Acuerdo de tratamiento de datos personales (DPA)
Versión 2 (dpa_v2) · vigente desde 21 de octubre de 2026
Reemplaza a dpa_v1. Hace parte de los términos de servicio (tos_v2). Qué cambia frente a la versión 1
Qué cambia frente a la versión 1
La versión 1 era una plantilla genérica en inglés, pensada para el RGPD. Esta versión es una reescritura completa:
- En español y bajo la ley colombiana (Ley 1581 de 2012 y Decreto 1074 de 2015, capítulo 25). Se quitan las referencias al RGPD, a las cláusulas tipo de la UE y al Data Privacy Framework como base principal.
- Identidad real del Encargado: Inversión Abierta SAS, NIT 900.474.865-2.
- Finalidades instruidas escritas una por una (cláusula 3), incluidas las nuevas: mejora del agente de la marca, estadísticas anónimas entre marcas, lectura de fotos y PDF, seguimiento de propuestas y registro de firmas.
- Anexo A con las categorías de datos, de titulares, la fuente, la finalidad y el plazo de conservación de cada una.
- Anexo C con los sub-encargados reales (hoy Anthropic primario; ya no Azure OpenAI) y 30 días de aviso antes de cambiar un proveedor de IA.
- Plazos colombianos: traslado de solicitudes de titulares en 2 días hábiles; apoyo para responder consultas (10 días hábiles) y reclamos (15 días hábiles); aviso de incidentes en 72 horas.
- Devolución y supresión al terminar con los plazos públicos (90 días de gracia, supresión a los 365 días), con las excepciones de facturas y registros de firma (10 años).
- Cambios al DPA que agregan una finalidad: solo con aceptación expresa del Responsable.
Partes
- El Encargado: Inversión Abierta SAS, sociedad colombiana, NIT 900.474.865-2, con domicilio en Calle 24 # 32-08, Bogotá D.C., Colombia, representada legalmente por Adriana Victoria Carvajal Córdoba, que opera la plataforma CloserCat («CloserCat»). Contacto de datos personales: privacidad@closercat.pro.
- El Responsable: la marca que crea una cuenta en CloserCat y acepta este acuerdo, identificada con la razón social y el NIT (o documento) que registra en la aplicación («la marca» o «tú»).
Este acuerdo hace parte de los términos de servicio de CloserCat (tos_v2) y, cuando existe, del contrato firmado entre las partes (por ejemplo, el de «pagas solo por lo que vendes» o el de implementación asistida). Se acepta en la aplicación junto con los términos. CloserCat guarda la versión aceptada, la fecha y la hora, quién la aceptó y con qué rol, la IP y el navegador.
1. Definiciones
Se usan las definiciones del artículo 3 de la Ley 1581 de 2012 y del Decreto 1074 de 2015. Además:
- Comprador: la persona que conversa con el agente de la marca, le compra, recibe una propuesta o la acepta.
- Datos de la marca: los datos personales que CloserCat trata por cuenta de la marca según el Anexo A.
- Sub-encargado: el tercero al que CloserCat transmite datos de la marca para prestar el servicio (Anexo C).
- Incidente: la violación de los códigos de seguridad o la pérdida, robo o acceso no autorizado a datos de la marca.
- Extracto recortado: un tramo de conversación del que se quitaron teléfonos, números de documento, correos y números de tarjeta o de cuenta.
2. Roles
2.1 La marca es la Responsable del tratamiento de los datos de sus compradores y de los operadores de su equipo que escriben en la bandeja. Decide las finalidades y responde ante ellos.
2.2 CloserCat es Encargado: trata esos datos solo por cuenta de la marca, según este acuerdo y sus instrucciones documentadas (Ley 1581 de 2012, arts. 3 y 18).
2.3 Para los datos de las personas que usan la cuenta (dueño, administradores, equipo) como usuarias de CloserCat, CloserCat es Responsable según su propia política. Este acuerdo no regula esos datos.
3. Instrucciones: para qué trata CloserCat los datos de la marca
La marca instruye a CloserCat a tratar los datos de la marca solo para lo siguiente:
3.1 Prestar el servicio: operar el agente de la marca por WhatsApp y chat web, mostrar el catálogo, armar el carrito, generar el enlace de pago de la marca, coordinar la entrega, conectar la factura con el proveedor de la marca, pasar conversaciones al equipo de la marca, enviar notificaciones y dar soporte a pedido de la marca.
3.2 Mejorar el agente de la propia marca (finalidad agent_improvement, términos §9 bis): medir el acierto de sus decisiones; proponer y aplicar ajustes dentro de los rangos que la marca acepta; mostrar extractos recortados a sus usuarios autorizados para revisarlas y enseñarle al agente; calificar decisiones con un evaluador de IA de un proveedor verificado; y, si la marca lo activa, aprender la voz de la marca de las respuestas de los operadores que lo autorizaron de forma individual. Este tratamiento se hace solo para el agente de esa marca, no perfila a los compradores, no evalúa a los operadores, guarda los registros de aprendizaje sin el texto de las conversaciones y usa solo conversaciones posteriores a la fecha de vigencia de la política de la marca con esta finalidad.
3.3 Estadísticas agregadas y anónimas (finalidad network_statistics, términos §9 ter): dentro de la partición de la marca, clasificar sus conversaciones en las categorías fijas de CloserCat y contar sus resultados. Solo salen de la partición los conteos, sin texto, sin datos personales y sin identificadores de conversación, contacto o marca, y solo se usan si combinan al menos cinco (5) marcas y treinta (30) decisiones, con ninguna marca por encima del cuarenta por ciento (40 %). Encendido por defecto en todos los planes de la nube; la marca lo apaga en su configuración. Se apaga solo si la política publicada de la marca no tiene esta finalidad o si un documento firmado por la marca restringe este uso.
3.4 Leer fotos, PDF y hojas de cálculo de los compradores (finalidad buyer_files_reading, términos §9 quater), solo si la marca activa la función y acepta su texto en la configuración, y solo para leer el pedido y cotizarlo, sin extraer datos de personas que aparezcan en el archivo.
3.5 Seguimiento de propuestas (finalidad proposal_tracking, términos §10.4): registrar aperturas, tipo de dispositivo y navegador, IP recortada y comentarios de las propuestas que envía la marca, con el aviso previo en la página.
3.6 Registro de la firma de contratos (finalidad contract_signature, términos §10.5): guardar el registro de cada aceptación firmada por un comprador y conservarlo como mínimo diez (10) años desde el último documento del acuerdo.
3.7 Cumplir la ley: atender requerimientos de autoridades competentes. Si una ley obliga a CloserCat a tratar datos de la marca de otra forma, se lo informa a la marca antes, salvo que la ley lo prohíba.
3.8 Si CloserCat considera que una instrucción de la marca infringe la ley, se lo dice y puede abstenerse de cumplirla mientras se aclara.
3.9 Las mejoras generales del producto de CloserCat no se derivan de los datos personales de los compradores ni del contenido de la marca, salvo por la vía de la cláusula 3.3.
4. Obligaciones de CloserCat como Encargado
CloserCat se obliga a (Ley 1581 de 2012, art. 18):
- a) tratar los datos de la marca solo según la cláusula 3;
- b) mantenerlos separados de los de otras marcas, de modo que ninguna marca vea los de otra;
- c) aplicar las medidas de seguridad del Anexo B;
- d) exigir confidencialidad a las personas que acceden a los datos y darles acceso solo cuando lo necesitan para prestar el servicio o dar soporte a pedido de la marca, con registro de las acciones que hacen desde la aplicación (Anexo B);
- e) recortar teléfonos, documentos, correos y números de tarjeta o de cuenta antes de enviar texto a un proveedor de IA o de mostrarlo como extracto;
- f) no vender, ceder ni usar los datos de la marca para fines propios, distintos de la cláusula 3;
- g) usar solo los sub-encargados del Anexo C (cláusula 7);
- h) apoyar a la marca para atender a los titulares (cláusula 9) y para responder ante la Superintendencia de Industria y Comercio;
- i) avisar los incidentes (cláusula 10);
- j) dar a la marca la información necesaria para demostrar que cumple este acuerdo (cláusula 11);
- k) devolver o suprimir los datos al terminar (cláusula 12).
5. Obligaciones de la marca como Responsable
La marca se obliga a (Ley 1581 de 2012, art. 17):
- a) tener una política de tratamiento de datos publicada que informe las finalidades de la cláusula 3 que use. La plantilla v2 de CloserCat (
privacy_policy_COversión 2) las incluye. Si la marca usa una política propia, declara que incluye esas finalidades; - b) obtener y conservar la autorización de sus compradores cuando la ley la exija, e informarles lo que la ley pide;
- c) dar avisos y obtener las autorizaciones individuales de sus operadores cuando active la voz aprendida;
- d) dar a CloserCat instrucciones lícitas y completas;
- e) responder por la calidad y la licitud de los datos que entrega o que sus compradores envían;
- f) atender las consultas y reclamos de sus titulares en los plazos legales.
Mientras la política publicada de la marca no tenga la finalidad de la cláusula 3.2 o 3.3, CloserCat no trata los datos de la marca para esa finalidad.
6. Seguridad
CloserCat aplica las medidas técnicas y organizativas del Anexo B y las revisa cuando cambian los riesgos. Puede mejorarlas sin aviso; no puede reducir su nivel de protección sin avisar a la marca con 30 días de anticipación.
7. Sub-encargados
7.1 La marca autoriza a CloserCat a usar los sub-encargados del Anexo C, publicados también en la sección 7 de la política de CloserCat.
7.2 CloserCat usa los proveedores de IA bajo sus términos comerciales y acuerdos de tratamiento de datos estándar, en la versión vigente publicada por cada uno, y los revisa cada trimestre. No negocia condiciones particulares con ellos.
7.3 CloserCat avisa a la marca con al menos 30 días de anticipación, con un aviso en la aplicación y por correo, antes de agregar o cambiar un sub-encargado. La marca puede oponerse por razones de protección de datos en ese plazo. Si no hay una solución razonable, la marca puede terminar el servicio sin penalidad.
7.4 CloserCat exige a cada sub-encargado obligaciones de protección no menores a las de este acuerdo, en lo que el sub-encargado permita, y responde ante la marca por el cumplimiento de sus sub-encargados.
7.5 Hoy el servicio no usa llaves propias de la marca con un proveedor de IA (BYOK): el agente usa las cuentas de CloserCat del Anexo C. Si las partes acuerdan BYOK por escrito, el proveedor de IA actúa bajo la cuenta y los términos que la marca aceptó con él, según la adenda que lo regule.
8. Transmisión internacional
Varios sub-encargados tratan datos fuera de Colombia, principalmente en Estados Unidos. La marca, como Responsable, autoriza esa transmisión. CloserCat la hace conforme al artículo 26 de la Ley 1581 de 2012 y a las normas de transmisión del Decreto 1074 de 2015, con contratos que obligan al receptor a proteger los datos y a usarlos solo para la finalidad del servicio.
9. Derechos de los titulares
9.1 La marca atiende las solicitudes de sus titulares. Si un titular le escribe a CloserCat, CloserCat traslada la solicitud a la marca en un máximo de dos (2) días hábiles y no la responde de fondo salvo que la marca se lo pida.
9.2 CloserCat da a la marca herramientas o apoyo para consultar, corregir, exportar y suprimir los datos de un titular, a tiempo para que la marca responda las consultas en diez (10) días hábiles y los reclamos en quince (15) días hábiles.
9.3 Cuando un titular pide la supresión, CloserCat suprime sus datos, y sus conversaciones dejan de usarse para las cláusulas 3.2 y 3.3, en un máximo de quince (15) días hábiles desde que la marca lo instruye. Los datos con deber legal o contractual de conservarse (facturas, registros de firma) se bloquean en lugar de borrarse, mientras dure ese deber.
10. Incidentes de seguridad
10.1 CloserCat avisa a la marca sin demora indebida y en todo caso dentro de las setenta y dos (72) horas siguientes a conocer un incidente que afecte datos de la marca.
10.2 El aviso incluye, en lo que se conozca: qué pasó, qué datos y cuántos titulares pueden estar afectados, las consecuencias probables y las medidas tomadas o propuestas. CloserCat lo completa a medida que sepa más.
10.3 CloserCat apoya a la marca para reportar el incidente a la Superintendencia de Industria y Comercio y para informar a los titulares cuando corresponda.
11. Verificación del cumplimiento
11.1 La marca puede pedir por escrito, hasta una vez cada doce (12) meses, información que demuestre el cumplimiento de este acuerdo. CloserCat responde en un plazo razonable con documentación, informes o respuestas a cuestionarios.
11.2 Si la Superintendencia de Industria y Comercio le exige a la marca una verificación, el límite de frecuencia no aplica. Las visitas presenciales se acuerdan por escrito, con aviso de 30 días, confidencialidad y a costo de la marca.
12. Fin del servicio: devolución y supresión
12.1 Durante el servicio, la marca puede exportar sus datos desde la aplicación o pedirlos a CloserCat.
12.2 Cuando la marca cancela, sus datos y conversaciones se conservan 90 días para que pueda reactivar la cuenta o exportarlos, y se suprimen a los 365 días del cierre, salvo:
- los datos que soportan facturas, que se conservan bloqueados hasta 10 años;
- los registros de firma de contratos, que se conservan bloqueados como mínimo 10 años desde el último documento del acuerdo; la marca puede pedir por escrito una copia de esos registros al cerrar y asumir su custodia por escrito;
- la evidencia de autorizaciones de los titulares, que se conserva mientras dure la relación y 5 años más;
- lo que la ley obligue a conservar.
12.3 Lo aprendido por el agente de la marca (configuración, lecciones, voz) se exporta o se suprime con el resto de su configuración. Sus conteos dejan de formar parte de las estadísticas de la cláusula 3.3 en el siguiente ciclo, como máximo en 30 días.
12.4 Las copias de respaldo de la base de datos conservan los datos hasta 30 días más y se eliminan al cumplir ese plazo (Anexo B).
12.5 La supresión a los 365 días del cierre corre de forma automática, a diario. Lo que se conserva después de esa supresión (los datos que soportan facturas, incluidas las de CloserCat a la marca) queda bloqueado y se suprime al vencer su plazo. En la plataforma de CloserCat ese vencimiento corre de forma automática; en el motor conversacional del agente está en implementación. Los registros de firma quedan fuera de esa supresión (cláusula 3.6). Los mismos plazos figuran en la política pública de CloserCat.
13. Responsabilidad
La responsabilidad de cada parte por este acuerdo sigue la limitación de los términos de servicio. Esa limitación no aplica a los daños que se causen a los titulares por dolo o culpa grave, ni a lo que la ley colombiana no permita limitar. Cada parte responde por las sanciones que le impongan por sus propios incumplimientos.
14. Prelación, cambios y vigencia
14.1 En lo que regule sobre datos personales, este acuerdo prevalece sobre los términos de servicio. Un acuerdo de tratamiento de datos o anexo de seguridad firmado por las dos partes prevalece sobre este, en lo que regule.
14.2 Si CloserCat cambia este acuerdo para agregar una finalidad a la cláusula 3, el cambio aplica a la marca solo cuando lo acepta de forma expresa en la aplicación (o por escrito, si tiene un contrato firmado). El silencio o el uso continuado no cuentan como aceptación. Mientras no lo acepte, la marca sigue con la versión anterior y CloserCat no trata sus datos para la finalidad nueva.
14.3 Los demás cambios se avisan con 30 días de anticipación, con un aviso en la aplicación y por correo.
14.4 Este acuerdo rige mientras CloserCat trate datos de la marca, incluso después de terminado el servicio, hasta que se devuelvan o supriman.
15. Ley aplicable
Este acuerdo se rige por la ley colombiana. Las disputas se resuelven como dicen los términos de servicio.
Anexo A. Descripción del tratamiento
Objeto: la prestación de CloserCat a la marca según los términos de servicio y la cláusula 3.
Duración: la del servicio, más los plazos de conservación de este anexo y de la cláusula 12.
Operaciones: recolección por los canales de la marca, almacenamiento cifrado, consulta, uso según la cláusula 3, recorte, clasificación y conteo dentro de la partición de la marca, transmisión a sub-encargados (Anexo C, cláusula 8), bloqueo y supresión.
A.1 Titulares
| Titular | Quién es |
|---|---|
| Compradores | Personas que conversan con el agente de la marca por WhatsApp o chat web, le compran, reciben una propuesta o la aceptan |
| Personas que firman por una empresa | Representantes de una empresa compradora que aceptan una propuesta en su nombre |
| Terceros en las conversaciones o archivos | Personas mencionadas en un mensaje o que aparecen en una foto o documento que envía un comprador |
| Visitantes de las páginas de la marca | Quienes autorizan notificaciones web en pages.closercat.pro |
| Operadores de la marca | Personas del equipo de la marca que escriben a los compradores en la bandeja (solo para la voz aprendida y las correcciones) |
A.2 Categorías de datos
| # | Categoría | Datos | Finalidad (cláusula) | Conservación |
|---|---|---|---|---|
| 1 | Identificación y contacto del comprador | Nombre, número de WhatsApp, nombre de perfil, correo | 3.1 | Mientras la marca tenga el servicio activo o hasta su supresión; cláusula 12 al cancelar |
| 2 | Conversaciones | Mensajes entre el comprador, el agente y el equipo de la marca | 3.1; 3.2 y 3.3 sin guardar texto en los registros de aprendizaje | Igual que 1 |
| 3 | Datos del pedido | Dirección de entrega, ciudad, productos, documento de identidad cuando hace falta para la entrega o la factura | 3.1 | Documento: se suprime a los 90 días del cierre del pedido si no hubo factura. Nombre, dirección y correo de pedidos sin factura: se anonimizan a los 12 meses |
| 4 | Pago | Estado y referencia del pago en el Mercado Pago de la marca. Nunca datos de tarjeta | 3.1 | Igual que 1; si soporta una factura, 10 años bloqueado |
| 5 | Factura | Datos que exige la factura electrónica | 3.1 | Hasta 10 años bloqueados |
| 6 | Archivos de compradores | Imágenes, PDF y hojas de cálculo enviados en la conversación, y el resultado de su lectura (sin datos de terceros) | 3.4 | Máximo 90 días desde el último mensaje; la marca puede acortarlo |
| 7 | Registros de aprendizaje | Decisiones del agente, calificaciones del equipo y del evaluador, motivos de una lista cerrada, lecciones con su origen. Ids y números, sin texto de las conversaciones | 3.2 | Mientras la marca tenga el servicio; se suprimen con su configuración (cláusula 12.3) |
| 8 | Extractos recortados | Hasta 12 mensajes alrededor de una decisión, sin teléfonos, documentos, correos ni números de tarjeta o cuenta | 3.2 | No se guardan: se arman al mostrarlos o al enviarlos al evaluador |
| 9 | Correcciones de operadores | Texto del agente y del operador en las conversaciones que el operador tomó | 3.2 | Máximo 30 días |
| 10 | Bitácora de acceso a extractos | Quién vio qué conversación y cuándo, sin texto | 3.2 | En implementación: llega con «Revisar decisiones», que hoy no está abierta para ninguna marca. Mientras la cuenta esté activa; después de suprimirla, 5 años desde cada registro |
| 11 | Voz de la marca | Rasgos de estilo calculados de las respuestas de operadores que lo autorizaron; las muestras de texto | 3.2 | Rasgos: mientras la marca tenga el servicio. Muestras: se borran al calcular la firma, máximo 30 días |
| 12 | Conteos para estadísticas | Conteos por categorías fijas, sin texto ni identificadores | 3.3 | Se recalculan completos en cada ciclo; salen en el siguiente ciclo si la marca deja de aportar |
| 13 | Seguimiento de propuestas | Fecha y hora de cada apertura, tipo de dispositivo y navegador, IP recortada (/24), huella cifrada del dispositivo, comentarios | 3.5 | Vigencia de la propuesta más 90 días; si se acepta, el acuerdo más 12 meses. El borrado automático de este plazo está en implementación |
| 14 | Registro de firma | Versión firmada y su huella (hash), textos aceptados, nombre, tipo y número de documento (cifrado), empresa, NIT y cargo si firma por una empresa, canal del código enmascarado, id del mensaje que lo llevó, fecha y hora, IP completa cifrada con acceso restringido, navegador, confirmaciones enviadas | 3.6 | Mínimo 10 años desde el último documento del acuerdo; no lo alcanza la supresión por cierre de cuenta |
| 15 | Aprobaciones de arte | Versión del arte aprobada, su huella, quién la aprobó y cuándo | 3.6 | Igual que 14 |
| 16 | Autorizaciones de los titulares | Aceptación o rechazo de promociones, texto que vio, fecha y canal; avisos de privacidad mostrados | 3.1 | Mientras dure la relación y 5 años más |
| 17 | Notificaciones web | Datos técnicos de la suscripción del navegador y evidencia de la autorización | 3.1 | Mientras esté activa; la evidencia de una revocación, 24 meses |
A.3 Datos sensibles y de menores
La marca no pide datos sensibles por CloserCat. Pueden aparecer de forma incidental en una conversación, una foto o un documento. CloserCat no los usa para nada distinto a atender esa conversación, y las conversaciones con un dato sensible detectado no aportan a las estadísticas de la cláusula 3.3. Las categorías de esas estadísticas no describen salud, orientación sexual, religión, política, origen racial o étnico, datos biométricos ni la condición de niño, niña o adolescente.
Anexo B. Medidas de seguridad
Estado al 2026-10-21. Cada fila describe lo que hace hoy la operación, no un objetivo.
| Medida | Qué hace CloserCat |
|---|---|
| Cifrado en tránsito | Conexiones cifradas (HTTPS con certificados automáticos) entre el navegador o WhatsApp y los servidores; lo que llega por HTTP se redirige a HTTPS. Las conexiones a Meta, a los proveedores de IA y al almacenamiento de archivos van por HTTPS. Las conexiones internas entre los servicios de CloserCat van por la red privada del servidor, sin puertos expuestos a internet y sin cifrado propio |
| Cifrado en reposo | Bases de datos en el disco del servidor de Google Cloud (us-east1) y archivos en un almacenamiento privado de Google Cloud (us-east1), ambos con el cifrado por defecto de Google y llaves administradas por Google. El almacenamiento de archivos bloquea el acceso público: solo se abre con enlaces firmados que vencen entre 10 y 60 minutos |
| Cifrado a nivel de aplicación | Cifrados además en la aplicación: credenciales de WhatsApp y de las integraciones de la marca (pagos, facturación, CRM), documento del representante legal, documento de la verificación de identidad, y documento e IP completa de quien firma una propuesta. No se cifran en la aplicación el documento del comprador en los pedidos ni el número de documento de los contactos: se protegen con el cifrado en reposo, el recorte antes de la IA (fila «Recorte») y su supresión a los 90 días del cierre del pedido sin factura (Anexo A, fila 3) |
| Separación por marca | Cada consulta se filtra en la aplicación por la marca de quien la pide; la marca sale de la sesión, nunca del navegador ni de la dirección de la página. El agente y la plataforma usan bases y usuarios de base de datos distintos |
| Accesos de la marca | Verificación en dos pasos obligatoria para el dueño, los administradores y los partners que gestionan la cuenta (con 14 días de gracia desde su primera entrada), y opcional para los vendedores; roles y permisos; la transferencia de la cuenta exige verificación en dos pasos |
| Accesos del personal de CloserCat | El personal técnico entra al servidor con su cuenta individual de Google y una llave temporal que vence en una hora, solo cuando lo necesita para operar el servicio o dar soporte pedido. La reducción de los permisos de la cuenta de servicio del servidor está en implementación |
| Registro de auditoría | Acciones relevantes de la cuenta (la marca las ve en la aplicación), cambios de configuración del agente y aceptación de textos legales. Ver el documento o la IP de quien firmó exige motivo y responsable, y queda en los registros de la aplicación por 14 días. El registro de las vistas de extractos está en implementación: llega con «Revisar decisiones» (Anexo A, fila 10) |
| Registros técnicos | Los registros de la aplicación se archivan cada 15 minutos con los teléfonos y los correos enmascarados, y se conservan 14 días |
| Recorte | Teléfonos, documentos, correos y números de tarjeta o cuenta se recortan antes de llegar a un proveedor de IA o a un extracto |
| Registros sin texto | Las tablas de aprendizaje no guardan texto de las conversaciones (lo prueban tests automáticos) |
| Integridad de firmas | Registro de firma de solo agregar, con huella encadenada a la del registro anterior de la misma marca; la base rechaza modificarlo |
| Respaldos | Copias diarias de las bases de datos, guardadas fuera del servidor en un almacenamiento privado de Google Cloud (us-east1), sin acceso público y cifradas en reposo, que se eliminan a los 30 días. Además, una copia local en el servidor que se conserva 14 días |
| Conservación automática | Corren a diario: borrado de adjuntos a los 90 días del último mensaje, supresión del documento del comprador y anonimización de pedidos sin factura (Anexo A, fila 3), supresión de las cuentas cerradas a los 365 días y bloqueo hasta 10 años de lo que soporta facturas (cláusula 12) |
| Llaves y secretos | En la configuración del servidor, con acceso restringido al personal técnico, y nunca en la interfaz. No hay un gestor de secretos dedicado. Hoy no hay llaves propias de la marca con proveedores de IA (BYOK; cláusula 7.5) |
| Incidentes | Procedimiento de respuesta con aviso a la marca en 72 horas |
Anexo C. Sub-encargados
| Sub-encargado | Para qué | Dónde | Bajo qué términos |
|---|---|---|---|
| Meta Platforms (WhatsApp Business Platform) | Enviar y recibir los mensajes de WhatsApp | Estados Unidos y otros países | Términos de WhatsApp Business y de datos de Meta, aceptados al crear la cuenta |
| Anthropic, PBC | Modelo de IA principal: redacta respuestas y evalúa decisiones (cláusula 3.2) | Estados Unidos | Términos comerciales y DPA estándar. No entrena con el contenido de clientes comerciales |
| Google LLC (Gemini API) | Modelo de IA de respaldo, representación de textos (embeddings) y lectura de fotos y documentos (cláusula 3.4) | Estados Unidos y otros países donde Google tiene instalaciones | Términos de la Gemini API para servicios de pago y su DPA |
| OpenAI, L.L.C. | Modelo de IA de respaldo | Estados Unidos | Fuera de la cascada para marcas reales hasta verificar sus términos |
| Google Cloud | Alojamiento, bases de datos y almacenamiento de archivos | us-east1, Estados Unidos | Términos de Google Cloud y su anexo de tratamiento de datos |
| Google (FCM), Apple (APNs), Mozilla (autopush) | Transporte de notificaciones web, según el navegador | Estados Unidos y otros países | Términos de cada servicio, aceptados por uso |
| Resend, Inc. | Correos de la cuenta y de las propuestas (verificación, recuperación de contraseña, avisos de la cuenta y del plan, códigos de firma y copia firmada) | Estados Unidos (empresa) · Brasil, región São Paulo (procesamiento) | Términos de Resend y su anexo de tratamiento de datos, aceptados por uso |
No son sub-encargados de CloserCat (los contrata la marca directamente y responden ante ella): la cuenta de Mercado Pago de la marca y su proveedor de facturación electrónica (Alegra, Siigo u otro). CloserCat solo se conecta a ellos con las credenciales que la marca le da.
Lista vigente: sección 7 de la política de CloserCat. Cambios: cláusula 7.3.