Política de Privacidad y Tratamiento de Datos

1. Responsable del tratamiento

Toda consulta, reclamo, solicitud de actualización, rectificación, supresión de datos o revocatoria de la autorización debe dirigirse al canal indicado, que es el medio habilitado por ROBOLAF S.A.S. para el ejercicio de los derechos de los titulares.

2. Marco normativo, alcance y mercado objetivo

Esta política se adopta en cumplimiento del derecho fundamental de habeas data consagrado en los artículos 15 y 20 de la Constitución Política de Colombia, la Ley Estatutaria 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto Único 1074 de 2015), la Circular Externa 002 de 2024 de la Superintendencia de Industria y Comercio — sobre el tratamiento de datos personales en sistemas de inteligencia artificial — y las demás normas que los modifiquen, adicionen o complementen.

Aplica a todos los datos personales registrados en bases de datos cuyo tratamiento realice ROBOLAF S.A.S. en relación con el producto POSYMA, ya sea como Responsable o como Encargado del tratamiento, e incluye a visitantes del sitio web, prospectos comerciales, comercios suscriptores («Comercios»), sus usuarios autorizados y los clientes finales de dichos Comercios.

El Servicio está dirigido exclusivamente a comerciantes y empresas domiciliados en la República de Colombia. ROBOLAF no dirige su oferta a personas ubicadas en la Unión Europea, el Reino Unido, los Estados Unidos de América ni en otras jurisdicciones, y el régimen de protección de datos aplicable a esta política es el colombiano.

3. Principios rectores

El tratamiento de datos personales por parte de ROBOLAF S.A.S. se sujeta a los principios del artículo 4 de la Ley 1581 de 2012:

• Legalidad: el tratamiento se realiza conforme a la ley.
• Finalidad: el tratamiento obedece a finalidades legítimas, informadas al titular.
• Libertad: el tratamiento solo se realiza con el consentimiento previo, expreso e informado del titular, salvo las excepciones legales.
• Veracidad o calidad: la información tratada debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.
• Transparencia: el titular puede obtener en cualquier momento información acerca de la existencia de datos que le conciernan.
• Acceso y circulación restringida: los datos solo son tratados por personas y procesos autorizados.
• Seguridad: la información se protege con medidas técnicas, humanas y administrativas para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
• Confidencialidad: todas las personas que intervienen en el tratamiento están obligadas a garantizar la reserva de la información, incluso después de finalizada su relación con ROBOLAF.

4. Definiciones

• Titular: persona natural cuyos datos personales son objeto de tratamiento.
• Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato sensible: aquel que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación (origen racial o étnico, orientación política, convicciones religiosas, datos de salud, biométricos, entre otros).
• Tratamiento: cualquier operación sobre datos personales, como la recolección, almacenamiento, uso, circulación o supresión.
• Responsable del tratamiento: quien decide sobre la base de datos y/o el tratamiento de los datos.
• Encargado del tratamiento: quien realiza el tratamiento de datos por cuenta del Responsable.
• Autorización: consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento.
• Aviso de privacidad: comunicación verbal o escrita dirigida al titular para informarle, al momento de la recolección, la existencia de esta política, la forma de consultarla y las finalidades del tratamiento.
• Transmisión: comunicación de datos personales a un Encargado, dentro o fuera de Colombia, para que realice un tratamiento por cuenta del Responsable.
• Transferencia: envío de datos personales a un receptor que actúa como Responsable del tratamiento, dentro o fuera de Colombia.
• Comercio: la persona natural o jurídica que contrata la plataforma POSYMA para la operación de su negocio.
• Espacio de Trabajo: el entorno lógico independiente asignado a cada Comercio dentro de la plataforma, con base de datos propia y separada de la de los demás Comercios, en el cual residen exclusivamente sus datos, configuraciones, usuarios y documentos electrónicos.
• Inteligencia Artificial (IA): sistemas basados en algoritmos y modelos computacionales que procesan datos para generar respuestas, predicciones, recomendaciones o asistencia de forma automatizada.
• MIA: el asistente de inteligencia artificial integrado en POSYMA, que opera exclusivamente dentro del Espacio de Trabajo de cada Comercio para brindar apoyo operativo y de soporte, conforme a la sección 7 de esta política.
• Proveedor Tecnológico: el tercero autorizado por la DIAN como proveedor tecnológico de facturación electrónica, integrado a POSYMA, a través del cual pueden firmarse y transmitirse documentos electrónicos a la DIAN.

5. Roles: Responsable y Encargado del tratamiento

• ROBOLAF S.A.S. actúa como Responsable del tratamiento respecto de los datos que recolecta directamente para sus propias finalidades: datos de cuenta y contacto de los Comercios y sus usuarios, prospectos comerciales, datos de facturación y suscripción, y datos de soporte y PQR (sección 6).
• ROBOLAF S.A.S. actúa como Encargado del tratamiento respecto de la información fiscal y comercial del Comercio y de los datos personales de los clientes propios del Comercio registrados en su Espacio de Trabajo. En estos casos, el Comercio es el Responsable del tratamiento: define las finalidades, debe obtener las autorizaciones de sus titulares y atender sus solicitudes, y ROBOLAF procesa los datos exclusivamente por cuenta y bajo las instrucciones del Comercio, conforme al acuerdo de encargo contenido en los Términos y Condiciones.
• ROBOLAF no procesa, analiza, perfila, comercializa ni utiliza la información fiscal y comercial de los Espacios de Trabajo para finalidades propias en ninguna fase del proceso. El tratamiento de dicha información se limita a la prestación del servicio contratado, su transmisión a la DIAN cuando el documento fiscal lo requiere y el cumplimiento de obligaciones legales.
• Quien reciba un documento electrónico emitido a través de POSYMA debe tener en cuenta que el emisor del documento (el Comercio) es el Responsable de los datos personales contenidos en él; ROBOLAF actúa únicamente como capa tecnológica.
• Las solicitudes de titulares cuyos datos sean tratados por ROBOLAF en calidad de Encargado serán trasladadas al Comercio Responsable correspondiente, informando de ello al titular, sin perjuicio del deber de ROBOLAF de colaborar en su atención oportuna.

6. Bases de datos, categorías de datos y finalidades

ROBOLAF S.A.S. administra las siguientes bases de datos en relación con POSYMA, cada una con finalidades específicas:

Cada base de datos permanecerá vigente mientras subsista la finalidad que la justifica y, en todo caso, por los períodos de conservación indicados en la sección 8, vencidos los cuales será suprimida o anonimizada.

6.1. Inventario de categorías de datos tratados

En desarrollo del principio de transparencia, las categorías concretas de datos que la plataforma trata son las siguientes:

ROBOLAF trata los datos técnicos con fines exclusivos de seguridad, soporte y cumplimiento, y podrá elaborar estadísticas con información agregada y anonimizada que no identifica a los titulares. La plataforma y el sitio no utilizan herramientas de analítica publicitaria de terceros ni píxeles de seguimiento (no usamos Google Analytics, píxel de Meta ni similares).

7. MIA — tratamiento de datos por el asistente de inteligencia artificial

MIA es el asistente de inteligencia artificial integrado en POSYMA. Esta sección regula de forma específica el tratamiento de información asociado a su funcionamiento y constituye el compromiso de ROBOLAF S.A.S. en materia de privacidad e inteligencia artificial.

7.1. Qué datos utiliza MIA y con qué finalidad

MIA accede exclusivamente a los datos operativos del propio Espacio de Trabajo del Comercio que la utiliza: ventas, inventario, productos, clientes del Comercio, configuración y documentos. La única finalidad de dicho acceso es responder las consultas operativas del Comercio, asistirlo en la operación de su negocio y brindarle soporte dentro de ese mismo Espacio de Trabajo. MIA no utiliza estos datos para ninguna otra finalidad.

7.2. Aislamiento estricto por Espacio de Trabajo

La plataforma POSYMA está construida sobre una arquitectura de aislamiento por Espacio de Trabajo: cada Comercio cuenta con una base de datos independiente, separada de la de los demás Comercios. MIA opera estrictamente encapsulada dentro del Espacio de Trabajo del Comercio que la invoca y jamás accede, comparte, mezcla o revela información de un Comercio a otro Comercio, bajo ninguna circunstancia.

7.3. Protección de la información

La información de cada Espacio de Trabajo, incluida la que MIA procesa, se protege mediante cifrado en tránsito y las medidas de seguridad y aislamiento descritas en la sección 9.

7.4. Acceso restringido: sin revisión humana por parte de ROBOLAF

ROBOLAF no accede al contenido de las conversaciones sostenidas con MIA ni a los datos que MIA procesa para finalidades propias. El acceso a dicho contenido está restringido, mediante controles técnicos y de política, a los procesos automatizados necesarios para la prestación del servicio. No existe revisión humana del contenido por parte de ROBOLAF, salvo en dos únicos supuestos, de interpretación restrictiva:

• La solicitud expresa del propio Comercio — por ejemplo, para diagnosticar un problema en el marco de una solicitud de soporte —, limitada al alcance de dicha solicitud; o
• La orden de autoridad competente, emitida conforme a la ley colombiana, en cuyo caso el acceso se limitará estrictamente a lo ordenado.

Los sub-encargados de infraestructura de modelos de inteligencia artificial pueden aplicar controles automatizados de seguridad sobre el contenido procesado y, exclusivamente en casos señalados de posible abuso o por exigencia legal, someterlo a revisión conforme a sus propios términos, bajo las obligaciones de confidencialidad de la sección 7.5.

7.5. Prohibición de uso para entrenamiento de modelos

La información de los Comercios y de sus Espacios de Trabajo nunca se utiliza para entrenar modelos de inteligencia artificial, ni propios de ROBOLAF ni de terceros. Los proveedores de infraestructura de modelos de inteligencia artificial que intervienen en el funcionamiento de MIA actúan como sub-encargados del tratamiento, bajo compromisos contractuales de confidencialidad, prohibición expresa del uso de la información para entrenamiento de modelos, y retención estrictamente temporal y limitada a la operación y seguridad del servicio, con supresión en los plazos máximos definidos en los contratos con dichos proveedores (actualmente hasta treinta (30) días, salvo obligación legal o retención adicional derivada de sus controles de seguridad).

7.6. Prohibición de comercialización

La información procesada por MIA no se vende ni se cede a terceros, ni se revela con fines comerciales. Solo se comunica a los sub-encargados estrictamente necesarios para la prestación del servicio (sección 7.5 y sección 11) y a las autoridades competentes cuando exista obligación legal (sección 7.4).

7.7. Gobernanza y decisiones automatizadas

• MIA no adopta decisiones con efectos jurídicos sobre los titulares: sus respuestas son sugerencias operativas que siempre requieren la acción y validación de un Usuario del Comercio, quien conserva la capacidad de monitorear, revisar, validar y corregir los resultados antes de que produzcan cualquier efecto.
• Los titulares tienen derecho a obtener información clara acerca de la lógica aplicada por los sistemas de inteligencia artificial que traten sus datos, y a oponerse a decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre ellos o los afecten significativamente.
• MIA se desarrolla y opera bajo el principio de privacidad desde el diseño y por defecto: la minimización de datos, el aislamiento por Espacio de Trabajo y las restricciones de acceso descritas en esta sección hacen parte de la arquitectura del sistema.
• ROBOLAF realiza y mantiene actualizada una evaluación del tratamiento de datos personales asociado a MIA, en línea con los lineamientos de la Circular Externa 002 de 2024 de la SIC.

7.8. Naturaleza de las respuestas de MIA

Las respuestas de MIA constituyen apoyo operativo generado mediante procesos automatizados y no constituyen asesoría contable, tributaria, financiera ni legal. El Comercio es responsable de validar la información antes de tomar decisiones con base en ella, conforme a la sección MIA de los Términos y Condiciones.

8. Conservación de los datos

ROBOLAF S.A.S. no conserva datos personales de forma indefinida. Los períodos de conservación son los siguientes:

• Información fiscal y documentos electrónicos: se conservan durante la vigencia del contrato con el Comercio y por diez (10) años adicionales, término de conservación de los libros y papeles del comerciante (artículo 28 de la Ley 962 de 2005 y artículo 60 del Código de Comercio), que cubre con exceso el término de firmeza exigido por la normatividad tributaria (artículo 632 del Estatuto Tributario y artículo 46 de la Ley 962 de 2005). Esta conservación opera como mecanismo de respaldo: el deber legal de conservación de los soportes fiscales corresponde al Comercio como obligado a facturar.
• Datos de cuenta, facturación y soporte: se conservan mientras exista la relación contractual con el Comercio y, terminada esta, durante los términos de prescripción de las acciones legales y de las obligaciones contables y tributarias de ROBOLAF.
• Prospectos comerciales: se conservan por un máximo de veinticuatro (24) meses contados desde el último contacto, si no se concreta una relación contractual; vencido este término, los datos se suprimen o anonimizan.
• Datos de los Espacios de Trabajo (como Encargado): se conservan mientras el Comercio mantenga su suscripción y durante la ventana de exportación de treinta (30) días descrita en los Términos y Condiciones; vencida esta, se suprimen o anonimizan, salvo la información sujeta a conservación legal. Las suscripciones suspendidas por mora o terminadas por inactividad del Plan Gratuito siguen las reglas de terminación y exportación de los Términos y Condiciones.

Cumplidas las finalidades del tratamiento y vencidos los términos legales de conservación, los datos serán suprimidos o anonimizados. Queda proscrita la retención indefinida de datos personales sin finalidad legítima.

9. Medidas de seguridad

ROBOLAF S.A.S. adopta medidas técnicas, humanas y administrativas razonables y proporcionales para proteger los datos personales contra adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, entre ellas:

• Aislamiento por Espacio de Trabajo: cada Comercio opera sobre una base de datos independiente, separada de la de los demás Comercios, lo que impide la mezcla de información entre clientes.
• Cifrado de la información en tránsito (TLS) en todas las comunicaciones de la plataforma, y protección de la información en reposo mediante controles de acceso estrictos y cifrado en los componentes de almacenamiento que lo soportan.
• Copias de seguridad gestionadas con controles de acceso equivalentes a los de los sistemas en producción.
• Acceso restringido basado en roles y en el principio de necesidad de conocer, con autenticación de usuarios y registros de auditoría de las operaciones.
• Procedimientos internos de gestión de credenciales, actualización de sistemas y evaluación periódica de riesgos de seguridad.

10. Gestión de incidentes de seguridad

Ante un incidente de seguridad que afecte datos personales, ROBOLAF S.A.S. aplicará su procedimiento interno de gestión de incidentes, orientado a contener el incidente, evaluar su alcance y mitigar sus efectos en el menor tiempo posible.

• Cuando el incidente afecte datos personales cuyo tratamiento realiza como Responsable, ROBOLAF lo reportará a la Superintendencia de Industria y Comercio (SIC) sin dilación injustificada y, a más tardar, dentro de los quince (15) días hábiles siguientes a su detección, conforme a la Circular Única de la SIC.
• Cuando el incidente pueda generar un riesgo significativo para los titulares, ROBOLAF los informará oportunamente por los canales disponibles, indicando la naturaleza del incidente, los datos comprometidos y las medidas adoptadas.
• Cuando ROBOLAF actúe como Encargado, notificará además sin dilación al Comercio Responsable para que este cumpla sus propios deberes de reporte y notificación.

11. Transmisión y transferencia internacional de datos

POSYMA utiliza proveedores de infraestructura y servicios cuyos centros de datos pueden estar ubicados fuera de Colombia, principalmente en los Estados Unidos de América y en Alemania. En consecuencia, algunos datos personales son objeto de transmisión internacional hacia Encargados y sub-encargados, con el único fin de prestar el servicio. Los sub-encargados y terceros actuales, por categoría, son:

• Los países donde se ubica la infraestructura internacional (Estados Unidos de América y Alemania) se encuentran en la lista de países con nivel adecuado de protección de datos fijada por la Superintendencia de Industria y Comercio (numeral 3.2 del Título V de la Circular Única, adicionado por la Circular Externa 005 de 2017).
• Adicionalmente, las transmisiones internacionales a Encargados se amparan en contratos de transmisión que incluyen compromisos de confidencialidad, seguridad y cumplimiento de las obligaciones previstas en la Ley 1581 de 2012 y sus decretos reglamentarios (artículos 26 y 27 de la Ley 1581 de 2012 y artículos 24 y 25 del Decreto 1377 de 2013).
• Los proveedores de infraestructura de modelos de inteligencia artificial actúan como sub-encargados bajo los compromisos adicionales de no entrenamiento y retención limitada descritos en la sección 7.5.
• Dado que parte de la infraestructura se encuentra en Estados Unidos y Alemania, los datos alojados en ella pueden estar sujetos a solicitudes de acceso de autoridades de esos países conforme a sus propias leyes — incluido el CLOUD Act de los Estados Unidos —, las cuales los proveedores atienden bajo sus procedimientos y garantías legales.
• ROBOLAF no vende ni cede datos personales a terceros con fines comerciales.
• Los datos podrán entregarse a autoridades competentes (por ejemplo, la DIAN) cuando exista obligación legal de hacerlo.

12. Menores de edad y datos sensibles

• POSYMA está dirigida a comerciantes y empresas. ROBOLAF no recolecta intencionalmente datos personales de menores de edad ni datos sensibles para sus propias finalidades.
• El tratamiento de datos de niños, niñas y adolescentes solo procede en los supuestos excepcionales previstos en el artículo 7 de la Ley 1581 de 2012, respetando siempre su interés superior y sus derechos prevalentes.
• El suministro de datos sensibles es facultativo: ninguna actividad de ROBOLAF está condicionada a su entrega.
• Si un Comercio, en su calidad de Responsable, registra en su Espacio de Trabajo datos sensibles o de menores de edad, es su responsabilidad contar con la autorización reforzada y las garantías que exige la ley.

13. Cookies y tecnologías similares

El sitio web posyma.com y la plataforma utilizan un número mínimo de cookies y tecnologías similares, de carácter técnico y funcional:

• Sesión y autenticación: cookies necesarias para mantener la sesión del usuario en la aplicación de forma segura.
• Preferencias: idioma y moneda.
• Seguridad: nuestro proveedor de infraestructura y protección anti-bots (Cloudflare) puede colocar cookies estrictamente técnicas y de seguridad necesarias para proteger el sitio y verificar que el visitante no es un robot.
• Almacenamiento local del navegador: la aplicación utiliza almacenamiento local y mecanismos de caché para su funcionamiento, incluida la operación offline del punto de venta.

No utilizamos cookies de publicidad de terceros ni de seguimiento con fines comerciales. El usuario puede configurar su navegador para bloquear o eliminar cookies; algunas funcionalidades podrían verse afectadas.

14. Comunicaciones comerciales

En cumplimiento de la Ley 2300 de 2023 y de la Ley 1581 de 2012:

• ROBOLAF envía comunicaciones comerciales o publicitarias únicamente a quienes las hayan autorizado previa y expresamente, y solo a través de los canales que el titular haya autorizado.
• Dichas comunicaciones se realizan dentro de los horarios permitidos por la ley y nunca en domingos ni festivos.
• El titular puede revocar la autorización, cambiar de canal u oponerse a seguir recibiendo comunicaciones comerciales en cualquier momento y sin costo, a través del mecanismo indicado en cada comunicación o escribiendo a contacto@posyma.com. ROBOLAF respeta, además, el Registro de Números Excluidos.
• Las comunicaciones estrictamente operativas o transaccionales del Servicio (por ejemplo, avisos de cobro, seguridad o cambios de estos documentos) no son comunicaciones comerciales y se envían en ejecución del contrato.

15. Derechos de los titulares

De conformidad con el artículo 8 de la Ley 1581 de 2012, el titular de los datos tiene derecho a:

• Conocer, actualizar y rectificar sus datos personales frente al Responsable o al Encargado del tratamiento.
• Solicitar prueba de la autorización otorgada, salvo las excepciones legales.
• Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones al régimen de protección de datos, una vez agotado el trámite de consulta o reclamo ante el Responsable o Encargado.
• Revocar la autorización y/o solicitar la supresión de sus datos cuando no exista un deber legal o contractual que imponga su conservación.
• Acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento.
• Respecto de los sistemas de inteligencia artificial de la plataforma, conocer la lógica aplicada y oponerse a decisiones basadas únicamente en tratamientos automatizados, conforme a la sección 7.7.

16. Procedimiento para consultas y reclamos

El titular, sus causahabientes o su representante podrán ejercer sus derechos enviando una solicitud al canal contacto@posyma.com, indicando: (i) nombre completo e identificación del titular; (ii) descripción clara de la consulta o reclamo; (iii) dirección o medio de contacto para recibir respuesta; y (iv) los documentos que soporten la solicitud, cuando aplique.

• Consultas: serán atendidas en un término máximo de diez (10) días hábiles contados a partir de su recibo. Si no fuere posible atenderla en dicho término, se informará al interesado, expresando los motivos de la demora, y la consulta se atenderá dentro de los cinco (5) días hábiles siguientes al vencimiento del primer término (artículo 14, Ley 1581 de 2012).
• Reclamos: si el reclamo está incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que lo subsane; transcurridos dos (2) meses sin respuesta del solicitante, se entenderá desistido. Recibido el reclamo completo, se incluirá en la base de datos la leyenda «reclamo en trámite» y el motivo del mismo, en un término no mayor a dos (2) días hábiles, y dicha leyenda se mantendrá hasta que el reclamo sea decidido. El reclamo será atendido en un término máximo de quince (15) días hábiles contados a partir del día siguiente a su recibo; si no fuere posible, se informará al interesado los motivos de la demora y la fecha de atención, que no podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término (artículo 15, Ley 1581 de 2012).
• Cuando ROBOLAF actúe como Encargado, trasladará la solicitud al Comercio Responsable e informará de ello al titular.

17. Aviso de privacidad

En los puntos de recolección de datos (formularios de registro, contacto y demostraciones), ROBOLAF pone a disposición del titular un aviso de privacidad que informa la identidad del Responsable, las finalidades del tratamiento, el carácter facultativo de los datos sensibles, los derechos del titular y los mecanismos para conocer esta política, de la cual el aviso hace parte. ROBOLAF conserva el modelo de los avisos utilizados y la prueba de su puesta a disposición, conforme a los artículos 14 a 16 del Decreto 1377 de 2013.

18. Autoridad de protección de datos

La autoridad encargada de velar por el cumplimiento del régimen de protección de datos personales en Colombia es la Superintendencia de Industria y Comercio (SIC) — www.sic.gov.co. El titular podrá presentar quejas ante la SIC una vez agotado el trámite de consulta o reclamo descrito en la sección 16.

19. Modificaciones y vigencia

Esta política (Versión 3.0) rige a partir del 12 de agosto de 2026 y permanecerá vigente mientras ROBOLAF S.A.S. realice tratamiento de datos personales en relación con POSYMA. Cualquier modificación sustancial será publicada en esta página e informada a los titulares por los canales disponibles antes de su entrada en vigencia. Las bases de datos se mantendrán durante los plazos descritos en las secciones 6 y 8.