Política de tratamiento de datos personales

1. Identificación del responsable

Nombre

Joham Bohorquez Rueda

Proyecto y marca

AllyHand, en proceso de registro en Colombia

Domicilio

Bogotá D.C., Colombia

Dirección

Calle 134A #57A-55

Código postal

111121

Correo

joham@allyhand.co

Teléfono

+57 319 502 5245

Estos datos se actualizarán cuando concluya el registro de AllyHand. No existe todavía una razón social constituida, NIT o número de registro mercantil que deba informarse.

2. Marco y ámbito

La política toma como referencia la Constitución Política de Colombia, la Ley Estatutaria 1581 de 2012, el Decreto 1074 de 2015 y las instrucciones vigentes de la Superintendencia de Industria y Comercio. Aplica a las bases de datos y tratamientos sobre los cuales el responsable actual decide directamente.

Las organizaciones usuarias pueden actuar como responsables independientes respecto de los datos comerciales que incorporan. En esos casos, AllyHand presta funciones tecnológicas bajo sus instrucciones y controles de acceso, sin reemplazar las políticas o autorizaciones que correspondan a cada organización.

3. Tratamientos y finalidades

AllyHand puede recolectar, almacenar, organizar, consultar, actualizar, transmitir, usar y, cuando proceda, suprimir o neutralizar datos para:

• administrar cuentas, autenticación, membresías, roles y permisos;
• gestionar proyectos, contactos, leads, oportunidades, inventario y actividades;
• tramitar pendientes, aprobaciones, reservas, documentos, cotizaciones e informes;
• prestar el asistente Ally con el contexto autorizado por la organización;
• conectar voluntariamente cuentas de Google o Microsoft y enviar mensajes autorizados;
• atender soporte, seguridad, auditoría, prevención de fraude e incidentes;
• cumplir obligaciones legales y ejercer o defender derechos.

Las categorías y prácticas específicas se explican en la Política de privacidad. No se realizarán tratamientos incompatibles con las finalidades informadas sin la base y comunicación que correspondan.

4. Derechos de los titulares

El titular o su causahabiente, cuando corresponda, puede:

• conocer, actualizar y rectificar sus datos personales;
• solicitar prueba de la autorización, salvo excepciones legales;
• ser informado del uso dado a sus datos;
• acceder gratuitamente a los datos objeto de tratamiento;
• revocar la autorización o solicitar supresión cuando legalmente proceda;
• presentar quejas ante la Superintendencia de Industria y Comercio después de agotar el trámite de consulta o reclamo ante el responsable o encargado.

5. Canal responsable

El canal encargado de protección de datos y de tramitar consultas y reclamos es joham@allyhand.co. También puede utilizarse la dirección Calle 134A #57A-55, Bogotá D.C., Colombia, código postal 111121.

La solicitud debe incluir nombre e identificación suficiente del titular, información de contacto, hechos o petición concreta, los datos involucrados y los documentos de soporte que resulten pertinentes. Si actúa un representante, debe acreditar esa calidad.

6. Procedimiento para consultas

1. La consulta se envía al canal indicado y debe permitir conservar prueba de su recepción.
2. Se atenderá en un término máximo de diez días hábiles contados desde su recibo.
3. Si no fuera posible responder dentro de ese término, antes de que venza se informarán los motivos y la nueva fecha, que no superará cinco días hábiles adicionales.

Se entregará la información vinculada con la identificación del titular que pueda comunicarse legítimamente, protegiendo al mismo tiempo los datos de otras personas y los secretos o controles de seguridad.

7. Procedimiento para reclamos

1. El reclamo debe identificar al titular, describir los hechos y la petición e incluir dirección y documentos de soporte.
2. Si está incompleto, se solicitará subsanación dentro de los cinco días siguientes a su recepción. Si transcurren dos meses desde el requerimiento sin respuesta, se entenderá desistido.
3. Si quien recibe no es competente, trasladará el reclamo a quien corresponda dentro de dos días hábiles e informará al interesado.
4. Cuando esté completo se incorporará la leyenda “reclamo en trámite” y el motivo, en un término no mayor a dos días hábiles, hasta resolverlo.
5. El término máximo de respuesta será de quince días hábiles contados desde el día siguiente a su recibo. Si no es posible, se informarán los motivos y la nueva fecha, que no superará ocho días hábiles adicionales.

8. Revocación y supresión

El titular puede solicitar revocación o supresión cuando el tratamiento no respete los principios, derechos y garantías aplicables o cuando haya desaparecido la finalidad que lo justificaba. La solicitud será evaluada considerando las obligaciones legales y contractuales, la defensa de derechos, la seguridad y la necesidad de conservar evidencia de auditoría.

Desconectar una cuenta de correo neutraliza o elimina las credenciales locales utilizables, pero no borra automáticamente consentimientos inmutables ni eventos necesarios de auditoría. El retiro adicional del consentimiento ante Google o Microsoft puede realizarse desde la cuenta del proveedor.

Una fecha de vencimiento puede impedir el uso o la visualización de un registro sin eliminarlo físicamente. AllyHand distingue entre caducidad lógica, revocación de acceso, anonimización y supresión. Cuando no existe una depuración automática demostrada, la solicitud se evalúa y ejecuta de forma controlada, preservando únicamente las excepciones legales, contractuales, de seguridad o de defensa de derechos que correspondan.

9. Datos sensibles

AllyHand no requiere datos sensibles para su funcionamiento ordinario. El titular no está obligado a autorizarlos. Si excepcionalmente fueran necesarios, se informará su carácter facultativo, la finalidad específica y las salvaguardas reforzadas, y se solicitará autorización explícita cuando la ley lo exija.

10. Niños, niñas y adolescentes

AllyHand es un servicio empresarial y no está dirigido a menores. El tratamiento excepcional de sus datos solo podrá realizarse cuando respete el interés superior, los derechos fundamentales y el derecho del menor a ser escuchado según su madurez, con intervención de su representante cuando corresponda.

11. Transmisiones y transferencias

AllyHand utiliza infraestructura tecnológica que puede operar fuera de Colombia, incluyendo Supabase, Vercel, Sentry, OpenAI y, cuando el usuario los elige, Google o Microsoft. La calificación de cada relación dependerá de si el tercero trata datos por cuenta de AllyHand, decide finalidades propias o recibe información por elección directa del usuario.

Se evaluarán y documentarán los contratos, instrucciones, autorizaciones, niveles adecuados de protección u otros mecanismos exigidos para cada transmisión o transferencia. La expansión a nuevos países requerirá una revisión previa de estas condiciones.

La infraestructura vigente incluye base de datos, autenticación y archivos en São Paulo; distribución global y funciones de aplicación en Estados Unidos; observabilidad con endpoint configurado en Estados Unidos; y procesamiento de Ally a través de Vercel AI Gateway y OpenAI. Estas ubicaciones no constituyen una promesa de residencia exclusiva y pueden involucrar subprocesadores conforme a los contratos vigentes.

12. Seguridad y responsabilidad demostrada

Se mantienen controles de autenticación, autorización por organización y rol, cifrado, trazabilidad, aislamiento de datos, acceso restringido a secretos y reducción de información enviada a observabilidad. El plan actual de base de datos no incluye copias de seguridad programadas accesibles por AllyHand; cualquier copia operativa del proveedor se rige por sus términos. Estos controles se revisan de acuerdo con el riesgo y la evolución del servicio.

13. Vigencia

Esta política rige desde el 18 de agosto de 2026. Las bases de datos se conservarán durante el tiempo razonable y necesario para las finalidades informadas, la relación con cada organización, la seguridad y las obligaciones legales. No se fija un plazo uniforme cuando el sistema o la ley no lo permiten.

Las actualizaciones se publicarán con nueva fecha o versión. La identificación del responsable deberá actualizarse cuando finalice el registro de AllyHand.

Los periodos técnicos conocidos no deben confundirse con eliminación: el estado OAuth vence a los 10 minutos; las conversaciones de Ally tienen vigencia lógica de 12 horas o 7 días cuando están fijadas; y los informes dejan de descargarse a los 7 días y de mostrarse a los 90. No se ha implementado una purga física general para todos esos vencimientos.