Privacidad, condiciones del servicio y anexo de encargo del tratamiento. Para quien escribe por WhatsApp, para la empresa que contrata y para quien revise cómo se tratan los datos.
Qué es este documento y a quién habla
Grupo Corazones Cruzados ofrece un servicio que permite a una empresa conectar su propio número de WhatsApp Business a un agente de inteligencia artificial que atiende sus conversaciones. Este documento explica qué ocurre con los datos personales de ese servicio y bajo qué condiciones se presta. Tiene tres partes, dirigidas a públicos distintos:
- Parte A — Privacidad. Para la persona que escribe por WhatsApp a una empresa que usa nuestro servicio.
- Parte B — Condiciones del servicio. Para la empresa que contrata el servicio.
- Parte C — Anexo de encargo del tratamiento. Las obligaciones que asumimos por escrito frente a esa empresa.
Este documento no reemplaza a la política general de Grupo Corazones Cruzados, que regula el sitio y los datos de las personas del propio proyecto. Aquella cubre un tratamiento distinto y con un rol distinto; esta prevalece para todo lo relativo al servicio de WhatsApp.
Quiénes somos
Prestador del servicio: Luis Fernando González Muyulema, que opera bajo el nombre comercial Grupo Corazones Cruzados.
RUC: 0930095922001.
Dirección: Barrio 7 Lagos, calle Tabacundo #12 e intersección Guasmo Central, parroquia Ximena, Guayaquil, Ecuador.
Contacto y protección de datos: lfgonzalezm0@grupocc.org.
Parte A · Política de privacidad del servicio
A.1 Quién decide y quién ejecuta
Esta es la distinción más importante de todo el documento:
| Quién | Papel | Qué significa |
|---|---|---|
| La empresa que conecta su número | Responsable del tratamiento | Es dueña de la relación con sus clientes. Decide para qué se usan los datos, qué contesta el agente, cuánto tiempo se conserva la conversación y cuándo se borra. Es a quien el titular reclama sus derechos. |
| Grupo Corazones Cruzados | Encargado del tratamiento | Trata los datos únicamente por cuenta de esa empresa y siguiendo sus instrucciones. No decide finalidades propias ni usa los datos para nada que no sea prestar el servicio. |
Si escribiste por WhatsApp a una empresa y quieres saber qué hacen con tus datos, la política que te aplica es la de esa empresa, no esta. Aquí solo explicamos la parte que ejecutamos nosotros por encargo suyo. Aun así, si nos escribes, trasladamos tu solicitud a la empresa y te lo confirmamos (sección A.10).
A.2 Qué datos se tratan
Solo los que llegan por la propia conversación de WhatsApp o los que Meta envía junto a ella. No pedimos ni recogemos nada más:
| Categoría | Detalle |
|---|---|
| Identificación del contacto | El número de teléfono desde el que se escribe y el nombre que la persona tiene puesto en su perfil de WhatsApp. |
| Contenido de la conversación | Los mensajes intercambiados en ambos sentidos y su tipo (texto, imagen, audio, documento u otros), con la fecha y hora de cada uno. |
| Ubicación | Solo si la persona la comparte voluntariamente por WhatsApp, porque la empresa la necesita para atenderle (por ejemplo, una dirección de recogida). Nunca se obtiene de otra forma. |
| Identificadores técnicos | Los identificadores que asigna Meta al mensaje, al número y a la cuenta de WhatsApp Business. Sirven para no procesar dos veces el mismo mensaje. |
| Registro de consumo | Cuánto costó cada respuesta en unidades de procesamiento del modelo. No incluye el contenido de los mensajes. |
No tratamos datos sensibles a propósito. No los pedimos ni el agente los solicita. Si una persona los escribe por su cuenta en un mensaje, quedan dentro del contenido de la conversación y se les aplican las mismas medidas de seguridad y el mismo plazo de conservación.
A.3 Para qué se usan — y para qué no
La finalidad es una sola: atender la conversación por cuenta de la empresa, generando respuestas, decidiendo cuándo no responder y pasando el chat a una persona del equipo cuando hace falta.
De forma expresa, Grupo Corazones Cruzados se compromete a que los datos:
- No se usan para entrenar modelos de inteligencia artificial, ni nuestros ni de terceros.
- No se venden, alquilan ni ceden a nadie, ni se usan con fines publicitarios o de perfilado comercial.
- No se cruzan entre empresas clientes distintas. Cada número conectado es un canal aislado: una conversación pertenece a un canal y el sistema no permite leerla desde otro.
- No se usan para ninguna finalidad propia de Grupo Corazones Cruzados.
A.4 Base de licitud
La determina la empresa responsable, no nosotros. Con carácter general el tratamiento se ampara en la relación con el cliente y en el hecho de que es la propia persona quien inicia la conversación escribiendo al número de la empresa. Corresponde a la empresa informar de ello y recabar el consentimiento cuando la ley lo exija.
A.5 Respuestas automatizadas e intervención humana
Las respuestas las redacta un modelo de inteligencia artificial, a partir de la información que la empresa ha cargado sobre su negocio. Conviene saberlo:
- El agente no toma decisiones con efectos jurídicos sobre las personas. Informa y atiende; no aprueba, deniega ni evalúa a nadie.
- Se puede pedir hablar con una persona en cualquier momento. El agente está instruido para pasar la conversación al equipo humano en cuanto se le solicita, y también lo hace por su cuenta cuando hay un reclamo o cuando no dispone del dato que se le pide.
- Cuando eso ocurre, el agente se apaga en ese chat y contesta una persona.
A.6 Con quién se comparten (subencargados)
Para prestar el servicio intervienen los siguientes proveedores, todos ellos tratando los datos por nuestra cuenta y bajo obligaciones de confidencialidad y seguridad. Algunos están fuera del Ecuador, por lo que existe transferencia internacional amparada en las garantías que prevé la LOPDP:
| Proveedor | Para qué | Qué recibe |
|---|---|---|
| Meta Platforms (WhatsApp Business Platform) | Es el canal por el que viajan los mensajes. | Los mensajes y el número, por la propia naturaleza de WhatsApp. |
| Anthropic (modelo de IA) | Redacta la respuesta. | El texto de la conversación reciente y la información del negocio. La empresa usa su propia clave de acceso, de modo que la relación con el proveedor de IA es suya. |
| Railway (alojamiento e infraestructura) | Ejecuta la aplicación y aloja la base de datos. | Los datos almacenados del servicio. |
Si en el futuro incorporamos o sustituimos un subencargado, se avisa a la empresa responsable antes de hacerlo, para que pueda oponerse (Parte C).
A.7 Seguridad
Medidas técnicas efectivamente aplicadas hoy:
- Conexiones cifradas en todo el trayecto.
- Verificación criptográfica de cada mensaje entrante. Todo aviso que llega desde Meta se comprueba con una firma; el que no la supera se rechaza y queda registrado el intento.
- Secretos cifrados en reposo con AES-256-GCM. Además, cada secreto queda atado criptográficamente al canal y al campo al que pertenece: copiado a otro sitio de la base de datos, no se puede descifrar.
- Las claves no se pueden volver a leer una vez guardadas, ni siquiera desde el panel: solo se muestran los últimos caracteres para reconocerlas.
- Control de acceso por rol y aislamiento por canal: quien atiende un número no ve las conversaciones de otro.
A.8 Cuánto tiempo se conservan
| Qué | Plazo |
|---|---|
| Conversaciones y mensajes | Mientras el servicio esté activo, porque son el historial de atención de la empresa. Se borran cuando la empresa lo pide, y de forma automática y completa al desconectar el número del servicio. |
| Copia técnica de los avisos recibidos de Meta (traza de diagnóstico) | 30 días, y después se elimina automáticamente. Es una copia duplicada que solo sirve para diagnosticar fallos. |
| Registro de consumo del modelo | Mientras dure el servicio. No contiene el contenido de los mensajes. |
A.9 Vulneraciones de seguridad
Si se produce una vulneración que afecte a datos tratados por encargo, notificamos a la empresa responsable sin dilación indebida en cuanto tengamos conocimiento, describiendo lo ocurrido, los datos afectados y las medidas adoptadas, y colaborando en lo que necesite. La notificación a la Superintendencia de Protección de Datos Personales (SPDP) y, en su caso, a las personas afectadas corresponde a la empresa responsable, por serlo.
A.10 Derechos de las personas
Toda persona tiene derecho de acceso, rectificación y actualización, eliminación, oposición, anulación, portabilidad, suspensión y limitación del tratamiento, y a no ser objeto de decisiones automatizadas.
Estos derechos se ejercen ante la empresa con la que se está conversando, que es la responsable. Si nos escribes a lfgonzalezm0@grupocc.org, trasladamos tu solicitud a esa empresa y te confirmamos que lo hemos hecho; nosotros no podemos resolverla por nuestra cuenta, porque la decisión no nos corresponde. Si consideras vulnerados tus derechos, puedes reclamar ante la SPDP.
A.11 Solicitudes de autoridades
Cuando una autoridad nos requiera datos personales tratados por encargo de una empresa cliente, aplicamos estos compromisos:
- Exigimos un requerimiento válido. Solo atendemos solicitudes formuladas por autoridad competente, por escrito y con fundamento legal. No entregamos datos por una petición informal.
- Avisamos antes a la empresa responsable, para que pueda ejercer sus derechos, salvo que una norma o una orden judicial nos prohíba comunicarlo. Si nos lo prohíben, avisamos en cuanto la prohibición decaiga.
- Impugnamos lo desproporcionado. Si el requerimiento es excesivo, genérico o carece de base legal, lo objetamos por los cauces disponibles.
- Entregamos el mínimo. Solo los datos estrictamente comprendidos en el requerimiento; nunca acceso general ni volcados completos.
- Dejamos constancia de cada solicitud recibida y de la respuesta dada.
A.12 Cómo eliminar tus datos
Si eres una persona que escribió por WhatsApp a una empresa que usa este servicio:
- Pídeselo directamente a esa empresa, por el mismo chat o por su canal de contacto. Es la responsable y puede resolverlo de inmediato.
- Si no sabes cómo llegar a ella, escríbenos a lfgonzalezm0@grupocc.org con el asunto «Eliminación de datos — WhatsApp», indicando el número de teléfono desde el que escribiste y el nombre de la empresa. Nos sirve para localizar la conversación; no pedimos ningún otro dato.
- Trasladamos la solicitud a la empresa responsable y te confirmamos por correo que lo hemos hecho, dentro de los quince (15) días siguientes.
- Una vez la empresa lo autoriza, se eliminan la conversación completa y el contacto asociado. La eliminación es definitiva y no reversible.
Si eres la empresa cliente: puedes pedir en cualquier momento la eliminación de una conversación concreta o de todo el historial escribiendo a la misma dirección. Además, desconectar el número del servicio borra automáticamente todas las conversaciones, contactos y mensajes asociados a ese canal.
Parte B · Condiciones del servicio para empresas clientes
B.1 Objeto
Grupo Corazones Cruzados presta a la empresa cliente un servicio de atención automatizada sobre su propio número de WhatsApp Business, que incluye la conexión del número, la configuración del agente con la información del negocio, la generación de respuestas y una bandeja de conversaciones.
B.2 Qué pone cada parte
- La empresa pone su número de WhatsApp Business y su portafolio de negocio de Meta. El número sigue siendo suyo en todo momento.
- La empresa pone su propia clave de acceso al proveedor de inteligencia artificial, y asume su coste. Nosotros la guardamos cifrada y la usamos exclusivamente para atender su canal.
- La empresa aporta la información del negocio con la que responde el agente, y es responsable de que sea veraz y esté al día.
- Grupo Corazones Cruzados pone la plataforma, la integración con Meta como proveedor de tecnología, y la operación del servicio.
B.3 Coexistencia: el número no se pierde
El servicio se conecta en modo coexistencia: la empresa conserva la aplicación WhatsApp Business en el teléfono y el acceso por WhatsApp Web, y su equipo puede seguir atendiendo a mano.
Aviso importante durante la conexión. El asistente de Meta ofrece dos caminos: conectar una cuenta existente (coexistencia) o dar de alta un número nuevo. El segundo retira el número del teléfono y el equipo pierde WhatsApp Web de inmediato. Es irreversible y hay que evitarlo. Por eso la conexión se hace acompañada.
B.4 Quién atiende
En la versión actual del servicio, la bandeja de conversaciones la opera Grupo Corazones Cruzados por cuenta de la empresa, siguiendo sus instrucciones. La empresa recibe la información que solicite sobre la atención prestada. Cuando se habilite el acceso directo de la empresa a su propia bandeja, se le comunicará y estas condiciones se actualizarán.
B.5 Uso aceptable
La empresa se obliga a:
- Cumplir las políticas de WhatsApp Business y las condiciones de Meta que resulten aplicables a su número.
- No usar el servicio para mensajería masiva no solicitada, ni para contenidos ilícitos, engañosos o prohibidos por dichas políticas.
- Informar a sus clientes del tratamiento de sus datos y recabar el consentimiento cuando corresponda, en su condición de responsable.
- Mantener la confidencialidad de las credenciales de acceso al panel.
El incumplimiento de estas obligaciones puede acarrear la suspensión del número por parte de Meta, ajena a nuestro control, y faculta a Grupo Corazones Cruzados para suspender el servicio.
B.6 Límites del servicio
- El agente puede equivocarse. Genera texto a partir de la información cargada y, como todo sistema de este tipo, puede producir respuestas inexactas. La empresa debe revisar la atención y mantener la supervisión humana. No se garantiza la exactitud del contenido generado.
- El agente no sustituye a una persona en asuntos sensibles: reclamos, cobros o compromisos contractuales deben pasar a una persona del equipo.
- El servicio depende de la disponibilidad de la plataforma de Meta y del proveedor de IA. No se ofrece garantía de disponibilidad ininterrumpida.
- El agente se enciende de forma manual y nunca por defecto, para que nadie empiece a responder sin haberlo probado antes.
B.7 Terminación
Cualquiera de las partes puede terminar el servicio. Al desconectar el número: el agente deja de responder de inmediato, la empresa conserva íntegro su número y su WhatsApp Business, y los datos de las conversaciones se eliminan conforme a la sección A.8, salvo que la empresa pida antes una copia.
Parte C · Anexo de encargo del tratamiento
Este anexo forma parte de las condiciones del servicio y regula el tratamiento de datos personales que Grupo Corazones Cruzados realiza por cuenta de la empresa cliente, conforme a la Ley Orgánica de Protección de Datos Personales del Ecuador y su Reglamento General.
C.1 Alcance del encargo
| Objeto | Atención automatizada y asistida de las conversaciones de WhatsApp del responsable. |
| Duración | Mientras el número esté conectado al servicio. |
| Naturaleza y finalidad | Recepción, almacenamiento, consulta, generación de respuestas y supresión, con la única finalidad de atender esas conversaciones. |
| Tipo de datos | Los descritos en la sección A.2. |
| Categorías de titulares | Las personas que escriben al número de WhatsApp del responsable. |
C.2 Obligaciones de Grupo Corazones Cruzados como encargado
- Actuar solo bajo instrucciones del responsable, y advertirle si a nuestro juicio una instrucción infringe la normativa.
- No usar los datos para finalidad propia alguna, ni para entrenar modelos, ni cederlos a terceros distintos de los subencargados de la sección A.6.
- Confidencialidad, extensiva a toda persona autorizada para tratar los datos y subsistente tras el fin del encargo.
- Aplicar las medidas de seguridad de la sección A.7 y mantenerlas actualizadas.
- Subencargados: los de la sección A.6 quedan autorizados al aceptar estas condiciones. Cualquier alta o sustitución posterior se comunica previamente al responsable, que puede oponerse; si se opone y no hay alternativa, podrá terminar el servicio sin penalización.
- Asistir al responsable en la atención de los derechos de los titulares, en las evaluaciones de impacto y en las consultas a la autoridad, en la medida de la información de que dispongamos.
- Notificar las vulneraciones conforme a la sección A.9.
- Suprimir o devolver los datos al terminar el encargo, a elección del responsable, salvo obligación legal de conservación.
- Poner a disposición del responsable la información necesaria para acreditar el cumplimiento de estas obligaciones.
C.3 Obligaciones del responsable
- Determinar la finalidad y la base de licitud, e informar a los titulares del tratamiento y de la intervención de un encargado.
- Impartir instrucciones lícitas y documentadas, y mantener al día la información del negocio con la que responde el agente.
- Resolver el ejercicio de derechos de los titulares y las notificaciones a la autoridad de control.
C.4 Aceptación
Este anexo se entiende aceptado por la empresa cliente al conectar su número al servicio. A petición del responsable, Grupo Corazones Cruzados suscribirá además un documento contractual separado con este mismo contenido.
Modificaciones
Podemos actualizar este documento para reflejar cambios legales o del servicio. Publicaremos siempre la versión vigente en esta página con su fecha. Los cambios que afecten al encargo del tratamiento se comunican previamente a las empresas clientes.