Aviso de Privacidad Integral

1. Identidad y domicilio del Responsable

BotWhatsIA (en adelante "el Responsable" o "la Plataforma"), con domicilio en Ciudad de México, México, es el responsable del tratamiento de los datos personales que usted proporcione a través del sitio https://agente-para-whatsapp.vercel.app, sus subdominios, aplicaciones, APIs, dashboard y canales de soporte asociados.

Contacto de privacidad: privacidad@botwhatsia.com

2. Datos personales que recopilamos

El Responsable puede recabar, directa o indirectamente, las siguientes categorías de datos personales:

• Identificación y contacto: nombre completo o nombre del negocio, correo electrónico, número de teléfono de contacto o notificación.
• Credenciales de acceso: contraseña (almacenada con hash bcrypt, nunca en texto claro), proveedor de autenticación (email o Google OAuth).
• Datos del negocio: giro comercial, descripción, servicios, ciudad, sitio web, instrucciones del agente, flujos de conversación y catálogo de productos.
• Datos de integración: tokens de acceso a Meta/WhatsApp Cloud API, tokens de bot de Telegram, claves de API de OpenAI (propias del cliente), tokens de Mercado Pago del cliente. Estos datos se almacenan cifrados en reposo en Supabase.
• Datos de uso y métricas: conversaciones procesadas por el agente (incluyendo mensajes de usuarios finales), estadísticas de consumo de IA, KPIs comerciales.
• Datos técnicos: dirección IP de registro, timestamp de aceptación de términos, versión de los términos aceptados, cookies de sesión, User-Agent, identificadores de solicitud (Request-ID).
• Datos de pago (referencias): identificadores de transacción de Stripe o Mercado Pago. No almacenamos números de tarjeta ni datos bancarios directos; estos son procesados exclusivamente por las pasarelas de pago.

Datos personales sensibles: el Responsable no recaba datos considerados sensibles conforme a la LFPDPPP (salud, vida sexual, origen racial, creencias religiosas, opiniones políticas, datos genéticos o biométricos). Si el cliente configura su agente para procesar datos sensibles de sus usuarios finales, será exclusiva responsabilidad del cliente cumplir con las obligaciones legales aplicables a ese tratamiento.

3. Finalidades del tratamiento

Finalidades primarias (necesarias para la relación contractual):

• Crear, autenticar y administrar la cuenta del usuario.
• Operar el agente de IA en los canales configurados (Web, Telegram, WhatsApp).
• Procesar pagos de suscripciones, recargas y renovaciones.
• Enviar notificaciones operativas del servicio (alertas de membresía, OTP, checklist post-pago).
• Brindar soporte técnico y atención al cliente.
• Registrar la aceptación de los Términos y Condiciones y este Aviso (cumplimiento legal y evidencia contractual).
• Detectar y prevenir fraude, abuso y actividades ilícitas en la Plataforma.

Finalidades secundarias (usted puede oponerse):

• Enviar comunicaciones de marketing, actualizaciones de producto y casos de uso relevantes para su negocio.
• Realizar análisis agregados y anónimos de uso para mejorar la Plataforma.

Si usted no desea que sus datos se utilicen para finalidades secundarias, puede manifestarlo en cualquier momento escribiendo a privacidad@botwhatsia.com. La negativa no afectará el servicio contratado.

4. Base jurídica del tratamiento

• Consentimiento: otorgado al aceptar este Aviso y los Términos y Condiciones durante el registro.
• Ejecución del contrato: el tratamiento es necesario para prestar el servicio SaaS contratado (artículos 7 y 8, LFPDPPP).
• Cumplimiento de obligación legal: conservación de evidencia de consentimiento, registros contables y fiscales conforme a la legislación mexicana aplicable.
• Interés legítimo: seguridad de la Plataforma, prevención de fraude y mejora técnica del servicio.

5. Transferencias de datos y encargados del tratamiento

Para prestar el servicio, el Responsable comparte datos con los siguientes subprocesadores. Todas las transferencias se limitan a los datos estrictamente necesarios para la función indicada:

Las transferencias internacionales hacia EUA y otros países se realizan con base en cláusulas contractuales estándar o marcos de privacidad equivalentes. No vendemos, arrendamos ni cedemos sus datos personales a terceros con fines comerciales propios.

6. Conservación de datos

Los datos se conservan durante la vigencia de la relación contractual. Al dar de baja la cuenta, los datos operativos se eliminan o anonimizan en un plazo máximo de 90 días naturales, salvo que exista obligación legal de conservarlos por un período mayor (por ejemplo, datos contables y fiscales por el plazo exigido por el Servicio de Administración Tributaria). Los registros de auditoría de aceptación de términos se conservan por al menos 5 años como evidencia legal.

7. Derechos ARCO y mecanismo para ejercerlos

Conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su Reglamento, usted tiene derecho a:

• Acceso: conocer qué datos personales tenemos sobre usted y cómo los tratamos.
• Rectificación: solicitar la corrección de datos inexactos o incompletos.
• Cancelación: pedir la supresión de sus datos cuando ya no sean necesarios o al revocar su consentimiento.
• Oposición: oponerse al tratamiento de sus datos para finalidades secundarias o cuando exista causa legítima.

Procedimiento para ejercer derechos ARCO:

1. Envíe un correo a privacidad@botwhatsia.com con el asunto "Solicitud ARCO".
2. Incluya: nombre completo o nombre del negocio, correo registrado en la Plataforma, tipo de derecho que desea ejercer, descripción clara de lo solicitado y, en caso de rectificación, los datos correctos con la documentación que los acredite.
3. El Responsable responderá en un plazo máximo de 20 días hábiles contados a partir de la recepción de la solicitud, conforme al artículo 32 de la LFPDPPP. Si procede, la acción se ejecutará dentro de los 15 días hábiles siguientes.

Si considera que su solicitud no fue atendida correctamente, puede acudir ante el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) en www.inai.org.mx.

8. Seguridad de los datos

El Responsable aplica medidas técnicas, administrativas y físicas razonables, incluyendo:

• Transmisión de datos cifrada con TLS/HTTPS en todas las rutas.
• Almacenamiento de contraseñas con hash bcrypt (factor de costo ≥ 10).
• Autenticación por JWT en cookie HttpOnly, no accesible desde JavaScript.
• Credenciales de integración (tokens de Meta, OpenAI, MP) cifradas en reposo en Supabase.
• Control de acceso basado en roles (admin / client) verificado en cada endpoint.
• Registro de auditoría de IP y timestamp en la aceptación de términos.

Ningún sistema es 100% seguro. En caso de una brecha de seguridad que pueda afectar materialmente sus derechos, el Responsable notificará conforme a lo establecido en la LFPDPPP y su Reglamento.

9. Tratamiento de datos por inteligencia artificial y alucinaciones

La Plataforma utiliza modelos de lenguaje de gran escala (LLM), concretamente la API de OpenAI (GPT-4o y modelos relacionados), para generar respuestas automáticas en nombre del negocio del cliente.

• Alucinaciones: los LLM pueden generar respuestas incorrectas, imprecisas o no autorizadas ("alucinaciones"). El Responsable no garantiza la exactitud, completitud o veracidad de las respuestas generadas por el agente. El cliente es responsable de supervisar las conversaciones de su bot y de no delegar en el agente decisiones que requieran certeza absoluta (cotizaciones finales vinculantes, diagnósticos médicos, asesoría legal, etc.).
• Datos de entrenamiento: los mensajes procesados por el agente no se utilizan para entrenar modelos públicos de OpenAI ni de BotWhatsIA. El procesamiento se realiza bajo los términos de uso de la API de OpenAI (modo API, no playground), que no usa datos de API para entrenamiento por defecto.
• Propiedad de los datos: toda la información comercial, bases de conocimiento, flujos, catálogos y contenido ingresado por el cliente pertenece exclusivamente al cliente. BotWhatsIA no adquiere derechos sobre dicho contenido.

10. Datos tratados en el contexto de WhatsApp y Meta

El canal de WhatsApp opera mediante la WhatsApp Business Platform (Cloud API) de Meta Platforms, Inc. Al usar este canal, los datos de las conversaciones pasan por la infraestructura de Meta conforme a su Política de WhatsApp Business y los Términos de Servicio de WhatsApp.

El cliente es responsable de obtener el consentimiento de sus usuarios finales para recibir mensajes automatizados por WhatsApp, conforme a la normativa aplicable y a las políticas de Meta. BotWhatsIA no se hace responsable de bloqueos, suspensiones o restricciones de números telefónicos por parte de Meta derivados del uso indebido del canal por parte del cliente.

11. Uso de cookies y tecnologías de seguimiento

La Plataforma utiliza las siguientes tecnologías de almacenamiento en el dispositivo del usuario:

• Cookie de sesión HttpOnly (estrictamente necesaria): contiene el token JWT de autenticación. No es accesible desde JavaScript y se elimina al cerrar sesión. No requiere consentimiento.
• localStorage (preferencias de UI): almacena preferencias de interfaz no sensibles (estado de banners, etc.). No contiene datos personales identificables.
• Google Analytics 4 (analítica, opcional): se activa únicamente si la variable de entorno NEXT_PUBLIC_GA4_ID está configurada. Usa anonimización de IP (anonymize_ip: true). Puede desactivarse configurando el navegador o usando la extensión de inhabilitación de GA.
• Meta Pixel (marketing, opcional): se activa únicamente si NEXT_PUBLIC_META_PIXEL_ID está configurado. Sujeto a la Política de Privacidad de Meta.

Puede consultar nuestra Política de Cookies para más detalle. Puede gestionar o eliminar cookies desde la configuración de su navegador.

12. Cambios al aviso de privacidad

Este aviso puede actualizarse cuando cambien la operación del servicio, los subprocesadores o las obligaciones legales aplicables. Los cambios materiales se notificarán al correo registrado con al menos 15 días naturales de anticipación. La versión vigente siempre estará disponible en /privacidad.

13. Legislación aplicable

Este aviso se rige por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), su Reglamento, los Lineamientos del Aviso de Privacidad del INAI, y demás normativa aplicable en los Estados Unidos Mexicanos.