Política de Privacidad

Esta Política describe qué datos personales trata Duilio, para qué, con quién los comparte, cuánto tiempo los conserva y cómo puedes ejercer tus derechos. Se rige por la Ley 1581 de 2012, el Decreto 1377 de 2013 (hoy compilado en el Decreto 1074 de 2015) y las instrucciones de la Superintendencia de Industria y Comercio (SIC), incluidas la Circular Externa 005 de 2017 sobre transferencias internacionales y la Circular Externa 002 de 2024 sobre inteligencia artificial.

1. Quién es responsable de tus datos

La plataforma Duilio es operada por Carlos Esteban Cumaco, persona natural, C.C. 1000698566, con domicilio en Bogotá D.C., Colombia. Correo para asuntos de datos personales: administrativo@propduilio.com.

Según de quién sean los datos, el rol cambia:

Datos de administradores, prospectos comerciales y de la operación de la plataforma: Carlos Esteban Cumaco es el Responsable del Tratamiento.
Datos de residentes, personal, visitantes y demás personas de cada conjunto: el Responsable es el conjunto residencial (a través de su administración), que decide qué datos se cargan y para qué. Duilio actúa como Encargado del Tratamiento: los procesa por cuenta del conjunto y únicamente para prestar el servicio. Mientras tu conjunto no publique su propia política, esta se aplica en su representación.

Oficial de protección de datos: Carlos Esteban Cumaco — administrativo@propduilio.com. Es la persona encargada de atender consultas y reclamos sobre datos personales y de velar por el cumplimiento de esta Política.

2. Qué datos tratamos

2.1 Datos que tú o la administración de tu conjunto nos entregan

Cuenta de administrador: nombre completo, correo electrónico, número de teléfono y contraseña (almacenada con hash bcrypt, nunca en texto plano).
Registro incompleto (prospectos): si inicias el registro como administrador y no lo terminas, conservamos nombre, correo y teléfono del primer paso para contactarte.
Datos del conjunto: nombre, NIT, dirección, ciudad y país.
Residentes: nombre, correo, teléfono, número de cédula, unidad de vivienda y tipo de tenencia (propietario o arrendatario), foto de perfil, vehículos y placas, mascotas, contactos de emergencia, estado de las cuotas de administración, reservas de zonas comunes, PQRs que presentas y los mensajes que intercambias con la administración.
Personal del conjunto: nombre, teléfono, foto, especialidad y las calificaciones y comentarios que los residentes dejan sobre su trabajo (los comentarios solo los lee la administración).
Visitantes: nombre, documento de identidad, unidad que visitan, fecha y hora, registrados por portería o por el residente que autoriza la visita.
Sorteo de parqueaderos: copia del documento de identidad, SOAT y tarjeta de propiedad del vehículo, cuando te postulas.
Bitácora de convivencia: relatos, fotos, audios o documentos que la administración o el personal de seguridad registran sobre incidentes de convivencia, que pueden mencionar a residentes o a terceros.
Pagos de la suscripción: tipo y número de documento del titular de la tarjeta. El número de la tarjeta lo recibe y tokeniza ePayco; nosotros solo guardamos el token y los últimos cuatro dígitos.
Documentos y comunicados que la administración publica en la plataforma.

2.2 Datos que se generan al usar la plataforma

Dirección IP, navegador y ciudad aproximada (derivada de la IP) en cada inicio de sesión, con fines de seguridad.
Registros de auditoría de las acciones relevantes (quién hizo qué y cuándo).
Constancia de tu autorización de tratamiento de datos: fecha, hora y versión del documento que aceptaste.
Preferencias de idioma y tema guardadas en tu navegador.

2.3 Datos que no tratamos

No almacenamos números de tarjeta ni datos bancarios: los gestiona ePayco bajo su certificación PCI-DSS. No usamos la ubicación de tu dispositivo. No recogemos datos sensibles (salud, orientación, creencias, biometría) de forma deliberada; si un relato de convivencia o un adjunto llegara a contenerlos, se tratan con la misma protección y puedes pedir su supresión.

3. Para qué usamos tus datos

Crear y administrar tu cuenta y la de tu conjunto.
Prestar el servicio: cuotas y pagos, reservas, comunicados, documentos, PQRs, control de visitas, sorteo de parqueaderos y bitácora de convivencia.
Enviarte correos y, si lo activas, mensajes de WhatsApp o SMS: verificación, recuperación de contraseña, invitaciones, avisos de comunicados, recordatorios de cuotas y respuestas a tus PQRs.
Asistir a la administración de tu conjunto con inteligencia artificial para responder PQRs y consultas, bajo las condiciones de la sección 6.
Contactar comercialmente a quien inició un registro de administrador y no lo terminó. Puedes pedir en cualquier momento que dejemos de hacerlo, sin costo ni condición.
Detectar y prevenir fraudes, abusos y accesos no autorizados.
Cumplir obligaciones legales y atender requerimientos de autoridades competentes.
Mejorar el servicio con métricas agregadas y anónimas de uso.

No vendemos tus datos personales ni los usamos para publicidad de terceros.

4. Base legal

Tu autorización, otorgada al crear tu cuenta o al aceptar la invitación de tu conjunto. Queda registrada con fecha, hora y versión de este documento, y puedes consultarla en tu perfil.
La relación contractual con el conjunto que te invitó o con la plataforma, para prestar el servicio.
La Ley 675 de 2001 (propiedad horizontal), que habilita a la administración a llevar registros de residentes, cuotas, convivencia y acceso al conjunto.
Obligaciones legales, como conservar comprobantes contables o responder derechos de petición.

5. Con quién compartimos tus datos y transferencia internacional

Para operar la plataforma usamos proveedores que tratan datos por nuestra cuenta (encargados). Ninguno puede usarlos para fines propios. Varios están en Estados Unidos, país que no figura en la lista de países con nivel adecuado de protección de la SIC (Circular Externa 005 de 2017). Por eso:

La autorización que otorgas al crear tu cuenta o aceptar tu invitación incluye, de forma expresa, la transferencia internacional de tus datos a los proveedores de esta lista y a su país (Ley 1581 de 2012, art. 26, literal a).
Con cada proveedor rigen condiciones contractuales de protección de datos (acuerdos de encargo o data processing agreements) que les prohíben usar tus datos para fines distintos de prestarnos el servicio.

Proveedor	País	Para qué
Railway	Estados Unidos	Servidores y base de datos donde se aloja toda la información de la plataforma.
Vercel	Estados Unidos	Alojamiento de la aplicación web y métricas de rendimiento agregadas (sin cookies ni identificación de personas).
Cloudinary	Estados Unidos	Almacenamiento de imágenes y documentos que se suben a la plataforma.
Resend	Estados Unidos	Envío de correos electrónicos transaccionales.
Sentry	Estados Unidos	Registro de errores técnicos. Recibe el identificador interno del usuario y el detalle del fallo; nunca contraseñas, códigos, tokens ni datos de tarjeta. Se conserva 90 días.
ePayco	Colombia	Procesamiento de pagos y tokenización de tarjetas. Los datos de la tarjeta nunca pasan por nuestros servidores.
Anthropic, PBC	Estados Unidos	Proveedor de inteligencia artificial del asistente de la plataforma y del asistente de PQRs (ver sección 6). Recibe el texto a analizar con los datos personales sustituidos por marcadores. Solo si la administración de tu conjunto activa el asistente.
Meta Platforms (WhatsApp Business)	Estados Unidos	Envío de avisos por WhatsApp (por ejemplo, un comunicado nuevo). Solo si activas esa opción en tu perfil.
Google	Estados Unidos	Inicio de sesión con tu cuenta de Google. Solo si eliges entrar con Google.
Inalambria	Colombia	Envío de códigos de verificación por SMS. Solo si usas el ingreso con código por SMS.

Además, la administración de tu conjunto accede a los datos de sus residentes, personal y visitantes, porque es la responsable de ese tratamiento. Entregaremos datos a autoridades únicamente ante una orden válida.

6. Inteligencia artificial

La plataforma ofrece dos funciones de inteligencia artificial, ambas opcionales para cada conjunto:

Asistente de PQRs: ayuda a la administración a entender una PQR, buscar antecedentes y redactar un borrador de respuesta.
Asistente de la plataforma: responde preguntas sobre cómo usar Duilio y, para la administración, consultas sobre los datos de su propio conjunto.

Reglas que aplicamos:

Siempre decide una persona. El asistente no envía respuestas, no cambia estados ni ejecuta acciones. Toda respuesta a una PQR la revisa, edita y firma la administración.
Minimización. Antes de enviar texto al proveedor (Anthropic, Estados Unidos), los nombres, correos, teléfonos y cédulas de las personas se sustituyen por marcadores. Los textos libres y los documentos del conjunto pueden contener datos que no detectamos; por eso la administración debe revisar lo que incluye como fuente.
Sin entrenamiento. El proveedor no usa tus datos para entrenar sus modelos ni los conserva más allá de lo necesario para responder, conforme a las condiciones comerciales de uso de su API.
Transparencia. La administración acepta una cláusula específica antes de activar el asistente. Las respuestas del asistente de la plataforma se identifican como generadas por inteligencia artificial.
Tu derecho a excluirte. Puedes pedir, por escrito a la administración de tu conjunto o a administrativo@propduilio.com, que una PQR tuya no sea procesada con apoyo del asistente. La administración la responderá sin esa ayuda.

7. Cómo protegemos tus datos

Comunicaciones cifradas con TLS/HTTPS en todas las conexiones.
Contraseñas con hash bcrypt y códigos de verificación con hash.
Sesiones con tokens de corta duración (15 minutos) y tokens de renovación rotativos. En nuestros servidores guardamos solo una huella irreversible de los tokens de sesión, de restablecimiento de contraseña y de invitación, no el token en claro.
Aislamiento estricto entre conjuntos: ninguna cuenta puede ver datos de otro conjunto.
Los archivos que subes se almacenan en un proveedor externo y se entregan por dirección directa; estamos migrando a enlaces privados de corta duración.
Revisamos el contenido real de cada archivo que subes, no solo su extensión, y rechazamos los que no corresponden a un tipo permitido.
Las credenciales de cobro del conjunto se guardan cifradas y, una vez guardadas, no se vuelven a mostrar completas.
Cabeceras de seguridad y política de contenido en la aplicación web, que limitan de dónde se puede cargar código y evitan que se incruste en sitios ajenos.
Acceso a producción restringido y secretos fuera del código.

Ningún sistema es completamente seguro. Si ocurre un incidente que afecte tus datos, lo notificaremos a la SIC y a los titulares afectados dentro de los 15 días hábiles siguientes a detectarlo, con las medidas que tomamos y las que te recomendamos.

8. Cuánto tiempo conservamos tus datos

Dato	Plazo
Datos de tu cuenta (administrador, residente o personal)	Mientras la cuenta exista. Al cerrarla, se eliminan o anonimizan en un máximo de 30 días, salvo lo que una obligación legal exija conservar.
Datos de contacto de un registro de administrador que no se completó	6 meses desde tu última interacción con el formulario, o antes si pides su supresión.
Conjuntos que nunca salieron al aire	Si tu cuenta nunca salió al aire y el administrador no inicia sesión durante 24 meses, la eliminamos junto con sus datos. Te avisamos por correo al mes 23. Si inicias sesión, el plazo se reinicia.
Registros de inicio de sesión (fecha, dirección IP, navegador, ciudad aproximada)	180 días.
Registros de errores técnicos (Sentry)	90 días.
Conversaciones con el asistente de la plataforma	90 días desde el último mensaje.
Calificaciones que das a las respuestas del asistente	1 año.
Bitácora de convivencia del conjunto (incidentes y adjuntos)	3 años desde el cierre de cada incidente.
Comprobantes de pago de la suscripción del conjunto	10 años (Ley 962 de 2005, art. 28), incluso si el conjunto deja de usar la plataforma.
PQRs, cuotas, reservas, visitas y demás registros operativos del conjunto	Mientras el conjunto sea cliente de la plataforma, y después según lo que su administración, como responsable, instruya al cancelar.

Vencido el plazo, los datos se eliminan o se anonimizan de forma irreversible. Si cancelas tu cuenta, puedes pedirnos antes una copia de tus datos (sección 9).

9. Tus derechos y cómo ejercerlos

Como titular tienes derecho a:

Conocer qué datos tuyos tratamos y obtener una copia.
Actualizar y rectificar datos inexactos o incompletos. Buena parte puedes hacerlo desde tu perfil.
Suprimir tus datos y revocar tu autorización, cuando no exista un deber legal o contractual que exija conservarlos.
Conocer la constancia de tu autorización (fecha y documento aceptado), visible en tu perfil.
Pedir que una PQR tuya no pase por el asistente de inteligencia artificial (sección 6).
No recibir mensajes por WhatsApp o SMS: puedes desactivarlos en tu perfil en cualquier momento.
Presentar una queja ante la SIC, una vez agotado el trámite ante nosotros o ante tu conjunto.

Procedimiento

Si eres residente, personal o visitante de un conjunto, el responsable de tus datos es el conjunto: dirige tu solicitud a su administración. También puedes escribirnos y la remitiremos a la administración, a quien ayudaremos a atenderla.
Si eres administrador o prospecto, escríbenos a administrativo@propduilio.com desde el correo registrado, indicando tu nombre, qué derecho ejerces y, si aplica, qué datos quieres corregir o eliminar.
Consultas (saber qué datos tenemos): respondemos en máximo 10 días hábiles. Si no podemos, te avisamos antes del vencimiento y respondemos en máximo 5 días hábiles más.
Reclamos (corregir, suprimir, revocar o reportar un incumplimiento): respondemos en máximo 15 días hábiles. Si no podemos, te avisamos antes del vencimiento y respondemos en máximo 8 días hábiles más. Si el reclamo llega incompleto, te pediremos completarlo dentro de los 5 días siguientes; si pasan 2 meses sin respuesta tuya, se entiende desistido. Mientras se tramita, el dato queda marcado como "reclamo en trámite".

Si prefieres no recibir comunicaciones comerciales de ningún proveedor por SMS, WhatsApp, correo o llamada, también puedes inscribirte en el Registro de Números Excluidos (RNE) de la Comisión de Regulación de Comunicaciones, conforme a la Ley 2300 de 2023.

10. Cookies, almacenamiento local y métricas

Almacenamiento local del navegador: guarda los tokens de tu sesión y tus preferencias (tema claro u oscuro, estado de avisos).
Cookie de idioma: una única cookie propia que recuerda el idioma que elegiste.
Métricas de rendimiento (Vercel Analytics y Speed Insights): cuentan visitas y tiempos de carga de forma agregada, sin cookies y sin identificar personas.

No usamos cookies publicitarias, de rastreo entre sitios ni herramientas de publicidad comportamental. Puedes borrar el almacenamiento local desde tu navegador; al hacerlo cerrarás tu sesión.

11. Menores de edad

La plataforma está dirigida a personas mayores de 18 años. No creamos cuentas para menores. Si un dato de un menor llega a la plataforma (por ejemplo, en un contacto de emergencia o en un relato de convivencia), se trata únicamente en interés del menor y con la autorización de su representante legal; cualquiera puede pedir su supresión escribiéndonos.

12. Cambios en esta Política

Cuando cambiemos esta Política publicaremos la nueva versión aquí y actualizaremos la fecha de vigencia, que es la que queda registrada en tu constancia de autorización. Para cambios sustanciales (nuevas finalidades, nuevos proveedores en el exterior, nuevos datos) te avisaremos por correo con al menos 15 días de anticipación y, cuando la ley lo exija, te pediremos una nueva autorización.

13. Contacto

Datos personales y asuntos legales: administrativo@propduilio.com
Soporte general: contactenos@propduilio.com
Teléfono / WhatsApp: +57 312 271 5976
Autoridad de protección de datos: Superintendencia de Industria y Comercio (www.sic.gov.co).