Borrador — pendiente de revisión legal. Este documento es un template de Replio para discusión con asesoría jurídica. No constituye un acuerdo vigente hasta que un abogado licenciado lo apruebe en tu jurisdicción. Usahello@replio.iosi necesitas la versión final firmada.

Replio · Legal

Política de Privacidad

Cómo Replio recolecta, usa, comparte y protege los datos personales tratados por la plataforma.

Última actualización: 08 mayo 2026

1. Quién es el responsable

Replio actúa como encargado del tratamiento de los datos personales de los usuarios finales (clientes del comercio) que llegan a través de los canales conectados. El comercio sigue siendo el responsable de esos datos. Replio actúa como responsable únicamente respecto a la información de cuenta y operación de los administradores y agentes del workspace.

2. Datos que tratamos

2.1 Datos de cuenta del comercio

Email, nombre, teléfono, organización, RUC/RFC/NIT, rol, IP de acceso, eventos de auditoría, plan contratado, métodos de pago (procesados por Stripe; Replio no almacena PAN).

2.2 Datos del usuario final (cliente del comercio)

Identificadores de canal (número WhatsApp, ID Instagram, Messenger PSID), nombre público, contenido de mensajes, metadatos de conversación, archivos compartidos, ubicación si es enviada explícitamente, y cualquier dato que el comercio agregue manualmente al perfil de contacto.

2.3 Datos derivados

Embeddings de la base de conocimiento, métricas agregadas de performance del bot, logs de invocación de herramientas, datos de monitoreo y diagnóstico.

3. Finalidades

Operar la plataforma y entregar el servicio contratado.
Generar respuestas del agente IA usando la base de conocimiento del comercio.
Facturación, prevención de fraude, cumplimiento normativo y obligaciones tributarias.
Soporte al comercio (dependiendo del nivel de acceso autorizado).
Mejora del servicio mediante datos agregados y anonimizados.

4. Bases legales (GDPR / LGPD)

Ejecución de contrato (art. 6.1.b GDPR) — para operar el workspace.
Obligación legal (art. 6.1.c) — facturación, retención tributaria, requerimientos judiciales.
Interés legítimo (art. 6.1.f) — seguridad, prevención de fraude, métricas agregadas.
Consentimiento (art. 6.1.a) — para canales de marketing opcionales y comunicaciones promocionales.

5. Procesadores externos

Replio comparte datos con sub-encargados estrictamente necesarios para el servicio:

Google Cloud Platform — hosting, base de datos (Cloud SQL), almacenamiento, observabilidad. Datos en US y/o LATAM según la región del comercio.
Meta Platforms — entrega de mensajes via WhatsApp Business API, Instagram, Messenger.
Anthropic / OpenAI — modelos de lenguaje. Replio aplica cláusulas que prohíben usar las conversaciones para entrenamiento de modelos.
Voyage AI — embeddings para la base de conocimiento.
Stripe — procesamiento de pagos.
Resend / Postmark — emails transaccionales.

6. Transferencias internacionales

Algunos sub-encargados están en EE.UU. Las transferencias se amparan en Cláusulas Contractuales Estándar (SCC) de la UE y en equivalentes locales (LGPD art. 33, Ley 29733 art. 11).

7. Retención

Conversaciones y mensajes: 24 meses tras el último contacto.
Logs de auditoría y seguridad: 12 meses (extendidos a 5 años si la ley lo exige).
Datos de facturación: el plazo legalmente exigido en la jurisdicción del comercio (Perú: 5 años; México: 5 años; Brasil: 5 años; Colombia: 10 años para algunos rubros).
Tras cancelación de cuenta: 90 días en archivo cifrado, luego eliminación.

8. Derechos del titular

Acceso, rectificación, cancelación, oposición, portabilidad, revocación de consentimiento. Para ejercerlos, escribe a privacy@replio.io desde el email registrado. Responderemos en plazo legal (30 días GDPR/LGPD; 20 días Ley 29733).

Si tu interlocutor es un comercio que usa Replio (no Replio directamente), debes dirigir tu solicitud al comercio. Replio asistirá al comercio en su respuesta.

9. Seguridad

TLS 1.2+ en tránsito, AES-256 en reposo, segregación tenant-by- schema en Cloud SQL, gestión de secretos en Google Secret Manager, rotación de claves, autenticación multifactor para personal con acceso a datos.

10. Contacto del DPO

dpo@replio.io. Para denuncias ante autoridad: ANPD (Brasil), AEPD (España), INAI (México), Autoridad Nacional de Protección de Datos Personales (Perú).