Aviso y política de privacidad

1. Responsable y contacto

El responsable del tratamiento es Mario Andres Monteros Duarte, persona natural que opera bajo la marca Elaine System en El Salvador. Domicilio postal comercial: polígono 10, casa 19, El Refugio, Ahuachapán Norte, El Salvador.

Para preguntas o solicitudes sobre tus datos, escribe a mariomonteros@elainesystem.com o llama al +503 7543-9870.

2. Datos que recibimos

• Formulario de contacto: nombre, correo y mensaje son necesarios para recibir y responder la solicitud. Empresa, servicio de interés y objetivo son opcionales. Si existen, también recibimos la página de origen y etiquetas de campaña de la URL (fuente, medio y campaña). Tú escribes los datos del formulario; la página de origen y las etiquetas se leen desde el navegador. Si no das los campos requeridos, no podremos responder por este canal.
• Asistente técnico: cuando eliges usarlo, recibimos el texto enviado, los mensajes recientes de esa conversación y el área técnica elegida o sugerida. El área se infiere mientras escribes; no se necesita para navegar el resto del sitio. Antes de enviar, el asistente solicita por separado declarar que tienes 18 años o más y autorizar el envío a Google.
• Seguridad y funcionamiento: los servidores y proveedores pueden recibir datos técnicos para entregar la página y detectar abuso, como dirección IP, fecha, ruta solicitada, navegador y dispositivo. No conocemos todavía qué datos registra cada cuenta ni sus plazos de eliminación.
• Consentimientos: si usas el asistente, el sistema puede guardar un identificador aleatorio, la versión del aviso, la finalidad y la fecha del consentimiento. No guarda el contenido del chat en ese comprobante. Si envías el formulario, guarda la versión y fecha de tu autorización para compartir la solicitud con Vercel y Brevo: como evento del CRM si está disponible y en la notificación enviada al responsable en los demás casos. La rama local conserva la evidencia del asistente hasta 365 días; la ejecución de las limpiezas debe verificarse en producción.

No envíes por el formulario o el asistente contraseñas, claves, información de clientes, datos financieros, datos sensibles ni contenido confidencial. Los filtros del asistente pueden no reconocer todos los casos y no anonimizan el texto.

3. Para qué los usamos y qué es opcional

• Responder consultas: usamos los campos necesarios para contestar lo que solicitaste, evaluar el alcance inicial y, si corresponde, preparar una propuesta. Si no proporcionas nombre, correo o mensaje, no podremos responder desde el formulario.
• Asistente: si lo usas y confirmas, enviamos el contenido a Google para generar una respuesta técnica. Puedes usar el sitio sin usarlo. La información sobre sus condiciones y límites está en la sección 4.
• Seguimiento comercial: solo se activa tras una elección separada y la confirmación de un enlace enviado al correo. Si no confirmas, no se activa. Cuando esté disponible, se limita a un máximo de tres mensajes en 30 días y puedes detenerlo desde el mensaje.
• Boletín: el código de trabajo requiere una solicitud y confirmación separada del correo. La consulta pública actual indica que el boletín y el CRM están desactivados. Enviar una consulta no te inscribe al boletín ni activa seguimiento comercial.
• Seguridad: usamos datos técnicos para proteger el sitio y controlar solicitudes abusivas, conforme a la ley aplicable.

Para responder una consulta que tú envías, la base prevista es tomar medidas antes de un posible contrato a petición tuya (artículo 5, literal g), numeral 2, del Decreto 144). El chat, el seguimiento y el boletín son opciones separadas. Antes de enviar el formulario, el código de trabajo pide autorización expresa para compartir los datos necesarios con Vercel (alojamiento) y Brevo (correo), que pueden tratarlos fuera de El Salvador. Puedes llamar al +503 7543-9870 si no quieres usar el formulario. El asistente requiere una autorización separada antes de transmitir la consulta a Google. Para seguridad se propone el interés legítimo de proteger el sitio y evitar abuso, sujeto a una evaluación documentada. Las bases de los registros técnicos, del correo y de cada transferencia aún requieren confirmación antes de aprobar este aviso.

4. Asistente y proveedor de inteligencia artificial

El mensaje que envías y la respuesta generada se transmiten a Google mediante su API. El sitio no incorpora el chat como historial de contacto. El tratamiento que Google haga depende de la modalidad y configuración de la cuenta conectada, que todavía deben confirmarse. En los servicios de Google sin costo, sus condiciones permiten usar entradas y respuestas para mejorar sus productos y que revisores humanos las lean y procesen. Por eso no compartas datos personales, sensibles o confidenciales. Revisa las condiciones vigentes de la API de Google.

El asistente da orientación inicial. No acepta proyectos, fija precios ni decide si Elaine System trabajará contigo; esas decisiones corresponden a Mario. No está diseñado para tomar decisiones automatizadas con efectos legales sobre las personas. Su uso es opcional.

Las condiciones actuales de Google exigen que quien use la API tenga al menos 18 años y prohíben usarla en un sitio dirigido a menores o al que probablemente accedan. El sitio es público; una casilla de edad no resuelve por sí sola esa restricción. También deben verificarse la modalidad de cuenta, los países disponibles y las condiciones especiales para el Espacio Económico Europeo, Suiza y Reino Unido. No se ha confirmado que el asistente pueda permanecer disponible al público.

5. Proveedores y transferencias internacionales

• Vercel: aloja y entrega el sitio y sus funciones de servidor.
• Cloudflare Workers: aloja la vista pública de prueba en elainesystem-pilot.duarte-mario501.workers.dev. Para entregar esa vista, Cloudflare procesa solicitudes y datos técnicos de conexión, como dirección IP, fecha, ruta y cabeceras. En este piloto no están configurados SMTP, el asistente, CRM ni newsletter; el formulario no se muestra y el endpoint responde antes de leer el cuerpo si SMTP falta. La ubicación, retención y entidad contractual aplicables a la cuenta todavía deben verificarse. No envíes datos personales o confidenciales al entorno de prueba.
• UptimeRobot: el responsable configuró un monitor HTTP para consultar la página pública cada cinco minutos y recibir avisos de disponibilidad. La comprobación consulta la URL pública; no envía los datos que las personas escriben en formularios o en el asistente. El proveedor puede tratar la dirección consultada, el estado y el tiempo de respuesta, datos técnicos de la comprobación e información de la cuenta. La entidad contractual, ubicación, conservación y términos de la cuenta todavía deben verificarse.
• Google: recibe las consultas del asistente para generar respuestas.
• Brevo: el responsable informa que usa su servicio SMTP para entregar correos del formulario, incluido el aviso de recepción enviado a la persona que consulta. El formulario local pide una autorización expresa para esa entrega y el alojamiento. Si se habilitan el CRM o newsletter, el flujo y sus sistemas asociados se describirán antes de activarlos.
• MySQL y cPanel: el código permite guardar el CRM y el boletín en MySQL, directamente o mediante una API privada alojada en cPanel. Las funciones están desactivadas en la consulta pública; el proveedor de cPanel, la cuenta, el país y el uso efectivo de la base todavía no se han confirmado.

Estos proveedores pueden procesar información fuera de El Salvador. La entidad contractual, países, subproveedores y garantías aplicables a las cuentas conectadas todavía no están verificados. Por ello, este borrador no afirma que las transferencias estén cubiertas o sean válidas. La disponibilidad de un proveedor en otro país no demuestra por sí sola el cumplimiento de la ley salvadoreña ni de normas extranjeras.

Los nombres anteriores identifican servicios, no confirman la entidad jurídica contratada ni el contacto de privacidad aplicable a cada cuenta. Vercel publica el correo privacy@vercel.com; no se ha comprobado que exista un acuerdo de tratamiento aplicable a la cuenta actual. Falta verificar el contacto de privacidad asociado al proyecto de Google, la entidad y el contacto de Brevo en la cuenta SMTP, los términos de UptimeRobot y los datos del proveedor de cPanel. Puedes contactar a Google desde su formulario oficial de privacidad. Esos datos deben cotejarse e incorporarse aquí antes de aprobar este aviso.

Para conocer las prácticas de esos proveedores, consulta la política de privacidad de Vercel, las condiciones de Google, la política de privacidad de Brevo y la política de privacidad de UptimeRobot. Esos enlaces no sustituyen la verificación de la entidad contractual, cuenta, ubicación o acuerdo de cada servicio conectado.

6. Conservación

• El asistente mantiene el chat de forma temporal en la página y no lo guarda como historial en el sitio. La evidencia mínima del consentimiento tiene vencimiento de 365 días en el código; su borrado automático debe comprobarse.
• Las consultas de contacto pueden permanecer en el buzón al que se entregan. Falta aprobar y verificar un plazo para eliminar mensajes, copias en correo, registros del proveedor y respaldos.
• El CRM y el boletín aparecen desactivados en la consulta pública del 18 de octubre de 2026. El código del boletín prepara conservación de evidencia de consentimiento por tres años y purga de tokens; la migración, el cron y el borrado no se han verificado en producción. El plazo de mensajes, leads y respaldos sigue pendiente.
• Los registros técnicos se conservan según la configuración y el contrato de cada proveedor, aún por confirmar.

Los periodos efectivos de buzón, SMTP, registros y respaldos son un dato pendiente de aprobación. No se publicará este borrador como versión final hasta definirlos y comprobar que el proceso de eliminación funciona.

7. Cookies, almacenamiento y analítica

En la versión pública revisada, las etiquetas UTM se conservan en el almacenamiento temporal de sesión del navegador para asociarlas a una consulta. El código de trabajo ya las mantiene solo en memoria durante la página; ambas versiones pueden leer las etiquetas desde la URL, que podría aparecer en registros del alojamiento. El panel privado puede usar una cookie de autenticación, pero el CRM está desactivado. El código no muestra cookies publicitarias.

Vercel Web Analytics estaba desactivado en la última revisión del panel, el 18 de octubre de 2026. Si se activa, el código reduce la URL a la ruta y excluye formularios, chat y rutas privadas; se volverá a informar antes de recopilar datos y se revisarán las reglas de cada territorio. Consulta la información de privacidad de Vercel Analytics.

8. Derechos y solicitudes

En El Salvador puedes ejercer los derechos de acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación (ARCO-POL), así como retirar un consentimiento opcional. Envía tu solicitud a mariomonteros@elainesystem.com con el asunto “Solicitud de derechos sobre datos”. Incluye tu nombre, domicilio y medio de respuesta; indica qué derecho solicitas y describe los datos que debemos localizar. Si otra persona actúa por ti, indica esa representación. Podemos pedir una prueba razonable de identidad o representación y acordar un medio seguro antes de recibir documentos. El ejercicio es gratuito y la entrega electrónica no tiene costo; este canal todavía requiere una prueba operativa.

Conforme al procedimiento reformado por el Decreto Legislativo 659, si faltan requisitos podemos hacer una sola prevención y conceder diez días hábiles, contados desde el día siguiente a la notificación, para completar la solicitud. Si no somos responsables competentes o corresponde otro derecho, debemos informar y devolverla en cinco días hábiles. El plazo de respuesta es de veinte días hábiles y puede ampliarse hasta otros veinte por causa justificada. Si denegamos una solicitud, notificaremos la resolución motivada dentro de tres días hábiles desde su adopción. La revocación de consentimiento se atiende en cinco días hábiles; si procede rectificar, actualizar o eliminar datos comunicados, se avisa a sus destinatarios en cinco días hábiles desde la determinación. Consulta el Decreto 659 y sus reformas a la ley salvadoreña.

Este aviso describe el tratamiento desde El Salvador; no certifica cumplimiento mundial. Si una ley de otro territorio aplica a tu caso, puedes usar el mismo canal para ejercer los derechos que reconozca y, cuando corresponda, reclamar ante su autoridad de protección de datos. La mera disponibilidad del sitio fuera de El Salvador no basta por sí sola para determinar que una ley extranjera aplique. Cuando el GDPR de la Unión Europea o el UK GDPR aplique, los derechos pueden incluir acceso, rectificación, supresión, limitación, portabilidad, oposición, retiro del consentimiento y reclamación ante la autoridad competente. El plazo general de respuesta bajo esos regímenes es un mes; puede ampliarse hasta dos meses por complejidad o número de solicitudes, con aviso y motivos dentro del primer mes. Si la CCPA/CPRA de California aplica al tratamiento, pueden corresponder derechos de conocer, corregir, borrar, excluirse de venta o intercambio de datos, limitar ciertos usos de información sensible y no sufrir represalias. La aplicación de esos derechos depende del alcance legal del caso. Consulta el GDPR oficial, la guía del ICO del Reino Unido y las preguntas de la agencia de California.

La Agencia de Ciberseguridad del Estado (ACE) ejerce funciones salvadoreñas de rectoría y supervisión. Presenta primero tu solicitud directamente al responsable y consulta los canales vigentes de la ACE.

9. Seguridad, incidentes y menores

La conexión a este sitio usa HTTPS. La rama de trabajo incluye validaciones y límites para algunas solicitudes, pero esos cambios no están en la versión pública observada y no se han verificado de extremo a extremo. El acceso a cuentas, buzones, respaldos y respuesta a incidentes también requiere controles que aún deben probarse. Ningún servicio conectado a Internet puede garantizar seguridad absoluta.

Cuando el responsable tenga conocimiento de una vulneración de seguridad de datos personales —incluidos daño, pérdida, alteración, destrucción, acceso ilegítimo o uso ilícito o no autorizado, aun accidental—, el artículo 25 del Decreto 144 exige notificar el hecho a la ACE, a la Fiscalía General de la República y a las personas titulares afectadas dentro de un máximo de 72 horas desde ese conocimiento. Dentro del mismo plazo debe iniciar una revisión exhaustiva y documentar las vulneraciones que generen riesgo.

El sitio no pide intencionalmente datos de menores. Si un menor proporciona datos, su representante puede escribir al contacto indicado para solicitar revisión y eliminación cuando proceda. La restricción de Google descrita en la sección 4 requiere resolver el acceso de menores al asistente; la declaración de edad por sí sola no demuestra que se cumpla.

10. Cambios y datos de proyectos

Publicaremos los cambios y la fecha de revisión en esta página. Antes de añadir una finalidad, destinatario o tratamiento que requiera autorización, informaremos y pediremos el consentimiento que corresponda. Esta política cubre los datos que Mario trata para operar el sitio y atender consultas; no reemplaza contratos ni anexos cuando un proyecto de desarrollo, hosting, soporte o infraestructura implique tratar datos personales por cuenta de un cliente.

Para una consulta de servicios, visita la página de contacto.