Política de Tratamiento de Datos Personales

1. Responsable del Tratamiento

El responsable del tratamiento de los datos personales recolectados a través de la plataforma WhaTrack es:

• Razón social: Desarrollando Ando S.A.S.
• Domicilio: Bogotá, Colombia
• Correo del DPO: whatrack@desarrollandoando.com
• Correo PQRS: whatrack@desarrollandoando.com
• Sitio web: whatrack.co

El Oficial de Protección de Datos (DPO) es asumido inicialmente por el Super Admin de WhaTrack. El DPO es responsable de atender las solicitudes de los titulares de datos y de velar por el cumplimiento de la presente política.

2. Marco Legal Aplicable

La presente política se fundamenta en la siguiente normativa colombiana:

• Ley 1581 de 2012: Régimen General de Protección de Datos Personales (Habeas Data).
• Decreto 1377 de 2013: Reglamentario de la Ley 1581 de 2012.
• Ley 1266 de 2008: Habeas Data financiero (aplicable por los cobros recurrentes).
• Ley 527 de 1999: Comercio electrónico y firma electrónica.
• Circular 002 de 2015 SIC: Registro Nacional de Bases de Datos.
• Políticas de WhatsApp Business Platform (Meta): requisitos de opt-in, plantillas HSM y uso de datos en la API.

3. Datos Personales que se Recolectan

3.1. Datos de Empresas

• NIT, razón social, nombre comercial.
• Cámara de Comercio, RUT.
• Datos del representante legal: cédula de ciudadanía, nombre completo, fotografía, biometría facial.
• Direcciones de sucursales (coordenadas geográficas).
• Método de pago (tokenizado por Wompi; WhaTrack no almacena números de tarjeta).
• Número de WhatsApp del Admin y Operadores.
• Historial de servicios solicitados y calificaciones.

3.2. Datos de Conductores

• Cédula de ciudadanía (almacenada cifrada con pgcrypto, nunca en texto plano).
• Nombre completo, fotografía, biometría facial.
• Datos del vehículo: placa, tarjeta de propiedad, SOAT, revisión técnico-mecánica, licencia de conducción.
• Método de pago (tokenizado por Wompi).
• Número de WhatsApp.
• Coordenadas GPS durante servicios activos (cada 10 segundos en movimiento, cada 30 segundos detenido).
• Historial de servicios ejecutados, calificaciones, cancelaciones.
• Antecedentes judiciales y verificación en listas internacionales (procesados por Truora).

3.3. Datos de Operadores

• Número de WhatsApp (identificador funcional).
• Nombre proporcionado por el Admin de la Empresa.

Nota: los Operadores no pasan por KYC individual. La Empresa responde por ellos.

3.4. Datos de Clientes Finales / Destinatarios

• Dirección IP, cookies técnicas (Mapbox, Cloudflare) al acceder al tracking público.
• Número de WhatsApp, solo si el cliente inicia voluntariamente el flujo de opt-in para notificaciones.

Nota: WhaTrack no recolecta datos personales del destinatario a menos que este inicie contacto voluntariamente.

3.5. Datos sensibles

De conformidad con el artículo 5 de la Ley 1581 de 2012, WhaTrack trata los siguientes datos sensibles:

• Biometría facial: recolectada durante el KYC y procesada exclusivamente por Truora. WhaTrack no almacena datos biométricos en sus propios servidores.
• Datos de geolocalización: coordenadas GPS del Conductor durante servicios activos. Se consideran dato sensible por permitir la ubicación precisa de la persona.

La autorización para el tratamiento de datos sensibles es facultativa. Sin embargo, el Conductor acepta que la biometría y la geolocalización son condiciones necesarias para operar en la Plataforma, dado que la verificación de identidad y el tracking en tiempo real son parte esencial del servicio.

4. Finalidades del Tratamiento

WhaTrack trata los datos personales para las siguientes finalidades:

• Verificación de identidad (KYC): validar la identidad de Empresas y Conductores, consultar antecedentes y listas internacionales.
• Prestación del servicio de intermediación: conectar Empresas con Conductores, gestionar subastas, asignaciones, OTP y tracking.
• Cobro de afiliaciones: procesar cobros mensuales recurrentes a través de Wompi.
• Geolocalización durante servicios activos: permitir el tracking en tiempo real del Conductor para la Empresa y el cliente final.
• Sistema de calificaciones: gestionar la reputación bidireccional entre Empresas y Conductores.
• Zonas de calor: generar heatmaps con datos agregados y anónimos para mejorar la distribución de oferta y demanda. Nunca se exponen datos individuales.
• Comunicaciones operativas: enviar notificaciones de servicio, alertas de documentos, actualizaciones de la Plataforma.
• Cumplimiento legal: atender requerimientos de autoridades competentes, cumplir obligaciones tributarias y regulatorias.
• Mejora del servicio: analizar patrones de uso (de forma agregada y anónima) para mejorar algoritmos y experiencia.

5. Transferencia y Transmisión de Datos a Terceros

WhaTrack comparte datos personales con los siguientes proveedores (encargados del tratamiento), exclusivamente para las finalidades descritas:

5.1. Transferencia internacional

Varios proveedores operan fuera de Colombia (Estados Unidos). WhaTrack cumple con los requisitos del artículo 26 de la Ley 1581 de 2012 para transferencias internacionales. Los proveedores que operan en Estados Unidos están sujetos a marcos de protección de datos adecuados o cuentan con Data Processing Agreements (DPA) que garantizan niveles de protección equivalentes a los de la legislación colombiana.

5.2. Contratos con encargados

WhaTrack mantiene contratos de transmisión de datos (o verifica los DPA estándar) con cada proveedor conforme al artículo 17 de la Ley 1581 de 2012, estableciendo obligaciones de confidencialidad, seguridad, finalidad limitada y procedimientos ante incidentes.

6. Medidas de Seguridad

6.1. Cifrado

• Cifrado en tránsito: TLS 1.3 en todas las comunicaciones.
• Cifrado en reposo: AES-256 en la base de datos (Supabase/AWS).
• Cifrado adicional con pgcrypto para datos especialmente sensibles (cédula del conductor).

6.2. Control de acceso

• Row Level Security (RLS) activado en todas las tablas de la base de datos.
• Autenticación mediante JWT (JSON Web Tokens) con Supabase Auth.
• Autenticación de dos factores (2FA) obligatoria para el Super Admin.
• Service role key utilizada exclusivamente desde Edge Functions con validación manual del JWT.

6.3. Almacenamiento seguro

• Documentos KYC almacenados en Supabase Storage privado con URLs firmadas temporales.
• OTP de entrega almacenado hasheado (no en texto plano).
• Audit log inmutable para operaciones críticas.

6.4. Monitoreo

• Sentry para monitoreo de errores en tiempo real.
• Logs de acceso y operaciones registrados en audit_log.

7. Tiempo de Conservación de los Datos

WhaTrack conserva los datos personales por el tiempo necesario para cumplir las finalidades del tratamiento y las obligaciones legales:

Al vencer el período de conservación, los datos serán eliminados de forma segura o anonimizados de manera irreversible.

8. Derechos de los Titulares (ARCO)

De conformidad con la Ley 1581 de 2012, todo titular de datos personales tiene los siguientes derechos:

• Acceso: conocer qué datos personales tiene WhaTrack sobre el titular. Implementado mediante el comando /datos del bot de WhatsApp.
• Rectificación: solicitar la corrección de datos inexactos, incompletos o desactualizados.
• Cancelación (supresión): solicitar la eliminación de los datos cuando no sean necesarios para la finalidad del tratamiento. Implementado mediante el comando /eliminar-cuenta. Nota: los datos sujetos a obligación legal de conservación (KYC, audit log) se mantendrán conforme a la Sección 7.
• Oposición: oponerse al tratamiento de datos para finalidades específicas, siempre que no exista obligación legal que lo impida.

8.1. Canales para ejercer los derechos

• Bot de WhatsApp: comando /datos (acceso), /eliminar-cuenta (cancelación).
• Correo del DPO: whatrack@desarrollandoando.com.
• Correo PQRS: whatrack@desarrollandoando.com.

8.2. Plazos de respuesta

WhaTrack responderá las solicitudes en un plazo máximo de diez (10) días hábiles contados desde la fecha de recepción. Cuando no sea posible atender la solicitud en dicho plazo, se informará al titular los motivos y la fecha estimada de respuesta, que no podrá exceder de cinco (5) días hábiles adicionales.

8.3. Consultas y reclamos ante la SIC

Si el titular no obtiene respuesta satisfactoria, podrá presentar queja ante la Superintendencia de Industria y Comercio (SIC), organismo de vigilancia en materia de protección de datos personales en Colombia.

9. Cookies y Tecnologías de Rastreo

Los sitios web de WhaTrack utilizan cookies. Las cookies actuales incluyen: cookies de sesión/autenticación de Supabase (esenciales), cookies de seguridad de Cloudflare (esenciales) y cookies de Mapbox (carga de mapas).

10. Procedimiento ante Incidentes de Seguridad

10.1. En caso de un incidente de seguridad que comprometa datos personales, WhaTrack notificará a la Superintendencia de Industria y Comercio (SIC) y a los titulares afectados en un plazo razonable, conforme a la normativa vigente.

10.2. La notificación incluirá: naturaleza del incidente, datos comprometidos, medidas adoptadas, recomendaciones para los titulares y datos de contacto del DPO.

10.3. WhaTrack mantiene un protocolo interno de respuesta a incidentes que incluye: identificación, contención, evaluación, notificación y remediación.

11. Tratamiento de Datos de Menores de Edad

WhaTrack NO recolecta ni trata datos de menores de edad. La Plataforma está dirigida exclusivamente a personas naturales mayores de dieciocho (18) años y a personas jurídicas legalmente constituidas. Si WhaTrack detecta que un menor de edad ha proporcionado datos personales, procederá a eliminarlos de inmediato.

12. Registro Nacional de Bases de Datos

WhaTrack registrará sus bases de datos ante el Registro Nacional de Bases de Datos (RNBD) administrado por la Superintendencia de Industria y Comercio, conforme a la Circular 002 de 2015, en los plazos establecidos por la normativa.

13. Modificaciones a esta Política

13.1. WhaTrack se reserva el derecho de modificar esta Política en cualquier momento.

13.2. Las modificaciones sustanciales serán notificadas con aviso previo de quince (15) días calendario a través de WhatsApp y/o correo electrónico.

13.3. WhaTrack mantiene un historial de versiones de esta Política accesible en whatrack.co/privacidad.

13.4. El uso continuado de la Plataforma tras la entrada en vigencia de las modificaciones constituye aceptación.

14. Aplicación Móvil WhaTrack Conductor

Esta sección describe de forma específica el tratamiento de datos realizado por la aplicación móvil WhaTrack Conductor (identificador com.whatrack.conductor), distribuida a través de Google Play y destinada exclusivamente a los Conductores afiliados a la Plataforma. Complementa, sin sustituir, lo dispuesto en las secciones anteriores.

14.1. Datos que recolecta la aplicación

14.2. Ubicación en segundo plano

La aplicación accede a la ubicación del Conductor incluso cuando está cerrada o no se está usando. Este acceso es indispensable para el funcionamiento del servicio y se rige por las siguientes reglas:

• Cuándo se activa: únicamente después de que el Conductor acepta voluntariamente un servicio y este pasa a estado activo.
• Para qué se usa: transmitir la posición del vehículo en tiempo real a la Empresa remitente y al destinatario final, quien la consulta mediante el enlace público de rastreo.
• Cuándo se detiene: automáticamente al completarse, cancelarse o fallar la entrega. La aplicación no rastrea al Conductor fuera de un servicio activo.
• Aviso visible: mientras el rastreo está en curso, el sistema operativo muestra de forma permanente una notificación persistente que lo indica.
• Control del titular: el permiso puede revocarse en cualquier momento desde los ajustes del dispositivo. Revocarlo impide ejecutar servicios, pero no elimina la cuenta.

Las coordenadas se transmiten a Supabase (infraestructura) y a Mapbox (renderizado de mapas y cálculo de rutas), conforme a la Sección 5. Los datos de rastreo no se utilizan con fines publicitarios ni se venden a terceros.

14.3. Fotografías de evidencia

La cámara se utiliza exclusivamente para capturar la fotografía que acredita la entrega. Las imágenes se almacenan en un repositorio privado con acceso mediante enlaces firmados temporales y solo son visibles para la Empresa remitente y el personal autorizado de WhaTrack. La aplicación no accede a la galería ni a fotografías previas del dispositivo.

14.4. Datos que la aplicación NO recolecta

• Contactos, mensajes SMS, historial de llamadas o micrófono.
• Archivos, documentos o fotografías ajenas a la evidencia.
• Identificadores publicitarios ni datos para segmentación.
• Historial de navegación ni actividad en otras aplicaciones.

WhaTrack no vende datos personales ni los comparte con redes publicitarias o intermediarios de datos.

14.5. Eliminación de la cuenta y de los datos

El Conductor puede solicitar la eliminación de su cuenta y de los datos personales asociados por cualquiera de estos canales:

• Comando /eliminar-cuenta en el bot de WhatsApp de WhaTrack.
• Solicitud escrita al correo whatrack@desarrollandoando.com indicando el número de teléfono registrado.

La solicitud se atiende en un plazo máximo de diez (10) días hábiles. Se eliminan: perfil, historial de ubicaciones, fotografías de evidencia, calificaciones y token de notificaciones. Se conservan, por obligación legal y por el término indicado en la Sección 7, los documentos de verificación de identidad (KYC) y los registros de auditoría, que quedan disociados de cualquier uso operativo.

14.6. Edad mínima

La aplicación está dirigida exclusivamente a personas mayores de dieciocho (18) años que cuenten con licencia de conducción vigente, conforme a la Sección 11.

15. Vigencia

La presente Política de Tratamiento de Datos Personales entra en vigencia a partir de su publicación y permanece vigente mientras WhaTrack opere la Plataforma.

Última actualización: agosto de 2026 — Versión 1.1