Política de Privacidad

1. Roles: responsable y encargado del tratamiento

Somos responsables de los datos de tu cuenta (nombre, correo electrónico, empresa, facturación) y de los datos de uso de los Servicios.

Respecto de los datos que tu empresa incorpora a Cordex — contactos, conversaciones de WhatsApp y de otros canales, negocios del CRM, campañas, automatizaciones y archivos — tu empresa es la responsable y Cordex actúa como encargado del tratamiento, tratando esos datos únicamente para prestar los Servicios según las instrucciones de ella.

2. Datos que recopilamos

• Datos de registro: nombre, correo electrónico, contraseña (almacenada solo como hash), foto e idioma; si inicias sesión con Google, recibimos el nombre, el correo electrónico y la foto de tu cuenta de Google.
• Datos de la empresa: nombre, miembros, invitaciones, plan e historial de facturación. Los datos de tarjeta son recopilados y guardados por Stripe; Cordex no almacena el número de la tarjeta.
• Contenido del cliente: contactos, mensajes, medios, notas, negocios, campos personalizados, agentes de IA, flujos, campañas, audiencias e informes que tu empresa crea o recibe a través de los canales conectados.
• Credenciales de integración: tokens de acceso de los canales y redes publicitarias que conectas, guardados cifrados.
• Datos técnicos: dirección IP, navegador, registros de acceso y de errores, y un registro de actividad de las operaciones realizadas en la cuenta (incluidas las realizadas mediante la API y el MCP).
• Comunicaciones: mensajes que nos envías a través del soporte.

3. Para qué usamos los datos

• Prestar, mantener y proteger los Servicios: autenticación, envío y recepción de mensajes, automatizaciones, agentes de IA, informes y soporte (ejecución de contrato, art. 7, V, LGPD).
• Facturación y obligaciones fiscales (ejecución de contrato y cumplimiento de obligación legal).
• Seguridad, prevención de fraude y abuso, auditoría y registro de acceso exigido por el Marco Civil de Internet de Brasil (Marco Civil da Internet, Ley 12.965/2014) (obligación legal e interés legítimo).
• Comunicaciones sobre la cuenta y el producto, como alertas de seguridad y cambios en esta política.
• Mejorar el producto con métricas agregadas de uso. No usamos el contenido del cliente para entrenar modelos de IA ni para publicidad, y no vendemos datos personales.

4. Asistentes de IA, API y servidor MCP

Cordex ofrece una API REST y un servidor MCP remoto (https://app.cordex.ai/api/mcp) para que asistentes de IA de terceros, como Claude (Anthropic), ChatGPT (OpenAI), Grok (xAI) y otros, operen tu cuenta a petición tuya.

La conexión solo se produce después de que inicias sesión en Cordex, eliges la empresa y apruebas la pantalla de consentimiento OAuth, que muestra la aplicación, la dirección de retorno y los alcances solicitados. Puedes limitar el acceso a módulos y a solo lectura, y revocarlo en cualquier momento en Configuración › API y MCP; la revocación invalida los tokens de inmediato.

El asistente recibe únicamente los resultados de las herramientas que invoca, dentro de los alcances aprobados. Cordex recibe solo los parámetros de cada llamada: no recopilamos, no solicitamos ni almacenamos el historial de tu conversación con el asistente, su memoria ni tus archivos.

Las llamadas de escritura quedan en el registro de actividad de la empresa, marcadas como realizadas vía API. Lo que el asistente haga con los resultados se rige por la política de privacidad del proveedor del asistente.

5. Compartición y subencargados

Compartimos datos únicamente con proveedores necesarios para operar los Servicios, bajo contrato y con obligaciones de confidencialidad y seguridad:

• Hetzner Online (Alemania): alojamiento de servidores y base de datos.
• Cloudflare (R2): almacenamiento de medios y archivos.
• OpenRouter y los proveedores de modelos a los que redirige: procesamiento de IA de los agentes y del Copiloto, sin uso para entrenamiento.
• Meta (WhatsApp Business Platform, Instagram, Messenger) y proveedores asociados de acceso a la API oficial y a las redes publicitarias: envío y recepción de mensajes e integración con anuncios, cuando tu empresa conecta esos canales.
• Stripe: pagos y suscripciones.
• Resend: envío de correos electrónicos transaccionales (verificación, invitaciones, alertas).
• Google: inicio de sesión con Google, cuando eliges esa opción.
• Proveedor de integraciones: conexión con aplicaciones de terceros que tu empresa active.

6. Transferencia internacional

Algunos subencargados están fuera de Brasil (Unión Europea y Estados Unidos). Estas transferencias siguen el art. 33 de la LGPD, con cláusulas contractuales y garantías de protección equivalentes.

7. Conservación

• Datos de la cuenta y contenido del cliente: mientras la cuenta esté activa. Tras el cierre de la cuenta, solicitado al soporte, los eliminamos o anonimizamos en un plazo de 90 días, salvo lo que la ley exija conservar.
• Registros de acceso a aplicaciones: 6 meses, conforme al Marco Civil de Internet.
• Datos fiscales y de facturación: durante el plazo legal (en general 5 años).
• Los tokens de acceso OAuth duran 10 minutos y los tokens de actualización 30 días; ambos se eliminan o invalidan cuando revocas el acceso.

8. Seguridad

Usamos HTTPS en todas las conexiones, contraseñas con hash, credenciales de canales cifradas, aislamiento de datos por empresa en la base de datos (row-level security), PKCE y rotación de tokens en OAuth, control de acceso por rol y registro de actividad. Ningún sistema es totalmente inmune; si ocurre un incidente relevante, avisaremos a los afectados y a la Autoridad Nacional de Protección de Datos de Brasil (ANPD) conforme a la ley.

9. Tus derechos

Puedes solicitar la confirmación del tratamiento, acceso, corrección, anonimización, portabilidad, eliminación, información sobre la compartición y revocación del consentimiento, además de oponerte a tratamientos (art. 18 de la LGPD). Si los datos pertenecen a una empresa cliente de Cordex, le remitiremos la solicitud. Responderemos en un plazo de 15 días. También puedes presentar una queja ante la Autoridad Nacional de Protección de Datos (ANPD).

10. Cookies

Usamos cookies estrictamente necesarias para mantener la sesión y recordar el idioma y el tema. No usamos cookies de publicidad en la plataforma.

11. Menores de edad

Los Servicios están destinados a empresas y no se dirigen a menores de 18 años.

12. Cambios en esta política

Podemos actualizar esta política. La fecha en la parte superior indica la última versión; los cambios relevantes se avisarán por correo electrónico o en la plataforma.

13. Contacto y encargado de protección de datos (DPO)

Encargado de protección de datos: privacidade@cordex.ai. Soporte: suporte@cordex.ai o WhatsApp +55 11 98805-6388. Dirección: CORDEX AI TECNOLOGIA LTDA, Rua Bom Pastor, 529, sala 03, Ipiranga, São Paulo/SP, CEP 04203-050, Brasil.