titulo: Política de tratamiento de datos personales version: "2026-10-30" vigencia_desde: "2026-10-30" estado: BORRADOR - pendiente de revisión por abogado

⚖️ Validar con abogado antes de publicar. Este texto es un borrador de trabajo basado en la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto Único Reglamentario 1074 de 2015, Parte 2, Título 2, Capítulos 25 y 26) y las instrucciones de la Superintendencia de Industria y Comercio (SIC). No constituye asesoría legal definitiva. Los marcadores [...] los rellena el build desde variables NEXT_PUBLIC_*; no se publica con marcadores sin rellenar. (Esta nota se elimina al publicar.)

Política de tratamiento de datos personales de Tenanzia

Versión 2026-10-30 · Vigente desde el 30 de octubre de 2026

1. Responsable del tratamiento

Tenanzia es el nombre comercial del servicio de diagnóstico y monitoreo de gobierno para Microsoft Power Platform y agentes de Copilot Studio. Tenanzia no está afiliada, patrocinada ni respaldada por Microsoft (ver los Términos de servicio).

2. Marco legal

Esta política se expide en cumplimiento del artículo 15 de la Constitución Política, la Ley 1581 de 2012 (régimen general de protección de datos personales), el Decreto 1377 de 2013 compilado en el Decreto 1074 de 2015 (Parte 2, Título 2, Capítulo 25) y demás normas que los modifiquen o complementen. La autoridad de control es la Superintendencia de Industria y Comercio (SIC), Delegatura para la Protección de Datos Personales.

3. Qué datos tratamos

Datos que no solicitamos: datos sensibles (art. 5 Ley 1581), datos de niños, niñas y adolescentes, ni contenido de correos, archivos o datos de negocio almacenados en Dataverse, SharePoint u otros servicios del cliente. No pedimos permisos de escritura sobre el tenant del cliente.

Nota sobre los hashes. Un código hash de usuario o correo permite contar y relacionar usuarios dentro del informe sin conocer su identidad. Tenanzia no tiene la sal para revertirlo. Aun así, algunos nombres de apps, flujos o agentes que escribe el cliente pueden contener nombres de personas; los tratamos con las mismas medidas de seguridad y no los usamos para identificar individuos. ⚖️ Validar con abogado si estos metadatos se califican como "dato personal", "dato seudonimizado" o no personal.

4. Finalidades del tratamiento

Tratamos sus datos únicamente para las siguientes finalidades:

1. Leads y contacto: enviarle el informe de su escaneo, responder sus consultas, agendar y realizar llamadas o demostraciones y hacer seguimiento comercial relacionado con el servicio que solicitó.
2. Cuentas: crear y administrar su cuenta, autenticarlo, gestionar organizaciones, roles y permisos, y enviarle notificaciones del servicio (alertas, avisos de renovación, avisos de seguridad).
3. Escaneos y monitoreo: calcular el score de gobierno y los hallazgos, generar el informe en PDF, redactar el resumen y los playbooks con apoyo de inteligencia artificial, mostrarle el historial y las alertas, y prestar los servicios de diagnóstico y remediación contratados. Las cifras las calcula nuestro servidor con reglas versionadas; la IA solo redacta.
4. Analítica y mejora del producto: medir el uso del sitio y del producto (embudo, activación, pruebas A/B, pruebas de interés en funciones), de forma agregada, para mejorar el servicio.
5. Facturación y pagos: procesar cobros, emitir facturas electrónicas, conciliar pagos, gestionar reembolsos, cumplir obligaciones tributarias, contables y cambiarias. 🧾 Validar con contador.
6. Seguridad y prevención de abuso: limitar solicitudes, detectar fraude y bots (Turnstile), proteger la plataforma y atender incidentes.
7. Cumplimiento legal: atender requerimientos de autoridades y conservar soportes exigidos por la ley.
8. Comunicaciones comerciales (solo si usted las autoriza): contenidos y ofertas de Tenanzia. Puede oponerse en cualquier momento con el enlace de baja de cada correo o escribiéndonos.

No vendemos ni cedemos sus datos a terceros para sus propios fines de mercadeo. No usamos los metadatos de su tenant para entrenar modelos de inteligencia artificial propios ni de terceros. ⚖️ Confirmar que los términos del plan de API de Anthropic usado respaldan esta afirmación (no entrenamiento con datos de la API) antes de publicarla.

5. Autorización

Para los leads y las cuentas pedimos su autorización previa, expresa e informada mediante una casilla sin marcar por defecto. Guardamos el texto exacto aceptado, su versión y la fecha, como prueba (art. 9 Ley 1581; art. 2.2.2.25.2.2 DUR 1074 de 2015). Puede revocarla en cualquier momento (ver sección 7), salvo cuando exista un deber legal o contractual de conservar los datos.

6. Quién accede a sus datos: encargados, transmisiones y transferencias internacionales

Tenanzia usa proveedores de infraestructura que tratan datos por cuenta de Tenanzia (encargados; "transmisión" según el art. 2.2.2.25.1.3 del DUR 1074 de 2015) y otros que actúan como responsables propios (por ejemplo, las pasarelas de pago). Algunos están fuera de Colombia, por lo que hay transmisión y/o transferencia internacional (arts. 2.2.2.25.5.1 y 2.2.2.25.5.2 DUR 1074 de 2015; art. 26 Ley 1581).

Base para la transmisión y transferencia:

• Con los encargados celebramos (o aceptamos sus términos de procesamiento de datos como) contrato de transmisión que fija el alcance, las finalidades, las obligaciones de seguridad y confidencialidad y el deber de tratar los datos conforme a esta política (art. 2.2.2.25.5.2 DUR 1074). Cuando existe ese contrato, la transmisión no requiere informar al titular ni obtener su consentimiento adicional según la norma citada.
• La SIC mantiene una lista de países con nivel adecuado de protección (Circular Única, Título V; Circular Externa 005 de 2017). Según nuestra verificación del 30-oct-2026, Estados Unidos figura en la lista y Brasil no figura (la SIC estudia incluirlo; no hay confirmación de su inclusión). Para los datos alojados en Brasil nos apoyamos en el contrato de transmisión con el encargado y, en cuanto sea necesario, en su autorización expresa e inequívoca al aceptar esta política (art. 26 literal a, Ley 1581). ⚖️ Validar con abogado: (i) si la modalidad es transmisión (sin transferencia), (ii) si el consentimiento de esta política cubre Brasil de forma suficiente, (iii) si conviene solicitar declaración de conformidad a la SIC, y (iv) el estado actual de la lista de la SIC.
• Si algún proveedor cambia de ubicación, actualizaremos esta política y, cuando la ley lo exija, le pediremos nueva autorización.

7. Sus derechos (ARCO)

Como titular de datos usted tiene derecho a (art. 8 Ley 1581):

• Conocer los datos que tenemos sobre usted y cómo los usamos (acceso, gratuito).
• Actualizar y rectificar datos inexactos, incompletos o desactualizados.
• Solicitar prueba de la autorización que nos dio.
• Ser informado, a su solicitud, del uso que se ha dado a sus datos.
• Revocar la autorización y/o solicitar la supresión de sus datos cuando no se respeten los principios, derechos y garantías, o cuando no exista un deber legal o contractual de conservarlos.
• Presentar quejas ante la SIC por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante nosotros (art. 16 Ley 1581).

7.1 Cómo ejercerlos

Escriba a contacto@tenanzia.com con el asunto "Datos personales - [consulta o reclamo]". Incluya: (1) su nombre y documento de identidad, (2) el correo con el que usa el servicio, (3) la descripción clara de lo que solicita y los hechos, (4) los documentos que quiera aportar y (5) la dirección o correo para responderle. Si actúa por otra persona, adjunte poder o la prueba de su representación. Podemos pedirle información para verificar su identidad.

El ejercicio de sus derechos es gratuito. No le pediremos pagar por consultar sus datos más de una vez al mes calendario, salvo que existan modificaciones sustanciales de esta política (regla de gratuidad del Decreto 1377 de 2013, compilada en el DUR 1074 de 2015; ⚖️ confirmar artículo).

7.2 Plazos

Si el reclamo está incompleto, le pediremos que lo complete dentro de los 5 días siguientes a su recibo. Si transcurren 2 meses sin que lo complete, entenderemos que desistió. Dentro de los 2 días hábiles siguientes a recibir un reclamo completo marcaremos el dato con la leyenda "reclamo en trámite". Mientras tanto no usaremos ese dato.

7.3 Supresión y revocatoria

Si procede la supresión, borraremos sus datos de nuestras bases y pediremos a los encargados que hagan lo mismo. No podremos suprimir los datos que debamos conservar por un deber legal (por ejemplo, soportes contables y tributarios) o contractual; en ese caso los bloquearemos para otros usos y se lo informaremos.

7.4 Atención y quejas ante la autoridad

Si no está de acuerdo con nuestra respuesta, puede acudir a la Superintendencia de Industria y Comercio (www.sic.gov.co), una vez agotado el trámite ante Tenanzia.

8. Retención y purga

Pasado el plazo, los datos se eliminan o se anonimizan de forma irreversible. Puede pedir el borrado anticipado en cualquier momento (sección 7).

9. Seguridad

Aplicamos medidas técnicas, humanas y administrativas razonables para proteger los datos (principio de seguridad, art. 4 literal g, Ley 1581), entre ellas:

• Solo lectura: nunca solicitamos permisos de escritura sobre su tenant. El script de escaneo usa únicamente comandos de consulta, no envía nada por sí mismo y usted revisa el archivo antes de subirlo.
• Minimización y anonimización en origen: correos, UPN y nombres de usuario se hashean en su equipo; el servidor rechaza archivos que contengan correos sin hashear.
• Archivos en almacenamiento privado y cifrado en reposo; conexiones cifradas (HTTPS/TLS) con cabeceras de seguridad.
• Aislamiento por organización con seguridad a nivel de fila (RLS) en la base de datos; las tablas internas solo son accesibles desde el servidor.
• Credenciales de la aplicación de monitoreo en una bóveda de secretos (Supabase Vault); secretos fuera del código fuente.
• Protección anti-abuso (Turnstile, límites de uso) y registro del uso de la IA.
• Pagos verificados en el servidor mediante firma del proveedor; no almacenamos datos de tarjeta.
• Acceso del personal por mínimo privilegio y autenticación reforzada [confirmar].

Ningún sistema es 100 % seguro. Si ocurre un incidente de seguridad que afecte sus datos, se lo notificaremos sin demora indebida y lo reportaremos a la SIC cuando la ley o sus instrucciones lo exijan (⚖️ validar procedimiento y plazos vigentes de reporte de incidentes ante la SIC).

10. Inteligencia artificial

Usamos un modelo de lenguaje de un tercero (Anthropic) para redactar resúmenes y recomendaciones a partir de resultados que calcula nuestro servidor. No tomamos decisiones automatizadas con efectos jurídicos sobre usted. Los informes pueden contener errores: revíselos antes de actuar, y consulte nuestros Términos.

11. Cookies y analítica

Usamos almacenamiento local y cookies mínimas: sesión de autenticación, asignación de pruebas A/B y preferencias, y analítica de uso con Umami [confirmar si usa cookies]. No usamos cookies de publicidad de terceros. Puede bloquear cookies en su navegador; algunas funciones podrían no operar.

12. Menores de edad

El servicio está dirigido a profesionales y empresas. No tratamos intencionalmente datos de menores de 18 años.

13. Inscripción en el RNBD

De acuerdo con el Decreto 090 de 2018, están obligados a inscribir sus bases de datos en el Registro Nacional de Bases de Datos (RNBD) las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y las personas jurídicas de naturaleza pública. ⚖️ Validar con abogado si el responsable está o no obligado; si no lo está, se mantiene igualmente el deber de cumplir esta política.

14. Cambios a esta política

Publicaremos cualquier cambio sustancial en esta página con una nueva versión y fecha, y se lo informaremos por correo cuando afecte las finalidades o requiera nueva autorización. Las versiones anteriores se conservan para trazabilidad.

15. Fuentes normativas citadas

• Ley 1581 de 2012 (arts. 4, 5, 8, 9, 14, 15, 16, 23, 26): https://www.secretariasenado.gov.co/senado/basedoc/ley_1581_2012.html
• Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015, Parte 2, Título 2, Capítulo 25 (incluye definiciones de transferencia y transmisión en el art. 2.2.2.25.1.3 y Sección 5 sobre transferencias y transmisiones internacionales, arts. 2.2.2.25.5.1 y 2.2.2.25.5.2): https://www.cancilleria.gov.co/sites/default/files/Normograma/docs/pdf/decreto_1377_2013.pdf
• Decreto 090 de 2018 (RNBD; modifica arts. 2.2.2.26.1.2 y 2.2.2.26.3.1 del DUR 1074 de 2015).
• Circular Única de la SIC, Título V; Circular Externa 005 de 2017 (lista de países con nivel adecuado) y Circular Externa 008 de 2017.
• Consulta de vigencia hecha el 2026-10-30 con fuentes secundarias y normogramas; ⚖️ el abogado debe confirmar en la fuente oficial el texto vigente y cualquier modificación posterior.