Aviso de privacidad

Este aviso explica cómo Luci ("Luci" o "nosotros") recaba, usa y protege los datos personales cuando visitas www.luci.mx, contratas o usas la plataforma de Luci (chat.luci.mx) o conversas con un agente de IA que un cliente de Luci puso en operación. Es nuestro aviso de privacidad integral conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Para cualquier tema de privacidad, incluido el ejercicio de tus derechos, escríbenos a hola@luci.mx.

1. Datos que recabamos

Visitantes del sitio

Si nos contactas o agendas una demo, recabamos los datos que nos das: nombre, empresa, correo, teléfono y el contenido de tu mensaje. Nuestros servidores guardan registros técnicos básicos (dirección IP, navegador, páginas consultadas y fecha) por seguridad y operación. El sitio no usa cookies de publicidad ni de analítica.

Usuarios empresariales de la plataforma

De las empresas que usan Luci y de los integrantes de su equipo recabamos datos de cuenta (nombre, correo de trabajo, teléfono, rol y contraseña, que se guarda cifrada con hash) y la configuración de sus agentes (precios, catálogos, reglas y documentos de conocimiento que suben).

Contratación, pago y facturación

Cuando una empresa contrata Luci desde chat.luci.mx/contratar, recabamos:

• Datos de quien contrata: nombre, correo y contraseña de la persona que crea la cuenta, nombre de la empresa y el plan elegido.
• Datos fiscales, si pides factura: RFC, nombre o razón social, régimen fiscal, código postal fiscal, uso del CFDI y correo de facturación. Si la empresa que contrata es una persona física, estos datos son datos personales.
• Verificación anti-bots: al registrarte usamos hCaptcha para comprobar que no eres un programa automatizado. Para eso, hCaptcha procesa tu dirección IP y señales técnicas de tu navegador y dispositivo, y puede usar sus propias cookies. Aplican su aviso de privacidad y sus términos.

No guardamos datos de tu tarjeta. Los cobros de Luci se procesan con Stripe: capturas los datos de tu tarjeta directamente en el formulario de Stripe, que es quien los recibe y resguarda. Luci no ve ni almacena el número de tu tarjeta ni su código de seguridad. Para crear tu suscripción le compartimos a Stripe el correo de quien contrata y la referencia del pedido; de Stripe solo recibimos la confirmación del pago y sus datos básicos (monto, fecha, estado del cobro y de la suscripción).

Quién ve la facturación de una cuenta. Cualquier persona con rol de administrador vigente en la cuenta puede ver su contratación, sus cargos y facturas, pagar, actualizar la tarjeta, cancelar o reactivar. En el portal de Stripe, los administradores ven la marca y los últimos 4 dígitos de la tarjeta registrada, aunque la haya registrado otra persona, y el correo de quien pagó. Quien deja de ser administrador pierde ese acceso.

Clientes y candidatos de nuestros clientes

Las empresas usan Luci para atender a sus clientes y candidatos por los canales que conectan: WhatsApp, Instagram, Facebook, Telegram o correo, entre otros. Cada empresa elige cómo conectar WhatsApp: con la API oficial de WhatsApp Business de Meta o vinculando su número con un código QR. Cuando alguien escribe a una empresa por uno de esos canales, Luci recibe la conversación: nombre, teléfono o usuario, mensajes, notas de voz, imágenes y los archivos que envíe (por ejemplo, comprobantes de pago o CV).

Candidatos en procesos de reclutamiento. Si una empresa usa Luci para reclutar, sus candidatos pueden enviar por el chat documentos como identificación oficial (INE), CURP, NSS, licencia de conducir, comprobante de domicilio o constancias, y en ocasiones datos de salud. Algunos de estos son datos personales sensibles: la empresa que recluta decide cuáles pide, debe informar a sus candidatos con su propio aviso de privacidad y obtener su consentimiento expreso cuando la ley lo exige. Luci los trata solo para prestarle el servicio a esa empresa.

¿Quién responde por estos datos? En palabras simples:

• La empresa es la dueña de la relación con sus contactos. Ella decide para qué usa esos datos y es responsable de tratarlos conforme a la ley y de que su propio equipo los use correctamente. En términos de la LFPDPPP, la empresa es la responsable.
• Luci es la capa de seguridad de la información. Ciframos y guardamos esos datos de forma segura, y los usamos solo para prestar el servicio que la empresa contrató, conforme a sus instrucciones. Nunca para fines propios. En términos de la LFPDPPP, Luci es el encargado.

Por eso, si eres cliente o candidato de una empresa que usa Luci y quieres consultar, corregir o borrar tus datos, lo más rápido es pedírselo a esa empresa. También puedes escribirnos a hola@luci.mx: le haremos llegar tu solicitud y la ayudaremos a atenderla.

De cuentas de Google conectadas (Google Calendar)

La integración con Google Calendar es opcional. Accedemos a datos de Google Calendar solo de las cuentas que un usuario conecta de forma explícita. Si no hay ninguna cuenta de Google conectada, Luci no accede a ningún dato de usuario de Google. Al conectarla, Luci solicita estos permisos: calendar.readonly (para listar los calendarios disponibles en la cuenta) y calendar.events (para ver, crear, actualizar y cancelar eventos).

De un calendario conectado leemos y guardamos la lista de calendarios (nombre e identificador) y los eventos necesarios para agendar (título, hora de inicio y fin, estado y asistentes), junto con los tokens de OAuth que permiten a Luci actuar en la cuenta.

De cuentas de Google conectadas (Gmail)

Un usuario empresarial puede conectar, de forma opcional, una cuenta de Gmail como bandeja de correo en Luci. Al conectarla, Luci solicita el permiso gmail.modify, además de email y profile para identificar la cuenta. Lo usamos para leer los correos que llegan a esa bandeja y mostrarlos como conversaciones en Luci, y para enviar las respuestas que la empresa escribe desde Luci. Si no hay ninguna cuenta de Gmail conectada, Luci no accede a datos de Gmail.

2. Cómo usamos los datos

Usamos los datos personales para estas finalidades, necesarias para prestar el servicio:

• Operar la plataforma: recibir y contestar conversaciones, ejecutar los agentes de IA que configuran nuestros clientes, asignar conversaciones a su equipo y escalar a una persona.
• Ejecutar las acciones que la empresa habilita: cotizaciones, validación de comprobantes de pago (SPEI), lectura de documentos, agendamiento de citas y seguimientos.
• Crear y administrar cuentas y dar soporte, también por el chat de ayuda de la plataforma, que atiende un agente de IA y puede pasar la conversación a una persona del equipo de Luci.
• Cobrar la suscripción: procesar el pago, los reintentos de cobro, la suspensión por falta de pago, la reactivación, las cancelaciones y los reembolsos.
• Facturar: validar los datos fiscales ante el SAT antes del cobro y emitir, enviar, cancelar y conservar los comprobantes fiscales (CFDI), las notas de crédito y la factura global a público en general.
• Mantener la seguridad del servicio, prevenir registros automatizados, fraude y abuso, y cumplir obligaciones legales, incluidas las fiscales.

Luci no usa la información de sus clientes ni la de sus conversaciones para entrenar ni reentrenar modelos de IA. Los agentes de Luci funcionan con modelos de IA de proveedores externos, en las condiciones que se describen en la sección 4.

Google Calendar. Después de que un usuario empresarial conecta su Google Calendar, Luci lista sus calendarios disponibles para que elija uno para agendar. El usuario empresarial puede ver los eventos existentes para revisar disponibilidad, y crear, actualizar o cancelar eventos al agendar citas con sus clientes. Los datos del calendario se usan solo para estas funciones de agendamiento.

Gmail. Los correos de una bandeja de Gmail conectada se usan solo para mostrarlos como conversaciones en Luci y para enviar las respuestas que el usuario empresarial escribe o aprueba. Los datos de Gmail se usan solo para esta función de bandeja de correo.

Finalidades adicionales, no necesarias para el servicio: enviarte novedades y comunicaciones comerciales de Luci. Puedes negarte en cualquier momento escribiendo a hola@luci.mx o con la liga para darte de baja de cada correo. Nunca usamos datos de usuario de Google ni los datos de los clientes y candidatos de nuestros clientes para estas finalidades.

3. Datos de usuario de Google y Uso Limitado

El uso de datos de usuario, sin procesar o derivados, recibidos de las API de Workspace se apegará a la Política de Datos de Usuario de Google, incluidos los requisitos de Uso Limitado ("The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.").

En particular, respecto de los datos obtenidos por las API de Google (Google Calendar y Gmail):

• Los usamos solo para prestar o mejorar las funciones descritas arriba, que el usuario ve en la interfaz de Luci.
• No los transferimos a terceros, salvo cuando es necesario para prestar esas funciones, por seguridad, para cumplir la ley aplicable o como parte de una fusión o adquisición con consentimiento previo del usuario.
• No los usamos ni transferimos para publicidad, incluida la personalizada, de retargeting o basada en intereses.
• No los vendemos ni los usamos para evaluar solvencia crediticia ni para otorgar créditos.
• No los usamos para desarrollar, mejorar ni entrenar modelos generalizados o no personalizados de IA o aprendizaje automático.
• Ninguna persona de Luci los lee, salvo que el usuario nos dé su consentimiento expreso para datos específicos (por ejemplo, en una solicitud de soporte), sea necesario por seguridad o para cumplir la ley aplicable, o se trate de datos agregados y anonimizados para operaciones internas.

4. No compartimos ni vendemos datos personales

No compartimos ni vendemos datos personales. Para que el servicio funcione, Luci se apoya en proveedores que procesan datos por cuenta de Luci, solo para prestar el servicio, bajo nuestras instrucciones y con obligaciones de confidencialidad y seguridad. No reciben los datos para sus propios fines. En términos de la LFPDPPP, son encargados de Luci (una "remisión"), no una transferencia, por lo que no requieren tu consentimiento:

• Nube: Google Cloud (servidores, bases de datos y almacenamiento de archivos) y Cloudflare (DNS y protección de red).
• Modelos de inteligencia artificial: Luci usa modelos de lenguaje (LLM) y otros modelos de IA de proveedores externos, alojados y operados en Estados Unidos, para generar las respuestas de los agentes, entender notas de voz, imágenes y documentos, preparar y ordenar la base de conocimiento para las búsquedas y atender el chat de ayuda de la plataforma. Los modelos que generan las respuestas y los que leen notas de voz, imágenes y documentos se usan en modalidades de pago en las que el proveedor no usa las instrucciones ni las respuestas para entrenar ni mejorar sus modelos; solo las conserva por un tiempo limitado para detectar abusos y cumplir obligaciones legales.
• Facturación: Facturapi, proveedor de facturación electrónica y proveedor de certificación (PAC). Recibe los datos fiscales para validarlos ante el SAT, timbrar los CFDI y enviarlos al correo de facturación.
• Correo y verificación: Brevo (correos transaccionales) y Stytch (verificación del teléfono de los integrantes del equipo).
• Verificación anti-bots: hCaptcha, en el registro de la contratación (ver la sección 1).

Hay casos en los que tus datos pasan por plataformas que tienen su propia relación contigo:

• Canales de mensajería. Si escribes por WhatsApp, Instagram, Messenger u otro canal, ese canal (por ejemplo, Meta) es el medio por el que conversas con la empresa, y trata tus mensajes conforme a sus propios términos y aviso de privacidad, que aceptaste al usar su aplicación. Luci no le entrega datos adicionales.
• Pagos. Cuando pagas con tarjeta, capturas tus datos directamente en Stripe, que los trata conforme a su propio aviso de privacidad y a los estándares de seguridad de la industria de tarjetas (PCI DSS). Stripe también puede usar sus propias cookies para prevenir fraude. Luci no recibe ni guarda los datos de la tarjeta.

Comunicación al SAT. Cada CFDI que emitimos se transmite al Servicio de Administración Tributaria (SAT) a través del PAC, porque la ley fiscal lo exige. Es una comunicación a una autoridad por obligación legal, que no requiere tu consentimiento.

Fuera de lo anterior, solo revelaríamos datos cuando lo exija la ley o lo ordene una autoridad competente. Si alguna vez necesitáramos transferir datos de una forma que requiera tu consentimiento, te lo pediríamos antes.

5. Transferencias internacionales

Nuestros servidores están en Estados Unidos (Google Cloud). Los modelos de IA de la sección 4 están alojados y operan en Estados Unidos. Otros proveedores de esa sección, como Stripe y hCaptcha, pueden tratar datos en Estados Unidos, Canadá o en otros países donde tienen infraestructura. Al usar Luci, tus datos pueden guardarse y tratarse fuera de México, siempre con las medidas de seguridad de este aviso.

6. Conservación y eliminación

• Datos de cuenta y configuración: mientras la cuenta esté activa y hasta 90 días después de que termine la suscripción. Durante ese plazo la cuenta se puede reactivar con sus datos o se puede pedir su exportación.
• Conversaciones y archivos (incluidos los documentos de candidatos): mientras la empresa los conserve en su cuenta o hasta que nos indique borrarlos.
• Comprobantes fiscales (CFDI, sus XML y PDF) y los datos fiscales con que se emitieron: 5 años, como lo exige el Código Fiscal de la Federación. Registros de pagos y reembolsos: el mismo plazo.
• Datos fiscales de una contratación que no se llegó a pagar: los eliminamos cuando dejan de ser necesarios para aclarar ese intento de compra.
• Datos de Google: mientras la cuenta de Google siga conectada. Cuando un usuario la desconecta en Luci, dejamos de acceder a ella y eliminamos los tokens de OAuth guardados y los datos de calendario y correo sincronizados en un plazo máximo de 30 días. También puedes revocar el acceso de Luci en cualquier momento desde myaccount.google.com/permissions.

7. Seguridad

Luci es una capa de seguridad para la información de nuestros clientes. Aplicamos medidas administrativas, técnicas y físicas para proteger los datos personales contra daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizado. Entre ellas:

• Cifrado en tránsito: las conexiones con el sitio y con la plataforma viajan cifradas (HTTPS con TLS), y las que llegan sin cifrar se redirigen a una conexión cifrada.
• Cifrado en reposo: las bases de datos, los discos de los servidores y los archivos se guardan cifrados en la infraestructura de Google Cloud.
• Contraseñas y tarjetas: las contraseñas se guardan con un algoritmo de hash, nunca en texto legible, y Luci no guarda datos de tarjetas: los recibe y resguarda Stripe.
• Control de acceso por cuenta: la información de cada empresa está asociada a su propia cuenta y solo la consultan los usuarios de esa cuenta, con los permisos del rol que les asigna su administrador.
• Acceso de nuestro equipo: el acceso a los servidores de producción está limitado a personal autorizado, con cuentas individuales y por un canal controlado de Google Cloud que no está abierto a internet. Para dar soporte, nuestro equipo solo entra a la cuenta de una empresa cuando hace falta para atender su solicitud.
• Respaldos: la base de datos de producción tiene respaldos automáticos diarios y permite recuperar la información a un momento anterior.

Ningún sistema es infalible. Si ocurre una vulneración de seguridad que afecte de forma significativa tus derechos patrimoniales o morales, te lo informaremos sin demora, para que puedas tomar las medidas que correspondan.

8. Tus derechos

Puedes solicitar el acceso, rectificación o cancelación de tus datos personales, oponerte a su uso, revocar tu consentimiento o limitar su uso o divulgación (derechos ARCO). Envía tu solicitud a hola@luci.mx con tu nombre, los datos o el derecho de que se trata y copia de una identificación para verificar tu identidad. Te responderemos en un plazo máximo de 20 días hábiles y, si la solicitud procede, la haremos efectiva dentro de los 15 días hábiles siguientes a nuestra respuesta. Algunos datos no se pueden cancelar mientras la ley obligue a conservarlos (por ejemplo, los de un CFDI ya emitido). Si consideras que no se respetaron tus derechos, puedes acudir a la autoridad competente en materia de protección de datos personales en México.

9. Cambios a este aviso

Publicaremos cualquier cambio en esta página y actualizaremos la versión y la fecha de arriba. Si el cambio es importante, también avisaremos a los usuarios registrados por correo o dentro de la plataforma.

10. Contacto

Para cualquier tema relacionado con este aviso o con tus datos personales, escríbenos a hola@luci.mx. El uso de la plataforma se rige además por nuestros Términos y Condiciones. Este aviso también está disponible en inglés; en caso de diferencia, prevalece la versión en español.