Política de Privacidad

Vigente desde: 6 de mayo de 2026 · Última actualización: 22 de octubre de 2026

Esta Política describe cómo Valentino Galfre, en adelante "galfredev" o el "Prestador", recolecta, utiliza, almacena y protege los datos personales que se procesan a través de los asistentes virtuales de WhatsApp que diseña, opera y mantiene en nombre de sus clientes (empresas y otras organizaciones).

Esta Política se redactó en cumplimiento de la Ley 25.326 de Protección de Datos Personales de la República Argentina, sus normas reglamentarias, las Disposiciones de la Agencia de Acceso a la Información Pública (AAIP) y los principios del Reglamento (UE) 2016/679 (RGPD) en lo aplicable a transferencias internacionales.

1. Identificación y rol

Valentino Galfre (galfredev), con domicilio en la República Argentina y contacto en legal@galfredev.com, opera asistentes virtuales sobre la plataforma WhatsApp en representación y por cuenta de organizaciones cliente (en adelante, los Clientes).

En los términos de la Ley 25.326, en cada implementación:

• El Cliente (por ejemplo, la empresa que contrata el asistente) es el Responsable del tratamiento de los datos personales de sus clientes y usuarios.
• galfredev actúa como Encargado del tratamiento, procesando los datos exclusivamente conforme a las instrucciones del Cliente y para las finalidades descritas en esta Política.

2. Ámbito de aplicación

Esta Política aplica a:

• Los mensajes que un usuario final envía al asistente virtual a través del número de WhatsApp del Cliente.
• Los datos de identificación que el asistente solicita al usuario para operar (por ejemplo, nombre, apellido, DNI, fecha de nacimiento, número de cliente o de socio, motivo de consulta).
• Los archivos y multimedios que el usuario envía voluntariamente al asistente (audios, imágenes, documentos administrativos).
• Los metadatos técnicos asociados a la conversación (número de teléfono, timestamps, identificadores internos de WhatsApp).

Esta Política no aplica a sitios web, aplicaciones o servicios operados directamente por el Cliente o por terceros distintos del Prestador.

Esta Política no aplica al canal oficial de WhatsApp de galfredev (+54 9 351 892-2197), en el que galfredev actúa como Responsable del tratamiento. Ese canal se rige por la política publicada en galfredev.com/privacidad.

3. Datos personales que se recolectan

3.1 Datos identificatorios

• Nombre y apellido.
• Documento Nacional de Identidad (DNI).
• Fecha de nacimiento.
• Sexo (cuando lo solicita el sistema de gestión del Cliente).
• Número de teléfono asociado a la cuenta de WhatsApp del usuario.
• Correo electrónico (si el usuario lo proporciona).

3.2 Datos de cliente o de socio

• Plan o categoría contratada con el Cliente.
• Número de cliente o de socio.
• Imagen de la credencial o del comprobante, cuando el usuario la envía voluntariamente para tramitar gestiones.

3.3 Datos sensibles

Son datos sensibles según el artículo 2° de la Ley 25.326 los que revelan origen racial y étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical o información referente a la salud o la vida sexual, y reciben el tratamiento más estricto previsto por la norma. En el marco de los asistentes virtuales se pueden procesar datos sensibles únicamente cuando el usuario los comparte voluntariamente, por ejemplo cuando:

• El usuario menciona en sus mensajes información sensible para coordinar un turno o una gestión.
• El usuario envía una foto de un documento para que el asistente la enrute al flujo administrativo correspondiente.
• El asistente entrega al usuario un archivo cargado por el equipo del Cliente (por ejemplo, un informe o un comprobante).

El asistente no interpreta ese contenido ni emite opiniones profesionales sobre él. Su función respecto a datos sensibles se limita a transportar, enrutar y entregar al equipo humano del Cliente, que es el único habilitado para evaluarlos.

3.4 Contenido de la conversación

• Texto de los mensajes intercambiados entre el usuario y el asistente.
• Audios enviados por el usuario y su transcripción automática a texto.
• Imágenes administrativas (comprobantes, autorizaciones, formularios).

3.5 Metadatos técnicos

• Identificadores internos de mensaje y conversación de WhatsApp.
• Marcas temporales (recepción, procesamiento, respuesta).
• Identificador de sesión interna del asistente.
• Errores y eventos del sistema (sin contenido del mensaje, redactados de PII).

4. Finalidades del tratamiento

Los datos descritos en la sección 3 se tratan exclusivamente para las siguientes finalidades:

1. Atender las consultas del usuario: responder preguntas sobre el servicio del Cliente, sus servicios, horarios, ubicación, medios de pago aceptados y precios informados por el Cliente.
2. Gestionar turnos o reservas: consultar disponibilidad, reservar, confirmar, recordar, cancelar o reprogramar turnos o reservas en el sistema de gestión del Cliente, en nombre del usuario y previa confirmación de los datos por su parte.
3. Tramitar solicitudes administrativas: recopilar la documentación que el Cliente requiere para sus gestiones y derivar la solicitud al equipo humano del Cliente.
4. Entregar archivos: cuando el equipo del Cliente carga un archivo en su sistema de gestión para un usuario determinado, el asistente puede entregárselo por WhatsApp previa validación cruzada de identidad.
5. Derivar a un agente humano: cuando la consulta excede el alcance del asistente o el usuario lo solicita, transferir el contexto de la conversación al equipo humano del Cliente.
6. Operar y mejorar el servicio: procesar telemetría agregada y anonimizada para auditar el funcionamiento del asistente, prevenir abusos, detectar incidentes y mejorar la calidad del servicio.
7. Cumplir obligaciones legales: responder a requerimientos de autoridades competentes y atender el ejercicio de derechos del titular previstos por la Ley 25.326.

Los datos no se utilizan para perfilamiento publicitario, venta a terceros, entrenamiento de modelos de inteligencia artificial fuera del flujo operativo del asistente, ni para finalidades distintas de las indicadas en esta sección.

5. Base legal del tratamiento

• Consentimiento del titular (artículo 5° de la Ley 25.326) para los datos identificatorios y de cliente. El consentimiento se considera prestado al iniciar voluntariamente una conversación con el asistente y continuar el flujo de identificación.
• Consentimiento expreso (artículo 7° de la Ley 25.326) para el tratamiento de datos sensibles, manifestado por la entrega voluntaria del usuario al asistente o al equipo humano del Cliente.
• Ejecución de la relación entre el Cliente y sus usuarios, en el marco de la cual el asistente opera como herramienta del Cliente.
• Cumplimiento de obligaciones legales aplicables al Cliente y al Prestador.

6. Cesión a terceros

galfredev no comercializa datos personales con terceros. Los datos únicamente se comparten en los siguientes casos, exclusivamente para cumplir las finalidades de la sección 4:

Los proveedores de infraestructura y los servicios de procesamiento de lenguaje natural operan bajo contratos de tratamiento de datos que les obligan a: (i) usar los datos exclusivamente para prestar el servicio contratado; (ii) aplicar medidas de seguridad adecuadas; (iii) no realizar transferencias adicionales sin autorización; y (iv) eliminarlos al cesar la relación.

7. Transferencias internacionales

Los servicios de OpenAI y Anthropic, así como algunos servicios de infraestructura, pueden almacenar y procesar los datos en países distintos de la República Argentina — principalmente Estados Unidos de América.

Estados Unidos no figura en la nómina oficial de países considerados con nivel adecuado de protección de datos por la AAIP. Por este motivo, las transferencias se realizan amparadas en cláusulas contractuales que imponen obligaciones equivalentes a las previstas por la Ley 25.326, conforme a lo previsto por la Disposición 60-E/2016 de la AAIP.

Las transferencias se limitan al mínimo necesario para procesar el mensaje y obtener una respuesta. No se transfieren archivos cargados por el Cliente ni datos sensibles agregados a estos proveedores.

8. Conservación y eliminación

Los plazos de conservación se ajustan al principio de minimización:

• Sesión de conversación en memoria operativa (Redis): hasta 24 horas desde el último mensaje, cifrada en reposo con AES-256-GCM.
• Mensajes y turnos en la base de datos persistente del servicio: conforme a las instrucciones del Cliente y a sus obligaciones de conservación documental, con un máximo razonable que el Cliente determina.
• Imágenes y archivos multimedia: tiempo de retención agresivo de aproximadamente una hora; nunca se incluyen en los respaldos de larga duración.
• Registros técnicos (logs): hasta 30 días, con redacción automática de datos personales identificatorios (DNI, número de teléfono).
• Telemetría agregada y anonimizada: sin plazo, dado que no permite identificar al titular.

Al finalizar la relación contractual con un Cliente, el Prestador devuelve o elimina, a elección del Cliente, los datos personales correspondientes a sus usuarios, en formato CSV o JSON. Los respaldos cifrados que pudieran contener datos residuales se eliminan dentro de los plazos máximos de retención de los proveedores de infraestructura.

9. Medidas de seguridad

El Prestador implementa medidas técnicas y organizativas razonables y proporcionales al riesgo, entre otras:

• Cifrado de datos en tránsito mediante TLS 1.2 o superior, sin excepciones.
• Cifrado de la sesión conversacional en reposo (AES-256-GCM) con claves rotables y almacenadas fuera del repositorio del código.
• Validación de la firma HMAC-SHA256 de los webhooks recibidos desde Meta para garantizar la autenticidad del origen.
• Validación cruzada de identidad antes de entregar archivos al usuario (cotejo entre el documento solicitado y el número de teléfono asociado).
• Redacción automática de datos identificatorios sensibles en los registros técnicos enviados a herramientas de observabilidad externas.
• Principio del mínimo privilegio en el acceso a los sistemas de gestión del Cliente: únicamente los permisos estrictamente necesarios para operar.
• Rotación regular de credenciales y revocación inmediata ante el cese de la relación o ante un incidente.
• Respaldos cifrados de las bases de datos persistentes, con verificación periódica de integridad.
• Monitoreo continuo de errores y eventos de seguridad, con notificación interna inmediata ante cualquier sospecha de incidente.

Pese a las medidas adoptadas, ningún sistema informático puede garantizar de forma absoluta la inviolabilidad de los datos. El Prestador asume el deber de notificar al Cliente cualquier incidente de seguridad que afecte datos personales en un plazo no mayor a 72 horas desde su toma de conocimiento, conforme a las mejores prácticas y a las previsiones contractuales en cada caso.

10. Derechos del titular de los datos

En su calidad de titular de los datos personales, el usuario tiene derecho a:

• Acceder a los datos que el Prestador o el Cliente conservan sobre su persona, gratuitamente y a intervalos no inferiores a seis meses, salvo que acredite un interés legítimo a tal efecto.
• Rectificar los datos inexactos, incompletos o desactualizados.
• Suprimir los datos cuando ya no sean necesarios para la finalidad para la que se recolectaron, salvo obligación legal de conservación.
• Solicitar la confidencialidad y oponerse a tratamientos que no estén amparados por una base legítima.
• Revocar el consentimiento previamente otorgado, sin efecto retroactivo.

Los derechos pueden ejercerse en primer término ante el Cliente que opera el asistente (Responsable del tratamiento) o, complementariamente, ante el Prestador en su calidad de Encargado, escribiendo a legal@galfredev.com. La solicitud debe incluir la identificación del titular y descripción del derecho que se ejerce. El Prestador responde dentro de los plazos previstos por la Ley 25.326.

Asimismo, el titular puede presentar denuncia ante la Agencia de Acceso a la Información Pública de la República Argentina, órgano de control de la Ley 25.326.

11. Menores de edad

El servicio está destinado a personas mayores de edad o que cuenten con la representación legal correspondiente. Cuando el asistente reciba mensajes referidos a un usuario menor de edad, se entiende que la persona que envía los mensajes lo hace en su carácter de representante legal y asume las responsabilidades inherentes a esa representación.

12. Cookies y tecnologías similares

Los asistentes virtuales operan exclusivamente sobre WhatsApp y no utilizan cookies en el dispositivo del usuario. Los sitios web auxiliares operados por el Prestador (incluyendo este sitio legal) no utilizan cookies de seguimiento ni publicitarias.

13. Modificaciones

El Prestador puede modificar esta Política para reflejar cambios normativos, operativos o tecnológicos. La versión vigente es siempre la publicada en galfredev.com/privacy, con su fecha de actualización. Los cambios sustanciales se comunican al Cliente con anticipación razonable para que pueda informarlos al usuario final.

14. Legislación aplicable y jurisdicción

Esta Política se rige por las leyes de la República Argentina. Toda controversia se someterá a los tribunales ordinarios competentes con asiento en la Ciudad Autónoma de Buenos Aires, salvo que una norma imperativa o un acuerdo escrito específico disponga otra cosa.

15. Contacto

Para consultas sobre esta Política, ejercicio de derechos o cualquier asunto relacionado con el tratamiento de datos personales:

• Correo electrónico: legal@galfredev.com.
• Responsable: Valentino Galfre, en su carácter de titular de la marca galfredev.