Privacy Policy
Nexum Studio (“Nexum”, “we”) builds and operates AI-powered WhatsApp assistants for businesses. This policy explains what personal data we process, why, with whom we share it and how you can exercise your rights.
1. Who is responsible
Data controller: Francisco Silva (Nexum Studio), Argentina. Contact: contacto@nexumstudio.com.ar.
When a person writes to a business that uses our assistant, that business is the controller of its customers’ data and Nexum acts as its processor, following the business’s instructions. Nexum is the controller of the data of its own customers (the businesses) and of the people who write to Nexum’s own WhatsApp number.
2. Data we process
- People who write on WhatsApp: phone number, WhatsApp profile name, the content of the messages (text, images, voice messages and documents) and the data the person chooses to share (for example name, email or what they are looking for).
- Information generated by the service: conversation status, labels, a short summary of interest, lead stage and “temperature”, appointments booked through the assistant, and activity statistics.
- Businesses that connect their WhatsApp through Meta’s Embedded Signup: business name, WhatsApp Business Account and phone number IDs, the phone number, contact emails and the access token Meta issues so we can operate that account on their behalf. The token is stored only on our server and is used only to provide the service.
- Users of our client portal: email address, login times and changes made to the settings.
3. Purposes
- Answering messages automatically and passing conversations to the business’s team when needed.
- Recording leads, booking and reminding appointments, and notifying the business’s team.
- Generating activity reports for the business and keeping the service secure and working.
We do not sell personal data, we do not use it for advertising, and we do not use conversations to train artificial intelligence models.
4. Service providers (processors)
| Provider | What for |
|---|---|
| Meta Platforms, Inc. / Meta Platforms Ireland Ltd. | WhatsApp Business Platform (Cloud API): sending and receiving WhatsApp messages. |
| Anthropic PBC (United States) | Artificial intelligence that reads the conversation and writes the assistant’s replies. |
| Hostinger International Ltd. | Server hosting (conversation inbox, assistant, database and backups) and email delivery. |
| Google LLC (United States) | Google Sheets (business knowledge, settings and lead lists), Google Calendar (appointments) and Google Drive (backups). |
| OpenAI, L.L.C. (United States) | Transcription of voice messages. |
Some providers are located in the United States. We use providers that offer contractual data-protection commitments and we share only what each one needs to provide its part of the service.
5. Google Calendar (only if the business connects it)
If a business connects its Google account so that the assistant can book appointments, Nexum Bot only accesses:
- Availability (busy and free times) of the calendars the business chooses. We do not see the titles, descriptions, guests or any other content of those events.
- A calendar named “Turnos – Nexum Bot” that the app creates in the business’s account. There we create, change and delete the appointments booked by the assistant: service, date and time, the name, phone number and email of the person booking, and the appointment notes.
We use this data only to offer free times, to book, reschedule, cancel and remind appointments, and to show the business its appointments in the portal. To reply in the chat, our artificial intelligence provider processes the free times and the appointment details solely to generate that reply.
We store the access authorization (encrypted) and the identifiers of the calendars and of the appointment events. We do not store the content of the business’s events.
We do not sell or share this data, we do not use it for advertising or to train artificial intelligence models, and no one on our team reads it, except with the business’s permission (for example, to provide support), for security reasons, or when required by law.
The business can disconnect Google Calendar at any time from the portal, or remove access from its Google Account (myaccount.google.com/permissions). When it disconnects, we revoke access and, within 30 days at most, delete the stored authorization and identifiers. Appointments already created remain in its calendar.
Nexum Bot’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
6. Online stores: Tiendanube and Shopify (only if the business connects them)
If a business connects its Tiendanube or Shopify store so that the assistant can answer about products and orders, Nexum Bot accesses it with read-only permissions:
- Products: names, variants, prices, stock, photos and links, to answer in real time.
- Orders: only when a person asks about an order on WhatsApp. We look up that order by its number and, to verify that the person asking is the buyer, we compare the email or phone number they give (or the WhatsApp number they write from) with the order’s email and phone number. Only after that match do we share the order’s status, payment, shipping, tracking, total and items with that person. We do not store the order’s email or phone number.
- Store pages and policies (for example, shipping or returns), only when the business asks to import them into the assistant’s knowledge.
We store the access authorization (encrypted) and basic store details (name, web address and currency). Product data is cached for a few minutes at most. We do not store customer or order data from the store.
We comply with the platforms’ privacy requests (customer data requests, customer data erasure and store data erasure). The business can disconnect the store at any time from the portal and uninstall the app from its store admin; when the app is uninstalled, we delete the access authorization.
7. Retention
- Conversations and contacts are kept while the business uses the service, or until a deletion request is processed.
- Free trials: when the trial ends, the assistant stops replying and we do not store new messages sent to that number. If the business does not activate a plan, 30 days after the trial ends we remove the Nexum app from its WhatsApp account and delete its account, conversations and contacts, with prior notice to the business. We keep only the request record (business name, email and number) so that there is one trial per business.
- Backups are kept for up to 7 days on our server and up to 30 days in Google Drive; server logs are kept for up to 30 days.
- Lead lists and calendars that belong to the business are kept under the business’s control.
8. Security
Traffic is encrypted (HTTPS), server access is restricted to key-based administrator access, access tokens and credentials are stored only on the server, and the client portal uses one-time sign-in links and per-account access control.
9. Requests from public authorities
If we receive a request for personal data from a public authority, we review its legality and scope before answering; we challenge it if we consider it unlawful or excessive; we disclose only the minimum data strictly necessary; and we document every request and our response.
10. Your rights
You can request access to, correction, update or deletion of your personal data by writing to contacto@nexumstudio.com.ar. If you wrote to a business that uses our assistant, you can also contact that business directly; we will help it answer. To delete your data, follow the steps on our data deletion page.
Under Argentine Law No. 25,326, the data subject may exercise the right of access free of charge at intervals of not less than six months, unless a legitimate interest is shown. The Agency for Access to Public Information (AAIP), as the supervisory authority of Law No. 25,326, has the power to address complaints and claims regarding non-compliance with personal data protection rules.
11. Changes
We will publish any change to this policy on this page with its update date.
Política de privacidad
Nexum Studio (“Nexum”) crea y opera asistentes de WhatsApp con inteligencia artificial para negocios. Esta política explica qué datos personales tratamos, para qué, con quién los compartimos y cómo podés ejercer tus derechos.
1. Responsable
Responsable del tratamiento: Francisco Silva (Nexum Studio), Argentina. Contacto: contacto@nexumstudio.com.ar.
Cuando una persona le escribe a un negocio que usa nuestro asistente, ese negocio es el responsable de los datos de sus clientes y Nexum actúa como encargado del tratamiento, siguiendo sus instrucciones. Nexum es responsable de los datos de sus propios clientes (los negocios) y de las personas que le escriben al WhatsApp de Nexum.
2. Datos que tratamos
- Personas que escriben por WhatsApp: número de teléfono, nombre de perfil de WhatsApp, el contenido de los mensajes (texto, imágenes, audios y documentos) y los datos que la persona decide compartir (por ejemplo, nombre, email o qué está buscando).
- Información que genera el servicio: estado de la conversación, etiquetas, un resumen breve de su interés, etapa y “temperatura” del lead, turnos reservados con el asistente y estadísticas de actividad.
- Negocios que conectan su WhatsApp con el registro integrado de Meta (Embedded Signup): nombre del negocio, identificadores de la cuenta de WhatsApp Business y del número, el número de teléfono, emails de contacto y el token de acceso que emite Meta para que podamos operar esa cuenta en su nombre. El token se guarda solo en nuestro servidor y se usa solo para prestar el servicio.
- Usuarios del portal de clientes: email, horarios de ingreso y cambios en la configuración.
3. Finalidades
- Responder mensajes automáticamente y pasarle las conversaciones al equipo del negocio cuando hace falta.
- Registrar leads, reservar y recordar turnos, y avisar al equipo del negocio.
- Generar reportes de actividad para el negocio y mantener el servicio seguro y funcionando.
No vendemos datos personales, no los usamos para publicidad y no usamos las conversaciones para entrenar modelos de inteligencia artificial.
4. Proveedores (encargados)
| Proveedor | Para qué |
|---|---|
| Meta Platforms, Inc. / Meta Platforms Ireland Ltd. | Plataforma de WhatsApp Business (Cloud API): envío y recepción de mensajes de WhatsApp. |
| Anthropic PBC (Estados Unidos) | Inteligencia artificial que lee la conversación y redacta las respuestas del asistente. |
| Hostinger International Ltd. | Alojamiento del servidor (bandeja de conversaciones, asistente, base de datos y copias de seguridad) y envío de mails. |
| Google LLC (Estados Unidos) | Google Sheets (información del negocio, configuración y listas de leads), Google Calendar (turnos) y Google Drive (copias de seguridad). |
| OpenAI, L.L.C. (Estados Unidos) | Transcripción de mensajes de voz. |
Algunos proveedores están en Estados Unidos. Trabajamos con proveedores que asumen compromisos contractuales de protección de datos y les compartimos solo lo que cada uno necesita para su parte del servicio.
5. Google Calendar (solo si el negocio lo conecta)
Si un negocio conecta su cuenta de Google para que el asistente agende turnos, Nexum Bot accede únicamente a:
- La disponibilidad (horarios ocupados y libres) de los calendarios que el negocio elige. No vemos los títulos, las descripciones, los invitados ni ningún otro contenido de esos eventos.
- Un calendario llamado “Turnos – Nexum Bot” que la app crea en la cuenta del negocio. Ahí creamos, cambiamos y borramos los turnos que agenda el asistente: servicio, día y hora, nombre, teléfono y email de quien reserva, y las notas del turno.
Usamos estos datos solo para ofrecer horarios libres, agendar, reprogramar, cancelar y recordar turnos, y para mostrarle al negocio sus turnos en el portal. Para responder en el chat, nuestro proveedor de inteligencia artificial procesa los horarios libres y los datos del turno únicamente para generar esa respuesta.
Guardamos el permiso de acceso (cifrado) y los identificadores de los calendarios y de los eventos de los turnos. No guardamos el contenido de los eventos del negocio.
No vendemos ni compartimos estos datos, no los usamos para publicidad ni para entrenar modelos de inteligencia artificial, y nadie de nuestro equipo los lee, salvo con autorización del negocio (por ejemplo, para darle soporte), por razones de seguridad o porque la ley lo exige.
El negocio puede desconectar Google Calendar cuando quiera desde el portal, o quitar el acceso desde su cuenta de Google (myaccount.google.com/permissions). Al desconectar revocamos el acceso y, en un plazo máximo de 30 días, borramos el permiso guardado y los identificadores. Los turnos ya creados quedan en su calendario.
El uso y la transferencia a cualquier otra aplicación de la información recibida de las APIs de Google cumple con la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado.
6. Tiendas online: Tiendanube y Shopify (solo si el negocio las conecta)
Si un negocio conecta su tienda de Tiendanube o Shopify para que el asistente responda sobre productos y pedidos, Nexum Bot accede con permisos de solo lectura a:
- Productos: nombres, variantes, precios, stock, fotos y links, para responder en tiempo real.
- Pedidos: solo cuando alguien pregunta por un pedido por WhatsApp. Buscamos ese pedido por su número y, para verificar que quien pregunta es quien compró, comparamos el email o el teléfono que nos da (o el número de WhatsApp desde el que escribe) con el email y el teléfono del pedido. Recién si coinciden le contamos el estado del pedido, el pago, el envío, el seguimiento, el total y los productos. No guardamos el email ni el teléfono del pedido.
- Páginas y políticas de la tienda (por ejemplo, envíos o cambios), solo cuando el negocio pide importarlas al conocimiento del asistente.
Guardamos el permiso de acceso (cifrado) y datos básicos de la tienda (nombre, dirección web y moneda). Los datos de los productos quedan en memoria unos minutos como máximo. No guardamos datos de clientes ni de pedidos de la tienda.
Atendemos los pedidos de privacidad de las plataformas (pedido de datos de un cliente, borrado de datos de un cliente y borrado de los datos de la tienda). El negocio puede desconectar la tienda cuando quiera desde el portal y desinstalar la app desde el administrador de su tienda; al desinstalarla, borramos el permiso de acceso.
7. Conservación
- Las conversaciones y los contactos se conservan mientras el negocio usa el servicio, o hasta que se procese un pedido de borrado.
- Pruebas gratis: cuando termina la prueba, el asistente deja de responder y no guardamos los mensajes nuevos que lleguen a ese número. Si el negocio no activa un plan, a los 30 días de terminada la prueba quitamos la app de Nexum de su cuenta de WhatsApp y borramos su cuenta, sus conversaciones y sus contactos, con aviso previo al negocio. Guardamos solo el registro de la solicitud (nombre del negocio, mail y número) para que haya una sola prueba por negocio.
- Las copias de seguridad se conservan hasta 7 días en nuestro servidor y hasta 30 días en Google Drive; los registros del servidor, hasta 30 días.
- Las listas de leads y los calendarios del negocio quedan bajo su control.
8. Seguridad
El tráfico viaja cifrado (HTTPS), el acceso al servidor está restringido a administradores con clave, los tokens y credenciales se guardan solo en el servidor, y el portal de clientes usa enlaces de acceso de un solo uso y control de acceso por cuenta.
9. Pedidos de autoridades
Si recibimos un pedido de datos personales de una autoridad pública, revisamos su legalidad y su alcance antes de responder; lo impugnamos si consideramos que es ilícito o excesivo; entregamos solo los datos mínimos estrictamente necesarios; y documentamos cada pedido y nuestra respuesta.
10. Tus derechos
Podés pedir el acceso, la rectificación, la actualización o la supresión de tus datos personales escribiendo a contacto@nexumstudio.com.ar. Si le escribiste a un negocio que usa nuestro asistente, también podés contactar a ese negocio; lo vamos a ayudar a responder. Para borrar tus datos, seguí los pasos de la página de eliminación de datos.
El titular de los datos personales tiene la facultad de ejercer el derecho de acceso a los mismos en forma gratuita a intervalos no inferiores a seis meses, salvo que se acredite un interés legítimo al efecto conforme lo establecido en el artículo 14, inciso 3 de la Ley N° 25.326. La AGENCIA DE ACCESO A LA INFORMACIÓN PÚBLICA, en su carácter de Órgano de Control de la Ley N° 25.326, tiene la atribución de atender las denuncias y reclamos que interpongan quienes resulten afectados en sus derechos por incumplimiento de las normas vigentes en materia de protección de datos personales.
11. Cambios
Publicaremos cualquier cambio de esta política en esta página, con su fecha de actualización.