Política de Tratamiento de Datos Personales

Jeny Vannesa Cardona Ortiz, persona natural, con domicilio en Sabaneta, Antioquia, Colombia (en adelante, «el Prestador»), que presta el servicio SmartShot.

Teléfono: +57 301 542 7902

Canal para consultas, reclamos y cualquier solicitud sobre datos personales: smartshottech@gmail.com. Las atiende directamente el Prestador.

Esta política se expide conforme a la Ley 1581 de 2012 y al Decreto 1074 de 2015. Usa los términos de esa ley: «titular» es la persona a quien se refieren los datos; «responsable», quien decide sobre su tratamiento; y «encargado», quien los trata por cuenta del responsable.

• Datos de los Clientes (los negocios que contratan SmartShot): el Prestador es el responsable.
• Datos de los clientes finales (las personas que escriben al WhatsApp de cada negocio): el responsable es cada negocio, y el Prestador es su encargado, conforme al Anexo de encargo del tratamiento de datos personales. Cada negocio debe obtener la autorización de sus clientes finales y tener su propia política.
• Datos de quienes visitan la web o prueban la demostración: el Prestador es el responsable.

De los Clientes. Nombre, correo y foto de perfil (también los que entrega Google si se accede con Google); los datos del negocio (nombre, dirección, teléfonos, horarios, servicios, precios, promociones, imágenes del catálogo); el estado de la suscripción y de los pagos; y la constancia de aceptación de los documentos legales (fecha, versión, dirección IP y navegador). Finalidades: crear y administrar la cuenta; configurar y operar el asistente; crear el calendario del negocio; gestionar la suscripción y los beneficios comerciales a partir del historial de facturación; elaborar los análisis de actividad y enviarlos al número que el Cliente indique; dar soporte; cumplir obligaciones legales; y proteger el servicio frente a fraude y abuso. Los datos de pago (tarjeta, cuenta) los trata Paddle; el Prestador no los recibe.

De los clientes finales (como encargado). El número de teléfono; el texto de cada mensaje y de cada respuesta del asistente; la transcripción de las notas de voz (el audio no se guarda); el nombre, el servicio pedido, el teléfono de contacto y los datos de la cita; y el motivo cuando la conversación se pasa a una persona. Las fotos, vídeos y documentos que envían no se procesan ni se guardan en SmartShot, aunque sí pasan por el proveedor de conexión con WhatsApp. Finalidad única: atender la conversación en nombre del negocio, gestionar sus citas, enviar los recordatorios del plan contratado y elaborar las cifras de actividad del negocio.

De quienes visitan la web. Se mide qué páginas se visitan con Vercel Web Analytics, sin cookies y sin guardar la dirección IP. De cada visita se registran la página, la etiqueta de campaña del enlace si la trae (los parámetros «utm», como utm_content), la página de procedencia, el país y la ciudad aproximados, y el tipo de dispositivo, el navegador y el sistema operativo. Vercel distingue las visitas con una huella de la petición que descarta a las veinticuatro (24) horas, de modo que los datos solo se ven en conjunto y no permiten saber quién visitó la web. De la dirección de la página se quita cualquier otro parámetro, y no se mide en el pago, el panel, el acceso ni el registro. Finalidad: saber qué páginas y qué enlaces traen visitas. No se usan herramientas de publicidad.

De quienes prueban la demostración. Los mensajes que se escriben y los servicios que se cargan en el formulario se envían al proveedor de inteligencia artificial para generar la respuesta y no se guardan en los servidores del Prestador. Para limitar el uso sí se guardan una huella cifrada de la dirección IP (no la dirección), el número de mensajes de cada día y, de cada respuesta, el modelo usado, su tamaño y cuánto tardó, sin el texto.

De los negocios a los que se envía un enlace de demostración. El Prestador puede enviar a un negocio concreto un enlace que abre la demostración con su nombre ya escrito. Si el enlace lleva los datos del negocio dentro de la propia dirección, no se guarda nada. Si lleva solo un código, el Prestador guarda el nombre comercial del negocio, la ciudad y el tipo de negocio (barbería o belleza), junto con una referencia interna para saber a qué negocio se envió; no guarda teléfonos, correos ni direcciones. Finalidad única: que la demostración se abra con el nombre de ese negocio, para que la pruebe con sus propios datos. El enlace deja de funcionar a los 30 días de creado; el registro se conserva después sin borrado automático, hasta que el negocio pida suprimirlo.

SmartShot no pide datos sensibles —como información de salud— y los Términos prohíben configurar el asistente para pedirlos. Sin embargo, el asistente guarda el texto de los mensajes tal como llegan: si un cliente final escribe por su cuenta información de salud, ese texto queda en el historial de la conversación y, si pide hablar con una persona, el motivo se le comunica al negocio. Se usa solo para atender esa conversación. El titular no está obligado a dar datos sensibles y puede pedir su supresión en cualquier momento.

El servicio no está dirigido a menores de edad. Si un negocio atiende a menores, le corresponde como responsable obtener las autorizaciones que exige la ley.

Las respuestas a los clientes finales las genera un sistema de inteligencia artificial, sin intervención humana, a partir de la información del negocio y del historial de la conversación. El asistente no toma decisiones con efectos jurídicos sobre las personas: informa, agenda y pasa a una persona lo que no puede resolver. El Prestador no entrena modelos con las conversaciones. Google, que provee la inteligencia artificial mediante la API de Gemini en su modalidad de pago, no usa las instrucciones ni las respuestas para mejorar sus productos; las conserva hasta cincuenta y cinco (55) días solo para detectar abusos, con acceso únicamente de personal autorizado de Google, y puede almacenarlas de forma transitoria en cualquier país donde opere.

El Prestador usa estos proveedores, que tratan los datos como encargados o subencargados, solo para su función y bajo sus propios términos de protección de datos:

• WasenderAPI (Reino Unido): conexión del número de WhatsApp; por ella pasan todos los mensajes. No es la API oficial de WhatsApp (ver el numeral 5 de los Términos).
• Google (Estados Unidos y otros países): Gemini, para generar las respuestas y transcribir audios, en la modalidad de pago; Google Calendar, para las citas; y Google Sheets, para la configuración de cada negocio.
• Neon (Estados Unidos): base de datos con los perfiles, las conversaciones y los registros técnicos.
• Vercel (Estados Unidos): alojamiento de la web, registros técnicos y medición de visitas sin cookies (Vercel Web Analytics).
• Clerk (Estados Unidos): cuentas e inicio de sesión.
• Make y Gmail: avisos internos de errores del servicio dirigidos al Prestador, que pueden incluir el número del cliente final afectado.
• Paddle (Reino Unido, Estados Unidos, Irlanda y Canadá): cobros y facturación. Actúa como revendedor del servicio y trata los datos de pago como responsable independiente, según su propia política.

También se comunicarán datos a una autoridad cuando lo exija la ley o una orden judicial o administrativa.

Como estos proveedores operan fuera de Colombia, el tratamiento implica la transmisión de datos a encargados en otros países, principalmente Estados Unidos y el Reino Unido, que la Superintendencia de Industria y Comercio reconoce como países con nivel adecuado de protección. Las transmisiones se hacen para ejecutar el servicio y bajo los compromisos de seguridad y confidencialidad de cada proveedor. Paddle recibe los datos de pago como responsable de su propio tratamiento.

• Datos de la cuenta y del negocio: mientras la cuenta exista. Al cancelar la suscripción no se borran solos, para que el Cliente pueda volver; se suprimen cuando el Cliente lo pide.
• Conversaciones de los clientes finales y registros técnicos: mientras el negocio use el servicio. Hoy no hay un borrado automático por antigüedad; se suprimen a solicitud del negocio o del titular.
• Citas: en el Google Calendar del negocio, que es del negocio. Si el cliente final cancela la cita, se borra.
• Enlaces de demostración personalizados (nombre comercial, ciudad y tipo de negocio): el enlace funciona 30 días; el registro se conserva después sin borrado automático y se suprime cuando el negocio lo pide.
• Datos de facturación: los conserva Paddle durante los plazos que le exige la ley.
• Constancias de aceptación: mientras exista la cuenta y, después, mientras pueda ser necesario probar qué se aceptó.
• Huellas y conteos de uso de la demostración: como registros técnicos. Hoy no hay un borrado automático por antigüedad.
• Medición de visitas: Vercel descarta la huella de cada visita a las veinticuatro (24) horas y conserva los datos en conjunto al menos un (1) mes, que es el período de consulta del plan; según sus condiciones, puede conservarlos más tiempo.

Conforme al artículo 8 de la Ley 1581 de 2012, el titular puede: conocer, actualizar y rectificar sus datos; pedir prueba de la autorización dada; ser informado del uso que se les ha dado; presentar quejas ante la Superintendencia de Industria y Comercio; revocar la autorización o pedir la supresión cuando no haya un deber legal o contractual de conservarlos; y acceder gratis a sus datos.

Se escribe a smartshottech@gmail.com indicando el nombre del titular, el número de teléfono o correo al que se refieren los datos, lo que se pide y un medio de respuesta. Plazos, según los artículos 14 y 15 de la Ley 1581 de 2012:

• Consultas: respuesta en un máximo de diez (10) días hábiles, prorrogables cinco (5) días hábiles más avisando antes del vencimiento.
• Reclamos (corrección, actualización, supresión o incumplimiento): respuesta en un máximo de quince (15) días hábiles, prorrogables ocho (8) días hábiles más avisando antes del vencimiento. Si el reclamo está incompleto, se pedirá completarlo dentro de los cinco (5) días siguientes; si pasan dos (2) meses sin respuesta, se entiende desistido. En los dos (2) días hábiles siguientes a recibirlo se marcará como «reclamo en trámite».
• Si la solicitud es de un cliente final, el Prestador la atiende en los sistemas bajo su control e informa al negocio responsable para lo que le corresponda.

Antes de acudir a la Superintendencia de Industria y Comercio, que es la autoridad de protección de datos (artículo 19 de la Ley 1581 de 2012), el titular debe haber agotado este trámite ante el Prestador.

El Prestador aplica medidas razonables: cifrado en tránsito, acceso a los sistemas solo con credenciales, separación de la información de cada negocio y proveedores con compromisos de seguridad. Ninguna medida es infalible. Si un incidente compromete datos personales, el Prestador lo reportará a la Superintendencia de Industria y Comercio dentro de los quince (15) días hábiles siguientes a conocerlo, y lo comunicará a los afectados o a los negocios responsables.

Solo se usan los necesarios para que la web funcione. No hay cookies de analítica ni de publicidad: la medición de visitas del numeral 3 no usa cookies ni guarda nada en el navegador. Por eso no se pide consentimiento adicional:

• Cookies de sesión de Clerk (como __session y __client_uat): mantener la sesión iniciada.
• ss_terms_acceptance (2 horas): guardar la aceptación de los documentos legales mientras se crea la cuenta.
• ss_account_type (2 horas): recordar si la cuenta es de un negocio o de una agencia durante el registro.
• ss_demo (21 días): contar los mensajes de la demostración para limitar su uso.
• Almacenamiento de la pestaña (sessionStorage) de la demostración: la conversación de prueba, que se borra al cerrar la pestaña.

El Cliente autoriza este tratamiento al marcar la casilla de aceptación en el registro; el Prestador conserva la constancia. Esta política rige desde la fecha del encabezado. Los cambios sustanciales se avisarán antes de aplicarse por el correo de la cuenta, y las versiones anteriores quedan archivadas. Las bases de datos estarán vigentes mientras se preste el servicio.