Política de Inteligencia Artificial de Guapu

1. Resumen en lenguaje sencillo

Guapu es un CRM (sistema para gestionar clientes) con bandeja de WhatsApp y agentes de inteligencia artificial (en adelante, IA). Estos agentes leen los mensajes que llegan a los canales del negocio y responden de forma automática las 24 horas: atienden dudas, presentan productos, ayudan a vender, generan enlaces de pago, hacen seguimiento y, solo si el negocio lo activa, pueden ejecutar acciones que mueven dinero (como reembolsar o cancelar un pedido).

Cinco ideas que debes recordar:

• Hablas con un sistema de IA, no con una persona. Puedes pedir hablar con un humano en cualquier momento y el agente deja de responder y avisa al equipo del negocio.
• Tus mensajes NO se usan para entrenar los modelos de IA de terceros. Los proveedores que procesan el texto, las imágenes o el audio lo hacen vía su interfaz de programación (API) y bajo contrato (DPA) que les prohíbe entrenar con tus datos.
• Tus notas de voz se transcriben a texto y las imágenes y stickers que envías se analizan (visión) enviándose a proveedores de IA de terceros, con el único fin de atender tu conversación.
• La IA puede tomar decisiones automatizadas que te afectan (por ejemplo, calificarte o segmentarte como contacto y, solo si el negocio lo activa, cobrar, reembolsar o cancelar). Siempre tienes derecho a intervención humana, a expresar tu punto de vista, a impugnar la decisión y a oponerte (opt-out).
• La IA puede equivocarse. No es asesoría profesional (legal, médica ni financiera). Las decisiones importantes que te afecten pueden ser revisadas por una persona si lo pides.

2. 1. Qué es este documento y a quién aplica

Esta Política de Inteligencia Artificial (la "Política de IA") explica de forma transparente cómo funciona la IA dentro del servicio Guapu ("Guapu", "el Servicio"; dominio guapu.io). Complementa, no reemplaza, la Política de Privacidad y los Términos de Servicio de Guapu; en caso de duda sobre el tratamiento de datos personales, prevalece lo dispuesto en la Política de Privacidad.

Guapu es un servicio de software como servicio (SaaS, software que se usa por internet por suscripción) multi-tenant, es decir, una misma plataforma que da servicio a muchos negocios ("Clientes" o "tenants") de forma aislada entre sí. Guapu está dirigido a pequeñas y medianas empresas de América Latina.

• El Cliente (tenant): la empresa que contrata Guapu, configura sus agentes y conecta sus canales (por ejemplo, su línea de WhatsApp Business). Respecto de los datos de sus propios contactos, el Cliente actúa como Responsable del tratamiento (en Colombia) o Responsable / Controller (bajo el GDPR europeo).
• El usuario final: la persona que escribe a los canales conectados del Cliente (WhatsApp, Instagram, Facebook Messenger, Telegram, web, correo) y que, por tanto, conversa con un agente de IA.
• Guapu y la entidad [ENTIDAD LEGAL] que lo opera: proveedor de la tecnología. Respecto de los datos de los usuarios finales que el Cliente trata a través de Guapu, Guapu actúa como Encargado del tratamiento (en Colombia) o Encargado / Processor (bajo el GDPR), siguiendo las instrucciones del Cliente.

3. 2. Qué hacen los agentes de IA

Guapu opera con agentes de IA con roles definidos. Cada Cliente decide cuáles activa, con qué personalidad ("persona") y con qué base de conocimiento. Los agentes actuales son:

• Thor — Ventas y Pagos: atiende dudas comerciales, presenta el catálogo del negocio, resuelve objeciones y puede generar enlaces de cobro (checkout) para que el usuario final pague. Vender y cobrar son su función principal.
• Paz — Soporte: responde preguntas frecuentes, da soporte posventa y resuelve dudas con base en la información que el negocio cargó.
• Flash — Seguimiento: retoma conversaciones que quedaron sin respuesta, reactiva contactos "fríos" y da seguimiento a oportunidades de venta.
• Funciones transversales: clasificación de la intención del mensaje; calificación y segmentación de contactos (lead scoring); resumen de conversaciones; sugerencia del siguiente paso; estimación de la intención de compra de un contacto; descripción de imágenes y stickers que el usuario envía mediante análisis de visión; y transcripción de notas de voz a texto.

4. 3. Divulgación: estás interactuando con un sistema de IA (EU AI Act, art. 50)

En cumplimiento del artículo 50 del Reglamento de Inteligencia Artificial de la Unión Europea ("EU AI Act"), que exige informar a las personas cuando interactúan con un sistema de IA, y como buena práctica de transparencia aplicable a todos los usuarios, Guapu deja claro lo siguiente:

Las respuestas automáticas en los canales conectados son generadas por un sistema de IA (agentes), no por una persona, salvo cuando un miembro del equipo del negocio toma la conversación manualmente. Guapu provee a los Clientes los medios para divulgar esta condición al inicio o durante la conversación, y exige al Cliente, como condición de uso, mantener activa y veraz dicha divulgación. La forma exacta de presentar esta información (mensaje de bienvenida, nombre del agente, etiqueta) es configurable por el Cliente, que es responsable de mantenerla visible y veraz frente al usuario final.

• Aviso claro y oportuno: se informa al usuario final, de manera clara y en el momento de la interacción, que conversa con un sistema de inteligencia artificial.
• Petición de atención humana: puedes pedir hablar con una persona en cualquier momento, por ejemplo escribiendo "hablar con humano" o frases equivalentes. Al detectarlo, el agente deja de generar respuestas de IA, marca la conversación para escalamiento (handoff) y notifica al equipo del negocio para que una persona continúe la atención.
• Sin penalización: pedir atención humana no implica ninguna consecuencia negativa para ti.
• Disponibilidad humana: el tiempo de respuesta de la persona depende del horario y la operación de cada negocio (Cliente), no de Guapu.

5. 4. Modelos y proveedores de IA que se utilizan

Para generar las respuestas, clasificar mensajes, describir imágenes y transcribir audio, Guapu utiliza modelos de IA de terceros a través de sus interfaces de programación (API). Guapu se conecta de forma directa con cada proveedor (no usa intermediarios de reventa de modelos). Estos proveedores actúan como subprocesadores y procesan los datos bajo un Acuerdo de Procesamiento de Datos (DPA, por sus siglas en inglés) que prohíbe usar los datos del Cliente para entrenar o mejorar sus modelos. El acceso vía API, a diferencia de los productos de consumo de estos proveedores, está diseñado para que el contenido no alimente el entrenamiento de modelos.

Motor multi-nivel: Guapu selecciona automáticamente el modelo según el tipo y la complejidad del mensaje, el plan contratado y un nivel de confianza interno; los mensajes de baja complejidad usan modelos más ligeros y los de mayor sensibilidad (por ejemplo, una objeción de venta o un problema de pago) pueden usar un modelo de mayor capacidad. Los proveedores son:

• Anthropic PBC (Estados Unidos) — motor de IA principal de los agentes. Modelos: Claude Haiku 4.5 para la mayoría de las respuestas, Claude Sonnet 4.6 para casos de mayor complejidad o sensibilidad, y un modelo de visión de Claude para describir imágenes y stickers de WhatsApp. Procesa el contenido del mensaje del usuario final más el contexto necesario (persona del agente y base de conocimiento) para generar la respuesta. No utiliza el contenido para entrenar sus modelos.
• Groq Inc. (Estados Unidos) — clasificación de la intención del mensaje (modelo Llama 3.3 70B), respaldo (fallback) de generación cuando el proveedor principal no está disponible, y transcripción de notas de voz a texto (modelo Whisper large-v3-turbo). Procesa texto de mensajes y, en su caso, el audio de las notas de voz. No utiliza el contenido para entrenar sus modelos.
• OpenAI L.L.C. (Estados Unidos) — respaldo de generación de respuestas para casos complejos cuando Anthropic falla, y respaldo histórico de visión. Procesa texto de mensajes de usuarios finales únicamente en la ruta de respaldo. No utiliza el contenido enviado vía API para entrenar sus modelos.
• Google LLC (Estados Unidos) — proveedor de modelos disponible como opción o respaldo configurable. Solo procesa datos si un Cliente configura expresamente a un agente para usar Google. No utiliza el contenido enviado vía API para entrenar sus modelos.
• Nota sobre canales y pagos: la recepción y el envío de mensajes se realiza a través de Meta Platforms Inc. (WhatsApp Business, Instagram, Facebook Messenger) y otros canales; los enlaces de cobro generados por el agente se procesan mediante Stripe Inc. u otra pasarela conectada por el Cliente. Estos proveedores se detallan en la Política de Privacidad y su DPA correspondiente.

6. 5. Tus datos NO entrenan modelos de terceros

Guapu no vende ni alquila datos personales. Respecto del entrenamiento de IA, aplican las siguientes garantías:

• Los proveedores de modelos (Anthropic, Groq, OpenAI y Google) procesan el contenido únicamente vía API y están vinculados por un DPA que les prohíbe usar el contenido enviado por Guapu (texto, imágenes, stickers o audio transcrito) para entrenar, reentrenar o mejorar sus modelos de uso general.
• El contenido de los mensajes se envía a estos proveedores con la única finalidad de generar la respuesta, clasificar la intención, calificar o segmentar el contacto, describir una imagen o transcribir un audio en ese momento.
• Guapu puede usar datos agregados y anonimizados (que no permiten identificar a una persona) para medir y mejorar la calidad del Servicio. Esto no constituye entrenamiento de modelos de terceros con tus datos personales.
• Mejora interna del Servicio: Guapu puede registrar el rendimiento de las respuestas (por ejemplo, si una respuesta fue útil o si se escaló a un humano) dentro de la cuenta del Cliente, para depurar y mejorar la configuración. Estos registros se rigen por la Política de Privacidad y la separación estricta entre tenants, y no se comparten con los proveedores de modelos para fines de entrenamiento.

7. 6. Decisiones automatizadas, perfilado y derecho a intervención humana (art. 22 GDPR; transparencia EU AI Act)

El artículo 22 del GDPR reconoce el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado (sin intervención humana), incluida la elaboración de perfiles, cuando esa decisión produzca efectos jurídicos o te afecte de modo similarmente significativo. En coherencia con ese principio, con las exigencias de transparencia del EU AI Act, y reconociendo que normas de América Latina recogen garantías equivalentes, Guapu informa de forma expresa lo siguiente:

Existencia del tratamiento automatizado y del perfilado. Los agentes de IA generan respuestas y pueden tomar acciones automatizadas con efecto potencialmente significativo dentro de una conversación: en particular, calificar y segmentar contactos (lead scoring) y mover un contacto a una etapa del embudo de ventas; clasificar la intención de un mensaje; enviar un enlace o un texto de la base de conocimiento; estimar la intención de compra; y, SOLO si el Cliente lo activa de forma explícita, iniciar un cobro, ejecutar un reembolso o cancelar un pedido (ver sección 7). La calificación y segmentación de contactos constituye elaboración de perfiles (profiling) con fines comerciales del negocio.

Descripción comprensible de la lógica aplicada. El sistema funciona así: (1) un clasificador determina la intención del mensaje; (2) el sistema recupera información de la base de conocimiento del negocio y la "persona" configurada; (3) un modelo de lenguaje genera una respuesta que debe fundamentarse en esas fuentes (cada respuesta registra internamente qué fragmentos de conocimiento usó y un nivel de confianza); (4) filtros de seguridad revisan la salida; y (5) según el nivel de confianza y el tipo de caso, el sistema responde, escala a un humano o ejecuta una acción permitida. La calificación de un contacto se basa en señales de la propia conversación (por ejemplo, interés expresado, preguntas sobre precio, etapa del embudo) y es una ayuda comercial interna para el negocio; no determina por sí sola el acceso a un producto, un precio o un servicio, ni utiliza categorías especiales de datos para puntuar a la persona.

Importancia y consecuencias previstas. Las consecuencias para ti pueden ser: recibir respuestas automáticas; ser clasificado o segmentado como contacto dentro del CRM del negocio; ser dirigido a un enlace de pago o de información; que tu conversación sea resumida o etiquetada internamente; y, donde el Cliente lo haya activado, que se ejecute una acción que mueve dinero (por ejemplo, confirmar una compra para darte acceso a contenido, tramitar un reembolso que solicitaste o cancelar un pedido).

• Derecho a intervención humana: tienes derecho a obtener la intervención de una persona en cualquier decisión automatizada que te afecte. Pide atención humana en la conversación o escribe a privacidad@guapu.io y el caso será revisado por una persona del equipo del negocio (Cliente) o, en lo que corresponda al funcionamiento del Servicio, por Guapu.
• Derecho a expresar tu punto de vista: puedes explicar tu situación y aportar tu versión antes o después de la decisión, y esa información será considerada en la revisión humana.
• Derecho a impugnar la decisión: puedes cuestionar y solicitar que se reconsidere o revierta una decisión o acción automatizada (por ejemplo, una calificación, una segmentación o el resultado de una acción operativa).
• Derecho de oposición y opt-out: puedes oponerte a ser atendido o evaluado mediante tratamiento automatizado y perfilado, y solicitar que una persona continúe tu caso, sin que ello te perjudique. Para ejercer el opt-out, escribe "hablar con humano" en la conversación o solicítalo en privacidad@guapu.io.
• Sin perjuicio para ti: ejercer cualquiera de estos derechos no implica ninguna consecuencia negativa en la atención que recibes.

8. 7. Acciones de alto impacto del agente: cobrar, reembolsar y cancelar (apagadas por defecto, activación explícita y por separado)

Algunas acciones del agente pueden afectar dinero u operaciones de forma sensible. Guapu las trata con especial cautela y, por diseño, las que mueven dinero vienen DESACTIVADAS por defecto.

Cobro (generación de enlaces de pago). Thor (Ventas y Pagos) puede generar un enlace de cobro (checkout) para que el usuario final pague. El cobro lo inicia y autoriza la propia persona al completar el pago en la pasarela; el agente no debita tarjetas por su cuenta.

Reembolsar y cancelar pedidos. Las acciones de reembolsar un pago (refund_payment) y cancelar un pedido (cancel_order) están DESACTIVADAS POR DEFECTO y solo se ejecutan si el negocio (Cliente) las activa de forma explícita, de forma independiente y por separado de cualquier otra capacidad, agente por agente, y tiene conectada la integración correspondiente (pasarela de pago o tienda). El estado predeterminado de fábrica de estas capacidades es "desactivado", y activar una no activa la otra. Estas acciones son independientes del proveedor: pueden enrutarse a cualquier pasarela o tienda conectada por el Cliente (por ejemplo, Stripe, Mercado Pago, PayPal, Hotmart, Shopify, WooCommerce, entre otras).

• Activación explícita y por separado (opt-in): cada capacidad sensible se activa de forma deliberada e individual por un administrador del Cliente. La configuración por defecto es "desactivado"; no hay activación automática ni en bloque de las acciones que mueven dinero.
• Triple control técnico (triple gate): (1) la acción no se expone al modelo de IA si no está habilitada; (2) se vuelve a validar la habilitación en el momento de ejecutarla; y (3) el manejador final reconsulta en la base de datos la capacidad del agente y la integración conectada antes de mover dinero. Si cualquiera de los tres controles falla porque algo no está activado, la acción no ocurre.
• Registro de auditoría: todo intento de una acción que mueve dinero (exitoso, omitido, bloqueado o fallido) queda registrado con su contexto en un registro de ejecución de acciones del agente, para trazabilidad y supervisión.
• Supervisión humana: el Cliente puede revisar estos registros y mantiene la responsabilidad sobre cuándo y para qué agente habilita estas capacidades.
• Tu derecho a revisión: como toda decisión automatizada, una acción que mueve dinero puede ser objeto de intervención humana, de tu punto de vista y de impugnación conforme a la sección 6.

9. 8. Supervisión humana, escalamiento (handoff) y traspaso entre agentes

La IA de Guapu está diseñada para trabajar con supervisión humana, no para reemplazarla.

• Escalamiento a humano: el sistema escala automáticamente a una persona cuando detecta baja confianza en la respuesta, temas fuera del alcance de la base de conocimiento, quejas legales, situaciones de abuso o riesgo, o cuando el usuario lo pide. Al escalar, el agente deja de responder y avisa al equipo del negocio.
• Toma manual: el personal del Cliente puede intervenir en cualquier conversación desde la bandeja unificada y continuar la atención de forma manual.
• Traspaso entre agentes: cuando una conversación pasa de un agente a otro (por ejemplo, de soporte a ventas), se transfiere un resumen de contexto para dar continuidad, sin volver a pedir información que ya tienes.
• Mensajes de traspaso claros: los textos de conexión con el equipo humano y de escalamiento son neutrales y configurables por marca, y nunca mezclan datos de un negocio con otro.

10. 9. Límites de la IA, posibilidad de errores ("alucinaciones") y cómo se mitigan

La IA generativa puede producir respuestas incorrectas, incompletas o inventadas (lo que en la industria se llama "alucinaciones"). Guapu lo reconoce y aplica medidas para reducir ese riesgo, sin poder eliminarlo por completo.

• Respuestas fundamentadas en conocimiento (grounding): el agente debe basar sus afirmaciones en la base de conocimiento que el negocio cargó; internamente registra qué fuentes usó para cada afirmación y un nivel de confianza.
• Umbral de confianza y handoff: cuando la confianza es baja o el tema queda fuera del alcance, el sistema evita responder con seguridad falsa y escala a un humano (handoff) para supervisión.
• Filtros de seguridad y anti-fuga: la salida pasa por validadores que reducen respuestas fuera de tema, mensajes vacíos o contenido que no corresponde a la marca; y existen controles para que el copy de un negocio no aparezca en las conversaciones de otro.
• Detección de situaciones delicadas: ante señales de crisis emocional o de salud mental, el sistema prioriza derivar a líneas de ayuda profesional y a atención humana, en lugar de "resolver" el caso de forma automatizada.
• Prohibición de asesoría regulada sin disclaimer: el agente no debe usarse para prestar asesoría profesional regulada (médica, legal o financiera). Sus respuestas son de carácter informativo y comercial y no constituyen asesoría profesional, salvo que el negocio lo indique expresamente, bajo su propia responsabilidad y con un descargo de responsabilidad (disclaimer) visible. Verifica la información importante antes de actuar y, si lo necesitas, pide atención humana o consulta a un profesional cualificado.
• Responsabilidad del Cliente: el negocio (Cliente) es responsable de la configuración de sus agentes, de la exactitud y vigencia de su base de conocimiento, de los productos y precios que publica, y de las capacidades que activa. Guapu provee la herramienta; el contenido y las decisiones de configuración son del Cliente.

11. 10. Categorías especiales de datos en las conversaciones

Por la naturaleza de WhatsApp y los canales abiertos, un usuario final puede compartir de forma espontánea datos sensibles o de categorías especiales (por ejemplo, datos de salud, creencias religiosas u otra información protegida). En la legislación colombiana (Ley 1581 de 2012) estos son "datos sensibles" y, en el GDPR, "categorías especiales" (art. 9). Guapu y el Cliente aplican principios de minimización y cautela:

• No se solicitan datos sensibles: los agentes no están diseñados para pedir datos sensibles. No estás obligado a proporcionarlos para ser atendido.
• Minimización: se recomienda no compartir datos sensibles por estos canales. Si los compartes voluntariamente, se tratan únicamente para atender tu solicitud, dentro de la conversación con el negocio correspondiente.
• Manejo prudente: el sistema evita inferir o resaltar categorías especiales, no las usa para calificar o segmentar contactos, y prioriza derivar a atención humana o a recursos profesionales cuando el contexto lo amerita (por ejemplo, salud mental).
• Responsabilidad del Cliente: el tratamiento de datos sensibles que un negocio decida realizar requiere la base legal correspondiente (en general, autorización explícita e informada) y es responsabilidad de ese Cliente como Responsable del tratamiento. Guapu, como Encargado, los trata solo conforme a las instrucciones del Cliente y a esta Política.
• Menores de edad: el Servicio no está dirigido a menores y los agentes no buscan datos de menores. El tratamiento de datos de niñas, niños y adolescentes está sujeto a protección reforzada conforme a la ley aplicable.

12. 11. Marcado del contenido generado por IA y registro de auditoría

Guapu busca que sea claro cuándo un contenido fue generado por IA y mantener trazabilidad de lo que hacen los agentes.

• Identificación interna: los mensajes generados por la IA se registran de forma diferenciada de los mensajes escritos por una persona del equipo (por ejemplo, mediante el tipo de remitente del mensaje), de modo que en la bandeja del negocio se distingue lo automático de lo humano.
• Divulgación al usuario final: como se indica en la sección 3, el Cliente debe informar al usuario final que conversa con un sistema de IA. Guapu provee los medios para esa divulgación.
• Registro de acciones del agente: las acciones operativas relevantes y, en particular, las que mueven dinero (cobros, reembolsos, cancelaciones) quedan registradas con su contexto para auditoría y supervisión, conforme a la sección 7.
• Marcado de contenido sintético: en la medida en que el EU AI Act y otras normas exijan marcar contenido generado o manipulado por IA, Guapu adoptará las medidas de marcado y divulgación que correspondan a las funciones del Servicio.

13. 12. Controles del Cliente (tenant)

El negocio que usa Guapu cuenta con controles para gobernar el comportamiento de la IA:

• Activar o desactivar agentes y definir su "persona" (tono, marca, alcance).
• Gestionar la base de conocimiento de la que el agente toma su información.
• Aprobar qué herramientas o acciones puede usar cada agente; las acciones que mueven dinero (reembolsar, cancelar) requieren activación explícita y por separado, y están desactivadas por defecto.
• Configurar la divulgación de IA, los mensajes de escalamiento y el traspaso a atención humana.
• Conectar o desconectar integraciones (pasarelas de pago, tiendas, canales) mediante credenciales propias del Cliente, almacenadas cifradas.
• Revisar registros y métricas de las acciones del agente, y tomar conversaciones de forma manual.

14. 13. Tus derechos y cómo ejercerlos

Con independencia de tu país, puedes ejercer derechos sobre tus datos y sobre el tratamiento automatizado. En Colombia, la Ley 1581 de 2012 reconoce los derechos a conocer, actualizar, rectificar y suprimir tus datos, y a revocar la autorización; bajo el GDPR, tienes derecho de acceso, rectificación, supresión, limitación, oposición y portabilidad, así como los derechos específicos frente a decisiones automatizadas y perfilado (art. 22).

• Pedir atención humana en cualquier conversación.
• Solicitar la intervención humana de una respuesta o de una acción automatizada, expresar tu punto de vista e impugnarla (sección 6).
• Oponerte al tratamiento automatizado y al perfilado (opt-out), y solicitar que una persona continúe tu caso.
• Acceder, rectificar, suprimir o solicitar la portabilidad de tus datos personales, conforme a la Política de Privacidad.
• Presentar una solicitud o reclamo: escribe a privacidad@guapu.io (asuntos de IA y datos) o a hi@guapu.io (general). Las solicitudes se atienden en los plazos previstos por la ley aplicable. Cuando los datos pertenezcan a la operación de un negocio (Cliente), Guapu podrá canalizar la solicitud hacia ese Cliente como Responsable del tratamiento.

15. 14. Cambios a esta Política, marco normativo y contacto

Guapu podrá actualizar esta Política de IA para reflejar cambios en los modelos, proveedores, funciones o requisitos legales, incluida la evolución del EU AI Act y de la normativa de protección de datos de América Latina. Los cambios sustanciales se notificarán con antelación razonable al titular de la cuenta y mediante aviso en la aplicación, conforme a la Política de Privacidad.

Esta Política se enmarca, según corresponda, en: el Reglamento de Inteligencia Artificial de la Unión Europea (EU AI Act), el Reglamento General de Protección de Datos (GDPR, Reglamento UE 2016/679) y la Ley Estatutaria 1581 de 2012 y su Decreto 1377 de 2013 en Colombia, sin perjuicio de otras normas locales aplicables a los usuarios del Servicio.

Responsable del Servicio: [ENTIDAD LEGAL] (valor sembrado en el repositorio, a confirmar: MENDEZ GROWTH CONSULTING - FZCO), con domicilio en [DOMICILIO] (sembrado: Building A1, Dubai Digital Park, Dubai Silicon Oasis, Emiratos Árabes Unidos) y registro [NIT / DSOA]. El equipo legal debe verificar y completar estos datos registrales antes de la publicación definitiva. Para cualquier asunto sobre inteligencia artificial y decisiones automatizadas: privacidad@guapu.io. Contacto general: hi@guapu.io.

Última actualización: 22 de junio de 2026.