Aviso de privacidad
Última actualización: 5 de octubre de 2026
Este documento es una versión inicial de cortesía y puede actualizarse; la versión vigente siempre vive en esta página.
1. Responsable del tratamiento
kalu (kalu.lat) es una plataforma de inteligencia comercial para empresas operada desde Monterrey, Nuevo León, México, y es la responsable del tratamiento de los datos personales descritos en este aviso, en términos de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
Para cualquier asunto relacionado con este aviso o con tus datos personales, puedes escribirnos a nuestro correo de contacto.
2. Datos que recopilamos
Recopilamos únicamente los datos necesarios para operar el servicio:
- Datos de cuenta: tu nombre, tu correo electrónico de trabajo y tu contraseña. La contraseña nunca se guarda en texto plano: se almacena como hash mediante Supabase Auth.
- Acceso con Google o Microsoft (opcional): si eliges entrar con uno de esos proveedores, en lugar de crear una contraseña, recibimos de ellos únicamente tu nombre y tu correo electrónico verificado. kalu no recibe tu contraseña ni obtiene acceso a tu correo, a tu calendario ni a ningún otro dato de esa cuenta. Puedes seguir usando correo y contraseña si lo prefieres.
- Perfil de la organización (radar): la información que tu organización proporciona sobre sí misma —sector, mercados, competidores y temas de interés— para orientar tu feed de noticias y, salvo que tu organización se niegue, para mejorar a Laya (sección 3 bis).
- Señales de uso: vistas, impresiones, aperturas de la fuente original, tiempo de lectura y qué tanto de la nota recorres, guardados, «me interesa» y «no me interesa», y tus votos a las jugadas comerciales que kalu propone («La respaldo», «No me interesa» y «No funciona»). Cuando compartes una nota registramos el canal (WhatsApp, SMS, correo, el menú de compartir del teléfono o copiar la liga) y, si decides indicarlo, a qué tipo de persona se la mandas: alguien de tu equipo, un cliente, un prospecto, la dirección de tu empresa u otro; nunca su contacto. La liga que compartes lleva un código al azar con el que contamos cuántas veces se abrió cada día, y ese conteo no guarda la dirección IP, el navegador ni la identidad de quien la abre. Estas señales sirven para ordenar el feed y las jugadas de tu organización y, salvo que tú o tu organización se nieguen, para mejorar a Laya, el filtro de noticias de kalu (secciones 3 bis y 5). Nunca se venden ni se comparten con terceros.
- Datos de facturación: los pagos se procesan a través de Stripe. kalu nunca almacena números de tarjeta; solo conservamos referencias de la suscripción y el historial de facturación.
- Registros técnicos: direcciones IP, tipo de navegador y marcas de tiempo, generados de forma estándar para seguridad y diagnóstico.
- Datos de medición del sitio: Google Analytics registra páginas vistas, origen de la visita y datos técnicos del dispositivo, asociados a un identificador aleatorio y no a tu nombre. En el sitio público —y solo ahí— Microsoft Clarity registra además el desplazamiento y los clics sobre la página, con el texto enmascarado. Si rechazas las cookies de medición —o, cuando nos visitas desde el Espacio Económico Europeo, el Reino Unido o Suiza, mientras no las aceptes—, la medición corre sin cookies y sin identificarte.
- Lista de espera (kalu.lat/lista-de-espera): mientras el acceso sea por invitación, recabamos tu nombre, tu correo de trabajo, tu empresa, tu cargo, el tamaño de tu empresa, tu industria, tu teléfono si decides dejarlo, el paquete que te interesa a futuro y tu respuesta a una pregunta abierta sobre qué te gustaría saber antes que tu competencia. Guardamos además los parámetros de campaña (`utm_*`) y la página desde la que llegaste, para saber qué canal te trajo. Sirven para una sola cosa: decidir si tu empresa entra en el grupo de acceso anticipado y poder escribirte.
- Datos de prospección comercial (origen indirecto): para contactar empresas que podrían usar kalu tratamos nombre, cargo, empresa y correo profesional obtenidos de fuentes de acceso público y de la plataforma Apollo.io. Esos datos no nos los diste tú, así que el primer correo que recibes de nosotros lleva este aviso y una forma directa de pedir que no volvamos a escribirte. Si lo pides, dejamos de hacerlo y borramos el contacto.
- Datos técnicos de protección: al enviar un formulario público registramos tu dirección IP durante un tiempo acotado para aplicar límites por IP y por dominio, y procesamos el token de Cloudflare Turnstile que acredita que no eres un programa automático.
- Aplicación de iOS: la app nativa recoge exactamente los mismos datos que el sitio y ninguno más. No incluye SDK de terceros, no usa el identificador de publicidad (IDFA), no rastrea tu actividad en otras apps ni sitios, y no pide ningún permiso del sistema —ni cámara, ni ubicación, ni contactos, ni fotos—. La medición de sitio descrita en el punto anterior no corre dentro de la app.
3. Finalidades
No recabamos datos personales sensibles. Ni origen étnico, ni estado de salud, ni creencias, ni preferencias sexuales, ni datos biométricos: kalu no los necesita para funcionar y no hay ningún campo del producto donde puedas dárnoslos. Si nos los mandas por tu cuenta en un texto libre, los eliminamos.
Finalidades primarias. Son las que dan origen y son necesarias a la relación contigo; sin ellas no podemos prestarte el servicio:
- Operar la lista de espera: recibir tu inscripción, evaluar si tu empresa encaja en el grupo de acceso anticipado, escribirte con la decisión y —si entras— emitirte la invitación.
- Prestar el servicio: crear y administrar tu cuenta, agrupar a los usuarios por dominio de correo corporativo, y generar y ordenar el feed de tu organización.
- Cobrar: procesar tu suscripción y tu facturación, y avisarte antes de cualquier cambio en lo que se te cobra.
- Pedir y analizar tu retroalimentación si estás en el programa de acceso anticipado: es lo que se te pide a cambio de ese precio y es la razón por la que el programa existe.
- Enviarte notificaciones que tú activaste: notificaciones push y resúmenes por correo, que puedes desactivar en cualquier momento.
- Seguridad y cumplimiento: prevenir accesos no autorizados, atender incidentes y cumplir obligaciones fiscales y legales.
3 bis. Finalidades secundarias y cómo negarte
Las siguientes finalidades no son necesarias para prestarte el servicio, y puedes negarte a ellas sin que eso afecte en nada a lo que contrataste:
- Prospección comercial: contactarte para ofrecerte kalu, incluido el correo dirigido a contactos obtenidos de fuentes de acceso público y de Apollo.io.
- Información sobre kalu: novedades del producto, contenidos y comunicaciones comerciales.
- Estadísticas internas: análisis agregado del uso de la plataforma y del rendimiento de nuestros canales de adquisición. No identifica a personas.
- Mejorar a Laya, el filtro de noticias de kalu, con el perfil comercial de tu organización y las reacciones de tu equipo. Laya es el modelo propio que juzga si una noticia le importa a tu negocio (sección 5), y aprende de tres cosas: el perfil comercial de tu organización, su ADN comercial (qué vende, a quién, sus sectores, segmentos, mercados y geografías, su propuesta de valor, sus palabras clave, sus competidores, y los nombres y sectores de sus clientes); el titular y el extracto originales de las noticias públicas; y una etiqueta por nota y organización que resume cómo reaccionó tu equipo: si abrió la nota o su fuente original, cuánto la leyó, si le dio «me interesa» o «no me interesa», si la guardó o la compartió y si la liga compartida se abrió, y sus votos «La respaldo» y «No me interesa» a las jugadas de esa nota. La etiqueta no dice quién reaccionó: tu identificador de usuario no sale de la base de datos de kalu. Nunca se usan el nombre ni el correo de nadie de tu equipo, contraseñas, datos de facturación ni direcciones IP, ni el contacto de a quién compartiste una nota, que kalu no conoce. Laya es un solo modelo para todas las organizaciones: lo que aprende de la tuya mejora el filtro de todas, sin que ninguna vea tu perfil comercial ni las reacciones de tu equipo. Esta finalidad entra en vigor el 7 de octubre de 2026, diez días después del correo en que te la anunciamos, y solo usa las reacciones registradas desde entonces.
Cómo negarte, en cualquier momento y sin dar motivos: escríbenos a nuestro correo de contacto con el asunto «No a finalidades secundarias», o responde a cualquiera de nuestros correos comerciales pidiendo que no te escribamos más. Todas nuestras comunicaciones comerciales llevan además una liga para darte de baja. A la mejora de Laya puedes negarte también desde Ajustes → Privacidad: quien administra la organización, por el perfil comercial y las reacciones de todo el equipo, y cada persona, por sus propias reacciones. Tu negativa se aplica de inmediato y no afecta a los correos operativos —cobro, seguridad y acceso— que seguirás recibiendo mientras tu cuenta esté activa. En el caso de Laya, nada de lo que cubre tu negativa entra a un entrenamiento posterior, y lo que el modelo ya hubiera aprendido de ello deja de influir desde el siguiente reentrenamiento mensual (sección 7).
4. Encargados y proveedores
Para operar kalu nos apoyamos en un número reducido de proveedores, cada uno con acceso limitado a lo estrictamente necesario.
Todos los de esta lista son ENCARGADOS, no terceros. Tratan tus datos por cuenta de kalu, siguiendo nuestras instrucciones y bajo contrato de tratamiento: entregarles datos es una remisión, no una transferencia, y por eso no requiere tu consentimiento. kalu no transfiere tus datos personales a terceros que los usen para sus propios fines, y no los vende. Las únicas excepciones posibles son las que la ley impone: una autoridad competente que los requiera por escrito, o una reestructura societaria, y en ese segundo caso te lo diríamos antes.
Varios de estos proveedores operan en Estados Unidos. Ver la sección 9.
- Supabase — alojamiento y base de datos (región US-East, Estados Unidos). Almacena cuentas, perfiles de organización y señales de uso.
- Stripe — procesamiento de pagos. Recibe los datos de facturación y de tarjeta directamente; kalu no los ve ni los guarda.
- Resend — envío de correos transaccionales (accesos, avisos y resúmenes).
- Proveedor de modelos de inteligencia artificial con búsqueda web (Estados Unidos) — búsqueda y redacción de noticias (ver la sección 5). No recibe ningún dato personal: únicamente los términos temáticos del radar de tu organización.
- Proveedor de cómputo en la nube (Estados Unidos) — infraestructura donde corren los modelos propios de kalu: Laya, que juzga si una noticia es relevante para tu organización, y el que convierte el texto de tu perfil y de las noticias en representaciones numéricas para ordenar tu feed por cercanía de significado (ver la sección 5). Para juzgar y ordenar recibe el texto del perfil comercial de tu organización —qué vende, a quién, los nombres de sus clientes y competidores y los mercados donde opera— junto con el texto de las noticias públicas. Además, a partir de la entrada en vigor de la finalidad de la sección 3 bis, entrena a Laya por encargo de kalu al menos una vez al mes con los datos que ahí se describen, salvo los de quien se haya negado. No recibe tu nombre, tu correo, tu contraseña ni tus datos de facturación. Trata todo ello bajo su contrato de tratamiento de datos, por cuenta de kalu y no para sí: no lo usa para entrenar modelos propios ni de terceros.
- Repositorio de modelos (Estados Unidos) — guarda en un repositorio privado los pesos de Laya, es decir, el modelo que resulta de cada entrenamiento (ver la sección 5). Los pesos no contienen los textos de entrenamiento como registros consultables.
- Vercel — alojamiento de la aplicación web.
- Google (Google Tag Manager y Google Analytics 4) — medición de uso del sitio. Desde el Espacio Económico Europeo, el Reino Unido y Suiza no escribe ninguna cookie mientras no lo aceptes en el banner; desde el resto de los países las escribe hasta que las rechaces. Con el consentimiento denegado, la medición opera en modo sin cookies y sin identificarte.
- Microsoft (Clarity) — mapas de calor y repeticiones de pantalla del sitio público únicamente: la portada, el blog, las páginas de tema y los documentos legales. Nunca dentro de la aplicación: tu feed, tu ADN comercial, tu cartera de clientes y el panel de administración no se graban jamás. El texto que aparece en pantalla viaja enmascarado, se rige por el mismo banner que la medición de Google —y se detiene por completo si la rechazas— y sus señales publicitarias se mantienen denegadas en todo momento.
- Sentry — registro de fallos técnicos de la aplicación (errores de programación, pantallas que no cargan). Recibe el detalle técnico del fallo y tu identificador interno de usuario y de organización, nunca tu nombre ni tu correo. No escribe cookies publicitarias ni te sigue entre sitios: existe para que nos enteremos de una avería antes de que tengas que reportarla.
- Apollo.io — plataforma de prospección comercial (Estados Unidos). Es la fuente de los datos profesionales de contacto descritos en la sección 2 y el canal por el que se envían los correos de prospección. Si te inscribes en la lista de espera, remitimos a Apollo.io tu nombre, tu correo profesional, tu empresa y tu puesto para enviarte las comunicaciones relacionadas con esa lista que tú solicitaste, y para dejar de enviarte los correos de prospección que ya no tienen sentido. No recibe datos de clientes de kalu: no se le manda tu cuenta, tu radar ni tu actividad en la plataforma.
- Cloudflare (Turnstile) — comprobación de que quien envía un formulario público es una persona. Recibe el token del desafío y tu dirección IP, nada más.
- Calendly — agenda de la llamada (Calendly, LLC, Estados Unidos). Sirve para que elijas la hora de la llamada que pediste. Cuando abres nuestra página de agenda —el botón para elegir hora que aparece después de enviar tu solicitud, o la liga que te mandemos—, Calendly recibe tu nombre, tu correo y la referencia de tu solicitud, que van en la liga para que no tengas que escribirlos. Si reservas, recibe también la hora que elijas y lo que escribas en su formulario, y nosotros lo consultamos en Calendly para dejar la cita en tu solicitud. Si reservas sin haber enviado una solicitud, o con un correo distinto al de la tuya, con lo que trae la reserva abrimos una solicitud de demostración: tu nombre, tu correo, el teléfono que dejes para los recordatorios, la hora y los parámetros de campaña de la liga. Si cancelas, el motivo que escribas le llega a nuestro equipo. Esa solicitud se trata como cualquier otra: si la descartamos, se borra sola a los 60 días, y si pides que la borremos, la borramos.
- Unsplash — banco de imágenes de respaldo para ilustrar noticias. Recibe únicamente términos de búsqueda temáticos, ningún dato personal.
- El canal de tu equipo (opcional, solo si tu organización lo activa): un administrador de tu empresa puede conectar un canal de Slack, Microsoft Teams, Discord, Google Chat o Cisco Webex —o cualquier otra dirección propia, como un Mattermost interno o un flujo de automatización— para recibir ahí el resumen del día. En ese caso enviamos a ese destino los titulares y resúmenes de las noticias —nunca datos personales de nadie— y quien decide cuál es y quién lo lee es tu propia empresa, no kalu. Se desconecta desde Ajustes cuando quieras.
5. Uso de inteligencia artificial
kalu se apoya en sistemas de inteligencia artificial para operar. Los modelos de un proveedor de inteligencia artificial con búsqueda web, en Estados Unidos, buscan las noticias, redactan los resúmenes y los cuerpos de los artículos, y generan las notas de estrategia y las investigaciones de empresa que lees en la plataforma.
A esos modelos se envían los términos temáticos del radar de tu organización, los nombres de las empresas y sectores que sigues y el texto de las noticias públicas que se procesan. No enviamos tu nombre, tu correo, tu contraseña ni tus datos de facturación, y tus datos no se utilizan para entrenar modelos de terceros.
Además, dos modelos propios de kalu corren en la infraestructura del proveedor de cómputo en la nube de la sección 4, en Estados Unidos: Laya, que juzga si cada noticia es relevante para tu organización, y otro que la ordena por cercanía de significado con tu perfil. Para hacerlo reciben el perfil comercial de tu organización —qué vende, a quién, sus clientes, sus competidores y sus mercados— y el texto de la noticia pública. El que ordena es un modelo público que kalu no reentrena.
Laya se entrenó al principio solo con noticias públicas y con empresas ficticias. A partir de la entrada en vigor de la finalidad de la sección 3 bis, y salvo negativa en los términos de esa sección, aprende también del perfil comercial de tu organización y de las reacciones de tu equipo, resumidas en una etiqueta por nota que no dice quién reaccionó. Nunca aprende del nombre ni del correo de nadie de tu equipo, de contraseñas, de datos de facturación ni de direcciones IP. Lo entrena ese proveedor de cómputo por encargo de kalu, sin usar esos datos para entrenar modelos propios ni de terceros, y los pesos que resultan se guardan en el repositorio privado de modelos de la sección 4.
El contenido generado con inteligencia artificial puede contener errores, omisiones o interpretaciones incorrectas. Por eso cada noticia se publica con sus fuentes enlazadas y atribuidas: la fuente original es siempre la autoridad sobre su propio contenido. kalu es un servicio informativo y no constituye asesoría legal, financiera ni de inversión.
No tomamos decisiones automatizadas que produzcan efectos jurídicos sobre ti ni que te afecten de manera similarmente significativa. El orden de tu feed es una recomendación de contenido, y puedes corregirlo en todo momento desde el radar y los ajustes de tu organización.
6. Notificaciones push y correos
Con tu consentimiento, enviamos notificaciones push del navegador y resúmenes por correo electrónico con las noticias más relevantes para tu organización.
Puedes desactivarlos en cualquier momento desde los ajustes de tu cuenta, y todos nuestros correos incluyen una liga para darse de baja. Los correos estrictamente operativos (por ejemplo, restablecimiento de contraseña o avisos de facturación) se envían mientras tu cuenta esté activa.
7. Plazos de conservación
- Radar y datos de la organización: se conservan mientras la suscripción esté activa. Si la cancelas, 30 días después de que termina el acceso se borran el radar y todo lo que aprendimos de tu organización —su perfil comercial, clientes, cuentas vigiladas, afinidad del feed, señales de lectura, jugadas y reportes—, salvo que reactives antes. Si vuelves después, empiezas de cero. Tu cuenta de usuario, los registros de facturación y el registro de la cancelación se conservan.
- Señales de uso: se depuran de forma continua después de 90 días —con la excepción de los guardados, abajo—; solo conservamos agregados que no identifican a personas. Con la señal de compartir se borran también el tipo de destinatario y el conteo de aperturas de su liga. Los votos a las jugadas no caducan a los 90 días: se conservan mientras existan tu cuenta y tu organización, y se borran con cualquiera de las dos.
- Noticias que guardas: se conservan mientras no las quites. Un guardado no es una medición de tu lectura, sino un marcador que creaste tú, y es además lo que mantiene una noticia legible aunque haya quedado fuera de la ventana de archivo de tu paquete. Puedes retirar cualquiera desde la propia noticia, y todos a la vez desde Ajustes → Preferencias.
- Inscripciones en la lista de espera: se conservan 12 meses desde la inscripción. Pasado ese plazo, las que no se convirtieron en cuenta se eliminan o se anonimizan —se conserva solo el dato agregado de cuántas personas llegaron por cada canal, que no identifica a nadie—. Si pides que la borremos antes, la borramos.
- Contactos de prospección comercial: se conservan mientras la campaña esté activa y, en todo caso, no más de 12 meses sin respuesta. Si pides que no te escribamos más, conservamos únicamente tu dirección en una lista de exclusión —que existe precisamente para no volver a contactarte— y borramos el resto.
- Noticias del feed: se depuran a los 90 días, con la excepción de las que tú hayas guardado.
- Registros de facturación: se conservan durante los plazos que exige la legislación fiscal aplicable.
- Si eliminas tu cuenta: el borrado es inmediato y definitivo, no espera a esos 30 días y no hay periodo de gracia. Se van tu perfil, tus guardados y tu historial de lectura; si además eras la última persona de tu organización, se va también la organización completa —radar, feed, noticias e historial— y se cancela la suscripción. Solo sobreviven los registros de facturación que la ley fiscal obliga a conservar.
- Lo que aprende Laya: los ejemplos que salen de tu organización se arman en el momento de entrenar y no se guardan en ninguna parte; lo único que queda de ellos son los pesos del modelo (sección 4). Laya se reentrena al menos una vez al mes con los datos vigentes ese día, así que lo que se borra (a mano, en la depuración de 90 días o por cualquier otro plazo de esta sección) y lo que cubre una negativa dejan de influir en el modelo desde el siguiente reentrenamiento mensual.
8. Tus derechos
Si te encuentras en México, puedes ejercer en todo momento tus derechos ARCO —acceso, rectificación, cancelación y oposición— conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, así como revocar tu consentimiento y limitar el uso o divulgación de tus datos.
Si te encuentras fuera de México, te reconocemos derechos equivalentes a los del Reglamento General de Protección de Datos (RGPD): acceso, rectificación, supresión, portabilidad y oposición.
La supresión no requiere trámite. Puedes eliminar tu cuenta tú mismo, sin escribir a nadie y sin esperar respuesta, desde Ajustes → Cuenta → Eliminar cuenta, tanto en kalu.lat como en la aplicación de iOS. El borrado se ejecuta en el momento y el detalle de qué se elimina está en el punto 7.
Para ejercer los demás derechos, escribe a nuestro correo de contacto desde el correo asociado a tu cuenta, indicando el derecho que deseas ejercer. Te responderemos dentro de los plazos legales aplicables.
9. Transferencias internacionales
Tus datos se almacenan en servidores de Supabase ubicados en Estados Unidos (región US-East) y se comparten con los proveedores listados en este aviso, algunos de los cuales operan fuera de México.
Estas transferencias se realizan al amparo de contratos de tratamiento de datos con cada proveedor y son necesarias para la prestación del servicio que contratas. La excepción es el entrenamiento de Laya en el proveedor de cómputo en la nube, con la custodia de sus pesos en el repositorio de modelos: sirve a la finalidad secundaria de la sección 3 bis y puedes negarte a ella. Al utilizar kalu, consientes estas transferencias en los términos de este aviso.
10. Medidas de seguridad
Protegemos tus datos con medidas técnicas y organizativas razonables para un servicio de esta naturaleza:
- Cifrado en tránsito (TLS) en todas las conexiones con la plataforma y con nuestros proveedores.
- Seguridad a nivel de fila (RLS) en la base de datos, de modo que cada organización solo puede acceder a su propia información.
- Principio de mínimo privilegio en el acceso interno: solo el personal que lo necesita accede a datos personales, y únicamente para operar el servicio.
- Notificación de incidentes: si ocurriera una vulneración de seguridad que afecte tus datos, te lo notificaremos conforme a la legislación aplicable.
12. Cambios a este aviso
Podemos actualizar este aviso cuando cambie el servicio o la legislación aplicable. Publicaremos siempre la versión vigente en esta página, con su fecha de actualización. Cuando un cambio altere lo que este aviso promete, te lo avisaremos por correo con al menos diez días de anticipación, antes de aplicarlo a tus datos.
El uso continuado del servicio después de que un cambio entre en vigor implica la aceptación del aviso actualizado.
13. Legislación aplicable y contacto
Este aviso se rige por las leyes de los Estados Unidos Mexicanos, en particular por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y su normativa derivada.
Para dudas, solicitudes o quejas relacionadas con tus datos personales, escríbenos a nuestro correo de contacto. Si consideras que tu solicitud no fue atendida o que tu derecho fue vulnerado, puedes acudir a la Secretaría Anticorrupción y Buen Gobierno, que es la autoridad a la que la ley de 2025 encomendó la protección de datos personales en posesión de particulares.