Aviso de privacidad

Última actualización: 7 de noviembre de 2026

Este aviso explica qué datos personales recabamos, para qué los usamos, con quién los compartimos y cómo puedes ejercer tus derechos. Está escrito para dos tipos de personas: quien contrata Korvendi para su negocio y quien le escribe a ese negocio por WhatsApp. Son casos distintos y los tratamos por separado.

1. Quién es el responsable

2. Dos tipos de personas, dos papeles distintos

a) Los dueños y administradores de un negocio que contratan Korvendi. Respecto de sus datos, Korvendi es el responsable.

b) Los clientes finales: las personas que le escriben por WhatsApp, Messenger o Instagram a un negocio que usa Korvendi. Respecto de sus datos, el responsable es ese negocio, que decide para qué los usa; Korvendi es el encargado que los trata por cuenta e instrucciones de ese negocio, sin usarlos para fines propios. Si eres cliente final, tu relación es con el negocio al que le escribiste; nosotros te ayudamos a ejercer tus derechos y canalizamos tu solicitud (ver el punto 9).

3. Qué datos recabamos

a) De los dueños y administradores

• Nombre, correo electrónico y número de WhatsApp de la persona (se verifica con un mensaje que la propia persona envía). Si entras con Google o Apple, el identificador de cuenta y el correo que el proveedor nos entregue, además del nombre que proporciones.
• Nombre, giro, ubicación, horarios, políticas y logotipo del negocio; el catálogo de productos y servicios con sus precios.
• Datos de cobro de la suscripción: los procesa Stripe. Nosotros nunca vemos ni guardamos el número completo de tu tarjeta; recibimos sólo una referencia, la marca y los últimos cuatro dígitos, y una huella que sirve para que la prueba gratis sea una por tarjeta.
• Datos bancarios del negocio para recibir transferencias de sus clientes (banco, CLABE, titular), cifrados en nuestra base.
• Credenciales de los servicios que el negocio decida conectar (WhatsApp, Facebook, Instagram, tiendas en línea, pasarelas de pago, paquetería), siempre cifradas.
• Si activas el generador de imágenes: las instrucciones, el estilo del negocio y las fotos que adjuntes, incluidas fotos de personas cuando declares contar con su autorización; las imágenes generadas y tus decisiones sobre las propuestas.
• Datos técnicos de acceso al panel: navegador y fecha de cada sesión; la dirección IP sólo en los contadores de intentos que frenan abusos, que se borran a las 24 horas.

b) De los clientes finales

• El número de teléfono desde el que escriben (o el identificador de su cuenta de Messenger o Instagram) y el nombre, si lo dan.
• El contenido de los mensajes: texto, fotos, notas de voz y documentos que envíen. En la práctica, las fotos suelen ser comprobantes de pago.
• Los datos del pedido o de la reservación: qué compraron, cuánto, para qué fecha, la dirección de entrega si aplica.
• Al verificar una transferencia: lo que el comprobante dice (monto, banco, clave de rastreo, últimos dígitos de la cuenta) y el resultado de la consulta al Banco de México.
• Un registro de transferencias devueltas, ligado al teléfono, que decide únicamente cómo se cobra (por link de pago) y nunca si se vende o no.

No recabamos datos sensibles (salud, religión, origen étnico, orientación sexual, opiniones políticas) ni los necesitamos. Te pedimos no enviarlos por el chat. Tampoco guardamos contraseñas de clientes finales (no existen) ni la ubicación de nadie.

4. Para qué usamos los datos

Finalidades primarias (necesarias para el servicio)

• Atender la conversación de venta: contestar preguntas con la información del negocio, cotizar, agendar y dar seguimiento.
• Cobrar y verificar pagos: generar links de pago, leer comprobantes y comprobar que una transferencia existió.
• Operar la cuenta del negocio: acceso al panel, cobro de la suscripción, avisos sobre el servicio (cobros, prueba, incidencias).
• Si el negocio activa imágenes: crear las piezas que solicite, entregarlas para revisión y descarga, y publicar en Instagram únicamente las propuestas aprobadas por su dueño.
• Seguridad y prevención de fraude: límites de uso, detección de abuso y el registro de devoluciones descrito arriba.
• Cumplir obligaciones legales, en particular las fiscales y contables.

Finalidades secundarias (puedes negarte)

• Enviar a los dueños novedades del producto o recomendaciones de uso. Puedes oponerte en cualquier momento escribiendo a contacto@korvendi.com y el servicio no cambia.
• Medir el uso agregado del sitio y del panel para mejorarlos. En el sitio público contamos visitas y clics por día, sin identificar a nadie.

No hacemos publicidad con los datos de los clientes finales, no los perfilamos y no los vendemos ni los compartimos entre negocios. Cada negocio ve únicamente lo suyo.

5. Hay un asistente automatizado

Las conversaciones las atiende un asistente con inteligencia artificial que responde con la información que el negocio cargó. Una persona del negocio puede tomar la conversación en cualquier momento, y el asistente la pasa por sí mismo cuando algo no lo puede resolver. Los precios y la disponibilidad que da salen del catálogo del negocio; si algo no está cargado, no lo inventa.

6. Con quién compartimos los datos y dónde están

Para prestar el servicio usamos proveedores que tratan datos por nuestra cuenta. Varios están en Estados Unidos, así que tus datos se transfieren y almacenan fuera de México; estas transferencias son necesarias para prestar el servicio que contrataste o que el negocio te ofrece.

• Meta Platforms (WhatsApp, Messenger e Instagram): transporta mensajes, códigos y avisos por los canales conectados.
• Anthropic: recibe el contenido de las conversaciones y la información del negocio necesaria para generar respuestas.
• Groq: recibe las grabaciones de audio para transcribirlas a texto.
• Inworld: recibe el texto de las respuestas dirigidas al dueño y el identificador de voz para convertirlas en audio.
• Microsoft Azure Speech: recibe el texto de mensajes y saludos y el identificador de voz para generar los audios destinados a clientes.
• OpenAI: cuando solicitas crear o editar una imagen, recibe las instrucciones, el contexto de estilo y las fotos o imágenes de referencia seleccionadas para ese encargo.
• Google: permite entrar o registrarte con Google; su componente recibe tu dirección IP y datos del navegador al cargarse en las pantallas de acceso y registro.
• Apple: si eliges entrar o registrarte con Apple, interviene como proveedor de identidad y nos entrega el identificador de tu cuenta y el correo que autorices.
• Stripe: procesa el cobro de la suscripción de Korvendi y los datos de la tarjeta.
• Railway: aloja los servidores y la base de datos.
• Cloudflare: proporciona almacenamiento privado de archivos y servicios de red.
• Resend: recibe el correo y el contenido de los códigos y avisos que enviamos por correo electrónico.
• Banco de México: recibe los datos necesarios del comprobante para verificar transferencias SPEI mediante el CEP.
• Mercado Pago: sólo si el negocio lo conecta, procesa sus cobros.
• Clip: sólo si el negocio lo conecta, procesa sus cobros.
• Shopify: sólo si el negocio conecta su tienda, recibe los datos necesarios de pedidos y catálogo.
• WooCommerce: sólo si el negocio conecta su tienda, recibe los datos necesarios de pedidos y catálogo.
• Wix: sólo si el negocio conecta su tienda, recibe los datos necesarios de pedidos y catálogo.
• Mercado Libre: sólo si el negocio conecta su tienda, recibe los datos necesarios de pedidos y catálogo.
• Skydropx: sólo si el negocio lo conecta, recibe los datos necesarios para gestionar envíos.

Transferencia internacional: para prestar el servicio, parte de tus datos se transmite, procesa y almacena fuera de México, incluidos Estados Unidos y otros países donde operan nuestros proveedores y su infraestructura. Esto incluye los servicios de Railway, Cloudflare, OpenAI, Anthropic, Groq, Inworld, Microsoft Azure y otros proveedores indicados arriba; no todos los datos permanecen en México.

El generador no extrae fotos ni datos de las conversaciones con clientes. Las fotos de referencia y las imágenes generadas se conservan actualmente sin un plazo específico de eliminación automática. Cancelar la suscripción en Stripe no elimina estos archivos. Antes de adjuntar una foto de una persona, el dueño debe contar con su autorización para ese uso. El registro de las autorizaciones queda en la bitácora, sujeto a su plazo de retención.

Fuera de estos casos, sólo compartimos datos cuando una autoridad competente lo requiere conforme a la ley.

7. Cuánto tiempo los conservamos

Distinguimos dos relojes:

• Datos de trato (la conversación, los mensajes, las fotos, el nombre y teléfono del cliente final): se eliminan a los 24 meses. El negocio, como responsable, puede pedirnos un plazo distinto (entre 1 y 120 meses) y debe reflejarlo en su propio aviso.
• Registro contable (el pedido, el monto, el resultado del pago, quién autorizó cada paso): se conserva 60 meses, el plazo que marca la legislación fiscal mexicana, ya sin los datos de trato.

Otros plazos: las sesiones del panel duran 12 horas y los códigos de acceso 10 minutos (sus registros, ya sin valor de acceso, se conservan como bitácora mientras la cuenta exista); un registro a medias, 24 horas; los contadores de abuso, 24 horas; el recuerdo de un dispositivo conocido, 180 días sin usarse. Los datos de la persona que administra un negocio se conservan mientras su cuenta esté activa y, después, el tiempo que exijan las obligaciones fiscales.

Del registro de transferencias devueltas se elimina el teléfono a los 24 meses y queda sólo el hecho contable. Mientras tanto, ese registro se guarda con un seudónimo (una huella criptográfica del teléfono con una llave que sólo nosotros tenemos), que sigue siendo dato personal y se declara aquí por eso.

Cuando un negocio cancela, deja de tratarse su información para prestar el servicio; los datos de trato se eliminan conforme a los plazos anteriores o antes si el negocio lo pide, y los registros contables se conservan el plazo fiscal. La eliminación es automática: un proceso diario borra primero los archivos y después los registros, y deja constancia de cuántos, nunca de cuáles.

Archivos del generador de imágenes del dueño: las referencias y los resultados permanecen almacenados sin un plazo específico de eliminación automática. Cancelar la suscripción en Stripe no elimina estos archivos; ese borrado todavía no está implementado.

8. Cómo los protegemos

Las credenciales y los datos bancarios se guardan cifrados; las sesiones y los códigos se guardan sólo como huellas irreversibles; los archivos viven en un almacén privado al que sólo se accede con enlaces que caducan en minutos; cada consulta a la base de datos está limitada al negocio que la hace, y eso lo verifica una prueba automática, no la buena memoria. Todo el tráfico va cifrado.

9. Tus derechos (ARCO) y cómo ejercerlos

Tienes derecho a Acceder a tus datos, Rectificarlos si son inexactos, Cancelarlos y Oponerte a su tratamiento, así como a revocar tu consentimiento y a limitar su uso.

Escribe a contacto@korvendi.com con: tu nombre; un medio para responderte; una descripción clara de lo que pides; y, para proteger tus datos de terceros, una forma de acreditar que eres tú (por ejemplo, escribiendo desde el mismo WhatsApp o correo con el que nos conoces, o con una identificación oficial). Te responderemos en un plazo máximo de 20 días hábiles y, si procede, lo haremos efectivo en los 15 días hábiles siguientes.

Si eres cliente final, puedes dirigirte al negocio al que le escribiste o a nosotros; en el segundo caso le informamos al negocio y ejecutamos la solicitud por su cuenta. La cancelación borra la conversación, los mensajes y las imágenes; se conservan, sin tus datos de contacto, el pedido y el resultado del pago mientras la ley obligue a guardarlos.

Si consideras que tu derecho no fue atendido, puedes acudir a la autoridad competente en materia de protección de datos personales en México.

10. Cookies y medición

El sitio korvendi.com no usa cookies. Medimos únicamente cuántas visitas y cuántos clics hay por día en tres botones, como conteos, sin dirección IP ni identificador alguno. No usamos Google Analytics ni rastreadores de terceros.

El panel (panel.korvendi.com) usa cookies estrictamente necesarias para funcionar: la de sesión (12 horas), la del intento de acceso (20 minutos), la del dispositivo conocido (180 días, para no pedirte código cada vez) y una que recuerda que ya viste la bienvenida (1 año). Ninguna contiene datos legibles ni sirve para publicidad. Al abrir la pantalla de entrar o de registro se carga el componente de inicio de sesión de Google ("Continuar con Google"), que recibe tu dirección IP y datos de tu navegador y puede guardar sus propias cookies, conforme a la política de privacidad de Google; lo uses o no, esa carga ocurre al abrir la pantalla. El panel guarda además preferencias de presentación en tu navegador (por ejemplo, si la barra lateral está plegada).

11. Cambios a este aviso

Si cambiamos este aviso, publicaremos la versión nueva en esta misma dirección con su fecha de actualización. Cuando el cambio afecte finalidades o transferencias, además avisaremos a los dueños de negocio por el medio de contacto que tengamos.

Última actualización: 7 de noviembre de 2026. Si tienes cualquier duda sobre este aviso, escríbenos a contacto@korvendi.com.