Política de privacidad

1. Quién es responsable

LuxoMail trata los datos de dos maneras distintas, y conviene no mezclarlas:

• Como responsable, de los datos de las cuentas y de la facturación: nombre, correo, pertenencia a espacios, registros de acceso y comprobantes de cobro.
• Como encargado, del correo que tu empresa envía y recibe dentro de su espacio. Ese contenido es de tu empresa; nosotros lo procesamos por su cuenta y bajo sus instrucciones.

2. Qué datos tratamos

De la cuenta

Nombre, dirección de correo, contraseña (almacenada como hash, nunca en claro), espacios a los que perteneces y roles asignados en cada uno.

Del correo

El cuerpo, el asunto, los destinatarios y el estado de cada mensaje enviado o recibido dentro de un espacio. Los cuerpos salientes se guardan como texto y se renderizan a HTML al despachar; los entrantes se guardan tal como llegaron y se muestran dentro de un marco aislado, nunca inyectados en la aplicación.

Los adjuntos del correo entrante no se almacenan. Se piden al proveedor en el momento de cada descarga, con la comprobación de permiso por delante, así que revocarle a alguien el acceso a una bandeja le revoca también los adjuntos, sin copias en caché.

De la actividad

Una bitácora de auditoría por espacio que registra quién hizo qué y cuándo, incluidos los intentos denegados. Un registro que solo guarda lo que salió bien no sirve para investigar nada.

De la facturación

Plan contratado, cantidad de asientos, períodos, importes, estado de cada cobro y los últimos cuatro dígitos y la marca de la tarjeta, con fines de identificación. Nunca recibimos ni almacenamos el número completo de la tarjeta, su fecha de vencimiento ni su código de seguridad: esos datos se entregan directamente al procesador de pagos.

3. Para qué los usamos

• Prestar el servicio: autenticar, autorizar, enviar y recibir correo.
• Cobrar el plan contratado y sostener el registro contable.
• Proteger la infraestructura y la reputación de envío compartida: detectar abuso, rebotes y quejas por encima de los umbrales publicados en los términos.
• Responder consultas de soporte.

No hacemos publicidad, no perfilamos personas, no vendemos ni cedemos datos con fines comerciales, y no usamos el contenido del correo para entrenar modelos.

4. Con quién los compartimos

Solo con los proveedores necesarios para que el servicio funcione:

• Resend — envío y recepción de correo. Recibe el mensaje, sus destinatarios y sus adjuntos, porque es quien lo transporta.
• Wompi — procesamiento de pagos. Recibe el importe, la referencia del cobro y el correo del pagador, y es quien trata los datos de la tarjeta.
• El proveedor de infraestructura donde corren la aplicación y la base de datos.

Estos proveedores operan servidores fuera de Colombia, de modo que prestar el servicio implica una transferencia internacional de datos. Cada uno trata los datos únicamente para la finalidad descrita.

5. Cookies

Usamos dos cookies, ambas necesarias para que la aplicación funcione y ninguna de análisis ni de publicidad:

• La cookie de sesión, que mantiene tu sesión iniciada.
• luxomail_workspace, que recuerda en qué espacio estás trabajando. Nunca concede acceso por sí sola: solo elige entre los espacios de los que ya eres miembro.

No incorporamos analítica de terceros, píxeles de seguimiento ni redes publicitarias.

6. Cuánto tiempo los guardamos

• Mientras el espacio esté activo: el correo y los datos operativos se conservan para que puedas consultarlos.
• 30 días después de que un espacio queda suspendido: pasado ese plazo, su correo y sus datos operativos se eliminan. Ese mes es la ventana en la que un cliente que se fue por accidente —una tarjeta vencida, alguien que renunció y se llevó el correo de facturación— vuelve y espera encontrar su bandeja. Más allá, guardar la correspondencia de un cliente muerto es responsabilidad sin motivo.
• 10 años el registro de facturación: qué se cobró, a quién, cuándo y por qué concepto. Es el plazo legal de conservación contable y no se puede acortar. La eliminación del correo de un espacio suspendido nunca se lleva estos registros: un cobro que no se puede evidenciar es un cobro que hay que devolver.

7. Cómo los protegemos

• La autorización se resuelve en el servidor en cada acción, contra la base de datos. Lo que se ve en pantalla no decide a qué se accede.
• Cada espacio es una frontera de datos: toda consulta filtra por el espacio, y hay una auditoría automática del código que busca la que se lo olvidó.
• El HTML del correo entrante se muestra dentro de un marco aislado con su propia política de contenido.
• Las contraseñas se guardan como hash. Los intentos de acceso están limitados por frecuencia para contener la fuerza bruta.

Ningún sistema es invulnerable. Si ocurre un incidente que afecte tus datos, te lo comunicamos junto con lo que sabemos y lo que hicimos.

8. Tus derechos

Según la Ley 1581 de 2012 de Colombia y sus normas reglamentarias, puedes conocer, actualizar y rectificar tus datos, solicitar prueba de la autorización otorgada, ser informado sobre su uso, presentar quejas ante la Superintendencia de Industria y Comercio y —cuando proceda— revocar la autorización o solicitar la supresión.

Para ejercerlos, escríbenos al correo de contacto indicado arriba. Si el pedido es sobre el correo de un espacio del que no eres Owner, lo derivamos a quien administra ese espacio: ese contenido es de esa empresa, no nuestro.

9. Cambios en esta política

Cada cambio publica una versión nueva con su fecha de vigencia. La versión que aceptaste al registrarte queda registrada con tu cuenta, de modo que siempre se puede saber qué texto se te presentó.