Política de Privacidad

En cumplimiento de los artículos 15, 16 y 17 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de México, así como del Reglamento General de Protección de Datos (RGPD) de la Unión Europea cuando resulte aplicable, AgentBuilder pone a tu disposición el presente Aviso de Privacidad Integral. Responsable del tratamiento: • Denominación comercial: AgentBuilder ("AgentBuilder", "nosotros", "la Plataforma"). • Sitio web: https://agentbuilder.cloud • Correo electrónico para asuntos de privacidad y ejercicio de derechos ARCO: contacto@agentbuilder.cloud • Domicilio para oír y recibir notificaciones: el indicado en el contrato comercial suscrito o, en su defecto, el domicilio fiscal vigente del titular de la marca, disponible bajo solicitud al correo de contacto. • Encargado interno de privacidad (Data Protection Officer / DPO): puede ser contactado al correo arriba indicado, incluyendo en el asunto "ARCO" o "Privacidad". AgentBuilder es una plataforma SaaS multi-tenant que permite a empresas crear y operar agentes conversacionales (chatbots) en WhatsApp y otros canales de mensajería. El uso continuado de la Plataforma implica el conocimiento y aceptación del presente Aviso de Privacidad.

AgentBuilder recopila las siguientes categorías de datos personales. Salvo cuando se indica expresamente, NO se recaban datos personales sensibles en términos del artículo 3 fracción VI de la LFPDPPP (origen racial, estado de salud, información genética, creencias religiosas, opiniones políticas o preferencia sexual). Datos de identificación y contacto del Titular contratante: • Nombre completo o razón social, RFC (cuando se requiera para facturación), correo electrónico, contraseña cifrada con bcrypt, foto de perfil opcional. • Datos de identidad federada cuando usas "Iniciar sesión con Google": Google ID, correo y nombre del perfil público. Datos técnicos y de uso: • Registros de acceso, dirección IP, agente de usuario (navegador, sistema operativo), métricas de uso de la Plataforma, identificadores de sesión. Datos asociados a la operación del bot (responsabilidad compartida con el Titular contratante, que actúa como Responsable frente a sus propios usuarios finales): • Credenciales cifradas de WhatsApp Business Cloud API o sesiones de Baileys. • Mensajes recibidos y enviados a través de los bots configurados por el Titular. • Identificadores y nombres de los contactos finales (números de WhatsApp, alias). • Contenido multimedia intercambiado (imágenes, audios, documentos, PDF, videos). • Documentos cargados para entrenamiento de modelos (RAG) y embeddings vectoriales derivados. Datos financieros (cuando contratas un plan de pago): • Información de facturación procesada a través de Stripe (Stripe es el responsable directo del tratamiento de datos de tarjeta; AgentBuilder NO almacena PAN ni CVV). • RFC, razón social, código postal y régimen fiscal cuando solicitas factura CFDI 4.0.

Las siguientes finalidades son necesarias para la existencia, mantenimiento y cumplimiento de la relación jurídica entre el Titular y AgentBuilder. NO requieren consentimiento adicional al expresado mediante la aceptación del presente Aviso conforme al artículo 8 LFPDPPP: • Crear y mantener tu cuenta de usuario, autenticarte y proteger el acceso. • Prestar las funcionalidades contratadas: constructor de flujos, envío y recepción de mensajes, conectores, inbox, ejecución de nodos de inteligencia artificial. • Almacenar y procesar las credenciales necesarias para conectar los proveedores de WhatsApp y demás integraciones que tú configures. • Procesar pagos, gestionar suscripciones, emitir comprobantes fiscales digitales (CFDI) cuando los solicites y dar cumplimiento a obligaciones contables y fiscales aplicables. • Atender consultas de soporte, reportes de incidencias y solicitudes de información que nos formules. • Cumplir con obligaciones legales, regulatorias, fiscales y respuestas a autoridades competentes. • Prevenir fraude, abuso, uso indebido del servicio y proteger la seguridad de la Plataforma y de sus usuarios. • Generar copias de respaldo (backups) y atender continuidad operativa.

Las siguientes finalidades NO son necesarias para la prestación del servicio. Puedes oponerte a ellas en cualquier momento sin que ello afecte tu relación contractual con AgentBuilder, escribiendo a contacto@agentbuilder.cloud con el asunto "Oposición a finalidades secundarias": • Envío de comunicaciones comerciales sobre nuevas funcionalidades, planes y promociones (newsletter). • Encuestas de satisfacción y entrevistas de producto. • Elaboración de estadísticas agregadas y anónimas para análisis de uso e investigación de mercado. • Casos de éxito y testimonios — siempre previa autorización expresa y por escrito. Si no manifiestas tu oposición al momento de aceptar este Aviso, se entenderá que consientes el tratamiento para estas finalidades. La oposición posterior surte efectos a partir de su recepción y procesamiento.

Procesamos datos personales con sustento en las siguientes bases jurídicas: • Para Titulares en México (LFPDPPP): consentimiento tácito o expreso del Titular (arts. 8 y 9), existencia y cumplimiento de la relación jurídica (art. 10 fracción IV) y cumplimiento de obligaciones legales (art. 10 fracción II). • Para Titulares en la Unión Europea / EEE (RGPD): ejecución de un contrato (art. 6.1.b), consentimiento explícito (art. 6.1.a), interés legítimo (art. 6.1.f) y cumplimiento de obligaciones legales (art. 6.1.c). • Para Titulares en otras jurisdicciones: las bases jurídicas equivalentes contempladas por la legislación local aplicable.

En cumplimiento de los artículos 19 LFPDPPP y 57-66 de su Reglamento, así como del artículo 32 RGPD, AgentBuilder aplica las siguientes medidas administrativas, técnicas y físicas para proteger los datos personales: Medidas técnicas: • Cifrado en tránsito con TLS 1.3 en todas las conexiones HTTP, WebSocket y entre servicios. • Cifrado en reposo con AES-256-GCM para credenciales de WhatsApp, sesiones Baileys, API keys de IA en modalidad BYOK y secretos de conectores. • Aislamiento multi-tenant a nivel de base de datos mediante Row-Level Security forzada (FORCE ROW LEVEL SECURITY) en PostgreSQL. • Autenticación basada en JWT firmados con expiración de 15 minutos y refresh tokens en cookies httpOnly con expiración de 7 días. • Hashing de contraseñas con bcrypt (factor de costo 10 o superior). NO conservamos contraseñas en texto plano. • Validación HMAC SHA-256 en todos los webhooks entrantes provenientes de Meta y otros proveedores. Medidas administrativas y físicas: • Política de acceso mínimo necesario (least privilege) para personal interno. • Registro y auditoría continua (audit log) de acceso a recursos sensibles. • Copias de seguridad cifradas diarias con retención de 30 días, almacenadas en infraestructura geográficamente separada. • Pruebas periódicas de restauración (restore drills). • Acuerdos de confidencialidad con personal y proveedores que accedan a datos. Notificación de vulneraciones de seguridad: En caso de vulneración de seguridad ocurrida en cualquier fase del tratamiento que afecte de forma significativa los derechos patrimoniales o morales del Titular, AgentBuilder lo informará de manera inmediata por correo electrónico al Titular contratante para que adopte las acciones correspondientes a la defensa de sus derechos, conforme al artículo 20 LFPDPPP. Cuando aplique el RGPD, se notificará a la autoridad de control en un plazo no superior a 72 horas. Ningún sistema es absolutamente inviolable. El Titular reconoce que la seguridad informática es una obligación de medios y no de resultados.

AgentBuilder NO comercializa datos personales y NO comparte datos con terceros para finalidades distintas a la prestación del servicio. Remisiones a encargados (no requieren consentimiento, art. 36 LFPDPPP): • Meta Platforms, Inc. (EE. UU.) — WhatsApp Business Cloud API, indispensable para entrega y recepción de mensajes. • Stripe, Inc. (EE. UU.) — procesamiento de pagos y emisión de cobros recurrentes. • Cloudflare, Inc. (EE. UU. / red global) — almacenamiento de objetos (R2), DNS, CDN y protección WAF. • Hetzner Online GmbH (Alemania) — infraestructura de cómputo (Postgres, Redis, contenedores de aplicación). • GitHub, Inc. (EE. UU.) — proveedor por defecto de modelos de inteligencia artificial. • OpenAI, OpsCo LLC (EE. UU.), Anthropic, PBC (EE. UU.) y Google LLC (EE. UU.) — proveedores opcionales de modelos de IA cuando el Titular activa nodos correspondientes o aporta su propia API key (BYOK). • Sentry, Inc. / Better Stack — monitoreo de errores y observabilidad, con anonimización en producción. • Resend / Postmark — envío de correos transaccionales. • Google LLC — exclusivamente cuando el Titular usa "Iniciar sesión con Google" o conecta integraciones de Gmail y Calendar (ver sección 8). Transferencias internacionales: Algunos encargados procesan datos fuera de México y de la Unión Europea, principalmente en Estados Unidos. AgentBuilder asegura que dichas transferencias se realizan al amparo de cláusulas contractuales tipo (Standard Contractual Clauses) de la Comisión Europea, marcos de adecuación reconocidos o mecanismos equivalentes admitidos por la LFPDPPP y el RGPD. En los términos del artículo 37 LFPDPPP, se entienden consentidas las transferencias estrictamente necesarias para el cumplimiento de la relación contractual. Transferencias a autoridades: Se podrán transferir datos cuando lo exija una autoridad competente, mandato judicial o requerimiento legal vinculante.

AgentBuilder integra con servicios de Google a través de APIs oficiales. El uso y la transferencia de información recibida de las Google APIs cumple con la Google API Services User Data Policy, incluidos los requisitos de uso limitado (Limited Use). Los scopes que solicitamos y para qué se usan: • https://www.googleapis.com/auth/userinfo.email Para identificar la cuenta Google con la que conectaste el servicio y mostrarla en tu dashboard. No se usa para nada más. • https://www.googleapis.com/auth/gmail.send Para enviar correos transaccionales operativos (recordatorios de cita, notificaciones de tu cuenta) desde la cuenta de soporte oficial de AgentBuilder. NO leemos, modificamos ni eliminamos correos de tu Gmail. Solo se usa la capacidad de envío. • https://www.googleapis.com/auth/calendar.events Para crear eventos en tu Google Calendar cuando un cliente agenda una cita a través de tu bot de WhatsApp. Cada evento es creado por instrucción explícita del flujo configurado por ti. NO accedemos a eventos existentes que no haya creado AgentBuilder, ni los modificamos o eliminamos. • https://www.googleapis.com/auth/calendar.readonly Para detectar conflictos de horario antes de mostrar slots disponibles al cliente — leemos únicamente las horas ocupadas (free/busy) de tu calendario seleccionado, no el contenido ni los participantes de tus eventos privados. Compromisos: • NO usamos datos de Gmail/Calendar para entrenar modelos de IA generales ni para publicidad. • NO transferimos datos de Gmail/Calendar a terceros para fines distintos de la operación del servicio que contrataste. • NO usamos los datos para crear bases de datos o para venta. • El acceso humano a los datos está limitado a (a) consentimiento explícito tuyo para soporte, (b) lo necesario para cumplir la ley, o (c) operaciones internas de seguridad de la plataforma (logs anonimizados). • Puedes revocar el acceso en cualquier momento desde https://myaccount.google.com/permissions o desde el dashboard de AgentBuilder (Integraciones → Desconectar). Para más información sobre cómo Google maneja tus datos, consulta la Política de Privacidad de Google: https://policies.google.com/privacy

Los datos personales se conservan únicamente durante el tiempo necesario para cumplir las finalidades para las que fueron recabados y las obligaciones legales aplicables: • Datos de cuenta y configuración de bots: durante la vigencia de la cuenta y hasta 30 días naturales posteriores a su cancelación, para permitir reactivación. Vencido dicho plazo, se eliminan o anonimizan. • Mensajes, conversaciones y multimedia: retención por defecto de 365 días, configurable por el Titular contratante desde el panel. • Datos de facturación, comprobantes fiscales digitales (CFDI) y registros contables: 5 años contados a partir del cierre del ejercicio fiscal correspondiente, conforme al artículo 30 del Código Fiscal de la Federación. • Logs de auditoría y registros de seguridad: hasta 1 año. • Backups cifrados: rotados automáticamente conforme a la política de 30 días. El Titular puede solicitar en cualquier momento la eliminación anticipada de los datos cuya conservación no esté impuesta por la ley, escribiendo a contacto@agentbuilder.cloud.

Conforme a los artículos 22 a 35 LFPDPPP y artículos 15 a 22 RGPD (cuando aplique), el Titular o su representante legal podrán ejercer los siguientes derechos: • Acceso: conocer qué datos personales tenemos, para qué los usamos y las condiciones de su uso. • Rectificación: solicitar la corrección de datos inexactos, incompletos o desactualizados. • Cancelación (supresión / "derecho al olvido"): eliminar los datos cuando consideres que no se requieren para alguna de las finalidades señaladas o cuando se hubiese vencido el plazo de conservación. • Oposición: oponerte al tratamiento para fines específicos. • Portabilidad (solo RGPD): recibir tus datos en formato estructurado, comúnmente usado y de lectura mecánica (JSON o CSV). • Limitación del tratamiento (solo RGPD). • Revocación del consentimiento en cualquier momento, sin efectos retroactivos. Procedimiento (art. 29 LFPDPPP): 1. Envía tu solicitud al correo contacto@agentbuilder.cloud con el asunto "Solicitud ARCO". 2. Incluye: (i) nombre del Titular y medio para comunicar la respuesta; (ii) documento que acredite tu identidad (INE, pasaporte) o, en su caso, la representación legal con poder notarial o carta poder ratificada ante notario; (iii) descripción clara y precisa de los datos personales respecto de los que ejerces el derecho; (iv) cualquier elemento o documento que facilite la localización de los datos. 3. AgentBuilder dará respuesta en un plazo máximo de 20 días hábiles desde la recepción completa de la solicitud (art. 32 LFPDPPP). De resultar procedente, la efectividad de la respuesta se materializará en los 15 días hábiles posteriores. 4. El ejercicio de derechos ARCO es gratuito; solo se podrán cobrar gastos justificados de envío o reproducción en copias u otros formatos. 5. Si AgentBuilder no contesta o consideras que la respuesta es insatisfactoria, podrás iniciar el Procedimiento de Protección de Derechos ante el INAI (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales) en un plazo máximo de 15 días hábiles desde la fecha en que se comunique la respuesta o concluya el plazo legal sin respuesta. Cuando el Titular sea un usuario final de un bot operado por un cliente de AgentBuilder, las solicitudes ARCO deberán dirigirse en primera instancia al Responsable contratante (cliente de AgentBuilder), quien actúa como Responsable del tratamiento de los datos de sus propios usuarios. AgentBuilder, en calidad de Encargado (art. 50 LFPDPPP), cooperará razonablemente para atender dichas solicitudes.

La Plataforma incluye nodos de inteligencia artificial (chat, clasificación, extracción, RAG, visión y transcripción) que el Titular contratante puede activar libremente. Cuando estos nodos generen respuestas o clasificaciones que afecten significativamente al usuario final: • AgentBuilder NO toma decisiones automatizadas con efectos jurídicos sobre los Titulares por iniciativa propia. • El diseño del flujo conversacional y la configuración de los modelos de IA son responsabilidad del Titular contratante. • Recomendamos que todo flujo que afecte derechos del usuario final ofrezca una vía clara de revisión humana ("hand-off"). • Los outputs de los modelos pueden contener inexactitudes. El Titular es responsable de validar la idoneidad del modelo para su caso de uso, especialmente en sectores regulados (salud, finanzas, legal).

AgentBuilder no está dirigida a menores de 18 años y no recopila conscientemente datos personales de menores. Si tienes conocimiento de que un menor nos ha proporcionado datos sin autorización del titular de la patria potestad o tutor, escribe a contacto@agentbuilder.cloud y procederemos a su eliminación.

Usamos exclusivamente cookies estrictamente necesarias para el funcionamiento de la Plataforma: • Cookies de autenticación (JWT en localStorage y refresh token en cookie httpOnly Secure SameSite=Strict). • Cookies de preferencias del usuario (tema, idioma). • Cookies de estado OAuth (5 minutos de duración) durante flujos de "Iniciar sesión con Google" y conexión de Google Workspace. NO utilizamos cookies de publicidad, perfilamiento ni de terceros para tracking comportamental. NO usamos píxeles de redes sociales en la Plataforma autenticada.

AgentBuilder se reserva el derecho de actualizar, ampliar o modificar el presente Aviso de Privacidad. Los cambios sustanciales serán notificados por correo electrónico al Titular contratante y/o mediante aviso visible en la Plataforma con al menos 15 días naturales de antelación, conforme al artículo 18 LFPDPPP. La versión vigente siempre estará disponible en https://agentbuilder.cloud/privacy con la fecha de "Última actualización" claramente indicada. El uso continuado de la Plataforma después de la entrada en vigor de los cambios implica la aceptación de los mismos. Si no estás de acuerdo, podrás dar por terminada tu cuenta antes de su entrada en vigor.

Para preguntas, solicitudes, ejercicio de derechos ARCO o reclamaciones relativas al presente Aviso: • Correo: contacto@agentbuilder.cloud (asunto: "Privacidad" o "ARCO") • Sitio web: https://agentbuilder.cloud Autoridad de control para Titulares en México: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI). Av. Insurgentes Sur 3211, Col. Insurgentes Cuicuilco, C.P. 04530, Coyoacán, Ciudad de México. Tel.: 800 835 4324. Sitio web: https://home.inai.org.mx Autoridad de control para Titulares en la Unión Europea: La autoridad nacional de protección de datos del país de residencia del Titular.