Aviso de privacidad de Chalito

BORRADOR, pendiente de revisión legal. Este texto es una plantilla de trabajo que sigue docs/LEGAL_CHECKLIST.md. No es asesoría legal y no es el aviso definitivo. Los datos entre corchetes los decide un abogado o el responsable.

Última actualización: [fecha].

1. Quién es responsable de tus datos

[Nombre o razón social del responsable: Chalyb o la entidad del titular], con domicilio en [domicilio], es responsable del tratamiento de tus datos personales conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP).

Chalito es un servicio que funciona dentro de Chalyb: tu cuenta, el inicio de sesión, los pagos, las pruebas gratuitas y las facturas los maneja Chalyb. [Indicar si este aviso es propio de Chalito o una sección del aviso de Chalyb.]

2. Qué datos tratamos

• Cuenta: el identificador de tu cuenta de Chalyb, tu idioma, tu zona horaria y tus preferencias.
• Dispositivos: el nombre de cada dispositivo, sus llaves públicas y huellas, si está en línea y cuándo se conectó por última vez. Las llaves privadas se quedan en tus dispositivos.
• Teléfono: tu número (si lo agregas para llamadas, SMS o WhatsApp), su país y cuándo lo verificaste.
• Actividad de tus agentes: metadatos de sesiones, aprobaciones y notificaciones (estado, nivel de riesgo, horas). El contenido de las solicitudes y de las sesiones va cifrado de extremo a extremo entre tus dispositivos.
• Registro de seguridad: acciones importantes de tu cuenta, como emparejar o retirar dispositivos y aprobar conexiones.
• Voz: en las llamadas, el audio va directamente entre tu dispositivo y el proveedor de voz; no pasa por los servidores de Chalito.
• Resumen de llamada: si activas "resumen en llamadas", las líneas que se leen en voz alta salen de tu computadora sin cifrar para poder leerse.
• Tarjetas compartidas con apps conectadas: si lo activas, la tarjeta de una sesión se guarda sin cifrar para que la app conectada pueda leerla.
• Uso: tokens usados por día, para tu página de uso y para cobrar.

[El abogado confirma la lista completa de categorías y si alguna es dato sensible.]

3. Para qué los usamos

Finalidades principales (necesarias para el servicio):

• darte acceso y mantener tu cuenta segura;
• conectar tus dispositivos y llevar tus aprobaciones a tus computadoras;
• avisarte por la app, SMS, WhatsApp o llamada cuando algo necesita tu atención, si lo activaste;
• medir y cobrar el uso.

Finalidades secundarias: [ninguna / listar]. [Mecanismo para negarte a las secundarias.]

4. Con quién se comparten (encargados y transferencias)

Usamos estos proveedores para operar el servicio. Algunos están en Estados Unidos:

• Supabase: base de datos e inicio de sesión.
• Google Cloud: servidores, colas y almacenamiento. Google AI (Gemini) y Vertex se usan para algunas respuestas de los compañeros.
• Vercel: sitio web.
• Twilio: llamadas, SMS y verificación del teléfono.
• Meta: mensajes de WhatsApp.
• OpenAI, Anthropic, xAI y Google AI: modelos de inteligencia artificial. Solo reciben lo que tú o tus agentes envían. Si usas tus propias claves, esas llamadas salen de tu dispositivo.

[El abogado define el fundamento de cada transferencia, si requiere consentimiento y los contratos con cada encargado.]

5. Cuánto tiempo los guardamos

• Mensajes efímeros de salas: 24 horas por defecto (el creador de la sala puede elegir otro plazo).
• Referencias de llamadas de voz: 1 hora.
• Registros de uso ya enviados para cobro: 30 días.
• Eventos de sesión: [plazo].
• Registro de seguridad: [plazo por definir].
• Tu cuenta: mientras exista; al eliminarla se borran sus datos en cascada.

6. Tus derechos ARCO

Puedes pedir acceso, rectificación, cancelación u oposición sobre tus datos, y revocar tu consentimiento, escribiendo a [correo o canal ARCO]. Te responderemos en un máximo de 20 días hábiles, después de confirmar tu identidad [método].

[Eliminación de cuenta: el camino para pedirla aún no está construido en la app.]

7. Cambios a este aviso

Si cambia este aviso, lo publicaremos en esta página con su nueva fecha y te avisaremos en la app.

8. Usuarios fuera de México

[Decidir: aviso conforme al RGPD para usuarios de la Unión Europea, o no ofrecer el servicio ahí.]