Política de Tratamiento de Datos Personales de Taply (la finalidad antifraude se autoriza con las Condiciones del Club)

Esta política explica qué datos personales trata Taply, para qué, con quién los comparte, cuánto tiempo los guarda y cómo puedes ejercer tus derechos. Desarrolla el derecho de habeas data (Constitución Política, art. 15) y cumple la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) y las instrucciones de la Superintendencia de Industria y Comercio (SIC).

1. Quién es Taply

Taply es una plataforma que opera Jesus Auriol Villamarin Ortiz, persona natural, con la que los negocios atienden a sus clientes con un asistente virtual en WhatsApp, Instagram, Facebook, Google Business y el chat de su web, y operan su Club de fidelización.

El área que atiende consultas y reclamos de datos personales es el equipo de soporte de Taply, en support@gettaply.com.

2. Los dos papeles de Taply

La ley distingue entre quien decide para qué se usan los datos (Responsable) y quien los procesa por encargo de otro (Encargado). Taply cumple los dos papeles, según el dato:

Cuando Taply actúa como Encargado, sigue las instrucciones del negocio fijadas en el contrato de transmisión de datos que el negocio acepta al usar Taply, y nunca usa esos datos para fines propios: no los vende, no los cede, no los usa para su publicidad ni cruza los datos de los clientes de un negocio con los de otro. La única excepción es el identificador de la sección 19, que Taply trata como Responsable y solo con la autorización de la persona.

3. Definiciones

• Titular: la persona a quien se refieren los datos.
• Dato personal: cualquier información que identifica o permite identificar a una persona.
• Dato sensible: el que afecta la intimidad o cuyo uso indebido puede generar discriminación, como el origen racial o étnico, la orientación política, las convicciones religiosas, la salud, la vida sexual y los datos biométricos.
• Tratamiento: cualquier operación sobre datos personales: recolección, almacenamiento, uso, circulación o supresión.
• Autorización: el consentimiento previo, expreso e informado del Titular para el Tratamiento.
• Transmisión: la comunicación de datos a un Encargado para que los trate por cuenta del Responsable, dentro o fuera de Colombia.
• Transferencia: el envío de datos a otro Responsable.

4. Principios

Taply trata los datos con legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad (Ley 1581, art. 4). Pide solo los datos necesarios para cada finalidad, los conserva solo el tiempo que la finalidad lo justifica y puede demostrar las medidas que aplica (responsabilidad demostrada).

5. Datos que Taply trata como Responsable

Taply también elabora estadísticas agregadas y anónimas del uso de la plataforma (por ejemplo, cuántas visitas se registran al día en total), que no identifican a nadie.

6. Datos que Taply trata como Encargado de los negocios

Por encargo de cada negocio, y solo para las finalidades que el negocio define e informa a sus clientes, Taply procesa:

• Conversaciones por WhatsApp, Instagram, Facebook, Google Business y el chat web: mensajes, archivos, audios y su transcripción, y los datos del perfil que entrega cada plataforma.
• Contactos: nombre, teléfono, correo y los campos que el negocio define y que su asistente o su equipo registran.
• Club: número de WhatsApp confirmado, nombre, cumpleaños (día y mes), visitas, premios y canjes, preferencias de avisos, datos técnicos de las tarjetas de Apple Wallet y la Billetera de Google, respuestas al formulario del Club, datos de niñas y niños registrados por su representante y la prueba de cada autorización.
• Citas y campañas: citas que el asistente agenda en el calendario del negocio y los mensajes de campañas que el negocio envía a quienes lo autorizaron.

Las finalidades concretas y el tiempo de conservación de estos datos los fija cada negocio en su propia política. Si el negocio adoptó la política modelo que Taply le ofrece, esa política está publicada en la página de su Club.

7. El asistente virtual y la inteligencia artificial

Los negocios atienden a sus clientes con un asistente que genera respuestas con modelos de inteligencia artificial. Taply lo diseña y opera con estas reglas:

• Transparencia: en la primera conversación privada, el asistente se presenta como asistente virtual del negocio, dice que funciona con inteligencia artificial, informa dónde leer la política de datos y que la persona puede pedir que la atienda alguien del equipo.
• Datos mínimos: el asistente recibe la conversación en curso y un resumen acotado de los datos del cliente que el negocio habilitó, no la base de datos completa. Los datos de niñas y niños solo se usan al conversar con su representante por WhatsApp, nunca en respuestas públicas. El asistente no pide ni guarda en el chat datos sensibles ni datos de niñas y niños.
• Control humano: el negocio puede revisar, pausar y tomar cualquier conversación, y el cliente puede pedir que lo atienda una persona. El asistente no toma decisiones que produzcan efectos jurídicos sobre nadie.
• Sin entrenamiento de terceros: Taply no usa los datos de los negocios ni de sus clientes para entrenar modelos de propósito general, y usa a sus proveedores de modelos y de audio con condiciones y ajustes que les impiden usarlos para ese fin.
• Revocación: el cliente de un Club puede desactivar desde su tarjeta el uso de sus datos por el asistente sin perder su membresía.
• Evaluación: Taply evalúa los riesgos para la privacidad del asistente antes de cada cambio relevante en los datos que usa, siguiendo la Circular Externa 002 de 2024 de la SIC sobre datos personales en sistemas de inteligencia artificial.

8. Datos de niñas, niños y adolescentes

Taply trata datos de menores de 18 años solo como Encargado, cuando un negocio los recoge en su Club, y con estas garantías (Ley 1581, art. 7; Decreto 1377, art. 12; Sentencia C-748 de 2011):

• Los registra solo su mamá, papá o representante legal, con una autorización expresa y separada, después de escuchar al niño o niña según su madurez y tener en cuenta su opinión.
• Responder es siempre voluntario y la membresía del adulto nunca depende de esos datos.
• Solo se piden datos mínimos: nombre o como lo llaman, edad, cumpleaños (día y mes) y opciones simples. Taply impide pedir sobre niñas y niños datos de salud, documentos, fotos, colegio, dirección o datos de contacto.
• Se usan solo para su tarjeta y beneficios en el Club, su saludo de cumpleaños y la atención personalizada con su representante. Nunca aparecen en las tarjetas de Wallet, en registros técnicos ni en respuestas públicas.
• Se conservan mientras el representante sea miembro del Club o cliente del negocio, hasta que pida borrarlos o hasta que el niño o niña cumpla 18 años, lo que ocurra primero. Si solo conocemos su edad, calculamos esa fecha con la edad informada. Una vez al año se le pide al representante confirmar que siguen siendo correctos.
• El representante puede pedir en cualquier momento conocerlos, corregirlos o borrarlos.

Los adolescentes no pueden unirse a un Club por su cuenta: el Club es para mayores de 18 años.

9. Datos sensibles

Taply no pide datos sensibles para sus propias finalidades. En los formularios del Club, las preguntas que tocan temas sensibles se marcan como voluntarias y se explica para qué se usan antes de responderlas; sobre niñas y niños están prohibidas. Nadie está obligado a dar datos sensibles y ningún servicio depende de ellos (Ley 1581, arts. 5 y 6; Decreto 1377, art. 6). El asistente virtual no los pide ni los guarda desde el chat.

10. Tus derechos

Como Titular tienes derecho a (Ley 1581, art. 8):

1. Conocer, actualizar y rectificar tus datos.
2. Pedir prueba de la autorización que diste.
3. Saber, si lo pides, qué uso se ha dado a tus datos.
4. Presentar quejas ante la SIC, después de haber hecho tu consulta o reclamo al Responsable o al Encargado.
5. Revocar la autorización o pedir la supresión de tus datos, cuando no exista un deber legal o contractual de conservarlos.
6. Acceder gratis a tus datos.

Pueden ejercer estos derechos el Titular, sus causahabientes, su representante o apoderado, y quien actúe por estipulación a favor de otro. Los derechos de niñas, niños y adolescentes los ejerce su representante legal.

11. Cómo ejercer tus derechos

Si tus datos son de un negocio (eres su cliente o miembro de su Club), el Responsable es ese negocio. Escríbele por los canales de su política: en el Club, desde «Tus datos» en tu tarjeta o al correo de «Datos del negocio». También puedes escribirnos a support@gettaply.com: le trasladamos tu solicitud al negocio en un máximo de 2 días hábiles, te informamos y lo apoyamos para que te responda a tiempo.

Si tus datos son de Taply (eres usuario de una cuenta de negocio o visitante), escríbenos a support@gettaply.com, llámanos o escríbenos por WhatsApp al +57 311 566 3842, o envía una carta a Calle 152 # 9-80, Bogotá D.C., Colombia.

Tu solicitud debe incluir tu nombre, el dato de contacto por el que quieres la respuesta, la descripción de lo que pides y, si actúas por otra persona, el documento que lo acredita. Para proteger tus datos podemos pedirte que confirmes tu identidad, por ejemplo, escribiendo desde el mismo número de WhatsApp registrado.

Consultas (conocer tus datos o su uso): se responden en un máximo de 10 días hábiles desde que se reciben. Si no es posible, te avisamos el motivo y respondemos en máximo 5 días hábiles más (Ley 1581, art. 14).

Reclamos (corregir, actualizar, suprimir, revocar la autorización o señalar un incumplimiento):

1. Si el reclamo está incompleto, te pedimos completarlo dentro de los 5 días siguientes a recibirlo. Si pasan 2 meses desde esa petición sin que lo completes, se entiende que desististe.
2. En máximo 2 días hábiles desde que el reclamo está completo, marcamos tus datos con la leyenda «reclamo en trámite» y el motivo.
3. Respondemos en un máximo de 15 días hábiles desde el día siguiente a recibirlo. Si no es posible, te avisamos el motivo y respondemos en máximo 8 días hábiles más (Ley 1581, art. 15).
4. Si quien recibe el reclamo no es competente para resolverlo, lo traslada a quien corresponda en máximo 2 días hábiles y te avisa.

La supresión o la revocatoria no proceden cuando tienes un deber legal o contractual de permanecer en la base de datos. Aun después de una supresión, se conservan la prueba de tu autorización y de tu solicitud, como exige la ley. Al ejecutar una supresión eliminamos los datos identificativos de los registros operativos (nombre, número, correo, respuestas y conversaciones) y conservamos solo lo descrito en la sección 15. Solo puedes acudir a la SIC después de agotar este trámite (Ley 1581, art. 16).

12. Con quién compartimos datos

Taply no vende datos personales. Los comparte, por transmisión y bajo contratos que los obligan a tratarlos solo para prestarle el servicio a Taply, con seguridad y confidencialidad, con proveedores que le ayudan a prestar el servicio: alojamiento, bases de datos y almacenamiento en la nube; correo transaccional; conexión con las plataformas que el negocio conecta, como WhatsApp, Instagram, Facebook y Google Business, y con esas mismas plataformas; modelos de inteligencia artificial que generan las respuestas del asistente y organizan la información del negocio; transcripción y procesamiento de audio; creación de imágenes, video y música en el Estudio de contenido; tarjetas del Club en Apple Wallet y en la Billetera de Google; agenda en Google Calendar; inicio de sesión de las cuentas de negocio, y cobro de los planes de Taply.

Cuando el cliente de un Club guarda su tarjeta en Apple Wallet o en la Billetera de Google, Apple o Google también tratan la información de la tarjeta según sus propias condiciones.

Taply también puede entregar datos cuando una autoridad competente lo ordene conforme a la ley.

13. Transmisiones y transferencias internacionales

Varios de estos proveedores tratan datos fuera de Colombia, principalmente en Estados Unidos y en países de la Unión Europea, que la SIC reconoce con un nivel adecuado de protección. Los proveedores del Estudio de contenido también pueden tratar en Singapur y China los textos y las imágenes que el negocio usa para crear su contenido. Taply solo transmite datos a países con nivel adecuado o bajo contratos de transmisión que obligan al proveedor a proteger los datos como exige la ley colombiana, conforme al artículo 26 de la Ley 1581 y a los artículos 24 y 25 del Decreto 1377. Cuando Taply actúa como Encargado, estas transmisiones se hacen por instrucción del negocio y así se lo informa a este en el contrato.

14. Seguridad

Taply aplica medidas técnicas, humanas y administrativas razonables: cifrado en tránsito, control de acceso por organización en cada consulta, mínimo privilegio para su equipo, secretos y credenciales cifrados, registros técnicos limitados a lo necesario para operar, sin las respuestas de los formularios del Club, identificadores transformados con claves en lugar de números en claro y copias de respaldo. Ningún sistema es completamente infalible. Si ocurre un incidente de seguridad que afecte datos personales, Taply lo informa a la SIC dentro de los 15 días hábiles siguientes a detectarlo, sea Responsable o Encargado de esos datos (Ley 1581, arts. 17 y 18) y, cuando es Encargado, además avisa al negocio sin demoras injustificadas y en máximo 48 horas desde que lo conoce, para que este cumpla sus deberes.

15. Cuánto tiempo conservamos los datos

Las bases de datos de Taply estarán vigentes mientras Taply preste sus servicios; al terminar, sus datos se tratarán como indica esta tabla.

16. Cookies

Taply usa cookies y almacenamiento del navegador estrictamente necesarios para iniciar sesión, mantener tu tarjeta del Club abierta en tu teléfono y recordar preferencias básicas. No usa cookies de publicidad ni de rastreo entre sitios.

17. Registro Nacional de Bases de Datos

Hoy Taply no está obligado a inscribir sus bases de datos en el Registro Nacional de Bases de Datos de la SIC, porque ese deber aplica a sociedades y entidades sin ánimo de lucro con activos superiores a 100.000 UVT y a entidades públicas, no a personas naturales (Decreto 1074 de 2015, art. 2.2.2.26.1.2, modificado por el Decreto 090 de 2018). Las inscribirá si la ley llega a exigírselo. Cada negocio que use Taply inscribe las suyas, indicando a Taply como Encargado, si le corresponde.

18. Cambios a esta política

Publicamos cualquier cambio en esta página con su nueva versión y fecha. Si el cambio es sustancial, lo avisamos antes de aplicarlo; si agrega una finalidad nueva, pedimos una nueva autorización antes de usar tus datos para ella. Cuando publiquemos una versión nueva, la anterior quedará disponible para consulta.

19. Prevención de fraude en la plataforma (Taply como Responsable)

Cuando un negocio suprime los datos de una persona que autorizó esta finalidad, Taply conserva un identificador calculado con una clave secreta a partir de su número de WhatsApp durante 24 meses desde la supresión más reciente. Ese identificador es un dato personal: no es anónimo. Solo el equipo de Taply puede consultarlo, en una revisión de fraude documentada y registrada, y la respuesta solo dice si ese número fue suprimido antes en la plataforma, nunca en qué negocios estuvo. Ningún negocio puede consultarlo. Haber sido suprimido no se trata como prueba de fraude ni impide unirse a un Club. Puedes oponerte o revocar esta autorización escribiendo a support@gettaply.com: registramos el retiro, dejamos de usar el identificador para esta finalidad y solo una autorización nueva la vuelve a habilitar.

Aceptar las Condiciones del Club desde su Versión 2 autoriza esta finalidad; antes la autorizaba el aviso del formulario del Club. Quien no la autorizó (por ejemplo, quien se unió a un Club antes de la versión club-datos-v1) no queda en ella: el identificador de sus datos suprimidos solo sirve, en cada negocio, para lo que describe la sección 15 (premios listos, baja de mensajes y cierre de membresía).

Anexo: servicios de Google (inicio de sesión con Google y Google Calendar)

Cuando eliges iniciar sesión con Google, Taply recibe, a través de su proveedor de autenticación, tu nombre, tu correo electrónico, tu foto de perfil y el identificador de tu cuenta de Google (permisos openid, userinfo.email y userinfo.profile). Los usamos únicamente para crear y autenticar tu cuenta en el panel. Iniciar sesión con Google no le da a Taply acceso a nada más de tu cuenta de Google, y Taply no guarda tu contraseña de Google.

Si además conectas Google Calendar, que es opcional e independiente del inicio de sesión, Taply solicita tres permisos, que describimos en palabras sencillas: ver la lista de tus calendarios (calendar.calendarlist.readonly) para que elijas cuáles quieres que use tu agente; ver si estás libre u ocupado (calendar.freebusy); y crear, editar y eliminar los eventos que Taply agenda en el calendario que elijas (calendar.events). De cada calendario que puedes seleccionar guardamos su identificador, su nombre, si es tu calendario principal y su zona horaria.

Para los calendarios que elijas, Taply consulta únicamente los intervalos marcados como ocupado o libre, mediante la API FreeBusy de Google; no leemos títulos, descripciones, invitados, ubicaciones ni ningún otro contenido de tus eventos. En el calendario que designes para agendar, tu agente también puede crear, modificar o cancelar las citas que reserva a tu cliente, siempre después de que este la confirma: solo modifica o elimina eventos que Taply mismo creó, nunca accede a otros eventos y no escribe en ningún otro calendario.

Usamos esa disponibilidad para que tu agente sepa si un horario está libre u ocupado y, en el calendario elegido, gestione las citas que agenda. Los tokens de acceso OAuth se almacenan cifrados y viajan siempre por HTTPS. Mantenemos una caché breve de disponibilidad para no consultar Google en cada mensaje; después de cinco minutos esa caché deja de considerarse actualizada, aunque eso no significa que se elimine automáticamente en ese instante.

Solo compartimos esta información con los proveedores que necesitamos para prestar esa función (sección 12). En particular, el proveedor del modelo de inteligencia artificial que redacta la respuesta de tu agente recibe únicamente la disponibilidad necesaria para esa respuesta, bajo los contratos descritos en la sección 12, que solo le permiten tratarla para prestarle su servicio a Taply. También la compartimos cuando la ley lo exige.

Cuando desconectas Google Calendar desde Taply, eliminamos los tokens guardados, la selección de calendarios y la caché de disponibilidad asociados a tu cuenta. También puedes revocar el acceso de Taply directamente desde tu Cuenta de Google, en la página oficial de conexiones de terceros: https://myaccount.google.com/connections. Puedes además pedirnos que eliminemos todos tus datos escribiendo a support@gettaply.com; atenderemos tu solicitud como describe la sección 11.

El uso y la transferencia a cualquier otra app de la información recibida de las APIs de Google cumplirá la Google API Services User Data Policy, incluidos los requisitos de Uso Limitado (Limited Use). En inglés, como lo exige Google: "Taply's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements." En particular: no usamos los datos de usuario de Google para desarrollar, mejorar o entrenar modelos de inteligencia artificial o de aprendizaje automático generalizados o no personalizados; no permitimos que personas los lean, salvo con tu consentimiento afirmativo para mensajes específicos, por razones de seguridad (como investigar un abuso), para cumplir la ley aplicable o cuando los datos están agregados y anonimizados para operaciones internas; no los transferimos a terceros, salvo lo necesario para prestar la función que pediste, para cumplir la ley aplicable o como parte de una fusión, adquisición o venta de activos, con aviso a ti; y no los vendemos ni los usamos para publicidad.