Política de Privacidad y Protección de Datos

Última actualización: agosto de 2026

1. Responsable del tratamiento

BOTSINESS (en adelante, «nosotros» o «la Plataforma») es una plataforma tecnológica que proporciona a empresas y profesionales un asistente de chat basado en inteligencia artificial para su sitio web y canal WhatsApp.

• Denominación: BOTSINESS
• Correo electrónico de privacidad: privacidad@botsiness.com
• Sitio web: https://botsiness.com

2. Datos personales que recopilamos

2.1 Negocios registrados (nuestros clientes)

• Dirección de correo electrónico y contraseña (almacenada con cifrado bcrypt, nunca en texto plano).
• Nombre del negocio, tipo de actividad y número de teléfono (opcional).
• Información comercial introducida para entrenar al asistente: horarios, servicios, precios, ubicación, políticas de reserva.
• Preferencias de personalización del widget de chat: colores, logotipo, avatar, posición y mensaje de bienvenida.
• Datos de conexión a Google Calendar (si el negocio activa la integración de reservas).
• Datos de conexión a Stripe Connect (si el negocio activa cobros directos en el chat).
• Número de WhatsApp (si el negocio activa las notificaciones de nuevas citas y pedidos).

2.2 Usuarios finales que interactúan con un asistente

• Contenido de los mensajes enviados al chat y las respuestas generadas por la IA.
• Identificador de sesión anónimo generado automáticamente (no se requiere registro ni se solicitan datos identificativos de forma obligatoria).
• Nombre y teléfono de contacto cuando el usuario los facilita voluntariamente para completar una reserva o pedido.
• Dirección IP, utilizada exclusivamente para la detección del idioma del visitante mediante el servicio ipapi.co y para la seguridad del sistema. La IP no se almacena de forma permanente ni se utiliza para elaborar perfiles.
• Cabecera Accept-Language del navegador (para detección de idioma).

2.3 Datos de facturación

Gestionados íntegramente por Stripe, Inc. como procesador de pagos certificado PCI-DSS Nivel 1. BOTSINESS no almacena, procesa ni tiene acceso a números de tarjeta de crédito, débito ni datos bancarios directos en ningún momento. Los pagos dentro del chat (tarjeta, Apple Pay, Google Pay) también son procesados por Stripe a través de Stripe Connect.

2.4 Datos técnicos

• Dirección IP, tipo de navegador y dispositivo, sistema operativo.
• Fecha y hora de cada acceso, páginas visitadas.
• Datos de analítica internos (no compartidos con terceros): horas punta de mensajes, tasa de resolución, países de origen de los visitantes, clientes recurrentes.

2.5 Afiliados

• Nombre completo y dirección de correo electrónico.
• Datos bancarios para el cobro de comisiones, gestionados a través de Stripe Connect.
• Código de referido y registro de referidos convertidos.

3. Finalidad y base legal del tratamiento

Finalidad	Base legal (Art. 6 RGPD)
Crear y mantener la cuenta del negocio, gestionar suscripciones, facturación y soporte técnico	Ejecución del contrato — Art. 6.1.b)
Funcionamiento del asistente de IA: procesar los mensajes de los usuarios finales para generar respuestas relevantes a través de la API de OpenAI	Interés legítimo del negocio que instala el widget — Art. 6.1.f)
Gestión automatizada de reservas a través de Google Calendar	Ejecución del contrato — Art. 6.1.b)
Procesamiento de pagos y cobros en el chat mediante Stripe / Stripe Connect	Ejecución del contrato — Art. 6.1.b)
Envío de notificaciones por WhatsApp al negocio (nuevas citas, pedidos)	Ejecución del contrato — Art. 6.1.b)
Analíticas internas: horas punta, clientes recurrentes, origen geográfico, tasa de resolución, rendimiento del plan	Interés legítimo — Art. 6.1.f)
Envío de correos transaccionales: verificación de cuenta, recuperación de contraseña, alertas del servicio	Ejecución del contrato — Art. 6.1.b)
Seguridad y prevención de abusos: limitación de uso, detección de actividad fraudulenta, protección de la infraestructura	Interés legítimo — Art. 6.1.f)
Detección del idioma del visitante mediante IP y cabecera del navegador	Interés legítimo — Art. 6.1.f)
Conservación de datos de facturación según la normativa fiscal	Obligación legal — Art. 6.1.c)
Programa de afiliados: registro, seguimiento de referidos y pago de comisiones	Ejecución del contrato — Art. 6.1.b)

4. Destinatarios y encargados del tratamiento

Para prestar el servicio, compartimos datos con los siguientes proveedores, cada uno actuando como encargado del tratamiento bajo las garantías contractuales correspondientes:

Proveedor	Función	Ubicación	Garantía de transferencia
OpenAI, L.L.C.	Procesa los mensajes del chat para generar las respuestas del asistente. No utiliza los datos enviados a través de su API para entrenar sus modelos.	EE. UU.	Cláusulas Contractuales Tipo (CCT)
Stripe, Inc.	Gestiona cobros, suscripciones, pagos dentro del chat (tarjeta, Apple Pay, Google Pay) y pagos a afiliados mediante Stripe Connect. Certificado PCI-DSS Nivel 1.	EE. UU.	CCT
Supabase, Inc.	Alojamiento de la base de datos PostgreSQL con cifrado en reposo y en tránsito.	EE. UU. / UE	CCT
Render Services, Inc.	Alojamiento del servidor backend (Node.js / Express).	EE. UU.	CCT
Resend, Inc.	Envío de correos electrónicos transaccionales: verificación de cuenta, recuperación de contraseña.	EE. UU.	CCT
Google LLC	Integración con Google Calendar para la gestión automatizada de reservas. Solo si el negocio la activa voluntariamente.	EE. UU. / UE	CCT
Twilio, Inc.	Envío de avisos por WhatsApp al negocio cuando se produce una nueva cita o pedido. Solo si el negocio lo activa.	EE. UU.	CCT
ipapi.co	Geolocalización de IP para detectar el idioma del visitante. Solo se consulta el código de país; no se almacena la IP ni el resultado de forma permanente.	UE	Dentro del EEE

No vendemos, alquilamos ni cedemos datos personales a terceros con fines comerciales o publicitarios bajo ninguna circunstancia.

5. Transferencias internacionales de datos

Algunos de nuestros encargados del tratamiento están ubicados en Estados Unidos. Todas las transferencias internacionales de datos fuera del Espacio Económico Europeo se realizan al amparo de las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión de Ejecución 2021/914), que garantizan un nivel de protección equivalente al del RGPD. En los casos en que el proveedor disponga de certificación bajo el EU-U.S. Data Privacy Framework, esta se aplica como garantía adicional.

6. 🍪 Cookies y almacenamiento local

BOTSINESS no utiliza cookies de rastreo, publicidad ni analítica de terceros. No integramos Google Analytics, Facebook Pixel ni ningún servicio de seguimiento externo. Las únicas tecnologías de almacenamiento en el navegador que utilizamos son las siguientes:

🍪 Nombre	Tipo	Finalidad	Duración	Base legal
saas_panel_token	localStorage	Estrictamente necesaria. Almacena el token de sesión (JWT) para mantener la sesión iniciada en el panel de control del negocio.	Hasta que el usuario cierra sesión manualmente o el token expira.	Exención de consentimiento (Art. 5.3 Directiva ePrivacy) — estrictamente necesaria para la prestación del servicio solicitado.
imparia_chat_cliente	sessionStorage	Estrictamente necesaria. Identificador anónimo de sesión del chat para vincular las respuestas de la IA a la conversación en curso.	Se elimina al cerrar la pestaña del navegador.	Exención de consentimiento — estrictamente necesaria.
imparia_chat_historial	sessionStorage	Estrictamente necesaria. Conserva el historial de la conversación actual del chat para que el usuario pueda ver sus mensajes anteriores dentro de la misma sesión.	Se elimina al cerrar la pestaña del navegador.	Exención de consentimiento — estrictamente necesaria.
imparia_tema	localStorage	Preferencias de interfaz. Almacena la preferencia de tema visual (claro / sistema) seleccionada en los ajustes.	Permanente hasta que el usuario la cambie o limpie los datos del navegador.	Exención de consentimiento — estrictamente necesaria para recordar la preferencia del usuario.
imparia_notif	localStorage	Preferencias de interfaz. Almacena la preferencia de notificaciones del sistema (activadas / silenciadas).	Permanente hasta que el usuario la cambie.	Exención de consentimiento — estrictamente necesaria para recordar la preferencia del usuario.

¿Por qué no pedimos consentimiento con un banner de cookies? Porque todas las tecnologías de almacenamiento que utilizamos están exentas de consentimiento según el artículo 5.3 de la Directiva ePrivacy (Directiva 2002/58/CE), al ser estrictamente necesarias para prestar el servicio solicitado por el usuario o para recordar una preferencia técnica establecida por el propio usuario. No depositamos ni accedemos a ningún tipo de cookie, píxel o almacenamiento con fines publicitarios, de analítica de terceros ni de elaboración de perfiles. Si en el futuro incorporásemos alguna tecnología de almacenamiento no estrictamente necesaria, implementaremos un banner de consentimiento conforme al RGPD con opciones claras e igualmente accesibles de «Aceptar» y «Rechazar».

7. Plazos de conservación de datos

• Datos de cuenta del negocio: mientras la cuenta permanezca activa. Tras la solicitud de baja, los datos se eliminan en un plazo máximo de 30 días, salvo obligación legal de conservarlos.
• Conversaciones del chat: se conservan mientras el negocio mantenga su cuenta activa, ya que forman parte del historial consultable desde el panel. Se eliminan junto con la cuenta.
• Datos de facturación: conservados durante el período exigido por la legislación fiscal aplicable (mínimo 5 años en España según la Ley General Tributaria; 4 años en la mayoría de los países de la UE).
• Datos de analíticas internas: se conservan de forma agregada y anonimizada. Los datos brutos se eliminan junto con la cuenta del negocio.
• Datos técnicos (logs del servidor): máximo 90 días, utilizados exclusivamente para depuración y seguridad.
• Dirección IP para detección de idioma: no se almacena de forma permanente; se utiliza exclusivamente en el momento de la petición y se descarta.
• Datos de afiliados: mientras la cuenta de afiliado esté activa. Tras la baja, los datos de comisiones se conservan según la normativa fiscal aplicable.

8. Medidas de seguridad

Implementamos las siguientes medidas técnicas y organizativas conforme al artículo 32 del RGPD:

• Cifrado de contraseñas con bcrypt (factor de coste 10). Las contraseñas nunca se almacenan ni transmiten en texto plano.
• Comunicaciones cifradas mediante HTTPS/TLS en todas las conexiones entre el navegador, el servidor y los proveedores externos.
• Tokens de autenticación JWT con expiración temporal.
• Limitación de tasa (rate limiting) en endpoints sensibles para prevenir ataques de fuerza bruta.
• Base de datos PostgreSQL con cifrado en reposo (Supabase) y acceso restringido por credenciales.
• Separación de entornos y principio de mínimo privilegio en el acceso a datos.
• Timeout de 30 segundos en las peticiones a OpenAI para evitar bloqueos.
• No se almacenan datos de tarjetas de pago; toda la operativa de cobro se delega en Stripe (PCI-DSS Nivel 1).

9. Tus derechos

De acuerdo con el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), tienes derecho a:

• Acceso (Art. 15 RGPD): conocer qué datos personales tuyos tratamos y obtener una copia.
• Rectificación (Art. 16 RGPD): corregir datos inexactos o incompletos.
• Supresión (Art. 17 RGPD): solicitar la eliminación de tus datos cuando ya no sean necesarios para la finalidad que motivó su recogida.
• Portabilidad (Art. 20 RGPD): recibir tus datos en un formato estructurado, de uso común y lectura mecánica (JSON o CSV).
• Oposición (Art. 21 RGPD): oponerte al tratamiento de tus datos cuando la base legal sea el interés legítimo.
• Limitación (Art. 18 RGPD): solicitar la restricción del tratamiento en los supuestos previstos por la ley.
• No ser objeto de decisiones automatizadas (Art. 22 RGPD): las respuestas de la IA no producen efectos jurídicos sobre los usuarios finales ni les afectan significativamente de forma similar.

Para ejercer cualquiera de estos derechos, escríbenos a privacidad@botsiness.com indicando tu solicitud y adjuntando una copia de tu documento identificativo. Responderemos en un plazo máximo de 30 días (prorrogable a 60 en casos de complejidad, previa notificación).

Si consideras que tus derechos no han sido debidamente atendidos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es, o ante la autoridad de control de tu país de residencia dentro del Espacio Económico Europeo.

10. Menores de edad

La Plataforma está dirigida a empresas y profesionales. No recopilamos conscientemente datos de menores de 16 años (o la edad establecida por la legislación nacional del Estado miembro, conforme al Art. 8 RGPD). Si tenemos conocimiento de que hemos recibido datos de un menor sin el consentimiento parental o del tutor legal, los eliminaremos de inmediato.

11. Modificaciones de esta política

Nos reservamos el derecho de actualizar esta política de privacidad para reflejar cambios en nuestras prácticas o por motivos legales. En caso de modificaciones sustanciales, lo comunicaremos a los usuarios registrados por correo electrónico con al menos 15 días de antelación. La fecha de última actualización se indica al inicio de este documento.

12. Contacto

Para cualquier consulta relacionada con la privacidad y la protección de datos:

• Email: privacidad@botsiness.com
• Web: https://botsiness.com

En cumplimiento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su Reglamento, BOTSINESS pone a su disposición el presente Aviso de Privacidad Integral.

I. Identidad y domicilio del responsable

• Responsable: BOTSINESS
• Correo electrónico: privacidad@botsiness.com
• Sitio web: https://botsiness.com

BOTSINESS es responsable del tratamiento de los datos personales que recaba de usted conforme a los principios de licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad establecidos en el artículo 5 de la LFPDPPP.

II. Datos personales que se recaban

Datos de identificación y contacto

• Nombre del negocio o denominación comercial.
• Dirección de correo electrónico.
• Número de teléfono (opcional).
• Nombre y teléfono del usuario final cuando los facilita voluntariamente para una reserva o pedido.

Datos financieros

• Datos de tarjeta de crédito/débito y métodos de pago: gestionados exclusivamente por Stripe, Inc. (certificado PCI-DSS Nivel 1). BOTSINESS no tiene acceso a números de tarjeta, CVV ni datos bancarios directos.
• Datos de cuenta bancaria de afiliados para cobro de comisiones, gestionados a través de Stripe Connect.

Datos técnicos y de navegación

• Dirección IP, tipo de navegador, sistema operativo.
• Contenido de los mensajes del chat y respuestas generadas por la IA.
• Identificador de sesión anónimo.

Datos sensibles: BOTSINESS no recaba datos personales sensibles según la definición del artículo 3, fracción VI de la LFPDPPP (datos relativos a origen racial o étnico, estado de salud, información genética, creencias religiosas, filosóficas y morales, afiliación sindical, opiniones políticas o preferencia sexual).

III. Finalidades del tratamiento

Finalidades necesarias (no requieren consentimiento)

• Crear, mantener y administrar la cuenta del negocio en la Plataforma.
• Prestar el servicio de asistente de IA: procesar mensajes para generar respuestas a través de la API de OpenAI.
• Gestionar reservas automáticas mediante Google Calendar (si el negocio activa la integración).
• Procesar pagos y cobros a través de Stripe y Stripe Connect.
• Enviar notificaciones por WhatsApp al negocio sobre nuevas citas y pedidos (si se activa).
• Enviar correos transaccionales: verificación de cuenta, recuperación de contraseña, alertas del servicio.
• Proporcionar analíticas internas: horas punta, clientes recurrentes, origen geográfico, tasa de resolución, rendimiento del plan.
• Gestionar el programa de afiliados: registro, seguimiento de referidos y pago de comisiones.
• Cumplir obligaciones fiscales y legales aplicables.
• Garantizar la seguridad de la Plataforma y prevenir el uso abusivo.

Finalidades que requieren consentimiento

• Envío de comunicaciones promocionales sobre novedades o funcionalidades de BOTSINESS.

Si usted no desea que sus datos sean tratados para las finalidades que requieren consentimiento, puede manifestar su negativa enviando un correo a privacidad@botsiness.com con el asunto «Revocación de consentimiento».

IV. Transferencias de datos personales

Para la prestación del servicio, BOTSINESS transfiere datos personales a los siguientes terceros:

• OpenAI, L.L.C. (EE. UU.) — procesamiento de mensajes del chat mediante IA.
• Stripe, Inc. (EE. UU.) — gestión de cobros, suscripciones y pagos.
• Supabase, Inc. (EE. UU. / UE) — alojamiento de base de datos.
• Render Services, Inc. (EE. UU.) — alojamiento del servidor backend.
• Resend, Inc. (EE. UU.) — envío de correos electrónicos transaccionales.
• Google LLC (EE. UU.) — integración de Google Calendar (solo si el negocio la activa).
• Twilio, Inc. (EE. UU.) — envío de notificaciones por WhatsApp (solo si el negocio lo activa).
• ipapi.co (UE) — detección de país por IP para determinar idioma.

Estas transferencias se realizan conforme al artículo 36 de la LFPDPPP y son necesarias para el cumplimiento de la relación jurídica entre BOTSINESS y el titular. Todos los proveedores se comprometen contractualmente a tratar los datos con los mismos niveles de protección exigidos por la legislación mexicana.

BOTSINESS no vende, alquila ni cede datos personales a terceros con fines comerciales, publicitarios o de mercadotecnia.

V. Derechos ARCO

Conforme a la LFPDPPP, usted tiene en todo momento el derecho de:

• Acceso: conocer qué datos personales tenemos sobre usted y para qué los utilizamos.
• Rectificación: solicitar la corrección de sus datos cuando sean inexactos o estén incompletos.
• Cancelación: solicitar la eliminación de sus datos cuando considere que no están siendo tratados conforme a los principios y deberes de la ley.
• Oposición: oponerse al tratamiento de sus datos para finalidades específicas.

Para ejercer sus derechos ARCO, envíe una solicitud a privacidad@botsiness.com con la siguiente información:

1. Nombre completo del titular y correo electrónico registrado en la Plataforma.
2. Descripción clara y precisa de los datos respecto de los cuales ejerce el derecho.
3. Cualquier documento o información que facilite la localización de los datos.
4. Copia de una identificación oficial vigente.

BOTSINESS responderá a su solicitud en un plazo máximo de 20 días hábiles contados desde la recepción. Si la solicitud resulta procedente, se hará efectiva dentro de los 15 días hábiles siguientes a la comunicación de la respuesta. El ejercicio de los derechos ARCO es gratuito.

VI. Medios para limitar el uso o divulgación de datos

Usted puede limitar el uso o divulgación de sus datos personales enviando un correo a privacidad@botsiness.com con el asunto «Limitación de uso». Adicionalmente, puede eliminar su cuenta directamente desde el panel de control, lo que supone la eliminación de todos sus datos en un plazo máximo de 30 días.

VII. Uso de tecnologías de rastreo

BOTSINESS no utiliza cookies de rastreo, web beacons, píxeles de seguimiento ni tecnologías similares con fines publicitarios o de analítica de terceros. Las únicas tecnologías de almacenamiento local que utilizamos (localStorage y sessionStorage) son estrictamente necesarias para el funcionamiento del servicio, conforme a lo detallado en la sección 6 del apartado europeo de esta misma política.

VIII. Modificaciones al aviso de privacidad

BOTSINESS se reserva el derecho de modificar el presente Aviso de Privacidad para reflejar cambios legales, en nuestras prácticas de privacidad o en las funcionalidades del servicio. Cualquier modificación será comunicada a los titulares registrados por correo electrónico con al menos 15 días de antelación y estará disponible en esta misma URL.

IX. Autoridad competente

Si usted considera que su derecho a la protección de datos personales ha sido vulnerado, puede acudir ante la Secretaría Anticorrupción y Buen Gobierno (autoridad sucesora del extinto INAI en materia de protección de datos personales en posesión de particulares, conforme a la LFPDPPP publicada el 20 de marzo de 2025).

X. Consentimiento

Al registrarse en BOTSINESS o utilizar cualquiera de nuestros servicios, usted manifiesta haber leído, entendido y aceptado los términos del presente Aviso de Privacidad. Si usted no está de acuerdo con los términos, le solicitamos no proporcionar sus datos personales.