Política de tratamiento de datos personales y privacidad.

1. IDENTIFICACIÓN DE LA SOCIEDAD RESPONSABLE Y/O ENCARGADA

Razón social: SOLVEXIA S.A.S.

Domicilio: Bogotá D.C., Colombia.

Canal de privacidad / Habeas Data: habeasdata@solvexia.dev.

Servicio objeto de esta política: AURA - Agente Unificado de Respuesta Autónoma.

URL oficial de publicación: https://solvexia.dev/privacidad/aura/.

AURA es una plataforma SaaS multitenant orientada a que empresas atiendan conversaciones, gestionen prospectos y ventas por WhatsApp, utilicen funciones de automatización e inteligencia artificial y transfieran conversaciones a personal humano autorizado.

2. MARCO LEGAL, CONTRACTUAL Y PRINCIPIOS APLICABLES

La presente política se interpreta de conformidad con la normativa colombiana aplicable en materia de protección de datos personales, incluyendo, entre otras:

• Constitución Política de Colombia, artículo 15, sobre intimidad y habeas data.
• Ley Estatutaria 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales.
• Decreto 1074 de 2015, Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, en lo relacionado con protección de datos personales.
• Instrucciones, circulares y criterios emitidos por la Superintendencia de Industria y Comercio (SIC), cuando resulten aplicables.
• Términos y políticas aplicables de Meta Platforms, WhatsApp Business Platform y WhatsApp Cloud API para las integraciones que utilice AURA.

SOLVEXIA aplicará especialmente los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad, confidencialidad, necesidad y temporalidad. Los datos se conservarán únicamente durante el tiempo razonable y necesario para cumplir la finalidad informada, las obligaciones contractuales y las exigencias legales aplicables.

3. DEFINICIONES BÁSICAS

4. ÁMBITO DE APLICACIÓN Y DETERMINACIÓN DE ROLES

4.1 SOLVEXIA como Encargado del Tratamiento

Este es el rol operativo principal de SOLVEXIA respecto de la información que un Cliente Empresarial gestiona mediante AURA sobre sus propios consumidores, prospectos, usuarios o contactos. En este escenario, el Cliente Empresarial determina las finalidades y medios esenciales del Tratamiento y actúa como Responsable; SOLVEXIA procesa los datos para prestar AURA de acuerdo con las instrucciones documentadas, el contrato y la configuración autorizada.

El Cliente Empresarial es responsable de contar con las autorizaciones, avisos, bases jurídicas y demás condiciones necesarias para contactar a los Titulares y tratar sus datos, incluyendo las reglas aplicables a campañas, mensajes iniciados por la empresa y demás comunicaciones comerciales o de servicio.

4.2 SOLVEXIA como Responsable del Tratamiento

SOLVEXIA actúa como Responsable respecto de la información necesaria para administrar su propia relación con clientes, usuarios administradores de AURA, leads comerciales, proveedores, personal y contactos corporativos, incluyendo registro de cuenta, soporte, facturación, seguridad, gestión contractual y comunicaciones propias de SOLVEXIA.

4.3 Meta y otros proveedores

AURA se integra con servicios de terceros, incluyendo Meta Platforms y WhatsApp Business Platform. La participación de estos terceros se rige adicionalmente por sus propios términos, políticas y acuerdos aplicables. Esta política no sustituye las políticas de privacidad de Meta, WhatsApp ni de otros proveedores utilizados por el Cliente Empresarial o por SOLVEXIA.

5. CATEGORÍAS DE DATOS QUE PUEDE TRATAR AURA

Datos de cuenta y administración: Nombre, correo electrónico, teléfono, empresa, rol, permisos, datos de sesión y eventos de seguridad de usuarios autorizados del Cliente Empresarial.

Datos de integración con Meta/WhatsApp: Business Portfolio ID, WABA ID, Phone Number ID, información del perfil comercial, plantillas, configuraciones, identificadores de mensajes, estados de entrega/lectura y activos autorizados por el Cliente Empresarial.

Datos de conversación: Número de WhatsApp, nombre de perfil cuando esté disponible, texto, imágenes, audio, documentos, reacciones, respuestas, marcas de tiempo, identificadores y metadatos relacionados con la conversación.

Datos de prospectos y gestión comercial: Nombre, teléfono, correo cuando sea suministrado, interés comercial, etiquetas, estado del prospecto, notas, citas, ventas, resultados y demás información que el Cliente Empresarial decida gestionar en AURA.

Resultados de automatización e IA: Clasificaciones, resúmenes, respuestas generadas, campos estructurados, detección de intención, etiquetas y resultados derivados necesarios para ejecutar el flujo configurado.

Datos técnicos y de seguridad: Información necesaria para operar, proteger y supervisar AURA, como registros de acceso y auditoría, eventos de autenticación, dirección IP, información básica del dispositivo o navegador, errores del sistema, eventos de integración y métricas técnicas de funcionamiento.

6. FINALIDADES DEL TRATAMIENTO EN AURA

• Conectar y administrar, con autorización del Cliente Empresarial, sus activos de WhatsApp Business mediante los mecanismos habilitados por Meta, incluyendo WhatsApp Cloud API y, cuando corresponda, Embedded Signup.
• Recibir, enviar, almacenar temporalmente y organizar mensajes y eventos necesarios para la atención de conversaciones.
• Automatizar respuestas, clasificación, seguimiento de prospectos y actividades comerciales configuradas por el Cliente Empresarial.
• Permitir la transferencia de conversaciones a personal humano autorizado y conservar la trazabilidad de dicha gestión.
• Gestionar información estructurada de prospectos, contactos, oportunidades, citas, ventas y resultados derivados de las conversaciones.
• Ejecutar funciones de inteligencia artificial necesarias para comprender el contexto, generar o sugerir respuestas, resumir conversaciones, extraer datos y enrutar casos.
• Administrar usuarios, permisos, autenticación, facturación, soporte, seguridad, auditoría, prevención de abuso y continuidad operativa.
• Cumplir obligaciones legales, contractuales y requerimientos válidos de autoridades competentes.

7. TRATAMIENTO MEDIANTE INTELIGENCIA ARTIFICIAL

AURA puede procesar contenido de conversaciones mediante modelos y servicios de inteligencia artificial para ejecutar las finalidades contratadas por el Cliente Empresarial. El uso de IA podrá incluir generación o sugerencia de respuestas, clasificación, extracción de datos, resúmenes, detección de intención, priorización y apoyo a la transferencia a un asesor humano.

Regla V1 de entrenamiento: SOLVEXIA no utilizará, ni autorizará por defecto a sus proveedores a utilizar, el contenido de conversaciones de los Clientes Empresariales para entrenar modelos generales propios o de terceros. Un uso diferente requerirá una evaluación específica, información previa y, cuando corresponda, autorización y/o acuerdo contractual independiente.

SOLVEXIA limitará la información transmitida a proveedores de inteligencia artificial a los datos estrictamente necesarios para ejecutar la función solicitada, de acuerdo con la finalidad del tratamiento y la configuración del servicio.

8. USO DE WHATSAPP BUSINESS PLATFORM Y META

AURA utiliza la plataforma oficial WhatsApp Business Platform / Cloud API de Meta para las funciones de mensajería. Para operar la integración, el Cliente Empresarial deberá autorizar el acceso a los activos y permisos necesarios. AURA accederá únicamente a los activos que hayan sido autorizados y que resulten necesarios para prestar el servicio.

Los mensajes, eventos y metadatos pueden ser procesados por Meta como parte de la prestación de WhatsApp Business Platform. El Cliente Empresarial y los Titulares deben considerar también los términos y políticas de WhatsApp y Meta aplicables al uso del canal.

Cuando un Cliente Empresarial desconecte su integración o finalice el servicio, SOLVEXIA cesará el uso de las credenciales asociadas, revocará o eliminará las credenciales bajo su control cuando corresponda y aplicará los periodos de conservación definidos en esta política.

9. TRANSFERENCIA HUMANA Y ACCESO POR USUARIOS AUTORIZADOS

AURA puede permitir que una conversación automatizada sea transferida a personal humano autorizado del Cliente Empresarial. En ese momento, los usuarios con permisos adecuados podrán acceder al historial necesario para atender el caso. El Cliente Empresarial deberá administrar sus usuarios, roles y permisos de forma consistente con sus obligaciones de confidencialidad y protección de datos.

10. DATOS SENSIBLES Y DATOS DE NIÑOS, NIÑAS Y ADOLESCENTES

SOLVEXIA no diseña AURA con la finalidad de recolectar datos sensibles ni datos personales de niños, niñas o adolescentes. Sin embargo, una persona puede revelar espontáneamente información de esta naturaleza dentro de una conversación o un Cliente Empresarial puede operar un proceso que legítimamente la requiera. En tales casos, el Cliente Empresarial deberá contar con la habilitación legal correspondiente e informar a SOLVEXIA las instrucciones y salvaguardas aplicables.

Cuando SOLVEXIA actúe como Encargado, tratará dicha información únicamente conforme a instrucciones documentadas del Responsable, las finalidades autorizadas y las medidas de seguridad aplicables.

11. COMPARTICIÓN, ENCARGADOS Y SUBENCARGADOS

SOLVEXIA podrá apoyarse en proveedores tecnológicos para prestar AURA, tales como servicios de infraestructura, almacenamiento, bases de datos, monitoreo, correo transaccional, inteligencia artificial, autenticación y mensajería. Dichos proveedores recibirán únicamente la información necesaria para prestar la función contratada y estarán sujetos a obligaciones contractuales y de seguridad acordes con la naturaleza del servicio.

SOLVEXIA no vende datos personales ni contenidos de conversaciones a terceros. La información podrá ser revelada cuando exista autorización, obligación legal, orden de autoridad competente o sea estrictamente necesaria para la prestación del servicio conforme a esta política.

12. TRANSFERENCIA Y TRANSMISIÓN INTERNACIONAL DE DATOS

La prestación de AURA puede involucrar proveedores e infraestructura tecnológica ubicados fuera de Colombia, incluyendo servicios de Meta/WhatsApp, infraestructura cloud y proveedores de inteligencia artificial. Cuando exista transferencia o transmisión internacional de datos personales, SOLVEXIA adoptará los mecanismos contractuales, instrucciones, medidas de seguridad y demás requisitos que resulten aplicables bajo la normativa colombiana.

La ubicación específica de los proveedores y regiones de procesamiento podrá variar conforme evolucione la arquitectura de AURA. SOLVEXIA mantendrá documentación interna de los proveedores relevantes y actualizará esta política cuando un cambio material afecte las condiciones informadas a los Titulares.

13. MEDIDAS DE SEGURIDAD TÉCNICAS Y ORGANIZACIONALES

• Separación lógica entre Clientes Empresariales (multitenancy) y controles para impedir accesos cruzados no autorizados.
• Control de acceso basado en roles y principio de mínimo privilegio.
• Protección de credenciales, tokens y secretos de integración, evitando su exposición a usuarios no autorizados.
• Cifrado de comunicaciones mediante protocolos seguros cuando los datos se transmiten por redes públicas.
• Registros de auditoría y monitoreo de eventos relevantes de seguridad y operación.
• Copias de seguridad con periodos de rotación definidos y procedimientos de recuperación.
• Gestión de incidentes, actualización de componentes y corrección de vulnerabilidades de acuerdo con el nivel de riesgo.

Las medidas concretas podrán evolucionar con la arquitectura del servicio. SOLVEXIA evitará declarar certificaciones o controles específicos que no se encuentren efectivamente implementados en el entorno productivo de AURA.

14. DERECHOS DE LOS TITULARES

• Conocer, actualizar y rectificar sus datos personales frente al Responsable o Encargado del Tratamiento.
• Solicitar prueba de la autorización cuando legalmente corresponda.
• Ser informado, previa solicitud, sobre el uso dado a sus datos personales.
• Presentar quejas ante la Superintendencia de Industria y Comercio por presuntas infracciones.
• Revocar la autorización y/o solicitar la supresión del dato cuando proceda conforme a la ley.
• Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento, en los términos legales aplicables.

15. CANAL DE ATENCIÓN Y PROCEDIMIENTO PARA CONSULTAS, RECLAMOS Y SUPRESIÓN

Canal oficial: habeasdata@solvexia.dev

Cuando la solicitud se refiera a datos que un Cliente Empresarial administra como Responsable mediante AURA, SOLVEXIA podrá trasladar la solicitud al respectivo Cliente Empresarial para que determine de fondo su procedencia, sin perjuicio de las actuaciones técnicas que correspondan a SOLVEXIA como Encargado.

Cuando SOLVEXIA actúe como Responsable directo, las consultas serán atendidas dentro del plazo máximo de diez (10) días hábiles contados desde su recepción, prorrogables por hasta cinco (5) días hábiles adicionales cuando exista causa justificada y se informe oportunamente al interesado. Los reclamos serán atendidos dentro del plazo máximo de quince (15) días hábiles contados a partir del día siguiente a su recepción, sujeto a las reglas legales sobre requerimientos de información incompleta y prórrogas.

15.1 Solicitudes de eliminación relacionadas con AURA y Meta/WhatsApp

Una persona o Cliente Empresarial podrá solicitar la eliminación de datos asociados a AURA mediante el canal oficial indicado. Para facilitar la identificación de la cuenta o conversación se podrá solicitar información mínima como nombre, empresa, correo de administrador o número de WhatsApp relacionado.

SOLVEXIA nunca solicitará por este canal contraseñas, códigos OTP, App Secret, access tokens, claves privadas ni otras credenciales sensibles.

16. CONSERVACIÓN Y ELIMINACIÓN DE DATOS - POLÍTICA V1 DE AURA

AURA aplicará una retención diferenciada por tipo de información. Los periodos indicados a continuación constituyen la configuración estándar V1 y podrán reducirse por instrucción contractual del Cliente Empresarial. Una retención superior deberá responder a una necesidad contractual o legal específica y ser documentada.

La eliminación de sistemas activos no implica la desaparición instantánea de copias de seguridad sujetas a rotación. Durante ese periodo, las copias no se utilizarán para finalidades ordinarias y se eliminarán conforme al ciclo de respaldo establecido, salvo requerimiento legal o de seguridad.

17. DIFERENCIA ENTRE HISTORIAL DE CONVERSACIÓN Y DATOS ESTRUCTURADOS

La eliminación del historial completo de una conversación no obliga necesariamente a eliminar de forma simultánea todos los datos estructurados que el Cliente Empresarial necesite conservar legítimamente para su operación. Por ejemplo, un mensaje puede eliminarse al cumplir 180 días, mientras que el registro de un prospecto, una venta o una cita podrá mantenerse durante la vigencia de la cuenta si sigue siendo necesario para la finalidad autorizada.

En todo caso, el Cliente Empresarial deberá respetar los principios de finalidad, necesidad y temporalidad, y SOLVEXIA ejecutará las instrucciones de supresión que correspondan dentro de su rol de Encargado.

18. DESCONEXIÓN DE WHATSAPP Y TERMINACIÓN DEL SERVICIO

Cuando un Cliente Empresarial desconecte su cuenta de WhatsApp de AURA, revoque la autorización otorgada a SOLVEXIA o finalice la relación contractual, SOLVEXIA procederá a limitar y finalizar el tratamiento de la información asociada a dicha integración, de acuerdo con las obligaciones contractuales, legales y los periodos de conservación establecidos en esta política.

En estos casos, SOLVEXIA podrá realizar, según corresponda, las siguientes acciones:

Cesar el uso de la integración y de las credenciales bajo control de SOLVEXIA.

Revocar o eliminar tokens y demás credenciales de acceso cuando técnicamente corresponda.

Detener el procesamiento de nuevos mensajes, eventos y webhooks asociados al activo desconectado.

Aplicar los periodos de conservación y eliminación definidos en la sección 16.

Atender las solicitudes válidas de exportación, entrega o eliminación de información conforme al contrato y la normativa aplicable.

La desconexión de WhatsApp no implica necesariamente la eliminación inmediata de toda la información existente, cuando esta deba conservarse temporalmente por razones contractuales, operativas, de seguridad o por cumplimiento de obligaciones legales.

19. CAMBIOS A ESTA POLÍTICA

SOLVEXIA podrá actualizar esta política cuando cambien las funcionalidades de AURA, la arquitectura tecnológica, los proveedores relevantes, las condiciones de Meta/WhatsApp o la normativa aplicable. Los cambios materiales serán publicados en la ruta oficial de privacidad de AURA y se informarán a los Clientes Empresariales cuando corresponda.

20. VIGENCIA Y APROBACIÓN

La presente Política de Tratamiento de Datos Personales y Privacidad de AURA rige a partir del 25 de agosto de 2026 y permanecerá vigente mientras no sea modificada o sustituida por una versión posterior debidamente publicada por SOLVEXIA S.A.S.

Aprobado por

Luis Carlos Mendoza Sánchez - Representante Legal

Fecha de aprobación

25 de Agosto de 2026

ANEXO A. REFERENCIAS NORMATIVAS Y TÉCNICAS

• Ley 1581 de 2012 - Gestor Normativo, Función Pública: https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=49981
• Decreto 1074 de 2015 - Gestor Normativo, Función Pública: https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=76608
• WhatsApp Cloud API - colección oficial de Meta en Postman: https://www.postman.com/meta/whatsapp-business-platform/documentation/wlk6lh4/whatsapp-cloud-api
• Embedded Signup - colección oficial de Meta en Postman: https://www.postman.com/meta/whatsapp-business-platform/documentation/du6gzjv/embedded-signup
• Meta for Developers - WhatsApp Cloud API: https://developers.facebook.com/docs/whatsapp/cloud-api/
• Meta for Developers - Embedded Signup: https://developers.facebook.com/docs/whatsapp/embedded-signup/

Estas referencias constituyen fuentes normativas y técnicas relacionadas con la presente política y no sustituyen las disposiciones legales aplicables, los contratos, avisos de privacidad ni las obligaciones específicas derivadas de las operaciones de cada Cliente Empresarial.