Seguridad y privacidad

Qué datos trata Orkestal, para qué los usa, qué no hace nunca con ellos, cómo se protegen tus credenciales y cómo pedir que se eliminen.

Actualizado el 4 de noviembre de 20265 min de lectura

Esta página resume cómo Orkestal cuida tu información y la de tus clientes. El documento legal que manda es el aviso de privacidad y los términos de servicio; si algo aquí parece distinto, prevalecen ellos.

Quién es responsable de qué#

Tu negocio es el responsable de los datos personales de sus prospectos y clientes. Debes contar con la base legal y el consentimiento necesarios e informarles cómo se tratan sus datos.
Orkestal actúa como encargado: trata esos datos por tu cuenta y bajo tus instrucciones.

Qué datos recibimos#

De tu negocio: los datos de tu cuenta y las credenciales de los canales que conectas (por ejemplo, el ID de tu número de WhatsApp Business, tu cuenta de Instagram o tu Página de Facebook), solo de las cuentas que tú seleccionas en el cuadro de autorización de Meta.
De las personas que te escriben: sus mensajes y archivos, su identificador en la plataforma, su nombre o nombre de usuario público y, en WhatsApp, su número de teléfono, además de eventos de la conversación como reacciones o confirmaciones de lectura.

Para qué los usamos#

Únicamente para prestarte el servicio:

Mostrar las conversaciones en la bandeja de tu negocio.
Enviar las respuestas que escribe tu equipo.
Si tú lo activas, generar y enviar respuestas con un asistente de IA que tú configuras y controlas, siempre desde tu propia cuenta y solo en conversaciones iniciadas por la persona.
Mantener la conexión activa y asociar cada mensaje a tu negocio.

Lo que Orkestal no hace#

No vende, alquila ni licencia estos datos, ni los comparte con anunciantes o intermediarios.
No los usa para publicidad, para crear perfiles de las personas ni para vigilancia.
No entrena modelos de IA con datos de Meta (WhatsApp, Instagram, Messenger), ni siquiera anonimizados.
No usa tus datos personales identificables ni los de tus clientes para entrenar sus modelos.
No combina tus datos con los de otras empresas usuarias.
No contacta a tus clientes por cuenta propia.

Orkestal puede usar datos de-identificados y anonimizados, de forma agregada, para operar y mejorar el servicio. Si no quieres que los datos de-identificados de tu cuenta se usen para entrenar, escribe a contacto@orkestaliq.com: puedes pedir la exclusión en cualquier momento y no afecta el funcionamiento del servicio.

Con quién se comparten#

Solo con los subprocesadores necesarios para prestarte el servicio:

La infraestructura de alojamiento y base de datos.
Las pasarelas de pago, para tu suscripción.
Las plataformas de mensajería que conectas (como Meta), para recibir y enviar tus mensajes.
El proveedor de IA que tú elijas (OpenAI o Google), si activas al agente: se le envía el contenido de la conversación únicamente para generar la respuesta, con tu propia clave. Su procesamiento está sujeto a las políticas de privacidad de ese proveedor.

También podemos divulgar datos si una ley o autoridad competente lo exige.

Cómo protegemos tu información#

Medida	Qué significa
Cifrado	La información viaja y se guarda cifrada. Los tokens de acceso de tus canales, tus claves de IA y las credenciales de integraciones se almacenan cifrados
Aislamiento por negocio	Los datos de cada negocio están separados. Una cuenta no puede leer los datos de otra, ni por el panel ni por la API
Roles y permisos	Admin, Manager y Agente ven solo lo que su rol permite. Un Agente solo ve las conversaciones asignadas a él. Mira Equipo y roles
API keys con permisos mínimos	Las keys se muestran una sola vez, solo guardamos su huella, y cada una tiene únicamente los permisos que le diste. Puedes revocarlas al instante
Webhooks firmados	Lo que Orkestal manda a tu servidor puede ir firmado (HMAC) para que compruebes su origen. Mira Webhooks
Direcciones internas bloqueadas	Los webhooks de salida solo aceptan URLs públicas `https`, para que nadie pueda usarlos contra redes internas
Aprobación humana	Los cambios que propone Orki o un asistente de IA los apruebas tú antes de aplicarse. Mira Orki
Credenciales que no se pegan en chats	Orki pide claves con un campo seguro; nunca ve su valor

Permisos que pide cada integración#

Orkestal pide solo lo necesario para cada función. Por ejemplo, Google Calendar pide ver y crear eventos de calendario, y no accede a tu correo, contactos ni archivos de Drive. Notion es de solo lectura y solo sobre lo que compartas. Los detalles están en la guía de cada integración.

Conservación y eliminación#

Conservación: guardamos tus conversaciones mientras tu cuenta esté activa, para que consultes tu historial. Puedes eliminar contactos y conversaciones en cualquier momento desde el panel.
Desconectar un canal: eliminamos de inmediato el token de acceso y dejamos de recibir y enviar mensajes por esa cuenta. Tus conversaciones anteriores se conservan.
Revocar desde Meta: si quitas el acceso de Orkestal desde la configuración de Instagram o Facebook, Meta nos avisa y Orkestal elimina el token y desactiva el canal automáticamente.
Eliminar tus datos: puedes pedirlo desde la configuración de Facebook o Instagram, desde Orkestal, o escribiendo a contacto@orkestaliq.com. Las instrucciones están en la página de Eliminación de datos. La eliminación se completa en un plazo máximo de 30 días.

Tus derechos#

Tienes derecho a acceder, corregir, actualizar, exportar o solicitar la eliminación de tu información personal y de los datos de tu CRM. Puedes ejercerlos desde el panel o con nuestro equipo. Si eres cliente final de un negocio que usa Orkestal y quieres ejercer tus derechos, contacta primero a ese negocio; también puedes escribirnos y te ayudaremos.

Recomendaciones para tu equipo#

Un correo por persona. No compartas una cuenta entre varios.
El rol mínimo necesario para cada quien.
Revoca accesos de quien deje el equipo, en Equipo.
Rota las claves (de IA, de API, de integraciones) si sospechas que se expusieron.
No pongas datos sensibles (contraseñas, tarjetas) en documentos de la base de conocimiento: el agente podría repetirlos.
Revisa tus reglas de uso de las integraciones para limitar cuándo actúa el agente.

Reportar un problema de seguridad#

Si encuentras una vulnerabilidad o crees que tu cuenta fue comprometida, escribe de inmediato a soporte@orkestaliq.com con el mayor detalle posible. Para asuntos legales o de privacidad: contacto@orkestaliq.com.