Política de Privacidad y Tratamiento de Datos Personales

1. Responsable del Tratamiento

El responsable del tratamiento de los datos personales recolectados a través de la plataforma WhaTrack es:

• Razón social: Whatrack SAS
• Domicilio: Calle 9B 1E-13, barrio Villa Pilar, Manizales, Caldas, Colombia
• Sitio web: whatrack.co

El Oficial de Protección de Datos (DPO) es asumido inicialmente por el Super Admin de WhaTrack. El DPO es responsable de atender las solicitudes de los titulares de datos y de velar por el cumplimiento de la presente política.

2. Marco Legal Aplicable

La presente política se fundamenta en la siguiente normativa colombiana:

• Ley 1581 de 2012: Régimen General de Protección de Datos Personales (Habeas Data).
• Decreto 1377 de 2013: Reglamentario de la Ley 1581 de 2012.
• Ley 1266 de 2008: Habeas Data financiero.
• Ley 527 de 1999: Comercio electrónico y firma electrónica.
• Circular 002 de 2015 SIC: Registro Nacional de Bases de Datos.
• Políticas de WhatsApp Business Platform (Meta): requisitos de opt-in, plantillas HSM y uso de datos en la API.

3. Datos Personales que se Recolectan

3.1. Datos de Empresas

• NIT, razón social y nombre comercial.
• Información pública del registro mercantil (RUES) y del estado del NIT (DIAN), que WhaTrack consulta con Verifik a partir del NIT.
• Datos del representante legal o de la persona que registra la Empresa: nombre completo, documento de identidad, fotografía y biometría facial (recolectadas por DiDit durante la verificación).
• Correo electrónico y dirección de recogida de las sucursales (con sus coordenadas geográficas).
• Número de WhatsApp del Admin y del Operador.
• Historial de servicios solicitados.

3.2. Datos de Conductores

• Nombre completo, tipo y número de documento de identidad y correo electrónico.
• Fotografía y biometría facial, y los datos que DiDit lee del documento (por ejemplo, nacionalidad y fechas del documento).
• Datos del vehículo: tipo y descripción y, si es una moto con placa, placa, marca y modelo, fecha de matrícula y la vigencia de la licencia de conducción, el SOAT y la revisión técnico-mecánica registrada en el RUNT.
• Número de WhatsApp.
• Ubicación del dispositivo: durante un servicio, cada pocos segundos (también con la app en segundo plano); sin servicio, solo con la app abierta, se actualiza su última ubicación (cada 60 segundos mientras el Conductor está disponible). Ver la Sección 14.2.
• Historial de servicios ejecutados.
• Antecedentes disciplinarios (Procuraduría) y datos de licencia de conducción y del vehículo registrados en el RUNT, consultados a través de Verifik.

3.3. Datos de Operadores

• Número de WhatsApp (identificador funcional).
• Nombre y correo electrónico proporcionados por el Admin de la Empresa (el correo sirve para el acceso al panel web).

Nota: los Operadores no pasan por KYC individual. La Empresa responde por ellos.

3.4. Datos de Clientes Finales / Destinatarios

• La dirección de entrega y las indicaciones que la Empresa comparta para el envío.
• Al abrir el enlace de seguimiento: datos técnicos de navegación (dirección IP y navegador) que procesan los proveedores del sitio (Vercel, Cloudflare) y del mapa (Mapbox).
• Número de WhatsApp y mensajes, solo si el cliente escribe por su cuenta al WhatsApp de WhaTrack.

Nota: WhaTrack no le escribe al cliente final; la Empresa le comparte el enlace de seguimiento y el código de entrega.

3.5. Datos sensibles

De conformidad con el artículo 5 de la Ley 1581 de 2012, WhaTrack trata los siguientes datos sensibles:

• Biometría facial: recolectada durante el KYC por DiDit (escaneo del documento, selfie y prueba de vida). Las imágenes permanecen en DiDit; WhaTrack no las copia a sus servidores y conserva el resultado de la verificación que entrega DiDit: los datos leídos del documento, los puntajes de coincidencia facial y de prueba de vida, datos técnicos de la conexión (por ejemplo, el país de la IP) y los enlaces a las imágenes, que siguen alojadas en DiDit.
• Datos de geolocalización: ubicación del Conductor descrita en la Sección 14.2. Se considera dato sensible por permitir la ubicación precisa de la persona.

La autorización para el tratamiento de datos sensibles es facultativa. Sin embargo, el Conductor acepta que la biometría y la geolocalización son condiciones necesarias para operar en la Plataforma, dado que la verificación de identidad y el tracking en tiempo real son parte esencial del servicio. La autorización para la biometría la pide DiDit en su pantalla antes de capturarla.

4. Finalidades del Tratamiento

WhaTrack trata los datos personales para las siguientes finalidades:

• Verificación de identidad (KYC): validar la identidad de Empresas y Conductores (DiDit) y consultar antecedentes y registros oficiales (Procuraduría, RUNT, RUES y DIAN, con Verifik).
• Prestación del servicio de intermediación: conectar Empresas con Conductores, calcular el valor de los domicilios, gestionar subastas, asignaciones, códigos de entrega y tracking.
• Asistente automatizado: el asistente de WhatsApp usa inteligencia artificial (Gemini, de Google, y como respaldo otros proveedores de IA) para entender los mensajes y responder. Una persona del equipo de WhaTrack puede leer la conversación e intervenir.
• Planes y suscripciones: gestionar los planes mensuales de las Empresas y la suscripción y el saldo de los Conductores. WhaTrack no recibe datos de tarjetas: no tiene una pasarela de pagos integrada.
• Geolocalización: ofrecerle al Conductor servicios cercanos, asignar los servicios por cercanía y, durante un servicio, permitir el tracking en tiempo real del Conductor para la Empresa y el cliente final.
• Sistema de calificaciones: gestionar, cuando WhaTrack lo habilite, la reputación bidireccional entre Empresas y Conductores.
• Zonas de calor: generar mapas de demanda con los puntos de recogida de las sucursales, agregados y anónimos, para mejorar la distribución de oferta y demanda. Nunca se exponen datos individuales.
• Comunicaciones operativas: enviar notificaciones de servicio, recordatorios de disponibilidad y actualizaciones de la Plataforma.
• Cumplimiento legal: atender requerimientos de autoridades competentes, cumplir obligaciones tributarias y regulatorias, y conservar la prueba de las autorizaciones.
• Mejora del servicio: analizar patrones de uso (de forma agregada y anónima) para mejorar algoritmos y experiencia.

5. Transferencia y Transmisión de Datos a Terceros

WhaTrack comparte datos personales con los siguientes proveedores (encargados del tratamiento), exclusivamente para las finalidades descritas:

5.1. Transferencia internacional

Varios proveedores operan fuera de Colombia (principalmente en Estados Unidos y la Unión Europea). WhaTrack cumple con los requisitos del artículo 26 de la Ley 1581 de 2012 para transferencias internacionales. Los proveedores que operan fuera de Colombia están sujetos a marcos de protección de datos adecuados o cuentan con Data Processing Agreements (DPA) que garantizan niveles de protección equivalentes a los de la legislación colombiana.

5.2. Contratos con encargados

WhaTrack mantiene contratos de transmisión de datos (o verifica los DPA estándar) con cada proveedor conforme al artículo 17 de la Ley 1581 de 2012, estableciendo obligaciones de confidencialidad, seguridad, finalidad limitada y procedimientos ante incidentes.

6. Medidas de Seguridad

WhaTrack implementa las siguientes medidas técnicas y organizacionales para proteger los datos personales:

6.1. Cifrado

• Cifrado en tránsito: HTTPS (TLS) en las comunicaciones entre la app, los sitios web, los servidores y los proveedores.
• Cifrado en reposo: la base de datos y los archivos se alojan en Supabase, que cifra la información almacenada (AES-256).
• Código OTP de entrega: se almacena como hash (bcrypt, mediante pgcrypto) para su verificación.

6.2. Control de acceso

• Row Level Security (RLS) activado en todas las tablas de la base de datos: cada usuario accede solo a la información que le corresponde según su rol.
• Autenticación con Supabase Auth mediante tokens JWT. Los conductores ingresan con un código de un solo uso enviado a su correo electrónico.
• La llave de servicio (service role) solo se usa en las funciones del servidor y nunca se expone en la app ni en los sitios web.
• Las notificaciones de WhatsApp (Meta) y del proveedor de verificación de identidad (DiDit) se validan con firma criptográfica.

6.3. Almacenamiento seguro

• Las imágenes del proceso de verificación de identidad (documento, selfie y prueba de vida) permanecen en los servidores de DiDit y no se copian a WhaTrack.
• Registro de auditoría (audit_log) de las operaciones críticas, consultable únicamente por el Super Admin.

6.4. Monitoreo

• Registros (logs) de ejecución de las funciones del servidor en Supabase.
• Registro de operaciones críticas en audit_log (verificaciones KYC, aceptaciones de documentos legales, validación de entregas, cancelaciones).

7. Tiempo de Conservación de los Datos

WhaTrack conserva los datos personales por el tiempo necesario para cumplir las finalidades del tratamiento y las obligaciones legales:

Al vencer el período de conservación, los datos serán eliminados de forma segura o anonimizados de manera irreversible.

8. Derechos de los Titulares (ARCO)

De conformidad con la Ley 1581 de 2012, todo titular de datos personales tiene los siguientes derechos:

• Acceso: conocer qué datos personales tiene WhaTrack sobre el titular.
• Rectificación: solicitar la corrección de datos inexactos, incompletos o desactualizados.
• Cancelación (supresión): solicitar la eliminación de los datos cuando no sean necesarios para la finalidad del tratamiento. Nota: los datos sujetos a obligación legal de conservación (KYC, audit log, prueba de las autorizaciones) se mantendrán conforme a la Sección 7.
• Oposición: oponerse al tratamiento de datos para finalidades específicas, siempre que no exista obligación legal que lo impida.

8.1. Canales para ejercer los derechos

• WhatsApp: +57 333 603 0713, en lenguaje natural (sin comandos)
• Correo electrónico: soporte@whatrack.co
• Sitio web: whatrack.co

8.2. Plazos de respuesta

WhaTrack responderá las solicitudes en un plazo máximo de diez (10) días hábiles contados desde la fecha de recepción. Cuando no sea posible atender la solicitud en dicho plazo, se informará al titular los motivos y la fecha estimada de respuesta, que no podrá exceder de cinco (5) días hábiles adicionales.

8.3. Consultas y reclamos ante la SIC

Si el titular no obtiene respuesta satisfactoria, podrá presentar queja ante la Superintendencia de Industria y Comercio (SIC), organismo de vigilancia en materia de protección de datos personales en Colombia.

9. Cookies y Tecnologías de Rastreo

whatrack.co usa una cookie necesaria que guarda la decisión del visitante sobre las cookies y, solo si las acepta, las de analítica de Microsoft Clarity (ver la Política de Cookies). Los paneles (admin.whatrack.co e inbox.whatrack.co) usan las cookies de sesión de Supabase (esenciales). Cloudflare puede usar cookies técnicas de seguridad. El mapa del enlace de seguimiento (Mapbox) guarda datos técnicos en el almacenamiento local del navegador.

10. Procedimiento ante Incidentes de Seguridad

10.1. En caso de un incidente de seguridad que comprometa datos personales, WhaTrack notificará a la Superintendencia de Industria y Comercio (SIC) y a los titulares afectados en un plazo razonable, conforme a la normativa vigente.

10.2. La notificación incluirá: naturaleza del incidente, datos comprometidos, medidas adoptadas, recomendaciones para los titulares y datos de contacto del DPO.

10.3. WhaTrack mantiene un protocolo interno de respuesta a incidentes que incluye: identificación, contención, evaluación, notificación y remediación.

11. Tratamiento de Datos de Menores de Edad

WhaTrack NO recolecta ni trata datos de menores de edad. La Plataforma está dirigida exclusivamente a personas naturales mayores de dieciocho (18) años y a personas jurídicas legalmente constituidas. Si WhaTrack detecta que un menor de edad ha proporcionado datos personales, procederá a eliminarlos de inmediato.

12. Registro Nacional de Bases de Datos

WhaTrack registrará sus bases de datos ante el Registro Nacional de Bases de Datos (RNBD) administrado por la Superintendencia de Industria y Comercio, conforme a la Circular 002 de 2015, en los plazos establecidos por la normativa.

13. Modificaciones a esta Política

13.1. WhaTrack se reserva el derecho de modificar esta Política en cualquier momento.

13.2. Las modificaciones sustanciales serán notificadas con aviso previo de quince (15) días calendario a través de WhatsApp y/o correo electrónico.

13.3. WhaTrack conserva las versiones anteriores de esta Política y las entrega a quien las pida por los canales de la Sección 8.1.

13.4. El uso continuado de la Plataforma tras la entrada en vigencia de las modificaciones constituye aceptación.

14. Aplicación Móvil Whatrack Conductores

Esta sección describe de forma específica el tratamiento de datos realizado por la aplicación móvil Whatrack Conductores (identificador com.whatrack.conductor), distribuida a través de Google Play y App Store y destinada exclusivamente a los Conductores afiliados a la Plataforma. Complementa, sin sustituir, lo dispuesto en las secciones anteriores.

14.1. Datos que recolecta la aplicación

14.2. Ubicación

La aplicación accede a la ubicación del Conductor incluso cuando está cerrada o no se está usando únicamente durante un servicio activo. Este acceso es indispensable para el funcionamiento del servicio y se rige por las siguientes reglas:

• Cuándo se activa en segundo plano: únicamente después de que el Conductor acepta voluntariamente un servicio y este pasa a estado activo.
• Para qué se usa: transmitir la posición del vehículo en tiempo real a la Empresa remitente y al destinatario final, quien la consulta mediante el enlace público de rastreo. Durante el servicio se guarda el recorrido.
• Cuándo se detiene: automáticamente al completarse, cancelarse o fallar la entrega.
• Fuera de un servicio activo: solo con la app abierta (nunca en segundo plano). La app envía la ubicación al abrirse y al consultar los servicios disponibles y, mientras el Conductor está disponible, la actualiza cada 60 segundos para mostrarle servicios cercanos y asignarle los que le quedan cerca. Solo se guarda la última posición, sin historial. No se comparte con Empresas ni con clientes finales; el equipo de WhaTrack la ve en su panel interno para supervisar la operación, y en una subasta la Empresa ve solo la distancia aproximada del Conductor que le hizo una oferta.
• Con quién se comparte: la Empresa y el cliente final ven la ubicación del Conductor solo durante el servicio; el enlace de seguimiento deja de mostrarla cuando el servicio termina.
• Aviso visible: mientras el rastreo en segundo plano está en curso, el sistema operativo muestra un indicador o una notificación persistente que lo informa.
• Control del titular: el permiso puede revocarse en cualquier momento desde los ajustes del dispositivo. Revocarlo impide ejecutar servicios, pero no elimina la cuenta.

Las coordenadas se transmiten a Supabase (infraestructura) y a Mapbox (renderizado de mapas y cálculo de rutas), conforme a la Sección 5. Los datos de rastreo no se utilizan con fines publicitarios ni se venden a terceros.

14.3. Fotografías de evidencia

La cámara se utiliza exclusivamente para capturar la fotografía que acredita la entrega. Las imágenes se almacenan en Supabase Storage asociadas al servicio correspondiente y pueden consultarlas el personal autorizado de WhaTrack y, para atender un reclamo, la Empresa remitente. La aplicación no accede a la galería ni a fotografías previas del dispositivo.

14.4. Datos que la aplicación NO recolecta

• Contactos, mensajes SMS, historial de llamadas o micrófono.
• Archivos, documentos o fotografías ajenas a la evidencia.
• Identificadores publicitarios ni datos para segmentación.
• Historial de navegación ni actividad en otras aplicaciones.

WhaTrack no vende datos personales ni los comparte con redes publicitarias o intermediarios de datos.

14.5. Eliminación de la cuenta y de los datos

El Conductor puede solicitar la eliminación de su cuenta y de los datos personales asociados escribiendo por WhatsApp al +57 333 603 0713 o al correo soporte@whatrack.co, indicando el número de teléfono registrado en la Plataforma.

La solicitud se atiende en un plazo máximo de diez (10) días hábiles. Se eliminan: perfil, historial de ubicaciones, fotografías de evidencia, calificaciones y token de notificaciones. Se conservan, por obligación legal y por el término indicado en la Sección 7, los resultados de verificación de identidad (KYC), la prueba de las autorizaciones y los registros de auditoría, que quedan disociados de cualquier uso operativo.

14.6. Edad mínima

La aplicación está dirigida exclusivamente a personas mayores de dieciocho (18) años y, cuando el vehículo lleva placa, con licencia de conducción vigente, conforme a la Sección 11.

15. Vigencia

La presente Política de Tratamiento de Datos Personales entra en vigencia a partir de su publicación en whatrack.co/privacidad y permanece vigente mientras WhaTrack opere la Plataforma.

Última actualización: octubre de 2026 — Versión 1.3