Política de privacidad

1. Responsable del tratamiento

El responsable es ESX Servicios Integrales (CUIT 23-25745996-9), con domicilio en Entre Ríos 5426, La Tablada, Partido de La Matanza, Provincia de Buenos Aires, Argentina. Contacto: [email protected].

2. Qué datos se tratan

Cuenta: nombre, correo electrónico y contraseña (se guarda únicamente como un hash, nunca en texto legible).
Dispositivo: identificador, nombre asignado, estado de conexión, versión de firmware, red WiFi a la que se conecta y dirección IP desde la que se conecta.
Voz: el dispositivo capta audio solo cuando se lo activa. El audio se transmite en tiempo real al proveedor del modelo de inteligencia artificial para generar la respuesta. ESX no guarda archivos de audio.
Consultas desde el formulario de la página: nombre, teléfono, email (opcional), plan de interés y comentario (opcional), la fecha y hora en que aceptaste que te contactemos, y la dirección IP y el navegador desde los que enviaste el formulario. Se usan solo para contactarte y coordinar el equipo, el plan y el pago.
Conversaciones: el texto de lo dicho y de lo respondido se guarda asociado a la cuenta y al dispositivo, y se conserva hasta que se elimine desde el panel o se solicite su supresión. Si el dispositivo está vinculado a un perfil de cuidados, el texto se elimina automáticamente al vencer el plazo de la sección 7.
Datos técnicos: los servidores pueden registrar dirección IP, fecha, hora y páginas solicitadas, con fines de seguridad y diagnóstico.

Si tu hogar usa la agenda de cuidados, además se tratan estos datos de la persona mayor y de su familia:

Perfil de la persona mayor: nombre, cómo prefiere que la llamen y, si se cargan, ciudad y ubicación aproximada.
Agenda de cuidados: recordatorios de medicación, turnos médicos y estudios, con su título y horario y, de forma opcional, el nombre o la dosis de un medicamento. Esta información puede revelar datos de salud.
Resultado de los recordatorios: si se anunció, se confirmó, se pospuso o no tuvo respuesta, con el horario.
Familia y personas cuidadoras: nombre y correo de cada cuenta, y el rol que tiene sobre el perfil (principal, cuidador u observador).
Consentimientos: qué se aceptó, la versión de esta política, la fecha, quién lo registró y una referencia al formulario o a la casilla usada.
Registro de accesos y cambios: quién consultó o cambió datos del perfil y cuándo. No guarda títulos, medicamentos ni mensajes.

Los datos de salud son datos sensibles (art. 2 de la Ley N° 25.326). Solo se tratan con el consentimiento libre, expreso e informado de la persona mayor (art. 5), que registra la persona cuidadora principal. Sin ese consentimiento los recordatorios pueden guardarse, pero no se anuncian ni se avisa a nadie.

3. Finalidades

Crear y administrar la cuenta, vincular dispositivos, prestar el servicio de voz, brindar soporte, garantizar la seguridad y cumplir obligaciones legales. Los datos no se venden ni se usan para finalidades incompatibles.

Con consentimiento de la persona mayor, además: anunciar por voz sus recordatorios, llevar el registro de cómo se respondieron, mostrárselo a su familia en el panel y, cuando se habiliten, avisar a la familia. El consentimiento se da por separado para cada finalidad: uso del asistente, recordatorios de cuidado y avisos a la familia.

4. Quién puede ver los datos

La persona cuidadora principal y las personas cuidadoras ven la agenda completa, incluido el nombre o la dosis de un medicamento si se cargó. Un observador ve títulos y horarios, pero no el nombre ni la dosis. Una cuenta de ESX con rol de administración revisa y habilita cada perfil nuevo antes de que funcione y, para ello, ve solo su nombre y ciudad; no ve la agenda, los mensajes ni las conversaciones.

5. Consentimiento, retiro y cambios de versión

La persona cuidadora principal registra el consentimiento de la persona mayor después de leer esta política; queda guardada la versión leída. El consentimiento puede retirarse en cualquier momento y el retiro rige de inmediato: los recordatorios pendientes se cancelan y dejan de anunciarse. Si esta política cambia de forma importante, hará falta renovar el consentimiento para lo que dependa del cambio.

Al consentir, la persona mayor acepta también la transferencia internacional de sus datos a los proveedores de la sección siguiente que están fuera de Argentina.

6. Proveedores que reciben datos y transferencias internacionales

Los proveedores principales son Google (modelo Gemini), Cloudflare y Resend. La lista de abajo es la vigente en el servicio; si cambia un proveedor, esta página se actualiza.

Proveedor	Para qué	Datos	Ubicación
Google (modelo Gemini)	Proveedor del modelo de voz e inteligencia artificial	Audio de la conversación y contexto de conversaciones previas, en tiempo real	Fuera de Argentina
Open-Meteo	Clima (consulta del tiempo por voz)	Ubicación aproximada de la persona (coordenadas redondeadas), sin nombre ni otros datos	A confirmar
Cloudflare	Terminación TLS y tránsito del tráfico del panel y de los dispositivos	Tráfico de red, incluida la dirección IP y el contenido transmitido	Red global, fuera de Argentina
Resend	Envío de correos de la cuenta	Dirección de correo y contenido del mensaje	Fuera de Argentina
Proveedor de alojamiento (VPS)	Alojamiento de servidores y base de datos	Todos los datos del servicio	A confirmar

La consulta del clima envía a Open-Meteo solo la ubicación aproximada del perfil (coordenadas redondeadas a unos mil metros), sin nombre ni otros datos, y solo si se cargó esa ubicación. Pendiente de decisión de ESX: la licencia de uso sin costo de Open-Meteo está pensada para uso no comercial, y su uso comercial en este servicio todavía no está resuelto. El país donde se tratan esos datos figura como a confirmar. Pendiente de revisión legal.

Sin envío de datos a China. No se envían datos de voz ni de texto a proveedores de inteligencia artificial ni a servidores ubicados en China. El equipo (placas Espressif ESP32-S3 y Waveshare) y la base de código abierto de su firmware (xiaozhi) son de origen chino; eso describe solo el origen del hardware y del software, no el destino de los datos. Pendiente de revisión legal.

Algunos de estos proveedores tratan datos fuera de Argentina, en países que pueden no ofrecer un nivel de protección adecuado según la normativa argentina. Al usar el servicio, la persona titular presta su consentimiento informado a estas transferencias, necesarias para prestarlo (art. 12 de la Ley N° 25.326).

7. Conservación y copias de seguridad

Las consultas del formulario que no terminan en un alta se conservan hasta 12 meses y después se eliminan; podés pedir antes su eliminación.

Los datos de la cuenta se conservan mientras la cuenta esté activa. Se hacen copias de seguridad periódicas de la base de datos, con acceso restringido a personal autorizado, que se conservan hasta 56 días. Una solicitud de supresión alcanza también a las copias a más tardar al vencer ese plazo.

Plazos de la agenda de cuidados (provisorios, pendientes de revisión legal; se confirmarán antes de habilitar el servicio a hogares reales). Pasado cada plazo, los datos se eliminan automáticamente una vez por día:

Texto de las conversaciones de los dispositivos vinculados a un perfil de cuidados: 30 días.
Recordatorios cumplidos o vencidos, sus cambios de estado y el resultado de los saludos programados: 365 días.
Contenido de cada aviso enviado a la familia (nombre de la persona, tipo de evento y horario): 30 días.
Registro de cada aviso enviado a la familia, sin su contenido: 365 días.
Mensajes de la familia para la persona mayor: 180 días.
Borradores de pedidos hechos por voz que no llegaron a confirmarse: 1 día.
Registro de intentos fallidos de conexión de dispositivos: 30 días.
Registro de accesos y cambios sobre los datos de cuidados: 730 días.

8. Derechos de acceso, rectificación y supresión

La persona titular puede ejercer sus derechos de acceso, rectificación, actualización y supresión (arts. 14 a 16 de la Ley N° 25.326) escribiendo a [email protected] con el asunto "Derechos sobre datos personales", indicando su nombre, el correo de su cuenta y el derecho que desea ejercer. Los datos de familiares o personas cuidadoras invitadas también quedan comprendidos.

La Agencia de Acceso a la Información Pública, órgano de control de la Ley N° 25.326, atiende las denuncias y reclamos de quienes resulten afectados por su incumplimiento.

9. Cambios

ESX puede actualizar esta política. La versión vigente es la publicada en esta página, identificada con su número de versión.

Anexo. Trazabilidad de las afirmaciones

Borrador para la revisión legal. Este anexo no agrega afirmaciones: indica, para cada afirmación de esta política, qué la respalda en el servicio (una clave de configuración, una tabla o columna de la base de datos de ESX Cuidados, o un archivo del código). Lo que depende de una decisión legal figura como pendiente de revisión legal.

Afirmación	Qué la respalda
La contraseña se guarda únicamente como un hash.	`users.password_hash`
ESX no guarda archivos de audio: el audio se transmite al proveedor del modelo y la base de datos no tiene ninguna tabla ni columna de audio.	`conversations` Solo se guarda el texto de las conversaciones.
El registro de accesos y cambios no guarda títulos, medicamentos ni mensajes: solo identificadores.	`audit_log` `lib/privacy/audit.js`
El consentimiento se registra por separado para cada finalidad, con la versión de esta política y la fecha.	`consents` `consents.purpose` `consents.policy_version` `lib/config.js` Versión vigente: constantes PRIVACY_POLICY_VERSION y CONSENT_REQUIRED_VERSION.
Sin consentimiento, los recordatorios pueden guardarse pero no se anuncian ni se avisa a nadie.	`lib/privacy/consent.js` La condición se calcula en cada consulta y no se guarda.
El retiro del consentimiento rige de inmediato y cancela los recordatorios pendientes.	`consents.revoked_at` `lib/privacy/consent.js`
El observador ve títulos y horarios, pero no el nombre ni la dosis de un medicamento.	`care_memberships.role` `care_items.sensitive_detail` `routes/care.js`
La cuenta de administración de ESX ve solo el nombre y la ciudad del perfil que revisa, no la agenda, los mensajes ni las conversaciones.	`elder_profiles.display_name` `elder_profiles.city` `lib/care/repo.js` Pendiente de revisión legal. Verificar: al cumplir una solicitud de acceso registrada, la administración puede obtener la exportación de los datos de ese perfil (queda en el registro de accesos).
La lista de proveedores es la vigente en el servicio y se arma desde la configuración.	`NOTIFY_PROVIDER` `routes/privacy.js` `lib/care/weather.js` Pendiente de revisión legal. Verificar: la lista no incluye al proveedor del chat de texto del panel porque ese chat no está activado en esta instalación (`lib/product/profiles.js`); Open-Meteo recibe la ubicación redondeada del perfil y su licencia de uso comercial es una decisión pendiente de ESX; el país de Open-Meteo y la ubicación del alojamiento figuran como "a confirmar".
No se envían datos de voz ni de texto a proveedores de inteligencia artificial ni a servidores ubicados en China.	`lib/product/profiles.js` `routes/privacy.js` Esta instalación no monta las rutas del chat de texto con un modelo externo ni enruta los equipos al servicio en la nube de un tercero. Pendiente de revisión legal. Verificar: el hardware y la base del firmware son de origen chino; la afirmación se refiere solo al destino de los datos.
Los plazos de la agenda de cuidados (30, 365, 30, 365, 180, 1, 30 y 730 días) y la eliminación automática diaria.	`RETENTION_TRANSCRIPT_DAYS` `RETENTION_EVENTS_DAYS` `RETENTION_AUDIT_DAYS` `lib/privacy/retention.js` Los demás plazos son constantes de ese archivo. Pendiente de revisión legal. Plazos provisorios.
Las copias de seguridad se conservan hasta 56 días.	`scripts/ops/backup-db.js` 14 copias diarias más 8 semanales.
Cada solicitud de acceso, rectificación, actualización o supresión se registra con su fecha de recepción, su plazo y su resultado.	`arco_requests` `ARCO_ACCESS_DAYS` `ARCO_CHANGE_DAYS` Los plazos son valores por defecto de configuración, no una determinación legal. Pendiente de revisión legal.
La inscripción ante la Agencia de Acceso a la Información Pública corresponde a la base de datos de ESX Cuidados, no la del Asistente.	`release_checklist` Se anota en el punto `aaip_registration` de la lista de lanzamiento, con su referencia de respaldo. Este anexo no afirma que esté hecha. Pendiente de revisión legal.
Ningún hogar pasa del modo de prueba al piloto mientras la lista de lanzamiento (revisión legal, textos de consentimiento, esta política y la inscripción) no esté completa.	`release_checklist` `elder_profiles.mode` `lib/privacy/pilot-gate.js` El servidor rechaza el cambio y devuelve los puntos pendientes.