Política de privacidad

Grupo Soluciones DK S.A.S. (NIT 901929410-3), con domicilio en KRA 9F #54-87, Barranquilla, Atlántico, Colombia, desarrolla y opera ACRM Grupo DK (en adelante, «ACRM»). Contacto: gruposolucionesdk@gmail.com, teléfono +57 300 831 6780.

ACRM es un CRM que usan empresas (las «empresas clientes») para atender a sus propios clientes por WhatsApp Business. Por eso tratamos datos en dos papeles distintos:

• Datos de cuentas (usuarios del CRM y datos de las empresas clientes): decidimos cómo se tratan y respondemos por ellos.
• Datos de los clientes de cada empresa (contactos, conversaciones y archivos): la empresa cliente decide para qué los usa; nosotros los guardamos y procesamos por cuenta de ella y siguiendo sus instrucciones.

• Usuarios del CRM: nombre, correo, rol y empresas a las que pertenece. La contraseña se guarda solo como hash (bcrypt); nunca en texto plano. Los proporciona el propio usuario al aceptar una invitación o nuestro equipo al crear la cuenta.
• Empresas clientes: nombre, identificador, zona horaria, plan, estado de la licencia, solicitudes de ampliación e invitaciones enviadas (correo y rol de la persona invitada).
• Contactos de cada empresa: nombre, teléfono, correo si se registra, identificadores de WhatsApp (incluido el identificador de usuario de empresa, BSUID, y el nombre de usuario de WhatsApp cuando Meta lo envía), etapa comercial, número de lead, etiquetas, notas internas y tareas. Llegan con los mensajes que recibe la empresa o los registra su equipo.
• Mensajes y archivos: texto, fecha, sentido (recibido o enviado), estado de entrega y lectura, respuestas citadas y archivos adjuntos (imágenes, audio, video, documentos y stickers). Guardamos una copia de los archivos en nuestros servidores porque los enlaces de descarga de Meta caducan. También guardamos las plantillas de mensaje de la empresa (con su archivo de cabecera, si lo tiene) y las respuestas rápidas con imagen.
• Metadatos de WhatsApp: identificador de la cuenta de WhatsApp Business (WABA), identificador y número visible del teléfono, nombre verificado, estado de la conexión, errores devueltos por Meta y eventos de estado de las plantillas.
• Credenciales de integración: el token de acceso que Meta entrega al conectar un número y el PIN de registro del número, guardados cifrados (AES-256-GCM). Si la empresa conecta otros canales (Messenger, Instagram o un bot de Telegram), sus tokens también se guardan cifrados.
• Coexistencia con la app WhatsApp Business (función en preparación, aún no disponible): cuando se habilite, si la empresa conecta el número que ya usa en la app y lo autoriza en el flujo de Meta, recibimos los contactos de la agenda de esa app, el historial de chats individuales que Meta comparta (hasta 180 días) y los mensajes que la empresa siga enviando desde la app. No recibimos grupos, llamadas ni estados.
• Registro de actividad: qué usuario hizo cambios relevantes (conectar un número, aprobar una licencia, gestionar una solicitud de eliminación…), cuándo y sobre qué elemento.
• Registros técnicos del servidor: fecha, ruta solicitada (sin tokens ni códigos, que se ocultan), resultado, duración y correo del usuario que hizo la petición. Sirven para diagnosticar errores y detectar abusos.
• Solicitudes de eliminación: nombre, correo, teléfono y empresa que indiques, la descripción de lo que pides y el seguimiento que le damos. Si la solicitud llega desde Meta, solo guardamos un resumen cifrado (hash) del identificador que Meta envía.

ACRM no usa inteligencia artificial para leer ni responder mensajes. Las respuestas automáticas son reglas por palabra clave que configura cada empresa.

• Prestar el servicio: mostrar las conversaciones, enviar y recibir mensajes por la API de WhatsApp Cloud, gestionar contactos, plantillas, tareas y equipos.
• Conectar y mantener las integraciones que la empresa autoriza.
• Controlar el acceso: iniciar sesión, aplicar roles y mantener separados los datos de cada empresa.
• Administrar licencias y atender solicitudes de soporte y de eliminación.
• Proteger el servicio: detectar abusos, investigar incidentes y conservar el registro de actividad.

Cada empresa cliente decide a quién escribe y qué datos de sus clientes registra en ACRM. Le corresponde:

• Contar con la autorización de sus clientes para contactarlos por WhatsApp y tratar sus datos, e informarles de su propia política de privacidad.
• Cumplir las políticas de WhatsApp Business y de Meta, incluidas las de mensajería comercial.
• Atender las solicitudes de sus clientes sobre acceso, corrección o eliminación de sus datos. Si una persona nos escribe directamente, avisaremos a la empresa y la apoyaremos para resolverla.
• Dar acceso al CRM solo a las personas que lo necesitan y retirarlo cuando dejan de necesitarlo.

No vendemos datos personales ni los usamos para publicidad. Solo intervienen los proveedores necesarios para prestar el servicio:

• Meta Platforms, como proveedor de la plataforma de WhatsApp Business: los mensajes viajan por su API de WhatsApp Cloud. Meta trata esos datos según sus propias condiciones; su documentación indica que conserva los mensajes en la API un máximo de 30 días.
• Vercel, que sirve este sitio web y la interfaz del CRM.
• Los proveedores de los servidores privados virtuales (VPS) donde funcionan la API de ACRM y la base de datos.
• Cloudflare, con su servicio de almacenamiento R2, donde guardamos los archivos adjuntos (imágenes, audio, video y documentos) en un espacio privado: no tiene direcciones públicas y solo la API de ACRM puede leerlo para mostrarlo a usuarios autorizados de la empresa.
• Telegram, solo si una empresa conecta un bot de Telegram.

Algunos de estos proveedores operan infraestructura fuera de Colombia. Si incorporamos otro proveedor que trate datos personales, actualizaremos esta política antes de usarlo.

Solo entregaremos datos a una autoridad cuando una norma aplicable nos obligue, revisando la solicitud y entregando lo mínimo necesario.

• acrm_session: cookie de sesión HttpOnly (no la puede leer el código de la página) que mantiene la sesión iniciada hasta 7 días o hasta que cierres sesión.
• acrm_csrf: cookie de seguridad que impide que otras páginas hagan acciones en tu nombre.
• acrm-theme: preferencia de modo claro u oscuro guardada en el almacenamiento local de tu navegador.

No usamos cookies de analítica ni de publicidad. Cuando un administrador conecta un número, el CRM carga el SDK de JavaScript de Meta para abrir su flujo de registro; ese SDK puede usar cookies propias de Meta, sujetas a la política de Meta.

• Los datos de una empresa y de sus contactos se conservan mientras la empresa use ACRM, salvo que pida eliminarlos antes.
• Las sesiones caducan a los 7 días. Al desconectar un número de WhatsApp borramos su token de acceso y su PIN.
• Cuando ejecutamos una eliminación, los datos se borran de la base de datos y de los archivos en ese momento. Las copias de seguridad que ya existían se sobrescriben con el ciclo normal de respaldos; mientras tanto no se usan para nada distinto de recuperar el servicio ante un fallo.
• Conservamos el registro de cada solicitud de eliminación (sin el contenido borrado) como prueba de que la atendimos, y un registro técnico sin datos personales que nos permite repetir la eliminación si tuviéramos que restaurar una copia de seguridad anterior.
• Si una baja de la suscripción de WhatsApp en Meta queda pendiente, guardamos el token cifrado solo para reintentarla, sin usarlo para enviar ni recibir mensajes; si no se logra en 72 horas, lo borramos y pedimos a la empresa quitar la app desde Meta.
• El plazo máximo de conservación del registro de actividad (auditoría) y de los registros de solicitudes está en definición; mientras tanto no se usan para fines distintos de la seguridad y la prueba de cumplimiento, y publicaremos aquí el plazo cuando se apruebe.

• Conexiones cifradas (HTTPS) entre tu navegador, nuestros servidores y Meta.
• Contraseñas con hash, tokens de integración cifrados y sesiones guardadas solo como hash.
• Separación de datos por empresa y permisos por rol en cada operación.
• Verificación de la firma de cada aviso (webhook) que envía Meta.
• Registros técnicos sin tokens ni códigos de autorización.

Ningún sistema es completamente seguro. Si detectamos un incidente que afecte tus datos, lo investigaremos y avisaremos a las empresas afectadas.

Según la Ley 1581 de 2012 (artículo 8), como titular puedes: conocer, actualizar y rectificar tus datos; pedir prueba de la autorización que diste; ser informado del uso que les damos; revocar la autorización o pedir la supresión cuando corresponda; acceder gratis a tus datos; y presentar quejas ante la Superintendencia de Industria y Comercio (SIC).

• Cómo presentar la solicitud: escríbenos a gruposolucionesdk@gmail.com indicando tu identificación, lo que pides y una dirección o correo de respuesta, con los documentos que quieras hacer valer. Para eliminar datos también puedes usar el formulario de eliminación.
• Consultas (conocer qué datos tenemos y cómo los usamos): respondemos en máximo 10 días hábiles desde que la recibimos. Si no es posible, te avisamos antes del vencimiento con el motivo y la nueva fecha, que no superará 5 días hábiles adicionales (Ley 1581, art. 14).
• Reclamos (corregir, actualizar o suprimir datos, revocar la autorización o denunciar un incumplimiento): respondemos en máximo 15 días hábiles contados desde el día siguiente a su recibo; si no es posible, te avisamos el motivo y la nueva fecha, que no superará 8 días hábiles adicionales. Si el reclamo está incompleto, te pediremos completarlo dentro de los 5 días siguientes a recibirlo; si pasan 2 meses sin respuesta, se entiende desistido. Una vez completo, lo marcamos como «reclamo en trámite» en máximo 2 días hábiles hasta decidirlo (Ley 1581, art. 15).
• Si no somos competentes (por ejemplo, porque los datos los decide una empresa cliente), trasladamos el reclamo a quien corresponda en máximo 2 días hábiles y te informamos.
• Si eres cliente de una empresa que usa ACRM: esa empresa es la responsable de tus datos y ACRM actúa como encargado. Puedes dirigirte a ella o a nosotros; la mantendremos informada.
• Queja ante la SIC: puedes acudir a la Superintendencia de Industria y Comercio después de agotar la consulta o el reclamo ante nosotros (Ley 1581, art. 16).

Para proteger tus datos, verificaremos tu identidad y, cuando corresponda, que tengas autoridad sobre la empresa antes de entregar o borrar información. La supresión puede no proceder si existe un deber legal o contractual de conservar los datos; en ese caso te lo explicaremos.

El administrador de la empresa puede desconectar un número de WhatsApp desde el CRM. Eso detiene el envío y la recepción en ACRM y borra el token, pero no elimina la cuenta de WhatsApp Business ni el número en Meta. Si el número también se usa en la app WhatsApp Business, la desconexión total se hace desde la app: Ajustes > Cuenta > Plataforma de WhatsApp Business. Consulta la página de eliminación de datos para ver las diferencias entre desconectar, eliminar datos y cancelar una empresa.

Publicaremos aquí cualquier cambio de esta política con su nueva fecha. Si el cambio es importante, avisaremos a las empresas clientes antes de que entre en vigor. Para cualquier pregunta sobre privacidad: gruposolucionesdk@gmail.com.