Politica de Tratamiento de Datos Personales

1. Responsable del Tratamiento

El responsable garantiza el cumplimiento de la normativa colombiana de proteccion de datos personales, en particular la Ley 1581 de 2012, el Decreto Reglamentario 1377 de 2013 y las circulares expedidas por la Superintendencia de Industria y Comercio (SIC).

2. Definiciones

• Titular: persona natural cuyos datos personales son objeto de tratamiento.
• Dato personal: cualquier informacion vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato sensible: aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminacion (origen etnico, orientacion politica, convicciones religiosas, datos de salud, orientacion sexual, datos biometricos).
• Tratamiento: cualquier operacion sobre datos personales (recoleccion, almacenamiento, uso, circulacion, supresion).
• Autorizacion: consentimiento previo, expreso e informado del titular para el tratamiento de sus datos.
• Encargado: persona que realiza el tratamiento por cuenta del responsable.

3. Datos que recolectamos

3.1 Datos de identificacion del usuario

• Nombre completo (full_name)
• Correo electronico (email) — usado como identificador de login
• Rol asignado dentro del tenant (admin, gerente, veterinario, operario, comercial)
• Fecha de creacion de la cuenta y ultimo login
• Hash de contrasena (bcrypt, nunca la contrasena en texto plano)

3.2 Datos del tenant (organizacion)

• Razon social del tenant
• Domicilio, pais, zona horaria y moneda operativa
• NIT o identificador tributario (si el usuario lo carga)
• Configuracion de plan y especies habilitadas

3.3 Datos operativos zootecnicos

Datos generados por el uso normal de la plataforma para gestion pecuaria:

• Inventario de animales (codigo, raza, fecha de nacimiento, distribucion en granjas/galpones/jaulas)
• Eventos zootecnicos (nacimientos, palpaciones, destetes, vacunaciones, pesajes, mortalidades, sacrificios)
• Registros diarios (consumo alimento, agua, ambiente, huevos, actividades sanitarias)
• Metadatos de trazabilidad (usuario que registro, timestamp, dispositivo)

3.4 Datos tecnicos

• Direccion IP y user-agent del navegador (login attempts, audit log)
• Cookies de sesion (JWT + refresh token) — necesarias para el funcionamiento
• Metricas de uso agregadas y anonimas (opcional, opt-in)
• Reportes de errores enviados a Sentry (excluyendo informacion sensible)

3.5 Datos NO recolectados

Explicitamente NO recolectamos:

• Datos sensibles del usuario (etnia, orientacion politica/religiosa/sexual)
• Datos biometricos
• Datos financieros del titular (tarjetas de credito procesadas por pasarela externa)
• Datos de menores de edad (la plataforma es para uso profesional agropecuario mayor de 18 anos)

4. Finalidad del tratamiento

Los datos personales son tratados exclusivamente para:

1. Autenticacion y autorizacion: verificar identidad al login, validar permisos por rol dentro del tenant.
2. Prestacion del servicio ERP: registrar y consultar operaciones zootecnicas del tenant.
3. Auditoria y compliance: registrar acciones criticas en logs inmutables para cumplir con Resolucion ICA 4174 y requisitos de trazabilidad ganadera.
4. Soporte tecnico: atender consultas del usuario a traves de los canales oficiales.
5. Comunicaciones transaccionales: envio de emails automaticos relacionados con la operacion (confirmacion de sacrificio, alertas de withdrawal antibiotico, invitaciones a otros usuarios del tenant).
6. Mejora del producto: analisis agregado y anonimizado de uso para priorizar nuevas funcionalidades.

No se realizan las siguientes actividades:

• Venta o cesion de datos personales a terceros con fines comerciales
• Perfilamiento automatizado con impacto legal significativo sobre el titular
• Envio de comunicaciones comerciales sin autorizacion expresa

5. Derechos del titular (Habeas Data)

Conforme al Articulo 8 de la Ley 1581, el titular puede ejercer los siguientes derechos ARCO:

• Acceso: conocer los datos personales tratados y el uso que se les da.
• Rectificacion: solicitar correccion de datos inexactos, incompletos o desactualizados.
• Cancelacion (supresion): solicitar la eliminacion de los datos, salvo obligacion legal de conservarlos.
• Oposicion: negarse al tratamiento cuando no exista deber legal de mantenerlo.

Adicionalmente:

• Revocacion de autorizacion: retirar el consentimiento en cualquier momento.
• Portabilidad: solicitar la entrega de sus datos en formato estructurado (JSON o CSV).
• Consulta gratuita: al menos una vez al mes sin costo.

Como ejercer los derechos

Enviar solicitud escrita a [email protected] indicando:

1. Nombre completo y correo electronico registrado
2. Descripcion clara del derecho ejercido
3. Documento de identidad (foto o escaneo) para verificar identidad
4. Direccion fisica o electronica para recibir la respuesta

Plazo de respuesta: 15 dias habiles segun Articulo 14 Ley 1581. Prorrogable a 8 dias habiles adicionales, previa notificacion motivada al titular.

Reclamos ante la SIC

Si considera que el responsable ha vulnerado sus derechos, puede radicar queja ante la Superintendencia de Industria y Comercio (SIC) — Delegatura de Proteccion de Datos Personales:

• Sitio web: www.sic.gov.co
• Telefono: (601) 587 0000

6. Retencion de datos

6.1 Datos activos

Los datos operativos del tenant se mantienen mientras la cuenta este activa y hasta 90 dias despues de su cancelacion (periodo de gracia).

6.2 Soft delete y hard purge

• Al eliminar el tenant desde la seccion Configuracion → Danger Zone, se realiza un soft delete (marca deleted_at).
• Durante 90 dias, el titular puede solicitar reactivacion enviando email a [email protected].
• Transcurridos los 90 dias, se ejecuta el hard purge automatico: eliminacion irreversible de todos los datos del tenant en base de datos (CASCADE), backups incrementales y logs operativos.

6.3 Datos que sobreviven al hard purge

Por requisitos de auditoria, los siguientes datos permanecen en el sistema tras la eliminacion, sin vinculo a persona identificable:

• Registros de audit log globales con metadata minima (fecha, tipo de accion, tenant_slug historico)
• Contadores agregados y anonimos de uso
• Facturacion electronica (obligacion legal DIAN)

6.4 Backups

Los backups de la base de datos se retienen maximo 30 dias. Un tenant purgado quedara totalmente removido de los backups luego de este periodo.

7. Medidas de seguridad

El responsable aplica medidas tecnicas y administrativas para proteger los datos:

• Cifrado en transito: TLS 1.3 en todas las comunicaciones HTTPS
• Cifrado en reposo: campos sensibles (API keys de integraciones) cifrados con Fernet (AES-128 + HMAC-SHA256)
• Hashing de contrasenas: bcrypt con factor de trabajo 12
• Aislamiento entre tenants: Row-Level Security (RLS) en PostgreSQL — un tenant no puede acceder a datos de otro
• Auditoria inmutable: cambios criticos quedan registrados en audit_log global
• Rate limiting: proteccion contra ataques de fuerza bruta al login
• Observabilidad: reportes de errores a Sentry con scrub de PII
• Copias de respaldo: snapshots diarios de la base de datos productiva
• Actualizacion de dependencias: monitoreo de CVEs semanal

8. Transferencias internacionales

Actualmente el responsable no transfiere datos personales fuera de Colombia para efectos de tratamiento principal. Los siguientes proveedores procesan datos tecnicos limitados fuera del pais (bajo clausulas contractuales tipo aprobadas por la SIC):

Todos estos proveedores cumplen con estandares internacionales de proteccion de datos (GDPR y equivalentes).

9. Cookies y tecnologias similares

La plataforma usa exclusivamente cookies estrictamente necesarias para el funcionamiento:

• access_token (JWT) — autenticacion de sesion — expira en 15 minutos
• refresh_token — renovacion de sesion — expira en 7 dias

No usamos cookies de publicidad, seguimiento cross-site, ni analisis de terceros. No se muestra banner de cookies porque no aplican por ser estrictamente necesarias (Directiva ePrivacy).

10. Autorizacion

Al registrarse en la plataforma, el titular autoriza expresamente el tratamiento de sus datos personales conforme a esta politica. Puede revocar la autorizacion en cualquier momento enviando email a [email protected], sin que ello afecte la legalidad del tratamiento realizado antes de la revocacion.

Para menores de edad: la plataforma esta disenada para uso profesional agropecuario. No se recolectan datos de menores de 18 anos. Si detectamos que un usuario es menor, procederemos a eliminar la cuenta y sus datos.

11. Cambios en la politica

Esta politica puede ser actualizada en respuesta a cambios normativos, tecnologicos o de negocio. Los cambios materiales seran notificados al usuario a traves de:

• Email al correo registrado
• Notificacion in-app al iniciar sesion
• Anuncio en el sitio web athonsuite.com

La fecha de “ultima actualizacion” al inicio de este documento se ajusta con cada modificacion.

12. Contacto

Anexo: normativa aplicable

• Constitucion Politica de Colombia, Articulo 15 (derecho a la intimidad y habeas data)
• Ley Estatutaria 1581 de 2012 — Regimen general de proteccion de datos personales
• Decreto 1377 de 2013 — Reglamentacion parcial Ley 1581
• Circular Externa 002 de 2015 SIC — Registro Nacional de Bases de Datos (RNBD)
• Circular Externa 003 de 2018 SIC — Autorizacion previa transferencias internacionales