Política de Privacidad

1. Quién es responsable de tus datos

• •Visitantes de engagebot.io y titulares de cuentas: Kuery S.A.S. es el responsable del tratamiento.
• •Clientes de los negocios que usan Engagebot (quienes escriben a un negocio por WhatsApp, comensales que piden desde una carta digital, personas que reservan): el negocio es el responsable, y Engagebot trata los datos por su cuenta y siguiendo sus instrucciones (encargado del tratamiento). Si eres uno de esos clientes, contacta primero al negocio; nosotros le ayudaremos a responder tu solicitud.

2. Datos que recogemos

Cuando visitas engagebot.io

• •Formulario de demo: tu correo y tu número de WhatsApp, que usamos para contactarte sobre la demo.
• •País: nuestro proveedor de hosting nos indica tu país a partir de tu dirección IP, solo para mostrar los precios en COP o USD. Guardamos el resultado (no tu IP) en una cookie.
• •Analítica de uso y medición de anuncios: páginas vistas, dispositivo y ubicación aproximada, con Google Analytics; y, para medir y mejorar nuestros propios anuncios, el Píxel de Meta y la etiqueta de Google Ads en engagebot.io y en las páginas de registro e inicio de sesión de la aplicación (visitas, solicitudes de demo y registros completados, nunca el contenido que ingresas en la aplicación).

Cuando creas y usas una cuenta de Engagebot

• •Cuenta: nombre, correo y contraseña (guardada solo como hash bcrypt), o tu nombre, correo y foto de Google si inicias sesión con Google.
• •Espacio de trabajo: nombre y configuración del negocio, miembros que invitas, identificadores de la cuenta y del número de WhatsApp Business, y los tokens de acceso que emite Meta para conectarlos (cifrados).
• •Facturación: plan, suscripción e historial de facturas. Los datos de la tarjeta los recibe y guarda Stripe; nosotros no recibimos ni guardamos el número completo de la tarjeta.
• •Contenido que creas: flujos de chatbot, configuración de agentes de IA, archivos y textos de la base de conocimiento, plantillas de mensajes, catálogo de productos, cartas digitales y fotos.
• •Datos técnicos: dirección IP (usada en memoria para seguridad y control de abuso), navegador y dispositivo, reportes de errores sin datos personales, y uso de funciones y de créditos de IA.

Datos que un negocio trata con Engagebot sobre sus clientes

• •Contactos de WhatsApp: número de teléfono, nombre del perfil de WhatsApp, y el nombre, correo, dirección, etiquetas, notas y preferencias de comunicación que registre el negocio o su agente de IA.
• •Conversaciones: mensajes, notas de voz, imágenes, documentos y ubicaciones enviados o recibidos, con su fecha y estado de entrega.
• •Pedidos: productos, notas, dirección y ubicación de entrega, y estado del pedido.
• •Pedidos desde la carta digital: nombre del comensal, mesa, teléfono (obligatorio para llevar y domicilio, opcional en la mesa), dirección de entrega y notas. No guardamos la dirección IP de los comensales. El carrito se guarda en el navegador del comensal hasta que envía el pedido.
• •Reservas: nombre, teléfono, correo, notas, y la fecha, el texto y el idioma de la autorización dada en la página de reservas.

Datos de la cuenta de Google y de Google Calendar

Si un usuario decide conectar Google, accedemos a los siguientes datos de usuario de Google a través de sus API:

• •Iniciar sesión con Google: nombre, correo y datos básicos del perfil, usados para autenticarte y crear tu cuenta de Engagebot.
• •Google Calendar (permisos calendar.events y calendar.readonly): se usa solo para crear, actualizar y leer las citas, reservas y hospedajes que los clientes hacen mediante los flujos, agentes o la página de reservas del negocio en Engagebot, y para consultar disponibilidad. Los eventos pueden incluir el nombre, el teléfono y las notas de la reserva del cliente.

Política de Datos de Usuario de los Servicios de API de Google y Uso Limitado. El uso y la transferencia que hace Engagebot de la información recibida de las API de Google cumplen la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado. Usamos los datos de usuario de Google solo para prestar las funciones descritas en esta política. No los vendemos ni transferimos, no los usamos para publicidad ni para entrenar modelos de IA, y no permitimos que personas los lean salvo por seguridad, para cumplir la ley o con tu consentimiento explícito.

3. Para qué los usamos

• •Prestar el Servicio que tú o el negocio solicitaron: enviar y recibir mensajes de WhatsApp, ejecutar flujos y agentes de IA, publicar cartas, recibir pedidos y reservas, sincronizar calendarios y catálogos (contrato).
• •Gestionar cuentas, facturación y soporte, y enviar correos del servicio como verificación, alertas de seguridad, avisos de prueba y de facturación (contrato).
• •Mantener la seguridad del Servicio, prevenir fraude, spam y abuso, y corregir errores (interés legítimo).
• •Entender y mejorar nuestro sitio y producto con analítica agregada, y medir nuestros anuncios (interés legítimo o autorización, cuando se requiera).
• •Responder solicitudes de demo y, si lo aceptas, enviarte novedades del producto; puedes darte de baja cuando quieras (autorización).
• •Cumplir la ley, incluidas obligaciones tributarias y contables y requerimientos de autoridades (obligación legal).

No vendemos datos personales ni usamos los datos de los clientes de los negocios para nuestro propio mercadeo.

4. Inteligencia artificial

Algunas funciones envían datos a proveedores de IA para generar un resultado:

• •Agentes de IA: los últimos mensajes del cliente (hasta los 30 más recientes de la conversación) y los datos del contacto que consulte el agente se envían para generar la respuesta.
• •Notas de voz e imágenes capturadas por pasos de IA de un flujo se envían para transcribirlas o extraer datos.
• •Creación de la carta con IA: las fotos o el PDF de la carta se envían para extraer los productos; los PDF se eliminan del proveedor después de la extracción.
• •Base de conocimiento: el texto de los documentos se envía para crear índices de búsqueda.

El proveedor es OpenAI por defecto. Un negocio también puede elegir un modelo GLM de Zhipu AI (servidores en China) para su agente de IA; en ese caso las conversaciones de ese agente las procesa Zhipu AI. OpenAI indica que los datos enviados por su API no se usan para entrenar sus modelos salvo que el cliente lo autorice. Nosotros no usamos tus datos ni los de tus clientes para entrenar modelos de IA.

5. Con quién compartimos datos

Compartimos datos personales solo con proveedores que nos ayudan a operar el Servicio, bajo sus condiciones de tratamiento de datos y solo para las finalidades anteriores:

Un negocio también puede conectar su propia cuenta de Twilio, webhooks u otras integraciones; los datos enviados allí quedan bajo su control. Podemos revelar datos cuando lo exija la ley o una autoridad, para proteger nuestros derechos y los de los usuarios, o a un comprador en una fusión o adquisición, que quedará obligado por esta política.

6. Transferencias internacionales

Nuestros servidores están en Alemania y nuestras copias de seguridad en la Unión Europea. Algunos proveedores anteriores tratan datos en Estados Unidos, China u otros países cuyas leyes pueden dar un nivel de protección distinto al de Colombia. Nos apoyamos en los compromisos contractuales de los proveedores y, al usar el Servicio, autorizas estas transferencias en la medida necesaria para prestarlo (artículo 26 de la Ley 1581 de 2012). Los negocios son responsables de informarlas a sus clientes.

7. Cuánto tiempo guardamos los datos

• •Datos de la cuenta y del espacio de trabajo, conversaciones, contactos, cartas y pedidos: mientras exista la cuenta. Los contactos y chats que un negocio elimina en la aplicación se ocultan y se pueden restaurar; se borran definitivamente cuando se elimina la cuenta.
• •Eliminación de la cuenta: cuando nos pides cerrar tu cuenta, eliminamos sus datos en un plazo de 90 días, salvo lo que la ley nos obligue a conservar (por ejemplo, facturas). Las copias de seguridad cifradas vencen automáticamente en un plazo adicional de 90 días.
• •Archivos capturados por IA: las imágenes y audios capturados por pasos de IA se eliminan 30 días después de archivar la conversación.
• •Exportaciones: los archivos CSV exportados se eliminan a los 30 días.
• •Solicitudes de demo: mientras hacemos el seguimiento y hasta 24 meses después, salvo que nos pidas eliminarlas antes.
• •Registros de facturación: el tiempo que exija la ley tributaria.

8. Seguridad

• •Todo el tráfico usa HTTPS. Las contraseñas se guardan como hash bcrypt.
• •Los tokens de acceso de WhatsApp y de Google Calendar, las credenciales de Twilio y los secretos de integraciones se cifran en reposo con AES-256-GCM.
• •Las sesiones usan una cookie segura e inaccesible para JavaScript (httpOnly) que vence a los 7 días.
• •Los mensajes que llegan de Meta, Stripe, Twilio y Google se verifican antes de procesarlos.
• •Cada consulta a la base de datos se limita al espacio de trabajo al que pertenece; solo el propietario del espacio gestiona la facturación y el equipo.
• •Las copias de seguridad diarias de la base de datos se cifran y se guardan en un proveedor distinto al de nuestros servidores.

Ningún sistema es completamente seguro. Si un incidente de seguridad afecta tus datos personales, te avisaremos a ti y a las autoridades como lo exija la ley.

9. Cookies y almacenamiento local

La aplicación también guarda en tu navegador preferencias de la interfaz (espacio de trabajo activo, vistas de listas, sonido e impresión). Puedes bloquear o borrar cookies en la configuración de tu navegador y desactivar Google Analytics con el complemento de inhabilitación de Google; si bloqueas auth_token no podrás iniciar sesión.

10. Tus derechos

En Colombia (Ley 1581 de 2012) tienes derecho a conocer, actualizar y rectificar tus datos personales; solicitar prueba de la autorización que diste; ser informado del uso que se da a tus datos; revocar la autorización o pedir la supresión cuando no exista un deber legal o contractual de conservarlos; acceder gratuitamente a tus datos; y presentar quejas ante la Superintendencia de Industria y Comercio (SIC) después de haber acudido a nosotros.

En la Unión Europea, el Reino Unido y jurisdicciones similares también puedes pedir la limitación y la portabilidad de tus datos y oponerte a su tratamiento, y reclamar ante tu autoridad de protección de datos. Los residentes de California tienen derecho a saber, eliminar y corregir sus datos y a no ser discriminados por ejercer estos derechos; no vendemos ni compartimos datos personales para publicidad conductual entre contextos, salvo el Píxel de Meta y la etiqueta de Google Ads descritos arriba, que miden nuestros propios anuncios.

Cómo ejercerlos

Escribe a privacy@engagebot.io con tu nombre, el correo o teléfono al que se refiere tu solicitud y lo que pides. Respondemos las consultas en un máximo de 10 días hábiles (prorrogables 5) y los reclamos, como correcciones o supresión, en un máximo de 15 días hábiles (prorrogables 8), como lo dispone la ley colombiana. Si tus datos los recogió un negocio que usa Engagebot, le trasladaremos tu solicitud y le ayudaremos a responderla.

11. Menores de edad

El Servicio está dirigido a negocios y no a menores de edad. Las cuentas de Engagebot son para personas de 18 años o más. Los negocios que atienden a menores deben obtener la autorización que exija la ley de sus padres o representantes.

12. Cambios en esta política

Publicaremos cualquier cambio en esta página con una nueva fecha y avisaremos a los titulares de cuentas de los cambios importantes por correo o en la aplicación antes de que entren en vigor.

13. Contacto

Kuery S.A.S., NIT 901228403-3 (Engagebot). Dirección: Calle 140 # 9 - 42, Bogotá, Colombia. Privacidad y solicitudes sobre datos: privacy@engagebot.io. Soporte: support@engagebot.io.