Política de privacidad

Nemphi es una solución empresarial completa, operada con automatización basada en agentes de IA. Esta política describe qué información recopilamos, cómo la usamos y qué opciones tienes cuando usas nuestro sitio web (www.nemphi.com), la aplicación web (app.nemphi.com), las aplicaciones móviles y de escritorio, la API (api.nemphi.com), el endpoint MCP, el editor de sitios (studio.nemphi.app), los sitios web alojados en nemphi.app y los servicios relacionados (el Servicio).

El Servicio está dirigido a empresas y a las personas que las operan; no está diseñado para menores de 18 años. Al crear una cuenta o usar el Servicio, aceptas las prácticas descritas aquí. Si no estás de acuerdo, no uses el Servicio.

El responsable del tratamiento es Nemphi Group S.A.S. (Nemphi).

Para preguntas sobre privacidad: [email protected].

Recopilamos la información necesaria para operar tu espacio de trabajo y nuestro sitio:

• Cuenta y perfil: nombre, correo electrónico, avatar, idioma, zona horaria y credenciales de seguridad (contraseña, códigos de autenticación en dos pasos, llaves de acceso). Si inicias sesión con Google, Microsoft o el proveedor de identidad de tu organización (SSO con SAML u OIDC, aprovisionamiento SCIM), recibimos el identificador, nombre y correo que ese proveedor comparte.
• Datos del espacio de trabajo: información de la empresa, terceros, documentos, asientos contables, facturas, pagos, nómina, inventario, proyectos, calendarios, contenido de sitios web y demás registros que tú o tus agentes carguen o generen en la plataforma.
• Comunicaciones conectadas: correo (Gmail o Microsoft 365), calendarios (Google u Outlook), WhatsApp, mensajes directos de Instagram y Facebook, y las cuentas de Instagram, Facebook, LinkedIn o TikTok que conectes, según lo descrito en las secciones 6 y 7.
• Llamadas: cuando creas una llamada, guardamos quién la creó, quién participó y cuándo. Un invitado que se une por un enlace sin tener cuenta nos da solo su nombre. Las nuevas reuniones de Nemphi y las llamadas de conversaciones internas se graban automáticamente. Guardamos las grabaciones, el chat, las transcripciones y los resúmenes en el espacio de trabajo. Las grabaciones cuentan en su almacenamiento.
• Dictado por voz: si dictas un mensaje en el chat, el audio se envía a un proveedor de transcripción (xAI) a través de nuestra pasarela de IA y recibimos el texto. No almacenamos el audio.
• Uso del Servicio: bitácora de acciones, invocaciones de herramientas, ejecuciones y trazas de agentes, aprobaciones, consumo de modelos de IA y registros técnicos (dirección IP, tipo de navegador, marcas de tiempo) para seguridad, diagnóstico, medición de uso y cumplimiento.
• Analítica de producto: eventos de uso, páginas vistas, rendimiento y errores de las aplicaciones web y móvil, a través de PostHog, asociados a tu cuenta (nombre y correo). También capturamos grabaciones de sesión de la interfaz de esas aplicaciones para diagnosticar errores.
• Visitantes de nuestro sitio web: en www.nemphi.com medimos páginas vistas, la página de origen, el tipo de navegador y dispositivo, el rendimiento y los errores, a través de PostHog (sección 10). No grabamos sesiones en el sitio.
• Solicitudes de contacto: si nos escribes o dejas tus datos en un formulario de contacto o de acceso, guardamos tu nombre, correo, empresa, mensaje e idioma, junto con la dirección IP y el navegador desde los que lo enviaste para limitar el abuso.
• Visitantes de tus sitios web y páginas públicas: para los sitios que publicas en nemphi.app o en tu dominio registramos la página visitada, la página de origen, el navegador, el país, los parámetros de campaña y un identificador que cambia cada día; no almacenamos la dirección IP en claro. Lo que un visitante envía en tus formularios o al reservar una cita (nombre, correo, teléfono y mensaje) se guarda como contacto en tu espacio de trabajo.
• Soporte: el contenido de los tickets y conversaciones que abres con nuestro equipo.

Usamos la información para:

• Proveer, mantener y mejorar el Servicio.
• Ejecutar agentes de IA y herramientas en tu nombre, respetando las políticas de autonomía y aprobación de tu espacio de trabajo.
• Procesar documentos, generar borradores contables, facturar, conciliar pagos, sincronizar correo y calendarios, responder mensajes y demás capacidades del producto.
• Enviar correos transaccionales (verificación, invitaciones, alertas de aprobación, respuestas de soporte) desde el dominio nemphi.email, y recibir los documentos que envíes a tu dirección de intake en ese dominio.
• Responder a quienes nos contactan y entender cómo se usa nuestro sitio web.
• Medir el uso del Servicio y el costo de los modelos por espacio de trabajo.
• Detectar abuso, fraude y incidentes de seguridad.
• Cumplir obligaciones legales.

No usamos los datos de tu espacio de trabajo para entrenar modelos de IA de uso general para otros clientes. El procesamiento con modelos de lenguaje se limita a operar el Servicio para tu organización. Las solicitudes a los modelos pasan por nuestra propia pasarela de IA, que no guarda su contenido; registramos metadatos de uso (modelo, cantidad de tokens y costo) para medir el consumo.

Nemphi usa modelos de IA para clasificar documentos y correos, proponer asientos, redactar respuestas, analizar conversaciones de tus canales (por ejemplo, para estimar sentimiento o intención de compra y proponer oportunidades en el CRM) y encadenar herramientas. Las acciones con efecto financiero o externo están sujetas a las políticas de tu espacio de trabajo y, por defecto, requieren aprobación humana antes de ejecutarse.

Para completar la información de las empresas de tu CRM consultamos un proveedor de búsqueda en internet (Exa) con el dominio de la empresa, y guardamos los datos públicos que devuelve.

Cada invocación queda registrada en la bitácora con actor, entrada y salida. Puedes revisar esa actividad desde la aplicación.

Si conectas Gmail o Microsoft 365, Nemphi accede a tu buzón solo con los permisos que autorices. Según la configuración de tu espacio de trabajo, podemos:

• Leer mensajes para mostrarlos en la bandeja de correo integrada y extraer adjuntos o metadatos relevantes para tu operación.
• Almacenar los mensajes para que la bandeja y las funciones de IA funcionen sin volver a descargar cada mensaje en cada visita. El cuerpo de los mensajes y los tokens de acceso se guardan cifrados en reposo (AES-256-GCM); los encabezados (remitente, destinatarios, asunto y un extracto) se guardan para mostrarlos en la bandeja y poder buscarlos.
• Etiquetar o clasificar mensajes con IA para tu propio buzón.
• Marcar mensajes como leídos en tu proveedor solo si tú activas esa opción (disponible hoy para Gmail). Fuera de eso, no modificamos tu buzón.

El calendario se conecta con un consentimiento separado. La sincronización es bidireccional: los eventos que creas o cambias en Nemphi se escriben en tu calendario después de la aprobación configurada, y tu proveedor puede notificar a los invitados.

Puedes desconectar una cuenta en cualquier momento; al hacerlo eliminamos los mensajes almacenados y los tokens de esa conexión. Las interacciones ya registradas en la línea de tiempo del CRM se conservan, y también lo que debamos mantener por obligación legal o registros de auditoría agregados.

Si conectas un número de WhatsApp, almacenamos los mensajes entrantes y salientes con tus contactos, incluidos sus adjuntos, para mostrarte las conversaciones y permitir que tus agentes respondan. Los mensajes se envían a través de la API de WhatsApp de Meta.

Si conectas una cuenta de Instagram, Facebook, LinkedIn o TikTok, importamos su historial de publicaciones (texto, enlaces, medios y métricas de interacción) y lo mantenemos actualizado para planear y medir tu marketing; en Instagram y Facebook también guardamos los mensajes directos para que puedas responderlos desde Nemphi. Si conectas cuentas de Meta Ads o Google Ads, leemos la configuración y los reportes de las campañas.

Si envías campañas de correo desde Nemphi, las enviamos a través de Amazon SES y medimos entregas, aperturas y clics.

Eres responsable de contar con el consentimiento de las personas a las que escribes por estos canales y de cumplir las políticas de cada plataforma.

Los sitios web que creas se publican en un subdominio de nemphi.app y, si lo configuras, en tu propio dominio, y se sirven a través de la red de Cloudflare. El contenido que publicas es público por definición. Cuando un sitio tiene un área para miembros, guardamos una cookie de sesión en el navegador del miembro. Si agregas a tu sitio una etiqueta de analítica de terceros (por ejemplo, Google Analytics), esa herramienta trata los datos de tus visitantes según sus propios términos.

Si compras un dominio desde la plataforma, el registro se hace a través de nuestra cuenta en el registrador (Cloudflare Registrar) en tu nombre y para tu uso, al precio que aprobaste antes de la compra.

Las llamadas pasan por nuestro propio servidor de medios en Railway, que también las graba y las transcribe en vivo a través de nuestra pasarela de IA; las llamadas de WhatsApp usan además el servicio TURN de Cloudflare. Al terminar, guardamos la grabación en nuestro almacenamiento de archivos, donde cuenta en el almacenamiento del espacio de trabajo.

No vendemos tu información. Compartimos datos solo cuando es necesario para operar el Servicio, con estos subprocesadores:

• Railway (Estados Unidos, Virginia del Norte): alojamiento de la plataforma y del sitio web, base de datos principal, almacenamiento de archivos y registros técnicos.
• Cloudflare (Estados Unidos y red global): entrega de los sitios alojados, dominios personalizados, registro de dominios, llamadas de WhatsApp y clasificación de correos y conversaciones.
• Amazon Web Services (Estados Unidos): envío y recepción de correo transaccional y, si las usas, campañas de correo.
• PostHog (Estados Unidos): analítica del sitio web y del producto, rendimiento, seguimiento de errores y grabaciones de sesión de las aplicaciones.
• OpenAI, Anthropic y xAI: modelos de lenguaje, embeddings y transcripción de voz, a través de nuestra pasarela de IA.
• Exa: búsqueda en internet para completar la información de empresas.
• Google, Microsoft, Meta, LinkedIn y TikTok: inicio de sesión, correo, calendario, WhatsApp, redes sociales y publicidad, según las integraciones que conectes.
• Proveedores de facturación electrónica (Factus, Siigo o Alegra) y pasarelas de pago (Wompi o Mercado Pago), cuando los conectas.
• Autoridades, cuando la ley lo exija o para proteger derechos, seguridad e integridad del Servicio.

Te avisaremos cuando la lista cambie de forma material. Puedes solicitar la versión vigente en [email protected].

En la aplicación usamos cookies propias, necesarias para el Servicio: sesión, espacio de trabajo seleccionado, invitación pendiente, verificación en dos pasos, idioma, tema, zona horaria y el estado de la barra lateral. Algunas preferencias de la interfaz (por ejemplo, la configuración de llamadas o las columnas de una tabla) se guardan en el almacenamiento local de tu navegador.

En la aplicación y en www.nemphi.com, PostHog guarda un identificador propio en tu navegador (una cookie y el almacenamiento local) para medir el uso, el rendimiento y los errores. Se sirve desde nuestro propio dominio y no se usa con fines publicitarios. Puedes borrarlo o bloquearlo desde tu navegador sin perder el acceso al sitio.

No usamos cookies de publicidad ni de terceros con fines de rastreo. La pantalla para conectar WhatsApp carga el SDK de Facebook, que está sujeto a la política de privacidad de Meta. Para mostrar los logotipos de las empresas de tu CRM, tu navegador puede cargar sus íconos desde el servicio de íconos de Google usando el dominio de cada empresa.

Conservamos la información mientras tu cuenta esté activa y el tiempo adicional necesario para cumplir obligaciones legales, resolver disputas y mantener registros de auditoría.

Un propietario puede eliminar el espacio de trabajo desde la configuración. El espacio queda bloqueado durante un periodo de gracia de 30 días en el que se puede cancelar la eliminación; después, eliminamos sus datos. Algunas copias pueden permanecer en respaldos y registros técnicos por un tiempo limitado hasta que se sobrescriban. Un sitio web eliminado tiene un periodo de gracia de 7 días. Algunos registros contables pueden conservarse en forma agregada o anonimizada cuando la ley lo requiera. Para eliminar tu cuenta personal, escríbenos.

Aplicamos cifrado en tránsito, cifrado en reposo para el contenido del correo y las credenciales de integraciones, autenticación en dos pasos y llaves de acceso, controles de acceso por rol, aislamiento por espacio de trabajo en cada consulta y bitácoras de solo inserción en rutas críticas. Una copia de los registros de tu espacio de trabajo se mantiene en un lago de datos analítico, consultable solo con el filtro de tu espacio de trabajo. Ningún sistema es perfectamente seguro; infórmanos de cualquier incidente en [email protected].

Según tu jurisdicción, puedes tener derecho a acceder, corregir, eliminar, oponerte o limitar ciertos tratamientos, y solicitar portabilidad. Para ejercerlos, escribe a [email protected]. Responderemos en un plazo razonable y podremos pedir verificación de identidad.

En Colombia, estos derechos se rigen por la Ley 1581 de 2012 y puedes presentar una queja ante la Superintendencia de Industria y Comercio. Si resides en la Unión Europea o el Reino Unido, también puedes presentar una reclamación ante tu autoridad de protección de datos.

Operamos desde infraestructura en Estados Unidos (principalmente Virginia del Norte), en Railway y Amazon Web Services; los sitios alojados y las llamadas de WhatsApp usan además la red global de Cloudflare. Cuando transferimos datos fuera de tu país, aplicamos salvaguardas contractuales y técnicas apropiadas.

Podemos actualizar esta política. Publicaremos la versión vigente en www.nemphi.com/legal/privacy con la fecha de última actualización. Si los cambios son sustanciales, te lo notificaremos por correo o dentro del producto.