Política de Privacidad

Identificación del Responsable del tratamiento

Esta Política de Privacidad describe cómo Catalisa recoge, utiliza, almacena y protege tus datos personales.

Responsable del tratamiento: Catalisa Tecnologia e Dados LTDA CNPJ: 49.646.439/0001-85 Dirección: Rodovia Raposo Tavares, 7389 - São Paulo - SP - Brasil - 05577-902

Encargado de Protección de Datos (DPO): Correo electrónico: privacidade@catalisa.io Canal de atención: privacidade@catalisa.io

Alcance

Esta Política se aplica al tratamiento de datos personales realizado por Catalisa en dos categorías:

(a) Datos de usuarios de la Plataforma: información personal que nos facilitas al crear una cuenta, utilizar nuestros servicios o interactuar con nuestro sitio web.

(b) Datos de clientes de los usuarios: información personal de terceros (clientes finales del Usuario) que se procesa a través de la Plataforma, especialmente mediante integraciones con WhatsApp. Para estos datos, la relación entre Catalisa y el Usuario se rige por los roles definidos en la Sección 13.

Esta Política forma parte integrante de los Términos de Uso de la Plataforma.

Datos recopilados

Recopilamos las siguientes categorías de datos personales:

• Datos de registro (base jurídica: ejecución de contrato): nombre completo, correo electrónico corporativo, teléfono, nombre de la empresa, cargo, CNPJ. Recogidos en el momento del registro en la Plataforma.
• Datos de uso (base jurídica: interés legítimo): interacciones con la Plataforma, funcionalidades utilizadas, registros de acceso, horarios de uso y acciones realizadas. Se recopilan automáticamente durante el uso.
• Datos de comunicación (base jurídica: ejecución de contrato): mensajes procesados por la Plataforma, plantillas de mensajes, configuraciones de Workflows y Agentes IA. Se tratan conforme a las instrucciones del Usuario.
• Datos técnicos (base jurídica: interés legítimo): dirección IP, tipo y versión del navegador, sistema operativo, dispositivo, resolución de pantalla, páginas visitadas, tiempo de permanencia. Recogidos automáticamente mediante cookies y tecnologías similares.

Base legal (LGPD art. 7)

El tratamiento de datos personales por parte de Catalisa se fundamenta en las siguientes bases legales previstas en la LGPD:

• Ejecución de contrato (art. 7, V): tratamiento necesario para la prestación de los servicios contratados, incluida la creación de la cuenta, el procesamiento de mensajes, la ejecución de Workflows y la prestación de soporte técnico.
• Interés legítimo (art. 7, IX): tratamiento necesario para mejorar la Plataforma, garantizar la seguridad, prevenir fraudes, realizar análisis de uso y enviar comunicaciones sobre el servicio. Realizamos una evaluación de impacto (LIA) para asegurar que nuestros intereses no prevalecen sobre los derechos del titular.
• Consentimiento (Art. 7, I): utilizado para finalidades específicas como el envío de comunicaciones de marketing, el uso de cookies analíticas y de marketing, y la participación en encuestas. El consentimiento puede revocarse en cualquier momento sin perjuicio del tratamiento realizado anteriormente.
• Cumplimiento de una obligación legal (Art. 7, II): tratamiento necesario para cumplir obligaciones legales y regulatorias, incluida la conservación de datos fiscales y financieros, la atención de requerimientos de autoridades competentes y el mantenimiento de registros exigidos por ley.

Finalidades del Tratamiento

Utilizamos tus datos personales para las siguientes finalidades:

• Prestación de los servicios: operar la Plataforma, procesar automatizaciones y Workflows, ejecutar Agentes IA y proporcionar las funcionalidades contratadas.
• Gestión de la cuenta: crear y mantener tu cuenta, autenticar accesos y gestionar permisos y preferencias.
• Soporte técnico: atender solicitudes de soporte, diagnosticar problemas y prestar asistencia técnica.
• Comunicaciones del servicio: enviar notificaciones sobre mantenimientos, actualizaciones, cambios en los términos e información esencial sobre el servicio.
• Mejora de la Plataforma: analizar patrones de uso (de forma agregada), identificar mejoras, desarrollar nuevas funcionalidades y corregir errores.
• Seguridad: supervisar actividades sospechosas, prevenir fraudes, detectar vulnerabilidades y proteger la integridad de la Plataforma.
• Cumplimiento legal: atender obligaciones legales y regulatorias, así como requerimientos de las autoridades competentes.
• Marketing (con consentimiento): enviar comunicaciones sobre nuevas funcionalidades, contenido educativo y ofertas, solo cuando el titular lo haya autorizado.

Cookies y tecnologías de seguimiento

Nuestro sitio web y la Plataforma utilizan cookies y tecnologías similares para mejorar tu experiencia. Utilizamos la Google tag y Google Analytics 4 (GA4), con Consent Mode v2, y Microsoft Clarity solo después de que concedas el permiso para analítica. Puedes cambiar tu preferencia en «Preferencias de cookies»; rechazarlas no impide el uso del sitio. Los datos de contacto y el contenido de las conversaciones, los conceptos y la atención no se envían como parámetros de analítica. Clarity no se carga en Contacto, Lab ni en las áreas autenticadas.

Categorías de cookies:

• Cookies estrictamente necesarias: esenciales para el funcionamiento de la Plataforma, incluidas la autenticación, la seguridad y las preferencias de sesión. Se almacenan mediante localStorage y cookies de sesión. No requieren consentimiento.
• Cookies analíticas (GA4): recopilan datos agregados sobre el uso del sitio web y de la Plataforma con fines de mejora. Incluyen: _ga (identificación del usuario, 2 años), _ga_* (estado de la sesión, 2 años). Requieren consentimiento.
• Cookies de marketing: se utilizan para orientar comunicaciones relevantes. Solo se activan con consentimiento explícito a través del banner de cookies.
• Recursos externos (imágenes): nuestro sitio puede cargar imágenes ilustrativas de servicios de terceros, como Unsplash (Imgur Inc.), para enriquecer el contenido editorial. Al cargar estas imágenes, tu navegador realiza solicitudes directas a los servidores del proveedor, que puede recibir datos técnicos como la dirección IP, el user-agent y la URL de la página visitada. Estos recursos se cargan sobre la base del interés legítimo (art. 7, IX de la LGPD) para mejorar la experiencia del usuario. No requieren consentimiento adicional, ya que no instalan cookies ni rastreadores.

Compartición de datos

No vendemos tus datos personales. Solo compartimos datos con las siguientes categorías de destinatarios, en la medida necesaria para las finalidades descritas en esta Política:

• Proveedores de infraestructura: alojamiento, almacenamiento y procesamiento necesarios para el servicio. La ubicación del procesamiento depende de los servicios utilizados; no garantizamos la residencia exclusiva de todos los datos en Brasil.
• Meta/WhatsApp: procesamiento de mensajes a través de la API de WhatsApp Business. Necesario para el funcionamiento de las integraciones de comunicación. Sujeto a los Términos de Servicio y la Política de Privacidad de WhatsApp.
• Anthropic (Claude): procesamiento de lenguaje natural y generación de contenido por Agentes IA. Los datos pueden transferirse a servidores en Estados Unidos (ver Sección 8).
• OpenAI (GPT): procesamiento de lenguaje natural y generación de contenido por Agentes IA. Los datos pueden transferirse a servidores en Estados Unidos (ver Sección 8).
• Unsplash (Imgur Inc.): suministro de imágenes ilustrativas para el contenido editorial del sitio. Al cargar páginas con imágenes externas, tu navegador realiza solicitudes a los servidores de Unsplash, que pueden recibir datos técnicos (dirección IP, user-agent). Catalisa no comparte activamente ningún dato personal. Sujeto a la Política de Privacidad de Unsplash (unsplash.com/privacy).
• Microsoft Clarity: herramienta de análisis de comportamiento y mapas de calor para mejorar la experiencia del usuario. Puede recopilar datos de interacción como clics, desplazamiento y movimientos del ratón. Sujeta a la Política de Privacidad de Microsoft.
• Autoridades competentes: cuando lo exija la ley o una resolución judicial o administrativa, o para la protección de derechos en procesos judiciales.

Transferencia Internacional de Datos

La generación de conceptos utiliza el proveedor de inteligencia artificial configurado para el servicio, entre los proveedores identificados en esta política. Este tratamiento puede realizarse fuera de Brasil. Enviamos el briefing y el contexto necesarios para generar o ajustar el concepto; tu nombre, correo electrónico y teléfono no se incluyen intencionadamente en esa solicitud. No incluyas información personal sensible, credenciales ni secretos en el texto libre.

Los registros que conserva el proveedor de IA están sujetos a sus condiciones, configuraciones y normas de retención. Los plazos de la conversación en este sitio no implican que todas las copias de terceros se eliminen al mismo tiempo. Para aclarar el tratamiento aplicable a tu solicitud, ponte en contacto con el canal de privacidad indicado en esta política.

Seguridad de los datos

Para proteger las conversaciones y la atención de este sitio, adoptamos las siguientes medidas:

• Conexiones protegidas por HTTPS durante el uso del sitio.
• Cookies esenciales separadas para mantener tu conversación y autenticar al equipo. La cookie de visitante no permite acceder a la atención de otras personas ni al acceso del equipo.
• Contenido privado cifrado en el almacenamiento y acceso restringido al equipo autorizado. El servidor y el proveedor de IA necesitan procesar el contenido necesario para el servicio; esto no es cifrado de extremo a extremo.
• Verificación de acceso, límites de uso y validación de los datos enviados para reducir accesos indebidos y abusos.
• La inteligencia artificial genera una vista previa estructurada. El sitio no ejecuta código enviado por la IA ni por el visitante.

Conservación de datos

Los plazos indicados a continuación se aplican a las conversaciones, los conceptos y la atención humana de este sitio. Tras su vencimiento, los registros dejan de estar disponibles para el uso normal y pasan a la limpieza periódica. Las copias de seguridad y los registros de los proveedores de servicios pueden seguir sus propios ciclos de eliminación.

• Conversación del visitante, respuestas, identificación provisional y conceptos: hasta 7 días después del inicio de la sesión.
• Registros usados para evitar el procesamiento duplicado de la misma solicitud: hasta 24 horas. El contenido de la conversación sigue sujeto al plazo de la sesión.
• Contexto compartido y mensajes de atención humana: hasta 30 días después de la aceptación de la derivación.
• Acceso autenticado del equipo: hasta 1 hora, limitado también por la validez de la credencial. Al cerrar sesión, ese acceso finaliza.
• Registros técnicos de límites de uso: hasta el final de la ventana de control correspondiente.
• La medición de inteligencia de mercado está desactivada. Su activación requiere información específica sobre finalidad, acceso, retención y eliminación antes de la recogida.

Derechos del titular (LGPD, art. 18)

De acuerdo con la LGPD, tienes los siguientes derechos en relación con tus datos personales:

• Confirmación de la existencia de tratamiento: saber si Catalisa trata tus datos personales.
• Acceso a los datos: obtener una copia de los datos personales que tenemos sobre ti.
• Corrección de datos: solicitar la corrección de datos incompletos, inexactos o desactualizados.
• Anonimización, bloqueo o eliminación: solicitarlos cuando los datos sean innecesarios, excesivos o se traten de forma no conforme con la LGPD.
• Portabilidad de los datos: obtener tus datos en un formato estructurado para transferirlos a otro proveedor de servicios.
• Eliminación de datos tratados con consentimiento: solicitar la supresión de los datos cuyo tratamiento se haya basado en el consentimiento.
• Información sobre el intercambio de datos: saber con qué entidades públicas y privadas se han compartido tus datos.
• Oposición al tratamiento: oponerse al tratamiento realizado con base en el interés legítimo, si consideras que tus derechos prevalecen.
• Revisión de decisiones automatizadas: solicitar la revisión humana de decisiones tomadas únicamente sobre la base del tratamiento automatizado de datos personales, incluidas las decisiones de Agentes IA.

Decisiones automatizadas

La Plataforma utiliza Agentes IA que tratan datos personales de forma automatizada para generar respuestas, clasificar solicitudes y ejecutar Workflows.

De conformidad con la LGPD (art. 20), tienes derecho a solicitar la revisión humana de las decisiones tomadas únicamente con base en el tratamiento automatizado de datos personales que afecten a tus intereses, incluidas las decisiones sobre elaboración de perfiles.

Para solicitar una revisión humana u obtener información sobre la lógica utilizada en las decisiones automatizadas, ponte en contacto con nuestro Encargado de Protección de Datos a través del correo electrónico privacidade@catalisa.io. Responderemos en un plazo máximo de 15 (quince) días hábiles.

Datos de Terceros (Clientes del Usuario)

Cuando el Usuario trata datos personales de sus propios clientes a través de la Plataforma (especialmente mediante integraciones con WhatsApp), las partes actúan en los siguientes roles:

- Usuario: Controlador de los datos personales de sus clientes. Responsable de definir la finalidad y la base legal del tratamiento, informar a sus clientes sobre el uso de la Plataforma y atender las solicitudes de derechos de los titulares.

- Catalisa: Operadora de los datos personales de los clientes del Usuario. Trata los datos exclusivamente conforme a las instrucciones del Usuario y para la prestación de los servicios contratados.

El Usuario es responsable de:

(a) Garantizar que dispone de una base legal válida para tratar los datos de sus clientes a través de la Plataforma. (b) Proporcionar a sus clientes información clara sobre el tratamiento de datos, incluida la existencia de tratamiento mediante inteligencia artificial. (c) Atender en tiempo oportuno las solicitudes de derechos de los titulares. (d) Formalizar con Catalisa un Acuerdo de Tratamiento de Datos (DPA), cuando sea necesario, disponible previa solicitud.

Incidentes de seguridad

En caso de incidente de seguridad que pueda acarrear un riesgo o daño relevante para los titulares de datos personales, Catalisa adoptará las siguientes medidas:

(a) Notificación a la Autoridade Nacional de Proteção de Dados (ANPD) en un plazo máximo de 72 (setenta y dos) horas tras la confirmación del incidente, conforme al Art. 48 de la LGPD.

(b) Comunicación a los titulares de los datos afectados, en un plazo razonable, que incluya: descripción de la naturaleza de los datos afectados, información sobre los riesgos, medidas adoptadas para mitigar los efectos y orientaciones al titular.

(c) Registro interno del incidente con documentación completa: naturaleza, datos afectados, titulares afectados, medidas técnicas adoptadas y resultado de las acciones de contención.

(d) Notificación al Usuario (cuando Catalisa actúe como Operadora) para que este adopte las medidas necesarias ante sus clientes.

Uso de datos de las API de Google (Google API Services)

Cuando conectas una cuenta de Google a la Plataforma Catalisa, accedemos a los datos de esa cuenta y los utilizamos exclusivamente para ofrecer las funcionalidades que activas. El uso y la transferencia, por parte de Catalisa, de la información recibida de las API de Google se rigen por la Política de Datos del Usuario de los Servicios de API de Google (Google API Services User Data Policy), incluidos los requisitos de Uso Limitado (Limited Use).

• Google Agenda (Calendar): consultamos tu disponibilidad (periodos libres y ocupados) y creamos, actualizamos y cancelamos los eventos de calendario que tú —o las automatizaciones y agentes de IA que hayas configurado— solicites. Se utiliza, por ejemplo, para programar reuniones con tus clientes durante una atención.
• Gmail (envío): enviamos correos electrónicos en tu nombre cuando tú, o una automatización configurada por ti, activa el envío desde la Plataforma (por ejemplo, confirmaciones de reunión y mensajes de seguimiento). No leemos tu bandeja de entrada.
• Identificación de la cuenta: accedemos a su dirección de correo electrónico de Google únicamente para identificar qué cuenta se ha conectado, de modo que pueda reconocerla y gestionarla.
• No utilizamos los datos obtenidos de las API de Google para publicidad y no los vendemos.
• No transferimos datos obtenidos de las API de Google a terceros, salvo cuando sea necesario para prestar las funcionalidades descritas, cuando lo exija la ley o con tu consentimiento explícito.
• Ninguna persona lee estos datos, salvo (i) con tu consentimiento explícito, (ii) por motivos de seguridad (como la investigación de abusos o incidentes), (iii) para cumplir una obligación legal o (iv) cuando los datos estén agregados y anonimizados.
• Los tokens de acceso se almacenan cifrados. Puede revocar el acceso en cualquier momento en la propia Plataforma o en myaccount.google.com/permissions.

Disposiciones finales

Menores de edad. Nuestros servicios no están dirigidos a menores de 18 (dieciocho) años. No recopilamos intencionadamente datos personales de menores. Si tienes conocimiento de que se han recopilado datos de un menor, ponte en contacto con nosotros para que podamos eliminarlos.

Cambios en esta Política. Podemos actualizar esta Política de Privacidad periódicamente. Los cambios significativos se comunicarán con una antelación mínima de 30 (treinta) días por correo electrónico o mediante una notificación en la Plataforma. El uso continuado de la Plataforma tras el plazo de notificación constituye la aceptación de la Política actualizada.

Contacto. Para ejercer tus derechos, resolver dudas o enviar reclamaciones sobre esta Política:

Correo electrónico del DPO: privacidade@catalisa.io Correo electrónico general: contato@catalisa.io WhatsApp: +55 11 97730-3414

Fuero. Se elige el fuero de la Comarca de São Paulo, Estado de São Paulo, Brasil, para resolver cualquier controversia derivada de esta Política.

Contacto, Lab y atención humana de este sitio

Para explorar una idea, el sitio almacena tus respuestas y genera una identidad provisional después del nombre. Antes de la generación por IA o de la atención, pide un correo electrónico o un teléfono válido; basta con uno de los dos. La cookie esencial solo permite retomar la misma sesión. Las referencias provisionales del sitio no son registros de CRM.

El agente recibe el briefing, el contexto necesario para la generación o el ajuste y el catálogo autorizado. El nombre, el correo electrónico y el teléfono no se incluyen intencionadamente en la solicitud de generación. Aun así, no incluyas información sensible de clientes, credenciales ni secretos en el texto libre. La IA genera una hipótesis de producto; no aprueba créditos, no ejecuta transacciones ni publica un sistema.

Al confirmar la continuidad, compartes con el equipo el contacto, las respuestas, el historial, el concepto seleccionado y los ajustes. El canal humano implementado actualmente es aquí, en el sitio. Aceptación significa que el paquete se ha almacenado; entrega significa que una persona autenticada ha abierto el contexto; asignación significa que esa persona ha asumido la atención. Las respuestas permanecen en la misma conversación. Recoger un correo electrónico o un teléfono no implica enviar mensajes externos automáticamente.

Las superficies de Contacto, Lab, conceptos y atención no envían la conversación, el nombre, el correo electrónico ni el teléfono a herramientas de analítica del navegador. La medición de mercado propuesta requiere una aprobación y una información pública específicas antes de cualquier recogida real. Para solicitar el acceso, la rectificación o la supresión, utiliza el canal de privacidad indicado en esta política; la identificación y el alcance de la solicitud se verificarán antes de modificar los datos.