Política de privacidad

Velia es un asistente personal que vive en WhatsApp. Para servirte, lee y escribe en cuentas tuyas: tu calendario, tu correo, el portal del colegio de tus hijos. Eso es mucha confianza, así que esta política intenta ser concreta en vez de tranquilizadora: qué datos tocamos, quién más los ve, cuánto los guardamos y qué puedes exigirnos.

Aplica al asistente —le escribas por WhatsApp, por Telegram o desde la app de Velia— y a este sitio web. Última actualización: 29 de septiembre de 2026.

Índice

1. Quién responde por tus datos
2. Qué datos tratamos
3. Para qué los usamos
4. Con qué autorización
5. Las cuentas que tú conectas
6. Datos de Google y uso limitado
7. Con quién los compartimos
8. Datos de niños y del colegio
9. Cuánto tiempo los guardamos
10. Cómo los protegemos
11. Los riesgos de un asistente que actúa por ti
12. Dónde se procesan
13. Tus derechos
14. Cómo borrar todo
15. El sitio web, la app y las cookies
16. Cambios a esta política
17. Contacto

1. Quién responde por tus datos

En corto: Hi Luma LLC, y le escribes a info@luma-agency.com.

Hi Luma LLC, sociedad de responsabilidad limitada constituida en Wyoming, Estados Unidos, con agente registrado en Registered Agents Inc., 30 N Gould St Ste R, Sheridan, WY 82801, es la responsable del tratamiento de tus datos personales.

Canal de atención para cualquier asunto de datos personales, incluido el ejercicio de tus derechos: info@luma-agency.com.

2. Qué datos tratamos

En corto: lo que le escribes al asistente, lo que hay en las cuentas que conectas, y poco más.

Quién eres. Tu nombre, el número de teléfono desde el que escribes y —si usas Telegram— tu identificador de esa aplicación. Los nombres de las personas de tu casa que registres, y el rol de cada una. Tu zona horaria y tu idioma preferido.

Lo que le dices al asistente. El contenido de tu conversación: texto, fotos, documentos, notas de voz y videos que envíes. Las notas de voz se transcriben a texto para poder entenderlas. También guardamos un resumen de conversaciones anteriores, que es lo que le permite al asistente recordar el contexto de tu casa.

Lo que el asistente recuerda. Hechos que le pides guardar o que deduce de la conversación: preferencias, cumpleaños, nombres de contactos, alergias. Cada vez que guarda uno, te lo dice.

Lo que hay en las cuentas que conectas. Solo después de que tú las conectes, y solo para ejecutar lo que pides: eventos de calendario, correos (remitente, asunto y cuerpo cuando pides leer uno), mensajes y notas del portal del colegio, y novedades de la ruta escolar. La sección 5 lo detalla cuenta por cuenta.

Lo que registras tú. Gastos, presupuestos, deudas, recordatorios, listas y tareas que le pides al asistente que lleve.

Si usas la app de Velia. El número de teléfono con el que entras (le mandamos un código de un solo uso por SMS), el modelo del dispositivo, su sistema operativo y la versión de la app, y —si permites las notificaciones— el identificador de push que le asignan Apple o Google. Las fotos, archivos y audios que tú eliges enviar. La app no lee tu ubicación, tus contactos ni tu galería más allá de lo que escojas, y no lleva identificadores publicitarios ni analítica de terceros.

Información sensible. Parte de lo que le cuentas a Velia es sensible por naturaleza: una alergia, el recordatorio de un medicamento, una cita médica, lo que gastas y lo que debes. La tratamos como tal: se usa solo para hacer lo que pediste, tiene las protecciones de la sección 10 y se borra con los mismos plazos que todo lo demás. Velia nunca te pide las claves de tu banco o de tu tarjeta, y te pedimos que no se las mandes.

Datos técnicos. Registros de operación: a qué hora ocurrió un turno, cuánto tardó, qué herramienta se ejecutó y si falló. Sirven para mantener el servicio en pie y para cobrar el consumo. Nuestros registros ocultan por defecto los datos personales que aparezcan en ellos: de un teléfono quedan los últimos cuatro dígitos y de un correo solo el dominio.

Lo que NO hacemos. No vendemos datos personales. No los usamos para publicidad. No entrenamos modelos con tus conversaciones, y los proveedores de modelos que usamos operan bajo términos de API comerciales en los que tus datos no alimentan su entrenamiento. No procesamos pagos con tarjeta ni almacenamos datos de tarjetas: cuando exista un cobro, lo hará una pasarela especializada y nosotros no veremos el número.

Datos agregados y anonimizados. Podemos sacar estadísticas que razonablemente no se pueden asociar a ti ni a tu hogar —cuántos recordatorios se crearon en un mes, cuánto tardó en promedio una respuesta— para operar y mejorar el servicio. Esos datos los mantenemos anonimizados y no intentamos volver a identificarlos.

3. Para qué los usamos

En corto: para hacer lo que pides, avisarte de lo que pediste, y mantener el servicio vivo y seguro.

• Prestar el servicio: entender tu mensaje, ejecutar la acción y responderte.
• Recordar el contexto de tu casa para no preguntarte lo mismo cada vez.
• Avisarte de forma proactiva de lo que tú configuraste: recordatorios, vencimientos, correos importantes, mensajes del colegio.
• Mantener la seguridad del servicio y prevenir abusos.
• Medir el consumo para facturar y para aplicar los topes de gasto.
• Cumplir obligaciones legales y atender requerimientos de autoridad competente.

4. Con qué autorización

En corto: tú nos autorizas, y puedes revocarlo cuando quieras.

Velia se presta desde Estados Unidos y se usa desde fuera, así que la ley que te protege depende de dónde estés. El fundamento común, en todas partes, es tu autorización previa, expresa e informada: al escribirle al asistente y al conectar una cuenta, autorizas el tratamiento descrito aquí.

Además, cuando el tratamiento es necesario para ejecutar el contrato contigo o para cumplir un deber legal, esas son las bases aplicables en las jurisdicciones que las reconocen — por ejemplo el RGPD en la Unión Europea y el Reino Unido.

Donde tu país exige requisitos adicionales, los cumplimos también. En Colombia, por ejemplo, la Ley 1581 de 2012 y el Decreto 1074 de 2015.

Puedes revocar tu autorización en cualquier momento, escribiéndole al asistente o a info@luma-agency.com. Revocarla significa dejar de poder prestar el servicio.

5. Las cuentas que tú conectas

En corto: son tus credenciales, con tu permiso, y las puedes revocar desde el proveedor sin pasar por nosotros.

Velia no tiene acceso a nada tuyo hasta que tú conectas una cuenta. Cada conexión se hace por un enlace de un solo uso que caduca a las 24 horas; las contraseñas nunca viajan por el chat.

Cuenta	A qué accede	Para qué
Google (Gmail)	Leer, buscar, enviar y archivar correo	Triaje de tu bandeja, avisos de lo importante, redactar y enviar cuando lo apruebas
Google Calendar	Leer y escribir eventos	Consultar tu agenda y agendar lo que pidas
Microsoft / Outlook	Correo y calendario	Lo mismo, para cuentas de Microsoft 365
Apple iCloud (CalDAV)	Leer y escribir eventos	Lo mismo, para calendarios de iCloud
Portal del colegio (Phidias)	Mensajes, circulares, notas y asistencia de tus hijos	Avisarte de lo del colegio y responder mensajes cuando lo apruebas
Ruta escolar (TEM)	Novedades de ruta y estado de pago	Avisarte de la ruta y del vencimiento. Velia nunca paga: te entrega el enlace
Calendarios por suscripción (ICS)	Solo lectura	Ver un calendario compartido contigo

Lo que hacemos con las credenciales. Las guardamos cifradas (sección 10) y las usamos solo para las acciones que pides. No las compartimos con nadie.

Cómo cortar el acceso. Puedes desconectar una cuenta pidiéndoselo al asistente, y además revocarla directamente en el proveedor, sin contar con nosotros: Google, Microsoft, Apple (revocar la contraseña específica de aplicación).

6. Datos de Google y uso limitado

En corto: cumplimos la política de uso limitado de Google. Tu correo no entrena a nadie.

El uso que Velia hace de la información recibida de las APIs de Google se ajusta a la Política de Datos de Usuario de los Servicios de API de Google, incluidos sus requisitos de uso limitado. En concreto:

• Usamos los datos de Gmail y Google Calendar únicamente para prestarte las funciones que pediste.
• No los transferimos a terceros salvo para prestarte el servicio, por obligación legal o con tu consentimiento expreso.
• No los usamos, ni permitimos que se usen, para entrenar modelos de inteligencia artificial generalizados.
• Ningún ser humano lee tu correo, salvo que tú nos lo pidas para resolver un problema, que sea necesario por seguridad, o que la ley lo exija.

7. Con quién los compartimos

En corto: con los proveedores que hacen funcionar el servicio, y con nadie más.

No vendemos ni cedemos tus datos. Los compartimos únicamente con los encargados que necesitamos para operar, cada uno limitado a lo que le corresponde:

Proveedor	Qué recibe	Para qué	Política
Anthropic	El contenido del turno que el asistente necesita entender	Es el modelo que razona y redacta	Ver
Amazon Web Services	Todo lo almacenado (base de datos, respaldos, servidores)	Alojamiento e infraestructura	Ver
Twilio	Tu número, los mensajes de WhatsApp y los códigos de la app	El canal, y el código de entrada por SMS	Ver
Telegram	Tu identificador y los mensajes, si usas ese canal	Canal alternativo	Ver
Groq	El audio de tus notas de voz	Transcribirlas a texto	Ver
OpenAI	El texto de la respuesta, cuando pides voz	Generar la respuesta hablada	Ver
Google	Tu correo y calendario, si los conectas	Ejecutar lo que pides en esas cuentas	Ver
Microsoft	Tu correo y calendario, si los conectas	Lo mismo	Ver
Apple y Google	El identificador de push y el texto del aviso, si usas la app	Entregar las notificaciones de la app	Apple · Google

Lo que tú le pides a Velia que envíe. Cuando apruebas un correo, un mensaje a alguien o una respuesta al colegio, quien lo recibe recibe lo que aprobaste. Desde ahí está en sus manos y bajo sus propias políticas, como cualquier mensaje que mandes tú.

Enlaces a otros sitios. Velia y este sitio pueden llevarte a páginas que no controlamos —un link de pago, una circular del colegio, el sitio de un proveedor—. Sus prácticas de privacidad son suyas; revisa sus políticas.

También podemos revelar datos si nos lo exige una autoridad competente mediante requerimiento válido, o si es necesario para defender derechos ante un fraude o un riesgo de seguridad. Si la empresa se fusiona o es adquirida, tus datos seguirían sujetos a esta política hasta que te notifiquemos un cambio.

8. Datos de niños y del colegio

En corto: Velia no es para niños. Trata datos de tus hijos porque tú se lo pides, y con cuidado especial.

El servicio está dirigido a personas mayores de 18 años. No recogemos datos de menores que nos contacten directamente ni les prestamos el servicio. Si nos enteramos de que un menor —en especial un niño de menos de 13 años— nos dio datos personales directamente, los borramos.

Ahora bien: si conectas el portal del colegio, Velia trata datos de tus hijos menores de edad —su nombre, su grado, sus notas, su asistencia y los mensajes que el colegio envía sobre ellos. Lo hace porque tú, como su representante legal, se lo pides y lo autorizas, y únicamente para darte a ti esa información.

Las leyes que protegen los datos de niños y adolescentes —entre ellas la Ley 1581 de 2012 en Colombia— exigen que su tratamiento responda a su interés superior y respete sus derechos fundamentales. Tratamos estos datos bajo ese estándar estés donde estés, no solo donde la ley lo exija. Por eso, con ellos:

• No se usan para nada distinto de informarte a ti.
• No se comparten con terceros fuera de los encargados de la sección 7.
• Se borran cuando desconectas el colegio o eliminas la cuenta, junto con todo lo demás.
• Tu hijo o su otro representante legal pueden ejercer sobre ellos los mismos derechos de la sección 13.

9. Cuánto tiempo los guardamos

En corto: el contenido caduca a los 90 días; lo que tú registras vive mientras tengas cuenta.

La limpieza corre sola, cada hora, y no depende de que alguien se acuerde.

Qué	Cuánto
Conversación con el asistente	90 días, y solo lo que ya está plegado en el resumen
Índice de correos (remitente y asunto)	90 días, salvo lo que marcaste para seguimiento
Respuestas de formularios	90 días
Mensajes entre usuarios de Velia	90 días
Borradores pendientes de tu aprobación	Vencen en 12–24 horas; se borran a los 30 días
Registros de operación y diagnóstico	Entre 30 y 180 días según el tipo
Lo que tú registras (gastos, recordatorios, hechos, contactos)	Mientras tengas cuenta, hasta que lo borres
Credenciales de las cuentas conectadas	Hasta que desconectes la cuenta o elimines la cuenta
Identificadores de push de la app	Hasta que cierres sesión en ese dispositivo o deje de responder

Los respaldos cifrados se conservan durante un tiempo limitado por rotación; un dato borrado desaparece de ellos cuando el respaldo que lo contenía rota.

10. Cómo los protegemos

En corto: esto es lo que hay, en concreto. Ningún sistema es infalible y no te vamos a decir que el nuestro sí.

Cifrado. Las credenciales de las cuentas que conectas —contraseñas del colegio, tokens de Google y Microsoft, contraseñas específicas de Apple— se guardan cifradas con AES-256-GCM, no en texto plano. La base de datos y los discos de los servidores están cifrados en reposo. El tráfico va por TLS de extremo a extremo, y la conexión a la base de datos verifica el certificado contra una autoridad fijada.

Respaldos. La copia que sale de la máquina se cifra con una llave distinta de la anterior, guardada aparte. El código se niega a subir un respaldo sin cifrar: si falta la llave, no sale nada.

Las credenciales no pasan por el chat. Nunca te vamos a pedir una contraseña por WhatsApp. Para conectar una cuenta te damos un enlace de un solo uso que caduca a las 24 horas y que muere tras cinco intentos fallidos.

Separación entre casas. La identidad de tu familia se deriva en el código de quién está autenticado, nunca de algo que el modelo pueda elegir. Una consulta que intente leer datos de otra familia se rechaza, y hay pruebas automáticas que fallan si esa reja se rompe.

Nada irreversible sin tu permiso. Enviar un correo, escribirle a un tercero o borrar algo exige tu confirmación en un mensaje nuevo. Una confirmación que el propio modelo se dé a sí mismo no cuenta: el código lo impide.

El contenido de terceros es dato, no orden. Un correo, un mensaje del colegio o un documento que alguien te envía pueden contener instrucciones escritas para engañar al asistente. Todo lo que entra de fuera va marcado como contenido externo y el asistente tiene prohibido obedecerlo. Los procesos que corren sin que tú estés presente solo tienen herramientas de lectura.

Sin afirmaciones falsas. El asistente no puede decirte que hizo algo que no hizo. Está verificado en el código, no confiado a su criterio.

Registros sin datos personales. Nuestros registros ocultan teléfonos, correos y credenciales por defecto.

Lo que no tenemos. No tenemos certificación SOC 2 ni ISO 27001. Somos un equipo pequeño y preferimos decírtelo a insinuar lo contrario.

11. Los riesgos de un asistente que actúa por ti

En corto: un asistente que puede enviar, agendar y borrar también puede equivocarse. Aquí va dónde, qué hacemos al respecto y qué te pedimos a ti.

Velia no solo responde: actúa en tus cuentas. Eso trae riesgos que un buscador no tiene, y preferimos nombrarlos a esconderlos:

• Acciones que no querías. Puede entender mal una instrucción y proponer lo que no es —un correo a la persona equivocada, un evento en otro día—. Por eso todo lo irreversible o dirigido a otra persona espera tu sí en un mensaje nuevo, y lo que sale es exactamente el borrador que viste.
• Respuestas equivocadas o incompletas. Un resumen puede dejar algo por fuera, una transcripción puede oír mal, una fecha se puede leer mal. Lo que importe, confírmalo en la fuente.
• Manipulación desde fuera. Alguien puede escribir un correo o un documento pensado para engañar a un asistente. Velia trata todo lo que llega de fuera como datos, nunca como órdenes, y los procesos que corren sin ti presente no pueden escribir nada.
• La conversación es la llave. Quien tenga acceso a tu WhatsApp, a tu Telegram o a la app en tu celular puede darle instrucciones a Velia como si fuera tú. Cuida ese acceso como cuidas tu correo.

Las protecciones están en la sección 10 y en los términos. Ninguna te quita la necesidad de leer lo que Velia propone antes de aprobarlo.

12. Dónde se procesan

En corto: en Estados Unidos.

Nuestros servidores y nuestra base de datos están en Estados Unidos (Amazon Web Services). Los proveedores de la sección 7 también operan allí o en otras jurisdicciones.

Si estás fuera de Estados Unidos, usar Velia implica una transferencia internacional de tus datos hacia allí. La autorizas al aceptar esta política, y nos obligamos a exigir a nuestros encargados un nivel de protección equivalente al que esta política promete.

Donde tu ley exige un fundamento específico para esa transferencia, aplicamos el que corresponda: el artículo 26 de la Ley 1581 de 2012 en Colombia, o las cláusulas contractuales tipo para el Espacio Económico Europeo y el Reino Unido.

13. Tus derechos

En corto: conocer, actualizar, rectificar y suprimir — vivas donde vivas.

Para todos, en cualquier país. Estos derechos te los damos a todos los usuarios, los exija o no tu ley local:

• Conocer qué datos tuyos tratamos y cómo.
• Actualizarlos y rectificarlos cuando estén incompletos o equivocados.
• Suprimirlos, salvo que exista un deber legal de conservarlos.
• Llevártelos en un formato legible por máquina.
• Solicitar prueba de la autorización que nos diste.
• Revocar esa autorización y cerrar tu cuenta.

Muchos los puedes ejercer escribiéndole directamente al asistente: pedirle que olvide un hecho, que borre un gasto o que desconecte una cuenta. Para el resto, escribe a info@luma-agency.com. Respondemos cualquier solicitud en un máximo de quince días hábiles, estés donde estés.

Si estás en Colombia. Aplica la Ley 1581 de 2012: puedes presentar quejas ante la Superintendencia de Industria y Comercio, y los plazos legales son de diez días hábiles para consultas y quince para reclamos, prorrogables una vez.

Si estás en la Unión Europea o el Reino Unido. Tienes además derecho a oponerte al tratamiento, a limitarlo, a no ser objeto de decisiones automatizadas con efectos jurídicos, y a reclamar ante tu autoridad de protección de datos.

Si estás en Estados Unidos. Algunos estados —California, Virginia, Colorado, Connecticut, Texas y otros— les dan a sus residentes derechos de privacidad específicos. Los respetamos para todo residente de Estados Unidos, viva en el estado que viva:

• No vendemos información personal ni la compartimos para publicidad comportamental entre contextos, en el sentido que esas leyes dan a esos términos. No lo hemos hecho en los últimos doce meses.
• No usamos tus datos para publicidad dirigida ni para perfilarte con efectos jurídicos o igualmente significativos.
• Usamos la información sensible solo para prestarte el servicio que pediste.
• Puedes conocer, acceder, corregir, borrar y llevarte tus datos, y no recibirás un trato peor por ejercer ninguno de estos derechos.
• Puedes actuar a través de un agente autorizado; verificaremos su autorización y tu identidad.
• Si negamos una solicitud, puedes apelar respondiendo a nuestra respuesta, y te contestaremos en el plazo que fije la ley de tu estado.

Si estás en otro país. Si tu ley local te reconoce derechos adicionales a los de arriba, escríbenos y los atendemos igual. No te vamos a pedir que demuestres que tu país nos obliga.

14. Cómo borrar todo

En corto: se borra de verdad, en todas las tablas, y el identificador no se recicla.

Puedes pedir la eliminación de tu cuenta escribiéndole al asistente o a info@luma-agency.com.

Cuando se elimina una cuenta, el borrado recorre todas las tablas que guarden algo tuyo o de tu casa —conversación, hechos, gastos, recordatorios, credenciales, planes— y no una lista escrita a mano que alguien pueda olvidar actualizar. Además revocamos los tokens de Google que tengamos y dejamos marcado el identificador para que una cuenta futura no pueda heredar nada tuyo.

Lo único que sobrevive es lo que la ley nos obligue a conservar, y los respaldos cifrados hasta que roten.

15. El sitio web, la app y las cookies

En corto: ni este sitio ni la app te rastrean.

Hoy hivelia.ai es una página de presentación. No usa cookies de analítica ni de publicidad, y no carga scripts de terceros. Si en el futuro añadimos analítica, será con un aviso de consentimiento previo y no se activará hasta que lo aceptes. La app de Velia tampoco lleva SDK de analítica ni de publicidad.

Do Not Track y Global Privacy Control. Como no te rastreamos entre sitios ni vendemos tus datos, hoy esas señales no tienen nada que apagar. Si eso cambiara algún día, trataremos una señal de Global Privacy Control como una solicitud válida de exclusión.

Si nos escribes por el formulario de contacto, tratamos tu nombre, tu correo y tu mensaje para responderte.

16. Cambios a esta política

Si cambiamos algo material —una finalidad nueva, un encargado nuevo, un plazo distinto— lo anunciaremos por el mismo canal por el que usas el asistente antes de que aplique, y actualizaremos la fecha del encabezado. Los cambios menores se publican aquí.

17. Contacto

Para cualquier asunto de datos personales, incluido el ejercicio de tus derechos: info@luma-agency.com.

Hi Luma LLC · Registered Agents Inc., 30 N Gould St Ste R, Sheridan, WY 82801