Política de privacidad

Esta Política explica cómo el Operador de Betty trata los datos personales relacionados con el sitio betty.management, el formulario de solicitud de acceso y el CRM de Betty. El Operador es la entidad identificada al inicio de este documento, bajo el epígrafe «Identificación del Operador»; las direcciones de contacto que allí constan son las válidas para todo lo previsto aquí.

Esta Política forma parte de los Términos de servicio. El tratamiento de los datos que un cliente guarda en su espacio de trabajo se rige además por el Acuerdo de tratamiento de datos.

1. Dos papeles distintos, y por qué importan

El Operador interviene en dos posiciones diferentes, con consecuencias distintas para quien lee:

1.1. Como responsable del tratamiento. Respecto de los datos de quienes envían el formulario de solicitud de acceso, de los datos de las cuentas de usuario del CRM, de los registros técnicos de la infraestructura y de los correos que se nos envían, el Operador decide las finalidades y los medios. Las secciones 3 a 12 describen ese tratamiento.

1.2. Como encargado del tratamiento. Respecto de los registros que un cliente guarda en su espacio de trabajo —personas, empresas, oportunidades, notas, tareas y archivos—, el cliente es el responsable: él decide qué datos introduce, con qué finalidad y con qué base jurídica. El Operador solo los trata siguiendo sus instrucciones, en los términos del Acuerdo de tratamiento de datos. Si eres una persona cuyos datos aparecen en el espacio de trabajo de un cliente de Betty y quieres ejercer tus derechos, el interlocutor es ese cliente; si nos escribes, te lo indicaremos y trasladaremos tu solicitud sin demora, conforme a la sección 13.7.

2. Normas que aplicamos

Aplicamos el Reglamento (UE) 2016/679 (RGPD) y, según la residencia de cada persona, el UK GDPR y la Data Protection Act 2018 del Reino Unido; la CCPA de California en su redacción dada por la CPRA y su reglamento, así como las demás leyes estatales de privacidad del consumidor de los Estados Unidos que resulten aplicables; la Ley 1581 de 2012 y el Decreto 1377 de 2013 de Colombia; la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México publicada el 20 de marzo de 2025; la Ley 13.709 (LGPD) de Brasil; la Ley 25.326 de Argentina; en Chile, la Ley 19.628 y la Ley 21.719 desde su entrada en vigencia; y la Ley 29733 de Perú con su reglamento aprobado por Decreto Supremo 016-2024-JUS.

Cuando una de esas normas reconoce un derecho o impone una garantía más protectora que las demás, aplicamos la más protectora a quien corresponda.

3. Formulario de solicitud de acceso

Qué recogemos. Nombre, dirección de correo electrónico de trabajo, empresa (opcional), la marca de aceptación de la casilla de consentimiento y la fecha y hora de recepción.

Para qué. Para responder a la solicitud, valorar si procede enviar una invitación a la beta y mantener constancia del consentimiento prestado.

Base jurídica. El consentimiento de quien envía el formulario, artículo 6.1.a del RGPD. La constancia del propio consentimiento y de la fecha se conserva sobre la base del interés legítimo del Operador en poder acreditar que la comunicación fue solicitada, artículo 6.1.f.

Dónde acaba. La solicitud se guarda como una ficha de persona y una nota asociada en el espacio de trabajo del propio Operador, dentro del CRM de Betty. No se publica, no se comparte con terceros y no se incorpora a ninguna lista comercial.

Cuánto conservamos. Hasta veinticuatro (24) meses desde el último contacto relacionado con la solicitud, o hasta que la persona retire su consentimiento, si ocurre antes. Si la solicitud se convierte en una cuenta, los datos pasan a regirse por la sección 4.

Si no se facilitan. El nombre, el correo y el consentimiento son necesarios para responder; sin ellos no podemos tramitar la solicitud. La empresa es opcional.

4. Cuentas del CRM

Qué recogemos. Nombre, dirección de correo electrónico, contraseña almacenada con función de resumen criptográfico, rol dentro del espacio de trabajo e identificador del espacio de trabajo al que pertenece la cuenta.

Para qué. Crear y autenticar la cuenta, aplicar los permisos que corresponden al rol, enviar los correos imprescindibles del servicio y atender el soporte que se nos solicite.

Base jurídica. La ejecución del contrato de prestación del servicio, artículo 6.1.b del RGPD. Cuando la cuenta pertenece a una entidad cliente y el usuario es su empleado o colaborador, la base del Operador sigue siendo contractual respecto del titular de la cuenta, y la relación entre esa entidad y la persona se rige por la propia normativa de la entidad.

Cuánto conservamos. Mientras la cuenta esté activa. Tras la terminación, se suprime conforme a la cláusula 13.5 de los Términos: treinta (30) días naturales en sistemas activos y hasta noventa (90) días naturales en copias de seguridad, que se sobrescriben en el ciclo normal de retención.

5. Datos que los clientes guardan en su espacio de trabajo

Qué contienen. Personas, empresas, oportunidades, notas, tareas y archivos adjuntos, con el contenido que cada cliente decide introducir.

Nuestro papel. Encargado del tratamiento. Tratamos esos datos solo para alojar y operar el servicio, atender el soporte que el cliente solicite, mantener la seguridad y responder a las consultas que el cliente o su cliente de inteligencia artificial autorizado formulen a través del conector MCP.

Base jurídica. La que determine el cliente como responsable. El Operador no establece base jurídica propia para estos datos.

Lo que no hacemos. No usamos estos datos para entrenar modelos de inteligencia artificial propios o de terceros, no los usamos para publicidad, no los vendemos, no los cedemos a terceros para uso propio de estos y no los consultamos para finalidades ajenas a la prestación del servicio.

Cuánto conservamos. Lo que decida el cliente, y en todo caso con los plazos de salida y supresión de la cláusula 13 de los Términos y de la cláusula 14 del Acuerdo de tratamiento de datos.

6. Correo transaccional

Qué enviamos. Invitaciones a la beta, verificación de la dirección de correo, restablecimiento de contraseña y avisos imprescindibles sobre el servicio, la seguridad o los cambios en estos documentos.

Qué se trata. Nombre y dirección de correo del destinatario, y los metadatos de entrega generados por el proveedor de envío.

Base jurídica. La ejecución del contrato, artículo 6.1.b, para los correos imprescindibles del servicio; y el cumplimiento de obligaciones legales, artículo 6.1.c, para los avisos que una norma exija.

Cómo se envía. Con Amazon Simple Email Service en la región de Irlanda (eu-west-1).

Comunicaciones comerciales. No enviamos boletines ni comunicaciones comerciales automatizadas. Si en el futuro se ofrecieran, requerirían una aceptación específica y llevarían en cada mensaje un enlace de baja.

7. Registros técnicos

Qué contienen. Registros de aplicación e infraestructura: marca de tiempo, identificador de la petición, ruta, código de respuesta, mensajes de error, identificador de la cuenta o del espacio de trabajo cuando la petición está autenticada y dirección IP.

Para qué. Detectar y diagnosticar fallos, investigar incidentes de seguridad, prevenir abusos y acreditar el funcionamiento del servicio.

Base jurídica. El interés legítimo del Operador en la seguridad y la continuidad del servicio, artículo 6.1.f del RGPD. Hemos valorado ese interés frente a los derechos de los afectados: los registros son mínimos, el acceso está restringido, no se usan para perfilar a nadie y la retención es corta.

Cuánto conservamos. Treinta (30) días de forma ordinaria. Si un registro resulta necesario para investigar un incidente concreto, se conserva aislado hasta el cierre de la investigación y, en su caso, hasta la prescripción de las acciones derivadas.

Dónde. Amazon CloudWatch, en la región de Irlanda (eu-west-1).

8. Comunicaciones que nos envías

Si escribes a cualquiera de nuestras direcciones de contacto, tratamos tu dirección, tu mensaje y los adjuntos para atender la consulta, sobre la base del interés legítimo en responder a quien nos escribe o, si la consulta es el ejercicio de un derecho, sobre la base del cumplimiento de la obligación legal correspondiente. Conservamos esa correspondencia veinticuatro (24) meses desde el cierre del asunto, y los expedientes de ejercicio de derechos durante el plazo en que debamos poder acreditar que respondimos.

9. Dónde viven los datos

Toda la infraestructura del CRM está en Amazon Web Services, región Europa (Irlanda), eu-west-1:

El sitio público betty.management y la función que recibe el formulario de solicitud se ejecutan en la plataforma de Vercel. El formulario escribe directamente en el espacio de trabajo del Operador dentro del CRM alojado en Irlanda; Vercel no interviene en el tratamiento de los datos que los clientes guardan en sus espacios de trabajo.

10. Quién recibe los datos

10.1. Subencargados. La lista completa de subencargados, con su finalidad, su ubicación y el mecanismo de transferencia aplicable, está en el Anexo III del Acuerdo de tratamiento de datos. En la fecha de entrada en vigor de esta Política son Amazon Web Services, Amazon SES y Vercel.

10.2. Proveedores de inteligencia artificial. OpenAI y Anthropic no son subencargados del Operador. Son proveedores del propio cliente, que contrata con ellos directamente y bajo sus condiciones. La sección 11 explica cómo funciona.

10.3. Asesores y autoridades. Podemos comunicar datos a asesores jurídicos o contables sujetos a deber de secreto cuando sea necesario para defender nuestros derechos, y a autoridades competentes cuando una norma o una resolución nos obligue. En este último caso informamos a la persona o al cliente afectado, salvo que la norma lo prohíba.

10.4. Lo que no ocurre. No vendemos datos personales. No los «compartimos» para publicidad comportamental entre contextos en el sentido de la CCPA. No usamos redes publicitarias, ni analítica de terceros, ni herramientas de medición en el sitio o en la aplicación.

11. Conector MCP y clientes de inteligencia artificial

11.1. Betty se puede usar desde el ChatGPT o el Claude del propio cliente, a través de un conector que implementa el Model Context Protocol. La conexión no existe hasta que el cliente la autoriza expresamente mediante OAuth y elige el alcance del acceso.

11.2. Cuando el cliente formula una consulta desde ese entorno, el conector devuelve al cliente de inteligencia artificial los datos de su espacio de trabajo necesarios para responderla, dentro del alcance autorizado. El Operador no envía datos a esos proveedores por iniciativa propia: no hay sincronización en segundo plano, ni volcados periódicos, ni envíos no solicitados.

11.3. A partir de ese punto, la información queda en manos del proveedor de inteligencia artificial que el cliente ha elegido, que la trata bajo sus propios términos y su propia política de privacidad y durante los plazos que él determine. El cliente debe revisar esas condiciones y, cuando ese proveedor esté fuera de su propio territorio, contar con el mecanismo de transferencia internacional que le exija su normativa. El Operador no es parte de esa relación.

11.4. El cliente puede revocar la autorización OAuth en cualquier momento desde su cuenta. La revocación impide nuevos accesos; no alcanza a lo que el proveedor ya hubiera recibido.

12. Transferencias internacionales

12.1. El tratamiento se queda en la Unión Europea. Las cuentas, los registros del CRM, los archivos, los registros técnicos y el correo transaccional se tratan en Irlanda. El Operador no traslada esos datos fuera del Espacio Económico Europeo para prestar el servicio.

12.2. Acceso de soporte de Amazon Web Services. El acuerdo de tratamiento de datos de Amazon Web Services incorpora las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, que cubren cualquier acceso de sus equipos de soporte desde terceros países.

12.3. Vercel. Vercel Inc. está establecida en los Estados Unidos. Su acuerdo de tratamiento de datos incorpora las cláusulas contractuales tipo de la Decisión (UE) 2021/914 para las transferencias desde el Espacio Económico Europeo, el Reino Unido y Suiza, y el Addendum de transferencia internacional de datos del Reino Unido para las transferencias británicas. Sobre las transferencias a los Estados Unidos amparadas en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU., Decisión de Ejecución (UE) 2023/1795, el Tribunal General de la Unión Europea desestimó el recurso de anulación en su sentencia de 3 de septiembre de 2025 (asunto T-553/23, Latombe/Comisión), y el recurso de casación interpuesto ante el Tribunal de Justicia (asunto C-703/25 P) no está resuelto en la fecha de entrada en vigor de esta Política. La decisión de adecuación sigue vigente.

12.4. Clientes del Reino Unido. Las transferencias del Reino Unido al Espacio Económico Europeo están amparadas por las normas de adecuación británicas, de modo que un cliente del Reino Unido no necesita un instrumento adicional para usar un servicio alojado en Irlanda.

12.5. Clientes de América Latina. Para el cliente que exporta datos desde su país hacia la infraestructura en Irlanda:

• Colombia: los Estados miembros de la Unión Europea figuran en el listado de países con nivel adecuado de protección de la Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio, modificada por la Circular Externa 008 de 2017. La transmisión a un encargado requiere además el contrato de transmisión del artículo 25 del Decreto 1377 de 2013, papel que cumple el Acuerdo de tratamiento de datos.
• Brasil: la Resolución CD/ANPD n.º 32, de 26 de enero de 2026, reconoce a la Unión Europea y al Espacio Económico Europeo como destino con grado de protección adecuado a efectos del artículo 33, inciso I, de la LGPD, de modo que no es necesario incorporar las cláusulas estándar del Anexo de la Resolución CD/ANPD n.º 19/2024.
• Argentina: los países del Espacio Económico Europeo figuran entre los de legislación adecuada según el artículo 3 de la Disposición 60-E/2016, en la redacción dada por la Resolución AAIP 34/2019.
• México: la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de 2025 admite la transferencia necesaria para el cumplimiento de un contrato celebrado o por celebrar entre el responsable y el titular, y la remisión de datos a un encargado, que no requiere consentimiento adicional. El Acuerdo de tratamiento de datos documenta esa remisión.
• Perú: el flujo transfronterizo exige un país con nivel adecuado de protección conforme al artículo 18 del reglamento aprobado por Decreto Supremo 016-2024-JUS; los Estados del Espacio Económico Europeo cumplen ese estándar, y el responsable debe registrar el flujo ante la Autoridad Nacional de Protección de Datos Personales.
• Chile: la Ley 19.628 no somete la transferencia internacional a autorización previa. Desde la entrada en vigencia de la Ley 21.719, el 1 de diciembre de 2026 conforme a su artículo primero transitorio, las transferencias se amparan en el reconocimiento de nivel adecuado que corresponda a los países del Espacio Económico Europeo o, en su defecto, en las cláusulas contractuales o garantías que la Agencia de Protección de Datos Personales admita; el Acuerdo de tratamiento de datos incorpora las obligaciones del encargado previstas en esa ley.

12.6. Clientes de los Estados Unidos. Las leyes estatales de privacidad del consumidor no restringen la localización del tratamiento. El Acuerdo de tratamiento de datos incluye las estipulaciones que la CCPA exige a quien actúa como service provider, con la prohibición de vender o compartir los datos y de usarlos para finalidades propias.

13. Tus derechos

13.1. Cómo ejercerlos. Escribe a la dirección de privacidad que consta en la identificación del Operador, al inicio de este documento. Indica qué derecho ejerces y, si lo conoces, con qué tratamiento se relaciona. No cobramos por atender una solicitud; si fuera manifiestamente infundada o excesiva por repetitiva, lo motivaremos antes de denegarla.

13.2. Verificación. Si no podemos identificarte con la información que nos facilitas, podemos pedirte datos adicionales estrictamente necesarios para verificar que la solicitud es tuya. No usamos esos datos para otra finalidad.

13.3. Plazos. Respondemos en el plazo de un (1) mes desde la recepción, prorrogable dos (2) meses más en solicitudes complejas, avisándote de la prórroga y de su motivo. Donde una norma aplicable fije un plazo más corto, aplicamos ese: cuarenta y cinco (45) días naturales con una prórroga de otros cuarenta y cinco en California y en los demás estados de los Estados Unidos que así lo prevén, quince (15) días hábiles para la consulta y quince (15) días hábiles prorrogables para el reclamo en Colombia, veinte (20) días hábiles para los derechos ARCO en México, diez (10) días para el acceso en Argentina y veinte (20) días hábiles en Perú.

13.4. En el Espacio Económico Europeo y el Reino Unido. Tienes derecho de acceso (artículo 15 del RGPD), rectificación (16), supresión (17), limitación del tratamiento (18), portabilidad (20) y oposición (21), y a no ser objeto de decisiones automatizadas con efectos jurídicos o similares (22), derecho este último que en Betty no llega a tener objeto porque no adoptamos tales decisiones. Cuando el tratamiento se base en el consentimiento, puedes retirarlo en cualquier momento, sin que ello afecte a la licitud del tratamiento anterior. Puedes presentar una reclamación ante la autoridad de control de tu Estado miembro o de tu lugar de trabajo, y ante la Information Commissioner’s Office si resides en el Reino Unido. También puedes acudir a los tribunales.

13.5. En los Estados Unidos. Con el alcance que te reconozca la ley de tu estado, tienes derecho a saber qué datos tratamos y a obtener una copia, a que se corrijan los inexactos, a que se supriman, a la portabilidad y a limitar el uso y la divulgación de la información personal sensible. Puedes designar a un agente autorizado para presentar la solicitud en tu nombre, acreditando su mandato. No te trataremos de forma discriminatoria por ejercer estos derechos. No vendemos información personal y no la compartimos para publicidad comportamental entre contextos, por lo que no existe un mecanismo de exclusión que debas usar; tampoco respondemos a señales de preferencia de exclusión porque no hay venta ni compartición que excluir. No utilizamos información personal sensible para inferir características. Si deniegas una solicitud, en los estados que lo prevén —entre otros Colorado, Connecticut, Virginia, Texas, Oregón, Montana, Delaware, Nueva Jersey, Minnesota y Maryland— puedes recurrir nuestra decisión escribiendo a la misma dirección; responderemos al recurso de forma motivada y te indicaremos cómo dirigirte al fiscal general de tu estado.

13.6. En América Latina.

• Colombia: derechos de conocer, actualizar, rectificar y suprimir, prueba de la autorización, revocatoria de la autorización y presentación de consultas y reclamos (artículos 8 y 14 a 16 de la Ley 1581 de 2012). Antes de reclamar ante la Superintendencia de Industria y Comercio debes haber agotado el trámite de consulta o reclamo ante nosotros.
• México: derechos de acceso, rectificación, cancelación y oposición, revocación del consentimiento y limitación del uso o divulgación. La autoridad competente es la Secretaría Anticorrupción y Buen Gobierno, que asumió estas funciones el 21 de marzo de 2025.
• Brasil: derechos de confirmación, acceso, corrección, anonimización, bloqueo o eliminación, portabilidad, información sobre destinatarios, revocación del consentimiento y revisión de decisiones automatizadas (artículo 18 de la LGPD), ante la Autoridade Nacional de Proteção de Dados.
• Argentina: derecho de información, acceso gratuito a intervalos no inferiores a seis meses, rectificación, actualización y supresión, ante la Agencia de Acceso a la Información Pública.
• Chile: derechos de acceso, rectificación, cancelación y oposición conforme a la Ley 19.628 y, desde su entrada en vigencia, los derechos de la Ley 21.719, incluidos la portabilidad y el bloqueo, ante la Agencia de Protección de Datos Personales.
• Perú: derechos de información, acceso, actualización, inclusión, rectificación, supresión, oposición, tratamiento objetivo y portabilidad, ante la Autoridad Nacional de Protección de Datos Personales del Ministerio de Justicia y Derechos Humanos.

13.7. Si tus datos están en el espacio de trabajo de un cliente. En ese caso el responsable es el cliente, no el Operador. Si nos escribes, te lo comunicaremos, trasladaremos tu solicitud al cliente sin demora indebida y le prestaremos la asistencia que prevé el Acuerdo de tratamiento de datos. No podemos acceder al contenido de un espacio de trabajo para atender una solicitud sin instrucción del cliente.

14. Cookies y almacenamiento en el navegador

14.1. El sitio público betty.management no usa cookies. No instala identificadores, no mide audiencias, no incorpora etiquetas de terceros y no carga recursos desde dominios externos. La demostración de estilos de personalidad funciona íntegramente en el navegador y no guarda preferencias.

14.2. La aplicación. El CRM usa únicamente las cookies y el almacenamiento local estrictamente necesarios para mantener la sesión abierta, aplicar la configuración de seguridad y recordar la selección de espacio de trabajo. Al ser imprescindibles para prestar un servicio solicitado por el usuario, no requieren consentimiento conforme al artículo 5.3 de la Directiva 2002/58/CE y a su transposición nacional. No se pueden desactivar sin impedir el uso de la aplicación; se pueden borrar desde el navegador, lo que cierra la sesión.

14.3. Telemetría. La telemetría, la analítica de producto y el envío de informes de error a terceros están desactivados en el despliegue de Betty.

15. Decisiones automatizadas y elaboración de perfiles

Betty no adopta decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos sobre una persona o la afecten significativamente de modo similar. Las sugerencias que Betty presenta —un seguimiento, un borrador, un recordatorio— son propuestas dirigidas a un usuario, que decide si las ejecuta. No elaboramos perfiles con fines publicitarios, de scoring ni de evaluación de personas.

16. Seguridad

Las medidas técnicas y organizativas están descritas en detalle en el Anexo II del Acuerdo de tratamiento de datos. En resumen: cifrado en tránsito con TLS y en reposo en la base de datos y en el almacenamiento de archivos; contraseñas con función de resumen criptográfico; aislamiento de los datos por espacio de trabajo; control de accesos por rol y mínimo privilegio para el personal; registro de la actividad administrativa; copias de seguridad con restauración probada; y gestión de incidentes con los plazos de notificación de la sección 17.

Ningún sistema es invulnerable. Si detectas una vulnerabilidad, escríbenos a la dirección de contacto general antes de divulgarla; la trataremos con diligencia y sin acciones contra quien la comunique de buena fe.

17. Brechas de seguridad

Si se produce una violación de la seguridad de los datos personales de los que el Operador es responsable, la notificaremos a la autoridad de control competente en el plazo de setenta y dos (72) horas desde que tengamos constancia, cuando sea exigible conforme al artículo 33 del RGPD, y a las personas afectadas cuando exista un riesgo alto para sus derechos, conforme al artículo 34. Si la brecha afecta a datos de los que es responsable un cliente, se lo notificaremos sin demora indebida en los términos de la cláusula 10 del Acuerdo de tratamiento de datos, para que pueda cumplir sus propias obligaciones, incluidos los plazos específicos de su país, como las cuarenta y ocho (48) horas que fija el reglamento peruano.

18. Menores

El servicio se dirige a profesionales y empresas. No lo ofrecemos a menores de edad, no solicitamos ni tratamos a sabiendas datos de menores y no incluimos funciones destinadas a ellos. Si tenemos constancia de que hemos recibido datos de un menor sin la autorización que exija la ley aplicable, los suprimiremos. Si crees que ha ocurrido, escríbenos a la dirección de privacidad.

19. Cambios en esta Política

Podemos actualizar esta Política cuando cambie el servicio, la infraestructura, la lista de subencargados o la normativa aplicable. Los cambios sustanciales se comunicarán con un preaviso de treinta (30) días naturales por correo electrónico a los titulares de cuenta y mediante aviso en el servicio, salvo que una norma de aplicación inmediata o un riesgo de seguridad exijan un plazo menor. La fecha de entrada en vigor que figura al inicio identifica la versión aplicable, y la versión anterior permanecerá accesible.

20. Reclamaciones

Si consideras que tratamos tus datos de forma incorrecta, escríbenos primero a la dirección de privacidad: es la vía más rápida para corregirlo. En cualquier caso puedes dirigirte a la autoridad de tu territorio —entre otras, la autoridad de control de tu Estado miembro en la Unión Europea, la Information Commissioner’s Office en el Reino Unido, la California Privacy Protection Agency o el fiscal general de tu estado en los Estados Unidos, la Superintendencia de Industria y Comercio en Colombia, la Secretaría Anticorrupción y Buen Gobierno en México, la Autoridade Nacional de Proteção de Dados en Brasil, la Agencia de Acceso a la Información Pública en Argentina, la Agencia de Protección de Datos Personales en Chile y la Autoridad Nacional de Protección de Datos Personales en Perú— y acudir a los tribunales.