1. Quién responde por qué datos
VendeFácil cumple dos papeles distintos, y de cuál se trate depende a quién debe dirigirse el titular:
- Como Responsable, de los datos de quienes contratan o solicitan el servicio: contactos de la cuenta, datos de facturación de la suscripción y solicitudes de demostración.
- Como Encargado, de los datos que los negocios suscritos cargan en la plataforma sobre sus clientes, pacientes, huéspedes, empleados y proveedores. En esos datos el Responsable es el negocio, y es a él a quien el titular debe dirigir sus solicitudes. VendeFácil los trata solo para prestar el servicio y siguiendo las instrucciones de ese negocio.
Responsable: VendeFácil SaaS S.A.S., NIT 901.245.882-3, domicilio en Bogotá D.C., Colombia. Contacto de protección de datos: [email protected].
2. Datos que tratamos
- Datos de la cuenta: nombre, correo, teléfono, razón social, NIT y cargo.
- Datos operativos del negocio: productos, inventario, ventas, compras, clientes, proveedores y transacciones.
- Datos de facturación: los necesarios para cobrar la suscripción. Los datos completos de tarjetas no pasan por nuestros servidores: los captura y custodia la pasarela de pagos.
- Datos técnicos: dirección IP, navegador, tipo de dispositivo y registros de uso y auditoría.
- Datos de origen: parámetros de campaña y sitio de procedencia de quien solicita una demostración, con la finalidad de medir qué canales funcionan.
3. Datos sensibles
Según el módulo que active el negocio suscrito, la plataforma puede almacenar datos sensibles en los términos del artículo 5 de la Ley 1581 de 2012:
- Datos de salud en los módulos de óptica, laboratorio óptico y servicios clínicos: fórmulas, agudeza visual, diagnósticos y demás información de la historia clínica.
- Datos de menores de edad, cuando el negocio atiende pacientes o clientes menores.
El artículo 6 de la Ley 1581 prohíbe tratar datos sensibles salvo excepciones, entre ellas la autorización explícita del titular, quien además no está obligado a otorgarla. Obtener y conservar esa autorización corresponde al negocio suscrito, que es el Responsable. VendeFácil los almacena con cifrado en tránsito y acceso restringido por rol y por sede. Respecto de los menores, el tratamiento debe responder a su interés superior y respetar sus derechos fundamentales, conforme al artículo 7 de la misma ley.
4. Probador virtual: la biometría no sale del dispositivo
El probador virtual de monturas usa la cámara para ubicar el rostro. Ese procesamiento ocurre íntegramente en el navegador del visitante, con un modelo alojado en nuestro propio servidor: la imagen de la cámara no se envía a VendeFácil ni a terceros, no se almacena y no se usa para identificar a nadie. Por diseño, no se genera ni se guarda ningún dato biométrico.
5. Finalidades del tratamiento
- Prestar, operar y mantener el servicio contratado.
- Gestionar el cobro, la facturación y la relación contractual.
- Brindar soporte técnico y resolver incidencias.
- Mejorar el producto con base en datos agregados y anonimizados.
- Enviar comunicaciones operativas (facturas, avisos de mantenimiento y novedades).
- Enviar comunicaciones comerciales, únicamente a quien lo haya autorizado y en los términos del numeral 9.
- Cumplir obligaciones legales, contables y tributarias.
6. Encargados y transferencia internacional
Para prestar el servicio compartimos datos con los encargados estrictamente necesarios: proveedores de infraestructura y almacenamiento en la nube, el proveedor contable que el cliente configure, pasarelas de pago, proveedores de correo y mensajería, y proveedores de modelos de inteligencia artificial para las funciones asistidas. Todos se vinculan mediante contratos que exigen confidencialidad, finalidad limitada y medidas de seguridad conformes a la Ley 1581 de 2012 y al Decreto 1074 de 2015.
Parte de esa infraestructura está fuera de Colombia, por lo que existen transferencias internacionales de datos. Se realizan al amparo de las garantías previstas en el artículo 26 de la Ley 1581 de 2012 y en la Circular Externa 002 de 2015 de la Superintendencia de Industria y Comercio, mediante cláusulas contractuales que aseguran un nivel de protección equivalente al exigido por la ley colombiana. La ubicación vigente de la infraestructura y la lista de encargados puede consultarse escribiendo a [email protected].
7. Tiempo de conservación
Los datos se conservan mientras la cuenta esté activa y, después, durante los plazos exigidos por la ley: diez (10) años para libros y papeles del comerciante (artículo 60 del Código de Comercio), los términos tributarios aplicables y, cuando el negocio haya operado módulos clínicos, el mínimo de quince (15) años de retención de la historia clínica de la Resolución 839 de 2017. Cumplidos los plazos y las finalidades, los datos se eliminan de forma segura o se anonimizan.
8. Seguridad e incidentes
VendeFácil adopta medidas técnicas, humanas y administrativas razonables para proteger los datos frente a acceso no autorizado, pérdida, alteración o uso indebido: cifrado en tránsito, aislamiento de la información de cada negocio, control de acceso por rol y por sede, respaldos periódicos y registro de auditoría.
Ningún sistema es infalible. Ante una violación de los códigos de seguridad que suponga riesgo para la información de los titulares, VendeFácil informará a la Superintendencia de Industria y Comercio conforme al literal n) del artículo 17 de la Ley 1581 de 2012, y notificará sin dilación indebida a los negocios afectados para que estos, como Responsables, informen a sus propios titulares.
9. Comunicaciones comerciales
Las comunicaciones con fines comerciales o publicitarios se rigen por la Ley 2300 de 2023: se envían solo a quien lo haya autorizado previamente, dentro de los horarios que esa ley permite y por el canal que el titular elija. En cada comunicación se indica cómo dejar de recibirlas, y el titular puede solicitar en cualquier momento no ser contactado con esos fines, sin que ello afecte los avisos operativos propios del servicio contratado (facturas, vencimientos y avisos de seguridad).
10. Analítica y almacenamiento en el navegador
El sitio de marketing usa una herramienta de analítica que no instala cookies ni crea identificadores persistentes y que reporta únicamente métricas agregadas de tráfico. Por eso el sitio no muestra un aviso de cookies: no hay ninguna que consentir.
Sí se usa el almacenamiento del propio navegador para lo indispensable: mantener la sesión iniciada, recordar preferencias de la aplicación y conservar durante la visita el origen de campaña de quien llega al sitio. Esa información no se comparte con terceros y se borra al cerrar la pestaña o al cerrar sesión.
11. Derechos del titular
El titular puede conocer, actualizar, rectificar y suprimir sus datos, solicitar prueba de la autorización, ser informado sobre su uso, revocar la autorización y presentar quejas ante la Superintendencia de Industria y Comercio. El procedimiento se detalla en la Política de Habeas Data. Si el dato fue cargado por un negocio suscrito, la solicitud debe dirigirse a ese negocio; si nos llega a nosotros, la trasladamos a quien corresponda e informamos al titular.
12. Registro Nacional de Bases de Datos
La obligación de inscribir las bases de datos ante la Superintendencia de Industria y Comercio aplica, conforme al Decreto 090 de 2018, a las sociedades y entidades sin ánimo de lucro cuyos activos totales superen las 100.000 UVT. VendeFácil verifica anualmente si se encuentra en ese supuesto y, de estarlo, realiza y actualiza la inscripción. Cada negocio suscrito debe hacer la misma verificación respecto de sus propias bases de datos.