01Introducción y alcance
Grupal es una plataforma que opera agentes de inteligencia artificial sobre WhatsApp para negocios de servicios, junto con herramientas de CRM, embudos (kanban), calendario y métricas. Los agentes atienden, califican y dan seguimiento a los clientes del negocio, y al mismo tiempo alimentan la información del equipo humano.
Esta política distingue dos tipos de personas y dos roles distintos de Grupal:
- Titulares de cuenta (nuestros clientes y sus usuarios): las personas que crean una cuenta, configuran agentes y usan la plataforma. Respecto de estos datos, Grupal es el responsable del tratamiento (controlador).
- Contactos finales: las personas que escriben por WhatsApp a un negocio que usa Grupal. Respecto de estos datos, Grupal actúa como encargado (procesador): los tratamos por cuenta y siguiendo las instrucciones de cada negocio, que es el responsable de esa información frente a sus propios clientes.
En palabras simples: cuando se trata de tu cuenta de Grupal, nosotros respondemos por tus datos; cuando se trata de las conversaciones de tus clientes, el responsable eres tú y nosotros somos la herramienta que los procesa de forma segura.
02Responsable y marco legal
El responsable del tratamiento de los datos de cuenta es Grupal. Para cualquier asunto de privacidad o protección de datos puedes escribirnos a [email protected].
Tratamos los datos personales conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de México y su reglamento, e incorporamos prácticas alineadas con estándares internacionales de protección de datos para los usuarios ubicados fuera de México.
03Datos que recopilamos
Recopilamos únicamente los datos necesarios para prestar el servicio:
| Categoría | Datos | Quién es responsable |
|---|---|---|
| Cuenta y usuario | Nombre completo, correo electrónico, contraseña (almacenada de forma cifrada/hasheada por nuestro proveedor de autenticación; nunca vemos tu contraseña en texto claro), zona horaria, país, idioma y preferencias de la interfaz. | Grupal (responsable) |
| Organización | Nombre del negocio, categoría de giro, tamaño del equipo y rol del usuario dentro de la organización. | Grupal (responsable) |
| Facturación | Plan contratado, historial de pagos y créditos. Los datos de pago (tarjeta) los procesa Stripe; Grupal no almacena los números completos de tarjeta. | Grupal (responsable) + Stripe |
| Datos de contactos finales (tratados por cuenta del cliente) | Nombre, número de teléfono (que funciona como identificador principal), correo, cuerpos de mensajes, transcripciones de audio, resúmenes de documentos, archivos adjuntos, notas, etiquetas y oportunidades de venta. | El negocio cliente (responsable); Grupal (encargado) |
| Datos técnicos | Registros de errores de la aplicación (con tokens y claves redactados), datos de uso agregados y no identificables. | Grupal (responsable) |
No solicitamos datos sensibles para operar la plataforma. Si un negocio del giro salud u otro regulado decide tratar datos sensibles de sus clientes a través de Grupal, ese tratamiento se rige por las reglas de la sección Base legal y consentimiento y por las salvaguardas de nuestro Centro de Confianza y Seguridad.
04Finalidades del tratamiento
Finalidades primarias (necesarias para prestarte el servicio):
- Crear y autenticar tu cuenta, y mantener la sesión segura.
- Operar los agentes de IA y procesar las conversaciones que les confías.
- Proveer el CRM de contactos, el kanban de oportunidades, el calendario y las citas.
- Calcular las métricas y los indicadores de retorno de inversión (ROI).
- Procesar la facturación, los planes y los créditos.
- Brindar soporte técnico y notificarte sobre cambios relevantes del servicio.
Finalidades secundarias (no indispensables; puedes oponerte):
- Mejorar y depurar el producto a partir de información agregada y no identificable.
05Base legal y consentimiento
Tratamos los datos con base en: tu consentimiento, la ejecución del contrato de servicio, el cumplimiento de obligaciones legales y nuestro interés legítimo en operar y mejorar la plataforma de forma segura.
Cuando un negocio trata datos sensibles de sus clientes finales (por ejemplo, información de salud en clínicas), la legislación exige consentimiento expreso y salvaguardas reforzadas. En ese escenario:
- El negocio cliente es el responsable y debe contar con su propio aviso de privacidad y obtener los consentimientos correspondientes de sus clientes.
- Grupal provee el rastro de consentimiento (historial de consentimientos y de bajas de campañas por contacto y canal), pero no sustituye las obligaciones del responsable.
06Inteligencia artificial y datos
Las respuestas de los agentes se generan a través de un proveedor de modelos de IA (OpenRouter como puerta de enlace). Para proteger la información:
- Configuramos las rutas por defecto con la opción "sin recolección de datos" (
data_collection: deny), de modo que los proveedores de modelos no entrenen con tus prompts ni los retengan. - Grupal no entrena modelos propios con los datos de tus conversaciones ni con los de tus clientes.
- Aplicamos minimización: en lo posible, evitamos enviar datos que no sean necesarios para generar la respuesta.
07Encargados y subprocesadores
Para operar el servicio nos apoyamos en proveedores que tratan datos por nuestra cuenta o por cuenta del cliente, bajo obligaciones de confidencialidad y seguridad:
| Subprocesador | Función | Datos involucrados |
|---|---|---|
| Supabase | Infraestructura de backend: autenticación, base de datos, almacenamiento de archivos y funciones. | Datos de cuenta, de organización y de contactos finales. |
| Google Firebase Hosting | Alojamiento estático de la aplicación web (no es parte del backend, no almacena datos de negocio). | Archivos estáticos de la aplicación. |
| OpenRouter y proveedores de modelos | Puerta de enlace de IA para generar respuestas de los agentes. | Texto de los mensajes necesarios para la respuesta (con data_collection: deny). |
| Stripe | Procesamiento de pagos y suscripciones. | Datos de facturación y pago. |
| Meta / WhatsApp | Canal de mensajería con los contactos finales. | Contenido de los mensajes, que transita por la infraestructura de Meta. |
Importante: el contenido de WhatsApp transita por la infraestructura de Meta conforme a las políticas y términos de WhatsApp. Por esa razón Grupal no ofrece ni afirma cumplimiento HIPAA (consulta el Centro de Confianza y Seguridad).
08Transferencias internacionales
Algunos de nuestros proveedores procesan o almacenan datos en servidores ubicados fuera de México (por ejemplo, en Estados Unidos). Estas transferencias se realizan con las salvaguardas contractuales y de seguridad necesarias para mantener un nivel de protección adecuado conforme a la LFPDPPP y a estándares internacionales.
09Conservación de datos
- Datos de cuenta: se conservan mientras tu cuenta esté activa y por un periodo razonable posterior para cumplir obligaciones legales, fiscales y de seguridad.
- Datos de contactos finales: se conservan mientras el negocio cliente los mantenga en la plataforma; el cliente puede eliminarlos.
A la cancelación de la cuenta, eliminamos o anonimizamos los datos en un plazo razonable, salvo aquellos que debamos conservar por obligación legal.
10Seguridad
Aplicamos medidas técnicas y organizativas para proteger los datos: cifrado en tránsito y en reposo, aislamiento estricto por organización (RLS multi-inquilino), identificadores no adivinables, tablas de facturación con escritura restringida al backend y minimización de datos en registros y métricas. El detalle está en nuestro Centro de Confianza y Seguridad.
12Tus derechos (ARCO y derechos internacionales)
Como titular tienes derecho a Acceder a tus datos, Rectificarlos cuando sean inexactos, Cancelarlos cuando consideres que no se requieren, y Oponerte a su tratamiento (derechos ARCO). Para los usuarios fuera de México, reconocemos además, en lo aplicable, los derechos de portabilidad, supresión y limitación del tratamiento.
También puedes revocar tu consentimiento en cualquier momento, sin efectos retroactivos.
Para ejercer cualquiera de estos derechos, escríbenos a [email protected] indicando tu solicitud y un medio para acreditar tu identidad. Responderemos tu solicitud en un plazo máximo de 20 días hábiles y, de resultar procedente, la haremos efectiva dentro de los 15 días hábiles siguientes, conforme a la LFPDPPP.
Si tu solicitud se refiere a datos de un contacto final (una conversación de WhatsApp con un negocio), te orientaremos para canalizarla con el negocio responsable, ya que Grupal actúa como encargado de esa información.
Si consideras que tu derecho a la protección de datos personales no fue atendido debidamente, puedes acudir a la autoridad competente en la materia (el INAI o la autoridad que lo sustituya conforme a la legislación vigente).
13Menores de edad
El servicio está dirigido a negocios y a personas mayores de edad. No recopilamos de forma intencional datos de menores como titulares de cuenta.
14Cambios a este aviso
Podemos actualizar esta política para reflejar cambios en el producto o en la normativa. Publicaremos la versión vigente en esta misma dirección y actualizaremos la fecha de "Última actualización". Cuando los cambios sean significativos, te avisaremos por un medio razonable.
Contacto
¿Dudas sobre privacidad o tus datos personales? Escríbenos a [email protected].