Política de Privacidad del Conector MCP

Política de privacidad del conector MCP de OpenCRM

Última actualización: 6 de octubre de 2026

Esta política se aplica al conector MCP de OpenCRM (también llamado servidor MCP): el componente que permite a un asistente de inteligencia artificial, como Claude, ChatGPT o Codex, consultar y modificar los datos de un CRM de OpenCRM en nombre de un usuario de ese CRM.

Para el resto de tratamientos de OpenCRM (web, formularios de contacto, comunicaciones comerciales) consulta la política de privacidad general.

1. Quién trata los datos

Cada empresa cliente de OpenCRM dispone de su propio CRM, en una dirección del tipo https://empresa.opencrm.es. El conector MCP funciona dentro de ese CRM.

La empresa cliente es la responsable del tratamiento de los datos de su CRM: decide qué datos guarda, qué usuarios pueden conectar un asistente de IA y qué pueden hacer con él.
OpenCRM actúa como encargada del tratamiento: presta el servicio del CRM, incluido el conector, por cuenta de la empresa cliente y conforme al contrato de servicio.

Datos de OpenCRM:

Identidad: OPENCRM, SOCIEDAD LIMITADA
NIF: B16677379
Dirección postal: Calle de Sant Esteve, número 40, Piso 1, 08173 Sant Cugat del Vallès, Barcelona
Correo electrónico: hola@opencrm.es

2. Qué datos trata el conector

Datos del CRM que el usuario consulta o modifica. Cuando el usuario pide algo al asistente, el conector lee o escribe en el CRM la información necesaria para responder: por ejemplo, cuentas, contactos, pedidos, facturas o actividades del calendario. El conector solo accede a lo que ese usuario ya puede ver o modificar en el CRM, según sus permisos de perfil, de campo y de propietario, y solo a los módulos que el administrador ha habilitado para el conector.

Datos de autenticación. El usuario se identifica con su usuario y contraseña de OpenCRM en una pantalla de su propio CRM. El asistente de IA nunca recibe esa contraseña: recibe un permiso temporal (token OAuth). En la base de datos del CRM no se guarda el token, solo su huella criptográfica, junto con el usuario, la aplicación que lo usa, los permisos concedidos y sus fechas de emisión, uso y caducidad.

Registro de actividad. Por seguridad y para que el administrador pueda revisar el uso del conector, cada llamada queda registrada en el propio CRM con:

el usuario y la aplicación (por ejemplo, Claude) que la hizo;
la fecha y hora, y un identificador de la sesión;
la herramienta utilizada y los parámetros enviados (por ejemplo, el módulo y los filtros de una consulta);
un extracto de la respuesta, limitado a 4.000 caracteres, que puede incluir datos del CRM;
si la operación tuvo éxito, el mensaje de error si lo hubo y el tiempo de respuesta.

Este registro solo es visible para los administradores del CRM.

Lo que el conector no trata. El conector no tiene acceso a la conversación entre el usuario y el asistente de IA: solo recibe las peticiones concretas que el asistente le hace. No accede a la memoria, al historial ni a los archivos del usuario en el asistente.

3. Para qué se usan los datos

Para prestar la función que el usuario solicita: responder a sus preguntas sobre el CRM y, cuando lo confirma, crear, modificar o borrar registros.
Para la seguridad y el control del servicio: permitir al administrador del CRM saber quién ha consultado o cambiado qué y cuándo, revocar accesos y detectar usos indebidos.

OpenCRM no utiliza estos datos para publicidad, para elaborar perfiles ni para entrenar modelos de inteligencia artificial.

4. Quién recibe los datos

El asistente de IA que usa el usuario. Para poder responder, el asistente (por ejemplo, Claude, de Anthropic, o ChatGPT, de OpenAI) recibe los resultados de las consultas que el usuario le pide, igual que si el usuario copiara esos datos en el chat. A partir de ese momento, su tratamiento se rige por las condiciones y la política de privacidad del proveedor del asistente y por la configuración de la cuenta del usuario o de su organización. Por ejemplo, la política de privacidad de Anthropic en el caso de Claude. OpenCRM no controla ese tratamiento.

El proveedor de IA de la consulta en lenguaje natural (opcional). El conector incluye una vía de consulta en lenguaje natural que el administrador del CRM puede activar o desactivar. Cuando se usa, se envía al proveedor de IA configurado en el CRM (OpenAI, Google Gemini o Anthropic) la pregunta del usuario y la estructura de los módulos consultados (nombres de los campos y valores de las listas desplegables) para traducir la pregunta en una consulta. No se envían los registros del CRM. La consulta resultante se ejecuta dentro del CRM.

Proveedores de infraestructura. Los datos se almacenan en la infraestructura donde está alojado el CRM de la empresa cliente, bajo los correspondientes acuerdos de encargo del tratamiento.

OpenCRM no vende ni cede los datos del CRM a terceros, salvo obligación legal.

5. Transferencias internacionales

Los proveedores de los asistentes de IA y de la consulta en lenguaje natural pueden estar ubicados fuera del Espacio Económico Europeo. El envío de datos a esos proveedores se produce porque el usuario o su organización deciden usar su servicio. Las garantías aplicables, como las cláusulas contractuales tipo de la Comisión Europea o el marco de privacidad vigente, son las que ofrece cada proveedor en sus condiciones.

6. Cuánto tiempo se conservan los datos

Datos del CRM: los que establezca la empresa cliente y el contrato de servicio. El conector no crea copias aparte.
Permisos de acceso: el token de acceso caduca a la hora y el de renovación a los 30 días sin uso. El administrador puede revocarlos antes en cualquier momento, y el usuario puede desconectar el conector desde su asistente.
Registro de actividad: se conserva en el CRM de la empresa cliente mientras dure el servicio, salvo que su administrador lo elimine antes. Al terminar el contrato se trata como el resto de datos del CRM.

7. Cómo se controla el acceso

El administrador del CRM decide qué usuarios pueden conectar un asistente de IA, qué módulos se exponen, en cuáles se permite escribir y si la consulta en lenguaje natural está activa. Puede revocar cualquier conexión de forma inmediata.
Antes de guardar cualquier cambio, el conector muestra una vista previa con lo que se va a hacer, y el cambio solo se ejecuta cuando el usuario lo confirma en la conversación.
Las conexiones usan HTTPS y el protocolo OAuth con PKCE. Solo se aceptan aplicaciones identificadas y autorizadas por el CRM.

8. Derechos de las personas

Las personas cuyos datos figuran en un CRM de OpenCRM (por ejemplo, contactos de la empresa cliente) deben ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad ante la empresa titular de ese CRM, que es la responsable del tratamiento. Si la solicitud llega a OpenCRM, la trasladaremos a la empresa cliente.

Los usuarios del CRM pueden dirigirse a su empresa o a OpenCRM en hola@opencrm.es para cualquier consulta sobre el tratamiento de sus datos en el conector. También pueden presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

9. Cambios en esta política

OpenCRM puede actualizar esta política cuando cambie el funcionamiento del conector o la normativa aplicable. La fecha de la última actualización figura al principio de esta página.

Política de Privacidad del Conector MCP de OpenCRM