Política de Privacidad y Tratamiento de Datos

1. Quién opera AI BOTS

AI BOTS se presta a través de dos entidades según el país del negocio contratante. Ambas aplican los mismos estándares de tratamiento descritos en este documento:

En este documento, "nosotros" se refiere a la entidad que corresponda según el país del negocio contratante.

2. Nuestros roles según la LOPDP

Cumplimos dos roles distintos definidos en el Art. 4 de la LOPDP, según el tipo de datos y la relación con el titular:

LOPDP Art. 4 · Decreto Ejecutivo 904, noviembre 2023

3. Como Responsable — datos de los negocios clientes

Cuando un negocio se registra en AI BOTS, actuamos como Responsable de los siguientes datos:

No usamos estos datos para fines distintos a la prestación y mejora del servicio contratado, ni para publicidad.

4. Como Encargado — datos de los clientes finales

Procesamos los siguientes datos de clientes finales en nombre del negocio contratante, exclusivamente para prestar el servicio que ese negocio configuró:

No usamos estos datos para ningún fin propio. Solo los tratamos bajo instrucciones del negocio y los eliminamos al finalizar la relación contractual.

5. Canales de mensajería de Meta

Cuando un negocio conecta sus canales, recibimos los mensajes que sus clientes le envían y respondemos en su nombre. Esto es lo que tratamos en cada canal:

• Respondemos dentro de la ventana estándar de 24 horas de cada plataforma y siempre en respuesta a un mensaje iniciado por la persona.
• No usamos etiquetas de mensaje (message tags) para reenganche ni para reabrir conversaciones cerradas.
• Las plantillas de WhatsApp se usan únicamente para avisos transaccionales sobre una cita que la propia persona agendó (confirmación, recordatorio, reprogramación o cancelación), y previa aceptación registrada.
• No usamos el contenido de estas conversaciones para publicidad, segmentación ni para entrenar modelos propios.
• No vendemos ni cedemos estos datos a terceros.
• Una persona del negocio puede tomar el control de la conversación en cualquier momento desde nuestro panel, y el asistente deja de responder.
• El negocio puede desconectar cualquier canal desde su panel; al hacerlo dejamos de recibir mensajes de ese canal de inmediato.

Los datos de estos canales se tratan bajo el rol de Encargado descrito en la sección 4: el Responsable es el negocio que conectó la cuenta.

6. IA y decisiones automatizadas

En cumplimiento del Art. 12(17) y Art. 20 de la LOPDP:

• El asistente está impulsado por los modelos de lenguaje Claude, de Anthropic (EE.UU.).
• De forma puntual utilizamos modelos de OpenAI para resumir una conversación cuando se deriva a una persona del negocio.
• El sistema puede sugerir horarios, confirmar disponibilidad, mostrar catálogo y derivar consultas de forma automatizada.
• Ninguna decisión automatizada produce efectos jurídicos vinculantes sin validación humana posterior por parte del negocio.
• El titular puede solicitar revisión humana de cualquier decisión que le afecte (Art. 20).

7. Retención de datos

Los plazos marcados [X] están pendientes de definición interna y se actualizarán próximamente.

8. Sub-encargados del tratamiento

Utilizamos los siguientes proveedores como sub-encargados (Art. 33 LOPDP). Todos operan bajo contratos que garantizan el mismo nivel de protección:

No vendemos ni cedemos datos a terceros con fines comerciales.

9. Cookies y analítica de marketing

En nuestro sitio web público (ai-bots.us) usamos cookies y tecnologías similares. Esto no afecta a las conversaciones del asistente ni a los datos de los clientes finales de nuestros negocios:

• El Meta Pixel NO se carga hasta que aceptas el banner de cookies. Si lo rechazas, no se envía ningún dato a Meta desde el sitio.
• Puedes cambiar tu decisión en cualquier momento borrando las cookies del sitio en tu navegador; el banner volverá a aparecer.
• Estas cookies son de nuestro sitio de marketing. El widget del asistente instalado en el sitio de un negocio cliente no las utiliza.
• Meta actúa aquí como proveedor de publicidad frente a Exit One LLC, y no como sub-encargado de los datos de clientes finales descritos en la sección 4.

Para oponerte a la publicidad personalizada de Meta también puedes usar la configuración de anuncios de tu propia cuenta de Facebook o Instagram.

10. Contrato de Encargado de Tratamiento

El Art. 33 de la LOPDP exige que entre el Responsable (el negocio) y el Encargado (nosotros) exista un contrato escrito. Lo firmamos con cada cliente y establece:

• Solo trataremos los datos para los fines indicados por el negocio (atención, agendamiento, catálogo o consulta de documentos).
• No cederemos los datos a terceros sin autorización expresa del negocio.
• Implementaremos las medidas de seguridad técnicas y organizativas requeridas por la LOPDP.
• Eliminaremos o devolveremos los datos al finalizar el contrato.
• Notificaremos al negocio cualquier incidente de seguridad que afecte datos de sus clientes.

Si eres cliente y necesitas una copia del contrato de encargado, escríbenos a info@ai-bots.us

11. Derechos ARCO

12. Transferencia internacional de datos

• Anthropic, OpenAI, Google, Meta, Stripe, Supabase y Amazon Web Services operan en servidores en EE.UU., país sin declaración de nivel adecuado por la SPDP de Ecuador.
• Estas transferencias están respaldadas por los DPA de cada proveedor, con garantías contractuales conforme al Art. 57 LOPDP.
• Anthropic: SOC 2 Tipo II. OpenAI: SOC 2 Tipo II. Google: SOC 2 Tipo II. Supabase: SOC 2 Tipo II. AWS: SOC 2 Tipo II. Stripe: PCI DSS Nivel 1.

13. Medidas de seguridad

• Comunicaciones cifradas mediante HTTPS/TLS en todos los endpoints.
• Autenticación JWT para acceso a la plataforma (7 días de validez).
• Los webhooks de Meta se validan con la firma criptográfica de la aplicación; se rechaza todo mensaje que no la supere.
• Cada solicitud del widget se autentica con secreto compartido (header x-widget-secret).
• Rate limiting por cliente para prevenir abuso del servicio.
• Datos de sesión en Redis con expiración automática.
• Contraseñas almacenadas con hash bcrypt (nunca en texto plano).
• Acceso a producción restringido al personal autorizado.

14. Dónde reclamar

Si consideras que el tratamiento de tus datos infringe la LOPDP, puedes presentar una queja ante la:

15. Cambios a esta política

Notificaremos cambios relevantes mediante correo electrónico a los clientes registrados y/o aviso en la plataforma. La fecha de "última actualización" al inicio del documento siempre refleja la versión vigente.