Política de privacidad y de tratamiento de datos personales
Última actualización:
Esta política explica cómo Gotachat trata los datos personales. Es también nuestra política de tratamiento de datos personales según la Ley 1581 de 2012 y el Decreto 1074 de 2015.
1. Responsable
Drupal Experience (drupalexperience.com), establecimiento de comercio registrado en la Cámara de Comercio de Bucaramanga, Colombia (matrícula mercantil 669026) · Bucaramanga, Santander, Colombia · [email protected] · teléfono +57 607 654 9002 · WhatsApp +57 333 279 3371. Somos el responsable del tratamiento de los datos de la sección 3.
Para preguntas sobre privacidad y para ejercer tus derechos, escribe a [email protected]. El equipo de privacidad de Drupal Experience atiende las consultas y los reclamos sobre datos personales.
2. Dos papeles distintos
- Nuestros propios datos (somos responsables): los de quienes visitan nuestro sitio, escriben a nuestros propios asistentes (el de nuestro sitio y el de soporte del panel), se registran, compran un plan o son invitados a una cuenta (clientes y sus Miembros del equipo).
- Los datos de los visitantes de los sitios de nuestros clientes (somos encargados): cuando alguien usa un chatbot en el sitio de un cliente, ese cliente decide qué se recoge y para qué; nosotros lo tratamos por su cuenta según los Términos del servicio (sección 11). Si fuiste visitante de uno de esos sitios, lee su aviso de privacidad y contáctalos para ejercer tus derechos; si nos escribes, les trasladamos tu solicitud.
3. Qué datos recogemos y para qué
| Datos | Finalidad | Base legal |
|---|---|---|
| Nombre, email, contraseña (guardada cifrada con hash), empresa, idioma, nombre visible y foto opcionales | Crear y proteger tu cuenta; permitirte entrar | Contrato |
| Ajustes de doble factor | Proteger tu cuenta | Contrato; interés legítimo en la seguridad |
| Facturación: plan, facturas, país, identificadores de cliente y suscripción en Paddle. Nunca recibimos el número completo de tu tarjeta — el pago lo procesa Paddle | Cobrarte, aplicar tu plan, llevar la contabilidad | Contrato; obligación legal |
| Los ajustes de tus chatbots y el contenido del que aprenden | Prestar el Servicio | Contrato |
| Uso: conversaciones contadas, funciones usadas, errores | Aplicar los límites del plan, darte soporte, mejorar el Servicio | Contrato; interés legítimo |
| Los mensajes que nos envías (formulario de contacto, soporte, email) | Responderte | Interés legítimo; contrato |
| Denuncias de abuso: el chatbot o sitio denunciado, el motivo, lo que describes y, solo si lo das, tu email | Revisar la denuncia, responderte y, cuando la ley lo exige, informar a las autoridades | Interés legítimo; obligación legal |
| Lo que escribes en nuestros asistentes (el del sitio y el de soporte del panel) y, si dejas un mensaje para nuestro equipo o pides recibir nuestra respuesta por email en el chat, tu nombre y email | Responderte y, si lo pides, ponerte en contacto con nuestro equipo | Tu autorización, que das en el chat antes de escribir (sitio); contrato (panel) |
| Registro de tu autorización en nuestro chat: su ID, fecha, el texto exacto que aceptaste, el idioma y el sitio — sin dirección IP ni nada de lo que escribes | Probar que autorizaste y, si es el caso, que retiraste la autorización | Obligación legal |
| Datos técnicos: dirección IP, navegador, dispositivo, páginas solicitadas, fecha y hora | Seguridad, prevención de abuso, solución de errores | Interés legítimo |
| Registros de acceso de soporte (cuando nuestro equipo entra a tu cuenta para ayudarte) | Trazabilidad y seguridad | Interés legítimo; obligación legal |
| Correos del producto (renovaciones, límites, avisos de seguridad) | Operar el Servicio | Contrato |
| Correos de novedades, solo si los aceptas | Noticias de Gotachat | Autorización (puedes revocarla cuando quieras) |
Al registrarte nos das tu autorización para tratar tus datos con estas finalidades. No vendemos datos personales ni los usamos para perfiles publicitarios.
4. Cómo usamos la IA
Los chatbots responden con modelos de IA de terceros (sección 6). Lo que se les envía es la pregunta del visitante, las partes relevantes del contenido del cliente y la conversación reciente. Usamos estos proveedores con condiciones de pago que no les permiten usar los datos para entrenar sus modelos, y no usamos el contenido de los clientes ni las conversaciones para entrenar ningún modelo compartido entre clientes. Las respuestas de la IA no producen efectos jurídicos ni igualmente significativos sobre nadie; no tomamos decisiones automatizadas de ese tipo.
Cuando se indexa el contenido de un cliente, también lo revisamos automáticamente con los mismos proveedores de IA, para detectar contenido que nuestros Términos del servicio prohíben (sección 9). Lo que se marca no se indexa y una persona de nuestro equipo lo revisa; la revisión nunca suspende una cuenta por sí sola.
Cuando un visitante dicta una pregunta con el micrófono de un chatbot, la grabación se envía a los mismos proveedores de IA solo para convertirla en texto, que el visitante revisa antes de enviarla. La grabación nunca se guarda, ni por nosotros ni por el proveedor más allá de procesarla.
5. Cuánto tiempo conservamos los datos
| Datos | Plazo |
|---|---|
| Cuenta, contenido y ajustes | Mientras la cuenta esté activa, y 30 días después de terminar la suscripción, vencer la prueba o suspenderse la cuenta (con aviso por email 7 días antes del borrado). Si un administrador cierra la cuenta, 7 días después del cierre. Una cuenta suspendida por abuso se conserva mientras su caso esté abierto |
| Memoria de la conversación entre un visitante y un chatbot | 24 horas desde el último mensaje |
| Las conversaciones de un chatbot con los visitantes (lo que se preguntó y se respondió) y las preguntas de la analítica del cliente, con correos, teléfonos y números largos ocultos en la analítica | 90 días, visibles para los administradores del cliente |
| Registro de las autorizaciones de los visitantes (en nuestro chat y en los chatbots de nuestros clientes) | 24 meses desde que se dio la autorización |
| Mensajes del chat en vivo en el sistema en tiempo real | 48 horas; la transcripción completa se guarda 12 meses en la cuenta del cliente |
| Detalle de las conversaciones contadas (chatbot, sitio, fecha y número de preguntas; sin texto ni datos personales) | 13 meses; después solo los totales por mes |
| Mensajes de contacto que dejan los visitantes | Mientras exista la cuenta del cliente, salvo que el cliente los borre antes |
| Después de borrar una cuenta | Un registro sin datos personales: el nombre, el país y el sitio web de la organización, sus planes, pagos, recargas y número de conversaciones usadas — para la contabilidad y las preguntas de facturación |
| Facturación | Lo que exija la ley tributaria y contable (en Colombia, hasta 10 años) |
| Registros de seguridad y acceso | Hasta 90 días; más solo si hace falta para investigar un incidente |
| Copias de seguridad | Se sobrescriben en su ciclo normal, como máximo 35 días |
6. Quién recibe los datos
Compartimos datos solo con proveedores que los necesitan para operar el Servicio, con contratos que los protegen:
| Proveedor | Servicio | Ubicación |
|---|---|---|
| Amazon Web Services | Alojamiento, bases de datos, archivos, envío de correos (Amazon SES) | Estados Unidos |
| Cloudflare | Entrega de contenido, protección contra ataques, verificación anti-bots (Turnstile), estadísticas de visitas sin cookies (Web Analytics) | Red global |
| Paddle.com | Merchant of Record: pago, impuestos, facturas, reembolsos | Reino Unido / global |
| Microsoft (Microsoft 365) | Nuestros buzones de soporte y privacidad (los mensajes que nos envías) | Estados Unidos |
| Anthropic | Modelos de IA que redactan las respuestas | Estados Unidos |
| Google (API de Gemini) | Modelos de IA para respuestas y para buscar en la base de conocimiento | Estados Unidos |
Paddle actúa como responsable independiente de los datos de pago que recoge; ver su aviso de privacidad. También podemos revelar datos a nuestros asesores (contadores, abogados) bajo confidencialidad, a las autoridades cuando la ley lo exija, o a quien compre el negocio, que quedaría obligado por esta política. Avisaremos a los clientes con 30 días de anticipación antes de sumar un proveedor que trate los datos de sus visitantes.
7. Transferencias internacionales
Nuestros servidores están en Estados Unidos. Al transferir datos desde Colombia, la UE/EEE, el Reino Unido u otros países usamos las garantías que exige la ley: para la UE/EEE y el Reino Unido, las Cláusulas Contractuales Tipo de la Comisión Europea (y el anexo del Reino Unido) o el Marco de Privacidad de Datos UE–EE. UU. cuando el proveedor está certificado; para Colombia, las condiciones de la Ley 1581 y las instrucciones de la Superintendencia de Industria y Comercio (SIC).
8. Tus derechos
Según dónde vivas, tienes derecho a:
- conocer y acceder a tus datos y obtener una copia;
- actualizarlos y rectificarlos;
- suprimirlos, o revocar la autorización cuando nos basamos en ella, si no hay un deber legal o contractual de conservarlos;
- oponerte a ciertos tratamientos o limitarlos, y llevarte tus datos a otro proveedor;
- solicitar prueba de la autorización que diste, y ser informado del uso que se ha dado a tus datos;
- presentar quejas ante la autoridad de protección de datos — en Colombia, la Superintendencia de Industria y Comercio (www.sic.gov.co), después de haber acudido a nosotros; en la UE/EEE o el Reino Unido, la autoridad de tu país.
Cómo ejercerlos: escribe a [email protected] desde el email de tu cuenta (o acreditando tu identidad), diciendo qué necesitas. Respondemos las consultas en máximo 10 días hábiles y los reclamos en máximo 15 días hábiles, como exige la ley colombiana, y en un mes las solicitudes bajo el RGPD; si necesitamos más tiempo, te diremos por qué y cuándo responderemos. Algunas cosas puedes hacerlas tú mismo en tu cuenta (editar tu perfil, descargar transcripciones del chat en vivo). En nuestro chat puedes retirar tu autorización en cualquier momento con el botón Autorización, debajo del encabezado, donde también ves su ID y su fecha; con ese ID puedes pedirnos la prueba de tu autorización.
9. Seguridad
Protegemos los datos con cifrado en tránsito (HTTPS/TLS), contraseñas guardadas con hash, doble factor opcional (obligatorio para nuestro equipo), separación de la base de conocimiento de cada chatbot, acceso limitado a quien lo necesita, registro de los accesos de nuestro equipo a cuentas de clientes, y monitoreo. Ningún sistema es completamente seguro; si un incidente afecta tus datos, te avisaremos a ti y a las autoridades como lo exige la ley.
10. Cookies y tecnologías similares
- Nuestro sitio y el panel usan cookies estrictamente necesarias: la de sesión, que te mantiene conectado, y las de seguridad de Cloudflare (incluida Turnstile, para frenar registros automatizados). El pago lo presta Paddle, que usa sus propias cookies para procesarlo y prevenir fraudes.
- El chatbot en los sitios de nuestros clientes guarda en el navegador del visitante (almacenamiento local) un identificador anónimo de la conversación y el estado del widget, solo para que la conversación continúe entre páginas, y, cuando el sitio pide la autorización, su ID y su fecha, para que el chat no la vuelva a pedir. Nuestro propio chat hace lo mismo. No rastrea a los visitantes en otros sitios.
- Estadísticas de visitas: en nuestro sitio y en el panel, Cloudflare Web Analytics cuenta las visitas y las páginas vistas y mide qué tan rápido cargan, sin cookies, sin guardar nada en tu navegador y sin seguirte en otros sitios. Nunca se agrega al chatbot en los sitios de nuestros clientes.
- No usamos cookies publicitarias. Si agregamos analítica que requiera consentimiento, lo pediremos antes.
11. Menores de edad
El Servicio es para empresas y profesionales y no está dirigido a menores. No recogemos a sabiendas datos de menores de 18 años. Los clientes no deben usar un chatbot para recoger datos de niños, niñas o adolescentes sin cumplir los requisitos legales que les apliquen.
12. Cambios a esta política
Publicaremos cualquier cambio en esta página con su nueva fecha y, si es importante, avisaremos a los clientes por email con al menos 30 días de anticipación.
13. Vigencia
Esta política rige desde la fecha de su última actualización, indicada al inicio. Los datos se tratan durante el tiempo necesario para las finalidades de la sección 3 y los plazos de la sección 5.