Aviso de Privacidad de Xarpen

Cómo trata Xarpen los datos personales de los estudios suscritos y de quienes visitan el sitio.

1. Responsable

Este aviso se emite conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de México y su Reglamento.

2. Dos papeles distintos, y por qué importa

Xarpen trata datos personales en dos calidades muy distintas, y este aviso solo cubre la primera:

• Como responsable, de los datos de los fotógrafos y sus equipos que abren una cuenta. Eso es lo que describe este documento.
• Como encargado, de los datos que cada estudio guarda sobre sus clientes: las parejas, los invitados de sus galerías. Ahí el responsable es el estudio, no Xarpen. El aviso que aplica a esas personas es el de su estudio, disponible en /privacidad-estudio.

La diferencia no es formal: define a quién le reclamas si algo sale mal. Si eres una pareja o un invitado de una galería, tu contraparte es el estudio que te compartió el enlace.

3. Qué datos recabamos de los estudios

• Identificación y contacto: nombre, correo electrónico, nombre del estudio, teléfono y datos de facturación si los proporcionas.
• Acceso: contraseña (almacenada cifrada, nunca en claro), y si entras con Google, el correo verificado y el nombre que Google nos comparte.
• Uso del servicio: registros de acceso con dirección IP y navegador, actividad dentro del producto y consumo del asistente de inteligencia artificial.
• Pagos: plan contratado, estado de la suscripción e identificadores de Stripe. No almacenamos números de tarjeta.
• Contenido de tu cuenta: lo que escribes y subes al operar tu estudio. Ese contenido es tuyo (sección 7 de los Términos) y lo tratamos como encargado tuyo, no para fines propios.

Xarpen no recaba datos sensibles de los estudios para fines propios. Sin embargo, algunos giros, como consultorios y clínicas, usan el producto para registrar datos de salud de sus pacientes: en formularios como la historia clínica, en las notas del cliente, en los mensajes al agendar y en notas restringidas. En esos casos el negocio es el responsable y debe obtener el consentimiento expreso que exige la ley; Xarpen trata esos datos solo como su encargado. Las notas restringidas se guardan cifradas, solo las leen las personas que el dueño autoriza y cada lectura queda registrada; el resto de la información de salud la puede ver el equipo del negocio según sus roles, y el asistente puede leerla para responder. Como el resto de la cuenta, ese contenido puede ir a Anthropic o a OpenAI cuando el asistente lo necesita para responder, y el dueño puede pedir que su cuenta use solo Anthropic.

4. Para qué los usamos

Finalidades necesarias para prestarte el servicio:

• Crear y mantener tu cuenta, autenticarte y proteger el acceso.
• Prestar las funciones del producto que decidas usar.
• Cobrar la suscripción y llevar el registro de pagos.
• Darte soporte, avisarte de cambios relevantes y de incidentes.
• Enviarte avisos operativos de tu cuenta, como el resumen diario de tu agenda, que puedes apagar.
• Detectar abuso, fraude y fallas técnicas, y mantener la seguridad de la plataforma.

Finalidades secundarias, a las que puedes oponerte sin perder el servicio:

• Enviarte novedades del producto y contenido educativo.
• Pedirte retroalimentación o invitarte a probar funciones nuevas.

Para oponerte a las secundarias, escríbenos a notifications@xarpen.com.

5. Con quién los compartimos

No vendemos datos personales. Nos apoyamos en los siguientes proveedores, cada uno obligado a un nivel de protección equivalente y solo en la medida necesaria:

• Cloudflare, Inc.: infraestructura (ejecución de la aplicación, base de datos, almacenamiento de archivos, video y envío de correo) y modelos de inteligencia artificial que corren en su red para transcribir notas de voz y dictados y para leer respuestas en voz alta.
• Anthropic, PBC: modelos de inteligencia artificial que operan al asistente.
• OpenAI, L.L.C.: modelos de inteligencia artificial que operan al asistente, como proveedor principal o de respaldo.
• Stripe, Inc. — procesamiento de pagos y suscripciones.
• Resend, Inc. — envío de correo transaccional, como respaldo del envío de Cloudflare.
• Google LLC — inicio de sesión con Google y, si lo conectas tú, sincronización con Google Calendar.
• Meta Platforms, Inc. (WhatsApp Business): mensajería, solo si conectas tu número de WhatsApp a Xarpen. Entrega y recibe los mensajes de tus contactos, con su número de teléfono, y permite registrar tu número.
• ElevenLabs, Inc.: convierte tu voz en texto y el texto del asistente en voz, solo si usas el dictado o la conversación por voz. Recibe el audio que grabas y las respuestas que se leen en voz alta.
• Google LLC (Google Fonts): tipografías de las páginas públicas; recibe la dirección IP y el navegador de quien las visita.
• Servicios de notificaciones del navegador o del teléfono (Apple, Google, Mozilla): entregan los avisos que activas; reciben el texto del aviso.

Si en tu página pública insertas contenido de terceros (por ejemplo, un video de YouTube o Vimeo, o el píxel de Meta), esos servicios reciben datos de quien visita esa página según sus propias políticas. Esa es una decisión tuya como estudio, y debes reflejarla en tu propio aviso.

Agentes de inteligencia artificial que tú conectes. Si conectas a tu cuenta un agente de otra empresa (por ejemplo, Claude, Cursor o Muse), ese agente recibe los datos de tu cuenta que el permiso de esa conexión le deja ver, para hacer lo que le pidas. No es un proveedor de Xarpen ni actúa por nuestra cuenta: lo eliges y lo conectas tú, y su empresa trata esos datos conforme a sus propias condiciones. El dueño de la cuenta puede pausar o desconectar cualquiera en Ajustes, y cada persona, el suyo.

También podemos revelar datos cuando una autoridad competente lo requiera conforme a la ley.

6. Inteligencia artificial

Cuando usas el asistente, el contenido necesario para responder tu petición se envía a la API de Anthropic o a la de OpenAI: tu mensaje, las imágenes o documentos que adjuntes, y la información de tu cuenta que la herramienta solicitada necesite (por ejemplo, los datos de una boda si le pides el resumen de esa boda).

Conforme a las condiciones de ambos para clientes de API, ese contenido no se usa para entrenar sus modelos. Pueden conservarlo hasta 30 días para vigilar abuso; con OpenAI pedimos además que no guarde el estado de la conversación.

El historial de tus conversaciones con el asistente se guarda en tu cuenta para darle continuidad, y lo puedes borrar. Si desactivas el asistente, deja de enviarse contenido.

Asistente del equipo de Xarpen. Aparte de tu propio asistente, el equipo de Xarpen puede usar un asistente de inteligencia artificial (modelos de Anthropic u OpenAI) para consultar datos de cuenta de los estudios suscritos: nombre del negocio, nombre y correo de quien administra la cuenta, plan, estado de la suscripción, notas internas de Xarpen sobre la cuenta, uso del servicio (actividad, almacenamiento y consumo del asistente) e invitaciones pendientes, con su origen y los datos de la persona invitada (nombre y correo) antes de que acepte. Esto aplica a todas las cuentas, aunque desactives tu asistente. Ese asistente no lee lo que hay dentro de tu cuenta: tus clientes, tus bodas y trabajos, los cobros de tu negocio ni tus mensajes. Los cambios que proponga (por ejemplo, un periodo de cortesía sin cobro o una invitación) solo se aplican cuando una persona del equipo de Xarpen los confirma, y quedan registrados.

7. Transferencias internacionales

Los proveedores anteriores son empresas estadounidenses y la información puede almacenarse o procesarse fuera de México. Actúan como encargados o subencargados, por nuestra cuenta, bajo contratos que los obligan a proteger los datos conforme a la ley mexicana y a no usarlos para fines propios. Un agente de inteligencia artificial que tú conectes (sección 5) no es uno de ellos: los datos que lee viajan a su empresa por tu decisión y conforme a sus propias condiciones.

8. Cuánto tiempo conservamos los datos

• Datos de tu cuenta: mientras la cuenta esté activa y hasta 30 días después de que termine la relación, salvo lo que debamos conservar por obligación legal o contable.
• Registros de acceso y seguridad: por un periodo acotado, suficiente para investigar incidentes.
• Datos de invitados de galerías (que tratamos como encargado del estudio): se eliminan al expirar la galería, o al año de inactividad si no expira.
• Galerías en custodia: se conservan durante los 5 años contratados por la pareja, incluso si la cuenta del estudio se cierra.

9. Tus derechos (ARCO)

Tienes derecho a Acceder a tus datos, Rectificarlos si son inexactos, Cancelarlos cuando ya no se requieran y Oponerte a tratamientos específicos, así como a revocar tu consentimiento y a limitar el uso o divulgación de tus datos.

Para ejercerlos, escríbenos a notifications@xarpen.com indicando tu solicitud, tu nombre y un medio de contacto. Responderemos en los plazos que marca la ley. Si consideras que tu derecho no fue atendido, puedes acudir a la Secretaría Anticorrupción y Buen Gobierno, autoridad de protección de datos personales conforme a la ley de 2025.

Muchas de estas acciones también las puedes hacer tú mismo desde Configuración, sin escribirnos.

10. Cookies y tecnologías similares

Usamos una cookie de sesión, firmada, que es estrictamente necesaria para mantenerte dentro de tu cuenta, y almacenamiento local del navegador para recordar preferencias de interfaz (idioma, vistas). No usamos cookies de publicidad ni de seguimiento entre sitios.

En las galerías, ver las fotografías no requiere dejar ningún dato: las visitas se cuentan de forma anónima, sin dirección IP ni identificador de dispositivo.

11. Seguridad

Aplicamos medidas administrativas, técnicas y físicas razonables: cifrado en tránsito, contraseñas almacenadas con derivación de clave, sesiones firmadas que se revalidan contra la base en cada petición, separación estricta entre los datos de cada estudio y segundo factor en el acceso administrativo.

Ningún sistema es infalible. Si ocurre una violación de seguridad que afecte de forma significativa tus datos, te lo notificaremos sin demora indebida.

12. Tu espacio personal

Xarpen incluye un espacio privado y opcional -- el Cuaderno -- para apuntes, un diario y metas personales, separado de la información de tu negocio. Tú decides si lo activas; si no lo activas, no se crea nada.

• Lo que guardas ahí es tuyo y no lo ve nadie más de tu equipo, sin importar su rol.
• El asistente de inteligencia artificial solo lee tu espacio personal cuando tú se lo pides dentro del Cuaderno; esa conversación no entra a su memoria del negocio ni al historial que ve tu equipo, y no se usa para ningún otro fin.
• Puedes exportar o borrar todo tu espacio personal en cualquier momento desde Configuración, sin tener que escribirnos.

Un límite que preferimos decirte con claridad, en vez de prometer de más: como en el resto del producto, quien es dueño del estudio puede recuperar el acceso a la cuenta de un miembro de su equipo (por ejemplo, si esa persona pierde su contraseña y ya no tiene el correo con el que se registró). Tu espacio personal es privado de tus compañeros mientras la cuenta siga siendo tuya; no es un compartimento con una llave que ni siquiera el dueño del estudio pueda abrir.

Si dejas de ser parte de un estudio, tu espacio personal se elimina automáticamente 30 días después de que se te dé de baja.

13. Cambios a este aviso

Podemos actualizar este aviso. La versión vigente, con su fecha, siempre está publicada en esta dirección. Cuando el cambio sea relevante, te avisaremos al correo de tu cuenta.