Política de Privacidad de CXLatam Software

Última actualización: 30 de octubre de 2026.

Titular: CUSTOMER SERVICE 1 TO 1 S.A.C.
RUC: 20538615391
Nombre comercial: CXLatam Group
Producto: CXLatam Software
Sitio del producto: https://cxlatam.com/software/
Versión: 1.0

Documento público complementario a los acuerdos B2B individuales.

1. Identificación y finalidad

Esta Política de Privacidad informa sobre el tratamiento de datos personales en CXLatam Software, sus módulos, aplicaciones e integraciones.

El proveedor es CUSTOMER SERVICE 1 TO 1 S.A.C., RUC 20538615391, que opera comercialmente como CXLatam Group (“CXLatam”).

Esta política no sustituye las cláusulas particulares de privacidad, confidencialidad o encargatura celebradas con cada organización cliente.

2. Función de CXLatam y de las organizaciones clientes

Las organizaciones clientes determinan en general los fines y medios esenciales del tratamiento de datos de sus usuarios, consumidores, trabajadores y encuestados.

Respecto de esos datos, CXLatam presta servicios principalmente como encargado del tratamiento bajo instrucciones contractuales.

CXLatam puede ser responsable del tratamiento en las operaciones que realiza por cuenta propia, como administración comercial, gestión de cuentas, soporte y seguridad.

El rol concreto depende del tratamiento y de la legislación aplicable.

3. Categorías de datos tratados

Según los módulos utilizados, pueden tratarse:

a) Nombres, correos, identificadores de usuario, pertenencia empresarial, perfiles y permisos.

b) Datos de empresas, sedes, canales y configuraciones.

c) Respuestas de encuestas, puntajes, métricas, comentarios y datos de contacto de encuestados si el cliente los recopila.

d) Datos de tickets, checklists u otros módulos habilitados.

e) Datos técnicos como direcciones IP, fecha, hora, agentes de usuario, rutas técnicas, tiempos de respuesta, eventos de autenticación y errores.

f) Metadatos y autorizaciones necesarios para operar integraciones.

El alcance depende de lo que el cliente configure y registre.

4. Comentarios abiertos y datos sensibles

Los campos de texto libre de las encuestas pueden incluir espontáneamente nombres, teléfonos, correos u otros datos personales, incluso información sensible.

Su contenido depende de los encuestados y de la configuración de cada cliente.

Las organizaciones deben diseñar sus encuestas y gestionar sus bases jurídicas para evitar la recopilación o comunicación innecesaria de datos, particularmente de categorías sensibles o restringidas.

5. Finalidades

La información se trata para prestar el SaaS contratado, autenticar y autorizar accesos, recoger y procesar respuestas, generar indicadores y reportes, ofrecer soporte, prevenir abusos, asegurar la operación, ejecutar integraciones habilitadas y cumplir obligaciones legales o contractuales.

CXLatam no adquiere la titularidad de los datos empresariales por procesarlos.

6. Bases jurídicas e instrucciones

El cliente debe determinar y documentar la base jurídica, proporcionar avisos de privacidad y obtener consentimientos cuando correspondan para los datos que recoge.

CXLatam trata los datos de los clientes bajo las instrucciones y acuerdos pertinentes.

La activación técnica de una integración no sustituye una base jurídica válida ni amplía automáticamente las autorizaciones contractuales de tratamiento o transferencia.

7. Integraciones externas de IA: elección por tenant

Las conexiones con asistentes de inteligencia artificial, incluidos ChatGPT y Claude mediante MCP, se encuentran desactivadas por defecto.

Un administrador autorizado del tenant puede activarlas o desactivarlas en el panel de administración.

Al habilitarlas, la organización decide permitir que sus usuarios con los permisos adecuados realicen consultas mediante el proveedor externo elegido, sujeto a sus propias obligaciones y a los términos contractuales aplicables.

8. Datos entregados a asistentes de IA

En respuesta a consultas autorizadas, el servidor MCP puede entregar nombres y estructuras de reportes, métricas, filtros, sedes, variables, respuestas y comentarios abiertos.

Estos últimos pueden incluir datos personales de terceros.

El envío se realiza para atender la consulta concreta del usuario autorizado; CXLatam no controla necesariamente el tratamiento posterior efectuado en las cuentas y servicios del proveedor de IA que el usuario haya conectado.

9. Autenticación, separación y desactivación

El MCP utiliza autenticación y controles de acceso vinculados con organización, usuario y perfil para limitar los resultados disponibles.

Desactivar la integración debe bloquear nuevas consultas del tenant, aun si existe una autorización o token previamente emitido.

La desactivación no borra automáticamente información ya enviada a asistentes externos; la conservación y supresión de dichos contenidos depende de los mecanismos y políticas aplicables de cada proveedor.

10. Conservación temporal de información en el MCP

El MCP no escribe de forma permanente en disco ni en bases de datos los resultados obtenidos para responder consultas.

Para mejorar el rendimiento, conserva temporalmente en memoria por un máximo de diez (10) minutos y separadas por empresa, usuario y perfil determinadas estructuras de reportes, establecimientos, variables, resultados —incluidos comentarios— y tokens de acceso de corta duración.

La memoria se pierde al terminar la instancia; el límite de caché no define la conservación de datos en la plataforma principal ni la que pueda realizar el proveedor externo.

11. Registros técnicos y retención

Google Cloud Run registra para cada solicitud fecha y hora, dirección IP de origen, agente de usuario, URL solicitada, estado HTTP y duración.

El servidor MCP registra eventos de arranque y errores técnicos y, ante determinados rechazos de tokens, metadatos de autenticación como emisor, audiencia, tipo e identificador del cliente OAuth.

Los registros operativos en el bucket _Default de Cloud Logging se conservan durante treinta (30) días; no existen exportaciones adicionales de esos logs según la configuración verificada.

Google Cloud mantiene además registros de auditoría administrativa por hasta cuatrocientos (400) días, relacionados con cambios de infraestructura o permisos, y no con el contenido de consultas al MCP.

12. Contenido que no se registra en logs MCP

Según la configuración actual, los logs del MCP no almacenan el contenido de las preguntas enviadas al asistente, datos identificativos del usuario final, resultados de encuestas, cifras, comentarios abiertos ni tokens o secretos de autenticación.

En determinadas circunstancias, los mensajes de error y los registros de proveedores tecnológicos pueden estar sujetos a sus propios controles de seguridad y retención.

13. Conservación en CXLatam Software

La información almacenada en la plataforma principal —por ejemplo encuestas, reportes, usuarios y registros de los módulos contratados— se conserva conforme a los Acuerdos Particulares, instrucciones del cliente, necesidades del servicio y obligaciones legales.

La devolución, supresión o conservación al terminar el contrato se rige por el instrumento aplicable.

Los plazos de 10 y 30 días expuestos para el MCP no deben interpretarse como plazos de eliminación de las bases de datos principales del SaaS.

14. Proveedores y destinatarios

La información puede ser tratada por las personas autorizadas de la organización cliente, personal y prestadores de CXLatam sujetos a controles pertinentes, proveedores de infraestructura y comunicaciones y, únicamente si la integración está habilitada y se consulta, el proveedor de IA seleccionado por el usuario autorizado.

Los proveedores de IA pueden estar sujetos a condiciones de privacidad y conservación propias, que varían según el producto, el tipo de cuenta y las configuraciones contratadas.

Las políticas de OpenAI y Anthropic deben consultarse directamente en sus sitios oficiales.

15. Transferencias internacionales

La prestación del SaaS y el uso de proveedores de nube y de IA pueden implicar tratamiento o acceso desde países diferentes al de la organización cliente o de los encuestados.

Se aplicarán las salvaguardas, informaciones, autorizaciones y mecanismos contractuales exigibles según las jurisdicciones correspondientes.

Antes de habilitar una integración de IA, el cliente debe comprobar que dicha comunicación internacional esté autorizada por sus compromisos legales y contractuales.

16. Seguridad y minimización

CXLatam aplica controles técnicos y organizativos para limitar accesos, separar información de las organizaciones y proteger credenciales y comunicaciones, según los servicios y acuerdos vigentes.

Los usuarios deben utilizar los permisos mínimos necesarios y evitar incorporar datos innecesarios, especialmente sensibles, en preguntas o comentarios.

No existe medida técnica que elimine completamente todo riesgo de seguridad.

17. Derechos y solicitudes

Los titulares podrán ejercer los derechos que les reconozca la normativa aplicable, incluidos acceso, rectificación, cancelación y oposición cuando correspondan.

Cuando la información pertenece al ámbito de responsabilidad de una organización cliente, las solicitudes podrán dirigirse a ella o canalizarse a través de CXLatam para su atención conforme al acuerdo y la ley.

Para tratamientos propios de CXLatam, utilícense los canales oficiales del Centro de Privacidad:

https://cxlatam.com/centro-de-privacidad/

18. Cambios de la política

CXLatam puede actualizar esta Política para reflejar cambios normativos, operativos o tecnológicos.

La versión vigente se publicará en el sitio oficial.

La publicación no modifica unilateralmente obligaciones particulares establecidas por contratos firmados.

19. Normativa de referencia

La política considera la Ley peruana N.° 29733, Ley de Protección de Datos Personales, y su Reglamento aprobado por Decreto Supremo N.° 016-2024-JUS, así como las normas de otras jurisdicciones que resulten aplicables en cada operación de tratamiento.

20. Contacto

Para ejercer derechos o plantear consultas relacionadas con privacidad, utilice los canales disponibles en: