seguridad_rgpd
Cómo protegemos tus datos, dónde se procesan y qué documentación legal te entregamos. Transparencia total, sin letra pequeña.
Boty Leads está diseñado para cumplir el RGPD: datos alojados en la UE, documentación legal lista para tu cumplimiento y un modo de procesamiento soberano en servidores europeos disponible en los planes superiores. El cumplimiento del RGPD es una responsabilidad compartida — esta página explica exactamente qué hacemos nosotros y qué herramientas te damos.
Ponemos a tu disposición un Acuerdo de Encargo de Tratamiento (DPA) en español, alineado con el Art. 28 del RGPD, con anexo de medidas técnicas y organizativas (TOMs) y la lista de subencargados.
Documento en preparación legal. El borrador descargable es una plantilla informativa; la versión firmada definitiva es un entregable legal que se publicará antes del lanzamiento.
Descargar borrador del DPA (PDF)// como_cumplimos
El asistente se identifica como IA en el primer mensaje ("Soy el asistente virtual de {negocio}") e incluye un comando de paso a un humano. Es un bot de propósito específico para cualificación de leads, no un asistente de propósito general.
Capturamos el consentimiento con prueba (marca de tiempo, fuente y texto mostrado) y registramos cada opt-in en un libro de eventos inmutable. Honramos la baja entrante por palabra clave (BAJA/STOP): al recibirla, retiramos el consentimiento de marketing y suprimimos los envíos de marketing posteriores a ese contacto. El marketing saliente requiere consentimiento expreso previo (LSSI Art. 21). La verificación contra la Lista Robinson es un control operativo previo a la prospección, no una integración automatizada con el registro.
En el primer contacto se muestra un aviso de privacidad por capas que identifica a la pyme como responsable del tratamiento y a Boty Leads como encargado.
Las respuestas de IA pasan por una cola de aprobación por defecto: una persona ve el razonamiento, puede editar o anular, y cada anulación queda registrada. Esta supervisión humana es la mitigación legal frente al Art. 22 del RGPD.
En los planes Growth y Agency, la cualificación de leads se procesa en APIs soberanas alojadas en la UE (Scaleway en París, OVHcloud en Gravelines), bajo contratos de cero retención y sin entrenamiento con tus datos. Para clientes con requisitos estrictos de soberanía ofrecemos, a petición y configurado por el operador, un procesamiento restringido a la UE: si no hay capacidad soberana disponible, la solicitud se encola o pasa a puntuación basada en reglas en lugar de enrutarse fuera de la UE. Cualquier procesamiento fuera de la UE (otros planes o tareas) se declara en la lista de subencargados.
Activamos el Cloud API Local Storage de Meta (Alemania) por número, que cubre los datos en reposo. El transporte de mensajes de WhatsApp no está garantizado al 100% dentro de la UE por Meta; lo reflejamos honestamente en lugar de afirmar residencia total.
Mantenemos un registro inmutable por conversación con modelo, versión de prompt, confianza, razonamiento, motivo de escalado y aprobador humano nombrado. Registro de auditoría y supervisión humana alineados con las obligaciones de transparencia del Reglamento de IA (Art. 50). La cualificación de leads es de riesgo limitado, no de alto riesgo.
La retención es configurable por tenant. La supresión y la exportación de datos se ejercen a petición a través de tu operador o de soporte; al ejecutarlas, el borrado se propaga en cascada a los subencargados para que el derecho de supresión y de portabilidad se cumpla de extremo a extremo.
Exportación completa y relacional (leads, conversaciones, scores y registros de decisiones de IA) en JSON/CSV documentado, disponible a petición a través de tu operador o de soporte, en todos los planes incluido el gratuito, sin ventana temporal ni caducidad. Offboarding de BSP con SLA: 2FA desactivado y confirmado en 24h.
Tus conversaciones de WhatsApp nunca se usan para entrenar, reentrenar ni mejorar ningún modelo. Es una prohibición técnica y contractual, y también una obligación de Meta sobre los WhatsApp Business Solution Data.
El respaldo opcional fuera de la UE constituye una transferencia internacional: se ampara en marcos de adecuación (DPF) o en cláusulas contractuales tipo (SCC) con evaluación de impacto (TIA), pseudonimizando antes del respaldo. Aparece en la lista de subencargados y está desactivado por defecto.
Disponemos de un proceso de notificación de brechas y de un anexo de medidas técnicas y organizativas (TOMs). Mantenemos un RoPA (registro de actividades de tratamiento) y una plantilla de DPIA para el cliente.
La base de datos y el alojamiento de la aplicación están en la UE (Supabase). El webhook de WhatsApp se ejecuta hoy en edge (POPs globales); la fijación del cómputo del webhook a una región de la UE está en marcha como elemento documentado de nuestra hoja de ruta. No afirmamos que el cómputo del webhook esté ya fijado a la UE.
// quien_procesa
Quién procesa tus datos y para qué. La lista se mantiene actualizada y forma parte del DPA.
| Subencargado | Finalidad | Región |
|---|---|---|
| Hetzner | Servidores de IA (failover soberano) | Alemania / Finlandia (UE) |
| Supabase | Base de datos y autenticación | UE |
| Vercel | Hosting de la aplicación web | UE (compute fijado) |
| 360dialog | BSP de WhatsApp Business API | UE |
| Meta | WhatsApp Business Platform | Local Storage (Alemania) |
| Scaleway | Inferencia de IA (primario) | Francia (UE) |
| OVHcloud | Inferencia de IA (failover) | Francia (UE) |
| Respaldo en EE. UU. Opcional · desactivado por defecto | Inferencia de respaldo (solo modo no estricto) | EE. UU. (DPF / SCC + TIA) |
// cumplimiento_total
Hablamos contigo y con tu DPO. Te entregamos toda la documentación legal que necesites.