Legal
Qué datos personales trata PhinodIA, para qué, con qué autorización y durante cuánto tiempo. Y sobre todo quién responde por cada dato, que es la pregunta que decide todo lo demás.
Vigente desde . Versión 1.0. Esta política es el documento que exige el artículo 13 del Decreto 1377 de 2013, hoy artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.
PhinodIA, con domicilio principal en Bogotá D.C., República de Colombia, que atiende notificaciones y solicitudes por medio electrónico en el correo scastellanos@phinodia.com y línea de WhatsApp +57 322 286 4680.
Esos son los datos que el artículo 13 del Decreto 1377 de 2013 exige poner al comienzo de toda política de tratamiento: nombre, domicilio, dirección, correo electrónico y teléfono de quien responde. La atención de las peticiones, consultas y reclamos sobre datos personales está a cargo de esa misma dirección de correo, y el procedimiento completo está en la página de habeas data.
El derecho a conocer, actualizar y rectificar los datos personales está en el artículo 15 de la Constitución Política. Lo desarrolla la Ley Estatutaria 1581 del 17 de octubre de 2012, que dicta las disposiciones generales para la protección de datos personales, y su reglamento, el Decreto 1377 del 27 de junio de 2013, hoy compilado en el capítulo 25 del título 2 de la parte 2 del libro 2 del Decreto Único Reglamentario 1074 de 2015 del sector Comercio, Industria y Turismo.
La autoridad que vigila el cumplimiento es la Superintendencia de Industria y Comercio, que actúa en esta materia a través de su Delegatura para la Protección de Datos Personales (artículos 19 y 21 de la Ley 1581 de 2012).
Sección 3
Esta es la sección que decide el resto. El asistente atiende conversaciones de los clientes finales de otro negocio, y eso significa que en la mayor parte de los datos que pasan por el servicio PhinodIA no es quien decide sobre ellos. El artículo 3 de la Ley 1581 de 2012 separa las dos figuras: responsable del tratamiento es quien decide sobre la base de datos o sobre el tratamiento; encargado del tratamiento es quien realiza el tratamiento por cuenta del responsable.
El negocio contratante es el responsable
Es el negocio el que decide abrir el canal, el que define para qué se usa la conversación, el que ya tenía la relación con esas personas y el que debe contar con su autorización. Sobre él pesan los deberes del artículo 17 de la Ley 1581 de 2012, entre ellos solicitar y conservar la autorización, informar la finalidad, tramitar las consultas y los reclamos, y adoptar la política de tratamiento de su negocio.
PhinodIA es la encargada
Trata esos datos por cuenta del negocio y siguiendo sus instrucciones. Sus deberes son los del artículo 18 de la Ley 1581 de 2012: garantizar al titular el ejercicio de sus derechos, conservar la información con las medidas de seguridad debidas, actualizar y rectificar cuando el responsable lo indique, tramitar las consultas y los reclamos que reciba, guardar confidencialidad y abstenerse de usar los datos para finalidades propias.
Qué significa en la práctica
Que las conversaciones de los clientes finales no son de PhinodIA y no se usan para nada distinto de operar el asistente de ese negocio. No se venden, no se cruzan entre clientes, no alimentan una base de datos comercial propia y no se emplean para entrenar modelos, propios ni de terceros, salvo autorización expresa, separada y por escrito del negocio responsable.
Lo que exige la norma para ese traslado
Cuando un responsable entrega datos a un encargado para que los trate por su cuenta, hay una transmisión, y el artículo 25 del Decreto 1377 de 2013 obliga a suscribir un contrato que fije el alcance del tratamiento, las actividades que el encargado hará por cuenta del responsable y sus obligaciones. Ese contrato debe incluir, como mínimo, tres compromisos del encargado: tratar los datos conforme a los principios que los tutelan, salvaguardar la seguridad de las bases de datos y guardar confidencialidad. PhinodIA lo suscribe con cada cliente.
Cuándo PhinodIA sí es responsable
Sobre sus propios datos: quien llena el formulario de este sitio, quien escribe al correo o al WhatsApp de la empresa, los contactos comerciales de sus clientes y proveedores, y quien se postula a una vacante. Ahí PhinodIA decide la finalidad, y por tanto responde. La sección 4 detalla cada grupo.
A quién reclamar
Un cliente final que quiera ejercer sus derechos sobre lo que conversó con el asistente de un negocio debe dirigirse a ese negocio, que es el responsable. Si de todos modos escribe a PhinodIA, la solicitud no se devuelve sin más: se traslada al responsable y se le informa al solicitante, con los plazos que están en la página de habeas data.
Sección 4
El artículo 13 del Decreto 1377 de 2013 exige declarar el tratamiento al cual se someten los datos y su finalidad. Lo que sigue es el inventario completo, grupo por grupo.
Quien visita este sitio
Este sitio mide su audiencia y el resultado de su publicidad, y para eso escribe cookies en el navegador de quien lo visita. Abrir cualquiera de sus páginas instala once cookies y tres claves de almacenamiento, y contacta siete dominios de terceros. El inventario completo, con el nombre de cada cookie, quién la pone y para qué sirve, está en la política de cookies; las finalidades son dos: medir la audiencia del sitio y medir el rendimiento de las campañas de publicidad. Queda además el registro técnico del servidor de alojamiento, que anota la dirección de red, la fecha y la hora de cada archivo pedido, con finalidad de seguridad y diagnóstico de fallos. Ninguno de estos datos se vende ni se cruza con las conversaciones de los asistentes que PhinodIA opera para sus clientes.
Quien pide un diagnóstico
El formulario de contacto pide cinco cosas: nombre completo, número de WhatsApp, nombre del negocio, a qué se dedica y en qué franja del día prefiere que lo llamen. Finalidad: devolver la llamada, entender el caso y preparar el diagnóstico. Si de ahí sale una propuesta, los mismos datos sirven para gestionarla. No se usan para enviar publicidad masiva ni se ceden a terceros con fines comerciales.
Quien escribe por WhatsApp o por correo
Se trata lo que la persona decida escribir: su número, su nombre y el contenido de sus mensajes. Finalidad: atender la consulta y dejar constancia de lo acordado. El canal de WhatsApp lo presta Meta Platforms bajo sus propias condiciones, que PhinodIA no controla.
Clientes y sus equipos
Nombre, cargo, correo, teléfono y datos de facturación de las personas de contacto del negocio contratante. Finalidad: ejecutar el contrato, facturar, dar soporte, cumplir las obligaciones tributarias y contables, y atender requerimientos de autoridad.
Proveedores y aspirantes
Los datos de contacto y los que consten en la hoja de vida de quien se postule a trabajar con PhinodIA. Finalidad: contratar el suministro, o evaluar la postulación. La hoja de vida de quien no quede seleccionado se elimina, salvo que la persona autorice conservarla para procesos posteriores.
Conversaciones de los clientes finales
Aquí PhinodIA no es responsable sino encargada, y por eso este grupo se rige por la sección 3 y por las instrucciones del negocio contratante. La finalidad la fija ese negocio en su propia política de tratamiento, y no puede ser distinta de la que sus titulares autorizaron.
Qué pasa exactamente cuando usted envía el formulario, que es lo que esta sección debe decir: la solicitud viaja cifrada a un flujo de automatización propio, alojado en un servidor de Hostinger en Estados Unidos, que guarda nombre, WhatsApp, negocio, sector, franja horaria y la fecha en una tabla de esa misma instancia, y envía un aviso al correo de PhinodIA. También se registra la dirección IP desde la que llegó, y solo para frenar envíos automáticos: se borra a las veinticuatro horas. No se comparte con nadie más, no alimenta ninguna herramienta de publicidad y no se usa para perfilar a nadie. Si el envío falla, la página lo dice y ofrece WhatsApp, en vez de fingir que llegó.
El principio de libertad del artículo 4 de la Ley 1581 de 2012 exige que el tratamiento solo se ejerza con el consentimiento previo, expreso e informado del titular. El artículo 9 añade que esa autorización debe obtenerse por un medio que pueda consultarse después, y el Decreto 1377 de 2013 precisa en su artículo 7 que vale por escrito, de forma oral o mediante conductas inequívocas, y que en ningún caso el silencio equivale a una conducta inequívoca.
Al momento de pedirla, el artículo 12 de la Ley 1581 de 2012 obliga a informar cuatro cosas: el tratamiento y su finalidad, el carácter facultativo de responder cuando se pregunte por datos sensibles, los derechos del titular y la identificación, dirección y teléfono de quien responde. El texto de la autorización que se presta al enviar el formulario de este sitio está completo en la página de habeas data, junto con el aviso de privacidad.
Hay casos en que la ley no exige autorización, y el artículo 10 los enumera: la información que requiera una entidad pública en ejercicio de sus funciones legales o por orden judicial, los datos de naturaleza pública, los casos de urgencia médica o sanitaria, el tratamiento autorizado por la ley para fines históricos, estadísticos o científicos, y los datos relacionados con el Registro Civil de las Personas.
PhinodIA conserva prueba de la autorización otorgada, como exige el artículo 8 del Decreto 1377 de 2013, y la entrega al titular que la pida.
El artículo 5 de la Ley 1581 de 2012 llama sensibles a los datos que afectan la intimidad o cuyo uso indebido puede generar discriminación: el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos y a organizaciones sociales o de derechos humanos, y los datos relativos a la salud, a la vida sexual y los biométricos. El artículo 6 prohíbe tratarlos, con excepciones tasadas, la primera de las cuales es la autorización explícita del titular.
PhinodIA no pide datos sensibles en este sitio ni en su relación comercial. Ninguno de los cinco campos del formulario los recoge. Tampoco condiciona ninguna actividad a que alguien los entregue.
En los asistentes que PhinodIA construye para otros negocios, la decisión sobre qué información se pide dentro de la conversación es del negocio contratante, que es el responsable. Cuando el guion vaya a tocar una categoría sensible, se diseña con dos reglas: que la persona sepa que no está obligada a responder, y que el asistente entregue la conversación a alguien del equipo del negocio en vez de seguir preguntando. La inteligencia artificial no ocupa el lugar de esa persona ni toma decisiones que corresponden a su criterio.
El servicio funciona sobre infraestructura de terceros, y eso hay que decirlo con nombres y con la norma en la mano, no en abstracto.
Para operar los asistentes se emplean plataformas de mensajería, proveedores de modelos de lenguaje, servicios de telefonía para las llamadas de voz e infraestructura de alojamiento. Cada uno accede únicamente a lo necesario para prestar su parte y bajo obligación de confidencialidad. El artículo 13 de la Ley 1581 de 2012 limita a quién puede suministrarse la información: a los titulares, sus causahabientes o representantes; a las entidades públicas que la requieran en ejercicio de sus funciones o por orden judicial; y a los terceros autorizados por el titular o por la ley.
Varios de esos proveedores están fuera de Colombia. El artículo 26 de la Ley 1581 de 2012 prohíbe transferir datos personales a países que no ofrezcan niveles adecuados de protección, y precisa que un país los ofrece cuando cumple los estándares que fije la Superintendencia de Industria y Comercio, que en ningún caso pueden ser inferiores a los que la ley exige aquí. Esa lista la creó la Circular Externa 005 del 10 de agosto de 2017, que adicionó el capítulo tercero del título V de la Circular Única de la Superintendencia con treinta y seis países. Se amplió dos veces: la Circular Externa 008 del 15 de diciembre de 2017 añadió a Japón y la Circular Externa 002 del 23 de marzo de 2018 añadió a Australia. Desde entonces no ha cambiado. Hoy son treinta y ocho países, entre ellos los Estados Unidos de América, México, Perú, Costa Rica, Japón, la República de Corea, el Reino Unido y los del Espacio Económico Europeo, más aquellos a los que la Comisión Europea reconozca un nivel adecuado.
Cuando la transferencia va a un país que no está en esa lista quedan dos caminos: alguna de las excepciones del artículo 26, entre ellas la autorización expresa e inequívoca del titular y la ejecución de un contrato con el titular; o la declaración de conformidad que corresponde proferir a la Superintendencia en los casos no exceptuados.
Hay además un caso distinto que conviene no confundir. Cuando lo que ocurre es que un responsable envía datos a un encargado en el exterior para que los trate por su cuenta, el artículo 24 del Decreto 1377 de 2013 lo llama transmisión internacional y establece que no necesita informarse al titular ni contar con su consentimiento cuando medie el contrato del artículo 25, el mismo que se describe en la sección 3. Esa es la figura bajo la cual opera PhinodIA con los datos de los clientes finales de sus clientes.
Los proveedores que hoy intervienen, con nombre y país, que es lo que exige decir esta sección:
Los seis están en países que la Superintendencia de Industria y Comercio tiene declarados con nivel adecuado de protección, o reciben los datos bajo la figura de transmisión internacional descrita arriba. Esta lista se actualiza cuando cambie la infraestructura, no cuando cambie el texto: si usted encuentra aquí un proveedor que ya no se usa, o falta uno que sí, escríbanos y se corrige.
El artículo 4 de la Ley 1581 de 2012 impone los principios de seguridad y de confidencialidad, y el artículo 17 obliga al responsable a conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado. En términos concretos: acceso restringido a quien lo necesita para su trabajo, credenciales personales y no compartidas, cifrado en el transporte de la información y registro de quién accede.
Sobre cuánto tiempo se guardan, el Decreto 1377 de 2013 fija el criterio en su artículo 11: durante el tiempo que sea razonable y necesario para la finalidad que justificó obtenerlos, y cumplida esa finalidad procede la supresión, salvo que exista un deber legal o contractual de conservarlos. Los datos de facturación, por ejemplo, se conservan mientras corran los términos de la obligación tributaria y contable.
Si ocurre un incidente de seguridad que afecte datos personales, PhinodIA avisa sin demora injustificada al cliente responsable y, cuando el caso lo exija, reporta a la Superintendencia de Industria y Comercio, como manda el literal n del artículo 17 de la Ley 1581 de 2012.
Los términos concretos son estos. Los datos de quien pide un diagnóstico y no llega a contratar se conservan doce meses contados desde el último contacto, y cumplido ese plazo se suprimen. El criterio no es caprichoso: el artículo 11 del Decreto 1377 de 2013 manda conservarlos «durante el tiempo que sea razonable y necesario» para la finalidad que justificó obtenerlos, y doce meses es el ciclo dentro del cual una conversación comercial puede retomarse sin convertirse en un archivo indefinido. Los datos de clientes con contrato, y los soportes de su facturación, se conservan diez años contados desde el cierre del ejercicio o desde la fecha del último asiento, documento o comprobante, porque así lo ordena el artículo 60 del Código de Comercio para los libros y papeles del comerciante; mientras corra ese deber legal, desplaza a la supresión. Los registros técnicos del servidor se conservan según lo que fije el proveedor de alojamiento, identificado en la sección 7.
Nada de lo anterior impide pedir la supresión antes de que venzan esos plazos. Se pide por el mecanismo de la página de habeas data y se atiende, salvo que el dato esté cubierto por el deber legal de conservación que se acaba de describir; en ese caso se le explica al titular cuál es ese deber, en vez de darle una negativa seca.
El artículo 8 de la Ley 1581 de 2012 reconoce seis derechos: conocer, actualizar y rectificar los datos; solicitar prueba de la autorización otorgada; ser informado sobre el uso que se les ha dado; presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley; revocar la autorización o solicitar la supresión del dato cuando proceda; y acceder gratuitamente a los datos que hayan sido objeto de tratamiento.
Los plazos de respuesta no los fija PhinodIA: los fija la ley, y son dos distintos según lo que se presente.
El mismo artículo 15 fija otros tres términos que conviene conocer: el reclamo incompleto se devuelve dentro de los cinco días siguientes a su recibo para que se subsane, y si pasan dos meses sin que el interesado aporte lo pedido se entiende que desistió; quien reciba un reclamo y no sea competente para resolverlo debe trasladarlo e informar al interesado dentro de los dos días hábiles siguientes; y mientras el reclamo está en trámite debe incluirse en la base de datos la leyenda “reclamo en trámite”, con el motivo, en un término no mayor a dos días hábiles.
El procedimiento paso a paso, con la dirección exacta a la que se escribe y lo que la solicitud debe contener, está en la página de habeas data.
El artículo 25 de la Ley 1581 de 2012 creó el Registro Nacional de Bases de Datos, el directorio público de las bases de datos sujetas a tratamiento que operan en el país, administrado por la Superintendencia de Industria y Comercio y de libre consulta para los ciudadanos.
No todo el mundo tiene que inscribirse, y el umbral cambió. El artículo 2.2.2.26.1.2 del Decreto 1074 de 2015, tal como quedó modificado por el Decreto 090 del 18 de enero de 2018, limita la obligación a dos grupos de responsables: las sociedades y entidades sin ánimo de lucro con activos totales superiores a cien mil Unidades de Valor Tributario, y las personas jurídicas de naturaleza pública. La parte resolutiva define la obligación en positivo, solo para esos dos grupos, y los considerandos del decreto lo dicen además de forma expresa: quedan excluidas las personas naturales. El umbral es estricto, y conviene leerlo con cuidado: cien mil unidades exactas no obligan, hace falta superarlas.
Dos consecuencias para el caso de PhinodIA. La primera es que la obligación de registro pesa sobre el responsable, no sobre el encargado: las bases de datos de conversaciones de los clientes finales las inscribe el negocio contratante si supera el umbral, no PhinodIA. La segunda es que si PhinodIA opera como persona natural comerciante queda excluida, y si opera como sociedad solo queda obligada cuando sus activos totales superen las cien mil Unidades de Valor Tributario.
Una advertencia que el propio decreto se ocupó de dejar escrita, porque la confusión es frecuente: quedar fuera del registro no releva de nada más. Quien no inscribe sigue sujeto a todos los demás deberes de la Ley 1581 de 2012, empezando por pedir la autorización, informar la finalidad y atender las consultas y los reclamos en los plazos de la sección 9.
Qué hace PhinodIA con eso, dicho como compromiso y no como afirmación sobre una cifra que cambia cada año. Sobre las bases de datos de conversaciones de los clientes finales no hay nada que inscribir aquí, porque la obligación recae sobre el responsable, que es el negocio contratante. Sobre sus propias bases, PhinodIA verifica al cierre de cada ejercicio si concurren los dos requisitos del artículo 2.2.2.26.1.2 del Decreto 1074 de 2015 —ser sociedad o entidad sin ánimo de lucro, y superar las cien mil Unidades de Valor Tributario de activos totales— y, cuando concurran, inscribe sus bases en el Registro Nacional de Bases de Datos en el plazo que fije la Superintendencia. Mientras no concurran no hay obligación de registro, y esa exclusión no releva de ninguno de los demás deberes de la Ley 1581 de 2012, como advierte el párrafo anterior.
Esta política rige desde la fecha indicada al comienzo. Las bases de datos se mantienen vigentes mientras subsista la finalidad que justificó obtenerlas y mientras la ley obligue a conservarlas, en los términos de la sección 8.
PhinodIA puede actualizar esta política. Los cambios se publican en esta misma dirección, con la fecha de vigencia y el número de versión visibles al comienzo. Cuando el cambio sea sustancial y afecte la finalidad del tratamiento o los derechos del titular, se comunica de manera directa antes de aplicarlo, como exige el artículo 5 del Decreto 1377 de 2013 para el caso de finalidades nuevas.
Para cualquier asunto relacionado con esta política, o para ejercer los derechos de la sección 9, escriba a scastellanos@phinodia.com o por WhatsApp al +57 322 286 4680. El procedimiento completo está en la página de habeas data, y las reglas del servicio en las condiciones del servicio.
Si la respuesta no lo deja conforme, el artículo 16 de la Ley 1581 de 2012 permite acudir a la Superintendencia de Industria y Comercio, siempre que antes se haya agotado el trámite de consulta o reclamo ante quien responde por el dato. Ese requisito no es un formalismo: sin él la queja no prospera.
Las normas citadas en esta página se verificaron el 3 de agosto de 2026 en el Gestor Normativo de la Función Pública (Ley 1581 de 2012 y Decreto 1377 de 2013) y en el sitio de la Superintendencia de Industria y Comercio. La Ley 1581 de 2012 sigue sin reforma: los proyectos presentados en el Congreso para modernizarla no han prosperado. Lo que rige es lo descrito aquí, y el día que eso cambie esta página se actualiza.