Politica de tratamiento de datos personales

El responsable del tratamiento de los datos personales recolectados a traves de Summa es Daniel Valdes, persona natural domiciliada en Bogota D.C., Colombia.

Canal oficial de atencion para todo lo relacionado con tus datos personales: danielvaldes.dev@gmail.com.

Esta politica se rige por la Ley 1581 de 2012 y el Decreto 1074 de 2015 (que compilo el Decreto 1377 de 2013), normas colombianas de proteccion de datos personales, y aplica a la aplicacion web de Summa, a su asistente de WhatsApp y a cualquier otro canal que operemos.

Summa maneja informacion financiera personal, que es de las mas sensibles que alguien puede confiarle a un producto. Por eso empezamos por lo que nunca vamos a hacer:

• No vendemos tus datos. Ni tu informacion de contacto, ni tus movimientos, ni ningun dato derivado de ellos se venden, arriendan ni ceden a nadie.
• No los usamos con fines comerciales ni publicitarios. No construimos perfiles para venderte productos, no hacemos publicidad segmentada y no compartimos tus datos con anunciantes, data brokers ni redes sociales con esos fines.
• No los compartimos con terceros ajenos al servicio. La unica informacion que sale de Summa es la estrictamente necesaria para que el producto funcione, y va a los proveedores listados en la seccion 7, que actuan como encargados bajo nuestras instrucciones y no pueden usarla para fines propios.
• No entrenamos modelos de IA con tus movimientos. El contenido que le envias al asistente se procesa para ejecutar lo que pediste, no para entrenar modelos de terceros.
• No leemos tus cuentas bancarias. Summa no se conecta a tus bancos ni tiene acceso a tus saldos reales: solo conoce los movimientos que tu decides registrar.

Datos de tu cuenta

Cuando creas tu cuenta recolectamos tu nombre, tu correo electronico y un identificador unico de usuario. Si usas el asistente de WhatsApp, tambien tu numero de telefono.

Datos que tu registras

Los movimientos financieros que ingresas: monto, fecha, descripcion, categoria, estado y comentarios. Tambien las categorias y estados personalizados que creas. Esta informacion la aportas tu voluntariamente y es el nucleo del servicio.

Contenido enviado al asistente de WhatsApp

Los mensajes de texto, notas de voz e imagenes de recibos que le envias al asistente, para poder interpretarlos y convertirlos en movimientos.

Datos de suscripcion y pago

Tu plan, el estado de la suscripcion, las fechas del ciclo de facturacion y el historial de pagos (monto, moneda, estado y el identificador de la transaccion en la pasarela). Sobre los datos de la tarjeta, lee la seccion 5: hay una diferencia importante entre lo que maneja la pasarela y lo que guarda Summa.

Registros tecnicos y de auditoria

Para seguridad y trazabilidad guardamos registros de ciertas acciones relevantes (creacion o modificacion de movimientos, eventos de cuenta y de facturacion) junto con la fecha, el identificador de sesion y la direccion IP desde la que se hicieron. Estos registros existen para poder demostrar que paso en tu cuenta si algo falla o si alguien intenta accederla, no para analizar tu comportamiento.

Datos que no pedimos

Summa no solicita datos sensibles en los terminos del articulo 5 de la Ley 1581 de 2012 (salud, origen racial o etnico, orientacion sexual, convicciones politicas, religiosas o filosoficas, datos biometricos ni afiliacion sindical). Te pedimos que no incluyas ese tipo de informacion en las descripciones de tus movimientos ni en los mensajes al asistente.

Tratamos tus datos personales unica y exclusivamente para las siguientes finalidades:

• Prestarte el servicio: crear y mantener tu cuenta, guardar tus movimientos, calcular tu panel, generar tus reportes y responder por WhatsApp.
• Interpretar lo que le envias al asistente: transcribir notas de voz, leer imagenes de recibos y clasificar movimientos automaticamente.
• Gestionar tu suscripcion: cobrar el plan que elegiste, aplicar cambios de plan, renovar el ciclo y llevar tu historial de pagos.
• Proteger tu cuenta: autenticarte, detectar accesos indebidos, prevenir fraude y mantener los registros de auditoria.
• Comunicarnos contigo sobre asuntos operativos de tu cuenta: avisos de cobro, fallas de pago, cambios en el servicio o respuestas a tus solicitudes de soporte.
• Cumplir obligaciones legales, contables y tributarias, y atender requerimientos de autoridades competentes cuando la ley nos obligue.

Si en el futuro quisieramos darle a tus datos una finalidad distinta a las anteriores, te lo informaremos y te pediremos autorizacion previa.

Esta es una de las decisiones de diseno mas importantes de Summa: los datos completos de tu tarjeta nunca llegan a los servidores ni a la base de datos de Summa.

Los pagos se procesan a traves de Wompi, la pasarela de pagos de Bancolombia, siguiendo el flujo de tokenizacion que su propia documentacion recomienda:

1. Cuando ingresas tu tarjeta, los datos viajan directamente desde tu navegador a Wompi por una conexion cifrada. No pasan por nuestro backend.
2. Wompi valida la tarjeta, la custodia en su infraestructura certificada y nos devuelve un token: una referencia opaca que por si sola no sirve para reconstruir tu tarjeta.
3. Summa almacena unicamente ese token, la marca de la tarjeta (Visa, Mastercard, etc.) y los ultimos cuatro digitos, para que puedas identificar cual de tus tarjetas tienes registrada y para poder cobrar la renovacion de tu plan.

En consecuencia, el numero completo de la tarjeta, la fecha de vencimiento y el codigo de seguridad (CVV) no se guardan en Summa en ningun momento, ni cifrados ni en texto plano. Si nos solicitas eliminar tu medio de pago, borramos el token y los datos asociados de nuestra base y lo revocamos en la pasarela.

El inicio de sesion de Summa lo gestiona Clerk, un proveedor especializado en autenticacion. Esto significa que:

• Tu contrasena nunca es almacenada por Summa. La custodia Clerk, cifrada, en su propia infraestructura. Nosotros no podemos leerla ni recuperarla.
• Si entras con Google, Summa no recibe tu contrasena de Google: solo la confirmacion de que la autenticacion fue exitosa y los datos basicos de tu perfil.
• Cuando creas tu cuenta, actualizas tu perfil o la eliminas, Clerk nos avisa mediante un webhook firmado criptograficamente, y Summa sincroniza esa informacion basica (nombre, correo, telefono e identificador) con su base de datos. Solo se sincronizan esos campos: nada mas.
• Cada peticion a nuestro backend viaja con un token de sesion firmado que se verifica en el servidor, y los datos quedan aislados por usuario: tu cuenta solo puede leer sus propios movimientos.

Para operar, Summa se apoya en proveedores que actuan como encargados del tratamiento: procesan datos por cuenta nuestra, siguiendo nuestras instrucciones, y no estan autorizados a usarlos para fines propios ni a venderlos. Estos son, hoy, todos nuestros encargados:

Transferencias internacionales

Algunos de estos proveedores operan servidores fuera de Colombia. Al aceptar esta politica autorizas expresamente esa transferencia y transmision internacional de datos, en los terminos del articulo 26 de la Ley 1581 de 2012. Elegimos proveedores que ofrecen niveles de proteccion adecuados y que se obligan contractualmente a tratar los datos solo para prestarnos el servicio.

Autoridades

Podemos entregar informacion a autoridades judiciales o administrativas cuando exista una orden valida que nos obligue. En esos casos entregamos unicamente lo requerido y, salvo prohibicion legal, te lo informamos.

Una cookie es un archivo pequeno que un sitio guarda en tu navegador. Summa las clasifica en tres categorias y solo la primera se activa sin pedirte permiso:

• Estrictamente necesarias. Son las cookies de sesion de Clerk y las de seguridad. Sin ellas no puedes iniciar sesion ni mantenerte autenticado, asi que el servicio simplemente no funciona. La ley permite usarlas sin consentimiento previo, pero estamos obligados a informartelo, y es lo que hacemos aqui y en el aviso que ves al entrar.
• De preferencias. Recuerdan como dejaste la app: el tema claro u oscuro, la ultima categoria que usaste y los avisos que ya cerraste. Se guardan en el almacenamiento local de tu navegador. Puedes rechazarlas: la app funciona igual, pero olvidara esos ajustes.
• De analitica y medicion. Hoy Summa no tiene ninguna herramienta de analitica, seguimiento o publicidad instalada. Mantenemos la categoria en el panel de preferencias para que, si alguna vez agregamos una, solo se cargue si tu ya la autorizaste.

Tambien usamos almacenamiento local del navegador y un service worker para que la app cargue mas rapido y funcione parcialmente sin conexion. Ese cache guarda archivos de la interfaz, nunca tus datos financieros: las peticiones a nuestra API y a Clerk estan configuradas explicitamente para no cachearse.

Puedes cambiar tu decision cuando quieras, con el mismo esfuerzo con el que la diste: abrir preferencias de cookies. Tambien puedes borrar o bloquear cookies desde la configuracion de tu navegador, aunque si bloqueas las estrictamente necesarias no podras iniciar sesion.

• Mientras tu cuenta este activa, conservamos tus datos para poder prestarte el servicio. Tus movimientos no se borran al cambiar de plan ni al bajar al plan Free.
• Si solicitas la eliminacion de tu cuenta, borramos tus datos personales y tus movimientos segun el procedimiento y los plazos descritos en la pagina de eliminacion de datos.
• Registros de pagos y facturacion: se conservan por el tiempo que exigen las normas contables y tributarias colombianas, aun despues de que elimines tu cuenta, porque la ley nos obliga a poder acreditar las transacciones realizadas.
• Registros de auditoria y seguridad: se conservan por un periodo limitado, necesario para investigar incidentes y para cumplir el deber legal de demostrar la trazabilidad del tratamiento.

Aplicamos medidas tecnicas, humanas y administrativas razonables para proteger tu informacion:

• Todo el trafico viaja cifrado con HTTPS/TLS, y la base de datos esta cifrada en reposo por el proveedor de infraestructura.
• La autenticacion esta delegada en un proveedor especializado y cada peticion se verifica en el servidor; los datos estan aislados por usuario.
• El navegador nunca habla directamente con nuestra API: las peticiones pasan por una capa intermedia que agrega las credenciales del lado del servidor, de modo que los tokens de acceso no quedan expuestos en el cliente.
• Los datos de tarjetas se delegan integramente a la pasarela de pagos, lo que reduce a cero la superficie de exposicion de esa informacion en nuestra infraestructura.
• Los webhooks que recibimos se validan con firma criptografica para impedir que un tercero simule eventos de cuenta o de pago.

Ningun sistema es infalible. Si llegara a ocurrir un incidente de seguridad que afecte tus datos personales, te lo informaremos y lo reportaremos a la Superintendencia de Industria y Comercio conforme lo exige la ley.

Como titular de los datos, la Ley 1581 de 2012 te reconoce el derecho a:

• Conocer, actualizar y rectificar tus datos personales cuando sean parciales, inexactos, incompletos o enganosos.
• Solicitar prueba de la autorizacion que otorgaste para el tratamiento.
• Ser informado sobre el uso que le hemos dado a tus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley.
• Revocar la autorizacion y solicitar la supresion de tus datos, cuando no exista un deber legal o contractual que nos obligue a conservarlos.
• Acceder gratuitamente a los datos que hayan sido objeto de tratamiento.

Como hacerlo

Buena parte de estos derechos los puedes ejercer directamente desde la app: editar o borrar tus movimientos, gestionar tus categorias y estados, actualizar los datos de tu perfil desde el menu de cuenta y descargar tu informacion desde la seccion de reportes.

Para lo demas —incluida la eliminacion de tu cuenta y tus datos, que hoy se tramita por correo— escribenos a danielvaldes.dev@gmail.com desde el correo asociado a tu cuenta, indicando tu nombre, tu solicitud y los hechos que la motivan. Los plazos legales que cumplimos son:

• Consultas: respuesta en un maximo de diez (10) dias habiles, prorrogables por cinco (5) dias habiles mas, informandote el motivo.
• Reclamos: respuesta en un maximo de quince (15) dias habiles, prorrogables por ocho (8) dias habiles mas, informandote el motivo. Si el reclamo esta incompleto, te pediremos que lo completes dentro de los cinco (5) dias siguientes.

Ten en cuenta que, segun el articulo 16 de la Ley 1581 de 2012, debes presentar el reclamo ante nosotros antes de acudir a la Superintendencia de Industria y Comercio.

Summa esta dirigida a personas mayores de 18 anos y no recolectamos datos de menores de edad de forma consciente. Si detectamos que una cuenta pertenece a un menor sin la autorizacion de su representante legal, la eliminaremos junto con sus datos. Si eres madre, padre o tutor y crees que un menor a tu cargo creo una cuenta, escribenos a danielvaldes.dev@gmail.com.

Podemos actualizar esta politica cuando cambien el servicio, nuestros proveedores o la normativa aplicable. La fecha de vigencia que aparece al inicio siempre refleja la ultima revision. Si el cambio afecta de forma sustancial las finalidades del tratamiento, te lo comunicaremos por correo o dentro de la app antes de que entre en vigor, y cuando la ley lo exija te pediremos una nueva autorizacion.

La autoridad competente en materia de proteccion de datos personales en Colombia es la Superintendencia de Industria y Comercio (SIC). Si consideras que no hemos atendido correctamente tu solicitud, puedes presentar una queja ante ella a traves de www.sic.gov.co.