Política de Tratamiento de Datos Personales

• Responsable: Jeisson Fabian Osorio Torres (persona natural comerciante)
• NIT: 1013675560-8
• Domicilio: CR 22 A OESTE 5 09 BRR CASA BLANCA, Cali, Valle del Cauca, Colombia
• Correo electrónico: [email protected]
• Sitio web: https://sippiz.com

Esta política se expide en cumplimiento del artículo 15 de la Constitución Política, la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) y las demás normas que los modifiquen o complementen.

• Legalidad: el tratamiento se sujeta a lo establecido en la ley.
• Finalidad: los datos se tratan para finalidades legítimas, informadas al titular.
• Libertad: el tratamiento solo se realiza con el consentimiento previo, expreso e informado del titular, salvo excepciones legales.
• Veracidad o calidad: la información debe ser veraz, completa, exacta y actualizada.
• Transparencia: el titular puede obtener información sobre sus datos en cualquier momento.
• Acceso y circulación restringida: los datos solo se tratan por personas autorizadas.
• Seguridad: se aplican medidas para evitar adulteración, pérdida, consulta o acceso no autorizado.
• Confidencialidad: quienes intervienen en el tratamiento guardan reserva de la información.

Tratamos datos de identificación y contacto de Comerciantes y sus equipos (nombre, correo, teléfono, datos del negocio), datos operativos de las tiendas (clientes, pedidos, direcciones de entrega) y datos técnicos de uso de la plataforma. Las finalidades detalladas se describen en la Política de Privacidad e incluyen: prestación del servicio, facturación, soporte, seguridad, analítica y cumplimiento de obligaciones legales.

Para operar SIPPIZ y prestar las funcionalidades contratadas, el Operador y los Comerciantes que utilizan la plataforma usan proveedores tecnológicos que acceden, almacenan, transmiten o procesan información personal. Según la naturaleza del servicio, estos proveedores actúan como Encargados del Tratamiento por cuenta del Operador o del Comerciante, como subencargados o, cuando determinan finalidades propias de tratamiento, como Responsables independientes.

• DigitalOcean, LLC (Estados Unidos (Nueva York)). Servicio: Servidores donde se ejecuta la plataforma y se aloja la base de datos. Datos que puede recibir: Toda la información alojada en la plataforma. Papel: Encargado del Operador y subencargado respecto de los datos de los Clientes finales de cada tienda.
• Amazon Web Services, Inc. (Estados Unidos). Servicio: Almacenamiento de imágenes y archivos. Datos que puede recibir: Imágenes y archivos cargados en la plataforma. Papel: Encargado o subencargado.
• Cloudflare, Inc. (Estados Unidos y red global). Servicio: Distribución de contenido, seguridad, DNS y proxy. Datos que puede recibir: Dirección IP, datos técnicos y solicitudes web. Papel: Encargado o subencargado.
• Wompi (Colombia). Servicio: Procesamiento de pagos y tokenización de tarjetas (suscripciones de SIPPIZ y pagos en las tiendas). Datos que puede recibir: Datos del pagador y del instrumento de pago. Papel: Responsable independiente en lo regulado por su actividad de pagos; encargado en lo demás.
• Mercado Pago, PayU y ePayco (Colombia y el exterior, según la pasarela). Servicio: Procesamiento de pagos, solo cuando el Comerciante conecta su propia cuenta. Datos que puede recibir: Datos del pagador y de la operación. Papel: Responsable independiente en lo regulado por su actividad de pagos; encargado en lo demás.
• Google LLC (Gemini) (Estados Unidos). Servicio: Funciones de inteligencia artificial: respaldo del asistente de compras y contenidos de marketing. Datos que puede recibir: Texto, instrucciones, imágenes y archivos enviados a esas funciones. Papel: Encargado, bajo términos que excluyen el uso propio de los datos.
• Anthropic, PBC y Groq, Inc. (Estados Unidos). Servicio: Funciones de inteligencia artificial: asistente de compras, contenidos de marketing y resumen de informes internos. Datos que puede recibir: Texto e instrucciones del flujo. Papel: Encargado, bajo términos que excluyen el uso propio de los datos.
• OpenAI, L.L.C. (Estados Unidos). Servicio: Generación de imágenes para contenidos de marketing. Datos que puede recibir: Instrucciones de texto para la imagen (no se envían datos de contacto). Papel: Encargado, bajo términos que excluyen el uso propio de los datos.
• Google LLC (Firebase) (Estados Unidos). Servicio: Autenticación y envío de códigos de acceso por SMS. Datos que puede recibir: Número de celular y datos técnicos. Papel: Encargado.
• Google LLC (Google Maps) (Estados Unidos). Servicio: Geocodificación, mapas y zonas de cobertura. Datos que puede recibir: Direcciones y ubicación. Papel: Puede actuar como responsable independiente respecto de los datos que sus términos le permiten usar.
• OpenStreetMap Foundation (Nominatim) (Reino Unido y Unión Europea). Servicio: Geocodificación alternativa cuando Google Maps no está disponible. Datos que puede recibir: Dirección consultada y datos técnicos. Papel: Tercero receptor.
• Meta Platforms (WhatsApp Business) (Estados Unidos e Irlanda). Servicio: Mensajes transaccionales de pedidos, reservas y recordatorios. Datos que puede recibir: Nombre, teléfono y contenido del mensaje. Papel: Encargado para la mensajería; responsable en lo que Meta define en sus términos.
• Resend, Inc. (Estados Unidos). Servicio: Correos transaccionales y operativos. Datos que puede recibir: Correo, nombre y contenido del mensaje. Papel: Encargado.
• n8n (Infraestructura propia del Operador). Servicio: Automatizaciones entre servicios. Datos que puede recibir: Los datos del flujo automatizado. Papel: Ninguno: se ejecuta en los servidores del Operador y no recibe datos como tercero. Si un flujo invoca un servicio externo, aplica lo indicado para ese servicio.
• Proveedor tecnológico de facturación electrónica autorizado por la DIAN, Siigo y Alegra (Colombia). Servicio: Facturación electrónica, solo cuando el Comerciante la habilita. Datos que puede recibir: Datos del adquirente, de la operación, de los productos y de los impuestos. Papel: Encargado del Comerciante.
• Meta Platforms y TikTok (publicidad) (Estados Unidos y otros países). Servicio: Campañas, medición y audiencias de la publicidad de SIPPIZ. Datos que puede recibir: Identificadores técnicos, eventos y, si el titular lo autoriza, correo y teléfono transformados con hash. Papel: Responsable independiente: es una transferencia y solo se realiza con la autorización específica del titular.

Cada encargado accede únicamente a los datos necesarios para su función y está obligado a tratarlos solo conforme a las instrucciones del Operador o del Comerciante, con deberes de confidencialidad y seguridad. Con cada encargado existe un contrato de transmisión, un acuerdo de procesamiento de datos (DPA) o un instrumento equivalente; en los servicios en la nube ese acuerdo suele hacer parte de los términos del proveedor, y el Operador conserva copia del instrumento aplicable y la evidencia de su aceptación. El Operador no vende ni alquila datos personales.

Los encargados pueden a su vez apoyarse en subencargados, por ejemplo sus propios proveedores de infraestructura. El Operador exige a sus encargados que impongan a esos subencargados obligaciones equivalentes de confidencialidad, seguridad y finalidad limitada, y responde por su elección. La lista puede variar; los cambios relevantes se reflejarán en esta política.

También se entrega información a las autoridades competentes cuando exista una obligación legal de hacerlo.

Algunas funciones de la plataforma utilizan modelos de inteligencia artificial operados por terceros. Esto implica que el contenido enviado a esas funciones se transmite a servidores de dichos proveedores, ubicados fuera de Colombia, para ser procesado y devolver una respuesta.

• Asistente de compras de las tiendas: se transmiten los mensajes que el visitante escribe en el chat, el historial de esa conversación y datos del catálogo de la tienda. Finalidad: entender la consulta y responderla.
• Herramientas de contenido de marketing: se transmiten las instrucciones y textos que introduce el Comerciante. Finalidad: redactar o mejorar contenidos.
• Informes internos de gestión comercial: se transmiten cifras agregadas (conteos y totales), no fichas ni datos de contacto de personas. Finalidad: redactar el resumen del informe.

Los proveedores actuales son Groq, Inc., Anthropic, PBC, Google LLC (Gemini) y, solo para generar imágenes de contenidos de marketing a partir de instrucciones de texto, OpenAI, L.L.C., todos con infraestructura en los Estados Unidos. Actúan como encargados bajo términos que les impiden utilizar la información para entrenar modelos propios o para finalidades distintas de responder la solicitud. El Operador no emplea estos servicios para tomar decisiones automatizadas que produzcan efectos jurídicos sobre el titular o lo afecten de modo significativo.

Conforme a la Circular Externa 002 de 2024 de la Superintendencia de Industria y Comercio, el Operador: (i) realiza y conserva un estudio de impacto de privacidad de cada función de inteligencia artificial que trate datos personales; (ii) aplica minimización, de modo que a los modelos no se envían datos personales innecesarios, datos de instrumentos de pago ni datos sensibles; (iii) anonimiza o seudonimiza la información cuando es posible, como en los informes internos, que solo usan cifras agregadas; y (iv) verifica en los términos de cada proveedor que los datos no se usen para entrenar modelos.

ADVERTENCIA: no introduzca en los chats ni en los campos de texto libre datos sensibles (salud, biometría, origen étnico, convicciones religiosas o políticas, orientación sexual, afiliación sindical), números de documentos de identidad, datos de tarjetas o cuentas bancarias, contraseñas, ni información de terceros que usted no esté autorizado a compartir. Esas funciones no los necesitan para operar y el Operador no los solicita.

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización otorgada, salvo las excepciones legales.
• Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la ley.
• Revocar la autorización y/o solicitar la supresión de los datos cuando no exista un deber legal o contractual que lo impida.
• Acceder de forma gratuita a sus datos personales.

La autorización para el tratamiento se obtiene de forma previa e informada al momento del registro en la plataforma o de la entrega de los datos, a través de medios que permitan su consulta posterior (formularios electrónicos, casillas de aceptación, conductas inequívocas). El titular puede solicitar copia de su autorización en cualquier momento.

Algunos proveedores tecnológicos utilizados por SIPPIZ tienen infraestructura o establecimientos fuera de Colombia. Por esta razón, el tratamiento puede implicar transmisiones o transferencias internacionales de datos personales.

Cuando un tercero trate información por cuenta del Operador o de otro Responsable y siguiendo sus instrucciones, la relación estará regulada por un contrato de transmisión, un acuerdo de procesamiento de datos (DPA) o un instrumento equivalente que cumpla el Decreto 1074 de 2015.

Cuando la operación constituya una transferencia a un tercero que actúe como Responsable independiente, el Operador solo la realizará si se cumple alguna de las condiciones previstas en el artículo 26 de la Ley 1581 de 2012, el Decreto 1074 de 2015 y las instrucciones de la Superintendencia de Industria y Comercio, entre ellas la autorización expresa del titular.

El Operador exige a sus proveedores niveles adecuados de seguridad y confidencialidad y verifica periódicamente su cumplimiento.

Los proveedores con infraestructura fuera de Colombia, su país y su papel están en la sección «Proveedores, encargados, subencargados y terceros receptores de información». El orquestador de automatizaciones se ejecuta en la infraestructura propia del Operador y no implica por sí mismo una salida adicional de datos, salvo que un flujo concreto invoque un servicio externo, en cuyo caso aplica lo indicado para ese servicio.

• Si se cambia un encargado por otro para la misma finalidad, o se agrega un encargado para una finalidad ya autorizada: no se requiere nueva autorización; se actualiza esta política y se suscribe el contrato de transmisión correspondiente.
• Si cambia la identificación del responsable (por ejemplo, cuando la operación pase a la sociedad en constitución): no se requiere nueva autorización, pero se comunica a los titulares antes o al implementar el cambio.
• Si cambia o se agrega una finalidad del tratamiento: se obtiene una nueva autorización antes de tratar los datos para esa finalidad.
• Si los datos se transfieren a un responsable independiente: se obtiene la autorización específica del titular, salvo las excepciones legales.

Los cambios sustanciales de esta política se comunican a los titulares por los canales registrados, a más tardar al implementarlos (Decreto 1074 de 2015, artículo 2.2.2.25.2.2); publicar la nueva versión en el sitio no reemplaza esa comunicación. Respecto de los Clientes finales de las tiendas, la comunicación corresponde a cada Comerciante como responsable, y el Operador le facilita el texto y el mecanismo para hacerla.

El Decreto 090 de 2018 exige la inscripción de las bases de datos en el Registro Nacional de Bases de Datos administrado por la SIC únicamente a las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT, y a las personas jurídicas de naturaleza pública. A la fecha de esta política, el Operador es una persona natural comerciante y, por tanto, no está obligado a inscribir sus bases de datos en el RNBD.

Cuando la operación pase a JeiLaSoft S.A.S., la sociedad verificará con su contador, al constituirse y luego cada año, si supera el umbral legal. Si lo supera, inscribirá sus bases de datos en el RNBD, reportará los cambios sustanciales y realizará las actualizaciones dentro de los plazos establecidos por la SIC, y así lo reflejará en esta política.

SIPPIZ no solicita datos sensibles para la prestación del servicio. En caso de llegar a tratarse, el titular no está obligado a autorizarlos y se aplicarán las garantías reforzadas de la ley. El tratamiento de datos de niños, niñas y adolescentes solo se realizará cuando responda a su interés superior y se asegure el respeto de sus derechos prevalentes.

Los campos de texto libre y los chats de la plataforma no están diseñados para recibir datos sensibles ni documentos de identidad, y el Operador pide expresamente que no se introduzcan allí. Si detecta que se ingresaron, podrá suprimirlos. Tenga en cuenta además que el contenido de esos campos puede ser procesado por los proveedores de inteligencia artificial descritos en esta política.

Los titulares pueden elevar consultas sobre sus datos personales escribiendo a [email protected]. La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de su recibo. Si no es posible atenderla en ese término, se informará al interesado los motivos de la demora y la fecha en que se atenderá, que no superará los cinco (5) días hábiles siguientes al vencimiento del primer término.

Cuando el titular considere que su información debe ser corregida, actualizada o suprimida, o advierta un presunto incumplimiento de la ley, podrá presentar un reclamo a [email protected] indicando: identificación del titular, descripción de los hechos, dirección de contacto y documentos que soporten el reclamo. Si el reclamo está incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes para que subsane; transcurridos dos (2) meses sin respuesta se entenderá desistido. El reclamo completo se atenderá en un término máximo de quince (15) días hábiles, prorrogables por ocho (8) días hábiles más, informando al titular.

El área de atención al usuario de SIPPIZ es la encargada de tramitar las consultas y reclamos de los titulares, a través del correo [email protected].

Los datos se conservan mientras subsista la finalidad que justificó su recolección y durante los plazos que exijan las obligaciones legales, contables y tributarias aplicables. Vencidos esos plazos se suprimen o se anonimizan. Criterios orientativos por tipo de información:

• Cuenta y datos del Comerciante: mientras la cuenta esté activa y, tras su cierre, durante los plazos legales de conservación de soportes contables y tributarios.
• Datos de contacto de personas interesadas que no llegaron a ser clientes: hasta la revocación de la autorización o, a más tardar, cuando deje de existir una expectativa razonable de relación comercial.
• Evidencia de autorizaciones y revocaciones: se conserva mientras dure el tratamiento y después, porque es la prueba que la ley exige de que el tratamiento fue autorizado. Una revocación no borra la evidencia anterior: genera un registro nuevo.
• Registros de envío de comunicaciones y de supresión de direcciones: se conservan para poder demostrar que se respetaron las bajas y no volver a contactar a quien pidió no serlo.
• Conversaciones del asistente de compras: se conservan para dar continuidad a la conversación y depurar fallos. Los registros de ejecución del orquestador de automatizaciones se depuran automáticamente a los siete (7) días.
• Registros de auditoría y seguridad: por el tiempo necesario para investigar incidentes y atender requerimientos.

El Operador aplica medidas técnicas, humanas y administrativas razonables para proteger los datos frente a adulteración, pérdida, consulta, uso o acceso no autorizado. Entre otras: cifrado de las comunicaciones (HTTPS), control de acceso por roles y permisos con criterio de mínimo privilegio, autenticación centralizada, registro de auditoría de las acciones sensibles, firma criptográfica de las comunicaciones entre sistemas, copias de seguridad periódicas y separación de credenciales por servicio.

Ante un incidente de seguridad que comprometa datos personales, el Operador lo contendrá, evaluará su alcance y lo reportará a la Superintendencia de Industria y Comercio conforme a la normativa vigente, informando además a los titulares afectados cuando el incidente pueda representar un riesgo para sus derechos. Los incidentes y las medidas adoptadas quedan documentados.

Esta política rige a partir de su publicación. Cada versión se publica con su número de versión, su fecha de publicación y su fecha de entrada en vigor, y las versiones anteriores quedan disponibles para consulta. Las bases de datos se conservarán mientras subsistan las finalidades del tratamiento y los plazos legales aplicables.