Política de tratamiento de datos personales de BookFlow

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales descritos en esta política es [RAZÓN SOCIAL], identificada con NIT [NIT], con domicilio en [DIRECCIÓN], correo electrónico [CORREO DE DATOS] y teléfono [TELÉFONO], que opera el servicio BookFlow (en adelante, «BookFlow»).

Esta política se expide en cumplimiento de la Ley 1581 de 2012 y del Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015.

2. Alcance

Esta política aplica a los datos personales que BookFlow trata por su cuenta y para sus propios fines:

• Personas que solicitan una cuenta de BookFlow para su empresa.
• Usuarios de las empresas clientes, en lo que se refiere a su cuenta de acceso, su autenticación y el registro de su actividad en el servicio.
• Personas que se comunican con BookFlow por correo o por sus canales de contacto.

3. Datos que no cubre esta política

La información que cada empresa cliente registra en su CRM —por ejemplo, los datos de colegios, de sus contactos y de su propio equipo comercial— pertenece a esa empresa, que es la responsable de su tratamiento. Frente a esos datos BookFlow actúa como encargado, por cuenta del cliente y según sus instrucciones, en los términos del contrato de transmisión de datos personales que el cliente acepta al activar su cuenta. Las solicitudes de los titulares sobre esos datos deben dirigirse a la empresa cliente; si llegan a BookFlow, se le trasladarán.

4. Datos que tratamos

• Datos de identificación y contacto: nombre, correo electrónico, teléfono, cargo, empresa a la que pertenece y NIT de la empresa.
• Datos de la cuenta: credenciales de acceso (la contraseña se guarda transformada mediante una función criptográfica y nunca en texto legible), factores de verificación en dos pasos y preferencias del servicio.
• Datos técnicos y de seguridad: dirección IP, tipo de navegador, fecha y hora de los accesos, y registros de las acciones relevantes para la seguridad de la cuenta.
• La prueba de las autorizaciones y aceptaciones: versión y huella digital del texto aceptado, fecha, dirección IP y navegador desde el que se aceptó.

BookFlow no solicita datos sensibles ni datos de niños, niñas o adolescentes para los fines de esta política.

5. Tratamiento y finalidades

BookFlow recolecta, almacena, usa, actualiza, transmite y suprime los datos personales descritos, con las siguientes finalidades:

• Verificar el correo electrónico de quien solicita una cuenta y evaluar la solicitud, lo que puede incluir consultar la existencia de la empresa en registros públicos como el RUES o el del Servicio de Impuestos Internos de Chile.
• Crear y administrar las cuentas, autenticar a los usuarios, permitir la recuperación de la contraseña y la verificación en dos pasos.
• Prestar el servicio contratado, dar soporte y enviar avisos operativos sobre la cuenta y el servicio.
• Proteger el servicio: prevenir el fraude y el abuso, limitar intentos repetidos, investigar incidentes de seguridad y conservar registros de auditoría.
• Conservar la prueba de las autorizaciones otorgadas y de los documentos aceptados.
• Cumplir obligaciones legales y atender requerimientos de autoridades competentes.
• Enviar información comercial sobre BookFlow solo a quien lo haya autorizado de forma separada; esa autorización puede revocarse en cualquier momento.

6. Derechos de los titulares

Según el artículo 8 de la Ley 1581 de 2012, el titular de los datos tiene derecho a:

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización otorgada, salvo en los casos en que la ley no la exige.
• Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante BookFlow.
• Revocar la autorización y solicitar la supresión de sus datos cuando no se respeten los principios, derechos y garantías legales, siempre que no exista un deber legal o contractual de conservarlos.
• Acceder en forma gratuita a sus datos personales objeto de tratamiento.

7. Autorización

La autorización se obtiene en el momento de la solicitud de la cuenta, mediante una casilla que el titular marca expresamente después de poder leer esta política. BookFlow conserva como prueba la versión y la huella digital del texto aceptado, la fecha y hora, la dirección IP y el navegador.

8. Área responsable de consultas y reclamos

Las consultas, reclamos y solicitudes de los titulares se atienden en el correo [CORREO DE DATOS] o por escrito en [DIRECCIÓN]. El área encargada de atenderlas es [ÁREA RESPONSABLE] de [RAZÓN SOCIAL].

9. Procedimiento para ejercer los derechos

Consultas. El titular o su causahabiente puede consultar la información personal que repose en las bases de datos de BookFlow. La consulta se atenderá en un término máximo de diez (10) días hábiles contados a partir de su recibo. Si no fuere posible atenderla en ese término, se informará al interesado el motivo de la demora y la fecha en que se atenderá, que no podrá superar cinco (5) días hábiles siguientes al vencimiento del primer término.

Reclamos. Quien considere que la información debe ser corregida, actualizada o suprimida, o advierta un incumplimiento de la ley, puede presentar un reclamo que incluya la identificación del titular, la descripción de los hechos, la dirección de respuesta y los documentos que quiera hacer valer. Si el reclamo está incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas; si transcurren dos (2) meses sin que presente la información requerida, se entenderá que desistió. Una vez recibido el reclamo completo, se incluirá en la base de datos la leyenda «reclamo en trámite» en un término no mayor a dos (2) días hábiles. El término máximo para atenderlo es de quince (15) días hábiles contados a partir del día siguiente a su recibo; si no fuere posible atenderlo en ese término, se informará el motivo de la demora y la fecha de respuesta, que no podrá superar ocho (8) días hábiles siguientes al vencimiento del primer término.

El titular solo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado este trámite ante BookFlow.

10. Encargados y subencargados

Para prestar el servicio, BookFlow se apoya en proveedores que tratan datos por su cuenta, bajo contratos que les imponen deberes de confidencialidad y seguridad:

• Supabase: base de datos y servicio de autenticación.
• Vercel: alojamiento y ejecución de la aplicación.
• Resend: envío de correos electrónicos transaccionales.
• Upstash: control de la frecuencia de solicitudes, con identificadores transformados y direcciones IP que se conservan por pocas horas.
• Cloudflare: verificación de que quien usa los formularios públicos es una persona (Turnstile).

11. Transferencia y transmisión internacional

Los proveedores mencionados pueden almacenar o tratar los datos fuera de Colombia, entre otros en los Estados Unidos de América. Esas transmisiones se realizan bajo contratos que obligan al proveedor a tratar los datos solo para prestar su servicio y con medidas de seguridad adecuadas, conforme al artículo 26 de la Ley 1581 de 2012 y al artículo 25 del Decreto 1377 de 2013. Al otorgar la autorización, el titular consiente estas transmisiones.

12. Seguridad

BookFlow aplica medidas técnicas, humanas y administrativas para proteger los datos: cifrado de las comunicaciones, control de acceso por empresa, verificación en dos pasos para cuentas administradoras, registros de auditoría y copias de respaldo.

13. Conservación

Los datos se conservan mientras exista la relación con el titular o con la empresa a la que pertenece y, después, durante el tiempo necesario para cumplir obligaciones legales o atender reclamaciones. Las solicitudes de cuenta que no se verifican o que se rechazan se conservan por [PLAZO] y luego se suprimen o anonimizan. Los registros técnicos y de seguridad se conservan por el tiempo necesario para su finalidad.

14. Vigencia

Esta política rige desde el [FECHA DE ENTRADA EN VIGENCIA] y sus bases de datos estarán vigentes mientras se mantengan las finalidades descritas. Cualquier cambio sustancial se informará por los canales del servicio, indicando la nueva versión y su fecha, y se pedirá una nueva autorización cuando la ley lo exija.