Última actualización: 30 de octubre de 2026.
Esta política explica qué información trata BackOffice, para qué la usa, cómo la protege y cómo puedes ejercer tus derechos. Se rige por la Ley 1581 de 2012 y el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) de Colombia, y por las políticas de datos de las plataformas con las que nos integramos.
1.Quién es responsable
BackOffice es un nombre comercial y un proyecto de software en etapa de desarrollo y validación. Todavía no está constituido como sociedad, por lo que no tiene razón social, NIT ni registro mercantil propios.
Persona responsable del servicio y del tratamiento de datos: Santiago Restrepo, persona natural, con domicilio en Medellín, Antioquia, Colombia. Correo: restrepos591@gmail.com · WhatsApp: +57 310 879 0168.
Hay dos situaciones distintas:
- Para los datos de los negocios que usan BackOffice y de las personas de su equipo, el responsable es la persona indicada arriba.
- Para los datos de los clientes de cada negocio (quienes le escriben, compran o agendan), el responsable es ese negocio. BackOffice actúa como encargado: trata esos datos solo para prestarle el servicio y según sus instrucciones.
2.Qué información recogemos
- Cuenta y equipo: nombre, correo, teléfono y rol de cada usuario. Las contraseñas se guardan con un algoritmo de hash, nunca en texto. Si se activa la verificación en dos pasos, también su configuración.
- Información del negocio: nombre, tipo de negocio, catálogo, precios, horarios, instrucciones para el asistente, marca, imágenes y documentos que el negocio carga.
- Conversaciones: mensajes, notas de voz, imágenes y datos de contacto que los clientes del negocio envían por los canales conectados, y las respuestas que se les dan.
- Operación: clientes, embudo, pedidos, citas, domicilios, cuentas por cobrar, campañas y reportes.
- Cuentas conectadas: lo que se detalla en la sección 3.
- Datos técnicos: registros de acceso, dirección IP y navegador, y un registro de auditoría de las acciones importantes hechas en el panel.
- Pagos: el valor y el estado de cada pago. No guardamos números de tarjeta.
3.Información de Meta, Google y TikTok
Conectar estas cuentas es opcional. Lo hace una persona del negocio con su propio usuario, aprobando los permisos en la pantalla de la plataforma; BackOffice nunca pide ni guarda contraseñas de esas cuentas. Solo se piden los permisos necesarios para la función que el negocio activa:
| Conexión | Permisos | Qué información se obtiene y para qué |
|---|---|---|
| Meta: WhatsApp, Instagram y Messenger | whatsapp_business_messaging, whatsapp_business_management, business_management, instagram_basic, instagram_manage_messages, pages_messaging, pages_manage_metadata | Mensajes que llegan a los canales del negocio, nombre y número o usuario de quien escribe, y los datos técnicos necesarios para responder por esos canales. |
| Meta: páginas y publicaciones | pages_show_list, pages_read_engagement, pages_manage_posts, instagram_content_publish, business_management | Lista de páginas y cuentas de Instagram del negocio, sus publicaciones y su rendimiento, para programar y publicar las piezas que el negocio aprueba. |
| Meta Ads | ads_read, ads_management, business_management | Cuentas publicitarias, campañas, conjuntos, anuncios y métricas (gasto, alcance, impresiones, clics, resultados). Se usan para mostrarlos, pausar o reanudar con confirmación y crear los anuncios que el negocio arma y confirma. |
| Google Calendar | calendar.calendarlist.readonly, calendar.events | Lista de calendarios, para que el negocio elija uno; horarios ocupados del calendario elegido, para no agendar encima; y los eventos de las citas creadas desde BackOffice. |
| Google Drive | drive.file, userinfo.email | Correo de la cuenta conectada y solo las imágenes o videos que el negocio elige en el selector de archivos de Google para importar a su biblioteca. BackOffice no ve el resto del Drive y nunca modifica ni borra nada en él. |
| Google Ads | adwords | Cuentas a las que el usuario tiene acceso, campañas, grupos de anuncios, anuncios y métricas. Se usan para mostrarlos y para pausar o reanudar con confirmación. |
| TikTok Ads | Permisos de la Marketing API que el usuario aprueba al conectar | Cuentas de anunciante, campañas, grupos de anuncios, anuncios y reportes de métricas. Se usan para mostrarlos y para pausar o reanudar con confirmación. |
Las integraciones publicitarias (Meta Ads, Google Ads y TikTok Ads) están en pruebas y dependen de que cada plataforma autorice la aplicación. Las acciones que cambian algo en la plataforma externa (publicar, pausar, reanudar o crear un anuncio) solo ocurren por decisión del negocio, con su confirmación o según reglas que él mismo configura, y quedan en su registro de auditoría.
4.Uso limitado de los datos de Google
El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google se ajustan a la Política de datos del usuario de los servicios de las API de Google, incluidos los requisitos de Uso limitado. En concreto:
- Los datos de Google solo se usan para prestar las funciones que el negocio ve en su panel: citas, biblioteca y publicidad.
- No se transfieren a terceros, salvo cuando es necesario para prestar esas funciones, por seguridad o por obligación legal.
- No se usan para mostrar publicidad, no se venden y no se usan para evaluar créditos.
- No se usan para desarrollar, mejorar ni entrenar modelos de inteligencia artificial generales.
- Ninguna persona los lee, salvo con autorización expresa del negocio para darle soporte, por seguridad o por obligación legal.
5.Para qué usamos la información
- Prestar el servicio: que el asistente responda, que pedidos, citas y cobros funcionen y que el negocio vea sus resultados.
- Dar soporte, detectar fallas y proteger la seguridad de las cuentas.
- Cobrar el servicio y cumplir obligaciones legales.
- Avisar novedades del servicio a los negocios. Se puede pedir no recibirlas.
No vendemos ni alquilamos datos personales. No usamos las conversaciones de los negocios para entrenar modelos de inteligencia artificial, ni propios ni de terceros.
6.Cómo se almacena y protege
- La información se guarda en servidores y bases de datos en la nube de los proveedores de la sección 8, que pueden estar fuera de Colombia.
- Las conexiones viajan cifradas (HTTPS).
- Los tokens de acceso de las cuentas conectadas y otras credenciales se guardan cifrados con AES-256-GCM, nunca se muestran completos en el panel y no viajan en direcciones web.
- Acceso por roles: administrador, solo lectura, área y domiciliario ven únicamente lo que su rol permite.
- Verificación en dos pasos disponible, bloqueo temporal tras varios intentos fallidos de inicio de sesión y registro de auditoría.
Ningún sistema es completamente invulnerable. Si detectamos un incidente que afecte datos personales, avisaremos a los negocios afectados y a la autoridad cuando la ley lo exija.
7.Cómo se separan los datos de cada empresa
BackOffice es multiempresa: cada negocio tiene su propio espacio. Cada registro guardado (clientes, conversaciones, pedidos, cuentas conectadas) pertenece a una sola empresa, y el servidor filtra cada consulta por la empresa del usuario que la hace. Un usuario de una empresa no puede ver datos de otra. Solo el equipo de BackOffice tiene acceso de soporte a varias empresas, y lo usa para dar soporte y mantener la plataforma.
8.Proveedores externos que intervienen
Para prestar el servicio usamos estos proveedores, cada uno solo para su función:
- Render: servidores de la plataforma y colas de tareas.
- MongoDB Atlas: base de datos.
- Vercel: publicación de este sitio y de la interfaz de la plataforma.
- Meta y Twilio: envío y recepción de mensajes de WhatsApp.
- DeepInfra, OpenRouter y Google (Gemini): modelos de inteligencia artificial que generan respuestas, textos y la configuración inicial de una empresa.
- Wompi: pagos en línea; no guardamos números de tarjeta.
- remove.bg: quitar el fondo de una imagen, solo cuando el negocio lo pide en Creative.
- Google Fonts: tipografías del sitio.
Además, Meta, Google y TikTok reciben las solicitudes necesarias cuando un negocio conecta sus cuentas. Algunos proveedores tienen servidores fuera de Colombia; la transferencia se hace solo para prestar el servicio y con las garantías que exige la ley.
9.Tokens, autorizaciones y cómo revocar una conexión
Cuando un negocio conecta una cuenta, la plataforma le entrega a BackOffice un token de acceso limitado a los permisos aprobados. Ese token se guarda cifrado y se usa solo para las funciones descritas. Para revocarlo:
- Desde BackOffice: el administrador del negocio pulsa «Desconectar» en la cuenta (Canales, Biblioteca o Ads → Cuentas). El token se borra en ese momento; en Google Drive además se revoca el permiso ante Google.
- Desde la plataforma: quitando el acceso de BackOffice en la configuración de Facebook (Integraciones comerciales), en myaccount.google.com/connections o en la configuración de TikTok for Business.
El paso a paso está en eliminación de datos.
10.Acceso, corrección y eliminación
Como titular de los datos puedes:
- Conocer, actualizar y corregir tus datos.
- Pedir prueba de la autorización que diste y saber cómo se han usado.
- Revocar la autorización y pedir que se eliminen, cuando no exista un deber legal o contractual de conservarlos.
- Presentar quejas ante la Superintendencia de Industria y Comercio, después de haber hecho tu solicitud ante nosotros.
Escribe a restrepos591@gmail.com o por WhatsApp. Respondemos las consultas en máximo 10 días hábiles y los reclamos en máximo 15 días hábiles, como indica la ley. Si eres cliente de un negocio que usa BackOffice, también puedes dirigirte a ese negocio; le ayudaremos a atender tu solicitud.
El administrador de un negocio también puede corregir la información directamente en el panel y descargar los datos de su empresa en PDF.
11.Qué pasa con los datos al terminar una cuenta
Cuando un negocio deja el servicio, puede pedir una copia de sus datos durante los 30 días siguientes. Después, o antes si así lo solicita, eliminamos su información. Hoy ese borrado lo hace el equipo de BackOffice de forma manual (no es automático) y se confirma por escrito. Solo conservamos lo que la ley obligue a guardar, como soportes de pagos, y únicamente por el tiempo exigido. Si el proveedor de base de datos mantiene copias de seguridad, la información desaparece de ellas cuando esas copias expiran.
12.Menores de edad
BackOffice es un servicio para negocios. No está dirigido a menores de 18 años.
13.Cambios a esta política
Si cambiamos algo importante, lo publicaremos en esta página con una nueva fecha de actualización y lo avisaremos a los negocios.