Notifyer by Whatsable está comprometido con la protección de datos y con prácticas alineadas con el GDPR. Nuestra infraestructura se basa en proveedores con certificación SOC 2 Type 2 e ISO 27001.
Notifyer by Whatsable (operado por Automazing, LLC) trata comunicaciones comerciales y datos de clientes en nombre de nuestros clientes. Nos tomamos esa responsabilidad en serio y mantenemos prácticas de seguridad, privacidad y cumplimiento adecuadas para compradores empresariales, equipos de compras y auditores.
Esta página describe nuestra postura de seguridad operativa, las certificaciones de infraestructura, los subencargados, la gestión de incidentes y cómo solicitar documentación de seguridad. La lista de Subencargados que aparece abajo se mantiene alineada con el Anexo 1 de nuestro Acuerdo de Tratamiento de Datos. Para los derechos de los titulares de datos y la información sobre la base legal, consulta nuestra Política de Privacidad. Para los términos contractuales, consulta nuestros Términos de Servicio.
Los datos y las API principales de la aplicación se ejecutan en infraestructura auditada de forma independiente.
Nuestro backend principal, que incluye el almacenamiento de datos, la lógica de negocio y la gestión de la API, está construido sobre Xano, una plataforma que mantiene las certificaciones SOC 2 Type 2 e ISO 27001 y un programa documentado de cumplimiento del GDPR. Xano gestiona la supervisión a nivel de infraestructura, los controles de acceso y las operaciones de seguridad de esta capa conforme a su programa de seguridad.
Los frontends de la aplicación están alojados en Vercel: el sitio de marketing (whatsable.app), la consola de Notifyer (notifyer.whatsable.app) y la interfaz de chat (chat.notifyer-systems.com). Vercel no se usa para tratar, almacenar ni entregar mensajes de WhatsApp. Otros servidores de aplicación Node.js/Hono se ejecutan en Railway Corporation en Ámsterdam, Países Bajos (UE). Los Datos del Cliente se tratan principalmente en Estados Unidos (Xano) y en parte en la UE (Railway). La entrega de mensajes de WhatsApp se realiza a través de WhatsApp Business Platform de Meta (WhatsApp Cloud API), que opera según los términos de tratamiento de datos de Meta para proveedores de tecnología.
Toda la comunicación entre cliente y servidor usa TLS. Las credenciales y los tokens de API se transmiten por canales cifrados.
El cifrado en reposo lo proporciona la infraestructura de los subencargados (Xano y Railway), conforme a los estándares de seguridad de esos proveedores.
Acceso a los sistemas de producción basado en roles y con privilegios mínimos. Credenciales únicas por miembro del personal, sin inicios de sesión compartidos, y autenticación de dos factores (2FA) en todos los inicios de sesión de los empleados.
Seguimos prácticas estándar del sector en la gestión de credenciales, la separación de entornos y la higiene de dependencias en nuestra capa de aplicación.
Certificaciones independientes que cubren nuestra infraestructura principal y nuestras prácticas operativas.
Nuestro proveedor de backend completó una auditoría integral SOC 2 Type II que cubre los controles de seguridad, disponibilidad y confidencialidad. La documentación resumida está disponible en el Xano Security Center. Los informes SOC 2 completos están disponibles para clientes enterprise a solicitud, a través de nuestro contacto de seguridad.
Nuestra infraestructura de backend está cubierta por la certificación ISO 27001:2022 de gestión de la seguridad de la información. Los detalles y las referencias del certificado se publican en el Xano Security Center.
Tratamos los datos personales conforme a la legislación de protección de datos aplicable, incluido el GDPR cuando corresponda. La base legal, los derechos de los titulares de datos y la información sobre la recopilación se documentan en nuestra Política de Privacidad. Los acuerdos de tratamiento de datos están disponibles a solicitud en team@whatsable.app.
Como proveedor de tecnología de WhatsApp Business Platform, mantenemos prácticas de protección de datos y seguridad conforme a los requisitos de Meta para los socios que se integran con WhatsApp Cloud API.
Proveedores que tratan Datos del Cliente en nuestro nombre, según el Anexo 1 de nuestro Acuerdo de Tratamiento de Datos.
El Cliente otorga una autorización general por escrito para los Subencargados que se indican a continuación, que es la misma lista del Anexo 1 de nuestro Acuerdo de Tratamiento de Datos. El mecanismo de transferencia de cada proveedor es el indicado en ese anexo. Hay copias de las SCC correspondientes de los Subencargados disponibles a solicitud.
| Subencargado | Finalidad | Ubicación | Mecanismo de transferencia |
|---|---|---|---|
| Xano, Inc. | Base de datos principal de la aplicación y lógica de backend (api.insightssystem.com). Security Center | Estados Unidos (Woodland Hills, CA) | Cláusulas Contractuales Tipo (DPA); certificado SOC 2 Type II e ISO 27001 |
| Railway Corporation | Alojamiento de servidores de aplicación (servicios Node.js/Hono) | Ámsterdam, Países Bajos (UE) | Alojado principalmente en la UE. Railway Corporation es una entidad de EE. UU., por lo que un acceso limitado de administración o soporte puede implicar una transferencia restringida, cubierta por SCC en el DPA de Railway. |
| OpenAI, L.L.C. / OpenAI Ireland Ltd | Respuestas de chatbot generadas por IA, usadas solo si el Cliente activa las funciones de IA | Estados Unidos / Irlanda | Cláusulas Contractuales Tipo y certificación EU-U.S. Data Privacy Framework |
| Meta Platforms, Inc. | Transporte de mensajes de WhatsApp Cloud API (necesario para el Servicio principal) | Estados Unidos | Términos GDPR propios de Meta para WhatsApp Business Platform; certificado en Data Privacy Framework |
| Stripe, Inc. | Facturación y procesamiento de pagos | Estados Unidos | Cláusulas Contractuales Tipo; DPA propio de Stripe |
| Functional Software, Inc. (Sentry) | Supervisión de errores técnicos y registros de la aplicación. Confirmado: por diseño, el contenido de los mensajes, los números de teléfono y los datos de contactos nunca llegan a Sentry. | Estados Unidos | Cláusulas Contractuales Tipo y certificación EU-U.S. Data Privacy Framework; DPA de autoservicio disponible |
Los siguientes proveedores también se usan para operar la consola de Notifyer, el sitio de marketing y la analítica de producto. Se informan aquí para que los cuestionarios de seguridad puedan ver quién aloja el frontend y quién trata los datos de uso seudónimos. Hoy no figuran en el Anexo 1 del DPA firmado; deberían agregarse allí para que ambos documentos sigan alineados.
| Proveedor | Finalidad | Ubicación | Mecanismo de transferencia |
|---|---|---|---|
| Vercel, Inc. | Alojamiento de frontend para whatsable.app (sitio de marketing), notifyer.whatsable.app (consola de Notifyer) y chat.notifyer-systems.com (interfaz de chat). Vercel no trata, almacena ni entrega contenido de mensajes de WhatsApp, números de teléfono ni Datos del Cliente de CRM. | Estados Unidos (red perimetral global) | Cláusulas Contractuales Tipo; DPA de Vercel |
| PostHog, Inc. | Analítica de producto e información de sesiones en el sitio de marketing y la consola de Notifyer. Trata datos de uso seudónimos (vistas de página, uso de funciones y eventos similares). El contenido de los mensajes de WhatsApp, los números de teléfono y los registros de contactos no se envían a PostHog como Datos del Cliente. | Unión Europea (PostHog EU Cloud) | Alojado principalmente en la UE. PostHog, Inc. es una entidad de EE. UU.; las transferencias están cubiertas por Cláusulas Contractuales Tipo en el DPA de PostHog. |
Cómo detectamos los eventos de seguridad, respondemos a ellos y los comunicamos.
Los Datos del Cliente se tratan principalmente en Estados Unidos (Xano, Woodland Hills, CA) y en parte en la Unión Europea (Railway, alojado en Ámsterdam). El contenido de los mensajes transita por WhatsApp Cloud API de Meta para su entrega. Podemos dar más detalles en cuestionarios de seguridad si los solicitas.
El contenido de los mensajes y el historial de conversaciones se conservan durante el plazo de la suscripción y luego se eliminan o devuelven dentro de los 30 días posteriores a la terminación, salvo que la ley exija un período mayor. Las copias de seguridad de la base de datos principal usan una ventana de retención móvil de 30 días. Los registros de errores técnicos en Sentry se conservan durante 90 días y, por diseño, no contienen contenido de mensajes ni números de teléfono.
Para eliminar tu cuenta o tus datos, usa nuestro formulario de solicitud de eliminación de datos o escribe a team@whatsable.app.
Para resúmenes SOC 2, listas de subencargados, acuerdos de tratamiento de datos o respuestas a evaluaciones de seguridad de proveedores, nuestro equipo responderá lo antes posible.
Whatsable
