Política de Tratamiento de Datos Personales

1. Objetivo y alcance

Naubix S.A.S. (en adelante, «la Plataforma» o «Naubix»), creadora del software Xigeness, en cumplimiento de la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) y demás normas que las modifiquen, sustituyan o reglamenten, establece la presente política para garantizar la protección, uso y administración segura de los datos personales de sus clientes (personas naturales o representantes legales de Pymes y restaurantes), prospectos, proveedores, colaboradores y cualquier otra persona que interactúe con el sitio web (naubix.com) o con los servicios SaaS de la Plataforma.

2. Definiciones clave (según la ley colombiana)

• Dato personal: Cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable (nombres, correo, teléfono, documento de identidad, dirección IP, etc.).
• Dato sensible: Aquel que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación (por ejemplo, datos de salud, biométricos, origen racial o étnico, convicciones religiosas o políticas). Su tratamiento requiere autorización explícita y adicional del titular.
• Tratamiento: Cualquier operación que se realice con los datos (recolección, almacenamiento, uso, circulación, supresión, etc.).
• Titular: La persona dueña de los datos personales.
• Responsable: Naubix, en cuanto empresa que decide sobre la finalidad y el tratamiento de los datos de sus clientes, prospectos, proveedores y colaboradores.
• Encargado: Tercero que trata datos por cuenta del responsable (por ejemplo, proveedor de hosting o pasarela de pagos). Naubix también actúa como Encargado respecto de los datos que sus clientes ingresan a la Plataforma sobre terceros, conforme se explica en el numeral 4.

3. Principios aplicables (Artículo 4, Ley 1581)

Naubix aplicará los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad en todo tratamiento de datos personales.

4. Datos que podemos recolectar

Dependiendo de su interacción con Naubix, recolectamos las siguientes categorías de datos:

• Datos de identificación: nombres, apellidos, número de identificación (cédula, NIT, etc.), firma digital. Finalidad: crear cuenta, emitir facturación electrónica validada ante la DIAN, celebrar contratos.
• Datos de contacto: correo electrónico, teléfono, dirección física. Finalidad: enviar comunicaciones comerciales (con autorización), notificar cambios en el servicio, enviar facturas, atender PQRS.
• Datos de facturación y pago: información de tarjeta de crédito (procesada a través de pasarela segura), referencia de pago, historial de transacciones. Finalidad: gestionar suscripciones, aplicar descuentos por prepago, renovar módulos.
• Datos de uso de la plataforma: dirección IP, registros de acceso (logs), módulos utilizados (contabilidad, inventario, restaurante, etc.), preferencias de configuración. Finalidad: mejorar la experiencia de usuario, solucionar errores, analizar tendencias de uso de módulos.
• Datos de operación de su negocio (datos de terceros bajo responsabilidad del cliente): nombres de sus empleados, clientes y proveedores; información de inventario, ventas y contabilidad. Naubix únicamente almacena esta información de forma cifrada para ejecutar el servicio SaaS y no la utiliza para fines propios.

Respecto de esta última categoría, es el cliente de Naubix quien actúa como responsable del Tratamiento de dichos datos y, por lo tanto, es quien debe contar con la autorización previa, expresa e informada de cada titular (sus propios empleados, clientes o proveedores) para ingresar dicha información a la Plataforma. Naubix actúa únicamente como Encargado del Tratamiento respecto de estos datos, conforme a las instrucciones del cliente y a lo establecido en los Términos y Condiciones de Servicio.

Datos sensibles y de menores de edad: la Plataforma no está diseñada para la recolección o el tratamiento de datos sensibles (por ejemplo, datos de salud, biométricos, origen racial o étnico, convicciones religiosas o políticas) ni de datos de menores de edad. El cliente se obliga a no ingresar este tipo de datos a la Plataforma, salvo que exista un acuerdo expreso y por escrito con Naubix que regule las garantías adicionales aplicables. En caso de que excepcionalmente se traten datos de menores, dicho tratamiento respetará su interés superior y requerirá la autorización de su representante legal, conforme al artículo 7 de la Ley 1581 de 2012.

5. Finalidades del tratamiento

Sus datos personales serán tratados para las siguientes finalidades:

• Gestionar su cuenta como cliente de Xigeness: registro, autenticación, selección de módulos (Restaurante, Facturación, Proveedores, Cartera, Inventario, Tesorería, Contabilidad), cálculo de precios, descuentos por prepago y renovaciones.
• Emitir facturación electrónica con cumplimiento DIAN (requiere datos de identificación y firma).
• Atender solicitudes, quejas y reclamos (PQRS) relacionadas con el servicio.
• Enviar comunicaciones comerciales y promociones, únicamente si usted ha otorgado su consentimiento expreso (por ejemplo, al marcar una casilla en el formulario de demo o registro).
• Mejorar la seguridad de la Plataforma (prevención de fraudes y ataques cibernéticos).
• Dar cumplimiento a obligaciones legales (por ejemplo, entregar información a entidades de control cuando sea legalmente requerido).

Naubix nunca venderá, cederá ni compartirá sus datos personales con terceros para fines no autorizados por usted.

6. Derechos del titular

Como titular de datos personales, usted tiene derecho a:

• Conocer, actualizar y rectificar sus datos personales.
• Acceder de forma gratuita a sus datos personales objeto de tratamiento, cuando este derecho no haya sido ejercido en el mes calendario anterior, salvo que existan razones legítimas y fundadas que impidan su ejercicio (artículo 8, Ley 1581 de 2012).
• Solicitar prueba de la autorización otorgada para el tratamiento.
• Ser informado sobre el uso que se ha dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) si considera vulnerados sus derechos, a través del sitio web www.sic.gov.co.
• Revocar la autorización y/o solicitar la supresión del dato, siempre que no exista un deber legal o contractual de mantenerlo (por ejemplo, los datos requeridos por la DIAN para facturación electrónica deben conservarse durante 5 años).

7. Canales y plazos para ejercer sus derechos

Puede enviar su solicitud (con copia de su documento de identidad) a través de:

• Correo electrónico: developers@naubix.com
• Teléfono: +57 302 387 8460

Consultas: serán atendidas dentro de los diez (10) días hábiles siguientes a su recepción, prorrogables por cinco (5) días hábiles adicionales cuando no sea posible atenderlas dentro de dicho plazo, informando al titular los motivos de la demora.

Reclamos (correcciones, actualizaciones o solicitudes de supresión): se resolverán dentro de los quince (15) días hábiles siguientes a su recepción, prorrogables por ocho (8) días hábiles adicionales, informando al titular las razones de la demora antes del vencimiento del plazo inicial, conforme al artículo 15 de la Ley 1581 de 2012. Si el reclamo está incompleto, se requerirá al titular dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas; transcurridos dos (2) meses sin que el titular presente la información requerida, se entenderá que ha desistido del reclamo.

8. Autorización y consentimiento

Al registrarse en Naubix (crear cuenta, solicitar demo, contratar módulos), usted declara que ha leído y acepta esta política, otorgando su autorización previa, expresa e informada para el tratamiento de sus datos personales conforme a las finalidades aquí descritas.

Para envíos de marketing o boletines, se solicitará un consentimiento adicional explícito (opt-in), el cual puede revocarse en cualquier momento mediante el enlace «Cancelar suscripción» incluido en cada correo, o escribiendo a los canales indicados en el numeral 7.

9. Medidas de seguridad y gestión de incidentes

Naubix implementa medidas técnicas, humanas y administrativas razonables para proteger sus datos personales contra pérdida, adulteración, acceso no autorizado o fraudes. Esto incluye:

• Acceso restringido a bases de datos con autenticación de doble factor.
• Copias de seguridad periódicas.
• Acuerdos de confidencialidad con empleados y Encargados del Tratamiento (proveedores de nube, pasarelas de pago, etc.).

Gestión de incidentes de seguridad: en caso de que se presenten violaciones a los códigos de seguridad o existan riesgos en la administración de la información de los titulares, Naubix reportará el incidente a la Superintendencia de Industria y Comercio dentro de los plazos establecidos por la normativa vigente, y notificará a los titulares afectados cuando dicha notificación sea procedente, indicando la naturaleza del incidente y las medidas adoptadas para mitigarlo.

10. Encargados del tratamiento y transferencia internacional de datos

Naubix puede compartir sus datos personales con los siguientes Encargados del Tratamiento, quienes están obligados contractualmente a cumplir esta política y la ley colombiana:

• Proveedores de hosting y nube (AWS, Google Cloud, etc.), para alojar la Plataforma.
• Pasarelas de pago (Wompi, PayU, etc.), para procesar los pagos sin que Naubix almacene directamente los números de tarjeta.
• Plataformas de email marketing, solo si usted autorizó comunicaciones comerciales.
• Herramientas de análisis (de forma anonimizada o agregada), para medir el rendimiento de la página.

Transferencia y transmisión internacional de datos: en caso de que alguno de los Encargados mencionados aloje o procese datos personales en servidores ubicados fuera de Colombia, dicha transferencia o transmisión se realizará únicamente hacia países que cuenten con un nivel adecuado de protección de datos reconocido por la Superintendencia de Industria y Comercio, o mediante la suscripción de cláusulas contractuales u otras garantías idóneas que aseguren un nivel de protección equivalente al exigido por la ley colombiana. El titular podrá solicitar información sobre la ubicación de los servidores donde se alojan sus datos a través de los canales indicados en el numeral 7.

11. Registro Nacional de Bases de Datos (RNBD)

Naubix inscribirá y mantendrá actualizada la información de sus bases de datos ante el Registro Nacional de Bases de Datos (RNBD) administrado por la Superintendencia de Industria y Comercio, únicamente en caso de que se encuentre obligada a ello conforme a la normativa vigente, esto es, cuando sus activos totales superen el umbral establecido por el Decreto 090 de 2018 (actualmente 100.000 UVT) o cuando, por su naturaleza jurídica, se encuentre sujeta a dicha obligación. Independientemente de si dicho umbral se alcanza, Naubix dará cumplimiento a las demás obligaciones previstas en la Ley 1581 de 2012 y sus decretos reglamentarios, incluyendo la adopción de esta política, la obtención y conservación de las autorizaciones correspondientes, y la implementación de las medidas de seguridad descritas en el numeral 9.

12. Vigencia y conservación

La presente política rige a partir de su fecha de entrada en vigor. Los datos personales serán conservados durante el tiempo necesario para cumplir las finalidades aquí descritas y durante los plazos legales exigidos por la DIAN (facturación electrónica: 5 años) y demás autoridades competentes. Vencidos dichos plazos, los datos serán eliminados de forma segura, salvo que exista una obligación legal de conservación adicional.

13. Modificaciones

Naubix se reserva el derecho de modificar esta política en cualquier momento. Cualquier cambio sustancial será notificado a través del correo electrónico registrado del titular y/o mediante un aviso destacado en la página web, con al menos cinco (5) días hábiles de anticipación a su entrada en vigor.

14. Contacto para protección de datos

Si tiene dudas sobre cómo tratamos sus datos personales o desea ejercer sus derechos, contacte a nuestro responsable de Protección de Datos:

• Cargo: Oficial de Cumplimiento
• Correo: developers@naubix.com
• Horario de atención: lunes a viernes, 9:00 a.m. a 6:00 p.m. (hora Colombia).