1. Responsable del Tratamiento
- Responsable: Felipe Gutiérrez Apráez, quien opera como persona natural (en adelante, "Routask" o la "Compañía")
- Domicilio: Bogotá D.C., Colombia
- Correo del canal de protección de datos: soporte@routask.com
- Sitio web: https://routask.com
2. Alcance y marco normativo
2.1. Esta Política de Privacidad y Tratamiento de Datos Personales (la "Política") aplica al tratamiento de datos personales que realiza Routask respecto de: (i) visitantes del sitio web y de los canales de Routask; (ii) los negocios y profesionales que contratan la plataforma (los "Negocios" o "Clientes") y sus usuarios autorizados; (iii) las personas que interactúan con el asistente de Routask para agendar o gestionar citas con un Negocio (los "Usuarios Finales"); y (iv) terceros cuyos datos sean suministrados en el marco del servicio (por ejemplo, personas a cuyo favor se agenda una cita).
2.2. Esta Política se expide en cumplimiento del artículo 15 de la Constitución Política de Colombia (habeas data), la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015), las instrucciones de la Superintendencia de Industria y Comercio ("SIC") y las demás normas que las modifiquen, adicionen o complementen.
2.3. Routask no realiza tratamiento de datos con fines de análisis de riesgo o comportamiento crediticio ni reporta información a centrales de riesgo, por lo que, en principio, el régimen de habeas data financiero de la Ley 1266 de 2008 no le resulta aplicable.
3. Roles de Routask: Responsable y Encargado
Para entender esta Política es clave distinguir dos roles previstos en la Ley 1581 de 2012:
3.1. Routask como Responsable del Tratamiento. Routask decide sobre el tratamiento y actúa como Responsable respecto de: (i) los datos de los Negocios, sus representantes y usuarios autorizados (cuenta, contacto, facturación y pagos); (ii) los datos de visitantes del sitio web y de prospectos comerciales; (iii) los datos técnicos y de uso de la plataforma; y (iv) los datos tratados para seguridad, prevención de fraude, cumplimiento legal y mejora del servicio.
3.2. Routask como Encargado del Tratamiento. Respecto de los datos personales de los Usuarios Finales y de terceros que el Negocio incorpora o gestiona a través de la plataforma (conversaciones, citas, contactos, calendarios y archivos), el Negocio actúa como Responsable —pues decide sobre esos datos y sobre la relación con sus propios clientes— y Routask actúa como Encargado, tratándolos por cuenta y bajo las instrucciones del Negocio, conforme a los Términos y Condiciones del Servicio.
3.3. En consecuencia, cuando un Usuario Final desee ejercer sus derechos respecto de datos tratados por cuenta de un Negocio, podrá dirigirse al Negocio como Responsable. Si la solicitud llega a Routask y Routask no es competente para resolverla, dará traslado al Negocio correspondiente en un término máximo de dos (2) días hábiles e informará de ello al interesado, conforme al artículo 15 de la Ley 1581 de 2012, sin perjuicio de la cooperación de Routask para su atención.
4. Definiciones
Para esta Política aplican las definiciones de la Ley 1581 de 2012 y del Decreto 1377 de 2013, entre ellas: Dato personal (información vinculada o que pueda asociarse a una persona natural determinada o determinable); Dato sensible (el que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación); Titular (persona natural cuyos datos son objeto de tratamiento); Tratamiento (cualquier operación sobre datos personales, como recolección, almacenamiento, uso, circulación o supresión); Responsable (quien decide sobre la base de datos y/o el tratamiento); Encargado (quien trata datos por cuenta del Responsable); Transferencia (envío de datos a un tercero receptor que actúa como Responsable, dentro o fuera del país); Transmisión (comunicación de datos a un Encargado, dentro o fuera del país, para que los trate por cuenta del Responsable); y Aviso de privacidad (comunicación que informa las políticas de tratamiento aplicables).
Adicionalmente: "Asistente de IA" es el agente conversacional de Routask (por chat, voz u otros canales); "Proveedores de IA" son los terceros que suministran modelos de lenguaje o de transcripción utilizados por la plataforma; e "Integraciones" son las conexiones autorizadas con servicios de terceros (por ejemplo, Google Calendar, Google Contacts o WhatsApp).
5. Datos personales que tratamos
5.1. Datos de Negocios y sus usuarios autorizados: nombre y apellidos, documento de identidad [si se solicita], cargo, correo electrónico, teléfono, nombre y datos del negocio, información de facturación y de medios de pago. Los pagos se procesan exclusivamente a través de Mercado Pago como pasarela de pago; Routask no recolecta ni almacena números de tarjetas, códigos de seguridad ni credenciales bancarias, los cuales son tratados directamente por Mercado Pago bajo sus propias políticas. Routask conserva únicamente credenciales de acceso y configuraciones de la cuenta, y datos mínimos de la transacción (por ejemplo, estado y referencia de pago).
5.2. Datos de Usuarios Finales y terceros: nombre, número de teléfono (incluido el asociado a WhatsApp), correo electrónico, contenido de las conversaciones con el Asistente de IA y con el Negocio (mensajes de texto; notas de voz y sus transcripciones; imágenes; y otros archivos adjuntos en cualquier formato, enviados por el Negocio a sus Usuarios Finales o por estos al Negocio), información de las citas (fecha, hora, servicio, notas, historial) y datos de terceros que el Usuario Final o el Negocio suministren (por ejemplo, la persona para quien se agenda la cita). Quien suministre datos de terceros declara contar con la autorización o legitimación para hacerlo.
5.3. Datos provenientes de Integraciones de Google (con consentimiento del Negocio): eventos, disponibilidad y metadatos de Google Calendar, y contactos de Google Contacts, únicamente dentro de los alcances (scopes) autorizados por el Negocio a través de las pantallas de consentimiento OAuth de Google. El Negocio puede revocar este acceso en cualquier momento (sección 14).
5.4. Datos técnicos y de uso: dirección IP, identificadores de dispositivo y sesión, tipo de navegador y sistema operativo, registros (logs) de actividad y seguridad, métricas de uso de la plataforma, y datos recolectados mediante cookies y tecnologías similares.
5.5. Origen de los datos: directamente del Titular, del Negocio que los incorpora a la plataforma, de las Integraciones autorizadas, o generados por el uso del servicio (por ejemplo, transcripciones y registros).
6. Finalidades del Tratamiento
Los datos personales serán tratados para las siguientes finalidades:
a) Prestar el servicio de agendamiento conversacional: recibir y responder mensajes, coordinar, confirmar, reprogramar y cancelar citas, y enviar recordatorios y notificaciones operativas. b) Operar el Asistente de IA, incluyendo la transcripción de notas de voz y la generación de respuestas mediante Proveedores de IA (sección 7). c) Habilitar y mantener las Integraciones autorizadas por el Negocio (por ejemplo, sincronización con Google Calendar y Google Contacts). d) Crear, administrar y mantener las cuentas; autenticar usuarios; brindar soporte; atender consultas, peticiones, quejas y reclamos. e) Facturar, cobrar y gestionar pagos, y cumplir obligaciones contables, tributarias, contractuales y legales. f) Garantizar la seguridad de la plataforma, prevenir fraude, abuso y usos no autorizados, y gestionar incidentes. g) Mejorar y desarrollar el servicio, preferiblemente con información agregada, anonimizada o seudonimizada. h) Enviar comunicaciones de servicio (cambios, mantenimientos, avisos legales) y, únicamente con autorización previa del Titular y con posibilidad de exclusión (opt-out) en cada envío, comunicaciones comerciales o promocionales. i) Atender requerimientos de autoridades judiciales o administrativas en ejercicio de sus funciones. j) Las demás finalidades informadas al momento de la recolección y aceptadas por el Titular.
Entrenamiento de modelos: Routask no entrena modelos de inteligencia artificial propios con el contenido de las conversaciones ni con los archivos de los Titulares. Para operar el Asistente de IA, Routask transmite a los Proveedores de IA (sección 7) únicamente los datos estrictamente necesarios para procesar cada solicitud; el envío se limita a datos transaccionales mínimos, como el nombre del Titular y el nombre del Negocio, y excluye el contenido de archivos adjuntos e imágenes. Dichos Proveedores de IA pueden utilizar la información que reciben conforme a sus propias políticas, que pueden incluir el entrenamiento de sus modelos; por ello Routask minimiza los datos que les envía. Lo anterior se detalla en la sección 7.
7. Tratamiento mediante inteligencia artificial y Proveedores de IA
7.1. Para que el Asistente de IA funcione, ciertos datos —como el contenido de los mensajes, las notas de voz y el contexto de agenda estrictamente necesario— se transmiten a Proveedores de IA que actúan como Encargados o subencargados del tratamiento: Anthropic (Estados Unidos), para la generación de respuestas mediante modelos de lenguaje, y Mistral AI (Francia, Unión Europea), incluida la transcripción de notas de voz de WhatsApp mediante su modelo Voxtral.
7.2. Routask aplica el principio de minimización: a los Proveedores de IA se transmiten únicamente datos transaccionales mínimos necesarios para prestar el servicio, principalmente el nombre del Titular y el nombre del Negocio, sin remitir datos financieros, documentos de identidad ni otros datos que no sean necesarios para la operación. Los Proveedores de IA tratan esa información conforme a sus propios términos y políticas de privacidad, los cuales pueden contemplar la conservación de los datos y el entrenamiento de sus modelos. Routask recomienda a los Titulares consultar dichas políticas: Anthropic (https://www.anthropic.com/legal/privacy) y Mistral AI (https://mistral.ai/terms).
7.3. Los resultados generados por sistemas de IA pueden contener errores o imprecisiones (por ejemplo, en transcripciones o interpretación de fechas). Las advertencias y responsabilidades asociadas se regulan en los Términos y Condiciones del Servicio.
8. Datos sensibles
8.1. Routask no solicita ni requiere datos sensibles para prestar el servicio. Las notas de voz se tratan únicamente para su transcripción y para gestionar la solicitud del Titular, y no para identificar biométricamente a las personas.
8.2. Si un Titular incluye espontáneamente datos sensibles en una conversación (por ejemplo, información de salud al describir el motivo de una cita), dicho suministro es facultativo, no condiciona el acceso al servicio salvo que sea estrictamente necesario para la gestión solicitada, y será tratado con medidas de seguridad y confidencialidad reforzadas. El Titular no está obligado a autorizar el tratamiento de datos sensibles.
9. Datos de menores de edad
El servicio está dirigido a mayores de dieciocho (18) años. Routask no recolecta deliberadamente datos de niños, niñas y adolescentes. Cuando en el marco del servicio se traten datos de menores (por ejemplo, cuando un adulto agenda una cita a favor de un menor), dicho tratamiento se realizará respetando su interés superior y sus derechos fundamentales, y con la autorización del representante legal, conforme al artículo 7 de la Ley 1581 de 2012 y al Decreto 1377 de 2013. El Negocio, como Responsable de los datos de sus Usuarios Finales, garantiza el cumplimiento de estos requisitos.
10. Autorización
10.1. Routask obtiene la autorización previa, expresa e informada del Titular por medios que permitan su consulta posterior, tales como: aceptación mediante clic en formularios o pantallas de registro, mensajes de datos (Ley 527 de 1999), consentimiento OAuth para Integraciones, o conductas inequívocas conforme al Decreto 1377 de 2013.
10.2. La autorización no será necesaria en los casos del artículo 10 de la Ley 1581 de 2012 (información requerida por autoridad en ejercicio de sus funciones; datos de naturaleza pública; urgencia médica o sanitaria; tratamientos autorizados por la ley para fines históricos, estadísticos o científicos; y datos relacionados con el Registro Civil).
10.3. Cuando Routask actúa como Encargado, la obtención de la autorización de los Usuarios Finales corresponde al Negocio como Responsable, quien declara y garantiza contar con ella, incluyendo la autorización para la transmisión internacional descrita en la sección 13.
11. Derechos de los Titulares
De conformidad con el artículo 8 de la Ley 1581 de 2012, el Titular tiene derecho a:
a) Conocer, actualizar y rectificar sus datos personales frente a Routask (derechos que, junto con la supresión y la revocatoria, corresponden a los comúnmente denominados derechos "ARCO": acceso, rectificación, cancelación/supresión y oposición). b) Solicitar prueba de la autorización otorgada, salvo los casos en que la ley no la exige. c) Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos. d) Presentar quejas ante la SIC por infracciones a la Ley 1581 de 2012, una vez agotado el trámite de consulta o reclamo ante Routask (requisito de procedibilidad, artículo 16 de la Ley 1581 de 2012). e) Revocar la autorización y/o solicitar la supresión del dato cuando no se respeten los principios, derechos y garantías legales, y siempre que no exista un deber legal o contractual que imponga su permanencia (artículo 9 del Decreto 1377 de 2013). f) Acceder de forma gratuita a sus datos personales objeto de tratamiento, al menos una vez cada mes calendario y cada vez que existan modificaciones sustanciales de esta Política.
Estos derechos podrán ejercerse por el Titular, sus causahabientes acreditados, su representante o apoderado, o por estipulación a favor de otro.
12. Procedimientos para ejercer los derechos
12.1. Canales de atención: correo electrónico soporte@routask.com; y los canales de atención disponibles dentro de la plataforma. Las solicitudes son atendidas por el Responsable (Felipe Gutiérrez Apráez) o por la persona que este designe.
12.2. Consultas (artículo 14, Ley 1581 de 2012). El Titular podrá consultar sus datos personales. La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de su recibo. Si no fuere posible atenderla en ese término, se informará al interesado los motivos de la demora y la fecha de atención, que en ningún caso superará los cinco (5) días hábiles siguientes al vencimiento del primer término.
12.3. Reclamos (artículo 15, Ley 1581 de 2012). El Titular que considere que sus datos deben ser corregidos, actualizados o suprimidos, o que advierta un presunto incumplimiento de la ley, podrá presentar un reclamo que contenga: (i) identificación del Titular (y de su representante, si aplica, con la acreditación correspondiente); (ii) descripción precisa de los hechos y de la solicitud; (iii) dirección o medio para recibir respuesta; y (iv) los documentos que soporten la solicitud. Si el reclamo está incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que lo subsane; transcurridos dos (2) meses desde el requerimiento sin respuesta, se entenderá desistido. El reclamo completo será atendido en un término máximo de quince (15) días hábiles contados a partir del día siguiente a su recibo; si no fuere posible, se informarán los motivos de la demora y la fecha de atención, que no superará los ocho (8) días hábiles siguientes al vencimiento del primer término.
12.4. Supresión de datos. El procedimiento, alcance, plazos técnicos y excepciones de la eliminación de datos se detallan en la Política de Eliminación de Datos de Usuario, que hace parte integral de esta Política.
13. Transmisión y transferencia de datos, incluso internacional
13.1. Routask podrá transmitir datos personales a Encargados y subencargados que le prestan servicios, bajo contratos que les imponen deberes de seguridad, confidencialidad, uso limitado a las instrucciones de Routask y prohibición de uso para fines propios, en los términos del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015). Las categorías actuales incluyen: (i) Proveedores de IA: Anthropic (EE. UU.) y Mistral AI (Francia); (ii) infraestructura de nube y alojamiento: Hetzner Online GmbH (Alemania/Finlandia); (iii) mensajería y canales: Twilio Inc. (Estados Unidos) como proveedor actual de conectividad con WhatsApp, en transición hacia una conexión directa con Meta Platforms/WhatsApp Business; (iv) Google, para las Integraciones autorizadas; (v) pasarela de pagos: Mercado Pago; y (vi) herramientas de analítica, medición y correo transaccional: Meta Pixel (Meta Platforms) y Resend (correo transaccional). El listado actualizado puede solicitarse al canal de la sección 12.1.
13.2. Algunas de estas operaciones implican la transmisión o transferencia internacional de datos a países que pueden no ofrecer niveles de protección equivalentes a los de Colombia. Routask las realiza al amparo de: (i) contratos de transmisión con los Encargados; (ii) países con nivel adecuado de protección según los estándares fijados por la SIC; y/o (iii) las excepciones del artículo 26 de la Ley 1581 de 2012, incluida la autorización expresa e inequívoca del Titular y las transferencias necesarias para la ejecución de un contrato entre el Titular y el Responsable.
13.3. Cuando Routask actúa como Encargado, el Negocio, como Responsable, autoriza expresamente la subcontratación de los terceros aquí descritos (subencargados) y declara contar con la autorización de sus Titulares para la transmisión internacional inherente al servicio.
14. Integraciones de Google — Uso Limitado (Limited Use)
14.1. El uso y la transferencia que Routask hace de la información recibida de las APIs de Google se ajustarán a la Política de Datos de Usuario de los Servicios de API de Google (Google API Services User Data Policy), incluidos los requisitos de Uso Limitado (Limited Use). En consecuencia, los datos obtenidos de Google (Calendar y Contacts) se usan únicamente para prestar y mejorar las funcionalidades visibles del servicio autorizadas por el usuario, no se usan para publicidad, y no se transfieren a terceros salvo lo necesario para prestar dichas funcionalidades, por seguridad, para cumplir la ley o con consentimiento del usuario. Los datos de Google no se utilizan para entrenar modelos de IA generalizados.
14.2. El Negocio puede revocar el acceso de Routask a su cuenta de Google en cualquier momento desde la configuración de la plataforma o en https://myaccount.google.com/permissions. La revocatoria y la eliminación de los datos sincronizados se regulan en la Política de Eliminación de Datos de Usuario.
15. Seguridad de la información
En desarrollo del principio de seguridad de la Ley 1581 de 2012, Routask adopta medidas técnicas, humanas y administrativas razonables para proteger los datos personales contra adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, tales como cifrado en tránsito (TLS), controles de acceso basados en roles, registros de auditoría, segregación de ambientes y acuerdos de confidencialidad con su personal y proveedores. Ningún sistema es infalible; en caso de incidentes de seguridad que afecten datos personales, Routask los gestionará y notificará conforme a la ley y a las instrucciones de la SIC, e informará a los Responsables y/o Titulares cuando corresponda. Las conductas contra la seguridad de la información pueden ser denunciadas conforme a la Ley 1273 de 2009.
16. Conservación de los datos
Los datos personales se conservarán mientras la cuenta o la relación con el Titular esté vigente y mientras sean necesarios para cumplir las finalidades de esta Política. Cesada la necesidad, serán suprimidos o anonimizados, salvo que deban conservarse para el cumplimiento de obligaciones legales, contables, tributarias o contractuales (por ejemplo, soportes contables hasta por diez (10) años conforme a las normas comerciales), o para la defensa de reclamaciones, caso en el cual se conservarán bloqueados y con acceso restringido por el término correspondiente. Los plazos y el procedimiento de eliminación se detallan en la Política de Eliminación de Datos de Usuario.
17. Cookies y tecnologías similares
Routask utiliza cookies propias y de terceros con fines técnicos (funcionamiento y seguridad), de preferencia y de medición/analítica. El Titular puede gestionarlas o deshabilitarlas desde la configuración de su navegador; hacerlo puede afectar algunas funcionalidades. Entre las tecnologías de medición utilizadas se encuentra Meta Pixel, con fines de analítica y medición de campañas.
18. Registro Nacional de Bases de Datos (RNBD)
Routask registrará sus bases de datos en el RNBD administrado por la SIC cuando le resulte exigible conforme al Decreto 090 de 2018 (sociedades con activos totales superiores a 100.000 UVT y demás sujetos obligados) y a las instrucciones de la SIC.
19. Titulares ubicados fuera de Colombia
la plataforma puede tener Negocios o Usuarios Finales fuera de Colombia. Cuando el tratamiento involucre titulares ubicados en jurisdicciones que otorguen protecciones imperativas adicionales (por ejemplo, el Reglamento General de Protección de Datos de la Unión Europea o leyes estatales de los Estados Unidos), dichas protecciones se aplicarán en lo pertinente y prevalecerán sobre esta Política en caso de conflicto, sin que ello limite los derechos aquí reconocidos. Routask podrá expedir anexos o avisos específicos por jurisdicción.
20. Modificaciones y vigencia
Esta Política rige a partir de su publicación y sustituye las anteriores. Routask podrá modificarla en cualquier momento; los cambios se informarán a través del sitio web o de la plataforma con indicación de la fecha de actualización y, cuando impliquen cambios sustanciales en las finalidades o supongan nuevos tratamientos que lo requieran, se solicitará nueva autorización al Titular. Las bases de datos tendrán una vigencia igual al periodo en que se mantengan las finalidades del tratamiento y/o la relación que les dio origen.
21. Contacto
Canal de protección de datos: soporte@routask.com · Bogotá D.C., Colombia. Agotado el trámite ante Routask, el Titular podrá acudir a la Delegatura para la Protección de Datos Personales de la SIC (www.sic.gov.co).