1. Identificación del Responsable

1.1. La plataforma ACENA.AI (“Plataforma”) es operada por VIVAMAIS MULTISSERVIÇOS LTDA, empresa constituida conforme a las leyes de la República Federativa de Brasil, inscrita en el CNPJ bajo el número 61.944.506/0001-43, con domicilio principal en la ciudad de São Paulo, Estado de São Paulo, Brasil (“Responsable,” “nosotros,” “nos” o “nuestro”).

1.2. Las consultas y solicitudes relacionadas con esta Política de Privacidad pueden dirigirse a nuestro contacto de Protección de Datos en: info@acena.ai.

2. Alcance y Aplicabilidad

2.1. Esta Política de Privacidad describe cómo recopilamos, utilizamos, almacenamos, compartimos y protegemos los datos personales tratados en el marco de la Plataforma ACENA.AI, una solución de Software como Servicio (SaaS) que permite a los clientes (“Clientes”) desplegar agentes conversacionales con inteligencia artificial bajo su propia marca (despliegue white-label).

2.2. Esta Política se aplica a: (a) Clientes que contratan la Plataforma; (b) usuarios finales que interactúan con agentes desplegados por los Clientes; y (c) visitantes de nuestros sitios web y portales de documentación.

2.3. Cuando los Clientes utilizan la Plataforma para tratar datos personales de sus propios clientes, el Cliente actúa como responsable independiente de dichos datos. Nuestra intervención en relación con esos datos se limita al tratamiento realizado en nombre del Cliente, conforme se describe en la Sección 7.

3. Definiciones

3.1. A efectos de esta Política, los siguientes términos tendrán los significados indicados a continuación:

3.2. “Datos Personales”: cualquier información relativa a una persona física identificada o identificable, conforme a la legislación de protección de datos aplicable, incluyendo la Ley General de Protección de Datos Personales de Brasil (Lei no. 13.709/2018, “LGPD”) y, cuando proceda, el Reglamento General de Protección de Datos de la Unión Europea (UE 2016/679, “RGPD”).

3.3. “Tratamiento”: cualquier operación realizada con Datos Personales, ya sea automatizada o manual, incluyendo la recopilación, el registro, el almacenamiento, la utilización, la transmisión y la supresión.

3.4. “Cliente”: cualquier persona jurídica o física que haya suscrito un acuerdo de suscripción de la Plataforma.

3.5. “Usuario Final”: cualquier individuo que interactúe con un agente conversacional desplegado por un Cliente a través de la Plataforma.

3.6. “Proveedor de LLM Tercero”: cualquier proveedor externo de modelo de lenguaje de gran escala seleccionado y configurado por el Cliente para impulsar los agentes conversacionales desplegados en la Plataforma.

4. Categorías de Datos Personales Recopilados

4.1. Podemos recopilar y tratar las siguientes categorías de Datos Personales en función del contexto de interacción:

4.2. Datos de Cuenta del Cliente: nombre y apellidos de los titulares de la cuenta y de los administradores autorizados, dirección de correo electrónico corporativo, razón social y número de identificación tributaria, dirección de facturación y metadatos del método de pago (sin almacenamiento de datos brutos de tarjetas).

4.3. Datos de Uso de la Plataforma: tokens de autenticación, direcciones IP, tipo y versión del navegador, sistema operativo, registros de fecha y hora de sesión, registros de interacción con funcionalidades y metadatos de solicitudes de API.

4.4. Datos de Conversación: mensajes e información enviados por Usuarios Finales a los agentes desplegados por los Clientes. Estos datos son transmitidos y tratados por el Proveedor de LLM Tercero seleccionado por el Cliente, conforme a la política de privacidad de dicho proveedor. No reclamamos titularidad sobre los Datos de Conversación.

4.5. Datos de Configuración: configuración de agentes, plantillas de instrucciones, contenido de bases de conocimiento y credenciales de integración cargados o introducidos por los Clientes.

4.6. Datos de Soporte: comunicaciones enviadas a través de los canales de atención, incluyendo correspondencia por correo electrónico y cualquier adjunto aportado voluntariamente.

5. Finalidades y Bases Jurídicas del Tratamiento

5.1. Tratamos Datos Personales únicamente con fines lícitos, amparándonos en una o más de las siguientes bases jurídicas previstas en la LGPD y, cuando proceda, en el RGPD:

5.2. Ejecución del Contrato: para crear y gestionar cuentas de Clientes, prestar los servicios contratados, procesar pagos y enviar comunicaciones relacionadas con el servicio (base jurídica: ejecución de contrato, conforme al artículo 7, V, de la LGPD).

5.3. Interés Legítimo: para supervisar y mejorar la seguridad, el rendimiento y la fiabilidad de la Plataforma; para prevenir fraudes y abusos; y para elaborar análisis agregados sin identificación personal (base jurídica: interés legítimo, conforme al artículo 7, IX, de la LGPD, siempre que no prevalezca sobre los derechos fundamentales del titular).

5.4. Obligación Legal: para el cumplimiento de obligaciones tributarias, de información financiera y regulatorias (base jurídica: cumplimiento de obligación legal, conforme al artículo 7, II, de la LGPD).

5.5. Consentimiento: cuando recopilamos datos para comunicaciones de marketing, nos basamos en el consentimiento libre, específico e informado del titular, revocable en cualquier momento sin perjuicio (base jurídica: consentimiento, conforme al artículo 7, I, de la LGPD).

6. Clientes como Responsables Independientes

6.1. Cuando un Cliente despliega un agente de IA en la Plataforma, el Cliente es el único responsable de: (a) determinar las finalidades y los medios del tratamiento de Datos Personales de Usuarios Finales; (b) obtener el consentimiento u otra base jurídica exigida por la legislación aplicable en relación con los datos de los Usuarios Finales; (c) cumplir la legislación de protección de datos vigente en su jurisdicción; y (d) publicar sus propios avisos de privacidad para los Usuarios Finales.

6.2. Proporcionamos infraestructura técnica y cláusulas contractuales de tratamiento de datos que permiten a los Clientes cumplir sus obligaciones. Los términos específicos que rigen nuestra actuación como encargado del tratamiento en nombre de los Clientes se recogen en el Adendo de Tratamiento de Datos, disponible previa solicitud.

7. Proveedores de LLM Terceros

7.1. La Plataforma está diseñada para integrarse con Proveedores de LLM Terceros. La selección y configuración de cualquier proveedor de este tipo las realiza exclusivamente el Cliente dentro de la configuración de la Plataforma.

7.2. Cuando un Cliente selecciona un Proveedor de LLM Tercero, los Datos de Conversación enviados por los Usuarios Finales serán transmitidos a dicho proveedor conforme a la configuración del Cliente. Actuamos únicamente como intermediario técnico en esa transmisión.

7.3. Los Clientes son responsables de revisar y aceptar los términos de servicio y las políticas de privacidad de los Proveedores de LLM Terceros que configuren. No representamos ni garantizamos las prácticas de privacidad de ningún Proveedor de LLM Tercero.

7.4. No utilizamos Datos de Conversación para entrenar nuestros propios modelos de aprendizaje automático, salvo acuerdo escrito con el Cliente.

8. Comunicación de Datos Personales

8.1. No vendemos Datos Personales a terceros.

8.2. Podemos comunicar Datos Personales a las siguientes categorías de destinatarios, estrictamente en la medida necesaria para cumplir las finalidades descritas en la Sección 5:

8.3. Procesadores de Pago: los servicios de facturación y pago son prestados por Stripe (para transacciones globales) y Mercado Pago (para transacciones realizadas en Brasil). Los datos de pago se tratan conforme a la política de privacidad del procesador correspondiente y a los estándares PCI-DSS aplicables.

8.4. Proveedores de Infraestructura: los servicios de alojamiento en la nube, entrega de contenidos y supervisión podrán tratar Datos Personales en nuestro nombre, bajo acuerdos de encargado del tratamiento.

8.5. Asesores Profesionales: abogados, auditores y contadores podrán acceder a Datos Personales bajo obligaciones de confidencialidad profesional.

8.6. Autoridades Reguladoras: podremos comunicar Datos Personales a autoridades gubernamentales cuando lo exija la legislación aplicable o un proceso legal válido.

9. Transferencias Internacionales de Datos

9.1. Los Datos Personales podrán ser transferidos y tratados en países fuera de Brasil. Cuando ello ocurra, implementaremos salvaguardas adecuadas, como cláusulas contractuales tipo aprobadas por las autoridades competentes, para garantizar que los datos transferidos reciban un nivel de protección equivalente al previsto en la legislación brasileña.

9.2. Los Clientes que seleccionen Proveedores de LLM Terceros ubicados fuera de Brasil son responsables de garantizar que dichas transferencias cumplan la legislación de protección de datos aplicable en sus respectivas jurisdicciones.

10. Conservación de Datos

10.1. Conservamos los Datos Personales únicamente durante el tiempo necesario para cumplir las finalidades para las que fueron recopilados, o el plazo exigido por la legislación aplicable.

10.2. Los datos de cuenta se conservan durante la vigencia de la suscripción del Cliente y durante un período de cinco (5) años tras la rescisión, salvo que la ley exija un plazo superior.

10.3. Los registros de facturación y transacciones se conservan por el período exigido por la legislación tributaria brasileña, actualmente de cinco (5) años.

10.4. Transcurridos los plazos de conservación aplicables, los Datos Personales serán eliminados de forma segura o anonimizados.

11. Derechos de los Titulares

11.1. De acuerdo con la legislación aplicable, los titulares podrán tener derecho a: (a) confirmar si tratamos sus Datos Personales y obtener acceso a ellos; (b) rectificar datos inexactos o incompletos; (c) solicitar la supresión de datos tratados sin base jurídica; (d) obtener información sobre los terceros con quienes se han comunicado sus datos; (e) oponerse o solicitar la limitación de determinadas actividades de tratamiento; (f) revocar el consentimiento cuando el tratamiento se base en él; y (g) presentar una reclamación ante la autoridad supervisora competente, incluyendo la Autoridade Nacional de Proteção de Dados (ANPD) de Brasil.

11.2. Las solicitudes deben enviarse a info@acena.ai. Acusaremos recibo en un plazo de quince (15) días hábiles y responderemos dentro de los plazos previstos por la legislación aplicable.

11.3. Los Usuarios Finales que deseen ejercer derechos sobre datos tratados por el agente de un Cliente deben contactar directamente al Cliente, ya que éste actúa como responsable independiente de dichos datos.

12. Medidas de Seguridad

12.1. Implementamos medidas de seguridad técnicas y organizativas adecuadas a la naturaleza y al nivel de riesgo de los datos tratados. Estas medidas incluyen, sin limitación, el cifrado de datos en tránsito y en reposo, controles de acceso basados en el principio de mínimo privilegio, evaluaciones periódicas de seguridad y procedimientos de respuesta a incidentes.

12.2. Ningún sistema de seguridad es inexpugnable. En caso de una violación de datos que suponga un riesgo para los derechos y libertades de los titulares, notificaremos a las partes afectadas y a la autoridad supervisora competente en los plazos exigidos por la legislación aplicable.

13. Cookies y Tecnologías de Seguimiento

13.1. Nuestros sitios web podrán utilizar cookies y tecnologías similares para la gestión de sesiones, la seguridad, el análisis y las funcionalidades de la Plataforma. La información detallada sobre nuestro uso de cookies figura en el Aviso de Cookies disponible en nuestro sitio web.

14. Modificaciones a Esta Política

14.1. Nos reservamos el derecho de modificar esta Política de Privacidad en cualquier momento. Notificaremos a los Clientes los cambios sustanciales con una antelación mínima de quince (15) días antes de su entrada en vigor, mediante correo electrónico a la dirección registrada en la cuenta o mediante aviso en la propia Plataforma.

14.2. El uso continuado de la Plataforma tras la fecha de entrada en vigor de cualquier modificación implica la aceptación de la Política actualizada.

15. Ley Aplicable y Jurisdicción

15.1. Esta Política de Privacidad se rige por las leyes de la República Federativa de Brasil, con especial referencia a la Lei no. 13.709/2018 (LGPD) y demás legislación aplicable.

15.2. Cualquier controversia derivada o relacionada con esta Política se someterá a la jurisdicción exclusiva de los tribunales de la ciudad de São Paulo, Estado de São Paulo, Brasil, con exclusión de cualquier otro foro.

16. Contacto

16.1. Todas las consultas, solicitudes y notificaciones relativas a la privacidad deben dirigirse a VIVAMAIS MULTISSERVIÇOS LTDA, por correo electrónico a info@acena.ai.