Esta política explica cómo Ragia trata la información al ofrecer atención automatizada por WhatsApp a negocios en Costa Rica, y al operar su sitio, demostración y proceso de conexión de WhatsApp. Describe el funcionamiento actual del servicio. Los datos del negocio y de sus clientes se procesan para poder atender consultas, cotizar, registrar pedidos o citas y dar soporte.
1. Quién opera Ragia y a quién aplica
Ragia es operado por Yoel Castro, persona física inscrita ante el Ministerio de Hacienda de Costa Rica. Los contactos públicos del servicio son el correo y el WhatsApp indicados al final de esta página.
La política cubre a los negocios que configuran Ragia, a las personas que escriben al WhatsApp conectado por esos negocios, y a quienes usan el sitio, la demostración o el flujo de conexión de WhatsApp. En las conversaciones y solicitudes de los clientes finales, el negocio decide qué productos o servicios ofrece y cómo atiende a sus clientes; Ragia procesa los datos necesarios para prestar el servicio al negocio. Para operar su servicio, Ragia también trata datos de contacto y configuración del negocio.
2. Qué información se procesa
Del negocio y su configuración: nombre y datos de contacto que suministre; número de WhatsApp conectado; catálogo de productos o servicios, precios, horarios, condiciones e instrucciones; y configuración necesaria para responder, tomar pedidos o agendar citas.
Al conectar una cuenta de WhatsApp mediante el flujo de Meta, cuando está habilitado: identificador de la cuenta de WhatsApp Business (WABA ID), identificador del número de teléfono (phone number ID), identificador del negocio de Meta si está disponible, estado del tipo de conexión y una huella del token. La conexión usa Meta Login/Embedded Signup. El código de autorización y el token temporal que Meta entrega en el alta se usan en ese momento para verificar la cuenta y, según la modalidad de conexión, registrar el número; no se guardan ni quedan en la bitácora de pasos. De ese token solo se conserva una huella irreversible (SHA-256 truncada) que sirve para reconocer el alta en un diagnóstico y no permite usarlo. Las credenciales con las que el bot envía y recibe mensajes (token y número de WhatsApp) son distintas: se configuran como variables de entorno de la instalación del negocio en Railway, no se leen de la base de altas y hoy las configura el operador, no el alta automáticamente.
De las personas que escriben al WhatsApp del negocio: el número remitente que entrega WhatsApp, el contenido de los mensajes y los datos que la persona comparte para una consulta, un pedido o una cita. Según el flujo y el negocio, esto puede incluir nombre, detalle de productos o servicios, fecha y hora, modalidad de entrega o retiro y dirección. Ragia no procesa pagos ni necesita números de tarjetas o credenciales bancarias.
Para la operación del negocio: si se registra un pedido o una cita, se guardan los campos del registro —nombre, teléfono del cliente, fecha, hora, detalle y duración cuando corresponda— en la base SQLite y en un archivo CSV espejo. El dueño puede consultar los registros en su dashboard autenticado y recibir avisos por WhatsApp. El dashboard también guarda el correo que se usa como usuario, datos derivados para verificar la contraseña y sesiones de acceso; no guarda la contraseña en texto claro.
Datos técnicos y de soporte: los registros de operación pueden incluir fecha y hora, identificador de sesión (en WhatsApp, el número remitente), longitud del mensaje, etapa del flujo y errores, pero no el texto completo de cada mensaje. Si una conversación se deriva a una persona, una bitácora conserva el número o identificador de sesión, fecha, motivo, hasta 500 caracteres del mensaje que originó el pase y el detalle de un pedido en curso si lo había. Si el flujo de alta de Meta está habilitado, su bitácora guarda los eventos y datos de diagnóstico recibidos, excluyendo el código de autorización y el token. Los intentos de acceso al dashboard registran la IP y un identificador de usuario. La demostración pública usa la IP temporalmente en memoria para limitar mensajes; esa IP no se guarda en una base de datos de la aplicación para ese fin.
3. Para qué se usa la información
- Responder consultas y preparar cotizaciones usando el catálogo e instrucciones del negocio.
- Recopilar la información necesaria para confirmar y registrar pedidos o citas, y comunicar esos registros al negocio.
- Registrar la conexión de WhatsApp que el negocio autoriza y operar el número configurado.
- Diagnosticar errores, brindar soporte y revisar los casos en que la conversación se deriva a una persona para ajustar ese flujo.
- Proteger el dashboard y administrar las cuentas que acceden a los registros.
Ragia no usa los datos de los clientes finales para contactarlos por cuenta propia ni para publicidad. El negocio puede usar la información que recibe para atender su relación comercial con sus clientes.
4. WhatsApp, Meta e inteligencia artificial
Los mensajes del canal de WhatsApp se reciben y envían mediante WhatsApp Cloud API de Meta. Meta procesa los datos que pasan por sus servicios bajo sus propios términos y políticas. La conexión de cuentas, cuando está habilitada, también utiliza servicios de Meta. Puede consultar la Política de privacidad de WhatsApp y la Política de privacidad de Meta.
Ragia usa GPT-6 Luna mediante la API de OpenAI (Responses API) para generar respuestas y extraer la información necesaria para pedidos o citas. Para esas operaciones, el servidor puede enviar a OpenAI el mensaje actual, parte del historial reciente de la conversación, el contexto pertinente del catálogo y los datos del pedido o cita que se están procesando. Si el negocio envía un catálogo para actualizarlo y se necesita convertir su formato, ese contenido también puede enviarse a OpenAI. OpenAI recibe esos datos para prestar el servicio de IA. Ragia pide que OpenAI no guarde el estado de las respuestas (parámetro store desactivado); sin eso, la Responses API lo conserva 30 días por defecto. Eso no elimina todo rastro: según los controles de datos de OpenAI para la API, sus registros de monitoreo de abuso pueden incluir mensajes y respuestas y se conservan hasta 30 días por defecto, o más si la ley lo exige o es necesario para proteger el servicio. OpenAI indica que no usa los datos enviados a la API para entrenar sus modelos salvo que el cliente lo autorice, y que existen controles de retención cero sujetos a su aprobación; Ragia no promete retención cero ni un plazo de borrado en los sistemas de OpenAI.
El sitio público puede cargar tipografías desde Google Fonts. Si visita el sitio, su navegador se conecta a los dominios de Google necesarios para servir esas tipografías.
5. Dónde se guardan y quién puede ver los datos
Los datos operativos se guardan en archivos y bases de datos de la instalación de Ragia, alojada en Railway: sesiones, catálogo del negocio, registros de pedidos o citas, cuentas del dashboard y, si se usa, altas de WhatsApp y sus bitácoras. Los mensajes también pasan por Meta y ciertos mensajes y contexto se envían a OpenAI, como se explica arriba. Los registros técnicos de la aplicación pueden aparecer en los registros operativos del servidor y de la plataforma de alojamiento.
El dashboard requiere inicio de sesión y permite al negocio cliente consultar y exportar sus registros. El operador de Ragia también puede acceder a los datos necesarios para operar el servicio y atender soporte. Los archivos de pedidos y citas no están cifrados en reposo por la aplicación. El control de acceso al dashboard no equivale a cifrado de esos archivos.
6. Plazos de conservación y eliminación
Sesiones de WhatsApp: el historial y el estado temporal de una conversación se conservan para dar continuidad al chat y se purgan al vencer 24 horas desde el último mensaje, cuando corre la purga del sistema. La purga se ejecuta al iniciar el servicio y periódicamente cuando hay actividad; por eso 24 horas es el plazo de caducidad configurado, no una hora exacta garantizada de borrado físico.
Demostración pública: las conversaciones de la demostración se mantienen en memoria del servidor y se descartan tras 45 minutos de inactividad; no se guardan en la base de sesiones de WhatsApp.
Pedidos, citas, catálogo, altas de Meta y bitácoras: el sistema actual no aplica un plazo automático de eliminación a estos registros. Pueden permanecer en el volumen de almacenamiento mientras la instalación siga operando, incluso después de terminar la atención de una conversación o de dejar de usar el servicio. Los registros técnicos de la plataforma pueden tener sus propios plazos definidos por el proveedor; Ragia no fija en el código un plazo único para ellos. No existe una función de autoservicio para borrar pedidos desde el dashboard.
Las solicitudes de eliminación se revisan caso por caso. Si usted es cliente final, contacte al negocio al que escribió y también puede contactar a Ragia para ubicar el registro y coordinar la solicitud con ese negocio. Si es un negocio cliente, contacte a Ragia para gestionar una solicitud sobre sus datos. La aplicación no realiza hoy un borrado automático ni ofrece un plazo fijo de respuesta o de eliminación; se le informará qué datos pueden localizarse y qué acción se pudo realizar.
7. Seguridad y límites actuales
El dashboard controla el acceso mediante inicio de sesión y las contraseñas se almacenan como verificadores derivados, no como texto legible. Sin embargo, los archivos de datos operativos no están cifrados en reposo por la aplicación, y las credenciales operativas de WhatsApp están en variables de entorno de la instalación. El acceso al servidor, a su volumen o a esa configuración puede exponer esos datos. Ningún sistema está libre de riesgos; Ragia no afirma que los datos sean invulnerables ni que todos los proveedores apliquen las mismas medidas.
8. Sus consultas y solicitudes
Puede solicitar acceso, corrección o eliminación de información escribiendo al contacto de Ragia al final de esta página. Para encontrar los datos de una conversación, indique el número de WhatsApp desde el que escribió y el nombre del negocio. El negocio es quien puede confirmar los detalles de su pedido o cita y decidir sobre los registros que usa para atenderle. Para datos de conexión de Meta o de una cuenta de negocio, indique el nombre del negocio y la cuenta que conectó.
9. Marco aplicable
Ragia opera desde Costa Rica y esta política está dirigida principalmente a negocios y personas usuarias en Costa Rica. El tratamiento se rige por la normativa aplicable, incluida la Ley N.º 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales y su reglamento. Si el servicio se ofrece a personas o negocios sujetos a otra jurisdicción, esta información puede requerir ajustes para ese caso.
10. Cambios a esta política
Si cambia el funcionamiento del servicio o la forma en que se tratan los datos, Ragia actualizará esta página y su fecha de actualización. La versión publicada en esta URL es la vigente.
11. Contacto
Consultas sobre esta política o solicitudes relacionadas con datos: ragiadevv@gmail.com o WhatsApp — Yoel Castro.