Política de Privacidad

1. Introducción

Sara AI ("Sara", "nosotros", "nuestro") es un asistente conversacional impulsado por inteligencia artificial que ayuda a las personas a organizar su agenda, tareas y rutinas a través de WhatsApp y la web. Esta Política de Privacidad describe qué datos recopilamos, con qué finalidad, con quién los compartimos y los derechos que podés ejercer sobre tu información personal.

El responsable del tratamiento de los datos es MyHabits, contactable en dev@myhabits.health. Al utilizar Sara AI aceptás las prácticas descriptas en esta política.

2. Información que recopilamos

2.1. Datos de cuenta y perfil

• Nombre, apellido y fecha de nacimiento (si los proveés en el onboarding).
• Dirección de correo electrónico y/o número de WhatsApp utilizados para iniciar sesión.
• Hash de contraseña (almacenado mediante bcrypt — nunca conservamos la contraseña en texto plano).
• Preferencias de uso: zona horaria, horario laboral, intensidad de jornada, objetivos personales y estilo de trabajo.

2.2. Datos obtenidos a través de Google (mediante tu consentimiento OAuth)

• Identidad básica (email, profile): nombre y dirección de correo asociados a tu cuenta de Google, para identificar tu sesión.
• Google Calendar (auth/calendar): eventos, calendarios, asistentes, fechas, horarios, descripciones y enlaces de videollamada — para sincronizar tu agenda con Sara y crear, editar o eliminar eventos a tu pedido.
• Google Tasks (auth/tasks): listas de tareas, títulos, fechas de vencimiento, estado y notas — para sincronizar tus tareas con Sara y permitir creación, edición o eliminación desde la conversación.
• Google Contacts (auth/contacts.readonly y auth/contacts.other.readonly): nombres y emails de tus contactos — exclusivamente para autocompletar invitados cuando creás un evento o asignás una tarea.
• Google Docs (auth/documents.readonly, si lo autorizás): lectura del contenido de documentos específicos que vinculás a una reunión — para importar notas o transcripciones que vos elegís compartir con Sara.

Nunca solicitamos un permiso más amplio del estrictamente necesario para una función concreta. Podés revocar cualquiera de estos permisos en cualquier momento desde tu cuenta de Google (myaccount.google.com/permissions) o desde Configuración → Cuenta dentro de Sara.

2.3. Datos de interacción con Sara

• Mensajes de texto y audio enviados al asistente (los audios se transcriben con OpenAI Whisper y el archivo temporal se elimina inmediatamente tras la transcripción).
• Resúmenes automáticos de conversación y memorias (datos no sensibles que Sara extrae para personalizar respuestas — ejemplo: "trabaja en sprints de dos semanas").
• Notas de reunión y resúmenes generados por la IA.

2.4. Datos técnicos

• Dirección IP, tipo de navegador, sistema operativo y zona horaria detectada — usados con fines de seguridad y diagnóstico.
• Logs de errores y métricas anonimizadas de la pipeline de IA (latencia, conteo de tokens, ruteo entre agentes).

3. Cómo usamos tu información

• Brindar la funcionalidad central del asistente: leer y modificar tu calendario y tareas, recordarte compromisos, sugerir bloques de foco y generar resúmenes.
• Sincronizar bidireccionalmente tu información de Google Calendar y Google Tasks con tu cuenta de Sara.
• Personalizar las recomendaciones a tu estilo de trabajo, objetivos y preferencias declaradas.
• Diagnosticar y resolver problemas técnicos, prevenir abuso y proteger la seguridad de tu cuenta.
• Cumplir obligaciones legales aplicables.

Base legal: ejecución del contrato de servicio que aceptás al registrarte, consentimiento explícito para los permisos OAuth de Google, e interés legítimo para la prevención de fraude y la mejora del servicio.

4. Google API Services User Data Policy — Uso Limitado

El uso que Sara AI hace de la información recibida desde las APIs de Google se ajusta a la Google API Services User Data Policy, incluyendo los requisitos de Uso Limitado (Limited Use). En particular:

• Sólo utilizamos los datos de Google Workspace para proveer o mejorar funciones visibles para el usuario dentro de Sara AI.
• No transferimos datos de las APIs de Google a terceros excepto cuando es necesario para proveer o mejorar las funcionalidades, cumplir con la ley aplicable, o como parte de una fusión, adquisición o venta de activos con notificación previa al usuario.
• No usamos datos de las APIs de Google para publicidad, ni los vendemos, ni los compartimos con anunciantes o data brokers.
• No permitimos que humanos lean los datos de las APIs de Google, salvo: (a) que vos lo autorices explícitamente para una función específica; (b) por motivos de seguridad (investigación de abuso o vulnerabilidades); (c) para cumplir con la ley aplicable; o (d) cuando los datos hayan sido agregados y anonimizados, y se usen sólo para diagnóstico interno.
• No usamos los datos de las APIs de Google para entrenar modelos generalizados de inteligencia artificial. Cualquier procesamiento por modelos externos (OpenAI, Anthropic) se realiza con la opción de "no entrenar con tus datos" habilitada en los acuerdos contractuales con esos proveedores.

5. Proveedores y terceros con los que compartimos información

Para hacer funcionar el servicio, Sara comparte porciones acotadas de información con los siguientes subprocesadores:

No vendemos, alquilamos ni cedemos tus datos personales con fines comerciales o publicitarios.

6. Retención de datos

• Tokens OAuth de Google: se conservan cifrados mientras tu cuenta esté activa o hasta que revoques el permiso.
• Mensajes y conversaciones: se conservan mientras tu cuenta esté activa. Las conversaciones de WhatsApp se marcan como inactivas tras 24 horas de inactividad (configurable).
• Eventos, tareas, notas y memorias: se conservan mientras tu cuenta esté activa, ya que son necesarios para el servicio.
• Archivos de audio: se eliminan inmediatamente después de la transcripción. Solo se conserva el texto transcripto.
• Logs técnicos: se rotan automáticamente y se eliminan tras 30 días.

7. Tus derechos

Como titular de los datos podés ejercer en cualquier momento los siguientes derechos:

• Acceso y rectificación: revisar y corregir los datos de tu perfil desde Configuración → Cuenta.
• Revocación del consentimiento: desconectar tu cuenta de Google desde Configuración → Conexiones, o desde myaccount.google.com/permissions.
• Eliminación: podés borrar tu cuenta y todos los datos asociados en Configuración → Cuenta → "Eliminar mi cuenta". La eliminación es inmediata, en cascada y definitiva (mensajes, conversaciones, tokens, memorias, tareas, eventos locales y credenciales se eliminan de nuestra base de datos).
• Portabilidad: podés solicitar una exportación de tus datos escribiendo a dev@myhabits.health.
• Oposición y restricción: podés solicitar limitar el tratamiento de tus datos, sin perjuicio de que ello pueda impedir el funcionamiento normal del servicio.

Para cualquier solicitud o reclamo escribinos a dev@myhabits.health. Respondemos en un plazo máximo de 30 días.

8. Seguridad

• Cifrado en tránsito vía TLS 1.2+ en todas las conexiones HTTP y con las APIs de terceros.
• Cifrado en reposo de credenciales sensibles (tokens OAuth, refresh tokens) mediante Active Record Encryption de Rails 8.
• Contraseñas almacenadas mediante hashing bcrypt — nunca en texto plano.
• Aislamiento por usuario: cada operación valida que los recursos pertenezcan al usuario autenticado.
• Auditoría continua mediante Brakeman, bundler-audit y revisión manual de dependencias.
• Acceso restringido al equipo técnico — sólo personal autorizado puede acceder a sistemas de producción.

9. Transferencias internacionales

Algunos de nuestros proveedores (Google, OpenAI, Anthropic, Meta, Heroku) procesan información en servidores ubicados fuera de la Argentina, principalmente en Estados Unidos. Estas transferencias se realizan bajo cláusulas contractuales estándar y mecanismos de adecuación reconocidos internacionalmente. Al usar Sara AI consentís este tratamiento extraterritorial.

10. Menores de edad

Sara AI no está dirigido a menores de 16 años. No recopilamos a sabiendas datos de menores. Si tomamos conocimiento de que un menor nos ha proporcionado datos, los eliminaremos sin demora. Si sos madre, padre o tutor y creés que un menor a tu cargo nos ha enviado datos, escribinos a dev@myhabits.health.

11. Cambios en esta política

Podemos actualizar esta política para reflejar cambios en el servicio, en la legislación aplicable o en las prácticas de la industria. Cuando los cambios sean materiales notificaremos por correo electrónico o desde la aplicación con al menos siete (7) días de antelación. La fecha de "Última actualización" indicada arriba siempre estará vigente.

12. Contacto

Para consultas, ejercicio de derechos o reclamos relacionados con esta política:

• Email: dev@myhabits.health
• Responsable del tratamiento: MyHabits