NatiCRM / Información legal
Política de privacidad
Esta política explica cómo NatiCRM trata los datos personales de las personas que visitan la landing, se registran o utilizan la aplicación CRM. Distingue los datos de la cuenta de los datos comerciales que cada organización carga en el CRM y describe las finalidades, proveedores, medidas de seguridad y derechos aplicables. La identificación legal completa y algunos detalles operativos siguen sujetos a revisión profesional.
1. Responsable y alcance de esta política
NatiCRM es un servicio operado bajo la marca NatiCRM por Reyes Hosting Center, con sitio corporativo en https://reyeshosting.com. La razón social completa, el RUC, el domicilio y los datos de contacto legal definitivos se encuentran pendientes de confirmación y se incorporarán antes de la aprobación legal final. Mencionar la marca no sustituye esos datos.
Esta política aplica a la landing pública, al formulario de registro, al inicio de sesión, a la autenticación con Google o Facebook y a la aplicación CRM cuando interactúas con NatiCRM. No regula por sí sola los sitios, aplicaciones o servicios de terceros, incluidos los proveedores de identidad, las pasarelas de pago o los sitios enlazados, que tienen sus propias políticas.
Respecto de los datos de clientes, contactos y documentos que una organización carga en el CRM, esa organización define las finalidades, las bases legales y las instrucciones de tratamiento, y NatiCRM actúa como encargado o proveedor de servicios conforme al acuerdo aplicable. Respecto de los datos de la cuenta, la facturación, la seguridad y el uso del servicio, NatiCRM actúa como responsable del tratamiento.
2. Datos personales que tratamos
Datos de cuenta e identidad: nombres, apellidos, correo electrónico, teléfono, país de nacionalidad, país de residencia, idioma, preferencias de tema y, cuando corresponda, imagen de avatar. También podemos tratar datos de la empresa, el cargo o la relación profesional que decidas incorporar en tu perfil.
Datos de autenticación y seguridad: contraseña almacenada como hash, identificadores de sesión, códigos de verificación y recuperación, segundo factor de autenticación cuando lo actives, identidades sociales vinculadas, historial de inicios de sesión, direcciones IP, user agent, fechas, resultados de autenticación, identificadores de solicitud y registros de auditoría.
Datos de facturación y suscripción: plan contratado, estado de la suscripción, facturas, comprobantes, datos fiscales como RUC o identificación tributaria, dirección de facturación, moneda, importes, estado de pagos y comprobantes que decidas adjuntar. Los datos completos de tarjetas o cuentas de pago son tratados por la pasarela correspondiente; NatiCRM no almacena el número completo de una tarjeta.
Datos comerciales del CRM: empresas, clientes, personas de contacto, correos, teléfonos, direcciones, redes sociales, documentos, archivos, imágenes, notas, relaciones, actividades, oportunidades y datos de uso o almacenamiento asociados a la cuenta.
Datos técnicos y de soporte: mensajes y solicitudes de ayuda, registros de entrega de correo, errores, eventos de seguridad, información del navegador, cookies, almacenamiento local, almacenamiento de sesión y datos de atribución de la visita, como parámetros UTM, referrer, URL de entrada y referencias de campaña.
3. Registro, cuenta y autenticación
El registro solicita los datos necesarios para crear y activar la cuenta, como nombres, apellidos, correo electrónico, teléfono, país de nacionalidad y país de residencia. La cuenta puede quedar pendiente de verificación y el correo electrónico se utiliza para enviar instrucciones de activación, recuperación o avisos de seguridad.
La contraseña se almacena mediante un mecanismo de hash y no se conserva en texto plano. La autenticación puede complementarse con verificación en dos pasos. Las sesiones se gestionan en el servidor y se protegen con controles de sesión, CSRF y cookies; el historial de acceso y los registros de auditoría permiten investigar incidentes y usos abusivos.
Debes mantener la confidencialidad de tus credenciales y dispositivos. No envíes contraseñas, códigos de verificación ni enlaces de activación en solicitudes de soporte. Si detectas un acceso no autorizado, cambia la contraseña, revoca las sesiones cuando la aplicación lo permita y comunícalo por los canales corporativos.
5. Datos de clientes y contenido del CRM
La aplicación CRM permite gestionar información de clientes, contactos, empresas, documentos y comunicaciones. La organización que incorpora esos datos debe contar con una base legal, informar a los titulares cuando corresponda y atender sus solicitudes. NatiCRM no decide cómo se utilizan esos datos comerciales y los trata siguiendo las instrucciones de la organización responsable.
No es necesario incorporar datos sensibles para utilizar el CRM. Si tu actividad requiere tratar categorías sensibles, debes verificar que exista una base legal específica y aplicar las medidas adicionales que correspondan. Evita introducir información excesiva, datos de salud, datos biométricos o datos de menores cuando no sean necesarios y autorizados.
Las funciones de exportación, importación, archivos, copias de seguridad y eliminación forman parte del servicio. El alcance y los plazos dependen del plan y de la configuración contratada. La organización debe conservar sus propias copias cuando las necesite y no debe utilizar el CRM para fines ilícitos o para vulnerar derechos de terceros.
6. Planes, facturación y datos fiscales
Para gestionar suscripciones, pagos y facturas tratamos los datos de la cuenta, el plan, el estado de la suscripción, las facturas, los comprobantes, la moneda, los importes y los datos fiscales necesarios. Estos datos pueden incluir RUC, identificación tributaria, razón social, dirección y correo de facturación.
Los pagos pueden procesarse mediante proveedores externos. La pasarela trata los datos de pago conforme a sus propias políticas y a las instrucciones aplicables; NatiCRM recibe referencias, estados y resultados de la operación, no el número completo de la tarjeta. Los comprobantes y documentos fiscales se conservan durante los plazos exigidos por la normativa contable y tributaria.
Cuando la ley lo exija, determinada información puede comunicarse a autoridades tributarias, contables o de prevención de fraude. También podemos conservar evidencia de pagos, notas de crédito, devoluciones y ajustes para mantener la trazabilidad de la relación contractual.
7. Para qué usamos los datos
Usamos los datos para crear y activar cuentas, autenticar el acceso, prestar las funciones del CRM, gestionar suscripciones y facturación, responder consultas, enviar avisos operativos y de seguridad, recordar preferencias y mantener la atribución de la visita durante el registro.
También podemos tratarlos para prevenir fraudes y abusos, investigar errores, mantener la seguridad de la infraestructura, cumplir obligaciones legales, ejercer o defender derechos y mejorar la calidad del servicio. Los registros de auditoría permiten reconstruir cambios relevantes y detectar accesos indebidos.
No vendemos datos personales ni los utilizamos para publicidad de terceros. No elaboramos perfiles con efectos jurídicos sobre las personas. Si en el futuro incorporamos analítica o marketing no esencial, lo informaremos y solicitaremos el consentimiento cuando sea necesario, actualizando esta política y la política de cookies.
8. Bases legales del tratamiento
Tratamos los datos necesarios para ejecutar la relación contractual o atender tu solicitud de registro, para cumplir obligaciones legales, para proteger la seguridad y prevenir fraudes, y para fines legítimos relacionados con la operación del servicio, cuando no prevalezcan tus derechos. Para comunicaciones opcionales, cookies no esenciales o tratamientos que requieran consentimiento, utilizamos tu consentimiento, que puedes retirar.
En Perú aplicamos la normativa de protección de datos personales, en particular la Ley N.° 29733 y sus normas reglamentarias. Si accedes desde otra jurisdicción, pueden corresponderte derechos adicionales conforme a la ley local. Cuando una organización carga datos de terceros en el CRM, esa organización debe determinar la base legal y darnos instrucciones conformes.
No utilizamos datos sensibles para finalidades distintas de las autorizadas. Si en algún caso fuera necesario tratar una categoría sensible, solicitaríamos el consentimiento expreso o aplicaríamos la base legal específica que corresponda y reforzaríamos las medidas de seguridad.
10. Proveedores, encargados y destinatarios
Para operar el servicio podemos utilizar proveedores de alojamiento e infraestructura, bases de datos, almacenamiento de archivos, entrega de correo, soporte, monitoreo de errores, pasarelas de pago, servicios contables o tributarios y proveedores de identidad como Google o Facebook. Estos proveedores acceden a los datos necesarios para prestar sus funciones y deben sujetarse a obligaciones de confidencialidad y seguridad.
Los proveedores pueden actuar como encargados del tratamiento o como responsables independientes según la actividad. Sus funciones, ubicaciones, subproveedores y compromisos contractuales se documentan y revisan antes de incorporarlos. Podemos comunicar datos a autoridades cuando exista una obligación legal o una orden válida, y en una reorganización, fusión o transferencia de activos con las garantías aplicables.
Los enlaces a sitios externos, incluido el sitio corporativo, llevan a entornos con sus propias políticas. Revisa esa información antes de proporcionar datos o contratar servicios allá. La presencia de un enlace no significa que NatiCRM controle todo el contenido o funcionamiento del destino.
11. Transferencias internacionales
Algunos proveedores pueden estar ubicados fuera del Perú o utilizar infraestructura en otros países. Cuando exista una transferencia internacional, aplicaremos las garantías, cláusulas o mecanismos exigidos por la normativa y, cuando corresponda, informaremos o solicitaremos el consentimiento aplicable.
No afirmamos que todos los datos permanezcan en un país determinado. La ubicación concreta depende de los proveedores contratados y de la configuración del servicio. Para los datos de clientes cargados por una organización, esa organización debe autorizar las transferencias necesarias conforme a su propio análisis y al acuerdo aplicable.
12. Conservación y eliminación
Conservamos los datos de la cuenta mientras esté activa, durante la relación contractual y durante el tiempo necesario para cumplir obligaciones legales, resolver disputas y mantener la seguridad. Los datos de facturación y los comprobantes se conservan durante los plazos contables y tributarios aplicables.
Los registros de acceso, seguridad y auditoría se conservan durante periodos limitados y proporcionales a su finalidad. Los mensajes de soporte, archivos y copias de seguridad siguen los ciclos de retención y rotación configurados. Cuando los datos ya no son necesarios, se eliminan o se anonimizan de forma razonable.
Una solicitud de eliminación puede estar limitada por obligaciones legales, procesos en curso, prevención de fraude o copias de seguridad que aún no hayan rotado. Eliminar datos del navegador no elimina una cuenta ni la información que ya está en los servidores. El procedimiento aplicable se explica al atender cada solicitud.
13. Seguridad e incidentes
Aplicamos medidas técnicas y organizativas para proteger la información, como hash de contraseñas, autenticación de sesión, protección CSRF, verificación en dos pasos cuando la actives, controles de acceso, separación por cuenta, registros de auditoría, cifrado de cookies y transporte mediante HTTPS. Las copias de seguridad y los accesos administrativos se gestionan con criterios de mínimo privilegio.
Ningún sistema puede garantizar la ausencia total de incidentes o accesos no autorizados. Protege tus credenciales y dispositivos, limita la información que compartes y comunica cualquier sospecha por los canales corporativos. No envíes contraseñas, bases de clientes ni documentación sensible sin recibir instrucciones adecuadas.
Si se produce un incidente que afecte datos personales, activaremos el procedimiento de respuesta correspondiente y realizaremos las notificaciones exigidas por la ley y por los acuerdos aplicables. La información sobre el incidente se proporcionará de forma compatible con la investigación y las medidas de seguridad necesarias.
14. Tus derechos y solicitudes de privacidad
Puedes solicitar información sobre tus datos, su acceso, rectificación, actualización, eliminación o cancelación, y oponerte o limitar determinados tratamientos. Cuando corresponda, también puedes solicitar portabilidad, retirar tu consentimiento o presentar una reclamación ante la Autoridad Nacional de Protección de Datos Personales (ANPD) en Perú o ante la autoridad competente de tu país.
Para ejercer tus derechos, utiliza los canales publicados en https://reyeshosting.com e indica el correo asociado a tu cuenta sin incluir tu contraseña. Podemos pedir una verificación proporcionada de identidad o de representación antes de revelar o modificar información. Los plazos de respuesta se ajustarán a la normativa aplicable.
Si tus datos fueron incorporados por una empresa que utiliza el CRM, esa empresa suele ser la responsable principal de atender tu solicitud. Indica esa relación para orientar el caso correctamente. No vendemos datos personales ni tomamos decisiones automatizadas con efectos jurídicos sobre las personas con la configuración actual del servicio.
15. Menores de edad y capacidad
El servicio está orientado a personas con capacidad legal para gestionar una cuenta y, cuando actúen por una organización, con autorización suficiente para representarla. No está dirigido a menores de edad ni solicita deliberadamente sus datos.
Si detectamos que se han incorporado datos de un menor sin la autorización requerida, adoptaremos medidas razonables para eliminarlos o bloquearlos. Los padres, tutores o representantes pueden contactar por los canales corporativos para solicitar revisión o eliminación.
16. Cambios, vigencia y contacto
Podemos actualizar esta política para reflejar cambios en el servicio, en los proveedores, en la normativa o en nuestras prácticas. Publicaremos la versión vigente en la landing e indicaremos la fecha de revisión. Los cambios sustanciales se comunicarán por un medio razonable, como un aviso en la landing, en la aplicación o por correo electrónico cuando corresponda.
El uso continuado del servicio después de la entrada en vigor de una actualización implica su aceptación en la medida permitida por la ley. Si no estás de acuerdo con un cambio sustancial, puedes dejar de utilizar el servicio y solicitar la gestión de tu cuenta conforme a los procedimientos aplicables.
Para consultas sobre esta política, solicitudes de privacidad o reclamos, utiliza los canales publicados en el sitio corporativo de Reyes Hosting Center: https://reyeshosting.com. No envíes contraseñas, códigos de verificación ni información confidencial de tus clientes en una consulta inicial. La identidad legal completa, el domicilio y el canal formal de privacidad se completarán antes de la aprobación legal definitiva.
4. Google, Facebook y foto de perfil
Puedes registrarte o iniciar sesión con Google o Facebook. Con los permisos que autorices, el proveedor nos devuelve datos como identificador de la cuenta, nombre, correo electrónico, estado de verificación del correo y URL de la foto de perfil. Guardamos el proveedor, el emisor, el identificador de la identidad, una instantánea del correo, metadatos básicos y las fechas de vinculación y último uso.
No almacenamos tokens de acceso del proveedor ni los exponemos en la URL. Para proteger el proceso OAuth usamos cookies cifradas de corta duración con el estado de la operación y el verificador PKCE. Si el correo del proveedor coincide con una cuenta existente, no vinculamos la identidad automáticamente: pedimos iniciar sesión y confirmar la vinculación. Vincular o desvincular una identidad requiere confirmar la contraseña de la cuenta.
Si no tienes un avatar propio, el backend puede descargar la foto pública del proveedor y guardarla como imagen de avatar en nuestro almacenamiento. No reemplazamos un avatar que ya hayas subido. Si la descarga falla, el registro o el inicio de sesión continúa y se utiliza el avatar de iniciales. La URL original del proveedor no se utiliza como avatar permanente.