Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos recogidos a través de connect.grostify.com y del servicio Grostify Connect es Grostify LLC, sociedad de responsabilidad limitada constituida en el Estado de Wyoming, Estados Unidos (Wyoming Secretary of State, filing ID 2025-001731973), con domicilio en 1021 E Lincolnway 8776, Cheyenne, WY 82001, Estados Unidos.

Grostify LLC tiene aprobada la verificación de negocio de Meta Platforms, Inc. y opera sobre WhatsApp Business Platform. Para cualquier consulta sobre privacidad escribe a privacy@grostify.com.

2. Qué es Grostify Connect y qué papel tenemos

Grostify Connect es una infraestructura con la que empresas de software, agencias y desarrolladores (nuestros clientes) conectan cuentas de WhatsApp Business de sus propios clientes finales y exponen sus productos a asistentes de inteligencia artificial mediante el protocolo MCP.

Respecto a los datos de los usuarios de WhatsApp que se comunican con un negocio conectado, ese negocio es el responsable del tratamiento y Grostify actúa como encargado del tratamiento por su cuenta, siguiendo sus instrucciones. Meta Platforms, Inc. y sus filiales tratan esos datos de forma independiente conforme a sus propias políticas.

Respecto a los datos de las personas que crean una cuenta en Connect, visitan el sitio o nos escriben, Grostify es el responsable del tratamiento.

3. Qué datos tratamos

Datos de cuenta

Nombre, correo electrónico de trabajo, empresa, contraseña cifrada, idioma y preferencias, registros de acceso e información de facturación cuando contratas un plan.

Datos de las cuentas de WhatsApp Business conectadas

Identificadores del portfolio de Meta, de la cuenta de WhatsApp Business (WABA ID), de los números de teléfono (phone number ID) y de la app, nombre visible del negocio, estado de verificación, calidad del número, límites de mensajería, plantillas de mensaje y su estado de aprobación, y los tokens de acceso que Meta emite para operar la cuenta.

Datos de mensajería

Los eventos que Meta entrega por webhook: identificadores de mensaje, número de teléfono del remitente y del destinatario, marca de tiempo, tipo de mensaje, estado de entrega y lectura, errores, y el contenido del mensaje cuando el negocio conectado usa Connect para recibirlo o enviarlo. Los detalles de conservación están en el apéndice técnico.

Datos de consentimiento

Registro del opt-in de cada contacto: número, fecha, origen (QR, enlace, formulario, conversación) y categoría de mensaje autorizada, para que el negocio conectado pueda demostrar el consentimiento que exige la política de mensajería de WhatsApp.

Datos técnicos y de uso

Dirección IP, tipo de dispositivo y navegador, páginas visitadas, llamadas a la API con sus metadatos (endpoint, latencia, código de respuesta), y cookies necesarias para el funcionamiento del sitio y la sesión.

4. Para qué usamos los datos

• Prestar el servicio: conectar cuentas, entregar y enviar mensajes, gestionar plantillas, exponer herramientas MCP y mostrar el coste de Meta por cuenta.
• Seguridad: validar las firmas de los webhooks, detectar abuso, proteger la calidad de los números y cumplir las políticas de Meta.
• Cumplimiento: conservar la prueba de consentimiento y los registros de auditoría que nuestros clientes necesitan.
• Soporte y comunicación: responder a tus solicitudes y avisarte de cambios en el servicio o en las reglas de Meta.
• Mejora del producto, con datos agregados o seudonimizados.
• Obligaciones legales, fiscales y contables.

5. Base legal

Ejecución del contrato contigo o con tu empresa, nuestro interés legítimo en operar un servicio seguro y en mejorarlo, tu consentimiento cuando te lo pedimos de forma expresa, y el cumplimiento de obligaciones legales. Cuando actuamos como encargados, la base legal la determina el negocio conectado como responsable.

6. Con quién compartimos datos

No vendemos datos personales. Compartimos datos con:

• Meta Platforms, Inc. y sus filiales, porque la mensajería de WhatsApp se entrega a través de su plataforma. Meta cobra directamente al negocio conectado por los mensajes y trata los datos según su política de privacidad y las condiciones de WhatsApp Business Platform.
• Proveedores que actúan como encargados por cuenta nuestra: alojamiento y cómputo en la nube, bases de datos, correo transaccional, monitorización y soporte, todos bajo contratos que los obligan a proteger la información.
• Proveedores de modelos de inteligencia artificial, solo cuando el negocio conectado activa un agente y únicamente con los datos necesarios para responder.
• Autoridades, cuando una obligación legal lo exija.

7. Transferencias internacionales

Grostify opera desde Estados Unidos y da servicio a clientes en Latinoamérica, Europa y otras regiones. Los datos pueden tratarse fuera de tu país. Cuando la normativa aplicable lo exige, usamos cláusulas contractuales tipo u otras salvaguardas reconocidas.

8. Conservación

• Datos de cuenta: mientras la cuenta esté activa y hasta 12 meses después de su cierre, salvo obligación legal de conservar más tiempo.
• Identificadores y tokens de cuentas de WhatsApp conectadas: mientras la conexión esté activa. Al desconectar o borrar la cuenta, los tokens se revocan ante Meta y se eliminan.
• Contenido de mensajes: por defecto 30 días desde su recepción o envío. El negocio conectado puede configurar un plazo menor o desactivar el almacenamiento de contenido.
• Metadatos de mensajería y registros de auditoría: 13 meses, para soporte, disputas de facturación y cumplimiento.
• Registros de consentimiento: mientras el contacto siga activo y 3 años después, para poder demostrarlo.
• Copias de seguridad: se sobrescriben en un máximo de 90 días.

9. Seguridad

Ciframos los tokens de acceso en reposo, validamos la firma HMAC-SHA256 de cada webhook antes de procesarlo, aplicamos control de acceso por rol y por cuenta, registramos los accesos y mantenemos los sistemas actualizados. Ningún sistema es infalible. Si detectamos una brecha que te afecte, te lo comunicaremos conforme a la ley aplicable.

10. Tus derechos

Puedes acceder, rectificar, borrar, limitar u oponerte al tratamiento de tus datos, y pedir su portabilidad, escribiendo a privacy@grostify.com. Si eres usuario final de un negocio conectado, dirige tu solicitud a ese negocio y, si nos escribes a nosotros, se la trasladaremos. Puedes reclamar ante la autoridad de protección de datos de tu país.

Para borrar una cuenta de WhatsApp Business conectada y todos sus datos, consulta la página de eliminación de datos en connect.grostify.com, que describe las tres vías disponibles, incluida la automática cuando eliminas la app de Grostify desde Meta.

11. Cookies

Usamos cookies estrictamente necesarias para la sesión, la seguridad y recordar el idioma. Si añadimos analítica, te pediremos consentimiento antes y podrás gestionarlo desde el sitio.

12. Menores

Connect es un servicio para empresas y profesionales. No está dirigido a menores de 18 años ni recogemos sus datos a sabiendas.

13. Cambios en esta política

Publicaremos cualquier cambio en esta página con la fecha de actualización. Si el cambio es relevante, avisaremos por correo a los titulares de cuenta.

Apéndice técnico: tratamiento de datos de mensajería, pasarelas y webhooks

A. Conexión de cuentas (Embedded Signup)

La vinculación se hace con el flujo Embedded Signup de Meta. El cliente final inicia sesión en Meta, elige o crea su portfolio y su cuenta de WhatsApp Business y concede a la app de Grostify los permisos whatsapp_business_management y whatsapp_business_messaging. Meta devuelve un código que nuestro servidor intercambia por un token de negocio. Ese token se cifra en reposo, nunca se expone al navegador y se revoca ante Meta al desconectar la cuenta.

Si el negocio conecta un número que ya usa en la app WhatsApp Business (coexistencia), sigue usando la app y Meta envía a Connect una copia de los mensajes que el negocio escribe desde ella a partir de ese momento. Connect no importa el historial de chats anterior a la conexión ni la agenda de contactos del móvil.

B. Webhooks

Meta entrega los eventos a un endpoint de Grostify. Antes de procesar cualquier evento validamos la cabecera X-Hub-Signature-256 con el secreto de la app usando HMAC-SHA256 y comparación en tiempo constante. Los eventos sin firma válida se rechazan y no se almacenan. Los eventos válidos se deduplican por identificador de mensaje, se encolan y se confirman a Meta en menos de un segundo.

C. Qué guardamos de cada evento

Siempre: identificadores de cuenta, número, mensaje y plantilla, marca de tiempo, tipo de evento, estado y códigos de error. El contenido del mensaje solo si el negocio conectado tiene activado el almacenamiento, y con el plazo de la sección 8. Los archivos multimedia se descargan de Meta bajo demanda y no se conservan salvo configuración expresa.

D. Envío de mensajes y coste

Los mensajes salen por la Cloud API de Meta con el token del negocio conectado. Registramos por cada envío el identificador, la categoría de precio que Meta asigna y el estado de entrega, para mostrar al negocio el coste de Meta a coste y separado de la cuota de Grostify.

E. Servidores MCP

Cuando un cliente publica un servidor MCP con Connect, los asistentes de IA de terceros acceden a herramientas definidas por el cliente mediante OAuth 2.1 con tokens de corta vida y alcances por herramienta. Por defecto las herramientas son de solo lectura. Registramos cada llamada (quién, qué herramienta, cuándo, resultado) en un registro de auditoría que el cliente puede exportar. No usamos las conversaciones para entrenar modelos.

F. Data Deletion Callback

Cuando un usuario elimina la app de Grostify desde Meta, Meta envía una solicitud firmada (signed_request) a nuestro endpoint de eliminación. Verificamos la firma, registramos la solicitud, generamos un código de confirmación y devolvemos a Meta la URL donde consultar el estado. El borrado se completa en el plazo indicado en la página de eliminación de datos.