Política de Privacidad

01Quién es responsable de sus datos

NexxoSync cumple dos papeles distintos, y cuál aplica depende de a quién pertenecen los datos:

Cuando actuamos como encargados, el comerciante es el responsable y nuestras obligaciones se establecen en el Acuerdo de Tratamiento de Datos. Esta política describe igualmente, por transparencia, cómo circulan esos datos por NexxoSync.

02Normativa aplicable

NexxoSync presta servicio a comerciantes de muchos países. Aplicamos esta política a todas las personas y, además, respetamos los derechos que les reconoce la ley de su lugar de residencia, entre ellas:

• el Reglamento General de Protección de Datos de la Unión Europea (RGPD) y el UK GDPR junto con la Data Protection Act 2018 del Reino Unido;
• la California Consumer Privacy Act, modificada por la CPRA (CCPA), y leyes similares de otros estados de los Estados Unidos;
• la Lei Geral de Proteção de Dados de Brasil (LGPD, Ley 13.709/2018);
• la Ley 25.326 de Protección de los Datos Personales de la República Argentina y su reglamentación, bajo el control de la Agencia de Acceso a la Información Pública (AAIP).

03Qué datos tratamos

a) Cuenta del comerciante y miembros del equipo

• Nombre, dirección de correo electrónico y nombre del espacio de trabajo (empresa); el rol de cada miembro del equipo.
• Contraseña, almacenada únicamente como hash bcrypt: nunca guardamos ni vemos la contraseña en sí.
• Registros de sesión: un hash del token de sesión (nunca el token), la dirección IP y el agente de usuario del navegador, para que pueda ver y cerrar sus sesiones activas.
• Registro de actividad: acciones realizadas en el espacio de trabajo, fecha y hora, y dirección IP.

b) Credenciales de las plataformas

Tokens de acceso y de renovación, claves de API y secretos de webhooks de las plataformas que conecta, y las claves de API del proveedor de IA que configure. Se cifran en reposo con AES-256-GCM, con una clave que se guarda fuera de la base de datos, y se descifran solo en memoria en el momento de usarlas.

c) Datos de catálogo y de operación

Productos, variaciones, precios, stock, imágenes y atributos; la correspondencia entre un producto en una plataforma y su contraparte en otra; sus reglas de sincronización; y el historial de cada ejecución. Son datos comerciales y rara vez contienen datos personales.

d) Datos de los clientes del comerciante (como encargados)

Cuando una sincronización o un asistente los necesita: nombre, correo electrónico, teléfono, número de documento o de identificación fiscal, domicilios de envío y de facturación, y el detalle de los pedidos (productos, cantidades, importes, estado y seguimiento). También las preguntas y reclamos de compradores de marketplaces que el comerciante decide atender con un asistente, y los mensajes que los visitantes escriben al chatbot del sitio del comerciante.

e) Facturación

Plan, importe, moneda, estado, período de facturación y los identificadores de la suscripción y de cada pago en el procesador de pagos (PayPal para USD, Mercado Pago para ARS en Argentina), junto con la notificación que el procesador nos envía. Nunca recibimos ni almacenamos datos de tarjetas, cuentas bancarias ni billeteras: usted los ingresa directamente en el procesador.

f) Visitantes del sitio y formularios de contacto

• El sitio no instala cookies por sí mismo. Las estadísticas de uso (Google Analytics 4) se recogen solo si usted las acepta, como se explica en la Política de Cookies.
• Lo que escriba en el formulario de contacto o de arrepentimiento: nombre, correo electrónico, asunto y mensaje, además de su dirección IP, que se usa solo para limitar abusos.
• Los datos técnicos que lleva toda petición web (dirección IP, navegador, página solicitada), que tratan nuestros proveedores de infraestructura y de red para entregar y proteger el sitio.

04Para qué los usamos y con qué base legal

Respecto de los datos de los que somos responsables, estas son las finalidades y las bases legales según el art. 6.1 del RGPD (y sus equivalentes en otras leyes):

Cuando nos basamos en el interés legítimo, lo hemos ponderado frente a sus derechos; puede oponerse como se indica en "Sus derechos". Los datos de los clientes del comerciante se tratan según las instrucciones del comerciante y con la base legal que este determine.

Los avisos del Servicio forman parte de la prestación y no pueden desactivarse mientras la cuenta esté activa. Solo enviaríamos correos comerciales con su consentimiento previo, que podría retirar en cualquier momento.

05Asistentes de IA

El comerciante elige qué proveedor de IA impulsa sus asistentes y lo configura en la aplicación con su propia cuenta y sus propias credenciales (los proveedores compatibles figuran en Subencargados). Para responder una consulta enviamos a ese proveedor solo el texto necesario: la conversación, las instrucciones y la base de conocimientos del comerciante, y los datos del catálogo o del pedido pertinentes a la pregunta.

• El chatbot del sitio web busca en el catálogo del comerciante y puede informar el estado de un pedido solo después de que el comprador indique el número de pedido y un correo electrónico, teléfono o número de documento que coincidan con los de la compra. Nunca dice cuál de los dos datos no coincidió, y las consultas de pedidos tienen un límite por visitante para impedir que se adivinen. La respuesta incluye estado, fecha, envío y seguimiento, y los artículos; no el domicilio ni otros datos personales del comprador.
• Los asistentes de marketplaces redactan respuestas a las preguntas y reclamos de compradores en Mercado Libre; según la configuración del comerciante, la respuesta se publica, se guarda como borrador para revisión o se deriva a una persona.

No usamos los datos de los comerciantes ni los de sus clientes para entrenar modelos de IA, ni permitimos que se usen con ese fin de nuestro lado. Cómo trata el proveedor elegido los datos que recibe se rige por sus propios términos y por el acuerdo del comerciante con él; la mayoría de las ofertas de API para empresas no entrenan con los datos enviados por API de forma predeterminada, y el comerciante debería verificarlo en la configuración de su proveedor.

06Decisiones automatizadas

No tomamos decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos o efectos igualmente significativos sobre ninguna persona, ni elaboramos perfiles con fines publicitarios. Los asistentes responden preguntas con datos del catálogo y de los pedidos; no deciden sobre reembolsos, créditos ni elegibilidad. Las reglas de sincronización aplican las reglas comerciales del propio comerciante (por ejemplo, ajustes de precio o de stock) a productos, no a personas.

07Con quién compartimos los datos

No vendemos datos personales ni los compartimos para publicidad comportamental entre contextos. Solo los comunicamos:

• a los proveedores que nos ayudan a operar el Servicio (alojamiento, red, correo electrónico, pagos y el proveedor de IA que elija el comerciante), bajo condiciones de confidencialidad y de protección de datos. La lista completa, con lo que recibe cada uno y dónde, está en Subencargados;
• a las plataformas que el propio comerciante conecta (por ejemplo, un pedido de su tienda se crea en su ERP), porque ese es el Servicio que el comerciante solicitó;
• a autoridades, tribunales u organismos reguladores, cuando la ley lo exija y solo en la medida exigida;
• a un adquirente o sucesor en una fusión, adquisición o reorganización, en condiciones que mantengan las protecciones de esta política y previo aviso a los comerciantes afectados.

08Transferencias internacionales

Nuestros proveedores pueden tratar datos fuera de su país. Cuando se transfieren datos personales del Espacio Económico Europeo, el Reino Unido, Suiza, Brasil o Argentina a un país sin decisión de adecuación, nos amparamos en una garantía apropiada:

• una decisión de adecuación; por ejemplo, la Comisión Europea reconoce a la Argentina (Decisión 2003/490/CE) y el Marco de Privacidad de Datos UE-EE. UU. para las empresas estadounidenses certificadas;
• las Cláusulas Contractuales Tipo de la Comisión Europea (2021/914), con el Anexo de Transferencia Internacional de Datos del Reino Unido cuando corresponda;
• las cláusulas modelo aprobadas por la AAIP para transferencias desde la Argentina, y las cláusulas contractuales estándar de la ANPD para transferencias desde Brasil.

La ubicación de cada proveedor y la garantía utilizada figuran en Subencargados. Puede solicitarnos una copia de la garantía correspondiente en [email protected].

09Cuánto tiempo conservamos los datos

Conservamos los datos personales solo mientras sean necesarios. La mayoría de las eliminaciones son automáticas: un proceso en segundo plano se ejecuta cada seis horas. Los plazos siguientes son los predeterminados; el operador puede acortarlos, y alargar algunos solo dentro de máximos fijos.

Al vencer cada plazo, los datos se eliminan o se anonimizan de forma irreversible. Los registros que se conservan por exigencia legal quedan restringidos y solo se acceden con esa finalidad. Cómo eliminar una conexión o cerrar una cuenta se explica en Eliminación de datos.

10Cómo protegemos los datos

• Cifrado en tránsito: todo el tráfico con el sitio, la aplicación y las API usa HTTPS/TLS.
• Cifrado en reposo de los secretos: las credenciales de las plataformas, las claves de los proveedores de IA y otros secretos se cifran con AES-256-GCM, con una clave que se guarda fuera de la base de datos.
• Copias de seguridad cifradas, con una clave independiente guardada fuera del servidor; no se conservan volcados de la base de datos sin cifrar.
• Aislamiento por espacio de trabajo: cada consulta se limita al espacio de trabajo que la origina, de modo que un comerciante solo accede a sus propios datos.
• Acceso del personal limitado y registrado: solo el administrador de la plataforma puede entrar a otro espacio de trabajo, con fines de soporte, y cada entrada y cada cambio administrativo quedan registrados en un registro de auditoría.
• Autenticación robusta: contraseñas con hash bcrypt y sujetas a una política de seguridad mínima; tokens de sesión almacenados solo como hash; verificación en dos pasos en nuestras cuentas de infraestructura y de plataformas.
• Webhooks verificados y límites de solicitudes en los puntos de acceso públicos, como el chatbot y el formulario de contacto.
• Un procedimiento documentado de respuesta ante incidentes.

Ningún sistema está exento de riesgos. Si un incidente de seguridad afecta a datos personales, lo notificaremos a los comerciantes afectados sin dilación indebida y, cuando sea posible, dentro de las setenta y dos (72) horas desde que tomemos conocimiento, y a las autoridades competentes cuando la ley lo exija. Más detalles en Seguridad.

11Solicitudes de privacidad de las plataformas conectadas

Algunas plataformas envían a las aplicaciones notificaciones de privacidad obligatorias. Procesamos las notificaciones store/redact, customers/redact y customers/data_request de Tiendanube: se verifica su firma, cada una queda registrada y store/redact desconecta las conexiones de la tienda. Como NexxoSync no mantiene una base de clientes propia, los rastros restantes de un cliente (historial de ejecuciones, trabajos fallidos, conversaciones del chatbot) se eliminan dentro de los plazos de conservación indicados, o antes si se solicita.

12Sus derechos

Según dónde resida, usted tiene algunos o todos estos derechos:

• Acceso: saber qué datos suyos tenemos y obtener una copia.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: que se eliminen sus datos, salvo los que debamos conservar por ley.
• Limitación: pedir que restrinjamos el tratamiento mientras se resuelve una controversia.
• Oposición: oponerse a un tratamiento basado en el interés legítimo.
• Portabilidad: recibir sus datos en un formato estructurado y de uso común.
• Retirar el consentimiento en cualquier momento, sin que ello afecte al tratamiento anterior.
• No ser objeto de decisiones basadas únicamente en un tratamiento automatizado con efectos jurídicos o igualmente significativos (no tomamos ninguna).
• Reclamar ante una autoridad de protección de datos.

California (CCPA/CPRA)

Los residentes de California pueden solicitar conocer, eliminar y corregir su información personal, y limitar el uso de la información personal sensible. No vendemos ni compartimos información personal en el sentido que la CCPA da a esos términos, y no usamos información personal sensible para inferir características. No lo discriminaremos por ejercer sus derechos. Puede actuar mediante un agente autorizado; podremos pedirle que acredite su autorización y pedirle a usted que verifique su identidad.

Brasil (LGPD)

Los titulares de datos en Brasil tienen además los derechos del art. 18 de la LGPD, entre ellos la confirmación de la existencia del tratamiento, la anonimización, la información sobre las entidades con las que se comparten los datos y el derecho de peticionar ante la Autoridade Nacional de Proteção de Dados (ANPD).

Argentina (Ley 25.326)

Puede ejercer los derechos de acceso, rectificación, actualización y supresión. El acceso es gratuito a intervalos no inferiores a seis meses, salvo que se acredite un interés legítimo.

13Cómo ejercer sus derechos

Escriba a [email protected], preferentemente desde la dirección de correo vinculada a su cuenta, indicando qué derecho desea ejercer. Si no podemos verificar su identidad a partir de esa dirección, podremos pedirle información adicional razonable, que usaremos solo con ese fin. El ejercicio de sus derechos es gratuito.

Acusamos recibo de las solicitudes con prontitud y respondemos en el plazo máximo de un mes (prorrogable por otros dos meses en solicitudes complejas, como permite el RGPD), o en el plazo más breve que fije su ley; por ejemplo, 10 días corridos para el acceso y 5 días hábiles para la rectificación o supresión según la Ley 25.326 de la Argentina, 15 días para un informe completo de acceso según la LGPD y 45 días según la CCPA.

Si usted es cliente de un comerciante que usa NexxoSync (compró en su tienda o escribió a su chatbot), dirija su solicitud a ese comerciante: es quien controla sus datos y los conserva en sus propios sistemas. Si nos escribe a nosotros, remitiremos su solicitud al comerciante y lo asistiremos para responderla.

Si no queda conforme con nuestra respuesta, puede reclamar ante la autoridad de protección de datos de su país: en la Unión Europea, la autoridad de su Estado miembro; en el Reino Unido, la ICO; en Brasil, la ANPD; en la Argentina, la AAIP.

14Menores de edad

El Servicio está dirigido a empresas y a personas mayores de edad con capacidad para contratar. No está dirigido a menores y no recogemos a sabiendas datos de menores para fines propios. Si supiéramos que una cuenta fue creada por un menor, la eliminaremos. Los comerciantes son responsables de los datos que sus propios clientes les proporcionan.

15Cambios en esta política

Podemos actualizar esta política cuando cambie el Servicio o la ley. Publicamos cada versión en esta página con su fecha de vigencia y, si un cambio afecta de forma sustancial al tratamiento de sus datos, lo notificamos a los comerciantes por correo electrónico con al menos treinta (30) días de antelación.

16Contacto

• Privacidad y protección de datos: [email protected].
• Problemas de seguridad y reportes de vulnerabilidades: [email protected].
• Dirección postal: NexxoSync, la Provincia de Mendoza (el domicilio completo se informa a la autoridad competente y a cualquier Cliente que lo solicite por escrito), República Argentina.