Privacy Policy

Distinguimos dos relaciones jurídicas distintas:

• Datos de la cuenta del tenant (cliente de Veloxiam: nombre, email, contraseña hasheada, facturación, configuración de agentes, tokens de integración): Veloxiam actúa como responsable del tratamiento (controller).
• Datos de los clientes finales que conversan con los agentes del tenant (mensajes, identificadores de plataforma, leads, multimedia, embeddings derivados de documentos del tenant): Veloxiam actúa como encargado del tratamiento (processor) por cuenta del tenant. El tenant es el responsable y debe obtener la base legal o el consentimiento aplicables, informar a sus clientes finales y atender sus solicitudes de derechos. Veloxiam asiste al tenant en la medida técnica razonable.

1.1 Roles y responsabilidades de privacidad

Dentro de Digital Services & Apps LLC hay personas designadas para supervisar el cumplimiento de privacidad, asegurar que los datos personales se traten y protejan adecuadamente, y actuar como punto de contacto para consultas de privacidad. Puede escribir a [email protected]. Cuando una jurisdicción exija un Delegado de Protección de Datos (DPO), designaremos o contrataremos uno y publicaremos sus datos de contacto en esta Política.

2.1 Datos de la cuenta del tenant (responsable)

• Nombre y correo electrónico
• Contraseña almacenada de forma hasheada
• Datos de facturación y pago procesados a través de Stripe
• Tokens OAuth y credenciales de plataformas conectadas, cifrados en reposo
• Configuración de agentes, prompts y preferencias del servicio

2.2 Datos de clientes finales y del servicio (encargado)

Cuando el tenant conecta canales y opera agentes, sí almacenamos, entre otros:

• Contenido completo de las conversaciones entre el cliente final y el agente de IA en todos los canales conectados
• Identificadores del cliente final: nombre, teléfono, email, ID de plataforma (WhatsApp ID, Instagram ID, TikTok open_id u otros), avatar
• Datos de leads en el CRM/Kanban: etapa, campos personalizados, puntuación y notas
• Embeddings vectoriales derivados de documentos que el tenant sube para RAG
• Métricas de conversación y analítica agregada
• Archivos multimedia intercambiados (imágenes, audio, documentos)

2.3 Datos técnicos

• Dirección IP, tipo de navegador y dispositivo
• Logs de acceso y uso de la plataforma
• Cookies y tecnologías similares (véase sección Cookies)

2.4 Minimización de datos

Solicitamos y accedemos únicamente a la cantidad mínima de datos necesaria para prestar el servicio configurado por el tenant. En integraciones de API (incluida TikTok Business Messaging) solo solicitamos los permisos y alcances (scopes) requeridos para el propósito concreto del producto (p. ej. recibir y responder mensajes), no permisos innecesarios.

Tratamos datos según la finalidad y la base legal correspondiente:

• Ejecución del contrato: prestar el servicio SaaS, autenticación, operación de agentes e integraciones, facturación y soporte.
• Interés legítimo: seguridad, prevención de fraude y abuso, mantenimiento de la infraestructura, y mejora del producto mediante métricas agregadas o seudonimizadas que no identifican a un cliente final concreto para publicidad.
• Consentimiento: cookies no esenciales y comunicaciones de marketing (cuando se soliciten).
• Obligación legal: retención de registros fiscales/contables y respuesta a requerimientos válidos de autoridades.

Respecto de los datos de clientes finales, la base legal principal la determina el tenant (p. ej. ejecución de su relación comercial o consentimiento). Veloxiam trata esos datos solo conforme a las instrucciones documentadas del tenant y a esta Política / los Términos de Servicio.

• El contenido de las conversaciones se envía a proveedores de LLM únicamente para generar respuestas en tiempo real en el marco del servicio.
• Veloxiam no entrena ni afina modelos propios con datos de clientes.
• Veloxiam no vende, alquila ni comparte datos con terceros para publicidad.
• Los datos de un tenant nunca se usan para beneficiar a otro tenant (aislamiento multi-tenant).

Los datos se procesan y almacenan principalmente en servidores propios en colocation en Tulsa, Oklahoma, Estados Unidos (cluster Proxmox/Ceph), con PostgreSQL y Qdrant autogestionados. La fuerza de trabajo primaria y las operaciones de sistemas se localizan en Estados Unidos. No operamos servidores de aplicación en la Unión Europea. Archivos multimedia y objetos pueden almacenarse en AWS S3 como sub-encargado de almacenamiento.

Mantenemos un marco de seguridad de la información como línea base operativa. Las políticas y lineamientos se revisan y actualizan periódicamente, con supervisión de la dirección, para asegurar que se apliquen controles adecuados en toda la organización.

5.1 Protección de datos (cifrado)

• En tránsito: TLS 1.2 o superior
• En reposo: cifrado de datos personales y secretos sensibles con AES-256 (o equivalente de fuerza similar); contraseñas hasheadas; tokens OAuth y API keys cifrados

5.2 Control de acceso

• Política de acceso publicada basada en need-to-know y least privilege
• Privilegios otorgados según roles a empleados y contratistas
• Registros (logs) de acceso a sistemas retenidos; revisión al menos anual de privilegios de usuario
• Autenticación multifactor (MFA) para cuentas de administrador
• Requisitos mínimos de contraseña (longitud, complejidad) y bloqueo automático de pantalla en estaciones de trabajo tras un período de inactividad

5.3 Seguridad de red y endpoints

• Segmentación de entornos de red para proteger accesos internos
• Monitoreo de amenazas externas mediante controles de red y/o host (p. ej. firewall, IDS/IPS u herramientas equivalentes)
• Protección de endpoints (antivirus / prevención de intrusiones en host) con actualizaciones y análisis periódicos

5.4 Líneas base, vulnerabilidades e incidentes

• Líneas base de seguridad en el lugar de trabajo (controles de dominio u otras herramientas equivalentes)
• Formación periódica de concienciación en seguridad
• Gestión de vulnerabilidades: monitoreo, seguimiento y remediación; escaneos de vulnerabilidades y/o pruebas de penetración según corresponda, con retención de informes
• Política de respuesta a incidentes documentada; ejercicios/pruebas al menos anuales; documentación de incidentes para revisión
• Copias de seguridad y procedimientos de recuperación

Podemos recurrir a los siguientes sub-encargados para prestar el servicio (la lista puede actualizarse en esta página):

• OpenAI, Anthropic, Groq (vía gateway LiteLLM/Bifrost): inferencia de modelos de lenguaje
• Stripe: pagos y facturación
• AWS S3: almacenamiento de archivos
• Twilio: SMS y voz
• Deepgram: reconocimiento de voz (STT)
• Cartesia: síntesis de voz (TTS)
• Telnyx: telefonía
• Unipile: integración de email
• Google: Calendar, Sheets y/o Gmail cuando el tenant conecta OAuth

Integraciones opcionales que el tenant puede activar (p. ej. Meta, TikTok, Telegram, Square, Shopify) implican el flujo de datos hacia esas plataformas según la configuración del tenant; los tokens se almacenan cifrados.

7.1 Meta (WhatsApp Business Platform, Instagram, Messenger)

• Cumplimos las Meta Platform Terms y Developer Policies aplicables.
• No usamos datos de plataforma Meta para publicidad ni para construir perfiles fuera del propósito de prestar el servicio al tenant.
• Al desconectar la integración, eliminamos o dejamos de usar los datos de plataforma asociados conforme a nuestras prácticas de retención y a las políticas de Meta.

7.2 TikTok (Business Messaging API)

TikTok aplica una diligencia reforzada a desarrolladores que procesan mensajes directos (Protected Data) en nombre de cuentas Business. En relación con la integración TikTok Business Messaging de Veloxiam:

• Los datos de usuarios de TikTok (incluido el contenido de mensajes directos) se usan únicamente para recibir y responder mensajes iniciados por el usuario dentro de la ventana de 48 horas aplicable, conforme a las políticas de TikTok.
• Minimización: solo solicitamos los scopes de API necesarios para ese propósito de mensajería.
• No se usan para segmentación publicitaria fuera de TikTok.
• No se usan para entrenamiento de modelos.
• No se revenden ni se comparten con terceros para fines ajenos al servicio.
• Se eliminan a solicitud del usuario o del tenant, y cuando la cuenta Business de TikTok deja de autorizar el intercambio de datos con Veloxiam, de forma oportuna y sin perjuicio de obligaciones legales de retención.
• Asistimos a los tenants (cuentas TikTok Business) a cumplir solicitudes de derechos de los interesados (acceso, descarga, actualización y eliminación) cuando lo requiera la normativa local o las políticas de TikTok.
• La sede empresarial, la propiedad, la ubicación de la fuerza de trabajo y de los sistemas, y el uso de subcontratistas se describen en esta Política (EE.UU.; sub-encargados listados en la sección 6).
• La integración opera sobre cuentas TikTok Business registradas en las regiones donde el producto está disponible.

7.2.1 TikTok US Data Security (USDS)

Para cuentas TikTok Business registradas en Estados Unidos, TikTok exige que los desarrolladores que gestionan Business Messaging pasen la revisión de US Data Security (USDS) y acepten el USDS Addendum. Sin esa aprobación y acuerdo, la app no puede obtener el scope de Business Messaging para el mercado US.

• Digital Services & Apps LLC es una LLC organizada bajo las leyes del Estado de Oklahoma, Estados Unidos, con sede y operaciones primarias de sistemas en Tulsa, Oklahoma; la fuerza de trabajo primaria relacionada con este servicio se localiza en EE.UU.
• Protegemos los datos de usuarios de TikTok en EE.UU. conforme a las medidas de seguridad de esta Política y a las expectativas de TikTok Business Messaging / USDS.
• Completamos el cuestionario y el proceso USDS de forma veraz y, tras la aprobación, ejecutamos el USDS Addendum con TikTok.
• Cumplimos las restricciones de USDS Restricted Countries aplicables a desarrolladores del mercado US (incl. afiliaciones con China —incluyendo Hong Kong—, Rusia, Irán, Corea del Norte, Cuba y Siria, y umbrales de propiedad agregada superiores al 25% descritos por TikTok USDS). Proporcionaremos a TikTok documentación adicional sobre propiedad, operaciones geográficas o afiliaciones cuando lo solicite.
• Cualquier tergiversación u omisión sobre propiedad o vínculos geográficos está prohibida y puede resultar en la pérdida del acceso a TikTok Business Messaging.

7.3 Google (Calendar, Sheets, Gmail vía OAuth)

• El uso de datos de Google cumple la Google API Services User Data Policy, incluidos los requisitos de Limited Use.
• Los datos de Google se usan solo para las funciones que el tenant habilita (p. ej. citas, hojas de cálculo, email) y no para publicidad de Veloxiam.

7.4 Otras plataformas

Telegram, Twilio, Telnyx, Unipile y demás canales se usan para transmitir y almacenar mensajes o llamadas necesarios para el servicio configurado por el tenant, con el mismo aislamiento multi-tenant y las declaraciones de IA de esta Política.

Los datos se procesan en Estados Unidos. Si usted (o sus clientes finales) están sujetos al GDPR u otros regímenes que restrinjan transferencias internacionales, dichas transferencias se basan en mecanismos adecuados, incluyendo —cuando corresponda— Cláusulas Contractuales Tipo (SCCs) de la Comisión Europea u otras salvaguardas equivalentes, además de medidas técnicas y organizativas.

No conservamos datos personales más tiempo del necesario para la finalidad para la que se recopilaron y trataron, salvo cuando la ley exija un plazo mayor.

• Conversaciones y leads: mientras la cuenta esté activa, y hasta 90 días tras su cancelación.
• Logs técnicos: 12 meses.
• Datos de facturación: 7 años por obligaciones fiscales en EE.UU.
• Borrado a solicitud del tenant: dentro de 30 días, salvo retención legal obligatoria.
• Revocación de autorización de plataforma (p. ej. el tenant desconecta TikTok u otra integración, o la cuenta Business deja de autorizar el acceso): eliminamos o anonimizamos los datos personales asociados de forma oportuna, alineada con las políticas de la plataforma y esta Política.

Según su jurisdicción, pueden aplicar derechos de acceso, descarga/portabilidad, actualización/rectificación, eliminación, oposición, limitación, y —en California— derechos de conocer, eliminar y optar por no la “venta” o “compartición” de datos personales (Veloxiam no vende datos personales con fines publicitarios). Estos derechos dan a las personas control sobre sus datos cuando lo exige GDPR, CPRA u otras normas aplicables.

Esta Política se elabora considerando, entre otros:

• GDPR (UE/EEE), incluso cuando no hay servidores en la UE, si el tenant tiene clientes allí
• CCPA/CPRA (California)
• LFPDPPP (México)
• Ley 1581 de 2012 (Colombia)
• LGPD (Brasil), cuando resulte aplicable

Cómo ejercer derechos: si es un usuario de cuenta Veloxiam, escriba a [email protected]. Si es un cliente final que interactuó con un bot de un tenant, dirija su solicitud primero al tenant (responsable). Podemos redirigirle o asistir al tenant cuando proceda. En particular, asistimos a tenants con cuentas TikTok Business (y otras plataformas) a cumplir solicitudes de derechos de interesados cuando lo requiera la normativa o las políticas de la plataforma.

Usamos cookies y tecnologías similares para:

• Mantener la sesión y la seguridad (necesarias)
• Recordar preferencias
• Analítica de uso (cuando se habilite / con consentimiento si es requerido)

Puede configurar su navegador para rechazar cookies no esenciales; ello puede afectar funciones de la plataforma.

El servicio no está dirigido a menores de 18 años. No recopilamos conscientemente datos de menores. Si detectamos tal recopilación, eliminaremos la información.

Podemos actualizar esta Política. Los cambios relevantes se comunicarán por email o aviso en la plataforma. La fecha de “última actualización” encabeza este documento.

We distinguish two legal relationships:

• Tenant account data (Veloxiam customer: name, email, hashed password, billing, agent configuration, integration tokens): Veloxiam acts as controller.
• End-customer data processed through the tenant’s agents (messages, platform identifiers, leads, media, embeddings from tenant documents): Veloxiam acts as processor on behalf of the tenant. The tenant is the controller and must obtain applicable legal basis or consent, inform end customers, and handle their rights requests. Veloxiam assists the tenant to a reasonably feasible technical extent.

1.1 Privacy roles and responsibilities

Within Digital Services & Apps LLC, designated individuals oversee privacy compliance, ensure personal data is processed and protected properly, and act as the point of contact for privacy-related inquiries. Contact [email protected]. Where a jurisdiction requires a Data Protection Officer (DPO), we will appoint or engage one and publish contact details in this Policy.

2.1 Tenant account data (controller)

• Name and email address
• Password stored in hashed form
• Billing and payment data processed via Stripe
• OAuth tokens and credentials for connected platforms, encrypted at rest
• Agent configuration, prompts, and service preferences

2.2 End-customer and service data (processor)

When a tenant connects channels and operates agents, we do store, among other things:

• Full conversation content between the end customer and the AI agent across connected channels
• End-customer identifiers: name, phone, email, platform IDs (WhatsApp ID, Instagram ID, TikTok open_id, etc.), avatar
• CRM/Kanban lead data: stage, custom fields, score, and notes
• Vector embeddings derived from documents the tenant uploads for RAG
• Conversation metrics and aggregated analytics
• Exchanged media files (images, audio, documents)

2.3 Technical data

• IP address, browser and device type
• Access and usage logs
• Cookies and similar technologies (see Cookies)

2.4 Data minimization

We request and access only the minimum amount of data required to provide the service configured by the tenant. For API integrations (including TikTok Business Messaging) we request only the permissions and scopes needed for the specific product purpose (e.g., receiving and responding to messages), not unnecessary permissions.

• Contract performance: providing the SaaS, authentication, agent/integration operation, billing, and support.
• Legitimate interests: security, fraud/abuse prevention, infrastructure maintenance, and product improvement via aggregated or pseudonymized metrics (not for advertising profiles of end customers).
• Consent: non-essential cookies and marketing communications (where requested).
• Legal obligation: tax/accounting retention and responses to valid authority requests.

For end-customer data, the primary legal basis is determined by the tenant. Veloxiam processes such data only under the tenant’s documented instructions and this Policy / the Terms of Service.

• Conversation content is sent to LLM providers solely to generate real-time responses for the service.
• Veloxiam does not train or fine-tune its own models on customer data.
• Veloxiam does not sell, rent, or share data with third parties for advertising.
• One tenant’s data is never used to benefit another tenant.

Data is primarily processed and stored on our own colocation servers in Tulsa, Oklahoma, United States (Proxmox/Ceph cluster), with self-managed PostgreSQL and Qdrant. Primary workforce and system operations are located in the United States. We do not operate application servers in the European Union. Media and objects may be stored on AWS S3 as a storage sub-processor.

We maintain an information security framework as an operational baseline. Policies and guidelines are reviewed and updated periodically, with senior leadership oversight, so that appropriate security measures are enforced across the organization.

5.1 Data protection (encryption)

• In transit: TLS 1.2 or higher
• At rest: encryption of personal data and sensitive secrets using AES-256 (or equivalent strength); hashed passwords; encrypted OAuth tokens and API keys

5.2 Access control

• Published access-control policy based on need-to-know and least privilege
• Privileges granted by role to employees and contractors
• System access logs retained; user privileges reviewed at least annually
• Multifactor authentication (MFA) for administrator accounts
• Minimum password requirements (length, complexity) and workstation screen auto-lock after inactivity

5.3 Network and endpoint security

• Segregated network environments to protect internal access
• Monitoring of external threats via network and/or host controls (e.g., firewall, IDS/IPS or equivalent tools)
• Endpoint protection (anti-virus / host intrusion prevention) with periodic updates and scans

5.4 Baselines, vulnerabilities, and incidents

• Workplace security baselines (domain controls or equivalent tools)
• Periodic security awareness training
• Vulnerability management: monitoring, tracking, and remediation; vulnerability scans and/or penetration testing as appropriate, with report retention
• Documented incident-response policy; drills/tests at least annually; incident reports documented for review
• Backups and recovery procedures

• OpenAI, Anthropic, Groq (via LiteLLM/Bifrost gateway): LLM inference
• Stripe: payments and billing
• AWS S3: file storage
• Twilio: SMS and voice
• Deepgram: speech-to-text
• Cartesia: text-to-speech
• Telnyx: telephony
• Unipile: email integration
• Google: Calendar, Sheets and/or Gmail when the tenant connects OAuth

Optional tenant-enabled integrations (e.g., Meta, TikTok, Telegram, Square, Shopify) involve data flows to those platforms as configured by the tenant; tokens are stored encrypted.

7.1 Meta (WhatsApp Business Platform, Instagram, Messenger)

• We comply with applicable Meta Platform Terms and Developer Policies.
• We do not use Meta platform data for advertising or to build profiles outside the purpose of providing the service to the tenant.
• Upon disconnecting the integration, we delete or cease use of associated platform data consistent with our retention practices and Meta policies.

7.2 TikTok (Business Messaging API)

TikTok applies heightened diligence to developers that process direct messages (Protected Data) on behalf of Business accounts. Regarding Veloxiam’s TikTok Business Messaging integration:

• TikTok user data (including direct-message content) is used only to receive and respond to user-initiated messages within the applicable 48-hour window, consistent with TikTok policies.
• Minimization: we request only the API scopes needed for that messaging purpose.
• Not used for advertising targeting outside TikTok.
• Not used for model training.
• Not resold or shared for purposes unrelated to the service.
• Deleted upon user or tenant request, and when the TikTok Business account no longer authorizes sharing data with Veloxiam, in a timely manner, subject to legal retention duties.
• We assist tenants (TikTok Business accounts) in fulfilling data-subject rights requests (access, download, update, and deletion) where required by local law or TikTok policies.
• Business headquarters, ownership, workforce and system locations, and subcontractor use are described in this Policy (United States; sub-processors listed in section 6).
• The integration operates on TikTok Business accounts registered in regions where the product is available.

7.2.1 TikTok US Data Security (USDS)

For TikTok Business Accounts signed up in the United States, TikTok requires developers managing Business Messaging to pass the US Data Security (USDS) review and agree to the USDS Addendum. Without that approval and agreement, an app cannot obtain Business Messaging scope for the US market.

• Digital Services & Apps LLC is a limited liability company organized under the laws of the State of Oklahoma, United States, with headquarters and primary system operations in Tulsa, Oklahoma; primary workforce for this service is located in the United States.
• We protect TikTok US user data in line with the security measures in this Policy and TikTok Business Messaging / USDS expectations.
• We complete the USDS questionnaire and review process truthfully and, upon approval, execute the USDS Addendum with TikTok.
• We comply with USDS Restricted Countries requirements applicable to US-market developers (including affiliations with China —including Hong Kong—, Russia, Iran, North Korea, Cuba, and Syria, and aggregate ownership thresholds above 25% as described by TikTok USDS). We will provide TikTok with additional documentation on ownership, geographic operations, or affiliations upon request.
• Any misrepresentation or omission regarding ownership or geographic ties is prohibited and may result in loss of access to TikTok Business Messaging.

7.3 Google (Calendar, Sheets, Gmail via OAuth)

• Use of Google user data complies with the Google API Services User Data Policy, including Limited Use requirements.
• Google data is used only for features the tenant enables and not for Veloxiam advertising.

7.4 Other platforms

Telegram, Twilio, Telnyx, Unipile, and other channels are used to transmit and store messages or calls needed for the service configured by the tenant, under the same multi-tenant isolation and AI declarations in this Policy.

Data is processed in the United States. Where GDPR or similar regimes apply, transfers rely on appropriate safeguards, including —where applicable— European Commission Standard Contractual Clauses (SCCs) or equivalent mechanisms, plus technical and organizational measures.

Personal data is not kept longer than necessary to fulfill the purpose for which it was collected and processed, except where law requires a longer period.

• Conversations and leads: while the account is active, and up to 90 days after cancellation.
• Technical logs: 12 months.
• Billing data: 7 years due to U.S. tax obligations.
• Deletion on tenant request: within 30 days, except where law requires retention.
• Platform authorization revoked (e.g., the tenant disconnects TikTok or another integration, or the Business account stops authorizing access): we delete or anonymize associated personal data in a timely manner, consistent with platform policies and this Policy.

Depending on your jurisdiction, you may have rights to access, download/portability, update/rectify, delete, object, restrict processing, and —in California— to know, delete, and opt out of “sale” or “sharing” of personal information (Veloxiam does not sell personal information for advertising). These rights give individuals control over their data where required by GDPR, CPRA, or other applicable law.

• GDPR (EU/EEA), including where there are no EU servers, if the tenant has customers there
• CCPA/CPRA (California)
• LFPDPPP (Mexico)
• Law 1581 of 2012 (Colombia)
• LGPD (Brazil), where applicable

How to exercise rights: Veloxiam account users should email [email protected]. End customers who interacted with a tenant’s bot should contact the tenant (controller) first. We may redirect you or assist the tenant as appropriate. In particular, we assist tenants with TikTok Business accounts (and other platforms) in fulfilling data-subject rights requests where required by law or platform policies.

• Session and security (necessary)
• Preferences
• Usage analytics (when enabled / with consent if required)

You may reject non-essential cookies in your browser; some features may be affected.

The service is not directed to individuals under 18. We do not knowingly collect children’s data. If we learn we have, we will delete it.

We may update this Policy. Material changes will be communicated by email or in-product notice. The “Last updated” date appears at the top.