Política de Tratamiento de Datos Personales

NIVANTA AI LLC

Versión 0.9.5 · Fecha de entrada en vigencia: 15 de octubre de 2026

1. Alcance de esta política y por qué existe

Nivanta AI LLC es una sociedad constituida en los Estados Unidos de América que atiende empresas en toda Latinoamérica. Recolecta y trata datos personales de personas de distintos países de la región —por ejemplo, cuando alguien conversa con nuestra asistente de inteligencia artificial en un evento, responde la encuesta de nuestro sitio web o nos escribe—.

Esta política aplica a los datos personales que recolectamos y tratamos de personas en Colombia y en el resto de Latinoamérica. Está redactada bajo el régimen colombiano —la Ley 1581 de 2012 (régimen general de protección de datos personales y desarrollo del derecho fundamental de habeas data, artículo 15 de la Constitución Política), su Decreto Reglamentario 1377 de 2013 y las instrucciones de la Superintendencia de Industria y Comercio (SIC), incluida la Circular Externa 002 de 2024 sobre tratamiento de datos personales en sistemas de inteligencia artificial—, y ese régimen es el estándar mínimo que aplicamos a todos los titulares, sin importar su país.

Si resides en otro país de Latinoamérica, además de lo previsto en esta política conservas todos los derechos que te reconozca la ley de protección de datos personales de tu país, y puedes ejercerlos por el mismo canal de la sección 7. Cuando esa ley te otorgue una protección mayor o un plazo de respuesta más corto, aplicamos esa protección o ese plazo.

Nivanta AI LLC mantiene además una política de privacidad redactada bajo la normativa de los Estados Unidos, disponible en nivanta.ai/privacidad, para los visitantes de fuera de Latinoamérica. Para los titulares en Latinoamérica, prevalece esta política.

2. Quién es el Responsable del Tratamiento

Nivanta AI LLC actúa como Responsable del Tratamiento de los datos personales descritos en esta política.

Canal recomendado. Dado que el domicilio del Responsable está fuera de Colombia, el canal electrónico indicado en la sección 7 es el medio más rápido y eficaz para ejercer los derechos de esta política. La correspondencia física es válida, pero su trámite es considerablemente más lento.

3. Qué datos personales recolectamos

3.1 Datos que nos suministras

Cuando conversas voluntariamente con nuestra asistente de inteligencia artificial —o diligencias un formulario de contacto— podemos recolectar:

• Nombre.
• Correo electrónico.
• Teléfono de contacto.
• Organización o empresa a la que perteneces, y su sector o industria.
• Los procesos, dificultades o necesidades de negocio que decidas describirnos.
• Los temas o servicios en los que manifiestes interés.
• El contenido de la conversación que sostengas con nuestra asistente.

3.2 Datos que se recolectan automáticamente

Por el solo hecho de usar el servicio se registran:

• Dirección IP.
• Identificador del navegador y del dispositivo (user-agent).
• Fecha y hora de la interacción, e idioma de la página.
• El origen por el que llegaste (por ejemplo, el código QR o la persona de nuestro equipo que te compartió la tarjeta de contacto) y el evento o campaña correspondiente.

3.3 Datos que el sistema genera sobre ti

Con base en la conversación, nuestro sistema genera datos nuevos: un resumen de tus necesidades y una clasificación del nivel de interés comercial (por ejemplo: interés inicial, interés medio, interés alto) que sirve para priorizar internamente el seguimiento. Estos datos derivados también son datos personales tuyos y están cubiertos por esta política y por los derechos de la sección 6.

3.4 Prueba de tu autorización

Cuando otorgas tu autorización marcando la casilla correspondiente, registramos, como prueba de ese acto: fecha y hora, versión de esta política, una huella criptográfica (SHA-256) del texto exacto del aviso que se te mostró, el idioma, la dirección IP y el user-agent. Este registro existe únicamente para poder demostrar qué autorizaste y cuándo, conforme al parágrafo del artículo 12 de la Ley 1581 de 2012.

3.5 Datos sensibles, datos de niñas, niños y adolescentes, y datos de terceros

No solicitamos datos sensibles —entre ellos los relativos a la salud, la vida sexual, el origen étnico, las convicciones religiosas o filosóficas, la pertenencia a sindicatos u organizaciones políticas, y los datos biométricos— ni datos de niñas, niños y adolescentes, ni datos personales de terceros. Nuestra asistente está expresamente instruida para no pedirlos.

Responder a cualquier pregunta es facultativo, y con mayor razón lo es suministrar información de esta naturaleza: no estás obligado a autorizar el tratamiento de datos sensibles (artículo 6 de la Ley 1581 de 2012; artículos 6 y 15 del Decreto 1377 de 2013).

Si mencionas voluntariamente información de este tipo, no la incorporamos a tu registro de contacto. Si detectas que la suministraste y deseas su supresión, escríbenos por el canal de la sección 7 y la eliminaremos.

3.6 Lo que no hacemos

• No vendemos, arrendamos ni comercializamos datos personales.
• No los usamos para publicidad de terceros ni para elaborar perfiles con fines distintos de los declarados en la sección 4.
• No adoptamos decisiones automatizadas que produzcan efectos jurídicos sobre ti ni que te afecten de modo significativo: la clasificación de la sección 3.3 solo ordena el trabajo interno de nuestro equipo, y toda comunicación o propuesta que recibas es revisada y decidida por una persona.

4. Para qué usamos los datos (finalidades)

Los datos personales descritos en la sección 3 se tratan para las siguientes finalidades:

1. Atender y responder tu consulta, solicitud o mensaje.
2. Contactarte por correo electrónico, teléfono, WhatsApp u otro medio que hayas suministrado.
3. Registrarte como contacto u oportunidad comercial en nuestro sistema de gestión de relaciones con clientes (CRM) y hacerte seguimiento comercial.
4. Clasificar y priorizar internamente tu nivel de interés, para dirigir el seguimiento.
5. Elaborar y remitirte propuestas, cotizaciones o información de nuestros servicios.
6. Agendar y desarrollar reuniones, demostraciones o asesorías.
7. Conservar constancia de la comunicación sostenida y prueba de tu autorización.
8. Medir y mejorar la calidad, el desempeño y el costo del servicio de atención automatizada.
9. Cumplir obligaciones legales, contables, contractuales y requerimientos de autoridad competente.

El tratamiento no se extiende a finalidades distintas de las anteriores sin obtener una nueva autorización tuya.

5. Autorización

El tratamiento de tus datos se sustenta en tu autorización previa, expresa e informada (artículos 4 literal c) y 9 de la Ley 1581 de 2012; artículo 7 del Decreto 1377 de 2013), que otorgas marcando de forma deliberada la casilla que acompaña al aviso de privacidad, antes de iniciar la conversación.

La casilla se presenta desmarcada. No interpretamos el silencio, la omisión ni la simple navegación como autorización.

Conservamos la prueba de esa autorización en los términos de la sección 3.4.

6. Tus derechos como titular

De conformidad con el artículo 8 de la Ley 1581 de 2012, tienes derecho a:

• Conocer, actualizar y rectificar tus datos personales frente a Nivanta AI LLC. Este derecho puede ejercerse, entre otros, frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté expresamente prohibido o no haya sido autorizado.
• Solicitar prueba de la autorización otorgada a Nivanta AI LLC, salvo en los casos en que la ley exceptúa este requisito.
• Ser informado, previa solicitud, respecto del uso que se ha dado a tus datos personales.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la Ley 1581 de 2012 y las demás normas que la modifiquen, adicionen o complementen, una vez agotado el trámite de consulta o reclamo ante Nivanta AI LLC.
• Revocar la autorización y/o solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales, o cuando no exista un deber legal o contractual que imponga conservarlo.
• Acceder en forma gratuita a tus datos personales que hayan sido objeto de tratamiento.

7. Cómo ejercer tus derechos

Canal de atención y área responsable

Todas las consultas, reclamos y solicitudes relacionadas con datos personales deben dirigirse a:

Correo electrónico: sales@nivanta.ai Asunto sugerido: "Protección de datos personales" Área responsable de la atención de peticiones, consultas y reclamos: la Dirección General (representante legal) de Nivanta AI LLC, conforme al numeral 4 del artículo 13 del Decreto 1377 de 2013.

Qué debe contener la solicitud

Para poder atenderla, la solicitud debe indicar:

1. Nombre completo del titular y documento de identidad.
2. Datos de contacto para la respuesta (correo electrónico o teléfono).
3. Descripción clara de los hechos y de la petición.
4. Los documentos que el titular quiera hacer valer, si los hay.

La consulta o el reclamo puede ser presentado por el titular, por sus causahabientes, por su representante o apoderado, o por quien estipule a su favor.

Tiempos de respuesta

Conforme a la Ley 1581 de 2012:

• Consultas (artículo 14): se atienden en un término máximo de diez (10) días hábiles contados desde la fecha de recibo. Cuando no sea posible atenderla en ese plazo, se informará al interesado los motivos de la demora y la fecha en que se atenderá, que en ningún caso superará los cinco (5) días hábiles siguientes al vencimiento del primer término.
• Reclamos (artículo 15): se atienden en un término máximo de quince (15) días hábiles contados desde el día siguiente a la fecha de su recibo. Cuando no sea posible atenderlo en ese plazo, se informará al interesado los motivos de la demora y la fecha en que se atenderá, que en ningún caso superará los ocho (8) días hábiles siguientes al vencimiento del primer término.
• Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recibo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.
• Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga "reclamo en trámite" y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda se mantendrá hasta que el reclamo sea decidido.

Revocatoria y supresión

Puedes revocar la autorización o solicitar la supresión de tus datos en cualquier momento, total o parcialmente, por el mismo canal (artículo 9 del Decreto 1377 de 2013). Atenderemos la solicitud dentro de los plazos de reclamo indicados arriba, salvo que exista un deber legal o contractual que nos obligue a conservar el dato, caso en el cual te lo informaremos y te indicaremos el fundamento.

8. Con quién compartimos los datos

Nivanta AI LLC no transfiere datos personales a terceros con fines comerciales ni los cede a terceros para sus propias finalidades.

Para operar el servicio nos apoyamos en Encargados del Tratamiento: proveedores que tratan los datos por cuenta y bajo instrucciones de Nivanta AI LLC, y no para finalidades propias.

Cómo intervienen los dos proveedores de inteligencia artificial. Cuando escribes un mensaje, el contenido de la conversación se envía a Anthropic, PBC, cuyo modelo de lenguaje Claude genera la respuesta de la asistente. En paralelo, el texto de tu mensaje —acompañado de un extracto breve de los últimos mensajes intercambiados— se envía a Google LLC, cuyo servicio Gemini API lo convierte en una representación numérica (embedding). Esa representación sirve únicamente para buscar, en nuestra propia base de conocimiento, la información sobre nuestros servicios que la asistente usa para responderte. Google no genera las respuestas y no recibe nada distinto del texto que se le envía para ese cálculo.

Qué pueden y qué no pueden hacer con ese contenido. Ninguno de los dos proveedores utiliza el contenido de tus mensajes para entrenar o mejorar sus modelos ni sus productos, ni para finalidades propias distintas de la seguridad de su propio servicio. Lo tratan exclusivamente para prestarnos el servicio, bajo instrucciones de Nivanta AI LLC y con obligaciones de confidencialidad y seguridad, en virtud de los términos de servicio empresarial y del acuerdo de tratamiento de datos que cada uno incorpora a su relación contractual con Nivanta AI LLC. Cada proveedor conserva temporalmente el contenido por un plazo limitado —a la fecha de esta política, hasta treinta (30) días en el caso de Anthropic y hasta cincuenta y cinco (55) días en el caso de Google— con el único fin de detectar usos abusivos de sus servicios y de cumplir obligaciones legales, y después lo elimina, salvo que sus sistemas automáticos hayan señalado el contenido como una infracción de sus políticas de uso, caso en el cual pueden conservarlo por más tiempo para investigarlo. El contenido viaja siempre por un canal cifrado.

Nivanta AI LLC exige a cada Encargado, mediante contrato de transmisión, que dé tratamiento a los datos conforme a esta política y a la ley aplicable, que salvaguarde la seguridad de las bases de datos y que guarde confidencialidad respecto de los datos personales (artículo 25 del Decreto 1377 de 2013).

9. Transferencia y transmisión internacional de datos

Esta sección se refiere a las dos figuras que la ley colombiana distingue.

9.1 Transmisión internacional (lo que ocurre en nuestro caso)

Existe transmisión cuando los datos se envían a un Encargado que los trata por cuenta del Responsable (artículo 3 del Decreto 1377 de 2013). Es lo que ocurre con los proveedores de la sección 8: son sociedades de los Estados Unidos de América, con las que Nivanta AI LLC contrata en ese país, y allí se aloja la información. Los dos proveedores de inteligencia artificial informan, además, que pueden ejecutar de manera transitoria parte del procesamiento —o conservar temporalmente copias en caché— en otros países donde ellos o sus filiales tienen infraestructura, siempre bajo las mismas obligaciones contractuales descritas en la sección 8.

Conforme al artículo 24 del Decreto 1377 de 2013, las transmisiones internacionales de datos personales que se efectúen entre un Responsable y un Encargado no requieren ser informadas al titular ni contar con su consentimiento cuando medie un contrato de transmisión entre ambos. Nivanta AI LLC igualmente te lo informa en esta política y en el aviso de privacidad, por transparencia.

9.2 Transferencia internacional

Existe transferencia cuando los datos se envían a un tercero que actúa como Responsable. El artículo 26 de la Ley 1581 de 2012 prohíbe la transferencia de datos personales a países que no proporcionen niveles adecuados de protección de datos.

La Superintendencia de Industria y Comercio, en la Circular Externa 005 de 2017 (numeral 3.2, que adicionó la Circular Única), incluyó a los Estados Unidos de América en el listado de países que se consideran con un nivel adecuado de protección de datos personales. En consecuencia, aun si el envío de información a alguno de los proveedores de la sección 8 llegara a calificarse como transferencia, su destino —los Estados Unidos de América— no está comprendido en la prohibición del artículo 26.

Si en el futuro Nivanta AI LLC necesitara transferir datos a un país no incluido en ese listado, lo hará únicamente al amparo de alguna de las excepciones del artículo 26 de la Ley 1581 de 2012 —entre ellas tu autorización expresa e inequívoca— o previa declaración de conformidad expedida por la Superintendencia de Industria y Comercio.

10. Tratamiento mediante sistemas de inteligencia artificial

Nuestra asistente de contacto es un sistema de inteligencia artificial. Te lo informamos expresamente y describimos aquí cómo se comporta, atendiendo los lineamientos de la Circular Externa 002 de 2024 de la Superintendencia de Industria y Comercio.

• Sabes que conversas con un sistema, no con una persona. La asistente se identifica como tal y no se presenta como un ser humano.
• Qué hace con lo que escribes. Interpreta tu mensaje para responderte, consulta nuestra propia base de conocimiento para darte información sobre nuestros servicios (sección 8), extrae de la conversación los datos de contacto y de contexto de negocio descritos en la sección 3, y genera la clasificación de interés de la sección 3.3.
• Minimización. El alcance de la asistente está deliberadamente limitado: pregunta por la actividad de tu organización, por el proceso que deseas mejorar y por tu forma de contacto. No indaga sobre datos sensibles ni sobre terceros, y la conversación tiene un número máximo de turnos.
• Idoneidad, necesidad y proporcionalidad. Antes de tratar tus datos por este medio valoramos que el tratamiento sea idóneo para la finalidad declarada, necesario, razonable y proporcionado, y que no exista una alternativa menos invasiva que logre el mismo resultado.
• Siempre hay una persona. Ninguna decisión que te concierna se adopta exclusivamente por medios automatizados (sección 3.6).
• Medidas demostrables. Nivanta AI LLC mantiene medidas técnicas, humanas y administrativas y los registros necesarios para demostrar, a petición de la Superintendencia de Industria y Comercio, que las ha implementado de manera apropiada y efectiva (artículo 2.2.2.25.6.1 del Decreto 1074 de 2015).
• Tus derechos son los mismos. Los derechos de la sección 6 aplican íntegramente a los datos tratados o generados por el sistema, incluida su supresión.

11. Seguridad de la información

Nivanta AI LLC adopta medidas razonables de carácter técnico, humano y administrativo para proteger los datos personales y evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Entre ellas: cifrado del tráfico en tránsito, control de acceso al sistema de gestión de contactos restringido al personal que debe conocer la información, y vinculación contractual de los Encargados a deberes de seguridad y confidencialidad.

Ninguna medida de seguridad es infalible. Si se presentara un incidente que afecte significativamente tus datos personales, actuaremos conforme a la ley aplicable y a las instrucciones de la Superintendencia de Industria y Comercio.

12. Vigencia de esta política y período de vigencia de la base de datos

Fecha de entrada en vigencia de esta política: 15 de octubre de 2026.

Período de vigencia de la base de datos (numeral 6 del artículo 13 del Decreto 1377 de 2013): los datos personales se conservan mientras subsistan las finalidades de la sección 4 y, en todo caso, por un término máximo de cinco (5) años contados desde el último contacto sostenido con el titular, salvo que:

• el titular solicite antes su supresión y no exista deber legal o contractual de conservación, caso en el cual se suprimen dentro de los plazos de la sección 7; o
• una obligación legal, contable, contractual o un requerimiento de autoridad competente exija un término mayor.

Vencido el período de vigencia y agotada la finalidad, los datos son suprimidos. El registro de prueba de la autorización (sección 3.4) se conserva mientras pueda ser exigible la demostración del cumplimiento.

13. Cambios a esta política

Nivanta AI LLC podrá modificar esta política. Los cambios se publican en esta misma página, con su respectiva fecha de vigencia, y esta página es también el mecanismo por el cual puedes consultar en todo momento la versión aplicable. Cuando el cambio sea sustancial y afecte las finalidades del tratamiento, se comunicará oportunamente a los titulares, por los canales de contacto disponibles, antes de implementar la nueva política, y —cuando la ley lo exija— se solicitará una nueva autorización.

14. Autoridad de protección de datos

La autoridad de protección de datos personales en Colombia es la Superintendencia de Industria y Comercio (SIC), a través de su Delegatura para la Protección de Datos Personales. Puedes presentar quejas ante ella por infracciones a la Ley 1581 de 2012, una vez agotado el trámite de consulta o reclamo ante Nivanta AI LLC (artículo 8 literal d) de la Ley 1581 de 2012).

Si resides en otro país de Latinoamérica, también puedes acudir a la autoridad de protección de datos personales de tu país, en los términos que establezca su ley.

Cambios respecto a la versión 0.9.4

Esta versión 0.9.5 (15 de octubre de 2026) reemplaza a la versión 0.9.4 (17 de septiembre de 2026). Los datos que recolectamos (sección 3), las finalidades del tratamiento (sección 4), tus derechos (sección 6), el canal para ejercerlos (sección 7) y los proveedores que nos apoyan (sección 8) no cambian, y la autorización que hayas otorgado bajo la versión anterior conserva su validez.

• Sección 1. La política deja de limitarse a Colombia: aplica a los titulares de toda Latinoamérica, con el régimen colombiano como estándar mínimo y los derechos adicionales que otorgue la ley del país de residencia del titular.
• Sección 2. El teléfono del Responsable pasa a ser nuestra línea corporativa en Estados Unidos, +1 (307) 533 7260. El canal recomendado para ejercer tus derechos sigue siendo el correo electrónico de la sección 7.
• Sección 14. Se menciona la autoridad de protección de datos del país del titular.
• Toda la política. Pasa a tratarte de tú, como el resto de nuestro sitio. El contenido no cambia.
• Encabezado y sección 12. Nueva fecha de entrada en vigencia.