Política de privacidad de ZAVRYON
Última actualización: 22 de octubre de 2026.
1. Quiénes intervienen
- ZAVRYON es una marca operada por Gabriel López (el "Proveedor"). Los datos fiscales (CUIT) y el domicilio legal del Proveedor figuran en la propuesta comercial y en la factura.
- Cliente: el negocio que contrata el servicio. Decide qué hace con los datos de sus clientes y es quien los atiende.
- Cliente final: la persona que escribe al asistente del Cliente.
Respecto de los datos de los clientes finales, el Cliente es el responsable del tratamiento y el Proveedor actúa como encargado del tratamiento: los trata solo para prestar el servicio y siguiendo las instrucciones del Cliente. Respecto de los datos de la cuenta y de la facturación del propio Cliente, el Proveedor es el responsable.
2. Qué datos maneja el sistema
| Dato | De quién | Para qué |
|---|---|---|
| Nombre, teléfono, dirección habitual, notas, canal y fecha de última actividad | Cliente final | Atender, recordar al cliente, entregar pedidos |
| Conversaciones (mensajes del cliente y del asistente) | Cliente final | Responder y que el negocio vea los chats |
| Pedidos (productos, total, envío, forma de pago elegida, estados) y reclamos | Cliente final | Gestión del pedido |
| Turnos y datos para reservarlos | Cliente final | Agenda |
| Consentimiento a novedades (acepta o no, y quién lo decidió) | Cliente final | Controlar los mensajes de promoción |
| Correo y contraseña de acceso, rol | Dueño y personal del negocio | Ingreso a la consola |
| Catálogo, precios, horarios, zonas | Cliente | Prestar el servicio |
| Consumo del plan, estado de suscripción, historial de pagos | Cliente | Cobrar y medir el uso |
| Registros de auditoría de acciones | Cliente y operador | Seguridad |
| Credenciales de canales (tokens) | Cliente | Conectar canales (se guardan cifradas) |
El servicio no está pensado para recibir datos sensibles (salud, tarjetas, contraseñas). El Cliente no debe utilizarlo para recolectarlos y es responsable si lo hace. El Proveedor no responde por los datos sensibles que los clientes finales envíen por el chat.
3. Separación entre negocios
Cada negocio ve solo sus datos: la base de datos aplica seguridad a nivel de fila (RLS) en todas las tablas y existen pruebas automáticas para verificarlo. Ninguna medida técnica es infalible.
4. Con quién se comparten los datos (terceros)
| Tercero | Para qué | Qué datos |
|---|---|---|
| Proveedor de inteligencia artificial | Generar las respuestas del asistente | Texto de la conversación y los datos del catálogo necesarios para responder; también imágenes si se carga un catálogo por foto |
| Meta (WhatsApp, Messenger, Instagram) | Canal de mensajería, solo cuando esté habilitado | Mensajes y número de teléfono |
| Telegram | Canal, solo cuando esté habilitado | Mensajes |
| Mercado Pago | Cobro del abono | Datos de pago del titular; el sistema guarda el estado y el historial de pagos |
| Supabase (base de datos y autenticación) y Vercel (alojamiento) | Almacenar y servir la aplicación | Todos los datos del sistema |
Las respuestas del asistente las genera Google (Gemini) o un proveedor equivalente que el Proveedor seleccione. Se le envían el texto de la conversación y los datos del catálogo necesarios, y su tratamiento queda sujeto a los términos de ese proveedor.
La base de datos y la aplicación se alojan en São Paulo, Brasil (Supabase y Vercel); la distribución de contenido puede utilizar redes globales. Al aceptar esta política, el Cliente consiente esta transferencia internacional de datos. El Proveedor exige a sus proveedores la aplicación de medidas de seguridad adecuadas.
Los datos no se venden.
5. Mensajes de novedades (campañas) y baja
- Solo se contacta por promociones a clientes que dieron su consentimiento (estado "acepta"). Quien no respondió o se negó no recibe campañas.
- El cliente se puede dar de baja escribiendo BAJA o STOP, o diciéndoselo al asistente; la baja queda registrada y no se vuelve a pedir.
- Se envía como máximo un mensaje de campaña por cliente cada 14 días.
6. Cuánto tiempo se conservan los datos
- Conversaciones, pedidos y turnos: mientras el contrato esté vigente y hasta 12 meses después de la última actividad.
- Datos de clientes finales inactivos: hasta 24 meses desde el último contacto.
- Al terminar el contrato, el Cliente puede solicitar una exportación de sus datos dentro de los 30 días; vencido ese plazo, los datos se eliminan dentro de los 60 días siguientes.
- Las copias de seguridad se sobrescriben en su ciclo normal de rotación.
7. Derechos de las personas
Toda persona puede ejercer sus derechos de acceso, rectificación, actualización y supresión conforme a la Ley 25.326. El pedido de acceso se responde dentro de los 10 días corridos (art. 14); los de rectificación, actualización o supresión, dentro de los 5 días hábiles (art. 16).
Los pedidos pueden realizarse por los medios de contacto publicados en el sitio o a través del negocio con el que la persona conversó. Como encargado del tratamiento, el Proveedor traslada al Cliente los pedidos de clientes finales y ejecuta la eliminación cuando el Cliente lo instruye; el sistema permite borrar los datos de un cliente final a pedido.
La persona titular puede presentar reclamos ante la Agencia de Acceso a la Información Pública (AAIP), autoridad de control.
8. Seguridad
Cada negocio ve solo sus datos (aislamiento por RLS); los tokens de los canales se guardan cifrados; el acceso al panel usa Supabase Auth, que aplica límites a los intentos de inicio de sesión, y la aplicación envía cabeceras de seguridad; los cambios corren pruebas automáticas; las acciones delicadas piden confirmación en el servidor.
Ante un incidente de seguridad que afecte los datos del Cliente, el Proveedor se lo notifica sin demora indebida y dentro de las 72 horas de confirmado.
9. Registro de bases de datos personales
Cada Cliente es responsable de inscribir sus propias bases de datos en el Registro Nacional de Bases de Datos Personales de la AAIP cuando corresponda. El Proveedor lo hace respecto de las suyas cuando corresponda.
10. Cambios y contacto
Los cambios en esta política se notifican por correo electrónico o en la consola con al menos 15 días de anticipación a su entrada en vigencia.
Contacto: los medios de contacto publicados en el sitio (correo electrónico o WhatsApp).