Política de privacidad y tratamiento de datos personales

1. Introducción

QUOLIX S.A.S. (en adelante “QUOLIX”, “nosotros” o “la empresa”), en cumplimiento de la Constitución Política de Colombia (artículo 15), la Ley Estatutaria 1581 de 2012, el Decreto Reglamentario 1377 de 2013 (compilado en el Decreto Único Reglamentario 1074 de 2015) y, cuando resulte aplicable, la Ley 1266 de 2008 sobre información financiera y crediticia, adopta la presente Política de Privacidad y Tratamiento de Datos Personales (en adelante, la “Política”).

Dado que QUOLIX puede prestar servicios a clientes ubicados fuera de Colombia y procesar datos de titulares en otras jurisdicciones, la empresa adopta adicionalmente, como estándar de buenas prácticas, principios alineados con el Reglamento General de Protección de Datos de la Unión Europea (RGPD/GDPR), sin que ello implique el reconocimiento de una autoridad de control distinta a la Superintendencia de Industria y Comercio (SIC) para los efectos de la legislación colombiana, ni la aplicación automática del RGPD salvo que este resulte exigible por la ubicación o nacionalidad del titular.

Al acceder, navegar o utilizar el sitio web, formularios, software, servicios de automatización, asistentes virtuales, agentes de inteligencia artificial, chatbots y demás herramientas tecnológicas desarrolladas por QUOLIX, el usuario declara haber leído y aceptado los términos aquí descritos.

2. Responsable y Encargado del Tratamiento

Para efectos de esta Política, QUOLIX podrá actuar como Responsable del Tratamiento (cuando determina las finalidades y medios del tratamiento, por ejemplo respecto de los datos de sus propios clientes, prospectos y visitantes del sitio web) o como Encargado del Tratamiento (cuando procesa datos por cuenta de un cliente que contrata sus servicios de automatización o inteligencia artificial, siguiendo sus instrucciones). La calidad en la que actúa QUOLIX respecto de cada categoría de datos se especifica, cuando sea posible, en el contrato de servicios correspondiente.

3. Definiciones

• Titular: persona natural cuyos datos personales son objeto de tratamiento.
• Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato sensible: dato que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación (origen racial o étnico, orientación política, convicciones religiosas o filosóficas, afiliación sindical, datos de salud, datos biométricos, datos de vida sexual, entre otros).
• Tratamiento: cualquier operación sobre datos personales, tales como recolección, almacenamiento, uso, circulación, transmisión, transferencia o supresión.
• Responsable del Tratamiento: quien decide sobre la base de datos y/o el tratamiento de los datos.
• Encargado del Tratamiento: quien realiza el tratamiento por cuenta del Responsable.
• Autorización: consentimiento previo, expreso e informado del titular para el tratamiento de sus datos personales.
• Aviso de privacidad: comunicación verbal o escrita dirigida al titular para informarle sobre la existencia de la política de tratamiento, la forma de acceder a ella y las finalidades del tratamiento.
• Transmisión: comunicación de datos entre un Responsable y un Encargado, dentro o fuera de Colombia, para que este último realice el tratamiento por cuenta del primero.
• Transferencia internacional: envío de datos a un receptor que a su vez es Responsable del Tratamiento y está ubicado en un país distinto de Colombia.

4. Datos que recopilamos

Podemos recopilar las siguientes categorías de datos:

• Datos de identificación y contacto: nombre completo, empresa, cargo, correo electrónico, número telefónico.
• Datos comerciales: información de contacto empresarial, necesidades de automatización e información suministrada en formularios.
• Datos técnicos y de navegación: dirección IP, navegador, sistema operativo, tipo de dispositivo, ubicación aproximada, identificadores de cookies y tecnologías similares.
• Datos generados por el uso de los servicios: conversaciones con bots y asistentes virtuales, solicitudes realizadas al software, registros de actividad (logs) y metadatos de uso.
• Datos sensibles y biométricos: QUOLIX no solicita ni recopila intencionalmente datos sensibles (salud, origen racial o étnico, convicciones religiosas o políticas, vida sexual, afiliación sindical) ni datos biométricos como condición para prestar sus servicios. Si, por la naturaleza de un desarrollo a la medida, el cliente configura agentes o bots que capten datos sensibles o biométricos de terceros, dicho cliente será responsable de obtener la autorización explícita e independiente exigida por el artículo 6 de la Ley 1581 de 2012. Ningún titular está obligado a responder preguntas sobre datos sensibles.
• Datos suministrados voluntariamente: cualquier información que el usuario decida suministrar mediante formularios, correos electrónicos, chats o reuniones.

5. Finalidades del tratamiento

Tratamos los datos personales para las siguientes finalidades:

• Prestación del servicio: implementar automatizaciones y configurar asistentes virtuales, crear y ajustar soluciones de inteligencia artificial contratadas por el cliente, y gestionar cuentas de clientes y la relación contractual.
• Atención al cliente: resolver solicitudes, brindar soporte técnico y gestionar incidencias.
• Operación y seguridad: detectar errores, prevenir fraudes, identificar accesos no autorizados y monitorear el rendimiento de la plataforma.
• Mejoramiento del servicio: analizar el uso del software y optimizar funcionalidades; entrenar o ajustar modelos internos únicamente cuando la información haya sido previamente anonimizada o agregada, de forma que no permita reidentificar al titular.
• Comunicaciones comerciales: enviar información sobre servicios, campañas de marketing y novedades, cuando exista autorización o interés legítimo compatible con la finalidad original, y siempre con opción de exclusión (opt-out) inmediata y gratuita.
• Cumplimiento legal: atender requerimientos de autoridades judiciales o administrativas competentes y cumplir obligaciones contables, tributarias o regulatorias.

6. Principios y base legal del tratamiento

De conformidad con el artículo 4 de la Ley 1581 de 2012, el tratamiento de datos personales por parte de QUOLIX se rige por los principios de: legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad. En línea con el RGPD, QUOLIX adopta además los principios de minimización de datos, limitación del plazo de conservación y responsabilidad demostrada (accountability).

El tratamiento se fundamenta, según el caso, en:

• El consentimiento previo, expreso e informado del titular (Art. 9, Ley 1581 de 2012).
• La ejecución de un contrato en el que el titular es parte o para adoptar medidas precontractuales.
• El cumplimiento de una obligación legal aplicable a QUOLIX.
• El interés legítimo de QUOLIX, cuando no prevalezcan los derechos y libertades fundamentales del titular, y en los casos expresamente permitidos por el artículo 10 de la Ley 1581 de 2012.

7. Autorización del titular

Salvo en los casos exceptuados por la ley, el tratamiento de datos personales requiere la autorización previa, expresa e informada del titular. QUOLIX obtiene dicha autorización mediante mecanismos verificables tales como: casillas de aceptación (opt-in) no premarcadas en formularios web, aceptación de términos en el primer uso de un bot o asistente virtual, firma de contratos de servicios, o registro de la aceptación verbal cuando aplique.

• La autorización debe ser libre, específica para las finalidades informadas e inequívoca.
• El titular puede revocarla en cualquier momento, sin efectos retroactivos sobre el tratamiento ya realizado conforme a la autorización vigente en su momento.
• QUOLIX conservará prueba de la autorización otorgada durante el tiempo que dure el tratamiento y el término de prescripción de las acciones derivadas de este.
• Cuando la autorización no sea necesaria conforme al artículo 10 de la Ley 1581 de 2012, QUOLIX lo indicará expresamente al titular cuando sea razonablemente posible.

8. Uso de inteligencia artificial

Los servicios de QUOLIX pueden utilizar tecnologías de inteligencia artificial, aprendizaje automático y automatización, incluyendo modelos de lenguaje operados por terceros proveedores. El usuario reconoce y acepta que:

• Las respuestas generadas por sistemas de IA pueden contener errores o imprecisiones.
• La información generada no constituye asesoría legal, financiera, médica o profesional.
• QUOLIX no garantiza la exactitud absoluta de los resultados producidos por modelos de IA.
• Las decisiones que produzcan efectos jurídicos significativos o que afecten de forma similar al titular no se basarán exclusivamente en un tratamiento automatizado sin intervención humana significativa, salvo consentimiento expreso o base legal para ello.
• El titular puede solicitar información sobre la lógica general aplicada por los sistemas automatizados que procesen sus datos, en la medida en que ello no vulnere secretos comerciales o derechos de terceros.

La responsabilidad final sobre el uso que el cliente o usuario dé a la información producida por los sistemas de IA corresponde a dicho cliente o usuario.

9. Datos ingresados en los bots y agentes de IA

Cuando un cliente de QUOLIX configura bots, asistentes virtuales o agentes de IA para procesar datos personales de sus propios usuarios finales, dicho cliente actúa como Responsable del Tratamiento respecto de esos datos, y QUOLIX actúa como Encargado del Tratamiento, procesando la información únicamente conforme a las instrucciones documentadas del cliente.

En dicho escenario, el cliente es responsable de:

• Obtener las autorizaciones necesarias de los titulares y de terceros.
• Garantizar la legalidad, veracidad y licitud de los datos cargados en el sistema.
• Cumplir la normativa de protección de datos aplicable en su jurisdicción, incluyendo el suministro de avisos de privacidad adecuados a sus propios usuarios finales.
• Instruir a QUOLIX sobre la supresión o devolución de los datos al finalizar la prestación del servicio.

QUOLIX se obliga, en su calidad de Encargado, a guardar confidencialidad sobre los datos procesados, a no utilizarlos para fines distintos a los instruidos por el cliente, y a implementar medidas de seguridad razonables, en los términos del artículo 4 de la Ley 1581 de 2012.

10. Proveedores tecnológicos y subencargados

QUOLIX puede apoyarse en proveedores externos (subencargados) para prestar sus servicios, entre otros, para: hosting, almacenamiento en la nube, servicios de inteligencia artificial y procesamiento de lenguaje natural, herramientas de analítica, correo electrónico y procesamiento de pagos. Estos proveedores solo podrán procesar información para los fines contratados, bajo obligaciones contractuales de confidencialidad y seguridad, y QUOLIX realizará una selección razonable de proveedores que ofrezcan garantías adecuadas de protección de datos.

11. Transferencias y transmisiones internacionales

La información podrá almacenarse o procesarse en servidores ubicados fuera de Colombia, incluyendo países que la SIC no haya calificado como de nivel adecuado de protección de datos. En dichos casos, QUOLIX adoptará al menos una de las siguientes garantías, conforme al Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) y, cuando aplique, a los estándares del RGPD:

• Autorización expresa e informada del titular para la transferencia internacional específica.
• Cláusulas contractuales o acuerdos de transferencia de datos con los proveedores/receptores, que incluyan obligaciones de confidencialidad, seguridad y limitación de uso equivalentes a las de esta Política.
• Verificación de que el país receptor cuenta con declaratoria de nivel adecuado de protección por parte de la SIC, cuando dicha declaratoria exista.

QUOLIX procurará, en la medida de lo razonable, que sus proveedores mantengan estándares de seguridad y privacidad comparables a los exigidos en Colombia.

12. Conservación de datos

QUOLIX conservará los datos personales únicamente durante el tiempo necesario para cumplir las finalidades que motivaron su recolección, y en todo caso:

• Durante la vigencia de la relación contractual.
• Mientras exista una obligación legal, contable, tributaria o regulatoria de conservación.
• Durante el término de prescripción de las acciones judiciales o administrativas que puedan derivarse del tratamiento.
• Hasta que el titular solicite válidamente su supresión y no exista un deber legal o interés legítimo prevalente que impida atenderla.

Una vez cumplida la finalidad y vencidos los plazos anteriores, los datos serán suprimidos o anonimizados de forma segura.

13. Derechos del titular

De conformidad con el artículo 8 de la Ley 1581 de 2012 y el artículo 15 de la Constitución Política, y de forma complementaria con estándares del RGPD, el titular tiene derecho a:

• Conocer, actualizar y rectificar sus datos personales frente a QUOLIX, incluyendo datos parciales, inexactos, incompletos, fraccionados o que induzcan a error.
• Solicitar prueba de la autorización otorgada, salvo que la ley exceptúe este requisito.
• Ser informado, previa solicitud, respecto del uso que se ha dado a sus datos personales.
• Presentar ante la Superintendencia de Industria y Comercio (SIC) quejas por infracciones a la Ley 1581 de 2012 y demás normas concordantes.
• Revocar la autorización otorgada y/o solicitar la supresión del dato, cuando no exista un deber legal o contractual que impida eliminarlo.
• Acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento.
• Como buena práctica alineada con el RGPD: solicitar la limitación del tratamiento en determinados supuestos, oponerse al tratamiento fundado en interés legítimo, y solicitar la portabilidad de los datos suministrados directamente, cuando sea técnicamente posible.
• Tratándose de niños, niñas y adolescentes, estos derechos deben ejercerse por medio de quienes ostenten su representación legal.

14. Procedimiento para ejercer los derechos (consultas y reclamos)

El titular, o sus causahabientes debidamente acreditados, puede ejercer sus derechos enviando una solicitud a través de los canales indicados en la sección de Contacto, identificándose plenamente y describiendo de forma clara la solicitud.

• Consultas: serán atendidas en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo. Cuando no fuere posible, se informará al titular antes del vencimiento, expresando los motivos de la demora y la fecha en que se atenderá, la cual no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer plazo.
• Reclamos (rectificación, actualización, supresión o revocatoria): si el reclamo resulta incompleto, QUOLIX requerirá al titular dentro de los cinco (5) días siguientes para que subsane las fallas; transcurridos dos (2) meses sin respuesta, se entenderá desistido. El término máximo para atenderlo será de quince (15) días hábiles contados a partir del día siguiente a su recibo, prorrogable por ocho (8) días hábiles más informando los motivos.
• Autoridad de control: si el titular considera que su solicitud no fue atendida adecuadamente, puede presentar una queja ante la Superintendencia de Industria y Comercio (Delegatura para la Protección de Datos Personales).

15. Seguridad de la información y gestión de incidentes

QUOLIX implementa medidas razonables de seguridad administrativas, técnicas y organizacionales orientadas a proteger la confidencialidad, integridad y disponibilidad de los datos personales, y a prevenir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

En caso de un incidente de seguridad que constituya una violación de datos personales (por ejemplo, acceso no autorizado, pérdida o robo de información), QUOLIX reportará el incidente a la Superintendencia de Industria y Comercio y, cuando el riesgo lo amerite, informará a los titulares afectados, adoptando las medidas de contención y remediación pertinentes dentro de los plazos exigidos por la normativa aplicable.

Ningún sistema es completamente seguro; QUOLIX no puede garantizar la seguridad absoluta frente a eventos fuera de su control razonable.

16. Limitación de responsabilidad

Sin perjuicio de los deberes indelegables de protección de datos personales, QUOLIX no será responsable por:

• Errores o imprecisiones generados por sistemas de inteligencia artificial, en la medida en que se hayan adoptado medidas razonables de supervisión.
• Decisiones tomadas por el cliente o usuario con base exclusiva en resultados automatizados.
• Información ingresada incorrecta, incompleta o fraudulentamente por los usuarios.
• Pérdidas derivadas de interrupciones de internet o de servicios de terceros ajenos al control de QUOLIX.
• Ataques informáticos que superen los estándares razonables de seguridad implementados.
• Uso indebido de credenciales por parte del usuario.

La responsabilidad total de QUOLIX frente a un cliente, en cualquier caso y salvo dolo o culpa grave, estará limitada al valor efectivamente pagado por dicho cliente durante los últimos doce (12) meses.

17. Prohibiciones de uso

Los usuarios se comprometen a no utilizar los servicios de QUOLIX para:

• Actividades ilegales o fraudulentas.
• Envío de spam o comunicaciones no solicitadas.
• Suplantación de identidad.
• Distribución de malware o código malicioso.
• Violación de derechos de propiedad intelectual o de datos personales de terceros.
• Generación de contenido ilícito, discriminatorio o que vulnere derechos fundamentales.

QUOLIX podrá suspender o cancelar el acceso a los servicios que incumplan estas disposiciones, sin perjuicio de las acciones legales a que haya lugar.

18. Cookies y tecnologías similares

El sitio web utiliza cookies propias y de terceros para recordar preferencias, analizar tráfico, mejorar la experiencia del usuario y medir el desempeño de campañas de marketing. El usuario puede configurar, bloquear o eliminar las cookies desde la configuración de su navegador; sin embargo, ello podría afectar el funcionamiento de algunas funcionalidades del sitio. Cuando la normativa aplicable lo exija (por ejemplo, usuarios en la Unión Europea), QUOLIX presentará un banner de consentimiento previo para cookies no esenciales.

19. Menores de edad

Los servicios de QUOLIX están dirigidos a mayores de edad y a empresas. QUOLIX no recopila deliberadamente información personal de niños, niñas o adolescentes sin la autorización de sus representantes legales y sin el cumplimiento del interés superior y el respeto de sus derechos prevalentes, conforme al artículo 7 de la Ley 1581 de 2012. Si QUOLIX tiene conocimiento de que se han recolectado datos de un menor sin dicha autorización, procederá a suprimirlos tan pronto sea posible.

20. Información financiera y crediticia (Ley 1266 de 2008)

En caso de que, en el marco de servicios específicos, QUOLIX llegara a procesar datos de contenido financiero, crediticio, comercial o de servicios referidos a la solvencia económica de los titulares (Habeas Data financiero), dicho tratamiento se regirá adicionalmente por la Ley 1266 de 2008, sus decretos reglamentarios y las circulares de la SIC, incluyendo los principios de veracidad, finalidad, circulación restringida y caducidad del dato negativo. Este supuesto no aplica a la operación general de QUOLIX salvo que así se indique expresamente en un contrato de servicios.

21. Registro Nacional de Bases de Datos (RNBD)

Conforme a la normativa vigente, las personas jurídicas con activos totales superiores a 100.000 UVT están obligadas a registrar sus bases de datos que contengan datos personales en el Registro Nacional de Bases de Datos (RNBD) administrado por la SIC. QUOLIX evaluará periódicamente si se encuentra dentro de este supuesto y, de ser el caso, mantendrá dicho registro actualizado.

22. Modificaciones

QUOLIX podrá actualizar esta Política en cualquier momento para reflejar cambios normativos, operativos o tecnológicos. Los cambios sustanciales que afecten las finalidades del tratamiento serán comunicados a los titulares por los canales disponibles (por ejemplo, correo electrónico o aviso en el sitio web) antes de su entrada en vigor, y podrán requerir una nueva autorización cuando la ley así lo exija. Las modificaciones no sustanciales serán publicadas en el sitio web con indicación de la fecha de actualización.

23. Legislación aplicable y jurisdicción

Esta Política se rige por las leyes de la República de Colombia. Para titulares ubicados en otras jurisdicciones que otorguen derechos adicionales o distintos (por ejemplo, el RGPD en la Unión Europea), QUOLIX atenderá dichas solicitudes conforme a los estándares descritos en esta Política, sin perjuicio de que la autoridad competente para efectos de la Ley 1581 de 2012 sea la Superintendencia de Industria y Comercio de Colombia.

24. Contacto

Para ejercer sus derechos o resolver dudas sobre esta Política, puede contactarnos a través de los siguientes canales:

• Razón social: QUOLIX S.A.S.
• Correo electrónico general: contacto@quolix.com
• Correo para PQR de privacidad: privacidad@quolix.com
• Sitio web: www.quolix.com
• País: Colombia
• NIT y dirección física: por completar antes de la publicación.