Política de privacidad

1. Identificación del responsable del tratamiento

2. Resumen ejecutivo

3. Información que recopilamos

3.1. Datos de cuenta y uso (usuarios del CRM)

• Nombre, email, número de teléfono, foto de perfil.
• Credenciales de acceso, almacenadas en forma cifrada y nunca en texto plano.
• Agencia inmobiliaria a la que pertenece, rol asignado.
• Logs técnicos: dirección IP, user agent, timestamps de acceso, acciones dentro de la plataforma.

3.2. Datos cargados por el usuario (contactos, propiedades, deals)

• Datos de contactos: nombre, email, teléfono, preferencias inmobiliarias, historial de interacciones.
• Datos de propiedades: dirección, características, fotos, documentos asociados.
• Datos de operaciones comerciales (deals): montos, comisiones, contratos, notas.

El usuario actúa como responsable primario de estos datos respecto del titular final; NexusProps actúa como encargado del tratamiento prestando el servicio.

3.3. Datos derivados de integraciones de correo electrónico (Email Pro)

Cuando un usuario decide conectar una cuenta de correo a NexusProps (vía OAuth Google, OAuth Microsoft, o IMAP/SMTP con credenciales propias), recopilamos:

• Tokens de autorización o credenciales SMTP/IMAP, almacenadas en forma cifrada.
• Metadata de mensajes: remitente, destinatarios, asunto, fecha, identificadores de hilo y mensaje, etiquetas/carpetas, estado leído/no leído, presencia de adjuntos.
• Cuerpos de mensajes: HTML y texto plano, solo en los términos descritos en la sección 6.
• Adjuntos: nombre, tipo MIME, tamaño y contenido, descargados bajo demanda según las políticas de almacenamiento de la sección 9.

3.4. Datos del sitio web público

• Datos de formularios de contacto que el visitante voluntariamente envía.
• Cookies técnicas necesarias para el funcionamiento del sitio. No usamos cookies de publicidad ni perfilado de terceros.

4. Finalidad del tratamiento

Tratamos datos personales para las siguientes finalidades:

• Prestar el servicio de CRM contratado: gestión de contactos, propiedades, deals, agenda, comunicaciones internas.
• Sincronizar correos electrónicos del usuario con el CRM para que pueda enviar y recibir mensajes desde la plataforma, asociarlos a contactos/propiedades/deals, y mantener un registro comercial unificado.
• Autenticar y autorizar accesos a la plataforma.
• Detectar y prevenir abusos, fraude o usos no autorizados.
• Cumplir obligaciones legales, fiscales y contractuales.
• Mejorar el servicio, métricas agregadas y anonimizadas de uso de funcionalidades.
• Comunicarnos con el usuario sobre cuestiones operativas (avisos de servicio, cambios en términos, alertas de seguridad).

NO usamos los datos personales para entrenar modelos de inteligencia artificial generales ni para publicidad personalizada. Las funciones de IA del CRM (sugerencias, transcripciones, asistente) procesan datos exclusivamente para devolver una respuesta al usuario que las invoca y los proveedores que usamos (OpenAI, Anthropic, Groq, etc.) operan bajo acuerdos que prohíben el entrenamiento sobre los datos enviados.

5. Base legal

Conforme a la Ley 18.331 de Protección de Datos Personales de Uruguay y normativa equivalente aplicable:

• Ejecución del contrato con la agencia inmobiliaria cliente, para todas las operaciones esenciales del CRM.
• Consentimiento expreso del titular para integraciones específicas:
  • Conexión OAuth de Google → consentimiento mediante pantalla oficial de Google.
  • Conexión OAuth de Microsoft → consentimiento mediante pantalla oficial de Microsoft.
  • Carga de credenciales SMTP/IMAP → consentimiento manifiesto al ingresarlas en la plataforma.
• Interés legítimo para seguridad, prevención de fraude y mejora del servicio.
• Obligación legal para conservación de registros fiscales y contables.

El consentimiento OAuth puede revocarse en cualquier momento (sección 11).

6. Servicios de Google API y Limited Use

NexusProps integra con las API de Google (Gmail API + OAuth 2.0) cuando un usuario decide conectar su cuenta de Google Workspace o Gmail personal a la plataforma.

6.1. Scopes solicitados

No solicitamos los scopes gmail.readonly, gmail.modify ni https://mail.google.com/. Esto significa que vía OAuth de Google NexusProps no puede leer el cuerpo de tus correos, modificar mensajes, borrar mensajes ni acceder a tu Drive, Calendar, Contacts u otros servicios de Google.

6.2. Acceso al cuerpo del mensaje vía IMAP (opcional)

Si querés que NexusProps muestre el cuerpo completo de tus correos dentro del cliente integrado del CRM, podés opcionalmente proveer una contraseña de aplicación (App Password) de Google generada en account.google.com/apppasswords. Con esta credencial, NexusProps abre una conexión segura con el servidor de correo de Google para descargar el cuerpo de los mensajes que vos mismo seleccionás.

• La App Password se almacena en forma cifrada.
• Esta integración es opcional; si no la activás, NexusProps solo muestra metadata vía OAuth.
• Podés revocar la App Password en cualquier momento desde tu cuenta Google.

6.3. Declaración de Limited Use (Google API Services User Data Policy)

NexusProps adhiere a la Google API Services User Data Policy, incluidos los requisitos de Limited Use. En particular:

• No usamos datos de usuarios de Google para entrenar, refinar o evaluar modelos de inteligencia artificial generalizados o de aprendizaje automático.
• No transferimos datos de usuarios de Google a terceros salvo a los subencargados estrictamente necesarios para prestar la funcionalidad solicitada (ver sección 10), bajo acuerdos de confidencialidad.
• No usamos datos de usuarios de Google para fines de publicidad ni de marketing personalizado.
• No permitimos acceso humano a datos de usuarios de Google, salvo en los siguientes casos limitados:
  • Con consentimiento expreso y específico del usuario.
  • Cuando sea necesario por razones de seguridad (por ejemplo, investigación de abuso).
  • Cuando sea necesario para cumplir con la ley aplicable.
  • Cuando los datos hayan sido agregados y anonimizados para fines de mantenimiento operativo interno.

6.4. Notificaciones en tiempo real

Para mantener sincronizada la bandeja en tiempo real, NexusProps recibe notificaciones de cambios desde Gmail mediante el sistema oficial de notificaciones de Google. Estas notificaciones contienen únicamente un identificador técnico para consultar las novedades vía API; no transportan contenido del mensaje en sí.

7. Servicios de Microsoft 365 / Microsoft Graph

NexusProps integra con Microsoft Graph cuando un usuario conecta una cuenta de Microsoft 365, Outlook.com o Exchange Online.

7.1. Permisos solicitados

7.2. Notificaciones en tiempo real

Para mantener sincronización en tiempo real, NexusProps utiliza el sistema oficial de notificaciones de Microsoft Graph. Las notificaciones contienen únicamente identificadores de cambio; el contenido se obtiene mediante consultas posteriores autenticadas.

7.3. Aplicabilidad de Limited Use

NexusProps aplica a los datos obtenidos vía Microsoft Graph las mismas restricciones que Google exige bajo Limited Use: no entrenamiento de IA generalizada, no transferencia a terceros fuera de los subencargados necesarios, no uso publicitario, acceso humano restringido. Esta política es voluntaria respecto de Microsoft (que no tiene un equivalente formal de Limited Use) pero la consideramos buena práctica.

8. IMAP/SMTP genérico (otros proveedores)

Para proveedores que no son Google ni Microsoft (Apple iCloud, Yahoo, ProtonMail, Hostinger, GoDaddy, Antel, Dattatec, dominios propios, etc.), NexusProps usa los protocolos estándar IMAP y SMTP con cifrado en tránsito, utilizando las credenciales que vos cargues en la plataforma.

• Las credenciales se almacenan en forma cifrada.
• El envío SMTP se procesa a través de un servicio de retransmisión seguro que no persiste tus credenciales más allá del tiempo necesario para entregar el mensaje.

9. Almacenamiento de datos

9.1. Infraestructura

Adicionalmente, las credenciales sensibles (tokens de integración, contraseñas de aplicación, secretos de proveedores externos) se cifran a nivel aplicación con estándares de industria antes de ser persistidas, usando una clave maestra mantenida fuera de la base de datos.

9.2. Conservación de datos

9.3. Eliminación tras revocación OAuth

Cuando un usuario revoca el permiso OAuth (desde NexusProps o directamente desde Google/Microsoft):

1. Inmediato: el refresh token se elimina de nuestra base de datos.
2. Inmediato: cesa toda sincronización con la cuenta externa.
3. Correos vinculados a CRM (asociados a un contacto, propiedad o deal): se conservan como parte del registro comercial, salvo que el usuario solicite su eliminación explícita.
4. Correos no vinculados al CRM: se programan para purga 30 días después de la revocación; durante ese plazo el usuario puede reconectar y restaurarlos. La UI ofrece además un botón “Borrar todos los no vinculados ahora” para eliminación inmediata total.

10. Compartir datos / Subencargados del tratamiento

NexusProps no vende, alquila ni comercia datos personales. Compartimos datos exclusivamente con los siguientes subencargados, necesarios para operar el servicio, bajo acuerdos de confidencialidad y seguridad:

Todos los subencargados están sujetos contractualmente a estándares de protección equivalentes a los de esta política. No transferimos datos a otros terceros sin tu consentimiento o requerimiento legal.

11. Tus derechos

11.1. Derechos ARCO y equivalentes

Como titular de tus datos personales tenés derecho a:

• Acceder a los datos personales que tratamos sobre vos.
• Rectificar datos inexactos o incompletos.
• Cancelar / Suprimir datos cuando ya no sean necesarios o retires tu consentimiento.
• Oponerte al tratamiento, en los casos previstos por ley.
• Portabilidad: solicitar una copia de tus datos en formato estructurado, legible por máquina.
• Limitación: pedir que restrinjamos el tratamiento mientras se resuelve una controversia.
• Revocar consentimiento en cualquier momento (no afecta los tratamientos previos basados en consentimiento previamente válido).

Cómo ejercer estos derechos: enviá un email a privacy@nexusprops.com identificándote suficientemente. Responderemos dentro del plazo legal aplicable (10 días hábiles en Uruguay, 30 días en RGPD).

11.2. Cómo revocar el acceso OAuth

• Desde NexusProps: ir a Perfil → Mi cuenta de email → Desconectar.
• Desde Google: myaccount.google.com/permissions → buscar “NexusProps” → Eliminar acceso.
• Desde Microsoft: myaccount.microsoft.com → “Aplicaciones y servicios” → NexusProps → Quitar permiso.

Ver sección 9.3 para qué pasa con los datos tras la revocación.

11.3. Autoridad de control

Tenés derecho a presentar reclamos ante la autoridad de control competente:

• Uruguay: Unidad Reguladora y de Control de Datos Personales (URCDP).
• Argentina: Agencia de Acceso a la Información Pública (AAIP).
• Brasil: Autoridade Nacional de Proteção de Dados (ANPD).
• México: INAI.
• Unión Europea / EEE: la autoridad de tu país de residencia.

12. Transferencias internacionales

Algunos subencargados (Digital Ocean, Cloudflare, Google, Microsoft, Stripe, proveedores de IA) tratan datos en servidores ubicados fuera de Uruguay, principalmente en Estados Unidos y la Unión Europea.

Las transferencias se realizan bajo las salvaguardas previstas por la normativa aplicable:

• Cláusulas Contractuales Tipo (Standard Contractual Clauses) aprobadas por la Comisión Europea cuando corresponde.
• Adhesión de los subencargados a frameworks reconocidos (EU-US Data Privacy Framework, donde aplica).
• Acuerdos de procesamiento de datos (DPA) específicos con cada subencargado.

Al utilizar NexusProps reconocés y consentís estas transferencias en los términos descritos.

13. Cookies y tecnologías similares

NexusProps utiliza:

• Cookies estrictamente necesarias para el funcionamiento de la plataforma (sesión, CSRF, preferencia de idioma y tema).
• Cookies de análisis interno (mediciones agregadas y anonimizadas) para entender uso de funcionalidades. No usamos cookies de tracking publicitario ni de terceros con fines de perfilado.
• localStorage del navegador para guardar preferencias visuales del usuario.

No usamos Google Analytics, Facebook Pixel ni similares en el panel del CRM. En el sitio web público (www.nexusprops.com) podemos usar mediciones agregadas; consultá la política específica del sitio si publicamos una separada.

14. Seguridad

Aplicamos medidas técnicas y organizativas razonables, alineadas con estándares de industria:

• Cifrado en tránsito (TLS) en todas las conexiones.
• Cifrado en reposo en bases de datos y almacenamiento de archivos.
• Cifrado adicional a nivel aplicación, con estándares de industria, para credenciales y tokens sensibles.
• Autenticación con tokens de sesión con expiración.
• Control de acceso basado en roles dentro de cada agencia.
• Logs de auditoría para acciones críticas.
• Backups automatizados diarios.
• Firewalls de red en servidores expuestos.
• Gestión administrativa con controles de acceso estrictos.

Ningún sistema es 100% impenetrable. Si detectamos un incidente que afecte tus datos personales, te notificaremos dentro de los plazos legales aplicables (72 horas RGPD, equivalente en Uruguay).

15. Menores de edad

NexusProps es un servicio B2B dirigido a profesionales del sector inmobiliario. No está orientado a menores de edad y no recopilamos a sabiendas datos de menores de 18 años. Si tomamos conocimiento de que un menor proporcionó datos sin autorización parental, los eliminaremos.

16. Cambios a esta política

Podemos actualizar esta política para reflejar cambios legales, operativos o de producto. Las versiones se identifican con fecha de “Última actualización” al inicio del documento.

• Cambios menores (correcciones, aclaraciones): publicación inmediata.
• Cambios sustantivos (nuevas finalidades, nuevos subencargados, modificación de scopes OAuth): notificación al usuario por email y aviso destacado en la plataforma con al menos 15 días de antelación cuando sea operativamente posible. El uso continuado después de esa fecha implica aceptación.

Histórico de versiones disponible bajo solicitud a legal@nexusprops.com.

17. Marco legal aplicable

Esta política se elabora conforme a:

• Uruguay: Ley N° 18.331 de Protección de Datos Personales y Acción de Habeas Data, y su decreto reglamentario 414/009.
• Argentina (cuando se trate datos de titulares argentinos): Ley N° 25.326 de Protección de los Datos Personales.
• Brasil (cuando se trate datos de titulares brasileños): Lei Geral de Proteção de Dados — LGPD (Ley N° 13.709/2018).
• México (cuando se trate datos de titulares mexicanos): Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP).
• Unión Europea / EEE (cuando se trate datos de titulares en la UE): Reglamento General de Protección de Datos (RGPD) 2016/679.
• Chile: Ley N° 19.628 sobre Protección de la Vida Privada.

En caso de conflicto entre marcos, prevalece el más protectivo del titular.

18. Contacto