Política de privacidad

El responsable de esta política es Smartcloud SRL (Juntos), con domicilio en Barrio Guadalupe, Choluteca, Honduras, que opera desde Honduras la plataforma de gestión comercial Juntos (CRM, ERP, facturación, punto de venta, tienda en línea y bandeja de mensajería), accesible en juntoscrm.cloud.

Es importante distinguir dos papeles, porque de ellos dependen tus derechos y a quién debes dirigirte:

• Somos responsables de los datos de las empresas clientes y de sus usuarios (quien contrata la plataforma y su equipo), de los datos de facturación del servicio y de los de quienes visitan este sitio o nos escriben.
• Somos encargados del tratamiento de los datos que cada empresa cliente guarda en su cuenta sobre sus propios clientes: contactos, conversaciones, facturas, citas. Esos datos los decide y controla la empresa; nosotros solo los alojamos y procesamos por su cuenta, siguiendo sus instrucciones y el contrato de encargado del tratamiento. Si eres cliente de un negocio que usa Juntos y quieres ejercer tus derechos, el interlocutor es ese negocio; nosotros le damos las herramientas para atenderte y, si nos escribes, le trasladamos tu solicitud.

De la empresa cliente y sus usuarios:

• Nombre, correo electrónico, teléfono y cargo de las personas con acceso a la cuenta.
• Datos de la empresa: nombre comercial, dirección, RTN, logotipo y datos fiscales (CAI) cuando se cargan.
• Datos de facturación del servicio: plan, pagos y facturas que Juntos emite a la empresa.
• Registros técnicos de uso: inicio de sesión, dirección IP, navegador y acciones sensibles, necesarios para la seguridad de la cuenta.
• La aceptación de estos documentos: qué versión se aceptó, cuándo, desde qué dirección IP y con qué usuario.

De quienes visitan este sitio:

• Lo que escribes en el formulario de contacto de la portada (nombre, correo, teléfono y mensaje), solo si lo envías.
• No usamos herramientas de analítica ni píxeles publicitarios en el sitio público (ver «Cookies y almacenamiento local»).

De las personas que escriben o llaman a una empresa cliente (como encargados de esa empresa):

• El contenido de los mensajes (texto, imágenes, audios, documentos) y su fecha.
• El identificador que asigna la plataforma de origen (por ejemplo, el número de WhatsApp o el identificador de Messenger).
• Nombre público y foto de perfil, cuando la plataforma de origen los facilita.
• En las llamadas atendidas por el agente de voz: el número, la duración, la grabación y su transcripción.
• Si la empresa lo activa en su propio sitio web, las visitas y los formularios enviados en él.

De las personas que reciben las campañas por correo de una empresa cliente (como encargados de esa empresa):

• La dirección de correo y el nombre con que la empresa las tiene registradas, y el consentimiento que dieron para recibir sus correos (cuándo y por qué medio).
• Si el correo se entregó, rebotó o fue marcado como spam, y si se abrió o se hizo clic en un enlace. La apertura se detecta con una imagen invisible y los clics pasando el enlace por nuestro proveedor de envío; sirven para medir la campaña y para dejar de escribir a quien no los quiere.
• La baja, cuando la persona pide no recibir más correos de esa empresa.

De los datos comerciales que la empresa introduce: contactos, oportunidades, cotizaciones, facturas, productos e inventario. Esa información la aporta y controla la empresa cliente.

No almacenamos números de tarjeta: los pagos con tarjeta los procesan directamente Stripe (la suscripción de Juntos) y PixelPay (los enlaces de cobro de las empresas clientes).

• Prestar el servicio contratado (base: el contrato): la bandeja de mensajes, las facturas, el inventario, la agenda, los canales conectados y el resto de funciones.
• Cumplir obligaciones legales (base: la ley): emitir la factura fiscal de cada pago y conservar los documentos fiscales durante el plazo que exige el Código Tributario.
• Mantener la seguridad (base: nuestro interés legítimo y el de nuestros clientes en proteger sus datos): detectar accesos indebidos, registrar la actividad sensible y respaldar la información.
• Funciones opcionales (base: el consentimiento o la decisión de quien las activa): conectar Google, las funciones de IA, el agente de voz o responder a tu consulta del formulario de contacto.
• Soporte: atender las incidencias que la empresa nos reporta.
• Proteger el envío de correos de todos (base: nuestro interés legítimo y el de las personas que no quieren correos no pedidos): revisar la primera campaña por correo de cada empresa y, cuando una dirección rebota de forma permanente o su dueño marca un correo como spam, bloquearla para que ninguna empresa de la plataforma le vuelva a escribir por ese medio. De esa lista solo guardamos la dirección, el motivo y la fecha.

No vendemos datos personales, no los cedemos a intermediarios de publicidad y no usamos los datos de los clientes de nuestros clientes para fines propios.

Cuando una empresa conecta su página de Facebook o su cuenta de Instagram, autoriza el acceso mediante el inicio de sesión de Meta. A partir de ese momento recibimos, únicamente para esa empresa:

• La lista de páginas que administra, para que elija cuáles quiere atender.
• Los mensajes entrantes y sus adjuntos, junto con reacciones y referencias de la conversación.
• El nombre y la foto de perfil de quien escribe, cuando Meta los facilita.
• Un identificador de acceso cifrado, que nos permite responder en nombre de la página.

Ese identificador de acceso se guarda cifrado con AES-256-GCM y queda vinculado a la empresa que lo autorizó: ninguna otra cuenta de la plataforma puede usarlo. La empresa puede revocar el acceso en cualquier momento desde Canales → Desconectar, lo que elimina las credenciales guardadas y detiene la recepción de mensajes.

El uso de estos datos se limita a mostrar y responder las conversaciones dentro del CRM de esa empresa. No se combinan con los de otras empresas ni se usan para elaborar perfiles publicitarios.

Cuando una empresa conecta Telegram, lo hace con la clave de un bot que ella misma crea en @BotFather. Esa clave se guarda cifrada con AES-256-GCM, igual que las de Meta, y queda vinculada a la empresa que la autorizó. A partir de ahí recibimos, solo para esa empresa:

• Los mensajes que las personas envían al bot, con sus adjuntos.
• El nombre de usuario, el nombre visible y la foto de perfil de quien escribe, cuando Telegram los facilita.
• El identificador del chat, necesario para poder responder.
• Si la empresa además conecta su cuenta de Telegram Business, los mensajes de esos chats personales que ella misma autoriza a atender.

Telegram no cobra por mensaje ni impone una ventana de respuesta, pero eso no cambia el trato que damos a los datos: se usan únicamente para mostrar y responder las conversaciones dentro del CRM de esa empresa. La empresa puede revocar el acceso en cualquier momento desde Canales → Desconectar, lo que borra la clave guardada y detiene la recepción.

Una empresa puede conectar, si así lo decide, una cuenta de Google con el CRM, con JuntosERP o con su tienda en línea. La conexión es voluntaria: todos los productos funcionan sin ella. Cada función pide solo su propio permiso en el momento en que se activa, nunca todos a la vez.

Qué permisos pedimos y para qué:

• Tu dirección de correo (openid, email): para mostrar con qué cuenta de Google está conectada la empresa o el usuario.
• Calendario (calendar.events). En el CRM, cada usuario conecta el suyo: publicamos en él las citas que agenda en el CRM (con enlace de Google Meet si lo pide) y leemos sus eventos para no ofrecer horas en las que ya está ocupado. De sus eventos personales solo guardamos la hora de inicio y fin, no el título ni la descripción; un evento solo se incorpora como cita cuando entre sus invitados hay una persona que ya existe en el CRM. En JuntosERP solo escribimos los vencimientos del negocio (impuestos, CAI, pagos a proveedores y entregas de encargos) y únicamente modificamos los eventos que el propio ERP creó.
• Contactos, solo lectura (contacts.readonly, CRM): para importar la libreta de contactos cuando el usuario lo pide. Es una importación puntual con vista previa: leemos nombre, correo, teléfono y empresa, y solo se guardan los contactos que el usuario elige. No es una sincronización continua y nunca modificamos la libreta de Google.
• Enviar correo (gmail.send): para que los correos del negocio (a una persona del CRM, facturas, confirmaciones de pedido y avisos) salgan desde el Gmail de quien los envía. No leemos, no buscamos y no borramos ningún correo.
• Archivos de Drive creados por Juntos (drive.file, ERP y tienda): para crear y actualizar hojas de cálculo con informes del negocio en una carpeta de su Drive. No podemos ver ningún otro archivo.
• Search Console y verificación de sitio (webmasters, siteverification.verify_only, tienda): para verificar que la tienda es de la empresa, registrarla, enviar su mapa del sitio y mostrar qué buscan las personas en Google antes de llegar. Solo actuamos sobre la dirección de esa tienda.
• Google Analytics, solo lectura (analytics.readonly, tienda): para mostrar de dónde vienen las visitas, consultando únicamente la propiedad que corresponde al identificador de GA4 de la tienda. No cambiamos nada.

Qué guardamos:

• Las credenciales de acceso que entrega Google, cifradas y vinculadas a la empresa (y, en el CRM, al usuario) que las autorizó.
• La dirección de correo de la cuenta conectada.
• Lo que pasa a formar parte del negocio por decisión del usuario: las citas, los contactos que elige importar y el registro de los correos que envía a sus clientes.
• Referencias técnicas para no duplicar: identificadores de eventos y hojas creados por Juntos, la dirección registrada en Search Console y el identificador de la propiedad de Analytics.

Los datos de Search Console y de Google Analytics no se guardan: se consultan al abrir la pantalla, se muestran y se descartan. La información que Juntos envía a la cuenta de Google (hojas, eventos, correos enviados) queda en esa cuenta y se rige por las condiciones de Google.

Uso limitado.

El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google por parte de Juntos se ajustarán a la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado. En concreto:

• Solo usamos los datos de Google para prestar las funciones descritas aquí, que la empresa o el usuario activaron.
• No los vendemos ni los transferimos a terceros, salvo a los proveedores imprescindibles para prestar el servicio o cuando la ley lo exija.
• No los usamos para publicidad ni para elaborar perfiles publicitarios.
• No los usamos para entrenar ni mejorar modelos de inteligencia artificial, propios ni de terceros. Los datos obtenidos de Google en JuntosERP y en la tienda no se envían a ninguna función de IA. En el CRM, las citas, los contactos importados y los correos registrados forman parte de la ficha, y solo se incluyen cuando el propio usuario pide una función de IA sobre esa ficha (por ejemplo, su resumen).
• Nadie de nuestro equipo los lee, salvo autorización expresa de la empresa para darle soporte, por seguridad o para investigar un abuso, o cuando la ley lo exija.

Desconectar. Desde la sección de Google de cada producto (en el CRM, desde la conexión del calendario de cada usuario) se puede desconectar en cualquier momento: revocamos el permiso ante Google y borramos de inmediato las credenciales guardadas. También se puede retirar el acceso desde myaccount.google.com/permissions; dejaremos de usar la conexión en cuanto Google la rechace. Lo ya creado en la cuenta de Google (hojas, eventos, correos enviados) permanece allí hasta que la persona lo borre.

TikTok. Cuando una empresa conecta su cuenta de TikTok, recibimos para ella los mensajes que le escriben y los datos de perfil que TikTok facilita, con el único fin de mostrarlos y responderlos en su bandeja. Las credenciales se guardan cifradas y se borran al desconectar.

WhatsApp Web. Además de la API oficial de WhatsApp, una empresa puede vincular su número escaneando un código QR, como haría con WhatsApp Web. Es una integración no oficial: la sesión se guarda en nuestro servidor para mantener la conexión, y los mensajes de ese número se tratan igual que los del resto de canales. La empresa la elige sabiendo que WhatsApp puede limitar o bloquear el número, y puede cerrarla en cualquier momento desde el CRM o desde su teléfono.

• Los asistentes se identifican. El asistente que responde en la bandeja se presenta como asistente virtual del negocio, no se hace pasar por una persona y, cuando el negocio tiene configurado el traspaso, indica cómo hablar con alguien del equipo.
• Las llamadas avisan al empezar. El agente de voz dice al inicio de cada llamada que es un asistente virtual y que la llamada puede ser grabada y transcrita. La empresa cliente no puede quitar ese aviso.
• Qué se envía. Cuando alguien usa una función de IA, al proveedor de IA le llega solo el contenido necesario para esa respuesta (por ejemplo, la conversación que se quiere resumir). Los proveedores que usamos están en la tabla de subencargados; la empresa cliente también puede configurar su propia cuenta de un proveedor, y en ese caso los datos van a ese proveedor bajo su contrato.
• No se entrena con los datos de los clientes. Juntos no entrena modelos con los datos de sus clientes, y el sistema no envía datos de clientes a cuentas de proveedores que se reserven el derecho de usarlos para entrenar sus modelos: esas cuentas solo atienden tareas sin datos de clientes, como generar un texto de marketing.
• La IA puede equivocarse. Sus propuestas que cambian datos del negocio las revisa o confirma una persona.

Solo con los proveedores necesarios para que el servicio funcione, y únicamente con lo imprescindible. Estos son los que pueden recibir datos hoy:

Los proveedores de IA marcados como «de respaldo» solo reciben datos si están activados en la plataforma y el proveedor principal no puede responder. Además, compartimos datos con autoridades competentes cuando una norma o una orden judicial lo exige. Avisaremos a las empresas clientes antes de incorporar un subencargado nuevo, como establece el contrato de encargado del tratamiento.

La plataforma y su base de datos funcionan en servidores propios de Juntos en Honduras, con el disco cifrado. Pero no todo se queda en Honduras, y preferimos decirlo claro:

• Las copias de seguridad se guardan cifradas fuera del servidor, en el almacenamiento de Cloudflare, fuera del país.
• Los mensajes de WhatsApp, Messenger, Instagram, TikTok y Telegram pasan, por su naturaleza, por los servidores de esas plataformas.
• Las funciones de IA, el agente de voz, el envío de correos y los pagos con tarjeta se prestan con los proveedores de la tabla anterior, en los países que allí se indican.

Al usar estas funciones, los datos se transfieren a esos países. Elegimos proveedores con compromisos de confidencialidad y seguridad, les enviamos solo lo necesario y, cuando es posible, cifrado.

• Los datos de la cuenta y los que carga la empresa cliente se conservan mientras dure el servicio.
• Cada empresa cliente define en su panel (Privacidad y retención) cuánto se guardan los mensajes, las grabaciones y transcripciones de llamadas y el texto enviado a la IA, dentro de los topes que fija Juntos (grabaciones, hasta 1 año; texto de la IA, hasta 90 días). Lo que pasa del plazo se borra automáticamente cada día. Mientras la empresa no los defina, esos datos se conservan durante el servicio.
• Ningún plazo alcanza a los documentos fiscales ni a su registro en la bitácora, que se conservan 5 años porque así lo exige el Código Tributario.
• Al cancelar, la empresa puede exportar sus datos hasta 90 días después. Pasado ese plazo se eliminan de los sistemas activos, salvo los documentos fiscales (facturas, notas y sus registros), que se conservan 5 años porque así lo exige el Código Tributario.
• Las credenciales de un canal o de Google se eliminan de inmediato al desconectarlo.
• Los resúmenes de conversación que guarda la memoria de la IA caducan a los 90 días y se borran.
• Las direcciones bloqueadas por rebote o por queja se conservan mientras funcione el servicio de correo, porque su finalidad es justamente no volver a escribirles. Si eres el titular de una de ellas y quieres volver a recibir correos de alguna empresa, escríbenos a soporte@smartcloud.lat.
• Las visitas registradas en los sitios web de las empresas clientes se agregan y se borran a los 90 días; los visitantes que no dejaron sus datos y no volvieron en 90 días, también.
• Lo borrado puede seguir en las copias de seguridad cifradas hasta que estas rotan según su calendario; si alguna vez se restaura una copia, se repiten las supresiones hechas desde entonces.

El sitio público no usa cookies de analítica ni de publicidad, ni píxeles de seguimiento. Por eso no te pedimos que aceptes cookies. Solo usamos lo técnicamente necesario:

• Una cookie de sesión segura al iniciar sesión, para mantenerte dentro de la plataforma.
• El almacenamiento local del navegador para recordar preferencias (por ejemplo, el menú lateral plegado o la última forma de entrar) y el carrito de un enlace de compra.
• Al conectar una página de Facebook, se carga el componente de inicio de sesión de Meta solo en esa pantalla y solo cuando lo pides.

Puedes borrar todo esto desde la configuración de tu navegador; tendrás que volver a iniciar sesión.

• Cifrado en tránsito (HTTPS) en todo el sitio y en las comunicaciones con las plataformas.
• Cifrado en reposo: el disco del servidor está cifrado y las credenciales de los canales se guardan además cifradas con AES-256-GCM.
• Separación por empresa impuesta por la propia base de datos (seguridad a nivel de fila): cada cuenta solo ve sus propios datos.
• Control de acceso por roles y permisos, con los datos personales tapados para quien no tiene permiso de verlos.
• Registro de auditoría de las acciones sensibles y respaldos diarios cifrados.

Ningún sistema es infalible. Si ocurriera un incidente que afecte a datos personales, lo notificaremos a las empresas afectadas sin demora indebida y con la información necesaria para que actúen.

La Constitución de Honduras (art. 182) reconoce el derecho de hábeas data: acceder a tus datos y pedir que se corrijan o se supriman. Conforme a la legislación hondureña aplicable, puedes solicitar en cualquier momento:

• Acceder a los datos que tratamos sobre ti y obtener una copia.
• Rectificar los que sean inexactos.
• Suprimirlos, cuando no exista obligación legal de conservarlos.
• Oponerte a un tratamiento o retirar un consentimiento que hubieras dado (por ejemplo, a recibir mensajes de marketing).

Escríbenos a soporte@smartcloud.lat indicando qué pides. Verificaremos tu identidad antes de responder, precisamente para proteger tu información, y responderemos en un plazo razonable, que procuramos no pase de 30 días. Si tus datos los trata una empresa cliente, le trasladaremos la solicitud para que la atienda.

Para borrar datos, incluidos los obtenidos de Facebook, Messenger e Instagram, tienes el procedimiento detallado en la página de eliminación de datos. Para dejar de recibir mensajes de un negocio, basta con responder BAJA o STOP en el mismo chat.

La plataforma está dirigida a empresas y a personas mayores de 18 años. No recopilamos deliberadamente datos de menores. Si detectamos que hemos recibido datos de un menor sin autorización de quien ejerce su representación, los eliminaremos.

Si la modificamos, cambiaremos la fecha del encabezado, que es también su número de versión, y cuando el cambio sea relevante avisaremos a las empresas clientes por correo o dentro de la plataforma antes de que entre en vigor.

Para cualquier asunto sobre tus datos escríbenos a soporte@smartcloud.lat o por WhatsApp al +504 9667-6374.