Política de Tratamiento de Datos Personales

1. Identificación del responsable

Toda solicitud relacionada con datos personales debe dirigirse al correo indicado, con el asunto "Protección de Datos".

2. Marco legal

Esta política se expide en cumplimiento de:

• Ley 1581 de 2012 — Régimen General de Protección de Datos Personales.
• Decreto 1074 de 2015 — Decreto Único Reglamentario del Sector Comercio, Industria y Turismo (Título 2, Capítulo 25).
• Ley 1266 de 2008 — Habeas Data financiero, cuando resulte aplicable.
• Ley 1273 de 2009 — Protección de la información y de los datos.
• Demás normas concordantes y la doctrina de la Superintendencia de Industria y Comercio (SIC).

3. Definiciones

• Titular: persona natural cuyos datos personales son objeto de tratamiento.
• Dato personal: información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato sensible: aquel que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación.
• Responsable del tratamiento: quien decide sobre la base de datos y el tratamiento de los datos.
• Encargado del tratamiento: quien realiza el tratamiento por cuenta del responsable.
• Tratamiento: cualquier operación sobre datos personales (recolección, almacenamiento, uso, circulación, supresión).
• Autorización: consentimiento previo, expreso e informado del titular.
• Cliente: persona natural o jurídica que contrata los servicios de BrandestBot.
• Usuario Final: persona que interactúa por WhatsApp con el Cliente a través de la Plataforma.
• Plataforma: el software de automatización conversacional desarrollado por BrandestBot.
• Tenant: configuración lógica independiente dentro de la Plataforma correspondiente a un Cliente específico.

4. Ámbito de aplicación: doble rol

BrandestBot actúa bajo dos roles jurídicos distintos, y las obligaciones cambian según el caso. Esta distinción es esencial para entender esta política.

4.1. BrandestBot como RESPONSABLE

Cuando BrandestBot decide directamente sobre la finalidad del tratamiento. Aplica a:

• Datos de contacto comercial de prospectos y clientes.
• Datos de los usuarios del portal de administración.
• Datos de proveedores, aliados y candidatos laborales.
• Datos de navegación del sitio web.

4.2. BrandestBot como ENCARGADO

Cuando BrandestBot trata datos por cuenta y bajo instrucciones del Cliente. Aplica a:

• Datos de los Usuarios Finales que escriben por WhatsApp al Cliente.
• Contenido de las conversaciones procesadas por la Plataforma.
• Información cargada por el Cliente en su Tenant (bases de conocimiento, catálogos, documentos).

En este escenario el Cliente es el Responsable del tratamiento. BrandestBot no determina las finalidades, no utiliza esos datos para fines propios y no establece relación contractual con el Usuario Final. Corresponde al Cliente obtener las autorizaciones de sus propios titulares y contar con su propia política de tratamiento.

5. Datos que tratamos

5.1. Datos de clientes y prospectos (como responsable)

Nombre, razón social, NIT o documento de identidad, cargo, correo electrónico, teléfono, ciudad, sector económico, información de facturación y registros de la relación comercial.

5.2. Datos de usuarios del portal (como responsable)

Nombre de usuario, credencial de acceso almacenada en forma cifrada mediante función de derivación de clave, rol asignado, fecha de creación y fecha del último inicio de sesión.

5.3. Datos de Usuarios Finales de WhatsApp (como encargado)

Número telefónico, nombre de perfil de WhatsApp, contenido de los mensajes intercambiados, identificadores técnicos de mensaje asignados por Meta, marcas temporales, estado de la conversación y cualquier dato que el Usuario Final suministre voluntariamente durante la interacción.

5.4. Datos técnicos y de operación

Registros de auditoría (logs) con identificadores de correlación, direcciones IP, metadatos de las solicitudes recibidas y métricas de uso de la Plataforma.

5.5. Datos sensibles

BrandestBot no solicita ni requiere datos sensibles para la prestación del servicio. Si un Usuario Final los suministra espontáneamente durante una conversación, serán tratados con la reserva que exige la ley y bajo la responsabilidad del Cliente, quien deberá contar con autorización explícita del titular conforme al artículo 6 de la Ley 1581 de 2012.

5.6. Datos de niños, niñas y adolescentes

La Plataforma no está dirigida a menores de edad. BrandestBot no recolecta intencionalmente sus datos. Cuando el Cliente opere en sectores donde esto sea previsible, deberá adoptar las salvaguardas del artículo 7 de la Ley 1581 de 2012 y del Decreto 1074 de 2015.

6. Finalidades del tratamiento

Los datos se tratan exclusivamente para:

1. Prestar, operar y mantener la Plataforma conforme al contrato suscrito.
2. Procesar y responder mensajes mediante motores conversacionales e inteligencia artificial.
3. Administrar la integración técnica con WhatsApp Business Platform y demás servicios contratados.
4. Autenticar y controlar el acceso al portal de administración.
5. Generar métricas, reportes y analítica de uso para el Cliente.
6. Prestar soporte técnico y atender incidentes.
7. Gestionar la relación comercial, facturación y cobro.
8. Cumplir obligaciones legales, contables, tributarias y requerimientos de autoridad competente.
9. Mantener la seguridad de la Plataforma, prevenir fraude y auditar accesos.
10. Enviar comunicaciones sobre cambios técnicos, mantenimientos o actualizaciones del servicio.

BrandestBot no vende, arrienda ni comercializa datos personales bajo ninguna circunstancia, ni utiliza el contenido de las conversaciones de los Usuarios Finales para entrenar modelos propios de inteligencia artificial ni para finalidades ajenas a la prestación del servicio contratado.

7. Autorización del titular

La autorización se obtiene por cualquier medio que permita su posterior consulta, incluyendo aceptación electrónica, suscripción del contrato, diligenciamiento de formularios o continuación voluntaria de una conversación por WhatsApp tras el aviso de privacidad.

Respecto de los Usuarios Finales, la obtención de la autorización corresponde al Cliente en su calidad de Responsable. El Cliente declara contar con dicha autorización y mantiene indemne a BrandestBot frente a reclamaciones derivadas de su ausencia.

No se requiere autorización cuando se trate de información requerida por entidad pública en ejercicio de sus funciones, datos de naturaleza pública, casos de urgencia médica o sanitaria, tratamiento con fines históricos o estadísticos debidamente disociados, o datos relacionados con el Registro Civil.

8. Derechos del titular

Conforme al artículo 8 de la Ley 1581 de 2012, todo titular puede:

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización otorgada.
• Ser informado sobre el uso dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley.
• Revocar la autorización y solicitar la supresión de sus datos, salvo cuando exista un deber legal o contractual que lo impida.
• Acceder gratuitamente a sus datos personales.

9. Procedimiento para consultas y reclamos

Canal único: contacto@brandestbot.com, asunto "Protección de Datos".

9.1. Consultas

Se atienden en un término máximo de diez (10) días hábiles. Si no fuere posible, se informará al interesado y se atenderá dentro de los cinco (5) días hábiles siguientes al vencimiento del primer plazo.

9.2. Reclamos

La solicitud debe contener: identificación del titular, descripción de los hechos, dirección de notificación y documentos de soporte.

• Si el reclamo está incompleto, se requiere al interesado dentro de los cinco (5) días siguientes. Transcurridos dos (2) meses sin respuesta, se entiende desistido.
• El término máximo de atención es de quince (15) días hábiles. De no ser posible, se informará al interesado y se resolverá dentro de los ocho (8) días hábiles siguientes.

9.3. Solicitudes de Usuarios Finales

Cuando la solicitud provenga de un Usuario Final de WhatsApp, BrandestBot actúa como Encargado. La solicitud será remitida al Cliente correspondiente, quien es el Responsable, dentro de los cinco (5) días hábiles siguientes, y BrandestBot ejecutará las instrucciones que este imparta conforme a la ley.

10. Eliminación de datos

Todo titular puede solicitar la eliminación de sus datos personales. El procedimiento detallado, incluyendo el canal, los plazos y el alcance de la supresión, está descrito en la sección "Eliminación de datos de usuario" de nuestros Términos y Condiciones del Servicio.

11. Encargados, transmisión y transferencia internacional

La Plataforma opera sobre infraestructura de terceros. Al utilizar el servicio, el titular reconoce que sus datos pueden ser transmitidos o transferidos a los siguientes proveedores, algunos ubicados fuera de Colombia:

Estas transferencias se realizan con autorización del titular y bajo garantías contractuales que obligan a los receptores a estándares de seguridad y confidencialidad equivalentes a los exigidos por la legislación colombiana, conforme a los artículos 26 y 27 de la Ley 1581 de 2012.

BrandestBot no controla las políticas internas ni la infraestructura de estos terceros. Cada uno mantiene sus propias condiciones de tratamiento, que el titular puede consultar directamente.

12. Uso y protección de los datos de Google (Google API Services)

BrandestBot integra servicios de Google, específicamente Google Calendar, para permitir la gestión y el agendamiento de citas y eventos dentro de los flujos de automatización que operamos en nombre de nuestros Clientes. El acceso se realiza mediante el protocolo OAuth 2.0, un mecanismo de autorización seguro y cifrado, sin que BrandestBot almacene las contraseñas de las cuentas de Google de los usuarios.

Alcance del acceso. BrandestBot solicita el permiso Ver y editar eventos en tus calendarios (https://www.googleapis.com/auth/calendar.events), utilizado exclusivamente para crear, leer, actualizar o cancelar eventos y citas en el calendario que el usuario autoriza, con el fin de prestar el servicio de agendamiento automatizado.

Titularidad de las credenciales. Cada Cliente conecta su propia cuenta de Google y otorga expresamente, a través del flujo de consentimiento de Google, el acceso a su calendario. BrandestBot actúa como encargado del tratamiento de esos datos, únicamente para los fines autorizados por el Cliente titular de la cuenta.

Uso limitado (Limited Use). El uso y la transferencia que BrandestBot hace de la información recibida de las APIs de Google se adhieren a la Política de Datos de Usuario de los Servicios de API de Google, incluidos sus requisitos de Uso Limitado. En particular, BrandestBot declara que:

• Solo utiliza el acceso a los datos de Google para proporcionar o mejorar las funciones de agendamiento visibles para el usuario dentro de la plataforma.
• No transfiere ni vende los datos de Google a terceros con fines de publicidad, mercadeo, ni ningún otro fin ajeno a la prestación del servicio.
• No utiliza los datos de Google para publicidad dirigida.
• No permite que personas lean los datos de Google, salvo que el usuario lo consienta expresamente, sea necesario por seguridad o para cumplir la ley, o se trate de datos agregados y anonimizados conforme lo permite la política de Google.

Almacenamiento, seguridad y revocación. Los tokens de acceso y actualización (OAuth 2.0) se almacenan cifrados y se emplean únicamente para ejecutar las acciones autorizadas sobre el calendario del usuario. El usuario puede revocar en cualquier momento el acceso otorgado a BrandestBot desde la configuración de seguridad de su cuenta de Google (myaccount.google.com/permissions), lo que interrumpe de inmediato el acceso de la plataforma a dichos datos.

13. Medidas de seguridad

BrandestBot aplica medidas técnicas, humanas y administrativas razonables para proteger los datos contra adulteración, pérdida, consulta, uso o acceso no autorizado. Entre ellas:

• Cifrado en tránsito mediante HTTPS/TLS en todas las comunicaciones.
• Cifrado en reposo de credenciales sensibles mediante algoritmo AES-256-GCM con vector de inicialización aleatorio y etiqueta de autenticación por valor.
• Almacenamiento de contraseñas mediante función de derivación de clave resistente a memoria, con sal única por usuario y comparación en tiempo constante.
• Verificación de firma HMAC de todos los eventos entrantes provenientes de Meta.
• Aislamiento lógico por Tenant: los datos de cada Cliente están segregados y no son accesibles desde otro Tenant.
• Control de acceso por roles en el portal de administración, con sesiones firmadas criptográficamente y expiración automática.
• Redacción automática de secretos en los registros de auditoría.
• Limitación de intentos de autenticación para mitigar ataques de fuerza bruta.
• Copias de seguridad periódicas de la base de datos.

Ninguna medida de seguridad es infalible. BrandestBot no garantiza seguridad absoluta frente a ataques que superen el estado del arte o que se originen en la infraestructura de terceros.

14. Conservación de los datos

Los datos se conservan durante el tiempo necesario para cumplir las finalidades del tratamiento y, posteriormente, durante los términos exigidos por la normativa comercial, contable y tributaria colombiana.

15. Incidentes de seguridad

En caso de violación de los códigos de seguridad o de pérdida, robo o acceso no autorizado a la información, BrandestBot:

1. Adoptará de inmediato las medidas de contención y corrección.
2. Informará al Cliente afectado dentro de las setenta y dos (72) horas siguientes a la detección.
3. Reportará el incidente a la Superintendencia de Industria y Comercio cuando la ley lo exija.
4. Documentará el incidente, sus causas y las medidas adoptadas.

16. Cookies y tecnologías similares

El sitio web y el portal de administración utilizan cookies estrictamente necesarias para el funcionamiento del servicio, en particular para mantener la sesión autenticada del usuario. Estas cookies son de tipo HttpOnly, con política SameSite restrictiva y transmisión exclusiva por canal seguro en producción.

No se utilizan cookies de publicidad ni de seguimiento entre sitios. Si esto cambiara, se actualizará esta política y se solicitará el consentimiento correspondiente.

17. Registro Nacional de Bases de Datos

BrandestBot cumplirá con la inscripción de sus bases de datos en el Registro Nacional de Bases de Datos (RNBD) administrado por la Superintendencia de Industria y Comercio, cuando por su nivel de activos o naturaleza jurídica se encuentre obligada conforme al Decreto 1074 de 2015 y las circulares vigentes.

18. Vigencia

Esta política rige a partir del 2 de septiembre de 2026 y permanecerá vigente mientras BrandestBot S.A.S. desarrolle su objeto social.

Las bases de datos se mantendrán vigentes durante el tiempo indicado en la sección 13.

BrandestBot podrá modificar esta política. Los cambios sustanciales se comunicarán mediante el sitio web con al menos quince (15) días calendario de anticipación a su entrada en vigencia. El uso continuado del servicio tras dicho plazo implica aceptación de la versión actualizada.

19. Autoridad de control

El titular que considere vulnerados sus derechos puede acudir a la Superintendencia de Industria y Comercio, previa consulta o reclamo directo ante BrandestBot conforme al artículo 16 de la Ley 1581 de 2012.

• Sitio web: www.sic.gov.co
• Sede principal: Carrera 13 No. 27 – 00, Bogotá D.C.