Política de Tratamiento de Datos Personales y Privacidad

1. Responsable del Tratamiento

AgendApp es una plataforma tecnológica de gestión y reserva de citas, disponible en https://www.agendapp.tech/. Es operada por Bastion Labs, entidad operadora de AgendApp y Responsable del tratamiento de los datos personales descritos en esta Política. El canal de contacto para asuntos de protección de datos personales es labs.bastion@gmail.com.

En esta Política, «AgendApp», «la plataforma», «nosotros» o «el Responsable» se refieren a quien actualmente opera AgendApp cuando se trate de datos respecto de los cuales determina las finalidades y medios del tratamiento.

Cuando AgendApp procesa datos personales por cuenta de un negocio que utiliza la plataforma, AgendApp actúa como Encargado del Tratamiento y el negocio actúa como Responsable respecto de esos datos, de acuerdo con la naturaleza de la relación y las condiciones descritas en los Términos y Condiciones y el Anexo de Encargo.

2. Marco normativo

El tratamiento de datos personales se realiza conforme al artículo 15 de la Constitución Política de Colombia, la Ley Estatutaria 1581 de 2012, el Decreto 1074 de 2015 y las demás normas e instrucciones de la Superintendencia de Industria y Comercio que resulten aplicables.

AgendApp aplica los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.

3. A quién aplica esta Política

Esta Política aplica al tratamiento realizado mediante el sitio web de AgendApp, páginas públicas de reserva, paneles administrativos, formularios de contacto y los servicios técnicos que soportan la plataforma.

Puede involucrar a propietarios, administradores, personal y profesionales de negocios usuarios; clientes que realizan reservas; prospectos; y personas cuyos datos aparezcan en registros técnicos o de seguridad.

4. Responsable y Encargado: cómo se distribuyen las responsabilidades

4.1 Datos respecto de los cuales AgendApp es Responsable.

• Datos de propietarios y usuarios administrativos de AgendApp.
• Datos de personas que contactan directamente a AgendApp o que dejan sus datos como prospectos.
• Datos necesarios para autenticación, recuperación de cuentas, seguridad y auditoría de la plataforma.
• Información técnica necesaria para prevenir abusos, ataques y accesos no autorizados.
• Información necesaria para atender obligaciones legales, requerimientos de autoridades y defensa de derechos de AgendApp.

4.2 Datos respecto de los cuales AgendApp es Encargado. Cuando un negocio utiliza AgendApp para gestionar las reservas y relaciones con sus clientes y profesionales, el negocio determina las finalidades del tratamiento. En esos casos, el negocio actúa como Responsable y AgendApp trata la información por cuenta del negocio y dentro del alcance del servicio.

• Nombre, teléfono y correo de clientes.
• Direcciones asociadas a servicios a domicilio.
• Información de reservas, cancelaciones y reprogramaciones.
• Fichas e historial de clientes del negocio.
• Datos, fotografías y biografías de profesionales.
• Información que el negocio incorpore en las notas de sus clientes.

5. Datos personales que podemos tratar

5.1 Propietarios y usuarios administrativos: nombre, correo electrónico, número telefónico o WhatsApp cuando sea proporcionado, información de cuenta y acceso, y dirección IP cuando sea necesaria para seguridad, control de tráfico o auditoría.

5.2 Profesionales: nombre, biografía y fotografía, correo electrónico, teléfono o WhatsApp, preferencias de notificación e información relacionada con agenda y disponibilidad.

5.3 Clientes finales: nombre, número telefónico, correo electrónico (opcional), dirección únicamente para servicios a domicilio, e información de la cita, cancelación o reprogramación.

5.4 Prospectos: nombre, negocio si se proporciona, correo electrónico, teléfono, ciudad, contenido del mensaje e información técnica necesaria para proteger el formulario y gestionar la solicitud.

5.5 Datos técnicos y de seguridad: dirección IP, registros de acceso y solicitudes, ruta o recurso afectado, registros de auditoría, e información de errores técnicos y seguridad.

6. Finalidades del tratamiento

• Crear y administrar cuentas.
• Operar páginas públicas de reserva.
• Gestionar servicios, profesionales, horarios y disponibilidad.
• Crear y administrar reservas.
• Gestionar cancelaciones y reprogramaciones.
• Enviar comunicaciones relacionadas con reservas cuando corresponda.
• Atender consultas y solicitudes.
• Proteger la plataforma, detectar abuso y prevenir accesos no autorizados.
• Cumplir obligaciones legales y atender requerimientos de autoridades.
• Mantener, diagnosticar y mejorar técnicamente la plataforma.

7. Reservas y clientes finales

Los clientes finales pueden realizar una reserva sin crear una cuenta en AgendApp. Para gestionar una reserva se utilizan mecanismos temporales y enlaces firmados que permiten determinadas operaciones sobre la cita.

El flujo de reserva solicita únicamente la información necesaria para prestar el servicio seleccionado. La dirección solo se solicita cuando el servicio está configurado como servicio a domicilio.

La autorización para el tratamiento se solicita mediante una casilla independiente, no premarcada, antes de completar la reserva. La versión de esta Política y la fecha de la autorización se registran como evidencia técnica.

8. WhatsApp y correo electrónico

AgendApp utiliza Twilio y la infraestructura de WhatsApp Business de Meta para enviar comunicaciones de WhatsApp. También utiliza Resend para determinados correos.

El cliente puede elegir de forma separada si desea recibir confirmaciones y recordatorios por WhatsApp. Esta opción está desmarcada por defecto y su aceptación no se presume por el hecho de proporcionar un número telefónico. Si el cliente no la activa, no se le envían recordatorios de la cita.

Las comunicaciones podrán incluir confirmaciones, recordatorios, cancelaciones, reprogramaciones y mensajes de verificación relacionados con una reserva. AgendApp no utiliza actualmente estos canales para publicidad o marketing.

El número utilizado para determinadas comunicaciones de WhatsApp puede ser un número compartido de la plataforma y no necesariamente el número propio del negocio.

9. Proveedores tecnológicos

Para prestar el servicio se utilizan proveedores especializados. Dependiendo de la actividad, podrán actuar como encargados o subencargados del tratamiento.

10. Transferencias y transmisiones internacionales

Algunos datos pueden ser tratados mediante infraestructura ubicada fuera de Colombia. Las transmisiones internacionales que se realicen mediante proveedores tecnológicos se efectuarán dentro del marco de las normas colombianas aplicables y de los contratos o mecanismos jurídicos correspondientes.

AgendApp podrá cambiar proveedores cuando sea necesario por razones de seguridad, continuidad, capacidad o evolución tecnológica, manteniendo controles razonables y actualizando esta Política cuando corresponda.

11. Cookies

AgendApp utiliza actualmente cookies propias y no publicitarias. Entre ellas se encuentra una cookie de sesión administrativa y una cookie de preferencia visual.

El cliente que únicamente realiza una reserva no recibe una cookie de sesión administrativa. AgendApp no utiliza actualmente cookies publicitarias ni cookies de terceros destinadas a seguimiento comercial.

12. Analítica

Actualmente no se ejecutan herramientas de analítica de terceros en producción. El código contempla la posible utilización de Plausible para páginas públicas, pero la funcionalidad permanece inactiva mientras no se habilite en producción.

Si se activa una herramienta de analítica, AgendApp revisará y actualizará esta Política cuando resulte necesario.

13. Seguridad de la información

• HTTPS obligatorio y HSTS.
• Contraseñas almacenadas mediante bcrypt.
• Tokens de recuperación almacenados mediante hash.
• Expiración de sesiones y controles de autenticación.
• Limitación de tráfico y de intentos de acceso.
• Enlaces firmados para operaciones de clientes sin cuenta.
• Verificación de firmas de webhooks.
• Validación de archivos cargados y rechazo de SVG.
• Controles de separación entre negocios.
• Protección de secretos en la infraestructura del proveedor.

Ningún sistema conectado a Internet puede garantizar seguridad absoluta. AgendApp revisará y mejorará sus medidas de seguridad de acuerdo con los riesgos y la evolución del servicio.

14. Conservación de los datos

Los datos personales se conservarán durante el tiempo razonablemente necesario para cumplir las finalidades que justificaron su tratamiento y durante los periodos adicionales que resulten necesarios para obligaciones legales, de seguridad o defensa de derechos.

15. Derechos de los Titulares

• Conocer los datos personales objeto de tratamiento.
• Solicitar actualización y rectificación.
• Solicitar información sobre el uso de sus datos.
• Solicitar prueba de la autorización, cuando corresponda.
• Solicitar supresión cuando proceda.
• Solicitar revocatoria de la autorización cuando proceda.
• Presentar consultas y reclamos.
• Acceder gratuitamente a sus datos en los casos previstos por la ley.

Cuando el negocio sea Responsable de los datos de sus propios clientes o profesionales, las solicitudes deberán dirigirse principalmente al negocio correspondiente. Si llegan directamente a AgendApp, podrán ser canalizadas al Responsable o atendidas en aquello que corresponda directamente a AgendApp.

16. Procedimiento para ejercer derechos

Las solicitudes pueden enviarse a labs.bastion@gmail.com.

La solicitud deberá permitir identificar al Titular y describir de manera suficiente el derecho que se pretende ejercer. AgendApp podrá solicitar información razonable para verificar identidad cuando sea necesario.

Las consultas y reclamos serán atendidos dentro de los términos establecidos por la normativa colombiana aplicable.

17. Datos sensibles y menores

AgendApp no está diseñado para solicitar datos sensibles ni información de niñas, niños o adolescentes como parte del servicio ordinario.

Los negocios no deberán introducir deliberadamente datos sensibles, información médica, biométrica, financiera, sexual o de menores en campos de notas o registros generales. Si una actividad requiere un tratamiento especial, deberá ser informada y validada antes de usar AgendApp para esa finalidad.

18. Supresión y anonimización

Cuando resulte procedente una solicitud de supresión, AgendApp o el Responsable correspondiente eliminarán, anonimizarán o dejarán de tratar los datos, salvo que exista una obligación legal o una razón legítima para conservarlos.

La supresión se aplica de manera consistente a las entidades relacionadas donde la persona continúe identificada. Una cita histórica podrá conservarse en forma anonimizada cuando exista una finalidad legítima para mantener el registro.

19. Información pública y contenido cargado

Las páginas de reserva pueden mostrar públicamente información del negocio, servicios, profesionales, imágenes, logotipos y otros contenidos que el negocio decida publicar.

El negocio es responsable de contar con los derechos y autorizaciones necesarios para publicar fotografías, biografías, logotipos y demás contenidos.

20. Información que AgendApp no recopila actualmente

• No procesa pagos ni almacena datos de tarjetas.
• No crea cuentas para clientes finales.
• No integra calendarios externos.
• No utiliza geolocalización del navegador.
• No geocodifica direcciones.
• No utiliza cámara ni micrófono.
• No vende bases de datos.
• No realiza publicidad comportamental.
• No cruza fichas de clientes entre negocios.
• No toma decisiones automatizadas sobre personas.
• No requiere una aplicación móvil.

21. Cambios en esta Política

AgendApp podrá modificar esta Política para reflejar cambios legales, tecnológicos, operativos o en los servicios. Cuando un cambio sea sustancial y afecte las finalidades o condiciones del tratamiento, se comunicará por medios razonables y se solicitará una nueva autorización cuando legalmente corresponda.

La versión vigente estará disponible en https://www.agendapp.tech/privacidad.

22. Autoridad de protección de datos

La Superintendencia de Industria y Comercio es la autoridad competente en Colombia para la protección de datos personales en los casos sometidos a su competencia. Los Titulares pueden acudir a los mecanismos establecidos por la normativa aplicable, después de agotar los procedimientos previos que correspondan.

23. Vigencia

Esta Política entra en vigor el 01 de octubre de 2026 y permanecerá vigente mientras AgendApp realice tratamientos sujetos a la normativa colombiana.

Responsable: Bastion Labs. Correo: labs.bastion@gmail.com.