Política de Privacidad

En LOXATRADE S.A.S. valoramos tu privacidad y nos comprometemos a proteger tus datos personales conforme a la Ley Orgánica de Protección de Datos Personales del Ecuador (LOPDP) y la normativa complementaria. Esta política explica de forma clara qué datos recogemos, para qué los usamos, con quién los compartimos y cuáles son tus derechos.

1. Responsable del tratamiento

• Responsable: LOXATRADE S.A.S.
• RUC: 1191798397001
• Domicilio: Bernardo Valdivieso 12-57 y Azuay, Edificio PuntoPymes, Loja, Ecuador
• Representante legal: Edison Geovanny Macas Estrada — Gerente General
• Contacto de privacidad: [email protected]
• Contacto alternativo: [email protected]

2. Datos personales que recogemos

2.1 Datos del cliente contratante (empresa que contrata Aliom)

• Nombre, apellido y cargo del representante.
• Correo electrónico y número de WhatsApp de contacto.
• Datos de facturación (razón social, RUC, dirección).
• Información del negocio: nombre comercial, sector, horarios, catálogo de servicios.
• Datos de empleados del cliente: nombre, teléfono, rol, capacidad de atención.

2.2 Datos de prospectos (leads) gestionados por Aliom

Cuando un prospecto del cliente contacta al agente de IA en WhatsApp, recogemos:

• Nombre del prospecto.
• Número de WhatsApp (en formato E.164).
• Contenido de las conversaciones con el agente de IA.
• Estado del lead (nuevo, calificado, cita agendada, propuesta enviada, etc.).
• Fecha y hora de las interacciones.
• Negocio del prospecto, si lo proporciona durante la conversación.

2.3 Datos del visitante del sitio web (loxatrade.com)

• Datos del formulario de contacto: nombre, empresa, teléfono, mensaje.
• Dirección IP y agente de usuario (almacenados temporalmente para protección anti-spam y rate limiting).
• Cookies estrictamente necesarias (ver Política de Cookies).

2.4 Datos de Google (Google Calendar y Google Meet)

Cuando el administrador del negocio conecta su cuenta de Google con Aliom (botón “Conectar con Google”, mediante OAuth 2.0 y con su autorización expresa), pedimos el mínimo acceso necesario a su Google Calendar. Solicitamos exactamente dos permisos:

• https://www.googleapis.com/auth/calendar.app.created: creamos un único calendario “Aliom — <nombre del negocio>” en la cuenta del dueño, y solo creamos, movemos y borramos los eventos de ese calendario (cuando una cita se agenda, se reagenda o se cancela), con su enlace de Google Meet si la cita es virtual. No leemos ni tocamos ningún otro calendario.
• https://www.googleapis.com/auth/calendar.freebusy: consultamos solo si el dueño está libre u ocupado en sus otros calendarios, para no ofrecer horas que choquen con su agenda. Este permiso no nos entrega títulos, invitados ni descripciones de sus eventos, y los rangos ocupados no se guardan.

Sobre las reuniones de Google Meet: cuando la cita es virtual, se crea un enlace de Google Meet dentro del evento. No accedemos a grabaciones, transcripciones ni al contenido de las reuniones.

Qué guardamos: solo el identificador del calendario creado, los identificadores de los eventos creados y el enlace de Google Meet de cada cita, además de los tokens de acceso que emite Google mientras la cuenta esté conectada. Al desconectar la cuenta, los tokens se borran. También se puede revocar el acceso en cualquier momento desde https://myaccount.google.com/permissions. No accedemos a otros datos de la cuenta de Google (Gmail, Drive, Contactos, etc.) ni los almacenamos.

2.5 Datos de WhatsApp Business (Meta Platforms)

Cuando un negocio conecta su cuenta de WhatsApp Business a través de nuestro flujo de registro (Embedded Signup de Meta), con su autorización expresa recogemos y almacenamos:

• Identificador de la cuenta de WhatsApp Business (WABA ID) del negocio.
• Identificador y número de teléfono de WhatsApp conectado.
• Un token de acceso emitido por Meta que nos permite operar la cuenta de WhatsApp Business en nombre del negocio (enviar y recibir mensajes, y administrar plantillas de mensaje).

Si el negocio conecta un número que ya usa en la aplicación WhatsApp Business (modalidad de coexistencia), Meta puede sincronizar con nuestra plataforma el historial de chats existente de ese número, con el fin de dar continuidad a las conversaciones. Ese historial se trata con las mismas garantías descritas en esta política.

La cuenta de WhatsApp Business pertenece al portafolio comercial del negocio en Meta, no a Loxatrade. El negocio puede revocar nuestro acceso en cualquier momento (ver sección “Tus derechos”).

3. Finalidades del tratamiento

Usamos los datos personales para los siguientes fines:

1. Prestar el servicio contratado: operar Aliom, registrar conversaciones, agendar demos, asignar empleados, generar reportes y entregar el panel de cliente.
2. Gestión administrativa: facturación, cobranza, soporte técnico y comunicaciones operativas relacionadas con el servicio.
3. Atención de consultas comerciales: responder solicitudes de demos o información enviadas a través del formulario de contacto o canales habilitados.
4. Seguridad y prevención de fraude: proteger el sitio y el portal contra ataques automatizados, abuso y accesos no autorizados (logs de auditoría, rate limiting, Turnstile de Cloudflare).
5. Mejora del servicio: análisis interno y agregado del uso, sin identificación individual del usuario final.
6. Cumplimiento de obligaciones legales: obligaciones tributarias, contables y mercantiles del Ecuador.

4. Base legal del tratamiento

De acuerdo con el artículo 7 de la LOPDP, las bases legales que sustentan el tratamiento son:

• Ejecución de contrato: para los datos del cliente y de los leads generados durante la prestación del servicio Aliom.
• Consentimiento: para datos del formulario de contacto y comunicaciones comerciales no relacionadas con un contrato vigente.
• Interés legítimo: para la seguridad del sitio, prevención de fraude y análisis interno.
• Cumplimiento de obligación legal: conservación de comprobantes tributarios y contables.

5. Compartición con terceros

Para operar el servicio compartimos datos personales únicamente con los siguientes proveedores tecnológicos, todos ellos seleccionados por sus garantías de seguridad y cumplimiento:

No vendemos ni cedemos tus datos a terceros para fines publicitarios.

6. Uso de datos de Google API

Loxatrade's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Es decir, el uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google se ajustan a la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de uso limitado. En concreto:

• Solo usamos los datos de Google Calendar y Google Meet para prestar al negocio la funcionalidad descrita en la sección 2.4: agendar, reagendar y cancelar sus citas en el calendario creado por Aliom, consultar si está libre u ocupado y crear el enlace de la reunión virtual.
• No vendemos los datos de Google.
• No usamos ni transferimos los datos de Google para publicidad, ni para publicidad personalizada o basada en intereses.
• No usamos los datos de Google para entrenar, desarrollar o mejorar modelos de inteligencia artificial o de aprendizaje automático, propios ni de terceros.
• No transferimos los datos de Google a terceros, salvo lo necesario para prestar o mejorar la funcionalidad descrita, para cumplir la ley aplicable, o como parte de una fusión, adquisición o venta de activos.
• No permitimos que personas lean los datos de Google, salvo con el consentimiento explícito del negocio, cuando sea necesario por seguridad (por ejemplo, investigar un abuso), para cumplir la ley, o cuando los datos estén agregados y se usen para operaciones internas.
• Los tokens de acceso de Google se almacenan cifrados, con acceso restringido a procesos de servidor, y nunca se exponen al navegador ni a terceros.
• Revocar el acceso: el negocio puede retirar el permiso en cualquier momento desde myaccount.google.com/permissions, o pidiéndonos la desconexión a [email protected]. Al desconectar la cuenta dejamos de acceder a Google y borramos los tokens almacenados.

7. Uso de datos de la plataforma de WhatsApp Business (Meta)

Loxatrade opera sobre la WhatsApp Business Platform de Meta como proveedor de tecnología, y cumple las Condiciones de WhatsApp Business y las Condiciones de la plataforma de Meta. En concreto:

• Solo usamos el acceso a la cuenta de WhatsApp Business del negocio para prestar la funcionalidad descrita en esta política (atención automatizada, agendamiento y mensajes transaccionales del propio negocio).
• Los mensajes de los usuarios finales se procesan únicamente para responder en nombre del negocio al que escribieron, nunca para publicidad de terceros ni para entrenar modelos de IA externos.
• Los tokens de acceso se almacenan con acceso restringido (solo procesos de servidor) y nunca se exponen al navegador ni a terceros.

8. Transferencias internacionales

Algunos de los proveedores mencionados están ubicados fuera del Ecuador. Cuando esto ocurre, nos aseguramos de que dichos proveedores ofrezcan niveles adecuados de protección mediante:

• Contratos de procesamiento de datos (DPAs) firmados con cada proveedor.
• Adhesión de los proveedores a marcos reconocidos internacionalmente (SOC 2, ISO 27001, etc.).
• Cifrado en tránsito (TLS 1.2+) y en reposo.

9. Plazo de conservación

• Datos del cliente activo: mientras dure la relación contractual.
• Datos del cliente tras baja: 5 años desde la terminación del contrato, principalmente para cumplir obligaciones tributarias, contables y atender posibles disputas legales.
• Datos de leads y conversaciones: mismo plazo que los datos del cliente del que dependen, salvo que el lead solicite expresamente el borrado.
• Datos del formulario de contacto sin conversión: hasta 12 meses si no se produce una contratación.
• Logs de auditoría y seguridad: hasta 18 meses.

10. Tus derechos

Conforme a la LOPDP, en cualquier momento puedes ejercer los siguientes derechos sobre tus datos personales:

• Acceso: conocer qué datos tuyos tratamos.
• Rectificación: corregir datos inexactos o desactualizados.
• Eliminación (derecho al olvido): que borremos tus datos cuando ya no sean necesarios.
• Oposición: rechazar el tratamiento por motivos relacionados con tu situación particular.
• Limitación: restringir el tratamiento en ciertos supuestos.
• Portabilidad: recibir tus datos en formato estructurado y comúnmente usado.
• Revocar el consentimiento cuando este fue la base legal del tratamiento.
• Revocar el acceso a tu Google Calendar en cualquier momento desde tu cuenta de Google.
• Revocar el acceso a tu cuenta de WhatsApp Business en cualquier momento desde la configuración de tu negocio en Meta (Integraciones de negocio / apps conectadas).

Para ejercer cualquiera de estos derechos, envíanos un correo a [email protected] indicando claramente cuál derecho deseas ejercer y adjuntando una copia de tu documento de identidad. Te responderemos en un plazo máximo de 15 días hábiles.

Si consideras que no atendimos correctamente tu solicitud, puedes presentar una denuncia ante la Superintendencia de Protección de Datos Personales del Ecuador.

11. Seguridad de los datos

Aplicamos medidas técnicas y organizativas para proteger tus datos contra acceso no autorizado, alteración, divulgación o destrucción. Entre ellas:

• Cifrado en tránsito (HTTPS/TLS) y en reposo en la base de datos.
• Autenticación multifactor (MFA) disponible y recomendada para administradores.
• Row Level Security (RLS) en la base de datos: cada cliente solo ve sus propios datos.
• Registro de auditoría de acciones administrativas críticas.
• Rate limiting en formularios públicos y endpoints sensibles.
• Protección anti-bot mediante Cloudflare Turnstile.
• Política estricta de contraseñas y rotación periódica de claves de servicio.

12. Menores de edad

Los servicios de Loxatrade están dirigidos a empresas y profesionales adultos. No recogemos conscientemente datos personales de menores de 18 años. Si detectamos que hemos recibido datos de un menor sin autorización válida de quien ejerza la patria potestad, procederemos a eliminarlos.

13. Decisiones automatizadas

El agente de IA Aliom toma decisiones automatizadas para calificar leads y asignar empleados a citas, basado en información proporcionada por el cliente contratante (catálogo, horarios, reglas de negocio). Estas decisiones se pueden revisar y modificar manualmente desde el portal del cliente. El titular de los datos (lead) puede solicitar intervención humana escribiendo a [email protected].

14. Cambios a esta política

Esta política puede actualizarse para reflejar cambios legales, técnicos o de servicio. La fecha de "Última actualización" se mostrará al inicio del documento. Cuando los cambios sean significativos, te lo comunicaremos por correo electrónico o mediante un aviso en el portal antes de su entrada en vigor.

15. Contacto

Si tienes cualquier duda sobre esta política o sobre el tratamiento de tus datos, escríbenos a [email protected].