Política de Privacidad

0. Responsable del Tratamiento

Responsable: Warlin Joel Pimentel Guerrero, persona física que opera bajo el nombre comercial Optimard. Kalioflow es un producto/marca de Optimard.
Email de contacto: info@optimard.com

1. Información que Recopilamos

Kalioflow recopila la siguiente información para prestar sus servicios:

Datos de cuenta: nombre, correo electrónico y contraseña al registrarse.
Datos de WhatsApp Business: número de teléfono, WABA ID, Phone Number ID y token de acceso de la API de Meta.
Datos de conversaciones: mensajes enviados y recibidos a través de la plataforma WhatsApp Business API, Messenger, Instagram, Telegram y chat web.
Datos de contactos: números de teléfono y nombres de los usuarios finales que interactúan con tu cuenta.
Datos de navegación (con tu consentimiento): cookies de analítica y publicidad. Detalle completo en nuestra Política de Cookies.
Datos de la app móvil para medir campañas publicitarias: al abrir la app de Kalioflow para iOS o Android, el SDK de Meta registra la instalación y las aperturas, junto con datos del dispositivo (modelo, versión del sistema operativo, versión de la app, idioma, zona horaria, dirección IP), un identificador anónimo de la app y, en Android, el ID de publicidad del dispositivo. Detalle en la sección 5.
Datos de Google (solo si conectas tu cuenta): la dirección de correo de la cuenta conectada y los identificadores de los eventos que creamos en tu calendario. Detalle completo en la sección 4.
Datos del conector con asistentes de IA (solo si lo activas): qué asistente conectaste, quién lo autorizó y cuándo, la fecha del último uso y el número de consultas del mes. Detalle completo en la sección 4.1.
Datos de pago: gestionados directamente por Stripe; Kalioflow no almacena números de tarjeta.

2. Cómo Usamos tu Información y Base Legal

Utilizamos la información recopilada para:

Proveer, operar y mantener los servicios de Kalioflow — base legal: ejecución del contrato de servicio.
Facilitar la comunicación entre tu negocio y tus clientes a través de WhatsApp y otros canales — ejecución del contrato.
Mostrar estadísticas y análisis de conversaciones en tu dashboard — ejecución del contrato.
Medir y mejorar la web mediante analítica, y medir/optimizar campañas publicitarias — consentimiento explícito, revocable en cualquier momento desde .
Prevenir fraude y garantizar la seguridad de la plataforma — interés legítimo.
Cumplir con las políticas de la API de WhatsApp Business de Meta y obligaciones legales aplicables — obligación legal.

3. Uso de la API de WhatsApp Business (Meta)

Kalioflow utiliza la API de WhatsApp Business de Meta para enviar y recibir mensajes. Al usar nuestra plataforma, aceptas las Políticas de WhatsApp Business y los Términos de la Plataforma de Meta.

Solo enviamos mensajes a usuarios que han iniciado una conversación contigo o han dado su consentimiento explícito para recibir comunicaciones.

4. Uso de datos de Google (Google Calendar)

Kalioflow solicita un único permiso sensible de tu cuenta de Google: .../auth/calendar.events.owned, que permite crear, modificar y eliminar únicamente los eventos que Kalioflow crea en tu nombre. Solicitamos además tu dirección de correo de Google para identificar la cuenta conectada.

Qué hacemos: cuando se agenda una cita en la plataforma, la escribimos como evento en tu calendario; si esa cita se modifica o se cancela en Kalioflow, actualizamos o eliminamos ese mismo evento.

Qué no hacemos: Kalioflow no lee tu calendario. No consultamos, descargamos ni almacenamos eventos existentes, ni los de otros calendarios, ni los creados por otras aplicaciones. El flujo de datos es unidireccional: de Kalioflow hacia Google.

Uso Limitado (Limited Use). El uso que Kalioflow hace de la información recibida de las APIs de Google se rige por la Google API Services User Data Policy, incluidos sus requisitos de Uso Limitado. En concreto:

No usamos datos obtenidos de las APIs de Google para entrenar, ajustar ni mejorar modelos de inteligencia artificial, ni propios ni de terceros.
No transferimos datos obtenidos de las APIs de Google a nuestros proveedores de IA (OpenAI, OpenRouter). Fuera de eso, solo se tratan a través de los proveedores de alojamiento y base de datos estrictamente necesarios para operar la función que solicitaste, listados en la sección 9; no los cedemos a ningún otro tercero salvo obligación legal o consentimiento expreso tuyo.
No vendemos, alquilamos ni cedemos estos datos, ni los usamos con fines publicitarios.
Ninguna persona accede a estos datos, salvo que nos des tu consentimiento expreso, por motivos de seguridad, para cumplir la ley, o de forma agregada y anonimizada.

Cómo revocar el acceso. Puedes desconectar Google en cualquier momento desde Ajustes → Integraciones en tu cuenta, o desde myaccount.google.com/permissions. Al desconectar, revocamos el token ante Google y lo eliminamos de nuestra base de datos.

4.1 Conector con asistentes de IA (Claude y ChatGPT)

Kalioflow te permite conectar un asistente de IA que ya uses, como Claude (de Anthropic) o ChatGPT (de OpenAI), para que consulte los contactos y las conversaciones de tu cuenta: por ejemplo, para redactar un correo de seguimiento o preparar un informe. Es una función opcional y desactivada por defecto. Solo se activa si el titular de la cuenta la autoriza expresamente en la pantalla de permiso de Kalioflow, y nadie más que el titular puede hacerlo.

Qué puede leer el asistente:

De tus contactos: nombre, número de teléfono o identificador del canal, canal, etiquetas, los datos que tu agente haya recogido durante la conversación y el resumen de la conversación.
El texto de las conversaciones con cada contacto. De los archivos adjuntos (imágenes, audios, vídeos y documentos) no se envía el archivo: solo, cuando existen, su nombre y el texto o la transcripción asociados.
Un listado de los contactos que te escribieron en un periodo y todavía no han recibido respuesta, con su último mensaje.

Qué no puede hacer: el acceso es de solo lectura. El asistente no puede enviar mensajes, ni crear, modificar o borrar nada en tu cuenta, ni ver otras cuentas.

Quién trata esos datos. Cada vez que el asistente consulta Kalioflow, lo que lee se envía a los servidores de su proveedor (Anthropic, PBC u OpenAI, L.L.C., en Estados Unidos), dentro de tu propia cuenta con ese proveedor. Ese envío lo decides tú, como responsable de los datos de tus clientes, al conectar el asistente. Por eso el proveedor no es un subencargado de Kalioflow: es un servicio que contratas directamente y que trata los datos según sus propias condiciones y su política de privacidad (Anthropic, OpenAI), incluidas sus reglas sobre cuánto tiempo conserva la información y si la usa para entrenar modelos, que dependen del plan y de los ajustes de tu cuenta con él. Kalioflow no controla lo que el proveedor hace con esos datos. Te corresponde contar con una base legal para compartirlos e informar a tus clientes cuando la normativa lo exija.

Qué guarda Kalioflow. Para que la conexión funcione guardamos el nombre con el que se registra el asistente y sus direcciones de retorno; qué usuario autorizó la conexión y cuándo; la fecha del último uso; el número de consultas del mes, para aplicar el límite de tu plan; y los códigos y tokens de acceso, siempre como huella criptográfica (hash) y nunca en claro. El registro técnico de cada consulta anota solo la herramienta usada, identificadores internos de la cuenta y de la conexión, el número de resultados y la duración: nunca el contenido de los mensajes ni datos de tus contactos.

Cuánto tiempo. Los permisos caducan solos: el código de autorización a los 10 minutos, cada token de acceso a la hora, y la conexión tras 30 días sin usarse. Los códigos y tokens caducados se borran automáticamente entre 1 y 7 días después, y los registros de asistentes sin conexiones activas, tras 30 días sin uso. El contador de consultas se conserva mientras la cuenta esté activa. Todo se elimina al eliminar tu cuenta.

Cómo desconectarlo. Desde Integraciones → Asistentes de IA → Desconectar, que corta el acceso en el momento. Si quitas el conector solo desde los ajustes de tu asistente, el acceso deja de usarse pero no se invalida en Kalioflow hasta que caduca; para cortarlo al momento, desconéctalo también desde Kalioflow. Desconectar no borra lo que el proveedor ya haya recibido: para eso, dirígete a él.

Ten en cuenta. Los mensajes de tus clientes los escriben terceros y pueden contener instrucciones dirigidas a la IA. Indicamos al asistente que los trate como datos y no como órdenes, pero no podemos garantizar cómo actúa. Si tienes otros conectores activos en tu asistente (por ejemplo, tu correo), la IA podría combinar lo que lee de Kalioflow con ellos. Revisa lo que el asistente te proponga antes de enviarlo o usarlo.

5. Cookies y Tecnologías de Seguimiento

Usamos Meta Pixel/Conversions API (publicidad) y PostHog (analítica), ambos activados únicamente si aceptas la categoría correspondiente. Nada se rastrea antes de tu decisión. El listado completo de cookies, finalidad, duración y terceros implicados está en nuestra Política de Cookies. Puedes cambiar tu decisión en cualquier momento desde .

5.1 App móvil y SDK de Meta

Las apps de Kalioflow para iOS y Android incluyen el SDK de Meta Platforms, Inc., que usamos para medir si los anuncios que publicamos en Meta (Facebook e Instagram) consiguen instalaciones de la app. Este tratamiento es distinto de las cookies de la web: no depende del banner de cookies y se activa al abrir la app.

Qué datos envía el SDK a Meta:

Que la app se instaló y cuándo se abre, y las compras o suscripciones realizadas dentro de la app.
Datos técnicos del dispositivo: modelo, versión del sistema operativo, versión de la app, idioma, zona horaria y dirección IP.
Un identificador anónimo generado por el SDK para esa app.
Android: el ID de publicidad del dispositivo (Google Advertising ID), que sirve para atribuir la instalación al anuncio.
iOS: no mostramos la ventana de rastreo de Apple ni leemos el identificador de publicidad (IDFA). La atribución en iPhone se hace con SKAdNetwork, el sistema de Apple que cuenta instalaciones sin identificar a la persona.

Qué no hace: el SDK no recibe el contenido de tus conversaciones, ni los datos de tus contactos, ni tus datos de cuenta, y no lo usamos para iniciar sesión con Facebook.

Cómo limitarlo. En Android puedes borrar tu ID de publicidad o desactivar la personalización de anuncios en Ajustes → Google → Anuncios. En iOS puedes comprobar que Ajustes → Privacidad y seguridad → Rastreo no permite el rastreo a Kalioflow. Si quieres que dejemos de tratar estos datos o tienes dudas, escríbenos a info@optimard.com. Meta trata los datos recibidos según su Política de Privacidad.

6. Retención de Datos

Datos de cuenta y conversaciones: mientras tu cuenta esté activa, y hasta 30 días hábiles tras solicitar su eliminación (ver Eliminación de Datos).
Archivos adjuntos (imágenes, audios, vídeos y documentos que envían tus clientes o que subes tú): los conservamos mientras tu cuenta esté activa, para que puedas consultar tus conversaciones; no aplicamos un borrado automático por antigüedad. Se eliminan al eliminar tu cuenta y, en el caso de los que envió un contacto, al eliminar ese contacto. Los adjuntos que envían tus clientes se guardan en un almacenamiento privado, al que solo se accede desde tu sesión o desde nuestros sistemas (por ejemplo, para que la IA los procese) mediante enlaces temporales.
Tras confirmar la eliminación, tus datos se borran de nuestra base de datos activa. Nuestro proveedor de infraestructura puede conservar copias técnicas transitorias durante periodos breves, fuera de nuestro control directo, antes de su purga definitiva.
Copias de seguridad: realizamos una copia diaria de la base de datos, cifrada, con fines de recuperación ante desastres. Se conservan 30 días y luego se eliminan de forma automática. Esto significa que, tras la eliminación de tu cuenta, tus datos pueden permanecer en esas copias cifradas hasta 30 días más; no se usan para ningún otro fin y solo se restaurarían ante una pérdida de datos.
Registros contables/facturación: conforme a los plazos legales de conservación de la jurisdicción aplicable.
Cookies de consentimiento: 180 días desde tu última decisión.
Conector con asistentes de IA: los códigos y tokens de acceso se borran automáticamente entre 1 y 7 días después de caducar; el resto de los datos de la conexión, según la sección 4.1.

7. Seguridad

Implementamos medidas de seguridad técnicas y organizativas para proteger tu información:

Cifrado en tránsito: todo el tráfico viaja por HTTPS.
Cifrado en reposo de credenciales: los tokens de acceso de terceros — incluidos los de Google — se almacenan cifrados con AES-256-GCM, nunca en texto plano.
Aislamiento entre cuentas: Row Level Security (RLS) en la base de datos, de modo que los datos de una cuenta no son accesibles desde otra.
Acceso restringido: solo el personal estrictamente necesario, bajo deber de confidencialidad. Los tokens nunca se escriben en registros de actividad ni en herramientas de diagnóstico.

8. Rol de Kalioflow: Responsable vs. Encargado del Tratamiento

Respecto a los datos de tu propia cuenta, Kalioflow (Optimard) es responsable del tratamiento. Respecto a los datos de los contactos/clientes finales que gestionas en la plataforma, Kalioflow actúa como encargado del tratamiento y tú (el negocio-cliente) eres el responsable. Las condiciones de ese encargo — seguridad, subencargados, notificación de brechas, reversión de datos — están en nuestro Anexo de Tratamiento de Datos.

9. Subencargados de Tratamiento (Terceros)

No vendemos ni alquilamos tu información personal. Compartimos datos con los siguientes subencargados, cada uno por la finalidad indicada:

Meta Platforms, Inc. (EE. UU.) — envío/recepción de mensajes (WhatsApp, Messenger, Instagram) y medición publicitaria (Pixel/CAPI en la web y SDK de Meta en la app móvil, ver sección 5.1).
Supabase — base de datos y autenticación.
Vercel Inc. (EE. UU.) — infraestructura de hosting.
OpenAI, L.L.C. y OpenRouter (EE. UU.) — procesamiento del contenido de las conversaciones para generar respuestas del agente de IA.
Resend (EE. UU.) — envío de correos transaccionales.
Stripe, Inc. (EE. UU.) — procesamiento de pagos y facturación.
Sentry (EE. UU.) — monitorización de errores técnicos.
PostHog Inc. (EE. UU.) — analítica web, solo con tu consentimiento.
Google LLC (EE. UU.) — sincronización de eventos con Google Calendar, solo si conectas tu cuenta (ver sección 4).
Shopify Inc. (Canadá/EE. UU.) — integración de catálogo/pedidos, solo para negocios que la activan.
AssemblyAI (EE. UU.) — transcripción de notas de voz, cuando aplica.
Cloudflare, Inc. (EE. UU.) — almacenamiento de las copias de seguridad diarias de la base de datos. Las copias se cifran antes de salir de nuestros sistemas y se conservan 30 días, tras los cuales se eliminan automáticamente.

Si conectas un asistente de IA (sección 4.1), su proveedor, Anthropic u OpenAI, no actúa como subencargado de Kalioflow: recibe los datos en tu cuenta con él, por decisión tuya, y los trata bajo su propio contrato contigo.

10. Transferencias Internacionales

La mayoría de nuestros subencargados procesan datos en Estados Unidos. Estas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework) para los proveedores adheridos, o en Cláusulas Contractuales Tipo (Art. 46 RGPD) en su defecto. Puedes solicitar el mecanismo aplicable a un subencargado concreto escribiendo a info@optimard.com.

11. Tus Derechos

Tienes derecho a:

Acceder a tus datos personales.
Solicitar su rectificación si son inexactos.
Solicitar su supresión (ver Eliminación de Datos).
Solicitar la limitación de su tratamiento.
Oponerte al tratamiento basado en interés legítimo.
Solicitar la portabilidad de tus datos en un formato estructurado.
Retirar tu consentimiento en cualquier momento, sin afectar la licitud del tratamiento previo.

Para ejercerlos, contáctanos en info@optimard.com.

Si resides en España/UE: además de contactarnos, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD, aepd.es) o ante la autoridad de control de tu país de residencia en la UE.

Si resides fuera de la Unión Europea: puedes ejercer estos mismos derechos por el canal indicado arriba, y acudir a la autoridad de protección de datos competente en tu país de residencia.

12. Menores de Edad

Kalioflow no está dirigido a menores de edad y no recopilamos deliberadamente datos de menores. Si detectamos que hemos recopilado datos de un menor sin el consentimiento legal correspondiente, los eliminaremos.

13. Cambios a esta Política

Podemos actualizar esta política para reflejar cambios legales, técnicos o del servicio. Notificaremos cambios materiales por correo electrónico a las cuentas activas.

14. Contacto

Si tienes preguntas sobre esta política, contáctanos:

Email: info@optimard.com
Responsable: Warlin Joel Pimentel Guerrero, operando como Optimard (Kalioflow)