Política de privacidad de OrderSay

Última actualización: 6 de noviembre de 2026

Esta política explica qué datos personales trata OrderSay, cómo y para qué los trata, quién los recibe, cuánto tiempo los conserva y cómo puede pedir que se eliminen.

1. Quiénes somos

OrderSay es una aplicación de Shopify que da a las tiendas online una bandeja de atención por WhatsApp en el propio número de WhatsApp de la tienda. OrderSay la opera CHATINBOX YAZILIM ARGE VE TEKNOLOJI LIMITED SIRKETI, con domicilio social en Estambul (Turquía) y con número de identificación fiscal turco 2091959267 («OrderSay», «nosotros»).

Consultas de privacidad: privacy@ordersay.com.

2. Nuestros dos papeles

• Encargado del tratamiento de los datos de la tienda. Cuando una tienda («comerciante») instala OrderSay, es el comerciante quien decide para qué y cómo se usan los datos de su bandeja. Actuamos como encargados del tratamiento de los datos personales de los clientes y del personal que tratamos por cuenta del comerciante para prestar el servicio de mensajería y atención de pedidos, y solo los tratamos siguiendo las instrucciones del comerciante y conforme a nuestro Acuerdo de Encargo del Tratamiento (DPA). Si es cliente de una tienda que usa OrderSay, contacte primero con esa tienda sobre sus datos.
• Responsable del tratamiento de nuestra propia actividad. Somos responsables del tratamiento en la administración de las cuentas de nuestros clientes comerciantes, la facturación, las consultas recibidas a través del sitio web (incluido el formulario del piloto) y la gestión de la relación con los clientes. Los datos de clientes de un comerciante que aparezcan en materiales de soporte siguen sujetos al DPA cuando los tratamos por cuenta del comerciante.

3. Qué datos tratamos

3.1 Datos que recibimos a través de las API de Shopify

OrderSay solo pide a Shopify acceso de lectura a pedidos y clientes (read_orders, read_customers). Nunca escribe en la tienda.

• Datos de la tienda: dominio, país, moneda y zona horaria, y el idioma del panel de Shopify del miembro del personal que usa la aplicación.
• Datos del pedido: número, fecha y estado del pedido, artículos, importes, estado de pago y de preparación, cancelación, reembolsos, transportista, número, enlace y estado de seguimiento, fechas de entrega estimada y real, y estado de la devolución.
• Datos del cliente vinculados al pedido: nombre y teléfono, incluido el teléfono que figura en la dirección de envío o de facturación del pedido, y el número de pedidos y el importe total gastado por el cliente en la tienda. Nuestras consultas a Shopify no piden el correo electrónico del cliente ni el texto de la dirección postal. Las notificaciones que Shopify nos envía pueden contener correos electrónicos (actualizaciones de pedidos, avisos de desinstalación y solicitudes de privacidad) y direcciones postales (actualizaciones de pedidos y avisos de desinstalación); de esas notificaciones solo leemos los identificadores, el dominio de la tienda y los teléfonos que necesitamos, y no guardamos los correos electrónicos ni las direcciones postales.

Usamos estos datos para asociar cada mensaje de WhatsApp entrante con el cliente y el pedido correctos. También los usamos para mostrar el pedido, el envío y la devolución junto a la conversación.

3.2 Datos que recibimos a través de WhatsApp (API de Meta Cloud)

Los mensajes llegan al número de WhatsApp Business del propio comerciante, que sigue en la cuenta de Meta del comerciante.

• El número de teléfono de WhatsApp del cliente y su nombre de perfil de WhatsApp.
• El contenido de los mensajes y los adjuntos que envían el cliente (imágenes y documentos) o la tienda (imágenes). De cada mensaje que recibimos guardamos también los detalles que Meta envía con él, como una ubicación compartida, una tarjeta de contacto, una reacción, un pie de foto o la respuesta a un botón. Los archivos adjuntos todavía no se descargan ni se guardan (sección 6); cuando se active su almacenamiento, solo se descargarán archivos de imagen y documentos, no archivos de audio ni de vídeo. Un cliente puede incluir otros datos en un mensaje, como un correo electrónico.
• Si la tienda sigue usando la aplicación WhatsApp Business en el mismo número: las respuestas que su personal envía desde el teléfono y, si el comerciante acepta compartirlos cuando Meta se lo pregunta en el teléfono, los chats anteriores guardados en el teléfono, incluidos los anteriores a la instalación de OrderSay, con los mismos detalles de los mensajes (los archivos de los chats anteriores no se descargan). No guardamos la agenda de contactos del teléfono.
• Metadatos de los mensajes: identificadores, fecha y hora, y estado de entrega y lectura.
• Registros de la baja de un cliente, cuando un cliente escribe STOP, BAJA o ALTO. La baja bloquea el envío de cualquier plantilla de mensaje a ese cliente, no solo de las de marketing.
• Identificadores de la cuenta de WhatsApp Business y del número del comerciante, y las credenciales de acceso que Meta emite para ellos. Guardamos esas credenciales cifradas.

3.3 Datos que recibimos de los comerciantes y su personal

• Los identificadores de usuario de Shopify del personal, el rol de cada persona en la aplicación, y cuándo usó la aplicación cada persona por primera y por última vez.
• Contenido que el personal crea en la aplicación: respuestas, notas, asignaciones de tareas, etiquetas y correcciones.
• Solicitudes de soporte y correspondencia con nosotros.
• Estado de facturación. Las suscripciones se cobran mediante Shopify Billing; nunca recibimos números de tarjeta ni datos bancarios.

3.4 Datos generados automáticamente

• Registros de seguridad y auditoría: qué cuenta del personal hizo qué y cuándo (por ejemplo, quién abrió una ficha de pedido, asignó una conversación o cambió su estado).
• Registros del servidor y de errores, en los que los teléfonos se enmascaran y nunca aparecen credenciales de acceso.

La analítica de producto no está activada. Actualizaremos esta política antes de activar un proveedor adicional de supervisión o de analítica y, cuando corresponda, seguiremos el procedimiento de aviso de subencargados del DPA.

OrderSay no tiene ningún componente en la tienda online. No instala cookies ni rastreadores en el sitio web de la tienda y no registra cómo navegan los compradores por una tienda.

3.5 Visitas a ordersay.com

Este sitio web no instala cookies, no usa analítica y no carga nada de otros sitios; sus fuentes e imágenes se sirven desde el propio ordersay.com. El sitio web se aloja en Cloudflare Pages. Cloudflare trata los datos técnicos estándar de las solicitudes (dirección IP, hora, página solicitada, tipo de navegador) para servir el sitio y mantener su seguridad. Si nos escribe por correo o con el formulario del piloto (su nombre, correo, dirección de la tienda y nota), el formulario, que funciona en Cloudflare Workers, envía su mensaje mediante Cloudflare Email Sending a nuestro buzón de Microsoft 365, y usamos lo que nos envía solo para responderle.

4. Para qué los tratamos

Usamos los datos únicamente para prestar el servicio de OrderSay:

1. Recibir y enviar mensajes de WhatsApp en el número del comerciante y mostrarlos en una bandeja compartida.
2. Asociar cada mensaje con el cliente y el pedido correctos de Shopify, y mostrar la información del pedido, el envío y la devolución.
3. Ayudar al personal a responder a la pregunta «¿dónde está mi pedido?» con datos verificados del pedido y del seguimiento. Las respuestas sobre el estado del pedido solo se envían automáticamente si el comerciante activa las respuestas automáticas fuera del horario de atención.
4. Asignar conversaciones al personal; cuando las funciones asistidas por IA estén disponibles (sección 4.1), agrupar y priorizar las conversaciones como tareas con una puntuación explicable.
5. Mantener la seguridad del servicio: autenticación, prevención de abusos, registros de auditoría y registros de errores.
6. Prestar soporte, gestionar la facturación a través de Shopify y cumplir obligaciones legales.

No vendemos datos personales. No los usamos para publicidad y no combinamos datos de distintas tiendas. Los datos de cada tienda se mantienen separados de los de cualquier otra.

Mensajes de marketing: el comerciante es responsable de obtener el consentimiento previo (opt-in) antes de enviar plantillas de marketing por WhatsApp. OrderSay bloquea el envío de plantillas de marketing a clientes sin un consentimiento registrado, y de cualquier plantilla a un cliente que se ha dado de baja (sección 3.2).

4.1 Funciones asistidas por IA

Las funciones asistidas por IA todavía no están disponibles, y no se envía ningún contenido de las conversaciones a un proveedor de IA. Antes de que el tratamiento con IA esté disponible, actualizaremos esta política y la lista de subencargados para indicar los modelos activados, los destinatarios, los lugares de tratamiento y las excepciones de conservación aplicables, con el plazo de aviso previsto en el DPA. El tratamiento con IA solo funcionará para el comerciante que lo active.

5. Base jurídica

5.1 UE y Reino Unido (RGPD)

• Como encargados del tratamiento, actuamos según las instrucciones del comerciante y conforme al DPA (artículo 28 del RGPD). El comerciante determina la base jurídica del tratamiento de los datos de sus clientes y de su personal en la bandeja.
• En nuestro tratamiento como responsables, se aplica el artículo 6.1.b cuando el tratamiento es necesario para un contrato con la persona, o para medidas que la persona solicitó antes del contrato (por ejemplo, una solicitud para el piloto).
• Nos basamos en el artículo 6.1.f (interés legítimo) para la administración de contactos comerciales, la respuesta a consultas y la seguridad del servicio; estamos documentando la ponderación correspondiente. Puede oponerse a este tratamiento (sección 9).
• La conservación de registros que nos exige la ley turca se evalúa conforme al artículo 6.1.f.

5.2 Turquía (KVKK, Ley n.º 6698)

En nuestras propias actividades como responsables, nos basamos en el artículo 5.2.c para el tratamiento necesario para un contrato con la persona, en el artículo 5.2.ç para las obligaciones legales de conservación aplicables y en el artículo 5.2.f para el tratamiento necesario de contactos comerciales, consultas y seguridad que no prevalezca sobre los derechos y libertades fundamentales de las personas.

6. Dónde se guardan los datos y quién los recibe

Render aloja nuestra aplicación, la base de datos y la cola en Fráncfort (Alemania). Todavía no guardamos los adjuntos de los mensajes; antes de empezar a guardarlos, añadiremos el proveedor de almacenamiento y su ubicación a esta política y a la lista de subencargados, con el preaviso que establece el DPA. Otros proveedores tratan datos en los lugares que se indican a continuación.

Proveedores que tratan datos de la tienda por nuestra cuenta (subencargados). Cada uno debe estar obligado por un acuerdo de encargo del tratamiento con nosotros antes de tratar datos de la tienda:

Proveedores sujetos a los acuerdos propios del comerciante. El comerciante usa Shopify y WhatsApp Business Platform conforme a sus propios acuerdos con ellos. Tratan los datos conforme a esos acuerdos, no como subencargados nuestros:

Proveedores para nuestra propia actividad (somos responsables).

Render, Cloudflare y Microsoft pertenecen a grupos con sede en EE. UU. Nuestro equipo trabaja desde Turquía, por lo que el personal autorizado puede acceder a los datos desde fuera de la UE, y WhatsApp y otras empresas del grupo Meta pueden tratar datos de WhatsApp en EE. UU.

El mecanismo de transferencia aplicable a cada destinatario y actividad de tratamiento se está documentando con nuestro abogado. Las transferencias que requieren garantías no comenzarán hasta que esas garantías estén en vigor. Cuando la ley turca (KVKK) se aplica a una transferencia al extranjero, el mecanismo que exige el artículo 9 de la Ley n.º 6698 debe estar en vigor antes de que comience la transferencia; las Cláusulas Contractuales Tipo de la UE no sustituyen los requisitos turcos. Puede pedir una copia de las garantías aplicables en privacy@ordersay.com; podemos omitir las condiciones comerciales.

La misma lista de subencargados, con el plazo de aviso de los cambios, figura en nuestra página de subencargados. Actualizaremos ambas antes de añadir un nuevo subencargado.

Solo comunicamos datos a las autoridades cuando la ley lo exige.

7. Cuánto tiempo los conservamos

Prevalecen las obligaciones de eliminación anticipada y las instrucciones válidas del comerciante cuando se apliquen.

8. Cómo solicitar la eliminación de sus datos

Clientes de una tienda. Pídalo a la tienda donde compró. Cuando la tienda nos traslada la solicitud a través de Shopify, eliminamos de esa persona el registro de contacto, los mensajes, las asociaciones con pedidos y los adjuntos; los datos de pedidos que se guardan brevemente en la memoria del servidor dejan de usarse a los cinco minutos y se borran de la memoria más tarde, a más tardar cuando el servidor se reinicia. También puede escribirnos a privacy@ordersay.com e indicar el nombre de la tienda y el número de teléfono que usó en WhatsApp. Trasladaremos la solicitud a la tienda y actuaremos según las instrucciones de la tienda.

Comerciantes. Al desinstalar OrderSay, su número de WhatsApp queda desconectado de OrderSay. Su cuenta de WhatsApp Business y su número siguen en su propia cuenta de Meta. Tras la desinstalación, Shopify suele enviarnos una solicitud de eliminación de la tienda 48 horas después. El personal autorizado completa la eliminación en un plazo de 30 días desde que recibimos esa solicitud, con la única salvedad de las excepciones legales de conservación de la sección 7 y del DPA. No existe una exportación de datos de autoservicio. Puede pedir una copia de los datos de su tienda en privacy@ordersay.com antes de desinstalar o en los 7 días siguientes a la desinstalación; se la enviamos en un plazo de 14 días desde la solicitud y antes de que se complete la eliminación. Salvo que el propietario de la tienda nos pida eliminarlos antes, no empezamos a eliminar los datos de una tienda antes de que termine ese plazo de 7 días ni mientras no se haya enviado una copia solicitada. Si somos nosotros quienes ponemos fin a su acceso (Condiciones del servicio, sección 9), puede pedir una copia en un plazo de 30 días; eliminamos los datos una vez enviada la copia o transcurridos los 30 días sin solicitud. Para pedir la eliminación antes, escriba a privacy@ordersay.com; confirmamos la solicitud con la tienda antes de eliminar.

Nuestros usuarios. Si es la persona de contacto de la cuenta de un comerciante o nos escribió a través del sitio web, puede pedir el acceso, la rectificación o la supresión de sus datos en privacy@ordersay.com.

Cuando actuamos como responsables conforme al RGPD, respondemos sin dilación indebida y en el plazo de un mes desde la recepción; si el artículo 12.3 permite una prórroga, se lo indicamos dentro de ese primer mes. Las solicitudes conforme a la KVKK se responden en un plazo de 30 días. Cuando actuamos como encargados, trasladamos la solicitud a la tienda sin dilación indebida; ese traslado no amplía el plazo propio de la tienda.

9. Sus derechos

Sus derechos dependen de la ley aplicable al tratamiento de que se trate. Conforme al RGPD puede tener derecho a acceder a sus datos personales y a rectificarlos, suprimirlos o exportarlos, a limitar el tratamiento y a retirar su consentimiento. La LFPDPPP de México reconoce los derechos «ARCO».

Derecho de oposición. Puede oponerse, por motivos relacionados con su situación particular, al tratamiento basado en nuestro interés legítimo (sección 5.1).

Conforme al artículo 11 de la KVKK también puede preguntar si sus datos se tratan y cómo, conocer la finalidad y los destinatarios en Turquía o en el extranjero, pedir su rectificación o supresión y que estas se comuniquen a los destinatarios, oponerse a un resultado contrario a usted que se derive exclusivamente de un análisis automatizado, y reclamar una indemnización por los daños causados por un tratamiento ilícito.

Si tratamos sus datos como encargados de una tienda, trasladaremos su solicitud a esa tienda. También puede presentar una reclamación ante su autoridad de protección de datos. En España es la Agencia Española de Protección de Datos (aepd.es); en Turquía, la Kişisel Verileri Koruma Kurumu (kvkk.gov.tr).

10. Seguridad

• Cifrado en tránsito (TLS) y en reposo. Las credenciales de acceso de la tienda y de WhatsApp tienen además un cifrado a nivel de aplicación.
• Cada consulta se limita a los datos de una sola tienda, y pruebas automáticas comprueban esa separación.
• Verificamos la firma de cada webhook entrante de Shopify y de Meta.
• El acceso a nuestros sistemas de producción se limita al personal que lo necesita, y estamos activando la autenticación en dos pasos en todas las cuentas de producción.
• Si una violación de la seguridad de los datos personales afecta a los datos de una tienda, se lo notificamos a la tienda sin dilación indebida y como máximo en 72 horas.

11. Menores

OrderSay es una herramienta para empresas y no está dirigida a menores.

12. Cambios en esta política

Publicaremos cualquier cambio en esta página y actualizaremos la fecha indicada arriba. Antes de que entre en vigor un cambio sustancial, avisaremos a los comerciantes en la aplicación o por correo electrónico.

13. Contacto

CHATINBOX YAZILIM ARGE VE TEKNOLOJI LIMITED SIRKETI, Estambul, Turquía
Correo electrónico: privacy@ordersay.com