Política de Privacidad

Última actualización: 2026-06-24.

Esta Política de Privacidad describe cómo ChatMe OÜ (en adelante, "ChatME", "nosotros" o "nuestro") trata los datos personales que nos confías cuando usas nuestra plataforma de chatbots con IA en app.chatme.es o cuando interactúas con un chatbot que un cliente nuestro ha incrustado en su sitio web.

1. Identidad del responsable


Razón social	ChatMe OÜ
Registro mercantil	17391989 (Estonia)
NIF / Reg.	EE102933761
Domicilio	Järvevana tee 9, Tallinn, 11314, Estonia
Email para asuntos de privacidad	privacy@chatme.es
Autoridad de control	AKI (Andmekaitse Inspektsioon, Estonia) como autoridad principal; AEPD para residentes en España

2. ¿Eres cliente o eres visitante?

Esta política cubre dos relaciones distintas:

A. Si tienes una cuenta en ChatME (eres "cliente", "propietario" o "owner") ChatMe OÜ es el responsable del tratamiento de tus datos de cuenta (email, nombre, datos de facturación, etc.).

B. Si has chateado con un chatbot creado por un cliente nuestro (eres "visitante") El cliente nuestro es el responsable del tratamiento de tus datos de conversación. ChatME actúa como encargado del tratamiento en su nombre, según las instrucciones documentadas en nuestro Acuerdo de Tratamiento (DPA) con el cliente.

Si has interactuado con un chatbot y quieres ejercer derechos (acceso, supresión, portabilidad), debes contactar primero al cliente cuyo chatbot usaste. Si no recibes respuesta o no sabes quién es, escríbenos a privacy@chatme.es y te ayudaremos a localizarlo.

3. Qué datos tratamos y por qué

3.1 De los clientes (titulares de cuentas en app.chatme.es)

Dato	Finalidad	Base jurídica (RGPD Art. 6)	Plazo
Email	Identificación, login, comunicaciones transaccionales	Ejecución del contrato	Vida de la cuenta + 30 días
Contraseña (hash)	Autenticación	Ejecución del contrato	Vida de la cuenta + 30 días
Nombre completo	Personalización + atención al cliente	Ejecución del contrato	Vida de la cuenta + 30 días
Nombre del negocio	Contexto en el panel + emails	Ejecución del contrato	Vida de la cuenta + 30 días
Idioma preferido	Personalización del panel	Ejecución del contrato	Vida de la cuenta
Plan + estado de suscripción	Facturación + gestión de servicio	Ejecución del contrato	Vida de la cuenta + 30 días
Cliente / suscripción de Stripe (ID)	Procesamiento de pagos	Ejecución del contrato	Vida de la cuenta
Datos de facturación (dirección, NIF)	Obligación fiscal	Obligación legal	10 años (legislación fiscal)
Dirección IP del navegador (logs de acceso)	Seguridad + prevención de abuso	Interés legítimo	30 días

3.2 De los visitantes (usuarios finales del widget)

Los siguientes datos los tratamos en nombre de nuestro cliente (el dueño del chatbot), no como responsables:

Dato	Finalidad	Plazo (por defecto, configurable por el cliente)
Mensajes de la conversación	Generar respuestas mediante IA	90 días
Datos del formulario (nombre, email, teléfono, etc.)	Permitir que el cliente te contacte	365 días
Datos de una reserva o cita pedida en el chat (nombre, teléfono, email, servicio, hora preferida y las notas que escribas)	Gestionar la cita y que el negocio pueda confirmártela	365 días; después se anonimizan: se borran tus datos personales y el negocio solo conserva el registro de la cita (servicio, hora, estado)
Registro de actividad en Jobber (si el negocio conectó Jobber: nombre, email, teléfono, qué pediste y la fecha de la cita movida o cancelada)	Que el negocio pueda comprobar en ChatME lo que el asistente guardó o cambió en su Jobber (copia de seguridad; Jobber es la fuente de verdad)	365 días; después se anonimizan: se borran tus datos personales y queda solo el registro (tipo, fecha, identificadores de Jobber)
Registro de actividad en Let's Book (si el negocio conectó Let's Book: nombre, email, teléfono, modelo de barco, embarcadero, fechas de recogida y devolución, referencia de la reserva y sus cambios de estado)	Que el negocio pueda comprobar en ChatME lo que el asistente reservó o cambió en su Let's Book (copia de seguridad; Let's Book es la fuente de verdad)	365 días; después se anonimizan: se borran tus datos personales y queda solo el registro (barco, embarcadero, fechas, estado, identificadores de Let's Book); el texto libre de una petición de cambio se borra también
ID de sesión (aleatorio)	Continuidad de la conversación	90 días (junto con la conversación)
Tu número de teléfono (solo si escribes por WhatsApp)	Recibir tu mensaje y poder responderte en el mismo hilo	90 días (junto con la conversación)
Tu nombre de perfil de WhatsApp (si lo tienes público)	Identificar el hilo en el panel del negocio	90 días (junto con la conversación)
Tu identificador de Instagram o de Messenger (solo si escribes por Instagram DM o por la página de Facebook)	Recibir tu mensaje y poder responderte en el mismo hilo	90 días (junto con la conversación)
Tipo de dispositivo, referrer	Analíticas básicas para el cliente	90 días
Clics en enlaces dentro del chat	Métricas de engagement	180 días
Dirección IP (logs de acceso)	Seguridad + prevención de abuso	30 días

El chatbot puede operar en el sitio web del Cliente (widget), en su página de enlace directo o en los canales de mensajería que el Cliente conecte (Instagram, WhatsApp y Facebook Messenger). En esos canales, los mensajes transitan además por la API de Meta (ver subencargados, sección 5). El tratamiento NO es idéntico al del widget: en la web te identificamos con un ID de sesión aleatorio, mientras que en WhatsApp e Instagram recibimos de Meta un identificador real y permanente tuyo —tu número de teléfono en WhatsApp (y tu nombre de perfil, si es público) o tu identificador de usuario en Instagram o en Messenger— porque sin él no existe hilo al que responder. Se guardan junto a la conversación y se eliminan con ella.

Historial importado de WhatsApp (opcional, lo decide el negocio). Si el negocio conecta su número de WhatsApp manteniendo su móvil (coexistencia), puede pedir —marcándolo expresamente al conectar y confirmándolo de nuevo en su propio teléfono— que Meta transfiera a ChatME sus conversaciones de WhatsApp de los últimos 180 días (solo texto). Ese historial pertenece al negocio (es su propia bandeja de WhatsApp) y aparece en su panel junto al resto de conversaciones; su asistente lo usa como contexto para atender mejor. Nunca importamos la agenda de contactos del teléfono, ni descargamos archivos o imágenes del historial. Las conversaciones importadas siguen el mismo régimen que las demás: mismo plazo de conservación (90 días desde la importación), mismo derecho de supresión (§6) y misma exportación.

ChatME nunca usa estos datos para entrenar modelos de IA ni los comparte con terceros más allá de los subencargados listados en la sección 5.

3.3 Datos de Google que conectas (Google Calendar)

Si eres cliente y conectas tu cuenta de Google Calendar a tu chatbot (función opcional de reserva de citas), tratamos los siguientes datos de Google bajo tu autorización explícita y únicamente para que tu chatbot gestione tus citas. Conectas y desconectas el calendario tú mismo desde tu panel.

Datos / alcance de Google	Para qué	Cómo lo usamos
Disponibilidad (franjas ocupado/libre) de tu calendario principal — alcance `calendar.freebusy`	Comprobar si la hora solicitada está libre antes de reservar, para no duplicar citas	Solo leemos rangos ocupado/libre; nunca títulos, descripciones, invitados ni el contenido de tus eventos
Creación de eventos en tu calendario principal — alcance `calendar.events`	Crear el evento de la cita cuando un visitante confirma día y hora en el chat	Solo creamos eventos de cita nuevos; no leemos, modificamos ni eliminamos tus eventos existentes

Los tokens de acceso de Google se almacenan cifrados (AES-256-GCM) y se usan exclusivamente en el servidor para las dos operaciones anteriores.
Puedes desconectar Google Calendar en cualquier momento desde tu panel (app.chatme.es/dashboard/citas); al hacerlo eliminamos los tokens almacenados.
No vendemos estos datos, no los usamos para publicidad ni los usamos para entrenar modelos de IA.
Importante para el evento de la cita: cuando el chatbot crea el evento, los datos que el visitante escribió (nombre, teléfono, email y notas) quedan en la descripción del evento, dentro del calendario del propio negocio. Ese calendario es del Cliente, no nuestro: si anonimizamos o borramos el registro de la cita en ChatME, el evento de Google no se ve afectado. Eliminarlo o editarlo corresponde al Cliente como responsable del tratamiento.

Uso Limitado (Política de Datos de Usuario de los Servicios de la API de Google). El uso y la transferencia por parte de ChatME de la información recibida de las API de Google se ajustarán a la Google API Services User Data Policy, incluidos los requisitos de Uso Limitado (Limited Use). Texto canónico en inglés: "ChatME's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements."

3.4 Datos de Jobber que conectas (Jobber)

Si eres cliente y conectas tu cuenta de Jobber a tu chatbot (función opcional de los planes Pro y E-commerce; se conecta desde tu panel o desde el App Marketplace de Jobber), tratamos los siguientes datos bajo tu autorización explícita y únicamente para que tu chatbot trabaje con tu Jobber. Conectas y desconectas Jobber tú mismo.

Datos	Para qué	Cómo lo usamos
Lo que un visitante escribe al pedir presupuesto o que le contactéis (nombre, email y/o teléfono, y qué necesita)	Crear el cliente y la solicitud en tu cuenta de Jobber, con «ChatME» como origen del lead	Solo creamos clientes y solicitudes; si ese email ya existe como cliente en tu Jobber (o el teléfono, cuando el visitante no da email), reutilizamos ese cliente en lugar de duplicarlo
El email y el teléfono que un visitante da para gestionar su cita	Verificar que es un cliente de tu Jobber (ambos deben coincidir) y mostrarle solo sus citas próximas	Leemos tus clientes y sus citas únicamente para esa verificación y ese listado
Los cambios que el visitante pide sobre sus propias citas (mover, cancelar)	Aplicar el cambio en tu Jobber	Solo sobre citas del cliente verificado, nunca sobre las de otro

Los tokens de acceso de Jobber se almacenan cifrados (AES-256-GCM) y se usan exclusivamente en el servidor.
Puedes desconectar Jobber en cualquier momento desde tu panel (app.chatme.es/dashboard/jobber) o desde el App Marketplace de Jobber; en ambos casos eliminamos los tokens almacenados.
Jobber es la fuente de verdad de esos datos: viven en tu cuenta de Jobber, que es tuya (responsable del tratamiento), no nuestra. ChatME conserva una copia de seguridad del registro de lo que el asistente hizo en tu Jobber (ver la tabla de conservación más arriba: 365 días, después anonimizada) para que puedas comprobarlo desde tu panel. Si anonimizamos o borramos ese registro en ChatME, los datos de Jobber no se ven afectados: editarlos o borrarlos allí te corresponde a ti.
No vendemos estos datos, no los usamos para publicidad ni los usamos para entrenar modelos de IA.

3.5 Datos de Let's Book que conectas (Let's Book)

Si eres cliente y conectas tu cuenta de Let's Book a tu chatbot (función opcional de los planes Pro y E-commerce; se conecta pegando en tu panel una clave API que creas tú mismo en tu propio panel de Let's Book), tratamos los siguientes datos bajo tu autorización explícita y únicamente para que tu chatbot trabaje con tu Let's Book. Conectas y desconectas Let's Book tú mismo.

Datos	Para qué	Cómo lo usamos
Lo que un visitante escribe al reservar un barco (nombre y apellidos, email, teléfono e idioma si los da —en WhatsApp, el número desde el que escribe—, número de personas, embarcadero, modelo de barco y fechas de recogida y devolución)	Crear el cliente y la reserva en tu cuenta de Let's Book, con «chatme» como código de partner	Solo creamos clientes y reservas; si ese email ya existe como cliente en tu Let's Book, reutilizamos ese cliente en lugar de duplicarlo. La reserva queda retenida como borrador y es Let's Book quien envía al visitante su propio email de confirmación con su enlace de pago: ChatME nunca cobra ni ve datos de pago
La referencia de reserva y el email que un visitante da para gestionar su reserva (por WhatsApp, su número puede sustituir al email)	Verificar que es un cliente de tu Let's Book (ambos deben coincidir) y mostrarle solo su reserva (estado, horas, embarcadero, saldo pendiente)	Leemos tus clientes y sus reservas únicamente para esa verificación y esa consulta
Los cambios que el visitante pide sobre su propia reserva (mover, cancelar)	Dejar una nota con la petición en la reserva, en tu Let's Book; o, solo si tú lo activas en ChatME, aplicar el cambio o la cancelación	Solo sobre la reserva del cliente verificado, nunca sobre las de otro

Además leemos tu catálogo de Let's Book (embarcaderos, modelos de barco, extras y sus precios) y tu disponibilidad para responder en el chat; son datos de tu negocio, no datos personales.
La clave API de Let's Book se almacena cifrada (AES-256-GCM) y se usa exclusivamente en el servidor. Las claves de Let's Book no tienen permisos limitados (dan acceso completo a tu organización de Let's Book): por eso te recomendamos crear una clave dedicada, llamada «ChatME», que puedas revocar desde tu panel de Let's Book cuando quieras.
Puedes desconectar Let's Book en cualquier momento desde tu panel; al hacerlo eliminamos la clave almacenada y la suscripción a avisos (webhook) que registramos en tu Let's Book (si la clave ya no es válida, el webhook deberás borrarlo tú en Let's Book; te lo indicamos al desconectar).
Let's Book es la fuente de verdad de esos datos: viven en tu cuenta de Let's Book, que es tuya (responsable del tratamiento), no nuestra. ChatME conserva una copia de seguridad del registro de lo que el asistente reservó o cambió en tu Let's Book (ver la tabla de conservación más arriba: 365 días, después anonimizada), que mantenemos al día con los avisos que Let's Book nos envía, para que puedas comprobarlo desde tu panel. Si anonimizamos o borramos ese registro en ChatME, los datos de Let's Book no se ven afectados: editarlos o borrarlos allí te corresponde a ti. Y si anonimizas a un cliente en tu Let's Book, cuando Let's Book nos lo notifica anonimizamos también sus filas en nuestro registro.
No vendemos estos datos, no los usamos para publicidad ni los usamos para entrenar modelos de IA.

4. Almacenamiento en el navegador (cookies y similares)

Cuando interactúas con un chatbot, almacenamos en el sessionStorage de tu navegador (no son cookies, no se envían al servidor):

cbp_session_<id> — un identificador aleatorio para mantener la conversación viva
cbp_history_<id> — el historial de la conversación en curso (se borra al cerrar la pestaña)
cbp_csat_<id> — bandera para evitar pedirte valoración dos veces
cbp_storage_consent_<id> — recuerda que aceptaste el aviso de almacenamiento del widget

No usamos cookies de seguimiento, analítica ni publicidad. No compartimos información con redes sociales, Google Analytics, ni similares.

El detalle completo de cookies y almacenamiento del navegador (web pública, panel y widget) está en nuestra Política de Cookies.

5. Quién más procesa tus datos (subencargados)

Lista completa actualizada en: /legal/subprocessors.

Resumen:

Supabase (Irlanda, UE) — base de datos, autenticación
Anthropic (EE.UU., SCCs) — inferencia del modelo IA
OpenAI (EE.UU., SCCs) — embeddings para búsqueda en base de conocimiento
Resend (EE.UU., SCCs) — entrega de emails
Stripe (Irlanda, UE) — facturación y suscripciones
Vercel (UE para ejecución, EE.UU. para logs, SCCs) — hosting
Google (EE.UU., SCCs) — Google Calendar, solo si el cliente lo conecta para reservas (bajo su autorización; ver §3.3)
Meta Platforms (EE.UU., SCCs) — mensajería de Instagram, WhatsApp y Facebook Messenger, solo si el cliente conecta esos canales
Jobber (Canadá/EE.UU., SCCs / decisión de adecuación de Canadá) — CRM de servicios a domicilio, solo si el cliente conecta su cuenta de Jobber para presupuestos y citas (bajo su autorización; ver §3.4)
Let's Book (Países Bajos, UE — centro de datos europeo) — software de reservas de alquiler de barcos, solo si el cliente conecta su cuenta de Let's Book para disponibilidad y reservas (bajo su autorización; ver §3.5)
Plausible Analytics (Alemania, UE) — analítica web sin cookies de nuestra web pública chatme.es; no recopila datos personales ni usa identificadores persistentes (ver Política de Cookies §3.1)
Google Analytics 4 / Google Ads (EE.UU., SCCs) — analítica y medición publicitaria de la web pública chatme.es; solo se activan con tu consentimiento en el aviso de cookies (ver Política de Cookies §3.1)
Rewardful (EE.UU., SCCs) — seguimiento y atribución de nuestro programa de afiliados en chatme.es; instala una cookie propia (first-party) con un identificador aleatorio de referido (sin datos personales) para acreditar las altas que llegan a través de un afiliado (ver Política de Cookies §3.1)

Todas las transferencias fuera del EEE se rigen por Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea.

6. Tus derechos

Tienes derecho a:

Acceder a tus datos (Art. 15)
Rectificar datos inexactos (Art. 16)
Suprimir ("derecho al olvido") tus datos (Art. 17)
Limitar el tratamiento (Art. 18)
Portabilidad: recibir tus datos en formato estructurado (Art. 20)
Oponerte al tratamiento basado en interés legítimo (Art. 21)
No ser objeto de decisiones automatizadas con efectos jurídicos (Art. 22) — actualmente ChatME no toma decisiones automatizadas con efectos jurídicos sobre ti

Cómo ejercerlos:

Si eres cliente: la mayoría desde tu panel en app.chatme.es → Privacidad y datos. Para supresión completa, escribe a privacy@chatme.es.
Si eres visitante: contacta primero al cliente cuyo chatbot usaste. Si no responde en 30 días o no puedes localizarlo, escríbenos a privacy@chatme.es y te ayudaremos.
Plazo de respuesta: 1 mes desde la recepción, prorrogable a 3 meses en casos complejos.

Tienes derecho a presentar una reclamación ante la autoridad de control (AKI en Estonia, AEPD en España) si consideras que el tratamiento vulnera el RGPD.

7. Seguridad

Cifrado TLS 1.2+ en tránsito; AES-256 en reposo en Supabase.
Aislamiento por usuario mediante Row-Level Security (RLS) a nivel de base de datos.
Sin acceso humano por defecto a contenido de conversaciones por parte del equipo de ChatME (acceso solo para resolución de incidentes, registrado).
Procedimiento documentado de respuesta a incidentes con notificación a autoridades en menos de 72 horas (Art. 33).

8. Toma de decisiones automatizada y perfilado

ChatME usa modelos de IA para generar respuestas en el chat. Estas respuestas no constituyen "decisiones automatizadas con efectos jurídicos o significativos" según el RGPD Art. 22 — son conversaciones informativas. El cliente del chatbot puede usar los datos del formulario para tomar sus propias decisiones (atender una reserva, contestar una consulta), bajo su propia responsabilidad.

Conforme al Reglamento de IA de la UE (Reglamento (UE) 2024/1689), te informamos siempre de que estás hablando con un sistema de IA: en el widget aparece un distintivo "IA" junto al nombre del chatbot.

9. Cambios a esta política

Publicamos cambios en esta misma URL. Si los cambios son materiales (afectan a tus derechos o introducen nuevos subencargados con acceso a tus datos), te avisamos:

Si eres cliente: por email a la dirección de tu cuenta, con al menos 30 días de antelación.
Si eres visitante: el cliente cuyo chatbot uses recibirá el aviso y es responsable de propagártelo según su propia política.

10. Contacto

Para cualquier asunto relacionado con esta política o el tratamiento de datos:

privacy@chatme.es

ChatMe OÜ · Järvevana tee 9, Tallinn, 11314, Estonia