Política de Privacidad

1. Información que recopilamos

Cuando usás Pymaia, recopilamos y procesamos la siguiente información:

• Datos de cuenta: nombre, email, contraseña (hasheada).
• Datos de organización: nombre de la agencia o empresa, tipo de organización, plan e información de facturación.
• Datos de plataformas conectadas: métricas de rendimiento de publicidad (Meta Ads, Google Ads, TikTok Ads, LinkedIn Ads, Amazon Ads), datos de tu tienda online (Shopify, Tiendanube, WooCommerce) incluyendo órdenes y clientes (email, nombre, teléfono, historial de compras), datos de marketplace (MercadoLibre, Amazon), sesiones y métricas de analytics (Google Analytics, Google Search Console, Microsoft Clarity), datos de email marketing (Omnisend, Klaviyo, Perfit) y contenido y métricas de tus redes sociales (Instagram, Facebook, TikTok, LinkedIn, X, YouTube, Pinterest). Si conectás Canva, accedemos a los diseños y archivos que vos elijas usar dentro de Pymaia. El detalle por plataforma está en la sección 4.2. No almacenamos tus contraseñas de esas plataformas.
• Conversaciones del vendedor por WhatsApp: si activás el vendedor de IA (Vera), procesamos las conversaciones entre el agente y los clientes finales de tu negocio para poder responder y vender en tu nombre.
• Mensajes de LinkedIn: si activás la bandeja unificada, traemos tus conversaciones de LinkedIn para que las leas y respondas desde el chat de Pymaia. Es opcional y está apagado por defecto (detalle en la sección 4.2).
• Datos de prospección (outbound): información de contacto de leads que descubrís o cargás para tus secuencias comerciales.
• Datos de uso: páginas visitadas, funciones utilizadas, interacciones con la plataforma y con los agentes de IA.

2. Cómo usamos tus datos

• Mostrar métricas consolidadas de tus plataformas de marketing, ventas y analytics.
• Generar análisis, insights y recomendaciones mediante agentes de IA.
• Ejecutar acciones que apruebes sobre las plataformas conectadas (ej. crear o pausar campañas).
• Operar el vendedor por WhatsApp y la prospección (outbound) si los activás.
• Enviar notificaciones sobre el rendimiento de tu negocio.
• Procesar pagos y administrar tu suscripción.
• Mejorar el servicio y la experiencia de usuario.

No vendemos tus datos. Los procesamos únicamente para prestarte el servicio contratado (análisis, recomendaciones y agentes de IA).

3. Almacenamiento y seguridad

Tus datos se almacenan en servidores seguros de Supabase con encriptacion en reposo y en transito. Los tokens de acceso a plataformas de terceros se almacenan encriptados y solo se usan para sincronizar datos en tu nombre.

Nunca vendemos, alquilamos ni compartimos tus datos con terceros para fines comerciales. Solo accedemos a tus datos para proveer el servicio que contrataste. La única función que envía datos hacia afuera es la medición de conversiones server-side, que activás vos y está detallada en el punto 4.4.

4. Conexiones OAuth

Pymaia Dashboard usa OAuth 2.0 para conectarse a plataformas de terceros. Esto significa que:

• Nunca vemos ni almacenamos tus contraseñas de Google, Meta, Shopify u otras plataformas.
• Solo solicitamos los permisos mínimos necesarios (lectura de métricas).
• Podés revocar el acceso en cualquier momento desde el dashboard o desde la plataforma directamente.

4.1 Integración con Shopify (cumplimiento GDPR)

Si conectás tu tienda Shopify a Pymaia Dashboard, sincronizamos las siguientes categorías de datos:

• Órdenes: id, fecha, monto, estado de pago, ítems, atribución de tracking (UTMs, referrer, landing).
• Clientes: email, nombre, teléfono, cantidad de órdenes, total gastado lifetime, fecha de registro, tags.
• Productos: id, nombre, precio, inventario.
• Customer Journey: sesiones que llevaron a cada orden (cantidad de touches, fuente del primer y último touch).

Webhooks de cumplimiento GDPR: implementamos los 3 webhooks obligatorios de Shopify para procesar solicitudes de privacidad de clientes finales de tu tienda:

• customers/data_request — cuando un cliente solicita acceso a sus datos, registramos la solicitud en nuestro audit log para que vos como merchant puedas compilar y enviar la data.
• customers/redact — cuando un cliente solicita borrar sus datos, eliminamos todos sus registros (órdenes, customer record, carritos abandonados) de nuestra base de datos dentro de las 24hs.
• shop/redact — cuando desinstalás la app, Shopify nos notifica 48hs después. Eliminamos toda la data de tu tienda dentro de los 30 días siguientes.

Justificación del scope read_all_orders: Pymaia es una plataforma de analytics de marketing. Necesitamos acceso a tu historial completo de órdenes (no solo los últimos 60 días) para calcular métricas como cohort retention, LTV por canal de adquisición, y comparativas YoY que son esenciales para decisiones de marketing.

No vendemos ni alquilamos datos de tus clientes finales, ni los compartimos con terceros por iniciativa nuestra. La única excepción es la medición de conversiones server-side, que activás vos y está detallada en el punto 4.4. No usamos datos de tus clientes para entrenar modelos de IA. No enviamos comunicaciones directas a tus clientes.

4.2 Qué leemos de cada plataforma

Solo pedimos los permisos que la función necesita, y solo después de que vos autorizás la conexión. Este es el detalle por plataforma:

Publicidad

• Meta Ads, Google Ads, TikTok Ads, LinkedIn Ads, Amazon Ads: cuentas publicitarias a las que tenés acceso, campañas, conjuntos de anuncios, anuncios y sus creatividades, y las métricas de rendimiento (impresiones, clics, inversión, conversiones y valor de conversión) por día. No accedemos a los datos personales de las audiencias ni a las listas de clientes cargadas en esas plataformas.
• X Ads y OpenAI Ads: lo mismo que arriba, para tus campañas en X y en ChatGPT.

Redes sociales (contenido orgánico)

• TikTok: tu perfil público (nombre, avatar, biografía, enlaces), tus estadísticas de cuenta (seguidores, seguidos, me gusta y cantidad de videos) y la lista de tus videos públicos con sus métricas. Usamos los permisos user.info.basic, user.info.profile, user.info.stats y video.list. Si además nos das permiso para publicar (video.publish), subimos a tu cuenta únicamente los videos que vos elegís y confirmás publicar desde Pymaia, con la privacidad, las interacciones y la declaración de contenido comercial que elegís en cada publicación; no publicamos nada por nuestra cuenta. No accedemos a tus mensajes privados, ni a tus borradores, ni al contenido de otras personas.
• Instagram y Facebook: las cuentas y páginas que administrás, tus publicaciones y sus métricas de alcance e interacción, y la demografía agregada de tu audiencia. No accedemos a mensajes privados.
• LinkedIn: las páginas de empresa que administrás, sus publicaciones y las estadísticas de cada una. Si publicás como persona, tu perfil básico.
  Mensajes: si activás la bandeja unificada, también traemos tus conversaciones de LinkedIn (mensajes enviados y recibidos, y los datos de contacto de la persona con la que hablás) para que puedas leerlas y responderlas desde el chat de Pymaia. Es opcional y está apagado por defecto: sin activarlo no accedemos a ningún mensaje. Al desactivarlo dejamos de sincronizar y borramos las conversaciones guardadas. Las usamos solo para mostrártelas y para que los agentes de IA te ayuden a redactar respuestas que vos aprobás; nunca para entrenar modelos ni para prospectar por fuera de tus propias secuencias.
• X (antes Twitter): tu perfil público y tus propias publicaciones con sus métricas. Hoy no leemos ni almacenamos mensajes directos. Si en el futuro sumamos la bandeja de X, va a ser con el mismo criterio que LinkedIn: opcional, apagado por defecto, y avisado en esta página antes de activarse.
• YouTube: tus canales, tus videos y sus métricas (youtube.readonly, yt-analytics.readonly). Si además nos das permiso para publicar (youtube.upload), subimos a tu canal únicamente los videos que vos elegís y confirmás publicar desde Pymaia, con el título, la visibilidad y la declaración de audiencia que elegís en cada uno; no publicamos nada por nuestra cuenta, ni editamos ni borramos tus videos. Pymaia usa los Servicios de API de YouTube: al usarlos aceptás los Términos del Servicio de YouTube, y se aplica también la Política de Privacidad de Google. Podés quitarnos el acceso cuando quieras desde la configuración de seguridad de tu cuenta de Google.
• Pinterest: tu cuenta (nombre y usuario), tus tableros y tus Pines con sus métricas, y las cuentas publicitarias a las que tenés acceso con sus campañas. Los permisos de lectura son user_accounts:read, boards:read, pins:read, ads:read y catalogs:read. Los de escritura son pins:write, boards:write y ads:write, y sirven para lo que vos pedís desde Pymaia: publicar o programar un Pin, crear el tablero donde va, y crear o pausar campañas. Nada de eso ocurre solo: las acciones sobre plataformas quedan pendientes de tu aprobación explícita antes de ejecutarse. No pedimos permisos sobre tu facturación ni sobre los accesos de tu cuenta de empresa (billing, biz_access), y no accedemos a los Pines ni a los tableros secretos de otras personas.

Diseño

• Canva: tu nombre y tu correo (para identificar la cuenta conectada), y los diseños y archivos con los que trabajes desde Pymaia. Cuando editás una pieza en Canva desde Pymaia, subimos esa imagen a tu cuenta de Canva y creamos un diseño; cuando la traés de vuelta, descargamos la versión exportada. No leemos diseños que vos no hayas usado en Pymaia, y no accedemos al contenido de otras personas de tu equipo.

Generación de video e imagen

• Higgsfield: si conectás tu cuenta, le enviamos el texto del guion y las referencias visuales que vos elijas para que genere el video o la imagen, y guardamos el archivo resultante en tu Espacio. La generación se factura en TU cuenta de Higgsfield. No le enviamos datos de tus clientes ni métricas de tus plataformas.

Otras plataformas que podés conectar

• Facebook Pages: las páginas que administrás, sus publicaciones y las métricas orgánicas de cada una.
• Perfil de Empresa de Google: tus fichas de negocio, sus reseñas y las métricas de cómo te encuentran (búsquedas, llamadas, indicaciones).
• Google Merchant Center: tu catálogo de productos en Google Shopping y el estado de aprobación de cada uno.
• Google Tag Manager: lectura (tagmanager.readonly) de las cuentas y contenedores a los que tenés acceso: sus etiquetas, activadores, variables y versiones publicadas, para auditar cómo está armada la medición de tu sitio. Si además nos das permiso de edición (tagmanager.edit.containers), que se pide aparte y sólo cuando lo activás vos, Pymaia puede proponer crear, editar o pausar etiquetas, activadores y variables: cada cambio se aplica recién cuando vos lo aprobás en la aplicación, y queda sin publicar en un espacio de trabajo propio de tu contenedor («Pymaia – fecha»). Si también nos das permiso para publicar (tagmanager.edit.containerversions y tagmanager.publish), que se pide aparte, podés publicar ese espacio de trabajo desde Pymaia: te mostramos la lista exacta de cambios, publica sólo una persona administradora de tu marca con un clic y podés volver a la versión anterior. Nada se publica solo, el asistente nunca publica, y nunca borramos contenedores ni administramos usuarios.
• Google Postmaster: métricas agregadas de reputación de tu dominio en Gmail (tasa de spam, autenticación). Son datos del dominio, no de personas.
• Google Drive: únicamente los archivos que vos elegís, uno por uno, con el selector de Google. No listamos ni leemos el resto de tu Drive.
• Amazon Selling Partner: tus órdenes, publicaciones e inventario de Amazon.
• WordPress: las páginas, entradas y el tema de tu sitio.
• Loox: las reseñas con foto que tus compradores dejaron en tu tienda.
• Judge.me: las reseñas de producto que tus compradores dejaron en tu tienda, con su nombre, su calificación y su texto.
• Tokko Broker y Dux Software: propiedades y contactos de la inmobiliaria, y facturas, stock y pedidos del ERP, para las organizaciones que usan esos sistemas.
• Fudo: ventas del punto de venta gastronómico (monto, fecha, canal, productos vendidos y su costo), gastos y datos de contacto de los clientes cargados en el sistema, para los restaurantes que lo usan.
• Wati: los números de WhatsApp de tu cuenta, tus broadcasts y sus resultados (enviados, entregados, leídos, respondidos), tus plantillas y, cuando lo habilites, tus contactos con su consentimiento para recibir mensajes. Pymaia no envía mensajes por Wati sin tu aprobación.
• PedidosYa, Rappi y Uber Eats: las liquidaciones y reportes de pagos que el restaurante sube o reenvía: número de pedido, fecha, importe, comisión, ajustes y lo gastado en publicidad dentro de la app. No leemos datos de los compradores de esas apps.
• Creator Marketplace de Instagram y Facebook: los perfiles públicos de creadores que Meta expone en su marketplace, para que puedas buscarlos. Son datos públicos de creadores, no de tus clientes.

Herramientas de prospección que conectás con tu cuenta

En estas vos ponés tu propia cuenta y tu propia clave. Pymaia les manda lo que hace falta para el trabajo que le pediste y guarda el resultado en tu organización; el uso que esas empresas hacen de esos datos se rige por sus propias políticas.

• Unipile: es el intermediario técnico de LinkedIn (outbound) y de tu casilla de correo propia. Si activás esos canales, Unipile accede a tus conexiones, mensajes y correos para que puedas leerlos y responderlos desde Pymaia. Están apagados por defecto y al desactivarlos dejamos de sincronizar y borramos lo guardado.
• Tu casilla propia (Gmail, Outlook / Microsoft 365): si la conectás, el outbound sale a tu nombre desde tu casilla. Los permisos que pedimos son solo de envío más el de saber qué casilla se conectó (gmail.send y userinfo.email en Google; Mail.Send y User.Read en Microsoft). No leemos tu correo: ni el enviado, ni el recibido, ni las respuestas.
• Instantly: recibe los contactos y los textos de las secuencias de cold email que vos armás, para enviarlas.
• Apollo, Tavily y StoreLeads: reciben los criterios de búsqueda de prospectos y devuelven datos de contacto profesional y de empresas, que quedan en tu base de leads.
• Apify: corre los actores de scraping que vos configures como fuentes de señales; recibe las URLs o términos de búsqueda y devuelve el resultado. Cuando usás tu propia cuenta, esas corridas las pagás vos en Apify.

Herramientas propias de Pymaia

• Pymaia CRM y Pymaia Chat: no son terceros. Son instancias de Twenty y de Chatwoot que operamos nosotros en nuestros propios servidores, con los mismos criterios de esta política. Guardan tu pipeline de prospección y las conversaciones que un humano de tu equipo atiende cuando el vendedor escala.

Lo que nunca hacemos, en ninguna plataforma: publicar, responder, comentar o gastar dinero sin que vos lo apruebes explícitamente; leer mensajes privados salvo en los canales que activás a propósito (WhatsApp del vendedor); usar el contenido o los datos de tus clientes para entrenar modelos de IA; ni vender o ceder esos datos a terceros.

4.3 Qué pasa cuando desconectás una plataforma

Desconectar no es solo cortar el acceso: borramos los datos que habíamos sincronizado de esa plataforma en el momento en que la desconectás, sin esperar a que elimines tu cuenta.

• Se elimina el token de acceso y la conexión.
• Se eliminan los datos traídos de esa plataforma: campañas y métricas en el caso de publicidad; cuentas, publicaciones y estadísticas en el caso de redes sociales; órdenes, clientes y productos en el caso de tiendas.
• También podés revocar el acceso desde la propia plataforma. Si lo hacés, la sincronización se detiene y te avisamos en el dashboard para que decidas si reconectar o eliminar los datos.
• En el caso de Canva no hay datos que borrar de nuestro lado: los diseños viven en tu cuenta de Canva. Lo único que guardamos es la referencia al diseño dentro del Espacio donde lo usaste, que te pertenece y no se elimina al desconectar para no destruir tu trabajo.

Si preferís que borremos algo puntual, escribinos a info@pymaia.com y lo resolvemos dentro de los 30 días.

4.4 Medición de conversiones server-side (datos que salen)

Todo lo anterior describe datos que entran. Esta es la única función en la que salen, y por eso está separada: si la activás, cuando ocurre una venta o un lead le avisamos a las plataformas de publicidad que vos ya conectaste, desde nuestro servidor.

Viene apagada. Mientras no la actives, registramos internamente que la venta ocurrió y por qué no se envió, y no sale nada.

Qué se envía, exactamente:

• Los datos de contacto de la persona que figuran en la orden —email, teléfono, nombre y apellido, ciudad, provincia, código postal, país y el número de cliente de tu tienda—, cada uno cifrado con SHA-256, nunca en texto plano. Son identificadores que la plataforma solo puede cruzar si ya conocía a esa persona.
• El número de orden, el monto, la moneda, la fecha y los productos comprados (código, cantidad y precio).
• Los identificadores del clic en el anuncio y de las cookies de publicidad (gclid, gbraid, wbraid, fbclid, _fbp, _fbc, ttclid) cuando la visita vino de uno.
• La dirección IP y el navegador (user agent), sin cifrar porque así los piden las plataformas, solo si la persona aceptó las cookies de marketing en tu tienda.

Si la persona rechazó las cookies de marketing, no se envía ningún identificador de su navegador ni del clic, y a Google se le declara que no hay consentimiento.

Qué no se envía: datos de pago, direcciones de calle ni el contenido de ningún mensaje.

El destino son únicamente las cuentas de publicidad que vos conectaste (Meta, Google Ads, TikTok), y el fin es medir tus propias campañas: sin esto, una venta que hoy se pierde por bloqueadores de anuncios queda sin atribuir. No se comparte con nadie más y no se usa para ningún fin nuestro.

De quién son esos datos: de tu negocio. Vos sos el responsable frente a tus clientes finales y nosotros actuamos por tu instrucción. Antes de activarlo, asegurate de que tu propia política de privacidad informe que podés compartir datos de compra con plataformas de publicidad para medir campañas, y de ofrecer una vía de exclusión. Si necesitás texto para eso, escribinos.

Se puede apagar cuando quieras, y apagarlo detiene los envíos desde ese momento. Lo ya enviado se elimina pidiéndoselo a la plataforma correspondiente, porque queda en su sistema y no en el nuestro.

5. Tus derechos

Tenés derecho a:

• Acceder a tus datos personales en cualquier momento.
• Rectificar datos incorrectos o desactualizados.
• Eliminar tu cuenta y todos los datos asociados.
• Desconectar cualquier plataforma vinculada.
• Exportar tus datos en un formato legible.

Para ejercer estos derechos, contactanos a info@pymaia.com.

5.1 Procesamiento automatizado y segmentación

Pymaia clasifica automáticamente a los compradores de tu tienda para darte analítica de marketing: segmentación RFM (por ejemplo "Campeones", "En riesgo", "Nuevos"), cohortes de retención y valor de vida del cliente. También genera recomendaciones con IA a partir de esos datos.

• Estas clasificaciones son analíticas: sirven para que decidas acciones de marketing. No producen efectos legales sobre el comprador ni condicionan su acceso a productos, precios, crédito ni ningún servicio.
• Ninguna acción se ejecuta sola. Cuando la IA propone un cambio en tu tienda, queda pendiente de tu aprobación explícita antes de aplicarse.
• Baja del procesamiento: el comprador ejerce sus derechos ante el comerciante, que es el responsable de esos datos. Cuando el comerciante nos envía una solicitud de borrado (webhook customers/redact de Shopify, o por escrito a info@pymaia.com), eliminamos los datos de esa persona y con ello queda fuera de toda segmentación y análisis. También podés desconectar la tienda en cualquier momento, lo que detiene todo procesamiento.

5.2 Solicitudes de autoridades públicas

Puede ocurrir que una autoridad pública nos pida datos de un usuario. Estos son los pasos que seguimos, siempre, antes de entregar cualquier información:

• Revisamos que la solicitud sea legal. Verificamos que provenga de una autoridad competente, que invoque una base legal válida y que llegue por un canal formal. Un pedido informal, sin fundamento o fuera de jurisdicción no se responde con datos.
• La impugnamos si la consideramos ilegal o excesivamente amplia, y pedimos que se acote o se retire antes de entregar nada.
• Entregamos lo mínimo indispensable. Solo los datos estrictamente cubiertos por el requerimiento, nunca el conjunto completo de una cuenta ni información de terceros no alcanzados.
• Dejamos registro de cada solicitud: quién la hizo, qué pidió, qué respondimos, con qué fundamento jurídico y quiénes intervinieron.
• Te avisamos cuando la ley nos permite hacerlo, para que puedas ejercer tus derechos.

A la fecha no hemos recibido ni respondido solicitudes de autoridades públicas sobre datos de nuestros usuarios.

6. Cookies

Usamos cookies funcionales para mantener tu sesión activa y tus preferencias. No usamos cookies de publicidad ni vendemos datos a terceros.

Además medimos el uso, y no es lo mismo en el sitio público que dentro de la aplicación:

• En el sitio público (pymaia.com): Google Analytics 4 a través de Google Tag Manager, para saber qué canal trae a quienes nos contactan, y Microsoft Clarity para mapas de calor y grabación de sesión de las páginas públicas.
• Dentro de la aplicación (app.pymaia.com): PostHog, para saber qué funciones se usan y dónde se traba la gente. Te identifica por tu id de usuario y de organización, sin email ni datos personales, con los textos de la pantalla enmascarados y sin grabación de sesión. Google Analytics, Tag Manager y Clarity no corren dentro de la aplicación: lo que ves y hacés con los datos de tu negocio no se le manda a ninguna de esas herramientas.
• Errores: Sentry, para estabilidad del servicio.

Todo esto está sujeto a tu consentimiento: en la Unión Europea, el Espacio Económico Europeo y el Reino Unido no carga nada hasta que lo aceptes; en el resto podés rechazarlo cuando quieras y se apaga.

7. Procesamiento de datos (DPA)

Pymaia actúa como encargado del tratamiento de los datos de marketing que sincronizás desde plataformas de terceros. Tu organización es el responsable del tratamiento.

• Finalidad: procesamos tus datos exclusivamente para proveer el servicio contratado (consolidación de métricas, análisis y agentes de IA, generación de reportes y, si los activás, vendedor por WhatsApp y prospección).
• Sub-encargados y terceros: para prestar el servicio nos apoyamos en los siguientes proveedores. No vendemos tus datos ni los compartimos fuera de estos proveedores y de las plataformas que vos mismo autorizas.
  • Proveedores de IA: Anthropic (Claude), OpenAI, Google (Gemini), OpenRouter, Groq y Cerebras, para generar analisis, recomendaciones y respuestas.
  • Infraestructura: Supabase (base de datos y almacenamiento), Vercel (hosting del frontend), Hetzner (servidores de procesamiento), Sentry (monitoreo de errores) y Langfuse (trazas de las corridas de IA).
  • Analitica propia: Google (Analytics 4 y Tag Manager) y Microsoft (Clarity) en el sitio publico, y PostHog dentro de la aplicacion. Miden el uso de Pymaia, no los datos de tu negocio. El detalle de que corre en cada superficie esta en la seccion 6.
  • Facturacion: MercadoPago (y el sistema de billing de Shopify cuando instalas la app desde Shopify).
  • Publicacion en redes: Zernio, para publicar y programar contenido en las redes que conectes desde Pymaia. Recibe el texto, las imagenes o videos del posteo y la cuenta de destino.
  • Mensajeria: Kapso, para operar el vendedor por WhatsApp si lo activas. Unipile, si activas LinkedIn (outbound) o conectas tu casilla de correo propia: es el intermediario tecnico que accede a esos mensajes.
  • Prospeccion: Instantly (envio de cold email), Apollo, Tavily y StoreLeads (busqueda y enriquecimiento de prospectos) y Apify (corridas de scraping para tus fuentes de señales). Se activan solo si conectas tu cuenta en cada una.
  • Plataformas conectadas: Meta, Google, TikTok, LinkedIn, X, Pinterest, Canva, Shopify, Tiendanube, WooCommerce, MercadoLibre y Amazon actuan como fuentes de datos que vos autorizas via OAuth; el tratamiento en ellas se rige por sus propias politicas.
• Ubicacion: los datos se almacenan en servidores de AWS (region us-east-1) a traves de Supabase, ademas de servidores propios en Hetzner para procesamiento. Los analisis de IA se procesan via API sin almacenamiento persistente para entrenamiento en los proveedores de IA.
• Retencion: conservamos tus datos mientras tu cuenta este activa. Al desconectar una plataforma borramos sus datos en ese momento (seccion 4.3). Al eliminar tu cuenta, borramos todos los datos personales dentro de los 30 dias siguientes. Los logs de auditoria se anonimizan.
• Encriptacion: tokens OAuth encriptados con AES-256-GCM en reposo. Todas las comunicaciones usan TLS 1.2+.
• Notificacion de incidentes: en caso de una brecha de seguridad que afecte tus datos, te notificaremos dentro de las 72 horas.

8. Uso de inteligencia artificial

Pymaia usa modelos de IA de terceros (Claude de Anthropic, GPT de OpenAI, Gemini de Google y OpenRouter) para generar análisis, recomendaciones y respuestas. Sobre esto:

• Para generar estos análisis y respuestas, enviamos a los proveedores de IA datos de tu negocio (métricas de tus campañas y, según la función, datos de tus plataformas conectadas o las conversaciones del vendedor por WhatsApp). No enviamos tus credenciales de acceso.
• Pymaia no usa tus datos ni los de tus clientes para entrenar modelos de IA. Trabajamos con los proveedores bajo condiciones que no permiten el entrenamiento con tus datos.
• Las conversaciones con agentes de IA se almacenan en tu cuenta y podés eliminarlas en cualquier momento desde Configuración > Seguridad.
• El uso de IA está sujeto a límites de créditos mensuales según tu plan.

8b. Estadísticas agregadas

Para que las recomendaciones sean mejores necesitamos saber qué funciona en la práctica. Con ese fin elaboramos estadísticas agregadas a partir del resultado de los cambios que se aplican en las cuentas de Pymaia (por ejemplo: si subir el presupuesto de una campaña de determinado tipo mejoró su retorno) y de promedios de desempeño por industria.

Está activado por defecto y lo podés desactivar cuando quieras desde Ajustes > Organización > Privacidad y datos, sin dar explicaciones y sin que cambie nada del servicio que recibís. Sobre los datos de tus plataformas conectadas, Pymaia actúa por instrucción tuya: ese ajuste es la instrucción, y desactivarlo la revoca.

• Solo estadísticas, nunca datos individuales. Lo que se calcula y se guarda son promedios y medianas de un conjunto de cuentas. No se comparte, publica ni muestra a otros clientes ningún dato de tu cuenta, tus campañas, tus ventas o tus clientes finales, ni se arma ningún perfil de tu cuenta.
• Mínimo de cinco cuentas. Una estadística solo existe cuando hay al menos cinco cuentas en el grupo. Con menos, directamente no se calcula — asi ningún promedio permite deducir los números de una cuenta en particular.
• Se recalcula entero cada vez. No guardamos resultados por cuenta ni históricos: si desactivás el ajuste, tu cuenta deja de entrar en el siguiente cálculo y no queda ningún rastro previo.
• No entrenamos modelos de IA. Esto es cálculo estadístico sobre nuestra propia base de datos, no entrenamiento ni ajuste de modelos. Lo dicho en la sección 8 sigue vigente sin excepciones.
• No decide nada por vos. El resultado se usa para priorizar qué recomendamos, y toda recomendación requiere tu aprobación. No hay decisiones automáticas con efectos sobre vos ni sobre tus clientes.
• Queda registrado. Cada vez que ese ajuste se cambia guardamos la fecha y quien lo hizo, y lo podés consultar.

Hablamos de estadísticas agregadas y no anonimizadas: anonimizar, en sentido técnico, exige que el dato de origen deje de existir como tal, y tus datos siguen en tu cuenta mientras la tengas. Lo que sí garantizamos —y está implementado en el código, no solo escrito acá— es que el resultado publicado no permite individualizar ni deducir los números de ninguna cuenta.

9. Conectores de IA (Claude, ChatGPT, Codex y otros clientes MCP)

English summary. You can connect an AI client — Claude, ChatGPT, Codex or any other MCP client — to Pymaia through OAuth. That client belongs to you and to its own provider, not to us: only what your assistant asks for through each tool leaves Pymaia, and from that point it is governed by that provider's privacy policy and by your plan with them. We keep a log of every call (tool, organization, date, outcome and duration) for 12 months, we never store your conversations with the assistant, and you can revoke access at any time.

Qué es. Pymaia publica un conector (MCP) en https://api.pymaia.com/mcp y, para los directorios de Claude y ChatGPT, en https://api.pymaia.com/mcp/directorio (el mismo servidor y el mismo tratamiento de datos, limitado a una sola organización). Vos conectás tu cuenta de Claude, ChatGPT, Codex o cualquier otro cliente compatible autorizándolo con OAuth desde tu propia cuenta de Pymaia, y elegís sobre qué organización opera. El cliente de IA es tuyo y de su proveedor, no nuestro: la conversación, el historial de ese chat y tu suscripción a esa herramienta se rigen por las condiciones de ese proveedor, no por esta política.

Qué datos salen y hacia dónde. Cuando tu asistente llama una herramienta del conector, el resultado de esa herramienta viaja al proveedor del cliente que estés usando (Anthropic en el caso de Claude, OpenAI en el de ChatGPT y Codex) y queda sujeto a su política de privacidad y a tu plan con ellos. Pymaia no manda nada que no hayas pedido en ese chat: no hay sincronización de fondo ni envíos programados hacia el proveedor de IA. Sale el resultado de la herramienta que se llamó, dentro del alcance de los permisos que otorgaste al conectar.

Qué guardamos nosotros. De cada llamada dejamos un registro: qué herramienta se usó, sobre qué organización, la fecha, el resultado (si salió bien, si faltó un permiso o si se alcanzó un límite) y cuánto tardó. Los parámetros de la llamada se guardan hasheados, nunca en claro. No guardamos tus conversaciones con el asistente: ni tus preguntas ni sus respuestas. Ese registro lo conservamos 12 meses y después se borra solo.

Permisos. El conector no puede hacer más de lo que podés hacer vos.

• Por rol: sólo un admin o el owner de la organización puede otorgarle permisos de escritura o de aprobación a un conector externo. Con cualquier otro rol la conexión queda en modo de sólo lectura.
• Por alcance: el acceso queda atado a la organización que elegiste al autorizar. Si operás varias cuentas como agencia, el cliente se indica llamada por llamada.
• Por tiempo: el token de acceso dura 1 hora y se renueva contra un token de refresco que vence a los 30 días.

Cómo se revoca. Desde Pymaia, en Ajustes > Conectores IA, con el botón Revocar de la conexión; o desde el propio cliente de IA, sacando el conector. El efecto es inmediato: el token deja de servir en la llamada siguiente. Revocar no borra el registro de auditoría de las llamadas ya hechas, que sigue su plazo de 12 meses.

Acciones. Desde el chat se lee y se propone. Lo que mueve dinero o publica hacia afuera (pausar una campaña, cambiar un presupuesto, publicar contenido) queda pendiente de tu aprobación en la app, con el detalle a la vista. La aprobación no se hace desde el conector.

Para consultas sobre el conector, escribinos a info@pymaia.com.

10. Extensión de Chrome (Pymaia para Chrome)

Pymaia ofrece una extensión de navegador que trae al asistente Maia a un panel lateral para ver y operar, con tu aprobación, las plataformas de marketing y e-commerce que ya usás. Esta sección describe cómo trata los datos y aplica además de las secciones anteriores.

• Qué lee y cuándo: solo cuando le pedís analizar u operar una página, la extensión lee el contenido de esa pestaña (texto y estructura del formulario). La URL se recorta a dominio + ruta, sin los parámetros de consulta (que suelen traer identificadores de sesión o seguimiento). No lee páginas en segundo plano ni sin tu acción.
• Capturas de pantalla: toma una captura solo cuando la acción lo requiere y solo en las plataformas soportadas; se procesan por la IA y quedan en el historial de tu conversación, en almacenamiento privado.
• Audio de voz: si usás el dictado, graba el micrófono mientras mantenés el botón, y envía el audio a Pymaia para transcribirlo. No conservamos el audio más allá de la transcripción.
• Campos sensibles: las contraseñas, tarjetas y datos equivalentes se excluyen de la lectura, de las capturas de valores y de la grabación de flujos (modo Enseñar).
• Consentimiento: antes del primer uso te mostramos qué datos se envían al backend y tenés que aceptar explícitamente. Podés revocar ese permiso en cualquier momento desde la configuración del panel; también podés revocar el permiso opcional de "input avanzado" (que la extensión solo pide en el momento en que lo necesita para operar ciertas aplicaciones web).
• Autenticación y almacenamiento: la extensión usa tu sesión de Pymaia; los tokens se guardan localmente en tu navegador y se borran al cerrar sesión.
• Procesamiento por IA: el contenido que enviás se procesa con nuestros proveedores de IA (principalmente Anthropic), bajo las mismas condiciones de la sección 8: no se usa para entrenar modelos y ninguna persona lo lee salvo por soporte, seguridad o requerimiento legal.

11. Cambios a esta política

Esta es una política de carácter general que describe nuestras prácticas habituales de tratamiento de datos. Podemos actualizarla periódicamente y te notificaremos de cualquier cambio significativo por email o mediante un aviso en la plataforma. El uso continuado del servicio después de los cambios constituye tu aceptación.

12. Contacto

Pymaia es un servicio de Martin Slipakoff, con domicilio en la Ciudad Autónoma de Buenos Aires, Argentina, que es quien responde por esta política y por el uso de los datos que describe.

Si tenés preguntas sobre esta política de privacidad, contactanos en info@pymaia.com.