Acuerdo de tratamiento y seguridad de datos (DPSA)

Última actualización: 16 de octubre de 2026 · Versión 1.0

Este Estándar explica cómo BobOffice, LLC, operadora de ChatSales ("ChatSales", "nosotros"), protege los datos personales que nuestros clientes tratan en la plataforma ChatSales, las medidas de seguridad que aplicamos y las leyes de protección de datos que nuestras prácticas están diseñadas para respaldar. Aplica a todos los clientes de ChatSales.

1. Alcance

Este Estándar cubre los datos personales en las cuentas de clientes de ChatSales: contactos, conversaciones, embudos, difusiones, formularios y fuentes de conocimiento de la IA, así como los datos de los usuarios del cliente. Complementa nuestro Aviso de privacidad y los Términos del servicio.

2. Nuestro papel

Respecto de los contactos y conversaciones de la cuenta de un cliente, el cliente es el responsable y ChatSales es el encargado (o service provider / data intermediary / operador, según la ley). Tratamos esos datos solo para prestar el servicio y según las instrucciones del cliente. Nunca vendemos ni compartimos los datos de los clientes para publicidad. ChatSales es responsable solo de sus propios datos de cuenta, facturación, seguridad y uso del producto.

3. Principios de protección de datos

Aplicamos los principios reconocidos internacionalmente: licitud y transparencia; limitación de la finalidad (solo para prestar el servicio); minimización; exactitud (el cliente puede editar y eliminar datos en cualquier momento); limitación del plazo de conservación (eliminación al terminar el servicio); integridad y confidencialidad (sección 5); y responsabilidad proactiva (medidas documentadas y este Estándar).

4. Datos que tratamos

Nombres, teléfonos, correos, nombres y fotos de perfil que entregan los canales de mensajería; contenido de mensajes (texto, imágenes, audio, video, documentos); etiquetas, notas, etapa del embudo, montos de venta y campos personalizados; respuestas de formularios; datos de referencia de anuncios (ID y título); y datos de cuenta y uso de los usuarios del cliente. El servicio no está diseñado para datos sensibles o de categorías especiales.

5. Estándar de seguridad

Cifrado: TLS 1.2 o superior en tránsito; AES-256 o equivalente en reposo.
Control de acceso: acceso por roles con mínimo privilegio, cuentas únicas, autenticación multifactor para acceso administrativo y revocación inmediata al cambiar funciones.
Red y aplicación: firewalls, segmentación de red, protección DDoS y límites de solicitudes; desarrollo seguro, parches de dependencias, análisis automatizados y evaluaciones periódicas de vulnerabilidades.
Resiliencia: respaldos, monitoreo y un proceso de respuesta a incidentes con funciones definidas.
Personas: obligaciones de confidencialidad para todo el personal con acceso a datos personales; políticas de seguridad revisadas al menos una vez al año.

5.1 Base de datos y alojamiento en Amazon Web Services (AWS)

Los datos de los clientes, incluida la base de datos y los mensajes y archivos almacenados, se alojan en Amazon Web Services. AWS opera sus centros de datos e infraestructura con las siguientes certificaciones y atestaciones auditadas de forma independiente (propias de AWS, publicadas en aws.amazon.com/compliance):

Bajo el modelo de responsabilidad compartida de AWS, AWS protege la infraestructura de la nube (centros de datos, hardware, red y virtualización) y la plataforma protege lo que corre sobre ella (accesos, configuración del cifrado, aplicación y datos). Los centros de datos de AWS cuentan con controles de acceso físico, vigilancia 24/7 y protecciones ambientales y de energía.

6. Quién ve qué dentro de su cuenta

Cada persona tiene su propio usuario. El cliente asigna roles (Administrador, Editor, Agente) y permisos uno por uno. Con "Acceso a todos los chats" apagado, un agente solo ve los chats asignados a él o ella. El cliente también decide quién puede ver todos los contactos o exportarlos, para proteger su base si alguien deja el equipo.

7. Canales de mensajería e IA

Las conexiones de WhatsApp por API usan la plataforma oficial WhatsApp Business de Meta; las tarifas de mensajes las paga el cliente directamente a Meta. Las respuestas asistidas por IA funcionan solo donde el cliente las activa, con sus propias fuentes de conocimiento; los datos enviados a nuestro proveedor del modelo de IA por su API no se usan para entrenar sus modelos.

8. Incidentes de seguridad

Si un incidente de seguridad afecta los datos personales de un cliente, se lo notificamos sin demora injustificada y dentro de 72 horas desde que tengamos conocimiento, con la naturaleza del incidente, los datos y personas afectados, las consecuencias probables, las medidas tomadas y un punto de contacto, y apoyamos las notificaciones del cliente a autoridades y personas.

9. Derechos de las personas

El cliente puede ver, editar, exportar y eliminar contactos directamente en el producto, y lo asistimos con solicitudes de acceso, rectificación, cancelación o supresión, limitación, portabilidad, oposición y derechos equivalentes (incluidos los derechos ARCO en México). Las solicitudes que recibimos directamente se remiten al cliente.

10. Transferencias internacionales

Los datos pueden tratarse en los países de la sección 12. Cuando la ley exige un mecanismo de transferencia, usamos salvaguardas reconocidas: las Cláusulas Contractuales Tipo de la UE (2021/914), el Addendum de transferencias internacionales del Reino Unido y los mecanismos equivalentes de las demás leyes de la sección 13.

11. Conservación y eliminación

El cliente puede exportar sus datos en cualquier momento. Al terminar el servicio, o a solicitud, eliminamos sus datos personales dentro de 30 días, incluidas las copias en poder de subencargados, salvo que la ley obligue a conservarlos; los respaldos se sobrescriben en el curso ordinario.

12. Subencargados

Avisamos a los clientes con 30 días de anticipación antes de agregar o sustituir un subencargado; el cliente puede oponerse por motivos razonables.

13. Leyes y marcos que respalda este Estándar

ChatSales no cuenta con una certificación propia bajo estas leyes; nuestras prácticas y contratos están diseñados para respaldar el cumplimiento de nuestros clientes. Las certificaciones de AWS son propias de AWS.

14. Responsabilidades del cliente

El cliente es responsable de contar con una base legal y el consentimiento (opt-in) necesario para los contactos que carga y los mensajes que envía, de cumplir las políticas de WhatsApp y Meta, de configurar los permisos de sus usuarios y de su propio aviso de privacidad para sus clientes.

15. Contratos disponibles a solicitud

Cuando un cliente decide avanzar, firmamos: un Contrato de encargo de tratamiento de datos (DPA) (con las Cláusulas Contractuales Tipo de la UE y los términos por jurisdicción), un Acuerdo mutuo de confidencialidad (NDA) y una carta de confidencialidad a nombre de su empresa. También respondemos cuestionarios de seguridad. Solicítelos en info@chatsales.app.

16. Contacto

BobOffice, LLC (ChatSales) · privacidad y seguridad: info@chatsales.app · WhatsApp +1 302 314 2292 · trust.chatsales.app

Este Estándar describe nuestras prácticas y puede actualizarse; la versión vigente se publica en trust.chatsales.app. Cuando exista un contrato firmado con un cliente, ese contrato prevalece.