Aviso de privacidad

Este aviso aplica a zensavvy.com, a navvy-ai.com, a la plataforma NavvyAI y a los proyectos que desarrollamos y operamos para nuestros clientes. Explica qué datos tratamos, para qué, con quién los compartimos, dónde y cuánto tiempo se guardan, cómo los protegemos y cómo ejerces tus derechos.

1. Quién es responsable de tus datos

ZenSavvy, empresa constituida en México que opera las marcas ZenSavvy y NavvyAI, es responsable del tratamiento de los datos personales descritos en este aviso, conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), su Reglamento y demás disposiciones aplicables. Para cualquier asunto de privacidad escríbenos a ventas@zensavvy.com.

2. Las dos formas en que tratamos datos

• Como responsable: los datos que nos das directamente (formulario de contacto, reuniones comerciales, contratación, facturación, cuenta de NavvyAI) y los de navegación en nuestros sitios. Este aviso los rige por completo.
• Como encargado: los datos que tratamos por cuenta de un cliente cuando le desarrollamos, alojamos u operamos una plataforma (por ejemplo, el sitio de registro a un evento corporativo), o cuando el cliente carga en NavvyAI los datos de sus propios contactos. En esos casos el responsable es el cliente, rige su aviso de privacidad y aplica la sección 7.

3. Datos que recabamos directamente

No te pedimos datos personales sensibles. Si los incluyes por iniciativa propia en un mensaje, los trataremos solo para atender tu solicitud y con las medidas de la sección 15.

4. Finalidades primarias

Son necesarias para la relación que tienes con nosotros:

• Responder tus solicitudes y darte seguimiento comercial.
• Preparar propuestas, cotizaciones y contratos.
• Prestar, operar, mantener, dar soporte y asegurar los servicios contratados, incluida la plataforma NavvyAI.
• Crear y administrar tu cuenta, autenticarte y proteger tu acceso.
• Facturar, cobrar y cumplir obligaciones fiscales, contables y legales.
• Prevenir fraudes, abusos y ataques, e investigar incidentes de seguridad.
• Atender requerimientos de autoridades competentes.

5. Finalidades secundarias y cómo negarte

No son necesarias para el servicio, pero nos ayudan a mejorarlo:

• Enviarte información sobre nuevos servicios, contenidos y eventos de ZenSavvy y NavvyAI.
• Elaborar estadísticas y estudios internos de uso, agregados.
• Evaluar, mejorar y entrenar las funciones de IA de NavvyAI con datos desidentificados, con las exclusiones de la sección 11.

6. Datos sensibles y de identificación oficial

Algunos servicios pueden implicar datos que exigen un cuidado reforzado:

• Identificaciones oficiales (INE, pasaporte) y documentos de viaje, cuando un cliente nos encarga una plataforma que las requiere.
• Voz: grabaciones de voz y voces clonadas en NavvyAI. La clonación solo se hace con la confirmación expresa de que la voz es propia o de que se cuenta con el permiso expreso de su titular.
• Contactos de emergencia y, en su caso, información de salud que un cliente decida recabar para un evento.

Estos datos se tratan únicamente para la finalidad para la que se recabaron, con el consentimiento expreso que exija la ley (que obtiene el responsable correspondiente); se guardan en almacenamiento privado sin acceso público, se entregan solo mediante enlaces firmados de corta duración, queda registro de quién accede a ellos y se eliminan al terminar la finalidad o el plazo que indique el responsable.

7. Proyectos para clientes: ZenSavvy como encargado

Cuando desarrollamos u operamos una plataforma para un cliente, o cuando un cliente usa NavvyAI con los datos de sus contactos, el cliente es el responsable y nosotros su encargado. En ese papel nos comprometemos a:

• Tratar los datos solo conforme a las instrucciones del cliente y para la finalidad del proyecto; nunca para fines propios.
• No usarlos para entrenar modelos de IA ni para publicidad, y no cederlos a terceros salvo a los subencargados necesarios (sección 12), a quienes imponemos obligaciones equivalentes.
• Guardar confidencialidad, incluso después de terminada la relación.
• Aplicar las medidas de seguridad de la sección 15 y las adicionales que pacte el cliente.
• Avisar al cliente sin demora de cualquier vulneración de seguridad que afecte sus datos.
• Al terminar el proyecto, devolver o suprimir los datos según instruya el cliente, salvo lo que deba conservarse por ley.
• Canalizar al cliente cualquier solicitud de derechos que nos llegue sobre esos datos, y apoyarlo para atenderla.

Si tus datos llegaron a nosotros a través de la plataforma de un cliente (por ejemplo, el registro a un evento de tu empleador), consulta el aviso de privacidad de ese cliente y dirige a él el ejercicio de tus derechos.

8. NavvyAI: datos que trata la plataforma

NavvyAI es la plataforma de agentes de IA de ZenSavvy: bots que responden canales de mensajería, agentes de voz que hacen y reciben llamadas, un asistente que gestiona correo, automatizaciones, un estudio de contenido y un asistente que toma notas de reuniones. Según los módulos que actives, trata:

• Canales de mensajería (WhatsApp Business, Instagram, Facebook Messenger, TikTok y el widget de chat de tu sitio): mensajes, comentarios, contactos y archivos necesarios para responderlos. Su uso también se rige por las políticas de cada plataforma.
• Agentes de voz: número, transcripción, resumen, datos que facilite la persona (nombre, interés, horario) y, solo si activas la grabación, el audio de la llamada (sección 10).
• Correo (Gmail): si conectas un buzón, los correos que entran a la bandeja de NavvyAI según tus reglas, sus resúmenes y borradores (sección 9).
• Reuniones (Google Meet y Zoom): transcripción, nombres de participantes y notas generadas.
• Estudio: instrucciones, archivos de referencia, kit de marca, voces y las piezas generadas.
• Agenda y seguimiento: citas, pendientes y recordatorios.

El aviso de privacidad de NavvyAI, en navvy-ai.com/aviso-de-privacidad, detalla cada módulo. Si hubiera diferencias, prevalece la que más te proteja.

9. NavvyAI y las APIs de Google

Conectar Google es opcional y siempre lo inicias tú: nada de lo que se describe aquí ocurre hasta que lo autorizas en la pantalla de consentimiento de Google, y deja de ocurrir en cuanto desconectas. Calendar y Meet se conectan desde Integraciones, y Gmail, por separado, desde Canales. Estos son todos los permisos que pedimos:

Permisos que solicitamos

• calendar.events.readonly — leer los eventos de tu agenda para saber a qué reunión debe entrar el asistente y a qué hora. Es de solo lectura: no puede crear, modificar ni borrar nada. Solo consultamos tu calendario principal y la ventana de la próxima hora. De cada evento usamos el título, la hora, el enlace de la videollamada, si aceptaste la invitación, cuántas personas están invitadas y los dominios de sus correos (por ejemplo cliente.com), no los correos. No guardamos una copia de tu calendario.
• meetings.space.readonly — leer la información de las conferencias de Google Meet: el código de la sala, los nombres de los participantes y, cuando tu Workspace la genera, la transcripción nativa de la reunión. También es de solo lectura.
• calendar.app.created — crear un calendario propio llamado «Navvy AI» y administrar únicamente los eventos que la aplicación crea dentro de él: las citas que agendas desde la app o que cierra el agente de voz y los pendientes con fecha de tus reuniones. No da acceso al resto de tu agenda.
• gmail.modify — solo si conectas Gmail como canal: leer los correos nuevos de tu bandeja de entrada, clasificarlos según tus reglas (con ayuda de un modelo de Anthropic cuando hace falta), ponerles etiquetas Navvy/… en tu propio Gmail, preparar borradores de respuesta y enviar respuestas desde tu cuenta, en el mismo hilo. Solo los correos de las categorías que marcas como importantes se guardan en NavvyAI; el resto se queda únicamente en tu Gmail. El envío automático solo ocurre en las categorías en que tú lo actives. Nunca borramos correos ni los mandamos a la papelera.
• openid, userinfo.email y userinfo.profile — identificar la cuenta conectada (identificador de Google, correo y nombre para mostrar), para saber de quién es la agenda o el buzón y mostrarte qué cuenta está vinculada.

Las credenciales de acceso de Google (igual que las de Zoom y Meta) se guardan cifradas con AES-256-GCM.

Uso limitado de la información de Google (Limited Use)

• No vendemos los datos obtenidos de las APIs de Google ni los cedemos a corredores de datos.
• No los usamos para publicidad, propia ni de terceros, ni para segmentar o perfilar.
• No usamos los datos de Gmail, Google Calendar ni Google Meet para desarrollar, mejorar ni entrenar modelos generalizados de inteligencia artificial, ni nosotros ni nuestros proveedores.
• Solo los usamos para prestarte las funciones que tú activaste y que se describen en este aviso.
• Ninguna persona de ZenSavvy los lee, salvo que tú lo autorices expresamente (por ejemplo, para resolver una incidencia de soporte), que sea imprescindible por seguridad o para cumplir la ley, o que estén agregados y anonimizados.

Cómo desconectar tu cuenta de Google

• Desde NavvyAI, en Integraciones → Google → Desconectar y, para el correo, en Canales → Gmail → Desconectar.
• Desde tu cuenta de Google, en myaccount.google.com/permissions, retirando el acceso a NavvyAI.

Al desconectar cancelamos la suscripción a los avisos de Google Meet, revocamos el token ante Google y eliminamos las credenciales y los datos de la cuenta conectada (identificador, correo y nombre). Los correos que entraron a NavvyAI se borran automáticamente a los 30 días. Las transcripciones y notas ya procesadas siguen en tu cuenta hasta que las borres o pidas la eliminación de la cuenta.

10. Grabaciones de reuniones y llamadas

• Asistente de reuniones: entra a la videollamada como un participante más, visible en la lista de asistentes, con un nombre identificable (por defecto «Navvy AI (note-taker)»); alguien de la reunión tiene que admitirlo, y su micrófono y cámara permanecen apagados. Graba solo el audio, con un único fin: transcribirlo con Google Gemini para que un modelo de Anthropic (Claude) redacte las notas. No conservamos la grabación: se destruye con el contenedor temporal al terminar, y la copia enviada a Google para transcribir se borra automáticamente a las 48 horas. Lo que se guarda es el texto y las notas.
• Agentes de voz: si activas la grabación, el agente avisa al inicio que la llamada se graba y para qué; si la persona se opone, deja de grabar y lo grabado se borra. Las grabaciones se eliminan automáticamente a los 90 días.
• Reuniones con ZenSavvy: en nuestras propias reuniones comerciales y de proyecto podemos usar el asistente de NavvyAI para tomar notas, siempre visible y anunciado. Si prefieres que no lo usemos, dínoslo y no entrará.
• Agentes de IA de ZenSavvy: parte de nuestro seguimiento comercial (llamadas, correos y mensajes) puede hacerlo un agente de IA. Se identifica como tal y siempre puedes pedir hablar con una persona.

11. Inteligencia artificial

• Usamos modelos de proveedores (sección 12) para transcribir, resumir, clasificar, redactar borradores, conversar y generar contenido. Los proveedores procesan los datos solo para devolvernos el resultado y, por contrato o por sus condiciones empresariales, no entrenan sus modelos con ellos.
• Las respuestas de la IA pueden contener errores. Las funciones que actúan por ti (enviar un correo, agendar una cita) pueden configurarse para requerir aprobación humana.
• Para mejorar NavvyAI usamos datos desidentificados (sin nombres, teléfonos, correos ni otros identificadores) y nunca datos de Google, WhatsApp, Instagram, Messenger, TikTok, Zoom, pagos ni de los proyectos que operamos como encargado. Puedes oponerte según la sección 5.
• No tomamos decisiones con efectos jurídicos o significativos sobre las personas basadas únicamente en un tratamiento automatizado.

12. Encargados y proveedores

Compartimos datos solo con los proveedores necesarios para prestar el servicio, que actúan como encargados y los tratan únicamente por nuestra cuenta:

Elegimos proveedores con medidas de seguridad reconocidas y mantenemos un registro actualizado que entregamos a los clientes empresariales que lo soliciten.

13. Transferencias

No vendemos tus datos ni los transferimos a terceros para su propia mercadotecnia. Solo podemos transferirlos sin requerir tu consentimiento, en los supuestos que la LFPDPPP lo permite, a:

• Autoridades competentes, cuando lo exija la ley o un mandato fundado.
• Sociedades del mismo grupo de ZenSavvy que operen bajo las mismas políticas de privacidad, para las finalidades de este aviso.
• Quien adquiera o suceda a ZenSavvy en una fusión, escisión o venta del negocio, que quedará obligado por este aviso.
• Terceros, cuando sea necesario para la defensa de un derecho en un proceso judicial o para proteger la seguridad de personas o sistemas frente a un uso fraudulento.

14. Dónde se guardan y cuánto tiempo

Nuestra infraestructura está en Google Cloud, región us-central1 (Estados Unidos). Al usar nuestros servicios, tus datos se tratan allí con las mismas protecciones de este aviso.

Al vencer el plazo, los datos se bloquean y después se suprimen de forma segura.

15. Medidas de seguridad

Mantenemos medidas administrativas, técnicas y físicas para proteger los datos contra daño, pérdida, alteración, destrucción y uso, acceso o tratamiento no autorizados, entre ellas:

• Cifrado en tránsito (HTTPS con TLS 1.2 o superior y HSTS) y en reposo; credenciales de integraciones cifradas con AES-256-GCM y llaves en un gestor de secretos.
• Aislamiento de datos por empresa y por proyecto; documentos en almacenamiento privado, con enlaces firmados de corta duración.
• Firewall de aplicaciones web, protección contra bots y ataques de denegación de servicio, límites de intentos por IP y cabeceras de seguridad (CSP, X-Frame-Options y otras).
• Bases de datos en red privada, con usuarios de mínimo privilegio, auditoría y respaldos continuos.
• Cuentas individuales con verificación en dos pasos, acceso por mínimo privilegio, baja de accesos el mismo día en que alguien deja un proyecto y revisión periódica de cuentas y registros.
• Registro de accesos a datos sensibles, y registros técnicos sin contraseñas ni credenciales y con teléfonos y correos enmascarados.
• Revisión de dependencias, actualizaciones de seguridad y monitoreo de disponibilidad con alertas.
• Obligaciones de confidencialidad para nuestro personal y nuestros proveedores.

16. Vulneraciones de seguridad

Si ocurre una vulneración que afecte de forma significativa tus derechos patrimoniales o morales, te lo informaremos sin demora: qué pasó, qué datos se vieron comprometidos, qué puedes hacer para protegerte, qué acciones tomamos y dónde obtener más información. Lo notificaremos a la autoridad cuando la ley lo exija. Si actuamos como encargado, avisaremos de inmediato al cliente responsable para que él notifique a los titulares.

17. Tus derechos ARCO y la revocación del consentimiento

Tú o tu representante legal pueden ejercer en cualquier momento los derechos de Acceso, Rectificación, Cancelación y Oposición, así como revocar tu consentimiento, escribiendo a ventas@zensavvy.com. La solicitud debe incluir:

• Tu nombre y un medio para comunicarte la respuesta.
• Copia de una identificación oficial vigente y, si actúa un representante, el documento que acredite su representación.
• La descripción clara de los datos y del derecho que quieres ejercer, y cualquier documento que ayude a localizarlos.
• Para rectificar, las modificaciones y el documento que las respalde.

Te responderemos en un máximo de 20 días hábiles desde que recibamos la solicitud completa y, si procede, la haremos efectiva dentro de los 15 días hábiles siguientes. Estos plazos pueden ampliarse una vez por un periodo igual cuando las circunstancias lo justifiquen, y te lo avisaremos. La revocación no tiene efectos retroactivos ni procede cuando debamos conservar los datos por una obligación legal o por la relación contractual vigente. Si usas NavvyAI, también puedes ver, corregir y borrar buena parte de tu información directamente en la plataforma.

18. Limitar el uso o la divulgación de tus datos

Puedes pedirnos que dejemos de usar tus datos para comunicaciones comerciales escribiendo a ventas@zensavvy.com o con el enlace de baja de nuestros correos; te inscribiremos en nuestro listado de exclusión. También puedes inscribirte en el Registro Público para Evitar Publicidad (REPEP) de la PROFECO.

19. Cookies y tecnologías de rastreo

• zensavvy.com no usa cookies de publicidad ni de analítica de terceros; solo las técnicas necesarias para que el sitio funcione y se mantenga seguro.
• navvy-ai.com usa Google Analytics, una cookie propia de atribución (navvy_attr, 90 días) y el píxel de Meta, para saber de dónde llegan las visitas y medir nuestros anuncios.
• La plataforma NavvyAI usa almacenamiento local y cookies estrictamente necesarias para mantener tu sesión.

Puedes bloquear o borrar las cookies desde la configuración de tu navegador; las de analítica y publicidad pueden desactivarse sin afectar el servicio.

20. Personas fuera de México

Trabajamos con clientes de otros países. Si te encuentras en una jurisdicción con una ley de protección de datos propia (por ejemplo, el RGPD de la Unión Europea o las leyes estatales de Estados Unidos), puedes ejercer los derechos que esa ley te reconozca —incluidas la portabilidad y la limitación del tratamiento— por el mismo correo, y los atenderemos con el mismo criterio. Cuando la ley lo requiera, firmaremos con nuestros clientes un acuerdo de tratamiento de datos.

21. Menores de edad

Nuestros servicios están dirigidos a empresas y profesionales mayores de 18 años. No recabamos a sabiendas datos de menores; si detectamos que lo hicimos, los eliminaremos.

22. Responsabilidades de nuestros clientes

Cuando un cliente carga datos de terceros en NavvyAI o nos encarga una plataforma, es responsable de:

• Contar con un aviso de privacidad propio y con la base legal o el consentimiento necesarios para los datos que recaba y nos entrega.
• Informar a los participantes antes de grabar o transcribir reuniones y llamadas, y obtener su consentimiento cuando la ley lo exija.
• Cumplir las políticas de los canales que conecta (Meta, Google, TikTok, Zoom) y las normas aplicables a las comunicaciones comerciales.
• Clonar solo voces propias o con autorización expresa de su titular.

Estas responsabilidades se detallan en los Términos y condiciones y en los contratos de cada proyecto.

23. Cambios a este aviso

Podemos modificar este aviso por cambios legales, en nuestros servicios o en nuestras prácticas. La versión vigente estará siempre en esta página con su fecha de actualización y, si el cambio es sustancial, te lo avisaremos por correo o dentro de la plataforma antes de que entre en vigor.

24. Contacto

Si tienes dudas sobre este aviso o sobre tus datos, escríbenos a ventas@zensavvy.com. Si consideras que tu derecho a la protección de datos personales fue vulnerado, puedes acudir a la autoridad competente en la materia.