Política de Privacidad

Makatea es Responsable de los datos de tu cuenta y Encargado de los datos de tu cartera. Los datos se alojan en Estados Unidos con cifrado en tránsito y en reposo. Makatea no vende datos personales. La política cubre México, Latinoamérica, la Unión Europea, el Reino Unido, Estados Unidos e India. Los derechos se ejercen gratis en rodrigo@makatea.ai.

SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V. (en adelante, "Makatea", "nosotros" o el "Responsable"), persona moral mexicana con RFC SOB240719U87 y domicilio en Avenida del Valle 162, Colonia Ciudad del Valle, C.P. 63157, Tepic, Nayarit, México, opera la plataforma de software como servicio (SaaS) Makatea para la comunicación, cobranza y gestión de cartera.

Esta Política aplica en todos los países donde Makatea presta el Servicio. Las secciones específicas por país (Sección 12) cubren México, Colombia, Brasil, Ecuador, Perú, la Unión Europea y España, el Reino Unido, Estados Unidos e India. Complementan esta Política y, en lo que corresponda, prevalecen para los titulares de cada país. Para los demás países aplican esta Política y la ley local de protección de datos.

1. Identidad y domicilio del Responsable

• Razón social: SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V.
• Identificación fiscal (RFC): SOB240719U87 (persona moral mexicana, constituida el 19 de julio de 2024)
• Domicilio: Avenida del Valle 162, Colonia Ciudad del Valle, C.P. 63157, Tepic, Nayarit, México
• Único establecimiento: México
• Correo de contacto en materia de privacidad: rodrigo@makatea.ai
• Teléfono de contacto: +52 81 2007 2062

Contacto único de privacidad / Encargado de Protección de Datos (DPO / Encarregado en Brasil): José Rodrigo Barrios Villa, rodrigo@makatea.ai. Este es el canal único para todas las jurisdicciones y para el ejercicio de los derechos de los titulares.

2. Doble rol de Makatea: Responsable vs. Encargado/Operador

Makatea trata datos personales bajo dos roles distintos, y es fundamental distinguirlos.

2.1. Datos de la CUENTA del cliente-usuario · Makatea actúa como RESPONSABLE

Respecto de los datos de las personas que crean y administran una cuenta en Makatea (los usuarios de las organizaciones cliente: titulares de cuenta, administradores y miembros), Makatea actúa como Responsable del tratamiento (controlador, en términos de la LGPD brasileña).

2.2. Datos de la CARTERA de terceros · Makatea actúa como ENCARGADO / OPERADOR

Respecto de los datos personales de los clientes, deudores o contactos finales que la organización cliente importa, carga y gestiona en la plataforma (la "cartera"), Makatea actúa como Encargado del tratamiento (operador / data processor), por cuenta y según las instrucciones de la organización cliente, que es el Responsable de esos datos.

Esto significa que:

• La organización cliente determina las finalidades y los medios del tratamiento de los datos de su cartera, es responsable de contar con la base legal/legitimación y el consentimiento (cuando aplique) para tratar esos datos y para cargarlos en Makatea, y es responsable de atender los derechos de sus propios clientes/deudores.
• Makatea trata esos datos únicamente para prestar el servicio contratado (gestión de cartera, comunicación, cobranza, conciliación de pagos), siguiendo las instrucciones de la organización cliente, y no los utiliza para finalidades propias distintas. La única excepción es la generación de reportes/insights solicitados por la propia organización, para lo cual se procesan datos agregados/derivados de la cartera (ver Secciones 4.1, 6 y 10).
• La relación Responsable–Encargado se rige por un acuerdo de tratamiento de datos (DPA) entre Makatea y la organización cliente, que delimita el rol de Encargado/Operador e incluye cláusulas de seguridad, confidencialidad, atención de derechos y subencargo. El DPA se acepta electrónicamente al aceptar los Términos de Servicio (click-wrap) y queda incorporado por referencia; no requiere firma autógrafa ni un acto de firma separado. La organización cliente (Responsable) acepta el DPA al registrarse y contratar el servicio. El texto del DPA está disponible públicamente en https://makatea.ai/dpa.

Si usted es un cliente/deudor final cuyos datos fueron cargados en Makatea por una empresa con la que tiene una relación, y desea ejercer sus derechos, debe dirigirse en primer lugar a esa empresa (el Responsable). Makatea trasladará y atenderá las solicitudes en su calidad de Encargado, conforme a las instrucciones del Responsable.

3. Datos personales que tratamos

3.1. Datos de la cuenta del cliente-usuario (Makatea = Responsable)

Recabados directamente del usuario al momento del registro y uso de la plataforma:

• Nombre completo
• Correo electrónico (identificador de cuenta; usado para inicio de sesión, recuperación de contraseña y verificación de correo)
• Teléfono
• Contraseña (almacenada siempre en forma cifrada/hasheada, nunca en texto plano)
• Nombre de la organización
• Zona horaria y preferencia de idioma (es/en/pt)
• Consentimiento de marketing (opt-in: indicador de si acepta recibir comunicaciones promocionales de Makatea)
• Marca temporal (timestamp) de aceptación de términos
• Rol dentro de la organización
• Registros de auditoría asociados a sus acciones, incluyendo dirección IP, user-agent (navegador/dispositivo) y marca temporal de las acciones realizadas en la plataforma (creación, actualización, eliminación, inicio de sesión, importación, envío, registro de pago)
• Suscripciones de notificaciones push del navegador (endpoint y claves de cifrado del navegador), cuando el usuario las activa
• Datos de navegación recabados en el sitio público mediante cookies y tecnologías similares: identificador seudónimo del navegador, dirección IP, tipo de navegador y dispositivo, sistema operativo, idioma, ubicación aproximada a nivel de ciudad, origen de la visita (referente o campaña), páginas vistas y tiempos de acceso

Cookies de medición. El sitio público usa cookies de medición de tráfico con fines estadísticos. Se asocian a un identificador seudónimo del navegador, no a su nombre ni a su correo. Sirven para saber qué páginas se consultan y desde dónde llega la gente. En la Unión Europea, el Espacio Económico Europeo y el Reino Unido se activan sólo si usted las acepta en el aviso de cookies. En los demás países se activan al cargar el sitio y se informan en esta Política. Puede bloquearlas o borrarlas desde su navegador sin que ello impida usar la plataforma. El detalle está en la Política de Cookies, https://makatea.ai/legal/cookies.

Carácter obligatorio o facultativo de los datos de cuenta. En el formulario de registro son obligatorios los datos necesarios para crear y operar la cuenta: nombre, correo electrónico, contraseña y nombre de la organización. Son facultativos: teléfono, preferencia de idioma/zona horaria y el consentimiento de marketing. Consecuencia de no proporcionar los datos obligatorios: no será posible crear la cuenta ni prestar el servicio.

3.2. Datos de la cartera de terceros (Makatea = Encargado / Operador)

Cargados por la organización cliente sobre sus propios clientes/deudores. Makatea los almacena y procesa por cuenta del Responsable.

Datos de identificación y contacto del tercero:

• Nombre completo (obligatorio)
• Teléfono (normalizado para mensajería; los canales operativos son WhatsApp y correo electrónico)
• Correo electrónico (opcional)
• Domicilio
• Datos de identificación nacional/fiscal, según el país, incluyendo en México CURP y RFC (almacenados en un campo de identidad)
• Referencia externa (identificador del tercero en el sistema de origen del cliente)
• Campos personalizados definidos libremente por la organización cliente
• Etiquetas y notas de texto libre

Datos financieros y de cartera del tercero:

• Saldo inicial al importar y estado inicial en el sistema de origen
• Órdenes de pago: monto, moneda, fecha de vencimiento, etiqueta de período, estado (pendiente/vencida/pagada/cancelada), monto pagado
• Créditos y cronogramas de pago: monto principal, monto total, número y frecuencia de períodos, fecha de inicio, estado
• Registro de pagos (ledger): monto, método de pago (transferencia/efectivo/QR/externo), referencia/comprobante de pago, usuario que registró el pago, marca temporal, notas y registros de anulación
• Comprobantes de pago (tipo, referencia, quién y cuándo confirmó, notas)
• Estado de la relación derivado del comportamiento de cartera (activo/en riesgo/moroso/inactivo/dado de baja), calculado por el sistema y no editable manualmente

Datos de identidad/KYC del tercero (documentos):

• Documentos de identidad y comprobante de domicilio (p. ej., identificación oficial frontal y reverso, comprobante), almacenados en almacenamiento privado, con tipo, estado (ok/faltante) y descripción

Naturaleza sensible / categorías especiales y datos financieros. Algunos de estos datos pueden constituir datos patrimoniales/financieros (saldos, deudas, comprobantes) y datos de identificación reforzada. En varias jurisdicciones estos datos requieren bases de legitimación reforzadas o consentimiento expreso. La obtención de dicho consentimiento/base legal respecto de los terceros corresponde a la organización cliente (Responsable), no a Makatea. Cuando Makatea trate datos financieros/patrimoniales como Responsable (datos de cuenta del usuario), recabará el consentimiento expreso documentado que corresponda (ver Secciones 5 y 12.1).

Datos de reconciliación bancaria del tercero:

• Referencia de pago fija del banco, CLABE de origen y alias de pagadores aprendidos a partir de transacciones, líneas de archivos bancarios (nombre del pagador, CLABE, fecha, referencia, monto)

Datos de comunicación e interacciones:

• Texto completo de los mensajes (entrantes y salientes), canal (WhatsApp y correo electrónico), dirección (entrante/saliente), clasificación de la intención del mensaje (p. ej., intención de pago, pregunta, objeción, reprogramación, exclusión/"opt-out", sin intención), metadatos de la clasificación (regla o modelo, versión, confianza, latencia), marca temporal y, en su caso, URL del archivo multimedia adjunto
• Datos de secuencias/campañas (cuándo y por qué se programó/envió cada mensaje)
• Consentimientos y exclusiones (opt-out): canales de los que el tercero se excluyó y registro de solicitudes de exclusión ("no me manden más"), conservados como parte del historial

Canales de comunicación. Los canales de envío operativos son WhatsApp y correo electrónico. Makatea no opera SMS como canal de envío.

No tratamiento de datos de tarjetas. El procesamiento de pagos con tarjeta se realiza en entornos alojados por los procesadores de pago; los datos de tarjeta no son tratados ni almacenados por Makatea (ver Sección 6).

3.3. Datos del buzón de Gmail que conecta la organización

Si la organización conecta su cuenta de Gmail o de Google Workspace para enviar y recibir correo desde Makatea, se tratan además los datos de Gmail que describe la Sección 16, con los límites que ahí se indican.

4. Finalidades del tratamiento

4.1. Datos de la cuenta (Makatea = Responsable)

• Crear, autenticar y administrar la cuenta del usuario y su organización (registro, inicio de sesión, verificación de correo, recuperación de contraseña, invitaciones)
• Prestar, mantener y dar soporte al servicio contratado
• Gestionar roles, permisos y aislamiento de datos por organización
• Mantener registros de auditoría y seguridad de la plataforma
• Medir el tráfico del sitio público con fines estadísticos: páginas consultadas, origen de las visitas y comportamiento agregado de navegación, para mejorar el contenido y el servicio
• Monitorear la salud operativa del servicio de cada organización (estado de conexión de sus canales, volúmenes de envío y recepción, colas de mensajes pendientes, errores de entrega y fechas de última actividad). Este monitoreo usa exclusivamente metadatos operativos: en ningún caso implica acceso del personal de Makatea al contenido de los mensajes ni a los datos personales de la cartera de la organización
• Generar reportes e información agregada para la organización (incluidos reportes semanales con narrativa generada por IA a partir de métricas agregadas/derivadas, no de registros individuales completos)
• Marketing (solo si el usuario otorgó el consentimiento opt-in): envío de comunicaciones promocionales de Makatea. Esta finalidad no es necesaria para la prestación del servicio y puede revocarse en cualquier momento.

4.2. Datos de la cartera de terceros (Makatea = Encargado)

Makatea trata estos datos exclusivamente por cuenta e instrucción de la organización cliente, para:

• Almacenar y organizar la cartera de la organización cliente
• Enviar comunicaciones de cobranza, recordatorios y campañas a los contactos de la organización, por los canales configurados
• Registrar y clasificar interacciones; aprender preferencias de contacto (canal preferido, mejor horario, tasa de respuesta) para optimizar la comunicación
• Registrar pagos y conciliar cartera (incluida la conciliación bancaria)
• Gestionar documentos de identidad/KYC cargados por la organización
• Mantener trazabilidad y registros de auditoría de las operaciones sobre la cartera

Makatea no utiliza los datos de la cartera para finalidades propias ni los comercializa. Únicamente procesa datos agregados/derivados para generar los reportes/insights solicitados por la propia organización (ver Sección 6 sobre el subprocesador de IA).

5. Base legal / legitimación del tratamiento

La base legal varía según el rol, el dato y la jurisdicción. La siguiente tabla es de carácter general; el desglose por operación concreta exigido por el estándar peruano se detalla a continuación.

Desglose de base legal por operación (estándar PE, Reglamento D.S. 016-2024-JUS; aplicado también como buena práctica):

Aclaración (cartera de terceros). Donde la tabla anterior indica "Instrucción del Responsable (Makatea como Encargado)", debe entenderse que ello describe el rol de encargado de Makatea, no una base/condición de licitud por sí misma. La condición de licitud aplicable a cada operación de la cartera (consentimiento, ejecución de contrato, interés legítimo u obligación legal) la determina y declara la organización cliente (Responsable) en su propio aviso de privacidad, conforme a la ley de su jurisdicción. Makatea trata esos datos únicamente siguiendo dichas instrucciones.

Las particularidades por jurisdicción (p. ej., autorización previa, expresa e informada en Colombia; hipótesis del art. 7 LGPD en Brasil; supuestos del art. 7 LOPDP en Ecuador; consentimiento libre, previo, expreso, informado e inequívoco en Perú; consentimiento expreso para datos sensibles/financieros en México) se detallan en la Sección 12.

6. Transferencias, encargados y sub-encargados (subprocesadores)

Para prestar el servicio, Makatea utiliza proveedores tecnológicos que actúan como encargados/subprocesadores. A continuación se identifican los subprocesadores y los datos que reciben. Algunos implican transferencia internacional de datos. Cada subprocesador trata los datos bajo sus propios términos y acuerdos de tratamiento/cláusulas contractuales estándar, que se aplican al usar su servicio y quedan incorporados por referencia.

La lista por función y país se publica en https://makatea.ai/legal/subencargados. La identidad de cada subprocesador, su ubicación y el mecanismo de legitimación de la transferencia se ponen a disposición del titular o del Cliente a solicitud, por el canal de contacto indicado en esta Política.

La mensajería de WhatsApp se opera sobre infraestructura propia de Makatea alojada en Estados Unidos. No se trata de un tercero subprocesador independiente, sino de infraestructura de la propia plataforma; el alojamiento de esos datos en Estados Unidos constituye una transferencia internacional, sujeta a las garantías descritas en esta Sección.

Naturaleza de las transferencias. Cuando Makatea aloja o procesa datos de la cartera en proveedores fuera del país del titular, lo hace en su calidad de Encargado, por cuenta del Responsable. Las transferencias internacionales a Estados Unidos se realizan bajo las cláusulas contractuales estándar incorporadas en los términos de cada proveedor, conforme a las variantes que reconoce cada jurisdicción: en Brasil, las cláusulas-padrão de la ANPD (Res. CD/ANPD 19/2024); en Colombia, el régimen de transmisión internacional (Decreto 1377, art. 25); en Ecuador, las cláusulas tipo (Res. SPDP-SPD-2026-0004-R) junto con el registro de transferencias; en Perú, las garantías apropiadas aplicables; y en la Unión Europea y el Reino Unido, las cláusulas contractuales tipo de la Comisión Europea y su anexo británico. Estas transferencias se informan al titular mediante esta Política.

No vendemos ni alquilamos datos personales. Makatea no comercializa datos personales. Los subprocesadores listados en esta Sección 6 reciben datos únicamente para prestar el servicio, bajo acuerdos de tratamiento de datos; no se comparten datos con terceros para fines distintos a la prestación del servicio. El envío de métricas agregadas y nombre de la organización al subprocesador de análisis, ubicado en Estados Unidos, constituye un tratamiento por un Encargado en el exterior, sujeto a las garantías de transferencia internacional aquí descritas.

No se realiza exportación de datos personales a servicios externos de analítica o CRM adicionales distintos de los subprocesadores enumerados en esta Sección 6.

7. Conservación de los datos

• Las tablas principales emplean un patrón de borrado lógico (soft-delete) preferente sobre el borrado físico: los miembros se marcan como dados de baja y las órdenes como canceladas, sin borrado en cascada.
• Los registros de interacciones, pagos (ledger) y auditoría son de tipo "append-only" a nivel de aplicación (solo se añaden; no se actualizan ni eliminan en la operación normal): conservan el historial completo, incluidas las anulaciones registradas como nuevos eventos.
• Los registros de auditoría conservan instantáneas (snapshots) de los datos antes de su eliminación (p. ej., nombre, teléfono, monto, estado).

Criterios y plazos de retención/eliminación por categoría de dato:

Al cancelar o eliminar una cuenta de organización, los datos personales se eliminan o anonimizan salvo cuando exista una obligación legal de conservación (p. ej., fiscal/contable), en cuyo caso se conservan únicamente por el plazo y para la finalidad que dicha obligación exige.

Respaldos (backups). Los respaldos son gestionados por la infraestructura del proveedor de base de datos, ubicada en Estados Unidos, y están sujetos a sus propios plazos de retención y a las garantías de cifrado en reposo descritas en la Sección 8.

Respecto de la cartera de terceros, los plazos de conservación los determina la organización cliente (Responsable), conforme a sus obligaciones legales (p. ej., contables/fiscales) y a las instrucciones que imparta a Makatea.

8. Medidas de seguridad

Makatea aplica las siguientes medidas técnicas y administrativas:

• Cifrado en tránsito (HTTPS/TLS) en todos los endpoints y llamadas de red.
• Aislamiento de datos por organización a nivel de base de datos en todas las tablas principales: cada organización accede únicamente a sus propios datos. Makatea revisa este aislamiento de forma continua.
• Almacenamiento privado para documentos KYC, multimedia y archivos de conciliación, con acceso restringido a la organización propietaria.
• Protección de secretos de integración: las claves de integración (por ejemplo, las de mensajería y las de los procesadores de pago) se guardan cifradas o con acceso restringido y no son accesibles para los usuarios de la organización.
• Registro de auditoría que captura usuario, acción, recurso, valores anteriores/posteriores, dirección IP, user-agent y marca temporal. La plataforma sólo agrega eventos a este registro y no ofrece operaciones para modificarlos ni borrarlos.
• Funciones transaccionales atómicas para operaciones de pago, protegidas contra condiciones de carrera.
• Acceso restringido del personal: el personal autorizado de Makatea accede a los datos sólo en la medida necesaria para operar y dar soporte a la plataforma, y está sujeto a acuerdos de confidencialidad respecto de los datos personales tratados.

Cifrado en reposo. Los datos en reposo se cifran con AES-256 en la infraestructura de nube que los aloja, y los datos de pago se procesan en entornos PCI-DSS de los procesadores de pago.

Notificación de vulneraciones de seguridad. En caso de una vulneración de seguridad que afecte datos personales, Makatea, en su calidad de Responsable o Encargado según corresponda, notificará al Responsable, a los titulares afectados y/o a la autoridad de control conforme a la ley aplicable (art. 19 LFPDPPP MX; art. 48 LGPD BR; obligaciones EC; 48 horas ante la APDP en Perú; arts. 33 y 34 RGPD en la Unión Europea y el Reino Unido, ver Sección 12). La notificación incluirá la descripción del incidente, los datos afectados, las medidas adoptadas y las recomendaciones al titular.

9. Derechos de los titulares y cómo ejercerlos

9.1. Si usted es usuario de la cuenta (Makatea = Responsable)

Puede ejercer sus derechos directamente ante Makatea, según su jurisdicción (ver Sección 12 para el catálogo completo y los plazos por país):

• Acceso a sus datos (todas las jurisdicciones)
• Rectificación / actualización de datos inexactos o incompletos (todas las jurisdicciones)
• Cancelación / supresión / eliminación de sus datos, con bloqueo previo donde la ley lo prevé (todas las jurisdicciones)
• Oposición al tratamiento, incluida la oposición al tratamiento automatizado / elaboración de perfiles (en México, embebida en el derecho de oposición del art. 26-II LFPDPPP) (todas las jurisdicciones)
• Revocación del consentimiento (p. ej., marketing) en cualquier momento, sin efecto retroactivo (todas las jurisdicciones)
• Limitación / suspensión del tratamiento, derecho propio de BR, EC, PE, la Unión Europea y el Reino Unido; no es un derecho autónomo en México bajo la LFPDPPP (en MX se canaliza por la cancelación-con-bloqueo del art. 24 y la oposición del art. 26)
• Portabilidad, derecho propio de BR (art. 18 LGPD), EC (art. 20 LOPDP), PE, la Unión Europea y el Reino Unido (art. 20 RGPD); no es un derecho autónomo en México bajo la LFPDPPP
• No ser objeto de decisiones automatizadas con efectos jurídicos significativos, en MX se ejerce vía la oposición del art. 26-II; en BR, EC, la Unión Europea y el Reino Unido como derecho expreso (art. 20 LGPD, art. 22 LOPDP, art. 22 RGPD)

Para México, los derechos ejercitables ante Makatea son los derechos ARCO (acceso art. 22, rectificación art. 23, cancelación-con-bloqueo art. 24, oposición art. 26 (incluida la oposición al tratamiento automatizado del art. 26-II)) y la revocación del consentimiento (art. 7). La portabilidad y la limitación/suspensión no son derechos autónomos de la LFPDPPP mexicana; corresponden a BR/EC/PE (ver Sección 12).

Borrado y exportación a solicitud. A solicitud por el canal único, Makatea ofrece: (a) la eliminación o anonimización efectiva de sus datos personales (incluido, donde proceda, el tratamiento de registros append-only y respaldos), salvo cuando exista obligación legal de conservación; y (b) la exportación de sus datos en formato estructurado y de lectura mecánica (acceso/portabilidad). Estas solicitudes se atienden mediante el canal único de privacidad.

Medios para ejercerlos: envíe su solicitud a rodrigo@makatea.ai, identificándose e indicando el derecho que desea ejercer. El ejercicio de estos derechos es gratuito. Los plazos de respuesta se indican por país en la Sección 12.

Funciones disponibles en la plataforma:

• Exportación a CSV (UTF-8): la interfaz permite exportar reportes, conciliación y plantillas en formato agregado. Esta función es agregada y a nivel de organización; no equivale a la exportación de acceso/portabilidad por titular individual, que se atiende a solicitud por el canal único (ver arriba).
• Rectificación: edición de datos de miembros y órdenes desde la interfaz.
• Cancelación: baja de miembros y cancelación de órdenes; la eliminación/anonimización efectiva se atiende a solicitud por el canal único.

9.2. Si usted es un cliente/deudor de la cartera (Makatea = Encargado)

Sus derechos se ejercen ante la organización (empresa) que cargó sus datos en Makatea, que es el Responsable. Si dirige su solicitud a Makatea, la trasladaremos al Responsable y la atenderemos conforme a sus instrucciones y a la ley aplicable, en nuestra calidad de Encargado.

Para solicitar la exclusión de comunicaciones (opt-out): puede responder a cualquier mensaje indicando que no desea recibir más comunicaciones. Su respuesta queda registrada y le llega a la organización que le cobra, que es el Responsable y quien decide sobre su solicitud.

10. Decisiones automatizadas y elaboración de perfiles

La plataforma clasifica automáticamente las interacciones (p. ej., intención de pago, objeción, exclusión) mediante reglas o modelos, y deriva el estado de la relación del tercero (activo/en riesgo/moroso/inactivo/dado de baja) a partir del comportamiento de cartera; asimismo aprende preferencias de contacto (canal, mejor horario, tasa de respuesta). Estas funciones apoyan la operación de cobranza/comunicación de la organización cliente.

Lógica aplicada y consecuencias:

• La clasificación de interacciones asigna una etiqueta de intención al mensaje, mediante reglas o un modelo, con un valor de confianza; sirve para priorizar y orientar la respuesta del operador.
• El estado de la relación se deriva automáticamente del comportamiento de pago/contacto y orienta la estrategia de comunicación de la organización.
• El aprendizaje de preferencias de contacto ajusta canal y horario de envío para optimizar la comunicación.

Derecho a revisión / no sujeción a decisiones automatizadas. Estas funciones están concebidas como apoyo a la decisión del operador humano de la organización cliente, no como decisiones plenamente automatizadas que produzcan por sí solas efectos jurídicos o significativos sobre el titular. En cualquier caso, el titular puede solicitar la intervención humana y la revisión de tales clasificaciones ante el Responsable.

11. Comunicación de cambios a esta Política

Makatea podrá modificar esta Política de Privacidad. Cualquier modificación se comunicará, con antelación a su entrada en vigor, mediante: (i) publicación de la versión actualizada en la plataforma/sitio web con la fecha de última actualización destacada, y (ii) notificación al titular de la cuenta por correo electrónico registrado. Para cambios sustanciales que requieran nuevo consentimiento, este se solicitará antes de aplicar el tratamiento correspondiente. El uso continuado del servicio tras la entrada en vigor de los cambios implica su conocimiento, sin perjuicio de los derechos del titular.

12. Secciones específicas por jurisdicción

12.1. México (MX) · LFPDPPP

• Marco: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (vigente desde el 21 de marzo de 2025; Reglamento de 2011 supletorio). Autoridad: Secretaría Anticorrupción y Buen Gobierno (SABG).

• Carácter de este aviso: integral.

• Aviso de privacidad simplificado (art. 16): en el punto de recolección (formulario de registro y cualquier punto de captura) se muestra el siguiente texto:

  Aviso de Privacidad Simplificado. SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V. (el "Responsable"), con domicilio en Avenida del Valle 162, Colonia Ciudad del Valle, C.P. 63157, Tepic, Nayarit, México, tratará sus datos personales para crear y administrar su cuenta, prestar el servicio contratado y, si usted lo autoriza, enviarle comunicaciones promocionales. Algunas finalidades pueden requerir su consentimiento expreso (p. ej., tratamiento de datos financieros/patrimoniales) y pueden implicar transferencias a proveedores en el extranjero. Usted puede limitar el uso o divulgación de sus datos y revocar el consentimiento de marketing escribiendo a rodrigo@makatea.ai o mediante el enlace de baja en nuestras comunicaciones (art. 15-IV). Usted puede conocer las finalidades que requieren su consentimiento, los terceros receptores y ejercer sus derechos ARCO consultando el Aviso de Privacidad Integral (este documento), disponible en https://makatea.ai o solicitándolo a rodrigo@makatea.ai.

• Datos sensibles y financieros: el tratamiento de datos financieros/patrimoniales y sensibles requiere consentimiento expreso (arts. 7 y 8). Cuando Makatea trate estos datos como Responsable, recabará y documentará dicho consentimiento expreso. Respecto de la cartera, dicho consentimiento corresponde obtenerlo a la organización cliente (Responsable).

• Derechos ARCO + revocación (arts. 22–26): Acceso (art. 22), Rectificación (art. 23), Cancelación (art. 24, con periodo de bloqueo previo a la supresión), Oposición (art. 26, incluye la oposición a la elaboración de perfiles / tratamiento automatizado, art. 26-II) y revocación del consentimiento (art. 7). La LFPDPPP no reconoce un derecho autónomo de portabilidad ni de limitación/suspensión al estilo LGPD/RGPD; esos derechos corresponden a otras jurisdicciones (BR/EC/PE).

• Medios para limitar el uso o divulgación (art. 15-IV): puede solicitar la limitación del uso o divulgación de sus datos escribiendo a rodrigo@makatea.ai; respecto del marketing, puede revocar su consentimiento en cualquier momento por el mismo canal o mediante el enlace de baja en las comunicaciones.

• Procedimiento de revocación del consentimiento (art. 7): para revocar, el titular envía su solicitud a rodrigo@makatea.ai identificándose (nombre y correo de cuenta) e indicando el consentimiento que revoca. Makatea atiende la solicitud dentro de los plazos del art. 31 (20 días hábiles para responder; 15 días hábiles para hacerla efectiva); la revocación surte efecto hacia el futuro, sin efecto retroactivo, sobre el tratamiento amparado por dicho consentimiento. Se distinguen dos supuestos: (i) revocación del consentimiento de marketing, que también puede ejercerse por el enlace de baja en las comunicaciones y no afecta la prestación del servicio; y (ii) revocación del consentimiento expreso para el tratamiento de datos financieros/patrimoniales que Makatea trata como Responsable, cuya revocación puede limitar o impedir las finalidades que dependan de esos datos.

• Plazos: 20 días hábiles para responder y 15 días hábiles para hacer efectivo el derecho (art. 31). Ejercicio gratuito (art. 34).

• Cláusula de transferencia con opción de negativa (art. 35): mediante este aviso se le informa que sus datos podrán transferirse a los terceros/subprocesadores señalados en la Sección 6. Si usted no desea que sus datos personales sean transferidos para las finalidades que no son necesarias para la relación, puede manifestar su negativa comunicándolo a rodrigo@makatea.ai. La falta de manifestación de negativa se entenderá como aceptación de las transferencias descritas. El tratamiento por un Encargado no constituye transferencia (art. 2). Recurso ante la SABG (arts. 38–39).

• Designación de persona o departamento de datos personales (art. 29): contacto único de privacidad, José Rodrigo Barrios Villa, rodrigo@makatea.ai. No existe un registro nacional obligatorio de bases de datos en México.

• Notificación de vulneraciones (art. 19): Makatea notificará al titular afectado, sin demora, las vulneraciones de seguridad ocurridas que afecten significativamente sus derechos patrimoniales o morales, para que pueda tomar medidas.

12.2. Colombia (CO) · Ley 1581 de 2012 y Decreto 1377 de 2013

• Marco: Régimen de Habeas Data; autoridad: Superintendencia de Industria y Comercio (SIC).

• Política de Tratamiento (Decreto 1377, art. 13): este documento incluye razón social, domicilio y contacto del Responsable; el tratamiento y su finalidad; los derechos del titular; el procedimiento para ejercer derechos; el área responsable de peticiones, consultas y reclamos; y la fecha de entrada en vigencia.

  • Área/persona responsable de peticiones, consultas y reclamos (num. 4): canal único de privacidad, rodrigo@makatea.ai.
  • Fecha de entrada en vigencia (num. 6): 15 de junio de 2026. Vigencia de la base de datos: el tratamiento subsiste mientras dure la relación con la organización cliente y conforme a los plazos de conservación de la Sección 7.

• Aviso de Privacidad de recolección (Decreto 1377, arts. 14–15): distinto de esta Política completa, se entrega a más tardar al momento de recolectar los datos. Makatea lo entrega al titular de la cuenta en el registro (donde Makatea es Responsable). Respecto de la cartera de terceros, Makatea actúa como Encargado y no tiene canal directo con esos titulares en la importación masiva: el deber de entregar el aviso de recolección y de obtener y conservar la prueba de la autorización (incluido el deber del art. 10 del Decreto 1377 respecto de datos recolectados antes de su entrada en vigencia) corresponde a la organización cliente (Responsable). Esta obligación se traslada al Cliente como instrucción y garantía en el DPA. Texto del aviso corto que Makatea entrega al titular de la cuenta:

  Aviso de Privacidad. SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V. tratará sus datos personales para la creación y gestión de su cuenta, la prestación del servicio y, con su autorización, comunicaciones comerciales. Usted tiene derecho a conocer, actualizar, rectificar y suprimir sus datos y a revocar la autorización. Para datos sensibles, su autorización es facultativa. Consulte la Política de Tratamiento completa en https://makatea.ai o solicítela a rodrigo@makatea.ai.

• Autorización (art. 9; Decreto 1377, arts. 5–9): previa, expresa e informada; Makatea (como Encargado) y la organización cliente (Responsable) conservan prueba de la autorización.

• Datos sensibles (Decreto 1377, art. 6): se le informa expresamente que, por tratarse de datos sensibles, no está obligado a autorizar su tratamiento. Makatea, como Encargado, no solicita datos sensibles de forma estructurada; sin embargo, podrían incorporarse datos sensibles en los campos personalizados, etiquetas y notas de texto libre y en los documentos de identidad/KYC que la organización cliente (Responsable) cargue, cuya finalidad es exclusivamente la gestión de cartera, comunicación y cobranza instruida por el Responsable. La autorización para datos sensibles es explícita y separada y la obtiene el Responsable de sus titulares.

  • Aclaración sobre datos financieros en Colombia: los datos financieros, crediticios y de cartera no son "datos sensibles" en el sentido del art. 5 de la Ley 1581; su tratamiento se rige por la Ley 1266 de 2008 (Habeas Data financiero). Por tanto, el régimen de autorización separada de datos sensibles no aplica a los datos financieros de la cartera, sin perjuicio del régimen propio de la Ley 1266 que corresponde observar al Responsable.

• Advertencia al Cliente, Ley 1266 de 2008 (Habeas Data financiero/comercial): la Ley 1266 de 2008 regula un régimen distinto e independiente de la Ley 1581 de 2012 y el Decreto 1377 de 2013. Si la organización cliente (Responsable) utiliza la plataforma para reportar, gestionar o administrar información financiera, crediticia, comercial o de servicios negativa de sus deudores (p. ej., con destino a centrales de riesgo/bancos de datos de información financiera), puede quedar sujeta a la Ley 1266 de 2008 en su condición de "fuente" u "operador" de información, lo que le impone deberes específicos (entre otros: veracidad y calidad del dato, actualización y rectificación oportuna, comunicación previa al titular antes de reportar un dato negativo, y observancia de la caducidad/permanencia del dato negativo) así como el respeto de los derechos reforzados del titular que esa ley reconoce. Makatea provee únicamente el software de gestión y comunicación; no opera ni administra centrales de riesgo ni bancos de datos de información financiera, y no asume la condición de fuente, operador ni usuario bajo la Ley 1266.

• Derechos del titular (art. 8): conocer, actualizar, rectificar; solicitar prueba de la autorización; ser informado del uso dado a sus datos; presentar quejas ante la SIC; revocar la autorización y/o solicitar supresión; acceder gratuitamente a sus datos.

• Plazos: consultas: 10 días hábiles (prorrogables 5); reclamos: 15 días hábiles (prorrogables 8); marcado de "reclamo en trámite".

• Procedimiento de consultas (art. 14 Ley 1581): el titular o sus causahabientes podrán consultar la información que repose en la base de datos dirigiéndose a rodrigo@makatea.ai. La consulta se atiende en máximo 10 días hábiles desde su recepción; si no fuere posible, se informa al interesado los motivos de la demora y la fecha de atención, que no superará los 5 días hábiles siguientes al vencimiento del primer plazo.

• Procedimiento de reclamos (art. 15 Ley 1581): el reclamo se presenta a rodrigo@makatea.ai mediante escrito que contenga: (i) identificación del titular (nombre y documento), (ii) descripción de los hechos que dan lugar al reclamo, (iii) dirección de notificación y (iv) los documentos que se quieran hacer valer. Si el reclamo está incompleto, se requerirá al interesado dentro de los 5 días siguientes para que subsane; transcurridos 2 meses desde la fecha del requerimiento sin que el solicitante subsane, se entiende que ha desistido. Una vez recibido el reclamo completo, se incluye en la base de datos la leyenda "reclamo en trámite" y el motivo, en un término no mayor a 2 días hábiles, leyenda que se mantiene hasta que el reclamo sea decidido. El término máximo para atender el reclamo es de 15 días hábiles desde su recepción; si no fuere posible, se informan los motivos y la fecha de respuesta, que no superará los 8 días hábiles siguientes al vencimiento del primer plazo.

• Agotamiento previo (art. 16 Ley 1581): el titular solo podrá elevar queja ante la SIC una vez agotado el trámite de consulta o reclamo ante Makatea (o el Responsable, según corresponda).

• Transferencia vs. transmisión internacional: dado que Makatea actúa como Encargado y aloja datos en proveedores en el exterior, ello constituye transmisión internacional, amparada mediante el régimen de transmisión (Decreto 1377, art. 25) incorporado en los términos de cada subprocesador, que impone a Makatea aplicar la política del Responsable, confidencialidad, seguridad y atención de consultas/reclamos.

• RNBD (Registro Nacional de Bases de Datos): la inscripción solo es obligatoria para sociedades/ESAL con activos superiores a 100.000 UVT y personas jurídicas públicas (Decreto 090 de 2018). En la medida en que la operación efectiva de Makatea en Colombia haga aplicable este registro, se evaluará y realizará la inscripción correspondiente.

• DPO: el canal único de privacidad y de PQR es rodrigo@makatea.ai.

12.3. Brasil (BR) · LGPD (Lei nº 13.709/2018)

• Marco: Lei Geral de Proteção de Dados Pessoais; autoridad: ANPD. Resoluções CD/ANPD nº 18/2024 (Encarregado) e nº 19/2024 (Transferência Internacional).
• Papeles: Makatea actúa como controladora de los datos de registro y facturación de la cuenta del cliente-usuario y como operadora de los datos que el cliente sube a la plataforma (cartera de terceros), siguiendo las instrucciones del controlador (art. 39, DPA).
• Bases legales (art. 7º): en B2B predominan ejecución de contrato (art. 7º, V), cumplimiento de obligación legal (art. 7º, II) y legítimo interés (art. 7º, IX); el consentimiento (art. 7º, I) se aplica al marketing.
• Forma y duración del tratamiento (art. 9º, II): los criterios y plazos de retención/eliminación por categoría de dato constan en la Sección 7 de esta Política.
• Derechos del titular (art. 18): confirmación de la existencia de tratamiento; acceso; corrección; anonimización, bloqueo o eliminación de datos innecesarios/excesivos/en desconformidad; portabilidad; eliminación de los datos tratados con base en el consentimiento (salvo el art. 16); información sobre compartición; información sobre la posibilidad de no consentir y sus consecuencias; revocación del consentimiento; y revisión de decisiones automatizadas (art. 20), ver Sección 10.
• Transferencia internacional (art. 33; Res. 19/2024): se realiza a Estados Unidos bajo las cláusulas-padrão contratuais aprovadas pela ANPD (Res. CD/ANPD 19/2024), incorporadas a los términos de los subprocesadores ubicados en Estados Unidos y a la infraestructura de mensajería de Makatea. Solo la UE/EEE cuenta con decisión de adecuación; Estados Unidos no tiene adecuación, por lo que rige el mecanismo de cláusulas-padrão.
• Encarregado (DPO), art. 41, §1º-§2º; Res. 18/2024: Encarregado designado: José Rodrigo Barrios Villa; canal público de contacto: rodrigo@makatea.ai. (La LGPD no exige residencia en Brasil.)
• Registro de las operaciones de tratamiento (RoPA, art. 37) y procedimiento de comunicación de incidentes a la ANPD y a los titulares (art. 48), conforme a la ley aplicable.
• Decisiones automatizadas (art. 20): ver Sección 10; se garantiza el derecho a solicitar revisión.

12.4. Ecuador (EC) · LOPDP

• Marco: Ley Orgánica de Protección de Datos Personales y su Reglamento (Decreto 904/2023); Resoluciones SPDP sobre Delegado (2025-0028-R) y Transferencias (SPDP-SPD-2026-0004-R). Autoridad: Superintendencia de Protección de Datos Personales (SPDP).
• Información previa (arts. 12–13): identidad y contacto del Responsable; finalidades específicas; base de licitud (art. 7); categorías de datos (advertencia sobre datos sensibles); origen cuando no se obtienen del titular; destinatarios; transferencias y país de destino con sus garantías; plazos de conservación (Sección 7); existencia de decisiones automatizadas/perfiles y su lógica (art. 22, Sección 10).
• Plazos/criterios de conservación (art. 12): declarados por categoría de dato en la Sección 7.
• Decisiones automatizadas y perfilado (art. 22): la plataforma realiza clasificación de interacciones, derivación del estado de la relación y aprendizaje de preferencias de contacto; su lógica, importancia y consecuencias, así como el derecho a no ser objeto de decisiones automatizadas y a solicitar revisión humana, se describen en la Sección 10.
• Derechos: información (arts. 12–13), acceso (art. 16), rectificación/actualización (art. 17), eliminación/supresión incluido el derecho al olvido (art. 18), oposición (art. 19), portabilidad (art. 20), suspensión/limitación (art. 21), no ser objeto de decisiones automatizadas (art. 22), consulta al Registro Nacional, y reclamo ante la SPDP. Ejercicio gratuito; plazo general de respuesta 15 días, prorrogables. La eliminación o anonimización efectiva y la exportación de los datos del titular se atienden a solicitud por el canal único (ver Sección 9.1).
• Rol de Encargado: respecto de la cartera, Makatea es encargado del tratamiento y media un contrato de encargo (DPA) con las obligaciones de los arts. 38 y ss. El texto del DPA está en https://makatea.ai/dpa y se acepta electrónicamente al contratar el servicio.
• Transferencias internacionales (Res. SPDP-SPD-2026-0004-R): se realizan a Estados Unidos bajo cláusulas tipo incorporadas en los términos de los subprocesadores, manteniendo el registro de transferencias correspondiente; los Estados de la Comunidad Andina se consideran de tratamiento equivalente.
• Delegado de Protección de Datos (art. 47; Res. 2025-0028-R): Delegado de Protección de Datos en Ecuador: José Rodrigo Barrios Villa, rodrigo@makatea.ai. El registro del Delegado ante la SPDP se evalúa y realiza conforme a la operación efectiva de Makatea en Ecuador y a la obligatoriedad por escala/sector.

12.5. Perú (PE) · Ley 29733 y Reglamento D.S. 016-2024-JUS

• Marco: Ley de Protección de Datos Personales y su Reglamento; autoridad: APDP, Autoridad Nacional de Protección de Datos Personales (MINJUSDH). Aplicación extraterritorial a empresas extranjeras que ofrecen servicios a personas en Perú.
• Deber de informar (art. 18): identidad y domicilio del Responsable; finalidades específicas; base legal de cada operación de tratamiento (desglose en la Sección 5); carácter obligatorio o facultativo de los datos y consecuencias de no proporcionarlos (declarado en la Sección 3.1); destinatarios; existencia de flujo transfronterizo y garantías; plazos de conservación (Sección 7); identificación del banco de datos y su inscripción en el RNPDP; datos del DPO cuando sea obligatorio.
• Derechos y procedimiento: información (art. 18), acceso (art. 19), rectificación (art. 20), cancelación/supresión (art. 20), oposición (art. 21), tratamiento objetivo (no ser objeto de decisión basada solo en tratamiento automatizado/perfilado, Sección 10) y portabilidad (cuando el tratamiento se base en consentimiento o contrato por medios automatizados). Tutela ante la APDP. Procedimiento gratuito.
  • Canal y plazos de atención de derechos: las solicitudes se presentan a rodrigo@makatea.ai. Plazos por derecho conforme al Reglamento D.S. 016-2024-JUS: acceso (art. 19): 8 días hábiles (prorrogables); rectificación (art. 20): 10 días hábiles (prorrogables); cancelación/supresión (art. 20): 10 días hábiles (prorrogables); oposición (art. 21): 10 días hábiles (prorrogables).
• Consentimiento: libre, previo, expreso, informado e inequívoco; para datos sensibles, por escrito o medio equivalente.
• Transferencia / flujo transfronterizo: se realiza a Estados Unidos bajo garantías apropiadas (cláusulas tipo) incorporadas en los términos de los subprocesadores; la carga de la prueba recae en el exportador (Makatea/Responsable).
• Registro de Banco de Datos (RNPDP): la inscripción de los bancos de datos en el RNPDP se evalúa y realiza conforme a la operación efectiva de Makatea en Perú; el código/identificación de cada banco se consignará una vez obtenido.
• Oficial de Datos Personales (DPO): obligatorio en supuestos de tratamiento a gran escala de datos sensibles o monitoreo sistemático a gran escala, con implementación escalonada por nivel de ventas. La obligatoriedad del cargo formal se evalúa conforme a la escala de operación de Makatea en Perú. Canal de contacto en materia de datos: rodrigo@makatea.ai.
• Incidentes de seguridad: notificación a la APDP dentro de 48 horas desde la detección (y a los titulares afectados cuando corresponda), con el contenido mínimo legal.

12.6. Unión Europea y España · RGPD

• Marco: Reglamento (UE) 2016/679 (RGPD). En España, además, la Ley Orgánica 3/2018. Autoridad en España: Agencia Española de Protección de Datos (AEPD). En los demás países de la UE, la autoridad de cada uno.
• Bases legales (art. 6): ejecución del contrato para la cuenta, interés legítimo para seguridad y auditoría, obligación legal para registros fiscales y consentimiento para marketing y para las cookies de medición.
• Derechos (arts. 15 a 22): acceso, rectificación, supresión, limitación, portabilidad, oposición y no ser objeto de decisiones basadas únicamente en tratamiento automatizado. El ejercicio es gratuito y se responde en un mes, prorrogable dos meses más en casos complejos.
• Cartera: la organización cliente es Responsable y Makatea es Encargado conforme al art. 28, en los términos del DPA y su anexo para la UE y el Reino Unido.
• Transferencias a Estados Unidos (arts. 44 a 49): se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea, incorporadas en los términos de cada proveedor.
• Representante (art. 27): Makatea no tiene establecimiento en la UE. Designa representante cuando su operación en la UE lo requiera. Mientras tanto, el canal único de privacidad atiende todas las solicitudes.
• Reclamaciones: el titular puede presentar una reclamación ante la AEPD o ante la autoridad de su país.

12.7. Reino Unido · UK GDPR

• Marco: UK GDPR y Data Protection Act 2018. Autoridad: Information Commissioner's Office (ICO).
• Derechos, bases legales y roles: los mismos de la Sección 12.6.
• Transferencias: se amparan en el anexo británico a las cláusulas contractuales tipo de la Comisión Europea.
• Representante: Makatea lo designa cuando su operación en el Reino Unido lo requiera.

12.8. Estados Unidos

• Las leyes estatales de privacidad aplican según el estado de residencia del titular y el tamaño de cada empresa.
• Makatea no vende datos personales ni los comparte con fines de publicidad dirigida.
• Los titulares pueden ejercer por el canal único los derechos que su ley estatal les reconozca.

12.9. India · DPDP Act 2023

• Marco: Digital Personal Data Protection Act, 2023, conforme a su entrada en vigor por fases.
• Roles: respecto de la cartera, la organización cliente es Data Fiduciary y Makatea es Data Processor.
• Derechos: acceso a la información, corrección y supresión, atención de quejas y designación de una persona de confianza. Se ejercen por el canal único.

13. Contacto

Para cualquier consulta sobre esta Política o el ejercicio de sus derechos:

• Responsable: SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V. (RFC SOB240719U87)
• Correo de privacidad / ejercicio de derechos: rodrigo@makatea.ai
• Teléfono: +52 81 2007 2062
• Domicilio: Avenida del Valle 162, Colonia Ciudad del Valle, C.P. 63157, Tepic, Nayarit, México
• DPA (acuerdo de tratamiento de datos): https://makatea.ai/dpa
• Contacto único de privacidad / DPO / Encarregado (BR): José Rodrigo Barrios Villa, rodrigo@makatea.ai (canal único para todas las jurisdicciones).

Usted puede además presentar reclamos ante la autoridad de control de su país, por ejemplo SABG (México), SIC (Colombia), ANPD (Brasil), SPDP (Ecuador), APDP (Perú), AEPD (España) o ICO (Reino Unido).

14. Ley aplicable y jurisdicción

Esta Política de Privacidad se rige por las leyes de los Estados Unidos Mexicanos. Para la interpretación y cumplimiento de esta Política, así como para cualquier controversia derivada de ella, las partes se someten a la competencia de los tribunales de Tepic, Nayarit, México, sin perjuicio de los derechos que la ley aplicable de cada jurisdicción reconozca a los titulares y de la competencia de las autoridades de control señaladas en la Sección 13.

15. Idioma

Esta Política se publica en español, inglés y portugués. Si hay diferencia entre versiones, prevalece la versión en español, salvo que la ley del titular exija otra cosa.

16. Datos de Google (Gmail) y Uso Limitado

Esta Sección aplica cuando un usuario de una organización cliente conecta su cuenta de Gmail o de Google Workspace a Makatea con el botón «Conectar con Google». La conexión es opcional: Makatea se puede usar sin conectar Google.

Uso Limitado. El uso que Makatea haga de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, se ajustan a la Política de Datos de Usuario de los Servicios de API de Google (Google API Services User Data Policy), incluidos los requisitos de Uso Limitado (Limited Use requirements). La política de Google está en https://developers.google.com/terms/api-services-user-data-policy.

16.1. Permisos que pedimos y para qué

16.2. Qué correos se leen y qué se guarda

• Makatea revisa el buzón cada pocos minutos y sólo mira los mensajes que llegan a la bandeja de entrada después de conectar la cuenta. No lee el correo anterior a la conexión ni otras carpetas, como Enviados, Borradores o Spam.
• De cada mensaje nuevo, Makatea pide primero a Google sólo el remitente (el encabezado «From»), sin el asunto ni el texto.
• Si el remitente coincide con el correo de un cliente que la organización dio de alta en Makatea, se baja el mensaje y se guardan el remitente, el asunto, el cuerpo tal como llegó (texto y, si lo trae, su versión HTML, hasta 100,000 caracteres cada uno), una versión limpia para leerlo en «Conversaciones» (hasta 20,000 caracteres) y los identificadores técnicos que sirven para acomodarlo en su conversación (Message-ID e In-Reply-To). Los archivos adjuntos no se guardan.
• Si el remitente no es cliente de la organización, Makatea no baja el asunto ni el texto del mensaje y no guarda nada de él.
• Makatea no modifica, no etiqueta, no marca como leído y no borra nada en el buzón de Gmail.
• De la conexión se guardan la dirección conectada, el estado de la conexión, la hora de la última revisión, el marcador de sincronización que entrega Google y el token de actualización (refresh token) que permite seguir conectado. Los tokens de acceso duran una hora y no se guardan.

16.3. Para qué se usan y para qué no

• Los datos de Gmail se usan sólo para dar las funciones que la organización ve en Makatea: mandar sus mensajes, mostrar las respuestas de sus clientes en «Conversaciones» y en el historial de cada cliente, y entregarlas a las integraciones que la propia organización configure, como sus webhooks o la API de Makatea.
• No se usan para publicidad, ni para publicidad personalizada o de reorientación (retargeting), ni para armar perfiles con fines publicitarios.
• Makatea no vende estos datos y no los comparte con corredores de datos (data brokers) ni con revendedores de información.
• Makatea no usa los datos de Gmail para calificar la solvencia de nadie ni con fines de otorgamiento de crédito.
• No se usan para desarrollar, entrenar ni mejorar modelos de inteligencia artificial o de aprendizaje automático generalizados o no personalizados. Makatea tampoco envía el contenido de los correos de Gmail a proveedores de inteligencia artificial.
• Sólo se transfieren a terceros cuando hace falta para prestar estas funciones (el proveedor de infraestructura que aloja la plataforma, Sección 6, o los destinos que la organización configure), por seguridad, para cumplir la ley, o como parte de una fusión, adquisición o venta de activos, con aviso previo al usuario.

16.4. Quién puede leerlos

• Los mensajes guardados los ven los usuarios de la propia organización, dentro de su cuenta de Makatea.
• El personal de Makatea no lee los datos de Gmail. Sólo accede a ellos cuando el usuario lo autoriza de forma expresa para mensajes concretos (por ejemplo, para resolver una solicitud de soporte), cuando es necesario por seguridad (por ejemplo, para investigar un abuso o un incidente) o cuando la ley lo exige.

16.5. Cómo se guardan y protegen

• El token de actualización se guarda cifrado en el almacén de secretos de la base de datos. Ni el navegador ni los usuarios de la organización tienen acceso a él.
• Los mensajes se guardan en la base de datos de Makatea, alojada en Estados Unidos (Sección 6), cifrada en reposo con AES-256 y con aislamiento por organización: cada organización accede sólo a sus propios datos.
• Toda comunicación con Google y con Makatea viaja cifrada (HTTPS/TLS). Aplican también las demás medidas de la Sección 8.

16.6. Cuánto tiempo se conservan

• Las respuestas guardadas forman parte del historial del cliente. A los 12 meses de recibido cada correo, Makatea borra en automático su remitente, su asunto y su texto. Queda sólo el registro de que el cliente respondió por correo en esa fecha, para que el historial de cobranza no tenga huecos.
• La organización puede pedir que se borren antes (ver 16.7).
• El token de actualización deja de servir en cuanto se revoca el acceso: desde ese momento ya no permite leer ni enviar correo.

16.7. Cómo desconectar y borrar

• Para desconectar desde Makatea, el dueño o un administrador de la organización entra a Configuración → Correo y elige «Desconectar». Makatea revoca su acceso en Google en ese momento, borra el token de actualización y quita la cuenta conectada. Queda anotado en la bitácora de la organización.
• También se puede desconectar desde Google: entre a https://myaccount.google.com/permissions con la cuenta de Google conectada, elija Makatea y quite el acceso. Desde ese momento Makatea ya no puede leer ni enviar correo con esa cuenta, y en Configuración → Correo la conexión aparece como desconectada en la siguiente revisión, a los pocos minutos.
• También puede pedir la desconexión escribiendo a rodrigo@makatea.ai.
• Para borrar los datos, escriba a rodrigo@makatea.ai desde la cuenta de la organización. Makatea borra el token de actualización y los mensajes que se guardaron desde Gmail, salvo que una obligación legal exija conservarlos. Los respaldos siguen los plazos que describe la Sección 7.