Aviso de privacidad de Chatty

Identidad y domicilio del responsable

ARC HACK CIBERSEGURIDAD S.A. DE C.V. («Arc Hack» o «nosotros») opera Chatty y es la persona moral que emite este aviso.

Responsable y encargado: quién decide sobre tus datos

Chatty trata datos de dos grupos de personas, y nuestro papel es distinto en cada uno:

• Negocios que contratan Chatty y sus usuarios del panel. Para estos datos, Arc Hack es el responsable del tratamiento.
• Clientes finales de cada negocio (las personas que escriben al negocio por el widget, WhatsApp, Instagram o Messenger). Para estos datos el negocio es el responsable: él decide para qué los usa y es quien debe informarte con su propio aviso de privacidad. Arc Hack actúa como encargado: los trata sólo por cuenta del negocio, conforme a sus instrucciones y para prestarle el servicio, en términos del artículo 3, fracción IX de la LFPDPPP y de los artículos 49 a 54 de su Reglamento.

Si eres cliente final de un negocio que usa Chatty, te recomendamos dirigir primero tus solicitudes a ese negocio. Si nos escribes a nosotros, la canalizaremos al negocio y le apoyaremos para atenderla.

Datos personales que tratamos

De los negocios y sus usuarios

• Nombre, correo electrónico y teléfono de las personas que usan el panel.
• Datos del negocio: nombre comercial, giro, horarios, servicios, precios y la información que el negocio carga para que el asistente responda.
• Credenciales de acceso (la contraseña se guarda cifrada con hash, nunca en claro).
• Identificadores y tokens de las cuentas de WhatsApp Business, Instagram o Facebook que el negocio conecta, guardados cifrados.
• Registros técnicos de uso y seguridad (fecha, hora, dirección IP, eventos de acceso).

De los clientes finales de cada negocio

• Nombre o nombre de perfil, y número de teléfono o identificador de la plataforma.
• El contenido de los mensajes que intercambias con el negocio.
• Datos de reservas o citas que solicites: servicio, fecha, hora y los datos de contacto que proporciones.
• Un identificador anónimo de visitante cuando usas el widget web (ver la cláusula de almacenamiento local).

Chatty no solicita datos personales sensibles. Pedimos a los negocios configurar su asistente para no requerirlos y a los clientes finales no enviarlos por chat.

Finalidades del tratamiento

Finalidades necesarias

1. Crear y administrar la cuenta del negocio y dar acceso a su panel.
2. Recibir los mensajes de los clientes finales y entregar al negocio las conversaciones de sus canales conectados.
3. Generar, con apoyo de inteligencia artificial, respuestas sobre el negocio (horarios, servicios, precios, disponibilidad) y permitir que una persona del negocio intervenga.
4. Registrar, confirmar, modificar o cancelar reservas y citas.
5. Enviar notificaciones operativas por correo o por el canal conectado.
6. Facturar y cobrar el servicio al negocio.
7. Mantener la seguridad del servicio, prevenir abusos y cumplir obligaciones legales.

Finalidades secundarias

Sólo respecto de los negocios: enviar novedades del producto. Puedes negarte en cualquier momento escribiendo a info@archack.com.mx con el asunto «Negativa de finalidades secundarias»; tu negativa no afecta el servicio. No usamos los datos de los clientes finales para fines propios, publicidad ni para entrenar modelos de inteligencia artificial, y no vendemos datos personales.

Subencargados y proveedores

Para operar Chatty nos apoyamos en los siguientes proveedores, que tratan datos por nuestra cuenta (remisiones) y bajo obligaciones de confidencialidad y seguridad:

• Hetzner Online GmbH — Hospedaje (servidores virtuales) donde se ejecutan la aplicación, la base de datos y los trabajos en segundo plano de Chatty. Ubicación: Alemania (empresa europea); servidores fuera de México.
• Supabase (autoalojado) — Software de base de datos, autenticación y almacenamiento que Arc Hack ejecuta en sus propios servidores de Hetzner. No se envían datos a Supabase Inc. Ubicación: Mismos servidores de Hetzner.
• OpenAI, L.L.C. — Procesamiento de los mensajes con modelos de inteligencia artificial para redactar las respuestas del asistente del negocio. Se usa la API comercial de OpenAI, cuyos términos establecen que los datos enviados por API no se usan para entrenar sus modelos. Ubicación: Estados Unidos de América.
• Resend — Envío de correos transaccionales (confirmaciones, avisos de cuenta, notificaciones de reservas). Ubicación: Estados Unidos de América.
• Meta Platforms, Inc. y Meta Platforms Ireland Ltd. — Transporte de los mensajes de WhatsApp, Instagram y Messenger entre el cliente final y el negocio, cuando el negocio conecta esos canales. Meta trata esos datos también conforme a sus propias políticas. Ubicación: Estados Unidos de América e Irlanda.

Transferencias internacionales

Varios de los proveedores anteriores operan fuera de México, por lo que el uso de Chatty implica flujos transfronterizos de datos hacia Alemania, Irlanda y los Estados Unidos de América. Se trata de remisiones a encargados que no requieren consentimiento adicional; exigimos a cada proveedor un nivel de protección equivalente al previsto por la LFPDPPP.

Fuera de esos casos, sólo transferimos datos a autoridades competentes cuando la ley lo exige, en los supuestos del artículo 37 de la LFPDPPP.

Plazo de conservación

• Datos de la cuenta del negocio: mientras la cuenta esté activa. Al terminar el servicio se eliminan en un plazo máximo de 30 días naturales, salvo la información de facturación, que se conserva el plazo que exige la legislación fiscal (por regla general, cinco años).
• Conversaciones y reservas de clientes finales: mientras el negocio mantenga su cuenta, o hasta que el negocio o el titular soliciten su eliminación. Al cerrarse la cuenta del negocio se eliminan junto con ella.
• Registros técnicos y de seguridad: hasta 12 meses.
• Respaldos: los datos eliminados pueden persistir en respaldos cifrados hasta que éstos roten, en un máximo de 30 días adicionales.

Medidas de seguridad

• Cifrado del tráfico mediante HTTPS/TLS en el panel, el widget y las integraciones.
• Aislamiento por negocio en la base de datos: cada negocio sólo accede a sus propios datos.
• Contraseñas con hash y tokens de terceros cifrados en reposo.
• Acceso administrativo restringido al personal que lo necesita.

Si detectamos una vulneración que afecte de forma significativa tus derechos, lo informaremos sin demora a los negocios afectados y, en su caso, a los titulares, conforme al artículo 20 de la LFPDPPP.

Derechos ARCO y cómo ejercerlos

Tienes derecho a Acceder a tus datos, Rectificarlos, Cancelarlos y Oponerte a su tratamiento, así como a revocar tu consentimiento y limitar su uso o divulgación.

Envía tu solicitud a info@archack.com.mx con el asunto «Solicitud de derechos ARCO», indicando: tu nombre y un medio para responderte; una identificación oficial (o el documento que acredite la representación); el derecho que quieres ejercer y los datos a los que se refiere; y, si escribiste a un negocio por Chatty, el nombre del negocio y el teléfono o cuenta desde la que escribiste.

Responderemos en un máximo de 20 días hábiles y, si procede, la haremos efectiva dentro de los 15 días hábiles siguientes. El trámite es gratuito. Si consideras que tu derecho no fue atendido, puedes acudir a la autoridad garante en materia de protección de datos personales en México.

Eliminación de datos

Las instrucciones paso a paso para pedir que borremos tus datos están en archack.com.mx/chatty/eliminar-datos.

Cookies y almacenamiento local del widget

El widget de Chatty que los negocios insertan en su sitio web no usa cookies de rastreo, analítica ni píxeles publicitarios. Para mantener tu conversación entre visitas guarda un único identificador anónimo de visitante en el localStorage del navegador, bajo una clave con la forma chatty:<clave-del-sitio>:visitante. Ese identificador no contiene tu nombre ni tu teléfono.

Puedes borrarlo en cualquier momento eliminando los datos del sitio desde tu navegador; la siguiente vez el widget iniciará una conversación nueva. Si tu navegador bloquea el almacenamiento, el widget funciona igual sin recordar la conversación. El panel de Chatty usa además las cookies estrictamente necesarias para mantener la sesión iniciada.

Datos de menores de edad

Chatty es un servicio para negocios. No recabamos intencionalmente datos de menores de edad; si detectamos que los recibimos sin autorización de quien ejerce la patria potestad, los eliminaremos.

Cambios a este aviso

Podemos actualizar este aviso por cambios en Chatty, en nuestros proveedores o en la ley. La versión vigente estará siempre en archack.com.mx/chatty/privacidad con su fecha de actualización, y avisaremos de los cambios sustanciales a los negocios por correo.

English version (summary)

Chatty Privacy Policy — summary. Chatty is a customer-service platform for small and medium-sized businesses, operated by ARC HACK CIBERSEGURIDAD S.A. DE C.V. (RFC AHC250314F22), a Mexican legal entity, with registered address at Calle Contoy, Condominios Palma del Sol 302, Supermanzana 17, Cancún, Quintana Roo, C.P. 77500, México. Contact: info@archack.com.mx.

• Roles. We are the data controller for business accounts. For the data of each business's end customers, the business is the controller and we act as its processor, only on its instructions.
• Data. Business account data; end-customer name or profile name, phone number or platform ID, message content, and booking/appointment details received through the web widget, WhatsApp, Instagram or Messenger.
• Use. Solely to provide the service to the business: deliver conversations, generate answers about the business with AI, and manage bookings. We do not sell data, use it for advertising, or use it to train AI models.
• Sub-processors. Hetzner (hosting), self-hosted Supabase on our Hetzner servers (database), OpenAI (AI processing), Resend (email) and Meta (WhatsApp, Instagram and Messenger messaging). This involves transfers to Germany, Ireland and the United States.
• Retention. While the business account is active; deleted within 30 days of termination or of a valid deletion request, plus up to 30 days in encrypted backups.
• Your rights. Access, rectification, deletion and objection (ARCO rights under Mexican law) by email to info@archack.com.mx. We respond within 20 business days. Data deletion instructions: archack.com.mx/chatty/eliminar-datos.
• Browser storage. The widget stores one anonymous visitor ID in localStorage; no tracking cookies.

The Spanish version above prevails in case of discrepancy.