Política de Privacidad

1. Quiénes somos

PukaDigital es operada por Puka Digital LLC, una sociedad de responsabilidad limitada constituida en el Estado de Wyoming, Estados Unidos (EIN: 320856610, Dirección: 5830 East 2nd Street, Ste 7000, Casper, WY 82609, USA), con operaciones y representación para Ecuador y Latinoamérica con sede en Quito, Ecuador. PukaDigital desarrolla y opera los siguientes productos y servicios SaaS:

• PukaIA — Agente conversacional con IA y CRM para WhatsApp Business
• LedgerXpertz — Sistema POS, inventario y facturación SRI
• PukaHealth — Historias clínicas electrónicas con facturación SRI
• PukaSalud — Marketing médico para profesionales de la salud
• Agencia de Marketing Digital — Google Ads, SEO y desarrollo web para PYMEs

Contacto del responsable de privacidad: legal@pukadigital.com  |  +593 96 406 5880

2. Responsable y encargado del tratamiento

Conforme a la Ley Orgánica de Protección de Datos Personales (LOPDP), el rol de PukaDigital respecto a tus datos personales depende de la relación y del servicio utilizado:

• PukaDigital como Responsable del tratamiento (Parte 1): PukaDigital decide sobre los fines y medios del tratamiento cuando navegas en nuestro sitio web, cuando nos contactas o solicitas cotizaciones como prospecto (por formularios o vía WhatsApp), cuando contratas directamente nuestros servicios como cliente, y para la emisión de nuestras facturas legales ante el SRI.
• PukaDigital como Encargado del tratamiento (Parte 2): Cuando utilizas nuestros servicios SaaS como cliente (PukaHealth, PukaIA, LedgerXpertz), tú o tu negocio actúan como responsable del tratamiento de los datos personales de tus propios pacientes o clientes. En estos casos, PukaDigital actúa únicamente como encargado del tratamiento (procesador), tratando dichos datos únicamente por tu cuenta, bajo tus instrucciones y para prestar el servicio contratado.

3. Qué tratamos, para qué, con qué base legal y por cuánto tiempo

En los tratamientos en los que PukaDigital es responsable, tratamos los siguientes datos personales conforme a las bases legales y plazos establecidos en la LOPDP:

Los servicios de analítica y publicidad de terceros —Google Analytics 4, Google Ads, Microsoft Clarity (que graba sesiones y mapas de calor para evaluar la experiencia de navegación), el píxel de Meta y el píxel de TikTok— cargan automáticamente al entrar al sitio web sin mediar consentimiento previo, operando bajo la base de interés legítimo de PukaDigital para analítica y publicidad. Puedes oponerte a este tratamiento y desactivar su seguimiento bloqueando cookies de terceros en la configuración de tu navegador, mediante extensiones de privacidad o con las herramientas de inhabilitación que se detallan a continuación y en la sección de cookies.

Google Analytics 4 y Google Ads

• Usamos GA4 para analizar el tráfico del sitio y Google Ads para mostrar publicidad relevante a visitantes previos.
• Puedes desactivar el seguimiento instalando el complemento de inhabilitación de Google Analytics.

En el caso de los prospectos comerciales, nuestro canal de WhatsApp de ventas es atendido inicialmente por un bot con inteligencia artificial que responde consultas. Puedes pedir en cualquier momento que te atienda una persona: cuando alguien de nuestro equipo responde en tu conversación, el bot deja de intervenir en ella.

4. Comunicaciones comerciales y tratamientos opcionales

Cualquier envío de comunicaciones comerciales, promociones o novedades de PukaDigital se realiza únicamente si has otorgado tu consentimiento específico de forma separada a la contratación del servicio.

• No condicionamiento: Negarte a recibir comunicaciones comerciales o no otorgar este consentimiento opcional no condiciona ni limita en modo alguno la contratación, prestación o continuidad de los servicios de PukaDigital.
• Revocación libre e inmediata: Puedes revocar tu consentimiento para comunicaciones comerciales en cualquier momento, escribiendo a legal@pukadigital.com o respondiendo al mismo mensaje.
• Efectos hacia el futuro: La revocación no tiene efectos retroactivos ni afecta la licitud del tratamiento realizado con anterioridad a la misma.

5. PukaHealth

En PukaHealth, el profesional de la salud o consultorio médico que contrata el servicio actúa como responsable del tratamiento de los datos personales de sus pacientes, y PukaDigital opera únicamente como encargado del tratamiento (procesador). Las historias clínicas electrónicas contienen datos sensibles de salud conforme a la LOPDP, los cuales se procesan y almacenan bajo estrictas medidas de seguridad y confidencialidad, únicamente bajo las instrucciones del profesional o institución responsable.

Recordatorios de citas por WhatsApp

Si el consultorio médico tiene habilitada la funcionalidad de recordatorios, se envían notificaciones al teléfono del paciente mediante la plantilla autorizada de Meta (WhatsApp Business API). Los datos que se transmiten se limitan estrictamente a los siguientes:

• Nombre del paciente
• Fecha de la cita
• Hora de la cita
• Nombre del médico
• Número de teléfono del paciente
• Identificador técnico de la cita (asociado a los botones interactivos del mensaje)

Estos datos pasan por el bot de PukaDigital y por la plataforma de Meta únicamente para la entrega del recordatorio. La historia clínica no sale de PukaHealth ni se comparte con Meta ni con terceros.

Reagendamiento con inteligencia artificial

El reagendamiento automático es una función opcional que está apagada por defecto y solo opera si el consultorio decide activarla. Si el consultorio activa el reagendamiento, el texto libre que el paciente escribe en esa conversación de WhatsApp se envía a Gemini (Google Cloud Vertex AI) únicamente para detectar si el paciente desea mover o reagendar su cita. Con el reagendamiento apagado y el canal configurado solo para recordatorios, las respuestas del paciente no pasan por ningún modelo de lenguaje (LLM). En todo caso, se recomienda a los pacientes no escribir datos sensibles de salud por este canal.

Ejercicio de derechos del paciente

Como paciente, debes ejercer tus derechos de acceso, rectificación, actualización o eliminación directamente ante tu médico o consultorio tratante, quien es el responsable del tratamiento de tu información clínica. PukaDigital asiste al profesional de la salud en la atención técnica de dichas solicitudes cuando este lo requiera.

6. Uso de la Plataforma de WhatsApp Business (Meta)

PukaDigital opera como Proveedor de Tecnología (Tech Provider) de la Plataforma de WhatsApp Business de Meta, conforme a los Términos de la Plataforma de Meta, las Políticas para Desarrolladores y la Política de Uso Aceptable de WhatsApp Business.

• Procesamos el número de teléfono y el contenido de los mensajes de los clientes finales por cuenta del negocio que contrata el servicio y que conecta su cuenta de WhatsApp mediante el registro incorporado (Embedded Signup). En esta relación el negocio es el responsable del tratamiento y PukaDigital actúa como encargado (procesador).
• Usamos estos datos exclusivamente para prestar el servicio contratado: generar respuestas automáticas y enviar recordatorios y notificaciones en nombre del negocio.
• No usamos los datos de la Plataforma de Meta para publicidad, no los vendemos ni cedemos a terceros, y no los utilizamos para entrenar modelos de IA propios.
• El negocio puede desconectar su cuenta de WhatsApp en cualquier momento desde su Administrador de WhatsApp de Meta o escribiendo a legal@pukadigital.com; al hacerlo cesamos el procesamiento y eliminamos los datos asociados conforme a la sección 11.

7. LedgerXpertz

En LedgerXpertz (sistema POS, inventario y facturación electrónica), el negocio o empresa que contrata el servicio actúa como responsable del tratamiento de los datos personales de sus compradores o clientes, y PukaDigital opera únicamente como encargado del tratamiento (procesador).

Para la emisión de comprobantes electrónicos exigidos por el Servicio de Rentas Internas (SRI), el negocio recopila y procesa datos de sus compradores que incluyen cédula o RUC, nombre o razón social, dirección, teléfono y correo electrónico. PukaDigital almacena y transmite esta información exclusivamente para generar los comprobantes, interactuar con los servicios del SRI y operar las funciones del punto de venta e inventario contratadas.

Los compradores finales que requieran ejercer sus derechos de acceso, rectificación, actualización o eliminación sobre sus datos de facturación deben dirigir su solicitud directamente al negocio emisor del comprobante, sujeto a los plazos legales de conservación tributaria.

8. Uso de Google APIs y datos de usuarios de Google

PukaDigital utiliza las siguientes APIs de Google bajo los términos de los Servicios de API de Google:

Google Calendar API (OAuth 2.0)

• Accedemos exclusivamente a la disponibilidad de horarios y a la creación de eventos de cita en nombre del negocio que autorizó el acceso.
• No accedemos a correos (Gmail), archivos (Drive), contactos ni al contenido de eventos existentes.
• El token OAuth se cifra con AES-256 antes de almacenarse en Firestore y nunca se comparte con terceros.
• Los datos obtenidos de Google no se usan para publicidad ni para entrenar modelos de IA.
• El negocio puede revocar el acceso en cualquier momento desde myaccount.google.com/permissions.

Google Cloud Vertex AI / Gemini

• Los mensajes de WhatsApp se envían a Gemini para generar respuestas. Google procesa estos datos conforme a su DPA de Google Cloud.
• No se envían historias clínicas ni datos financieros a Gemini. Si el consultorio activa el reagendamiento, el mensaje del paciente se analiza con Gemini solo para detectar la intención.

9. Proveedores y subprocesadores

Compartimos o transmitimos datos con los siguientes proveedores de infraestructura, tecnología y analítica, exclusivamente para la prestación y operación de nuestros servicios:

Ninguno de estos proveedores está autorizado a usar los datos personales para fines propios distintos a los estrictamente contratados y descritos.

10. Jurisdicción y transferencias internacionales

Puka Digital LLC cumple con la normativa de protección al consumidor y privacidad aplicable en los Estados Unidos (incluyendo los estándares de privacidad de California CCPA/CPRA cuando aplique), así como con la Ley Orgánica de Protección de Datos Personales (LOPDP) del Ecuador para usuarios y operaciones locales.

Para la prestación de nuestros servicios y la operación de nuestras plataformas, realizamos transferencias internacionales de datos hacia las siguientes ubicaciones, de acuerdo con los proveedores detallados en la sección 9:

• Alemania: servidores principales de aplicaciones y bases de datos en Hetzner Online GmbH (Núremberg).
• Brasil: base de datos conversacional Firestore de Google Cloud en la región southamerica-east1 (São Paulo).
• Estados Unidos: servicios de Meta Platforms, Inc. (WhatsApp Business API y píxel), Google LLC (Google Analytics 4 y Google Ads) y Microsoft Corporation (Microsoft Clarity).
• Red global: distribución web y almacenamiento seguro de respaldos en Cloudflare (empresa estadounidense con red global y almacenamiento en R2), así como servicios de Vertex AI y Speech en la infraestructura global de Google Cloud.

Estas transferencias se amparan en las condiciones contractuales de protección de datos que ofrece cada proveedor.

Para clientes o usuarios en la Unión Europea o Reino Unido, el tratamiento se realiza conforme a los principios del RGPD (GDPR): minimización de datos, limitación de finalidad, exactitud y derecho a supresión. Las transferencias a proveedores internacionales se amparan en las Cláusulas Contractuales Estándar de la Comisión Europea y marcos de privacidad de datos reconocidos.

11. Conservación y eliminación de datos

• Tokens OAuth de Google Calendar: se eliminan inmediatamente al revocar el acceso o cancelar el servicio.
• Historial de conversaciones (PukaIA): 24 meses desde la última interacción, o hasta que el negocio solicite su eliminación.
• Datos de facturación SRI: 7 años, conforme al Código Tributario del Ecuador.
• Historias clínicas (PukaHealth): mientras el médico mantenga su cuenta activa; exportables y eliminables a solicitud.
• Datos de contacto (formularios): 2 años desde el último contacto.
• Cookies y datos de Analytics: 14 meses (configuración por defecto de GA4).

12. Seguridad de los datos

Aplicamos medidas técnicas y organizativas apropiadas para proteger la confidencialidad, integridad y disponibilidad de los datos personales:

• Cifrado y protección de credenciales: las contraseñas de usuario en PukaHealth y LedgerXpertz se almacenan mediante hash criptográfico PBKDF2-SHA256, y la autenticación de sesiones se gestiona mediante tokens JWT.
• Cifrado de tokens de integración: los tokens de acceso de Google Calendar se cifran con AES-256-GCM antes de ser almacenados.
• Cifrado en tránsito: todas las comunicaciones y transferencias web se protegen mediante protocolos seguros TLS 1.2+ (HTTPS).
• Respaldos en dos capas: se genera una imagen diaria del servidor en Hetzner (con una retención de 7 días) y un volcado diario de las bases de datos de PukaHealth y LedgerXpertz cifrado con AES-256 en Cloudflare R2 (con una retención de 30 días).
• Aislamiento por tenant: políticas de aislamiento lógico y reglas de acceso para que cada negocio o consultorio acceda únicamente a sus propios datos.
• Control de acceso interno: acceso administrativo restringido exclusivamente al personal técnico autorizado de PukaDigital.

13. Decisiones automatizadas

Nuestros agentes conversacionales y bots con inteligencia artificial responden consultas de forma automática a través de canales como WhatsApp. En relación con este tratamiento:

• Sin efectos jurídicos: no adoptamos decisiones que produzcan efectos jurídicos sobre ti ni que te afecten de manera significativamente similar basadas únicamente en el tratamiento automatizado de tus datos personales.
• Intervención humana: en los canales de PukaDigital puedes solicitar hablar con una persona del equipo; en los bots de nuestros clientes, esa opción la define cada negocio. En el canal de WhatsApp de ventas de PukaDigital, en cuanto una persona de nuestro equipo responde en la conversación, el bot deja de intervenir en ella.

14. Tus derechos

Conforme a la Ley Orgánica de Protección de Datos Personales (LOPDP), al RGPD y a las normativas de privacidad aplicables, te asisten los siguientes derechos:

• Acceso: Solicitar y obtener una copia de los datos personales que tratamos sobre ti.
• Rectificación y actualización: Corregir o actualizar datos personales inexactos, erróneos o incompletos.
• Eliminación: Solicitar la supresión o eliminación de tus datos personales, sujeto a obligaciones legales de retención.
• Oposición: Oponerte al tratamiento de tus datos personales para finalidades como publicidad o mercadeo.
• Limitación: Solicitar la restricción del tratamiento de tus datos en los casos establecidos por la ley.
• Suspensión: Solicitar la cesación temporal del tratamiento mientras se verifica una impugnación o reclamo.
• Portabilidad: Recibir tus datos en formato estructurado y legible por máquina, o solicitar su transferencia a otro responsable.
• No ser objeto de decisiones automatizadas: Solicitar que decisiones con efectos jurídicos no se basen únicamente en tratamiento automatizado, y pedir intervención humana.

Consecuencias de no proporcionar datos obligatorios: La entrega de determinados datos personales es indispensable para la contratación y prestación de nuestros servicios. Si no entregas un dato obligatorio para un servicio (por ejemplo, los datos de facturación como RUC o cédula y razón social exigidos por la normativa tributaria), no podremos prestarte el servicio correspondiente.

Para ejercer cualquiera de tus derechos, escribe a legal@pukadigital.com indicando tu solicitud y datos de identificación. Respondemos a todas las solicitudes en un plazo máximo de 15 días hábiles.

En el caso del acceso a Google Calendar, puedes revocar la autorización en cualquier momento directamente desde myaccount.google.com/permissions, sin necesidad de trámite previo.

15. Reclamo ante la autoridad de control

Si consideras que el tratamiento de tus datos personales vulnera la normativa aplicable o si no has obtenido una respuesta satisfactoria al ejercicio de tus derechos, tienes derecho a presentar un reclamo ante la Superintendencia de Protección de Datos Personales del Ecuador, o ante la autoridad de control en materia de protección de datos de tu país o lugar de residencia habitual.

16. Cookies y tecnologías de rastreo

• Cookies esenciales: necesarias para el funcionamiento del sitio. No requieren consentimiento.
• Google Analytics 4: analítica de tráfico del sitio. Puedes desactivarlas con el opt-out de GA.
• Google Ads / Remarketing: para mostrar anuncios de PukaDigital en otros sitios. Puedes gestionarlas en adssettings.google.com.
• Facebook Pixel: para campañas en Meta. Puedes desactivarlo en la configuración de tu cuenta de Facebook.
• Píxel de TikTok: para medición y optimización de publicidad en TikTok. Puedes bloquear su seguimiento desde la configuración de tu navegador.
• Microsoft Clarity: para grabaciones de sesiones y mapas de calor destinados a analizar la experiencia de usuario en el sitio. Puedes bloquear su seguimiento desde la configuración de tu navegador.

17. Cambios a esta política

Podemos actualizar esta política cuando añadamos nuevos productos o integraciones. La fecha de última actualización aparece en el encabezado. Para cambios sustanciales, notificaremos por correo electrónico a los clientes activos con al menos 30 días de anticipación.

18. Contacto

Para consultas sobre privacidad, ejercicio de derechos o reporte de incidentes:

Razón Social: Puka Digital LLC (EIN: 320856610)
Dirección principal: 5830 East 2nd Street, Ste 7000, Casper, Wyoming 82609, USA
Oficina Regional LATAM: Quito, Pichincha, Ecuador
Email: legal@pukadigital.com
WhatsApp / Teléfono: +593 96 406 5880