Política de Privacidad — Cotixar

Versión v0 — 2026-05-27. Borrador no revisado por abogado. Cumple Ley 1581 de 2012 y Decreto 1377 de 2013 (Habeas Data Colombia).

1. Responsable del tratamiento

Cotixar SAS (en constitución), domicilio en Colombia. Correo de contacto para temas de datos personales: privacidad@cotixar.com.

2. Datos que tratamos

2.1 De usuarios (cotizadores)

Correo electrónico (autenticación, comunicaciones del producto)
Nombre completo (opcional, para personalizar la experiencia)
Estudio al que pertenecen, rol dentro del estudio
Dirección IP y user-agent (auditoría de inicios de sesión y firmas)
Registros de uso del producto (cotizaciones creadas, items agregados, llamadas a IA)

2.2 Del estudio (organización)

Nombre comercial, NIT, dirección, teléfono
Logotipo (si lo cargan)
Datos de configuración y catálogo APU

2.3 De clientes finales del estudio

Nombre, teléfono, correo, ciudad
Notas que el cotizador escriba sobre el cliente
Fotos de visita y notas técnicas asociadas a proyectos
Correo y dirección IP cuando el cliente firma una cotización (audit trail)

Nota importante: los datos de clientes finales son recolectados y administrados por el estudio. Cotixar actúa como encargado del tratamiento respecto a esos datos. Cada estudio es responsable de obtener las autorizaciones correspondientes de sus clientes.

2.4 De visitantes públicos

Email + nombre + estudio + ciudad cuando se inscriben a la lista de espera en cotixar.com
Cookies analíticas anonimizadas (PostHog)

3. Para qué usamos los datos

Prestación del servicio: crear cuentas, almacenar cotizaciones, generar PDFs, enviar correos transaccionales, mostrar el portal al cliente final.
Inteligencia artificial: procesar fotos y notas de visita a través del proveedor de IA (Google Gemini 3 Flash) para sugerir ítems de cotización. Las fotos se envían transitoriamente y no son retenidas por el proveedor para entrenamiento.
Comunicaciones del producto: correos transaccionales (invitaciones, confirmaciones), respuestas de soporte, notificaciones de actividad.
Marketing del producto: correos a la lista de espera y a usuarios opt-in (boletín mensual). Siempre con opción de baja en cada correo.
Analítica del producto: entender qué funcionalidades se usan y dónde se atascan los usuarios (PostHog, métricas agregadas y anonimizadas).
Cumplimiento legal: retención de registros mínimos exigida por la ley colombiana.
Seguridad: detección de abusos, intentos de acceso no autorizado, rate-limiting.

4. Residencia y transferencias internacionales

Base de datos principal: Supabase, región sa-east-1 (São Paulo, Brasil). Brasil ofrece nivel adecuado de protección de datos personales según el marco colombiano.
Procesamiento de IA: Google Cloud (modelo Gemini 3 Flash). Las fotos y prompts se envían a infraestructura de Google que puede estar fuera de Colombia. Google ofrece garantías contractuales de protección de datos.
Correo transaccional: Resend (Estados Unidos). Las direcciones de correo y contenido de mensajes se procesan en infraestructura de Resend.
Hosting de la aplicación: Vercel (red global edge). Las solicitudes HTTP se sirven desde la ubicación más cercana al visitante.
Analítica: PostHog (Estados Unidos), configurado con anonimización de IPs.
Errores y observabilidad: Sentry (Estados Unidos).

Para transferencias internacionales, Cotixar suscribe los contratos de procesamiento de datos (DPA) ofrecidos por cada proveedor, los cuales incluyen cláusulas contractuales tipo (SCC) o equivalentes.

5. Derechos del titular

Conforme a la Ley 1581 de 2012, usted tiene derecho a:

Conocer, actualizar y rectificar sus datos personales.
Solicitar prueba de la autorización otorgada.
Ser informado sobre el uso que se da a sus datos.
Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones.
Revocar la autorización y/o solicitar la supresión de sus datos cuando no medie deber legal de retención.
Acceder gratuitamente a sus datos.

Para ejercer estos derechos: escribir a privacidad@cotixar.com con su solicitud. Tenemos hasta 15 días hábiles para responder consultas y 15 días hábiles para reclamos (prorrogables 8 días adicionales según el caso).

6. Retención

Datos de cuenta activa: mientras la cuenta esté activa.
Datos tras cancelación de cuenta: 90 días en estado eliminado-recuperable; luego eliminación permanente, salvo obligación legal de retención.
Registros de auditoría (login, firmas): 5 años desde el evento, conforme a las prácticas de retención de evidencia digital.
Cotizaciones firmadas: mientras el estudio mantenga la cuenta, más 5 años desde la cancelación, por valor probatorio.
Lista de espera de marketing: hasta que el suscriptor solicite baja.

7. Cookies

Cotixar usa cookies estrictamente necesarias para autenticación (sesión Supabase) y cookies analíticas anónimas (PostHog con IP enmascarada). No usamos cookies publicitarias de terceros.

8. Seguridad

TLS en todas las conexiones.
Row-Level Security en la base de datos para aislamiento entre estudios.
Cifrado en reposo en Supabase Storage.
Códigos OTP almacenados como hash SHA-256.
EXIF de fotos eliminado antes de almacenamiento (no se persisten coordenadas GPS ni metadatos de cámara).
Acceso interno del equipo de Cotixar a datos productivos limitado a quienes lo requieran para soporte, y trazado en auditoría.

9. Menores de edad

Cotixar es una herramienta profesional. No está dirigida a menores de 18 años y no recolectamos conscientemente datos de menores.

10. Cambios a esta política

Las modificaciones se publicarán en cotixar.com/privacidad y se notificarán por correo a los usuarios registrados con al menos 15 días de anticipación.

11. Contacto y autoridad de control

Cotixar: privacidad@cotixar.com
Autoridad de control en Colombia: Superintendencia de Industria y Comercio (SIC) — Delegatura para la Protección de Datos Personales · www.sic.gov.co

_Última actualización: 2026-05-27 (v0)._