Política de tratamiento de datos personales de AIGOS

Esta política cumple la Ley Estatutaria 1581 de 2012 y el Decreto 1074 de 2015 (capítulo 25, que compiló el Decreto 1377 de 2013). Explica qué datos personales trata AIGOS, para qué, con qué derechos y cómo ejercerlos. AIGOS trata datos en dos papeles distintos: como Responsable de los datos de las personas que usan AIGOS, y como Encargado de los datos que las empresas clientes cargan sobre sus propios clientes, proveedores, empleados y pacientes. La sección 7 explica el segundo papel.

1. Responsable del tratamiento

2. Marco legal

Constitución Política (artículos 15 y 20); Ley Estatutaria 1581 de 2012; Decreto 1074 de 2015, capítulos 25 (reglamentación de la Ley 1581) y 26 (Registro Nacional de Bases de Datos); Título V de la Circular Única de la Superintendencia de Industria y Comercio (SIC); Ley 527 de 1999 (comercio electrónico y mensajes de datos); y, en lo que corresponda, la Ley 1266 de 2008. Las demás normas que las modifiquen o reemplacen se aplican sin necesidad de cambiar esta política.

3. Definiciones

Se usan las de la Ley 1581 de 2012 (artículo 3) y del Decreto 1074 de 2015. En resumen:

• Titular: la persona natural cuyos datos se tratan.
• Dato personal: cualquier información que identifique o pueda identificar a una persona natural.
• Dato sensible: el que afecta la intimidad o puede generar discriminación; entre otros, los datos de salud (Ley 1581, artículo 5).
• Responsable: quien decide sobre la base de datos y el tratamiento.
• Encargado: quien trata datos por cuenta del Responsable.
• Transferencia: envío de datos a otro Responsable, en Colombia o en el exterior.
• Transmisión: comunicación de datos al Encargado, en Colombia o en el exterior, para que los trate por cuenta del Responsable.
• Cliente: la empresa o persona que crea una empresa en AIGOS y la usa para llevar su contabilidad.
• Usuario: cada persona que entra a AIGOS (dueño, gerente, contador, auxiliar, revisor fiscal, consulta).
• IA del cliente: el asistente de inteligencia artificial que el cliente elige y conecta a AIGOS (por ejemplo, Claude, ChatGPT o Perplexity).

4. Principios

AIGOS aplica los principios del artículo 4 de la Ley 1581 de 2012: legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad. Además, aplica el principio de responsabilidad demostrada: documenta sus controles y puede mostrarlos a la SIC (Decreto 1074 de 2015, artículo 2.2.2.25.6.1).

5. Los dos papeles de AIGOS

6. Datos que AIGOS trata como Responsable

6.1 Qué datos

• Identificación y contacto: correo electrónico (el de la cuenta de Google con que se entra), nombre, celular (opcional), cargo declarado y empresa a la que pertenece.
• Registro comercial: cómo conoció AIGOS, si llegó por enlace o por invitación, qué IA usa, sector de la empresa y tamaño aproximado (empleados, facturas al mes), estado de la membresía y plan.
• Seguridad: fecha de alta y último ingreso, inscripción del segundo factor (la aplicación de autenticación del celular), resultados de verificación del código, sesiones, dirección IP y datos técnicos del navegador o de la conexión, registros de la bitácora (quién hizo qué, cuándo y por dónde).
• Prueba de aceptación: versión y fecha de los documentos aceptados, correo e IP aproximada en el momento de aceptar.
• Comunicaciones: solicitudes de funciones, sugerencias y mensajes de soporte que el usuario envía.
• Cobro (cuando empiece): datos de facturación del pagador. Los datos de tarjetas y cuentas los recibe directamente la pasarela de pagos; AIGOS no los guarda.

AIGOS no pide contraseñas: el inicio de sesión es con Google y el segundo factor es un código de la aplicación del celular.

6.2 Para qué (finalidades)

1. Crear y administrar la cuenta, verificar la identidad y dar acceso solo a las empresas y funciones que corresponden al cargo de cada persona.
2. Proteger la cuenta y las empresas: segundo factor, frenos a intentos fallidos, límites de uso, detección de abusos y bitácora sellada.
3. Prestar el servicio contratado o de prueba, dar soporte y responder solicitudes.
4. Enviar mensajes del servicio: avisos de seguridad, cambios de estos documentos, vencimientos, estado de la membresía y novedades que afectan el uso.
5. Mejorar AIGOS con estadísticas de uso por sector, cargo y módulo, y con las solicitudes de funciones que envían los usuarios.
6. Enviar información comercial de AIGOS (planes, lanzamientos). Esta finalidad es opcional: se puede rechazar en cualquier momento sin afectar el servicio.
7. Facturar y cobrar la membresía y los paquetes de facturación electrónica cuando empiece el cobro.
8. Cumplir obligaciones legales, contables y tributarias propias de AIGOS & Co. y atender requerimientos de autoridades competentes.
9. Conservar la prueba de la aceptación de los términos y de la autorización de datos.

6.3 Autorización

AIGOS pide la autorización previa, expresa e informada del titular en la pantalla de acceso (acceso.aigosco.com) antes de crear el registro, con una casilla que no viene marcada. Guarda la prueba (Ley 1581, artículo 9; Decreto 1074 de 2015, artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5). La autorización se puede revocar, salvo para los datos que deban conservarse por deber legal o contractual (sección 13).

7. AIGOS como Encargado de los datos que cargan los clientes

7.1 Qué datos

Según los módulos que use el cliente:

• Contabilidad, facturación, compras y bancos: nombre o razón social, tipo y número de identificación, dirección, correo, teléfono, responsabilidades tributarias, datos de facturas, pagos, cuentas por cobrar y por pagar, y datos bancarios de los terceros del cliente.
• Nómina: datos de empleados y contratistas: identificación, contrato, salario y pagos, afiliaciones a seguridad social y parafiscales, novedades (incapacidades, licencias, vacaciones), embargos y descuentos.
• Salud y RIPS: datos de pacientes que el prestador de salud registra para facturar y reportar: identificación, fecha de nacimiento, sexo, atenciones, códigos de procedimientos y diagnósticos, valores y pagador. Son datos sensibles.
• Documentos: facturas, extractos, RUT, contratos y demás soportes que el usuario entrega a su IA para que AIGOS los registre.

7.2 Reglas del encargo

• El cliente es el Responsable de esos datos: decide para qué se tratan, debe tener la autorización de cada titular cuando la ley la exija (o una causal legal que lo exima, como las del artículo 10 de la Ley 1581) y debe atender a esos titulares.
• AIGOS trata esos datos solo para prestar el servicio al cliente y según sus instrucciones. No los vende, no los usa para su propia publicidad, no los cruza entre empresas y no los entrega a terceros salvo a sus subencargados (sección 12) o por orden de autoridad competente.
• Si un titular le escribe a AIGOS sobre datos que AIGOS trata como Encargado, AIGOS traslada la solicitud al cliente Responsable dentro de los dos (2) días hábiles siguientes, informa de ello al titular y apoya al cliente en la respuesta (sección 11.4).
• Las obligaciones completas están en el Acuerdo de encargo del tratamiento, que hace parte de los términos y condiciones.

8. Datos sensibles y datos de salud

• De los usuarios: AIGOS no pide datos sensibles de sus usuarios. Si alguna vez se pidiera uno, responder será facultativo y se dirá así de forma expresa (Ley 1581, artículo 6; Decreto 1074 de 2015, artículo 2.2.2.25.2.3).
• De los terceros del cliente: los datos de salud de pacientes (RIPS) y los de salud de empleados (incapacidades, licencias) son sensibles. Su tratamiento exige la autorización explícita del titular o una de las excepciones del artículo 6 de la Ley 1581. Obtenerla, o verificar la excepción, corresponde al cliente como Responsable.
• AIGOS no es una historia clínica. No reemplaza la historia clínica regulada por la Resolución 1995 de 1999, la Ley 2015 de 2020 y sus normas complementarias, ni el sistema de información del prestador de salud. AIGOS solo guarda lo necesario para facturar y producir los RIPS. El cliente no debe cargar en AIGOS notas clínicas, evoluciones ni resultados que no se necesiten para esos fines.
• Medidas reforzadas: los datos de salud no tienen acceso directo desde la interfaz de datos (solo a través de funciones del servidor que verifican cargo y empresa), y toda consulta o generación de RIPS queda en la bitácora con quién, cuándo y por dónde.

9. Datos de niñas, niños y adolescentes

AIGOS no está dirigido a menores de edad y no permite que menores creen cuentas. Cuando el cliente cargue datos de menores (por ejemplo, pacientes o beneficiarios de seguridad social), lo hace como Responsable y debe cumplir el artículo 7 de la Ley 1581 de 2012 y el artículo 2.2.2.25.2.9 del Decreto 1074 de 2015: respetar el interés superior del menor, asegurar sus derechos fundamentales y contar con la autorización de su representante legal cuando haga falta.

10. Derechos de los titulares

Todo titular puede (Ley 1581, artículo 8):

1. Conocer, actualizar y rectificar sus datos.
2. Pedir prueba de la autorización, salvo cuando la ley no la exige.
3. Saber cómo se han usado sus datos.
4. Presentar quejas ante la SIC, después de agotar el trámite de consulta o reclamo ante AIGOS (Ley 1581, artículo 16).
5. Revocar la autorización o pedir la supresión de sus datos cuando no se respeten los principios, derechos y garantías, salvo deber legal o contractual de conservarlos.
6. Acceder gratis a sus datos: al menos una vez por mes calendario y cada vez que cambien sustancialmente estas políticas (Decreto 1074 de 2015, artículo 2.2.2.25.4.2).

Los pueden ejercer el titular, sus causahabientes, su representante o apoderado, o quien estipule a su favor (Decreto 1074 de 2015, artículo 2.2.2.25.4.1).

11. Cómo presentar consultas y reclamos

Área responsable: el área de Protección de Datos de AIGOS & Co. [PENDIENTE: nombre del cargo o persona designada como oficial de protección de datos]. Canal: correo a aigosco.com@gmail.com (provisional) [PENDIENTE: buzón propio], con el asunto «Datos personales». [PENDIENTE: dirección física para radicar por escrito].

11.1 Qué debe incluir la solicitud

Nombre e identificación del titular, la descripción de lo que pide, la dirección o correo para responderle y, si actúa un tercero, el documento que acredita su representación. AIGOS puede pedir verificar la identidad antes de entregar datos.

11.2 Consultas (Ley 1581, artículo 14)

Se responden en máximo diez (10) días hábiles desde que se reciben. Si no es posible, AIGOS informa el motivo antes del vencimiento y responde en máximo cinco (5) días hábiles más.

11.3 Reclamos (Ley 1581, artículo 15)

Para corregir, actualizar o suprimir datos, o por presunto incumplimiento:

1. Si el reclamo está incompleto, AIGOS pide completarlo dentro de los cinco (5) días hábiles siguientes a su recibo. Si pasan dos (2) meses sin que se complete, se entiende que se desistió.
2. Si AIGOS no es competente, lo traslada a quien corresponda en máximo dos (2) días hábiles y avisa al titular.
3. Dentro de los dos (2) días hábiles siguientes a recibir el reclamo completo, AIGOS marca el dato con la leyenda «reclamo en trámite» y el motivo, hasta que se decida.
4. Se responde en máximo quince (15) días hábiles desde el día siguiente al recibo. Si no es posible, AIGOS informa el motivo y responde en máximo ocho (8) días hábiles más.

11.4 Solicitudes sobre datos que AIGOS trata como Encargado

AIGOS las traslada al cliente Responsable en máximo dos (2) días hábiles, avisa al titular a quién se trasladó y ejecuta las correcciones, actualizaciones o supresiones que el cliente le ordene, dentro de los límites de la sección 13.

12. Transmisiones y transferencias internacionales

Para prestar el servicio, AIGOS usa proveedores que actúan como sus subencargados. Algunos guardan o procesan datos fuera de Colombia:

Fundamento:

• Las transmisiones a Encargados no requieren informar al titular ni pedir su consentimiento cuando existe el contrato de transmisión del artículo 2.2.2.25.5.2 del Decreto 1074 de 2015 (artículo 2.2.2.25.5.1). AIGOS mantiene acuerdos de tratamiento de datos con estos proveedores y aquí, de todos modos, los informa.
• Estados Unidos figura en la lista de países con nivel adecuado de protección del numeral 3.2 del Título V de la Circular Única de la SIC (Circulares Externas 005 y 008 de 2017). [PENDIENTE abogado: confirmar que la lista vigente lo mantiene.] La SIC reconoció además cláusulas contractuales modelo como salvaguarda adicional (Circular Externa 003 de 2025).
• La IA del cliente no es un proveedor de AIGOS. El cliente elige su IA (Claude de Anthropic, ChatGPT de OpenAI, Perplexity u otra) y su almacenamiento (Google Drive o OneDrive). Cuando el usuario pide a su IA consultar o registrar datos en AIGOS, los datos viajan entre AIGOS y esa IA por instrucción del cliente. Ese proveedor actúa bajo el contrato que el cliente tiene con él, y la elección y las condiciones de esa IA y de ese almacenamiento son responsabilidad del cliente.

13. Conservación y supresión

• Datos de los usuarios: mientras la cuenta esté activa y, después, durante el tiempo necesario para atender reclamos, defender a AIGOS y cumplir deberes legales. La prueba de aceptación y la bitácora de seguridad se conservan al menos diez (10) años desde el último registro, por su valor probatorio y contable.
• Datos de los clientes (Encargado): durante el contrato. Al terminar, el cliente tiene un plazo para exportarlos (términos y condiciones, sección 16). Después AIGOS los suprime o anonimiza, salvo lo que deba conservar por ley o lo que el cliente pida conservar por cuenta suya.
• Límites de la supresión: la contabilidad, los comprobantes y los soportes se deben conservar diez (10) años (Ley 962 de 2005, artículo 28, sobre los libros y papeles del comerciante) y las informaciones y pruebas tributarias durante el término que fija la norma tributaria (Estatuto Tributario, artículo 632, y Ley 962 de 2005, artículo 46). Esa obligación es del cliente. La supresión y la revocatoria no proceden cuando el titular tiene un deber legal o contractual de permanecer en la base de datos (Decreto 1074 de 2015, artículo 2.2.2.25.2.6, antes artículo 9 del Decreto 1377 de 2013).
• Registros inmutables: los asientos contables no se borran ni se editan; se corrigen con documentos nuevos. La bitácora sellada no admite cambios ni borrados porque es la prueba de integridad del sistema. Si procede una supresión, AIGOS bloquea el dato para cualquier uso distinto de la conservación legal y lo anonimiza en cuanto venza el plazo.

14. Medidas de seguridad

AIGOS aplica medidas técnicas, humanas y administrativas proporcionales a los riesgos (Ley 1581, artículo 4, literal g). Entre ellas:

• Inicio de sesión con Google y segundo factor obligatorio (código de la aplicación del celular) para todo cargo; bloqueo tras intentos fallidos.
• Aislamiento por empresa en la base de datos: seguridad por fila en todas las tablas y funciones que verifican persona, empresa y cargo en cada llamada; una prueba automática comprueba en cada cambio que un usuario no puede llegar a otra empresa.
• La IA propone y la persona confirma: lo que tiene efecto contable, tributario o de acceso exige una confirmación humana con la frase de confirmación y el código vigente.
• Bitácora sellada con huella encadenada (SHA-256) que permite detectar alteraciones.
• Cifrado en tránsito (HTTPS/TLS) y el cifrado en reposo que ofrece la infraestructura del proveedor de la base de datos.
• Llaves de terceros en una bóveda separada; mínimo privilegio; revisión automática de secretos en el código.
• Límite de 120 llamadas por minuto por persona.
• AIGOS no accede al Google Drive ni al OneDrive del cliente: es la IA del cliente la que guarda los documentos, y solo dentro de la carpeta «AIGOS».

El detalle técnico está en el documento «Custodia de la información» de AIGOS. Ningún sistema es invulnerable: AIGOS no garantiza que no ocurran incidentes, pero sí que aplica estas medidas y que actuará como dice la sección 15.

15. Incidentes de seguridad

Si AIGOS detecta un incidente que comprometa datos personales:

• Lo contiene y lo investiga de inmediato.
• Lo reporta a la SIC por el Registro Nacional de Bases de Datos en el plazo que fija la Circular Única (hoy, dentro de los quince (15) días hábiles siguientes a su detección) cuando AIGOS sea el Responsable [PENDIENTE abogado: confirmar plazo vigente].
• Cuando el incidente afecte datos de un cliente, le avisa sin demora injustificada y a más tardar dentro de las setenta y dos (72) horas siguientes a confirmarlo, para que el cliente, como Responsable, haga sus propios reportes (Ley 1581, artículo 17, literal n, y artículo 18, literal k).

16. Navegador y almacenamiento local

Los sitios aigosco.com y acceso.aigosco.com no usan cookies publicitarias ni herramientas de analítica de terceros. Usan almacenamiento local del navegador solo para mantener la sesión iniciada y preferencias de la página.

17. Registro Nacional de Bases de Datos

AIGOS & Co. inscribirá sus bases de datos en el Registro Nacional de Bases de Datos de la SIC cuando esté obligada (Decreto 1074 de 2015, artículo 2.2.2.26.1.2: sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT, y personas jurídicas de naturaleza pública). [PENDIENTE abogado: confirmar si aplica hoy.]

18. Vigencia y cambios

• Esta política rige desde la fecha indicada al inicio. Las bases de datos estarán vigentes mientras se preste el servicio y durante los plazos de conservación de la sección 13.
• Los cambios sustanciales (identidad del Responsable, finalidades, transferencias) se avisan antes de aplicarlos, por correo y en la página de acceso, con al menos quince (15) días calendario de anticipación. Si un cambio afecta la finalidad, se pide una nueva autorización (Decreto 1074 de 2015, artículo 2.2.2.25.3.1).
• Las versiones anteriores se conservan y se pueden pedir por el canal de la sección 11.

Aviso de privacidad

Responsable: AIGOS & Co. [PENDIENTE: razón social completa], NIT [PENDIENTE: NIT], domicilio [PENDIENTE: ciudad y dirección]. Correo: aigosco.com@gmail.com (provisional).

Qué datos tratamos y para qué. Su correo, nombre, celular (opcional), cargo y empresa, y los datos técnicos de su conexión, para crear y proteger su cuenta (inicio de sesión con Google y código del celular), darle acceso solo a lo que le corresponde, prestarle el servicio y el soporte, dejar registro en la bitácora de seguridad, avisarle sobre el servicio, mejorar AIGOS y, cuando empiece el cobro, facturarle. Si usted lo acepta, también para enviarle información comercial de AIGOS; puede retirarse cuando quiera.

Datos de sus clientes, empleados y pacientes. Los datos que su empresa carga en AIGOS los tratamos como Encargado, por cuenta de su empresa, que es la Responsable y debe tener la autorización de esas personas. Los datos de salud son sensibles: tratarlos exige la autorización explícita de su titular o una excepción legal.

Datos sensibles. AIGOS no le pide datos sensibles. Si alguna vez se le pide uno, responder será facultativo.

Sus derechos. Conocer, actualizar, rectificar y suprimir sus datos; pedir prueba de su autorización; saber cómo se usan; revocar la autorización cuando no haya un deber legal de conservarlos; y quejarse ante la Superintendencia de Industria y Comercio después de presentar su consulta o reclamo ante AIGOS (Ley 1581 de 2012, artículo 8).

Dónde se guardan. En servidores de proveedores en Estados Unidos (Supabase sobre Amazon Web Services, y Vercel), con quienes tenemos acuerdos de tratamiento de datos. La IA que usted conecta a AIGOS y su Google Drive u OneDrive los elige y los contrata usted.

Cómo ejercer sus derechos. Escriba a aigosco.com@gmail.com con el asunto «Datos personales». Respondemos consultas en 10 días hábiles y reclamos en 15 días hábiles, como dice la ley.

Política completa: https://aigosco.com/legal/privacidad. Los cambios importantes se avisan antes de aplicarse.