Política de Tratamiento de Datos Personales

Esta política explica cómo GESTOK SAS recolecta, usa y protege datos personales en sus plataformas y servicios de software y en gestok.com, y cómo los titulares ejercen sus derechos.

1. Responsable y marco legal

Esta política aplica la Ley 1581 de 2012, el Decreto 1074 de 2015 (que compila el Decreto 1377 de 2013) y las instrucciones de la Superintendencia de Industria y Comercio (SIC).

GESTOK SAS («GESTOK» o «el Proveedor») actúa en dos calidades:

• Responsable de los datos de sus propios clientes, Usuarios, prospectos, proveedores y empleados.
• Encargado de los datos personales que cada Cliente carga en el software (sus clientes, proveedores o empleados). En ese caso trata los datos solo por instrucción del Cliente, según el anexo de encargo.

2. Datos que tratamos y para qué

No se tratan datos sensibles ni datos de menores de edad. Si el Cliente necesita cargarlos, debe advertirlo al Proveedor y contar con autorización expresa del titular o de su representante legal.

Los datos de tarjetas los procesa directamente la pasarela de pagos certificada PCI DSS; el Proveedor no los almacena. Los mensajes comerciales solo se envían a quien los haya autorizado, y las comunicaciones de cobro respetan los canales, horarios y frecuencia de la Ley 2300 de 2023.

Otras finalidades. Para los titulares con quienes GESTOK tiene una relación comercial, los datos también se usan para:

• Consultar listas restrictivas nacionales e internacionales, para prevenir lavado de activos, financiación del terrorismo y fraude.
• Con autorización previa y expresa, consultar y reportar el comportamiento de pago de los Clientes ante centrales de riesgo (operadores de información de la Ley 1266 de 2008). Antes de cualquier reporte negativo, GESTOK avisará al titular con al menos 20 días calendario de anticipación.
• Grabar llamadas y conservar correos y conversaciones por chat o WhatsApp con soporte y ventas, como prueba de lo acordado y para mejorar la atención. Las llamadas grabadas se avisan al inicio.
• Analizar el uso de las plataformas con herramientas de analítica e inteligencia artificial, propias o de terceros, para dar soporte, prevenir fraude y mejorar el servicio. Los datos que los Clientes cargan no se usan para entrenar modelos de terceros, y ninguna decisión que afecte al titular se toma solo de forma automática. Si se usa un proveedor externo de inteligencia artificial, se incluirá en la lista de encargados de la sección 5.

Operaciones de tratamiento. GESTOK puede recolectar, almacenar, usar, actualizar, analizar, transmitir a sus encargados, conservar y suprimir datos personales, siempre dentro de las finalidades de esta política. No vende ni cede datos personales a terceros para fines propios de esos terceros.

3. Derechos de los titulares

Según el artículo 8 de la Ley 1581 de 2012, el titular puede:

• Conocer, actualizar y rectificar sus datos.
• Pedir prueba de la autorización que otorgó.
• Saber qué uso se ha dado a sus datos.
• Presentar quejas ante la SIC, después de agotar el trámite ante el Proveedor.
• Revocar la autorización o pedir la supresión, cuando no exista un deber legal o contractual de conservarlos.
• Acceder gratis a sus datos.

Pueden ejercerlos el titular, sus causahabientes, su representante o apoderado.

4. Consultas y reclamos

Las solicitudes se envían a contacto@gestok.com, con el asunto «Datos personales», indicando nombre, identificación, descripción de lo pedido y datos de contacto.

Si un reclamo llega incompleto, se pide completarlo dentro de los 5 días siguientes. Si pasan 2 meses sin respuesta del titular, se entiende que desistió.

Una vez recibido el reclamo completo, en máximo 2 días hábiles se marcará el dato con la leyenda «reclamo en trámite» y su motivo, hasta que se resuelva. Si GESTOK no es competente para resolverlo, lo trasladará a quien corresponda en máximo 2 días hábiles e informará al titular.

Cuando la solicitud se refiere a datos que un Cliente cargó en el software, el Proveedor la trasladará al Cliente (Responsable) y le dará apoyo técnico para atenderla.

5. Seguridad, transferencias y conservación

Seguridad. Cifrado en tránsito (TLS), control de acceso por roles, autenticación de usuarios, registros de auditoría, copias de seguridad y separación lógica de los datos de cada Cliente.

Incidentes. Si ocurre una violación de seguridad, el Proveedor la reportará a la SIC dentro de los 15 días hábiles siguientes a detectarla y avisará al Cliente afectado sin demora injustificada.

Proveedores y nube. El software es desarrollado y operado por GESTOK. En la modalidad en la nube, la base de datos se aloja en servidores de Contabo GmbH (Alemania), en su centro de datos del este de Estados Unidos, y las copias de seguridad se guardan con el respaldo automático de Contabo y en Cloudflare, Inc. (Estados Unidos). Los correos que envían las plataformas (verificación de la cuenta, cambio de contraseña, avisos y cobros) salen por Resend, servicio de Plus Five Five, Inc. (Estados Unidos), que recibe el nombre y el correo del destinatario y el contenido del mensaje. El correo de contacto de GESTOK se recibe mediante Cloudflare Email Routing y se gestiona en Gmail, de Google LLC (Estados Unidos). Estos proveedores actúan como encargados fuera de Colombia bajo sus acuerdos de tratamiento de datos, por lo que hay transmisión internacional de datos. Alemania y Estados Unidos figuran entre los países con nivel adecuado de protección según la Circular Externa 005 de 2017 de la SIC. Los pagos en línea de las suscripciones se procesan con Bold.Co S.A.S. (Colombia), que recibe los datos del pagador necesarios para el cobro (nombre, documento, correo y teléfono) y procesa los medios de pago en su propia plataforma; GESTOK no recibe ni almacena datos de tarjetas. En la modalidad local, la base de datos se instala en servidores del Cliente: los datos no salen de su infraestructura y GESTOK solo accede para soporte, con autorización del Cliente. Cuando GESTOK contrate otro proveedor que reciba datos personales, por ejemplo de facturación electrónica o de inteligencia artificial, lo incluirá en esta sección antes de enviarle datos. En gestok.com, el formulario de contacto se envía mediante Web3Forms (servidores fuera de Colombia) y las visitas se miden con Cloudflare Web Analytics, que no usa cookies ni identifica al visitante.

Cookies. Las plataformas de GESTOK usan solo cookies técnicas, necesarias para iniciar sesión, mantenerla activa y proteger la cuenta. No usan cookies publicitarias ni de seguimiento. En las tiendas en línea, la pasarela de pagos puede usar las cookies técnicas que necesita para procesar y proteger el pago. Si en el futuro se incorporan cookies de analítica o de terceros, GESTOK lo informará en esta política y pedirá consentimiento antes de activarlas.

Conservación. Los datos se guardan mientras dure la relación y luego el tiempo que exijan las normas contables, tributarias o comerciales.

Vigencia. Esta política rige desde el 23 de octubre de 2026. Las bases de datos estarán vigentes mientras GESTOK SAS desarrolle su objeto social y se necesiten para las finalidades descritas, sin perjuicio de los plazos legales de conservación. Los cambios sustanciales se comunicarán antes de aplicarse.

Anexo A. Acuerdo de encargo de datos (transmisión)

Este acuerdo forma parte de los Términos y Condiciones y regula los datos personales que el Cliente carga en el software (artículo 2.2.2.25.5.2 del Decreto 1074 de 2015).

1. Instrucciones. El Proveedor trata los datos solo para prestar el servicio contratado y según las instrucciones del Cliente.
2. Confidencialidad. El personal del Proveedor con acceso a los datos tiene deber de reserva, incluso después de terminado el contrato.
3. Seguridad. El Proveedor aplica las medidas de la sección 5 de esta política.
4. Subencargados. El Proveedor puede usar los proveedores de nube y servicios listados en la sección 5, con obligaciones equivalentes. Avisará al Cliente antes de añadir uno nuevo.
5. Apoyo al Cliente. El Proveedor ayudará al Cliente a atender consultas y reclamos de los titulares y reportes ante la SIC.
6. Incidentes. El Proveedor notificará al Cliente cualquier incidente que afecte sus datos dentro de 72 horas de detectarlo.
7. Fin del contrato. El Proveedor devolverá los datos por exportación y luego los eliminará, según el numeral 10.4 de los Términos.
8. Obligaciones del Cliente. El Cliente tiene la autorización de los titulares, cuenta con su propia política de tratamiento y responde por la licitud de los datos que carga.

Anexo B. Texto de autorización para el registro

Al registrarse en el software, el usuario otorga las siguientes autorizaciones, marcando cada casilla:

• Acepto los Términos y Condiciones de Uso de las plataformas de GESTOK.
• Autorizo a GESTOK SAS a tratar mis datos personales para crear y administrar mi cuenta, prestar el servicio, facturar y darme soporte, según su Política de Tratamiento de Datos Personales. Sé que puedo conocer, actualizar, rectificar y suprimir mis datos escribiendo a contacto@gestok.com.
• Autorizo a GESTOK SAS a consultar y reportar mi comportamiento de pago, o el de la empresa que represento, ante centrales de riesgo, según la Ley 1266 de 2008.
• (Opcional) Autorizo el envío de información comercial y novedades del producto.