Tratamiento de datos

Documento en borrador. Falta completar NIT, dirección de notificación, correo de protección de datos, teléfono de atención en config.php. Mientras tanto los huecos salen resaltados. Versión de trabajo durante el registro de la empresa. Completa la identidad del responsable real y sus canales, y valida el texto y la operación antes de activar el tratamiento con IA.

Este documento es el que de verdad importa en nuestro trabajo. Cuando instalamos un CRM, un bot de WhatsApp o una campaña de reactivación, manejamos datos de personas reales que no son nuestros clientes: son los clientes de nuestro cliente. Aquí decimos con qué papel los tratamos, qué hacemos con ellos y qué no hacemos nunca.

1. Dos papeles distintos, y no conviene confundirlos

La Ley 1581 de 2012 separa dos figuras, y nosotros ocupamos una u otra según el caso:

Como encargados no usamos esos datos para nada propio: ni para vender, ni para ofrecerles nuestros servicios, ni para entrenar modelos, ni para construir bases nuestras.

2. Obligaciones del negocio que nos contrata

Si el sistema va a tratar datos de terceros, el cliente, como responsable, debe garantizar que:

• Cuenta con la autorización previa, expresa e informada de cada titular, o con otra causa legal que lo habilite.
• Tiene publicada su propia política de tratamiento de datos y un canal para atender consultas y reclamos.
• Inscribió sus bases de datos en el Registro Nacional de Bases de Datos (RNBD) de la Superintendencia de Industria y Comercio, cuando le aplique según sus activos totales.
• No nos entrega datos sensibles (salud, biometría, orientación sexual, convicciones, entre otros) sin habérnoslo advertido y sin la autorización reforzada que la ley exige.

Lo dejamos por escrito en el contrato antes de empezar. No es burocracia: si el cliente no tiene la autorización, la campaña que le montemos lo expone a una sanción, y a nosotros con él.

3. Qué datos tocamos y para qué

4. Conversaciones de WhatsApp

Los sistemas que instalamos usan la API oficial de WhatsApp Business de Meta Platforms. Esto implica que las conversaciones pasan por la infraestructura de Meta y quedan sujetas además a sus términos y a su política de privacidad. Tres consecuencias que explicamos siempre antes de instalar:

• El número y la cuenta de WhatsApp Business quedan a nombre del cliente siempre que sea posible.
• Los mensajes de marketing tienen un costo según las tarifas y categorías vigentes del proveedor que el cliente paga directamente a Meta.
• Escribir primero a una persona que no ha dado autorización, o hacerlo fuera de las plantillas aprobadas, puede llevar al bloqueo de la línea. No montamos campañas sobre bases de origen desconocido.

5. Inteligencia artificial

Algunos módulos usan modelos de lenguaje de terceros para redactar respuestas o consultar documentos del cliente. Cuando esto ocurre:

• Se informa por escrito en el alcance del proyecto qué proveedor se usa y qué información se le envía.
• Se contrata, cuando el proveedor lo ofrece, la opción que no permite usar los datos para entrenar sus modelos.
• Se envía el mínimo necesario para responder, y se evita mandar datos sensibles o documentos completos cuando basta un fragmento.
• El agente responde con los documentos del cliente. Si la respuesta no está ahí, escala a una persona en lugar de inventarla.

6. Subcontratistas y transferencias internacionales

Para operar el sistema intervienen proveedores de alojamiento, mensajería, correo, almacenamiento y modelos de IA, varios de ellos fuera de Colombia. Se relacionan en el contrato de cada proyecto. Antes del tratamiento se distingue si el receptor actúa como responsable o encargado. Las transferencias se sujetan al artículo 26 de la Ley 1581 y las transmisiones al Decreto 1074 de 2015, artículos 2.2.2.25.5.1 y 2.2.2.25.5.2. Se documentan el alcance, las instrucciones, la seguridad, la confidencialidad y el mecanismo aplicable a cada proveedor.

7. Seguridad y accesos

• Conexiones cifradas y credenciales guardadas en un gestor, nunca en archivos sueltos ni en chats.
• Cada persona del equipo del cliente entra con su propio usuario y con los permisos que le correspondan.
• Los datos de un cliente no se mezclan con los de otro ni con los nuestros.
• Registro de auditoría de quién hizo qué dentro del sistema, cuando el módulo contratado lo incluye.
• Si detectamos un incidente de seguridad, avisamos al cliente sin demora para que pueda reportarlo a la Superintendencia de Industria y Comercio.

8. Qué pasa cuando termina la relación

El sistema queda montado sobre cuentas e infraestructura del cliente siempre que sea posible, así que los datos se quedan donde siempre estuvieron: con él. Al terminar el contrato entregamos accesos y documentación, y eliminamos de nuestros equipos cualquier copia de trabajo, salvo la información que debamos conservar por obligación legal.

9. Derechos de los titulares

Si tus datos están en un sistema que nosotros operamos, el canal natural para ejercer tus derechos es el negocio con el que tienes la relación: él es el responsable. Aun así, si nos escribes a nosotros, trasladamos tu solicitud a ese responsable dentro de los dos (2) días hábiles siguientes y te confirmamos que lo hicimos. No la dejamos sin respuesta.

Tienes derecho a conocer, actualizar, rectificar y suprimir tus datos, a revocar la autorización y a presentar quejas ante la Superintendencia de Industria y Comercio.

10. Lo que no hacemos

• No vendemos, alquilamos ni intercambiamos bases de datos.
• No compramos bases de contactos para hacer campañas.
• No usamos los datos de un cliente para beneficiar a otro.
• No conservamos copias de las bases después de terminar el proyecto.
• No enviamos mensajes masivos a personas que no autorizaron ser contactadas.