Política de Privacidad

El Responsable del Tratamiento de los datos personales es Nelson David Valencia Alzate (C.C. 1.000.898.565), persona natural domiciliada en Medellín, Colombia, operando bajo el nombre comercial "Muratrox".

Canal oficial para temas de privacidad y ejercicio de derechos: hola@muratrox.com. Respondemos las consultas en máximo 10 días hábiles y los reclamos en máximo 15 (Ley 1581 de 2012, artículos 14 y 15).

Teléfono: +57 304 455 7835 · NIT: 1.000.898.565-4

Esta política se elabora en cumplimiento del Régimen General de Protección de Datos Personales de Colombia: Ley 1581 de 2012, Decreto 1377 de 2013 y demás circulares y resoluciones expedidas por la Superintendencia de Industria y Comercio (SIC).

Si eres usuario residente en la Unión Europea, también respetamos las disposiciones del Reglamento General de Protección de Datos (RGPD/GDPR). Si eres residente en California (USA), respetamos los derechos análogos previstos en CCPA/CPRA.

Recolectamos solamente la información necesaria para operar el servicio. La agrupamos así:

• Datos de cuenta: nombre completo, email, hash de contraseña (nunca la contraseña en texto plano), avatar opcional, idioma preferido, rol dentro del workspace (owner / member / client) y marca temporal del último acceso.
• Datos del proyecto: títulos, briefs, propuestas, hitos, mensajes del chat, archivos que subas, calificaciones y comentarios. Esta información se almacena vinculada a tu cuenta y solo es visible para ti y los integrantes autorizados del proyecto.
• Metadatos de pago: identificador de transacción del procesador, monto, moneda y estado. No almacenamos números completos de tarjeta, CVV ni datos de autenticación bancaria: esos los maneja el procesador de pagos (Wompi) bajo su propio cumplimiento PCI-DSS.
• Datos técnicos: dirección IP, user agent del navegador, cookies de sesión y registros de actividad de auth. Se usan para seguridad (detectar accesos sospechosos), debugging y telemetría operacional.

Tratamos tus datos personales únicamente para los siguientes fines:

• Operar el portal: crear y mantener tu cuenta, autenticarte, mostrar tus proyectos, propuestas, hitos y archivos.
• Comunicación transaccional: enviarte emails de cambios en propuestas, hitos por pagar, confirmaciones de pago, recordatorios y notificaciones de seguridad. Estos emails son inherentes al servicio y no son marketing.
• Procesar pagos: enviar la información del pago al procesador (Wompi) para cobrar, emitir comprobantes y actualizar el estado del hito o de la membresía.
• Cumplir obligaciones legales y fiscales: emitir facturas, mantener registros contables, atender requerimientos de autoridades competentes.
• Guardar la prueba de que aceptaste los Términos al activar o reactivar una membresía (fecha, versión, idioma e IP).
• Mejorar el servicio y prevenir fraude: análisis técnico de logs, detección de accesos sospechosos, auditoría de cambios.

No usamos tus datos para publicidad personalizada, no los vendemos a terceros, no hacemos perfiles automatizados con efectos legales sobre ti.

El tratamiento se ampara en alguna de las siguientes causales:

• Tu consentimiento explícito al crear cuenta y aceptar estas políticas.
• La ejecución del contrato vigente entre tú y nosotros (propuesta aceptada para un proyecto).
• El cumplimiento de obligaciones legales aplicables (tributarias, contables, requerimientos de la SIC).
• Nuestro interés legítimo en mantener el servicio seguro y prevenir fraude, siempre que no vulnere tus derechos fundamentales.

Para que el portal funcione necesitamos apoyarnos en proveedores tecnológicos (encargados del tratamiento). Cada uno trata solo los datos necesarios para su función y bajo acuerdos de procesamiento de datos:

• Supabase (base de datos y autenticación): almacena tu cuenta, los datos de proyecto, los mensajes y los archivos. Hosting en Estados Unidos.
• Vercel (hosting y edge): ejecuta el código del portal y entrega las páginas. Hosting en Estados Unidos.
• n8n (automatización del asistente de WhatsApp): recibe los mensajes que tus clientes escriben por WhatsApp y los enruta hacia el asistente. Puede guardar un registro técnico de cada ejecución, con el mensaje, hasta 7 días para diagnosticar fallos. Hosting en la Unión Europea.
• Google (API de Gemini): el modelo de inteligencia artificial que redacta las respuestas del asistente recibe el texto de la conversación necesario para contestar, la información del negocio y el historial de esa persona con el negocio (sus pedidos, citas y reclamos). Hosting en Estados Unidos.
• Resend (correo transaccional): envía los emails del sistema (cambios de hito, confirmaciones, recuperación de contraseña). Hosting en Estados Unidos.
• Sentry (monitoreo de errores): registra los fallos técnicos para poder repararlos. El texto de la aplicación va enmascarado. Hosting en Estados Unidos.
• Wompi (procesador de pagos): procesa los pagos por tarjeta, PSE, Nequi y demás métodos. Operación en Colombia bajo regulación local.
• Asesores profesionales (contador y abogado): solo lo necesario para llevar la contabilidad y cumplir obligaciones legales, con deber de reserva.
• Autoridades competentes: solo cuando exista requerimiento legal formal (juzgado, SIC, DIAN, etc.).

No vendemos tu información ni la usamos para publicidad. No hay píxeles de tracking de terceros (Facebook, Google Ads, etc.) en el portal del cliente.

Algunos de nuestros proveedores (Supabase, Vercel, Resend, Google y Sentry) tienen infraestructura ubicada principalmente en Estados Unidos, y n8n en la Unión Europea. Esto implica una transferencia internacional de tus datos personales.

Como esos proveedores tratan los datos por nuestra cuenta, se trata de una transmisión internacional: la hacemos conforme al artículo 26 de la Ley 1581 de 2012 y a los artículos 24 y 25 del Decreto 1377 de 2013, bajo los acuerdos de tratamiento de datos de cada proveedor, que les exigen proteger la información con estándares equivalentes a los de la ley colombiana. Estados Unidos y los países de la Unión Europea están en la lista de países con nivel adecuado de protección de la SIC (Circular Externa 005 de 2017). Cada proveedor tiene sus propias certificaciones internacionales (SOC 2, ISO 27001, GDPR), que podemos compartir si lo pides.

Mantenemos tu información solo el tiempo necesario para cumplir los fines descritos:

• Datos de cuenta y proyectos activos: mientras tu cuenta esté abierta.
• Información contable y fiscal vinculada a pagos: 5 años posteriores al cierre del proyecto, en cumplimiento de obligaciones tributarias colombianas.
• Constancia de aceptación de los Términos (fecha, versión, idioma e IP): mientras dure la relación y 5 años después, igual que la información contable.
• Logs técnicos de seguridad: hasta 12 meses.
• Datos de un comercio (conversaciones, contactos, pedidos, catálogo, archivos) que cancela su membresía, o cuya membresía lleva 90 días suspendida por falta de pago (ese día se cancela sola, salvo si su plan incluye el alojamiento de una web que ya tenía: esa la cancelamos después de avisarle por correo): se borran a los 30 días de la cancelación, salvo la información contable y la constancia de aceptación de los Términos, que se conservan como dicen los puntos anteriores. Antes del borrado le avisamos por correo y puede descargar sus pedidos, citas o prospectos (según su negocio) desde su panel.
• Si cierras tu cuenta y no hay obligación legal de conservar, eliminamos o anonimizamos los datos en un plazo razonable.

Como titular de tus datos personales tienes los siguientes derechos (Ley 1581/2012, Decreto 1377/2013):

• Conocer, actualizar y rectificar tus datos personales: gran parte de eso lo puedes hacer directamente desde Configuración en el portal.
• Solicitar prueba de la autorización otorgada para el tratamiento.
• Ser informado sobre el uso que se les ha dado a tus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la Ley 1581.
• Revocar la autorización y/o solicitar la supresión del dato cuando no exista una obligación legal o contractual que lo impida.
• Acceder de forma gratuita a tus datos personales que hayan sido objeto de tratamiento.

Para ejercer cualquiera de estos derechos, escríbenos a hola@muratrox.com desde el correo asociado a tu cuenta, diciendo qué necesitas. Las consultas (saber qué datos tenemos y cómo los usamos) las respondemos en máximo 10 días hábiles, y los reclamos (corregir, actualizar o suprimir datos, o revocar la autorización) en máximo 15 días hábiles. Si no alcanzamos, te decimos por qué y la nueva fecha, que no pasa de 5 días hábiles más en una consulta ni de 8 en un reclamo. Solemos responder mucho antes.

Usamos cookies estrictamente necesarias para que el portal funcione:

• Cookie de sesión de Supabase: mantiene tu sesión iniciada de forma segura. Sin esta cookie no puedes acceder al portal.
• Cookie de idioma: recuerda si elegiste español o inglés en el landing.
• Cookie de tema visual: recuerda tu preferencia de modo claro / oscuro.
• Conectar tu WhatsApp (solo comercios): en Configuración, la sección para conectar el número carga la herramienta de registro de Meta. Esa herramienta usa sus propias cookies para que inicies sesión en Facebook y autorices la conexión, y le informa a Meta que se usó, según la política de privacidad de Meta. No se carga en ninguna otra pantalla.

No usamos cookies publicitarias ni de tracking de terceros en el portal del cliente. El landing público puede incluir herramientas analíticas básicas y anonimizadas para entender qué partes visitan más los visitantes.

Para encontrar y corregir errores, Sentry (nuestro proveedor de monitoreo de errores) puede grabar cómo se vio una parte de las visitas al portal, y siempre las visitas en las que algo falló. En esa grabación todo el texto, lo que escribes y las imágenes van tapados, así que no se ve ni lo que lees ni lo que escribes. Usa el almacenamiento de tu navegador mientras dura la visita, no cookies publicitarias.

Aplicamos medidas técnicas y organizacionales razonables para proteger tu información:

• Cifrado en tránsito (TLS 1.3) en todas las comunicaciones con el portal.
• Cifrado en reposo de la base de datos a nivel de proveedor (Supabase).
• Hashing irreversible (bcrypt) para las contraseñas: ni siquiera nosotros podemos verlas.
• Aislamiento de datos por workspace mediante Row-Level Security en la base de datos.
• Acceso restringido a producción solo al personal autorizado y solo para tareas operativas.
• Verificación por OTP al email actual cuando un usuario quiere cambiar su email de cuenta (para evitar secuestros de sesión).
• Cierre automático de sesiones inactivas y mecanismos contra fuerza bruta en el login.
• Las llaves de WhatsApp de cada comercio se guardan cifradas en una bóveda a la que solo accede el servidor.
• Si ocurre un incidente de seguridad, seguimos un plan escrito: contenerlo, avisar sin demora al comercio afectado y a las autoridades en los plazos de ley.

Muratrox no está dirigido a menores de 18 años y no recolectamos datos de menores intencionalmente. Si detectamos que un menor creó cuenta, la eliminamos junto con la información asociada.

Además del portal de proyectos, Muratrox ofrece a comercios un servicio de atención automatizada por WhatsApp (un chatbot con IA) junto con un panel de control. Cuando un comercio contrata este servicio, Muratrox trata los datos de los clientes finales de ese comercio en calidad de Encargado del tratamiento, mientras que el comercio actúa como Responsable de esos datos.

En la práctica esto significa que el comercio decide para qué se usan los datos de sus clientes, y nosotros solo los procesamos siguiendo sus instrucciones y lo estrictamente necesario para operar el chatbot y el panel.

A cada comercio que usa el asistente, Muratrox le publica una política de privacidad base en muratrox.com/privacidad/<su-negocio>, que el comercio debe revisar y puede reemplazar por la suya. Esa es la política que rige para sus clientes; esta sección explica lo que hacemos nosotros como su Encargado.

Los datos que se procesan en este servicio son:

• Número de teléfono de WhatsApp y nombre de perfil de quien le escribe al comercio.
• Contenido de los mensajes intercambiados con el asistente y con el personal del comercio, para poder responder, dar soporte y mantener el historial de la conversación.
• Los archivos que el cliente envía por el chat (fotos, audios, documentos o comprobantes de pago), que se guardan para que el comercio los vea en su panel.
• Datos de los pedidos: productos, cantidades, dirección y notas de entrega, medio de pago elegido y total.
• Datos de las citas (servicio, fecha, hora y notas) y de los prospectos (lo que le interesa a la persona, el estado y las notas del comercio).
• Si el comercio conecta su número en modo coexistencia, es decir, sigue usando la app de WhatsApp Business en su celular: los contactos de la libreta de esa app (nombre y número), aunque nunca le hayan escrito al negocio; el historial de chats que Meta comparte una sola vez al conectar; y los mensajes que el dueño envía desde su celular.
• Si la persona pide que no le escriban más o que borren sus datos: la fecha de ese pedido, para poder cumplirlo.
• Si el comercio usa las promociones: si la persona aceptó o no recibirlas, cuándo y desde qué mensaje (la prueba de su permiso), y las promociones que le llegaron.
• Si el comercio tiene su página web con Muratrox: los mensajes de su formulario de contacto (nombre, correo o teléfono y mensaje) y una analítica de visitas y clics al botón de WhatsApp que no guarda la dirección IP tal cual, sino un código derivado de ella (un hash) que cambia cada día, para contar visitantes distintos.
• Metadatos técnicos del mensaje: identificadores de WhatsApp, marcas de tiempo y estado de entrega.

Si un comercio enciende las promociones, Muratrox le manda por WhatsApp, en su nombre y siguiendo sus instrucciones, promociones y novedades solo a las personas que aceptaron recibirlas: como mucho una al día y dos por semana, en el horario que permite la Ley 2300 de 2023, y cada una con un botón para darse de baja. A quien dice que no, ya no se le vuelve a preguntar.

Para enviar y recibir los mensajes, este servicio se apoya en la Plataforma de WhatsApp Business, cuya responsable frente a Muratrox es Meta Platforms Ireland Limited, y que trata esos datos bajo sus propias políticas y condiciones. Muratrox está registrada ante Meta como proveedor de tecnología, y en esa condición le aplica el Anexo Global de Protección de Datos de Meta.

Para redactar las respuestas automáticas usamos la API de Gemini, de Google. Al modelo se le envía el texto de la conversación necesario para contestar, junto con la información del negocio (catálogo, horarios y lo que el comercio escribió sobre su negocio), los datos del pedido que se está armando y el historial de esa persona con el negocio (sus pedidos, citas y reclamos: productos, totales, fechas y estados). Por eso, si alguien escribe un dato personal en el chat, ese texto también puede llegarle. El asistente tiene instrucciones de no pedir números de tarjeta, contraseñas ni documentos de identidad.

Los clientes finales de un comercio pueden ejercer sus derechos (acceso, corrección o eliminación) directamente ante el comercio o escribiéndonos a hola@muratrox.com. En ese caso le pasamos la solicitud al comercio responsable, y si es un pedido de borrado que el comercio no atiende, lo ejecutamos nosotros dentro de los 15 días hábiles que da la ley. Las conversaciones y los pedidos se conservan mientras el comercio mantenga activo el servicio. Si su membresía queda suspendida por falta de pago, dejamos de guardar lo que llega de su número y conservamos lo anterior hasta 90 días; después la membresía se cancela (si su plan incluye el alojamiento de una web que ya tenía, la cancelamos después de avisarle por correo) y, como en cualquier cancelación, se borra a los 30 días. El comercio puede además borrar en cualquier momento, desde su panel, los datos de una persona que se lo pida.

Podemos actualizar esta Política de Privacidad cuando lo requiera la operación o un cambio normativo. Cuando los cambios sean significativos te avisamos vía email y mediante un aviso en el portal con al menos 15 días corridos de anticipación. La versión vigente siempre está disponible en esta misma URL.

Cualquier consulta, queja, ejercicio de derechos ARCO (acceso, rectificación, cancelación, oposición) o reporte de incidente de seguridad: escríbenos a hola@muratrox.com. Ese correo es nuestro canal oficial de contacto y de notificaciones. Operamos desde Medellín, Colombia.

Teléfono: +57 304 455 7835 · NIT: 1.000.898.565-4

Si consideras que tus derechos fueron vulnerados puedes también presentar reclamo ante la Superintendencia de Industria y Comercio (SIC), la autoridad de control en Colombia.