Tus datos, con propósito y límites claros.

1. Quién es responsable

Arre es un servicio operado por Erick Jonás Ibarra Cruz, con operación en Hermosillo, Sonora, México. Para asuntos de privacidad y ejercicio de derechos, el medio de contacto es soporte@arre.click.

Cuando una organización usa Arre con sus clientes, prospectos o contactos, esa organización decide por qué y cómo tratar sus datos. En ese contexto, Arre actúa como proveedor encargado y sigue las instrucciones autorizadas de la organización. Arre sí es responsable directo de los datos de cuenta, soporte, seguridad, facturación, analítica y contacto comercial que recaba para operar su propio servicio.

2. A quién y a qué aplica

Aplica a visitantes de arre.click, personas que solicitan información, usuarios del Workspace o Admin, integrantes invitados por una organización y personas cuyos mensajes o interacciones llegan a una cuenta de WhatsApp, Instagram, Messenger u otro canal conectado por esa organización.

Arre está dirigido a negocios y personas adultas con capacidad para representar a una organización. No está diseñado para recopilar deliberadamente datos de menores.

3. Qué información tratamos

• Cuenta y acceso: nombre, correo, avatar, identificadores de autenticación, organización, membresías, roles, invitaciones y registro de acceso.
• Organización y operación: nombre e imagen del negocio, configuración, miembros, agentes, reglas, memoria compartida, documentos, archivos, notas y decisiones confirmadas.
• Conversaciones y trabajo comercial: teléfono o identidad del canal, nombre o usuario visible, mensajes, comentarios, archivos adjuntos, consentimiento y revocaciones, responsables, contactos, oportunidades, tareas, citas, resultados e historial de actividad.
• Integraciones: proveedor, cuenta conectada, permisos concedidos, identificadores técnicos, estado de conexión y credenciales cifradas. Nunca mostramos tokens de acceso en el navegador.
• Uso y seguridad: vistas de página, identificadores técnicos de usuario y organización, dirección IP cuando es necesaria para seguridad o límites de uso, errores, eventos de auditoría, dispositivo o navegador y métricas de rendimiento y consumo.
• Interés y soporte: correo, teléfono si decides compartirlo, medio preferido, mensajes de soporte y evidencia de la autorización que aceptaste.

No solicitamos datos personales sensibles como requisito normal del servicio. La organización usuaria debe evitar enviarlos o cargarlos salvo que cuente con una base legítima, controles adecuados y un acuerdo expreso con Arre.

4. Para qué usamos la información

• crear y proteger cuentas, organizaciones, roles y sesiones;
• centralizar conversaciones y convertirlas en seguimiento, tareas, citas y resultados verificables;
• conectar y operar las integraciones que una persona autorizada activa;
• preparar sugerencias de agentes de IA y ejecutar sólo las acciones permitidas por la organización;
• prestar soporte, investigar incidentes, prevenir abuso y conservar auditoría;
• medir uso, desempeño y costos para mejorar y operar Arre;
• contactarte sobre una prueba cuando lo solicitas, y cumplir obligaciones legales o contractuales.

Arre no vende datos personales ni los comparte con anunciantes o corredores de datos. Tampoco toma decisiones crediticias, laborales o equivalentes a partir de la información del servicio.

5. Google Calendar y Drive

Al conectar Google, Arre solicita identidad básica —identificador de cuenta, correo verificado y perfil— y únicamente los permisos que necesita la función elegida.

Calendar

Para mostrar disponibilidad, Arre puede leer la lista de calendarios y conservar su identificador, nombre, zona horaria y nivel de acceso. Consulta periodos ocupados mediante freeBusy, pero no guarda títulos, descripciones, ubicaciones ni asistentes de los eventos. Arre no crea ni modifica eventos mientras esa función no sea habilitada y autorizada de forma separada.

Drive

Cuando la función de Drive esté disponible, el permiso drive.file limitará el acceso a archivos que la persona seleccione, abra o cree expresamente con Arre. No concede lectura general de todo Drive. Antes de activar una función nueva, Arre mostrará su finalidad y pedirá el permiso correspondiente.

Uso limitado de Google. El uso y transferencia que Arre haga de información recibida de las APIs de Google cumplirá la Política de Datos de Usuario de los Servicios API de Google, incluidos sus requisitos de Uso Limitado. No usamos datos de Google para publicidad, venta de datos, vigilancia, evaluación crediticia ni para entrenar o mejorar modelos de IA generalizados.

El acceso humano a datos de Google se limita a los casos en que la persona lo autorice para soporte específico, sea indispensable para seguridad, sea exigido por ley o se trate de información agregada y anonimizada para operación interna. Al desconectar Google, eliminamos las credenciales locales e intentamos revocar el acceso ante Google. También puedes retirar Arre desde la configuración de seguridad de tu cuenta de Google.

6. Meta, Instagram, Messenger y WhatsApp

Cuando una organización conecta una cuenta, Arre recibe sólo los activos y permisos que su administrador selecciona. Según el canal, esto puede incluir identificadores de la Página, cuenta profesional, WABA o número; perfil público disponible; mensajes, comentarios, reacciones, referencias y estados de entrega. Las credenciales se cifran y cada activo queda ligado a una sola organización.

Desconectar elimina las credenciales locales y cancela efectos pendientes. Para una revocación remota completa, el administrador también puede retirar Arre desde Meta. Las solicitudes firmadas de eliminación de Meta borran los datos activos ligados a esa autorización y generan una confirmación pública que no revela el identificador de la cuenta.

7. Agentes de inteligencia artificial

Cuando una función de IA se utiliza, Arre puede enviar al proveedor configurado el contexto mínimo necesario para preparar una respuesta, resumen o tarea visible para la organización. Arre registra el modelo, uso, costo y resultado para control y auditoría. No usa el contenido de una organización para entrenar modelos generales propios.

Los agentes empiezan con autonomía limitada: una persona revisa y autoriza mensajes externos y compromisos comerciales. La organización es responsable de revisar las sugerencias antes de usarlas y de no incorporar información para la que carezca de autorización.

8. Con quién se comparte

Compartimos información sólo con proveedores necesarios para entregar el servicio y bajo el alcance de su función. Los proveedores actuales o previstos para capacidades activadas incluyen Supabase —base de datos, autenticación y tiempo real—, Vercel —alojamiento—, AWS —objetos privados—, PostHog Cloud US —analítica limitada—, Resend —correo—, OpenRouter y el proveedor de modelo seleccionado —procesamiento de IA—, además de Google y Meta cuando conectas sus servicios.

Algunos proveedores procesan datos fuera de México. También podemos revelar información si una autoridad competente lo exige, para proteger derechos y seguridad, o en una reorganización empresarial con las salvaguardas y avisos aplicables. No damos acceso al contenido de una organización a otra.

9. Analítica, cookies y seguridad

Usamos cookies necesarias para sesión, seguridad, preferencias y flujos OAuth. PostHog registra vistas de página y eventos explícitos únicamente en hosts desplegados; la analítica permanece desactivada en desarrollo local. En el área autenticada utiliza UUID técnicos de usuario y organización y una etiqueta seudónima derivada del prefijo normalizado del correo, sin incluir su dominio ni el correo completo. Su autocaptura y grabación de sesiones están desactivadas, por lo que no enviamos por esa integración textos de conversaciones, contactos o formularios.

Aplicamos controles de acceso por organización, validación en servidor, cifrado en tránsito, cifrado de credenciales, almacenamiento privado, URLs firmadas de corta duración, límites de uso y auditoría. Ningún sistema es infalible; si detectamos un incidente, actuaremos y notificaremos conforme a las obligaciones aplicables.

10. Conservación y eliminación

Conservamos los datos mientras la cuenta u organización esté activa y durante el tiempo necesario para prestar el servicio, resolver disputas, mantener seguridad y auditoría, cumplir obligaciones o atender la finalidad informada. Las credenciales se eliminan al desconectar; los datos temporales y derivados siguen ciclos técnicos de expiración o reemplazo.

Cuando procede una eliminación, retiramos la información de los sistemas activos o la anonimizamos. Los respaldos cifrados se depuran mediante su ciclo normal y no se restauran de nuevo a producción. Podemos conservar constancias mínimas seudonimizadas cuando sean necesarias para seguridad, cumplimiento, disputas o contabilidad.

11. Tus derechos y decisiones

Puedes solicitar acceso, rectificación, cancelación u oposición; retirar tu consentimiento; limitar el uso o divulgación; pedir una copia o eliminación de tus datos; y desconectar integraciones. Escribe a soporte@arre.click indicando tu relación con Arre y la solicitud. Podremos pedir información razonable para verificar identidad y autoridad antes de actuar.

Si tus datos llegaron a Arre por una organización usuaria, normalmente enviaremos la solicitud a esa organización o colaboraremos con ella, porque es quien determina el tratamiento. Si no estás conforme con la respuesta, puedes acudir ante la autoridad mexicana competente en protección de datos.

12. Cambios a este aviso

Publicaremos aquí cualquier actualización. Si un cambio modifica de manera importante cómo usamos datos personales o datos de Google, lo comunicaremos por un medio adecuado y, cuando corresponda, solicitaremos nuevamente el consentimiento antes de aplicar la nueva finalidad.