Política de Privacidad de FaboBot

El responsable de la plataforma es FaboBot, operadora del sitio https://fabobot.com y de la aplicación disponible en ese dominio.

• Sitio web: https://fabobot.com
• Contacto para asuntos de privacidad y datos personales: adm@fabobot.com

Respecto de los datos de los contactos que escriben a un negocio por WhatsApp, el negocio que usa FaboBot es quien decide para qué los usa y es el responsable frente a esas personas. FaboBot los procesa por cuenta de ese negocio, según la configuración que el negocio realiza en la plataforma, y actúa en ese caso como proveedor de servicio (encargado del tratamiento).

FaboBot solo almacena los datos necesarios para que la plataforma funcione. Se agrupan así:

Datos de cuenta (usuarios de la plataforma):

• Nombre y dirección de correo electrónico.
• Contraseña, almacenada únicamente como hash derivado con scrypt; nunca en texto plano.
• Teléfono y foto de perfil, si el usuario los carga.
• Fecha del último inicio de sesión y fecha del último cambio de contraseña.
• Membresías y roles dentro de cada agente (administrador, editor, operador o visualizador).

Datos comerciales (del negocio que usa FaboBot):

• Nombre, correo, teléfono, número de WhatsApp, sitio web, dirección, ciudad, país y logotipo del negocio.
• Configuración de cada agente: nombre público, personalidad, reglas, base de conocimiento, preguntas frecuentes, documentos, flujos, catálogo de productos y servicios, promociones, horarios y recursos de agenda, plantillas de seguimiento.
• Datos de suscripción y facturación descritos más abajo.

Datos de contactos y clientes (personas que escriben al negocio):

• Número de teléfono y nombre de perfil de WhatsApp, cuando Meta lo entrega.
• Nombre, ubicación declarada, sector o zona declarada, idioma y notas que el negocio registre en el CRM.
• Etiquetas, oportunidades comerciales, notas internas y registros de quién del equipo atendió cada conversación.
• Citas: fecha, hora, servicio, recurso asignado, precio, notas visibles para el cliente y notas internas del negocio.
• Pedidos y carritos: productos, cantidades, importes, método de pago declarado, dirección de envío y notas del pedido.

Conversaciones y mensajes:

• El contenido de los mensajes entrantes y salientes, incluidos los generados por el agente de inteligencia artificial y los enviados por el equipo del negocio.
• Transcripciones de las notas de voz recibidas.
• Estados de entrega (enviado, entregado, leído, error) y sus fechas.
• Resúmenes de la conversación y datos derivados (último tema, intención detectada, resultado comercial) generados para operar el agente.
• Preguntas que el agente no supo responder, guardadas para que el negocio mejore su base de conocimiento.
• El cuerpo completo de cada notificación (webhook) recibida de Meta, conservado como registro técnico de lo recibido.

Archivos:

• Imágenes, audios, videos, documentos y stickers recibidos o enviados por WhatsApp.
• Documentos, imágenes y logotipos que el negocio carga en la plataforma.
• Audios generados por síntesis de voz para responder a los contactos.

Datos técnicos:

• Registros de operación del servidor: identificadores técnicos de agente, conversación y mensaje, tiempos de respuesta, errores y métricas de uso de la inteligencia artificial (cantidad de tokens, segundos de audio, costo estimado). Estos registros no incluyen el contenido de los mensajes ni el teléfono de los contactos.
• Registros de auditoría de acciones relevantes del negocio (cambios de stock, cambios de estado de pedidos y citas), con el usuario que las realizó y el estado anterior y posterior.
• Dirección IP: se lee en el momento de iniciar sesión, crear una cuenta o pedir una recuperación de contraseña, únicamente para limitar intentos repetidos. Se mantiene en memoria de forma temporal y no se guarda en la base de datos.
• Correo electrónico del destinatario en los registros del servidor cuando un aviso transaccional no puede entregarse o el proveedor de correo responde con error.
• Cookies estrictamente necesarias, descritas en la sección de cookies.

Datos de integraciones:

• Credenciales que el negocio conecta para operar su agente: claves de API de OpenAI y ElevenLabs, y tokens de acceso de WhatsApp Business (Meta). Se almacenan cifradas y en la interfaz solo se muestran sus últimos caracteres.
• Tokens de acceso de plataformas publicitarias, si el negocio los conecta para atribuir campañas.
• Datos de atribución publicitaria: identificadores de clic (por ejemplo gclid, ttclid o ctwa_clid), parámetros UTM y referencias de anuncios de clic a WhatsApp, asociados a la conversación que originaron. Los enlaces de seguimiento de FaboBot no registran la dirección IP ni el navegador del visitante.

FaboBot se conecta a la API de WhatsApp Business (WhatsApp Cloud API) de Meta para recibir y enviar mensajes en nombre del negocio que la utiliza. En ese proceso FaboBot puede procesar:

• Números de teléfono de las personas que escriben al negocio y del propio negocio.
• Nombres de perfil de WhatsApp, cuando Meta los incluye en la notificación.
• Mensajes entrantes y salientes: texto, respuestas a listas y botones, y el texto de las notas de voz una vez transcritas.
• Multimedia: imágenes, audios, videos, documentos y stickers, que se descargan de Meta y se guardan en el almacenamiento privado de FaboBot.
• Metadatos necesarios para prestar el servicio: identificadores de mensaje, marcas de tiempo, estados de entrega y lectura, errores de envío, identificador del número de teléfono de negocio y de la cuenta de WhatsApp Business.
• Datos de referencia cuando la conversación se origina en un anuncio de clic a WhatsApp: identificador del anuncio y del clic, tipo y URL de origen, y un extracto del titular y del texto del anuncio. Las imágenes y videos del anuncio se descartan.
• Ubicaciones compartidas por el contacto, que se reciben para responder en el momento pero no se almacenan como coordenadas.

Estos datos se usan únicamente para operar las funciones que el negocio configuró en FaboBot: responder mensajes, registrar contactos y conversaciones, gestionar citas, pedidos y seguimientos, y mostrar la actividad al equipo del negocio. FaboBot no usa los datos obtenidos a través de la plataforma de Meta para fines publicitarios propios, no los vende ni los comparte con terceros ajenos a la prestación del servicio.

FaboBot verifica la firma de cada notificación recibida de Meta antes de procesarla y utiliza los tokens de acceso del negocio, cifrados, para comunicarse con la API. El uso de la información recibida de Meta está sujeto además a las políticas de la plataforma de WhatsApp Business que aplican al negocio que la utiliza.

FaboBot trata los datos descritos para las siguientes finalidades:

• Prestar la plataforma: crear y administrar cuentas, agentes, equipos y configuraciones.
• Automatizar la atención y responder mensajes de WhatsApp con el agente de inteligencia artificial y con el equipo humano del negocio.
• Gestionar el CRM: registrar contactos, etiquetas, notas, oportunidades y el historial de cada conversación.
• Gestionar citas, disponibilidad y recursos, así como catálogos, carritos, pedidos y promociones.
• Ejecutar seguimientos programados por el negocio (por ejemplo, recordatorios de cita o carritos sin completar).
• Atribuir conversaciones a campañas publicitarias cuando el negocio configura enlaces de seguimiento o anuncios de clic a WhatsApp.
• Enviar avisos transaccionales por correo: recuperación y cambio de contraseña, alertas de seguridad e invitaciones al equipo.
• Facturación y gestión de suscripciones, periodos de prueba y límites de plan.
• Seguridad: autenticación, verificación de firmas de webhooks, límites de intentos, cifrado de credenciales y registros de auditoría.
• Soporte técnico y operación de la plataforma, incluida la revisión de errores.
• Prevención de abuso, fraude y usos contrarios a las condiciones del servicio.
• Mejora operacional: métricas de uso, costos y rendimiento del agente, sin el contenido de los mensajes.

FaboBot no utiliza los mensajes ni los datos de los contactos para entrenar modelos propios ni para perfilado publicitario.

Las respuestas automáticas del agente se generan con modelos de inteligencia artificial de proveedores externos. Para ello, FaboBot envía a esos proveedores la información necesaria para producir cada respuesta:

• A OpenAI: las instrucciones del agente configuradas por el negocio (identidad, reglas, base de conocimiento, preguntas frecuentes y contexto de productos o servicios), los últimos mensajes de la conversación, el mensaje actual del contacto y los resultados de las herramientas que el agente consulta (catálogo, disponibilidad de citas, carrito). También se envían las notas de voz para transcribirlas, las imágenes que el contacto comparte para que el agente pueda describirlas, y los textos de la base de conocimiento para generar representaciones vectoriales que permiten buscarlos.
• A ElevenLabs: únicamente el texto de la respuesta del agente, para convertirlo en audio cuando el negocio activa la respuesta por voz. No se envía ningún identificador del contacto.

El número de teléfono y el nombre del contacto no se incluyen en las instrucciones ni en los mensajes que se envían a los modelos de inteligencia artificial. Sin embargo, si el propio contacto escribe datos personales dentro de un mensaje, ese texto forma parte de la conversación que el modelo recibe.

Las credenciales de OpenAI y ElevenLabs que usa cada agente son las que el negocio conecta en su cuenta, de modo que la relación contractual con esos proveedores es del negocio. Los proveedores de inteligencia artificial tratan la información según sus propios términos y políticas de privacidad. FaboBot no afirma que estos proveedores no conserven los datos enviados: la retención y el uso que hagan de ellos se rigen por las condiciones vigentes de cada proveedor y por la configuración de la cuenta del negocio con ese proveedor.

El análisis de imágenes se usa para describir su contenido en el contexto de la conversación. FaboBot no realiza identificación biométrica ni reconocimiento facial.

FaboBot trata los datos conforme a la Ley Orgánica de Protección de Datos Personales de la República del Ecuador (LOPDP) y su reglamento, y, cuando el negocio o el contacto se encuentren en otro país, a la normativa de protección de datos que resulte aplicable. Las justificaciones del tratamiento, según el caso, son:

• Prestación del servicio: el tratamiento es necesario para ofrecer la plataforma contratada por el negocio y para responder a los contactos que le escriben.
• Consentimiento, cuando corresponda: por ejemplo, cuando el negocio decide activar funciones opcionales o cuando la normativa aplicable lo exige para una finalidad concreta.
• Cumplimiento legal: conservación de registros de facturación y atención de requerimientos de autoridades competentes.
• Seguridad e intereses legítimos aplicables: proteger las cuentas, prevenir abusos y fraude, mantener la integridad de la plataforma y mejorar su operación.

Cuando FaboBot procesa datos de contactos por cuenta de un negocio, es responsabilidad del negocio contar con la base legal adecuada para comunicarse con esas personas por WhatsApp y para registrar su información.

FaboBot se apoya en los siguientes proveedores, que pueden procesar datos únicamente para prestar sus servicios a FaboBot y bajo sus propias condiciones de seguridad y privacidad:

• Vercel: alojamiento y ejecución de la aplicación web y de sus procesos en segundo plano.
• Supabase: base de datos PostgreSQL gestionada y almacenamiento privado de archivos (multimedia, documentos, logotipos y audios).
• Meta Platforms (WhatsApp Business / WhatsApp Cloud API): recepción y envío de mensajes de WhatsApp y descarga de archivos multimedia.
• OpenAI: generación de respuestas, transcripción de audio, descripción de imágenes y representaciones vectoriales de la base de conocimiento.
• ElevenLabs: síntesis de voz a partir del texto de las respuestas del agente.
• Lemon Squeezy: cobro de suscripciones, gestión de pagos y emisión de recibos.
• Resend: envío de correos transaccionales (recuperación de contraseña, avisos de seguridad e invitaciones al equipo).

FaboBot no utiliza herramientas de analítica de terceros ni píxeles publicitarios en la plataforma. Si en el futuro se incorpora un nuevo proveedor que procese datos personales, esta política se actualizará.

Los datos se conservan mientras la cuenta del negocio esté activa y sean necesarios para prestar el servicio. FaboBot no aplica actualmente plazos de borrado automático sobre conversaciones, mensajes, archivos o registros técnicos: la eliminación se realiza a solicitud del negocio o del titular de los datos, según se describe en las secciones de derechos y de eliminación.

• Datos de cuenta y del negocio: mientras la cuenta exista. Al cerrar la cuenta se eliminan o anonimizan, salvo lo que deba conservarse por obligación legal.
• Conversaciones, mensajes, transcripciones y archivos: mientras el negocio los mantenga en su cuenta o hasta que se solicite su eliminación.
• Registros de facturación y suscripción: durante el tiempo exigido por las obligaciones fiscales y contables aplicables.
• Registros técnicos, de auditoría y de webhooks: durante el tiempo necesario para la seguridad, la resolución de incidentes y la trazabilidad de la operación.
• Sesiones de usuario: expiran a las 8 horas o antes si cambia la contraseña.

Cuando un negocio elimina un contacto, una conversación o un archivo desde el panel, el elemento deja de estar disponible en la plataforma. La eliminación definitiva de las copias subyacentes y de los respaldos puede completarse posteriormente, en el marco de la operación normal del servicio.

FaboBot aplica medidas técnicas y organizativas razonables para proteger la información. Entre ellas:

• Aislamiento multi-tenant: cada consulta a la base de datos se filtra por el agente y por la membresía del usuario, de modo que un negocio no puede ver los datos de otro.
• Controles de acceso por rol dentro de cada agente, con verificación de la sesión en el servidor en cada solicitud.
• Cifrado de credenciales de integraciones (OpenAI, ElevenLabs, WhatsApp y plataformas publicitarias) con AES-256-GCM y una clave maestra que se mantiene fuera de la base de datos.
• Contraseñas almacenadas únicamente como hash con scrypt y sal aleatoria; tokens de recuperación de contraseña guardados solo como hash, de un solo uso y con vencimiento.
• Conexiones cifradas mediante HTTPS entre el navegador, la plataforma y los proveedores.
• Almacenamiento privado de archivos: nada se sirve directamente desde el proveedor de almacenamiento; el acceso exige una sesión con permiso o un enlace firmado de corta duración.
• Verificación de la firma criptográfica de cada webhook recibido de Meta y de Lemon Squeezy antes de procesarlo.
• Límites de intentos en inicio de sesión, registro y recuperación de contraseña.
• Registros de auditoría de acciones relevantes y registros de operación que excluyen el contenido de los mensajes.
• Separación de entornos: los entornos de prueba usan bases de datos, almacenamiento y claves propias y no pueden conectarse a los datos de producción.
• Acceso del personal de FaboBot limitado a lo necesario para soporte, seguridad, facturación y operación; la vista global de conversaciones para administración de la plataforma muestra metadatos y no el contenido de los mensajes.

Ningún sistema es completamente infalible. FaboBot no puede garantizar la seguridad absoluta de la información, pero se compromete a mantener estas medidas, a revisarlas y a notificar los incidentes que afecten datos personales conforme a la normativa aplicable.

La plataforma usa únicamente cookies técnicas necesarias para funcionar. No hay cookies de analítica, publicidad ni de terceros, y por eso no se muestra un aviso de cookies.

• Cookie de sesión de autenticación: identifica al usuario que inició sesión. Es de acceso exclusivo del servidor (HttpOnly), se envía solo por HTTPS y caduca a las 8 horas.
• Cookie de último agente visitado: recuerda durante 30 días qué agente estaba usando el usuario para ofrecerle volver a él desde su perfil o facturación. Es solo una pista de navegación; el servidor vuelve a comprobar los permisos antes de usarla.

Las páginas públicas, incluida esta política, no requieren cookies para consultarse.

Tanto los usuarios de la plataforma como los contactos cuyos datos procesa un negocio a través de FaboBot pueden ejercer los derechos que reconoce la Ley Orgánica de Protección de Datos Personales del Ecuador y, en la medida en que otra normativa aplicable lo reconozca:

• Acceso: conocer qué datos se conservan sobre la persona.
• Rectificación: corregir datos inexactos o incompletos.
• Eliminación: solicitar el borrado o la anonimización de sus datos.
• Oposición y restricción: oponerse a un tratamiento o pedir que se limite, cuando aplique.
• Portabilidad: recibir una copia de sus datos en un formato estructurado, cuando aplique.
• Suspensión del tratamiento y no ser objeto de decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos, en los términos de la LOPDP.

Las solicitudes se envían a adm@fabobot.com. Los usuarios de la plataforma pueden además editar sus datos de cuenta y de negocio directamente desde el panel. Si la solicitud proviene de un contacto de un negocio, FaboBot puede derivarla al negocio responsable o coordinar con él la respuesta, y en todo caso colaborará para que se atienda.

FaboBot puede pedir información adicional para verificar la identidad de quien solicita y responderá dentro de los plazos que establece la LOPDP. La persona también puede presentar una reclamación ante la Superintendencia de Protección de Datos Personales del Ecuador o ante la autoridad de protección de datos competente en su país.

Para solicitar la eliminación de una cuenta de FaboBot, de un negocio, de un agente o de datos concretos, escriba a adm@fabobot.com desde el correo asociado a la cuenta o indicando información suficiente para identificar la cuenta o el workspace correspondiente.

Al recibir la solicitud, FaboBot verificará su legitimidad, confirmará el alcance con el solicitante y procederá a eliminar o anonimizar los datos aplicables: datos de cuenta, configuración de agentes, contactos, conversaciones, mensajes, transcripciones, archivos y credenciales de integraciones. Se conservará únicamente la información que deba mantenerse por obligación legal (por ejemplo, registros de facturación) o por necesidades de seguridad debidamente justificadas, durante el tiempo estrictamente necesario.

La eliminación de la cuenta desactiva de inmediato el acceso a la plataforma. La eliminación definitiva de los datos y de sus copias en respaldos se completa como parte de la operación del servicio.

Para solicitar la eliminación de información relacionada con su cuenta, contactos o conversaciones procesadas mediante FaboBot a través de WhatsApp o de la plataforma de Meta, el usuario puede escribir a adm@fabobot.com.

La solicitud debe permitir identificar la cuenta o workspace correspondiente. Para un negocio, basta con el correo de la cuenta o el número de WhatsApp conectado; para una persona que escribió a un negocio, el número de teléfono desde el que se comunicó y, si es posible, el nombre del negocio.

FaboBot verificará la legitimidad de la solicitud antes de eliminar o anonimizar los datos aplicables, salvo información que deba conservarse por obligación legal.

Cuando un negocio desconecta su número de WhatsApp o deja de usar FaboBot, puede pedir en la misma dirección que se eliminen los tokens de acceso de Meta almacenados, así como los mensajes, archivos y registros de notificaciones recibidos a través de la API de WhatsApp.

Los proveedores enumerados en esta política operan infraestructura en distintos países. En consecuencia, los datos pueden almacenarse o procesarse fuera del país del negocio o del contacto, en particular en Estados Unidos, Canadá y otras jurisdicciones donde esos proveedores prestan sus servicios.

FaboBot selecciona proveedores que declaran medidas de seguridad y compromisos contractuales de protección de datos, y limita la información que envía a cada uno a lo necesario para el servicio correspondiente. Al usar FaboBot, el negocio acepta que sus datos y los de sus contactos puedan tratarse en esas ubicaciones.

FaboBot está destinado a empresas, profesionales y personas adultas. No está diseñado para recopilar intencionalmente datos de menores de edad y no se ofrece a menores como usuarios de la plataforma.

Un negocio que utilice FaboBot para comunicarse con menores debe contar con la base legal que la normativa aplicable exija para hacerlo, y es responsable de ese tratamiento. Si FaboBot toma conocimiento de que se han recopilado datos de un menor sin la autorización correspondiente, los eliminará a solicitud del negocio, del titular o de su representante legal.

FaboBot puede actualizar esta política cuando cambien las funciones de la plataforma, los proveedores utilizados o la normativa aplicable. La versión vigente se publica siempre en https://fabobot.com/privacy con la fecha de su última actualización.

Si un cambio afecta de forma sustancial la manera en que se tratan los datos, FaboBot lo comunicará a los usuarios de la plataforma por correo o mediante un aviso en el panel antes de que entre en vigor.

Para cualquier consulta, solicitud o reclamación relacionada con esta política o con el tratamiento de datos personales:

• Correo electrónico: adm@fabobot.com
• Sitio web: https://fabobot.com