Política de privacidad

Emprendimiento Carlos Linares (RIF J-50841428-4), con domicilio en Charallave, municipio Cristóbal Rojas, estado Miranda, Venezuela («Cuadraly», «nosotros»), ofrece a empresas un sistema en línea de facturación, inventario, nómina y CRM (gestión de clientes y conversaciones por WhatsApp, Facebook Messenger e Instagram), en cuadraly.com, socio.cuadraly.com y crm.cuadraly.com. Esta política explica qué datos tratamos, para qué y qué puedes hacer con ellos. Para cualquier consulta: contacto@cuadraly.com.

1. Quién decide sobre cada dato

Los datos que una empresa cliente carga o recibe en Cuadraly —sus clientes, facturas, productos, empleados y conversaciones— son de esa empresa: ella decide para qué los usa y nosotros los tratamos solo para prestarle el servicio, siguiendo sus instrucciones. Si eres cliente de una empresa que usa Cuadraly y quieres ejercer tus derechos, dirígete a esa empresa; también puedes escribirnos y la pondremos al tanto.

De las personas que usan Cuadraly (usuarios de las empresas) somos responsables directos.

2. Qué datos tratamos

Tratamos los datos necesarios para atender tu solicitud, abrir y administrar tu cuenta, prestar el servicio contratado y protegerlo frente a abusos. Las conexiones opcionales se activan cuando las eliges; no se exige aceptar comunicaciones comerciales para registrarse.

• Acceso con Google: si eliges esta opción, recibimos tu identificador de Google, nombre y correo verificado para crear tu cuenta y permitirte entrar. Este acceso no solicita Gmail, Drive, contactos ni calendarios. También puedes registrarte con correo y contraseña.
• Google Calendar, conexión opcional e independiente en el CRM: si la autorizas, tratamos la identidad básica de la cuenta, credenciales de acceso y renovación, identificadores de eventos vinculados a tus citas y sus datos de sincronización. Consultamos intervalos ocupados para evitar reservas coincidentes. La autorización permite crear, actualizar y cancelar eventos de las citas vinculadas; no administra ni elimina calendarios. Consulta los permisos, funcionamiento y desconexión de Google Calendar.
• Cuenta de usuario: nombre, correo, contraseña (guardada solo como huella irreversible), permisos, fecha del último acceso y registro de acciones (bitácora).
• Datos de la empresa: razón social, RIF, dirección, datos fiscales y los documentos que emite.
• Datos que la empresa carga: clientes, proveedores, productos, facturas, cobros, nómina y notas.
• Conversaciones: los mensajes que los clientes de la empresa envían por WhatsApp, Messenger o Instagram, y las respuestas.
• Suscripción y pagos: plan, período de prueba, cotización, banco de origen, referencia, fecha e importe del pago reportado, y resultado de su revisión. Los usamos para administrar el servicio y verificar el cobro; no solicitamos claves bancarias.
• Datos técnicos: dirección IP y datos del navegador, para seguridad y para frenar intentos de acceso indebido; Cloudflare también recoge mediciones de rendimiento de la web.

Asistencia por cámara

Para mostrar al operador las empresas y usuarios conectados al administrativo, una pantalla visible envía una señal periódica autenticada. Conservamos únicamente la última fecha de esa señal en la cuenta; no contiene las rutas visitadas ni identificadores del dispositivo. El indicador cuenta cada usuario una sola vez y deja de considerarlo conectado tras dos minutos sin señal.

Esta función es opcional y está en validación. La empresa debe informar a cada trabajador, obtener su consentimiento específico y conservar su respaldo antes de inscribir un perfil. El acceso a perfiles y solicitudes requiere permisos de gestión de empleados. Se mantiene la alternativa de registro manual o por QR, con la revisión correspondiente.

Las imágenes de la cámara se procesan en el navegador para obtener una plantilla numérica; esta función no guarda fotografías ni envía esas imágenes o plantillas al proveedor del asistente de inteligencia artificial. Al confirmar una inscripción se envía la plantilla a Cuadraly y se almacena cifrada, vinculada a la empresa y al empleado, junto con el modelo utilizado y la referencia del consentimiento. Al confirmar una propuesta de marcaje se envía una muestra para compararla en el servidor; la solicitud conserva la posible coincidencia, fecha, tipo de marcaje y estado de revisión, pero no esa muestra. Una coincidencia no confirma automáticamente identidad, presencia ni una decisión sobre el empleo, sanciones o pagos. No ofrece una prueba de vida ni una precisión validada con personas reales.

Revocar un perfil elimina su plantilla cifrada de la tabla activa e impide nuevas coincidencias con él; se conserva el historial de consentimiento, revocación y solicitudes. Esa revocación no elimina por sí sola las copias de seguridad históricas. La empresa debe definir y comunicar su conservación, restringir los accesos y atender las solicitudes de sus trabajadores. Puedes solicitar información o corrección a la empresa que administra tus registros y contactar con Cuadraly para asistencia.

Solicitudes de asistencia por QR

Cuando una empresa habilita un puesto de asistencia, su personal puede declarar su cédula, entrada o salida y una observación opcional. La hora se obtiene en el servidor. La solicitud queda disponible únicamente para el personal autorizado de esa empresa, que debe revisarla antes de convertirla en un marcaje. El formulario público no muestra nombres, fichas ni el historial de empleados. El QR vence y puede revocarse; no acredita por sí solo la identidad ni la presencia física.

Para limitar abusos se usan identificadores protegidos mediante HMAC que caducan; la dirección de conexión no se guarda en las solicitudes. Esta función no captura fotografías, plantillas faciales ni huellas digitales. Las importaciones de relojes conservan el método declarado por el equipo y requieren revisión. La empresa debe informar a su personal sobre la finalidad, acceso y conservación de sus registros, ofrecer una alternativa de registro y atender sus solicitudes de corrección.

3. Datos que obtenemos de Meta (Facebook, Instagram y WhatsApp)

Solo cuando una empresa conecta sus cuentas con «Conectar con Facebook» o conecta su número de WhatsApp Business:

• El identificador de la persona que conecta (con ámbito de nuestra app) y los permisos (tokens) que concede.
• La lista de páginas de Facebook y cuentas profesionales de Instagram que esa persona decide conectar, con su nombre e identificador.
• Los mensajes que los clientes envían a esas páginas, cuentas o números, el identificador y el nombre público de quien escribe, y el estado de entrega de las respuestas.
• Las plantillas de mensajes aprobadas de la cuenta de WhatsApp Business.

Usamos estos datos únicamente para mostrar las conversaciones en el CRM de esa empresa y permitirle responder desde allí. No los vendemos, no los usamos para publicidad, no los compartimos con otras empresas y no los usamos para entrenar modelos de inteligencia artificial. Los tokens se guardan cifrados (AES-256) y nunca se muestran después de guardarlos.

4. Para qué los usamos

La información recibida de las API de Google Calendar se utiliza para sincronizar las citas y consultar disponibilidad según la autorización del usuario. Su uso y transferencia se ajustan a la Política de Datos de Usuario de los Servicios de API de Google, incluidos sus requisitos de uso limitado. No vendemos estos datos ni los utilizamos para publicidad personalizada o entrenamiento de modelos generales de inteligencia artificial.

• Prestar el servicio contratado (facturar, llevar inventario, atender conversaciones).
• Seguridad: controlar el acceso, detectar abusos y conservar la bitácora de acciones.
• Soporte y avisos del servicio (por ejemplo, el correo de bienvenida).
• Recuperación de conversaciones y citas mediante correo verificado. Los avisos de respuesta y los recordatorios de cita requieren la preferencia correspondiente del cliente; no autorizan publicidad. Puedes desactivarlos desde el chat o la página de tus citas.
• Cumplir obligaciones legales, en especial las fiscales de conservación de documentos.

5. Con quién los compartimos

Compartimos datos solo con los servicios necesarios para la función utilizada. Los proveedores de infraestructura trabajan para prestar nuestro servicio; las conexiones con Google y Meta se rigen también por sus propias políticas:

• Cloudflare (alojamiento de la aplicación, red, copias de seguridad cifradas y envío de correos transaccionales cuando utilices esa función). Para enviar un recordatorio recibe el correo de destino y la fecha de la cita; el mensaje no incluye el motivo de consulta, el nombre del servicio ni datos clínicos.
• Supabase (base de datos del CRM) y el proveedor de nuestro servidor de base de datos.
• Google, si eliges acceder con Google: verifica tu identidad y aplica sus propias condiciones y política de privacidad. Las cuentas de Cuadraly permanecen en nuestro sistema, separadas de las cuentas de otras aplicaciones.
• Meta Platforms, cuando la empresa usa WhatsApp, Messenger o Instagram: los mensajes viajan por sus servicios.
• Proveedores de inteligencia artificial: las preguntas escritas en el asistente público o en los asistentes operativos de inventario y CRM pueden enviarse a Google Gemini o, como respaldo, a GLM Flash de Z.ai, Groq o a Qwen, Cohere, Ling, Dots o Gemma mediante OpenRouter para generar una respuesta. El asistente público no consulta datos empresariales. Los asistentes operativos privados consultan únicamente los datos mínimos necesarios de la empresa y según los permisos del usuario; esos resultados pueden enviarse al proveedor para preparar la respuesta. Las modificaciones requieren revisar y aplicar una propuesta cifrada, válida durante cinco minutos; se comprueban de nuevo los permisos y el estado del registro. No ejecutan emisiones fiscales, cobros, envíos de mensajes ni cambios de permisos o conexiones Meta. Si la empresa activa el agente de IA del CRM, el texto de las conversaciones se envía a Cloudflare Workers AI para redactar respuestas con un modelo alojado por Cloudflare habilitado, utilizando el token y la cuenta propios de esa empresa. La misma conexión propia puede generar respuestas sobre su base documental privada. Los otros proveedores de atención a clientes esperan completar documentación y disponibilidad. El agente no utiliza las claves ni el presupuesto incluidos de Cuadrel como respaldo. El uso de los datos, las cuotas y los costos dependen de las condiciones y del nivel que contrate la empresa con su proveedor. En los asistentes de ayuda, el nivel gratuito de Gemini puede utilizar solicitudes para mejorar productos de Google y no permite enviar información personal, confidencial o sensible; se reserva a pruebas con contenido público. Para conversaciones privadas, la empresa debe elegir un servicio cuyas condiciones permitan ese tratamiento. Las restricciones siguientes se aplican a las conexiones incluidas de Cuadrel, no a las cuentas propias de los clientes: en OpenRouter restringimos las solicitudes a proveedores que aceptan la política de no recopilación de datos y a inferencia con precio cero; esto no sustituye sus condiciones de servicio ni garantiza disponibilidad permanente. No incluyas datos confidenciales en los asistentes de ayuda. Para reducir consultas repetidas, conservamos temporalmente respuestas cifradas: hasta 15 minutos en el asistente público y 2 minutos en inventario y CRM. La caché privada se separa por empresa y usuario o conversación; no guarda las preguntas en texto plano y no se utiliza para entrenar modelos.
• La imprenta digital autorizada que la empresa contrate, para emitir sus documentos fiscales.
• Autoridades, solo cuando la ley lo exija.

Algunos de estos proveedores tratan datos fuera de Venezuela; exigimos que los protejan.

6. Cuánto tiempo los conservamos

Al desconectar Calendar desde Configuración → Calendarios, eliminamos las credenciales activas de esa conexión y detenemos la sincronización. Las citas y los eventos ya creados no se borran por desconectar. También puedes retirar el consentimiento desde tu cuenta de Google. Las referencias de sincronización y trazas operativas se conservan conforme a la retención general descrita aquí; desconectar no demuestra eliminación inmediata de copias de seguridad.

Mientras la empresa tenga contrato. Al terminar, se le entrega una copia de sus datos si la pide y se borran, salvo los documentos fiscales, que se conservan el tiempo que exige la ley. Los tokens de Meta se borran en cuanto la empresa desconecta un canal, la persona retira el permiso en Facebook o pide eliminar sus datos.

7. Seguridad

Conexiones cifradas (HTTPS), contraseñas guardadas como huella, tokens y credenciales cifrados, cada empresa aislada de las demás, copias de seguridad cifradas y registro de accesos. Ningún sistema es infalible: si ocurriera un incidente que afecte a tus datos, te avisaremos.

8. Tus derechos y cómo borrar tus datos

Los artículos 28 y 60 de la Constitución venezolana protegen el acceso a la información personal y la vida privada. Puedes pedirnos información sobre los datos que tenemos, su finalidad y destinatarios, así como su corrección o eliminación cuando corresponda. Verificaremos tu identidad con los datos mínimos necesarios y te explicaremos cualquier conservación exigida por la ley; no te pediremos contraseñas ni claves bancarias.

Puedes pedir acceso, corrección o eliminación de tus datos, y retirar permisos, escribiendo a contacto@cuadraly.com. Para los datos que obtuvimos de Facebook o Instagram, sigue las instrucciones de eliminación de datos.

Cookies y servicios del navegador

La sesión y tus preferencias utilizan cookies y almacenamiento del navegador. El servicio de Google se carga solo al elegirlo en el formulario. Consulta la política de cookies para ver sus nombres, finalidad, duración y controles.

Tratamiento fuera de Venezuela

Cloudflare, Google, Supabase, Meta y los proveedores de IA pueden procesar información en infraestructura situada fuera de Venezuela. Solo comunicamos los datos necesarios para la función que utilices. Cada empresa cliente debe informar a sus propios clientes y contar con la autorización o fundamento que corresponda antes de cargar sus datos o conectar conversaciones a servicios externos.

9. Cambios

Si cambiamos esta política, publicaremos la nueva versión aquí con su fecha y avisaremos a las empresas clientes.

Summary in English

Google Calendar is an optional CRM connection, separate from Google sign-in. It uses event access to sync linked appointments and free/busy access to avoid booking conflicts. Google Calendar data is not sold, used for personalized advertising or used to train general-purpose AI models. Use and transfer comply with the Google API Services User Data Policy, including Limited Use requirements. Disconnecting removes the active connection credentials and stops synchronization; existing appointments and events remain.