Política de Privacidad y Tratamiento de Datos

1. Responsable del Tratamiento

Base Computing S.A.S., sociedad constituida en la República de Colombia, es el responsable del tratamiento de los datos personales recolectados a través del servicio Trace y sus canales asociados.

• Razón social: Base Computing S.A.S.
• Domicilio: Medellín, Colombia.
• Sitio web: basecomputing.com.co
• Correo de contacto en materia de datos personales: [email protected]

2. Marco normativo

El tratamiento de datos personales se rige principalmente por la Ley 1581 de 2012, su Decreto Reglamentario 1377 de 2013, la Circular Única de la Superintendencia de Industria y Comercio y demás normas concordantes. Cuando el cliente o sus usuarios finales se ubiquen en jurisdicciones distintas, Base Computing observará además los principios generales de minimización, finalidad, legalidad y proporcionalidad.

3. Definiciones

• Titular: persona natural cuyos datos personales son tratados.
• Responsable: Base Computing, quien decide sobre el tratamiento de los datos.
• Encargado: persona natural o jurídica que trata datos por cuenta del Responsable.
• Dato personal: información vinculable a una persona natural identificable.
• Dato sensible: aquellos que afectan la intimidad o cuyo uso indebido puede generar discriminación (origen racial, opinión política, datos de salud, biométricos, etc.). Trace no solicita datos sensibles.
• Autorización: consentimiento previo, expreso e informado del Titular.

4. Categorías de datos que tratamos

4.1 Datos del Cliente (usuario contratante)

• De identificación: nombre, apellido, documento de identidad, fecha de creación de cuenta.
• De contacto: correo electrónico, teléfono, dirección.
• Del negocio: razón social, NIT, dirección comercial, sector, tamaño.
• De cuenta: credenciales encriptadas, preferencias, configuración.
• De facturación: historial de pagos, montos. Los datos del medio de pago son tratados por nuestros proveedores de pagos certificados PCI-DSS; Base Computing no almacena números de tarjeta completos.
• De uso: registros de actividad, IP, navegador, sistema operativo y métricas de uso de funcionalidades. Estas métricas están asociadas a un identificador seudónimo persistente (no a tu nombre), por lo que se tratan como datos personales y no como datos anónimos. Ver la sección 11.

4.2 Datos cargados por el Cliente sobre terceros

Cuando el Cliente carga al servicio datos personales de sus propios clientes, proveedores o usuarios finales (por ejemplo, nombre, correo, teléfono, historial de compras), Base Computing actúa como Encargado del Tratamiento. El Cliente, en su calidad de Responsable, declara haber obtenido autorización válida de esos titulares para que sus datos sean tratados en plataformas SaaS y compartidos con encargados.

5. Finalidades del tratamiento

Base Computing trata los datos personales para las siguientes finalidades:

• Crear, mantener y gestionar la cuenta del Cliente en Trace.
• Prestar el servicio contratado y sus funcionalidades.
• Gestionar pagos, facturación y obligaciones tributarias.
• Atender consultas, requerimientos, peticiones, quejas y reclamos.
• Enviar comunicaciones operativas (cambios al servicio, incidentes, mantenimientos, actualizaciones de términos).
• Enviar comunicaciones comerciales relacionadas con Trace y productos de Base Computing, cuando el Cliente lo haya autorizado.
• Mejorar el servicio analizando cómo se usan las funcionalidades, mediante herramientas de analítica que emplean identificadores seudónimos.
• Responder las preguntas que el Cliente formule al asistente de Trace sobre sus propios datos, en los términos de la sección 12.
• Cumplir obligaciones legales, regulatorias y contables.
• Prevenir fraude, abuso y violaciones de seguridad.

6. Autorización del Titular

Al crear una cuenta y aceptar estos términos, el Titular otorga autorización expresa, previa e informada para el tratamiento de sus datos personales en los términos de esta Política. La autorización podrá revocarse en cualquier momento, mediante solicitud al correo de contacto. La revocatoria no tendrá efecto retroactivo y podrá implicar la imposibilidad de continuar prestando el servicio.

7. Conservación de datos

Los datos se conservan durante la vigencia de la relación contractual y por los plazos adicionales necesarios para cumplir obligaciones legales:

• Datos contables y de facturación: 10 años (artículo 28 de la Ley 962 de 2005).
• Datos operativos y de cuenta: hasta 30 días calendario después de la terminación de la cuenta para permitir exportación; luego se eliminan de sistemas activos.
• Copias de respaldo: hasta 90 días después de la terminación.
• Registros de seguridad y auditoría: hasta 2 años para investigación de incidentes.

8. Derechos del Titular

De conformidad con la Ley 1581 de 2012, el Titular tiene derecho a:

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización otorgada.
• Ser informado sobre el uso dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC).
• Revocar la autorización y solicitar la supresión de sus datos, cuando no exista un deber legal o contractual de conservarlos.
• Acceder en forma gratuita a sus datos.

9. Procedimiento para ejercer los derechos

Para ejercer cualquiera de los derechos antes mencionados, el Titular debe enviar comunicación a [email protected]indicando: (i) nombre completo y documento de identidad; (ii) descripción clara del derecho que ejerce y de los hechos que la motivan; (iii) dirección o correo de notificación; (iv) documentos que soporten la solicitud, cuando aplique.

Plazos legales de respuesta:

• Consultas: máximo 10 días hábiles, prorrogables por 5 días más.
• Reclamos: máximo 15 días hábiles, prorrogables por 8 días más.

10. Seguridad de la información

Base Computing implementa medidas técnicas, administrativas y organizativas razonables para proteger los datos personales contra pérdida, acceso no autorizado, uso indebido, alteración o divulgación. Entre ellas:

• Cifrado en tránsito (TLS 1.2 o superior) y en reposo cuando aplica.
• Almacenamiento de contraseñas con funciones hash (no en texto plano).
• Control de acceso por roles y permisos.
• Registros de auditoría de operaciones sensibles.
• Copias de respaldo periódicas.
• Acuerdos de confidencialidad con personal y proveedores.

Ningún sistema es invulnerable. En caso de detectar una violación de seguridad que afecte los datos de los Titulares, Base Computing notificará a los afectados y a la autoridad competente en los plazos legales.

11. Encargados y terceros

Para prestar el servicio, Base Computing se apoya en proveedores que actúan como encargados del tratamiento bajo instrucciones contractuales (proveedores de infraestructura cloud, pasarelas de pago, servicios de correo transaccional). Solo se comparten los datos estrictamente necesarios y bajo cláusulas de confidencialidad y protección equivalentes a las de esta Política.

En materia de analítica de uso, y siempre con consentimiento previo del usuario en los sitios donde se solicita, se emplean dos proveedores:

• PostHog Inc. (Estados Unidos) — analítica de producto, detección de errores y reproducción de la interacción con la interfaz. Actúa como encargado del tratamiento: trata los datos únicamente conforme a nuestras instrucciones. posthog.com/privacy.
• Microsoft Corporation (Estados Unidos) — Microsoft Clarity: mapas de calor y reproducción de la interacción con la interfaz. Microsoft actúa como responsable independiente y puede tratar los datos para sus propias finalidades conforme a su declaración de privacidad. privacy.microsoft.com.

Ambas herramientas operan con enmascaramiento activado: el contenido de los campos de formulario se sustituye en tu propio navegador antes de enviarse, de modo que lo que escribes no llega a sus servidores. Los datos de analítica se conservan hasta un año en PostHog y hasta nueve meses en Clarity.

En materia de agendamiento de reuniones comerciales, se emplea HubSpot, Inc. (Estados Unidos), que actúa como encargado del tratamiento. Solo intervienen los datos que el interesado escribe voluntariamente para reservar una cita en la página /contacto —nombre, correo electrónico y el mensaje que decida añadir— con la única finalidad de concertar y atender esa reunión. No se alimenta con datos de otras fuentes, no se utiliza para publicidad y no se activa en ninguna otra página del sitio. legal.hubspot.com/privacy-policy.

Los proveedores de modelos de lenguaje que intervienen cuando el Cliente usa el asistente de Trace se detallan aparte, en la sección 12.

12. Asistente de inteligencia artificial (Arnold)

Trace incluye un asistente conversacional, Arnold, que responde preguntas en lenguaje natural sobre los datos que el Cliente tiene cargados. Es una funcionalidad accesoria y opcional: solo está disponible para los negocios que la tengan habilitada, solo se activa cuando un usuario la abre y escribe una pregunta, y nunca se ejecuta por su cuenta.

12.1 Qué información se transmite

Para redactar una respuesta, el asistente transmite a un proveedor de modelos de lenguaje el texto de la pregunta y el resultado de las consultas que ejecuta sobre la base de datos del Cliente. En concreto pueden transmitirse:

• La pregunta, tal como la escribe el usuario.
• El nombre del negocio.
• Nombres de productos y categorías, cantidades, importes y fechas.
• Nombres de clientes y proveedores, cuando la pregunta los involucra (por ejemplo, «¿quién me debe plata?»). Estos son datos personales y por eso el proveedor actúa como encargado del tratamiento.

No se transmiten correos electrónicos, teléfonos, direcciones, números de documento, credenciales ni datos de medios de pago. El asistente no tiene acceso a esos campos: ni siquiera al buscar un cliente por su nombre, donde solo obtiene el nombre y un identificador interno.

Lo que el usuario escriba en el chat se transmite junto con la pregunta. Por eso no deben escribirse en él datos personales o sensibles que no sean necesarios para la consulta.

12.2 Quién trata esa información

Los proveedores de modelos que pueden intervenir actúan como encargados del tratamiento, únicamente para producir la respuesta de esa consulta concreta:

• Google LLC (Estados Unidos) — Gemini.
• Groq, Inc. (Estados Unidos).
• Cerebras Systems Inc. (Estados Unidos).
• NVIDIA Corporation (Estados Unidos).
• Microsoft Corporation (Estados Unidos) — GitHub Models.
• Mistral AI SAS (Francia).

Todos ellos tratan los datos en jurisdicciones incluidas por la Superintendencia de Industria y Comercio en el listado de países con nivel adecuado de protección. La petición se atiende con el primero disponible; el orden puede variar según la disponibilidad de cada servicio. Ningún proveedor distinto de los enumerados recibe datos del Cliente.

12.3 Uso para entrenamiento de modelos

Base Computing solo habilita proveedores y planes cuyas condiciones aplicables no permiten emplear el contenido enviado para entrenar o mejorar sus modelos. Cuando un proveedor únicamente ofrece esa garantía en su plan de pago, se contrata ese plan o no se habilita el proveedor.

12.4 Conservación de las conversaciones

Las conversaciones se guardan en la base de datos de Trace para que el usuario pueda retomarlas. Son privadas de quien las escribió: no las ven los demás usuarios del mismo negocio. Pueden borrarse en cualquier momento desde el propio chat, y se eliminan con el resto de los datos de la cuenta en los plazos de la sección 7.

12.5 Alcance de las respuestas

El asistente no adopta decisiones ni produce efectos jurídicos sobre ninguna persona: responde preguntas sobre datos que el Cliente ya tiene. Sus respuestas pueden contener errores y no constituyen asesoría contable, tributaria, financiera ni legal. Cada respuesta indica qué consultas se ejecutaron para producirla, de modo que el Cliente pueda verificarla antes de tomar cualquier decisión.

13. Transferencias internacionales

Los datos pueden ser tratados en servidores ubicados fuera de Colombia. En concreto, los datos de analítica y los de agendamiento de reuniones descritos en la sección 11 se tratan en Estados Unidos, y los del asistente descrito en la sección 12 en Estados Unidos y Francia: países incluidos por la Superintendencia de Industria y Comercio en el listado de jurisdicciones con un nivel adecuado de protección de datos, conforme al artículo 26 de la Ley 1581 de 2012.

Cuando una transferencia se dirija a una jurisdicción sin nivel adecuado, Base Computing adopta garantías contractuales que aseguren un nivel de protección equivalente al previsto en la legislación colombiana.

14. Tratamiento de datos de menores

Trace no está dirigido a menores de edad. Base Computing no recopila intencionadamente datos personales de personas menores de 18 años. Si un menor ha proporcionado datos, sus representantes legales pueden solicitar su eliminación al correo de contacto.

15. Cookies

El uso de cookies y tecnologías similares se rige por la Política de Cookies, parte integrante de esta Política de Privacidad.

16. Cambios en esta Política

Esta Política puede ser modificada en cualquier momento para reflejar cambios legales, operativos o del servicio. Los cambios sustanciales serán comunicados al Titular por correo electrónico o desde el panel de Trace con al menos 15 días calendario de anticipación a su entrada en vigencia.

17. Contacto

Para cualquier consulta, queja, reclamo o ejercicio de derechos relacionados con esta Política, escribir a [email protected]con el asunto "Datos personales".