Política de privacidad

1. Quién es responsable y en qué casos

AXIUM S.A.C., RUC 20615157539, con domicilio en Mz. A1 Lt. 41, Urb. Inresa, Callao, Perú («nosotros»), presta el servicio Konvo. Tratamos datos personales en dos papeles distintos:

• Como RESPONSABLE (titular del banco de datos): los datos de las personas que crean o usan una cuenta de Konvo (los «Usuarios»), de quienes visitan este sitio y de quienes nos escriben o registran un reclamo.
• Como ENCARGADO del tratamiento: los datos de los clientes de cada negocio que usa Konvo (los «Contactos»): sus números de WhatsApp, mensajes y demás datos que el negocio guarda en su cuenta. Ahí el responsable es ese negocio, y nosotros los tratamos solo por su cuenta y según sus instrucciones (ver la sección 5 y el Acuerdo de encargo de tratamiento).

2. Qué datos tratamos como responsables

• Cuenta: nombre, correo electrónico, contraseña (guardada solo como huella cifrada, nunca en texto), y si entra con Google, el nombre, el correo y la foto que Google comparte.
• Del negocio: nombre comercial, subdominio, y los datos que el negocio cargue en su perfil (RUC, teléfono, dirección).
• Pago de la suscripción: plan, montos, fechas y estado de los pagos. Los datos de la tarjeta los recibe la pasarela de pago; nosotros no los guardamos.
• Técnicos y de seguridad: dirección IP, navegador, fecha y hora de inicio de sesión, y registros de actividad necesarios para la seguridad y el límite de intentos.
• Comunicaciones: lo que nos escriba a soporte y, si registra un reclamo, los datos de la hoja del Libro de Reclamaciones (nombre, documento de identidad, domicilio, teléfono, correo y el detalle).
• Cookies y almacenamiento del navegador: solo los técnicos que describe la Política de cookies.

3. Para qué los usamos y con qué base legal

No usamos sus datos para publicidad, no los vendemos y no hacemos perfiles para decisiones automatizadas que le afecten. Si algún día queremos enviarle comunicaciones comerciales, le pediremos un consentimiento aparte, libre y revocable.

4. Los datos de los Contactos de cada negocio

Cuando un negocio conecta su WhatsApp a Konvo, guardamos por su cuenta: el número y el nombre de perfil de WhatsApp de cada Contacto, los mensajes y archivos que intercambian, las etiquetas, notas, campos, negocios y tareas que el equipo del negocio registra, y el registro de consentimiento (opt-in) y de baja de cada Contacto.

Tratamos esos datos solo para prestarle el servicio al negocio. No los usamos para fines propios, no los cruzamos entre negocios (cada cuenta está aislada) y no los vendemos.

Si usted es Contacto de un negocio y quiere ejercer sus derechos, diríjase a ese negocio, que es el responsable. Si nos escribe a nosotros, le derivaremos el pedido y lo ayudaremos a atenderlo. Puede pedir la baja de los mensajes de un negocio respondiendo «BAJA» o «STOP» en su chat.

5. WhatsApp y Meta

Los mensajes de WhatsApp pasan por WhatsApp Business Platform (la Cloud API), un servicio de Meta Platforms, Inc. Meta recibe y procesa los mensajes como proveedor de la mensajería del negocio, según sus propios términos y su política de privacidad.

Meta nos entrega los mensajes entrantes y los estados (enviado, entregado, leído, fallido) mediante un aviso firmado que verificamos. Guardamos los mensajes en nuestra base y los archivos (imágenes, audios, documentos) en un almacenamiento privado, al que solo se accede con enlaces firmados que vencen en minutos.

Para conectar un número, el negocio autoriza a Konvo en la ventana de Meta (registro integrado). Guardamos cifrados (AES-256-GCM) el token de acceso y el PIN del número.

Nuestro personal no lee las conversaciones, salvo que el negocio lo pida para darle soporte, por seguridad o por obligación legal.

6. Inteligencia artificial: qué se envía a OpenAI

El asistente con IA está apagado por defecto. Solo si el negocio lo activa, usamos la API de OpenAI (OpenAI, L.L.C., Estados Unidos) así:

• Para responder: se envían las instrucciones del bot que escribió el negocio, los últimos mensajes de texto de esa conversación (hasta 16) y los fragmentos de la base de conocimiento del negocio que sean relevantes para la pregunta. No se envían imágenes, audios ni documentos de la conversación.
• Para buscar en la base de conocimiento: el texto de los documentos que el negocio carga se convierte en vectores numéricos (embeddings) con OpenAI y se guarda en nuestra base, separado por negocio.

Según los términos de la API de OpenAI, lo que se envía por la API no se usa para entrenar sus modelos, y OpenAI puede conservarlo hasta 30 días para vigilar abusos antes de borrarlo. Nosotros tampoco usamos esos datos para entrenar ningún modelo. Del consumo de IA guardamos solo cifras (tokens y costo), nunca el texto.

Si el negocio usa su propia clave de OpenAI, los datos se envían a la cuenta de OpenAI del negocio, bajo el contrato del negocio con OpenAI.

7. Proveedores y transferencias internacionales

Usamos estos proveedores para prestar el servicio. Algunos están fuera del Perú, por lo que hay flujo transfronterizo de datos; lo hacemos porque es necesario para ejecutar el contrato y con proveedores que se obligan a proteger los datos con medidas de seguridad adecuadas:

Fuera de estos casos, solo comunicamos datos a una autoridad cuando una norma o una orden lo exige.

8. Cuánto tiempo los conservamos

• Cuenta y Contenido del negocio (incluidos los datos de los Contactos): mientras la cuenta esté vigente, y 30 días después de terminar el contrato para que el negocio pueda pedir su exportación. Luego se borran; las copias de seguridad se eliminan en su ciclo normal de rotación.
• Datos de pagos y comprobantes: el plazo que exige la normativa tributaria.
• Hojas del Libro de Reclamaciones: al menos 2 años desde su registro, como exige su reglamento.
• Registros técnicos y de seguridad: el tiempo necesario para la seguridad y el diagnóstico, y como máximo 12 meses.

El negocio puede borrar antes, desde su panel, los datos de un Contacto.

9. Sus derechos y cómo ejercerlos

Usted puede ejercer, de forma gratuita, sus derechos de información, acceso, rectificación, cancelación (supresión) y oposición («ARCO»), y los demás que reconocen la Ley 29733 y su reglamento, como la portabilidad y la revocación del consentimiento.

Escríbanos a privacidad@axium.com.pe con el asunto «Datos personales», indicando su nombre, el derecho que quiere ejercer, el correo de su cuenta si la tiene, y una copia de su documento de identidad (o el documento que acredite la representación, si actúa por otra persona). Responderemos en los plazos del reglamento.

Si considera que no atendimos su pedido, puede presentar una reclamación ante la Autoridad Nacional de Protección de Datos Personales del Ministerio de Justicia y Derechos Humanos.

10. Seguridad

Aplicamos medidas técnicas y organizativas proporcionales: conexiones cifradas (HTTPS), contraseñas guardadas como huella, tokens y claves de terceros cifrados, aislamiento de los datos de cada negocio en cada consulta, permisos por rol, límites de intentos contra abusos, archivos privados con enlaces que vencen, y acceso restringido a los servidores.

Si ocurre un incidente de seguridad que afecte datos personales, lo comunicaremos a la Autoridad Nacional de Protección de Datos Personales en el plazo de 48 horas que fija el reglamento, y a los negocios y personas afectadas sin demora, con lo que se sepa y las medidas tomadas.

11. Menores de edad

Konvo es un servicio para negocios y no está dirigido a menores de 18 años. Si un menor registra un reclamo, se pide el nombre de su madre, padre o apoderado, como exige el Libro de Reclamaciones.

12. Cambios a esta política

Cada versión lleva su número y su fecha de vigencia arriba del todo. Si un cambio es de fondo, lo avisaremos por correo o en el panel antes de que entre en vigencia.

13. Contacto

AXIUM S.A.C., RUC 20615157539, Mz. A1 Lt. 41, Urb. Inresa, Callao, Perú, teléfono 991 285 679. Datos personales: privacidad@axium.com.pe. Consultas: contacto@axium.com.pe. Reclamos y quejas: Libro de Reclamaciones (reclamos@axium.com.pe).