Política de Privacidad

1. Introducción y Marco Legal Aplicable

Esta Política de Privacidad describe cómo Elykia LLC ("Elykia", "nosotros", "nuestro") recopila, utiliza y protege la información en nuestra plataforma SaaS de Marketing Mix Modeling (MMM). Nuestras prácticas de privacidad están diseñadas bajo los estándares de la industria para proteger su información comercial y operativa.

Al utilizar nuestros servicios, usted reconoce que actúa en nombre de una empresa o entidad comercial (B2B). Si bien Elykia opera bajo la jurisdicción del Estado de Wyoming (EE. UU.), reconocemos y aplicamos los estándares de protección exigidos por la Ley N° 25.326 de Protección de Datos Personales de la República Argentina para nuestros clientes residentes en dicho territorio.

2. Datos que Recopilamos

Bajo el principio de minimización de datos, solo tratamos la información estrictamente necesaria para que la plataforma funcione:

• Datos de Cuenta: Nombre completo y dirección de correo electrónico proporcionados al registrarse.
• Seguridad y Sesión: Recopilamos automáticamente la dirección IP y el Agente de Usuario (User Agent) para mantener la seguridad de las sesiones y prevenir accesos no autorizados.
• Credenciales: Las contraseñas se almacenan de forma encriptada (hashed). Elykia no conoce ni almacena contraseñas en texto plano.
• Tokens y Métricas de API: Al conectar plataformas publicitarias, almacenamos de forma segura los Access Tokens y Refresh Tokens bajo el protocolo OAuth. Extraemos métricas de rendimiento (como gasto, clics, impresiones y ROAS) en modo de solo lectura, y configuramos una única vez los parámetros de seguimiento de URLs de la cuenta para la atribución (ver Sección 3).

3. Lo Que NO Hacemos

Para garantizar la integridad de las operaciones de nuestros clientes, Elykia establece las siguientes garantías:

• No usamos cookies de rastreo: No instalamos píxeles ni tecnologías de seguimiento publicitario de terceros en sus sitios web o los de sus usuarios finales.
• No creamos ni alteramos campañas: Nunca creamos, pausamos, editamos ni eliminamos campañas, conjuntos de anuncios ni anuncios. La única operación de escritura que realizamos es, al momento de conectar una cuenta publicitaria, configurar los parámetros de seguimiento en las URLs de los anuncios (UTMs e identificadores de campaña y anuncio a nivel de la cuenta) para poder atribuir correctamente cada venta a la campaña que la generó. El resto del acceso es exclusivamente de solo lectura de métricas de rendimiento.
• No vendemos datos: No comercializamos su información personal, tokens o métricas de campañas con terceros.

4. Subprocesadores y Transferencia Internacional de Datos

Para alojar y procesar los datos, utilizamos proveedores de infraestructura en la nube de primer nivel:

• OVHcloud: Provee nuestros servidores e infraestructura principal, incluyendo el alojamiento de la base de datos productiva (PostgreSQL) y los servicios de aplicación.
• UploadThing: Servicio utilizado exclusivamente para alojar y facilitar la descarga de los reportes en formato PDF generados por la plataforma.

Cumplimiento Ley 25.326 (Argentina): Dado que Elykia LLC opera infraestructura en Estados Unidos y otras regiones internacionales, el Cliente consiente expresamente la transferencia internacional de los datos para la prestación del servicio. Elykia se compromete a mantener medidas técnicas y organizativas de seguridad que cumplan con los estándares exigidos por la Agencia de Acceso a la Información Pública (AAIP) de Argentina.

4.1 Roles y Responsabilidades de las Partes

Esta sección describe el acuerdo de tratamiento de datos entre Elykia y el Cliente (el comercio que conecta su tienda y/o cuentas publicitarias). Junto con el resto de esta Política y los Términos y Condiciones, constituye el marco contractual que rige el tratamiento de datos personales entre las partes.

• El Cliente es Responsable del Tratamiento (Data Controller). Determina los fines y medios del tratamiento de los datos personales de sus propios clientes finales (los compradores de la tienda) y conserva la titularidad de esos datos.
• Elykia es Encargado del Tratamiento (Data Processor). Procesa los datos personales únicamente en nombre del Cliente y según sus instrucciones documentadas, materializadas en la conexión de las plataformas y el uso del producto.
• Subencargados (Sub-processors). Los proveedores listados arriba (OVHcloud, UploadThing) actúan como subencargados de Elykia. Elykia mantiene contratos vigentes con cada uno que imponen obligaciones de seguridad equivalentes a las descritas en esta Política.

4.2 Obligaciones de Elykia como Encargado

• Instrucciones documentadas: tratar los datos personales únicamente según las instrucciones del Cliente, expresadas a través del uso del producto. Cualquier desvío requiere autorización adicional o se ajusta a una obligación legal.
• Confidencialidad del personal: el personal de Elykia con acceso a datos personales está sujeto a deberes de confidencialidad contractual.
• Medidas técnicas y organizativas de seguridad: las descritas en la Sección 5 (control de acceso, cifrado en tránsito y en reposo, separación de entornos, backups cifrados, gestión de incidentes).
• Asistencia al Cliente con derechos de los titulares: colaborar de manera razonable con las solicitudes de acceso, rectificación, cancelación y oposición de los clientes finales del Cliente, en los plazos legalmente exigibles. Para Shopify, esto se materializa en el procesamiento de los webhooks customers/data_request, customers/redact y shop/redact dentro del plazo de 30 días requerido por Shopify.
• Notificación de incidentes: comunicar al Cliente, sin demora injustificada y en todo caso dentro de las 72 horas de tomado conocimiento, cualquier violación de seguridad que afecte sus datos personales, conforme a la Sección 6.
• Devolución y supresión al término del servicio: a solicitud del Cliente, eliminar todos los datos personales asociados a su cuenta dentro de los plazos descritos en la Sección 7. Las copias de respaldo cifradas siguen el ciclo de rotación de la Sección 5.3.
• Cooperación en auditorías: a solicitud razonable del Cliente, poner a disposición la información necesaria para demostrar el cumplimiento de las obligaciones de esta sección.

5. Control de Acceso y Seguridad

Aplicamos el principio de privilegio mínimo para proteger la confidencialidad de sus datos:

• Los clientes solo tienen acceso a los datos de las cuentas que han conectado explícitamente.
• El acceso del equipo de Elykia a las bases de datos de producción está limitado a tareas estrictamente necesarias de mantenimiento, soporte técnico o resolución de errores. Estos accesos administrativos generan un registro de auditoría interno seguro y trazable.

5.1 Cifrado en tránsito

Todas las comunicaciones entre el navegador del cliente, la plataforma Elykia, las APIs de terceros (Shopify, Meta, Google, etc.) y nuestros subprocesadores se realizan exclusivamente sobre TLS 1.2 o superior. Los certificados son emitidos y rotados automáticamente por la infraestructura de hosting.

5.2 Cifrado en reposo

Los servidores de aplicación y la base de datos productiva (PostgreSQL) corren sobre infraestructura de OVHcloud, con cifrado en reposo a nivel del proveedor de infraestructura. Las contraseñas de usuario nunca se almacenan en texto plano: se hashean con bcrypt antes de persistirse. Los identificadores de contacto sensibles (email y teléfono) provenientes de plataformas de ecommerce se hashean adicionalmente con SHA-256 para el matching de identidad multi-canal.

5.3 Backups y retención

Las copias de seguridad de la base de datos productiva, cuando son generadas, se almacenan sobre la misma infraestructura de OVHcloud y heredan los controles de cifrado y acceso descritos en la Sección 5.2. El acceso al servidor productivo (y por lo tanto a cualquier copia de seguridad alojada en él) está limitado al personal autorizado de Elykia conforme a la Sección 5.5.

5.4 Separación de entornos

Los entornos de desarrollo, testing y producción están aislados a nivel de base de datos y de credenciales. Los datos productivos nunca se replican hacia entornos de testing ni de desarrollo.

5.5 Acceso administrativo al servidor

El acceso al servidor productivo se realiza exclusivamente mediante claves SSH; la autenticación por contraseña está deshabilitada en el demonio SSH. El inicio de sesión de usuarios de la plataforma está gestionado por Better Auth, con contraseñas hasheadas con bcrypt. Los tokens administrativos de servicios externos se almacenan fuera del repositorio de código y se rotan en caso de sospecha de compromiso.

6. Protocolo ante Incidentes de Seguridad

En caso de detectar una vulnerabilidad o incidente que comprometa la seguridad de sus datos o tokens de acceso, Elykia se compromete a notificar a los usuarios afectados por correo electrónico sin demora injustificada, una vez confirmada la brecha y evaluado su alcance, proporcionando las medidas de mitigación correspondientes.

6.1 Solicitudes de Autoridades Públicas

Ante cualquier solicitud de datos personales por parte de una autoridad pública o gubernamental, Elykia aplica los siguientes procesos:

• Revisión de legalidad: cada solicitud es revisada para verificar su validez legal, base jurídica y competencia de la autoridad requirente antes de cualquier divulgación.
• Impugnación de solicitudes ilícitas: Elykia se reserva el derecho de rechazar, recusar o solicitar precisiones sobre cualquier solicitud que considere ilegal, sobreamplia o que no cumpla con el debido proceso aplicable.
• Minimización de datos: de proceder una divulgación legalmente exigible, se entrega únicamente el conjunto mínimo de datos estrictamente necesario para cumplir con la solicitud, nunca más de lo requerido.
• Documentación: cada solicitud recibida, su fundamento jurídico, la evaluación realizada y la respuesta de Elykia se documentan y conservan en un registro interno seguro.
• Notificación al Cliente: salvo prohibición legal expresa, Elykia notificará al Cliente afectado antes de divulgar datos personales de los que sea Responsable del Tratamiento.

Esta sección no aplica a órdenes de registro u órdenes judiciales en el marco de investigaciones penales, que se atienden conforme a la legislación procesal aplicable.

7. Sus Derechos y Control de Datos (Derechos ARCO y AAIP)

Usted tiene control total sobre su cuenta y su información. Puede solicitarnos lo siguiente escribiendo a [email protected]:

• Acceso y Rectificación: Solicitar la corrección de cualquier dato inexacto en su cuenta.
• Cancelación (Derecho al Olvido): Solicitar la eliminación de su cuenta y los datos asociados.
• Derechos en Argentina: De conformidad con la Ley N° 25.326, el titular de los datos personales tiene la facultad de ejercer el derecho de acceso a los mismos en forma gratuita a intervalos no inferiores a seis meses. La Agencia de Acceso a la Información Pública (AAIP), Órgano de Control de la Ley N° 25.326, tiene la atribución de atender las denuncias y reclamos que se interpongan con relación al incumplimiento de las normas sobre protección de datos personales.
• Retención y Purga: Conservamos sus datos mientras su cuenta esté activa. Tras solicitar la baja, eliminaremos permanentemente sus tokens de acceso y métricas de nuestros sistemas activos en un plazo máximo de 30 días. Por razones de continuidad técnica, nuestras copias de seguridad (backups) cifradas pueden retener esta información por un período adicional de hasta 60 días antes de ser sobreescritas o eliminadas automáticamente.

8. Cumplimiento Específico con Políticas de API

El uso y la transferencia a cualquier otra aplicación de la información recibida de las APIs de Google por parte de Elykia se ajustará estrictamente a la Política de Datos de Usuario de los Servicios API de Google, incluidos los requisitos de Uso Limitado (Limited Use).

Los datos obtenidos a través de las integraciones (Meta Ads, Google Ads, TikTok Ads, etc.) se utilizarán exclusivamente para proveer los reportes de atribución dentro de la plataforma Elykia y nunca se utilizarán para publicar anuncios, perfilar usuarios o ser vendidos a corredores de datos.

9. Jurisdicción y Contacto

Para asuntos comerciales, esta política se rige por las leyes del Estado de Wyoming, Estados Unidos. Para consultas técnicas, legales o inquietudes sobre el tratamiento de su información (incluyendo derechos ARCO), contáctenos en: [email protected].

10. Definiciones

Para evitar ambigüedades, los siguientes términos tienen el significado indicado a lo largo de esta Política:

• Datos Personales: cualquier información relativa a una persona humana identificada o identificable, en los términos de la Ley N° 25.326 (Argentina) y normativas equivalentes (incluyendo, sin limitarse, GDPR de la Unión Europea).
• Datos Protegidos del Cliente Final (Protected Customer Data): en el contexto de Shopify, los datos personales de los compradores de la tienda del Cliente a los que Elykia accede mediante las APIs de Shopify (por ejemplo: nombre, apellido, email, teléfono, dirección).
• Cliente: la persona o empresa que contrata el servicio de Elykia y conecta sus tiendas y/o cuentas publicitarias a la plataforma. Es el Responsable del Tratamiento de los datos personales de sus compradores.
• Cliente Final: el comprador o visitante de la tienda del Cliente, cuyos datos personales pueden ser procesados por Elykia en nombre del Cliente.
• Responsable del Tratamiento (Data Controller): la parte que determina los fines y los medios del tratamiento de datos personales. En el marco de esta Política, el Cliente.
• Encargado del Tratamiento (Data Processor): la parte que trata datos personales en nombre y por cuenta del Responsable. En el marco de esta Política, Elykia.
• Subencargado (Sub-processor): cualquier proveedor contratado por Elykia que trate datos personales en su nombre, listados en la Sección 4.
• Tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos personales, incluyendo recopilación, almacenamiento, consulta, uso, transmisión, supresión y destrucción.
• Incidente de Seguridad: cualquier violación de la seguridad que ocasione la destrucción, pérdida, alteración, divulgación o acceso no autorizados a datos personales tratados por Elykia.