Servicio de CRM y app de Meta «Nahua SaaS Services» · nahua.io

Aviso de privacidad

Última actualización: 6 de noviembre de 2026

1. Quién es Nahua

Miguel Fernando Najera Aranzabal («Nahua»), con domicilio en Corina 130, Del Carmen, Coyoacán, 04100, presta el servicio de CRM que describe este aviso, opera el sitio nahua.io y es dueña de la app de Meta «Nahua SaaS Services» (identificador de la app: 28727211870222883).

• Persona o departamento de datos personalesDev
• Correodev@nahua.io
• Teléfono+52 55 2914 4148
• Sitiohttps://nahua.io

2. Los papeles de Nahua

Encargada. Con los datos de las personas que escriben a sus clientes, Nahua es «persona encargada». Los trata por cuenta de cada negocio, solo para prestarle el servicio y conforme a sus instrucciones (Ley Federal de Protección de Datos Personales en Posesión de los Particulares, art. 2 fr. XII; su Reglamento, arts. 49 y 50). El negocio decide para qué usa esos datos, y es ante él donde ejerces tus derechos. Por ejemplo, si escribiste a Arte7, Arte7 recibe tus solicitudes en info@arte7.net (su aviso de privacidad: https://arte7.net/aviso-de-privacidad.html). Se explica en el apartado 3.

Responsable. Con los datos de sus clientes, de las personas que usan el CRM y de quienes visitan nahua.io o le escriben, Nahua decide y responde directamente. Se explica en el apartado 4.

Ante Meta. Nahua es la responsable de los Datos de la plataforma que recibe su app (tokens, identificadores y mensajes) y responde ante Meta por su tratamiento. Eso no cambia lo anterior: frente a la ley mexicana, trata los mensajes de los prospectos como encargada de cada negocio, que es quien decide para qué se usan.

3. Datos que Nahua trata por cuenta de los negocios

3.1 De las personas que escriben a un negocio

Según el canal y lo que el negocio conecte:

• Messenger e Instagram:
  • tus mensajes y lo que mandes: fotos, audios, videos, documentos, publicaciones compartidas, menciones y respuestas a historias;
  • las respuestas que te manda el negocio;
  • tu nombre y, en Instagram, tu @usuario;
  • el identificador que Meta te asigna en cada cuenta del negocio;
  • la fecha y hora de cada mensaje;
  • si llegaste desde un anuncio, la referencia del anuncio;
  • en Instagram, también el enlace a tu foto de perfil.
• WhatsApp: tus mensajes y lo que mandes, tu número de teléfono y tu nombre de perfil.
• Formularios web del negocio conectados al CRM: nombre, correo, teléfono, el producto o programa y la sede que te interesan, y los parámetros de campaña del enlace por el que llegaste. Para limitar cuántos envíos se hacen por minuto se usa tu dirección IP: se guarda transformada con una función hash, por ahora sin plazo, y aparece en los registros técnicos durante 30 días. El formulario consulta además la verificación anti-bots de Google (reCAPTCHA Enterprise), que hoy solo se mide y no bloquea envíos.
• Correo: los correos que el negocio te manda desde el CRM y, cuando el negocio active la recepción, tus respuestas.
• Lo que agrega el equipo del negocio: notas, etapa del proceso de venta, citas, motivo de cierre y otros datos de seguimiento.
• Datos técnicos:
  • copias de los avisos que Meta envía al CRM;
  • registros para no procesar dos veces el mismo mensaje;
  • claves derivadas de tu correo, teléfono e identificadores, para reconocerte entre canales;
  • una bitácora de cambios, que conserva los valores anteriores de tus datos y de las notas;
  • registros de funcionamiento.

Hoy el CRM no recibe comentarios públicos. Si se activan, guardará el texto, tu nombre o @usuario y la publicación comentada, y se dirá aquí antes.

Al conectar una cuenta, el negocio puede traer al CRM sus conversaciones recientes:

• en Messenger, las 50 más recientes de cada bandeja;
• en Instagram, las que tuvieron actividad en los últimos 30 días, con sus 20 mensajes más recientes.

Eso puede incluir a personas que solo mencionaron o respondieron una historia del negocio.

Los archivos adjuntos no se descargan: el CRM guarda el enlace que da Meta, que caduca en horas o días, y el archivo se abre desde los servidores de Meta.

Datos sensibles. Nahua no los pide. Si alguien los escribe en un mensaje, o el equipo del negocio los anota, quedan como parte de la conversación. Los términos del servicio prohíben usar el CRM para recabarlos sin el consentimiento expreso y por escrito que exige la ley (art. 8).

3.2 De los negocios que conectan sus cuentas

Cuando un negocio conecta sus cuentas, Nahua guarda lo que Meta le entrega para operarlas:

• los identificadores y nombres de sus Páginas, cuentas de Instagram y números de WhatsApp Business;
• los permisos concedidos;
• los tokens de acceso;
• según cómo se haga la conexión, el identificador de su portafolio comercial y el de la persona que la autorizó.

Los usa solo para prestarle el servicio a ese negocio.

3.3 Para qué se usan

Solo para prestar el servicio al negocio:

• recibir los mensajes y mostrarlos a su equipo, con la cuenta a la que llegó cada uno;
• enviar las respuestas que escribe su equipo, por correo o por Messenger e Instagram (en estos dos, desde la cuenta a la que escribiste y dentro de la ventana de 24 horas de Meta);
• reconocer a la misma persona cuando escribe por varios canales, para no duplicar expedientes;
• organizar las conversaciones en el proceso de venta del negocio y ordenar la atención con sus reglas;
• avisar al negocio por correo, si lo pide, de cada solicitud nueva que llega por su formulario web;
• darle cifras de su operación, como mensajes por cuenta o anuncios que trajeron conversaciones;
• mantener el servicio seguro y funcionando.

3.4 El asistente de inteligencia artificial

Solo funciona si el negocio lo autoriza. El CRM manda una conversación a Anthropic, PBC, empresa de Estados Unidos, cuando lleva 15 minutos sin mensajes nuevos, o cuando alguien del equipo lo pide. Con eso, su modelo Claude sugiere la etapa, el interés y el siguiente paso.

• Se manda:
  • el texto de hasta los 40 mensajes más recientes, hasta 1,500 caracteres cada uno, con quién escribió cada uno (tú o el negocio), por qué canal y cuándo;
  • las notas del equipo;
  • la etapa, el interés, la sede y el origen registrados;
  • de un adjunto, solo su tipo (por ejemplo, «mandó una imagen»).
• No se manda:
  • los campos de nombre, correo, teléfono, @usuario e identificadores de Meta de tu expediente;
  • los mensajes de WhatsApp.

  Los correos y teléfonos escritos dentro de los mensajes y de las notas se tapan antes de enviar. Lo demás que esté escrito sí se manda, incluido tu nombre o un @usuario si aparecen en un saludo, en una respuesta del equipo o en una nota.

• Dónde: Anthropic puede procesar la petición en Estados Unidos o en otros países donde tenga infraestructura.
• Lo que hace Anthropic: borra lo que recibe y lo que genera en un máximo de 30 días, salvo que sus sistemas de seguridad lo marquen por posible abuso (entonces lo guarda hasta 2 años) o que la ley le obligue a conservarlo. Sus términos comerciales le prohíben entrenar sus modelos con estos datos.
• Quién decide: la sugerencia se guarda en el expediente y la revisa una persona del negocio, que decide si la aplica. El asistente no contesta, no mueve expedientes y no decide nada sobre ti.

3.5 Lo que Nahua no hace

• No vende, renta ni comparte estos datos con otros negocios.
• No los usa para fines propios, para publicidad ni para crear perfiles.
• No entrena modelos de inteligencia artificial con ellos, ni deja que sus proveedores lo hagan.
• No toma con ellos decisiones automáticas que te afecten de forma significativa, como una admisión, un precio, una beca, un crédito, un empleo, una vivienda o un seguro. La prioridad y las sugerencias del CRM solo ordenan el trabajo del equipo, y siempre decide una persona.
• No combina datos de distintos clientes. Hoy el servicio atiende a un solo cliente, Arte7, con sus dos marcas (Arte7 y Proyecto Arte 7); antes de sumar otro, Nahua separará los datos de cada uno.
• Nunca pide ni guarda contraseñas de Facebook, Instagram o WhatsApp.

3.6 Quién más los trata y dónde

Estos servicios tratan los datos como encargados, conforme a sus contratos, solo para prestar su servicio y mantenerlo seguro, y no para publicidad ni para entrenar modelos. Para Arte7, el cliente actual, están contratados a nombre de Arte7, que autoriza a Nahua a usarlos para prestarle el servicio.

• Google (Google Cloud y Firebase):
  • la base de datos del CRM está en Querétaro, México;
  • el procesamiento corre en Dallas, Estados Unidos;
  • las cuentas de quienes usan el CRM (Firebase Authentication) están en Estados Unidos;
  • los registros técnicos y las llaves se guardan en centros de datos de Google en varios países;
  • hace la verificación anti-bots de los formularios.
• Anthropic, PBC (Estados Unidos): el asistente de inteligencia artificial, solo si el negocio lo autoriza (apartado 3.4).
• Resend (Estados Unidos): envía los correos y, cuando el negocio la active, se encarga de la recepción. Guarda los correos 30 días.

Copia del sistema anterior. Supabase, Inc. (fuera de México) guarda una copia histórica de los expedientes del sistema que Arte7 usaba antes, en una cuenta del proveedor que lo desarrolló. No recibe datos nuevos, y se borrará a más tardar el 26 de noviembre de 2026.

Meta. En Messenger e Instagram, Meta es la plataforma por la que llegan y salen los mensajes, y los trata conforme a sus propias políticas. En WhatsApp (Cloud API), Meta trata los mensajes por cuenta del negocio y los conserva hasta 30 días. Lo que borres en Meta no se borra del CRM, y lo que se borre del CRM no se borra de Meta.

Lo que el equipo del negocio copie fuera del CRM queda bajo control del negocio. Por ejemplo, los avisos que recibe en su correo o una tabla que pegue en una hoja de cálculo.

Autoridades. Nahua solo entrega datos a una autoridad cuando una orden fundada y motivada lo exige. Revisa que la orden sea legal, entrega lo mínimo que pide y deja constancia. Se lo avisa al negocio, salvo que la orden lo prohíba.

3.7 Cuánto tiempo se conservan

• Expedientes, conversaciones, notas, bitácora y copias técnicas: hoy nada de esto caduca solo. Se conserva mientras el negocio tenga el servicio, salvo que pida borrarlo antes o que proceda una solicitud tuya. Cada borrado lo ejecuta una persona de Nahua, que borra todo lo de esa persona y deja constancia.
• Al terminar el servicio: el negocio puede pedirle a Nahua una copia de sus datos, en archivos JSON. Después Nahua los borra de sus sistemas en un máximo de 60 días.
• Copias que caducan solas:
  • registros técnicos: 30 días;
  • copias de recuperación de la base de datos: 7 días;
  • correos guardados en Resend: 30 días;
  • lo enviado a Anthropic: 30 días, con la excepción del apartado 3.4.
• Después de borrar: lo borrado deja de estar en el CRM de inmediato, y Google termina de eliminarlo de sus sistemas en un máximo de 180 días.
• Cuentas que no son de un cliente: si una cuenta que no es de un cliente autoriza la app, lo que llega por ella queda retenido. No abre expedientes, y el equipo del negocio solo ve que hay una cuenta por revisar, sin sus mensajes. Si se confirma que no es del negocio, Nahua borra lo que llegó por ella.

3.8 Tus derechos sobre estos datos

Como el responsable es el negocio al que escribiste, tus derechos de acceso, rectificación, cancelación y oposición (derechos ARCO) se ejercen ante él. Puedes escribirle directamente o escribir a dev@nahua.io.

Si escribes a Nahua, en un máximo de 3 días hábiles le pasa tu solicitud al negocio y te avisa que lo hizo. Después aplica en el CRM lo que el negocio decida. Por ahora, una copia de tus datos, una corrección de correo o una oposición la prepara a mano una persona de Nahua. Si Meta le hace llegar una solicitud tuya, también se la pasa al negocio de inmediato.

Para pedir el borrado, sigue los pasos de Eliminación de datos.

4. Datos de los que Nahua es responsable

4.1 Qué datos

• Clientes:
  • nombre del negocio y de sus representantes, cargo, correo y teléfono;
  • para facturar, los datos fiscales: RFC, razón social, régimen fiscal, código postal y correo de facturación;
  • lo que escriban a soporte.
• Personas que usan el CRM:
  • nombre, correo, rol, sede y si la cuenta está activa;
  • si entras con contraseña, Google la guarda solo como hash, no en texto legible;
  • si entras con Google, lo que Google comparte al iniciar sesión: nombre, correo y foto;
  • la fecha de alta y la del último acceso;
  • la dirección IP y el navegador con los que usas el CRM.

  Si inicias sesión con Google sin haber sido invitado, se crea un registro de tu cuenta sin acceso a nada. Lo que haces en los expedientes (qué capturaste, contestaste, moviste, fusionaste o descartaste, y cuándo) queda en la bitácora de cada negocio, que es parte de sus datos (apartado 3).

• Visitantes de nahua.io y quienes le escriben:
  • datos técnicos de cada visita (dirección IP, navegador, fecha y hora), que registra el servicio que aloja el sitio;
  • si escribes por el formulario de contacto, incluida una cotización: nombre, correo, mensaje, el servicio que te interesa, el idioma, la página desde la que escribiste y la fecha. El mensaje pasa por un filtro automático de spam, llega por correo a quien administra el sitio y se guarda hasta que pidas que se borre;
  • si descargas un archivo: la descarga se suma a un conteo por archivo y por día, que no guarda tu dirección IP ni nada que te identifique. Para frenar abusos, el servidor usa tu IP solo en su memoria, como mucho hasta que termina el día, y no la guarda en la base de datos ni en los registros. Si el servidor llega a su tope diario de descargas o no puede entregar el archivo, algunas descargas gratis se entregan desde el Google Drive de Nahua, y en ese caso Google trata los datos de esa descarga con su propia política de privacidad;
  • las señales técnicas del navegador que revisa la protección contra tráfico automatizado (apartado 4.5).

  Las compras y los apoyos se pagan fuera de nahua.io, en la plataforma que se enlaza en cada página (por ejemplo, Polar, Stripe, Mercado Pago o PayPal), que trata tus datos con su propia política de privacidad. nahua.io no ve ni guarda el número de tu tarjeta.

• Quien publica descargas en nahua.io: las descargas se publican con una API que solo usa quien administra el sitio. Su bitácora registra cada acción con la dirección IP truncada y el navegador de quien publica, y cada registro se borra solo a los 365 días. Los intentos fallidos de entrar a la API quedan en los registros técnicos con la IP truncada durante 30 días y se avisan por correo a quien administra el sitio.
• Espacio de equipo (nahua.io/apps/integrador): herramienta privada para equipos escolares invitados por el administrador. Al entrar, con tu cuenta de Google o con un enlace que te llega por correo, Firebase Authentication registra tu correo, y también tu nombre si entras con Google. Si formas parte de un equipo, también se guardan tus preferencias de secciones, los archivos y respuestas que subas, tus votos y comentarios, los mensajes que mandes en el chat del equipo (texto, fotos, notas de voz y PDF) y una bitácora con fecha y hora de cada acción. Las notas de voz solo se graban cuando tocas el micrófono y das permiso en tu navegador. Mientras el equipo vota o resuelve, recibes por correo un resumen del avance (por omisión, diario a las 8 pm; quien organiza puede cambiar la frecuencia o apagarlo). Si usas GeoGebra para una figura, tu navegador descarga esa herramienta de geogebra.org (GeoGebra GmbH) mientras la usas; la figura y su imagen se guardan con tu respuesta. Si le pones el mapa de la zona, tu navegador descarga esos mosaicos de mapa de OpenStreetMap (tile.openstreetmap.org, de la OpenStreetMap Foundation). Si pides entrar, se guarda tu solicitud (nombre y correo) hasta que se acepte o se descarte. Solo lo ven los integrantes de tu equipo y el administrador. Se guarda en Firebase (Google Cloud) hasta seis meses después de la última entrega del equipo, o antes si pides que se borre en Eliminación de datos.

Nahua no trata datos sensibles de estas personas. Los proveedores del CRM son los del apartado 3.6; el inicio de sesión lo procesa Google (Firebase Authentication) en Estados Unidos. nahua.io, su base de datos y sus archivos de descarga están en Google (Firebase y Google Cloud), en Estados Unidos, y los avisos del formulario los envía Resend.

4.2 Para qué se usan

• Darte acceso al CRM con el rol que te asigna tu negocio, y mantenerlo seguro.
• Prestar, cobrar y facturar el servicio, y cumplir obligaciones fiscales.
• Atender soporte y avisarte de cambios, incidentes o comunicaciones de Meta que afecten el servicio.
• Cumplir lo que Meta exige a los proveedores de tecnología, como llevar la lista de los clientes de Nahua con sus datos de contacto.
• Mostrar y proteger nahua.io, entregar sus descargas y contestar a quien escribe por su formulario. La bitácora de la API sirve para saber quién publicó o cambió cada descarga y detectar usos indebidos.

Todas son necesarias para el servicio:

• Con los clientes de Nahua, derivan del contrato, así que no requieren consentimiento (art. 9 fr. IV de la ley).
• Con las personas que usan el CRM por cuenta de un cliente, sí lo requieren. Se entiende otorgado si usas el CRM después de conocer este aviso, que se enlaza en la pantalla de acceso (art. 7).
• Con quienes visitan nahua.io o escriben por su formulario, también se entiende otorgado si usas el sitio o envías el formulario después de conocer este aviso, que el formulario enlaza (art. 7).

Nahua no tiene finalidades que pidan un consentimiento aparte, como publicidad o mercadotecnia. Si algún día las tuviera, te pediría tu consentimiento antes.

4.3 Transferencias

Nahua solo transfiere estos datos en dos casos, que la ley permite sin pedir tu consentimiento (art. 36):

• a Meta Platforms, la lista de sus clientes con sus datos de contacto, cuando la pide. Meta la exige a los proveedores de tecnología para que sus clientes puedan usar su plataforma;
• a una autoridad, cuando una orden fundada y motivada lo exige.

4.4 Cómo limitar el uso de tus datos o revocar tu consentimiento

Escribe a dev@nahua.io y Nahua te responde por escrito en los plazos del apartado 6. Si revocas el consentimiento para algo que el servicio necesita, quizá Nahua tenga que dar de baja tu acceso al CRM. Si usas el CRM por un negocio, también puedes pedir tu baja a su administrador.

4.5 Cookies y tecnologías similares

• El CRM no usa cookies de publicidad ni de analítica. Para mantener tu sesión, Firebase guarda en tu navegador los datos de la sesión. Si los borras, tendrás que volver a iniciar sesión.
• Al abrir el CRM, tu navegador descarga tipografías de Google Fonts, y Google recibe tu dirección IP.
• En nahua.io:
  • no hay cookies propias ni herramientas de analítica o de publicidad;
  • para frenar el tráfico automatizado, el sitio usa reCAPTCHA Enterprise de Google, a través de Firebase App Check. reCAPTCHA revisa señales técnicas del navegador y puede guardar una cookie técnica de Google, y Firebase guarda en el almacenamiento del navegador un comprobante técnico de esa revisión. Si lo bloqueas, es posible que el formulario de contacto no funcione;
  • algunas páginas muestran videos e imágenes de otros servicios, como YouTube (los videos, en su modo de privacidad mejorada, youtube-nocookie.com). Al cargarlos, tu navegador se conecta a ese servicio, que aplica su propia política de privacidad;
  • las páginas legales, como esta, no usan cookies ni scripts.

  Puedes borrar o bloquear estos datos desde la configuración de tu navegador.

5. Seguridad

• Los datos viajan cifrados, y Google los guarda cifrados.
• Para entrar al CRM hace falta una cuenta personal, y cada persona solo ve y hace lo que permite su rol.
• Los cambios a los expedientes pasan por el servidor de Nahua y quedan en una bitácora que nadie puede modificar desde el CRM.
• Los tokens y las llaves se guardan en Secret Manager de Google, y solo los usan los procesos del servidor de Nahua.
• Quienes tienen acceso a los datos en Nahua deben guardar confidencialidad, aun después de terminar su relación con Nahua.
• Si ocurre una vulneración de seguridad que afecte de forma significativa tus derechos, Nahua la avisa de inmediato:
  • al negocio responsable, para que te informe;
  • a ti directamente, cuando Nahua es responsable de tus datos (art. 19);
  • a Meta, por su canal de reportes, si involucra datos que vienen de su plataforma.
• Para reportar una vulnerabilidad: dev@nahua.io.

6. Cómo ejercer tus derechos ante Nahua

Este apartado aplica a los datos del apartado 4. Para los que Nahua trata por cuenta de un negocio, ve el apartado 3.8.

Escribe a dev@nahua.io con:

1. Tu nombre y un medio para responderte.
2. Algo que acredite tu identidad:
   • si escribes desde el correo con el que entras al CRM o con el que contrataste a Nahua, eso basta, salvo que haya dudas razonables;
   • si no, una copia de tu identificación oficial;
   • si actúas por otra persona, también el documento que acredite la representación.
3. Qué derecho quieres ejercer y sobre qué datos (para el acceso no hace falta decir cuáles).
4. Lo que ayude a encontrarlos.
5. Si pides una corrección, qué hay que cambiar y el documento que lo respalde.

Plazos.

• Nahua te comunica su respuesta en un máximo de 20 días hábiles.
• Si procede, la hace efectiva en los 15 días hábiles siguientes.
• Si falta información, te la pide una sola vez dentro de los 5 días hábiles siguientes a tu solicitud, y tienes 10 días hábiles para enviarla.
• Solo si el caso lo justifica se amplía un plazo, una vez y por el mismo tiempo, y se te dice por qué.
• Cuando procede cancelar tus datos, primero se bloquean: nadie los usa y solo se guardan para responder por posibles responsabilidades, durante el plazo que se te indica en la respuesta. Después se suprimen y se te avisa. Si no hay nada que conservar, se suprimen de una vez.

Costo. Es gratis. Solo podrían cobrarse los costos de reproducción o envío, si los hubiera.

Autoridad. Si no estás de acuerdo con la respuesta de Nahua, puedes presentar una solicitud de protección de datos ante la Secretaría Anticorrupción y Buen Gobierno dentro de los 15 días hábiles siguientes a que te la comunique. Si no te responde, puedes presentarla en cuanto venza su plazo de respuesta (arts. 40 y 41 de la ley).

7. Cómo pedir que se borren tus datos

Sigue los pasos de Eliminación de datos: ahí se explica qué se te pide, qué se borra y en cuánto tiempo.

Quitar «Nahua SaaS Services» de tu Facebook o tu Instagram corta el acceso de la app, pero no borra lo que ya está en el CRM. Si al quitarla en Facebook pides también que se borren tus datos, Meta le pasa la solicitud a Nahua y se atiende igual que un correo. Si no, escribe a dev@nahua.io.

8. Menores de edad

El CRM es un servicio para negocios y no está dirigido a menores de edad. Nahua no pide la edad de quienes escriben a sus clientes. Si eres menor de edad, tu madre, tu padre o tu tutor puede ejercer tus derechos por ti.

9. Cambios a este aviso

Cada versión se publica en esta página, con su fecha. Si un cambio afecta qué datos se tratan, para qué o con qué proveedores, Nahua lo avisa por correo, antes de que entre en vigor, a los administradores de cada negocio cliente y a las personas que usan el CRM.

10. Ley aplicable

Este aviso se emite conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (publicada en el Diario Oficial de la Federación el 20 de marzo de 2025) y a su Reglamento, en lo que no se oponga a ella.

Miguel Fernando Najera Aranzabal · Corina 130, Del Carmen, Coyoacán, 04100 · dev@nahua.io