Privacidad de los asistentes de WhatsApp

1. Quién trata tus datos

Luis Antonio López Latorre (nombre comercial: Luis López Comunicación)

NIF: 76916968T

Correo: hola@luislopezcomunicacion.es

El papel de Luis López Comunicación depende de quién seas:

• Si escribes o llamas a una empresa que usa el servicio, el responsable de tus datos es esa empresa. Luis López Comunicación actúa como encargado del tratamiento: trata los datos solo por cuenta de la empresa, siguiendo sus instrucciones y con un contrato de encargo celebrado con ella (artículo 28 del RGPD). Para ejercer tus derechos puedes dirigirte a la empresa o a nosotros, y se la haremos llegar.
• Si escribes al asistente de prueba que enlazamos en esta web (+34 613 59 04 66, una clínica dental de ejemplo), el responsable de tus datos es Luis López Comunicación. Usamos esos mensajes solo para que veas cómo funciona el servicio. Es una demostración: no envíes datos reales de salud ni otros datos sensibles.
• Si eres cliente del servicio o usuario del panel, Luis López Comunicación es el responsable de los datos de tu cuenta y de la relación comercial.

2. Qué datos tratamos

De las personas que escriben al WhatsApp, al chat web o al Instagram de una empresa cliente, o al asistente de prueba

• Número de teléfono y nombre del perfil (WhatsApp o Instagram).
• Contenido de los mensajes enviados y recibidos y, en Instagram, los comentarios públicos que activan una respuesta privada cuando la empresa lo configura.
• Fotos y documentos PDF que envíes. Se guardan y el asistente puede analizarlos para entender tu consulta. Pueden contener datos de salud (por ejemplo, la foto de una lesión o un informe) si la persona los envía. El asistente no las interpreta con fines clínicos y pasa esas consultas a una persona, pero se guardan durante los plazos del apartado 5 y las analiza nuestro proveedor de inteligencia artificial.
• Notas de voz, que se convierten en texto para poder responder. El audio no se guarda en nuestra plataforma; el texto resultante queda en la conversación.
• Fecha, hora y estado de los mensajes (enviado, entregado, leído).
• Datos que facilites para pedir una cita: nombre, teléfono, servicio solicitado, fecha y hora.
• Si reservas por el chat web, Instagram o teléfono y aceptas recibir por WhatsApp los avisos de esa cita (recordatorio, cuidados, reseña), el número que nos das para ello y el momento en que lo aceptaste. Ese permiso no sirve para promociones.
• Cuando la empresa responde desde su aplicación de WhatsApp Business, también esos mensajes, para mantener el historial completo de la conversación.

De las personas que llaman por teléfono a una empresa que activa la atención telefónica

• Tu voz durante la llamada, la transcripción de lo que se dice y un resumen breve.
• El número desde el que llamas, para poder devolver la llamada. No da acceso a ninguna información: para consultar o cambiar citas que ya tenías, el asistente te envía un código de 4 cifras por WhatsApp a ese número.
• Fecha, duración y coste de la llamada.

De las personas que pagan una señal, un bono o una tarjeta regalo (solo si la empresa activa el cobro online)

• Qué compras, el importe y la cita o bono a la que corresponde. Los datos de la tarjeta los introduces directamente en Stripe: ni nosotros ni la empresa los vemos.

Te pedimos que no envíes por estos canales datos bancarios ni documentos de identidad, ni datos de salud más allá de lo necesario para tu cita. El asistente no diagnostica ni valora síntomas. Si la empresa es sanitaria, ella indica en su política la base jurídica de esos datos, está sujeta a secreto profesional y debe ofrecerte otra forma de contacto.

De los clientes y usuarios del panel

• Nombre, correo electrónico y teléfono de contacto.
• Datos de facturación.
• Registros de acceso y de las acciones realizadas en el panel.
• Las credenciales de conexión con Meta, Google, Apple o Stripe que el cliente autoriza, guardadas cifradas.

3. Para qué los usamos y con qué base legal

Uso de inteligencia artificial. Las respuestas automáticas las genera un modelo de lenguaje. En el primer mensaje de cada conversación te avisamos de que hablas con un asistente automático (por teléfono, de que hablas con un asistente virtual) y de cómo hablar con una persona. El asistente no toma decisiones con efectos jurídicos ni que te afecten de forma significativa: si algo requiere el criterio de una persona, deriva la conversación.

Si envías una foto o un documento, el asistente puede analizarlo para entender tu consulta. No hace diagnósticos ni cierra presupuestos: si hace falta el criterio de una persona, pasa la conversación al equipo de la empresa.

No usamos tus datos para publicidad ni los vendemos. No usamos el contenido de las conversaciones para entrenar modelos de inteligencia artificial ni autorizamos a nuestros proveedores a hacerlo.

4. Con quién se comparten (proveedores)

Para prestar el servicio usamos estos proveedores, con contratos que les obligan a proteger los datos. Los marcados con «si se activa» solo reciben datos si la empresa contrata esa función. Meta, Stripe y los calendarios funcionan con la cuenta de la propia empresa y con las condiciones que ella acepta. Stripe decide además por su cuenta sobre los datos de pago, el fraude y el cumplimiento financiero, y es responsable de ello.

Las transferencias fuera del Espacio Económico Europeo se amparan en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está adherido (Stripe, ElevenLabs, Twilio y Cal.com lo indican en sus contratos de tratamiento de datos) y, si no, en las cláusulas contractuales tipo aprobadas por la Comisión Europea (Anthropic, Supabase, Kapso, OpenAI, y como respaldo los demás). Meta aplica su propio apéndice europeo de transferencias.

Solo comunicamos datos a autoridades cuando una ley nos obliga.

5. Cuánto tiempo los guardamos

• Conversaciones (mensajes y transcripción de las llamadas): mientras la empresa cliente use el servicio, con un máximo de 12 meses desde el último mensaje. La empresa puede fijar un plazo menor (de 1 a 12 meses). Pasado el plazo se borran automáticamente.
• Fotos y documentos que envíes: 90 días como máximo desde que llegan (la empresa puede fijar un plazo menor, de 7 a 90 días), para que el asistente y el equipo de la empresa puedan verlos. Después se borran automáticamente. Si se suprime a la persona o se borra el mensaje, se borran también al momento.
• Audio de notas de voz y de llamadas: nuestra plataforma no lo guarda. Lo que conserve cada proveedor (Kapso, OpenAI, ElevenLabs, Twilio) depende de sus propios plazos.
• Datos técnicos (registros de errores, avisos al equipo y entregas a sistemas externos): 90 días.
• Conversaciones con el asistente de prueba: se borran automáticamente al mes del último mensaje.
• Copia en Kapso: cuando un número se conecta mediante Kapso, este proveedor conserva también una copia de los mensajes según sus propios plazos.
• Contactos y citas: se conservan mientras la empresa cliente use el servicio. Quien se da de baja de promociones queda, solo con una huella (hash) del teléfono y sin nombre, en una lista que impide volver a darle de alta; es la prueba de la baja.
• Pagos: los datos del cobro los conserva Stripe en la cuenta de la empresa según sus plazos y las obligaciones contables de la empresa. En nuestra plataforma queda el registro de la señal, el bono o la tarjeta regalo (importe, código, saldo y fechas), sin nombres ni mensajes, mientras la empresa use el servicio.
• Si la empresa deja el servicio: exportamos todos sus datos (en JSON, con enlaces temporales a sus fotos y PDF) y los borramos en un plazo máximo de 30 días desde la baja, tras pausar el negocio y con doble confirmación. Se conservan solo los cobros del bono de teléfono y los datos de facturación del negocio, durante los plazos que exige la ley, y el registro de bajas, solo con huellas. Cerramos a mano lo que está fuera de nuestra plataforma (Kapso, Meta, Stripe, calendarios, Twilio, ElevenLabs).
• Datos de clientes y facturación: durante la relación contractual y, después, durante los plazos que exige la ley (6 años para la documentación contable y fiscal).

6. Tus derechos

Puedes pedir el acceso a tus datos, su rectificación o supresión, la limitación u oposición a su tratamiento y su portabilidad. Escribe a hola@luislopezcomunicacion.es indicando tu número de WhatsApp (o de teléfono) y la empresa con la que hablaste. Si los datos los trata una empresa cliente, le trasladamos tu petición en un máximo de 3 días hábiles para que te responda.

Cuando se suprime a una persona se borran su ficha, sus conversaciones, sus fotos y PDF, sus llamadas (las verificadas por código de WhatsApp o con el mismo número), sus comentarios de Instagram y lo que el asistente aprendió de sus conversaciones; las citas, productos apartados, bonos y tarjetas regalo se conservan sin nombre ni notas (código, saldo e importe, sin datos personales), y se vacían los avisos pendientes. Queda aparte una huella del teléfono para impedir que se le vuelva a dar de alta. Esta supresión no llega a la copia en Kapso, que borramos si la empresa lo pide, ni a lo que conserven ElevenLabs, Twilio u OpenAI si están activados. Tampoco a las citas pasadas en Cal.com ni a los nombres que otra persona escriba en su propia conversación; las citas pasadas del calendario externo de la empresa (Google o Apple) se conservan como «Cita», sin nombre ni descripción. En esos casos se lo comunicamos a la empresa responsable.

Si crees que no hemos respetado tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos.

7. Eliminación de datos de la aplicación de Meta

Si conectaste tu cuenta de WhatsApp Business a la plataforma a través de Meta y quieres desconectarla y borrar tus datos, escribe a hola@luislopezcomunicacion.es con el asunto «Eliminar datos». Desconectaremos la cuenta y borraremos los datos asociados en un plazo máximo de 30 días, y te confirmaremos el borrado por correo.

8. Seguridad

Los datos viajan cifrados. La base de datos y los archivos de la plataforma están en servidores de la UE; los proveedores del apartado 4 pueden tratarlos fuera, con las garantías indicadas allí. Las credenciales de conexión se guardan cifradas. Cada empresa cliente solo puede ver sus propias conversaciones, y el acceso al panel requiere usuario, contraseña y verificación en dos pasos (o huella).

9. Cambios en esta política

Si cambiamos esta política, publicaremos la nueva versión en esta página con su fecha de actualización. Si el cambio es importante, avisaremos a nuestros clientes por correo.