Última actualización: 5 de noviembre de 2026
1. Responsable del tratamiento
ChatDirect.ca (en adelante "ChatDirect", "nosotros") opera la plataforma de chatbot IA y CRM integrado accesible en chatdirect.ca. Para cualquier pregunta relativa a esta política, contáctenos en info@chatdirect.ca.
2. Datos recopilados
2.1 Datos de los visitantes del chatbot
- Datos proporcionados voluntariamente: nombre, correo electrónico, teléfono, empresa, mensaje (a través del formulario de captura de leads)
- Datos recopilados automáticamente: identificador de sesión anónimo, página de origen, idioma del navegador, fecha y hora de la conversación
- Conversaciones: contenido de los intercambios con el chatbot IA
2.2 Datos de los clientes (administradores)
- Nombre, correo electrónico, empresa
- Datos de configuración del chatbot
- Documentos subidos para RAG (PDF, Word, TXT) y URLs de páginas web indexadas
- Secreto TOTP para la autenticación de dos factores
- Datos de facturación (gestionados por nuestro procesador de pagos)
3. Finalidades del tratamiento
- Funcionamiento del chatbot IA y generación de respuestas
- Procesamiento de mensajes multicanal (SMS, WhatsApp, Messenger, Instagram DM)
- Generación de embeddings semánticos (RAG) mediante la API OpenAI (text-embedding-3-small)
- Captura y calificación de leads (lead scoring)
- Gestión del CRM integrado (pipeline, seguimientos, recordatorios) y funciones de IA del CRM descritas en la sección 5
- Comunicación con los clientes (soporte, notificaciones)
- Mejora del servicio y estadísticas anónimas
- Cumplimiento de las obligaciones legales
4. Base jurídica del tratamiento
Según la Ley 25 de Quebec y el RGPD europeo, tratamos sus datos sobre la base de:
- Consentimiento: el visitante inicia la conversación voluntariamente
- Ejecución del contrato: prestación del servicio a nuestros clientes
- Interés legítimo: mejora del servicio, seguridad, prevención del fraude
5. Funciones de inteligencia artificial del CRM
El CRM integrado de ChatDirect incluye funciones de asistencia basadas en inteligencia artificial (IA). Estas funciones tratan datos personales que la empresa cliente conserva en su cuenta: conversaciones del chatbot, datos de contacto, notas y actividades. Respecto de estos datos, la empresa cliente sigue siendo responsable de sus datos; ChatDirect actúa como encargado del tratamiento (proveedor de servicios) y solo los trata para prestarle el Servicio.
5.1 Funciones disponibles
- Llenado de campos de un contacto («Completar con IA»): completa los campos personalizados que el cliente marcó como «IA» en la configuración del CRM, a partir de lo que el visitante indicó personalmente en la conversación del chatbot. Datos: contenido de la conversación (hasta los últimos 40 mensajes) y nombres de los campos que se deben llenar. Solo se llenan los campos vacíos; un valor ingresado manualmente nunca se reemplaza, y cada dato agregado queda registrado en el historial del contacto como llenado por la IA. El llenado se hace a petición (botón) o automáticamente al terminar una conversación, solo para los campos marcados como «IA».
- Puntaje, probabilidad de conversión y detección de intención: ayudan a priorizar los contactos. El puntaje y la probabilidad de conversión se calculan en nuestros servidores con reglas fijas (número de mensajes, duración de la conversación, visitas repetidas, páginas consultadas, palabras clave, datos de contacto proporcionados). Cuando la opción de detección de intención está activada en la configuración del chatbot, el modelo de IA del chatbot indica además, durante la conversación, un nivel de intención (medio o alto); este cálculo no implica ningún envío adicional al proveedor de IA.
- Frase de prioridades «Mi día» (portal y correo electrónico matutino): sugiere por dónde empezar el día. Datos: títulos y fechas de las actividades atrasadas o previstas, nombres de los contactos relacionados, y título, etapa y valor de los negocios estancados. La frase se genera como máximo una vez al día por usuario, y solo si hay actividades atrasadas o negocios estancados.
- Ayuda para redactar correos electrónicos: propone un borrador (seguimiento, propuesta, recordatorio, agradecimiento). Datos: nombre del contacto, estado, puntaje y un extracto de la conversación o del negocio. El borrador se muestra al usuario, que lo revisa, lo modifica y lo envía personalmente; nada se envía automáticamente.
- Lectura de tarjetas de presentación (aplicación móvil): prellena un nuevo contacto. Datos: la foto de la tarjeta y los datos de contacto que contiene (nombre, correo electrónico, teléfono, empresa, cargo, sitio web). La foto se envía a Anthropic (modelos Claude), único proveedor utilizado para esta función, y ChatDirect no la conserva después de la lectura. El usuario verifica los campos propuestos antes de guardar el contacto.
- Limpieza de notas dictadas (aplicación móvil): hace legible una nota de seguimiento y, si corresponde, propone una actividad de seguimiento con fecha (llamada, reunión, tarea, correo electrónico). Datos: el texto de la nota. El dictado por voz lo convierte en texto el teléfono; ChatDirect solo recibe el texto. La nota reescrita y el seguimiento propuesto se presentan al usuario, que los acepta o los modifica.
- Análisis de reseñas negativas (Review Booster): cuando un cliente de la empresa deja una calificación de 1 a 3 estrellas con un comentario, la IA resume los puntos de mejora para la empresa y redacta una breve respuesta que se muestra a la persona que dejó el comentario. Datos: el texto del comentario. Esta función utiliza el proveedor de IA elegido por ChatDirect (Anthropic, u OpenAI como respaldo), independientemente del modelo elegido por el cliente.
- Títulos y resúmenes de conversaciones: facilitan la clasificación de la bandeja de entrada. Datos: contenido de la conversación. El título (unas pocas palabras) y el resumen se guardan con la conversación.
5.2 Funciones en preparación
Otras funciones están en desarrollo y podrán ofrecerse, primero en versión beta y a petición del cliente: identificación de las necesidades expresadas por los visitantes en las conversaciones del chatbot para preparar oportunidades (negocios) en el CRM del cliente, resúmenes de expedientes y recomendaciones de acciones, y preparación de cotizaciones. Seguirán los principios de esta sección, y esta política se actualizará antes de su puesta en servicio.
5.3 Envío al proveedor de IA
Salvo el cálculo del puntaje, que se realiza en nuestros servidores, el contenido que necesita cada función (texto de los mensajes, datos de contacto, notas o foto) se envía al proveedor de IA utilizado: por regla general, el del modelo elegido por el cliente (Anthropic, OpenAI, Google o Mistral), con las excepciones indicadas arriba. Se aplican las condiciones descritas en la sección 7 (Proveedores de IA y subprocesadores). Los resultados se guardan en la cuenta del cliente, alojada en Canadá.
5.4 Sugerencias que deben verificarse
Los resultados de la IA son sugerencias: pueden ser incompletos o inexactos y el usuario debe verificarlos. Ninguna de estas funciones toma una decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos o efectos significativos similares para una persona. El puntaje y la probabilidad de conversión sirven para organizar el trabajo comercial y no deben ser el único fundamento de una decisión de ese tipo.
5.5 Límites de uso
Estas funciones están sujetas a límites por cuenta, por ejemplo: 150 llenados de fichas cada 24 horas, 100 solicitudes cada 24 horas para las funciones de IA de la aplicación móvil y 20 solicitudes de ayuda por hora en el portal. Estos límites pueden cambiar.
5.6 No utilizar o desactivar estas funciones
- Las funciones que se inician con un botón (llenar una ficha, redactar un correo, leer una tarjeta, limpiar una nota) solo se ejecutan si un usuario las activa.
- El llenado automático solo afecta a los campos marcados como «IA» en la configuración del CRM; basta con desmarcarlos para detenerlo.
- La detección de intención y Review Booster son opciones de la configuración del chatbot que pueden desactivarse en cualquier momento.
- En la aplicación móvil, el usuario puede retirar en cualquier momento, en la pestaña Más, el consentimiento dado a las funciones de IA (sección 5.7).
- Las funciones en versión beta solo se activan a petición del cliente. Para que se desactive una función de IA del CRM en su cuenta, el cliente puede escribir a info@chatdirect.ca.
Las personas cuyos datos figuran en el CRM de un cliente ejercen sus derechos (sección 9) ante esa empresa; también pueden escribirnos, y transmitiremos su solicitud.
5.7 Aplicación móvil: funciones de IA y consentimiento del usuario
En la aplicación móvil de ChatDirect, las siguientes funciones envían datos al proveedor de IA elegido por la empresa (por defecto Anthropic, modelos Claude), según las reglas de la sección 5.3 y las precisiones de la sección 5.1:
- Escaneo de tarjetas de presentación: la foto de la tarjeta.
- «Ordenar el texto» de una nota: el texto de la nota.
- Sugerencia de respuesta del chat en vivo, «Rellenar con IA» en la ficha de un contacto y títulos de las conversaciones: la conversación con el visitante.
- Correo redactado por la IA: el nombre del contacto y el inicio de su conversación.
- Consejo «Mi día»: las actividades y los negocios del día.
Antes del primer envío de datos a la IA, la aplicación presenta estas funciones y los datos enviados, y solicita el consentimiento del usuario. Este consentimiento se registra para su cuenta en el dispositivo utilizado. El usuario puede retirarlo en cualquier momento en la pestaña Más de la aplicación; el consentimiento se le volverá a solicitar antes del siguiente uso de una función de IA.
El resultado es una sugerencia que el usuario revisa antes de usarla (sección 5.4). Al igual que para el chatbot, se aplican las condiciones de la sección 7: según sus condiciones de uso de la API, los proveedores de IA no utilizan estos datos para entrenar sus modelos.
6. Alojamiento y seguridad de los datos
Para un resumen de nuestras medidas de seguridad, subprocesadores y respuestas sobre SOC 2, consulte la página Seguridad.
6.1 Infraestructura
La aplicación y los archivos principales se alojan en un servidor privado virtual (VPS) de OVH ubicado en Beauharnois, Quebec, Canadá. Algunos datos del CRM (negocios, organizaciones, productos, cotizaciones) se almacenan en archivos en este servidor de OVH, en Canadá. Los demás datos estructurados (cuentas, conversaciones, leads, embeddings vectoriales) se almacenan en una base de datos Supabase (PostgreSQL) alojada en Canadá (AWS ca-central-1, Montreal), con cifrado en tránsito (TLS) y en reposo (AES-256).
6.2 Medidas de seguridad
- Cifrado AES-256-CBC de las claves API y las credenciales de integración que los clientes registran en su portal
- Autenticación segura con bcrypt y 2FA por TOTP y códigos de respaldo (disponible en todos los portales)
- Protección CSRF en todos los formularios
- Headers de seguridad: X-Frame-Options, X-Content-Type-Options, HSTS
- Rate limiting en todos los endpoints API
- Protección SSRF contra inyecciones de URLs internas
- Subdominios wildcard SSL para clientes
- Revisiones de seguridad internas regulares
6.3 Aislamiento de datos (Privacy Wall)
Los datos de cada cliente están estrictamente aislados. El equipo de ChatDirect no tiene acceso a los datos de los clientes sin autorización explícita temporal (máximo 72 horas), concedida únicamente para fines de soporte técnico o resolución de incidentes.
7. Proveedores de IA y subprocesadores
Las conversaciones del chatbot, así como los datos que utilizan las funciones de IA del CRM (sección 5), se envían a los proveedores de IA:
- Anthropic (Claude) — Estados Unidos
- OpenAI (GPT-4o + embeddings text-embedding-3-small para RAG) — Estados Unidos
- Google (Gemini) — Estados Unidos
- Mistral — Francia / UE
Para generar las respuestas del chatbot, solo se envía el contenido de los mensajes, que puede incluir datos que el visitante haya escrito en la conversación. Las funciones de IA del CRM envían además los datos que necesitan, como el nombre o los datos de contacto de una persona, o la foto de una tarjeta de presentación (sección 5). Según sus condiciones de uso de la API, estos proveedores no utilizan este contenido para entrenar sus modelos y solo lo conservan durante un periodo limitado para detectar abusos: generalmente hasta 30 días (hasta 55 días en Google), y más tiempo para un contenido señalado como abusivo, según sus condiciones.
Subprocesadores adicionales:
- OVH (servidor privado virtual, VPS) — Canadá (Beauharnois, QC)
- Supabase (base de datos PostgreSQL + pgvector) — Canadá (AWS ca-central-1, Montreal)
- Stripe (procesamiento de pagos) — Estados Unidos
- SMTP2GO (envío de correos electrónicos) — Nueva Zelanda / Estados Unidos
- Twilio (SMS y WhatsApp Business, si configurado) — Estados Unidos
- Meta (Facebook Messenger e Instagram DM, si configurado) — Estados Unidos
- Google Firebase (Firebase Cloud Messaging): notificaciones push de la aplicación móvil, tratamiento en Estados Unidos. Datos enviados: el token del dispositivo y el contenido breve de la notificación (por ejemplo, el nombre del contacto o un extracto del mensaje).
8. Duración de la conservación
- Conversaciones: mientras la cuenta del cliente esté activa, o hasta que el cliente las elimine. El cliente puede eliminar sus conversaciones desde su portal; también las eliminamos a petición.
- Leads CRM: mientras la cuenta del cliente esté activa, o hasta que el cliente los elimine. El cliente puede eliminar sus leads desde su portal; también los eliminamos a petición.
- Datos de cuenta: durante la suscripción. Tras la cancelación, se conservan hasta su eliminación, que se realiza a petición del cliente; en ese momento se guarda un archivo durante 90 días y luego se borra.
- Logs de seguridad: 30 días
- Registros de limitación de solicitudes: identificadores técnicos con hash, sin dirección IP en claro, borrados automáticamente después de 24 horas
9. Sus derechos
Según la Ley 25 y el RGPD, usted tiene derecho a:
- Acceso: obtener una copia de sus datos personales
- Rectificación: corregir datos inexactos
- Supresión: solicitar la eliminación de sus datos
- Portabilidad: recibir sus datos en un formato estructurado
- Oposición: oponerse al tratamiento de sus datos
- Retiro del consentimiento: en cualquier momento
Los visitantes pueden eliminar sus datos directamente a través del widget del chatbot (botón "Eliminar mis datos"). Para cualquier otra solicitud, contáctenos en info@chatdirect.ca.
10. Cookies y rastreo
ChatDirect utiliza un mínimo de cookies:
- Cookie de sesión: identificador anónimo para mantener la conversación
- Google Tag Manager: estadísticas anónimas del sitio chatdirect.ca (no en los sitios de los clientes)
No utilizamos cookies publicitarias ni rastreadores de terceros en el widget del chatbot.
11. Modificaciones
Nos reservamos el derecho de modificar esta política de privacidad. Cualquier cambio significativo será notificado a nuestros clientes por correo electrónico. La fecha de última actualización se indica al principio de este documento.
12. Incidente de seguridad
En caso de una violación de datos que pueda presentar un riesgo para los derechos y libertades de las personas afectadas, nos comprometemos a:
- Notificar a la Commission d'accès à l'information du Québec en un plazo de 72 horas
- Informar a las personas afectadas lo antes posible
- Documentar el incidente y las medidas correctivas adoptadas
13. Contacto
Para cualquier pregunta relativa a la protección de sus datos: