Política de privacidad de StrixInbox

• Razón social: OPRA Sociedad Anónima
• Cédula jurídica: 3-101-248847
• Marca comercial: Hivestrix
• Plataforma: StrixApps
• Domicilio social: San Isidro de Heredia, Bodegas El Trapiche #1, Heredia, Costa Rica
• Correo de contacto y privacidad: [email protected]
• Teléfono: +506 6059 0207

OPRA Sociedad Anónima es una sociedad constituida conforme a las leyes de la República de Costa Rica. Esta Política de Privacidad (“Política”) describe cómo recopilamos, usamos, almacenamos, protegemos, compartimos y eliminamos los datos personales tratados a través de StrixApps y de nuestro sitio web, conforme a la Ley N.º 8968 de Protección de la Persona frente al tratamiento de sus datos personales y su Reglamento (Decreto Ejecutivo N.º 37554-JP).

Esta Política aplica a:

• El sitio web público de StrixApps, incluidos sus formularios de contacto y solicitud de demostración.
• El panel de operación de StrixApps (interfaz web) que usan los agentes y administradores de nuestros clientes empresariales.
• La integración con la Plataforma de WhatsApp Business (WhatsApp Cloud API de Meta) mediante la cual el módulo StrixInbox recibe y envía mensajes en nombre del cliente empresarial.
• Los canales adicionales que el cliente habilite (correo electrónico, chat web, SMS, redes sociales y otros conectores).
• Las funciones de atención automática asistida por inteligencia artificial.

No aplica a los sitios, aplicaciones o servicios de terceros (incluidos Meta, Google y Amazon Web Services) que se rijan por sus propias políticas.

• Datos personales: cualquier información relativa a una persona física identificada o identificable.
• Cliente empresarial: la empresa u organización que contrata StrixApps y conecta sus canales de comunicación.
• Cliente final / persona usuaria: la persona que se comunica con el cliente empresarial a través de WhatsApp u otro canal conectado.
• Operador / agente: persona autorizada por el cliente empresarial para usar el panel de StrixApps.
• Visitante: persona que navega el sitio web público o envía una solicitud de demostración.
• Tenant (inquilino): el espacio lógico y aislado de datos correspondiente a un cliente empresarial.
• Responsable / Encargado: roles definidos en el apartado 13.

StrixApps es una plataforma B2B (empresa a empresa) de gestión empresarial y de atención al cliente. En consecuencia:

• Respecto de los datos de los clientes finales (mensajes, teléfonos, contenido de las conversaciones), el cliente empresarial actúa como Responsable del tratamiento y Opra actúa como Encargado del tratamiento, tratando dichos datos únicamente por cuenta y bajo instrucciones del cliente empresarial.
• Respecto de los datos de los operadores, de los visitantes del sitio web y de la relación contractual con el cliente empresarial, Opra actúa como Responsable.

Los apartados 5 a 12 describen las categorías, finalidades y garantías con independencia del rol; el apartado 13 detalla el reparto de responsabilidades.

5.1 Datos de los clientes finales (canal WhatsApp y otros)

Recibidos a través de la Plataforma de WhatsApp Business de Meta o de otros canales conectados:

• Identificadores de contacto: número de teléfono en formato internacional (wa_id), nombre de perfil público de WhatsApp, dirección de correo electrónico o identificador de red social, según el canal.
• Contenido de los mensajes: texto de los mensajes entrantes y salientes.
• Archivos multimedia: imágenes, audios y notas de voz, vídeos, documentos y stickers enviados en la conversación, junto con sus metadatos técnicos (tipo MIME, nombre de archivo, tamaño).
• Metadatos de conversación: marcas de tiempo, identificadores de mensaje, estado de lectura, etiquetas y notas internas añadidas por los operadores.
• Datos extraídos por IA: información estructurada que el sistema de atención automática infiere del contenido del mensaje (por ejemplo, intención, prioridad, sentimiento o datos de un pedido o solicitud) para asistir en la atención.

5.1.1 Números conectados desde la app WhatsApp Business (coexistencia)

El cliente empresarial puede conectar a StrixInbox un número que ya utiliza en la app WhatsApp Business de su teléfono, sin dejar de usarla (función que Meta denomina coexistencia). En ese caso, además de lo indicado en el apartado 5.1, y siempre a solicitud y con la autorización del cliente empresarial otorgada en el flujo de Meta:

• Historial de conversaciones: Meta puede entregar a StrixApps el historial de mensajes de la app WhatsApp Business, hasta el periodo que Meta permita (actualmente hasta seis meses), solo si el cliente empresarial acepta compartirlo durante la conexión.
• Contactos: los nombres y números de la libreta de contactos de la app WhatsApp Business, y sus cambios posteriores, para identificar las conversaciones.
• Mensajes enviados desde la app: los mensajes que el cliente empresarial escribe desde el teléfono se reflejan en StrixInbox para mantener completa cada conversación. Estos mensajes no activan la atención automática por IA.

Esta información se trata con las mismas finalidades, medidas de seguridad, plazos de conservación y mecanismos de eliminación que el resto de los datos del canal WhatsApp.

5.2 Datos de operadores y administradores

• Nombre e identificador del operador, dirección de correo electrónico asociada a la cuenta de operación, iniciales/avatar derivados y rol dentro del panel.
• Registros de actividad necesarios para la seguridad y la trazabilidad.

5.3 Datos de configuración y credenciales de conexión

• Identificadores de la cuenta de WhatsApp Business (phone number id, WABA id), nombre visible del número.
• Credenciales de acceso a la Plataforma de WhatsApp (tokens de acceso, secreto de aplicación, verify token) y, cuando aplica, el identificador de la persona de Meta que autorizó la conexión (para atender solicitudes de borrado). Estas credenciales se almacenan cifradas (ver apartado 10).

5.4 Datos técnicos y de uso

• Dirección IP, identificadores de solicitud, tipo de navegador y datos de registro (logs) generados al usar el panel, con fines de seguridad, prevención de abuso y diagnóstico. Los registros de la aplicación se diseñan para no incluir el contenido de los mensajes ni secretos.

5.5 Datos de visitantes del sitio web y solicitantes de demostración

Cuando una persona completa el formulario de contacto o solicita una demostración en nuestro sitio web, tratamos los datos que nos facilita voluntariamente:

• Nombre de la persona de contacto.
• Empresa u organización (campo opcional).
• Correo electrónico de trabajo.
• Mensaje o descripción de la necesidad que nos plantea.

Estos datos se utilizan exclusivamente para responder a la solicitud, preparar la demostración y mantener la comunicación comercial derivada de ella. No se utilizan para publicidad de terceros ni se ceden con fines comerciales ajenos. Respecto de estos datos, Opra actúa como Responsable del tratamiento.

No solicitamos ni tratamos deliberadamente categorías especiales de datos (salud, religión, orientación, etc.). Si un cliente final las incluye libremente en un mensaje, se tratarán como parte del contenido de la conversación bajo responsabilidad del cliente empresarial.

• Directamente de la persona usuaria: cuando escribe al número de WhatsApp del cliente empresarial u otro canal, o cuando completa un formulario en nuestro sitio web.
• De la Plataforma de WhatsApp Business (Meta): que entrega los mensajes a StrixApps mediante webhooks firmados, incluido, en números conectados por coexistencia, el historial, los contactos y los mensajes enviados desde la app WhatsApp Business (apartado 5.1.1).
• Del cliente empresarial: al configurar cuentas, catálogos e integraciones.
• De integraciones de terceros habilitadas por el cliente (por ejemplo, un ERP), cuando corresponda.

• Recibir, mostrar, organizar y responder conversaciones de atención al cliente: Ejecución del contrato con el cliente empresarial / interés legítimo del cliente empresarial en atender a sus usuarios
• Automatizar respuestas y extraer datos con IA para asistir la atención: Ejecución del contrato / interés legítimo, bajo instrucción del cliente empresarial
• Almacenar el historial de conversación y archivos multimedia: Ejecución del contrato
• Atender solicitudes de demostración y consultas comerciales del sitio web: Consentimiento de la persona al enviar el formulario / medidas precontractuales a su solicitud
• Autenticar operadores y proteger el sistema: Interés legítimo en la seguridad / cumplimiento legal
• Cumplir obligaciones legales y requerimientos de autoridades: Obligación legal
• Atender solicitudes de derechos y de borrado de datos: Obligación legal

Cuando la base sea el consentimiento, corresponde al cliente empresarial obtenerlo de sus clientes finales conforme a las políticas de WhatsApp/Meta (opt-in) y a la legislación aplicable (ver apartado 13.2). Respecto de los formularios del sitio web, el consentimiento lo presta directamente la persona al enviarlos y puede revocarlo en cualquier momento escribiendo a [email protected].

StrixApps incorpora, en su módulo StrixInbox, una función opcional de atención automática asistida por IA que utiliza el modelo de lenguaje Google Gemini (Google LLC) a través de su API.

• El procesamiento por IA ocurre únicamente cuando la función está activada. Solo en ese caso el contenido de las conversaciones (mensajes y, cuando corresponda, sus archivos) puede ser procesado por un proveedor de inteligencia artificial de terceros, actualmente Google Gemini, con el fin de asistir en la atención. Si la función está desactivada o no hay credenciales de IA configuradas, no se envía ningún dato de las conversaciones a la IA y la atención es totalmente manual.
• La activación es una decisión del cliente empresarial, configurable por canal o número; puede activarla o desactivarla en cualquier momento.
• La IA se emplea principalmente para extraer y clasificar información del mensaje a un formato estructurado; la lógica de negocio y las respuestas las decide el sistema, no un modelo generativo sin control.
• El contenido del mensaje se transmite al proveedor de IA solo en la medida necesaria para producir la asistencia solicitada.
• La IA no adopta decisiones automatizadas con efectos jurídicos significativos sobre las personas sin posibilidad de supervisión humana. Los operadores pueden intervenir, corregir y asumir manualmente cualquier conversación (handoff).
• Si no hay credenciales de IA, el sistema degrada de forma segura a atención manual.

El tratamiento por parte del proveedor de IA se rige adicionalmente por los términos y la política de privacidad de Google.

9.1 Destinatarios y encargados

Para prestar el servicio compartimos datos con:

• Meta Platforms, Inc. / Meta Platforms Ireland Ltd., como operadora de la Plataforma de WhatsApp Business, para el envío y recepción de mensajes. Meta trata estos datos conforme a sus propias condiciones y políticas.
• Google LLC, proveedor de la API de Gemini para la función de IA, cuando el cliente empresarial la activa.
• Amazon Web Services, Inc. (AWS), proveedor de infraestructura en la nube, en las modalidades de alojamiento gestionado descritas en el apartado 9.2.
• Autoridades competentes, cuando exista una obligación legal o requerimiento válido.

No vendemos datos personales ni los cedemos a terceros con fines publicitarios propios.

9.2 Modalidades de alojamiento

El lugar donde residen los datos depende de la modalidad contratada por cada cliente empresarial:

• Infraestructura propia del cliente (modalidad por defecto). Los datos permanecen en los servidores del cliente empresarial. Opra no los aloja y solo accede a ellos en la medida necesaria para el soporte técnico expresamente contratado.
• Servidores propios de Opra, cuando el cliente empresarial lo solicita o lo acepta expresamente.
• Alojamiento gestionado en la nube sobre Amazon Web Services (AWS) u otro proveedor de infraestructura. El proveedor y la región de alojamiento pueden negociarse con el cliente empresarial y se harán constar en el contrato u orden de servicio.

La modalidad aplicable a cada cliente empresarial consta en su contrato u orden de servicio.

9.3 Transferencias internacionales

Algunos de estos proveedores pueden tratar datos fuera de Costa Rica (por ejemplo, en los Estados Unidos o la Unión Europea). En tales casos adoptamos garantías adecuadas, cláusulas contractuales, compromisos contractuales de los proveedores y medidas técnicas de seguridad, para proteger la información conforme a la Ley N.º 8968, su Reglamento y los estándares internacionales aplicables.

Aplicamos medidas técnicas y organizativas apropiadas, entre ellas:

• Cifrado en tránsito: todas las llamadas a la Plataforma de WhatsApp y las descargas de archivos se realizan sobre HTTPS/TLS; el panel y el sitio web se sirven sobre HTTPS.
• Cifrado en reposo de credenciales: los tokens de acceso, el secreto de aplicación y el verify token se almacenan cifrados con AES-256-GCM mediante una clave gestionada por el operador; nunca se guardan en claro ni se exponen en la interfaz ni en los registros.
• Aislamiento por inquilino (multitenancy): cada cliente empresarial reside en un espacio de datos aislado. En el modo de base de datos, se aplica aislamiento a nivel de fila (RLS) forzado por tenant, de modo que una consulta no puede cruzar datos entre clientes.
• Verificación de autenticidad de los webhooks: cada evento entrante de Meta se valida mediante firma HMAC-SHA256 antes de procesarse.
• Control de acceso al panel mediante autenticación, con comparación de credenciales en tiempo constante y protección frente a abuso (límites de tasa).
• Minimización en los registros: los logs se diseñan para no contener contenido de mensajes ni secretos.
• Permisos restrictivos en los archivos que contienen datos sensibles.

Ninguna medida es infalible; en caso de una brecha de seguridad que afecte datos personales, actuaremos conforme a la ley aplicable y, cuando corresponda, notificaremos a las personas afectadas y a la autoridad de control competente.

• Conversaciones, mensajes y multimedia: se conservan mientras exista la relación con el cliente empresarial y según sus instrucciones y políticas de retención, salvo obligación legal de conservación superior.
• Credenciales de conexión: se conservan mientras la cuenta de WhatsApp permanezca conectada; se eliminan al desconectarla (ver apartado 12).
• Datos técnicos y de registro: se conservan durante el plazo necesario para seguridad y diagnóstico y luego se eliminan o anonimizan.
• Datos de formularios del sitio web: se conservan durante la gestión de la solicitud y, si no deriva en relación contractual, por un máximo de doce (12) meses, salvo que la persona solicite antes su supresión.

Al finalizar la relación contractual, los datos tratados por cuenta del cliente empresarial se eliminan o devuelven conforme a lo acordado y a la Política de eliminación de datos de StrixInbox.

StrixApps implementa mecanismos de eliminación alineados con los requisitos de Meta:

• Callback de desautorización (deauthorize): cuando una persona retira la aplicación desde Meta, StrixApps revoca las credenciales de las cuentas conectadas y elimina los datos asociados.
• Callback de solicitud de eliminación de datos (data deletion request): ante una solicitud verificada de Meta, StrixApps elimina las conversaciones, mensajes, contactos, leads y archivos multimedia asociados, y devuelve un código de confirmación y una URL de estado.
• Estas solicitudes se verifican criptográficamente (firma del signed_request) antes de ejecutarse.
• Desconectar un número por coexistencia detiene la sincronización con la app WhatsApp Business; la app del teléfono y sus conversaciones no se ven afectadas por la eliminación en StrixApps.

El procedimiento completo, incluidos los plazos y las vías de solicitud, se detalla en la Política de eliminación de datos de StrixInbox. Adicionalmente, cualquier persona puede ejercer su derecho de supresión conforme al apartado 14.

13.1 Opra como Encargado

Respecto de los datos de los clientes finales, Opra:

• Trata los datos solo conforme a las instrucciones documentadas del cliente empresarial.
• Aplica las medidas de seguridad del apartado 10.
• Asiste al cliente empresarial en la atención de los derechos de las personas.
• No comunica los datos a terceros salvo los encargados necesarios (apartado 9) u obligación legal.
• Elimina o devuelve los datos al término de la relación, conforme a lo acordado.

13.2 Obligaciones del cliente empresarial (Responsable)

El cliente empresarial se obliga a:

• Obtener el consentimiento y el opt-in de sus clientes finales conforme a las Políticas de Mensajería de WhatsApp Business y a la legislación aplicable.
• Informar a sus clientes finales sobre el tratamiento y facilitarles esta Política cuando corresponda.
• Usar StrixApps para finalidades lícitas y no enviar comunicaciones prohibidas (spam, contenido ilícito).
• Atender, como Responsable, las solicitudes de derechos de sus clientes finales, con nuestra asistencia.

13.3 Opra como Responsable

Respecto de los datos de operadores, de visitantes del sitio web y de la relación contractual, Opra actúa como Responsable y asume directamente las obligaciones de información, seguridad y atención de derechos descritas en esta Política.

Conforme a la Ley N.º 8968 y normativa aplicable, las personas tienen derecho a:

• Acceso a sus datos personales.
• Rectificación de datos inexactos.
• Supresión / eliminación (“derecho al olvido”).
• Oposición y limitación del tratamiento.
• Portabilidad, cuando resulte aplicable.
• Revocación del consentimiento, cuando el tratamiento se base en él.

Cómo ejercerlos: escribiendo a [email protected] o llamando al +506 6059 0207. Podremos solicitar información adicional para verificar la identidad de la persona solicitante. Responderemos dentro de los plazos legales aplicables, que conforme a la Ley N.º 8968 son de cinco (5) días hábiles, salvo prórroga legalmente admisible.

Si los datos pertenecen a la relación de una persona con un cliente empresarial (cliente final), canalizaremos la solicitud hacia dicho cliente empresarial en su condición de Responsable, prestándole asistencia y notificando a la persona solicitante de dicha remisión.

StrixApps es una herramienta profesional dirigida a empresas y no está destinada a menores de edad como usuarios del panel. No recopilamos deliberadamente datos de menores. Si un cliente final menor de edad se comunica con un cliente empresarial, el tratamiento de esos datos es responsabilidad del cliente empresarial conforme a la ley.

El panel de StrixApps utiliza una cookie de sesión estrictamente necesaria para mantener la autenticación del operador y permitir la actualización en tiempo real de la bandeja de entrada.

El sitio web público no utiliza cookies de publicidad, de seguimiento de terceros ni de perfilado. Tampoco empleamos identificadores publicitarios ni compartimos datos de navegación con redes de anuncios.

Si en el futuro incorporamos analítica o cualquier tecnología no estrictamente necesaria, solicitaremos el consentimiento previo de la persona usuaria y actualizaremos esta Política.

Podemos actualizar esta Política para reflejar cambios legales, técnicos o del servicio. Publicaremos la versión vigente con su fecha de “Última actualización”. Los cambios sustanciales se comunicarán por los medios razonables disponibles y, cuando afecten a clientes empresariales, con al menos treinta (30) días naturales de antelación.

OPRA Sociedad Anónima, marca Hivestrix · StrixApps Cédula jurídica: 3-101-248847 Domicilio: San Isidro de Heredia, Bodegas El Trapiche #1, Heredia, Costa Rica Correo de privacidad: [email protected] Teléfono: +506 6059 0207

Si considera que sus derechos no han sido atendidos, puede acudir a la Agencia de Protección de Datos de los Habitantes (PRODHAB) de Costa Rica, o a la autoridad de control competente en su jurisdicción.