Política de Privacidad

1. Identificación del Responsable

Aivachat LLC (en adelante "Aiva Sanity", "nosotros"), sociedad constituida bajo las leyes del estado de Delaware (Estados Unidos), con dirección registrada en 131 Continental Dr, Suite 305, Newark, DE 19713, USA, y operación en Miami, FL, es el responsable del tratamiento de los datos personales recopilados a través del servicio Aiva Sanity.

Contacto para asuntos de privacidad: [email protected] — WhatsApp +1 507-410-4139.

2. Datos personales que tratamos

2.1 Datos del operario / supervisor

• Identificación: nombre completo, documento de identidad, cargo, sucursal asignada.
• Contacto: correo electrónico, teléfono.
• Operativos: registros de checklists completados, firmas digitales en formularios de control sanitario, fotos de procesos y productos.
• Capacitación: estado de certificaciones en BPM, HACCP y normas INVIMA.
• Datos técnicos: dirección IP, dispositivo, navegador, marca de tiempo de cada registro.

2.2 Datos del administrador del establecimiento

• Identificación: nombre, rol, razón social del establecimiento.
• Contacto profesional: correo corporativo.
• Datos de uso: acciones dentro de la plataforma, reportes generados, alertas gestionadas.

3. Finalidades

• Gestionar el cumplimiento de la Resolución 2674/2013 (BPM para alimentos), Resolución 0312/2019 (SG-SST) y normativa INVIMA.
• Registrar y auditar checklists operativos, controles de temperatura, saneamiento e higiene personal.
• Emitir reportes de cumplimiento sanitario para inspecciones y auditorías internas.
• Asistir con IA en el análisis de desviaciones y generación de planes de acción correctivos.
• Cumplir obligaciones legales y contractuales con el establecimiento.
• Mejorar el servicio en base a métricas agregadas y anónimas.

4. La IA asiste, nunca decide

Aiva Sanity puede generar análisis de desviaciones y recomendaciones usando modelos de Claude (Anthropic). Estos análisis son herramientas de apoyo al supervisor o auditor — la decisión sobre planes de acción correctivos es siempre humana. Si considerás que un análisis automatizado contiene un error, podés reportarlo a [email protected].

5. Base legal del tratamiento

• Obligación legal: llevar los registros exigidos por la Resolución 2674/2013, Resolución 0312/2019 e INVIMA.
• Ejecución de un contrato con el establecimiento para la prestación del servicio.
• Consentimiento del operario al registrarse y aceptar esta política.
• Interés legítimo en la seguridad alimentaria y la mejora del servicio.

6. Compartición y transferencia internacional

Los datos se comparten con el establecimiento (tenant) que los generó. No vendemos ni cedemos datos a terceros con fines comerciales. Encargados del tratamiento:

• Supabase (hosting + base de datos), con servidores en US/EU.
• Anthropic (Claude API) para análisis de IA — los prompts se envían cifrados y no se usan para entrenamiento.
• Resend para envío de correos transaccionales.
• EasyPanel / VPS propio (proveedor de infraestructura).

Algunos proveedores operan fuera de Colombia. Aplicamos cláusulas contractuales estándar para garantizar un nivel adecuado de protección conforme al GDPR y la Ley 1581/2012.

7. Tus derechos

Como titular de tus datos, podés ejercer en cualquier momento:

• Acceso, rectificación, actualización, cancelación (ARCO) — Ley 1581/2012.
• Portabilidad, oposición, supresión, limitación — GDPR.
• Opt-out del "venta" o "compartición" de datos personales — CCPA/CPRA.
• Revocar el consentimiento previamente otorgado.

Escribinos a [email protected] indicando: nombre completo, documento, derecho a ejercer y descripción clara de la solicitud. Respondemos en máximo 15 días hábiles (Ley 1581) o 30 días (GDPR/CCPA).

Nota importante: ciertos registros sanitarios pueden estar sujetos a obligaciones de retención legal — en esos casos la supresión podría no ser posible hasta vencido el plazo obligatorio.

8. Retención

• Registros de checklists y firmas: mínimo 2 años (obligación Resolución 2674/2013), luego anonimización.
• Datos del operario: mientras dure la relación laboral + 5 años por obligación laboral/fiscal.
• Logs técnicos: 90 días.
• Datos requeridos por normativa sanitaria o fiscal: el plazo que exija la norma aplicable.

9. Seguridad

Implementamos cifrado TLS en tránsito, cifrado AES-256-GCM para tokens sensibles, RLS (Row-Level Security) en base de datos con aislamiento por membership_id, rate-limiting en endpoints públicos, y operación offline cifrada en dispositivo (IndexedDB).

10. Cookies

Para detalles sobre cookies y tecnologías similares, consultá nuestra Política de Cookies.

11. Modificaciones

Esta política puede modificarse. Los cambios sustanciales se comunicarán por correo con al menos 10 días de antelación y mediante aviso visible en la plataforma.

12. Autoridad de control y reclamos

Podés presentar un reclamo ante la autoridad competente de tu país. En Colombia, la Superintendencia de Industria y Comercio (SIC). En la Unión Europea, la autoridad nacional de protección de datos de tu país de residencia.