Política de Privacidad

1. Quién es responsable

Panaleads es el nombre con el que se ofrece esta plataforma de automatización conversacional. El responsable de su operación es Juan Bocaranda, quien actúa a título personal: a la fecha de esta política no existe una sociedad constituida detrás de Panaleads.

El canal público de contacto para cualquier asunto relacionado con esta política es [email protected].

2. Alcance

Esta política cubre:

• el sitio público panaleads.com;
• la plataforma Panaleads que usan los negocios clientes y sus equipos;
• la información que llega a esa plataforma por los canales conversacionales conectados, hoy WhatsApp e Instagram.

No cubre:

• el tratamiento que WhatsApp, Instagram o Meta hacen de la información dentro de sus propias plataformas;
• las prácticas de privacidad propias de cada negocio cliente frente a sus clientes;
• otros sitios, servicios o aplicaciones de terceros.

3. Dos tipos de personas

En Panaleads conviven dos relaciones distintas, y conviene separarlas porque la información de cada una se trata por motivos diferentes.

El negocio cliente y su equipo

Son quienes contratan Panaleads y trabajan dentro de la plataforma. Su cuenta existe para que puedan operar: atender conversaciones, dar seguimiento a leads y agendar reservas.

Las personas que escriben a ese negocio

Cuando alguien escribe a un negocio por WhatsApp o Instagram, ese mensaje llega a la cuenta de ese negocio dentro de Panaleads. El negocio decide a quién escribe, qué le pregunta y con qué finalidad; Panaleads provee la plataforma donde esa operación ocurre y trata la información para prestarle ese servicio.

4. Qué información se trata

4.1 Cuentas del negocio y de su equipo

• correo electrónico y nombre de las personas con acceso;
• la contraseña guardada como hash, nunca en texto legible;
• el rol y los permisos de cada persona dentro de la cuenta del negocio;
• las sesiones iniciadas, su vigencia y, cuando está disponible, la información de agente de usuario que envía el navegador o la aplicación desde la que se abrieron;
• qué persona del equipo realizó ciertas acciones que deben quedar atribuidas, como tomar una conversación o registrar un cobro.

4.2 Datos descriptivos del negocio

Nombre, descripción, sector y tono de comunicación del negocio, además de la configuración de sus canales, su agenda y sus etapas comerciales.

4.3 Conversaciones y contactos

• el contenido de los mensajes intercambiados, en ambos sentidos;
• la fecha y hora, el canal y el identificador que la plataforma de origen asigna a cada mensaje;
• el nombre o nombre de usuario que la plataforma de origen expone de la persona que escribe;
• los identificadores que esas plataformas asignan a esa persona dentro del canal, que la plataforma usa para responder al destinatario correcto;
• el estado de entrega que el canal reporta sobre cada mensaje enviado.

El contenido de una conversación lo escribe la persona. Panaleads no controla qué decide incluir en un mensaje y lo almacena tal como llegó; la plataforma no solicita por su cuenta documentos de identidad, datos bancarios ni información de salud.

4.4 Leads y seguimiento

La etapa del lead dentro del embudo comercial del negocio, los seguimientos programados y las valoraciones internas de prioridad que la plataforma calcula a partir de la actividad de la conversación.

4.5 Reservas

El recurso y el servicio reservados, la fecha y hora, el estado de la reserva y la conversación del cliente para el cual se agendó.

4.6 Registros comerciales

Cuando un negocio activa funcionalidad comercial adicional que la plataforma soporta —pedidos, obligaciones de cobro, devoluciones— se guardan los registros correspondientes. Panaleads no recibe, custodia ni transfiere fondos: si un negocio cobra en línea, lo hace con su propia cuenta de proveedor de pago.

4.7 Credenciales de los canales conectados

Para enviar y recibir mensajes en nombre del negocio, la plataforma guarda las credenciales de acceso que ese negocio autoriza. Se guardan cifradas, no se devuelven por ninguna interfaz y no se muestran de vuelta una vez registradas.

4.8 Registros técnicos

Registros de funcionamiento, errores y entregas, necesarios para operar y diagnosticar el sistema. Se aplica redacción defensiva para evitar que credenciales o contenido sensible queden escritos en ellos.

5. De dónde viene la información

• del propio negocio cliente y de las personas de su equipo;
• de quienes escriben al negocio por los canales conectados, a través de WhatsApp e Instagram;
• generada por la propia plataforma: etapas, estados de entrega, valoraciones de prioridad y registros de actividad.

6. Para qué se usa

• prestar el servicio: recibir, mostrar y responder conversaciones;
• registrar y organizar leads y sus seguimientos;
• calcular disponibilidad y gestionar reservas;
• mantener los registros comerciales del negocio;
• operar, mantener y diagnosticar la plataforma;
• proteger las cuentas: autenticación, control de accesos y detección de abuso;
• atender las solicitudes descritas en las secciones 13 y 14.

Dos límites de ese uso no dependen de una promesa, porque los impone la propia plataforma:

• la información de un negocio no se le muestra a otro negocio, porque la separación se impone en la base de datos (sección 7);
• el procesamiento con inteligencia artificial se limita a clasificar mensajes y elegir fórmulas de cortesía, y nunca crea ni modifica pedidos, pagos o reservas (sección 10).

7. Separación entre negocios

La plataforma es centralizada y multi-tenant: todos los negocios operan sobre la misma infraestructura y cada uno tiene su propia cuenta dentro de ella. Panaleads no entrega una base de datos ni una infraestructura dedicada por negocio, y esta política no afirma lo contrario.

La separación no depende solamente del código de la aplicación: las tablas que pertenecen a un negocio están protegidas con seguridad a nivel de fila en la base de datos, y la identidad con la que la plataforma se conecta en producción no puede saltarse esa protección. Cada acceso queda acotado al negocio de quien lo realiza.

8. WhatsApp, Instagram y las plataformas de Meta

Los canales conversacionales son el medio por el que entra y sale un mensaje. El registro comercial vive en Panaleads, no en la bandeja de la red social. Pero un mensaje enviado por WhatsApp o Instagram pasa necesariamente por la infraestructura de Meta, y allí rige la política de privacidad de esa plataforma, no ésta.

Panaleads es un producto independiente. No está afiliado a Meta, ni patrocinado, avalado o certificado por Meta. Los nombres WhatsApp e Instagram se usan aquí únicamente para describir los canales que la plataforma conecta.

9. Proveedores y terceros

Para operar, la plataforma depende de terceros: las plataformas de mensajería de Meta y la infraestructura sobre la que el sistema se ejecuta.

Cuando el procesamiento con inteligencia artificial está activado, Amazon Web Services, a través de su servicio Amazon Bedrock, recibe el texto de los mensajes que se clasifican, en las condiciones descritas en la sección 10.

No se publica aquí una lista cerrada de subencargados. A la fecha de esta política no existe una lista verificada y completa que pueda sostenerse, y publicar una incompleta sería inexacto.

10. Inteligencia artificial

La plataforma puede usar inteligencia artificial para dos tareas concretas, y solo para ellas:

• entender qué pide un mensaje: clasificarlo dentro de una lista cerrada de intenciones (por ejemplo, preguntar por un precio, por el estado de un pedido o por un pago, o pedir hablar con una persona);
• elegir el saludo y la despedida de una respuesta entre fórmulas de cortesía fijas. La inteligencia artificial no redacta texto libre: los datos de la respuesta, como importes o estados, los pone la plataforma a partir de sus propios registros.

La inteligencia artificial no crea, modifica ni cancela pedidos, pagos ni reservas, y no decide nada que tenga efecto comercial: esas operaciones pertenecen siempre a la plataforma.

Qué se envía. El texto del mensaje que se clasifica y, para elegir la fórmula de cortesía, la respuesta que la plataforma ya calculó. No se envían el nombre, el número de teléfono ni los identificadores de cuenta de la persona, aunque el propio texto del mensaje puede contener datos personales si quien escribe los incluye.

Quién lo procesa. El modelo Gemma 4 31B, ejecutado en Amazon Bedrock, el servicio de Amazon Web Services, en la región de Estados Unidos (Ohio). La cuenta está configurada en el modo de retención de datos none. En ese modo, según la documentación de Amazon Web Services, las solicitudes y respuestas no se guardan en almacenamiento duradero, no se usan para entrenar modelos y no se comparten con el fabricante del modelo. La plataforma comprueba que ese modo está activo antes de enviar cada mensaje, y si no puede confirmarlo no envía nada.

Qué se guarda en Panaleads. La intención detectada, su nivel de confianza y datos técnicos del procesamiento (tamaño y costo de la consulta), asociados a la conversación del negocio.

Estado actual. El procesamiento con inteligencia artificial está activado desde el 15 de octubre de 2026.

11. Seguridad

Medidas implementadas en la plataforma:

• las credenciales de los canales conectados y las credenciales de pago propias del negocio se guardan cifradas en reposo y se descifran únicamente en el punto interno que está por usarlas;
• las contraseñas se guardan como hash, nunca en texto legible;
• el acceso a las interfaces internas exige autenticación y control de roles;
• la separación entre negocios se impone en la base de datos, como describe la sección 7;
• los avisos entrantes de las plataformas de Meta se verifican criptográficamente antes de procesarse, con el secreto que corresponde a la aplicación por cuya ruta llegaron y sin recurrir al de la otra;
• el navegador no sostiene los tokens de sesión: viajan en cookies HttpOnly ligadas a un solo origen;
• los registros aplican redacción defensiva para evitar escribir credenciales.

Ninguna medida elimina por completo el riesgo. Esta política no promete seguridad absoluta ni confidencialidad garantizada, y no debería creerse esa promesa de ningún servicio.

12. Conservación y eliminación

Esta política no fija un plazo de conservación ni describe una regla general de borrado, y la razón es que hoy no existe ninguna: la plataforma no aplica un proceso automático que elimine información al cumplirse un plazo o al cambiar el estado de una cuenta. Lo que sí es cierto hoy:

• la eliminación se tramita caso por caso, por el proceso asistido de la sección 13;
• ciertos registros son deliberadamente inmutables o de solo agregado, porque reescribirlos falsearía el historial comercial o de auditoría; en esos casos una corrección se registra como un hecho nuevo en lugar de borrar el anterior, y el alcance de una eliminación debe evaluarse frente a esa integridad.

13. Solicitudes de privacidad y eliminación

En esta versión, las solicitudes se atienden por correo y de forma asistida. No existe un portal de autogestión ni un botón de borrado automático, y esta política no da a entender que exista.

Para solicitar acceso, corrección o eliminación de información, escriba a [email protected] indicando:

• qué solicita: acceso, corrección o eliminación;
• con qué negocio se relaciona la información, si lo sabe;
• el canal y la identidad con la que interactuó, por ejemplo la cuenta o el número desde el que escribió.

Cada solicitud se revisa y se responde de forma asistida. Esta política no fija un plazo de respuesta: no existe un proceso automatizado que pudiera garantizarlo.

Si usted es cliente de un negocio que usa Panaleads, buena parte de esa información pertenece a la operación de ese negocio. En esos casos la solicitud puede requerir coordinación con él, y se le informará de ello.

Existe además una segunda vía de entrada: Meta puede enviar una solicitud de eliminación en nombre de quien autorizó la conexión de una cuenta de Instagram. Panaleads verifica criptográficamente que esa solicitud procede de Meta, la registra y devuelve un código de confirmación con una página pública de estado. Esa página indica únicamente que la solicitud fue recibida y en qué punto del proceso se encuentra; no muestra información del negocio ni de ninguna persona.

Una solicitud recibida por esa vía entra exactamente en el mismo proceso asistido descrito arriba y no se ejecuta automáticamente. Lo único que ocurre de inmediato es que Panaleads deja de poder usar la autorización concedida a esa cuenta de Instagram. Recibir la solicitud no equivale a haber eliminado registros, y esta política no fija un plazo para su tramitación.

14. Verificación antes de actuar

Una solicitud de eliminación no se ejecuta por el solo hecho de recibirse. Antes de actuar se verifica razonablemente que quien la envía controla la identidad o la cuenta involucrada; por ejemplo, confirmándola desde el mismo canal o la misma cuenta con la que se originó la conversación.

Este paso protege a la persona. Borrar información o entregarla a partir de un correo no verificado permitiría que un tercero elimine el historial de alguien más, o que acceda a él. Si no es posible verificar razonablemente la solicitud, no se ejecuta y se explica por qué.

15. Procesamiento internacional

La plataforma y los servicios de los que depende pueden procesar y almacenar información en países distintos al de residencia de la persona a la que se refiere. Esta política no invoca ningún mecanismo específico de transferencia internacional ni afirma certificación alguna, porque no se ha establecido ninguno.

En particular, cuando el procesamiento con inteligencia artificial está activado, el texto de los mensajes que se clasifican se procesa en Estados Unidos (sección 10).

16. Plataformas y sitios externos

Panaleads no controla las plataformas de terceros con las que se comunica ni los sitios a los que un negocio pueda enlazar desde una conversación. El tratamiento que esos terceros hagan de la información se rige por sus propias políticas, no por ésta.

17. Cookies y el sitio público

El código de este sitio público no incluye cookies, analítica, recursos de terceros ni tipografías externas. Incluye JavaScript propio, que sirve para la presentación de las páginas. Lo único que guarda en el dispositivo es la preferencia de tema claro u oscuro. Lo que una capa de alojamiento o de distribución de contenido pueda añadir por su cuenta queda fuera de lo que ese código controla.

El área de trabajo autenticada que usan los negocios clientes sí usa cookies estrictamente necesarias para sostener la sesión iniciada. No son cookies publicitarias ni de seguimiento entre sitios.

18. Cambios en esta política

Esta política puede cambiar a medida que el producto cambie. La versión vigente es siempre la publicada en esta página, identificada por su fecha de última actualización.

19. Contacto

Escriba a [email protected] para cualquier consulta, corrección o solicitud relacionada con esta política.