Política de Privacidad

Recopilamos la siguiente información según el contexto:

• Datos de cuenta: nombre, correo electrónico, número de teléfono y contraseña de los usuarios que se registran en la plataforma.
• Datos de empresa (tenant): nombre de la empresa, industria, datos de facturación y configuración de bots.
• Datos de usuarios finales: números de teléfono, nombres, mensajes de WhatsApp e información extraída por IA (key facts) de las conversaciones con tus bots. Esta información es procesada en nombre de tu empresa (tú eres el responsable; nosotros somos el encargado).
• Datos de interacción (engagement): eventos de apertura de email, eventos de clic en enlaces y puntuaciones de interacción por contacto generados cuando envías campañas de email a través de la plataforma. Ver §6.
• Datos de uso: logs de API, métricas de conversación, tiempos de respuesta e información técnica del dispositivo.

Responsable vs encargado: para los datos que tus bots recopilan de tus usuarios finales, tú eres el responsable del tratamiento y OpenedLink es el encargado. Para los datos que tenemos sobre ti como cliente de la plataforma, OpenedLink es el responsable.

Utilizamos la información recopilada para:

• Proveer, mantener y mejorar los servicios de OpenedLink.
• Procesar conversaciones de WhatsApp a través de modelos de IA (Claude de Anthropic).
• Enviar notificaciones, recordatorios y campañas de email en tu nombre hacia tus clientes.
• Generar análisis y reportes sobre el desempeño de tus bots.
• Cumplir con obligaciones legales y prevenir usos fraudulentos.
• Enviarte comunicaciones sobre el servicio, actualizaciones y facturación.

Procesamos los datos con base en:

• Ejecución del contrato (Art. 6(1)(b) RGPD): para proveer los servicios que contrataste.
• Interés legítimo (Art. 6(1)(f)): para mejorar la seguridad, detectar fraudes, optimizar la plataforma y (para campañas B2B a clientes existentes) medir interacción.
• Consentimiento (Art. 6(1)(a)): para comunicaciones de marketing, funciones opcionales (cookies analíticas, opt-in de seguimiento por difusión) y cualquier tratamiento de datos de categoría especial (Art. 9(2)(a)) — p. ej. contexto cercano a la salud divulgado en conversación cuando el bot está configurado para una vertical clínica o de bienestar.
• Obligación legal (Art. 6(1)(c)): cuando la ley aplicable lo requiere (retención del log de auditoría, notificación de cambios de subencargado, reporte de brechas, transparencia de decisiones automatizadas Art. 13(2)(f)).

Para usuarios finales en jurisdicciones con reglas de marketing telefónico (TCPA en EE. UU., CAN-SPAM, CASL), mantenemos un registro de consentimiento expreso previo para cada evento de opt-in / opt-out de WhatsApp en nuestras tablas de eventos de consentimiento — ver §6 (seguimiento de interacción) y §9 (tus derechos) para el detalle de demostrabilidad.

No vendemos tu información personal. Compartimos datos únicamente con los subencargados externos listados en openedlink.com/legal/sub-processors. Esa lista se mantiene actualizada conforme al Art. 28(2) RGPD e incluye inferencia de IA (Anthropic, OpenAI), envío de email (Brevo), infraestructura cloud (Google Cloud Platform), mensajería (Meta WhatsApp), procesamiento de pagos (Paddle) y BI (Metabase). Cada subencargado está regido por un Acuerdo de Tratamiento (DPA). Los cambios materiales de subencargados se notifican a los clientes con 30 días de antelación.

Transferencias internacionales:

• Destinos en Estados Unidos (Anthropic, Google Cloud Platform, OpenAI, Meta) — mecanismo principal: Marco de Privacidad de Datos UE-EE. UU. (DPF) (Decisión de Adecuación (UE) 2023/1795). Cada subencargado estadounidense que utilizamos está certificado bajo el DPF. Mecanismo de respaldo: Cláusulas Contractuales Tipo (CCT) Módulo 2 o 3 ejecutadas con cada subencargado.
• Destino en Reino Unido (Paddle, nuestro proveedor de pagos) — Decisión de Adecuación del RGPD del Reino Unido (Art. 45) en vigor desde 2021-06-28. Respaldo CCT / IDTA documentado.
• Destinos intra-EEE (Brevo) — no se requieren salvaguardas de transferencia internacional.

Hemos completado una Evaluación de Impacto de Transferencia (TIA) post-Schrems II conforme a las Recomendaciones 01/2020 del CEPD, evaluando los regímenes legales de los países de destino e identificando medidas suplementarias técnicas, contractuales y organizativas (TLS 1.3 en tránsito, AES-256-GCM en reposo, seudonimización de identificadores, aplicación de niveles sin entrenamiento en inferencia de IA, retención transitoria, redacción de logs).

NO permitimos que nuestros subencargados de IA (Anthropic, OpenAI) usen tus conversaciones o contenido para entrenar sus modelos. La aplicación del nivel sin entrenamiento es contractual y verificada por una compuerta de CI automatizada contra el código fuente de la plataforma.

Tus datos se almacenan en servidores de Google Cloud Platform ubicados en Estados Unidos (us-central1, Iowa). Implementamos medidas de seguridad que incluyen:

• Cifrado AES-256-GCM para credenciales sensibles (tokens de WhatsApp, claves de API, secretos MFA).
• Conexiones HTTPS/TLS 1.3 en todas las comunicaciones.
• Backups automáticos diarios con retención de 30 días.
• Control de acceso por roles + autenticación JWT + MFA obligatorio para administradores de plataforma.
• Inmutabilidad del log de auditoría conforme a la demostrabilidad del Art. 5(2) — un trigger de Postgres rechaza UPDATE / DELETE / TRUNCATE en el log de auditoría.
• Monitoreo de actividad y alertas de seguridad.

Notificación de brechas: ningún sistema es 100% seguro. En caso de una brecha de datos personales que afecte tus datos: (1) dentro de las 72 horas posteriores al descubrimiento, te notificaremos a través del banner de aviso de seguridad in-app que se monta en la parte superior del panel de administración; reconocer el banner registra tu acuse en el log de auditoría conforme al Art. 5(2); (2) dentro de las 72 horas cuando lo requiera el Art. 33(1), notificaremos a la autoridad supervisora competente; (3) sin demora indebida cuando lo requiera el Art. 34(1), notificaremos a los usuarios finales afectados cuando la brecha pueda generar un alto riesgo para sus derechos y libertades.

Cuando tú (como tenant) envías campañas de email a través de OpenedLink, incrustamos un píxel de seguimiento 1×1 y reescribimos los enlaces salientes a través de nuestro endpoint de redirección para capturar eventos de apertura y clic por destinatario.

Base legal por categoría de destinatario: Art. 6(1)(f) interés legítimo para destinatarios B2B / clientes existentes; Art. 6(1)(a) consentimiento para destinatarios de marketing (alcance en frío, listas opt-in).

Sin seguimiento de terceros: los eventos terminan en nuestro propio endpoint de redirección, no en el sistema de seguimiento de Brevo ni en ningún proveedor de analítica. La dirección IP se captura solo para detección de fraude (no se almacena a largo plazo).

Derechos del destinatario: cada email incluye un enlace de baja con un solo clic (cabecera List-Unsubscribe conforme a RFC 8058 + enlace visible en el pie). La baja elimina al destinatario de envíos futuros y escribe una fila en nuestra tabla de auditoría de opt-out.

Mensajería WhatsApp: cada opt-in y opt-out (ya sea que el destinatario envíe STOP, lo marques como opted-out desde el panel, o Meta devuelva un error de política 131047/131049) escribe en la tabla contact_opt_out_events y actualiza el array de canales-opted-out del contacto de forma atómica — impidiendo envíos futuros a ese canal hasta que el destinatario reafirme el consentimiento. Este es el registro de demostrabilidad para el consentimiento expreso previo TCPA + los requisitos del Art. 7(1) RGPD.

Los bots de OpenedLink pueden realizar tratamiento automatizado que te afecte materialmente. Cuando ese tratamiento produce decisiones con efectos jurídicos o que te afectan significativamente de modo similar, el Artículo 22 del RGPD te otorga derechos específicos.

La plataforma admite varias categorías de herramientas que los operadores de bots pueden habilitar:

• Calificación / scoring de leads — clasificación informativa, revisada por un operador humano. NO activa el Art. 22(1).
• Auto-handoff — decisión de enrutamiento a un operador humano. NO activa el Art. 22(1).
• Auto-rechazo / auto-descalificación — cuando un tenant configura el bot para NO darte seguimiento basado en clasificación automatizada (sin revisión humana). ACTIVA el Art. 22(1).
• Auto-otorgamiento / fijación de precios — cuando un tenant configura el bot para otorgar o denegar un descuento, extender una prueba o establecer un límite de crédito basado puramente en la clasificación del bot. ACTIVA el Art. 22(1).

Cuando interactúas con un bot que tiene automatización Art. 22 configurada, la descripción del perfil de WhatsApp del bot Y el prompt de identidad del bot incluyen una notificación explícita. También puedes preguntar directamente al bot si se están tomando decisiones automatizadas sobre ti.

Tus derechos bajo el Art. 22(3): tienes derecho a (1) solicitar revisión humana — una persona en la empresa del tenant examinará y reevaluará la decisión del bot; (2) expresar tu punto de vista — explicar contexto que el bot pueda haber omitido; (3) impugnar la decisión — desafiar formalmente el resultado.

Cómo ejercer: envía un email a privacy@openedlink.com indicando el bot con el que interactuaste + la decisión que deseas impugnar, O usa el formulario DSAR en /privacy/dsar (opción Revisión de decisión automatizada). La transcripción de la conversación + la clasificación del bot se preservan y pueden exportarse bajo tus derechos de acceso del Art. 15.

Lo que NO hacemos: NO vendemos las transcripciones de tus conversaciones; NO usamos tus conversaciones para entrenar modelos de IA; NO tomamos decisiones automatizadas sobre crédito, empleo o seguros.

Variación por tenant: distintos tenants configuran sus bots de forma diferente. Las divulgaciones anteriores describen lo que la plataforma admite; las decisiones específicas que un bot particular toma se reflejan en el prompt de identidad + descripción de perfil del bot, y en el aviso de privacidad propio del tenant.

Conservamos tus datos durante el tiempo que sea necesario para proveer el servicio. Lo más relevante:

• Datos de cuenta activa: mientras la suscripción esté activa.
• Conversaciones y mensajes: 24 meses desde la última actividad (configurable por tenant).
• Logs de sistema: 90 días.
• Log de auditoría: 1825 días (5 años; inmutable, append-only conforme al Art. 5(2)).
• Datos de facturación: 7 años según requisitos legales.
• Registros de consentimiento de cookies de visitantes (sitio público): 730 días (≈24 meses) desde la fecha en que diste el consentimiento. Los registros del panel admin siguen el ciclo de vida de la cuenta de admin-user.

Puedes solicitar la eliminación de tus datos en cualquier momento. Procederemos dentro de los 30 días siguientes (sujeto a las limitaciones del Art. 17(3) y a la inmutabilidad del log de auditoría cuando las filas referencien eventos de aplicación bajo interés legítimo).

Bajo el RGPD + legislación equivalente aplicable en tu jurisdicción (LGPD en Brasil, LFPDPPP en México, Decreto 1377 en Colombia), tienes derecho a:

• Acceso (Art. 15) — solicitar una copia de los datos que tenemos sobre ti, incluyendo los datos alimentados a y la salida de cualquier tratamiento de decisiones automatizadas (Art. 22).
• Rectificación (Art. 16) — corregir datos incorrectos o incompletos.
• Supresión (Art. 17) — solicitar la eliminación de tus datos ("derecho al olvido"). Sujeto a las excepciones del Art. 17(3).
• Portabilidad (Art. 20) — recibir tus datos en formato estructurado y legible por máquina.
• Oposición (Art. 21) — oponerte al tratamiento de tus datos para fines de marketing; esto activa el cese inmediato de envíos de marketing hacia ti.
• Limitación (Art. 18) — solicitar que limitemos el tratamiento en ciertos casos (exactitud impugnada, tratamiento ilícito que no deseas suprimir, retención para reclamaciones legales, oposición pendiente). Cuando la limitación está vigente, marcamos los registros afectados como solo-lectura mediante una entrada inmutable en el log de auditoría.
• No ser objeto de decisiones automatizadas (Art. 22) — ver §7.
• Retirar el consentimiento (Art. 7(3)) — para cualquier tratamiento basado en consentimiento, incluyendo el nivel analítico de cookies y las comunicaciones de marketing. La retirada no afecta la licitud del tratamiento previo a la retirada.

Para ejercer cualquiera de estos derechos, contáctanos en contact@openedlink.com o usa el formulario DSAR en /privacy/dsar. Responderemos dentro de los 30 días. Conforme al Art. 7(1), mantenemos un registro de demostrabilidad de cada captura de consentimiento y cada evento de opt-in/opt-out — ver §6 para el rastro de auditoría de marketing/mensajería.

Usamos un modelo de consentimiento por niveles: las cookies estrictamente necesarias siempre están activas (sesión JWT, CSRF, estado OAuth); los niveles analítico y de marketing requieren un opt-in explícito a través del banner de cookies.

La lista completa de cookies — nombres, duraciones, proveedores y desglose por nivel — está en openedlink.com/legal/cookie-policy.

NO usamos cookies de publicidad de terceros ni herramientas de seguimiento de visitantes (sin Google Analytics, Hotjar, Mixpanel, PostHog, etc.). Puedes configurar tu navegador para rechazar cookies, aunque esto puede afectar la funcionalidad del panel de administración — deshabilitar las cookies estrictamente necesarias impedirá que la plataforma funcione.

Podemos actualizar esta Política de Privacidad periódicamente. Te notificaremos por email sobre cambios materiales con al menos 15 días de anticipación. El uso continuado del servicio después de la fecha de vigencia implica la aceptación de la nueva política.