Política de Privacidad de Northlav Cloud

1. Identidad del operador y estructura del sistema

Northlav Cloud es una plataforma tecnológica empresarial operada por Northlav Studio, marca operada por Andy Alejandro Alemán Chávez, persona física con actividad económica registrada en Costa Rica.

• Northlav Studio: marca comercial y empresa desarrolladora.
• Northlav Cloud: plataforma SaaS contratada por los clientes para su gestión comercial.
• Northlav OS: entorno interno de administración usado exclusivamente por personal autorizado de Northlav Studio para desarrollo, soporte, auditoría de seguridad y operación técnica.

2. Roles en el tratamiento de datos y leyes aplicables

Northlav opera desde Costa Rica, por lo que su base es la Ley N° 8968, que reconoce los derechos de las personas sobre sus datos personales y exige estricta confidencialidad a todas las partes que intervengan en su tratamiento. Northlav Cloud presta servicio a negocios de Latinoamérica y de Estados Unidos; cuando la ley de protección de datos del país o estado donde está la persona le dé más derechos o protección, Northlav la respeta también (ver secciones 9 y 13).

3. Arquitectura multi-tenant y aislamiento de datos

Northlav Cloud usa una arquitectura multi-tenant con separación lógica. Los datos de cada cliente se aíslan mediante políticas de Row Level Security (RLS) en la base de datos, de modo que las conversaciones, bases de conocimiento y clientes de un negocio son inaccesibles para otras organizaciones.

4. Memoria activa de IA e historial del CRM

Nuestros agentes de IA (Mortis y TIMO) usan una ventana activa de hasta 50 mensajes de conversación, además de resúmenes estructurados, datos de CRM y bases de conocimiento para generar respuestas contextuales.

ℹ️ El historial conservado en el CRM por solicitud del Cliente puede ser mayor que la ventana activa de 50 mensajes usada por los agentes.

5. Canales e integraciones

Northlav Cloud admite la conexión con WhatsApp, Telegram, Instagram, Messenger y futuros canales de comunicación.

Algunas integraciones (Instagram, Messenger, WhatsApp Embedded Signup y WhatsApp Coexistence) dependen de permisos, revisiones de aplicaciones, elegibilidad del número y disponibilidad técnica de sus proveedores (Meta Platforms, Inc.).

Cuando un negocio desconecta su cuenta de Instagram, o solicita a Meta la eliminación de sus datos, Northlav borra la llave de acceso y la vinculación de esa cuenta. Ver Eliminación de datos.

6. Datos objeto de tratamiento

Según las funciones que active el Cliente, Northlav Cloud puede tratar:

• Datos de cuenta: nombre, correo, teléfono, empresa, credenciales cifradas y roles.
• Mensajes y multimedia: textos, imágenes, notas de voz, videos y documentos de las conversaciones.
• Datos CRM: etapas comerciales, etiquetas, oportunidades, resúmenes e inferencias de IA.
• Base de conocimiento: documentos, preguntas frecuentes y catálogos cargados para el agente.
• Datos técnicos: direcciones IP, registros de sesión, logs administrativos e historial de intervenciones humanas.
• Datos de facturación: plan, estado de la suscripción e identificadores de cliente y transacción de Paddle. Northlav no recibe ni guarda números de tarjeta: los introduce el cliente directamente en Paddle.

7. Proveedores que tratan datos (encargados)

Para prestar el servicio usamos estos proveedores, que tratan datos solo por cuenta de Northlav:

• Paddle.com (Reino Unido / EE. UU.): revendedor autorizado y comerciante registrado (Merchant of Record). Procesa pagos, suscripciones, impuestos, facturas y reembolsos. Trata los datos de pago según su propia política de privacidad.
• Supabase (EE. UU.): base de datos y autenticación.
• Vercel (EE. UU.): alojamiento de la aplicación.
• Cloudflare (EE. UU.): almacenamiento de archivos multimedia y protección contra bots.
• Google (Gemini API) y OpenAI (EE. UU.): modelos de IA que redactan las respuestas.
• Meta Platforms, Inc.: canales de WhatsApp e Instagram conectados por el Cliente.

Lista completa en Subprocesadores.

8. Uso de IA y ausencia de entrenamiento cruzado

Northlav Cloud usa modelos de lenguaje de proveedores como Google Cloud (Gemini) y OpenAI. Ninguno de ellos usa el contenido enviado por nuestra API para entrenar sus modelos; en el caso de OpenAI solicitamos además que las conversaciones no queden almacenadas.

Northlav no utiliza las conversaciones privadas de un Cliente para entrenar modelos generales destinados a otros clientes.

9. Tus derechos sobre tus datos

Estés en el país que estés, puedes pedir:

• Acceso: saber qué datos tuyos tratamos y para qué.
• Rectificación: corregir datos inexactos o incompletos.
• Cancelación o supresión: que se borren cuando ya no hagan falta o retires tu consentimiento.
• Oposición: que dejemos de tratarlos para un fin concreto.
• Portabilidad: recibir tus datos en un formato de uso común, donde la ley lo reconozca.
• Revocar el consentimiento que hayas dado, sin efecto sobre lo tratado antes.

Para datos de cuentas o consultas a Northlav, escribe a northlavstudio@gmail.com indicando tu nombre, el derecho que quieres ejercer y un medio para responderte. Respondemos dentro del plazo que fije la ley aplicable. Para datos recopilados por un comercio cliente (por ejemplo, tus conversaciones con una tienda), dirige la solicitud a ese comercio, que es el responsable; si nos llega a nosotros, se la remitimos y le ayudamos a atenderla. Para datos de pago, también puedes contactar a Paddle.

Si no quedas conforme con la respuesta, puedes reclamar ante la autoridad de protección de datos de tu país:

En los países sin una ley general de protección de datos, Northlav reconoce igualmente estos derechos.

10. Transferencias internacionales

Los proveedores de la sección 7 alojan o tratan datos fuera de Costa Rica y del país del Cliente, principalmente en Estados Unidos. Antes de usar un proveedor, Northlav comprueba que ofrezca compromisos contractuales de confidencialidad y seguridad, y que trate los datos solo para prestar su servicio.

Cuando la ley del país de origen exige una garantía adicional para transferir datos (por ejemplo, cláusulas contractuales modelo, como las de la Red Iberoamericana de Protección de Datos o las de la ANPD de Brasil), Northlav la incorpora en su relación con el Cliente mediante el Acuerdo de Tratamiento de Datos (DPA).

11. Menores de edad

Northlav Cloud es un servicio para negocios: las cuentas solo pueden abrirlas personas mayores de 18 años que actúan en nombre de un negocio. Si un comercio cliente atiende a menores por sus canales, es responsable de cumplir la ley de su país sobre datos de menores, incluido el consentimiento de sus padres o tutores cuando se requiera.

12. Extracción responsable de datos por IA y datos prohibidos

Los Clientes que configuren campos de extracción para su agente (Mortis) deben cumplir los principios de minimización, finalidad y legitimidad (Ley N° 8968 y la ley de protección de datos de su país, ver sección 9). Queda estrictamente prohibido configurar agentes para solicitar, almacenar o procesar:

• Datos financieros sensibles: tarjetas, CVV/CVC, PIN, claves bancarias, IBAN o tokens de transferencia.
• Credenciales: contraseñas, claves privadas, tokens de API, semillas 2FA o códigos OTP.
• Salud y biometría: expedientes, diagnósticos, tratamientos, ADN, huellas o reconocimiento facial.
• Documentos oficiales escaneados: cédulas, pasaportes o licencias.
• Categorías especiales: religión, política, afiliación sindical, orientación sexual u origen étnico.
• Antecedentes penales y menores: récords judiciales o datos de menores sin consentimiento legal.

13. Aviso para residentes de Estados Unidos (incluida California)

Esta sección completa la política para las personas que residen en Estados Unidos, en particular según la Ley de Privacidad del Consumidor de California, modificada por la Ley de Derechos de Privacidad de California (CCPA/CPRA), y las leyes de privacidad de otros estados (como Virginia, Colorado, Connecticut, Utah, Texas y Oregón). Algunas de estas leyes solo aplican a empresas por encima de ciertos umbrales; Northlav reconoce estos derechos a todos los residentes de Estados Unidos igualmente.

13.1. Qué información personal recopilamos y de dónde

En los últimos 12 meses hemos recopilado estas categorías, para los fines descritos en las secciones 2 a 8:

• Identificadores: nombre, correo, teléfono, usuario de la cuenta y dirección IP.
• Información comercial: plan contratado, estado de la suscripción e historial de pagos (procesados por Paddle).
• Actividad en internet: registros de sesión y de uso del panel.
• Información de audio y electrónica: mensajes, notas de voz, imágenes y documentos de las conversaciones que el Cliente conecta.
• Inferencias: etapa comercial, intereses y resúmenes que el CRM genera para el Cliente.
• Información personal sensible: solo las credenciales de acceso a la cuenta, que usamos únicamente para darte acceso y proteger el servicio. No usamos información sensible para deducir características de nadie.

La obtenemos de ti, de los negocios clientes que usan la Plataforma, de los canales que ellos conectan (por ejemplo, WhatsApp o Instagram de Meta) y de nuestro procesador de pagos. Conservamos cada categoría solo el tiempo necesario para esos fines; ver Retención de datos.

13.2. No vendemos ni compartimos tu información

Northlav no vende información personal ni la comparte para publicidad conductual entre contextos, y no lo ha hecho en los últimos 12 meses. Tampoco la vende ni la comparte, a sabiendas, de personas menores de 16 años. La web y el panel no usan cookies ni píxeles de publicidad de terceros. Solo la entregamos a los proveedores de la sección 7, que la tratan por cuenta de Northlav y bajo contrato. Si tu navegador envía la señal Global Privacy Control, la tratamos como una solicitud válida de exclusión.

13.3. Tus derechos

• Saber y acceder: qué información personal tuya recopilamos, de dónde, para qué y con quién la compartimos, y recibir una copia portable.
• Eliminar la información personal que recopilamos de ti, con las excepciones que permita la ley.
• Corregir la información inexacta.
• Excluirte de la venta, de compartirla para publicidad dirigida y de la elaboración de perfiles con efectos significativos (aunque no hacemos nada de esto).
• No discriminación: ejercer tus derechos no cambia el precio ni la calidad del servicio.

13.4. Cómo ejercerlos

Escribe a northlavstudio@gmail.com con el asunto «US Privacy Request», indicando el derecho que quieres ejercer y el correo de tu cuenta. Para proteger tu información, verificamos la solicitud con los datos que ya tenemos (por ejemplo, confirmando desde el correo de la cuenta). Puedes actuar por medio de un agente autorizado con tu permiso firmado. Respondemos en un plazo de 45 días, ampliable una vez por otros 45 si te avisamos.

Si rechazamos tu solicitud, puedes apelar respondiendo a nuestra decisión; te contestamos en el plazo que fije la ley de tu estado. Si no quedas conforme, puedes acudir al Fiscal General de tu estado.

13.5. Otros avisos para Estados Unidos

• «Do Not Track»: no rastreamos a las personas entre sitios web de terceros, así que esa señal no cambia nada. Sí respetamos Global Privacy Control (13.2).
• California, «Shine the Light»: no entregamos información personal a terceros para que hagan su propio marketing directo.
• Nevada: no vendemos «información cubierta» según la ley de Nevada. Si un día cambiara, avisaremos antes.
• Menores de 13 años: el servicio no está dirigido a menores de 13 años y no recopilamos a sabiendas sus datos (ley COPPA). Si descubrimos que lo hicimos, los borramos. Si un comercio cliente atiende a menores, la sección 11 aplica también.

Datos de los clientes de un negocio: cuando Northlav trata conversaciones y contactos por cuenta de un negocio cliente, actúa como proveedor de servicios o encargado (sección 2.2): no los vende, no los comparte y no los usa para nada fuera de prestar el servicio a ese negocio. Las solicitudes sobre esos datos se dirigen al negocio, y nosotros le ayudamos a atenderlas.

14. Seguridad

Protegemos los datos con cifrado en tránsito (HTTPS), aislamiento por negocio en la base de datos (sección 3), acceso a los archivos solo con sesión iniciada y enlaces que caducan, segundo factor para las cuentas internas y registros de auditoría. Ningún sistema es infalible: si ocurre un incidente que afecte tus datos personales, lo comunicaremos a las personas y autoridades que corresponda, en los plazos que exija la ley aplicable.

Más detalle en Seguridad.

15. Enlaces a otros sitios

La Plataforma puede enlazar servicios de terceros (por ejemplo, Meta, Paddle o la web de un comercio). Esta política no los cubre: cada uno tiene la suya.

16. Cambios a esta política

Podemos actualizar esta política. Cuando el cambio sea relevante, lo avisaremos al correo de la cuenta o en la Plataforma antes de que entre en vigor, y te pediremos aceptarla de nuevo al entrar. La fecha de arriba indica la versión vigente.