← Volver al inicio

Borrador sin revisión legal. Este documento todavía no fue revisado por un abogado y puede cambiar. Los datos marcados como [PENDIENTE: …] faltan y se completan antes de su versión final.

Política de privacidad

Versión 2026-10-31 (31 de octubre de 2026) · borrador.

1. Quiénes somos y qué papel cumplimos

Selyon CRM (“Selyon”) es una plataforma de software operada por [PENDIENTE: razón social], cédula jurídica [PENDIENTE: cédula jurídica], con domicilio en [PENDIENTE: domicilio], Costa Rica. Les presta a negocios con cita un panel web de gestión (agenda con varias sucursales, ficha y seguimiento de clientes, ventas y cobros, comisiones del personal, reportes y campañas) y, como módulo, un asistente de WhatsApp con inteligencia artificial que responde, agenda y recuerda citas.

Según la Ley N.° 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales:

• Cada negocio que usa Selyon es el responsable de las bases de datos de sus clientes y de su personal: decide qué datos carga, para qué los usa, qué servicios ofrece, si envía promociones y a quién.
• Selyon actúa como encargado del tratamiento de esos datos: los trata por cuenta del negocio, siguiendo sus instrucciones y el contrato y acuerdo de tratamiento de datos que firma con él, y no los usa para fines propios.
• Selyon es responsable de los datos de las cuentas de los negocios y de las personas que usan el panel (registro, acceso, facturación de la suscripción y seguridad).

Si le escribís a un negocio por WhatsApp, el nombre del negocio aparece en el primer mensaje del asistente, junto con el enlace a esta política. Ese negocio es tu primer punto de contacto para cualquier tema de tus datos.

2. Qué datos se tratan

Si sos cliente de un negocio que usa Selyon

Lo que el negocio registra en su panel o lo que llega por sus canales:

• Ficha del cliente (CRM): nombre, teléfono, correo, fecha de nacimiento, persona responsable cuando el cliente es menor de edad, notas internas del equipo, etiquetas, campos personalizados que defina el negocio, cómo llegó, sucursal, profesional y canal preferidos, si es cliente VIP y su estado (nuevo, activo, en riesgo, inactivo), calculado con su historial.
• Citas: servicios, fecha y hora, sucursal, profesional que atiende, estado (agendada, confirmada, completada, cancelada, no se presentó), extras y campos personalizados de la cita.
• Ventas y pagos: montos cobrados, señas, reembolsos, método de pago (por ejemplo efectivo, tarjeta o SINPE, tal como lo registra el negocio) y notas. Selyon no procesa esos pagos ni guarda datos de tarjetas de los clientes del negocio.
• Historial: cantidad de visitas, primera y última visita y total gastado, para los reportes del negocio.
• Preferencias de mensajes: si aceptaste o no recibir promociones (y cuándo), si pediste la baja (y cuándo).
• El negocio puede importar y exportar su lista de clientes en archivos CSV.

Datos sensibles. Selyon no es un expediente clínico. Los negocios no deben registrar diagnósticos, tratamientos médicos ni otros datos sensibles (salud, religión, orientación sexual, etc.) en notas, etiquetas ni campos personalizados, salvo que cuenten con base legal y tu consentimiento expreso. [PENDIENTE: datos de salud en clínicas — revisar con el abogado qué consentimiento exige la Ley 8968 si una clínica registra datos de salud]

Si le escribís por WhatsApp a un negocio que usa el asistente

• Tu número de WhatsApp y el nombre de tu perfil, que identifican la conversación.
• El contenido de tus mensajes: texto; notas de voz (se guardan en un almacenamiento privado y se transcriben a texto con IA para que el asistente las entienda); fotos (se guardan para que el equipo del negocio las vea); ubicaciones y contactos que compartas; de los documentos solo se registra que llegaron.
• Lo que resulta de la conversación: citas agendadas, reprogramadas o canceladas, cotizaciones que te dio el asistente, tu respuesta al seguimiento después del servicio y cuándo se te mostró el aviso de que te atiende un asistente automatizado.
• Registros técnicos necesarios para operar: identificadores de mensajes de WhatsApp, colas de trabajo y contadores de uso.

Si sos parte del equipo de un negocio

• Cuenta de usuario: nombre, correo, rol (dueño, administración, recepción, profesional), sucursales a las que entra, contraseña (solo guardamos un hash, nunca la contraseña), segundo factor si lo activás (guardado cifrado) y suscripciones a notificaciones del navegador.
• Datos laborales que carga el negocio: horario semanal por sucursal, ausencias (feriados, vacaciones, incapacidades: el motivo es un texto libre y no debe incluir diagnósticos), servicios que atendés, reglas de comisión, comisiones ganadas y sus liquidaciones.
• Uso del panel: último día en que entraste a cada negocio y un registro de auditoría de operaciones sensibles (por ejemplo cambios de rol, invitaciones, borrados).
• Aceptación de estos documentos: qué versión de los términos y de esta política aceptaste, en qué negocio y cuándo.

Si representás a un negocio (cuenta y facturación)

• Datos del negocio: nombre, rubro, país, moneda, sucursales y horarios, servicios y precios, configuración del asistente y de los mensajes, marca (colores y logo) e identificadores y credenciales de WhatsApp Business (los tokens se guardan cifrados).
• Datos de la suscripción: plan, estado del cobro, fecha de fin de la prueba gratis y los identificadores de cliente y de suscripción en Stripe. Los datos de la tarjeta los recibe Stripe directamente en su página de pago: Selyon no los ve ni los guarda.

3. Para qué se usan

• Prestarle al negocio su panel: agenda y disponibilidad por profesional y sucursal, fichas de clientes, cobros, comisiones, reportes y campañas.
• Si el negocio usa el asistente de WhatsApp: responder tus consultas sobre servicios, precios, horarios y ubicación; cotizar; agendar, reprogramar o cancelar citas; pasar la conversación a una persona del equipo cuando lo pedís (por ejemplo escribiendo “agente”) o cuando el asistente no puede resolver.
• Enviarte recordatorios de tu cita (por WhatsApp o por correo, según lo que tenga activo el negocio), con opciones para confirmar o cancelar, y un seguimiento después del servicio que puede incluir el enlace para dejar una reseña.
• Si pediste un precio y no agendaste, y el negocio tiene activa esa función, enviarte hasta dos mensajes de seguimiento sobre esa cotización. Se detienen si escribís BAJA.
• Promociones: solo si aceptaste expresamente (sección 5).
• Correos de la plataforma a las personas del equipo: confirmar el correo al registrarse, invitaciones al equipo, recuperación de la clave y avisos de seguridad de la cuenta.
• Cobrar la suscripción del negocio, administrar la prueba gratis y pausar o reactivar la cuenta según el estado del pago.
• Operar, asegurar y mejorar el funcionamiento técnico del servicio (errores, rendimiento, prevención de abuso y fraude) y probar qué aceptó cada cuenta.

No usamos los datos de los clientes de los negocios para fines propios, no los vendemos, no los usamos para entrenar modelos de inteligencia artificial propios ni para publicidad, y no los compartimos con otros negocios: cada negocio solo ve a sus propios clientes y a su propio equipo.

4. Consentimiento e inteligencia artificial

Al escribirle al negocio por WhatsApp aceptás el tratamiento necesario para atender tu consulta y tu cita. En el primer mensaje el asistente se identifica como automatizado, avisa que responde con IA de proveedores en EE. UU. y enlaza esta política. Las respuestas las genera un modelo de inteligencia artificial: pueden contener errores y el negocio confirma lo importante. Ninguna decisión con efectos legales sobre vos se toma de forma automática; podés pedir hablar con una persona en cualquier momento.

Como varios proveedores están fuera de Costa Rica (sección 6), al usar el asistente también consentís esa transferencia internacional. Podés revocar tu consentimiento en cualquier momento (sección 10); eso puede impedir que el asistente te siga atendiendo, pero el negocio puede atenderte por otros medios.

5. Promociones: solo con tu permiso, y la baja

• Escribirle a un negocio o ser su cliente no te suscribe a promociones. El negocio solo puede enviarte campañas si aceptaste expresamente: tocando “Sí” en el mensaje de WhatsApp que te lo pregunta (el asistente lo pregunta una sola vez, después de que agendás tu primera cita, y nunca si pediste la baja), o diciéndoselo en persona al negocio, que lo registra en tu ficha (el cambio queda en su registro de auditoría).
• Si respondés “No, gracias” no se te envían promociones ni se te vuelve a preguntar.
• Para darte de baja escribí BAJA en cualquier momento (también funcionan “stop”, “cancelar suscripción” o “no me manden más”). Se registra al instante y retira tu permiso.
• La baja detiene promociones y seguimientos de cotizaciones; los recordatorios de una cita que agendaste siguen llegando, porque son parte del servicio que pediste.

6. Con quién se comparten (subencargados) y transferencia internacional

Para prestar el servicio, Selyon usa estos proveedores, cada uno solo para su función:

• Meta Platforms (WhatsApp Business Platform / Cloud API) — transporte de los mensajes de WhatsApp. Meta es además responsable de WhatsApp según sus propias políticas. Servidores en EE. UU. y otros países.
• OpenAI (EE. UU.) — genera las respuestas del asistente a partir del texto de la conversación y transcribe las notas de voz. [PENDIENTE: confirmar retención y uso de datos de la API de OpenAI — hoy, por defecto, no usa los datos enviados por API para entrenar y puede retenerlos hasta 30 días para monitoreo de abuso]
• Supabase — base de datos y almacenamiento privado de fotos y notas de voz. Región: [PENDIENTE: región de Supabase].
• DigitalOcean — servidor donde corre la aplicación. Región: [PENDIENTE: región del servidor de DigitalOcean].
• Stripe (EE. UU. y otros países) — cobro en línea de la suscripción del negocio: recibe los datos de facturación del negocio y de su tarjeta. No recibe datos de los clientes del negocio.
• Resend (EE. UU.) — envío de los correos de la plataforma (confirmación del correo, invitaciones, recuperación de clave, avisos de la cuenta) y de los recordatorios de cita por correo: recibe la dirección, el asunto y el contenido de cada correo.
• Servicios de notificaciones del navegador (por ejemplo Google, Apple o Mozilla, según el dispositivo del equipo del negocio) — avisan al equipo que llegó un mensaje, con el número del cliente y un extracto del mensaje.
• Sentry (si está activo) — reportes técnicos de errores. Los registros de la plataforma enmascaran teléfonos y correos y no guardan el contenido de los mensajes.

El enlace para dejar una reseña que algunos negocios incluyen en el seguimiento lleva a Google: si lo abrís, rige la política de Google; Selyon no le envía tus datos.

Varios de estos proveedores tratan datos fuera de Costa Rica, principalmente en EE. UU. Selyon solo trabaja con proveedores que ofrecen compromisos contractuales de seguridad y confidencialidad, y cifra los datos en tránsito. [PENDIENTE: requisitos de la transferencia internacional e inscripción ante la PRODHAB — revisar con el abogado qué piden la Ley 8968 y su reglamento]

Fuera de esos proveedores, solo se entregan datos si lo exige una autoridad competente conforme a la ley.

7. Cookies y tecnologías similares

Usamos solo lo estrictamente necesario para que el panel funcione. No usamos cookies de publicidad ni de analítica, y por eso no mostramos un aviso de cookies.

• panel_session — mantiene iniciada la sesión de las personas del equipo en el panel. Se crea al iniciar sesión, no es accesible desde JavaScript (HttpOnly), viaja solo por HTTPS y dura hasta 7 días o hasta que cerrás la sesión.
• panel_admin_session — sesión del personal de Selyon que administra la plataforma. Dura unas horas.
• Almacenamiento local del navegador — guarda preferencias del panel en tu dispositivo (por ejemplo, el tema o la sucursal elegida). No se envía a nadie.
• SDK de Meta — solo cuando un negocio conecta su número de WhatsApp desde el panel (Configuración de WhatsApp, o la administración de Selyon), el panel carga el SDK de Facebook (connect.facebook.net) para abrir la ventana de Meta, con el registro automático de eventos apagado. Meta puede usar sus propias cookies en su dominio según su política. No se carga en el resto del panel.
• Este sitio público (la página de inicio y estos documentos) no usa cookies.

8. Cuánto tiempo se conservan

• Datos del negocio, de sus clientes y de su equipo: mientras el negocio sea cliente de Selyon, salvo que el negocio los borre antes o se pida su supresión. Cuando el negocio deja el servicio, se le entrega una copia de sus datos y se borran de la plataforma, en los plazos del contrato.
• Copias de seguridad: se rotan; una copia puede contener datos ya borrados durante un tiempo limitado. [PENDIENTE: retención de las copias de seguridad — propuesta, a confirmar: 14 días, el valor por defecto del sistema]
• Registros técnicos (colas de trabajo, mensajes que no se pudieron procesar): alrededor de 7 días.
• Registro de auditoría: se conserva como rastro de las operaciones sensibles; no guarda datos personales de los clientes (solo identificadores internos y conteos).
• Aceptación de estos documentos: mientras exista la cuenta del negocio; el rastro de auditoría de la aceptación se conserva después.
• Los proveedores pueden conservar datos por los plazos de sus propias políticas (por ejemplo, Meta, OpenAI y Stripe).

9. Si sos un negocio: lo que tenés que hacer con tus clientes

Como responsable, el negocio informa a sus clientes y a su personal cómo trata sus datos (puede enlazar esta política, que describe el tratamiento técnico), tiene base legal para lo que registra, responde las solicitudes de derechos con nuestra asistencia y no carga datos sensibles sin consentimiento. Las obligaciones de cada parte están en el contrato de servicio y acuerdo de tratamiento de datos.

10. Tus derechos

Según la Ley 8968 tenés derecho a:

• Acceso: saber qué datos tuyos se tratan y obtener una copia.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: pedir que se borren tus datos, salvo que una ley obligue a conservarlos.
• Revocar tu consentimiento, incluido el de promociones (escribiendo BAJA).

Cómo ejercerlos: si sos cliente de un negocio, escribile al negocio (por WhatsApp o su canal habitual) o escribinos a [PENDIENTE: correo de privacidad] indicando tu número o correo y el nombre del negocio. Si nos escribís a nosotros, se lo trasladamos al negocio (que es el responsable) y lo asistimos para responderte. El dueño del negocio puede borrar los datos personales de un cliente desde su panel. Si sos parte de un equipo o representás a un negocio, escribinos directamente. Respondemos dentro del plazo que fija la ley: [PENDIENTE: plazo de respuesta a los derechos — propuesta, a confirmar: 5 días hábiles, el plazo de la Ley 8968 para responder solicitudes]. Si no quedás conforme, podés acudir a la Agencia de Protección de Datos de los Habitantes (PRODHAB).

11. Seguridad

Conexiones cifradas (HTTPS), datos de cada negocio aislados entre sí en la propia base de datos, credenciales de WhatsApp y segundos factores cifrados, contraseñas guardadas como hash, acceso al panel por usuario, rol y sucursal, segundo factor opcional, sesiones que vencen y que se cierran en todos los dispositivos al cambiar la clave o cerrar sesión, fotos y notas de voz en almacenamiento privado visible solo desde el panel autenticado, registros sin datos personales de los clientes y copias de seguridad. Ningún sistema es infalible: si ocurre un incidente que afecte tus datos, Selyon avisa al negocio sin demora y el negocio y Selyon actúan según la ley. [PENDIENTE: plazo de aviso de incidentes — propuesta, a confirmar: 5 días hábiles desde que se detecta, el plazo del reglamento de la Ley 8968 para informar a las personas afectadas]

12. Menores de edad

El asistente de WhatsApp está pensado para personas adultas. Si sos menor de edad, pedile a una persona adulta responsable que se comunique con el negocio. Cuando un negocio atiende a menores (por ejemplo, una clínica dental), la ficha del menor queda vinculada a la persona adulta responsable, que es quien da el consentimiento y ejerce sus derechos.

13. Cambios a esta política

Si cambiamos algo importante (por ejemplo, un proveedor nuevo o un uso nuevo de los datos), actualizamos esta página y su versión. A las personas que usan el panel se les pide aceptar la versión nueva la próxima vez que entran.

14. Contacto

[PENDIENTE: razón social] · Privacidad: [PENDIENTE: correo de privacidad] · Otros canales: [PENDIENTE: canal oficial de contacto]

Ver también: Términos del servicio · Contrato de servicio y acuerdo de tratamiento de datos (para negocios).