Aviso de Privacidad y Tratamiento de Datos Personales

1. Responsable del tratamiento

Responsable: Ingeniar Code SAS (NIT 9013825807). Domicilio: Colombia. Correo de contacto y atención de solicitudes de privacidad y Habeas Data: contact@mipatrimonio360.com. Garantizamos la confidencialidad, integridad y disponibilidad de la información personal custodiada con rigurosos protocolos técnicos.

2. Marco normativo aplicable

Nuestras políticas de privacidad y tratamiento de datos se fundamentan en:

• Colombia: Ley Estatutaria 1581 de 2012, Decreto Reglamentario 1377 de 2013 y normas concordantes de Habeas Data bajo supervisión de la Superintendencia de Industria y Comercio (SIC).
• Unión Europea: Reglamento General de Protección de Datos (RGPD / GDPR - Reglamento UE 2016/679).
• Brasil: Lei Geral de Proteção de Dados (LGPD - Lei Nº 13.709/2018).
• Estados Unidos: California Consumer Privacy Act (CCPA) y California Privacy Rights Act (CPRA), en lo pertinente.

3. Categorías de datos recopilados

Recopilamos las siguientes categorías de información:

• Datos de identificación y contacto: nombre completo y correo electrónico.
• Credenciales de seguridad: contraseñas protegidas mediante algoritmos de cifrado criptográfico unidireccional (hashing seguro administrado por Supabase Auth; nunca almacenamos su contraseña en texto plano).
• Datos financieros autogestionados: ingresos, gastos periódicos, activos, pasivos, deudas, metas de ahorro, portafolios de inversión y planes de retiro ingresados voluntariamente por el usuario.
• Datos técnicos y de evidencia de consentimiento: dirección IP del registro y de aceptación legal, tipo de navegador, sistema operativo (User-Agent), sellos de tiempo inmutables y registros de seguridad del servidor.

4. Exclusión expresa de almacenamiento de datos bancarios

MiPatrimonio360 NUNCA solicita, recopila ni almacena números completos de tarjetas de crédito o débito, códigos de seguridad CVV/CVC, fechas de vencimiento de tarjetas ni credenciales de acceso directo a cuentas bancarias.

Todo el procesamiento transaccional de pagos es realizado exclusivamente por Paddle.com Market Ltd, entidad certificada bajo el estándar de seguridad de la industria de tarjetas de pago PCI-DSS Nivel 1. El Vendedor únicamente recibe confirmaciones de pago cifradas con identificadores tokenizados.

5. Tratamiento especial de datos financieros y perfil patrimonial

La agregación voluntaria de información financiera (edad, ingresos periódicos, gastos clasificados, activos patrimoniales, pasivos y deudas, portafolios de inversión, metas de ahorro y planes de retiro) permite estructurar un perfil patrimonial personal. Para garantizar la máxima privacidad, confidencialidad y autodeterminación informativa conforme a la Ley 1581 de 2012, el RGPD y la LGPD, dicho perfil se somete a las siguientes reglas estrictas:

• Qué datos financieros se almacenan: Únicamente los datos autogestionados y digitados por el usuario en los módulos de flujo de caja (ingresos y gastos), balance general (activos y pasivos), registro de inversiones (vehículos, cantidades y precios de adquisición) y proyecciones de retiro e independencia financiera (edad actual, edad de retiro esperada, inflación asumida y tasa de retiro).
• Para qué se utilizan: Exclusiva y limitativamente para ejecutar las fórmulas matemáticas, cálculos de balances, generación de gráficos comparativos y simulación de escenarios solicitados por el propio usuario en su sesión interactiva.
• Quién puede acceder (Restricción de acceso humano): La base de datos opera bajo estricto aislamiento por Seguridad a Nivel de Fila (Row Level Security - RLS). Los colaboradores y administradores de Ingeniar Code SAS NO tienen acceso visual ni operativo a las cifras financieras individuales de los usuarios. Únicamente en supuestos excepcionales de soporte técnico solicitado formalmente por el usuario mediante ticket, personal técnico debidamente autorizado podrá acceder a registros técnicos puntuales de manera temporal y auditada.
• Uso para estadísticas y analítica: Las métricas de plataforma se procesan exclusivamente sobre datos agregados, disociados y 100% anonimizados (sin que sea posible en ningún caso identificar, directa o indirectamente, al titular). No se realiza minería de datos individuales ni extracción de patrones patrimoniales individualizados.
• Mejora del producto: La optimización del software y resolución de incidencias se fundamenta en telemetría de rendimiento y usabilidad de interfaz (errores de código, tiempos de respuesta), NUNCA en el contenido de las cifras o saldos patrimoniales privados del usuario.
• No compartición con terceros: Los datos financieros NO se venden, no se arriendan, no se transfieren ni se comparten con entidades bancarias, aseguradoras, burós de crédito o centrales de riesgo (como DataCrédito o TransUnion), ni con ningún tercero comercial.
• Tiempo de conservación: La información financiera se conserva en bases de datos activas únicamente durante el tiempo en que la cuenta del usuario permanezca vigente.
• Mecanismos de eliminación y derecho al olvido: El usuario cuenta con herramientas de autoservicio en Configuración para descargar una copia completa de sus datos (formato JSON) o ejecutar el restablecimiento y purga total e inmediata de sus registros financieros. La cancelación definitiva de la cuenta desencadena la eliminación en cascada (ON DELETE CASCADE) de todos sus registros en las bases de datos de producción.
• PROHIBICIÓN IRREVOCABLE DE ENTRENAMIENTO DE INTELIGENCIA ARTIFICIAL (IA) Y MARKETING: Ingeniar Code SAS garantiza y declara que bajo ninguna circunstancia utiliza los datos financieros, cifras patrimoniales o perfiles económicos de los usuarios para entrenar, ajustar, evaluar o alimentar modelos de Inteligencia Artificial (LLMs, redes neuronales o algoritmos de Machine Learning), propios o de terceros, ni para elaborar perfiles con fines de prospección comercial o publicidad no solicitada.

6. Finalidades y bases jurídicas del tratamiento

Tratamos sus datos personales con las siguientes finalidades y bases legales:

• Crear, verificar y administrar su cuenta de usuario (Ejecución del contrato).
• Prestar las funcionalidades operativas de la plataforma: consolidación patrimonial, reportes y proyecciones (Ejecución del contrato).
• Conservar la evidencia probatoria de las autorizaciones legales otorgadas conforme a la Ley 1581 de 2012 y el RGPD (Cumplimiento de obligación legal).
• Garantizar la seguridad de la plataforma, prevenir accesos no autorizados y detectar fraudes (Interés legítimo / Obligación legal).
• Brindar soporte técnico y atención al cliente (Ejecución del contrato).
• Emitir notificaciones transaccionales esenciales y confirmaciones de cuenta (Ejecución del contrato).
• Enviar novedades de producto y comunicaciones comerciales, únicamente cuando el titular haya otorgado su consentimiento previo y expreso (Consentimiento del titular revocable en cualquier momento).
• Cumplir con obligaciones tributarias, contables y requerimientos de autoridades competentes (Obligación legal).

7. Destinatarios y subencargados del tratamiento

No vendemos, no comercializamos ni alquilamos sus datos personales a intermediarios de datos (data brokers) ni a empresas de publicidad externa. Compartimos datos únicamente con proveedores tecnológicos esenciales bajo acuerdos estrictos de confidencialidad y protección de datos:

• Supabase Inc.: Proveedor de infraestructura de base de datos PostgreSQL, autenticación y almacenamiento en la nube, con certificación SOC 2 Tipo II y cifrado en tránsito y reposo.
• Paddle.com Market Ltd: Comerciante Registrado (Merchant of Record) encargado de la facturación, cobros seguros y cumplimiento tributario internacional bajo certificación PCI-DSS Nivel 1.
• Proveedores de infraestructura de red y entrega de contenido (CDN, Cloudflare / servidores cloud) para mitigación de ataques DDoS y certificados SSL/TLS.
• Proveedores de correo transaccional para la entrega de confirmaciones de cuenta y enlaces de recuperación de clave.
• Autoridades judiciales o administrativas cuando exista requerimiento formal fundado en ley.

8. Cookies, almacenamiento local y rastreo

Utilizamos tecnologías de almacenamiento local y cookies técnicas estrictamente necesarias para el correcto funcionamiento de la plataforma:

• Almacenamiento local (localStorage): Preferencias de idioma (ES, EN, PT), modo de visualización (claro/oscuro) y estado de la sesión.
• Cookie 'sidebar_state': Cookie técnica temporal para recordar la posición expandida o colapsada del menú lateral de navegación.
• Cookie 'p360_ref': Cookie técnica de atribución de referidos con vigencia de 30 días, empleada exclusivamente para otorgar días de prueba adicionales o beneficios promocionales al registrarse mediante un enlace de invitación.

9. Medidas de seguridad técnicas y organizativas

Implementamos rigurosas salvaguardas de seguridad:

Cifrado en tránsito: Todas las comunicaciones entre su navegador y nuestros servidores están cifradas mediante protocolos HTTPS / TLS 1.3.

Cifrado en reposo: Las bases de datos operan con cifrado AES-256 a nivel de almacenamiento físico.

Políticas de Seguridad a Nivel de Fila (Row Level Security - RLS): La arquitectura de la base de datos aísla estrictamente los registros de cada usuario; ningún usuario puede consultar, modificar ni eliminar información que pertenezca a otra cuenta.

10. Derechos del titular (Habeas Data, RGPD, LGPD) y procedimiento

Conforme a la Ley 1581 de 2012 de Colombia, el RGPD y la LGPD, usted cuenta con los derechos de: conocer, actualizar, rectificar y suprimir sus datos personales; revocar la autorización otorgada; solicitar prueba de la autorización; acceder a sus datos de forma gratuita; y solicitar la portabilidad de su información.

Herramientas de autoservicio: Desde el módulo de Configuración de su cuenta puede gestionar sus preferencias de privacidad, activar o revocar el consentimiento de comunicaciones comerciales, descargar una copia completa de sus datos en formato JSON o solicitar el restablecimiento total de sus registros.

Para radicar consultas o reclamos formales sobre sus datos, puede escribir a contact@mipatrimonio360.com. De acuerdo con el artículo 15 de la Ley 1581 de 2012, responderemos a su solicitud en un término máximo de quince (15) días hábiles (o un mes calendario bajo RGPD/LGPD).

Asimismo, le asiste el derecho de presentar quejas ante la Superintendencia de Industria y Comercio (SIC) de Colombia o la autoridad de protección de datos competente en su país de residencia.

11. Conservación de datos y menores de edad

Conservamos sus datos personales mientras su cuenta permanezca activa. Si usted solicita el cierre de la cuenta, sus datos personales serán eliminados o anonimizados de nuestras bases operativas, reteniendo únicamente registros transaccionales mínimos requeridos por leyes fiscales o tributarias durante los plazos obligatorios.

MiPatrimonio360 está dirigido exclusivamente a personas mayores de 18 años. No recolectamos intencionalmente datos de menores de edad. Si detectamos una cuenta perteneciente a un menor, procederemos a su eliminación inmediata.

12. Transferencias internacionales de datos

Para prestar el servicio, sus datos pueden ser tratados en servidores ubicados fuera de Colombia, principalmente en Estados Unidos y la Unión Europea, por parte de nuestros proveedores de infraestructura, correo transaccional y facturación.

Estas transferencias se amparan en: (i) su autorización expresa e informada otorgada al registrarse, conforme al artículo 26 de la Ley 1581 de 2012; (ii) la necesidad contractual de ejecutar el servicio solicitado; y (iii) Cláusulas Contractuales Tipo (SCC) de la Comisión Europea o mecanismos equivalentes de garantía adecuada exigidos por el RGPD y la LGPD.

Puede solicitar información sobre los mecanismos de transferencia y una copia de las garantías aplicables escribiendo a contact@mipatrimonio360.com.

13. Notificación de incidentes de seguridad

Mantenemos procedimientos de detección, contención y análisis forense de incidentes. Si ocurre una violación de la seguridad de los datos personales que suponga un riesgo para sus derechos:

• Notificaremos a la autoridad competente dentro de las setenta y dos (72) horas siguientes a su conocimiento (RGPD, artículo 33) y reportaremos el incidente ante la Superintendencia de Industria y Comercio (SIC) conforme a la normativa colombiana.
• Le informaremos directamente, sin dilación indebida, cuando el incidente implique un riesgo alto para sus derechos y libertades, describiendo la naturaleza del incidente, los datos afectados y las medidas correctivas adoptadas.
• Documentaremos todo incidente y sus acciones de remediación, manteniendo dicha evidencia disponible para las autoridades.

14. Decisiones automatizadas, perfilado y uso de inteligencia artificial

Las proyecciones, simulaciones y puntajes de salud financiera de la plataforma se generan mediante fórmulas matemáticas deterministas que usted ejecuta voluntariamente con los parámetros que introduce. No adoptamos decisiones automatizadas que produzcan efectos jurídicos sobre usted ni le afecten significativamente de modo similar (RGPD, artículo 22; LGPD, artículo 20).

No realizamos scoring crediticio, no reportamos información a centrales de riesgo ni compartimos su perfil patrimonial con entidades financieras, aseguradoras o empleadores.

Sus datos financieros personales no se utilizan para entrenar, ajustar ni evaluar modelos de inteligencia artificial, propios o de terceros. Cualquier contenido educativo generado con asistencia de IA es genérico y no incorpora información identificable de los usuarios.

Usted conserva el derecho a solicitar la revisión humana de cualquier resultado o decisión que considere que le afecta, escribiendo a nuestro canal de privacidad.

15. Encargados y subencargados adicionales del tratamiento

Complementando la sección 7, los siguientes proveedores pueden tratar datos personales por cuenta nuestra, bajo acuerdos de encargo y con finalidad limitada:

• Google LLC: únicamente cuando usted elige iniciar sesión con Google; recibimos su nombre, correo verificado y foto de perfil para autenticar la cuenta.
• Proveedores de cotizaciones y datos de mercado: reciben únicamente el símbolo o ticker consultado; nunca su identidad, saldos ni composición patrimonial.
• Proveedor de correo transaccional y de notificaciones (dominio notify.mipatrimonio360.com): nombre, correo electrónico y eventos de entrega (envío, apertura, rebote o queja).
• Proveedores de alojamiento, despliegue y observabilidad de la aplicación: registros técnicos, direcciones IP y trazas de error necesarias para operar y depurar la plataforma.
• Asesores legales, contables y de auditoría, sujetos a deber de confidencialidad profesional.

16. Modificaciones a este Aviso de Privacidad

Este Aviso se identifica mediante una fecha de versión. Los cambios sustanciales en finalidades, bases legales, destinatarios o plazos de conservación se comunicarán con al menos quince (15) días calendario de anticipación por correo electrónico o mediante aviso destacado en la plataforma.

Cuando la modificación exija una nueva autorización conforme a la ley aplicable, solicitaremos su consentimiento expreso antes de aplicar el nuevo tratamiento. Todas las aceptaciones quedan registradas de forma inalterable con fecha, hora, versión del documento, dirección IP y agente de navegador.