Aviso de privacidad

English version

Última actualización: 26 de octubre de 2026

Revisión del 27 de octubre de 2026 (aclaraciones que amplían derechos, ver la sección 14): la sección 1 identifica a KURUVI LLC y su domicilio; los derechos de la sección 9 se aplican dondequiera que usted se encuentre; un solo plazo de respuesta en las secciones 9 y 12; la sección 15 identifica a la persona encargada de la privacidad; la sección 2 indica cómo se tratan los datos sensibles; la sección 9 explica cómo ejercer sus derechos en México, y hay una versión en español; la sección 7 indica que los datos personales de las personas en Quebec se comunican fuera de Quebec, y que los datos que se encuentran en otro país pueden ser accesibles para sus autoridades; la sección 9 agrega los derechos de las personas en Quebec y nombra a la Commission d'accès à l'information du Québec.

Este aviso de privacidad explica cómo Kuruvi («nosotros») recaba, usa, almacena y comparte datos personales cuando usted utiliza la aplicación Kuruvi, el sitio web kuruvi.com y los servicios relacionados (en conjunto, el «Servicio»). Nos tomamos en serio su privacidad y buscamos ser lo más transparentes posible.

1. Quiénes somos

El responsable de los datos personales que tenemos sobre usted es KURUVI LLC, P.O. Box 3605, Mooresville, North Carolina 28117, Estados Unidos («Kuruvi»). Para cualquier pregunta sobre este aviso o para ejercer sus derechos, escríbanos a hello@kuruvi.com. Si su consulta se refiere específicamente a la protección de datos, puede contactar a nuestra persona responsable de protección de datos en privacy@kuruvi.com.

2. Qué datos personales recabamos

Información que usted nos proporciona

• Datos de la cuenta: su nombre, nombre de usuario, el correo electrónico o número de teléfono con el que inicia sesión, una foto de perfil opcional, y su país y el idioma de su bandeja de entrada. Si inicia sesión con contraseña, Google Firebase Authentication la guarda cifrada mediante hash por cuenta nuestra; Kuruvi nunca la ve. Si inicia sesión con Google o Apple, recibimos el nombre y el correo electrónico que ese servicio comparte.
• Registro como remitente de SMS: si se registra para enviar SMS en Estados Unidos, recabamos la denominación legal de su empresa, su número de identificación fiscal (EIN), su domicilio y el nombre, correo electrónico y teléfono de una persona de contacto, y los presentamos ante Twilio para que los operadores de telefonía móvil aprueben a su empresa como remitente. A las personas físicas con actividad empresarial no se les pide un número de registro.
• Su aceptación de nuestros términos: al registrarse, guardamos qué versiones de nuestros Términos y de este aviso aceptó, y cuándo.
• Datos de facturación: los pagos los procesa Stripe, o Apple, Google Play o Shopify cuando se suscribe a través de ellos. El número de su tarjeta y su dirección de facturación permanecen con ese proveedor de pagos. Kuruvi conserva la referencia de cliente de su proveedor de pagos, su país de facturación, el país que emitió su tarjeta y el estado de su suscripción.
• Comunicaciones de soporte: los mensajes que nos envía y cualquier información que decida incluir.

Información que sincronizamos por cuenta de usted

• Datos de canales: cuando conecta un canal, sincronizamos sus conversaciones, nombres de contactos, números de teléfono o correos electrónicos, fotos de perfil, contenido de los mensajes y archivos adjuntos (incluidas notas de voz) para mostrarlos en su bandeja de entrada. Canales: WhatsApp Business, Instagram, Facebook Messenger, Telegram, correo electrónico (Gmail, Outlook u otro buzón que conecte), SMS, el widget de chat de Kuruvi en su propio sitio web y cualquier sistema externo que conecte mediante la API de bandeja de entrada de Kuruvi.
• Datos de marketplaces: cuando conecta eBay o una tienda WooCommerce, sincronizamos pedidos, anuncios y los datos de los compradores que aparecen en ellos.
• Datos de Shopify: cuando conecta Shopify, leemos sus clientes (nombre, correo electrónico, teléfono), historial de pedidos y estado de los pedidos, además de los productos, para mostrarlos junto a las conversaciones. Consulte la sección 16 para la divulgación completa sobre los Datos Protegidos de Clientes de Shopify.

Información que recabamos automáticamente

• Registros de seguridad y acceso: cuando alguien de su equipo abre datos de clientes de Shopify o una solicitud de arrendamiento, y cuando un administrador de Kuruvi actúa sobre una cuenta con nuestras herramientas de administración, registramos quién, qué y cuándo, con la dirección IP. Algunos límites contra abusos usan un hash unidireccional de la dirección IP en lugar de la dirección misma.
• Datos del dispositivo y de errores: los tokens de notificaciones push y el tipo de dispositivo, para que las notificaciones le lleguen; y, cuando algo falla en la aplicación, un informe de error con la versión de la aplicación y un número de referencia.
• Llamadas: quién llamó a quién, cuándo, y los datos de conexión que intercambian los dispositivos. El audio y el video de las llamadas no se graban.
• Contactos del teléfono: solo si usted lo permite. Kuruvi lee los contactos de su teléfono en su dispositivo y envía los números de teléfono y correos electrónicos de esos contactos a nuestros servidores para saber cuáles usan Kuruvi. Un contacto se guarda en sus contactos de Kuruvi solo cuando usted lo agrega.
• Cookies y almacenamiento del navegador: no usamos cookies de análisis, publicidad ni seguimiento. Lo que el chat del sitio web y la aplicación Kuruvi guardan en su navegador se describe en la sección 10.

Datos sensibles: Kuruvi no solicita datos personales sensibles, como datos de salud, creencias religiosas o filosóficas, opiniones políticas, vida sexual u orientación sexual, origen racial o étnico, o datos genéticos o biométricos. Los mensajes y archivos adjuntos que le envían sus clientes pueden contenerlos; solo los tratamos para mostrarlos en su bandeja de entrada y según se describe en las secciones 5 y 6.

3. Fundamento jurídico del tratamiento (artículo 6 del RGPD)

Nos basamos en los siguientes fundamentos jurídicos para tratar sus datos personales:

• Contrato (art. 6(1)(b)): para prestar el Servicio que contrató: sincronizar su bandeja de entrada, mostrar el contexto de Shopify y procesar pagos.
• Intereses legítimos (art. 6(1)(f)): para mantener el Servicio seguro, prevenir abusos y mejorar funciones con base en el uso agregado. Estos intereses se ponderan frente a sus derechos.
• Consentimiento (art. 6(1)(a)): cuando la aplicación lo solicita: antes de que Kuruvi lea los contactos de su teléfono y antes de que la traducción automática de la bandeja de entrada envíe texto de mensajes a Google Cloud Translation (sección 6). Puede retirar su consentimiento en cualquier momento.
• Obligación legal (art. 6(1)(c)): cuando debemos conservar o divulgar datos para cumplir requisitos fiscales, contables o de las autoridades encargadas de hacer cumplir la ley.

4. Cómo usamos su información

Usamos los datos personales para:

• Operar el Servicio: sincronizar mensajes, mostrar el contexto de Shopify y enviar notificaciones.
• Autenticarlo y mantener segura su cuenta.
• Procesar los pagos de la suscripción y enviar recibos de facturación.
• Responder a solicitudes de soporte y mejorar nuestros materiales de ayuda.
• Depurar fallas, supervisar la disponibilidad y detectar abusos o fraudes.
• Enviar correos transaccionales (por ejemplo, de facturación o alertas de seguridad).

Correos de marketing: solo enviamos correos de marketing si usted lo acepta al registrarse o en la configuración de su cuenta. Puede darse de baja en cualquier momento con el enlace que aparece en cada correo, o escribiendo a privacy@kuruvi.com. Darse de baja del marketing no detiene los mensajes transaccionales vinculados a su cuenta.

5. Con quién compartimos sus datos

Nunca vendemos sus datos personales. Solo los compartimos con las siguientes categorías de destinatarios, y solo en la medida necesaria.

Encargados del tratamiento

Los proveedores siguientes tratan datos por cuenta nuestra. Para cada uno, la tabla indica dónde dicen los términos publicados del proveedor que puede tratar los datos, y qué términos de tratamiento de datos publicados se aplican. Describe esos términos publicados; no describe ningún acuerdo negociado por separado.

Plataformas que usted conecta

Cuando usted conecta una de estas plataformas, los datos fluyen entre Kuruvi y esa plataforma para que la conexión funcione. Cada plataforma trata esos datos conforme a sus propios términos y aviso de privacidad, y varias indican que actúan como responsables independientes y no como nuestros encargados.

Nota: cuando conecta un buzón mediante su configuración de servidor (IMAP y SMTP), o recibe correo mediante el Inbound Parse de su propia cuenta de SendGrid, Kuruvi lee y envía correo a través de su propio proveedor de correo, conforme a los términos de ese proveedor.

Nota: cuando conecta una tienda WooCommerce autoalojada, el sitio WooCommerce funciona en infraestructura que usted controla (su proveedor de alojamiento de WordPress), no en un subencargado administrado por Kuruvi. La entrega de webhooks entre su tienda y Kuruvi pasa por Google Cloud Functions en us-central1.

• Autoridades: cuando la ley nos obliga a hacerlo. Nos oponemos a las solicitudes excesivas y se lo notificamos a usted siempre que la ley lo permita.

6. Tratamiento con IA y traducción de mensajes

Kuruvi envía contenido a proveedores externos de tres formas distintas: la ayuda de IA con una conversación, la mesa de ayuda Ask Kuruvi y la traducción automática opcional. Cada una funciona de manera diferente, por lo que se describen por separado a continuación. Kuruvi no entrena modelos de IA con los datos de usted ni con los mensajes de sus clientes.

6.1 Ayuda de IA con una conversación

En una conversación, tres botones usan IA: Suggest (una respuesta sugerida), Order status (un borrador sobre el estado del pedido) y Generate (un resumen de la conversación). Solo se hace una solicitud cuando una persona con sesión iniciada y acceso a esa conversación presiona uno de ellos. Recibir un mensaje no genera una solicitud de IA. En una conversación compartida del equipo, cualquier persona de su equipo con acceso a ella puede presionar estos botones, por lo que otra persona puede solicitar IA para una conversación en la que usted también trabaja.

Qué contiene cada solicitud:

• Respuesta sugerida: el texto de hasta los 24 mensajes más recientes de la conversación (se omiten los mensajes sin texto, como una foto sin pie), el último mensaje de la conversación si lo envió otra persona y no usted, y el nombre de pila del cliente.
• Resumen de la conversación: el texto de hasta los 24 mensajes más recientes. No se agregan campos separados del perfil del cliente ni del pedido; el propio texto de los mensajes puede contener esos datos.
• Borrador de estado del pedido: el texto de hasta los 8 mensajes más recientes, el último mensaje de la conversación si lo envió otra persona y no usted, el nombre de pila del cliente y, si Kuruvi encuentra un pedido que coincida, algunos campos del pedido: número de pedido, estado de cumplimiento y de pago, número y enlace de rastreo, fecha estimada de entrega, y los títulos y cantidades de hasta 5 artículos. Kuruvi busca el pedido entre los 50 pedidos más recientes de su tienda, usando el correo electrónico o el número de teléfono del cliente, y solo usa un pedido que corresponda a ese cliente. El correo electrónico y el número de teléfono usados para esa búsqueda no se envían al proveedor de IA.

Cada mensaje se recorta a 1,600 caracteres después del enmascaramiento (ver 6.4). La solicitud también contiene las instrucciones propias de Kuruvi para el modelo. La respuesta o el resumen que se recibe se guarda con la conversación, junto con el proveedor que lo produjo.

Estas solicitudes van primero a Google (Gemini API). Si Google no puede responder (por ejemplo, porque está caído, limitado por volumen, se agotó el tiempo o rechaza nuestra cuenta o clave), la misma solicitud va a Anthropic (Claude) y, si Anthropic tampoco puede responder, a OpenAI. Una solicitud que un proveedor rechaza por no ser válida no se pasa al siguiente.

6.2 Mesa de ayuda Ask Kuruvi

Ask Kuruvi responde preguntas sobre el uso de Kuruvi. Recibe la pregunta que usted escribe (hasta 500 caracteres), hasta 10 preguntas y respuestas anteriores de la misma sesión de ayuda (cada una recortada a 400 caracteres) y los 5 pasajes de la documentación de ayuda de Kuruvi que mejor coinciden con su pregunta. No consulta sus conversaciones de la bandeja de entrada, sus clientes ni sus pedidos.

Si pega datos de clientes en una pregunta, como un nombre, una dirección o parte de un mensaje, estos pasan a formar parte de la solicitud.

Ask Kuruvi usa únicamente OpenAI. Su pregunta se envía primero al servicio de embeddings de OpenAI para encontrar los pasajes de ayuda correspondientes; luego la pregunta, el historial de la sesión y los pasajes van a OpenAI para redactar la respuesta. No hay un proveedor alternativo.

6.3 Traducción automática de mensajes

La traducción es independiente de los botones de IA y usa otro proveedor, Google Cloud Translation. Está desactivada a menos que usted la active, con el interruptor Translate incoming messages en Edit profile (abra su tarjeta de perfil en Settings) o durante la configuración del perfil. Kuruvi le pide confirmar antes de activar el interruptor. Solo está disponible cuando el plan de su equipo incluye traducción, y usted elige el idioma al que se traducen los mensajes.

La configuración es personal. Mientras está activada, cada vez que abre una conversación, incluida una conversación compartida del equipo, el texto de los mensajes que usted no escribió se envía a Google Cloud Translation. No hay un toque separado para cada mensaje. Google detecta el idioma; un mensaje que ya se sabe que está en su idioma, o que ya se tradujo a él, no se vuelve a enviar. Solo se envía el texto del mensaje (hasta 5,000 caracteres por mensaje), no sus contactos ni los datos de pedidos. El texto que se traduce no se enmascara, por lo que lo que diga un mensaje, incluido un nombre o una dirección, se envía tal cual.

El mensaje original nunca se altera ni se sustituye. Tanto el original como la traducción se guardan en sus datos de Kuruvi, y la traducción se muestra con el original a un toque de distancia. Al eliminar un mensaje se eliminan también sus traducciones.

Las traducciones son automáticas y pueden ser incorrectas. Al desactivar el interruptor se deja de enviar texto de mensajes para traducir cuando abre una conversación. Las personas de su equipo que la tienen activada conservan su propia configuración.

6.4 Límites de lo que se protege

Enmascaramiento. Antes de enviar una solicitud de IA de una conversación, o una pregunta de Ask Kuruvi y su historial de sesión, Kuruvi sustituye por un marcador el texto que parece un número de tarjeta, un correo electrónico, un número de teléfono, un token Bearer, o una clave o token de Shopify, Stripe, Google o Slack. Los nombres de los clientes se recortan al nombre de pila. El enmascaramiento funciona por coincidencia de patrones. No vuelve anónimo el contenido y no detecta todos los datos sensibles: los nombres de otras personas, los domicilios y cualquier otra cosa que escriba un cliente se envían tal cual. Las solicitudes de traducción (6.3) no se enmascaran.

No hay interruptor de IA. Kuruvi no tiene una configuración que desactive los botones de IA para usted o su equipo. Las solicitudes de 6.1 y 6.2 solo se hacen cuando alguien usa esas funciones. El contenido sale de Kuruvi también de otras formas, sin que nadie presione un botón de IA: mediante la traducción cuando está activada, mediante las plataformas que usted conecta y mediante los proveedores de la sección 5.

Qué hacen los proveedores con él. Usamos la versión de pago del servicio de cada proveedor conforme a sus términos estándar publicados. Esto describe esos términos publicados, no ningún acuerdo negociado por separado:

• Google (Gemini API): Google no usa las instrucciones ni las respuestas para mejorar sus productos. Las registra durante un periodo limitado, que sus términos no expresan en días, para detectar y prevenir infracciones de sus políticas y para divulgaciones exigidas por la ley. Pueden almacenarse brevemente o en caché en cualquier país donde Google o sus agentes tengan instalaciones. (Términos de la Gemini API)
• Anthropic: Anthropic no entrena sus modelos con este contenido de forma predeterminada. Elimina las entradas y salidas de la API en un plazo de 30 días, pero puede conservar hasta 2 años el contenido marcado por infringir su política de uso. Sus términos no indican un país de tratamiento. (Conservación de datos de Anthropic)
• OpenAI: OpenAI no usa los datos de la API para entrenar sus modelos a menos que el cliente acepte compartirlos. Conserva las solicitudes a sus servicios de chat y de embeddings hasta 30 días para vigilar abusos, o más cuando la ley lo exige. Su documentación no indica una región de tratamiento predeterminada. (Controles de datos de la API de OpenAI)
• Google Cloud Translation: Google conserva el texto brevemente en memoria para traducirlo y no lo usa para entrenar ni mejorar sus funciones de traducción. El tratamiento puede realizarse dondequiera que Google o sus subencargados tengan instalaciones. (Uso de datos de Cloud Translation)

Eliminar sus datos de Kuruvi no alcanza las copias que un proveedor aún conserve conforme a estos términos. Esas copias se eliminan según el calendario propio del proveedor.

7. Transferencias internacionales

La infraestructura principal de la aplicación Kuruvi funciona en Firebase y Google Cloud en Estados Unidos. Por lo tanto, sus datos se transfieren a Estados Unidos, y los proveedores y plataformas de la sección 5 pueden tratarlos en otros países según lo describen sus términos publicados. Los datos que se encuentran en Estados Unidos pueden ser consultados por tribunales, autoridades encargadas de hacer cumplir la ley y autoridades de seguridad nacional de Estados Unidos conforme a la ley estadounidense.

Los datos que se encuentran en cualquier otro país también están sujetos a las leyes de ese país, y sus tribunales, autoridades encargadas de hacer cumplir la ley y autoridades de seguridad nacional pueden llegar a obtenerlos.

Personas en Quebec. Los datos personales de las personas en Quebec se comunican fuera de Quebec: a Estados Unidos y a los demás países donde los proveedores y plataformas de la sección 5 los tratan. Antes de comunicarlos, Kuruvi evalúa, como lo exige la Ley sobre la protección de la información personal en el sector privado de Quebec, si recibirán una protección adecuada, y se apoya en los términos escritos de cada destinatario.

Los datos de clientes de la UE podrán trasladarse en el futuro a una región de la UE a medida que crezca nuestra base de clientes en la UE. Avisaremos a los usuarios afectados antes de cualquier traslado y actualizaremos esta sección.

8. Conservación de datos

Conservamos los datos personales solo durante el tiempo necesario para las finalidades antes descritas:

• Datos de la cuenta: mientras exista su cuenta, y hasta 90 días después de su eliminación en las copias de seguridad propias de Kuruvi. Los proveedores que almacenan datos por cuenta nuestra (sección 5) completan la eliminación de sus propios sistemas y copias de seguridad según sus propios calendarios; Google Cloud, por ejemplo, permite hasta 180 días.
• Desconectar un canal: Kuruvi elimina las credenciales de acceso que Kuruvi guardó para ese canal, por lo que Kuruvi ya no puede leer de él ni enviar a través de él. Los mensajes, pedidos y registros de clientes ya sincronizados permanecen en sus datos de Kuruvi hasta que elimine su cuenta o nos pida en privacy@kuruvi.com que los borremos. Eliminar en la aplicación una conversación de WhatsApp, Instagram, Messenger, Telegram, correo electrónico o chat del sitio web solo la oculta para usted; no la borra. Para retirar también el acceso de Kuruvi del lado de la plataforma, quite Kuruvi en la configuración de esa plataforma (en Shopify, desinstale la aplicación; ver la sección 16.3).
• Las conversaciones archivadas se eliminan automáticamente 30 días después de archivarse. Las conversaciones del chat del sitio web se eliminan automáticamente tras 365 días sin un mensaje nuevo.
• Eliminar su cuenta: elimina su perfil, sus conexiones y las credenciales guardadas, sus anuncios del marketplace, los archivos que subió y las conversaciones de los canales conectados a su propia cuenta. En un equipo, las conversaciones y conexiones de canales del equipo pertenecen al equipo: permanecen mientras alguien siga en él y se eliminan cuando su último miembro elimina su cuenta. Los chats entre usuarios de Kuruvi, los grupos y temas de chat del equipo y los archivos compartidos en ellos todavía no se eliminan automáticamente; pídanos en privacy@kuruvi.com que los eliminemos.
• Registros de facturación: su proveedor de pagos (Stripe, Apple, Google Play o Shopify) conserva los registros de pagos y facturas conforme a sus propios términos y a las reglas fiscales y contables que le aplican. El estado de suscripción que conserva Kuruvi se elimina con su cuenta.
• Registros de seguridad y acceso: los registros de acceso descritos en la sección 2, y los registros de eliminaciones de cuentas y de solicitudes de datos, se conservan sin una fecha de término fija para poder investigar usos indebidos.
• Registros de Ask Kuruvi: la pregunta (enmascarada como se describe en la sección 6.4), la respuesta y los identificadores de los pasajes de ayuda usados se conservan hasta 90 días para revisión de seguridad y mejora de la calidad, y luego se eliminan automáticamente. No se eliminan antes cuando usted elimina su cuenta.
• Sugerencias y resúmenes de IA: se guardan con la conversación para la que se hicieron, como parte de sus mensajes sincronizados. También se conserva una copia de cada resultado durante 90 días en los registros de uso de IA de su equipo, y luego se elimina automáticamente.

9. Sus derechos

Dondequiera que se encuentre, usted tiene los siguientes derechos respecto de sus datos personales:

• Derecho de acceso: solicitar una copia de los datos personales que tenemos sobre usted.
• Derecho de rectificación: corregir datos inexactos o incompletos.
• Derecho de supresión («derecho al olvido»): pedirnos que eliminemos sus datos, sujeto a las obligaciones legales de conservación.
• Derecho a limitar el tratamiento: limitar cómo usamos sus datos mientras se resuelve una consulta.
• Derecho a la portabilidad: recibir sus datos en un formato estructurado y legible por máquina. Download my data (Descargar mis datos) en Settings exporta su perfil, conversaciones, texto de los mensajes y pedidos. Todavía no incluye archivos adjuntos, traducciones, sugerencias y resúmenes de IA ni grupos de chat del equipo; pídanoslos.
• Derecho de oposición: oponerse al tratamiento basado en intereses legítimos o con fines de mercadotecnia directa.
• Derecho a revocar el consentimiento: en cualquier momento, cuando el tratamiento se base en el consentimiento.
• Derecho a no ser objeto de decisiones automatizadas: Kuruvi no toma decisiones con efectos jurídicos significativos sobre usted mediante un tratamiento exclusivamente automatizado.

Si usted se encuentra en Quebec, la ley de Quebec también le otorga estos derechos:

• Cese de la difusión y desindexación — pedirnos que dejemos de difundir sus datos personales, o que desindexemos o reindexemos un hipervínculo asociado a su nombre que dé acceso a ellos, cuando la difusión infrinja la ley o una orden judicial, o cause un perjuicio grave a su reputación o a su vida privada, según lo describe la ley de Quebec.
• Decisiones automatizadas — si alguna vez una decisión sobre usted se basara exclusivamente en un tratamiento automatizado, se lo informaríamos, y usted podría preguntar qué información y qué razones se utilizaron y presentar sus observaciones a una persona que pueda revisar la decisión.
• Sus datos informatizados — recibir los datos personales informatizados que nos proporcionó en un formato tecnológico estructurado y de uso común, o hacer que se envíen a la persona u organismo que usted indique.

Para ejercer cualquiera de estos derechos, escriba a privacy@kuruvi.com. Respondemos en un plazo de 30 días, o antes si la ley del lugar donde vive lo exige. Si una solicitud es compleja y esa ley permite más tiempo, podemos tardar más, y le indicamos el motivo dentro de esos 30 días. Cuando la Ley de Protección de Datos Personales de los Emiratos Árabes Unidos (Decreto-Ley Federal n.º 45 de 2021) se aplique a sus datos, también tiene estos derechos conforme a ella. Las personas en la India pueden leer nuestro aviso de privacidad para la India en inglés y en 22 idiomas de la India.

México. Conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (2025), los derechos anteriores incluyen sus derechos de acceso, rectificación, cancelación y oposición (derechos ARCO) y su derecho a revocar su consentimiento. Escriba a privacy@kuruvi.com indicando su nombre y un medio para comunicarnos con usted, un documento que acredite su identidad (o la identidad y la representación de su representante), los datos de que se trate (salvo en una solicitud de acceso) y lo que solicita. El ejercicio de estos derechos es gratuito. En este párrafo, los días son días hábiles, como los cuenta la ley mexicana. Le comunicamos nuestra determinación en un plazo máximo de 20 días hábiles contados desde que recibimos la solicitud y, si resulta procedente, la hacemos efectiva dentro de los 15 días hábiles siguientes; podemos ampliar cada plazo una sola vez por un periodo igual cuando las circunstancias del caso lo justifiquen, y le indicamos el motivo. Si no está de acuerdo con nuestra respuesta, puede presentar una solicitud de protección de derechos ante la Secretaría Anticorrupción y Buen Gobierno dentro de los 15 días hábiles siguientes a nuestra respuesta, o una vez vencido nuestro plazo sin respuesta. Los correos de marketing, la lectura de los contactos de su teléfono y la traducción automática (secciones 3, 4 y 6.3) son las finalidades que requieren su consentimiento; las demás finalidades de la sección 4 son necesarias para prestar el Servicio. Para limitar el uso o la divulgación de sus datos, cambie esas configuraciones o escríbanos. Kuruvi no transfiere datos personales a terceros para sus propios fines: los proveedores de la sección 5 los tratan por cuenta nuestra, y las plataformas que usted conecta los reciben porque usted las conecta. Este aviso de privacidad está disponible en español: Aviso de privacidad.

Quejas. Para presentar una queja sobre cómo tratamos sus datos personales, escriba a privacy@kuruvi.com con «Privacy complaint» en el asunto. La persona indicada en la sección 15 atiende las quejas. Acusamos recibo de su queja en un plazo de 30 días, la revisamos y le informamos lo que encontramos y lo que haremos. También puede presentar una queja ante su autoridad local de protección de datos en cualquier momento. En Quebec, esa autoridad es la Commission d'accès à l'information du Québec (cai.gouv.qc.ca).

10. Cookies y almacenamiento del navegador

No usamos cookies de análisis, publicidad ni seguimiento, y nuestro sitio web no ejecuta ninguna herramienta de análisis. Lo que se almacena o envía:

• Chat del sitio web (kuruvi.com): cada página carga nuestro widget de chat, que obtiene el código de Firebase de Google desde www.gstatic.com, por lo que Google recibe su dirección IP y los datos de su navegador para esa solicitud. Cuando abre el chat, el widget inicia una sesión anónima y la guarda en el almacenamiento de su navegador, para que la conversación continúe si sale y vuelve.
• Aplicación Kuruvi (app.kuruvi.com y las aplicaciones móviles): su inicio de sesión se guarda en el almacenamiento de su navegador o dispositivo para que siga con la sesión iniciada. En la web, la aplicación usa Google reCAPTCHA Enterprise para proteger las cuentas contra abusos; reCAPTCHA establece una cookie necesaria, _GRECAPTCHA, para su análisis de riesgos, y trata los datos de su navegador conforme a los términos de Google.

Este almacenamiento es lo que permite que el chat y el inicio de sesión funcionen. No lo usamos para rastrearlo en otros sitios web.

Señales de privacidad del navegador. Kuruvi no lo rastrea en otros sitios web, por lo que no tiene nada que una señal «Do Not Track» del navegador deba desactivar, y funciona igual tanto si su navegador la envía como si no. No permitimos que otras empresas recaben, a través de Kuruvi, datos personales sobre su actividad en distintos sitios web; Google recibe los datos del navegador descritos arriba solo para el widget de chat y reCAPTCHA. No vendemos ni compartimos datos personales, por lo que no hay ninguna venta ni intercambio del que una señal Global Privacy Control pueda excluirlo; si eso cambia, trataremos la señal como una solicitud de exclusión.

11. Seguridad

Protegemos los datos personales con estas medidas: TLS en tránsito; cifrado en reposo por Google Cloud; los tokens de acceso de Shopify y eBay cifrados además con Google Cloud Key Management; y las demás credenciales de plataformas guardadas en un almacenamiento exclusivo del servidor que la aplicación no puede leer. Ningún sistema es 100% seguro. Si tenemos conocimiento de una vulneración de datos personales, lo comunicaremos a la autoridad de control correspondiente cuando la ley lo exija, dentro de las 72 horas siguientes a tener conocimiento cuando sea posible, y a las personas afectadas cuando la ley lo exija. Cuando tengamos los datos por cuenta de una empresa (sección 5), se lo comunicaremos a esa empresa sin demora indebida para que pueda cumplir sus propias obligaciones.

Prevención de pérdida de datos y controles contra el acceso no autorizado:

• Las reglas de seguridad de Firebase mantienen las conversaciones, pedidos y conexiones de cada empresa dentro de esa empresa y su equipo. Su perfil público (nombre, nombre de usuario, foto y si está en línea) es visible para otros usuarios de Kuruvi con sesión iniciada para que puedan encontrarlo y escribirle, al igual que los anuncios del marketplace.
• Acceso con sesión iniciada: las funciones del servidor de la aplicación verifican quién llama, rechazan las sesiones cerradas y revocadas, le piden volver a iniciar sesión antes de acciones sensibles y la mayoría exige además Firebase App Check. El widget de chat del sitio web es la excepción: permite que visitantes sin sesión iniciada escriban a una empresa.
• Limitación de solicitudes activada en los puntos de acceso sensibles y costosos para prevenir abusos.
• Registros de acceso de quién abrió datos de clientes de Shopify o solicitudes de arrendamiento, y de las acciones de los administradores (sección 2).
• Copias de seguridad: nuestra base de datos tiene recuperación a un punto en el tiempo y copias de seguridad diarias.

Para reportar una vulnerabilidad, consulte nuestra página de seguridad.

12. Derechos de privacidad en los estados de EE. UU.

Si vive en Estados Unidos, tiene estos derechos sobre los datos personales que Kuruvi tiene sobre usted, sea cual sea el estado en el que viva. Incluyen los derechos conforme a la California Consumer Privacy Act (CCPA), modificada por la California Privacy Rights Act (CPRA), y las demás leyes estatales de privacidad:

• Derecho a saber y a acceder: confirmar si tenemos sus datos personales, y obtener las categorías y los datos específicos que hemos recabado sobre usted, cómo los usamos y a quién los divulgamos, con una copia en un formato portátil.
• Derecho a eliminar: solicitar la eliminación de los datos personales que hemos recabado de usted o sobre usted, sujeto a las excepciones de conservación legal.
• Derecho a corregir: solicitar que corrijamos datos personales inexactos.
• Derecho a excluirse de la venta, el intercambio, la publicidad dirigida y la elaboración de perfiles: Kuruvi no vende ni comparte datos personales, no los usa para publicidad dirigida y no elabora perfiles suyos que produzcan efectos jurídicos o similarmente significativos. No tenemos nada de qué excluirlo, pero el derecho existe si nuestras prácticas cambian, y entonces trataríamos una señal Global Privacy Control como una exclusión (sección 10).
• Datos sensibles: no le pedimos datos personales sensibles (sección 2). La única información sensible que tenemos como la empresa que decide cómo se usa es el inicio de sesión de su cuenta, que usamos solo para que inicie sesión y para mantener segura su cuenta. En California, puede pedirnos que limitemos el uso de la información personal sensible a lo necesario para prestar el Servicio.
• Derecho a la no discriminación: no le negaremos el Servicio, no le cobraremos más ni le daremos una peor experiencia por ejercer cualquiera de estos derechos.

Cómo presentar una solicitud. Escriba a privacy@kuruvi.com con «US privacy request» en el asunto. Verificamos la solicitud confirmando que usted controla el correo electrónico de la cuenta y respondemos en el plazo de la sección 9, que es más corto que los 45 días (prorrogables por 45 con aviso) que permiten las leyes estatales. Un agente autorizado puede presentar una solicitud en su nombre escribiendo a privacy@kuruvi.com con su autorización firmada; podemos pedirle que confirme su identidad directamente con nosotros. No vendemos ni compartimos los datos personales de nadie, incluidos los de personas menores de 16 años. Residentes de Nevada: privacy@kuruvi.com es nuestra dirección designada para las solicitudes conforme a la ley de Nevada (NRS 603A).

Apelaciones. Si rechazamos su solicitud, total o parcialmente, le indicamos el motivo. Puede apelar respondiendo a nuestra respuesta, o escribiendo a privacy@kuruvi.com con «Privacy appeal» en el asunto, dentro de los 60 días. Respondemos la apelación por escrito en un plazo de 45 días, explicando lo que decidimos y por qué. Si rechazamos la apelación, puede presentar una queja ante el fiscal general (attorney general) de su estado.

Datos que tenemos por cuenta de una empresa. Cuando usted escribe a una empresa que usa Kuruvi, esa empresa decide cómo se usan sus mensajes, datos de contacto y pedidos, y Kuruvi los trata por cuenta de ella (sección 5). Envíe las solicitudes sobre esos datos a la empresa. Si nos las envía a nosotros, se las pasamos a la empresa cuando podemos identificarla, le informamos que lo hicimos y la ayudamos a responder.

13. Quién puede usar Kuruvi y datos de menores

Cuentas. Kuruvi es para empresas. Para crear una cuenta debe tener al menos 18 años y capacidad para celebrar un contrato, como lo exigen nuestros Términos. No permitimos a sabiendas que una persona menor de 18 años tenga una cuenta; si cree que alguien menor de 18 años tiene una, escriba a privacy@kuruvi.com y la cerraremos y eliminaremos sus datos.

Personas que escriben a una empresa. Las empresas usan Kuruvi para comunicarse con sus propios clientes, y entre esos clientes puede haber menores. La empresa decide qué recaba de las personas que le escriben y es responsable de ello; Kuruvi trata esos mensajes por cuenta de la empresa. Para que se eliminen los mensajes de un menor, comuníquese con la empresa; también puede escribirnos a privacy@kuruvi.com.

14. Cambios a este aviso

Podemos actualizar este aviso ocasionalmente. Cuando cambiamos lo que recabamos, cómo lo usamos o con quién lo compartimos, cambiamos la fecha de «Última actualización» al inicio y, en caso de cambios importantes, se lo notificamos por correo electrónico o en la aplicación. Una aclaración que solo amplía sus derechos conserva esa fecha y se indica como una revisión fechada debajo de ella. El uso continuo del Servicio después del aviso constituye la aceptación del aviso actualizado.

15. Contacto

Preguntas generales sobre privacidad: privacy@kuruvi.com
Cualquier otro asunto: hello@kuruvi.com

Persona responsable de la protección de los datos personales (incluso conforme a la Ley 25 de Quebec): Saminathan Palanivel, Presidente, KURUVI LLC, privacy@kuruvi.com.

16. Datos Protegidos de Clientes de Shopify

Esta sección establece, específicamente, cómo trata Kuruvi los Datos Protegidos de Clientes a los que accede mediante la API de Shopify, conforme a los requisitos de Shopify sobre Datos Protegidos de Clientes.

16.1 A qué datos de Shopify accedemos

Cuando un comerciante conecta su tienda Shopify, Kuruvi accede solo a los siguientes datos de clientes y pedidos, y solo para prestar el Servicio:

• Nombre del cliente
• Correo electrónico del cliente
• Número de teléfono del cliente
• Historial de pedidos (número de pedido, artículos, totales)
• Estado del pedido (estado financiero y de cumplimiento, rastreo)

No solicitamos ni guardamos números completos de tarjetas de pago: los datos de pago permanecen con Shopify y sus procesadores de pagos.

16.2 Cómo los usamos

• Mostrarlos junto a los mensajes de los clientes: para que un vendedor vea el contexto del pedido correspondiente junto a una conversación.
• Vincular clientes entre plataformas: para relacionar un cliente de Shopify con la conversación de la misma persona en WhatsApp, Instagram, Messenger o correo electrónico.
• Ayudar a los vendedores a responder consultas: los datos del pedido se muestran como contexto de soporte, y algunos campos del pedido se incluyen en un borrador de Order status cuando alguien lo solicita (sección 6.1).

No usamos los Datos Protegidos de Clientes de Shopify para publicidad, para elaborar perfiles ajenos a la atención al cliente del propio comerciante ni para revenderlos.

16.3 Conservación y eliminación de datos

• Desinstalar la aplicación: Shopify envía a Kuruvi una solicitud shop/redact unas 48 horas después de que una tienda desinstala Kuruvi. Kuruvi elimina entonces los clientes, pedidos, checkouts y eventos de pedidos de esa tienda.
• Desconectar dentro de Kuruvi: elimina los tokens de acceso de Kuruvi para la tienda, por lo que no se leen datos nuevos, pero conserva los clientes y pedidos ya sincronizados hasta que se desinstale la aplicación, se elimine la cuenta o el comerciante nos lo pida en privacy@kuruvi.com.
• Solicitudes de clientes: Kuruvi atiende automáticamente los webhooks customers/data_request y customers/redact de Shopify. Una solicitud de supresión (redact) elimina los registros de cliente y de pedidos de Shopify de ese cliente en Kuruvi; no elimina las conversaciones con esa persona en otros canales, como WhatsApp o correo electrónico. En la aplicación, un comerciante solo puede ocultar esas conversaciones, lo que no las borra; para que se borren, el comerciante nos lo pide en privacy@kuruvi.com. Para una solicitud de datos, Kuruvi envía por correo al propietario de la tienda una exportación de los datos de ese cliente y conserva una copia de la exportación.

16.4 Seguridad de los datos

• Cifrados en reposo con AES-256 (cifrado predeterminado de Google Cloud / Firestore), y los tokens de acceso de Shopify cifrados además con Google Cloud KMS.
• Cifrados en tránsito con TLS.
• Controles de acceso: Firebase App Check, aislamiento de datos por comerciante y un registro cuando alguien abre datos de clientes o pedidos de Shopify en la aplicación, con quién, cuándo y la dirección IP.

16.5 Divulgación a terceros

Los Datos Protegidos de Clientes de Shopify se almacenan solo con Google Firebase / Google Cloud (nuestro subencargado de infraestructura, conforme a los términos publicados de tratamiento de datos de Google; ver la sección 5). Nunca se venden a terceros. El único otro tratamiento es el contexto limitado del pedido que se envía a los proveedores de IA cuando alguien presiona Order status en una conversación (sección 6.1): el nombre de pila del cliente y un pequeño conjunto de campos del pedido, después del enmascaramiento descrito en la sección 6.4. Cuando Shopify transmite una solicitud de datos de un cliente, la exportación se envía por correo al propietario de la tienda a través de SendGrid (sección 5).

Si un vendedor activa Translate incoming messages, el texto de los mensajes de una conversación se envía además a Google Cloud Translation para traducirlo; ver la sección 6.3. El texto de los mensajes puede contener lo que haya escrito un cliente, incluido un nombre o una dirección. Los campos del pedido no se envían para traducir, y la traducción está desactivada a menos que el vendedor la active.

16.6 Derechos de comerciantes y clientes

• Solicitar la eliminación de sus datos en cualquier momento.
• Exportar sus datos.
• Escribirnos a hello@kuruvi.com para cualquier solicitud de datos de Shopify.

16.7 RGPD y CCPA

Los Datos Protegidos de Clientes de Shopify están cubiertos por los mismos derechos y fundamentos jurídicos del RGPD descritos en las secciones 3 y 9, y por los derechos de privacidad de los estados de EE. UU. de la sección 12. Kuruvi actúa como encargado de estos datos por cuenta del comerciante (el responsable).

17. SMS/mensajes de texto

Las empresas que usan Kuruvi envían SMS/mensajes de texto a sus propios clientes desde su propio número de teléfono. Kuruvi es el software desde el que envían; no enviamos mensajes a consumidores por cuenta propia.

17.1 Datos y consentimiento de suscripción

Los datos y el consentimiento de suscripción a SMS/mensajes de texto no se compartirán con terceros ni se usarán con fines de marketing ajenos a los servicios prestados.

Cuando alguien se suscribe a SMS/mensajes de texto (enviando JOIN al número de una empresa, respondiendo YES o START, o mediante la página de suscripción a SMS), registramos su número de teléfono, la empresa a la que dio su consentimiento, el estado del consentimiento y la fecha y hora, y cómo se otorgó el consentimiento. Ese registro existe para acreditar y respetar el consentimiento, y para ningún otro fin.

17.2 Quién puede verlos

Los registros de suscripción solo son visibles para la empresa a la que se suscribió el consumidor. Se almacenan con Google Firebase / Google Cloud (nuestro subencargado de infraestructura, conforme a los términos publicados de tratamiento de datos de Google; ver la sección 5) y se envían a Twilio solo en la medida necesaria para entregar o detener los mensajes que pidió el consumidor. Nunca se venden, nunca se comparten con otras empresas que usan Kuruvi y nunca se usan para crear audiencias de marketing o publicidad.

17.3 Dejar de recibir mensajes

Responder STOP a cualquier mensaje da de baja al consumidor de esa empresa de inmediato; responder HELP devuelve los datos de contacto de soporte. Conservamos un registro de que se retiró el consentimiento, porque respetar una baja exige recordarla. La frecuencia de los mensajes varía según la empresa, y pueden aplicarse tarifas de mensajes y datos.