Política de privacidad

1. Quiénes somos

Tornaly es una empresa canadiense operada por Tornaly, registrada en Ontario, Canadá.

Nuestro responsable de privacidad, Privacy Officer, Tornaly, rinde cuentas sobre cómo tratamos la información personal. Puede contactarlo en hello@tornaly.com.

Esta política se aplica a:

• los negocios que usan Tornaly y las personas de sus equipos (“clientes”);
• los clientes de esos negocios que les escriben, reservan con ellos o visitan sus páginas web (“clientes finales”);
• quienes visitan nuestro propio sitio web, incluidas las personas que se inscriben en nuestra lista de espera.

2. Nuestros dos papeles

Con la información de los clientes finales, el negocio decide para qué y cómo se usa. El negocio es el responsable y nosotros somos su proveedor de servicios: tratamos esa información solo según las instrucciones del negocio y solo para prestar el servicio, conforme a nuestro Acuerdo de tratamiento de datos. También se aplica la política de privacidad del propio negocio, que es su primer punto de contacto.

Con la información de las cuentas de nuestros clientes, de quienes visitan nuestro sitio y de nuestra lista de espera, el responsable somos nosotros.

3. Qué recogemos

• Datos de la cuenta: nombre, correo electrónico, teléfono, idioma y datos del negocio, como nombre, dirección, tipo, servicios, precios, horarios, miembros del equipo y sus roles. También guardamos las horas de acceso y una descripción del navegador de cada sesión activa.
• Fichas de clientes: lo que un negocio importa desde otra herramienta de reservas o crea en Tornaly, como nombres, teléfonos, correos, historial de reservas, notas, preferencias y decisiones de consentimiento.
• Mensajes: las conversaciones entre un negocio y sus clientes por WhatsApp, Instagram, mensaje de texto (SMS), chat web y correo, incluidas las respuestas que redacta la recepcionista con IA. Las notas de voz se transcriben a texto para poder responderlas.
• Llamadas perdidas: cuando no se contesta una llamada al número de un negocio, el número de quien llamó y la hora, para enviarle un mensaje de texto. Tornaly no contesta ni graba llamadas.
• Reservas y pagos: datos de la cita, depósitos, cargos por inasistencia y estado del pago. Los pagos los procesa Stripe, a través de la propia cuenta de Stripe del negocio. Nunca vemos ni guardamos números de tarjeta completos.
• Contenido de páginas web: los textos, servicios, precios e imágenes que un negocio agrega a su página en tornaly.site o en su propio dominio.
• Lista de espera: su nombre, correo, teléfono, datos del negocio, los productos que le interesan y el mensaje que nos envíe. También guardamos un registro de su consentimiento (qué casillas marcó, cuándo, en qué idioma y la versión del texto) y de cómo nos encontró (primera página visitada, sitio de origen, etiquetas de campaña e identificadores de clic de anuncios en el enlace).
• Visitas al chat web: de dónde llegó quien visita la página de chat de un negocio (sitio de origen y etiquetas de campaña), para que el negocio vea qué enlaces le traen clientes.
• Datos técnicos: dirección IP, tipo de navegador y dispositivo, páginas solicitadas y registros de errores y del estado del servicio. Los reportes de errores no incluyen tokens ni claves.

4. Para qué la usamos

• Para prestar el servicio: alojar páginas web, tomar reservas, enviar los recordatorios y mensajes que el negocio configuró, responder mensajes con la recepcionista con IA y mostrarle al negocio sus resultados.
• Para mantener el servicio seguro: evitar spam y abusos, distinguir personas de bots, y detectar y corregir errores.
• Para cobrar a los negocios su plan y darles soporte.
• Para contactar a las personas de nuestra lista de espera sobre su incorporación a Tornaly, y para enviar novedades del producto solo a quienes marcaron esa casilla aparte.
• Para cumplir nuestras obligaciones legales.

No vendemos información personal. No usamos la información de los clientes finales para publicidad y nunca usamos los datos de clientes de un negocio para otro negocio.

5. La recepcionista con IA

Cuando un negocio activa la recepcionista con IA, los mensajes recibidos, las transcripciones de notas de voz y la información del propio negocio (servicios, precios, horarios y políticas) se envían a un proveedor de IA para que redacte una respuesta. Usamos OpenAI y podemos usar Anthropic en su lugar.

Según sus condiciones para empresas, estos proveedores no usan estos datos para entrenar sus modelos. Cuando un proveedor nos permite pedir que no se guarden los datos, lo pedimos.

La recepcionista con IA sigue la configuración del negocio y usa solo la información que el negocio ingresó. Pasa a una persona las conversaciones poco claras o delicadas. Aun así puede equivocarse, por eso el negocio puede revisar cualquier conversación y tomar el control en cualquier momento.

6. Con quién la compartimos

• Con los proveedores de la siguiente sección, que nos ayudan a prestar el servicio bajo contratos que limitan cómo pueden usar la información.
• Con el negocio con el que usted trata. Por ejemplo, cuando le escribe a un salón, el equipo del salón ve sus mensajes.
• Con las redes de mensajería (Meta para WhatsApp e Instagram, las operadoras telefónicas para los mensajes de texto), que entregan los mensajes.
• Con las autoridades, cuando la ley lo exige. Nos oponemos a las solicitudes demasiado amplias.
• Con un comprador o sucesor, si Tornaly se vende o se fusiona. La información seguiría protegida por esta política y se lo informaríamos.

7. Nuestros proveedores (subencargados)

Estas empresas tratan información personal por encargo nuestro, cada una solo para el fin indicado:

8. Cambios en nuestros proveedores

Esta lista puede cambiar. La actualizamos aquí y avisamos a los negocios al menos 30 días antes de que un proveedor nuevo empiece a tratar la información de sus clientes, como se indica en nuestro Acuerdo de tratamiento de datos.

9. Dónde se guarda su información

Nuestros proveedores guardan y tratan la información en Estados Unidos, y algunos operan también en otros países. Mientras esté allí, se aplica la ley de ese país, y sus tribunales y autoridades podrían acceder a ella.

Seguimos siendo responsables de su información según la ley canadiense, sin importar dónde se trate. Antes de que la información de personas en Quebec salga de la provincia, evaluamos si estará adecuadamente protegida, considerando su sensibilidad, para qué se usa, las medidas de protección y las leyes del lugar de destino. Cada proveedor está obligado por un acuerdo escrito que protege la información.

10. Cookies y almacenamiento del navegador

Solo usamos las cookies que el servicio necesita para funcionar:

• para mantener su sesión iniciada y recordar con qué negocio está trabajando;
• para recordar su idioma y tema de pantalla;
• una cookie de seguridad de corta duración mientras conecta una cuenta de Instagram.

Su navegador también guarda algunas preferencias en su dispositivo: la moneda que eligió en nuestra página de precios, su conversación del chat web con un negocio (para que siga ahí cuando vuelva) y opciones de diseño del panel.

No usamos cookies de publicidad ni de analítica, y no ponemos rastreadores de terceros en nuestras páginas. En la página de acceso y al iniciar un chat web, Cloudflare Turnstile puede revisar su navegador para distinguir personas de bots. Si algún día agregamos analítica, primero actualizaremos esta política y pediremos consentimiento cuando la ley lo exija.

11. Mensajes de texto, WhatsApp y consentimiento

Los negocios deben tener permiso para escribir a sus clientes, como exigen la Ley Antispam de Canadá (CASL), la ley de protección al consumidor telefónico de EE. UU. (TCPA), las reglas de las operadoras y las políticas de Meta. Las confirmaciones y recordatorios de reservas son mensajes de servicio sobre una cita que el cliente hizo.

Tornaly solo envía mensajes de texto a un número que los pidió o los aceptó. Un número escrito en un chat primero debe confirmarlo respondiendo SÍ.

Responda BAJA (o STOP) a cualquier mensaje de texto para dejar de recibirlos, o AYUDA para pedir ayuda. Las bajas se registran y se aplican automáticamente. Pedirlo con sus propias palabras (“no me manden más mensajes”) también funciona: una persona del negocio le da seguimiento.

De parte de Tornaly, usted recibe correos sobre su cuenta y el servicio. Enviamos correos de marketing solo con su consentimiento expreso, por ejemplo la casilla de novedades de nuestra lista de espera, y todos permiten darse de baja.

12. Cuánto tiempo la guardamos

• Códigos de acceso: se borran a los 30 días.
• Sesiones: se borran al vencer o tras 30 días sin uso.
• Invitaciones al equipo que nadie aceptó: se borran 30 días después de vencer.
• Registros de qué herramientas usó la recepcionista con IA en cada respuesta: los detalles se eliminan a los 90 días (se conservan los conteos).
• Mensajes y fichas de clientes: mientras el negocio mantenga su cuenta, o hasta que el negocio borre al cliente. Borrar a un cliente elimina sus chats, datos de contacto, notas y comentarios. Se conservan los conteos anónimos de reservas y un registro cifrado de forma irreversible (hash) de cualquier baja, para que nunca se olvide.
• Registros de consentimiento y de bajas: mientras se necesiten para demostrar el consentimiento.
• Cuentas cerradas: el negocio tiene 30 días para exportar sus datos. Después los borramos de nuestros sistemas activos. Las copias en respaldos se borran a medida que estos vencen, dentro de los 30 días siguientes.
• Registros de facturación: el tiempo que exija la ley fiscal (en Canadá, por lo general seis años).
• Lista de espera: hasta que nos pida quitarlo, o 24 meses después de nuestro último contacto, lo que ocurra primero.
• Registros técnicos y reportes de errores: hasta 90 días.

13. Sus derechos

Usted puede pedirnos:

• que le digamos qué información personal tenemos sobre usted y le demos una copia;
• que corrijamos información incorrecta o incompleta;
• que borremos su información, salvo que debamos conservarla por ley o para terminar algo que usted pidió;
• que dejemos de usarla para algo que usted consintió (puede retirar su consentimiento en cualquier momento, con los límites legales o contractuales que correspondan);
• si vive en Quebec, que le entreguemos su información en un formato tecnológico estructurado y de uso común.

Escriba a hello@tornaly.com. Podemos pedirle que confirme su identidad. Respondemos en un plazo de 30 días y, si necesitamos más tiempo según lo permita la ley, le explicamos por qué. Estas solicitudes son gratuitas.

Si usted es cliente de un negocio que usa Tornaly, contacte primero a ese negocio: controla su información y normalmente puede ayudarle de inmediato. Si nos escribe a nosotros, le pasamos su solicitud al negocio y le ayudamos a responder.

14. Quejas

Si no está conforme con cómo tratamos su información, díganoslo primero en hello@tornaly.com para poder corregirlo.

También puede presentar una queja ante la Oficina del Comisionado de Privacidad de Canadá. Si vive en Quebec, puede acudir a la Commission d’accès à l’information du Québec. En Alberta y Columbia Británica, también puede ayudarle el comisionado de privacidad de la provincia.

15. Seguridad

• Todas las conexiones con Tornaly van cifradas (HTTPS).
• Nuestro proveedor de base de datos cifra los datos guardados. Los tokens de acceso de las cuentas de WhatsApp, Instagram y otras conectadas se cifran además por separado (AES-256).
• Los códigos de acceso y las claves de sesión se guardan solo cifrados de forma irreversible (hash).
• Los datos de cada negocio se mantienen separados y el acceso se verifica según el rol en cada solicitud.
• Nuestro personal con acceso a la plataforma debe usar verificación en dos pasos.
• Verificamos la firma de los mensajes que llegan de Meta, las operadoras telefónicas y Stripe antes de aceptarlos.

Ningún sistema es perfectamente seguro. Si una falla de seguridad crea un riesgo real de daño significativo para usted, se lo informaremos a usted y a la Oficina del Comisionado de Privacidad de Canadá lo antes posible (y a la Commission d’accès à l’information de Quebec cuando corresponda). Llevamos un registro de cada incidente, como exige la ley. Si un incidente afecta los datos de clientes de un negocio, se lo informamos de inmediato al negocio para que cumpla sus propias obligaciones.

16. Menores

Tornaly es un servicio para negocios. No está dirigido a menores y no recogemos a sabiendas, para fines propios, información de menores de 16 años. Un negocio puede tener clientes más jóvenes; es responsable de obtener el consentimiento de su madre, padre o tutor cuando la ley lo exija.

17. Cambios a esta política

Cuando cambiamos esta política, publicamos la nueva versión aquí con una nueva fecha. Si el cambio es importante, avisamos a los dueños de cuenta por correo o en la aplicación al menos 30 días antes de que entre en vigor.

18. Contacto

Responsable de privacidad: Privacy Officer, Tornaly

Correo: hello@tornaly.com