Política de Privacidad

1. Resumen en una página

2. Quiénes somos y a quién aplica esta política

Deployate opera desde Ciudad Autónoma de Buenos Aires, Argentina y ofrece sus servicios a personas y empresas de cualquier país. Podés contactarnos en privacidad@deployate.com para todo lo relacionado con privacidad y datos personales, y en support@deployate.com para soporte general.

Esta política aplica al sitio deployate.com, al panel dashboard.deployate.com, a los agentes creados con la plataforma en cualquiera de sus canales (WhatsApp, Instagram, chat web y demostraciones públicas) y a las comunicaciones que intercambiamos contigo. No aplica a los sitios o servicios de terceros a los que enlazamos, que tienen sus propias políticas.

Usamos estas palabras con este sentido:

• Cliente: la persona o empresa que crea una cuenta en Deployate y administra uno o más agentes. Si sos Cliente, tu relación contractual con nosotros se rige además por las Condiciones del servicio.
• Persona final: quien le escribe a un agente de un Cliente por WhatsApp, Instagram o chat web. Normalmente es cliente, paciente, alumno o interesado del negocio del Cliente.
• Visitante: quien navega deployate.com sin crear una cuenta.
• Responsable (o "controlador"): quien decide para qué y cómo se tratan los datos. Encargado (o "procesador"): quien los trata siguiendo instrucciones del Responsable.

3. Nuestro rol: responsable y encargado

Deployate actúa como Responsable del tratamiento cuando trata los datos de tu cuenta, tu organización, tu facturación, tus comunicaciones con nosotros y tu navegación por este sitio. Decidimos nosotros para qué se usan esos datos y respondemos por ellos directamente frente a vos.

Deployate actúa como Encargado del tratamiento cuando trata los datos de las Personas finales que le escriben a tu agente, los documentos que le cargás y el contenido que tu agente responde. Esos datos son tuyos: vos decidís qué agente crear, qué información cargarle, con qué canal conectarlo y cuándo borrarlo. Nosotros solo los tratamos para prestarte el servicio, siguiendo tus instrucciones y las reglas de esta política y de las Condiciones del servicio.

4. Qué datos tratamos

Solo guardamos lo que hace falta para que el servicio funcione. Esta es la lista completa, ordenada por origen.

5. Para qué usamos los datos y con qué base legal

La columna "base legal" sigue la terminología del RGPD (artículo 6). Las leyes de Argentina, Brasil, México y el resto de América Latina prevén bases equivalentes (consentimiento, ejecución de contrato, obligación legal e interés legítimo). En Estados Unidos las leyes estatales no exigen una base legal, pero sí que informemos la finalidad, lo que hacemos aquí.

No usamos tus datos ni los de las Personas finales para publicidad, para perfilado comercial, para venderlos ni para entrenar modelos de inteligencia artificial. Si en el futuro quisiéramos usar datos para una finalidad distinta a las de esta tabla, te lo informaremos antes y, cuando la ley lo exija, pediremos tu consentimiento.

6. Cómo usamos la inteligencia artificial

Deployate no entrena modelos propios. Para que tu agente responda usamos modelos de lenguaje de terceros a través de sus API comerciales. Esto es exactamente lo que ocurre:

• Generación de respuestas: el mensaje de la Persona final, el historial reciente de esa conversación, las instrucciones de tu agente y los fragmentos de tus documentos que resulten relevantes se envían al proveedor del modelo (OpenAI, o distintos modelos a través de OpenRouter). El proveedor devuelve la respuesta y no conserva esos datos para entrenar. En OpenRouter, además, indicamos expresamente que no almacene las solicitudes.
• Amazon Bedrock: si tu plan lo incluye, el agente puede correr sobre Amazon Bedrock dentro de tu propia cuenta de Amazon Web Services. En ese caso los datos no salen de tu cuenta de AWS y Deployate nunca recurre a otro proveedor de IA para ese agente.
• Búsqueda en tus documentos: para encontrar los fragmentos relevantes generamos embeddings de los documentos y de la consulta (modelos de OpenAI a través de OpenRouter) y reordenamos los resultados con un servicio de reranking (Voyage AI, o alternativamente Pinecone). Estos servicios reciben el texto de la consulta y de los fragmentos.
• Transcripción de audio: los audios se transcriben con el modelo Whisper de OpenAI (directo o a través de OpenRouter).
• Respuestas en audio: cuando el agente responde con una nota de voz, el texto de la respuesta se envía a un modelo de voz de OpenAI a través de OpenRouter, que devuelve el audio. Solo ocurre en los agentes que tienen esta opción activada; si falla, el agente responde por texto.
• Lectura de documentos: los PDF escaneados e imágenes pasan por Amazon Textract para extraer el texto, y cuando una página contiene figuras o tablas complejas puede enviarse como imagen a un modelo de visión para describirla.
• Tareas internas de la plataforma: resumir un documento, extraer una lista de precios, contextualizar fragmentos, reformular una consulta o analizar tu sitio web también se hacen con modelos de terceros a través de las mismas API.

Los términos de las API comerciales de OpenAI, OpenRouter, Amazon, Voyage AI y Pinecone establecen que los datos enviados no se usan para entrenar sus modelos. Algunos de ellos pueden conservar las solicitudes hasta 30 días exclusivamente para detección de abuso, según sus propias políticas.

Decisiones automatizadas: el agente redacta y envía respuestas sin intervención humana en cada mensaje. No toma decisiones con efectos jurídicos ni significativos sobre las personas (no aprueba créditos, no evalúa candidatos, no determina precios individuales); cuando no encuentra la información en tus documentos, lo dice en vez de inventar. El Cliente puede ver cada conversación en tiempo real, tomar el control en cualquier momento y responder personalmente. Si sos Persona final y preferís hablar con una persona, pedilo en la conversación: el negocio recibe ese pedido en su panel.

7. Con quién compartimos datos

No vendemos datos personales ni los cedemos a terceros para sus propios fines. Compartimos datos únicamente con proveedores que nos prestan un servicio (nuestros encargados o subencargados), con los servicios que vos mismo conectás, y con autoridades cuando la ley nos obliga.

Todos estos proveedores están obligados por contrato a tratar los datos solo para prestarnos el servicio, con medidas de seguridad adecuadas. Si incorporamos un subencargado que trate datos de Personas finales, actualizaremos esta lista y, si sos Cliente, te avisaremos con antelación razonable para que puedas oponerte.

También podemos compartir datos cuando lo exija una ley, una orden judicial o un requerimiento de una autoridad competente; para proteger nuestros derechos o la seguridad de las personas; o en el marco de una fusión, adquisición o venta de activos, en cuyo caso te lo informaremos y el adquirente quedará obligado por esta política.

8. Transferencias internacionales

Nuestra infraestructura principal y la mayoría de nuestros proveedores están en Estados Unidos. Eso significa que, si estás en otro país, tus datos se transfieren internacionalmente. Lo hacemos con estas garantías:

• Unión Europea, Espacio Económico Europeo, Reino Unido y Suiza: usamos las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914) con cada proveedor, y damos preferencia a proveedores certificados en el Marco de Privacidad de Datos UE-EE.UU. (Data Privacy Framework). Si sos Cliente en la UE y necesitás una copia de las cláusulas, pedilas a la casilla de privacidad.
• Argentina: la Agencia de Acceso a la Información Pública no considera a Estados Unidos un país con nivel adecuado de protección. Por eso incorporamos con nuestros proveedores cláusulas contractuales conforme al modelo aprobado por la Disposición 60-E/2016, y te informamos aquí de la transferencia, como exige la Ley 25.326.
• Brasil: aplicamos cláusulas contractuales estándar conforme a la Resolución CD/ANPD nº 19/2024 y el artículo 33 de la LGPD.
• México, Colombia, Chile, Perú y Uruguay: la transferencia se realiza para la ejecución del contrato que vos solicitás y bajo contratos que obligan al receptor a las mismas condiciones de esta política, conforme a lo que prevé cada ley.
• Amazon Bedrock en tu propia cuenta de AWS: si tu plan lo incluye, podés elegir la región de AWS en la que corre el modelo, y los datos de tus conversaciones no salen de esa región.

9. Cuánto tiempo conservamos los datos

Conservamos cada dato solo el tiempo necesario para la finalidad con la que lo tratamos. Estos son los plazos concretos:

Cuando la ley nos obliga a conservar un dato por más tiempo, lo bloqueamos: queda guardado solo para cumplir esa obligación y no se usa para ninguna otra cosa. En la sección 11 explicamos cómo pedir la eliminación anticipada.

10. Cómo protegemos los datos

Aplicamos medidas técnicas y organizativas proporcionales al riesgo. Las principales:

• Cifrado en tránsito: toda la comunicación con el sitio, el panel, la API y los proveedores viaja por HTTPS/TLS.
• Cifrado en reposo: los documentos se guardan en Amazon S3 con cifrado del lado del servidor (AES-256). Las credenciales de integraciones (Google, Atlassian, Mercado Pago y otras) se guardan cifradas en nuestra base de datos.
• Contraseñas: solo guardamos hashes con sal (scrypt); las contraseñas nunca se almacenan ni se transmiten en claro por nuestra parte.
• Verificación de origen: cada mensaje que llega desde Meta se verifica con la firma criptográfica que Meta incluye, usando el secreto de la aplicación del canal, y los que no la superan se descartan.
• Aislamiento por agente: la información de cada agente vive en un espacio separado en la base vectorial y en la base de datos, y cada consulta se limita al agente que corresponde. Ningún agente puede acceder a la información de otro.
• Control de acceso: dentro de una organización hay roles (dueño y miembro) y solo las personas invitadas pueden ver los agentes y sus conversaciones. El acceso del equipo de Deployate a datos de producción se limita a lo necesario para operar y dar soporte, con credenciales personales.
• Límites de uso y registro: limitamos los intentos de acceso y las solicitudes por dirección IP, y registramos las operaciones relevantes para poder auditarlas.
• Sesiones: el token de sesión vence a los 14 días y podés cerrar sesión en cualquier momento.

Ningún sistema es infalible. Si detectamos un incidente de seguridad que afecte datos personales, lo notificaremos a la autoridad competente y a las personas afectadas en los plazos que marca cada ley (en la UE y Brasil, dentro de las 72 horas de tomar conocimiento; en Argentina, sin dilación indebida) y, si sos Cliente, te lo comunicaremos sin demora para que puedas cumplir con tus propias obligaciones frente a las Personas finales.

11. Tus derechos

Tenés derechos sobre tus datos, con independencia del país en el que estés. Los principales, y cómo ejercerlos:

• Acceso: saber qué datos tuyos tratamos y recibir una copia.
• Rectificación: corregir datos inexactos o incompletos. Tu nombre y tu email los podés cambiar desde tu panel.
• Supresión ("derecho al olvido"): pedir que eliminemos tus datos. Si sos Cliente, podés dar de baja tu cuenta desde la sección Cuenta del panel, confirmando con tu email.
• Oposición y limitación: oponerte a un tratamiento basado en interés legítimo o pedir que lo limitemos mientras se resuelve tu reclamo.
• Portabilidad: recibir tus datos en un formato estructurado y de uso común para llevarlos a otro proveedor.
• Decisiones automatizadas: no ser objeto de decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o te afecten significativamente, y obtener intervención humana. Como se explica en la sección 6, el agente no toma decisiones de ese tipo y siempre hay una persona que puede intervenir.
• Retirar el consentimiento: cuando el tratamiento se base en tu consentimiento, podés retirarlo en cualquier momento, sin que eso afecte la licitud del tratamiento anterior.
• Reclamar ante una autoridad: podés presentar un reclamo ante la autoridad de protección de datos de tu país (ver más abajo).

Para ejercer cualquiera de estos derechos escribinos a privacidad@deployate.com desde el email asociado a tu cuenta o, si sos Persona final, indicando el número o cuenta desde la que le escribiste al agente y el nombre del negocio. Podemos pedirte información adicional solo para verificar tu identidad. El ejercicio de tus derechos es gratuito. Respondemos dentro de los plazos que marca la ley de tu jurisdicción: por ejemplo, 10 días hábiles para el acceso en Argentina, un mes en la Unión Europea (prorrogable dos meses más en casos complejos), 15 días en Brasil, 20 días hábiles en México y 45 días en California.

12. Compromisos de Deployate como encargado del tratamiento

Si sos Cliente, esta sección junto con las Condiciones del servicio constituye el acuerdo de tratamiento de datos entre vos (Responsable) y Deployate (Encargado), en los términos del artículo 28 del RGPD, el artículo 25 de la Ley 25.326, el artículo 39 de la LGPD y las normas equivalentes de las demás jurisdicciones. Nos comprometemos a:

• Tratar los datos de las Personas finales únicamente para prestarte el servicio y siguiendo tus instrucciones documentadas (la configuración de tu agente, las acciones que habilitás, los documentos que cargás), nunca para fines propios.
• Garantizar que quienes tratan los datos están sujetos a confidencialidad.
• Aplicar las medidas de seguridad de la sección 10.
• Recurrir solo a los subencargados de la sección 7, informarte con antelación de cualquier cambio y darte la oportunidad de oponerte.
• Asistirte para responder a los pedidos de derechos de las Personas finales y para cumplir con tus obligaciones de seguridad, notificación de incidentes y evaluaciones de impacto, en la medida en que la información esté en nuestro poder.
• Notificarte sin demora indebida cualquier incidente de seguridad que afecte los datos de tus Personas finales.
• Al finalizar la relación, eliminar los datos de las Personas finales conforme a los plazos de la sección 9, y facilitarte antes una copia si la pedís.
• Poner a tu disposición la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías razonables, previa coordinación.

Como Responsable, te comprometés a informar a las Personas finales que las atiende un agente automatizado y cómo se tratan sus datos, a contar con una base legal para ese tratamiento, a no cargar en el agente datos que no necesitás, y a no usar el servicio para tratar categorías especiales de datos (salud, origen étnico, opiniones políticas, religión, orientación sexual, datos biométricos o genéticos, antecedentes penales) sin haber evaluado previamente las medidas adecuadas, entre ellas el uso de Amazon Bedrock en tu propia cuenta de AWS.

13. Cookies y almacenamiento en tu navegador

Este sitio (deployate.com) no usa cookies propias ni de terceros, ni herramientas de analítica, ni píxeles publicitarios. El idioma se determina por la ruta que visitás.

El panel (dashboard.deployate.com) usa únicamente cookies y almacenamiento local técnicos, necesarios para funcionar. No requieren consentimiento por ser estrictamente necesarios, pero te los detallamos igual:

Al iniciar sesión con Google, el navegador carga el script de Google Identity Services; al conectar WhatsApp, carga el SDK de Facebook para el registro oficial de Meta. Esos scripts se rigen por las políticas de privacidad de Google y de Meta, respectivamente. Podés borrar las cookies desde la configuración de tu navegador; si borrás la de sesión, tendrás que iniciar sesión de nuevo.

14. Menores de edad

El panel y la contratación del servicio están dirigidos a personas mayores de 18 años y a empresas. No creamos cuentas a sabiendas para menores; si detectamos una, la damos de baja.

Los agentes de los Clientes pueden ser contactados por cualquier persona que les escriba, incluidos menores, por ejemplo si el Cliente es un colegio. En ese caso el Cliente, como Responsable, es quien debe evaluar si necesita el consentimiento de los padres o tutores y aplicar las salvaguardas que exija su legislación (en la UE, entre 13 y 16 años según el país; en Estados Unidos, menores de 13 años según la COPPA; en Argentina y Brasil, según el interés superior del niño). Deployate no recopila deliberadamente datos de menores para fines propios.

15. Cambios en esta política

Cuando cambiemos esta política actualizaremos la fecha y el número de versión que figuran al comienzo. Si el cambio es relevante (por ejemplo, un proveedor nuevo que recibe datos de Personas finales, una finalidad nueva o un plazo de conservación distinto), te lo avisaremos por email o en el panel con al menos 15 días de antelación, y si la ley exige tu consentimiento para ese cambio, te lo pediremos antes de aplicarlo. Las versiones anteriores están disponibles a pedido.

16. Contacto

• Privacidad y ejercicio de derechos: privacidad@deployate.com
• Soporte general: support@deployate.com
• Domicilio: Ciudad Autónoma de Buenos Aires, Argentina

Si nos escribís por un tema de privacidad, te contestamos con un acuse de recibo y te decimos quién va a resolverlo y en cuánto tiempo.