Política de Tratamiento de Datos Personales

1. Identificación del Responsable del Tratamiento

• Razón social: Kyvont S.A.S.
• NIT: 902056902-1
• Domicilio: Bogotá D.C., Colombia.
• Matrícula mercantil CCB: 04091977.
• Oficial de Protección de Datos: info@kyvont.com.

El Oficial de Protección de Datos es el canal único para consultas, reclamos y solicitudes relativos al tratamiento de datos personales, conforme al artículo 23 del Decreto 1377 de 2013.

2. Datos que recolectamos

Según la relación con Kyvont, podemos recolectar las siguientes categorías de datos personales:

• Datos de identificación: nombres, apellidos, tipo y número de documento, firma, imagen.
• Datos de contacto: correo electrónico, teléfono fijo y móvil, dirección física, ciudad, país.
• Datos comerciales y de facturación: razón social, NIT, régimen tributario, método de pago (sin almacenar el número completo de tarjeta), historial de pagos.
• Datos técnicos y de navegación: dirección IP, identificador de dispositivo, sistema operativo, navegador, cookies, registros de acceso (logs), comportamiento dentro de la Plataforma.
• Datos de clientes finales del Suscriptor: contactos, leads, clientes, proveedores y otras personas cuyos datos el Suscriptor cargue o procese en la Plataforma. Respecto de estos datos, el Suscriptor actúa como Responsable y Kyvont como Encargado del Tratamiento en los términos del artículo 3 literal d) de la Ley 1581 de 2012.

Datos recolectados de fuentes públicas o de terceros (por ejemplo, redes sociales al autorizar la integración) se tratan bajo la misma Política y siempre que exista base legal para ello.

3. Finalidades del tratamiento

Kyvont trata los datos personales para los siguientes fines:

• Prestar, mantener y operar los servicios contratados, incluyendo el aprovisionamiento de la cuenta y del Tenant.
• Gestionar la relación contractual: facturación, pagos, cobros, soporte técnico y atención al cliente.
• Enviar comunicaciones sobre novedades, funcionalidades, cambios de política y ofertas comerciales, previa autorización expresa del titular.
• Cumplir obligaciones legales tributarias, contables y de reporte ante autoridades competentes.
• Mejorar la Plataforma mediante analítica de uso, métricas agregadas y, cuando corresponda, datos anonimizados o seudonimizados.
• Prevenir fraudes, detectar abusos y garantizar la seguridad de la Plataforma.
• Responder consultas, reclamos y requerimientos de autoridades.

4. Autorización previa, expresa e informada

Conforme al artículo 9 de la Ley 1581 de 2012 y al artículo 5 del Decreto 1377 de 2013, la recolección y tratamiento de datos personales requiere autorización previa, expresa e informada del titular. La autorización se obtiene mediante cualquiera de los siguientes mecanismos: (i) marcación de casillas de aceptación al crear una cuenta o suscribirse a boletines; (ii) aceptación de los presentes documentos al momento del registro; (iii) conductas inequívocas, como continuar utilizando la Plataforma luego de ser informado; (iv) otorgamiento expreso mediante correo o contrato.

La autorización es libre, inequívoca, específica e informada. El titular puede revocarla en cualquier momento, de acuerdo con la sección 5 de esta Política.

5. Derechos del titular

En los términos del artículo 8 de la Ley 1581 de 2012, el titular de los datos personales tiene derecho a:

• Conocer, actualizar y rectificar sus datos frente a Kyvont como Responsable del Tratamiento.
• Solicitar prueba de la autorización otorgada, salvo cuando la ley la haga innecesaria.
• Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos personales.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la Ley 1581 de 2012.
• Revocar la autorización y/o solicitar la supresión del dato cuando en el tratamiento no se respeten principios, derechos y garantías constitucionales y legales.
• Acceder de forma gratuita a sus datos personales, conforme al artículo 21 del Decreto 1377 de 2013.

Para los titulares ubicados en el Espacio Económico Europeo, se reconocen adicionalmente, por analogía, los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición previstos en los artículos 15 a 22 del GDPR.

6. Procedimiento para ejercer los derechos

Las consultas y reclamos deben dirigirse al correo info@kyvont.com indicando: nombre completo, número de documento, descripción clara de la solicitud, pruebas que la soporten y dirección de notificación (física o electrónica).

Conforme al artículo 14 de la Ley 1581 de 2012, Kyvont responderá en los siguientes plazos:

• Consultas: diez (10) días hábiles contados desde el día siguiente a la recepción. Cuando no sea posible atender la consulta en ese término, se informará al titular los motivos y la fecha en que se atenderá, que en ningún caso superará los cinco (5) días hábiles adicionales.
• Reclamos: quince (15) días hábiles contados desde el día siguiente a la recepción del reclamo completo, prorrogables por ocho (8) días hábiles adicionales, previa notificación al interesado.

Si el reclamo está incompleto, Kyvont requerirá al interesado dentro de los cinco (5) días siguientes para subsanarlo, y si no lo hace en dos (2) meses se entenderá desistido.

7. Transferencia y transmisión internacional de datos

Para la operación de la Plataforma, Kyvont utiliza proveedores tecnológicos ubicados fuera del territorio colombiano, incluyendo sin limitarse a: servicios de hosting y CDN (Vercel Inc., Amazon Web Services), infraestructura de bases de datos (Supabase Inc.), proveedores de modelos de inteligencia artificial (OpenAI, LLC; Anthropic, PBC; Google LLC), pasarelas de mensajería y envío de correo transaccional, y plataformas de integración social (Meta Platforms, Google, LinkedIn, TikTok).

Conforme al artículo 26 de la Ley 1581 de 2012 y a los artículos 24 y 25 del Decreto 1377 de 2013, estas transferencias y transmisiones se realizan bajo acuerdos contractuales (Data Processing Agreements) que aseguran estándares de protección equivalentes a los exigidos en Colombia, incluyendo cláusulas de confidencialidad, medidas de seguridad técnicas y organizativas, y encriptación en tránsito y en reposo.

8. Encargados del Tratamiento

Kyvont se apoya en terceros que actúan como Encargados del Tratamiento, limitados a las finalidades aquí descritas:

• Hosting e infraestructura: Vercel Inc., Amazon Web Services, Hostinger, Supabase Inc.
• Inteligencia artificial: OpenAI, Anthropic, Google AI, Replicate.
• Pasarelas de pago y facturación: proveedores autorizados en Colombia (por ejemplo, Wompi, Mercado Pago, Bold) según el método de pago elegido.
• Mensajería y correo transaccional: Meta Platforms (WhatsApp Business) y Resend.
• Analítica: Google Analytics, Meta Pixel (si el usuario lo autoriza vía consentimiento de cookies).

La lista actualizada puede ser solicitada al Oficial de Protección de Datos en info@kyvont.com.

9. Datos obtenidos de las plataformas de Meta (Facebook, Instagram y WhatsApp)

Kyvont se integra con Facebook, Instagram y WhatsApp Business mediante las APIs de Meta Platforms, Inc. El acceso solo ocurre cuando el Suscriptor conecta voluntariamente sus propias cuentas y otorga los permisos en el diálogo de autorización de Meta. Kyvont accede únicamente a los permisos concedidos, y utiliza esa información (en adelante, Datos de la Plataforma de Meta) solo para las finalidades descritas en esta sección, conforme a las Condiciones de la Plataforma de Meta y a las Políticas para Desarrolladores.

9.1 Qué datos obtenemos y para qué

• Lista de Páginas de Facebook que administra el usuario, su nombre, identificador y token de acceso (permisos pages_show_list, pages_read_engagement): para mostrarle las páginas disponibles, conectar la que elija y operar en su nombre.
• Cuenta profesional de Instagram vinculada a la Página, con su nombre de usuario, foto e identificador (permiso instagram_basic): para identificar en la Plataforma la cuenta conectada.
• Publicaciones creadas desde Kyvont y su estado (permisos pages_manage_posts, instagram_content_publish): para publicar y programar el contenido que el propio Suscriptor redacta en la Plataforma.
• Comentarios en las publicaciones: texto, autor y fecha (permisos pages_manage_engagement, instagram_manage_comments): para mostrarlos en una bandeja única y permitir responderlos sin salir de la Plataforma.
• Mensajes directos de Messenger e Instagram Direct: contenido del mensaje, archivos adjuntos, identificador del remitente (PSID / IGSID) y fecha (permisos pages_messaging, instagram_manage_messages): para que el Suscriptor atienda esas conversaciones desde la bandeja de Kyvont y, si lo activa, responda con su asistente automático.
• Suscripción de la Página a los webhooks de la aplicación (permiso pages_manage_metadata): para recibir en tiempo real los mensajes y comentarios nuevos.
• Métricas agregadas de la Página y de la cuenta de Instagram (permisos read_insights, instagram_manage_insights): para mostrarle al Suscriptor el desempeño de su propio contenido.
• Datos de formularios de anuncios de generación de clientes potenciales (Lead Ads) que la persona envía voluntariamente (permiso leads_retrieval): para crear el contacto en el CRM del Suscriptor dueño del anuncio.
• Cuentas publicitarias, campañas, públicos y métricas de inversión (permisos ads_management, ads_read): para crear, publicar y medir campañas desde la Plataforma por instrucción del Suscriptor.
• Mensajes de WhatsApp Business: contenido, número de teléfono y fecha (permisos whatsapp_business_messaging, whatsapp_business_management): para atender la conversación y responderla.

9.2 Rol de cada parte

Frente a los datos de las personas que escriben, comentan o interactúan con las cuentas conectadas, el Suscriptor es el Responsable del Tratamiento y Kyvont actúa como Encargado, limitado a sus instrucciones y a las finalidades de esta Política. Kyvont no accede a datos de cuentas que el Suscriptor no haya conectado y no combina los datos de un Suscriptor con los de otro: cada Tenant está segregado.

9.3 Respuestas asistidas por inteligencia artificial

Si el Suscriptor activa el asistente automático, el contenido del mensaje recibido se envía a los proveedores de modelos de lenguaje listados en la sección 8, que lo procesan como Encargados de Kyvont con el único fin de generar la respuesta solicitada. Kyvont no utiliza Datos de la Plataforma de Meta para entrenar modelos propios ni los pone a disposición de terceros para entrenar los suyos.

9.4 Qué no hacemos con estos datos

• No vendemos, alquilamos ni cedemos Datos de la Plataforma de Meta a terceros, ni a intermediarios de datos, ni a redes publicitarias.
• No los usamos para construir perfiles publicitarios fuera de la cuenta del Suscriptor que los originó.
• No los usamos para decisiones de crédito, empleo, seguros, vivienda ni ninguna finalidad discriminatoria.
• No los transferimos a la fuerza de ventas ni al equipo comercial de Kyvont para prospectar a los contactos del Suscriptor.

9.5 Retención y eliminación

Los tokens de acceso se almacenan cifrados (AES-256) y se conservan mientras la cuenta esté conectada. Los mensajes, comentarios y métricas recibidos quedan en el registro comercial del Suscriptor y se conservan según la sección 13 de esta Política.

• Desconexión desde Kyvont: al desconectar la cuenta en Configuración → Canales, la integración queda inactiva y el token de acceso se destruye de inmediato.
• Retiro de la app desde Facebook: cuando una persona elimina la aplicación en Configuración → Apps y sitios web de Facebook, Meta nos notifica y aplicamos el mismo efecto de forma automática, sin intervención humana.
• Solicitud de eliminación de datos: Meta nos envía la solicitud, desactivamos las cuentas asociadas a esa persona, destruimos sus tokens y emitimos un código de confirmación consultable en app.kyvont.com/data-deletion-status. Si además desea que eliminemos el contenido ya recibido (mensajes, comentarios o métricas), puede solicitarlo a info@kyvont.com y se atenderá en los plazos de la sección 6.

10. Tratamiento de datos sensibles

Conforme al artículo 5 de la Ley 1581 de 2012, son datos sensibles aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación (origen racial, orientación sexual, convicciones políticas o religiosas, datos de salud, biométricos, entre otros). Kyvont no solicita datos sensibles salvo que sean estrictamente necesarios para prestar un servicio contratado, en cuyo caso se requerirá autorización adicional, expresa e informada del titular, y se aplicarán medidas de seguridad reforzadas.

11. Sección especial — Sector salud

Los Suscriptores que pertenezcan al sector salud y utilicen la Plataforma para gestionar información clínica de pacientes quedan sujetos a las siguientes condiciones adicionales:

• La historia clínica es un documento privado, obligatorio y sometido a reserva, conforme a la Resolución 1995 de 1999 del Ministerio de Salud y a la Resolución 839 de 2017 que actualiza su manejo, custodia, tiempo de conservación y disposición final.
• El Suscriptor del sector salud actúa como Responsable del Tratamiento de la información clínica de sus pacientes. Kyvont actúa exclusivamente como Encargado, limitado a las instrucciones impartidas por el Suscriptor y a las finalidades del contrato.
• El Suscriptor es responsable de obtener la autorización del paciente o su representante, garantizar la reserva médica, cumplir con los tiempos de retención legal (mínimo 15 años tras el último acto clínico, según la Res. 1995/1999) y gestionar la disposición final conforme a la normativa vigente.
• Kyvont implementa medidas técnicas reforzadas para este tipo de datos: encriptación en reposo, control de acceso por roles, registro de auditoría y segregación por Tenant.

12. Menores de edad

La Plataforma no está dirigida a menores de edad. Kyvont no recolecta intencionalmente datos de personas menores de 18 años. Cuando el Suscriptor cargue datos de menores en la Plataforma (por ejemplo, hijos de clientes en contextos educativos o de salud), será su responsabilidad obtener la autorización del representante legal del menor, conforme al artículo 7 de la Ley 1581 de 2012 y al artículo 12 del Decreto 1377 de 2013, respetando el interés superior del niño y sus derechos fundamentales.

13. Retención y supresión

Kyvont conserva los datos personales mientras dure la relación contractual con el Suscriptor y, posteriormente, por los términos de conservación exigidos por la legislación tributaria, contable y comercial colombiana (mínimo diez años conforme al artículo 28 de la Ley 962 de 2005, para soportes contables). Al finalizar estos plazos, los datos se eliminan, anonimizan o devuelven al titular, según corresponda.

14. Medidas de seguridad

Conforme al artículo 4 literal g) de la Ley 1581 de 2012, Kyvont adopta medidas técnicas, humanas y administrativas razonables para proteger los datos personales. Entre ellas: encriptación en tránsito (TLS 1.2+) y en reposo (AES-256), control de acceso con autenticación multifactor, segregación de datos por Tenant (fila por tenant en PostgreSQL con aislamiento a nivel aplicación), registros de auditoría, backups cifrados, pruebas de seguridad periódicas y acuerdos de confidencialidad con el personal y proveedores.

Ningún sistema es absolutamente seguro. En caso de un incidente de seguridad que afecte datos personales, Kyvont notificará al titular y a la Superintendencia de Industria y Comercio dentro de los plazos exigidos por la Circular Externa 002 de 2015 y subsiguientes.

15. Cookies

El sitio web de Kyvont utiliza cookies y tecnologías similares. El detalle de las cookies, su finalidad y el procedimiento para otorgar, revisar y revocar el consentimiento se encuentran en la Política de Cookies.

16. Cambios a la Política

Kyvont podrá modificar esta Política en cualquier momento para adecuarla a cambios normativos o de operación. Las modificaciones sustanciales se comunicarán al correo registrado del Suscriptor o mediante aviso destacado en la Plataforma, al menos diez (10) días calendario antes de su entrada en vigor, conforme al artículo 13 del Decreto 1377 de 2013.

17. Vigencia

La presente Política rige a partir del 4 de agosto de 2026 y sustituye cualquier versión anterior. Las bases de datos administradas por Kyvont tienen vigencia indefinida mientras subsistan las finalidades autorizadas por el titular o las obligaciones legales de conservación.