Política de Privacidad de Kavio CRM
1. Visión General
Kavio CRM ("nosotros", "nuestro", "Plataforma") es una plataforma SaaS de CRM omnicanal que permite a las empresas ("Cliente") gestionar conversaciones con sus consumidores finales ("Usuarios Finales") a través de múltiples canales, incluidos Instagram Direct, Facebook Messenger, TikTok Business Messaging y WhatsApp. Esta Política describe cómo recogemos, utilizamos, almacenamos y protegemos los datos personales.
Feffer Negócios Digitais LTDA es responsable de la operación de la Plataforma, sus integraciones y el tratamiento de los datos comprendidos en esta Política.
Para los datos administrativos de acceso y operación de las cuentas, Feffer Negócios Digitais LTDA actúa como responsable del tratamiento. Para los datos de contactos y conversaciones gestionados por cada Cliente, el Cliente es el responsable y Feffer actúa como encargada del tratamiento en su nombre.
2. Datos que Recogemos
2.1 Datos de Clientes (administradores de la Plataforma)
- Nombre completo, correo electrónico y teléfono
- CNPJ/CPF (identificadores fiscales brasileños) y razón social
- Credenciales de acceso (contraseña cifrada con bcrypt)
- Datos de pago (procesados por una pasarela PCI-DSS; no almacenamos números de tarjeta)
2.2 Datos de Usuarios Finales (consumidores de los Clientes)
Cuando un Cliente conecta sus canales (Instagram, Facebook, TikTok, WhatsApp) a Kavio, recibimos de los respectivos proveedores los siguientes datos de los Usuarios Finales que inician conversaciones:
- Identificador de la cuenta (ID de Instagram/Facebook/TikTok)
- Nombre de usuario y nombre visible
- Foto de perfil (URL pública)
- Contenido de los mensajes intercambiados (texto, archivos multimedia, reacciones)
- Metadatos de la conversación (marcas de tiempo, estado de lectura)
Cuando el Cliente activa la central de comentarios de una cuenta conectada, también tratamos el texto de los comentarios públicos de sus publicaciones, el nombre y el identificador facilitados por el proveedor, las referencias de la publicación y del comentario, las fechas y el historial de respuestas publicadas por el equipo. La captura es opcional por cuenta. Recibir un comentario no activa por sí mismo mensajes privados ni respuestas automáticas. Estos datos permanecen en el workspace del Cliente y están sujetos a los controles de acceso y eliminación de esta Política.
2.3 Datos Técnicos
- Dirección IP, agente de usuario y registros de acceso
- Cookies de sesión (esenciales para el funcionamiento)
- Eventos de uso de la Plataforma (analítica agregada)
3. Base Jurídica y Finalidades
Tratamos datos personales conforme a las siguientes bases (artículo 7 de la LGPD y artículo 6 del RGPD):
- Ejecución de un contrato: prestar el servicio contratado por el Cliente
- Interés legítimo: seguridad, prevención del fraude y mejora del producto
- Consentimiento: envío de comunicaciones de marketing (opcional)
- Obligación legal: conservación fiscal y atención a autoridades
4. Comunicación de Datos
No vendemos datos personales. Los compartimos exclusivamente con:
- Proveedores de infraestructura: Supabase (base de datos y almacenamiento multimedia), Railway (API y servicios), Vercel (interfaz del CRM) y Cloudflare (sitio, entrega de contenido y reenvío de correo), según los servicios utilizados por el Cliente
- Supervisión técnica: Sentry recibe diagnósticos de fallos de la API. Antes del envío, Kavio filtra el evento para eliminar contenido de mensajes, credenciales, datos de contactos y detalles de solicitudes.
- Funciones de voz: según la configuración del Cliente, los textos para síntesis de voz pueden enviarse a xAI o ElevenLabs, y los audios para transcripción a OpenAI, únicamente para ejecutar la función solicitada.
- Plataformas de mensajería: Meta Platforms, Inc. (Instagram/Facebook), TikTok Pte. Ltd., únicamente lo necesario para enviar/recibir mensajes mediante las API oficiales
- Proveedores de IA: Anthropic, OpenAI; cuando el Cliente activa la atención automatizada con IA, estas API pueden procesar mensajes (sin entrenamiento de modelos)
- Autoridades públicas: mediante orden judicial o requerimiento legal
5. Transferencias Internacionales
Algunos proveedores están fuera de Brasil (Estados Unidos, Unión Europea). Garantizamos transferencias conformes al artículo 33 de la LGPD y al capítulo V del RGPD, con cláusulas contractuales tipo (SCC) y adecuación técnica.
6. Conservación de Datos
- Datos de Cliente activo: durante el contrato más 5 años a efectos fiscales
- Mensajes de Usuarios Finales: según la política de conservación definida por el Cliente (por defecto: 24 meses)
- Registros técnicos: 6 meses
- Copias de seguridad: 30 días después de la eliminación lógica
7. Sus Derechos (LGPD/RGPD)
Como titular de los datos, puede:
- Confirmar la existencia de tratamiento
- Acceder a sus datos
- Corregir datos incompletos o desactualizados
- Anonimizar, bloquear o eliminar datos innecesarios
- Solicitar la portabilidad
- Retirar el consentimiento
- Presentar una reclamación ante la ANPD o autoridad equivalente
Para ejercer estos derechos, envíe un correo a [email protected] o utilice el formulario en kaviocrm.com/es/exclusao-de-dados/.
8. Eliminación de Datos
Para solicitar la eliminación completa de sus datos (incluidos los obtenidos mediante Meta o TikTok), visite kaviocrm.com/es/exclusao-de-dados/. Atendemos las solicitudes en un plazo de 15 días.
9. Datos de Google (Google Calendar y Gmail)
Cuando el Cliente conecta su cuenta de Google a Kavio CRM mediante el botón de Google, utilizamos la autorización de Google (OAuth 2.0), sin solicitar la contraseña de la cuenta. En la configuración alternativa por IMAP o SMTP, puede ser necesaria una contraseña de aplicación según las reglas del proveedor; esa credencial se cifra.
9.1 A Qué Accedemos y Para Qué
- Google Calendar: leer horarios ocupados y libres, listar los calendarios de la cuenta y crear, modificar o cancelar eventos. Su única finalidad es programar y gestionar reuniones entre el Cliente y sus contactos dentro del CRM.
- Gmail: identificar la dirección autorizada y enviar mensajes en nombre del Cliente. El botón de Google para correo solo solicita autorización de envío, sin acceso de lectura del buzón mediante la API de Gmail. La recepción en el Inbox se configura por separado mediante reenvío o IMAP.
9.2 Uso Limitado (Limited Use)
El uso que Kavio CRM hace de la información recibida de las API de Google cumple la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado. En términos directos:
- Usamos los datos únicamente para prestar las funciones descritas en 9.1, dentro de la cuenta del Cliente;
- No vendemos esos datos ni los usamos para publicidad, elaboración de perfiles o finalidades ajenas al CRM;
- No transferimos esos datos a terceros, salvo cuando sea necesario para prestar el servicio al propio Cliente, por exigencia legal o con su consentimiento expreso;
- No permitimos la lectura humana de esos datos, salvo con autorización expresa del Cliente, para resolver un problema que haya comunicado, por exigencia legal o sobre datos agregados y anonimizados utilizados en operaciones internas.
9.3 Modelos de Inteligencia Artificial
Los datos obtenidos de Google no se utilizan para desarrollar, entrenar o mejorar modelos de inteligencia artificial propios ni de terceros. Cuando una función de IA del CRM procesa un texto a petición del Cliente, el contenido se envía al proveedor del modelo únicamente para generar esa respuesta, y el proveedor tiene prohibido contractualmente utilizarlo para entrenamiento.
9.4 Almacenamiento y Eliminación
Los tokens de autorización se cifran en reposo (AES-256). En la integración de correo, desconectar el envío elimina las credenciales de salida almacenadas por Kavio e impide nuevos envíos por el canal. La recepción y el historial de conversaciones se conservan. Para revocar también la autorización concedida a Google, el Cliente puede utilizar myaccount.google.com/permissions. La eliminación de datos del CRM se solicita mediante el procedimiento de la sección 8.
10. Seguridad
- Cifrado en tránsito (TLS 1.3) y en reposo (AES-256)
- Tokens de acceso almacenados cifrados
- Autenticación multifactor disponible
- Registros de auditoría de acceso
- Pruebas de seguridad periódicas
11. Cookies
Utilizamos cookies esenciales (sesión, autenticación) y analíticas (uso agregado). Las cookies de marketing requieren consentimiento activo mediante un banner.
12. Niños y Adolescentes
Kavio CRM no está dirigido a menores de 18 años. No recogemos intencionadamente datos de menores.
13. Cambios
Podemos actualizar esta Política. Los cambios relevantes se comunicarán por correo a los Clientes con 30 días de antelación.
14. Contacto
Feffer Negócios Digitais LTDA
CNPJ: 48.520.343/0001-03
Delegado de Protección de Datos (DPO): [email protected]