Política de Privacidad y Tratamiento de Datos Personales

1. Identificación del Responsable del Tratamiento

Renaska es operada por dos entidades afiliadas bajo control común, que conjuntamente operan bajo el nombre comercial Renaska ("Renaska", "nosotros" o "la Empresa") a través de renaska.com, renaska.co, renaska.us y sus aplicaciones asociadas:

(a) Agencia Leidy Echavarria S.A.S., sociedad constituida bajo las leyes de la República de Colombia (NIT 901.147.131-7), con domicilio en Calle 34B #65D 43, Medellín, Colombia, representada legalmente por Andrés Felipe Giraldo Muñoz. Es la operadora de la plataforma (desarrollo, operación técnica y soporte), titular de la integración con Meta (WhatsApp Business, Instagram y Facebook Messenger), y Responsable del Tratamiento de los datos personales tratados a través de la plataforma y de los canales de mensajería gestionados (inbox).

(b) WLM Business Solutions LLC, sociedad de responsabilidad limitada constituida bajo las leyes del Estado de Delaware, Estados Unidos (EIN 32-0770823), con domicilio postal en 1111B S Governors Ave STE 3961, Dover, DE 19904, USA. Es la entidad de comercialización y facturación del servicio para el mercado de Estados Unidos e internacional, y Responsable del Tratamiento de los datos de cuenta y de facturación.

Dado que Agencia Leidy Echavarria S.A.S. está domiciliada en Colombia, el Tratamiento de los datos de la plataforma y de los canales de mensajería se rige primariamente por la Ley 1581 de 2012 y el Decreto 1377 de 2013. Respecto de los datos de cuenta y facturación tratados por WLM Business Solutions LLC, aplica adicionalmente el derecho estadounidense (Sección 5 de la FTC Act y, cuando se superen sus umbrales, la CCPA/CPRA de California; actualmente no alcanzados, sus derechos se reconocen como buena práctica). Contacto único para privacidad y ejercicio de derechos: [email protected]. Horario de atención: lunes a viernes, 9:00 a.m. – 5:00 p.m.

2. Definiciones

Para los efectos de esta Política se aplican las definiciones previstas en la Ley 1581 de 2012 y el Decreto 1377 de 2013:

(a) Dato personal: cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable. (b) Dato sensible: dato que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación; incluye datos de salud, vida sexual, orientación sexual, origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, datos biométricos y pertenencia a sindicatos. (c) Titular: persona natural cuyos datos personales son objeto de Tratamiento. (d) Responsable del Tratamiento: persona natural o jurídica que decide sobre la base de datos y/o el Tratamiento; en este caso, Renaska. (e) Encargado del Tratamiento: persona natural o jurídica que realiza el Tratamiento por cuenta del Responsable (sub-procesadores). (f) Tratamiento: cualquier operación o conjunto de operaciones sobre datos personales: recolección, almacenamiento, uso, circulación, transferencia, transmisión, supresión, etc. (g) Autorización: consentimiento previo, expreso e informado del Titular. (h) Base de Datos: conjunto organizado de datos personales objeto de Tratamiento. (i) Transferencia: envío de datos a un Responsable ubicado en Colombia o en el exterior. (j) Transmisión: comunicación de datos a un Encargado del Tratamiento dentro o fuera de Colombia.

3. Datos Personales que Recolectamos

Renaska recolecta únicamente los datos necesarios para prestar el servicio contratado (principio de minimización — Ley 1581 art. 4.e):

(a) Datos de registro: nombre completo, correo electrónico, número de teléfono y país. (b) Datos de la empresa suscriptora: razón social, NIT o número tributario (EIN para EE. UU.), dirección fiscal, industria y número de empleados. (c) Datos de pago: procesados directamente por Stripe, Wompi, PayPal o ePayco conforme a sus propias políticas; Renaska no almacena números de tarjeta, CVV ni datos bancarios completos. (d) Datos de uso y actividad: módulos activos, acciones realizadas en la plataforma, registros de eventos (logs), marcas de tiempo. (e) Datos de comunicaciones gestionadas: mensajes manejados por el Suscriptor a través de la bandeja unificada (WhatsApp Business, Instagram, Facebook Messenger, Telegram), que pertenecen a la actividad empresarial del propio Suscriptor. (f) Datos de empleados del Suscriptor: nombre, cargo, correo electrónico y nivel de permisos de acceso, ingresados por el administrador de la cuenta. (g) Datos técnicos: dirección IP (truncada para analítica), tipo de navegador, sistema operativo, páginas visitadas, referente, zona horaria, y datos de cookies (ver sección 13).

Renaska NO recolecta datos sensibles según el artículo 5 de la Ley 1581 de 2012.

4. Finalidades del Tratamiento

Los datos personales se tratan para las siguientes finalidades autorizadas (Decreto 1377/2013 art. 13.b):

(a) Prestación del servicio SaaS contratado: ERP, facturación, inventario, punto de venta, mensajería unificada y demás módulos activos. (b) Gestión del contrato de suscripción, facturación y cobro de pagos. (c) Envío de comunicaciones transaccionales: confirmaciones de pago, alertas del sistema, notificaciones de módulos, recuperación de contraseña y verificación de correo. (d) Envío de comunicaciones comerciales, novedades del producto y boletines informativos, únicamente con autorización previa, expresa y revocable del Titular. (e) Soporte técnico y atención al cliente. (f) Seguridad de la plataforma, detección y prevención de fraude, abuso y acceso no autorizado. (g) Mejora del servicio mediante análisis de uso (datos anonimizados o con consentimiento explícito). (h) Procesamiento de consultas mediante inteligencia artificial (Google Gemini) dentro del módulo de Agente IA, exclusivamente con la información que el usuario introduce voluntariamente en el chat. (i) Cumplimiento de obligaciones legales y atención de requerimientos de autoridades competentes (DIAN, SIC, entidades fiscales). (j) Onboarding, capacitación y gestión del ciclo de vida del cliente.

5. Base Legal para el Tratamiento

Para los datos de cuenta y facturación tratados por WLM Business Solutions LLC (Estados Unidos) aplica el derecho estadounidense. La Sección 5 de la Ley Federal de la Comisión Federal de Comercio (FTC Act, 15 U.S.C. § 45) prohíbe las prácticas injustas o engañosas; toda declaración en esta Política es un compromiso vinculante ante la FTC. La CalOPPA (California Business & Professions Code § 22575) aplica desde el momento en que un residente de California usa el servicio, exigiendo publicar esta Política de forma visible y describir cómo respondemos a señales "Do Not Track" (ver sección 13). Las Reglas de la CCPA/CPRA aplican si Renaska supera en algún año los umbrales de: USD $26,625,000 de ingresos anuales O 100,000 consumidores atendidos; actualmente no se alcanzan, pero se incluyen los derechos CCPA como buena práctica.

Para el Tratamiento por Agencia Leidy Echavarria S.A.S. conforme a la Ley 1581/2012 (arts. 6, 9 y 10): (a) Ejecución del contrato de suscripción: base principal. (b) Autorización previa, expresa e informada del Titular: otorgada durante el registro o mediante el banner de cookies; el silencio no constituye autorización (Decreto 1377/2013 art. 7). (c) Obligación legal: conservación de registros. (d) Interés legítimo: seguridad y prevención del fraude, subordinado a los derechos del Titular. Renaska NO vende ni comparte datos personales con fines de publicidad cruzada de terceros.

6. Tratamiento de Datos Sensibles

Renaska no recolecta, almacena ni trata datos sensibles en los términos del artículo 5 de la Ley 1581 de 2012 (datos de salud, orientación sexual, origen racial o étnico, opiniones políticas, convicciones religiosas, datos biométricos o afiliación sindical).

Si en el futuro algún módulo o funcionalidad requiriese el Tratamiento de datos sensibles, Renaska: (i) solicitará una autorización explícita y diferenciada al Titular, (ii) actualizará esta Política con antelación mínima de 10 días, y (iii) realizará la notificación correspondiente ante la Superintendencia de Industria y Comercio (SIC) cuando así lo exija la normativa.

7. Transferencia y Transmisión a Terceros (Sub-procesadores)

Renaska comparte datos personales exclusivamente con los siguientes Encargados del Tratamiento (sub-procesadores), bajo instrucciones contractuales y Acuerdos de Procesamiento de Datos (DPA) que garantizan niveles de protección adecuados:

(a) Neon Inc. — base de datos PostgreSQL (EE. UU. / UE). (b) Cloudflare Inc. — almacenamiento de archivos R2 y red de distribución de contenido (EE. UU. / global). (c) Redis Inc. (redis.io) — caché Redis y colas de mensajería (EE. UU.). (d) Stripe Inc. — procesamiento de pagos internacionales (EE. UU.). (e) Wompi (WOMPI S.A.S.) — procesamiento de pagos en Colombia. (f) PayPal Holdings Inc. — procesamiento de pagos (EE. UU.). (g) ePayco (EPAYCO.COM S.A.S.) — procesamiento de pagos en Colombia. (h) Meta Platforms Inc. — mensajería WhatsApp Business, Instagram Direct y Facebook Messenger (EE. UU. / Irlanda). (i) Telegram FZ-LLC — mensajería Telegram (Dubái, EAU). (j) Google LLC — autenticación OAuth 2.0, motor de inteligencia artificial Gemini y Workspace (EE. UU.). (k) Proveedor SMTP configurado por el Suscriptor — correo electrónico transaccional (infraestructura definida por el propio cliente).

Renaska NO vende, arrienda, cede ni divulga datos personales a terceros para fines propios no relacionados con la prestación del servicio contratado.

8. Datos Personales Fuera de Colombia — Perspectiva Estructural

Aunque Agencia Leidy Echavarria S.A.S., Responsable del Tratamiento, está domiciliada en Colombia, la infraestructura tecnológica de la plataforma (bases de datos, almacenamiento de archivos, caché, mensajería y procesamiento) está ubicada principalmente en los Estados Unidos y la Unión Europea (ver sección 7). Por consiguiente, el uso del servicio implica la transmisión de datos de titulares colombianos a Encargados del Tratamiento ubicados en el exterior, principalmente en los Estados Unidos, país que no cuenta con declaración formal de nivel de protección adecuado por parte de la SIC.

De conformidad con el artículo 26 de la Ley 1581 de 2012 y la Circular Externa SIC 003 del 19 de diciembre de 2025 (que adopta Cláusulas Contractuales Modelo para la transferencia/transmisión internacional a países sin nivel adecuado de protección), este procesamiento internacional se ampara en: (a) La autorización previa, expresa e informada del Titular otorgada al momento del registro y al aceptar esta Política; al usar el servicio el Titular consiente expresamente que sus datos sean procesados en los EE. UU. (b) La adopción por parte de Renaska de las Cláusulas Contractuales Modelo previstas en la Circular SIC 003/2025, que constituyen la garantía adecuada para la transferencia internacional de datos personales a EE. UU. (c) Acuerdos de Procesamiento de Datos (DPA) suscritos con cada sub-procesador, que incorporan obligaciones de protección equivalente a las exigidas por la normativa colombiana. (d) Las certificaciones de seguridad internacionales de los sub-procesadores (SOC 2 Tipo II, ISO 27001). Renaska mantiene un registro actualizado de los sub-procesadores y su ubicación, disponible ante requerimiento de la SIC o del Titular a través de [email protected].

9. Tiempo de Conservación de los Datos

Los datos personales se conservan durante los siguientes plazos:

(a) Datos de la cuenta y del perfil empresarial: mientras el contrato de suscripción esté vigente. Tras la cancelación, se conservan 30 días para permitir exportación, luego son eliminados o anonimizados de forma irreversible. (b) Datos de facturación y registros contables: hasta 10 años conforme a las obligaciones fiscales colombianas (Estatuto Tributario, DIAN) y 7 años para registros con relevancia fiscal en EE. UU. (c) Registros de comunicaciones gestionadas (inbox): hasta 2 años o el plazo configurado por el Suscriptor en la plataforma, el que sea menor. (d) Datos de empleados del Suscriptor: eliminados o anonimizados dentro de los 30 días siguientes a la terminación del contrato. (e) Logs de seguridad y auditoría: hasta 12 meses. (f) Registros de consentimiento de cookies: 12 meses desde la última actualización del consentimiento; se renueva ante cambios materiales.

Vencidos estos plazos, los datos se eliminan de forma segura mediante procesos que impidan su recuperación o se anonimizan irreversiblemente. El Suscriptor puede solicitar eliminación anticipada mediante solicitud formal a [email protected], salvo que una obligación legal exija su conservación.

10. Derechos del Titular

De conformidad con los artículos 8 y 16 de la Ley 1581 de 2012 y, adicionalmente para usuarios en California, conforme a la CCPA/CPRA, el Titular tiene los siguientes derechos:

(a) Conocer (Acceso): acceder gratuitamente a los datos personales que Renaska trata sobre usted y recibir información sobre el origen, uso, finalidad y destinatarios. (b) Actualizar y Rectificar: corregir datos inexactos, incompletos o que induzcan a error. (c) Suprimir (Derecho al olvido): solicitar la eliminación de datos cuando no subsista obligación legal o contractual de conservarlos. (d) Revocar la Autorización: retirar el consentimiento en cualquier momento sin efectos retroactivos (Ley 1581 art. 8.e). (e) Oponerse: objetar el Tratamiento basado en interés legítimo cuando existan motivos fundados. (f) Queja ante la SIC: presentar reclamación ante la Superintendencia de Industria y Comercio (www.sic.gov.co | 01 8000 910165) si considera que Renaska vulneró la normativa de protección de datos.

Derechos adicionales para usuarios en California (CCPA/CPRA): (g) Portabilidad: recibir copia de sus datos en formato legible por máquina. (h) Corrección de datos inexactos. (i) Limitación del uso de información sensible. (j) No discriminación: Renaska no prestará un servicio diferenciado por el ejercicio de derechos CCPA. (k) Opt-out de "venta" o "compartición" de datos: Renaska no vende ni comparte datos personales con fines de publicidad cruzada; este derecho está satisfecho por diseño. (l) Queja ante la FTC o el Fiscal General de California (www.oag.ca.gov).

11. Procedimiento para Ejercer los Derechos

Para ejercer cualquiera de los derechos descritos en la sección anterior, el Titular debe:

1. Enviar solicitud escrita a [email protected] con: (i) nombre completo, (ii) número de documento de identidad o pasaporte, (iii) descripción clara y precisa del derecho que desea ejercer, (iv) dirección de correo electrónico o postal para notificación de la respuesta.

2. Renaska acusará recibo de la solicitud dentro de los 2 días hábiles siguientes a su recepción.

3. Si la solicitud está incompleta, Renaska informará al Titular dentro de los 5 días hábiles siguientes para que la subsane, sin que este término interrumpa el plazo de respuesta.

4. Renaska dará respuesta dentro de los 15 días hábiles siguientes a la recepción de la solicitud completa. Aplicamos este plazo de 15 días hábiles de forma uniforme a todos los usuarios, por ser el más corto entre la Ley 1581/2012 (art. 14, 15 días hábiles) y la CCPA (§ 1798.130, 45 días calendario).

5. Si Renaska no puede atender la solicitud dentro del plazo legal, comunicará las razones de la demora antes de su vencimiento.

6. La respuesta al ejercicio de derechos es gratuita para el Titular. En caso de solicitudes manifiestamente infundadas o excesivas (repetitivas), Renaska podrá cobrar un costo administrativo razonable o negarse a atender la solicitud, informando el motivo.

12. Seguridad de la Información

Renaska implementa medidas técnicas, organizativas y físicas apropiadas al nivel de riesgo para proteger los datos personales contra acceso no autorizado, pérdida, alteración, divulgación o destrucción:

(a) Cifrado en tránsito: TLS 1.3 para todas las comunicaciones entre el cliente y los servidores de Renaska. (b) Cifrado en reposo: AES-256 para la base de datos (Neon PostgreSQL) y el almacenamiento de archivos (Cloudflare R2). (c) Aislamiento multi-inquilino: cada empresa tiene un esquema PostgreSQL independiente (`tenant_{slug}`), impidiendo el acceso cruzado entre suscriptores. (d) Control de acceso: RBAC (roles propietario / administrador / agente / visor) con principio de mínimo privilegio; autenticación con token JWT de corta duración más refresh token en cookie httpOnly con flag Secure y SameSite. (e) Autenticación de dos factores (2FA): disponible y recomendada para todos los usuarios. (f) Gestión de incidentes: en caso de violación de seguridad que afecte datos personales, Renaska notificará a los Titulares afectados y a la SIC dentro de los 15 días hábiles siguientes a su conocimiento, conforme al Decreto 1377/2013 art. 17.b. (g) Revisiones periódicas de seguridad y gestión de vulnerabilidades. (h) Acceso de empleados restringido mediante principio de need-to-know.

13. Cookies y Tecnologías Similares

Renaska utiliza cookies y tecnologías similares (píxeles, almacenamiento local) en renaska.com, renaska.co y renaska.us. Las cookies se clasifican en las siguientes categorías:

(a) Esenciales: necesarias para el funcionamiento básico de la plataforma (sesión de usuario, token CSRF, preferencia de idioma y tema). No requieren consentimiento previo; no pueden desactivarse. (b) Funcionales: mejoran la experiencia del usuario (preferencias de interfaz). Requieren consentimiento previo. (c) Analíticas: miden el uso de la plataforma para mejorar el servicio. Requieren consentimiento previo. (d) Marketing y publicidad: retargeting y medición de campañas. Requieren consentimiento previo.

Al visitar el sitio por primera vez se mostrará un banner de cookies donde podrá: "Aceptar todas", "Rechazar opcionales" o "Personalizar" sus preferencias por categoría. Puede revocar o modificar su consentimiento en cualquier momento desde el enlace "Gestionar cookies" en el pie de página. De conformidad con el Decreto 1377/2013 art. 7, el silencio no constituye autorización; las cookies no esenciales no se activan hasta recibir un clic de aceptación expresa. El registro de consentimiento se conserva 12 meses y se renueva ante cambios materiales en esta Política.

Señales "Do Not Track" (No Rastrear): en cumplimiento de la CalOPPA (California Business & Professions Code § 22575(b)(7)), informamos que actualmente Renaska NO altera sus prácticas de recolección de datos en respuesta a señales "Do Not Track" o señales similares transmitidas por navegadores web. Esta divulgación es un requisito legal; no constituye una práctica de rastreo activo.

14. Menores de Edad

Renaska es una plataforma de gestión empresarial dirigida exclusivamente a personas mayores de 18 años y a representantes legales de empresas. No está diseñada ni dirigida a menores de edad.

Renaska no recolecta conscientemente datos personales de menores de 14 años (Ley 2489 de 2025, Colombia) ni de menores de 13 años (Children's Online Privacy Protection Act — COPPA, EE. UU.). Si descubrimos haber recolectado datos de un menor sin la debida autorización de sus padres o tutores legales, procederemos a su eliminación inmediata. Si usted tiene razones para creer que un menor ha facilitado información personal a Renaska, comuníquese a [email protected].

15. Cambios a Esta Política

Renaska puede actualizar esta Política cuando sea necesario para reflejar cambios en el servicio, en la normativa aplicable o en las prácticas de Tratamiento.

Para cambios materiales (modificación de finalidades, nuevos sub-procesadores, cambios en derechos del Titular): (a) Se notificará a los Titulares con al menos 10 días calendario de anticipación por correo electrónico y/o mediante aviso prominente en la plataforma. (b) Si los cambios requieren nueva autorización (Decreto 1377/2013 art. 9), se solicitará consentimiento explícito antes de su aplicación. Para cambios no materiales (corrección tipográfica, actualización de datos de contacto): basta publicar la versión actualizada. La versión vigente incluye siempre la fecha de última actualización en el encabezado de esta página.

16. Contacto del Oficial de Protección de Datos

Oficial de Protección de Datos Personales — Colombia (Ley 1581/2012):

Correo electrónico: [email protected] | Asunto sugerido: "DATOS PERSONALES — [Nombre del Titular]" | Tiempo de respuesta: máximo 15 días hábiles (Ley 1581 art. 14) | Responsable del Tratamiento: Agencia Leidy Echavarria S.A.S. (NIT 901.147.131-7), Calle 34B #65D 43, Medellín, Colombia | Entidad de facturación: WLM Business Solutions LLC, 1111B S Governors Ave STE 3961, Dover, DE 19904, USA.

Consultas CCPA — California, EE. UU. (CPRA § 1798.130):

Correo electrónico: [email protected] | Asunto: "CCPA REQUEST — [Your Name]" | Tiempo de respuesta: máximo 15 días hábiles.

Autoridades regulatorias: Colombia — Superintendencia de Industria y Comercio (SIC): www.sic.gov.co | 01 8000 910165. EE. UU. — Federal Trade Commission (FTC): www.ftc.gov | Fiscal General de California: www.oag.ca.gov.

17. Vigencia

Esta Política de Privacidad y Tratamiento de Datos Personales entra en vigencia el 26 de junio de 2026. Permanecerá vigente hasta su modificación, sustitución o revocación por parte de Renaska.

La versión más reciente estará siempre disponible en: renaska.com/legal/privacy (versión en español) y renaska.us/legal/privacy (versión en inglés). Al utilizar los servicios de Renaska después de esta fecha, el Titular declara haber leído, comprendido y aceptado el contenido de esta Política.