Política de Privacidad

1. Quién es el responsable

Zera Company, con domicilio en Rua Paraná, 2361, Cascavel, Paraná, Brasil, es la controladora de los datos personales tratados en este sitio, en los términos de la Ley 13.709/2018, la Lei Geral de Proteção de Dados Pessoais (LGPD, Ley General de Protección de Datos Personales de Brasil).

El canal para tratar cualquier asunto sobre datos personales, incluidos los pedidos de acceso y de eliminación, es [email protected]. Es por ese canal que atiende el delegado de protección de datos (el "encarregado" de la LGPD), conforme al artículo 41 de la LGPD.

2. Datos del registro

Cuando usted completa el formulario en app.zeracompany.com/es/empezar, recogemos y guardamos lo siguiente, y nada más:

El nombre, el correo electrónico, el WhatsApp, la empresa, su función en la empresa, el plan elegido y el origen de la visita también se registran en ZeraCRM, el sistema de relación con clientes de la propia Zera, para que el equipo acompañe su contratación. Después, también se registran allí la ficha del número, la conexión y la compra confirmada, con el documento y la dirección que usted informó en el medio de pago.

Si la base de datos falla en medio del registro, el pedido en bruto se guarda por hasta 30 días en un área temporal, para que no se pierda y pueda completarse manualmente. Pasado ese plazo, ese registro temporal se borra automáticamente.

3. Datos del diagnóstico

El formulario en zeracompany.com/contato recoge nombre, empresa, correo electrónico, WhatsApp y sus respuestas sobre segmento, volumen de conversaciones, tamaño del equipo, qué quiere automatizar, qué sistemas usa y el texto en el que usted describe el problema. También guardamos la IP, la identificación del navegador, el texto del consentimiento y el origen de la visita.

La base legal aquí es el consentimiento, artículo 7, I, de la LGPD, que usted da al marcar la autorización en el formulario. Estos datos sirven para una sola cosa: estudiar su caso y responder. No entran en ninguna lista de envíos masivos y no se usan para otra finalidad sin un nuevo consentimiento.

El registro del diagnóstico se borra automáticamente a los 180 días, contados desde el envío, salvo que en ese período usted se convierta en cliente, en cuyo caso pasa a formar parte del historial de la cuenta.

Un resumen del pedido también se envía al canal interno del equipo en Discord, para que alguien lo vea y responda. Contiene nombre, empresa, correo electrónico, WhatsApp y el comienzo del texto que usted escribió.

4. Datos de la guía de elección

La guía en app.zeracompany.com/es/descubrir, también en portugués y en inglés, hace algunas preguntas sobre su atención y muestra qué plan le conviene. Para mostrar la recomendación, pide su nombre y un correo electrónico. Al enviar, grabamos lo siguiente, y nada más:

La base legal es la del artículo 7, incisos V y IX, de la LGPD: usted pidió la recomendación, y hablar con usted sobre ella es un paso previo a una eventual contratación, en su interés y en el nuestro. Por eso esta pantalla no pide una autorización aparte. Si usted contrata después, la cuenta creada queda vinculada a este registro, para que sepamos que la contratación vino de la guía.

Además de nuestra base de datos, salen dos copias en el momento del envío. Un aviso va al canal interno del equipo en Discord, con su nombre, su correo electrónico, la primera respuesta, la recomendación con el precio mostrado y el origen de la campaña. Y un registro va a ZeraCRM, el sistema de relación con clientes de la propia Zera, con su nombre, su correo electrónico, la primera respuesta, la recomendación con el precio mostrado, el idioma y el origen de la visita, para que alguien del equipo hable con usted. La medición de etapas por parte de Meta y de Google, descrita en la sección 5, también vale para la guía.

Por cuánto tiempo. Hoy no existe borrado automático del registro de la guía: queda guardado hasta que usted pida la eliminación. Si usted contrata, pasa a formar parte del historial de su cuenta, con los plazos de la sección 10.

Cómo pedir la eliminación. Escriba a [email protected], desde el mismo correo electrónico que usó en la guía, pidiendo la eliminación. Borramos el registro de la guía en nuestra base de datos, la copia que queda en la cola de envío a ZeraCRM, el registro en ZeraCRM y el aviso en el canal interno del equipo en Discord, y lo confirmamos por escrito dentro del plazo de la sección 11, indicando lo que se borró. El aviso de medición ya enviado a Meta y a Google, descrito en la sección 5, queda en esas empresas y no podemos borrarlo. Si usted contrató, el registro forma parte del historial de la cuenta y sigue las reglas de la sección 12. Si solo quiere que dejemos de contactarlo, dígalo en el mismo correo.

5. Acceso al panel y cookies

El panel se abre de dos formas, y usted elige. Puede entrar con correo electrónico y contraseña, que usted define en el registro o después, dentro de la cuenta. Y puede entrar por el enlace del correo: usted pide el acceso, recibe un enlace y, al hacer clic, el navegador recibe una cookie de sesión. Quien nunca definió contraseña sigue entrando por el enlace, como siempre lo hizo.

• En la base de datos no guardamos su contraseña, ni una versión cifrada de ella que se pueda revertir. Guardamos el resultado de una función de derivación lenta, hecha para que adivinarla le cueste caro a quien lo intente. Quien leyera toda nuestra base de datos no tendría su contraseña.
• Tampoco guardamos el enlace ni la cookie, sino una huella digital criptográfica de ellos. Quien leyera toda nuestra base de datos no podría entrar en ninguna cuenta.
• Junto con la sesión quedan la fecha de creación, la IP y la identificación del navegador, para que usted pueda cerrar un acceso que no reconozca.
• El enlace del correo vale por pocos minutos. La cookie de sesión vale por hasta 30 días y está marcada como HttpOnly y Secure, lo que impide que cualquier JavaScript de la página la lea.

Ninguna página de este sitio carga scripts de otra empresa. Aquí no hay píxel de Meta, etiqueta de Google, grabador de sesión ni red de anuncios funcionando dentro de la página. En consecuencia, tampoco hay cookies de terceros: todas las cookies de esta lista las escribe la propia dirección que usted está leyendo.

Son tres, y cada una hace una sola cosa:

Cómo medimos, y con quién se comparte. Cuando usted avanza en el formulario de recomendación o completa el registro, nuestro servidor avisa a Meta y a Google Analytics de que esa etapa ocurrió. El aviso sale de nuestro servidor, y no de su navegador. Lo que contiene: qué etapa fue, qué camino del formulario siguió, la dirección IP, la identificación del navegador, los parámetros de campaña y, en el momento en que usted deja el correo electrónico, su correo electrónico y su primer nombre transformados en un hash por una función criptográfica unidireccional, en el formato que esas empresas exigen para reconocer un registro sin recibir el texto legible. La base legal es el interés legítimo en medir la eficacia de nuestra propia divulgación, en el artículo 7, inciso IX, de la LGPD.

Rechazar la medición. Bloquear las cookies de este sitio en su navegador solo impide que se guarden zorigem y zmid; zs_sess no, porque sin ella el panel no abre. El aviso de etapa sale de nuestro servidor incluso sin cookie, con un identificador desechable, y hoy no tenemos forma de desactivar la medición para una sola persona. Si usted no quiere ser medido, no complete la guía ni el registro. Para borrar lo que ya tenemos, escriba a [email protected] pidiendo la eliminación, como se describe en la sección 4. El aviso que ya salió hacia Meta y Google queda en esas empresas.

6. Datos de pago

El número de la tarjeta, el código de seguridad y la fecha de vencimiento nunca pasan por nuestros servidores y nunca los grabamos. Usted escribe esos datos en una superficie alojada por el medio de pago, y lo que nos llega es solo el identificador seguro de la tarjeta, la marca y los cuatro últimos dígitos, que sirven para que usted reconozca qué tarjeta está registrada.

Esto no es un detalle de ingeniería, es una decisión de riesgo: transmitir el número de la tarjeta, aunque no se guarde, ya pondría a Zera en un ámbito de cumplimiento normativo que no tenemos, y bastaría un registro de depuración para grabar la tarjeta de un cliente en un log.

7. Conversaciones de sus clientes

Cuando usted usa la bandeja de entrada, quienes conversan con su número son sus clientes. En esas conversaciones, usted es el controlador de los datos y Zera es el operador, en los términos del artículo 5, incisos VI y VII, de la LGPD: tratamos esos datos siguiendo su instrucción y la finalidad que usted definió.

En la práctica, esto significa que le corresponde a usted informar a sus clientes cómo trata los datos de ellos, y nos corresponde a nosotros mantener su cuenta aislada de las cuentas de los demás clientes, entregar una exportación cuando usted la pida y borrar cuando usted lo indique.

No usamos las conversaciones de sus clientes para entrenar modelos de inteligencia artificial, ni nuestros ni de terceros.

8. Con quién compartimos

No vendemos datos personales y no le pasamos la lista de contactos a nadie. Solo compartimos datos con las empresas necesarias para que el servicio funcione, cada una con una parte específica:

También podemos compartir datos cuando haya una orden judicial o un requerimiento de autoridad competente. En ese caso, se lo avisamos, salvo cuando la propia orden prohíba el aviso.

9. Datos fuera de Brasil

La plataforma ZeraSync, las automatizaciones y ZeraCRM funcionan en un servidor de Zera en Estados Unidos. Allí se guardan las conversaciones y los contactos de la bandeja de entrada y los registros de ZeraCRM descritos en la sección 8.

Además, Meta, Google, Asaas, Resend, Cloudflare y Discord pueden procesar y almacenar datos en servidores fuera de Brasil. Esto es una transferencia internacional de datos, regulada en el artículo 33 de la LGPD, y ocurre porque es necesaria para ejecutar el contrato que usted celebró con Zera, para atender el pedido de recomendación que usted hizo en la guía de elección y, en el caso del diagnóstico, con base en su consentimiento.

Para esas transferencias, valen hoy los términos de protección de datos de cada empresa. Todavía estamos revisando esos contratos, uno por uno, frente a las cláusulas estándar de la ANPD (Resolución CD/ANPD n.º 19/2024). Si usted no quiere que sus datos salgan del país, el servicio no puede prestarse, porque la propia API de WhatsApp funciona en la infraestructura de Meta y la plataforma ZeraSync funciona en el servidor de Estados Unidos.

10. Cuánto tiempo guardamos

• Datos de la cuenta y del contrato: mientras exista la suscripción, y por 5 años más después de su terminación, plazo de conservación de documentos fiscales y de defensa ante un eventual cobro o reclamación.
• Diagnóstico: 180 días, con borrado automático.
• Guía de elección: sin borrado automático; queda guardada hasta que usted pida la eliminación, o pasa al historial de la cuenta si usted contrata.
• Registro guardado por falla técnica: 30 días, con borrado automático.
• Sesiones y enlaces de acceso: se borran cuando expiran o cuando usted cierra la sesión.
• Conversaciones en la plataforma: mientras exista su cuenta, o hasta que usted pida la eliminación. El acceso a la plataforma dura hasta el final del período que usted ya pagó, tanto en la cancelación como en la falta de pago: si el período termina sin pago, su cuenta en la plataforma ZeraSync queda suspendida. El inicio de sesión sigue existiendo, pero el panel de atención y las conversaciones quedan bloqueados, y la suspensión no borra nada. En la falta de pago, cuando el pago se confirma dentro de los 30 días de suspensión, la cuenta vuelve como estaba; después de 30 días de suspensión sin pago, la suscripción se cancela automáticamente, como dicen los Términos de Uso, y la cancelación no borra nada. A partir del final del período pagado, usted tiene 30 días para pedir la exportación de las conversaciones a través del soporte, en [email protected], y siguen guardadas durante ese plazo. Pasados los 30 días, dejamos de garantizar la exportación y las conversaciones pueden eliminarse. Hoy esa eliminación no es automática: si quiere que se borren, pida la eliminación como en la sección 12.
• Registros de cobro y de factura (nota fiscal): 5 años, por obligación de la legislación tributaria. Estos no pueden borrarse a pedido.

11. Sus derechos

El artículo 18 de la LGPD garantiza que usted pueda pedir, en cualquier momento:

• confirmación de que tratamos datos suyos, y acceso a ellos;
• corrección de datos incompletos, inexactos o desactualizados;
• anonimización, bloqueo o eliminación de datos innecesarios, excesivos o tratados en contra de la ley;
• portabilidad de los datos a otro proveedor;
• eliminación de los datos tratados con base en su consentimiento;
• información sobre con quién compartimos sus datos;
• información sobre la posibilidad de no dar su consentimiento, y lo que ocurre si usted se niega;
• revocación del consentimiento, en cualquier momento.

Respondemos en un plazo de hasta 15 días, que es el plazo del artículo 19 de la LGPD para la respuesta completa. Usted también puede presentar una reclamación directamente ante la Autoridad Nacional de Protección de Datos (Autoridade Nacional de Proteção de Dados), como prevé el artículo 18, párrafo 1.

12. Cómo pedir la eliminación

1. Escriba a [email protected] con el asunto exclusão de dados (eliminación de datos), desde el mismo correo electrónico que está registrado.
2. Si el pedido viene de otra dirección, confirmaremos su identidad antes de borrar. Esto lo protege a usted: borrar una cuenta a pedido de cualquiera sería la falla más grave posible.
3. Confirmamos la recepción y le decimos qué se borrará y qué la ley nos obliga a conservar, con el plazo de cada cosa.
4. Lo ejecutamos y le enviamos la confirmación por escrito, dentro del plazo de 15 días.

Pedir la eliminación de los datos de la cuenta termina el servicio, porque no hay forma de mantener el número funcionando sin el registro. Si lo que usted quiere es solo salir del contacto comercial, dígalo y borramos únicamente el registro de diagnóstico y de contacto, manteniendo la cuenta.

13. Seguridad e incidentes

Lo que hacemos, en concreto: tráfico siempre por HTTPS; secretos y claves guardados fuera del código; token de acceso grabado solo como huella digital criptográfica; datos de tarjeta fuera de nuestro alcance; cuentas de clientes aisladas entre sí; y acceso interno restringido a quienes operan la plataforma.

Ningún sistema es inmune. Si ocurre un incidente de seguridad con riesgo relevante para sus datos, se lo comunicamos a usted y a la Autoridad Nacional de Protección de Datos, como determina el artículo 48 de la LGPD, diciendo qué ocurrió, qué datos se vieron afectados y qué estamos haciendo. No vamos a esconder un incidente detrás de un aviso genérico.

14. Lo que no hacemos

• No vendemos, alquilamos ni intercambiamos datos personales.
• No usamos las conversaciones de sus clientes para entrenar modelos de inteligencia artificial.
• No hacemos perfilado de comportamiento de quien visita este sitio.
• No guardamos números de tarjeta, códigos de seguridad ni fechas de vencimiento.
• No enviamos correos de publicidad a quien solo pidió un diagnóstico.

15. Cambios en esta política

Cuando esta política cambie de forma relevante, avisamos por correo electrónico a los clientes activos y actualizamos la fecha al final de la página. Un cambio que amplíe la finalidad de uso de datos recogidos con consentimiento depende de un nuevo consentimiento, y no de un aviso.

Versión 3, actualizada el 4 de octubre de 2026: el servidor de Zera en Estados Unidos, un solo correo electrónico para pedidos sobre datos, la regla de acceso en la cancelación y en la falta de pago, lo que se borra en el pedido de eliminación de la guía y lo que se puede y no se puede rechazar en la medición. En la misma fecha, la redacción de la sección 10 se corrigió para decir que, al final del período pagado, la cuenta en la plataforma queda suspendida, el inicio de sesión sigue existiendo y no se borra nada. El 5 de octubre de 2026, la sección 10 pasó a decir que, después de 30 días de suspensión sin pago, la suscripción se cancela automáticamente, sin borrar nada. La versión 2, del 3 de octubre de 2026, incorporó la sección 4, sobre la guía de elección. La versión 1 estuvo vigente desde el 28 de julio de 2026. Las reglas del contrato de uso están en los Términos de Uso.