Política de Privacidad

Quiénes Somos

Definiciones

Ámbito de Aplicación

Datos Personales que Recopilamos

4.1 Datos de Negocios Clientes

Datos recopilados de las personas físicas o morales que contratan los servicios de Xambee:

• Datos identificativos del negocio: nombre comercial, razón social, giro o industria, tamaño aproximado del negocio.
• Datos del representante o usuario administrador: nombre completo, cargo dentro de la organización.
• Datos de contacto: correo electrónico corporativo (principal para comunicaciones del servicio), número de teléfono.
• Credenciales de acceso: contraseña almacenada con hash bcrypt (función de hash + salt único), nunca en texto plano. Xambee no puede ver ni recuperar contraseñas.
• Datos de Google OAuth (solo si el usuario elige iniciar sesión con Google): nombre completo, dirección de correo electrónico de Google y foto de perfil. Xambee los usa exclusivamente para autenticación; no se comparten con terceros para ningún otro fin.
• Tokens de integración de canales: access tokens de Meta Graph API (vigencia máxima 60 días con rotación automática), credenciales de Evolution API para WhatsApp Business, credenciales de Twilio para la función de voz.
• Configuración del agente de IA: nombre del agente, avatar, personalidad (tono y estilo), instrucciones del sistema (system prompt), base de conocimientos (textos y archivos subidos), habilidades activadas.
• Datos de facturación: RFC, razón social y datos fiscales completos para emisión de CFDI cuando el cliente lo solicita expresamente.
• Datos de uso y consumo: número de conversaciones atendidas, mensajes procesados, tiempos de respuesta del agente, consumo de créditos por canal, historial de recargas, costo estimado por conversación.
• Datos de suscripción: plan contratado (mensual o anual), fecha de inicio, fecha de próxima renovación, estado de la suscripción.
• Historial de transacciones: recargas de créditos, pagos de suscripción, confirmaciones de pago recibidas de Mercado Pago.

4.2 Datos de Usuarios Finales

Datos recopilados de las personas que interactúan con el agente de IA a través de los canales disponibles. Estos datos son tratados en nombre y por cuenta del negocio cliente, quien es el responsable primario frente a sus propios clientes:

• Identificadores de plataforma: número de teléfono con código de país (WhatsApp Business), Page-Scoped ID asignado por Facebook (Messenger), Instagram-Scoped ID asignado por Instagram (Instagram DM). Estos identificadores son pseudónimos asignados por las plataformas respectivas.
• Contenido completo de los mensajes de texto enviados al agente de IA, incluyendo consultas, solicitudes y cualquier información que el usuario proporcione voluntariamente en la conversación.
• Historial completo de la conversación con el agente de IA, almacenado para mantener contexto y coherencia durante toda la interacción.
• Metadatos de la conversación: canal de comunicación utilizado, fecha y hora exacta de cada mensaje, estado de la conversación (activa, resuelta, escalada, abandonada), tiempo de respuesta del agente.
• Datos derivados del análisis conversacional con IA: intenciones detectadas, nivel de satisfacción estimado, sentimiento predominante (positivo, neutro, negativo), resumen de la conversación, oportunidades de venta identificadas, tasa de resolución.
• Datos de llamadas telefónicas: número de teléfono de origen, número de destino (Twilio del negocio), fecha y hora, duración total en minutos, estado de la llamada, transcripción completa de voz a texto generada por Deepgram (modelo nova-2 en español).
• Datos de citas agendadas (cuando la habilidad de agenda está activada): nombre del cliente, fecha y hora solicitada, tipo de servicio, observaciones adicionales.

4.3 Datos Técnicos y de Operación del Sistema

• Logs de sistema: registros de todas las solicitudes entrantes al webhook (origen, timestamp, payload cifrado), errores técnicos del servidor, tiempos de respuesta y códigos de estado HTTP.
• Firmas criptográficas HMAC-SHA256: calculadas y verificadas en cada webhook entrante de Meta Platforms y Evolution API para garantizar autenticidad e integridad.
• Metadatos de consumo de IA: número de tokens de entrada y salida procesados por el modelo de IA, costo estimado por conversación, modelo específico utilizado, latencia de respuesta.
• Información básica de sesión del navegador: dirección IP aproximada y tipo de navegador/sistema operativo, usados únicamente para propósitos de seguridad y detección de accesos no autorizados.
• Variables de entorno cifradas: credenciales API de todos los servicios terceros, almacenadas exclusivamente en la infraestructura de Vercel, nunca en código fuente ni en la base de datos.
• Registros de acceso al panel de administración: fecha, hora e IP aproximada de cada inicio de sesión exitoso o fallido.

4.4 Datos que Xambee Expresamente NO Recopila

• Datos personales sensibles: estado de salud, historial médico, información genética, creencias religiosas o filosóficas, afiliación sindical, opiniones políticas, preferencia u orientación sexual.
• Documentos de identidad oficiales: INE, pasaporte, acta de nacimiento, CURP, o cualquier documento oficial de identificación.
• Información financiera directa: números de tarjeta de crédito o débito, números de cuenta bancaria, claves CLABE interbancarias. Todos los datos de pago son manejados exclusivamente por Mercado Pago.
• Geolocalización en tiempo real o histórica de usuarios finales.
• Datos de menores de 18 años de manera intencional (ver Sección 15 para detalles completos).
• Imágenes del rostro, huellas dactilares u otros datos biométricos.
• Contenido de conversaciones en canales distintos a los integrados en la plataforma.
• Datos de contactos, galería de fotos, micrófono o cámara del dispositivo del usuario final fuera del contexto de la llamada activa.

Google API Services — Declaración de Uso Limitado

5.1 Datos Recibidos de Google

Cuando un usuario elige iniciar sesión con Google, Xambee recibe del servicio de autenticación de Google exclusivamente los siguientes datos, con el consentimiento explícito del usuario:

• Nombre completo del titular de la cuenta de Google.
• Dirección de correo electrónico asociada a la cuenta de Google.
• Foto de perfil de Google (URL de imagen pública).
• Token de acceso OAuth 2.0 válido para verificar la identidad del usuario en sesiones futuras.

5.2 Compromisos de Uso Limitado (Google)

• Los datos recibidos de Google (nombre, correo, foto de perfil) se usan ÚNICAMENTE para autenticar al usuario en la plataforma Xambee y para mostrar su nombre y foto en el panel de administración.
• Xambee NO usa datos de Google para publicidad de ningún tipo, para perfilado conductual, para análisis estadísticos propios, ni para ningún fin distinto al de autenticación del usuario.
• Xambee NO transfiere datos de Google a terceros, excepto cuando sea estrictamente necesario para proporcionar el servicio (almacenamiento seguro del perfil del usuario en Supabase).
• Xambee NO vende datos de Google bajo ninguna circunstancia, sin excepción alguna.
• Xambee NO usa datos de Google para desarrollar, mejorar o entrenar modelos de inteligencia artificial.
• Xambee NO permite que personas físicas lean datos de Google de los usuarios, salvo en casos de soporte técnico con consentimiento expreso o cuando sea requerido por autoridad competente.
• El usuario puede revocar el acceso de Xambee a su cuenta de Google en cualquier momento desde myaccount.google.com > Seguridad > Aplicaciones de terceros. La revocación cerrará la sesión activa y el usuario deberá usar correo y contraseña para acceder.
• Xambee solicitará nuevo consentimiento explícito si en el futuro cambia la forma en que usa los datos de Google.

Fundamento Legal para el Tratamiento

Finalidades del Tratamiento

7.1 Finalidades Primarias — Necesarias para la Prestación del Servicio

Estas finalidades son indispensables para que Xambee pueda cumplir con el contrato de servicio. Sin el tratamiento de datos para estas finalidades, no es posible operar la plataforma:

• Autenticación, verificación de identidad y gestión segura del acceso al panel de administración (app.xambee.com).
• Creación, configuración, personalización, despliegue y operación continua de agentes de IA en todos los canales contratados.
• Recepción, validación criptográfica, procesamiento y enrutamiento de mensajes entrantes vía webhooks de Meta Platforms, Evolution API y Twilio.
• Generación de respuestas de inteligencia artificial personalizadas (Claude Sonnet de Anthropic) basadas en la configuración, tono, instrucciones y base de conocimientos del negocio cliente.
• Almacenamiento del historial de conversaciones para mantener contexto, coherencia y continuidad en las interacciones.
• Procesamiento de llamadas telefónicas: recepción de audio via Twilio, conversión STT (Deepgram nova-2), procesamiento semántico y generación de respuestas TTS (Deepgram aura-2-diana-es) con OpenAI GPT-4o Realtime.
• Generación automática de análisis conversacional: detección de intenciones, análisis de sentimiento, oportunidades de venta, resúmenes y métricas de rendimiento del agente.
• Presentación de métricas, reportes y análisis de rendimiento en el dashboard del negocio cliente.
• Gestión integral del sistema de créditos prepagados: cálculo de consumo, descuento de créditos, alerta de saldo bajo, historial de transacciones.
• Procesamiento de pagos de suscripciones y recargas de créditos a través de Mercado Pago.
• Provisión y gestión de números de teléfono virtuales Twilio dedicados por negocio para la función de llamadas.
• Almacenamiento y procesamiento de archivos cargados por el negocio cliente como base de conocimiento (PDF, Word, Excel, TXT, CSV).
• Envío de notificaciones del sistema: alertas de saldo bajo, confirmaciones de pago, avisos de mantenimiento, actualizaciones de la plataforma.
• Soporte técnico: diagnóstico, análisis y resolución de incidencias reportadas por el cliente.
• Emisión de CFDI (facturas electrónicas) cuando el cliente lo solicite con sus datos fiscales.
• Cumplimiento de requerimientos legales de autoridades mexicanas competentes cuando así lo ordene la ley.

7.2 Finalidades Secundarias — Opcionales, con Posibilidad de Oposición

Estas finalidades no son necesarias para el servicio principal. El cliente puede oponerse enviando solicitud a privacy@xambee.com sin que ello afecte la prestación del servicio:

• Envío de comunicaciones comerciales sobre nuevas funcionalidades, mejoras del servicio, nuevos canales disponibles y promociones de Xambee.
• Uso de datos estadísticos anonimizados y agregados (no identificables) para análisis de tendencias y mejora de la plataforma.
• Elaboración de casos de estudio o testimonios de éxito (únicamente con autorización expresa, por escrito y firmada por el representante legal del cliente).
• Invitaciones a participar en encuestas de satisfacción, programas beta de nuevas funcionalidades o estudios de usuario.

7.3 Usos Expresamente Prohibidos — Compromisos Irrevocables de Xambee

• Vender, alquilar, ceder, intercambiar o transferir datos personales a terceros con fines comerciales propios o ajenos.
• Usar datos personales para publicidad dirigida, retargeting o cualquier forma de marketing no solicitado.
• Compartir el contenido de las conversaciones del negocio cliente con otras empresas, competidores o socios comerciales sin consentimiento expreso y por escrito.
• Entrenar modelos de inteligencia artificial propios de Xambee utilizando datos identificables de los clientes sin consentimiento explícito e informado.
• Crear perfiles de comportamiento de usuarios finales para targeting publicitario o cualquier otro fin distinto a la mejora del servicio para ese mismo negocio cliente.
• Revelar, compartir o publicar información confidencial del negocio cliente: base de conocimientos, estrategias comerciales, precios, catálogos, historial de conversaciones.
• Proporcionar acceso a los datos de un negocio cliente a otro negocio cliente o a terceros no autorizados.
• Utilizar datos de menores de edad para ninguna finalidad una vez detectados.

Proveedores Terceros y Subencargados del Tratamiento

Transferencias Internacionales de Datos

Solicitud de Eliminación de Datos — Requisito Meta Platforms

10.1 Alcance del Derecho de Eliminación

Cualquier usuario final que haya interactuado con un agente de IA de Xambee a través de Facebook Messenger o Instagram Direct tiene derecho a solicitar la eliminación de los datos que Meta haya compartido con Xambee en el contexto de esa interacción, incluyendo: el Page-Scoped ID o Instagram-Scoped ID, el contenido de todos los mensajes intercambiados, el historial de conversación, los análisis conversacionales derivados y cualquier dato de contexto almacenado.

10.2 Procedimiento para Solicitar Eliminación

• Método 1 — Solicitud directa por correo: Enviar correo a privacy@xambee.com con asunto exacto 'Eliminación de Datos Meta', indicando el nombre de la empresa cuyo agente atendió al usuario y el número de teléfono o identificador de Instagram desde el que se realizó la interacción.
• Método 2 — Callback automático de Meta: Xambee ha configurado en su Meta App Dashboard el mecanismo técnico de Data Deletion Request Callback, que permite a Meta enviar solicitudes de eliminación automatizadas directamente al sistema de Xambee cuando el usuario revoca los permisos de la aplicación desde su configuración de Facebook o Instagram.

10.3 Plazos, Confirmación e Irreversibilidad

Plazos de Retención y Eliminación de Datos

Medidas de Seguridad Técnica y Organizativa

12.1 Medidas de Seguridad Técnica

• Validación criptográfica de autenticidad e integridad de todos los webhooks entrantes mediante verificación de firma HMAC-SHA256, rechazando cualquier solicitud no autenticada.
• Transmisión de datos cifrada mediante HTTPS/TLS 1.2 o superior en absolutamente todas las comunicaciones de la plataforma, tanto internas como externas.
• Todos los tokens de acceso y credenciales de servicios terceros almacenados exclusivamente en variables de entorno cifradas gestionadas por Vercel, nunca en código fuente ni en la base de datos.
• Base de datos Supabase con cifrado en reposo AES-256 sobre infraestructura AWS, con backups automáticos cifrados.
• Control de acceso granular mediante Row Level Security (RLS) en PostgreSQL: cada negocio cliente solo puede acceder a sus propios datos; es técnicamente imposible que un cliente acceda a datos de otro cliente.
• Contraseñas de usuarios almacenadas exclusivamente como hash bcrypt con salt único por contraseña, nunca en texto plano ni en formato reversible.
• Rotación automática de access tokens de Meta Graph API cada 60 días para minimizar el riesgo de uso no autorizado.
• Separación estricta de entornos de desarrollo, staging y producción con credenciales completamente independientes y sin posibilidad de cruce de datos.
• Autenticación de doble factor (2FA) disponible para cuentas de administración del panel de Xambee.
• Protecciones DNS configuradas para el dominio xambee.com: registros SPF y DKIM para prevenir suplantación de correo electrónico.
• Firewall de servidor y reglas de seguridad de red configuradas en el VPS de Hostinger para restringir el acceso a puertos y servicios no necesarios.
• Proxy inverso Traefik con SSL automático (Let's Encrypt) para todos los subdominios del servidor (voice.xambee.com, api.xambee.com).
• Contenedores Docker con aislamiento de procesos para cada servicio en el VPS, minimizando el impacto de una brecha en un servicio individual.

12.2 Medidas de Seguridad Organizativa

• Acceso a datos de producción restringido al personal técnico estrictamente necesario, con principio de mínimo privilegio: cada persona accede solo a lo indispensable para su función.
• Revisión periódica (al menos trimestral) de permisos y accesos otorgados a colaboradores internos y proveedores terceros.
• Procedimiento documentado de respuesta a incidentes de seguridad: protocolo de detección, contención, notificación y recuperación.
• Evaluación de seguridad obligatoria de todo nuevo proveedor tecnológico antes de incorporarlo como subencargado del tratamiento.
• Revisión anual de esta Política de Privacidad y actualización cuando se produzcan cambios relevantes en el servicio, tecnología o legislación.
• Confidencialidad obligatoria para todos los colaboradores que tengan acceso a datos de producción, con cláusulas específicas en sus acuerdos de trabajo.

12.3 Notificación de Brechas de Seguridad

• Contener y mitigar la brecha en el menor tiempo posible desde su detección.
• Notificar a los titulares de datos afectados de manera directa y comprensible, describiendo la naturaleza de la brecha, los datos comprometidos, las medidas tomadas y las acciones recomendadas.
• Notificar al INAI conforme a los plazos y procedimientos establecidos en los artículos 20 de la LFPDPPP y 40 de su Reglamento.
• Documentar la brecha, su origen, impacto y las medidas correctivas implementadas para prevenir su recurrencia.

Derechos ARCO y Cómo Ejercerlos

13.1 Procedimiento para Ejercer Derechos ARCO

Para ejercer cualquiera de los derechos anteriores, el titular o su representante legal debe enviar solicitud escrita al correo privacy@xambee.com con el asunto "Ejercicio de Derechos ARCO", incluyendo obligatoriamente:

• Nombre completo del titular de los datos.
• Correo electrónico y/o número de teléfono registrado en la plataforma Xambee para verificar la identidad.
• Descripción clara y específica del derecho ARCO que desea ejercer y sobre qué datos recae la solicitud.
• Copia escaneada de documento de identificación oficial vigente del titular (INE, pasaporte u equivalente).
• En caso de actuar a través de representante legal: documentación que acredite la representación más identificación del representante.
• Cualquier documentación de soporte que facilite la localización de los datos y la atención de la solicitud.

13.2 Revocación del Consentimiento

El titular puede revocar su consentimiento para el tratamiento de sus datos personales en cualquier momento, de manera gratuita, enviando solicitud a privacy@xambee.com.

Xambee informará al titular, antes de procesar la revocación, sobre las consecuencias de la misma, que podrían incluir la imposibilidad técnica de continuar prestando los servicios contratados. La revocación del consentimiento no tiene efectos retroactivos sobre el tratamiento ya realizado de forma lícita.

13.3 Limitaciones al Ejercicio de Derechos ARCO

Conforme a los artículos 26 y 34 de la LFPDPPP, el ejercicio de los derechos ARCO puede estar limitado cuando el tratamiento sea necesario para:

• Cumplir con una obligación legal, como la conservación de datos fiscales durante 5 años (art. 30 CFF).
• Proteger derechos e intereses legítimos del responsable o de terceros en procedimientos judiciales o administrativos en curso.
• Salvaguardar un interés público preponderante, como seguridad nacional o salud pública.

Cookies y Tecnologías de Rastreo

Menores de Edad

Integraciones con Meta Platforms (Facebook e Instagram)

16.1 Datos que Xambee Recibe de Meta y Cómo los Recibe

• Xambee recibe datos de Meta Platforms EXCLUSIVAMENTE a través de webhooks HTTPS autenticados. Cada solicitud es verificada mediante la firma HMAC-SHA256 incluida en el encabezado 'X-Hub-Signature-256', calculada usando el App Secret de la aplicación de Meta. Cualquier solicitud que no supere esta verificación criptográfica es rechazada inmediatamente.
• Datos recibidos para Messenger: Page-Scoped ID (PSID) del remitente (identificador único por usuario por página, no es el ID de perfil público ni el nombre), identificador de la página de Facebook, timestamp del mensaje y contenido del texto.
• Datos recibidos para Instagram DM: Instagram-Scoped ID del remitente (identificador único por usuario por cuenta de Instagram Business, no es el nombre de usuario ni el perfil público), timestamp del mensaje y contenido del texto.
• Xambee NO tiene acceso a: contraseñas, datos bancarios o financieros, historial de actividad fuera de las conversaciones con el agente, perfil completo del usuario (nombre, foto, amigos, publicaciones, likes, etc.), lista de contactos, datos de anuncios, localización del dispositivo.

16.2 Cómo Xambee Usa los Datos Recibidos de Meta

• Los datos de Meta se usan EXCLUSIVAMENTE para generar respuestas automáticas del agente de IA en nombre del negocio cliente, dentro del contexto estrictamente conversacional.
• Xambee NO usa los datos de Meta para publicidad, perfilado de usuarios finales, análisis de comportamiento agregado, ni para ningún fin distinto a la generación de respuestas.
• Los access tokens de páginas de Facebook son almacenados en variables de entorno cifradas y son usados únicamente para enviar las respuestas a través de la API de Meta.
• Xambee NUNCA envía mensajes proactivos a usuarios que no hayan iniciado previamente la conversación, ni mensajes masivos no solicitados, ni campañas de marketing no autorizadas.
• Xambee cumple estrictamente la política de ventana de mensajería de Meta: solo responde dentro de las 24 horas siguientes al último mensaje del usuario.

16.3 Permisos de Meta Utilizados por Xambee

Xambee no solicita ni utiliza ningún otro permiso de Meta más allá de los listados. Cualquier cambio en los permisos solicitados será comunicado con al menos 15 días de anticipación.

Obligación del Negocio Cliente de Informar sobre IA a sus Usuarios Finales

Modificaciones a esta Política de Privacidad

Contacto y Autoridad Competente