Proveedores de Servicios y Subencargados

Sobre los Subencargados del Tratamiento: Para proporcionar nuestros servicios de WhatsApp/Instagram/Telegram CRM y Agente de IA Parlario (parlario.co), Bridgeware Technologies contrata subencargados externos para asistir en el alojamiento de datos, entrega de mensajes, procesamiento de inteligencia artificial e infraestructura de seguridad. Esta página detalla los subencargados del tratamiento y proveedores de servicios activos contratados por Bridgeware Technologies. Telegram figura solo por transparencia: es un canal que el cliente gestiona directamente con Telegram, no un subencargado designado por Bridgeware Technologies (ver la sección 5.4 del DPA).

1. Visión General

Bridgeware Technologies (“nosotros”, “nuestro/a”) utiliza proveedores de servicios y subencargados externos para realizar diversas funciones necesarias en la operación de la plataforma Parlario. Un “Subencargado del tratamiento” es una entidad tercera que recibe, procesa o tiene acceso a datos personales del cliente en relación con la prestación del servicio Parlario.

Todos los subencargados están sujetos a rigurosas revisiones de seguridad y están obligados contractualmente mediante compromisos de protección de datos que cumplen o superan los estándares normativos aplicables, incluidos los Principios de Privacidad de Australia (APPs), el Reglamento General de Protección de Datos de la UE/Reino Unido (GDPR) y las exigencias de transferencias internacionales.

La huella de servicios externos de Parlario es intencionalmente mínima: fuera de la API de WhatsApp Cloud y de la API de mensajería de Instagram (ambas de Meta), la Bot API opcional de Telegram (el bot es del propio Cliente), una única pasarela opcional de modelos de IA, Stripe para la facturación, Google Calendar API, la Admin API de Shopify y la REST API de WooCommerce de la propia tienda del Cliente (las tres opcionales, planes Business y Advanced; WooCommerce corre en el propio sitio web del Cliente, así que no suma ninguna empresa a esta lista), y nuestros proveedores de alojamiento de la aplicación y de base de datos, ningún otro servicio externo toca los Datos del Cliente durante la operación normal — sin almacenamiento de objetos, sin servicio de entrega de correo electrónico obligatorio, y sin rastreadores publicitarios o de analítica.

2. Subencargados Activos para Parlario

La siguiente lista enumera los subencargados del tratamiento externos contratados actualmente por Bridgeware Technologies para la prestación de la plataforma Parlario:

Servicio y Propósito: API de WhatsApp Business Platform y API de mensajería de Instagram (Instagram API with Facebook Login), registro incrustado o inicio de sesión asistido (Embedded Signup para WhatsApp, Facebook Login for Business para Instagram — dos apps de Meta separadas, con credenciales propias cada una), enrutamiento y entrega de mensajes vía Graph API, y — solo si el Cliente conecta Meta Conversions API en Ajustes → Meta Ads (opcional, disponible para anuncios “Haz clic para WhatsApp” y “Haz clic para Instagram”) — reporte de eventos de compra hacia el Administrador de Anuncios propio del Cliente.
Datos Procesados: Números de teléfono de WhatsApp o identificadores y nombres de usuario de Instagram, contenido de mensajes, estado de entrega, archivos adjuntos multimedia, interacción con plantillas de WhatsApp (Instagram no tiene plantillas), y datos de atribución de campaña (identificador y título del anuncio de origen, identificador de clic ctwa_clid, de anuncios “Haz clic para WhatsApp” o “Haz clic para Instagram”). Si el Cliente conecta Meta Conversions API, además se envía a Meta un identificador del contacto (el número de teléfono con hash, nunca en texto plano, para contactos de WhatsApp; el ID de la cuenta de Instagram para contactos de Instagram) y el ctwa_clid al reportar una compra.
Ubicación y Mecanismo de Transferencia: Estados Unidos / Global
Cláusulas Contractuales Tipo (SCCs) / Marco de Privacidad de Datos

Servicio y Propósito: Bot API de Telegram (api.telegram.org), solo cuando el Propietario del Cliente activa Telegram en Ajustes → Integraciones y conecta un bot en Ajustes → Canales → Telegram. El bot es del propio Cliente: lo crea con @BotFather de Telegram y pega su token en Parlario; Bridgeware Technologies no tiene ningún bot ni credencial de Telegram propios a nivel de instancia. Se usa para recibir los mensajes que los clientes le envían al bot del Cliente (mediante un webhook autenticado con un segmento secreto de URL propio de cada bot y el encabezado de token secreto de Telegram) y para enviar las respuestas del equipo del Cliente o de su Agente de IA. Solo chats privados 1:1 — sin grupos, canales, difusiones, pagos ni Mini Apps — y un bot nunca puede escribir primero. El Cliente acepta directamente con Telegram los términos de la plataforma de bots de Telegram y es responsable de cumplirlos. Los mensajes de Telegram no se reportan a Meta Conversions API.
Datos Procesados: ID numérico de usuario de Telegram, @usuario (si lo hay), nombre y apellido tal como se muestran en Telegram, el texto de los mensajes y de las respuestas enviadas, y el token del bot (usado para llamar a la Bot API; guardado cifrado en reposo y nunca mostrado completo). Las fotos, notas de voz y archivos no se descargan: solo se guarda un breve marcador de texto y el pie de foto. Telegram no entrega a los bots el número de teléfono ni confirmaciones de entrega o lectura. Cuando el Agente de IA está activo, el texto del mensaje se envía al proveedor de IA según lo descrito en las fichas de IA siguientes.
Ubicación y Mecanismo de Transferencia: Emiratos Árabes Unidos / Global
Relación propia del Cliente con Telegram (términos de la plataforma de bots); ver el DPA, sección 8.3

Servicio y Propósito: Pasarela opcional de modelos de lenguaje (LLM) que impulsa las respuestas del Agente de IA y las evaluaciones del entorno de pruebas Laboratorio, solo cuando el Cliente activa el Agente de IA para su organización. Por defecto, las solicitudes se enrutan a través de la cuenta compartida que Bridgeware Technologies paga y administra; si el Cliente elige OpenRouter como proveedor para su propia clave (Ajustes → IA), las solicitudes se enrutan en cambio a través de la propia cuenta del Cliente (el Cliente también puede elegir OpenAI o Google Gemini como proveedor de su propia clave; ver las tarjetas siguientes). OpenRouter puede a su vez enrutar una solicitud dada a un proveedor de modelo subyacente (por ejemplo, Anthropic, OpenAI, Google u otros) según el modelo seleccionado; Bridgeware Technologies no contrata directamente con esos proveedores de modelo subyacentes, ni elige cuál de ellos atiende una solicitud dada más allá del modelo configurado a través de OpenRouter.
Datos Procesados: Contenido de la conversación relevante para generar una respuesta (texto del mensaje, contexto de la base de conocimientos) — solo cuando el Agente de IA o el Laboratorio están en uso activo; nunca se envía en otro caso.
Ubicación y Mecanismo de Transferencia: Estados Unidos / Global
Cláusulas Contractuales Tipo (SCCs)

Servicio y Propósito: Solo cuando el Cliente elige OpenAI como proveedor de su propia clave en Ajustes → IA; Bridgeware Technologies no envía datos a OpenAI por defecto ni a través de la clave compartida de la plataforma.
Datos Procesados: Contenido de la conversación relevante para generar una respuesta (texto del mensaje, contexto de la base de conocimientos) — solo cuando el Cliente usa su propia clave de OpenAI.
Ubicación y Mecanismo de Transferencia: Estados Unidos / Global
Cláusulas Contractuales Tipo (SCCs)

Servicio y Propósito: Solo cuando el Cliente elige Google Gemini como proveedor de su propia clave en Ajustes → IA; Bridgeware Technologies no envía datos a Google por defecto ni a través de la clave compartida de la plataforma.
Datos Procesados: Contenido de la conversación relevante para generar una respuesta (texto del mensaje, contexto de la base de conocimientos) — solo cuando el Cliente usa su propia clave de Google Gemini.
Ubicación y Mecanismo de Transferencia: Estados Unidos / Global
Cláusulas Contractuales Tipo (SCCs)

Servicio y Propósito: Solo cuando el Propietario del Cliente conecta el Google Calendar del negocio en Ajustes → Extensiones → Integraciones (planes Business y Advanced), vía OAuth propio de la organización, con acceso limitado al alcance (scope) “calendar.events” — nunca a otra información de la cuenta de Google conectada. Se usa para crear eventos de cita y consultar disponibilidad, cuando el equipo del Cliente o su Agente de IA agenda una cita desde una conversación de WhatsApp o Instagram.
Datos Procesados: Fecha y hora de la cita, y el nombre del contacto (usado como título del evento creado) — solo cuando la organización conectó esta integración y se agenda una cita. Nunca contenido de conversaciones ni ningún otro dato de la cuenta de Google del Cliente.
Ubicación y Mecanismo de Transferencia: Estados Unidos / Global
Cláusulas Contractuales Tipo (SCCs)

Servicio y Finalidad: Solo cuando el Propietario del Cliente conecta la tienda de Shopify del propio negocio en Ajustes → Extensiones → Integraciones (planes Business y Advanced), mediante una app privada que el Cliente crea en su propia cuenta de Shopify y limitada a cuatro ámbitos de solo lectura (read_orders, read_fulfillments, read_products, read_customers). Se usa para convertir eventos de la tienda del Cliente —pedidos pagados y envíos— en mensajes de WhatsApp al cliente que hizo la compra, y para mostrar los pedidos recientes de ese cliente dentro de la Bandeja. Esos eventos le llegan a Parlario por dos webhooks que el Cliente crea en el admin de su propia tienda, firmados con la clave de esa tienda y verificados por Parlario al llegar. Cuando el Cliente además conectó Meta Conversions API, el total y la moneda de un pedido pagado se reportan a la cuenta publicitaria de Meta del propio Cliente para que su Administrador de Anuncios pueda calcular el retorno de sus campañas. Bridgeware Technologies no tiene ningún acceso de escritura: nunca crea, modifica ni cancela pedidos, y nunca toca el inventario.
Datos Procesados: Los datos van desde la tienda del Cliente hacia Parlario, no al revés. Se leen: contenido de los pedidos, importes y moneda, estado de envío, nombres de productos, y el nombre y el teléfono de los clientes de esa tienda. El correo electrónico y la dirección postal deliberadamente no se solicitan. Parlario no envía ningún Dato Personal del Cliente a Shopify.
Ubicación y Mecanismo de Transferencia: Canadá / Estados Unidos / Global
Cláusulas Contractuales Tipo (SCC)

Servicio y Propósito: Alojamiento de base de datos PostgreSQL administrada y almacenamiento de autenticación/sesiones de usuario para la plataforma Parlario.
Datos Procesados: Credenciales de cuenta (contraseñas con hash), contactos de CRM, datos de etapas del pipeline de ventas, historial de conversaciones, tokens de conexión cifrados.
Ubicación y Mecanismo de Transferencia: Estados Unidos / Global (infraestructura de Supabase)
Cláusulas Contractuales Tipo (SCCs)

Servicio y Propósito: Alojamiento web y cómputo para la plataforma Parlario (AWS Amplify Hosting o Google Cloud Run, según el despliegue). Sirve la aplicación y gestiona las solicitudes HTTPS entrantes; no realiza funciones separadas de almacenamiento de objetos ni de CDN más allá de lo que provee la plataforma de alojamiento por defecto.
Datos Procesados: Direcciones IP, cabeceras de solicitudes HTTP, registros de la aplicación, configuración de despliegue cifrada.
Ubicación y Mecanismo de Transferencia: Estados Unidos / Australia / Regiones globales
Cláusulas Contractuales Tipo (SCCs) / ISO 27001 (AWS) o equivalente de Google Cloud

Servicio y Propósito: Pasarela de pago, procesamiento de cobros, gestión de suscripciones y emisión de facturas.
Datos Procesados: Datos de contacto para facturación, identificadores de plan de suscripción, metadatos de transacciones de pago (cumplimiento PCI-DSS).
Ubicación y Mecanismo de Transferencia: Estados Unidos / Global
Cláusulas Contractuales Tipo (SCCs) / PCI-DSS Nivel 1

Servicio y Propósito: Envío de tres correos puntuales, únicamente cuando el operador de la instancia configuró este proveedor: la confirmación de dirección de email al registrarte, el enlace de recuperación cuando un usuario solicita “¿Olvidaste tu contraseña?”, y la confirmación de un cambio de dirección de email desde la cuenta. Sin esta configuración, ninguna de las tres funciones está disponible.
Datos Procesados: Dirección de correo del usuario y un enlace de confirmación o recuperación de un solo uso con expiración de 1 hora. Nunca contenido de conversaciones, credenciales de WhatsApp, ni datos de pago.
Ubicación y Mecanismo de Transferencia: Estados Unidos / Global
Cláusulas Contractuales Tipo (SCCs)

Servicio y Propósito: Proveedor de respaldo para los mismos tres correos que maneja Postmark (arriba) — queda configurado y listo para reactivarse, pero no procesa tráfico real mientras Postmark sea el proveedor activo de la instancia.
Datos Procesados: Los mismos que Postmark, si llegara a reactivarse: dirección de correo del usuario y un enlace de confirmación o recuperación de un solo uso con expiración de 1 hora. Nunca contenido de conversaciones, credenciales de WhatsApp, ni datos de pago.
Ubicación y Mecanismo de Transferencia: Estados Unidos / Global
Cláusulas Contractuales Tipo (SCCs) / ISO 27001

Uso de email limitado y opcional. Fuera de los correos descritos arriba (solo si el operador configuró un proveedor de email), Parlario no envía correos automáticos de ningún otro tipo. Las credenciales de las cuentas de equipo nunca se envían por correo: cuando el propietario de una organización crea la cuenta de un compañero o restablece su contraseña, la contraseña temporal se muestra una sola vez en pantalla para que el propietario la comparta directamente.

3. Filiales Corporativas

Dependiendo de la ubicación geográfica del suscriptor, los datos personales del cliente también pueden ser procesados o accedidos por filiales corporativas de Bridgeware Technologies, incluyendo:

Bridgeware Technologies Pty Ltd (Australia) — Entidad operativa principal que brinda desarrollo de servicios, administración y soporte técnico.

4. Integraciones Gestionadas por el Cliente (Trae tu Propia Clave de IA)

Desde Ajustes → IA dentro de Parlario, el propietario de una organización puede conectar opcionalmente su propia clave de API de OpenRouter, OpenAI o Google Gemini, en lugar de la clave compartida que Bridgeware Technologies provee por defecto. Cuando un Cliente configura su propia clave:

El Cliente contrata directamente con el proveedor de IA que elija, bajo los términos y tarifas propios de ese proveedor — Bridgeware Technologies no es parte de esa relación ni asume su costo.
El contenido relevante de las conversaciones del Cliente se transmite a la propia cuenta del Cliente con ese proveedor (en vez de la cuenta compartida de Bridgeware Technologies) para generar las respuestas del Agente de IA y las evaluaciones del Laboratorio.
La clave en sí se cifra en reposo (AES-256-GCM) con el mismo método que usa Parlario para los tokens de conexión de WhatsApp; solo se muestran sus últimos 4 caracteres en la interfaz.
El Cliente puede quitar su clave en cualquier momento para volver a la clave compartida de Bridgeware Technologies.

5. Proceso de Actualización y Notificación de Subencargados

Bridgeware Technologies mantiene actualizada la lista de subencargados en esta página. Cuando pretendamos incorporar un nuevo subencargado o realizar cambios sustanciales en los existentes, notificaremos a los suscriptores mediante la actualización de esta documentación y/o el envío de una notificación por correo electrónico a los administradores registrados con al menos 10 a 30 días de antelación a la autorización del nuevo subencargado.

Derecho de Objeción

Si un cliente se opone al nombramiento de un nuevo subencargado por motivos justificados de protección de datos o seguridad, deberá notificarlo por escrito a Bridgeware Technologies dentro de los 10 días hábiles posteriores a la recepción del aviso. Al recibir la objeción, Bridgeware Technologies trabajará de buena fe para proponer una solución alternativa. Si no es posible alcanzar un acuerdo, cualquiera de las partes podrá resolver el servicio afectado de conformidad con nuestro Anexo de Tratamiento de Datos (DPA).

6. Consultas y Contacto

Si tiene preguntas sobre nuestros proveedores de servicios, subencargados del tratamiento o prácticas de seguridad, comuníquese con nuestro equipo legal y de privacidad:

Correo electrónico: privacy@parlario.co