Aviso de privacidad

El responsable es INNOV4 AI S.A.C. («INNOV4», «nosotros»), RUC 20616317769, domiciliada en Magdalena del Mar, Lima, Perú. Radar de Estimados y Estimate Radar son nombres comerciales del mismo producto, operado en https://estimateradar.com.

Canal único para privacidad, derechos sobre datos, incidentes y cualquier pregunta sobre este aviso: hola@estimateradar.com. Escribe en español o en inglés; respondemos en el idioma en que nos escribas.

INNOV4 es una empresa peruana. El servicio se presta a empresas de Estados Unidos y la infraestructura está fuera del Perú. Eso significa que hay dos marcos que conviven, y más abajo decimos exactamente cuál aplica a qué.

Como RESPONSABLE decidimos nosotros para qué se usan los datos. Es el caso de lo que nos dejas en el formulario de la web y de los datos de tu cuenta del panel: correo, nombre y poco más.

Como ENCARGADO tratamos datos por cuenta y bajo instrucciones de un cliente. Es el caso de todo lo que vive dentro del buzón que conectas y de tu CRM: los correos con las aseguradoras, los nombres y correos de los ajustadores, los claims y los datos de los propietarios. Ahí quien decide eres tú; nosotros ejecutamos.

La consecuencia práctica: si eres cliente y quieres borrar los datos de tu operación, la orden es tuya y la cumplimos. Si eres un tercero que aparece en esa correspondencia —un ajustador, un propietario— tu petición la tramitamos con el cliente que conectó el buzón, porque él es el responsable de esos datos. La sección 9 explica cómo.

Del formulario de solicitud de acceso de la web: nombre, empresa y correo, que son obligatorios, y —solo si los escribes— teléfono, estado de Estados Unidos, volumen de estimados al mes y tu mensaje. Guardamos también el idioma en que llegaste y la sección desde la que enviaste el formulario. Lo usamos para responderte, coordinar la demo guiada y llevar el seguimiento comercial. Nada de esto alimenta publicidad ni se cede a nadie.

De tu cuenta del panel: nombre, correo electrónico y el rol que tienes dentro de tu organización. La identidad la gestiona Supabase Auth; nosotros no almacenamos tu contraseña ni la vemos en ningún momento.

Si activas los avisos en el navegador: el identificador del dispositivo que genera el navegador para poder enviarte la notificación. No es tu número de teléfono ni tu ubicación; es una dirección técnica que puedes revocar desde el propio navegador.

La web pública no lleva analítica, ni píxeles publicitarios, ni cookies de terceros. El panel usa cookies de sesión estrictamente necesarias para mantenerte conectado: sin ellas no hay forma de saber que eres tú.

Del buzón de Gmail que conectas: cuando autorizas la conexión, Google nos entrega un permiso revocable de lectura sobre ese buzón. Queremos ser exactos en esto, porque es donde casi todos los avisos mienten un poco: el permiso que concede Google es sobre el buzón, no sobre una carpeta. Lo que limita el alcance no es el permiso, es lo que nuestro sistema hace con él.

Lo que hace nuestro sistema: revisa los mensajes nuevos que llegan a partir del momento de la conexión y pasa cada uno por un clasificador para decidir si tiene que ver con un estimado enviado a una aseguradora. Se revisa todo lo que llega, también lo que Gmail envió a spam; la papelera no. De los que no tienen nada que ver no se hace nada más: se marcan como ruido y ahí se acaba.

De cada mensaje revisado guardamos: remitente, asunto, identificadores del mensaje y del hilo en Gmail, fecha, el resultado de la clasificación con su nivel de confianza y el número de tokens consumidos. El CUERPO del mensaje NO se guarda en nuestra base de datos.

De los estimados detectados: asunto, destinatarios, fecha de envío, monto, estado, plazos prometidos por la aseguradora y fechas de seguimiento. De los borradores de respuesta: el asunto y el texto propuestos, el motivo por el que el sistema los propuso y, si lo editaste antes de aprobar, tu versión final.

De los ajustadores y aseguradoras con quienes te escribes: nombre y correo del ajustador, la aseguradora a la que pertenece, sus dominios de correo, y una estadística de cuánto suele tardar en responder. Esa estadística vive dentro de tu organización y solo dentro de ella: no la combinamos entre clientes, no la publicamos y no la vendemos.

De JobNimbus, únicamente si activas la integración con tu propia clave de API: número de claim, nombre del proyecto, nombre del propietario, dirección de la propiedad, estado en el CRM y fecha del siniestro. Si no la activas, esa información no entra al sistema.

Lo que NUNCA tocamos: tus contactos de Google, tu calendario, tu Drive, tus archivos. No pedimos esos permisos. Tampoco pedimos ni almacenamos tu contraseña de Google, ni la de nadie.

Radar de Estimados solicita exactamente dos ámbitos de la API de Gmail, y ninguno más:

https://www.googleapis.com/auth/gmail.readonly — para leer los mensajes nuevos del buzón conectado y detectar los estimados enviados a aseguradoras y las respuestas de los ajustadores. Es un ámbito restringido según la clasificación de Google y sin él el producto no tiene forma de saber qué pasó con un estimado.

https://www.googleapis.com/auth/gmail.send — para enviar el seguimiento dentro del hilo original de correo, y solo después de que una persona de tu equipo ha pulsado aprobar en el panel. Sin este ámbito la respuesta habría que copiarla y pegarla a mano, que es precisamente el trabajo que el producto elimina.

Ningún correo sale de forma autónoma. La aprobación humana no es una configuración que se pueda desactivar: es una obligación contractual y está construida así en el código. Si nadie aprueba, no se envía nada.

Puedes retirar el permiso cuando quieras, sin avisarnos y sin pedirnos permiso, desde https://myaccount.google.com/permissions, o desconectando el buzón desde el panel. Al hacerlo dejamos de leer mensajes nuevos y dejamos de poder enviar nada desde esa cuenta, de inmediato. Lo que ya estaba guardado sigue ahí hasta que nos pidas borrarlo o hasta que se cumplan los plazos de la sección 12.

El uso y la transferencia por parte de Radar de Estimados de la información recibida de las API de Google hacia cualquier otra aplicación se ajustará a la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado.

En el original en inglés, que es el texto que exige Google: «Estimate Radar’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.»

En concreto, y para que no quede en una fórmula: usamos los datos obtenidos de Gmail únicamente para prestar y mejorar las funciones visibles del producto —detectar el estimado, calcular el seguimiento, proponer el borrador y enviarlo tras tu aprobación—. No los usamos ni los transferimos para publicidad de ningún tipo, incluida la publicidad personalizada, la de retargeting y la basada en intereses. No los vendemos. No los usamos para desarrollar, entrenar ni mejorar modelos generalizados de inteligencia artificial o aprendizaje automático.

Ninguna persona de INNOV4 lee el contenido de tus correos, salvo en tres supuestos: que tú nos lo pidas expresamente para resolver un problema concreto sobre un mensaje concreto; que sea imprescindible por seguridad, para investigar un abuso o un fallo; o que una autoridad competente nos obligue legalmente. Fuera de eso, el contenido lo procesan máquinas y no se guarda.

Solo transferimos datos de Gmail a los proveedores estrictamente necesarios para que la función exista, que son los de la sección 10, o cuando la ley nos obligue. Si alguna vez hubiera una fusión o adquisición, lo avisaríamos antes y la transferencia requeriría tu consentimiento.

Dos tareas usan un modelo de lenguaje de Anthropic: clasificar cada mensaje entrante y redactar el borrador de seguimiento en tu propio estilo de escritura.

Para clasificar se envían a Anthropic el remitente, el asunto y el cuerpo del mensaje. Decimos «el cuerpo» con todas sus letras porque es la verdad: sin el texto no hay forma de saber si el ajustador prometió responder en cinco días.

La cuenta de Anthropic es TUYA, no nuestra. Tú creas la clave, tú pagas el consumo directamente al proveedor y nosotros no cobramos ningún margen sobre ella. Es la cláusula 11.2 de tu contrato y está a tu favor: ves exactamente lo que cuesta y puedes cortarlo cuando quieras. Tu clave se guarda cifrada y nunca se muestra de vuelta en pantalla.

Como el tratamiento ocurre bajo tu propia cuenta, son los términos comerciales que tú aceptaste con Anthropic los que gobiernan qué hace ese proveedor con lo que recibe. Anthropic declara en sus términos comerciales que no utiliza las entradas ni las salidas de su API para entrenar sus modelos; esa es una afirmación de Anthropic, no una garantía que nosotros podamos dar por él, y está sujeta a los términos que ese proveedor tenga vigentes.

Nosotros no entrenamos ningún modelo con tus correos, ni con los de nadie. El perfil de estilo de escritura que el producto construye para redactar como tú se guarda dentro de tu organización, se usa solo para tus borradores y no se combina con el de ningún otro cliente.

El modelo se equivoca. Puede clasificar mal un mensaje, entender mal un plazo o redactar algo que no dirías. Por eso el borrador se muestra para que lo leas, lo edites y lo apruebes, y por eso el motivo por el que se propuso está escrito al lado. La decisión de enviar es siempre de una persona.

La web pública de estimateradar.com no usa cookies de analítica, ni de publicidad, ni de terceros. No hay Google Analytics, ni píxel de Meta, ni mapas de calor.

El panel usa cookies estrictamente necesarias para mantener tu sesión iniciada. No requieren consentimiento porque sin ellas el servicio no puede funcionar, y no se usan para perfilarte.

Si algún día añadimos analítica, lo diremos en esta página antes de encenderla y pediremos consentimiento donde la ley lo exija.

Este es el punto más delicado del producto y merece decirse de frente. El sistema lee correspondencia en la que aparecen personas que no son clientes nuestros: los ajustadores de las aseguradoras y, si el cliente conecta su CRM, los propietarios de las viviendas.

Nuestra posición es esta: esa correspondencia es del cliente. El ajustador le escribió a él, sobre un estimado que él envió, en el curso de su propia actividad. El cliente ya tenía y sigue teniendo acceso a esos mensajes; lo que hacemos nosotros es tratarlos por su cuenta y siguiendo sus instrucciones. En esa relación el cliente es el responsable de los datos y nosotros somos el encargado del tratamiento.

Lo que eso nos prohíbe, y lo cumplimos: no usamos esos datos para ninguna finalidad propia. No enviamos comunicaciones comerciales a los ajustadores ni a los propietarios. No construimos con ellos un directorio, un ranking ni un producto de datos. No los cruzamos entre clientes: cada organización está aislada y las estadísticas de respuesta de un ajustador que ve un cliente se calculan solo con la correspondencia de ese cliente.

Si eres ajustador, propietario o cualquier tercero que aparece en esta correspondencia y quieres saber qué hay sobre ti, corregirlo o eliminarlo: escríbenos a hola@estimateradar.com. Identificaremos al cliente que conectó ese buzón, le trasladaremos tu solicitud dentro de los cinco días hábiles siguientes y le daremos el apoyo técnico que necesite para atenderla. La decisión sobre esos datos le corresponde a él como responsable, y te diremos quién es para que puedas dirigirte directamente.

Si eres cliente nuestro, la contrapartida es tuya: al conectar un buzón nos declaras que tienes derecho a hacerlo, que ese buzón es de tu empresa y no personal de un tercero, y que informarás a tu propio equipo de que esa correspondencia se procesa con esta herramienta.

Google LLC (Estados Unidos) — autenticación OAuth y API de Gmail. Accede a los mensajes del buzón que conectas, porque es el buzón que ella misma aloja.

Anthropic PBC (Estados Unidos) — clasificación de mensajes y redacción de borradores. Recibe remitente, asunto y cuerpo de los mensajes procesados, bajo la cuenta y la clave de API del propio cliente.

Supabase Inc. (Estados Unidos) — base de datos Postgres y gestión de identidad. Aloja todo lo que se guarda: cuentas, estimados, borradores, registros de correos procesados y credenciales cifradas.

Vercel Inc. (Estados Unidos) — alojamiento y ejecución de la aplicación.

JobNimbus (Estados Unidos) — solo si el cliente activa la integración con su propia clave. Recibe la actividad que el producto registra y entrega los claims y trabajos que se sincronizan.

GitHub Inc. (Estados Unidos) — ejecuta dos trabajos programados: el respaldo diario, que se verifica restaurándolo, y el escaneo de vulnerabilidades de nuestras dependencias. Durante esa ejecución accede a la base de datos. No conserva copia: el archivo del respaldo se genera, se verifica y desaparece con la máquina que lo hizo.

El servicio de avisos de tu navegador (Apple, Google o Mozilla, según el dispositivo) — solo si activas los avisos. Entrega la notificación a tu teléfono o computador. El contenido viaja cifrado de extremo a extremo, así que ese servicio no puede leerlo: solo ve la dirección técnica del dispositivo y cuándo llega un aviso.

Esta lista es completa a la fecha de esta versión. No hay proveedores de analítica, de publicidad, de enriquecimiento de datos ni de venta de leads, porque no usamos ninguno. Si añadimos un proveedor que trate datos personales, actualizaremos esta lista en esta página antes de ponerlo en producción.

INNOV4 está en el Perú y toda la infraestructura del servicio está fuera del Perú, en Estados Unidos. Eso constituye un flujo transfronterizo de datos personales bajo la Ley 29733 y su reglamento.

La inscripción de nuestros bancos de datos ante la Autoridad Nacional de Protección de Datos Personales está en trámite. Cuando concluya publicaremos aquí el código de registro de cada uno.

Los datos de nuestros clientes estadounidenses se tratan, en la práctica, dentro de Estados Unidos: es donde están Google, Anthropic, Supabase, Vercel y JobNimbus. El acceso administrativo de nuestro equipo se realiza desde el Perú.

Con cada uno de esos proveedores existen los términos de tratamiento de datos que el proveedor ofrece y que hemos aceptado. Si necesitas copia de alguno para tu proceso de compra, pídelo y te decimos exactamente cuál está firmado y cuál no.

Solicitudes de acceso del formulario web: hasta 24 meses desde el último contacto contigo, o antes si nos pides el borrado.

Datos de la cuenta y datos de operación —estimados, seguimientos, correos procesados, ajustadores, claims—: mientras la suscripción esté activa.

Después de terminar la suscripción: borramos de los sistemas activos dentro de los 30 días calendario siguientes a que nos lo pidas por escrito y, en todo caso, dentro de los 90 días calendario siguientes al fin de la suscripción. Antes de borrar puedes pedir tu exportación completa, que entregamos dentro de los 15 días calendario y sin costo.

Registro de auditoría de acciones sensibles: dos años, que es el plazo de conservación de la trazabilidad que exige el reglamento peruano de protección de datos.

Copias de respaldo: puede subsistir información en las copias de respaldo de nuestro proveedor de base de datos hasta que estas se renueven en su ciclo ordinario. Esas copias no se consultan para prestar el servicio y no se usan para ninguna otra finalidad.

Documentación de facturación y contable: el plazo que exija la legislación peruana aplicable a INNOV4, aunque hayas terminado la relación.

Lo que existe y está verificado en el código: los tokens de OAuth de Google y las claves de API que nos confías se guardan cifrados en reposo con AES-256-GCM y nunca se muestran de vuelta ni se escriben en registros. Cada consulta a la base de datos filtra por el identificador de organización, y hay una prueba automática que recorre todo el código y falla si alguna consulta se salta ese filtro. Toda la aplicación exige sesión iniciada. Las acciones sensibles quedan en un registro de auditoría con el identificador de quien las hizo. Ningún correo se envía sin aprobación humana explícita. Puedes exportar toda tu información en JSON y CSV, sin costo y sin pedir permiso. Y las copias de respaldo se restauran y se verifican en cada ejecución: no guardamos un archivo y suponemos que sirve.

Sobre el aislamiento entre clientes, con precisión: las políticas de Row Level Security existen en la base de datos, pero HOY NO ESTÁN EN VIGOR para la aplicación, porque el rol con el que se conecta puede saltárselas. Lo que separa los datos de un cliente de los de otro es el filtro por organización que lleva cada consulta, más la prueba automática que lo vigila. Mientras haya un solo cliente esto no cambia nada en la práctica; antes de aceptar un segundo cliente en la misma base, activaremos las políticas de verdad. Lo decimos aquí porque la versión anterior de este párrafo afirmaba lo contrario, y era inexacto.

Lo que NO tenemos, y preferimos decirlo aquí antes de que lo preguntes en un cuestionario de compras: no contamos con certificación SOC 2 ni ISO 27001, no tenemos seguro de ciberriesgo contratado y no hemos hecho una auditoría de seguridad externa e independiente. Si tu proceso de contratación exige alguna de esas tres cosas, dínoslo antes de firmar y no después.

Ninguna medida de seguridad elimina el riesgo. Lo que sí podemos comprometer es que no vamos a describir como existente algo que no lo esté.

No vendemos datos personales, ni los tuyos ni los de las personas que aparecen en tu correspondencia. No los compartimos para publicidad conductual entre contextos, en el sentido que dan a esos términos las leyes estatales de privacidad de Estados Unidos. No usamos los datos de un cliente para prestar servicio a otro. No hacemos publicidad dirigida con ellos, ni propia ni de terceros, y no compramos ni vendemos listas.

Sobre los datos de los que somos responsables —tu solicitud de acceso y tu cuenta del panel— puedes ejercer los derechos que reconoce la Ley 29733 del Perú: información, acceso, rectificación, cancelación, oposición y portabilidad. Se ejercen escribiendo a hola@estimateradar.com desde el correo que tenemos registrado, o desde otro si nos permites verificar tu identidad.

Los plazos que cumplimos, en días hábiles y contados desde el día siguiente a que recibimos tu solicitud: información, 8 días. Acceso y portabilidad, 20 días. Rectificación, cancelación y oposición, 10 días. Si necesitamos verificar tu identidad, te lo pediremos de inmediato y el plazo corre desde que la completas.

Sobre los datos que tratamos por cuenta de un cliente, la petición se dirige a ese cliente. Si nos llega a nosotros, la trasladamos dentro de cinco días hábiles y te decimos a quién.

Si eres residente de un estado de Estados Unidos con ley de privacidad propia y crees que te asisten derechos bajo ella, escríbenos igualmente: atenderemos la solicitud por el mismo canal, aunque el fundamento sea distinto.

Si consideras que no te atendimos bien, puedes reclamar ante la Autoridad Nacional de Protección de Datos Personales del Perú (MINJUSDH), en https://www.gob.pe/anpdp. Preferimos resolverlo antes contigo, pero el camino existe y tienes derecho a usarlo.

Aplica la ley peruana. INNOV4 está establecida en Lima y desde ahí administra el tratamiento, de modo que la Ley 29733 y su reglamento, el Decreto Supremo 016-2024-JUS, nos alcanzan íntegramente, aunque las personas cuyos datos tratamos estén en Estados Unidos. De ahí salen los plazos, los derechos y las obligaciones de la sección 15, y la obligación de inscribir nuestros bancos de datos ante la autoridad peruana.

Sobre California: la CCPA, tal como quedó tras la CPRA, ya no exceptúa los datos de contexto B2B —esa excepción venció el 1 de enero de 2023—, así que el correo de trabajo de un residente de California es información personal protegida. Dicho eso, la ley solo obliga a las empresas que superan alguno de sus umbrales de facturación o de volumen, e INNOV4 no supera ninguno hoy. Cuando prestamos servicio a un cliente, actuamos como proveedor de servicios: no usamos sus datos para fines propios y le damos el apoyo que necesite para atender solicitudes de sus consumidores. Si algún día superamos los umbrales, actualizaremos este aviso antes de que ocurra.

Sobre Texas: la Texas Data Privacy and Security Act exceptúa a las pequeñas empresas según la definición federal de la Small Business Administration, e INNOV4 lo es con holgura. La excepción no cubre la venta de datos sensibles, que exige consentimiento previo; como no vendemos datos de ninguna clase, ese supuesto no se activa. Además, esa ley protege a la persona que actúa en contexto individual o doméstico, no a quien actúa en contexto laboral o comercial: un ajustador escribiendo desde su cuenta de trabajo no es un «consumidor» para esa norma.

Lo que sí aplica siempre, con umbral o sin él: la Política de Datos de Usuario de los Servicios de API de Google, que es contractual y que Google revisa; y las reglas federales estadounidenses sobre correo comercial, cuyo cumplimiento corresponde a quien envía, es decir al cliente.

Lo que NO aplica: no ofrecemos el servicio a consumidores, en el Perú ni en ningún sitio, así que no estamos ante una relación de consumo peruana ni ante las obligaciones que de ella derivan. Y no dirigimos el producto al mercado de la Unión Europea, por lo que no operamos hoy bajo el RGPD; si eso cambia, este aviso cambiará primero.

Si ocurre un incidente que afecte datos personales, notificamos a la Autoridad Nacional de Protección de Datos Personales del Perú dentro de las 48 horas de conocido, como exige el reglamento peruano, e informamos en ese mismo plazo a las personas afectadas cuando corresponda.

Si el incidente afecta datos que tratamos por cuenta de un cliente, se lo comunicamos a ese cliente sin demora indebida y con la información que necesite para cumplir sus propias obligaciones de notificación, que en Estados Unidos dependen del estado.

No prometemos que un incidente no vaya a ocurrir. Prometemos que no lo vamos a ocultar.

Radar de Estimados es una herramienta de trabajo para empresas. No está dirigida a menores de 18 años, no la ofrecemos a menores y no recogemos a sabiendas datos de menores. Si detectamos que hemos recibido datos de un menor, los eliminaremos.

Cuando cambiemos algo relevante, publicaremos la nueva versión en esta misma página con su número y su fecha, y avisaremos por correo a los clientes activos antes de que entre en vigor.

Los cambios que amplíen las finalidades del tratamiento o incorporen un proveedor nuevo se anuncian antes de aplicarse, nunca después.

INNOV4 AI S.A.C. · RUC 20616317769 · Magdalena del Mar, Lima, Perú · hola@estimateradar.com

Para cualquier asunto de privacidad —una pregunta, un derecho que quieras ejercer, un incidente que quieras reportar— ese correo es el canal, y lo lee una persona.