Política de Privacidad y Tratamiento de Datos Personales

1. Quién es el responsable de tus datos

El responsable del tratamiento de tus datos personales es RUBICOM INTELLIGENCE S.A.S.. Sus datos completos de identificación y contacto —domicilio, dirección, teléfono y correo— están al final de esta política, en la sección 16.

El área encargada de atender peticiones, consultas y reclamos sobre datos personales es el equipo de soporte de Cobranza, por el correo privacidad@sistemacobranza.com o el canal de WhatsApp publicado dentro de la Plataforma y en sistemacobranza.com.

2. Nuestros dos roles: cuándo decidimos y cuándo decide el Dueño

La Plataforma es usada por negocios independientes («Dueños») para administrar su propia operación de préstamos y cobranza con sus equipos («Administradores» y «Cobradores») y sus deudores («Clientes Finales»). Por eso actuamos en dos roles distintos:

2.1 Cuando somos Responsables del tratamiento

Decidimos cómo y para qué se tratan los datos — y respondemos directamente ante ti — respecto de:

• Los datos de registro y contacto de las cuentas (Dueños, Administradores y Cobradores).
• Los datos de facturación y suscripción de los Dueños.
• Los datos de seguridad de la Plataforma: registros de auditoría, inicios de sesión y vinculación de equipos.
• Los datos de visitantes del sitio web y de quienes nos escriben a soporte.

2.2 Cuando somos Encargados del tratamiento

Tratamos los datos por cuenta y bajo las instrucciones del Dueño — quien actúa como Responsable — respecto de:

• Los datos de los Clientes Finales que el Dueño y sus Cobradores registran (incluidas las fotos de documentos).
• Los datos operativos de los Cobradores generados al trabajar para el Dueño, incluida su ubicación GPS cuando el Dueño activa esa función (sección 4).

Qué significa esto para ti: si eres Cobrador o Cliente Final de un Dueño, las decisiones sobre esos datos las toma el Dueño. Dirige primero tus solicitudes a él. También puedes escribirnos: te ayudaremos a canalizar la solicitud con el Dueño y, cuando la ley nos lo exija o el dato esté bajo nuestro rol de Responsable, la atenderemos directamente (sección 13).

3. Qué datos tratamos

3.1 Si eres Dueño o Administrador

• Identificación y contacto: nombre, correo electrónico y teléfono.
• Credenciales de acceso, gestionadas por nuestro proveedor de autenticación (AWS Cognito). Nunca almacenamos tu contraseña en texto plano.
• Configuración de la cuenta: zona horaria, moneda, funciones activadas.
• Suscripción y facturación: plan, fechas, estado, registros de pagos efectuados.
• Registros de auditoría: qué acciones se realizaron en la cuenta, cuándo y por qué usuario.
• Comunicaciones de soporte que nos envíes.
• Si usas la aplicación móvil y activas las notificaciones: el identificador de notificaciones que el sistema operativo le asigna a tu aplicación y la plataforma del equipo (iOS o Android). Sirve solo para entregarte los avisos y se da de baja al cerrar sesión. Los Cobradores no reciben notificaciones push, así que su equipo no registra ese identificador.

3.2 Si eres Cobrador

• Identificación y contacto: nombre, correo y teléfono, registrados por el Dueño que te invita.
• Credenciales de acceso (AWS Cognito).
• Ubicación GPS durante tu sesión de trabajo, solo si el Dueño activa esa función: ver la sección 4, que la explica completa.
• Ubicación puntual asociada a operaciones que registras (por ejemplo, dónde se anotó un pago o un gasto), usada para los mismos fines de la sección 4.
• Si el Dueño activa la vinculación de equipos: modelo del dispositivo, versión del sistema operativo, un identificador criptográfico del equipo (huella de la clave pública generada en tu teléfono), la evidencia técnica de verificación del equipo durante la aprobación, y la dirección IP y fecha de tus inicios de sesión.
• El registro de tu aceptación del aviso de GPS (qué respondiste y cuándo).

3.3 Si eres Cliente Final de un Dueño

Estos datos los registra el Dueño o sus Cobradores; nosotros los custodiamos como Encargados:

• Nombre, teléfono, dirección y referencia de contacto.
• Número de documento de identidad (dato opcional: el Dueño puede no registrarlo).
• Fotos del documento de identidad — frente y reverso — si el Dueño decide capturarlas (dato opcional; ver sección 5).
• Coordenadas del domicilio, para ubicarlo en el mapa de la ruta. Pueden obtenerse de tres formas: calculadas a partir de la dirección escrita, tomadas del teléfono del Cobrador cuando está en la puerta al registrar una operación, o marcadas por el Cobrador sobre el mapa. Quedan asociadas al cliente dentro de la ruta, de modo que las ve el Dueño y cualquier Cobrador que la atienda, incluso si cambia quien la recorre.
• Datos del crédito: montos, cuotas, fechas, pagos registrados, renovaciones e historial de la operación.

3.4 Si visitas el sitio web

• Datos técnicos mínimos de los registros de infraestructura (dirección IP, fecha, página solicitada) y métricas de rendimiento agregadas que no te identifican.
• Si usas el formulario de registro, la verificación anti-robots de Cloudflare (Turnstile) procesa tu dirección IP y señales técnicas de tu navegador para confirmar que eres una persona. No la usamos para perfilarte ni para publicidad.
• No usamos cookies de publicidad ni rastreadores de terceros (sección 14).

No recolectamos datos que no estén listados aquí. Si una nueva función requiere datos adicionales, actualizaremos esta política antes (sección 15).

4. Ubicación GPS de Cobradores

La aplicación móvil de Cobranza puede registrar el recorrido de un Cobrador durante su jornada, incluso cuando la aplicación está cerrada o no está en uso. Ocurre en dos casos y en ninguno más:

• Modo propio. El Cobrador lo activa desde su Configuración para ver sus propios kilómetros. Ese recorrido es suyo: el Dueño no lo ve.
• Modo del Dueño. El Dueño lo activa para su operación. Ahí el Dueño sí ve el recorrido de la jornada y el lugar donde se registró cada operación.

En ambos casos solo ocurre mientras la sesión del Cobrador esté iniciada.

4.1 Qué se recopila exactamente

• Coordenadas (latitud y longitud), precisión de la señal y velocidad.
• Fecha y hora de cada punto.
• Nivel de batería del equipo y eventos técnicos del servicio de ubicación (por ejemplo, cambios de precisión o activación de ahorro de batería), usados para diagnosticar interrupciones del rastreo.
• Plataforma del equipo (iOS o Android).

4.2 Condiciones que siempre se cumplen

• Solo Cobradores. Nunca rastreamos a Dueños, Administradores, Clientes Finales ni visitantes.
• Desactivado por defecto. No hay registro hasta que el Cobrador lo activa para sí mismo o el Dueño lo activa para su operación.
• Aviso y aceptación previos. Cada modo tiene su propio aviso, y en los dos se registra la respuesta del Cobrador. Si el Dueño impone el requisito, la aplicación muestra un aviso claro de qué se registra, cuándo y quién lo ve; si el Cobrador no acepta, no se recopila ubicación — y debe acordar su situación con el Dueño, que es quien impone el requisito. Si el Cobrador activa el modo propio, ve antes un aviso que le explica que ese recorrido es solo para él.
• Límite temporal. El registro ocurre solo con la sesión iniciada. Cerrar sesión lo detiene. También se detiene si el Dueño desactiva la función o desvincula al Cobrador. El modo propio lo apaga el Cobrador cuando quiera, desde la misma pantalla donde lo activó y sin pedirle permiso a nadie.
• Circulación restringida. En el modo del Dueño, el recorrido lo ve el Dueño de la ruta y los Administradores que él autorice. En el modo propio no lo ve nadie más que el Cobrador. En ninguno de los dos se usa para publicidad, se vende ni se comparte con otros Dueños.

4.3 Quién decide y quién responde

En el modo del Dueño, activar el GPS es una decisión suya dentro de su relación laboral o contractual con sus Cobradores: el Dueño actúa como Responsable de esos datos y debe contar con la base legal que su relación exija. En el modo propio la decisión es del Cobrador, y ese recorrido no sale de su cuenta. En los dos casos nosotros actuamos como Encargados: proveemos la tecnología, los avisos de transparencia y los controles descritos en esta sección.

5. Fotos de documentos y datos sensibles

La foto del documento de identidad de un Cliente Final contiene su imagen facial, que la ley colombiana trata como dato biométrico y, por tanto, sensible. Sobre estos datos:

• Son opcionales. La Plataforma funciona sin foto del documento e incluso sin número de documento. Nadie está obligado a suministrar datos sensibles, y así debe informarlo el Dueño al recolectarlos.
• La autorización la obtiene el Dueño. El Dueño, como Responsable, declara contar con la autorización previa, expresa e informada del Cliente Final antes de capturar y subir estas imágenes.
• No procesamos biometría. Las imágenes se almacenan como archivos para consulta del Dueño. No aplicamos reconocimiento facial ni extraemos plantillas biométricas.
• Circulación restringida. Las imágenes solo son visibles dentro de la cuenta del Dueño que las subió, se almacenan en un repositorio privado y se sirven mediante enlaces temporales firmados.
• Lo mismo aplica a las fotos de soportes de gastos, que pueden contener datos personales incidentales.

6. Para qué usamos los datos (finalidades)

• Crear y administrar las cuentas y autenticar a los usuarios.
• Prestar las funciones de la Plataforma: registro de cartera, rutas, pagos, gastos, liquidaciones, reportes y — si el Dueño las activa — ubicación GPS y vinculación de equipos.
• Gestionar la suscripción, la facturación y los bloqueos por no pago.
• Proteger la Plataforma: prevenir fraude y accesos no autorizados, auditar acciones y asegurar el aislamiento entre cuentas.
• Atender soporte y comunicarte avisos operativos del servicio.
• Cumplir obligaciones legales y atender requerimientos de autoridad competente.
• Generar estadísticas con información agregada y anonimizada que no identifica a ninguna persona.

No usamos tus datos para publicidad de terceros, no los vendemos y no construimos perfiles con fines distintos de operar el servicio.

7. Autorización y bases del tratamiento

• Tu autorización. La primera vez que entras a la Plataforma te mostramos esta política junto con los Términos y Condiciones y te pedimos que los aceptes de forma expresa. Puedes leer el documento completo en esa misma pantalla antes de aceptar. Para el GPS de Cobradores existe además el aviso y aceptación específicos dentro de la aplicación (sección 4).
• Constancia de tu autorización. De esa aceptación guardamos: tu identificación (nombre, correo y el identificador de tu usuario), la fecha y hora, la plataforma desde la que aceptaste, la versión del documento y una huella criptográfica del texto exacto que se te mostró. Esa huella es lo que permite reconstruir, años después, qué decía el documento que aceptaste. Para pedirla, escríbenos a privacidad@sistemacobranza.com (sección 13).
• Ejecución del contrato. Tratamos los datos necesarios para prestarte el servicio que contrataste.
• Deberes legales. Tratamos y conservamos lo que la ley nos exija (por ejemplo, soportes contables).
• Datos registrados por un Dueño. La autorización de Clientes Finales y la base legal del monitoreo de Cobradores las obtiene el Dueño como Responsable (secciones 2, 4 y 5).

Puedes revocar tu autorización en cualquier momento (sección 13). La revocatoria no afecta el tratamiento ya realizado ni los datos que debamos conservar por ley, y puede implicar que no podamos seguir prestándote el servicio.

8. Menores de edad

La Plataforma es para mayores de 18 años. No está dirigida a menores y no recolectamos a sabiendas datos de menores de edad. Si detectamos una cuenta de un menor, la eliminaremos. Si crees que un menor nos suministró datos, escríbenos a privacidad@sistemacobranza.com.

9. Con quién compartimos los datos

No vendemos datos personales y no los compartimos con anunciantes. Solo los comparten con nosotros — bajo contratos que los obligan a protegerlos — los proveedores que necesitamos para operar:

• Amazon Web Services (AWS): autenticación de cuentas (Cognito), almacenamiento privado de imágenes (S3) y procesamiento interno (colas y funciones), en la región del Norte de Virginia, Estados Unidos.
• Proveedores de alojamiento y base de datos (Railway, Vercel y Neon): ejecutan la API, el panel web y la base de datos del servicio en infraestructura ubicada en países con nivel adecuado de protección (sección 10).
• Mapbox y OpenStreetMap: renderizan los mapas del panel web sobre los que se dibujan rutas y operaciones.
• Nominatim (OpenStreetMap Foundation): convierte las direcciones de Clientes Finales en coordenadas para ubicarlas en el mapa (geocodificación).
• Cloudflare: aloja el DNS y el correo del dominio, y opera la verificación anti-robots (Turnstile) del formulario de registro público. Para esa verificación procesa la dirección IP y señales técnicas del navegador de quien se registra, con el único fin de distinguir personas de programas automatizados.
• Google (Firebase Cloud Messaging): entrega las notificaciones push a la aplicación móvil. Recibe el identificador de notificaciones del dispositivo y el texto del aviso, que según el tipo de operación puede incluir el nombre del Cliente Final y el monto registrado. El Dueño puede activar el modo «sin cifras» desde la aplicación para que los montos no aparezcan en la pantalla bloqueada.
• WhatsApp (Meta): si decides escribirnos por el canal de soporte, esa conversación se rige también por los términos de WhatsApp.

Además, podemos compartir datos:

• Con autoridades competentes cuando una ley u orden judicial lo exija.
• Dentro de tu propia cuenta, según los roles y permisos que el Dueño configure (así funciona el producto).
• En una eventual fusión, adquisición o reorganización empresarial, avisándote antes de que tus datos queden sujetos a una política distinta.

10. Transferencia internacional de datos

Los datos se almacenan y procesan en servidores de los proveedores listados en la sección 9, ubicados en países que la Superintendencia de Industria y Comercio reconoce con nivel adecuado de protección de datos — principalmente Estados Unidos, declarado país con nivel adecuado por la Circular Externa 005 de 2017 de la SIC. Adicionalmente:

• Mantenemos contratos de tratamiento de datos con estos proveedores que los obligan a proteger la información con estándares al menos equivalentes a los de esta política.
• Al aceptar esta política autorizas de manera expresa e inequívoca esa transferencia y transmisión internacional, necesaria para prestarte el servicio.

11. Cómo protegemos los datos

• Toda la comunicación viaja cifrada (HTTPS/TLS).
• Aislamiento estricto entre cuentas: cada consulta del sistema está delimitada a la cuenta del Dueño; ninguna cuenta puede ver datos de otra.
• Control de acceso por roles y permisos definidos por el Dueño.
• Autenticación gestionada con AWS Cognito, con invalidación de sesiones al cambiar credenciales.
• Imágenes en repositorio privado, accesibles solo mediante enlaces temporales firmados.
• Registros de auditoría de las acciones sensibles y, si el Dueño la activa, vinculación criptográfica de equipos móviles autorizados.

Ningún sistema es infalible. Si ocurre un incidente de seguridad que afecte tus datos, lo gestionaremos y notificaremos conforme a la ley colombiana, incluyendo el reporte a la Superintendencia de Industria y Comercio cuando corresponda.

12. Cuánto tiempo conservamos los datos y cómo se eliminan

12.1 Mientras la cuenta está activa

Conservamos los datos mientras la cuenta exista y la finalidad siga vigente. Si la suscripción vence, los datos se conservan para que puedas retomar al renovar.

12.2 Eliminación de cuenta

• El Dueño puede solicitar la eliminación de su cuenta desde el propio panel (y desde la aplicación), sin trámites adicionales.
• La eliminación se programa con un período de gracia de 30 días, durante el cual puede cancelarse. Cumplido el plazo, es definitiva e irreversible.
• Se eliminan: el perfil y las credenciales, los usuarios de la cuenta, los Clientes Finales y sus créditos, los pagos, gastos y liquidaciones, las imágenes almacenadas, las ubicaciones GPS y los registros de equipos vinculados.

12.3 Lo que conservamos después

• Registros de auditoría desvinculados de la cuenta, necesarios para seguridad, prevención de fraude y defensa de reclamaciones.
• La constancia de tu aceptación de estos Términos y de esta Política, con los datos descritos en la sección 7. Se conserva aunque elimines tu cuenta, porque es la prueba de la autorización que el artículo 8 del Decreto 1377 de 2013 nos obliga a guardar: sin ella no podríamos demostrar —ni tú verificar— que la autorización existió y sobre qué texto. Puedes solicitarla en cualquier momento escribiendo a privacidad@sistemacobranza.com, incluso después de haber eliminado la cuenta.
• La información que la ley nos obligue a conservar (por ejemplo, soportes contables y de facturación, durante los plazos legales).

12.4 Otras eliminaciones

• Si el Dueño elimina un Cobrador o un Cliente Final, sus datos operativos — incluidas las ubicaciones GPS del Cobrador — se eliminan de la operación activa.
• Las solicitudes de vinculación de equipo caducan automáticamente a las 24 horas de creadas si el Dueño no las aprueba, y una tarea diaria las borra de nuestra base de datos. Una solicitud caducada no sirve para acceder a nada.

Las bases de datos del servicio permanecen vigentes mientras la Plataforma opere y, respecto de cada cuenta, mientras dure la relación contractual más los plazos legales de conservación.

13. Tus derechos y cómo ejercerlos

Como titular de datos personales tienes derecho a:

• Conocer, actualizar y rectificar tus datos.
• Solicitar prueba de la autorización otorgada, y ser informado sobre el uso que se ha dado a tus datos. La constancia de tu aceptación de los Términos y de esta Política se solicita escribiendo a privacidad@sistemacobranza.com por el procedimiento de la sección 13.1, y sigue disponible aunque ya hayas eliminado tu cuenta (sección 12.3).
• Revocar la autorización y/o solicitar la supresión de tus datos cuando no exista un deber legal o contractual que exija conservarlos.
• Acceder gratuitamente a tus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio (www.sic.gov.co) por infracciones al régimen de protección de datos, una vez agotado el reclamo ante nosotros o ante el Dueño correspondiente.

13.1 Procedimiento

• Escríbenos a privacidad@sistemacobranza.com o al canal de soporte por WhatsApp, indicando tu identificación, la descripción de la solicitud y los datos de contacto para responderte. Podremos verificar tu identidad antes de responder.
• Atendemos consultas en máximo 10 días hábiles y reclamos en máximo 15 días hábiles, como ordena la Ley 1581 de 2012. Si necesitamos más tiempo, te lo informaremos dentro del plazo con la fecha estimada de respuesta.
• Si eres Cobrador o Cliente Final y tu solicitud trata sobre datos gestionados por un Dueño (sección 2.2), dirígela primero al Dueño, que es el Responsable. Si nos la envías a nosotros, la canalizaremos con él y le daremos los medios para atenderla; lo que esté bajo nuestro rol de Responsable lo resolveremos directamente.

14. Cookies y almacenamiento local

• Cookies de sesión: al iniciar sesión en el panel web, los tokens que te mantienen autenticado se guardan en cookies del navegador marcadas como Secure (solo viajan por HTTPS) y SameSite=Lax (no se envían desde sitios de terceros). Sirven únicamente para sostener tu sesión.
• Cookies de flujo: durante el registro y la recuperación de contraseña usamos cookies httpOnly de una hora de duración para recordar el correo entre una pantalla y la siguiente, y el plan que elegiste antes de crear la cuenta. Se borran al terminar el flujo.
• Almacenamiento local: el navegador guarda preferencias de uso (como el tema visual). No guardamos allí datos personales sensibles ni credenciales.
• Sin publicidad: no usamos cookies de publicidad, ni píxeles de seguimiento, ni rastreadores de terceros. Las métricas de rendimiento del sitio son agregadas y no te identifican.

15. Cambios a esta política

Si cambiamos esta política de forma sustancial — por ejemplo, nuevos datos recolectados, nuevas finalidades o nuevos destinatarios — te lo comunicaremos de manera eficiente (por la Plataforma o por los datos de contacto de tu cuenta) antes de que el cambio entre en vigencia, como lo exige la ley. La fecha de la versión vigente siempre aparece al inicio de esta página.

Cuando el cambio sea sustancial volveremos a pedirte una aceptación expresa antes de que sigas usando la Plataforma. Consideramos sustancial todo cambio que afecte los datos que recolectamos, las finalidades para las que los usamos, los destinatarios con quienes los compartimos, los plazos de conservación o la identidad del responsable — que es lo que el artículo 12 de la Ley 1581 de 2012 nos obliga a informarte.

Los ajustes que no alteran ninguna de esas cosas —correcciones de redacción, reordenamientos, aclaraciones— no requieren una aceptación nueva, y la constancia de la versión que ya aceptaste sigue siendo válida. La decisión de si un cambio es sustancial se toma y se registra al publicar cada versión.

16. Vigencia y contacto

• Esta política rige desde el 29 de agosto de 2026 y permanece vigente mientras la Plataforma opere.
• Responsable: RUBICOM INTELLIGENCE S.A.S., NIT 902098741-2, sociedad comercial constituida en Colombia e inscrita bajo matrícula mercantil 184214 de la Cámara de Comercio del Oriente Antioqueño, con domicilio en San Rafael, Antioquia, Colombia y dirección CR 26 CLL 20-23 INT 301.
• Contacto para datos personales: privacidad@sistemacobranza.com, teléfono +57 323 476 3343 y el canal de soporte por WhatsApp publicado en la Plataforma.