Política de Privacidad

1. Quiénes somos

Safewor Solutions es una empresa de desarrollo de software y soluciones digitales con sede en Costa Rica. Diseñamos, construimos y operamos plataformas de comercio electrónico multi-tenant, sistemas a la medida, integraciones con redes sociales (incluyendo Instagram Graph API) y herramientas de gestión empresarial.

El presente sitio web main.safeworsolutions.com es la plataforma central desde la cual operamos y desde la que nuestros clientes (inquilinos / tenants) acceden a sus propios entornos digitales bajo el dominio {tenant}.safeworsolutions.com.

Para cualquier consulta sobre esta política, puede contactarnos en: info@safeworsolutions.com

2. Información que recopilamos

2.1 Datos que usted nos proporciona directamente

• Datos de registro: nombre, apellido, correo electrónico y contraseña al crear una cuenta.
• Datos de compra: dirección de entrega, número de teléfono, método de pago al realizar pedidos.
• Datos de contacto: información enviada a través de formularios, chat de WhatsApp o correo electrónico.
• Datos de citas / reservas: fecha, hora, servicio y barbero/especialista seleccionado (en las plataformas de booking).

2.2 Datos recopilados automáticamente

• Datos de sesión: identificador de sesión para mantener el carrito de compras de usuarios no registrados.
• Datos de uso: páginas visitadas, acciones realizadas, hora y duración de la visita.
• Datos del dispositivo: tipo de navegador, sistema operativo, dirección IP (usada exclusivamente para análisis de seguridad).

2.3 Datos provenientes de Meta (Facebook / Instagram)

Cuando un usuario o administrador conecta su cuenta de Facebook / Instagram a nuestra plataforma, recopilamos:

• Identificador único de usuario de Facebook (Facebook User ID).
• Nombre público del perfil de Facebook.
• Correo electrónico asociado a la cuenta de Facebook (solo si el usuario otorga el permiso).
• Identificador de la Página de Facebook seleccionada.
• Token de acceso de la Página (almacenado de forma segura para publicaciones).
• Identificador de la cuenta de Instagram Business (instagram_business_account_id).
• Nombre de usuario de Instagram (@username).

Este bloque se detalla en las secciones 4 y 5.

3. Cómo usamos su información

• Crear y gestionar su cuenta de usuario en la plataforma.
• Procesar pedidos, cobros y gestionar el historial de compras.
• Gestionar reservas de citas y enviar recordatorios.
• Publicar contenido en Instagram a través del servicio de gestión de posts (únicamente en las cuentas que el administrador-tenant haya conectado y autorizado explícitamente).
• Mejorar la experiencia del usuario y el rendimiento de la plataforma.
• Cumplir con obligaciones legales y responder a solicitudes de autoridades competentes.
• Enviar comunicaciones relacionadas con el servicio (no spam; solo notificaciones transaccionales).

No vendemos, alquilamos ni cedemos su información personal a terceros con fines publicitarios.

4. Integración con Meta — Facebook e Instagram

4.1 Inicio de sesión con Facebook (OAuth)

Ofrecemos la opción de iniciar sesión mediante Facebook OAuth en las plataformas tenant. Si usted elige esta opción, recibiremos de Meta los siguientes datos de su perfil público:

• Identificador de usuario de Facebook.
• Nombre y apellido (si están disponibles en su perfil).
• Correo electrónico (si el usuario otorga acceso).

Estos datos se usan exclusivamente para crear o asociar su cuenta en nuestra plataforma. No accedemos a su lista de amigos, publicaciones, mensajes privados ni ningún otro dato de su perfil de Facebook.

4.2 Conexión de Instagram Business para publicación de contenido

Los administradores de cada tenant pueden conectar voluntariamente su Cuenta Empresarial de Instagram para gestionar publicaciones desde el panel administrativo. Este proceso utiliza el flujo oficial de OAuth 2.0 de Meta y la Facebook Graph API v19.0.

El alcance de los permisos que solicitamos está estrictamente limitado a lo necesario para la publicación de contenido. Ver sección 5 para el detalle completo.

5. Instagram Graph API — Permisos, datos y uso

5.1 Permisos solicitados

Durante el flujo de autorización OAuth, nuestra aplicación solicita los siguientes permisos (scopes):

Permiso	Propósito	Datos accedidos
pages_show_list	Obtener la lista de Páginas de Facebook del usuario administrador para identificar la Página vinculada a la cuenta de Instagram Business.	ID y nombre de las Páginas; token de acceso de la Página seleccionada.
instagram_basic	Leer el ID de la Cuenta Empresarial de Instagram vinculada a la Página y obtener el nombre de usuario de Instagram.	Instagram Business Account ID y @username. Sin acceso a mensajes, seguidores, insights ni contenido privado.
instagram_content_publish	Crear contenedores de medios y publicar imágenes y carruseles en la cuenta de Instagram Business del administrador.	Únicamente las imágenes y pies de foto configurados por el propio administrador en el panel. No accedemos a contenido existente ni a métricas.

5.2 Flujo técnico de publicación

Cuando el administrador programa o publica inmediatamente una publicación desde nuestro panel:

1. Nuestro servidor crea un contenedor de medios en Meta llamando al endpoint POST /{ig_user_id}/media de la Graph API, con la imagen (servida públicamente desde nuestros servidores) y el pie de foto.
2. Meta descarga la imagen desde nuestra URL para procesarla.
3. Llamamos a POST /{ig_user_id}/media_publish para hacer efectiva la publicación en Instagram.
4. Almacenamos localmente el meta_container_id y el meta_media_id retornados por Meta, únicamente como referencia de auditoría interna.

Las imágenes publicadas en Instagram provienen exclusivamente del catálogo de productos del propio negocio. Nunca subimos imágenes de terceros sin autorización.

5.3 Token de acceso y seguridad

El token de acceso de larga duración (long-lived token, ~60 días de validez) de la Página de Facebook se almacena de forma cifrada en nuestra base de datos. Este token no se comparte con ningún tercero y se usa exclusivamente para realizar llamadas a la Graph API en nombre del administrador que lo otorgó. El administrador puede revocar el acceso en cualquier momento desde la Configuración de aplicaciones de Meta o desde el panel de Instagram de nuestra plataforma.

5.4 Uso legítimo y cumplimiento de políticas de Meta

Nuestra aplicación cumple con las Políticas de Plataforma de Meta y las Condiciones del Servicio de Meta para Desarrolladores. En particular:

• Solo solicitamos los permisos mínimos necesarios para la función de publicación de contenido.
• Los permisos se solicitan solo después de que el administrador inicia el flujo de conexión de forma voluntaria.
• Los datos obtenidos de la API de Meta se usan exclusivamente para la funcionalidad declarada (publicación de contenido en Instagram Business).
• Implementamos los callbacks obligatorios de eliminación de datos y desautorización de Meta (ver sección 7).
• No usamos los datos de la API de Meta para perfilado, publicidad dirigida ni ningún propósito no declarado.

6. WhatsApp Business y asistente con inteligencia artificial

Los negocios que usan nuestra plataforma pueden conectar su número de WhatsApp Business mediante la WhatsApp Business Platform (Cloud API) de Meta, para atender a sus clientes con un asistente automático con inteligencia artificial, responder desde un panel web y cargar su catálogo de productos.

Responsable y encargado. En este sitio, el responsable de los datos de las conversaciones es MUEBLERIA SARCHI, el negocio con el que usted conversa. Safewor Solutions actúa como encargado del tratamiento: opera la plataforma técnica por cuenta del negocio y no usa esos datos para fines propios.

6.1 Datos que tratamos cuando usted escribe por WhatsApp

• Identificación: su número de teléfono y el nombre de perfil que usted tiene en WhatsApp.
• Contenido: los mensajes de texto que envía y recibe, y las imágenes, documentos o notas de voz que comparte.
• Datos técnicos de Meta: identificadores de mensaje, fecha y hora, y estado de entrega y lectura.
• Datos que usted aporte en la conversación: por ejemplo, productos de interés, datos de un pedido o una solicitud de cita.

6.2 Para qué los usamos

• Responder sus consultas, mostrarle productos y precios, y ayudarle con pedidos, citas o reservas.
• Permitir que una persona del negocio retome la conversación cuando usted lo pida o cuando el caso lo requiera.
• Mantener el historial de la conversación para dar continuidad a la atención.
• Medir el uso del servicio (cantidad de conversaciones) para su facturación al negocio.

No usamos sus mensajes para publicidad, no vendemos su información y no le enviamos mensajes promocionales sin su consentimiento. Los mensajes que inicie el negocio fuera de una conversación abierta por usted se envían solo mediante las plantillas aprobadas por Meta y conforme a sus políticas.

6.3 Asistente con inteligencia artificial

Las respuestas automáticas se generan con un modelo de inteligencia artificial de Anthropic (Claude). Para redactar cada respuesta se envían al proveedor el mensaje recibido, parte del historial reciente de la conversación y la información del catálogo del negocio. Anthropic procesa esos datos únicamente para generar la respuesta, bajo sus términos comerciales, que no permiten usarlos para entrenar sus modelos.

• Usted está conversando con un asistente automático. Puede pedir en cualquier momento que lo atienda una persona.
• El asistente no toma decisiones con efectos legales o similares sobre usted; las confirmaciones de pedidos, pagos y citas las revisa el negocio.

6.4 Uso simultáneo de la aplicación WhatsApp Business

El negocio puede atender desde la aplicación WhatsApp Business de su teléfono y, a la vez, desde nuestra plataforma (modalidad de coexistencia de Meta). Los mensajes que el negocio envía desde la aplicación también quedan registrados en la plataforma, para que la conversación esté completa y el asistente automático no responda encima de una persona.

6.5 Credenciales y seguridad

Los tokens de acceso de la Cloud API y la clave secreta de la aplicación de Meta de cada negocio se almacenan de forma restringida y solo los administra el equipo técnico de la plataforma. Cada mensaje que Meta envía a nuestro servidor se valida con una firma criptográfica (HMAC-SHA256) antes de procesarse. Los archivos multimedia se descargan a nuestros servidores solo para que el negocio y el asistente puedan verlos.

6.6 Retención y eliminación

• Las conversaciones se conservan mientras el negocio mantenga activo el servicio, o hasta que usted solicite su eliminación.
• Puede pedir la eliminación de sus conversaciones y datos escribiendo al negocio por WhatsApp o por los medios de la sección de contacto. La atenderemos en un plazo máximo de 30 días.
• Si el negocio desconecta su número de la plataforma, sus credenciales de Meta se eliminan.

El uso de WhatsApp también se rige por la Política de Privacidad de WhatsApp y la Política de WhatsApp Business.

7. Callbacks de eliminación y desautorización de Meta

Conforme a los requisitos de la Plataforma de Meta para aplicaciones que usan la Graph API, hemos implementado los siguientes endpoints de callback:

7.1 Callback de eliminación de datos (Data Deletion Callback)

Endpoint: POST https://main.safeworsolutions.com/facebook/data-deletion

Cuando un usuario solicita la eliminación de sus datos a través de los mecanismos de Meta (por ejemplo, desde la configuración de privacidad de Facebook), Meta notifica a nuestra plataforma mediante una petición firmada con HMAC-SHA256 usando nuestra App Secret. Al recibir esta solicitud:

1. Validamos la firma criptográfica de la solicitud para garantizar que proviene genuinamente de Meta.
2. Extraemos el Facebook User ID del payload.
3. Eliminamos permanentemente todos los registros de Instagram Account asociados a ese usuario (incluyendo tokens de acceso, historial de publicaciones y medios vinculados).
4. Registramos la solicitud con un código de confirmación único.
5. Retornamos a Meta la URL de verificación del estado de la solicitud: GET /facebook/deletion-status/{confirmation_code}

Procesamos las solicitudes de eliminación en un plazo máximo de 30 días hábiles.

7.2 Callback de desautorización (Deauthorize Callback)

Endpoint: POST https://main.safeworsolutions.com/facebook/deauthorize

Cuando un usuario revoca los permisos de nuestra aplicación desde la configuración de Meta, este callback se activa. Al recibirlo, desactivamos la cuenta de Instagram vinculada (is_active = false) y anulamos el token de acceso almacenado. El historial de publicaciones anteriores se conserva como registro de auditoría pero sin información identificable del usuario de Meta.

7.3 Verificación del estado de eliminación

Cualquier usuario puede verificar el estado de su solicitud de eliminación en:
GET https://main.safeworsolutions.com/facebook/deletion-status/{codigo_confirmacion}

8. Compartir información con terceros

Safewor Solutions no vende su información personal. Podemos compartir datos en los siguientes casos limitados:

• Meta Platforms, Inc.: al usar la Graph API de Instagram, las imágenes y pies de foto que usted (administrador) configura son procesados por los servidores de Meta para su publicación. Esta transferencia está sujeta a la Política de Privacidad de Meta.
• Meta Platforms, Inc. / WhatsApp LLC: los mensajes de WhatsApp se transmiten por la WhatsApp Business Platform (Cloud API) de Meta, conforme a la Política de WhatsApp Business.
• Anthropic, PBC: procesa el contenido de las conversaciones de WhatsApp únicamente para generar las respuestas del asistente automático (ver sección 6.3).
• Procesadores de pago: PayPal y SINPE Móvil procesan los pagos bajo sus propias políticas de privacidad. No almacenamos datos completos de tarjetas de crédito.
• Autoridades legales: cuando sea requerido por ley, orden judicial o proceso legal válido.

9. Eliminación de sus datos

Usted tiene derecho a solicitar la eliminación de su información personal en cualquier momento. Para hacerlo:

• Correo electrónico: info@safeworsolutions.com
• WhatsApp: 84850274
• A través del mecanismo automático de eliminación de Meta (ver sección 7).

Procesaremos su solicitud en un plazo máximo de 30 días hábiles. Tenga en cuenta que ciertos datos pueden conservarse si así lo requiere la ley (por ejemplo, registros de transacciones contables).

10. Seguridad de la información

Implementamos las siguientes medidas técnicas y organizativas para proteger su información:

• Transmisión de datos exclusivamente mediante HTTPS (TLS 1.2 o superior).
• Contraseñas almacenadas con hash seguro (bcrypt).
• Tokens de acceso de Meta almacenados de forma cifrada en la base de datos.
• Validación criptográfica (HMAC-SHA256) de todos los callbacks de Meta.
• Protección CSRF en todos los formularios de la plataforma.
• Separación de bases de datos por tenant (arquitectura multi-tenant con Stancl/Tenancy).
• Mecanismos de bloqueo de concurrencia para evitar duplicación de procesos automatizados.

Ningún sistema de transmisión de datos por internet es 100% seguro. Si detecta alguna vulnerabilidad de seguridad, por favor notifíquenos de inmediato a info@safeworsolutions.com.

11. Cookies y sesiones

• Cookies de sesión: esenciales para mantener el carrito de compras, la sesión de usuario y el estado de autenticación. No persisten después de cerrar el navegador.
• Token de sesión CSRF: protege contra ataques de tipo Cross-Site Request Forgery.
• Estado OAuth: cookie temporal usada durante el flujo de autorización con Meta (se elimina al completar el proceso).

No usamos cookies de seguimiento publicitario de terceros.

12. Retención de datos

• Cuentas de usuario: conservadas mientras la cuenta esté activa. Eliminadas a solicitud del usuario.
• Historial de pedidos: conservado por hasta 5 años por requisitos contables y legales.
• Tokens de acceso de Meta: eliminados inmediatamente al desconectar la cuenta de Instagram o al recibir un callback de eliminación/desautorización.
• Publicaciones de Instagram: el registro de publicaciones (texto, estado, IDs de Meta) se conserva como historial interno del tenant. Las imágenes no se conservan en nuestros servidores una vez publicadas.
• Conversaciones de WhatsApp: mientras el negocio mantenga activo el servicio o hasta que usted solicite su eliminación (ver sección 6.6).
• Registros de solicitudes de eliminación de Meta: conservados 90 días como evidencia de cumplimiento.

13. Cambios a esta política

Podemos actualizar esta política ocasionalmente para reflejar cambios en nuestras prácticas o en los requisitos legales y de las plataformas de terceros (incluyendo las Políticas de Plataforma de Meta). Notificaremos cambios significativos publicando la nueva versión en esta página con la fecha de actualización. Para cambios que afecten la forma en que procesamos sus datos de Meta, procuraremos notificarle con al menos 7 días de anticipación.

14. Contacto

Si tiene preguntas, solicitudes de acceso, rectificación o eliminación de datos, comuníquese con nosotros:

• Empresa: Safewor Solutions
• Sitio web: main.safeworsolutions.com
• Correo: info@safeworsolutions.com
• WhatsApp: 84850274