Aviso de privacidad

Última actualización: 5 de noviembre de 2026 · Last updated: November 5, 2026

Aviso de privacidad

En pocas palabras

Vyron ofrece Vyron for Business: un CRM, módulos para equipos de trabajo y Chasqui, una bandeja de WhatsApp con asistente de inteligencia artificial para que las empresas atiendan a sus clientes.
Si escribes al WhatsApp de una empresa que usa Chasqui, esa empresa es la responsable de tus datos y Vyron los trata por cuenta de esa empresa. Si usas el sitio de Vyron o una cuenta de la plataforma, el responsable es Vyron.
Los mensajes viajan por la plataforma de WhatsApp de Meta y se guardan en servidores de Railway en Estados Unidos. Las funciones de inteligencia artificial envían a Anthropic (Claude) el contenido necesario para su función, por ejemplo el texto de algunas conversaciones para sugerir respuestas. En Chasqui no se envían fotos, PDF ni audios a la inteligencia artificial; otros módulos, como Recursos Humanos, sí pueden enviar el contenido de los documentos o imágenes que la empresa suba.
Para ejercer tus derechos o pedir que eliminemos tus datos escribe a privacidad@vyron.software o sigue los pasos de la página de eliminación de datos.

Responsable, encargado y contacto

En este aviso Vyron actúa de dos maneras distintas.

Como responsable, respecto de los datos de su propio sitio y de sus cuentas: el formulario de contacto, el cuestionario, las solicitudes de reunión y las cuentas de los usuarios de las empresas clientes. El responsable es Leonardo Escalante Rubio, persona física que opera la marca Vyron, con domicilio en Av. Central 206, col. San Pedro de los Pinos, alcaldía Álvaro Obregón, C.P. 01180, Ciudad de México.
Como encargado, respecto de los contactos, conversaciones, mensajes, archivos y expedientes que una empresa cliente carga o conecta a la plataforma, por ejemplo las personas que escriben al WhatsApp de esa empresa, sus clientes o sus empleados. La empresa cliente es la responsable: decide para qué se usan los datos y debe contar con su propio aviso de privacidad y con la base legal o el consentimiento que correspondan. Vyron los trata por cuenta de ella y siguiendo sus instrucciones, solo para prestarle el servicio, y no los vende ni los usa para fines propios, como publicidad o entrenar modelos de inteligencia artificial.

Si no sabes a qué empresa corresponde tu conversación, escríbenos de todos modos y la identificamos. Para cualquier asunto de privacidad escribe a privacidad@vyron.software. También puedes usar el formulario de contacto: selecciona «Vyron for Business» y escribe «Privacidad» al inicio del mensaje. Indica tu nombre, correo de respuesta y empresa relacionada; no envíes contraseñas, tokens ni documentos de identidad en el primer mensaje.

Datos que tratamos y para qué

Datos de los que Vyron es responsable

Formulario de contacto, cuestionario y solicitud de reunión del sitio: nombre, correo, teléfono si lo das, empresa o proyecto, interés, respuestas sobre tu negocio y mensaje. Si usas la entrevista asistida por inteligencia artificial, también la conversación. Sirven para responderte, recomendarte soluciones y darte seguimiento comercial.
Cuentas de usuarios de empresas cliente: identificación, correo, rol, permisos y registros de actividad, para autenticar usuarios, administrar accesos, dar soporte y proteger la plataforma.
Prospección comercial: datos de contacto profesionales de empresas que Vyron puede contactar para ofrecerles sus servicios (nombre de la empresa, sitio web y correo o teléfono de contacto publicados por ella). Cada correo incluye un enlace para darse de baja, y también puedes pedir que dejemos de escribirte en privacidad@vyron.software.

Datos que una empresa cliente carga o conecta (Vyron como encargado)

Contactos, conversaciones, mensajes y archivos, así como oportunidades, cotizaciones e información comercial, para organizar la operación y las comunicaciones de esa empresa. Lo que se guarda de las conversaciones de WhatsApp se detalla en la siguiente sección.
Seguimiento de postventa de una cotización ganada: en cada etapa (comprobante de pago, recibo, guía de envío y confirmación de recibido) el equipo de la empresa adjunta un archivo (PDF, JPG, PNG o HEIC, de hasta 10 MB) y puede anotar una nota y, en la etapa de la guía de envío, el número de guía y la paquetería. Esos archivos y notas pueden contener datos de quien compró, como su nombre, los datos de su pago, su teléfono o su domicilio de entrega. Se guardan en el almacenamiento de la plataforma, sin borrado automático, para llevar el registro del pago y del envío de esa venta, y se eliminan al atender una solicitud de eliminación, salvo lo que la empresa deba conservar por una obligación legal (ver la página de eliminación de datos).
Solicitudes de cotización o de contacto que una persona envía desde el sitio público de esa empresa (nombre, empresa, correo, teléfono, ciudad, productos y mensaje) y el origen de su visita (parámetros UTM de las campañas, identificadores de clic de Google o de Meta, dominio de procedencia y fecha de la primera visita), para crear o actualizar su ficha en el CRM, darle seguimiento y saber qué campañas traen clientes.
Visitas a clientes: cuando una persona del equipo comercial registra su llegada o su salida, la ubicación geográfica de su dispositivo (latitud, longitud y precisión, que el navegador comparte solo con su permiso), su nombre, la hora y la etiqueta o la nota que escriba. La primera llegada fija el punto de referencia de la ficha del cliente, contra el que se validan las visitas siguientes. Sirve para llevar el registro de las visitas de esa empresa.
Tarjeta digital con código QR de una persona del equipo comercial: una página pública que muestra su nombre, su puesto, su foto, su teléfono y su correo (los que haya registrado) y un formulario donde quien la visita deja su nombre, su empresa, su correo, el producto que le interesa y el volumen aproximado, con una casilla de privacidad. Con ese formulario se crea su ficha en el CRM de esa empresa y se avisa a esa persona del equipo. También se cuenta cada apertura de la tarjeta, sin datos de quien la abre, y cada envío del formulario.
Correos de atención a clientes que una empresa reenvía a la plataforma (remitente, asunto, cuerpo y los datos de contacto que la persona escribió), para crear o actualizar su ficha de contacto en el CRM de esa empresa.
Datos de recursos humanos que la empresa registra: información de empleados, contacto, identificadores fiscales y laborales, remuneración, asistencia (con la ubicación geográfica del dispositivo al marcar la entrada y la salida, si la persona decide compartirla; se compara con el radio del lugar de trabajo), vacaciones, evaluaciones y documentos. Si la empresa envía un documento a firma electrónica, se guardan una copia exacta del documento y la constancia de la respuesta: el nombre que escribe quien responde, el motivo si lo rechaza, la fecha y la hora, su dirección IP y el navegador que usa. Los expedientes pueden incluir datos sensibles si la empresa los incorpora; esta debe contar con la base legal y los consentimientos necesarios.
Aplicación móvil de Recursos Humanos: cuando una persona de la empresa inicia sesión en ella desde su teléfono, se guardan el identificador de ese dispositivo y el código de avisos del teléfono (token de Expo) para poder enviarle avisos. El código de avisos (token de Expo) se borra al cerrar la sesión y se vacía al dar de baja la cuenta; el identificador del dispositivo queda en el registro de sesiones. Cuando corre el notificador de avisos de la app de Chasqui (requiere que estén configurados los avisos de la app), elimina por lotes las sesiones revocadas o vencidas hace más de 60 días y sus dispositivos; sin ese proceso, se conservan hasta su eliminación manual (puedes pedirla en privacidad@vyron.software). La app de Recursos Humanos solo guarda ese código: no envía avisos con él.
Aplicación móvil de Chasqui: usa el mismo registro de sesiones y dispositivos. Si la empresa configura los avisos y la persona los activa, se envían a Expo el token del teléfono, el título y cuerpo del aviso, el identificador interno de la conversación y el contador de pendientes. Expo los entrega mediante los servicios de Apple (APNs) o Google (FCM); esos proveedores pueden leer el contenido del aviso. Actualmente los avisos de la app no incluyen el nombre del cliente ni el texto de sus mensajes. Al cerrar la sesión se elimina el token de avisos; para comprobar la entrega, se guardan temporalmente el identificador del recibo, la sesión y una huella del token, sin el texto del mensaje. El notificador de avisos de la app elimina los recibos de más de 24 horas cuando corre.
Registros de auditoría de la plataforma: quién del equipo hizo qué y cuándo (por ejemplo cambios de permisos, reasignaciones de contactos, avisos del sistema y contactos que llegan por formularios). No guardan el texto de las conversaciones, pero algunos citan el nombre, el correo o el teléfono de una persona, o una nota que el equipo escribió sobre ella, como el aviso de que llegó un contacto nuevo por un formulario, de que se detectó un contacto duplicado, de que se guardó una cotización sin ficha o la nota de un seguimiento programado. Sirven para dar soporte y proteger la plataforma, y al atender una solicitud de eliminación se les quitan esos datos (ver la página de eliminación de datos).

Los datos obtenidos de las API de Google y de Meta se usan exclusivamente como se explica en las secciones correspondientes.

WhatsApp y Chasqui

Chasqui trabaja de dos maneras, según la empresa: en la bandeja propia de Chasqui, donde la empresa conecta su número de WhatsApp Business directamente a Vyron, y en la bandeja del CRM, donde las conversaciones se reciben en el CRM de la empresa, hoy sincronizadas desde Respond.io y, cuando la empresa lo conecta, directamente desde Meta. Lo que sigue aplica a ambas salvo que se indique lo contrario.

Cuando una empresa conecta su número de WhatsApp Business a Vyron for Business, la plataforma recibe y guarda, por cuenta de esa empresa:

el número de teléfono de WhatsApp y el nombre del perfil de quien escribe;
los mensajes que se reciben y se envían (texto, respuestas a botones y reacciones), con su fecha, hora y tipo;
los archivos que se intercambian (imágenes, PDF, audios y notas de voz) y, en el caso de las notas de voz, su transcripción automática;
el estado de entrega de lo que la empresa envía (enviado, entregado, leído o fallido) y el código de error si falla;
cuando la persona llegó desde un anuncio de Meta, los datos del anuncio que Meta incluye en el mensaje (enlace, tipo, identificador, titular y el identificador del clic que Meta asigna);
lo que el equipo de la empresa captura sobre esa persona (nombre, empresa, ciudad, etapa, notas y cotizaciones) y quién del equipo atendió cada conversación;
en la bandeja propia de Chasqui, si la empresa lo configura, la aceptación o la revocación del aviso de privacidad de la empresa (fecha, versión y mensaje que la contiene);
en la bandeja propia de Chasqui, si la empresa enciende el formulario de su sitio público (apagado de fábrica), lo que la persona escribe en él: nombre, teléfono, correo si lo deja, sede y mensaje, además de la página y la campaña por la que llegó, la versión del consentimiento que aceptó y, si agenda, la fecha y sede de su cita y si llegó. Eso no se envía a la inteligencia artificial, y el correo con el que Chasqui avisa a la empresa no lleva esos datos;
un registro de actividad del equipo en Chasqui: quién abrió una conversación, envió un mensaje o abrió un archivo, cuándo y desde qué dirección IP. Ese registro no incluye el texto de los mensajes.

Estos datos se usan, por cuenta de la empresa, para recibir, mostrar, asignar y responder sus conversaciones; sugerir respuestas y siguientes pasos; resumir conversaciones; medir los tiempos de respuesta y la calidad de atención de su equipo; dar seguimiento a cotizaciones; y proteger la plataforma y dar soporte técnico.

Cómo funciona el canal:

Los mensajes entran por la plataforma WhatsApp Business de Meta. Cada aviso que Meta envía a Vyron se verifica con una firma antes de guardarse.
Las notas de voz se transcriben en servidores de Vyron con un modelo que corre ahí mismo: el audio no se envía a terceros. El audio original de una nota de voz que se transcribe se conserva en la base de datos alojada, sin el cifrado adicional de la aplicación que sí tienen las fotos y los PDF, para que el equipo pueda escucharlo; se borra junto con la conversación.
Las fotos y los PDF que se guardan en el módulo de medios se cifran antes de almacenarse. El equipo los abre solo cuando lo pide y cada apertura queda registrada.
Cada empresa ve únicamente sus propias conversaciones, y el equipo accede con sesión y permisos.
En la bandeja propia, Chasqui puede enviar de forma automática el aviso de privacidad de la empresa en el primer mensaje, un mensaje fuera de horario y, solo en los temas que la empresa configure expresamente, respuestas automáticas. En lo demás, y siempre en la bandeja del CRM, una persona revisa y envía cada respuesta.
Si la empresa activa los avisos en el teléfono de su equipo, el aviso nunca incluye el texto del mensaje; según la empresa, puede incluir el nombre del contacto. Lo entregan los servicios de notificaciones del navegador o del teléfono (por ejemplo, de Apple, Google o Mozilla).

Inteligencia artificial

Vyron for Business usa los modelos Claude de Anthropic en las funciones de inteligencia artificial que cada empresa habilita. Cuando se usa una de esas funciones, se envía a Anthropic el contenido que necesita para funcionar, y ese contenido puede incluir datos personales que aparezcan en él. Las funciones sirven para sugerir respuestas, resumir conversaciones, proponer siguientes pasos, evaluar la calidad de atención del equipo, contestar consultas sobre la información del CRM, ayudar a importar y organizar información, y aprender de las correcciones del equipo con aprobación de una persona. Qué se envía, y con qué limpieza, depende de la función.

Chasqui (WhatsApp)

Respuestas sugeridas en la bandeja propia de Chasqui: los últimos 12 mensajes de la conversación, con los correos, teléfonos, CURP, RFC y números largos reemplazados por marcas; los datos que ya se conocen de la persona (por ejemplo su nombre, ciudad, sede, modalidad, motivo de la consulta o médico), donde se reemplazan correos, teléfonos y números largos pero no el nombre; y, como ejemplos de estilo, respuestas que personas del equipo escribieron o aprobaron antes en otras conversaciones de la misma empresa, con el nombre de la persona atendida y los datos anteriores reemplazados.
Siguientes acciones y evaluación del equipo en la bandeja propia de Chasqui: hasta 16 mensajes recientes con esa misma limpieza y sin el nombre ni el teléfono de la persona. Estas dos funciones pueden procesarse por lotes.
Propuestas de respuesta en la bandeja del CRM: hasta 24 mensajes recientes con esa misma limpieza, junto con el nombre del contacto, su empresa, su estado, su etapa en el CRM y los folios de cotizaciones recientes sin montos.
Aprendizaje a partir de correcciones: fragmentos de hasta 500 caracteres, con la limpieza descrita, del mensaje del cliente, de la propuesta de la inteligencia artificial, del texto que finalmente envió la persona, de lo que ella indicó como correcto y de su nota. Nada se vuelve regla sin aprobación de una persona.

Otras funciones de Vyron for Business

Resúmenes, auditoría del bot de atención y análisis de comunicación del equipo en el CRM: el texto de los mensajes tal como se escribió, junto con el nombre del contacto, su empresa y su ciudad. Si en una conversación alguien escribió un teléfono o un correo, ese dato viaja en el texto. Para sintetizar la evaluación de una persona del equipo se envían además su nombre y los comentarios de fortalezas y áreas de mejora detectados.
Triaje de respuestas de clientes en el CRM: para decidir si una respuesta necesita atención, un proceso automático envía a Anthropic los mensajes recientes de la conversación (quién los escribió, fecha, tipo y texto tal como se escribió), sin el nombre del contacto, su empresa, el asesor ni identificadores. Estos textos no pasan por la limpieza de Chasqui: si el cliente escribió un teléfono o un correo, ese dato viaja.
Asistente de consulta del CRM: cuando una persona del equipo le pregunta algo, el asistente consulta la información de su empresa y lo que encuentra viaja a Anthropic junto con la pregunta y la conversación con el asistente: de los contactos, nombre, empresa, teléfono, correo, ciudad, asesor y tipo; de las cotizaciones y las tareas, su contenido; de los empleados, nombre, puesto, equipo, jefe, correo, teléfono y descripción del puesto; el ranking y las métricas de desempeño de las asesoras (ventas, cierres y calificaciones de la calidad de su atención); de las credenciales guardadas en la bóveda, solo la etiqueta, la cuenta y la dirección, nunca la contraseña; los encargos asignados a esa persona y lo que responde sobre ellos; y las fichas de Conocimiento a las que esa persona tiene acceso. Estos datos no pasan por la limpieza de Chasqui.
Recursos Humanos: al importar un organigrama, crear el perfil de un puesto a partir de un documento o redactar protocolos, acuerdos y valores con ayuda de la inteligencia artificial, se envía a Anthropic lo que la persona escribe y el contenido del documento que sube: el texto extraído de PDF, Word, Excel y PowerPoint y, si es una imagen, la propia imagen. Ese contenido puede incluir nombres, puestos y otros datos de empleados.
Órdenes de compra en el cotizador: cuando una persona del equipo sube la orden de compra que le mandó un cliente para registrarla como venta, se envía a Anthropic la propia orden (el PDF o la imagen) o, si es un Excel o un XML, su texto, para transcribir sus datos: razón social, RFC, teléfono, correo y domicilio del cliente, número y fecha de la orden, productos, cantidades, precios y condiciones. Ese contenido puede incluir el nombre y los datos de contacto de la persona que firma o solicita la orden. El archivo y la lectura se guardan como borrador antes de mostrar la revisión. La persona del equipo revisa y corrige los datos; solo al confirmar se registra la venta y se adjunta la orden a la cotización. Descartar impide crear la venta. Los archivos de órdenes descartadas o cuya lectura falló se eliminan al cumplir 30 días desde el descarte o el fallo; los registros técnicos de intentos de validación se eliminan al cumplir 7 días. Los borradores sin confirmar se descartan automáticamente y su archivo se elimina a los 30 días desde su último cambio guardado, aunque la lectura haya sido correcta. Abrir la revisión no renueva ese plazo. La limpieza se ejecuta automáticamente cada cinco minutos, por lotes, mientras el servicio está activo; si hay una interrupción o un error, se reintenta al recuperarse. La lectura y el registro de auditoría permanecen sujetos al procedimiento de eliminación; las órdenes que sí respaldan una venta se conservan con ella y no entran en esta purga automática.
Conocimiento y catálogos: el texto que una persona escribe o pega para convertirlo en fichas de Conocimiento, junto con fichas relacionadas, y el contenido de las hojas de cálculo que la empresa sube para importar su catálogo.
Prospección, correos de campaña y entrevista de Vyron (Vyron como responsable): para analizar el sitio público de una empresa a la que Vyron podría ofrecer sus servicios y redactarle un correo, se envían a Anthropic su nombre, el de su persona de contacto si se conoce, lo observado en su sitio y un extracto de su código; para redactar correos de campaña, la descripción de la campaña y del segmento; y en la entrevista asistida de vyron.software, tus respuestas y la conversación.

Archivos, controles y límites

En Chasqui no se envían fotos, PDF ni audios a la inteligencia artificial: solo texto. De las notas de voz, solo el texto de su transcripción sigue el mismo camino que un mensaje escrito.
En cambio, en Recursos Humanos la empresa puede subir documentos e imágenes (por ejemplo, la foto de un organigrama), y en el cotizador la orden de compra de un cliente (PDF, imagen, Excel o XML), y su contenido sí se envía a Anthropic, como se describió arriba.
En la bandeja propia de Chasqui, si la empresa configuró su aviso de privacidad y la persona todavía no lo acepta, o lo revocó, Chasqui no envía su conversación a la inteligencia artificial. Lo que la persona escribió antes de aceptar tampoco se envía, salvo que el aviso de la empresa lo prevea.
En la bandeja propia de Chasqui, la detección por palabras clave de mensajes sobre pagos, salud, quejas y solicitudes de derechos los pasa a una persona sin pedir respuesta a la inteligencia artificial. Esa detección puede fallar: un mensaje con datos de salud que no use esas palabras, o un mensaje anterior de la conversación reciente, puede enviarse a Anthropic como parte del texto.
Una persona revisa las respuestas sugeridas antes de enviarlas, salvo en los temas que la empresa configure para responder de forma automática, que solo existen en la bandeja propia.

Qué conserva Anthropic

Anthropic puede conservar el contenido que recibe y sus respuestas durante el periodo que fijan sus condiciones comerciales y su política de privacidad, enlazadas más abajo; en el procesamiento por lotes, que usan algunas funciones, puede ser de varias semanas. Una revocación de consentimiento o una solicitud de eliminación posterior no retira lo que Anthropic ya recibió. El uso que Anthropic hace de ese contenido se rige por esas condiciones y esa política.

Proveedores y comunicaciones de datos

Para operar el servicio recurrimos, según las funciones que cada empresa habilita, a estos proveedores. Cada uno recibe solo la información necesaria para su función y no todos reciben todos los datos.

Meta Platforms (WhatsApp Business Platform): Canal por el que viajan los mensajes de WhatsApp: entrega y recibe mensajes, archivos y estados de entrega. Meta trata esos datos conforme a sus propias condiciones. Política de privacidad de WhatsApp y de Meta.
Respond.io: Plataforma de mensajería que algunas empresas clientes usan para operar su número de WhatsApp. Vyron le envía los mensajes que la empresa escribe desde Vyron y los datos de contacto necesarios (nombre, teléfono, correo, empresa y estado), y lee de ella contactos y mensajes para mantener una copia en el CRM de la empresa. Si la empresa activa funciones de inteligencia artificial propias de Respond.io, ese tratamiento lo hace Respond.io por cuenta de la empresa y no forma parte de Vyron. Política de privacidad.
Railway: Alojamiento de la aplicación y de su base de datos PostgreSQL, en la región Este de Estados Unidos. Ahí se guardan los datos descritos en este aviso. Política de privacidad.
Anthropic (Claude): Inteligencia artificial, con el contenido descrito en la sección anterior y su conservación, que allí se explica. Política de privacidad y condiciones comerciales.
Resend y Amazon SES: Envío de correo de la plataforma: códigos de acceso, invitaciones, avisos y los correos que una empresa envía desde Vyron. Resend también recibe los correos de atención a clientes que una empresa reenvía a la plataforma para convertirlos en fichas del CRM. Política de privacidad.
Cloudflare: Servicio de nombres de dominio, tareas programadas, alojamiento de Alexandria (abajo) y almacenamiento de copias de seguridad cifradas. La página de inicio de Vyron descarga una biblioteca de gráficos desde la red de Cloudflare, por lo que Cloudflare recibe la dirección IP de quien la visita. Si una empresa enciende en el formulario de su sitio público la verificación contra robots Cloudflare Turnstile (apagada de fábrica), Cloudflare recibe datos técnicos del navegador de quien lo envía para comprobar que no es un robot. Desde noviembre de 2026, las solicitudes que las funciones de inteligencia artificial envían a Anthropic pasan por AI Gateway de Cloudflare, que mide su costo: Cloudflare ve ese contenido en tránsito, pero solo registra datos técnicos (modelo, tokens, costo, duración, la empresa y la función) y no guarda el contenido. No pasan por él las de la bandeja propia de Chasqui, las que se procesan por lotes ni las de empresas que tratan datos de salud. Política de privacidad.
Alexandria (biblioteca interna de Vyron): Almacén interno de Vyron, que corre sobre Cloudflare con su propia base de datos y usa los modelos de Anthropic para clasificar lo que recibe. Solo recibe datos de la cuenta de una empresa cliente; las cuentas de las demás empresas no le envían nada. Recibe el título, el autor y el texto de las respuestas que el equipo de esa empresa escribe en sus tareas, y el resumen de la auditoría diaria del bot de atención: el nombre del contacto y una cita breve (hasta 180 caracteres) de los hallazgos más graves de cada ejecución, hasta 10. Lo que Alexandria recibe puede convertirse en una tarea interna para los agentes de programación que Vyron usa en su propio trabajo (Claude de Anthropic y, según la tarea, Codex de OpenAI o Grok de xAI), que se ejecutan en equipos de Vyron; esa tarea puede incluir el texto recibido. Se conserva hasta que se elimina manualmente; ver la página de eliminación de datos.
Google Workspace: Correo del equipo de Vyron, que recibe lo que nos escribas a privacidad@vyron.software. Cuando esa conexión está configurada, la plataforma también puede enviar por el servidor SMTP de Google los códigos de acceso, las invitaciones y los correos que una empresa envía desde Vyron, con Resend como respaldo.
Google Fonts: Tipografías. Las páginas del cuestionario, de las invitaciones, de los enlaces de baja de correos y de la tarjeta digital de una persona descargan sus tipografías de Google Fonts, por lo que Google recibe la dirección IP y los datos técnicos del navegador de quien las abre. Las páginas legales y la página de inicio de Vyron no las cargan.
Google Sheets: Hoja de cálculo en la que una empresa cliente recibe una copia de las solicitudes de cotización que se hacen en su sitio público (fecha, nombre, empresa, correo, teléfono, ciudad, producto, cantidad y uso). Esta función existe solo para la cuenta de una empresa cliente; las cuentas de las demás no envían nada a Google Sheets.
OpenAI y xAI: Generación de textos e imágenes de marketing a partir de descripciones. Las funciones de la plataforma no les envían conversaciones de WhatsApp. Sus agentes de programación (Codex y Grok) pueden recibir las tareas internas de Alexandria descritas arriba.
Otros servicios que una empresa conecte: Por ejemplo Google Ads, Meta (Facebook, Instagram y anuncios) o Mercado Libre. Solo se conectan cuando la empresa cliente lo decide.

Estos proveedores pueden procesar datos fuera de México, principalmente en Estados Unidos. La información necesaria para la función solicitada se comunica por cuenta de Vyron o de la empresa cliente, en calidad de encargados; esas comunicaciones no son ventas de datos. Las transferencias a terceros distintos de quienes actúan como encargados se sujetan a la legislación aplicable y al consentimiento cuando sea exigible. También podremos atender requerimientos legalmente obligatorios de autoridades.

Datos de Meta

Además de WhatsApp, una empresa cliente puede conectar a Vyron su página de Facebook, su cuenta profesional de Instagram o su cuenta de anuncios de Meta, mediante un token de acceso de un usuario del sistema de su portafolio comercial de Meta. Con esa conexión Vyron puede:

publicar en la página o en la cuenta de la empresa el contenido que esa empresa autoriza, y leer las métricas básicas de sus publicaciones;
leer los resultados de sus anuncios. La lectura es de solo consulta: Vyron no crea ni modifica campañas, conjuntos de anuncios ni anuncios;
si la empresa lo decide, crear audiencias personalizadas enviando a Meta correos y teléfonos de sus contactos convertidos antes en un código hash SHA-256 (nunca en claro), solo de contactos con una base legal registrada y sin bajas.

El token se guarda cifrado y asociado a la empresa. La empresa puede revocar el acceso en cualquier momento desde su portafolio comercial de Meta. Los datos que Vyron obtiene de Meta se usan solo para mostrarlos a esa empresa y para las funciones descritas, no se venden y no se usan para publicidad propia de Vyron.

Datos de Google

Cuando una persona autorizada conecta la cuenta de Google Ads de su empresa, solicita el permiso https://www.googleapis.com/auth/adwords. Aunque ese alcance permite gestionar anuncios, la integración actual solo consulta información; no crea ni modifica campañas.

Guardamos el identificador de la cuenta conectada, moneda y zona horaria, y una instantánea de las campañas activas: identificador, nombre, estado, costo, clics, impresiones y conversiones de los últimos 30 días completos. Conservamos también el periodo del informe, la fecha de sincronización y, cuando procede, un mensaje de error operativo. Las sincronizaciones correctas reemplazan la instantánea anterior.

Usamos estos datos para mostrar resultados de marketing en el panel de la empresa y compararlos con sus leads y ventas del CRM mediante la atribución de campañas. No vendemos los datos de Google, no los usamos para publicidad ni para entrenar modelos de IA, y no enviamos los datos obtenidos de Google Ads a las funciones de generación de contenido con IA.

El token de renovación, que permite obtener nuevos tokens de acceso, se guarda cifrado y asociado a la empresa. Los tokens de acceso temporales se usan en memoria y no se guardan en la base de datos. La información de campañas se almacena en la base de datos; el cifrado del token no implica que cada campo de esa información esté cifrado individualmente.

Para revocar el acceso, abre Marketing → Anuncios para Google y, junto al formulario de conexión, sigue «Revocar acceso en Google» (disponible para usuarios con permiso para conectar). También puedes ir directamente a los permisos de tu cuenta de Google, seleccionar Vyron y retirar su acceso. Esto impide nuevas consultas autorizadas, pero no elimina automáticamente la instantánea ni la credencial previamente almacenadas en Vyron. Solicita su eliminación mediante nuestro formulario de contacto; revocar no elimina las campañas de tu cuenta de Google Ads.

El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google se ajustará a la Política de Datos del Usuario de los Servicios de las API de Google, incluidos los requisitos de Uso Limitado.

Datos sensibles y de salud

Algunas empresas clientes, como las clínicas, pueden recibir por WhatsApp datos personales sensibles, por ejemplo datos de salud. Esos datos son de la empresa cliente: ella es la responsable, debe contar con su propio aviso de privacidad y con el consentimiento expreso que exige la ley, y es a ella a quien debes dirigirte para ejercer tus derechos. Vyron no los usa para fines propios; los trata solo para prestar el servicio a esa empresa y siguiendo sus instrucciones.

En la bandeja propia de Chasqui, que usan por ejemplo las clínicas, hay controles para esos casos, con los límites que se indican:

si la empresa configura su aviso de privacidad, Chasqui lo envía en el primer mensaje con un botón «Acepto», y hasta que la persona acepta no envía su conversación a la inteligencia artificial;
si la persona revoca su consentimiento, la inteligencia artificial deja de usarse en esa conversación y esta pasa a una persona;
las fotos, los PDF y los audios no se envían a la inteligencia artificial, y Chasqui detecta por palabras clave los mensajes de salud, pagos y quejas y los pasa a una persona sin pedir respuesta a la inteligencia artificial; esa detección puede fallar, por lo que la conversación reciente, incluido texto de salud que no se detecte, puede enviarse a Anthropic;
los avisos en el teléfono del equipo de esas empresas no incluyen el nombre del contacto ni el texto del mensaje.

Estos controles ayudan a la empresa a cumplir sus obligaciones; no sustituyen su aviso de privacidad ni su responsabilidad legal.

Conservación y eliminación

No hay un plazo único. Los datos que una empresa cliente carga o conecta se conservan mientras la empresa mantenga el servicio con Vyron y hasta que se solicite su eliminación. Al terminar el servicio, la empresa puede pedir su exportación y su eliminación. La plataforma cuenta con una función de borrado programado por antigüedad para las conversaciones de la bandeja de Chasqui; el plazo se acuerda con cada empresa. Mientras esa función no esté activada, el borrado no es automático.

Los registros técnicos que sirven para comprobar la conexión con Meta (identificador del mensaje, tipo, estado, hora y número de WhatsApp, sin el contenido) se borran automáticamente a los 45 días.

Puedes pedir la eliminación de tus datos o información sobre su conservación. Los pasos están en la página de eliminación de datos. La revocación de una integración o el cierre de sesión no equivalen a borrar los datos almacenados. Podrán conservarse datos cuando sea necesario cumplir obligaciones legales o atender responsabilidades, y las copias de seguridad conservan los datos eliminados hasta que se renuevan o se eliminan. Lo que ya se envió a Anthropic y a otros proveedores se rige por sus propios periodos de conservación.

Derechos ARCO y revocación

Conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), puedes solicitar acceso, rectificación, cancelación u oposición al tratamiento de tus datos, revocar tu consentimiento o limitar su uso o divulgación, con las excepciones legales aplicables.

Envía tu solicitud a privacidad@vyron.software o por el formulario indicado, describe los datos y el derecho que quieres ejercer y proporciona un correo para recibir respuesta. Si escribiste por WhatsApp a una empresa, indica el nombre de la empresa o el número al que escribiste y el número desde el que lo hiciste. Te indicaremos cómo acreditar tu identidad o representación y, si solicitas rectificación, cómo aportar la información correcta. Se atenderá la solicitud dentro de los plazos legales aplicables.

Si los datos pertenecen a una empresa cliente, esa empresa es la responsable: dirígete también a ella. Vyron le trasladará tu solicitud y colaborará para atenderla. En la bandeja propia de Chasqui, si escribes por WhatsApp que ya no quieres que usen tus datos o que quieres ejercer un derecho, Chasqui intenta detectarlo por palabras clave y, si lo detecta, deja de usar la inteligencia artificial en esa conversación y la pasa a una persona de la empresa para que atienda tu solicitud. Como esa detección puede fallar, el correo sigue siendo la vía principal.

Si consideras que tu derecho no fue atendido, puedes acudir a la autoridad de protección de datos personales competente.

Cookies y seguridad

El sitio y la plataforma de Vyron usan estas cookies de funcionamiento:

Cookie de sesión. Mantiene la autenticación y protege los flujos de acceso. En vyron.software solo se crea cuando inicias sesión. En el subdominio o dominio de una empresa cliente, incluido su sitio público, se crea desde la primera visita, aunque no inicies sesión, una cookie de sesión técnica que solo identifica a la empresa dueña del sitio, no a ti. En ambos casos no se puede leer desde scripts y se envía solo por conexiones cifradas.
Cookie de los avisos en el teléfono. Si el equipo de una empresa activa los avisos en el teléfono en Chasqui, el navegador guarda además una cookie de funcionamiento que recuerda qué sesión los activó; tampoco sirve para seguimiento.
Cookie de la conexión con Mercado Libre. Solo cuando una persona con sesión conecta la cuenta de Mercado Libre de su empresa: una cookie técnica de 10 minutos que comprueba que quien vuelve del permiso es quien lo inició; no sirve para seguimiento.
Tema. La preferencia de tema (claro u oscuro) se conserva en el almacenamiento local del navegador, no en una cookie.

Puedes eliminar o bloquear las cookies desde tu navegador, aunque ello puede impedir iniciar sesión o recibir los avisos. En la página de inicio y en los documentos de vyron.software no usamos cookies de publicidad ni de analítica. Los sitios públicos que algunas empresas clientes publican con Vyron, en su propio subdominio o dominio, pueden usar sus propias herramientas de medición y publicidad, como el píxel de Meta o Google Analytics; la empresa titular de cada sitio es responsable de su aviso de privacidad.

Medición de visitas de Vyron. Los sitios públicos que Vyron publica para sus empresas clientes, y los sitios que ellas registran en la plataforma, incluyen un contador de visitas propio de Vyron, activo de fábrica. No usa cookies ni guarda nada en tu navegador, y no guarda tu dirección IP ni tu agente de navegador. Registra la ruta de la página sin parámetros de consulta, el dominio del sitio desde el que llegaste, si usas móvil o escritorio, el tiempo que la página estuvo visible y un identificador de visitante que se calcula a partir de datos técnicos de tu conexión con una clave que cambia cada día, por lo que no permite reconocerte de un día a otro; si se activa esa opción, también el país. Esos registros se conservan 90 días; después solo quedan conteos agregados, sin identificadores. No cuenta a quien envía la señal «No rastrear» o «Global Privacy Control» ni, en los sitios que Vyron publica, al personal con sesión iniciada.

El acceso público utiliza HTTPS para cifrar las comunicaciones en tránsito. Las contraseñas creadas o actualizadas por los flujos actuales se protegen con hash bcrypt. Las credenciales guardadas en la bóveda de integraciones se cifran, y Google Ads y Meta cifran su token de acceso. Los permisos limitan el acceso según el usuario y la empresa. Ninguna medida elimina por completo los riesgos.

Cambios a este aviso

Publicaremos las modificaciones a este aviso en esta misma página e indicaremos su fecha de actualización.

Read in English

Privacy Policy

In short

Vyron offers Vyron for Business: a CRM, modules for work teams and Chasqui, a WhatsApp inbox with an artificial intelligence assistant that helps companies serve their customers.
If you message the WhatsApp number of a company that uses Chasqui, that company is the data controller and Vyron processes your data on its behalf. If you use the Vyron website or a platform account, Vyron is the controller.
Messages travel through Meta's WhatsApp platform and are stored on Railway servers in the United States. The artificial intelligence features send Anthropic (Claude) the content they need to work, for example the text of some conversations to suggest replies. Chasqui does not send photos, PDFs or audio files to artificial intelligence; other modules, such as Human Resources, can send the content of documents or images a company uploads.
To exercise your rights or ask us to delete your data, write to privacidad@vyron.software or follow the steps on the data deletion page.

Controller, processor and contact

In this policy Vyron acts in two different ways.

As controller, for the data of its own website and accounts: the contact form, the questionnaire, meeting requests and the accounts of customer company users. The data controller is Leonardo Escalante Rubio, an individual operating the Vyron brand, located at Av. Central 206, col. San Pedro de los Pinos, alcaldía Álvaro Obregón, C.P. 01180, Ciudad de México, Mexico.
As processor, for the contacts, conversations, messages, files and records that a customer company uploads or connects to the platform, for example people who message that company's WhatsApp number, its customers or its employees. The customer company is the controller: it decides what the data is used for and must have its own privacy notice and the legal basis or consent that applies. Vyron processes the data on its behalf and following its instructions, only to provide the service, and does not sell it or use it for its own purposes, such as advertising or training artificial intelligence models.

If you do not know which company your conversation belongs to, write to us anyway and we will identify it. For any privacy matter, email privacidad@vyron.software. You can also use the contact form: select “Vyron for Business” and begin your message with “Privacy”. Include your name, reply email and related company. Do not send passwords, tokens or identity documents in the initial message.

Data we process and why

Data for which Vyron is the controller

Website contact form, questionnaire and meeting request: name, email, phone if you provide it, company or project, interest, answers about your business and message. If you use the AI-assisted interview, the conversation as well. They are used to reply to you, recommend solutions and follow up commercially.
Customer company user accounts: identity, email, role, permissions and activity records, to authenticate users, manage access, provide support and protect the platform.
Commercial outreach: professional contact details of companies that Vyron may contact to offer its services (company name, website and the contact email or phone number the company has published). Every email includes an unsubscribe link, and you can also ask us to stop writing to you at privacidad@vyron.software.

Data that a customer company uploads or connects (Vyron as processor)

Contacts, conversations, messages and files, plus opportunities, quotes and business information, to organize that company's operations and communications. What is stored from WhatsApp conversations is detailed in the next section.
Post-sale follow-up of a won quote: at each stage (proof of payment, receipt, shipping label and confirmation of receipt) the company's team attaches a file (PDF, JPG, PNG or HEIC, up to 10 MB) and may add a note and, at the shipping label stage, the tracking number and the carrier. Those files and notes may contain data of the buyer, such as their name, their payment details, their phone number or their delivery address. They are stored on the platform's file storage, with no automatic deletion, to keep the record of the payment and shipment of that sale, and they are deleted when we handle a deletion request, except what the company must keep under a legal obligation (see the data deletion page).
Quote or contact requests that a person sends from that company's public website (name, company, email, phone, city, products and message) and the origin of their visit (campaign UTM parameters, Google or Meta click identifiers, referring domain and date of the first visit), to create or update their record in the CRM, follow up and learn which campaigns bring customers.
Customer visits: when a member of the sales team logs an arrival or a departure, the geographic location of their device (latitude, longitude and accuracy, which the browser shares only with their permission), their name, the time and the label or note they write. The first arrival sets the reference point of the customer's record, against which later visits are validated. It is used to keep that company's visit log.
Digital card with a QR code of a member of the sales team: a public page that shows their name, job title, photo, phone and email (the ones they have registered) and a form where the visitor leaves their name, company, email, the product they are interested in and the approximate volume, with a privacy checkbox. The form creates their record in that company's CRM and notifies that team member. Each opening of the card, without data about whoever opens it, and each submission of the form are also counted.
Customer-service emails that a company forwards to the platform (sender, subject, body and the contact details the person wrote), to create or update their contact record in that company's CRM.
Human resources data recorded by the company: employee and contact details, tax and employment identifiers, compensation, attendance (with the geographic location of the device when clocking in and out, if the person chooses to share it; it is compared with the radius of the workplace), leave, evaluations and documents. If the company sends a document for electronic signature, an exact copy of the document and the record of the reply are stored: the name typed by whoever replies, the reason if they reject it, the date and time, their IP address and the browser they use. Records may contain sensitive data if the company includes it; the company must have the necessary legal basis and consents.
Human Resources mobile app: when a person at the company signs in to it from their phone, the identifier of that device and the phone's notification code (Expo token) are stored so that notices can be sent to it. The notification code (Expo token) is deleted when the session is closed and emptied when the account is deactivated; the device identifier stays in the session log. When the Chasqui app notifier runs (it requires app notifications to be configured), it deletes sessions revoked or expired more than 60 days ago and their devices in batches; without that process, they remain until manual deletion (you can request it at privacidad@vyron.software). The Human Resources app only stores that code: it does not send notices with it.
Chasqui mobile app: it uses the same session and device records. If the company configures notifications and the person enables them, the phone token, notification title and body, internal conversation identifier and pending count are sent to Expo. Expo delivers them through Apple (APNs) or Google (FCM); those providers can read the notification content. Currently app notifications do not include the customer's name or the text of their messages. Closing the session deletes the notification token; to check delivery, the receipt identifier, session and a token fingerprint are temporarily stored without the message text. The app notifier deletes receipts older than 24 hours when it runs.
Platform audit records: which team member did what and when (for example permission changes, contact reassignments, system notices and contacts that arrive through forms). They do not store the text of the conversations, but some mention the name, email or phone number of a person, or a note the team wrote about them, such as the notice that a new contact arrived through a form, that a duplicate contact was detected, that a quote was saved without a record or the note of a scheduled follow-up. They are used to provide support and protect the platform, and the data is removed from them when we handle a deletion request (see the data deletion page).

Data obtained from the Google and Meta APIs is used exclusively as described in the corresponding sections.

WhatsApp and Chasqui

Chasqui works in two ways, depending on the company: in the Chasqui inbox, where the company connects its WhatsApp Business number directly to Vyron, and in the CRM inbox, where conversations are received in the company's CRM, today synchronized from Respond.io and, when the company connects it, directly from Meta. What follows applies to both unless stated otherwise.

When a company connects its WhatsApp Business number to Vyron for Business, the platform receives and stores, on behalf of that company:

the WhatsApp phone number and the profile name of the person writing;
the messages received and sent (text, button replies and reactions), with their date, time and type;
the files exchanged (images, PDFs, audio files and voice notes) and, for voice notes, their automatic transcription;
the delivery status of what the company sends (sent, delivered, read or failed) and the error code if it fails;
when the person arrived from a Meta ad, the ad data that Meta includes in the message (link, type, identifier, headline and the click identifier that Meta assigns);
what the company's team records about that person (name, company, city, stage, notes and quotes) and which team member handled each conversation;
in the Chasqui inbox, if the company configures it, the acceptance or withdrawal of the company's privacy notice (date, version and the message containing it);
in the Chasqui inbox, if the company turns on the form on its public website (off by default), what the person writes in it: name, phone number, email if they leave one, location and message, plus the page and campaign they came from, the version of the consent they accepted and, if they book, the date and location of their appointment and whether they attended. That is not sent to artificial intelligence, and the email Chasqui uses to notify the company does not carry that data;
a team activity log in Chasqui: who opened a conversation, sent a message or opened a file, when and from which IP address. This log does not include the text of messages.

This data is used, on the company's behalf, to receive, display, assign and answer its conversations; suggest replies and next steps; summarize conversations; measure the response times and quality of care of its team; follow up on quotes; and protect the platform and provide technical support.

How the channel works:

Messages arrive through Meta's WhatsApp Business platform. Every notification that Meta sends to Vyron is verified with a signature before it is stored.
Voice notes are transcribed on Vyron servers with a model that runs there: the audio is not sent to third parties. The original audio of a voice note that is transcribed is kept in the hosted database, without the additional application-level encryption that photos and PDFs have, so the team can listen to it; it is deleted together with the conversation.
Photos and PDFs stored in the media module are encrypted before they are saved. The team opens them only on request and each opening is logged.
Each company sees only its own conversations, and the team signs in with permissions.
In the Chasqui inbox, Chasqui can automatically send the company's privacy notice in the first message, an after-hours message and, only for the topics the company expressly configures, automatic replies. In everything else, and always in the CRM inbox, a person reviews and sends each reply.
If the company turns on notifications on its team's phones, the notification never includes the text of the message; depending on the company, it may include the contact's name. They are delivered by the browser or phone notification services (for example, Apple, Google or Mozilla).

Artificial intelligence

Vyron for Business uses Anthropic's Claude models in the artificial intelligence features that each company enables. When one of those features is used, Anthropic receives the content the feature needs to work, and that content may include personal data that appears in it. The features are used to suggest replies, summarize conversations, propose next steps, evaluate the quality of the team's service, answer questions about the information in the CRM, help import and organize information, and learn from the team's corrections with a person's approval. What is sent, and how it is cleaned, depends on the feature.

Chasqui (WhatsApp)

Suggested replies in the Chasqui inbox: the last 12 messages of the conversation, with emails, phone numbers, CURP, RFC and long numbers replaced by placeholders; the data already known about the person (for example name, city, location, mode, reason for the inquiry or doctor), where emails, phone numbers and long numbers are replaced but the name is not; and, as style examples, replies that team members wrote or approved earlier in other conversations of the same company, with the name of the person served and the data above replaced.
Next actions and team evaluation in the Chasqui inbox: up to 16 recent messages with the same cleaning and without the person's name or phone number. These two features may be processed in batches.
Reply proposals in the CRM inbox: up to 24 recent messages with the same cleaning, together with the contact's name, company, state, CRM stage and the folio numbers of recent quotes without amounts.
Learning from corrections: excerpts of up to 500 characters, with the cleaning described, of the customer's message, the artificial intelligence proposal, the text the person finally sent, what they marked as correct and their note. Nothing becomes a rule without a person's approval.

Other Vyron for Business features

Summaries, support bot audit and team communication analysis in the CRM: the text of the messages as written, together with the contact's name, company and city. If anyone wrote a phone number or email in a conversation, that data travels in the text. To summarize the evaluation of a team member, their name and the strengths and areas for improvement detected are sent as well.
Triage of customer replies in the CRM: to decide whether a reply needs attention, an automatic process sends Anthropic the recent messages of the conversation (who wrote them, date, type and text as written), without the contact's name, company, advisor or identifiers. These texts do not go through Chasqui's cleaning: if the customer wrote a phone number or email, that data travels.
CRM query assistant: when a team member asks it something, the assistant looks up the company's information and what it finds travels to Anthropic together with the question and the conversation with the assistant: for contacts, name, company, phone, email, city, advisor and type; for quotes and tasks, their content; for employees, name, job title, team, manager, email, phone and job description; the ranking and performance metrics of advisors (sales, closed deals and ratings of the quality of their service); for credentials stored in the vault, only the label, account and address, never the password; the assignments given to that person and what they answer about them; and the Knowledge records that person has access to. This data does not go through Chasqui's cleaning.
Human Resources: when importing an org chart, creating a job profile from a document, or drafting protocols, agreements and values with the help of artificial intelligence, Anthropic receives what the person writes and the content of the document they upload: the text extracted from PDF, Word, Excel and PowerPoint files and, if it is an image, the image itself. That content may include employees' names, job titles and other data.
Purchase orders in the quoting tool: when a team member uploads the purchase order a customer sent them to record it as a sale, Anthropic receives the order itself (the PDF or the image) or, for an Excel or XML file, its text, to transcribe its data: the customer's company name, tax ID, phone, email and address, the order number and date, products, quantities, prices and terms. That content may include the name and contact details of the person who signs or requests the order. The file and the reading are saved as a draft before the review is shown. The team member reviews and corrects the data; only confirmation records the sale and attaches the order to the quote. Discarding prevents the sale from being created. Files of discarded orders or failed readings are deleted after 30 days from discard or failure; technical validation attempt records are deleted after 7 days. Unconfirmed drafts are automatically discarded and their files deleted 30 days after their last saved change, even if the reading succeeded. Opening the review does not renew that period. Cleanup runs automatically every five minutes, in batches, while the service is active; interruptions or errors are retried after recovery. The reading and audit record remain subject to the deletion procedure; orders supporting a recorded sale stay with that sale and are excluded from this automatic cleanup.
Knowledge and catalogs: the text a person writes or pastes to turn it into Knowledge records, together with related records, and the content of the spreadsheets a company uploads to import its catalog.
Outreach, campaign emails and interview by Vyron (Vyron as controller): to analyze the public website of a company Vyron might offer its services to and draft an email for it, Anthropic receives its name, that of its contact person if known, what was observed on its site and an excerpt of its code; to draft campaign emails, the description of the campaign and of the segment; and in the AI-assisted interview on vyron.software, your answers and the conversation.

Files, controls and limits

In Chasqui, photos, PDFs and audio files are not sent to artificial intelligence: only text. For voice notes, only the text of their transcription follows the same path as a written message.
In Human Resources, however, the company can upload documents and images (for example, a photo of an org chart), and in the quoting tool a customer's purchase order (PDF, image, Excel or XML), and their content is sent to Anthropic, as described above.
In the Chasqui inbox, if the company configured its privacy notice and the person has not yet accepted it, or has withdrawn acceptance, Chasqui does not send their conversation to artificial intelligence. What the person wrote before accepting is not sent either, unless the company's notice provides for it.
In the Chasqui inbox, keyword detection of messages about payments, health, complaints and rights requests hands them to a person without asking artificial intelligence for a reply. That detection can fail: a message with health data that does not use those keywords, or an earlier message in the recent conversation, may be sent to Anthropic as part of the text.
A person reviews suggested replies before they are sent, except for topics the company configures for automatic replies, which exist only in the Chasqui inbox.

What Anthropic keeps

Anthropic may keep the content it receives and its responses for the period set by its commercial terms and privacy policy, linked below; in batch processing, which some features use, that can be several weeks. A later withdrawal of consent or deletion request does not remove what Anthropic has already received. How Anthropic uses that content is governed by those terms and that policy.

Providers and data sharing

To operate the service we use the following providers, depending on the features each company enables. Each one receives only the information needed for its function, and not all of them receive all data.

Meta Platforms (WhatsApp Business Platform): The channel through which WhatsApp messages travel: it delivers and receives messages, files and delivery statuses. Meta processes that data under its own terms. WhatsApp Privacy Policy and Meta Privacy Policy.
Respond.io: A messaging platform that some customer companies use to operate their WhatsApp number. Vyron sends it the messages the company writes from Vyron and the contact data needed (name, phone, email, company and state), and reads contacts and messages from it to keep a copy in the company's CRM. If the company turns on Respond.io's own artificial intelligence features, that processing is done by Respond.io on the company's behalf and is not part of Vyron. Privacy policy.
Railway: Hosting of the application and its PostgreSQL database, in the US East region. The data described in this policy is stored there. Privacy policy.
Anthropic (Claude): Artificial intelligence, with the content described in the previous section and the retention explained there. Privacy policy and commercial terms.
Resend and Amazon SES: Platform email delivery: access codes, invitations, notices and the emails a company sends from Vyron. Resend also receives the customer-service emails that a company forwards to the platform to turn them into CRM records. Privacy policy.
Cloudflare: Domain name service, scheduled tasks, hosting of Alexandria (below) and storage of encrypted backups. Vyron's home page downloads a graphics library from the Cloudflare network, so Cloudflare receives the IP address of visitors. If a company turns on the Cloudflare Turnstile bot check (off by default) in the form of its public website, Cloudflare receives technical data from the browser of whoever submits it to check that they are not a robot. Since November 2026, the requests that the artificial intelligence features send to Anthropic go through Cloudflare's AI Gateway, which measures their cost: Cloudflare sees that content in transit, but only records technical data (model, tokens, cost, duration, the company and the feature) and does not store the content. Requests from Chasqui's own inbox, batch requests and those of companies that handle health data do not go through it. Privacy policy.
Alexandria (Vyron's internal library): An internal Vyron store that runs on Cloudflare with its own database and uses Anthropic's models to classify what it receives. It only receives data from the account of one customer company; the accounts of other companies send it nothing. It receives the title, author and text of the replies that company's team writes on its tasks, and the summary of the daily support bot audit: the contact's name and a short quote (up to 180 characters) from the most serious findings of each run, up to 10. What Alexandria receives may become an internal task for the coding agents Vyron uses in its own work (Anthropic's Claude and, depending on the task, OpenAI's Codex or xAI's Grok), which run on Vyron's own computers; that task may include the text received. It is kept until it is deleted manually; see the data deletion page.
Google Workspace: The Vyron team's email, which receives what you write to privacidad@vyron.software. When that connection is configured, the platform may also send through Google's SMTP server the access codes, invitations and emails that a company sends from Vyron, with Resend as a fallback.
Google Fonts: Typefaces. The questionnaire, invitation, e-mail unsubscribe and digital card pages download their typefaces from Google Fonts, so Google receives the IP address and the technical browser data of whoever opens them. The legal pages and the Vyron home page do not load them.
Google Sheets: A spreadsheet in which a customer company receives a copy of the quote requests made on its public website (date, name, company, email, phone, city, product, quantity and use). This feature exists only for the account of one customer company; the accounts of the others send nothing to Google Sheets.
OpenAI and xAI: Generation of marketing texts and images from descriptions. The platform's features do not send them WhatsApp conversations. Their coding agents (Codex and Grok) may receive the internal Alexandria tasks described above.
Other services a company connects: For example Google Ads, Meta (Facebook, Instagram and ads) or Mercado Libre. They are connected only when the customer company decides to.

These providers may process data outside Mexico, mainly in the United States. The information needed for the requested feature is shared on behalf of Vyron or the customer company, as processors; these disclosures are not sales of data. Transfers to third parties other than processors are subject to applicable law and consent when required. We may also respond to legally binding requests from authorities.

Meta data

Besides WhatsApp, a customer company may connect to Vyron its Facebook page, its professional Instagram account or its Meta ads account, using an access token from a system user of its Meta business portfolio. With that connection Vyron can:

publish on the company's page or account the content that company authorizes, and read basic metrics for its posts;
read the results of its ads. Reading is query-only: Vyron does not create or modify campaigns, ad sets or ads;
if the company decides so, create custom audiences by sending Meta the emails and phone numbers of its contacts after converting them into a SHA-256 hash (never in clear text), only for contacts with a recorded legal basis and no opt-outs.

The token is stored encrypted and associated with the company. The company can revoke access at any time from its Meta business portfolio. The data Vyron obtains from Meta is used only to show it to that company and for the functions described; it is not sold and is not used for Vyron's own advertising.

Google user data

When an authorized person connects their company's Google Ads account, they grant the https://www.googleapis.com/auth/adwords scope. Although this scope permits managing ads, the current integration only reads information; it does not create or modify campaigns.

We store the connected account ID, currency and time zone, and a snapshot of enabled campaigns: ID, name, status, cost, clicks, impressions and conversions for the last 30 complete days. We also keep the report period, synchronization timestamp and, when applicable, an operational error message. Successful synchronizations replace the previous snapshot.

We use this data to display marketing results in the company's dashboard and compare them with its CRM leads and sales through campaign attribution. We do not sell Google data, use it for advertising or train AI models with it, and we do not send data obtained from Google Ads to AI content generation features.

The refresh token, which allows obtaining new access tokens, is stored encrypted and associated with the company. Temporary access tokens are used in memory and are not stored in the database. Campaign information is stored in the database; token encryption does not mean that each campaign information field is individually encrypted.

To revoke access, open Marketing → Anuncios para Google and follow “Revocar acceso en Google” next to the connection form (available to users with permission to connect). You can also go directly to your Google account permissions, select Vyron and remove its access. This prevents new authorized queries but does not automatically delete the snapshot or credential already stored in Vyron. Request their deletion through our contact form. Revoking access does not delete campaigns in your Google Ads account.

Vyron's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Sensitive and health data

Some customer companies, such as clinics, may receive sensitive personal data through WhatsApp, for example health data. That data belongs to the customer company: it is the controller, must have its own privacy notice and the express consent the law requires, and is the party you should contact to exercise your rights. Vyron does not use it for its own purposes; it processes it only to provide the service to that company and following its instructions.

In the Chasqui inbox, which clinics use for example, there are controls for those cases, with the limits indicated:

if the company configures its privacy notice, Chasqui sends it in the first message with an “Acepto” (I accept) button, and until the person accepts it does not send their conversation to artificial intelligence;
if the person withdraws consent, artificial intelligence stops being used in that conversation and it is handed to a person;
photos, PDFs and audio files are not sent to artificial intelligence, and Chasqui detects health, payment and complaint messages by keywords and hands them to a person without asking artificial intelligence for a reply; that detection can fail, so the recent conversation, including health text that is not detected, may be sent to Anthropic;
notifications on the phones of those companies' teams do not include the contact's name or the text of the message.

These controls help the company meet its obligations; they do not replace its privacy notice or its legal responsibility.

Retention and deletion

There is no single period. Data that a customer company uploads or connects is kept while the company maintains the service with Vyron and until its deletion is requested. When the service ends, the company may ask for its export and deletion. The platform has a scheduled deletion function by age for the conversations in the Chasqui inbox; its period is agreed with each company. Until that function is turned on, deletion is not automatic.

The technical records used to verify the connection with Meta (message identifier, type, status, time and WhatsApp number, without the content) are deleted automatically after 45 days.

You can ask for your data to be deleted or for information about its retention. The steps are on the data deletion page. Revoking an integration or signing out does not delete stored data. Data may be retained when necessary to meet legal obligations or address liabilities, and backups keep deleted data until they are renewed or deleted. What has already been sent to Anthropic and other providers is governed by their own retention periods.

Privacy rights and withdrawal of consent

Under Mexico's Federal Law on the Protection of Personal Data Held by Private Parties (LFPDPPP), you may request access, rectification, cancellation or opposition (ARCO), withdraw consent or limit use or disclosure, subject to applicable legal exceptions.

Send your request to privacidad@vyron.software or use the form described above, identify the data and right you wish to exercise, and provide a reply email. If you wrote to a company on WhatsApp, include the company's name or the number you wrote to, and the number you wrote from. We will explain how to establish your identity or representation and, for rectification, how to provide correct information. Requests will be handled within applicable legal time limits.

If the data belongs to a customer company, that company is the controller: also contact it. Vyron will forward your request to it and assist in handling it. In the Chasqui inbox, if you write on WhatsApp that you no longer want your data used or that you want to exercise a right, Chasqui tries to detect it by keywords and, if it does, stops using artificial intelligence in that conversation and hands it to a person at the company to handle your request. Because that detection can fail, email remains the main route.

If you believe your right was not honored, you may go to the competent personal data protection authority.

Cookies and security

Vyron's site and platform use these functional cookies:

Session cookie. It maintains authentication and protects access flows. On vyron.software it is created only when you sign in. On the subdomain or domain of a customer company, including its public website, it is created from the first visit, even if you do not sign in, as a technical session cookie that identifies only the company that owns the site, not you. In both cases it cannot be read by scripts and is sent only over encrypted connections.
Phone notifications cookie. If a company's team turns on phone notifications in Chasqui, the browser also stores a functional cookie that remembers which session turned them on; it is not used for tracking either.
Mercado Libre connection cookie. Only when a signed-in person connects their company's Mercado Libre account: a technical 10-minute cookie that checks that whoever returns from the permission screen is the one who started it; it is not used for tracking.
Theme. The theme preference (light or dark) is stored in the browser's local storage, not in a cookie.

You may delete or block cookies in your browser, which may prevent signing in or receiving notifications. On the vyron.software home page and legal documents we do not use advertising or analytics cookies. The public websites that some customer companies publish with Vyron, on their own subdomain or domain, may use their own measurement and advertising tools, such as the Meta pixel or Google Analytics; the company that owns each site is responsible for its privacy notice.

Vyron's visit measurement. The public websites that Vyron publishes for its customer companies, and the sites they register on the platform, include Vyron's own visit counter, on by default. It uses no cookies and stores nothing in your browser, and it does not store your IP address or your browser agent. It records the page path without query parameters, the domain of the site you came from, whether you use mobile or desktop, the time the page was visible and a visitor identifier calculated from technical data of your connection with a key that changes every day, so it does not let anyone recognize you from one day to the next; if that option is turned on, also your country. Those records are kept for 90 days; afterwards only aggregate counts remain, without identifiers. It does not count anyone who sends the “Do Not Track” or “Global Privacy Control” signal or, on the sites Vyron publishes, staff who are signed in.

Public access uses HTTPS to encrypt communications in transit. Passwords created or updated through current flows are protected with bcrypt hashes. Credentials stored in the integration vault are encrypted, and Google Ads and Meta access tokens are encrypted. Permissions limit access by user and company. No measure eliminates all risk.

Changes to this policy

Changes to this policy will be published on this page with an updated date.

Leer en español