Política de privacidad de Novaru

1. Quiénes somos y cómo contactarnos

Novaru es un asistente con inteligencia artificial que atiende los mensajes que los negocios (clínicas, barberías, restaurantes, inmobiliarias y otros) reciben por WhatsApp, Instagram y Messenger. Puede responder consultas, agendar y recordar citas, tomar pedidos y derivar la conversación a una persona del negocio.

Novaru es un servicio de Viralith Digital LLC, sociedad de responsabilidad limitada constituida en el estado de Wyoming, Estados Unidos (D-U-N-S 14-017-2114), en adelante «Viralith», «nosotros».

• Correo para privacidad y protección de datos: support@viralithdigital.com (indique en el asunto «Privacidad»). Este buzón lo atiende el equipo de Viralith responsable de privacidad.

Novaru se ofrece a negocios de Paraguay, Ecuador y otros países de América Latina. No se ofrece en los Estados Unidos.

2. Dos situaciones distintas: cuándo decidimos nosotros y cuándo decide el negocio

a) Cuentas propias de Viralith (Viralith es el responsable)

Viralith usa Novaru para atender sus propias cuentas de WhatsApp, Instagram y Messenger (por ejemplo, cuando usted nos escribe para conocer el servicio). En ese caso Viralith decide para qué y cómo se usan sus datos y es el responsable del tratamiento. Esta política se aplica de forma directa.

Viralith también es responsable de los datos de las personas que crean una cuenta en el panel de Novaru en nombre de un negocio (nombre, correo, rol) y de los datos de facturación de esos negocios.

b) Cuentas de los negocios clientes (el negocio es el responsable)

Cuando usted escribe a un negocio que usa Novaru (por ejemplo, a su clínica o a su barbería), el negocio es el responsable del tratamiento de sus datos y Viralith actúa como encargado del tratamiento: procesamos los datos solo para prestarle el servicio al negocio, siguiendo sus instrucciones y el acuerdo de tratamiento de datos (DPA) que debe firmarse con él. El negocio debe informarle sobre su propia política de privacidad.

Si su pedido se refiere a datos que trató un negocio cliente, puede dirigirse al negocio o escribirnos: si nos escribe, le avisaremos al negocio y lo ayudaremos a responder (ver la sección 11 y la página Eliminación de datos).

3. Qué datos recibimos de cada plataforma

Recibimos los datos que Meta nos entrega cuando una persona escribe a una cuenta conectada a Novaru, el contenido que esa persona aporta y la información que carga o conecta el negocio para prestar el servicio, como se detalla a continuación. No compramos datos personales.

Datos que usted decide darnos en la conversación. Para agendar una cita o tomar un pedido, el asistente puede pedirle su nombre y, según el negocio, el servicio o producto que quiere, la fecha y hora, y una dirección de entrega. Le pedimos solo lo necesario para esa gestión.

Datos que carga el negocio. El negocio puede registrar en el panel citas, notas internas sobre la conversación, etiquetas, facturas y, en el caso de clínicas, notas de atención. También puede importar su propia lista de contactos y configurar instrucciones, horarios, servicios, catálogos, precios y otra información de su negocio para orientar la atención del asistente. Debe contar con autorización o una base jurídica válida para los datos personales que aporte.

Datos de los negocios que conectan sus cuentas. Cuando un negocio conecta su WhatsApp, Instagram o página de Facebook, recibimos los identificadores de esas cuentas (por ejemplo, el identificador del número de WhatsApp y de la cuenta de WhatsApp Business, o el identificador y el nombre de usuario de la cuenta de Instagram) y un token de acceso, que guardamos cifrado. Del panel guardamos el nombre, el correo, el rol y la contraseña (solo como resumen criptográfico, nunca en claro) de cada persona del equipo del negocio.

Llamadas de voz (función opcional, cuando el negocio la contrata). Guardamos el número desde el que llama, la duración, el resultado de la llamada y si se agendó una cita. No guardamos el audio en nuestros servidores. La transcripción solo se guarda si el negocio lo activa expresamente.

4. Para qué usamos los datos y con qué base legal

La base jurídica aplicable depende del país, de la finalidad y de quién actúe como responsable. Cuando el negocio cliente es el responsable, debe definirla y documentarla. Se aplica la LOPDP de Ecuador y, cuando corresponda por su ámbito territorial, el RGPD. En Paraguay, la Ley 7593/2025 prevé su entrada en vigor veinticuatro meses después de su publicación oficial; esta política no presenta sus obligaciones futuras como ya exigibles ni sustituye las normas actualmente aplicables.

5. Uso de inteligencia artificial y atención por una persona

Configuración para cada negocio. El negocio configura el rol de atención del asistente y aporta instrucciones e información de su actividad, como horarios, servicios, catálogo, precios y reglas para derivar consultas a su equipo. Novaru, operado por Viralith Digital LLC, procesa esa configuración junto con los mensajes y el contexto de la conversación para atender al cliente conforme a esas instrucciones.

Quién procesa la información con IA. Cuando se activa IA externa, Novaru envía al proveedor configurado —Anthropic para Claude u OpenAI para GPT— las instrucciones y la información pertinente del negocio, además de la consulta, el historial necesario y los resultados de las gestiones necesarios para responder, con las medidas de seudonimización descritas abajo. El proveedor procesa ese contenido y devuelve una respuesta que Novaru integra en la atención. Esto también ocurre si el negocio conecta su propia clave API: Viralith sigue operando Novaru y el proveedor elegido sigue procesando el contenido enviado.

Qué significa «entrenar al asistente». En este servicio significa configurar su rol, instrucciones y contexto para el negocio. Esta configuración no modifica ni entrena el modelo general de Claude o GPT. Novaru no realiza ajuste fino de esos modelos con las conversaciones ni usa conversaciones de un negocio para entrenar un modelo compartido entre negocios. Las condiciones de uso y conservación del proveedor de IA se explican también en las secciones 8 y 10.

• Le avisamos que habla con un asistente virtual. Novaru se presenta como asistente virtual del negocio desde el primer mensaje. No se hace pasar por una persona.
• Siempre puede hablar con una persona. Escriba en cualquier momento «humano» o «persona» (por ejemplo, «quiero hablar con una persona»). El asistente pausa sus respuestas y la conversación pasa al equipo del negocio, que responde desde el panel. Fuera del horario del negocio, la respuesta humana llega cuando el negocio vuelve a atender.
• Cómo funciona. Las acciones importantes (reservar, cancelar, cobrar) las valida y ejecuta nuestro propio sistema con reglas fijas; un modelo de lenguaje no puede ejecutar acciones por su cuenta. Según la configuración del negocio, Novaru puede responder solo con reglas y flujos predefinidos, o usar además un modelo de lenguaje para entender mejor lo que usted escribe.
• Si se usa un proveedor externo de IA, antes de enviarle el texto lo seudonimizamos: reemplazamos por marcadores (por ejemplo, «[PACIENTE]») su nombre, su teléfono, los números de documento y de tarjeta y los correos que detectamos en el texto, y también su dirección y fecha de nacimiento cuando están registradas en su ficha, y un control automático bloquea el envío si detecta que alguno de los datos conocidos de su ficha sigue presente. El proveedor recibe el contenido de la consulta sin esos datos identificatorios. La detección automática no es perfecta: un dato escrito de forma inusual podría no detectarse. Por eso le recomendamos no enviar información que no sea necesaria para su consulta.
• Decisiones automatizadas. Novaru no toma decisiones con efectos jurídicos o significativos sobre usted (por ejemplo, sobre crédito, empleo o diagnóstico). Ofrece horarios disponibles y registra lo que usted elige; cualquier decisión del negocio la toma una persona. Si considera que una respuesta automatizada lo afecta, puede pedir revisión humana.
• Novaru no da diagnósticos ni consejo médico. Ante una urgencia, el asistente le indicará acudir a un servicio de emergencias.

6. Datos de salud y otros datos sensibles

Tratamos la información de salud como información sensible y aplicamos las protecciones exigidas por la normativa que corresponda. Cuando Novaru atiende a una clínica u otro servicio de salud:

• La clínica es la responsable de obtener su consentimiento explícito o de contar con otra base legal válida, y de informarle cómo trata sus datos.
• Novaru le pide solo lo necesario para gestionar la cita. No le pedimos historia clínica, resultados de estudios ni diagnósticos por chat.
• Las notas de atención que registra la clínica en el panel quedan en la base de datos propia de esa clínica, separada de la de los demás negocios.
• No le pediremos números completos de tarjeta de pago, cuentas bancarias ni documentos de identidad por mensajería. Si alguien envía un número de tarjeta, el sistema lo oculta antes de cualquier envío a un proveedor de IA.

Le pedimos no enviar por chat información de salud que no sea necesaria para pedir o gestionar su cita.

7. Cuánto tiempo guardamos los datos

Cuando un negocio deja de usar Novaru, eliminamos o le devolvemos sus datos según lo pactado en su contrato y acuerdo de tratamiento de datos.

8. Con quién compartimos los datos

Los siguientes servicios intervienen según las funciones que utilice el negocio. Los proveedores aplican sus condiciones comerciales y de protección de datos. Los acuerdos de tratamiento con los negocios deben identificar a los subencargados y las funciones contratadas.

Usar una clave API propia del negocio no evita que el proveedor elegido procese el texto que recibe. La seudonimización reduce la identificación directa, pero el texto puede seguir siendo dato personal; no equivale a anonimización ni garantiza retención cero.

Puede solicitar información sobre el servicio y los subencargados aplicables a su cuenta a support@viralithdigital.com. Las ubicaciones internacionales se explican en la sección 9.

Solicitudes de autoridades

El Gerente de Viralith Digital LLC coordina las solicitudes de autoridades a través de support@novaru.app. Antes de entregar datos, verificamos la autenticidad, revisamos la legalidad y el alcance, y documentamos la decisión y la respuesta. Solicitamos aclaraciones o cuestionamos solicitudes ilícitas por la vía procedente, con asesoría jurídica cuando existan dudas. El procedimiento exige limitar cualquier entrega a lo jurídicamente necesario y obtener aprobación expresa de la gerencia; una solicitud no autoriza por sí sola acceso general a las bases.

También puede haber comunicaciones necesarias para defender derechos en un proceso o ante una operación societaria, sujetas a la base jurídica, las garantías y los avisos que correspondan.

9. Tratamiento internacional de datos

Novaru opera en infraestructura propia en Ecuador. Los respaldos de Supabase tienen su región primaria en Brasil. Cloudflare utiliza una red mundial; la ubicación ENAM de R2 es una referencia regional de almacenamiento, no una garantía de tratamiento exclusivo en un país. Los proveedores de IA pueden procesar datos en Estados Unidos y en otros países mediante su infraestructura, filiales y soporte. Una región de almacenamiento no describe todos los accesos remotos ni todo el procesamiento.

El alcance depende del servicio y de su configuración. Puede consultar la información publicada por Cloudflare, Supabase, Anthropic y OpenAI. Estas fuentes describen ubicaciones posibles del proveedor; no significan que cada conversación pase por todos esos países.

Los países de almacenamiento indicados aquí no constituyen una lista exhaustiva de procesamiento internacional. Estamos verificando el alcance adicional de inferencia, red y soporte para las configuraciones utilizadas. Puede pedir el detalle disponible y sus límites a support@viralithdigital.com.

La relación con cada destinatario debe evaluarse como encargo de tratamiento o transferencia, según corresponda a la ley aplicable. El acceso desde otro país no sustituye los requisitos de base jurídica, contrato, seguridad y garantías que resulten exigibles. Esta política no acredita por sí misma la firma de cláusulas específicas ni promete residencia exclusiva o retención cero.

10. Lo que no hacemos con sus datos

• No vendemos, alquilamos ni licenciamos datos personales ni datos recibidos de Meta.
• No usamos los datos de WhatsApp, Instagram o Messenger para publicidad, ni para crear perfiles publicitarios, ni los compartimos con redes de anuncios.
• No usamos sus conversaciones para entrenar modelos de inteligencia artificial, ni propios ni de terceros. No autorizamos el uso de las conversaciones para entrenamiento. Las API comerciales de Anthropic y OpenAI no usan los datos para entrenamiento por defecto; sus condiciones y cualquier configuración adicional deben revisarse, también cuando el negocio conecta su propia clave. Esto no significa que el proveedor no conserve datos para prestar, proteger o auditar el servicio.
• No cruzamos datos entre negocios. Cada negocio tiene su propia base de datos. Si usted escribe a dos negocios que usan Novaru, cada uno ve solo su propia conversación.
• No usamos los datos para decidir sobre crédito, empleo, vivienda, seguros ni para vigilancia.

11. Sus derechos y cómo ejercerlos

Usted tiene derecho a:

• Acceso: saber si tratamos sus datos y obtener una copia.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión o eliminación: pedir que borremos sus datos.
• Oposición: oponerse a un tratamiento, en especial a recibir mensajes promocionales.
• Portabilidad: recibir sus datos en un formato estructurado y de uso común.
• Limitación o suspensión del tratamiento, cuando la ley lo prevé.
• No ser objeto de decisiones basadas únicamente en tratamiento automatizado y pedir revisión humana.
• Retirar su consentimiento en cualquier momento, sin que eso afecte lo realizado antes.

Cómo ejercerlos

1. Dentro del chat, de inmediato: escriba BAJA o STOP (o «no me escriban más») para dejar de recibir mensajes. Escriba «borra mis datos» y confirme con SÍ BORRAR para eliminar sus datos de esa cuenta. Los detalles están en novaru.app/eliminar-datos.
2. Por correo: escriba a support@viralithdigital.com con el asunto «Privacidad», indicando qué derecho quiere ejercer, el nombre del negocio al que escribió, el canal (WhatsApp, Instagram o Messenger) y el número o usuario desde el que escribió.

Para proteger sus datos, podemos pedirle que confirme que es el titular, por ejemplo, enviando un código o un mensaje desde el mismo número o cuenta. Nunca le pediremos su contraseña.

Plazos

Ejercer sus derechos es gratuito. Confirmamos la recepción de su pedido en un máximo de 5 días hábiles y lo respondemos en un máximo de 15 días. Si la normativa aplicable exige actuar antes, prevalece ese plazo más breve. Este compromiso de atención no depende de la entrada en vigor futura de la Ley 7593/2025 de Paraguay. Si su pedido se refiere a datos de un negocio cliente, lo coordinamos con ese negocio dentro del mismo plazo.

Reclamos ante la autoridad

Si no está conforme con nuestra respuesta, puede reclamar ante la autoridad de protección de datos de su país:

• Ecuador: Superintendencia de Protección de Datos Personales (SPDP), spdp.gob.ec.
• Paraguay: Agencia Nacional de Protección de Datos Personales, prevista por la Ley 7593/2025, cuando entre en funcionamiento.
• Unión Europea: la autoridad de control de su Estado miembro.

12. Menores de edad

Novaru es un servicio para negocios y no está dirigido a menores de edad. No buscamos tratar datos de menores de 16 años. Si un menor escribe a un negocio, el tratamiento de sus datos requiere la autorización de su madre, padre o representante legal según la ley de su país (incluidas las reglas sobre edad, capacidad y representación aplicables). No hacemos perfiles ni enviamos publicidad a menores. Si usted cree que tratamos datos de un menor sin autorización, escríbanos y los eliminaremos.

13. Seguridad e incidentes

Aplicamos medidas técnicas y organizativas proporcionales al riesgo, entre ellas:

• Verificación de la firma de Meta en cada mensaje recibido; conexiones cifradas (HTTPS).
• Base de datos separada para cada negocio.
• Tokens de acceso a las cuentas de los negocios guardados cifrados (AES-256-GCM).
• Contraseñas del panel guardadas solo como resumen criptográfico; roles y permisos por persona; teléfonos enmascarados para los perfiles del equipo sin rol de dueño.
• Seudonimización antes de usar proveedores de IA externos; límites de uso contra abuso y spam; registros de auditoría.
• Copias de seguridad cifradas.

Ningún sistema es invulnerable. Si ocurre un incidente de seguridad que afecte datos personales, lo contendremos, avisaremos sin demora al negocio responsable y notificaremos a la autoridad competente y a las personas afectadas cuando la ley lo exija y dentro de sus plazos. También avisaremos a Meta cuando se trate de datos de sus plataformas.

14. Panel de clientes y sitio web

El panel de Novaru usa cookies estrictamente necesarias para mantener la sesión iniciada y proteger la conexión de cuentas de Instagram, y el almacenamiento local del navegador para recordar ajustes de acceso del equipo. No usamos cookies publicitarias en el panel. El panel carga el kit de desarrollo de Facebook solo en la pantalla donde el negocio conecta su WhatsApp, con el registro automático de eventos desactivado.

El sitio web novaru.app se publica en la plataforma Bitrix24, que puede usar cookies técnicas propias para mostrar el sitio. No agregamos al sitio cookies publicitarias, píxeles ni herramientas de seguimiento de terceros. Puede bloquear o borrar las cookies desde la configuración de su navegador.

15. Cambios a esta política

Podemos actualizar esta política cuando cambie el servicio o la ley. Publicaremos la nueva versión en esta página con su fecha. Si el cambio es importante, avisaremos a los negocios clientes con al menos 30 días de anticipación y, cuando corresponda, pediremos un nuevo consentimiento.

Si existe alguna diferencia entre la versión en español y la versión en inglés, prevalece la versión en español.