Política de privacidad

Última actualización: 30 de abril de 2026

En AstraMech tomamos la privacidad de tus datos en serio. Este documento describe qué información recolectamos, cómo la usamos, con quién la compartimos y los derechos que tienes sobre ella.

1. Datos que recolectamos

• Cuenta: nombre, email, empresa, rol, plan contratado.
• Integraciones: tokens OAuth de Gmail, Slack, Apollo.io y demás integraciones que actives. Solo solicitamos los scopes mínimos necesarios para que los agentes operen.
• CRM y contactos: los prospectos y clientes que cargas manualmente, importas vía CSV o que el SDR Agent enriquece desde Apollo.
• Actividad de agentes: emails enviados/recibidos por los agentes, decisiones tomadas, audit log con timestamps y razones.
• Datos técnicos: dirección IP, navegador, logs de aplicación con propósito de seguridad y debugging.

2. Cómo usamos tus datos

• Operar el servicio: ejecutar los agentes IA contra tu CRM y tus integraciones según las reglas que configuras.
• Mejorar el producto: analítica agregada y anónima de uso.
• Comunicarnos contigo: notificaciones de producto, soporte, facturación.
• Cumplimiento legal: responder a requerimientos de autoridad competente cuando aplique.

3. Cómo NO usamos tus datos

• No vendemos tus datos a terceros.
• No usamos tus emails ni el contenido de tu CRM para entrenar modelos de IA generales que beneficien a otros tenants.
• No accedemos a tus datos manualmente excepto para soporte solicitado por ti o investigación de un incidente de seguridad.

4. Subprocesadores

Compartimos datos solo con proveedores necesarios para entregar el servicio:

• Anthropic / OpenAI: procesamiento de prompts de los agentes (modelos LLM). Se aplican las políticas de no-retention de cada proveedor cuando están disponibles.
• Google (Gmail/Calendar): cuando conectas tu cuenta, leemos/enviamos correos según los scopes que apruebes.
• Slack: envío de notificaciones al canal que configures.
• Apollo.io: enriquecimiento de prospectos.
• Hosting cloud (AWS/GCP/Vercel): infraestructura.

4.b Datos de Google y Política de Uso Limitado (Limited Use)

Cuando conectas tu cuenta de Google, AstraMech solicita exactamente tres permisos, y ninguno más:

• gmail.send — para enviar correos de ventas en tu nombre desde la dirección que autorizas. No da acceso de lectura a tu bandeja.
• gmail.readonly — únicamente para detectar respuestas a las secuencias que enviaste y reflejarlas en tu CRM (clasificar interés, frenar el seguimiento, registrar rebotes). No leemos, almacenamos ni indexamos el resto de tu bandeja de entrada.
• calendar.readonly — únicamente para detectar que se agendó una reunión y promover ese contacto a oportunidad. Solo lectura de eventos; nunca creamos, editamos ni borramos nada en tu calendario.

No solicitamos permisos de escritura sobre tu buzón: AstraMech no marca como leído, no etiqueta, no archiva, no borra ni crea borradores en tu cuenta.

El uso y la transferencia por parte de AstraMech de la información recibida de las APIs de Google se ajustará a la Google API Services User Data Policy, incluyendo sus requisitos de Uso Limitado (Limited Use). En particular:

• Usamos los datos de Google solo para proveer y mejorar las funciones visibles para ti (enviar tu outbound, registrar respuestas y detectar reuniones agendadas).
• No transferimos datos de Google a terceros salvo lo necesario para proveer el servicio, por requerimiento legal, o como parte de una fusión con consentimiento.
• No usamos datos de Google para publicidad.
• No usamos datos de Google para entrenar modelos de IA generalizados o de fundación.
• No permitimos que humanos lean tus datos de Google, salvo: con tu consentimiento explícito para soporte, por seguridad (p. ej. investigar un incidente), para cumplir la ley, o sobre datos agregados/anonimizados.

Los tokens de OAuth se guardan cifrados en reposo y puedes revocarlos en cualquier momento desde Ajustes → Integraciones, o desde la página de permisos de tu cuenta de Google. Al revocar, AstraMech deja de enviar y de leer de inmediato.

English (for Google review): AstraMech's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements. Gmail data is used solely to send outbound email on the user's behalf and to detect replies for CRM tracking; Calendar data is read solely to detect booked meetings. It is never sold, used for advertising, or used to train generalized AI models, and is not transferred except to provide the service, comply with law, or as part of a merger with consent.

5. Retención y eliminación

Mantenemos tus datos mientras tu cuenta esté activa. Si cancelas, tus datos quedan disponibles para exportar durante 30 días, después de los cuales se eliminan de bases de datos primarias. Backups encriptados pueden retenerse hasta 90 días adicionales para fines de recuperación.

6. Tus derechos

Bajo GDPR, CCPA y leyes similares tienes derecho a:

• Acceder a tus datos.
• Corregir datos inexactos.
• Eliminar tus datos (derecho al olvido).
• Exportar tus datos en formato portable.
• Oponerte a procesamientos específicos.
• Retirar consentimiento OAuth en cualquier momento desde tu panel.

7. Seguridad

• Encriptación en tránsito (TLS 1.2+) y en reposo (AES-256).
• Tokens OAuth almacenados en bóveda encriptada por tenant.
• Acceso por roles (RBAC) y MFA opcional.
• Audit log inmutable de acciones críticas.
• Programa de bug bounty disponible para reportes de seguridad.

8. Cookies

Usamos cookies esenciales para mantener tu sesión y cookies analíticas anónimas (Plausible / similar) para entender uso agregado. No usamos cookies de tracking publicitario de terceros.

9. Cambios a esta política

Si modificamos materialmente esta política, te notificaremos por email con al menos 30 días de antelación antes de que entre en vigor.