Política de Privacidad
Última actualización: 30 de octubre de 2026
En FlowState (operado por Johan Steven Barón Díaz, identificado con cédula de ciudadanía No. 1.001.316.473, con domicilio en Calle 11C #80B, Bogotá, Cundinamarca, Colombia; en adelante "FlowState") se protegen los datos personales tratados a través de la plataforma de gestión logística y mensajería (en adelante "la Plataforma").
FlowState es un software de gestión logística para comercio electrónico, diseñado para que negocios y emprendedores centralicen la gestión de sus pedidos y su comunicación por WhatsApp con los compradores desde un solo panel, integrando automatizaciones, un asistente con inteligencia artificial y despacho logístico.
FlowState presta además, como servicio independiente, la creación de páginas web para negocios. Esta política describe el tratamiento de datos de la plataforma de gestión logística y mensajería; los datos intercambiados al contratar el servicio de páginas web se tratan únicamente para prestar dicho servicio y se rigen por lo acordado en el contrato correspondiente.
Esta política describe qué información se recopila, cómo se procesa, con quién se comparte, cómo se protege y cuáles son los derechos del titular.
Para el detalle exigido por la Ley 1581 de 2012 — responsable del tratamiento, finalidades, plazos de conservación y procedimiento para ejercer los derechos del titular — consultar la Política de Tratamiento de Datos Personales.
1. Información que se recopila
1.1 Información proporcionada directamente
- Datos de registro: nombre completo, correo electrónico, número de teléfono y contraseña al crear una cuenta. El registro es exclusivamente por invitación; no existe registro abierto al público.
- Datos de la tienda: nombre, país y ciudad de despacho del negocio y, si el comercio los da, su horario de atención, tiempos de entrega y política de garantía.
- Datos de pedidos: dirección de envío, ciudad y departamento, datos de contacto del comprador, productos adquiridos y valor de la transacción. Llegan de la tienda en línea del comercio, de las conversaciones de WhatsApp, del panel o de las landings y formularios que el comercio conecte (webhooks de entrada). Si el comercio activa la recuperación de carritos, también los de quien empezó una compra en su checkout y no la terminó: nombre, teléfono, correo, productos y, si la escribió, la dirección.
- Datos de productos: nombre, descripción, precio, imágenes y variantes de los productos publicados por el comercio.
1.2 Datos de mensajería
Como plataforma que centraliza la comunicación con compradores, se procesan los siguientes datos:
- Mensajes de WhatsApp Business: contenido de los mensajes enviados y recibidos entre el comercio y sus compradores, incluyendo texto, imágenes, audios, videos y documentos (por ejemplo, el comprobante de un pago anticipado). Estos mensajes y sus archivos se almacenan para que el comercio pueda consultarlos desde su panel.
- Datos de contacto de los compradores: nombre, número de teléfono y cualquier información que compartan durante la conversación.
- Metadatos de conversaciones: fecha, hora, estado de lectura y de entrega de cada mensaje.
Importante: los mensajes que un comprador envía al negocio a través de WhatsApp se procesan exclusivamente para que el comercio pueda leerlos, responderlos y gestionarlos. El contenido de las conversaciones no se lee ni se analiza para fines propios de FlowState.
1.3 Datos procesados por automatizaciones e inteligencia artificial
- Asistente con inteligencia artificial: los mensajes recibidos pueden ser procesados por el asistente de la tienda para generar respuestas automáticas. Los datos y la configuración de cada tienda están aislados; nunca se mezclan con los de otra.
- Audios, imágenes y videos: cuando el comercio activa la IA, el audio se transcribe y la imagen o el video se describen con el proveedor de IA del comercio, para que el asistente entienda lo que el comprador envió.
- Flujos de automatización: al configurar automatizaciones (por ejemplo, enviar una plantilla cuando un pedido cambia de estado) se procesan los datos del pedido y del comprador necesarios para ejecutar la acción configurada.
1.4 Información obtenida a través de integraciones con Meta (WhatsApp, anuncios y píxel)
Según lo que el comercio conecte y los permisos que otorgue:
- WhatsApp Business: números de teléfono de la cuenta, nombre verificado del negocio, mensajes enviados y recibidos con sus compradores, plantillas de mensajes aprobadas y estado de entrega de los mensajes.
- Anuncios de Meta (solo lectura): de las cuentas publicitarias que el comercio elija, la lista de sus campañas y su gasto. FlowState no crea, modifica ni pausa anuncios.
- Atribución de anuncios: cuando un comprador escribe desde un anuncio que lleva a WhatsApp, Meta envía con su mensaje el identificador del anuncio y del clic. Se usa para saber qué campaña trajo cada conversación.
- Píxel (Conversions API): si el comercio lo activa, al confirmarse una compra se envía a Meta un evento "Compra" con su valor, moneda, número de pedido, el identificador del clic del anuncio y la ciudad, el departamento y el país cifrados con hash. No se envían el nombre, el teléfono ni el correo del comprador.
FlowState no se conecta a páginas de Facebook ni a cuentas de Instagram, ni lee mensajes de Messenger o de Instagram. Solo se accede a lo que el comercio conecta voluntariamente.
1.5 Información recopilada automáticamente
Dirección IP y fecha/hora de cada inicio de sesión, e identificadores de sesión necesarios para mantenerla abierta.
Medición del uso del panel. Para entender cómo se usa el panel y decidir qué mejorar, FlowState registra con PostHog qué pantallas visita cada usuario, cuándo y por cuánto tiempo. Cada registro lleva un identificador interno del usuario, su rol, el identificador de su cuenta, el identificador, el nombre y el país de la tienda activa, y datos técnicos del navegador (tipo de navegador, sistema operativo y tamaño de pantalla). El navegador guarda un identificador en su almacenamiento local para reconocer la sesión y el dispositivo.
No se envían el nombre ni el correo del usuario, datos de los compradores, el contenido de las conversaciones ni lo que se escribe o se busca en el panel. La dirección IP no se conserva en esa herramienta. No se graban las sesiones ni se registran los clics. Esta información no se usa para publicidad. Quien no quiera que se mida su uso puede pedirlo al correo de la sección 9.
2. Cómo se usa la información
- Prestación del servicio de mensajería: centralizar los mensajes de WhatsApp para que el comercio pueda responder a sus compradores desde un solo lugar.
- Gestión de conversaciones: asignar conversaciones a miembros del equipo del comercio y mantener el historial de comunicación.
- Automatización de mensajes: ejecutar los flujos y el envío de plantillas de WhatsApp que el comercio configure para su tienda.
- Asistente con inteligencia artificial: procesar mensajes entrantes para que el asistente de la tienda responda consultas sobre pedidos, cuando esta función esté activada. Cada tienda cuenta con su propia configuración aislada.
- Gestión de pedidos: crear y gestionar pedidos, coordinar despachos y actualizar el estado de las entregas.
- Logística y envíos: coordinar el despacho de productos con un operador de transporte.
- Opinión sobre el pedido y testimonios: cuando el comercio lo activa, pedir al comprador su opinión sobre un pedido entregado. Su opinión y su foto solo se muestran a otros compradores si él lo autoriza expresamente y el comercio lo aprueba, con su nombre de pila y su ciudad.
- Aviso de recompra: cuando el comercio lo activa, avisar por WhatsApp al comprador que lo autorizó expresamente que puede reponer un producto, en horario hábil y como máximo una vez al mes.
- Carrito abandonado: cuando el comercio lo activa, recordar una vez por WhatsApp, a quien lo autorizó en el checkout, la compra que dejó sin terminar.
- Seguridad y prevención de fraude: detectar y prevenir accesos no autorizados, spam y actividades maliciosas mediante el monitoreo de patrones de uso.
- Mejora del servicio: analizar cómo se usa el panel, por usuario y por tienda (sección 1.5), y patrones de uso agregados — nunca el contenido de los mensajes — para mejorar la plataforma.
3. Tratamiento de datos de mensajería
3.1 Rol de FlowState frente a los datos de compradores
FlowState actúa como encargado del tratamiento de los mensajes de los compradores del comercio. El comercio, como dueño del negocio, es el responsable del tratamiento de las comunicaciones con sus compradores. En consecuencia:
- El comercio decide qué mensajes enviar a sus compradores y cómo gestionar las conversaciones.
- El comercio es responsable de obtener el consentimiento necesario de sus compradores para comunicarse con ellos.
- El comercio decide qué automatizaciones configurar y qué datos del comprador utilizar en ellas.
- El comercio decide si envía los datos de sus pedidos a herramientas externas, a cuáles y con qué datos (webhooks de salida). FlowState los envía por su instrucción.
- El comercio decide qué landings o formularios conecta para que sus pedidos lleguen a FlowState (webhooks de entrada), y es quien informa al comprador y recoge su autorización en ellos.
- FlowState solo procesa los mensajes conforme a las instrucciones y configuraciones del comercio.
3.2 Confidencialidad y acceso administrativo
El contenido de las conversaciones es confidencial frente a terceros y frente a otras tiendas: toda consulta de la aplicación queda acotada a la tienda del usuario que la realiza (aislamiento a nivel de aplicación, mediante el identificador de cada tienda en cada consulta).
Acceso administrativo. El personal técnico de FlowState puede acceder a los datos, mensajes y configuración de una tienda únicamente para prestar soporte técnico solicitado por el comercio, realizar mantenimiento y diagnosticar fallos, cumplir una obligación legal, o investigar fraude o uso indebido de la plataforma. Cada acceso queda registrado y se rige por el principio de mínimo privilegio.
El contenido de los mensajes no se usa para entrenar modelos de inteligencia artificial generales, ni para mercadeo propio, ni para crear perfiles publicitarios de los compradores. No se comparte con terceros distintos a los necesarios para la operación del servicio (ver sección 4).
3.3 Cifrado y transmisión de mensajes
- Los mensajes de WhatsApp están protegidos por el cifrado de extremo a extremo de WhatsApp durante la transmisión entre el comprador y WhatsApp.
- La comunicación entre FlowState y las APIs de Meta se realiza mediante conexiones HTTPS/TLS cifradas.
- Las credenciales de integración se almacenan cifradas con AES-256-GCM, con la clave de cifrado fuera de la base de datos.
3.4 Retención de mensajes
Los mensajes se conservan mientras la cuenta esté activa, para que el comercio pueda consultar su historial de conversaciones. Si la cuenta se elimina, FlowState se compromete a eliminar los mensajes dentro de los 30 días siguientes a la solicitud.
4. Compartición de datos con terceros
Los datos se comparten únicamente en los siguientes casos:
| Destinatario | Qué recibe | Para qué |
|---|---|---|
| Meta (WhatsApp Cloud API) | Número del comprador y contenido de los mensajes | Enviar y recibir mensajes. Ver la Política de Privacidad de Meta |
| Meta (anuncios y Conversions API) | Consulta del gasto de las cuentas publicitarias que elija el comercio y, si activa el píxel, el evento de compra descrito en la sección 1.4, sin nombre, teléfono ni correo | Medir la pauta del comercio y que Meta atribuya sus ventas |
| Operador logístico | Nombre, teléfono, dirección y productos del pedido | Despachar y transportar el envío |
| Shopify | Consulta de los pedidos del comercio | Traer los pedidos a la plataforma |
| Amazon Web Services | Alojamiento de la aplicación y la base de datos | Infraestructura del servicio |
| Vercel | Alojamiento del panel web | Infraestructura del servicio |
| Cloudflare R2 | Copias cifradas de la base de datos y los archivos de las conversaciones (imágenes, audios, videos y documentos) | Recuperación ante desastres y mostrar los archivos en el panel |
| Resend | Nombre y correo de los usuarios de la cuenta | Enviar invitaciones, recuperación de contraseña y avisos de la cuenta |
| PostHog | Las pantallas del panel que visita cada usuario, cuándo y por cuánto tiempo, con los datos descritos en la sección 1.5. Nunca el nombre o el correo del usuario, ni datos de los compradores | Medir el uso del panel para mejorarlo. Ver la Política de Privacidad de PostHog |
| Destinos que configure el comercio (webhooks de salida) | Los datos de los pedidos que el comercio elija: número, estado, productos y, si el comercio no lo desactiva, nombre, teléfono, correo y dirección del comprador. Nunca el contenido de las conversaciones | Llevar la información a las herramientas del propio comercio (hojas de cálculo, automatizaciones). Solo si el comercio los configura, bajo su responsabilidad |
| Proveedor de IA elegido por el comercio | Contenido de la conversación, incluidos audios, imágenes y videos, solo si el comercio activa la IA | Generar respuestas automáticas y entender los archivos del comprador. Cada comercio elige su propio proveedor (ej. OpenAI — Política de Privacidad — u otros) |
| Apps de IA que conecte el usuario (Claude, ChatGPT, Cursor u otras, por MCP) | Lo que la app consulte por pedido del usuario: pedidos, clientes, chats pendientes, finanzas, semáforo y pauta. Solo lectura | Responder lo que el usuario le pregunte a su propia app. Solo si el usuario la conecta y la autoriza; puede revocar el acceso cuando quiera |
| Autoridades | Lo estrictamente requerido | Cumplir una orden judicial o legal |
No se venden, alquilan ni comercializan los datos personales ni el contenido de los mensajes a terceros con fines publicitarios o de mercadeo. El proveedor de inteligencia artificial es elegido y contratado por el comercio con su propia clave: FlowState no tiene proveedor de IA propio ni contrata uno en nombre del comercio.
5. Uso de datos obtenidos de Meta
Respecto a los datos obtenidos a través de la API de WhatsApp Cloud de Meta:
- Se usan únicamente para proveer las funciones de mensajería y gestión que el comercio solicita dentro de FlowState.
- No se venden ni se transfieren a terceros que no sean necesarios para prestar el servicio.
- No se usan para crear perfiles publicitarios.
- El contenido de las conversaciones no se envía a los destinos externos que configure el comercio (webhooks de salida).
- Los tokens de acceso se almacenan cifrados y con acceso restringido.
- Al desconectar la cuenta de WhatsApp, los tokens de acceso se eliminan de inmediato. FlowState se compromete a eliminar los mensajes asociados dentro de las 48 horas siguientes a la solicitud de eliminación de la cuenta o de la integración.
- Se cumplen las Políticas de la Plataforma de Meta y sus requisitos de uso de datos.
6. Eliminación de datos
Los plazos de esta sección son el compromiso de FlowState al recibir la solicitud correspondiente; los tokens de acceso, por ser una sola fila de base de datos, se eliminan de inmediato en todos los casos.
| Qué | Cómo |
|---|---|
| Datos de Meta, desde FlowState | Desconectar la integración de WhatsApp desde Ajustes → Integraciones. Los tokens se eliminan de inmediato; el compromiso para los mensajes asociados es 48 horas |
| Datos de Meta, desde Meta | Configuración → Apps y sitios web → FlowState → Eliminar, lo que activa el mismo proceso de eliminación |
| Anuncios y píxel de Meta | Quitar el portafolio o el píxel desde Integraciones → Meta. Deja de leerse el gasto y de enviarse eventos |
| Acceso de apps de IA (MCP) | Revocar el acceso desde Integraciones en el panel. Deja de funcionar de inmediato |
| Cuenta completa | Solicitud al correo de contacto. Compromiso de eliminación dentro de los 30 días siguientes |
| Conversaciones, contactos o pedidos concretos | Solicitud al correo de contacto |
| Datos de uso del panel | Solicitud al correo de contacto. Compromiso de borrarlos y dejar de medir a ese usuario dentro de los 30 días siguientes |
7. Seguridad
| Medida | Cómo |
|---|---|
| Cifrado en tránsito | TLS 1.2 o superior, obligatorio. No se acepta HTTP sin cifrar |
| Cifrado de credenciales en reposo | AES-256-GCM, con la clave fuera de la base de datos |
| Contraseñas | Hash Argon2id. No son recuperables ni legibles |
| Sesiones | Token de acceso de corta duración; el token de renovación rota en cada uso y se invalida si se detecta reutilización |
| Control de acceso por rol | Un agente no puede ver las credenciales de las integraciones |
| Aislamiento entre tiendas | A nivel de aplicación: toda consulta queda acotada a la tienda del usuario que la realiza |
| Base de datos no expuesta | La base de datos y la caché no son accesibles desde internet |
| Validación de webhooks de Meta y Shopify | Se verifica la firma criptográfica de cada mensaje entrante |
| Validación de webhooks del operador logístico | URL con un token secreto e impredecible; una notificación solo se aplica si corresponde a un pedido creado por FlowState. El operador logístico no documenta públicamente un mecanismo de firma criptográfica para sus notificaciones; en cuanto lo confirme, se añadirá esa verificación adicional |
| Recepción de pedidos de las fuentes del comercio | Dirección con un token secreto e impredecible, del que solo se guarda una huella; firma criptográfica opcional; topes de recepción |
| Copias de seguridad | Cifradas y almacenadas fuera del servidor principal |
Ningún sistema es completamente invulnerable. Ante un incidente que afecte datos personales, se notificará a los afectados y a la Superintendencia de Industria y Comercio, conforme a la ley.
8. Retención de datos
| Dato | Retención |
|---|---|
| Datos de la cuenta, pedidos y mensajes | Mientras la cuenta esté activa |
| Tras solicitar la eliminación de la cuenta | Compromiso de eliminación dentro de los 30 días siguientes |
| Datos obtenidos de Meta, al desconectar la integración | Compromiso de eliminación dentro de 48 horas |
| Registros de seguridad y auditoría | Objetivo de purga a los 12 meses |
| Copias de seguridad de la base de datos | 30 días |
| Registro de envíos a los destinos del comercio (webhooks de salida) | 14 días |
| Registro de pedidos recibidos de las fuentes del comercio (webhooks de entrada) | 14 días. El pedido creado se conserva como los demás pedidos |
| Testimonios de compradores | Mientras el comprador no revoque su autorización o el comercio no los retire |
| Registro de ofertas de recompra | 12 meses, para medir su resultado |
| Carritos abandonados que no se recuperan | 30 días |
| Datos de uso del panel (PostHog) | 12 meses, o menos si se elimina la cuenta o el usuario lo solicita |
| Datos con obligación legal o fiscal de conservarse | El plazo que exija la ley |
9. Derechos del titular
Conforme a la Ley 1581 de 2012, el titular de datos personales tiene derecho a:
- Acceso: solicitar una copia de sus datos personales.
- Rectificación: corregir datos inexactos o incompletos.
- Supresión: solicitar la eliminación de sus datos personales.
- Portabilidad: recibir sus datos en un formato estructurado y de uso común.
- Oposición: oponerse al tratamiento de sus datos para determinadas finalidades.
- Revocación: revocar la autorización otorgada en cualquier momento. En particular, un comprador puede pedir en el mismo chat que no le envíen más ofertas (con el botón "No más mensajes" o con sus palabras) o que dejen de mostrar su testimonio, y se aplica de inmediato.
- Información: conocer con qué terceros se comparten sus datos y con qué propósito.
Para ejercer estos derechos, debe escribirse a myflowstate.ai@gmail.com. Se responderá en un plazo máximo de diez (10) días hábiles para consultas y quince (15) días hábiles para reclamos, conforme a la Ley 1581 de 2012 y el Decreto 1377 de 2013. De no recibirse respuesta satisfactoria, puede presentarse una queja ante la Superintendencia de Industria y Comercio, autoridad colombiana de protección de datos personales.
Si eres comprador final de una tienda que usa FlowState, la solicitud corresponde atenderla a dicha tienda, responsable de los datos. Las solicitudes recibidas directamente por FlowState se trasladarán al comercio correspondiente.
Para el detalle completo de este procedimiento, consultar la Política de Tratamiento de Datos Personales.
10. Responsabilidades del comercio como responsable del tratamiento
Al usar FlowState como herramienta de mensajería, el comercio se compromete a:
- Cumplir las leyes de protección de datos aplicables en su jurisdicción al comunicarse con sus compradores.
- Obtener el consentimiento necesario de sus compradores antes de enviarles mensajes.
- No enviar spam, mensajes no solicitados o contenido ilegal a través de la Plataforma.
- Respetar las Políticas de WhatsApp Business y las Políticas de la Plataforma de Meta.
- Informar a sus compradores sobre cómo trata sus datos personales.
- No recopilar datos sensibles de sus compradores a través de las conversaciones sin su consentimiento explícito.
- Si configura destinos para recibir los datos de sus pedidos (webhooks de salida): contar con la autorización de sus compradores para ese envío, tener con cada proveedor de destino el contrato que exija la ley y proteger la dirección y el secreto de cada destino.
- Si conecta landings o formularios para recibir pedidos (webhooks de entrada): informar en ellos a sus compradores, recoger su autorización, incluida la de contactarlos por WhatsApp, y proteger la dirección de cada conexión.
11. Datos de menores
La Plataforma no está dirigida a menores de 18 años. No se recopilan intencionalmente datos de menores de edad; de identificarse lo contrario, se eliminarán de inmediato. Si un comprador final es menor de edad, corresponde al comercio contar con la autorización de sus representantes legales, conforme al artículo 7 de la Ley 1581 de 2012.
12. Transferencias internacionales de datos
Los datos pueden procesarse en servidores ubicados en Estados Unidos (Amazon Web
Services, región us-east-1). Meta, Vercel, Cloudflare, Resend, PostHog, el proveedor de
inteligencia artificial que el comercio elija y las apps de IA que el usuario conecte también
pueden procesar datos fuera de Colombia. Estas transferencias se
realizan con las garantías de seguridad que ofrecen dichos proveedores.
Los destinos que el comercio configure para recibir los datos de sus pedidos (webhooks de salida) pueden estar fuera de Colombia. Esos envíos los decide el comercio, como responsable del tratamiento, y le corresponde verificar que cumplan la ley aplicable.
13. Cambios a esta política
Esta política puede actualizarse periódicamente. Los cambios significativos se notificarán a través de la Plataforma o por correo electrónico. La fecha de la última actualización aparece al inicio de este documento.
14. Contacto
| Responsable | Johan Steven Barón Díaz |
| Identificación | Cédula de ciudadanía No. 1.001.316.473 |
| Correo | myflowstate.ai@gmail.com |
| +57 311 246 2464 | |
| Dirección | Calle 11C #80B, Bogotá, Cundinamarca, Colombia |
| Plataforma | flow-state.app |
| País | Colombia |
Esta política cumple con el artículo 15 de la Constitución Política de Colombia, la Ley Estatutaria 1581 de 2012, el Decreto 1377 de 2013, la Ley 1273 de 2009 sobre delitos informáticos, y las Políticas de la Plataforma de Meta.