Política de Privacidad — Servicio WhatsApp Business
1. Servicio al que se refiere esta política
PCCOM ofrece a sus clientes empresariales el módulo "WhatsApp Business" dentro del software DistribERP / PCCOM Server. Este módulo permite a los clientes empresariales conectar su propia cuenta de WhatsApp Business (WABA) a la plataforma para enviar y recibir mensajes con sus contactos comerciales a través de la API oficial de WhatsApp Business Cloud de Meta Platforms, Inc.
PCCOM actúa frente a Meta como Proveedor Tecnológico (Tech Provider), gestionando técnicamente las conexiones de sus clientes empresariales con la infraestructura de Meta.
2. Roles en el tratamiento de datos
| Tipo de dato | Rol de PCCOM | Responsable |
|---|---|---|
| Mensajes de WhatsApp intercambiados entre el cliente empresarial y sus contactos finales (texto, multimedia, metadatos) | Encargado del tratamiento | El cliente empresarial titular de la WABA |
| Datos del administrador del panel que conecta la WABA (nombre, email, IP, identificadores de sesión) | Responsable del tratamiento | PCCOM |
| Tokens de acceso a la API de Meta, identificadores de WABA, números de teléfono comerciales conectados | Encargado del tratamiento, por delegación operativa del cliente | El cliente empresarial |
La relación de encargo entre PCCOM y cada cliente empresarial se regula mediante el contrato de encargo de tratamiento previsto en el artículo 28 del Reglamento (UE) 2016/679 (RGPD).
3. Datos personales tratados a través del servicio
| Categoría | Datos concretos | Origen |
|---|---|---|
| Identificadores | Número de teléfono del contacto, identificador de mensaje (wam_id), identificador de número emisor (phone_number_id), identificador de WABA (waba_id) | Webhook entrante desde Meta |
| Contenido de comunicaciones | Texto del mensaje, imágenes, audio, vídeo, documentos, stickers, plantillas utilizadas, pies de foto | Webhook entrante / envíos realizados por el cliente |
| Metadatos | Fecha y hora del mensaje, dirección (entrante/saliente), estado de entrega (enviado, entregado, leído, fallido), códigos de error | API de Meta |
| Credenciales técnicas | Token de acceso de larga duración a la API de Meta (cifrado con Fernet/AES-128), business_id, verified_name, expiración del token | Flujo de Embedded Signup de Meta |
PCCOM no realiza tratamientos analíticos, de perfilado ni publicitarios sobre el contenido de las conversaciones.
4. Finalidades del tratamiento
- Permitir al cliente empresarial enviar y recibir mensajes con sus contactos comerciales a través de WhatsApp Business.
- Mostrar al cliente empresarial el historial de conversaciones desde el panel de DistribERP.
- Almacenar localmente las copias de los archivos multimedia recibidos para servirlos posteriormente al cliente sin volver a descargarlos de Meta.
- Mantener registros de auditoría técnica del envío y recepción de mensajes (estado, errores, identificadores).
- Reenviar los mensajes entrantes al backend del cliente empresarial mediante webhook firmado HMAC-SHA256.
5. Base legal del tratamiento
El tratamiento se realiza siempre por cuenta y bajo la responsabilidad del cliente empresarial titular de la WABA, sobre la base legal que éste determine: ejecución de un contrato con sus clientes finales, interés legítimo, o consentimiento, según el caso. PCCOM no decide sobre la finalidad ni los medios esenciales del tratamiento de las conversaciones.
6. Plazos de conservación
| Dato | Plazo | Motivo |
|---|---|---|
| Mensajes (texto y metadatos) | 24 meses desde la fecha del mensaje | Permitir consulta de histórico comercial al cliente empresarial |
| Archivos multimedia adjuntos a mensajes | 24 meses | Idem |
| Tokens de acceso a Meta | Mientras la conexión esté activa; renovación cada 60 días | Mantener la conexión operativa |
| Registros de auditoría técnica | 12 meses | Diagnóstico de incidencias y seguridad |
| Estados de webhook saliente (intentos de entrega al cliente) | 3 meses | Diagnóstico técnico |
Transcurridos estos plazos los datos se eliminan de forma irreversible. El cliente empresarial puede solicitar plazos de retención más cortos contactando con PCCOM.
7. Destinatarios y subencargados
Para prestar este servicio, PCCOM utiliza los siguientes proveedores que pueden tratar datos personales como subencargados:
| Proveedor | Servicio prestado | Ubicación del tratamiento | Marco legal de transferencia |
|---|---|---|---|
| Meta Platforms Ireland Ltd. / Meta Platforms, Inc. | API de WhatsApp Business Cloud (envío y recepción de mensajes) | UE / EE.UU. | SCC Cláusulas Contractuales Tipo + Adendum |
| Microsoft Ireland Operations Ltd. (Azure) | Hospedaje del gateway, almacenamiento de mensajes y archivos | Suecia (Sweden Central, UE) | Tratamiento dentro del EEE |
| Twilio Inc. (SendGrid) | Envío de correos transaccionales (notificaciones de conexión, alertas) | EE.UU. | SCC |
| Google LLC (Gemini API) | Procesamiento opcional con IA cuando el cliente lo activa expresamente | UE / EE.UU. | SCC |
| Anthropic PBC (Claude API) | Procesamiento opcional con IA cuando el cliente lo activa expresamente | EE.UU. | SCC |
| OpenAI LLC | Procesamiento opcional con IA cuando el cliente lo activa expresamente | EE.UU. | SCC |
| ip-api.com | Geolocalización aproximada de IP del administrador para auditoría | UE | Tratamiento en EEE |
PCCOM no cede, vende ni comparte datos personales con terceros distintos de los subencargados listados, salvo obligación legal.
8. Medidas de seguridad específicas
- Tokens de acceso a Meta cifrados en reposo con Fernet (AES-128 con HMAC-SHA256).
- Tráfico HTTPS extremo a extremo (TLS 1.2+) entre cliente empresarial, PCCOM y Meta.
- Aislamiento multi-tenant: cada WABA y sus mensajes se segregan por la pareja
(empresa_id, tenant_hijo_name)y un cliente nunca puede acceder a datos de otro. - Verificación HMAC-SHA256 con secreto compartido en cada webhook entrante de Meta y en cada webhook saliente hacia el cliente.
- Bearer tokens de cliente individuales con scope limitado y caducidad por configuración.
- Registro de auditoría de todas las operaciones críticas (creación de plantillas, envío de mensajes, conexiones OAuth) con timestamp, actor y resultado.
- Caché local cifrada en almacenamiento Azure Files protegido por claves gestionadas por Microsoft.
9. Derechos de los interesados
Las personas cuyos datos se traten a través del servicio pueden ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y retirada del consentimiento, así como presentar reclamación ante la Agencia Española de Protección de Datos.
- Si es usted un contacto final que se comunicó con una empresa a través de WhatsApp, el responsable de esos datos es esa empresa, no PCCOM. Diríjase directamente a ella. PCCOM, como encargado, eliminará o entregará los datos siguiendo las instrucciones de esa empresa.
- Si es usted un cliente directo de PCCOM (administrador del panel) o desea consultar sobre el funcionamiento del servicio, escriba a departamento.administracion@pccom.es.
Encontrará instrucciones detalladas para solicitar la eliminación de datos en la página Borrado de datos.
El plazo máximo de respuesta es de 30 días naturales desde la recepción de la solicitud, ampliable a dos meses adicionales en casos especialmente complejos previa notificación al solicitante (art. 12.3 RGPD).
10. Decisión automatizada y elaboración de perfiles
PCCOM no toma decisiones automatizadas con efectos jurídicos significativos sobre los interesados a partir de los mensajes intercambiados a través del servicio. Los módulos opcionales de IA, cuando se activan, ayudan al cliente empresarial a procesar mensajes (resumen, clasificación, generación de respuesta sugerida), pero la decisión final corresponde siempre a una persona física del cliente empresarial.
11. Cambios en esta política
PCCOM podrá actualizar esta política para reflejar cambios en el servicio, en la legislación o en los subencargados utilizados. Los cambios sustanciales se comunicarán a los clientes empresariales por correo electrónico al menos 30 días antes de su entrada en vigor. La fecha de versión al inicio del documento refleja la última modificación.
