausar campañas publicitarias reales de la empresa mediante la API de Google Ads (lectura y escritura), cuando la empresa usa el módulo de Marketing. Conexión OAuth nativa directa con Google.
• Almacenamiento y automatización: Activepieces conserva temporalmente entradas, salidas, logs y archivos de ejecución en su base de datos por un máximo de siete días para reintentos y diagnóstico. Los documentos empresariales que GoPrise debe conservar se copian a su almacenamiento normal. Los tokens OAuth de Gmail, Drive, Calendar y Sheets permanecen cifrados en Activepieces y no se copian a GoPrise.
• Cómo desconectar: un administrador puede desconectar cada cuenta desde Integraciones. GoPrise deja de usarla inmediatamente, elimina los flows dependientes y solicita eliminar su App Connection de Activepieces. Activepieces 0.87 no ofrece una operación para revocar el grant del proveedor; por ello, desconectar GoPrise no garantiza por sí solo la revocación del grant de Google.
• Cómo revocar el acceso desde Google directamente: en cualquier momento, independientemente de lo anterior, puedes revocar el acceso de GoPrise AI desde tu propia cuenta de Google en https://myaccount.google.com/permissions.
• Cómo solicitar la eliminación de tus datos: escríbenos a través del correo de contacto de esta política (ver "Contacto"); no existe hoy un mecanismo de autoservicio adicional para eliminar datos de Google ya procesados más allá de ese canal.
• Publicidad: los datos de Google que procesamos NO se usan para publicidad. La única función publicitaria del producto (Google Ads) usa datos de la propia cuenta de Google Ads de la empresa para gestionar SUS campañas — nunca usamos datos de Gmail, Calendar, Sheets o Drive para publicitar nada, propio o de terceros.
• Entrenamiento de modelos de IA: los datos de Google que llegan a nuestro proveedor de IA (Gemini, vía Prism) se envían únicamente como parte de una llamada de inferencia puntual para completar la tarea solicitada en ese momento (por ejemplo, redactar un correo o extraer el nombre de un candidato de un PDF) — no se usan para entrenar ni reentrenar modelos de GoPrise AI ni de terceros. No convertimos estos datos en trabajos de fine-tuning.
• Compartición con proveedores: Activepieces es software de automatización de código abierto que autoalojamos y operamos como parte de la infraestructura del servicio. Procesa temporalmente datos de Google para ejecutar las integraciones. Google, nuestros proveedores de hosting/almacenamiento y los demás proveedores listados abajo también pueden procesar datos según lo necesario. No vendemos datos de Google.
• Retención y eliminación: los datos temporales de ejecución de Activepieces se conservan hasta siete días. Al desconectar se detiene el uso futuro y se solicita eliminar flows y la App Connection; el historial empresarial ya generado permanece sujeto a la política general de retención. Para revocar el grant directamente en Google debes usar los permisos de tu Cuenta de Google.

7. Cumplimiento de la Política de Datos de Usuario de las APIs de Google (Uso Limitado)

El uso y la transferencia de información recibida a través de las APIs de Google por parte de GoPrise AI cumplen con la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado. En concreto: usamos los datos de Google exclusivamente para ofrecer o mejorar las funciones visibles al usuario relacionadas con la función solicitada; no usamos estos datos para publicidad propia ni de terceros (ver la sección anterior); no vendemos estos datos ni los transferimos a terceros salvo para operar la función solicitada, cumplir la ley, o como parte de una fusión/adquisición debidamente informada; y ningún humano lee el contenido de estos datos salvo con tu consentimiento explícito, para dar soporte técnico a tu solicitud, por seguridad, o para cumplir la ley.

8. WhatsApp/Meta y otras integraciones de comunicación

Usamos la API de Meta (WhatsApp Cloud API) de forma directa, sin intermediarios (BSP), tanto para (a) el canal de comunicación propio de la empresa con sus usuarios internos/clientes, como para (b) un número propio de nuestra plataforma con el que los Empleados IA se comunican con proveedores (por ejemplo, para enviar una orden de compra). Los webhooks entrantes de Meta se verifican mediante la firma `X-Hub-Signature-256`. También soportamos Telegram (vía su Bot API) bajo el mismo modelo: cada empresa tiene su propio webhook verificado con un token secreto. El contenido de los mensajes enviados/recibidos por estos canales se guarda para asociarlos al proceso de negocio correspondiente (una conversación, un mensaje, un estado de entrega). Datos de candidatos: cuando una empresa usa GoPrise AI en sus procesos de selección, los datos de sus candidatos (hoja de vida, respuestas, resultados y, si son seleccionados, sus documentos de contratación) se tratan por cuenta de esa empresa, que es la responsable; GoPrise AI actúa como encargado. Antes de tratarlos se le pide al candidato su autorización y se guarda la evidencia; puede ejercer sus derechos ante la empresa o escribiéndonos.

9. Inteligencia artificial (Gemini)

Todas las llamadas a un modelo de lenguaje en GoPrise AI pasan por un único componente interno (el Orquestador de IA, sobre la librería `prism-php/prism`) y usan actualmente el modelo Gemini (`gemini-3.1-flash-lite`) como único proveedor configurado. El contenido que envías (mensajes de chat, documentos a analizar, configuración del Empleado IA relevante para la tarea) se envía a este proveedor únicamente como parte de una llamada de inferencia para responder esa solicitud puntual — no como parte de un proceso de entrenamiento o ajuste (fine-tuning) de ningún modelo. Registramos internamente el costo y el volumen de estas llamadas (`ai_usage_logs`, estadísticas diarias) exclusivamente para operación y facturación interna de la plataforma; esta información nunca se muestra a las empresas ni se usa para facturarles por tokens o costo de IA — la facturación a las empresas se basa en Tareas (intervenciones reales), no en consumo técnico de IA.

10. Finalidades del tratamiento

Tratamos tus datos para: prestar el servicio contratado y ejecutar los procesos de negocio que configures; autenticarte (enlace mágico / inicio de sesión con Google); procesar pagos y gestionar tu suscripción; enviar comunicaciones transaccionales (por ejemplo, el correo de enlace mágico, confirmaciones); habilitar y operar las integraciones que decidas conectar; mantener un registro de auditoría interno de cambios relevantes; y cumplir obligaciones legales, contables o de reporte. No usamos tus datos para publicidad de terceros ni los vendemos.

11. Proveedores y subprocesadores

Para prestar el servicio nos apoyamos en los siguientes proveedores externos, cada uno recibiendo solo la información necesaria para la función que presta:

• Google — autenticación (inicio de sesión), y las integraciones de Gmail, Calendar, Sheets, Drive y Ads descritas arriba.
• Stripe — procesamiento de pagos y suscripciones. La tokenización de la tarjeta ocurre directamente en el navegador mediante Stripe.js/Elements; el número completo de tarjeta nunca llega a nuestros servidores.
• Amazon Web Services (AWS) — almacenamiento de archivos (S3) en producción, y envío de correo transaccional (SES) cuando está configurado así.
• Meta (WhatsApp Cloud API) — mensajería de WhatsApp, tanto del canal propio de la empresa como del número usado para comunicarnos con proveedores.
• Telegram — mensajería vía Bot API, cuando la empresa conecta ese canal.
• Activepieces — infraestructura de automatización autoalojada usada para custodiar credenciales OAuth de Google y ejecutar acciones y triggers de Gmail, Drive, Calendar y Sheets. Los datos de ejecución y archivos temporales se conservan hasta siete días.

12. Transferencias de información

Los proveedores listados en la sección anterior (Google, Stripe, AWS, Meta, Telegram) operan infraestructura en la nube que puede estar ubicada fuera del país donde se encuentra tu empresa. Por ejemplo, nuestra configuración de almacenamiento en AWS usa por defecto la región `us-east-1` salvo que se configure explícitamente otra. Cuando estos proveedores procesan datos personales fuera de tu país, lo hacen bajo sus propios mecanismos de transferencia internacional y cumplimiento; te recomendamos revisar sus propias políticas de privacidad para más detalle.

13. Seguridad

Aplicamos controles técnicos verificables en el código de la plataforma: separación de datos por empresa a nivel de base de datos (cada tabla relevante está delimitada por empresa y protegida además a nivel de autorización); control de acceso basado en roles y permisos por empresa; cifrado en reposo de credenciales sensibles (por ejemplo, tokens de integraciones y configuración interna de IA); verificación de firma/secreto en cada webhook entrante (Meta, Telegram, Activepieces); y tokenización de pagos directamente en el navegador mediante Stripe, de forma que el número de tarjeta nunca transita por nuestros servidores. No afirmamos contar con una certificación de seguridad específica (por ejemplo, SOC 2 o ISO 27001) porque no la tenemos hoy.

14. Retención

Conservamos tu información mientras tu cuenta y la de tu empresa estén activas, y durante un período razonable adicional para atender obligaciones legales, contables o de reporte, y para mantener la integridad del historial de los procesos de negocio ya ejecutados (por ejemplo, el historial de una orden de compra o de una conversación no se borra solo porque haya terminado). No tenemos hoy plazos de retención específicos codificados por tipo de dato; si tu empresa necesita un plazo contractual concreto, contáctanos.

15. Eliminación de información

Puedes desconectar cualquier integración en cualquier momento desde Integraciones. Esto detiene inmediatamente su uso por GoPrise y solicita eliminar sus flows y App Connection de Activepieces. Como esa API no revoca el grant del proveedor, también debes revocar el acceso desde los permisos de tu Cuenta de Google si deseas una revocación a nivel del proveedor. Los registros empresariales ya creados siguen sujetos a la política general de retención. Para solicitudes más amplias de eliminación, contáctanos mediante la dirección indicada en Contacto.

16. Tus derechos y controles

Puedes ejercer control directo sobre tus datos desde la aplicación: desconectar cualquier integración (`/company/integrations`), y revocar el acceso de GoPrise AI desde tu propia cuenta de Google en https://myaccount.google.com/permissions en cualquier momento. Para solicitudes de acceso, corrección, exportación o eliminación de tus datos personales que no puedas resolver directamente desde la aplicación, contáctanos usando la dirección indicada en "Contacto".

17. Cookies y sesiones

Usamos una cookie de sesión para mantenerte conectado, una cookie de token CSRF (protección estándar de Laravel contra falsificación de solicitudes) para proteger el envío de formularios, y una cookie `public_locale` para recordar tu preferencia de idioma (español/inglés) en el sitio público. No usamos cookies ni scripts de analítica de terceros ni de publicidad (por ejemplo, no usamos Google Analytics, Meta Pixel, Segment, Mixpanel ni herramientas equivalentes).

18. Menores de edad

GoPrise AI es una herramienta de software para empresas (B2B), pensada para ser usada por personal autorizado de una empresa cliente en el contexto de su trabajo. No está dirigida a menores de edad y no solicitamos deliberadamente información de menores.

19. Cambios a esta política

Podemos actualizar esta Política de Privacidad cuando cambie de forma material lo que el producto realmente hace con tus datos. La fecha de la última actualización se muestra en la parte superior de esta página; te recomendamos revisarla periódicamente.

20. Contacto

Para preguntas sobre esta Política de Privacidad, sobre tus datos, o para solicitar acceso, corrección o eliminación, escríbenos a [email protected].

21. Fecha efectiva

Esta política entra en vigor en la fecha de "Última actualización" indicada en la parte superior de esta página.