Política de Privacidad

El responsable del tratamiento de los datos personales descritos en esta política es:

Gestoru es la propietaria y única titular de la aplicación registrada en Meta con el identificador de aplicación 1373764660856111, así como de la configuración de Embedded Signup utilizada para conectar las cuentas de WhatsApp Business de nuestros clientes. Ninguna otra entidad administra, opera o controla dicha aplicación de Meta.

a) Datos de los usuarios de la plataforma (personas que trabajan en las empresas que contratan Gestoru):

• Nombre y apellidos.
• Dirección de correo electrónico.
• Número de teléfono.
• Rol y permisos asignados dentro de la organización (administrador o agente).
• Datos de la organización a la que pertenecen: razón social, identificación tributaria, dirección, ciudad y país.

b) Datos de los contactos de WhatsApp de nuestros clientes (personas que conversan con las empresas que usan Gestoru):

• Número de teléfono en formato internacional.
• Nombre de perfil público de WhatsApp y, cuando el cliente lo registra, el nombre del contacto en su CRM.
• Fotografía de perfil de WhatsApp, cuando está disponible públicamente.
• Contenido de los mensajes: texto, imágenes, videos, notas de voz, audio y documentos, tanto entrantes como salientes.
• Metadatos de los mensajes: fecha y hora, dirección del mensaje, identificador asignado por Meta y estado de entrega (enviado, entregado, leído o fallido).
• Etiquetas, notas internas y estado del ciclo de vida que el cliente asocia al contacto.
• Registro del consentimiento (opt-in) para recibir comunicaciones de marketing, con su fecha y origen.

c) Datos técnicos generados automáticamente al usar el servicio:

• Registros de actividad (logs) de las operaciones realizadas en la plataforma.
• Dirección IP del dispositivo desde el que se accede.
• Identificadores de sesión y tokens de autenticación.
• Información del navegador y del sistema operativo.
• Registros de errores y de llamadas a las API de terceros.

Cada categoría descrita en la sección 2 se trata para las siguientes finalidades:

• Datos de los usuarios de la plataforma: crear y autenticar cuentas, aplicar los permisos de cada rol, aislar la información de cada organización, prestar soporte técnico y enviar comunicaciones operativas sobre el servicio. No usamos estos datos para publicidad.
• Datos de los contactos de WhatsApp: transmitir, recibir y mostrar las conversaciones dentro de la bandeja del cliente; conservar el historial para que el cliente pueda dar continuidad a la atención; sincronizar el estado de entrega de cada mensaje; y permitir que el cliente segmente y organice su propia base de contactos.Gestoru no usa estos datos para finalidades propias distintas de la prestación del servicio, no crea perfiles publicitarios ni los combina entre organizaciones distintas.
• Contenido de los mensajes y archivos: entregarlos al destinatario a través de la Cloud API de Meta y mostrarlos en el hilo de conversación correspondiente.
• Datos técnicos: garantizar la seguridad de la plataforma, detectar y resolver incidentes, prevenir accesos no autorizados, cumplir obligaciones legales y mantener la disponibilidad del servicio.

Gestoru opera como proveedor de tecnología (Tech Provider) de WhatsApp Business Platform. Esto significa que ofrecemos el software con el que nuestros clientes gestionan sus propias cuentas de WhatsApp Business: no somos un proveedor de soluciones empresariales (BSP), no revendemos mensajes y no intermediamos el pago de las conversaciones.

Todos los mensajes que se envían o reciben a través de Gestoru se transmiten a través de la WhatsApp Cloud API de Meta. Cuando un cliente conecta su cuenta mediante el flujo de Embedded Signup, autoriza a nuestra aplicación de Meta a enviar y recibir mensajes y a administrar plantillas en nombre de su propia cuenta de WhatsApp Business.

En consecuencia, Meta Platforms Ireland Limited (para usuarios del Espacio Económico Europeo, Reino Unido y Suiza) y Meta Platforms, Inc. (para el resto del mundo) procesan esos datos como responsables independientes, conforme a sus propias condiciones y políticas:

• Política de Privacidad de Meta
• Condiciones de WhatsApp Business
• Política de WhatsApp Business
• Condiciones de la Plataforma de Meta

Los archivos multimedia que se intercambian pueden almacenarse temporalmente en los servidores de Meta según las políticas de retención de la Cloud API, además de guardarse en nuestra infraestructura para que el cliente pueda consultarlos en el historial.

Compartimos datos personales únicamente con los siguientes terceros:

• Meta Platforms Ireland Limited / Meta Platforms, Inc. — transmisión y recepción de mensajes, gestión de plantillas y notificaciones de estado a través de WhatsApp Cloud API.
• Base44 — proveedor de la infraestructura de aplicación, base de datos, almacenamiento de archivos y ejecución de funciones de servidor donde se aloja la plataforma.
• Google LLC — únicamente cuando el cliente activa de forma expresa la sincronización de Google Contacts, con el fin de importar sus propios contactos mediante la People API.
• Autoridades competentes — cuando exista una obligación legal, orden judicial o requerimiento administrativo válido.

No vendemos datos personales. No los cedemos, alquilamos ni intercambiamos con terceros para finalidades publicitarias, de perfilado comercial ni de entrenamiento de modelos de terceros. Fuera de los destinatarios enumerados, no compartimos datos con nadie más.

Algunos de estos proveedores están ubicados fuera de Colombia, por lo que puede producirse una transferencia internacional de datos amparada en cláusulas contractuales y en las garantías de seguridad exigidas por la normativa aplicable.

• Cuentas de usuario de la plataforma: mientras la cuenta permanezca activa y el contrato con la organización esté vigente.
• Conversaciones, mensajes y archivos: mientras el cliente mantenga el servicio activo, ya que constituyen su historial de atención. El cliente puede eliminarlos en cualquier momento desde la plataforma.
• Registros técnicos y logs de seguridad: hasta 12 meses, salvo que deban conservarse más tiempo para atender un incidente de seguridad o un requerimiento legal.

Al terminar el contrato, el cliente dispone de un plazo de 30 días calendario para exportar su información. Transcurrido ese plazo, eliminamos o anonimizamos de forma irreversible los datos asociados a su organización, incluidos los contactos y las conversaciones, salvo aquellos registros que debamos conservar por obligación legal (por ejemplo, soportes contables y fiscales). Los tokens de acceso a WhatsApp se revocan de inmediato al desconectar la cuenta o al finalizar el contrato.

Como titular de datos personales, tienes derecho a conocer, actualizar, rectificar y suprimir tus datos; a solicitar prueba de la autorización otorgada; a ser informado sobre el uso que se les ha dado; a revocar el consentimiento; a oponerte al tratamiento; a solicitar la portabilidad de la información; y a presentar quejas ante la autoridad de protección de datos competente (en Colombia, la Superintendencia de Industria y Comercio).

Puedes ejercer estos derechos por dos vías:

• Enviando una solicitud a soporte@gestoru.com, indicando tu nombre, un dato que permita identificarte (correo o número de teléfono) y el derecho que deseas ejercer.
• Usando nuestro formulario público de eliminación de datos, disponible en https://crm.gestoru.com/UserDataDeletion.

Atendemos las solicitudes de consulta en un plazo máximo de 10 días hábiles y los reclamos en un plazo máximo de 15 días hábiles, prorrogables conforme a la ley. Las solicitudes de eliminación se procesan en un máximo de 30 días hábiles.

Cuando la solicitud se refiera a datos que un cliente nuestro trata en su propia bandeja de WhatsApp, actuamos como encargados del tratamiento: trasladaremos la solicitud al cliente responsable y colaboraremos con él para atenderla.

Aplicamos medidas técnicas y organizativas para proteger los datos personales:

• Cifrado en tránsito: todas las comunicaciones con la plataforma y con las API de Meta y Google se realizan exclusivamente sobre TLS (HTTPS).
• Cifrado en reposo: las bases de datos y el almacenamiento de archivos se encuentran cifrados en la infraestructura del proveedor.
• Control de acceso: autenticación obligatoria, permisos por rol y aislamiento estricto de los datos por organización, de modo que ningún cliente puede acceder a la información de otro.
• Protección de credenciales: los tokens de acceso y los secretos de integración se almacenan cifrados y nunca se exponen en el navegador.
• Verificación de integridad: validamos la firma criptográfica de todas las notificaciones (webhooks) recibidas de Meta antes de procesarlas.
• Registro de auditoría: conservamos trazas de las operaciones sensibles realizadas por administradores.

Ningún sistema es absolutamente infalible. Si se produjera un incidente de seguridad que afecte datos personales, lo notificaremos a los clientes afectados y a la autoridad competente en los plazos que exija la normativa aplicable.

Podemos actualizar esta política para reflejar cambios legales, técnicos u operativos. Cuando el cambio sea sustancial, lo comunicaremos a los clientes a través de la plataforma o por correo electrónico antes de su entrada en vigor.

Versión: 2.0
Fecha de última actualización: 10 de septiembre de 2026

Para cualquier duda sobre esta política, escríbenos a soporte@gestoru.com.