1. Identificación del responsable
ENIXTRA es un proyecto personal desarrollado en la República del Perú, orientado a experiencias digitales interactivas de investigación, acertijos y misterio. Actualmente no opera como una persona jurídica o empresa constituida.
- Responsable del tratamiento: Caleb Fernando Ichuta Arias
- Ámbito geográfico: República del Perú
- Correo electrónico de contacto: caleb_18_12@hotmail.com
2. Datos personales que tratamos
Al interactuar con nuestro canal oficial de WhatsApp, el sistema puede recibir y procesar exclusivamente las siguientes categorías de información derivadas de la comunicación:
- Número telefónico e identificador de WhatsApp: utilizado para identificar el canal de respuesta, aplicar límites de seguridad y mantener la continuidad del chat.
- Nombre de perfil de WhatsApp: puede llegar incluido dentro de los metadatos técnicos enviados por la plataforma Meta; sin embargo, la implementación técnica vigente de ENIXTRA no extrae ni almacena dicho nombre de perfil de forma persistente en su base de datos.
- Contenido de mensajes enviados voluntariamente: mensajes de texto e información necesaria para responder consultas dentro del límite técnico operativo configurado.
- Imágenes o capturas enviadas por WhatsApp (cuando las remites): en caso de enviar una imagen, el sistema la descarga temporalmente en memoria desde Meta para su lectura visual automatizada y guarda únicamente sus metadatos técnicos de mensaje (identificador de archivo, tipo MIME, huella SHA-256 y texto adjunto) y, cuando exista un pedido simulado activo, los campos visibles extraídos de forma preliminar (canal detectado, monto, destinatario, posible remitente visible, referencia y fecha/hora). Los archivos binarios de imagen no se almacenan en la base de datos de ENIXTRA.
- Identificadores técnicos y registros operativos: identificadores únicos de mensaje y de trabajo en cola, marcas de fecha y hora, estados de entrega, contadores de uso diario por usuario y marcas temporales para prevención de ráfagas o duplicados.
- Información de pedidos simulados durante pruebas: códigos de pedido ficticios de demostración, producto seleccionado, descuento simulado e instrucciones ficticias asociadas únicamente a evaluación técnica.
ENIXTRA instruye a su asistente automatizado para no solicitar documentos de identidad (DNI), correos personales, direcciones físicas ni datos bancarios reales a través de WhatsApp. Se recomienda a los usuarios no remitir información sensible o financiera real por este canal.
3. Finalidades del tratamiento
Los datos personales tratados se utilizan exclusivamente para:
- Atender las consultas enviadas por el usuario mediante WhatsApp.
- Proporcionar información sobre ENIXTRA y su catálogo de demostración durante la fase de pruebas.
- Generar respuestas contextuales y lecturas preliminares de imágenes mediante modelos de inteligencia artificial.
- Mantener el contexto temporal necesario para dar continuidad a la conversación.
- Gestionar y evaluar el funcionamiento técnico del servicio en etapa de pruebas.
- Prevenir actividades abusivas, ráfagas excesivas y procesamiento duplicado de mensajes.
- Proteger la seguridad, integridad y disponibilidad operativa del servicio.
- Diagnosticar errores técnicos y resolver incidencias de mensajería.
ENIXTRA no realiza perfilamientos publicitarios ni campañas comerciales masivas automatizadas mediante los datos recogidos en WhatsApp.
4. Base jurídica y consentimiento
De conformidad con la Ley N.º 29733 y su Reglamento aprobado por el Decreto Supremo N.º 016-2024-JUS, el tratamiento de los datos descritos se sustenta en:
- Atención de la consulta o ejecución de medidas solicitadas por el titular: cuando el usuario inicia voluntariamente una conversación por WhatsApp con ENIXTRA, resulta indispensable tratar su identificador y mensajes para poder responderle y suministrar la información solicitada.
- Consentimiento libre, previo, expreso, inequívoco e informado: para cualquier finalidad adicional distinta a la atención directa de la consulta o cuando la normativa así lo exija.
- Seguridad y prevención de fraude o abuso técnico: los controles operativos contra duplicados, accesos no autorizados y saturación responden a la necesidad objetiva de proteger el servicio y a sus usuarios.
Distinción sobre publicidad futura: iniciar una conversación o realizar una consulta por WhatsApp con ENIXTRA no constituye consentimiento general ni autorización para el envío de comunicaciones publicitarias, promocionales o prospección comercial futura. Cualquier eventual envío promocional requerirá consentimiento específico e independiente, revocable en todo momento.
5. Proveedores tecnológicos y transferencias internacionales
Para operar el servicio de mensajería automatizada, ENIXTRA utiliza infraestructura y servicios de terceros que actúan como encargados o proveedores de plataforma bajo sus propios términos técnicos y de privacidad:
| Proveedor | Función en ENIXTRA | Datos compartidos y notas de retención verificadas |
|---|---|---|
| Meta Platforms (WhatsApp Cloud API) | Recepción, enrutamiento y entrega de mensajes de WhatsApp. | Número/identificador de WhatsApp y contenido del mensaje o imagen. Según documentación pública de Meta, Cloud API almacena mensajes e identificadores temporalmente hasta por 30 días para entrega confiable y control de spam, sin usar el contenido para segmentar anuncios. |
| Cloudflare (Workers, D1, Queues, Pages) | Ejecución del backend sin servidor, base de datos operativa (D1), cola de trabajos (Queues) y alojamiento web estático (Pages). | Payload del webhook recibido (en D1 y Queues), historial temporal, sesiones, pedidos simulados, contadores y logs técnicos saneados. En el plan gratuito, Queues retiene mensajes hasta 24 horas, Workers Logs hasta 7 días y D1 Time Travel mantiene historial de cambios por 7 días (30 días en plan pago). |
| GroqCloud | Procesamiento de lenguaje natural e interpretación visual preliminar de imágenes mediante API. | Texto del mensaje, historial reciente de conversación e imagen enviada en base64 cuando aplica (sin remitir el número telefónico salvo que el usuario lo escriba en el texto). Según documentación pública de Groq, las entradas/salidas no se usan para entrenar modelos y no se almacenan persistentemente por defecto, aunque pueden existir registros temporales de confiabilidad/abuso de hasta 30 días salvo configuración Zero Data Retention (ZDR) en consola (cuya activación efectiva en la cuenta se encuentra pendiente de verificación antes del lanzamiento abierto). |
Transferencias internacionales de datos: debido a que Meta, Cloudflare y GroqCloud operan infraestructura en la nube distribuida globalmente y en los Estados Unidos de América (incluida infraestructura en Google Cloud Platform para GroqCloud), la utilización del canal de WhatsApp implica el flujo transfronterizo de datos personales fuera del territorio peruano. ENIXTRA no garantiza ni declara que dichos proveedores carezcan por completo de retención técnica temporal cuando sus términos o configuración así lo contemplen.
6. Plazo de conservación
Con base en la auditoría técnica actual del sistema, los plazos efectivos de conservación aplicables a la fecha de esta Política son los siguientes:
- Contexto de conversación y sesión comercial simulada: el sistema considera un periodo de vigencia operativa de 60 minutos de inactividad. Actualmente dicha expiración se depura al producirse una nueva interacción del mismo usuario; la limpieza automática global programada en la base de datos D1 está pendiente de implementarse antes de la publicación comercial.
- Registro contra mensajes duplicados: ventana técnica de 30 minutos para evitar reenvíos ante reintentos; su purga automática periódica global también está pendiente de implementarse.
- Registros de trabajos procesados, pedidos simulados, control de ráfagas y contadores diarios por usuario: a la fecha de esta auditoría, el sistema no ejecuta un borrado automático por antigüedad en D1. La definición definitiva del plazo máximo de retención y su tarea de depuración periódica se encuentran pendientes de resolución antes de habilitar el servicio al público general.
- Registro técnico de errores: acotado automáticamente a un máximo de los 50 eventos técnicos más recientes, con redacción previa de credenciales y sin almacenar conversaciones completas.
- Bloqueos temporales de concurrencia y muestras por minuto: los bloqueos por conversación expiran cada 30 segundos y las muestras de consumo por minuto se eliminan automáticamente al superar 60 segundos.
- Ventanas propias de terceros: sujetas a las retenciones temporales indicadas en la sección 5 (Meta hasta 30 días, Cloudflare D1 Time Travel 7 días en plan gratuito, Queues Free 24 horas, Workers Logs 7 días y GroqCloud hasta 30 días salvo verificación y activación de ZDR).
7. Medidas de seguridad
ENIXTRA aplica medidas técnicas y organizativas concretas y verificadas en su código para reducir riesgos de acceso indebido o alteración de información:
-
Verificación criptográfica obligatoria de firmas HMAC-SHA256 en el webhook entrante
de Meta (
X-Hub-Signature-256) en tiempo constante. - Validación estricta de esquemas de entrada, límites de tamaño de carga (100 KB para webhooks y 2 MiB configurados para imágenes) y truncamiento de texto.
- Control de acceso a rutas administrativas protegido mediante clave privada verificada en tiempo constante.
-
Lista blanca estricta (
strict-allowlist) activa durante la etapa de pruebas para restringir la atención exclusivamente a números autorizados. - Gestión aislada de claves y secretos fuera del código fuente publicado mediante variables secretas cifradas del proveedor.
- Mecanismos atómicos de deduplicación, bloqueo distribuido por conversación y máquina de estados para evitar reprocesamientos o envíos duplicados ante reintentos de red.
- Redacción automática de tokens y cabeceras sensibles, así como enmascaramiento de números telefónicos en consultas administrativas y registros técnicos de error.
Pese a estas salvaguardas, ningún sistema conectado a Internet puede garantizar una seguridad absoluta frente a incidentes de terceros o vulnerabilidades imprevisibles.
8. Derechos de los usuarios
Como titular de datos personales, puedes ejercer en todo momento los derechos reconocidos por la Ley N.º 29733 y su Reglamento (Decreto Supremo N.º 016-2024-JUS): Información, Acceso, Rectificación, Cancelación (supresión), Oposición, Portabilidad y Revocatoria del consentimiento.
Para ejercer cualquiera de estos derechos, escribe a caleb_18_12@hotmail.com indicando el derecho que deseas ejercer y el número de WhatsApp vinculado (con código de país).
- Verificación de identidad: se solicitará únicamente confirmación razonable y proporcional que acredite la titularidad o autorización sobre el número consultado, sin exigir información sensible innecesaria.
- Plazos legales de respuesta (D.S. N.º 016-2024-JUS): hasta 8 días hábiles para el derecho de información; hasta 10 días hábiles para rectificación, cancelación, oposición o revocatoria; y hasta 20 días hábiles para acceso y portabilidad (prorrogables excepcionalmente por una sola vez en los términos permitidos por el Reglamento).
- Reclamación ante la autoridad: si consideras que tu solicitud no ha sido atendida conforme a ley, tienes derecho a presentar una reclamación ante la Autoridad Nacional de Protección de Datos Personales (ANPD) del Ministerio de Justicia y Derechos Humanos del Perú.
9. Solicitudes de eliminación
Para conocer el paso a paso específico sobre cómo pedir la supresión de tus datos asociados a WhatsApp, consulta nuestra página independiente: Instrucciones de eliminación de datos personales.
Ten presente que actualmente ENIXTRA no cuenta con un sistema automático de eliminación integral en un clic; toda solicitud se revisa y ejecuta de forma supervisada sobre la base de datos operativa y se coordina en lo que corresponda frente a proveedores externos dentro de los plazos legales.
10. Cambios en la política
ENIXTRA podrá actualizar esta Política de Privacidad cuando se incorporen nuevas funcionalidades, cambien los proveedores tecnológicos o se modifiquen las obligaciones legales aplicables. Cualquier actualización se publicará en esta página manteniendo visible la fecha de última modificación.
11. Legislación aplicable
Esta Política de Privacidad se rige por las leyes de la República del Perú, en particular por la Ley N.º 29733 (Ley de Protección de Datos Personales), su Reglamento aprobado mediante Decreto Supremo N.º 016-2024-JUS y las demás disposiciones administrativas o legales emitidas por las autoridades peruanas competentes.