Aviso Legal de Universal Inbox

Términos y Condiciones

Vigentes desde septiembre de 2026

1. Aceptación y alcance

Al acceder o utilizar Universal Inbox (en adelante, el “Servicio”), la persona usuaria acepta estos Términos y Condiciones. El Servicio está dirigido exclusivamente a clientes, colaboradores y personas autorizadas por Manifesto Marketing Group; no se encuentra disponible para registro público.

El acceso al Servicio también puede estar sujeto a una propuesta comercial, contrato, orden de servicio o acuerdo de tratamiento de datos celebrado entre Manifesto Marketing Group y la organización cliente. Dichos documentos forman parte de la relación contractual aplicable.

2. Descripción del Servicio

El Servicio es una plataforma de atención y seguimiento comercial que permite centralizar conversaciones provenientes de canales empresariales de WhatsApp, Facebook Messenger, Instagram y Email, organizar contactos y conversaciones, asignar responsables, utilizar respuestas rápidas y plantillas, consultar información de atribución publicitaria y enviar eventos de conversión a Meta cuando una persona usuaria autorizada lo confirma expresamente.

El Servicio también incluye funciones de envío masivo de mensajes a segmentos de contactos, formularios web propios, catálogo de productos o servicios, biblioteca de objeciones frecuentes, programación de recordatorios de seguimiento, reportes operativos, exportación de la información de la organización, y funciones de automatización — incluyendo reglas configurables que pueden asignar responsables, enviar plantillas o notificar a sistemas externos designados por la organización cliente, así como un Agente de Inteligencia Artificial que puede responder de forma automatizada a partir del contenido configurado por dicha organización, hasta que una persona usuaria humana toma la conversación.

Sobre el Agente de Inteligencia Artificial: la organización cliente es responsable de configurar y utilizar esta función de manera transparente hacia sus contactos, conforme a la legislación aplicable en su jurisdicción sobre interacciones automatizadas, y de revisar que las respuestas generadas sean adecuadas para su operación. Manifesto Marketing Group no es responsable del contenido específico que el agente genere a partir de la información configurada por el cliente.

Adicionalmente, cuando la organización cliente lo habilite expresamente, el Agente podrá ejecutar acciones sobre sus propios registros: modificar el estatus de una conversación, asignar etiquetas a un contacto, crear recordatorios de seguimiento y completar campos vacíos de la ficha de contacto. Cada acción se activa de forma individual, opera bajo los criterios que la propia organización define y no sobrescribe información previamente registrada. La organización cliente es responsable de habilitar estas acciones, de los criterios que configure y de supervisar sus resultados.

El Servicio se ofrece por Manifesto Marketing Group, con operaciones en Mexicali, Baja California, México.

3. Acceso por invitación y credenciales

El acceso se concede mediante invitación y credenciales personales. Cada cuenta deberá ser utilizada exclusivamente por la persona a quien fue asignada. La persona usuaria es responsable de:

• Mantener la confidencialidad de sus credenciales.
• No compartir su cuenta con otras personas.
• Utilizar contraseñas seguras y mantener protegidos sus dispositivos.
• Notificar de inmediato cualquier acceso no autorizado o actividad sospechosa.
• Solicitar la baja de usuarios que dejen de formar parte de su organización.

4. Organizaciones, permisos y acceso administrativo

Cada cliente se configura como una organización independiente dentro del Servicio. Las personas usuarias solo pueden consultar las organizaciones a las que hayan sido asignadas. Una misma persona podrá pertenecer a más de una organización cuando así lo requiera su función.

El personal administrativo autorizado de Manifesto Marketing Group podrá acceder a las organizaciones cuando sea necesario para realizar configuraciones, vincular activos, brindar soporte, investigar incidentes, mantener la plataforma o cumplir obligaciones contractuales y legales.

5. Requisitos para la activación

Para conectar los canales de Meta, la organización cliente deberá contar con los activos empresariales correspondientes, proporcionar los accesos necesarios y completar las validaciones que la plataforma externa requiera. Entre dichos activos pueden encontrarse una Página de Facebook, una cuenta profesional de Instagram, una cuenta de WhatsApp Business y los activos publicitarios o conjuntos de datos aplicables.

Para conectar Email como canal, la organización cliente deberá contar con un dominio propio con los registros de autenticación de correo (SPF, DKIM y equivalentes) correctamente configurados, y —cuando desee recibir respuestas directamente dentro del Servicio— proporcionar acceso a la bandeja de correo real mediante el protocolo IMAP, a través de su proveedor de correo. La organización cliente es responsable de la titularidad y correcta configuración de dicho dominio y buzón.

La organización cliente es responsable de la titularidad, legitimidad, configuración, facturación, calidad y cumplimiento de políticas de dichos activos.

6. Uso permitido

El Servicio deberá utilizarse únicamente para atención, seguimiento, organización y medición de conversaciones legítimas relacionadas con la actividad comercial de la organización cliente. La función de envíos masivos deberá utilizarse únicamente hacia contactos que hayan otorgado su consentimiento (opt-in) para recibir comunicaciones de marketing, y sujeta en todo momento a las políticas de plantillas, ventanas de mensajería y consentimiento de cada canal. Queda prohibido:

• Utilizar el Servicio para actividades ilícitas, fraudulentas, engañosas o abusivas.
• Enviar spam, mensajes masivos no autorizados o comunicaciones sin consentimiento cuando este sea exigible.
• Intentar acceder a organizaciones, contactos, conversaciones o funciones no autorizadas.
• Introducir código malicioso, interferir con la infraestructura o intentar vulnerar controles de seguridad.
• Copiar, revender, sublicenciar, descompilar o explotar comercialmente el Servicio sin autorización escrita.
• Utilizar los canales conectados de forma contraria a las políticas de WhatsApp, Facebook, Instagram o cualquier otro proveedor integrado.
• Suprimir, alterar o eludir el mecanismo de baja incluido en los envíos masivos de correo, o continuar dirigiendo comunicaciones de marketing a una persona que ejerció dicha baja.

Todo envío masivo de correo realizado a través del Servicio incorpora un enlace de baja que permite a la persona destinataria dejar de recibir comunicaciones de marketing. La organización cliente deberá respetar esa manifestación de voluntad, la cual se registra de forma automática en el Servicio y excluye a la persona de campañas posteriores.

7. Responsabilidades de la organización cliente

La organización cliente es responsable de contar con una base legal válida para recopilar, consultar, almacenar y utilizar los datos de sus contactos, prospectos y clientes. También deberá proporcionar los avisos de privacidad que correspondan y atender los derechos de las personas titulares.

La organización cliente instruye a Manifesto Marketing Group para procesar la información necesaria para operar el Servicio y garantiza que las personas usuarias invitadas están autorizadas para consultar y gestionar dicha información.

8. Dependencia de Meta y servicios de terceros

El Servicio no controla las reglas del ecosistema de Meta ni de los proveedores de correo electrónico. Ventanas de respuesta, aprobación de plantillas, límites de envío, métodos de pago, permisos, revisiones de aplicaciones, precios, disponibilidad de APIs y decisiones de entrega son definidos por Meta, por el proveedor de envío de correo (por ejemplo, Resend o un servidor SMTP propio) y por el proveedor del buzón de correo conectado por la organización, y pueden cambiar sin intervención de Manifesto Marketing Group.

El funcionamiento de ciertas características depende de la disponibilidad y comportamiento de plataformas externas, infraestructura cloud, servicios de autenticación, correo y telecomunicaciones. Manifesto Marketing Group no garantiza que un mensaje sea aceptado, entregado, leído o atribuido cuando una plataforma externa lo rechace, limite, marque como spam o no proporcione la información necesaria. En particular, la entregabilidad de correo (que un mensaje no caiga en spam) depende en buena medida de la reputación y configuración del dominio propio de la organización cliente, fuera del control de Manifesto Marketing Group.

9. Eventos de conversión y CAPI Bridge

El envío de eventos de conversión es una acción manual y deliberada de una persona usuaria autorizada. La persona usuaria es responsable de confirmar que el evento seleccionado, su valor monetario y la información asociada reflejan una operación real y legítima.

Meta determina finalmente si recibe, procesa, atribuye, deduplica o utiliza un evento para optimización. El Servicio no garantiza una mejora específica en el desempeño publicitario ni controla los modelos de atribución o aprendizaje de Meta.

10. Propiedad intelectual

El diseño, código, estructura, documentación, marca, interfaces y funcionalidades propias del Servicio pertenecen a Manifesto Marketing Group o se utilizan bajo licencia. El acceso otorgado no transfiere derechos de propiedad intelectual y se limita al uso interno autorizado durante la vigencia de la relación comercial.

La organización cliente conserva la titularidad de sus marcas, activos empresariales y datos aportados al Servicio.

11. Disponibilidad, mantenimiento y modificaciones

El Servicio se proporciona según disponibilidad y puede requerir mantenimiento, actualizaciones, cambios técnicos o adaptaciones derivadas de modificaciones en plataformas externas. Manifesto Marketing Group procurará comunicar cambios relevantes cuando sea razonablemente posible, pero no garantiza disponibilidad ininterrumpida ni ausencia total de errores.

12. Suspensión y terminación

Manifesto Marketing Group podrá suspender o cancelar el acceso cuando exista incumplimiento contractual, uso indebido, riesgo de seguridad, falta de pago, pérdida de permisos externos o una instrucción de autoridad competente. La organización cliente podrá solicitar la baja del Servicio conforme a los términos de su acuerdo comercial.

13. Limitación de responsabilidad

En la medida permitida por la legislación aplicable, Manifesto Marketing Group no será responsable por daños indirectos, pérdida de oportunidades, pérdida de ingresos, interrupciones o consecuencias derivadas de decisiones, bloqueos, errores o cambios de plataformas externas; del uso incorrecto del Servicio; de credenciales compartidas; o de datos inexactos ingresados por las personas usuarias.

Cualquier límite económico de responsabilidad se sujetará al contrato o propuesta comercial vigente entre las partes.

14. Legislación aplicable y jurisdicción

Estos Términos se rigen por las leyes de los Estados Unidos Mexicanos. Salvo que exista un mecanismo distinto acordado por escrito, cualquier controversia será sometida a los tribunales competentes de Mexicali, Baja California, renunciando las partes a cualquier otro fuero que pudiera corresponderles por razón de su domicilio presente o futuro.

15. Contacto

Para dudas relacionadas con estos Términos, soporte o cancelación del Servicio, contacte a Manifesto Marketing Group.

Aviso de Privacidad Integral

Vigente desde septiembre de 2026

1. Identidad del responsable

Manifesto Marketing Group, con operaciones en Mexicali, Baja California, México, es responsable del tratamiento de los datos personales que recaba directamente de las personas usuarias del Servicio para gestionar sus cuentas, accesos, soporte y relación comercial.

2. Distinción entre datos de usuarios y datos de contactos

Para los datos de las personas usuarias de Universal Inbox, Manifesto Marketing Group actúa como responsable. Para los datos de contactos, prospectos o clientes que llegan a través de los canales empresariales de una organización cliente, Manifesto Marketing Group actúa generalmente como persona encargada del tratamiento, siguiendo las instrucciones de dicha organización.

La organización cliente continúa siendo responsable de informar a sus contactos sobre el uso de sus datos, contar con una base legal válida y atender sus solicitudes de privacidad. Esta distribución podrá precisarse o modificarse en el contrato firmado entre las partes.

3. Datos personales tratados

El Servicio no está diseñado para recopilar deliberadamente datos personales sensibles. La organización cliente deberá evitar registrar información sensible que no sea estrictamente necesaria y deberá informar previamente a Manifesto Marketing Group si su operación exige dicho tratamiento.

Atención particular a los documentos adjuntos. La función de adjuntar archivos a contactos y formularios permite cargar documentos que pueden contener información sensible o identificaciones oficiales. La organización cliente decide íntegramente qué archivos se cargan y es responsable de contar con la base legal correspondiente, de limitar la carga a lo estrictamente necesario para su operación y de informarlo previamente a Manifesto Marketing Group cuando dicha práctica implique categorías especiales de datos.

4. Finalidades primarias

Los datos se utilizan para las siguientes finalidades necesarias:

• Crear, autenticar y administrar cuentas de usuario.
• Configurar organizaciones, permisos y activos conectados.
• Recibir, almacenar, mostrar, organizar y enviar mensajes autorizados.
• Gestionar contactos, asignaciones, estatus y respuestas rápidas.
• Relacionar conversaciones con anuncios, clics o formularios de origen.
• Enviar eventos de conversión cuando una persona usuaria autorizada los confirme.
• Realizar envíos masivos de mensajes a los segmentos de contactos que la organización defina, conforme al consentimiento aplicable.
• Ejecutar las automatizaciones configuradas por la organización, incluidas la asignación de responsables, el envío de plantillas y la notificación a sistemas externos que ella designe.
• Generar respuestas y acciones automatizadas mediante las funciones de inteligencia artificial que la organización habilite.
• Programar y dar seguimiento a recordatorios.
• Elaborar los reportes y bitácoras operativas que la organización consulta dentro del Servicio.
• Atender las solicitudes de exportación de información que realice la organización.
• Prestar soporte, mantener la seguridad, diagnosticar errores y prevenir abuso.
• Gestionar la relación contractual y cumplir obligaciones legales.

No utilizamos las conversaciones de los clientes para vender bases de datos ni para comercializarlas con terceros.

5. Datos enviados a Meta y a proveedores de correo

Cuando la organización conecta sus canales, ciertos datos e identificadores se transmiten a Meta para enviar o recibir mensajes y cumplir las funciones solicitadas. Cuando una persona usuaria confirma un evento de conversión, los datos de contacto aplicables —como teléfono, correo o nombre— se normalizan y transforman mediante funciones criptográficas de hash antes de su transmisión, cuando así lo requiere la API correspondiente.

Determinados identificadores técnicos, como IDs de Página, cuenta empresarial, clic publicitario o lead, pueden transmitirse sin hash porque son necesarios para que Meta procese la solicitud. El tratamiento posterior realizado por Meta se rige también por sus propios términos y políticas.

Cuando la organización conecta Email como canal, el contenido de los correos salientes se transmite al proveedor de envío configurado (por ejemplo, Resend, o el servidor SMTP propio de la organización) para su entrega. Cuando la organización proporciona acceso a su buzón real por IMAP, el Servicio se conecta periódicamente a dicho buzón, alojado con el proveedor de correo que la propia organización determine, para detectar y sincronizar los correos entrantes dentro del Servicio. El tratamiento realizado por estos proveedores se rige también por sus propios términos y políticas.

El Servicio incluye diversas funciones asistidas por inteligencia artificial que, cuando la organización las habilita, transmiten información a OpenAI utilizando la cuenta y credencial que la propia organización configura. Cada una se controla de forma independiente:

• Agente de Inteligencia Artificial: se transmite el contenido relevante de la conversación junto con los fragmentos pertinentes de la base de conocimiento, del catálogo y de la biblioteca de objeciones que la organización haya autorizado, con el fin de generar la respuesta automatizada.
• Detección de objeciones en conversaciones: se transmite el texto del mensaje recibido del contacto para identificar si corresponde a una objeción registrada y sugerir una respuesta a la persona asesora. Esta función se habilita por separado del Agente de Inteligencia Artificial, por lo que puede operar —y transmitir dicho contenido— aunque el Agente se encuentre desactivado en todos los canales.
• Indexación de contenido propio: el texto de la base de conocimiento, del catálogo y de la biblioteca de objeciones se transmite al darse de alta o modificarse, para generar los índices que permiten localizar el contenido pertinente.
• Asistente de ayuda: se transmiten las preguntas que las personas usuarias escriben sobre el uso de la plataforma, junto con documentación de producto. Esta función no consulta contactos ni conversaciones de la organización, y las preguntas formuladas se conservan en una bitácora interna para mejorar la documentación.

Todas estas funciones son opcionales y se encuentran desactivadas de forma predeterminada. Una organización que no habilite ninguna de ellas no transmite datos a este proveedor.

6. Proveedores tecnológicos y transferencias

Para operar el Servicio podemos utilizar proveedores de infraestructura cloud, bases de datos administradas, alojamiento, autenticación, correo transaccional, monitoreo y repositorios privados. Estos proveedores procesan información por cuenta de Manifesto Marketing Group conforme a sus funciones técnicas y obligaciones contractuales.

También se transmiten datos a Meta y sus entidades relacionadas cuando resulte necesario para operar WhatsApp, Messenger, Instagram, activos publicitarios o la API de conversiones; a proveedores de envío de correo (por ejemplo, Resend) y, cuando la organización lo autoriza, al proveedor de su buzón de correo para sincronizar los mensajes recibidos; y, cuando la organización habilita alguna de las funciones asistidas por inteligencia artificial descritas en el apartado anterior, a OpenAI. Algunos proveedores pueden procesar información fuera de México. Al utilizar el Servicio y autorizar las integraciones, la organización cliente reconoce estos flujos internacionales necesarios para la prestación.

Transmisiones dirigidas por la organización cliente. El Servicio permite configurar automatizaciones que envían información de una conversación, formulario o contacto a un sistema externo señalado por la propia organización (por ejemplo, una plataforma de automatización o un CRM de su elección). Dichos destinos no son seleccionados ni administrados por Manifesto Marketing Group: la organización cliente los define, es responsable de contar con la base legal y las salvaguardas correspondientes para esa transmisión, y del tratamiento que el sistema receptor realice.

La información podrá comunicarse a autoridades competentes cuando exista una obligación legal, requerimiento válido o necesidad de proteger derechos, seguridad o integridad del Servicio.

7. Cookies y tecnologías de sesión

El Servicio utiliza cookies o tecnologías equivalentes estrictamente necesarias para mantener la sesión, autenticar a la persona usuaria, proteger el acceso y conservar preferencias básicas. Estas tecnologías no se utilizan para vender perfiles publicitarios independientes del funcionamiento del Servicio.

8. Conservación y eliminación

Los datos se conservarán durante la relación contractual y por el tiempo razonablemente necesario para prestar el Servicio, resolver obligaciones pendientes, atender reclamaciones, cumplir disposiciones legales o documentar operaciones. Al concluir la relación, los datos podrán ser eliminados, anonimizados o bloqueados conforme a las instrucciones contractuales, los periodos de prescripción y los ciclos técnicos aplicables.

La baja de una cuenta de usuario no implica necesariamente la eliminación de las conversaciones de la organización, ya que estas pueden formar parte de sus registros comerciales.

Los archivos generados por una solicitud de exportación de información se eliminan automáticamente a los siete días naturales de haberse generado; se conserva únicamente el registro de que la exportación fue solicitada, por quién y en qué fecha, como parte de las bitácoras de actividad.

9. Derechos ARCO, revocación y limitación

Las personas titulares pueden solicitar el acceso, rectificación, cancelación u oposición al tratamiento de sus datos personales, así como revocar su consentimiento o limitar el uso y divulgación de su información cuando resulte procedente.

La solicitud deberá incluir nombre, medio para recibir respuesta, descripción clara del derecho que se desea ejercer, datos relacionados y documentos que permitan acreditar la identidad o representación. Manifesto Marketing Group comunicará la determinación adoptada dentro del plazo legal aplicable y, cuando proceda, hará efectivo el derecho dentro del periodo correspondiente.

Para facilitar la atención de estas solicitudes, el Servicio permite a las personas administradoras de cada organización localizar la información de un contacto, rectificarla o eliminarla directamente, así como obtener una exportación de la información de su organización en formatos de uso común, sin requerir una gestión previa ante Manifesto Marketing Group.

Las solicitudes relacionadas con datos de una persona que contactó directamente a una empresa cliente podrán ser canalizadas a dicha empresa, por ser la responsable principal de esos datos.

10. Personas menores de edad

El Servicio está destinado a personas usuarias adultas autorizadas por organizaciones clientes. No se pretende crear cuentas para menores de edad. Si una organización conversa con menores a través de sus propios canales, será responsable de contar con las autorizaciones y medidas legales correspondientes.

11. Cambios al Aviso de Privacidad

Manifesto Marketing Group podrá actualizar este Aviso para reflejar cambios legales, operativos o tecnológicos. La versión vigente permanecerá publicada en esta página. Cuando una modificación afecte materialmente el tratamiento, se comunicará por un medio razonable a las organizaciones o personas usuarias activas.

Política de Tratamiento de Datos Personales

Vigente desde septiembre de 2026

1. Marco normativo

Esta política se emite con base en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente en México, su reglamentación y demás disposiciones aplicables. El tratamiento se realizará conforme a los principios de licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad.

2. Roles de las partes

La organización cliente actúa como responsable de los datos de sus contactos, prospectos y clientes. Manifesto Marketing Group actúa como persona encargada cuando almacena, organiza, transmite o consulta esos datos para prestar el Servicio siguiendo instrucciones documentadas.

Manifesto Marketing Group será responsable independiente respecto de los datos que recabe para administrar cuentas de usuario, seguridad, soporte, facturación y relación contractual.

3. Instrucciones y alcance del tratamiento

Las instrucciones de la organización cliente se derivan del contrato, la configuración de sus canales, las acciones de las personas usuarias autorizadas y las solicitudes de soporte. Manifesto Marketing Group tratará los datos únicamente para prestar, mantener y proteger el Servicio, salvo obligación legal o autorización adicional.

4. Obligaciones de la organización cliente

• Contar con una base legal válida para recopilar y utilizar los datos.
• Informar a las personas titulares mediante un aviso de privacidad adecuado.
• No cargar ni utilizar datos obtenidos de forma ilícita, engañosa o sin autorización.
• Limitar el acceso a personal que realmente lo necesite.
• Mantener actualizados los permisos y solicitar oportunamente las bajas.
• Responder por el contenido de los mensajes y por las acciones realizadas por sus usuarios.
• Cumplir las políticas de consentimiento y comunicación de cada canal conectado.

5. Confidencialidad y acceso

Las personas que intervienen en el tratamiento deberán mantener confidencialidad sobre la información. El acceso administrativo se limitará al personal autorizado que lo requiera para configuración, soporte, mantenimiento, seguridad o cumplimiento legal.

6. Proveedores auxiliares

Manifesto Marketing Group podrá apoyarse en proveedores de infraestructura, almacenamiento, alojamiento, autenticación, correo y otros servicios técnicos. Dichos proveedores estarán sujetos a sus respectivos contratos y políticas, y deberán procesar los datos únicamente para prestar la función encomendada.

7. Solicitudes de las personas titulares

Cuando Manifesto Marketing Group reciba una solicitud relacionada con datos controlados por una organización cliente, podrá remitirla al cliente y colaborar razonablemente para localizar, corregir, exportar, bloquear o eliminar la información, según las instrucciones recibidas y las limitaciones legales o técnicas aplicables.

El Servicio proporciona a la organización cliente herramientas para atender por sí misma la mayoría de estas solicitudes: búsqueda y consulta de la ficha completa de un contacto, rectificación y eliminación de sus datos, y exportación de la información de su organización en formatos de uso común.

8. Exportación, devolución y eliminación

La organización cliente puede exportar su información en cualquier momento durante la vigencia de la relación, sin necesidad de solicitarlo previamente: el Servicio incorpora una función de exportación por autoservicio, disponible para sus personas administradoras, que entrega la información en formatos abiertos de uso común y por categorías seleccionables. Dicha exportación nunca incluye credenciales de integración.

Al terminar la relación comercial, la organización podrá igualmente obtener o solicitar una exportación de su información dentro del periodo acordado. Posteriormente, Manifesto Marketing Group podrá eliminar o anonimizar los datos de los sistemas activos, salvo que deba conservarlos por obligación legal, prevención de fraude, resolución de controversias o instrucciones contractuales distintas.

9. Datos sensibles y categorías especiales

El Servicio no está diseñado específicamente para expedientes médicos, financieros, biométricos, laborales u otras categorías sensibles. Si la actividad de una organización implica ese tipo de información, deberá notificarlo antes de utilizar el Servicio para evaluar medidas, restricciones y acuerdos adicionales. Manifesto Marketing Group podrá prohibir o limitar dicho tratamiento cuando exceda el alcance contratado.

10. Incidentes de seguridad

Ante un incidente confirmado que afecte datos personales, Manifesto Marketing Group evaluará su alcance, adoptará medidas de contención y corrección, documentará las acciones y notificará a la organización cliente o a las personas afectadas cuando legalmente corresponda. La organización cliente deberá colaborar y proporcionar información necesaria para atender el incidente.

Política de Seguridad de la Información

Vigente desde septiembre de 2026

1. Objetivo

Esta política establece los principios y controles generales utilizados para proteger la confidencialidad, integridad y disponibilidad de la información procesada por el Servicio. La seguridad es una responsabilidad compartida entre Manifesto Marketing Group, la organización cliente, sus personas usuarias y los proveedores externos involucrados.

2. Alcance

La política aplica a la aplicación web, base de datos, integraciones, credenciales técnicas, código fuente, personas usuarias, personal administrativo y proveedores que participen en el almacenamiento, procesamiento o transmisión de información del Servicio.

3. Principios de seguridad

• Confidencialidad: la información solo debe ser accesible para personas y sistemas autorizados.
• Integridad: la información debe mantenerse completa y protegida contra modificaciones no autorizadas.
• Disponibilidad: el Servicio y los datos deben estar disponibles en condiciones razonables, considerando dependencias externas y mantenimiento.
• Mínimo privilegio: cada persona debe contar únicamente con los accesos necesarios para realizar su función.
• Separación por organización: los registros se aíslan mediante controles aplicados en la capa de datos.

4. Controles técnicos generales

• Transmisión de información mediante conexiones HTTPS y protocolos de cifrado en tránsito.
• Autenticación individual mediante un sistema especializado de gestión de usuarios y contraseñas.
• Políticas de acceso a nivel de registro para separar la información de cada organización.
• Credenciales técnicas y secretos —incluidas las de mensajería de Meta, las del proveedor de envío de correo, las de acceso IMAP a buzones conectados y las de los servicios de inteligencia artificial— resguardadas cifradas en un gestor de secretos dedicado, descifradas únicamente del lado del servidor en el momento de su uso y nunca expuestas al navegador.
• Repositorio de código fuente privado con acceso restringido a colaboradores autorizados.
• Validación de firmas y autenticidad en los webhooks compatibles que reciben eventos externos, y firma criptográfica de los envíos que el Servicio dirige a sistemas externos designados por la organización cliente.
• Reautenticación mediante contraseña para ejecutar acciones sensibles, aun cuando la sesión de la persona usuaria se encuentre vigente.
• Archivos adjuntos y exportaciones almacenados en ubicaciones privadas y accesibles únicamente mediante enlaces firmados de vigencia limitada.
• Transformación mediante hash criptográfico de determinados datos personales antes de enviarlos a la API de conversiones, cuando resulte aplicable.
• Bitácoras de eventos de conversión, cambios de estatus, modificaciones a datos de contacto y ejecuciones de automatizaciones, para facilitar auditoría y diagnóstico.
• Verificación automatizada de cada cambio de código previo a su liberación, incluyendo pruebas ejecutadas contra un entorno de base de datos independiente del productivo.

5. Controles de acceso

El Servicio funciona por invitación. Las personas usuarias se asignan a organizaciones específicas. El personal administrativo de Manifesto Marketing Group tiene acceso global cuando su función requiere crear organizaciones, vincular activos, administrar usuarios, brindar soporte o investigar problemas.

Las organizaciones deben solicitar de inmediato la revocación de accesos cuando una persona cambie de función, deje de colaborar o ya no necesite utilizar el Servicio.

6. Responsabilidades de las personas usuarias

• No compartir credenciales ni utilizar cuentas genéricas entre varias personas.
• Proteger los dispositivos desde los que se accede.
• Cerrar sesión en equipos compartidos.
• No descargar, copiar o divulgar información sin autorización.
• Verificar cuidadosamente los eventos de conversión antes de enviarlos.
• Reportar inmediatamente actividad sospechosa, pérdida de dispositivos o accesos no reconocidos.

7. Gestión de incidentes

Cuando se detecte un incidente potencial, Manifesto Marketing Group procurará identificar su origen, contener el riesgo, preservar evidencia razonable, corregir la causa y evaluar el impacto. Si una vulneración afecta de forma significativa los derechos de las personas titulares, se informará sin demora indebida conforme a la legislación aplicable.

La notificación describirá, en la medida disponible, la naturaleza del incidente, los datos potencialmente comprometidos, las medidas adoptadas y las acciones recomendadas.

8. Dependencias y continuidad

La disponibilidad del Servicio depende parcialmente de infraestructura cloud, servicios de autenticación y APIs de terceros. Manifesto Marketing Group podrá adoptar medidas razonables de mantenimiento y recuperación, pero no puede controlar interrupciones, bloqueos o cambios originados directamente por dichos proveedores.

9. Limitaciones y seguridad absoluta

Ningún sistema conectado a internet puede garantizar riesgo cero. Las medidas de seguridad se seleccionan considerando la naturaleza de los datos, el alcance del Servicio, los riesgos previsibles y el desarrollo tecnológico. Esta política no constituye una garantía de invulnerabilidad.

10. Reporte de incidentes y contacto

Si detecta actividad sospechosa, un acceso no autorizado o un posible incidente relacionado con el Servicio, repórtelo de inmediato.