Política de Privacidad

1. Quiénes somos

Marvys es una plataforma B2B SaaS de ejecución de crecimiento ("growth") para negocios de comercio electrónico. Nuestros usuarios son empresas que conectan sus cuentas de plataformas externas (como Shopify, Meta Ads o sus herramientas de email) para unificar su analítica, medir atribución, recibir recomendaciones y ejecutar acciones de marketing previamente aprobadas por una persona.

Marvys es operado por Juan Camilo Restrepo, persona natural, con domicilio en Bogotá, Colombia (el "Operador" o "nosotros"). El responsable del tratamiento de los datos descritos en esta Política es Juan Camilo Restrepo. Puedes contactarlo en privacy@marvys.studio.

Esta Política explica qué datos tratamos en dos roles distintos: (a) como responsable de los datos de cuenta de nuestros usuarios de negocio, y (b) como encargado del tratamiento de los datos que esos negocios traen desde sus plataformas conectadas y desde los visitantes de sus tiendas. En el segundo rol, tratamos los datos únicamente siguiendo las instrucciones del negocio cliente.

2. A quién aplica

• Usuarios de negocio: las personas que crean una cuenta y operan una organización dentro de Marvys.
• Clientes finales y visitantes de las tiendas de nuestros usuarios: personas que visitan o compran en las tiendas de nuestros usuarios de negocio y cuyos eventos de navegación o compra se procesan a través de Marvys por instrucción de ese negocio.

3. Qué datos recolectamos

3.1 Datos de cuenta y contacto

• Nombre, dirección de correo electrónico y nombre de la organización.
• Credenciales de acceso (las contraseñas se almacenan con un hash; nunca en texto plano).
• Configuración de la cuenta, miembros del equipo e invitaciones.

3.2 Datos de plataformas conectadas (vía OAuth o API)

Cuando un usuario conecta una plataforma, Marvys accede solo a los datos necesarios para las funciones que ese usuario activa. Según la plataforma, esto puede incluir:

• Shopify: órdenes y ventas, productos, devoluciones y datos de clientes de la tienda (que pueden incluir nombre, correo, teléfono y dirección de los compradores), además de tokens de carrito y checkout.
• Meta Ads: gasto, rendimiento e insights de campañas, estructura de cuentas publicitarias, formularios de clientes potenciales (lead forms) y eventos de conversión enviados mediante la Conversions API (CAPI).
• Google: métricas de Google Ads (campañas, palabras clave, costo, conversiones) y de Search Console (consultas, páginas, clics e impresiones), cuando se activan.
• Email marketing (Resend, Mailchimp): suscriptores y métricas de envío (aperturas, clics, rebotes) de las campañas del negocio.
• Otras integraciones disponibles: Pinterest Ads y WhatsApp Business (Cloud API), cuando el negocio las habilita.
• Tokens de acceso (OAuth): se almacenan cifrados (ver la sección de Seguridad). Nunca exponemos los tokens al frontend ni a terceros no autorizados.

3.3 Eventos de tracking de los visitantes de las tiendas

Por instrucción del negocio, Marvys puede medir la actividad de los visitantes de su tienda para construir atribución y embudos. En la navegación normal recolectamos principalmente identificadores seudónimos, no datos personales directos:

• Un identificador anónimo de visitante y un identificador de sesión (cookie mrvys_sid, de corta duración).
• Tokens de carrito y de checkout de la tienda.
• Parámetros de campaña (UTM) e identificadores de clic de publicidad (gclid de Google, fbclid de Meta).
• Datos técnicos: dirección IP, agente de usuario, tipo de dispositivo, navegador y país/ciudad aproximados.

Únicamente en el momento de una compra o de un envío de formulario podemos recibir datos de contacto del comprador (como correo o teléfono) para resolver la identidad y atribuir la venta. Cuando estos datos se envían a Meta a través de la Conversions API, se transmiten cifrados con hash (SHA-256), no en texto plano.

4. Cómo usamos los datos

• Analítica y atribución: unificar ventas, gasto publicitario y eventos para mostrar qué canales generan resultados.
• Recomendaciones: generar sugerencias de optimización basadas en el desempeño del negocio.
• Ejecución de acciones aprobadas: realizar acciones en las plataformas conectadas (por ejemplo, ajustar un presupuesto o pausar una campaña) solo después de que una persona del negocio las aprueba. Toda ejecución queda registrada en una bitácora de auditoría con quién la solicitó, quién la aprobó, los parámetros y el resultado.
• Operación y soporte: mantener el servicio, prevenir fraude y abuso, y atender solicitudes.

4.1 Uso de inteligencia artificial

Para generar recomendaciones y análisis, Marvys puede enviar contexto de negocio (como métricas agregadas, datos de campañas y de órdenes) a proveedores de modelos de lenguaje (OpenAI, Anthropic y/o Groq), que actúan como subencargados. Estos proveedores procesan los datos para devolver el resultado solicitado y están sujetos a sus propios compromisos de tratamiento. No utilizamos estos datos para entrenar modelos públicos.

5. Cookies y tecnologías de seguimiento

Marvys utiliza cookies y almacenamiento local estrictamente funcionales: para mantener la sesión de la aplicación y, en las tiendas de nuestros usuarios, para medir atribución mediante la cookie mrvys_sid y los identificadores descritos en la sección 3.3. El despliegue del script de medición en una tienda es responsabilidad del negocio que lo instala, incluyendo informar a sus visitantes y obtener el consentimiento que corresponda.

6. Con quién compartimos los datos (subencargados)

No vendemos datos personales. Compartimos datos únicamente con los proveedores de infraestructura y las plataformas necesarias para operar el servicio:

También podemos divulgar datos cuando la ley lo exija o para proteger nuestros derechos y los de nuestros usuarios.

7. Seguridad y aislamiento

• Cifrado de credenciales: los tokens de acceso de terceros se almacenan cifrados (cifrado simétrico Fernet o el cifrado propio de Nango). Las conexiones a la base de datos viajan sobre canales seguros.
• Aislamiento multi-tenant: los datos de cada organización están aislados por un identificador de organización; cada consulta se filtra por ese identificador. Sobre tablas sensibles aplicamos además seguridad a nivel de fila (RLS) con una postura de denegación por defecto.
• Acceso mínimo: solo los servicios de backend que necesitan un dato acceden a él; el frontend nunca lee directamente las tablas sensibles.

Ningún sistema es 100% infalible, pero aplicamos medidas razonables y revisamos nuestra postura de seguridad de forma continua.

8. Conservación de los datos

Conservamos los datos mientras la cuenta esté activa y mientras sean necesarios para las finalidades descritas. Cada organización tiene un periodo de retención configurable para sus eventos (por defecto, 365 días). Tras una solicitud de borrado o el cierre de la cuenta, eliminamos o anonimizamos los datos según se describe en Borrado de datos, salvo lo que debamos conservar por obligaciones legales.

9. Transferencias internacionales

Nuestros proveedores pueden procesar datos en distintos países. Al usar el servicio, los datos pueden transferirse y almacenarse fuera de tu país de residencia, siempre con las salvaguardas que la ley aplicable requiera.

10. Tus derechos

Según tu jurisdicción, puedes tener derecho a acceder, corregir, eliminar u oponerte al tratamiento de tus datos, así como a solicitar su portabilidad. Para ejercerlos, escríbenos a privacy@marvys.studio o sigue los pasos de la página Borrado de datos. Si eres un cliente final de una tienda que usa Marvys, dirige tu solicitud a ese negocio (responsable de tus datos); le ayudaremos a atenderla.

11. Datos de Meta y cumplimiento de sus términos

Cuando un negocio conecta Meta, Marvys accede a los datos de su cuenta publicitaria y, si lo activa, envía eventos de conversión a Meta. Tratamos los datos obtenidos de las plataformas de Meta conforme a los Términos de las Plataformas de Meta ("Meta Platform Terms") y políticas aplicables: solo para las finalidades autorizadas por el negocio, sin venderlos, y respetando el derecho de eliminación. Cualquier persona o negocio puede solicitar la eliminación de los datos obtenidos de Meta siguiendo la página Borrado de datos. Desconectar la integración de Meta revoca nuestro acceso y detiene la recolección.

12. Menores de edad

Marvys es un servicio para empresas y no está dirigido a menores de edad. No recopilamos conscientemente datos de menores.

13. Cambios en esta Política

Podemos actualizar esta Política. Publicaremos la versión vigente en esta página con su fecha de "última actualización" y, cuando los cambios sean significativos, lo notificaremos por medios razonables.

14. Contacto

Responsable del tratamiento: Juan Camilo Restrepo (persona natural), Bogotá, Colombia. Para cualquier consulta sobre privacidad o sobre esta Política, o para ejercer tus derechos, escríbenos a privacy@marvys.studio.