Aviso de privacidad

Este aviso de privacidad describe cómo Chalyb recopila, usa, almacena y protege tus datos personales, en cumplimiento con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), su Reglamento, y los Lineamientos del INAI.

1. Responsable del tratamiento

Chalyb, con sede operativa en México, es el responsable del tratamiento de tus datos personales. Para ejercer cualquier derecho o hacer preguntas sobre este aviso, escríbenos a través de /contacto.

2. Datos que recopilamos

Recopilamos los datos estrictamente necesarios para operar el servicio:

2.1. Datos de cuenta

• Nombre completo
• Correo electrónico
• Foto de perfil (si te registras con Google)
• Contraseña hasheada con bcrypt — nunca almacenamos el texto plano

2.2. Datos de pago

• ID de transacción y montos procesados por Mercado Pago. NO almacenamos los datos de tu tarjeta — esos los maneja Mercado Pago directamente conforme a su propio aviso de privacidad.
• Historial de tier (Free / Pro / VIP) y fecha de cada cambio.

2.3. Datos de uso

• Eventos de consumo de tokens IA por engine — cuándo, cuántos y qué engine los usó.
• Registros de inicio de sesión (fecha y hora, IP, navegador) — los guardamos 90 días para detectar fraude.
• Selección de engine activo, configuración de bots, preferencias de ejecución.

2.4. Contenido que generas en los Engines

• VODs que subes a ChalyClip, clips generados, transcripciones, variantes de captions.
• Streams enrutados via ChalybStreamManager, layouts guardados, conexiones OAuth a plataformas de destino (TikTok, YouTube, Twitch, Kick).
• Prompts, configuraciones de personas IA, contextos guardados.

Guardamos tu contenido cifrado y solo lo procesamos cuando tú lo pides. No lo usamos para entrenar modelos públicos ni lo compartimos con terceros sin tu permiso.

3. Finalidades del tratamiento

Tratamos tus datos para:

• Operar el servicio que contrataste (suscripción, ejecución de engines, pagos).
• Comunicación transaccional: confirmaciones de pago, alertas de cuota, notificaciones de seguridad.
• Soporte técnico: responder a tus solicitudes via /contacto.
• Facturación fiscal: emitir CFDI cuando lo solicites con tu RFC.
• Cumplimiento legal: responder a requerimientos de autoridades cuando sean legalmente válidos.
• Detección de fraude: análisis de patrones de pago y uso para prevenir abuso.
• Mejora del producto: estadísticas agregadas y anónimas — nunca con datos que te identifiquen.

NO usamos tus datos para: publicidad de terceros, venta de bases de datos, entrenamiento de modelos IA públicos, ni crear perfiles con fines ajenos al servicio.

4. Terceros con los que compartimos datos

Compartimos lo estrictamente necesario con proveedores que nos ayudan a operar el servicio. Todos están sujetos a obligaciones contractuales de confidencialidad y procesamiento limitado:

• Supabase (EUA) — base de datos, autenticación, storage. Aloja tu cuenta y contenido. Cumple con SOC2 Type II.
• Mercado Pago (Argentina/México) — procesamiento de pagos. Recibe tu correo y monto para emitir el cobro.
• Vercel (EUA) — hosting de la plataforma web. Recibe logs de acceso anonimizados.
• Resend (EUA) — envío de correos transaccionales. Recibe tu correo y nombre.
• Anthropic (EUA) — proveedor del modelo Claude. Recibe los prompts que envías a través de los engines, sin metadata de cuenta asociada. Anthropic no entrena con estos datos.
• Engines integrados (ChalyClip, ChalybStreamManager): ver sección 5.

5. Datos enviados a los Engines

Cuando activas un Engine, Chalyb crea una cuenta para ti en él. Le enviamos:

• Tu user_id de Chalyb (identificador opaco).
• Tu correo electrónico.
• Tu nombre de display.
• Tu tier actual (free / pro / vip) — para que el engine sepa qué funciones habilitarte.

Esa información le permite al Engine crear tu espacio y validar tu acceso. Cualquier contenido adicional que generes dentro del Engine (VODs, clips, configuraciones) se rige por el aviso de privacidad de ese Engine en particular, al cual te suscribes en su primera activación.

6. Cookies y tecnologías similares

Usamos cookies para:

• Sesión: mantener tu inicio de sesión activo (cookie HTTP-only, segura, SameSite=Lax). Indispensable para usar la plataforma.
• Preferencias: recordar tu idioma (es/en), tier seleccionado en el selector. Caduca a los 12 meses.
• Analítica anónima (Vercel Analytics): conteo de pageviews sin identificarte personalmente. No usa cookies de terceros, no rastrea entre sitios.

No usamos cookies publicitarias, ni de rastreo entre sitios, ni huella digital del navegador (fingerprinting).

7. Retención de datos

• Cuenta activa: tus datos se conservan mientras tengas la cuenta abierta.
• Después de cerrar cuenta: borramos tus datos personales identificables en un plazo máximo de 30 días naturales.
• Excepciones legales: facturas fiscales (5 años por obligación del SAT), logs de fraude/seguridad (90 días después del cierre), backups técnicos (hasta 90 días después del borrado principal).
• Datos agregados/anonimizados: pueden conservarse indefinidamente para fines estadísticos y mejora del servicio. Estos datos no permiten reidentificarte.

8. Tus derechos ARCO

Conforme a la LFPDPPP, tienes derecho a:

• Acceso: solicitar copia de los datos que tenemos sobre ti.
• Rectificación: corregir datos inexactos o incompletos.
• Cancelación: solicitar el borrado de tus datos (sujeto a las excepciones legales mencionadas).
• Oposición: oponerte a un uso específico de tus datos.

Adicionalmente puedes:

• Revocar tu consentimiento en cualquier momento, lo que termina tu uso del servicio.
• Limitar el uso a finalidades estrictamente necesarias para el servicio contratado.
• Portar tus datos: exportarlos en formato JSON estructurado para llevarlos a otro proveedor.

Para ejercer cualquiera de estos derechos, escríbenos a través de /contacto con el asunto «Derechos ARCO». Respondemos en máximo 20 días hábiles, conforme al plazo de la LFPDPPP. Si no estás conforme con nuestra respuesta puedes presentar una queja ante el INAI (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales).

9. Transferencias internacionales

Algunos de nuestros proveedores (Supabase, Vercel, Resend, Anthropic) operan desde Estados Unidos. Al usar Chalyb autorizas las transferencias internacionales necesarias para que el servicio funcione.

Estos proveedores cumplen estándares equivalentes o superiores a los que exige la LFPDPPP. Mantenemos cláusulas contractuales que los obligan a proteger tus datos conforme a estándares internacionales (SOC2, ISO 27001, GDPR donde aplique).

10. Medidas de seguridad

Implementamos medidas técnicas y administrativas razonables para proteger tus datos:

• Cifrado en tránsito (HTTPS/TLS 1.3) en toda comunicación.
• Cifrado en reposo para datos sensibles en la base de datos.
• Hashing irreversible para contraseñas (bcrypt).
• Autenticación de dos factores (2FA) opcional para cuentas.
• Row-Level Security en Supabase para aislar datos entre usuarios.
• Service-role keys nunca expuestas al cliente.
• Logs de auditoría para acciones administrativas (cambios de tier, role, accesos a datos de otros usuarios).
• Backups automáticos diarios con retención de 7 días.
• Acceso a producción restringido a personal autorizado con MFA.

Ninguna medida de seguridad es perfecta. Si ocurre una falla que ponga en riesgo tus datos personales, te avisaremos en máximo 72 horas, siguiendo las mejores prácticas internacionales.

11. Menores de edad

Chalyb no está dirigido a menores de 18 años. No recopilamos deliberadamente datos de menores. Si descubrimos que tenemos datos de un menor sin autorización paterna o tutorial, los borramos inmediatamente. Si eres padre/madre/tutor y crees que tu menor a cargo nos proporcionó datos, contáctanos via /contacto para resolverlo.

12. Cambios al aviso

Podemos actualizar este aviso cuando cambien nuestras prácticas o la regulación aplicable. Para cambios sustanciales (nuevos proveedores, nuevas finalidades, cambios en transferencias internacionales):

• Te notificamos por correo con al menos 14 días naturales de anticipación.
• Publicamos la nueva versión en esta página con fecha actualizada.
• Si los cambios afectan finalidades secundarias, tendrás opción de oponerte antes de que entren en vigor.

13. Contacto

Para cualquier pregunta, ejercer derechos ARCO, o reportar incidentes de privacidad:

• Formulario: /contacto
• Asunto sugerido: «Privacidad — [tu motivo]»

Respondemos en máximo 20 días hábiles para solicitudes ARCO formales y menos de 24 horas hábiles para preguntas generales.