Documento legal

Política de Privacidad

Última actualización: 9 de noviembre de 2026

En wabalink (https://www.wabalink.com) nos tomamos en serio la protección de los datos personales. Esta política explica qué información tratamos cuando usas nuestra plataforma para gestionar cuentas de WhatsApp Business, con qué finalidad, con quién la compartimos y cómo puedes ejercer tus derechos. Se rige por la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) y demás normas colombianas de protección de datos personales.

1. Responsable del tratamiento

Desarrollo y Soluciones Tecnológicas S.A.S. (DeSoluTec S.A.S.), identificado con NIT 902116127-8 y número D-U-N-S® 474567217, con domicilio en Calle 21 # 7-46, Condominio Centro Real, Apto. 201C, Barrio San Ignacio (C.P. 150001), Tunja, Boyacá, Colombia (en adelante, «wabalink», «nosotros»), teléfono +57 323 477 4082. Canal de atención en materia de datos personales: [email protected].

2. Nuestro papel: responsable y encargado

wabalink es una plataforma que se integra con la WhatsApp Business Platform de Meta para que los negocios atiendan a sus clientes por WhatsApp. Por eso tratamos datos en dos calidades distintas:

• Como responsables, de los datos de nuestros clientes y de sus usuarios: las personas que se registran, las organizaciones que crean y los miembros de sus equipos.
• Como encargados, de los datos de los contactos finales: las personas que escriben por WhatsApp a los negocios que usan wabalink, y de las citas, consentimientos y base de conocimiento que el negocio cargue. El responsable de esos datos es el negocio (nuestro cliente), que decide para qué los usa. Nosotros solo los tratamos por su cuenta y según sus instrucciones, para prestarle el servicio.
• Cuando el cliente es a su vez encargado de otros (por ejemplo, una agencia o un proveedor de software que atiende a consultorios o negocios con su cuenta de wabalink), wabalink es su subencargado: trata los datos por cuenta del cliente, que debe tener contrato de encargo con sus propios clientes (ver el Contrato de encargo).

Si eres cliente de un negocio que usa wabalink y quieres ejercer tus derechos sobre tus conversaciones o tus datos de contacto, dirígete primero a ese negocio. También puedes escribirnos y le haremos llegar tu solicitud.

3. Datos que tratamos

Datos de salud y consultorios

wabalink no pide datos sensibles. Sin embargo, algunos negocios clientes (consultorios, clínicas, centros estéticos u odontológicos) usan la Agenda y la plantilla Consultorio, y sus pacientes pueden escribir por WhatsApp información sobre su salud. Si eres paciente o cliente de uno de esos negocios:

• No estás obligado a darnos ni a darle al negocio datos sensibles; son datos sensibles los de salud, los que revelen tu origen, tus creencias o tu vida sexual, y los biométricos (Ley 1581 de 2012, arts. 5 y 6).
• El responsable de esos datos es el negocio, no wabalink. Es quien debe obtener tu autorización previa, expresa e informada para tratarlos y decirte cuáles son sensibles y para qué los usa. wabalink los trata solo como encargado, para guardar, mostrar y enviar el mensaje o recordar la cita.
• wabalink no es un sistema de historia clínica ni debe usarse como tal: las notas de una cita son de uso administrativo y no reemplazan la historia clínica, que tiene reserva legal.
• Los recordatorios de cita se envían por plantilla y deben decir lo mínimo necesario (fecha, hora y lugar), sin diagnósticos ni tratamientos.
• Si el negocio enciende el asistente de IA, los mensajes de ese chat, incluidos los de salud que hayas escrito, se envían al proveedor del modelo (ver Anthropic). El agente que responde solo pasa a una persona los temas de salud y las quejas en vez de resolverlos.

4. Finalidades

• Crear y administrar tu cuenta, tu organización y tu equipo, y verificar tu identidad al iniciar sesión.
• Conectar tu cuenta de WhatsApp Business con la API oficial de Meta y mantenerla sincronizada.
• Recibir, almacenar, mostrar y enviar mensajes en tu nombre, y sincronizar contactos e historial en coexistencia.
• Brindar soporte técnico, atender solicitudes y enviarte avisos sobre el servicio (seguridad, cambios, facturación), incluso a tu celular.
• Ejecutar las automatizaciones, menús, Flows e integraciones con bots que configure el negocio.
• Proteger la plataforma: prevenir fraudes, abusos y accesos no autorizados, y cumplir las políticas de Meta. Para ello, al registrarte podemos pedirte que verifiques tu celular con un código que te enviamos por WhatsApp desde la cuenta de wabalink.
• Obtener estadísticas agregadas de uso para mejorar el servicio.
• Cumplir obligaciones legales, contables y tributarias.

No vendemos datos personales, no usamos el contenido de las conversaciones para publicidad y no lo usamos para entrenar modelos de inteligencia artificial.

Cómo obtenemos tu autorización

Antes de crear tu cuenta, aceptar una invitación o crear una organización te pedimos, en casillas separadas y sin marcar, que aceptes esta política y que autorices de manera previa, expresa e informada el tratamiento de tus datos (Ley 1581 de 2012, art. 9, y Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015). Guardamos la constancia de cada aceptación y puedes consultarla en Mi cuenta → Privacidad y datos. Cuando cambie esta política te pediremos aceptarla de nuevo.

Al crear una organización declaras que puedes representarla y que, como responsable de los datos de sus clientes, cuenta con su autorización para contactarlos por WhatsApp.

5. WhatsApp y Meta

El servicio funciona sobre la WhatsApp Business Platform (Cloud API) de Meta Platforms, Inc. y sus afiliadas, a la que accedemos como proveedor de tecnología de Meta (Tech Provider). Los mensajes pasan por la infraestructura de Meta, que los trata según sus propios términos y su política de privacidad. Al conectar tu cuenta aceptas también los Términos de WhatsApp Business y las Políticas de WhatsApp Business. Solo accedemos a la información que tú autorizas durante el registro insertado, y puedes revocar ese acceso en cualquier momento desde wabalink o desde la configuración de tu portafolio comercial en Meta.

Solo cargamos el SDK de Facebook en la pantalla de conexión de WhatsApp, cuando inicias el registro insertado.

6. Con quién compartimos los datos

• Meta Platforms, para enviar y recibir mensajes y administrar tu cuenta de WhatsApp Business.
• OVH US LLC (OVHcloud US), que nos arrienda el servidor dedicado en Estados Unidos donde funcionan la plataforma, su base de datos y nuestro propio servidor de correo; los códigos y avisos por correo no pasan por ningún servicio de envío de terceros (ver Transferencias internacionales). Actúa como encargado: aloja la información pero no la usa para fines propios.
• Cloudflare, Inc., que presta el servicio de DNS y de red de entrega y seguridad web (protección contra ataques) delante de la plataforma. Actúa como encargado: el tráfico pasa por su red y se descifra en sus servidores para filtrarlo y reenviarlo, sin que lo use para fines propios (ver Transferencias internacionales).
• Pasarela de pagos, que procesa los datos de tu tarjeta como encargada para cobrar la suscripción, y nuestro sistema de facturación electrónica, que emite la factura ante la DIAN.
• Anthropic, PBC (Estados Unidos), solo si un administrador de la organización enciende el asistente de IA. Cuando un operador pide un resumen, una respuesta sugerida, mejorar un texto o la clasificación de un chat, enviamos a su modelo Claude los mensajes recientes de ese chat, sin números de tarjeta, documentos de identidad ni claves. Actúa como encargado: no usa esos datos para entrenar sus modelos y solo los conserva el tiempo que exigen su seguridad y la ley. También recibe los fragmentos de la base de conocimiento del negocio relacionados con la pregunta. El copiloto nunca envía mensajes por sí solo. Si el administrador activa además el agente que responde solo en un número, los mensajes que escribas a ese negocio se procesan del mismo modo para contestarte con la información del negocio; el agente te avisa en su primer mensaje que es una IA y pasa el chat a una persona cuando no sabe, cuando lo pides o cuando termina su límite de respuestas.
• Los miembros de tu organización, según el rol que se les asigne.
• Los bots o sistemas externos que conecte el negocio (en Bots y API o con una automatización): reciben los mensajes de las conversaciones que el negocio les entregue. El negocio los elige y responde por ellos como su encargado.
• Autoridades, cuando lo exija la ley o una orden judicial.

7. Transferencias internacionales

Dónde están los datos. La plataforma wabalink y su base de datos funcionan en un servidor dedicado (de uso exclusivo nuestro, no compartido con otros clientes del proveedor) que contratamos a OVH US LLC (OVHcloud US), en un centro de datos ubicado en Estados Unidos. Allí se guardan las cuentas, las organizaciones, los contactos, las conversaciones y los demás datos descritos en esta política. Esto implica una transmisión internacional de datos a un encargado, que se rige por el artículo 26 de la Ley 1581 de 2012 y el artículo 25 del Decreto 1377 de 2013. Estados Unidos figura entre los países con nivel adecuado de protección de datos según la Superintendencia de Industria y Comercio (Circular Externa 005 de 2017).

Red de entrega y seguridad. Delante del servidor, el tráfico de wabalink (sitio, aplicación y API) pasa por la red global de Cloudflare, Inc. (Estados Unidos), que lo descifra para filtrarlo y reenviarlo y conserva registros técnicos de las peticiones (dirección IP, fecha, ruta y resultado). Es también una transmisión internacional de datos a un encargado, sujeta a las mismas normas y al mismo nivel adecuado de protección indicados arriba, y se ampara en el contrato de encargo que Cloudflare, Inc. ofrece a sus clientes.

Garantías del proveedor. OVHcloud informa que sus servicios en Estados Unidos cuentan con las certificaciones ISO/IEC 27001, 27017 y 27018 (seguridad de la información en la nube), ISO/IEC 27701 (gestión de datos personales), los informes SOC 1, SOC 2 y SOC 3 (SSAE 18 Tipo 2) y PCI DSS, entre otras. Puedes consultarlas en su página de cumplimiento.

Ley CLOUD de Estados Unidos. Como empresa estadounidense, OVH US LLC (OVHcloud US) está sujeta a la ley de ese país, incluida la CLOUD Act, que permite a las autoridades de Estados Unidos exigirle, con una orden judicial válida, datos que estén bajo su control. OVHcloud declara que solo atiende solicitudes legalmente válidas y que puede impugnar o pedir que se modifiquen las que no lo sean (más información de OVHcloud). Por nuestra parte, ciframos los datos en tránsito y los tokens de acceso de WhatsApp en la base de datos, y si recibimos directamente una solicitud de una autoridad la atenderemos solo si es legalmente válida y te avisaremos cuando la ley lo permita (ver Solicitudes de autoridades).

Otros proveedores. Meta (WhatsApp Business Platform) y otros proveedores también pueden almacenar o tratar datos fuera de Colombia. En esos casos exigimos garantías adecuadas de protección.

Al aceptar esta política autorizas estas transmisiones y transferencias en la medida necesaria para prestar el servicio.

8. Conservación

• Los datos de la cuenta y de la organización se conservan mientras la cuenta esté activa.
• Las conversaciones y los contactos se conservan mientras el negocio los mantenga en la plataforma. Los archivos multimedia no se guardan en nuestros servidores: se descargan de Meta cuando se consultan, y Meta los conserva por tiempo limitado.
• Tras la cancelación de la cuenta eliminamos los datos en un plazo máximo de 30 días, salvo que la ley nos obligue a conservar alguno por más tiempo (por ejemplo, la información contable).
• Los datos contables y de facturación se conservan, separados de la plataforma, cinco años contados desde el 1 de enero del año siguiente (artículo 632 del Estatuto Tributario) o el plazo mayor que exija la ley.
• Una vez solicitada la eliminación de la cuenta u organización que tuvo la prueba gratis, el correo del propietario se transforma con una función criptográfica de un solo sentido y clave secreta. El identificador resultante se conserva hasta dos años, exclusivamente con fines de seguridad, control de registros únicos y prevención de fraude en nuestros servicios. Si habías verificado tu celular, se guarda del mismo modo una huella irreversible de ese número, con el mismo plazo y finalidad.
• Los registros de verificación del celular (número, intentos y estado de entrega) se conservan 30 días.
• Los registros técnicos y de seguridad se conservan hasta 90 días.
• La constancia de tus autorizaciones y de tus solicitudes (incluida la de eliminar la cuenta) se conserva hasta cinco años después de terminada la relación, solo como prueba ante la autoridad.

9. Seguridad

Aplicamos medidas técnicas y organizativas razonables:

• Servidor dedicado (no compartido) en un centro de datos de OVH US LLC (OVHcloud US) con certificaciones ISO/IEC 27001 y SOC 2.
• Cifrado en tránsito (HTTPS/TLS).
• Cifrado de los tokens de acceso de WhatsApp con AES-256-GCM.
• Contraseñas almacenadas con bcrypt.
• Verificación de la firma de cada notificación de Meta.
• Aislamiento de datos entre organizaciones.
• Control de acceso por roles.

Ningún sistema es infalible. Si detectamos un incidente que afecte tus datos, te lo notificaremos y lo reportaremos a la Superintendencia de Industria y Comercio dentro de los 15 días hábiles siguientes a conocerlo, tanto en los datos que tratamos como responsables como en los que tratamos como encargados, e informaremos a los negocios clientes afectados.

10. Almacenamiento en el navegador

wabalink guarda en el almacenamiento local de tu navegador tu sesión, la organización activa y tus preferencias (por ejemplo, el tema claro u oscuro). Como aplicación instalable (PWA), también guarda en caché los archivos de la aplicación y algunas respuestas para poder funcionar sin conexión. Las respuestas guardadas se borran al cerrar sesión. No usamos cookies publicitarias ni rastreadores de terceros. Para protegerse de ataques automatizados, nuestro proveedor de seguridad web (Cloudflare, Inc.) puede guardar en tu navegador una cookie técnica de seguridad (por ejemplo, __cf_bm o cf_clearance); no sirve para publicidad ni para seguirte entre sitios.

11. Tus derechos

Como titular de los datos puedes:

• Conocer, actualizar y rectificar tus datos.
• Solicitar prueba de la autorización que nos diste.
• Ser informado sobre el uso que les damos.
• Revocar la autorización y solicitar la supresión de tus datos, cuando no exista un deber legal o contractual de conservarlos.
• Acceder gratuitamente a tus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC).

Área responsable

El área de Protección de Datos Personales de DeSoluTec atiende las consultas y reclamos de los titulares ([email protected], teléfono +57 323 477 4082).

Cómo ejercerlos

Desde la plataforma, en Mi cuenta → Privacidad y datos, puedes:

• Descargar una copia de tus datos personales en formato JSON.
• Descargar el historial de chats de tu organización (si eres su propietario) en CSV o JSON.
• Presentar consultas y reclamos (conocer, actualizar, rectificar, prueba de la autorización, revocatoria, supresión o queja) y ver su estado y respuesta.
• Eliminar tu cuenta.

También puedes escribir a [email protected] indicando tu nombre, tu medio de contacto, tu solicitud y los documentos que la soporten.

• Las consultas se responden en un máximo de 10 días hábiles, prorrogables por 5 días hábiles más.
• Los reclamos se responden en un máximo de 15 días hábiles contados desde el día siguiente a su recibo, prorrogables por 8 días hábiles más.
• Si tu reclamo está incompleto, te pediremos dentro de los 5 días siguientes que lo completes; si pasan 2 meses sin que lo hagas, se entiende que desistes.
• Al recibir un reclamo completo marcamos el dato con la leyenda «reclamo en trámite» en máximo 2 días hábiles y la mantenemos hasta decidirlo.
• Si el reclamo no nos corresponde (por ejemplo, trata datos de un negocio cliente), lo trasladamos a quien corresponda en máximo 2 días hábiles y te avisamos.

Cuando necesitemos la prórroga te informaremos los motivos y la fecha de respuesta. Para acudir a la SIC primero debes agotar el trámite de consulta o reclamo ante nosotros (Ley 1581 de 2012, art. 16).

Para eliminar tu cuenta o desconectar tu WhatsApp, consulta la página Eliminación de datos.

12. Menores de edad

wabalink está dirigido a empresas y a personas mayores de 18 años. No creamos cuentas de menores de edad de forma consciente.

Los negocios que usan wabalink pueden atender por WhatsApp a menores (por ejemplo, pacientes). Los datos de niños, niñas y adolescentes solo se tratan si responden y respetan su interés superior y sus derechos fundamentales, y con autorización de sus padres o representantes legales (Ley 1581 de 2012, art. 7; Decreto 1377 de 2013, art. 12). Esa autorización la obtiene el negocio responsable; wabalink no la recoge y trata esos datos solo como encargado.

13. Vigencia y cambios

Esta política rige desde el 9 de noviembre de 2026. Las bases de datos se mantienen vigentes mientras se preste el servicio y durante los plazos de conservación indicados arriba. Podemos actualizar esta política. Publicaremos la nueva versión en esta página con su fecha. Si los cambios son sustanciales, te avisaremos por correo o dentro de la plataforma antes de que entren en vigor.

14. Contacto

• Datos personales: [email protected]
• Soporte: [email protected]
• Teléfono: +57 323 477 4082
• Dirección: Calle 21 # 7-46, Condominio Centro Real, Apto. 201C, Barrio San Ignacio (C.P. 150001), Tunja, Boyacá, Colombia
• Otras solicitudes: PQRS