Política de Privacidad y Tratamiento de Datos Personales

1. Identificación del Responsable del Tratamiento

Pacto Capital es una marca operada por IZARHIRUK LLC, Responsable del Tratamiento de tus datos.

• Razón social: IZARHIRUK LLC
• Domicilio: Sheridan, Wyoming, Estados Unidos
• Dirección: 30 N Gould St, Ste R, Sheridan, WY 82801
• Correo electrónico: hola@pactocapital.app
• Teléfono: +57 300 348 7602

El Responsable del Tratamiento actúa en los términos del Art. 3 lit. e) Ley 1581/2012.

2. Alcance

Esta Política aplica al tratamiento de datos de:

• Usuarios registrados (personas naturales).
• Representantes legales de personas jurídicas que usen la plataforma.
• Visitantes del sitio web que interactúen con formularios o cookies.
• Contrapartes invitadas a una sesión de negociación o firma.

3. Datos personales que recopilamos

3.1. Datos proporcionados por el usuario

• Identidad: nombre completo, tipo y número de documento, NIT (validación DIAN Módulo-11).
• Contacto: correo electrónico, teléfono (opcional).
• Pago: cuando pagas una recarga, el pago con tarjeta lo procesa Stripe (ver §3.3) en su propia página de pago (Stripe Checkout). Pacto Capital no recibe ni guarda el número de tu tarjeta, su vencimiento ni su código de seguridad: los escribes en la página de Stripe. A Stripe le enviamos tu correo electrónico, el monto, la descripción de la recarga y una referencia interna de la compra que incluye el identificador de tu cuenta en Pacto Capital. De lo que Stripe nos devuelve usamos solo el estado del pago, el monto, la moneda y el identificador de la sesión de pago. Si no has pagado nada, no tratamos ningún dato de pago tuyo.
• Contenido: documentos subidos, imágenes de publicidad, texto de piezas, notas de negociación.
• Datos de contraparte: nombre y cédula/NIT de la contraparte cuando el usuario los ingresa.
• Correo para el envío del análisis del escáner (sin sesión iniciada): si en /revisar aceptas la casilla de autorización que aparece junto a un análisis ya terminado, guardamos el correo que escribes, el tipo de contrato analizado y, si lo indicas, tu ciudad. Guardamos también, como prueba de esa autorización, la fecha y hora, tu dirección IP, tu navegador, y el texto exacto de la casilla que aceptaste. Esta captura es independiente de cualquier cuenta: úsala o no, el resultado del escáner en pantalla no cambia. Ver la finalidad específica en §4 y el plazo de conservación en §10.

3.2. Datos recopilados automáticamente

• IP al momento de la firma electrónica: requisito Ley 527/1999.
• Marca de tiempo de acciones (firma, carga de documento, compra de créditos).
• Datos analíticos: cuando Google Analytics 4 está activado en la plataforma, el contenedor de gtag se inicializa con anonymize_ip: true, de modo que las IP se truncan en el navegador antes de enviarse a Google. Detalle verificable en src/app/layout.tsx y aviso de cookies §Analíticas.
• Canal de llegada: si aceptaste las cookies analíticas, la cookie propia pcc_attr recuerda durante 14 días por qué medio llegaste por primera vez. Si creas una cuenta en ese plazo, guardamos ese canal con tu registro. No incluye tu IP, tu navegador ni la página exacta que visitaste.
• Conteo de llegadas por campaña: cuando abres el sitio desde un enlace nuestro que trae parámetros de campaña (utm_source, utm_medium, utm_campaign, utm_content), el servidor suma una llegada a esa campaña. Guardamos solo la fuente, el medio, el nombre de la campaña, la pieza y la sección del sitio a la que llegaste. No usa cookies, no guarda tu IP ni tu navegador, y no se vincula con tu cuenta ni con otras visitas; por eso se cuenta también si rechazaste las cookies analíticas.
• Hash SHA-256 del documento firmado: huella digital, no el documento en sí.
• Huella del contrato analizado en el escáner: cuando usas /revisar guardamos un registro técnico de la lectura (tipo de contrato, resultado, número de cláusulas y de alertas), nunca el texto del contrato ni los títulos de sus cláusulas. El documento se identifica mediante una huella HMAC-SHA-256 calculada con una clave que solo conoce nuestro servidor. Quien no tenga esa clave no puede usar la huella para comprobar que un documento pasó por Pacto, y de la huella no es posible reconstruir el texto. Nosotros sí podemos comparar esa huella con un documento que se vuelva a cargar: así contamos cargas repetidas del mismo documento sin conservarlo. Por eso tratamos la huella como dato seudonimizado, no anonimizado.

3.3. Encargados del Tratamiento (proveedores)

Pacto Capital utiliza los siguientes Encargados (Art. 3 lit. d) Ley 1581/2012). Con cada uno se mantiene o gestiona un contrato de transmisión en los términos del Art. 2.2.2.25.5.2 del Decreto 1074 de 2015 (Art. 25 del Decreto 1377 de 2013):

• Supabase Inc. (matriz EE. UU.; almacenamiento del proyecto en la región South America, São Paulo, Brasil): datos de cuenta, documentos, registro de créditos, corpus.
• Vercel Inc. (EE. UU.): logs de función, tráfico web, despliegue.
• Resend Inc. (EE. UU.): envío de notificaciones, documentos, y el análisis del escáner cuando lo solicitas por correo (§3.1 y §4).
• ImprovMX (fuera de Colombia): recibe y reenvía los correos que nos escribes a hola@pactocapital.app hasta el buzón del Responsable. Trata tu dirección de correo y el contenido del mensaje solo para entregarlo, por cuenta de Pacto Capital. Es una transmisión internacional a un Encargado (Arts. 2.2.2.25.5.1 y 2.2.2.25.5.2 del Decreto 1074 de 2015).
• Stripe, LLC (EE. UU.; con Stripe Payments Company cuando los términos de Stripe la hacen parte): procesa el pago con tarjeta cuando pagas una recarga (§3.1), en su propia página de pago; Pacto Capital no recibe los datos de la tarjeta. Stripe actúa como Encargado cuando procesa el pago por cuenta de Pacto Capital, y como Responsable de sus propios tratamientos (prevenir el fraude, cumplir sus obligaciones legales, incluidas las de prevención del lavado de activos, y mejorar sus servicios), que se rigen por su política de privacidad en stripe.com/privacy.
• Google LLC (Google Analytics 4): datos analíticos, IP anonimizada, con consentimiento del usuario.
• Groq Inc. (EE. UU.): inferencia de IA sobre texto residual sin datos identificadores directos.
• Cloudflare Inc. (EE. UU.): CDN, embeddings, inferencia de IA cuando aplique.
• Anthropic PBC (EE. UU., cuando aplique): fallback de IA, sin datos directamente identificadores.

Política de PII: los datos de identificación directa de personas naturales se procesan preferentemente en infraestructura propia o a través de modelos de IA locales (Ollama). Cuando es indispensable enviar texto a un proveedor externo, se aplican técnicas de minimización y disociación; no se envían cédulas, números de cuenta bancaria, ni datos sensibles a servicios externos de IA.

4. Finalidades del tratamiento

1. Autenticación y seguridad: verificar identidad y prevenir fraudes.
2. Prestación del servicio de software: generar documentos, procesar análisis, gestionar negociaciones, registrar firmas electrónicas, ejecutar el sistema de créditos.
3. Procesamiento de pagos: gestionar compras de créditos.
4. Cumplimiento legal: conservar registros de firma (Ley 527/1999), atender requerimientos de autoridades.
5. Comunicaciones del servicio: notificar eventos en la cuenta.
6. Mejora del software: medir cómo se comporta el motor de análisis sobre contratos reales. Para ello conservamos, por cada análisis, un registro derivado (tipo de contrato, bandas de resultado, conteos de cláusulas y de alertas, identificadores de regla y versión del motor) junto a la huella seudonimizada descrita en 3.2, nunca el texto del contrato. Si el análisis lo hace un usuario con sesión iniciada, el registro queda asociado a su cuenta; si no, no se guarda ningún identificador, salvo que aceptes por separado la oferta de envío del análisis por correo descrita en el numeral siguiente, cuyo tratamiento y evidencia se rigen por §3.1 y no por este numeral. También analizamos patrones de uso agregados.
7. Envío del análisis del escáner por correo, a tu solicitud: cuando usas /revisar sin haber iniciado sesión y aceptas la casilla de autorización, usamos el correo que nos das para enviarte, una sola vez, el mismo análisis que ya viste en pantalla. No usamos ese correo para publicidad ni lo compartimos con terceros, y no lo asociamos a los registros derivados descritos en el numeral anterior. Datos guardados como evidencia en §3.1; base legal en §5.1; conservación en §10.
8. Medición de canales de adquisición: contar cuántas cuentas llegan por cada canal y cuántas visitas llegan desde cada enlace de campaña. Se reporta de forma agregada; no se usa para perfilarte ni para enviarte publicidad.
9. Atención al usuario: responder soporte y reclamaciones, incluidas las consultas sin sesión con un correo de contacto.
10. Auditoría y prueba: registros mínimos para acreditar el servicio prestado.

Finalidades que requieren autorización adicional: envío de marketing, compartir datos con aliados comerciales con fines distintos, uso de contenido identificable para entrenar modelos de IA propios o de terceros (no se realiza salvo consentimiento explícito independiente).

Principios aplicables (Art. 4 Ley 1581/2012): legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.

5. Base legal del tratamiento

La Ley 1581/2012 distingue, de un lado, los tratamientos que requieren autorización del Titular (Art. 9) y, del otro, los tratamientos que están exceptuados del requisito de autorización por estar autorizados expresamente por la ley (Art. 10). Pacto Capital se ampara en una u otra base según el tipo de dato y la finalidad. Esta sección las presenta separadas para que el Titular pueda identificar la base aplicable a cada tratamiento. Además, por separado, informa las conservaciones que otras normas exigen y los casos en que existe un deber de permanecer en la base de datos (numeral 5.4).

5.1. Tratamientos basados en autorización (Art. 9 Ley 1581/2012). Requieren la autorización previa, expresa e informada del Titular. Caen aquí: la activación de cookies analíticas (cuando el banner las habilite), incluida la cookie de canal de llegada y su asociación a la cuenta, el envío de comunicaciones de marketing (no activo hoy), cualquier uso de datos identificables para entrenamiento de modelos de IA propios o de terceros, y el envío por correo del análisis del escáner cuando no hay sesión iniciada (§3.1 y §4). El momento en que se obtiene y registra esta autorización no es el mismo para todos: para usuarios registrados se otorga al momento del registro, con marca de tiempo electrónica; para el envío del análisis del escáner sin sesión, se otorga en el momento mismo de la solicitud, mediante la casilla descrita en §3.1, cuyo texto exacto conservamos junto con la fecha, la dirección IP y el navegador como prueba de lo que el Titular autorizó (Art. 12 PARÁGRAFO Ley 1581/2012).

5.2. Tratamientos operativos, amparados en esa misma autorización (Art. 9 Ley 1581/2012). Son los tratamientos necesarios para prestarte el servicio que solicitaste, y se amparan en la autorización que otorgas al registrarte, no en una excepción legal. Caen aquí: autenticación y mantenimiento de sesión, generación de documentos, procesamiento de pagos a través del procesador de pagos (Stripe), firma electrónica con sus metadatos (IP, marca de tiempo, hash SHA-256), y el registro técnico del análisis de un contrato en el escáner.

Precisión sobre el marco aplicable: la Ley 1581/2012 no contempla una excepción de “necesidad contractual”. El Art. 10 es una lista cerrada de cinco literales: a) requerimiento de entidad pública o administrativa en ejercicio de sus funciones legales u orden judicial; b) datos de naturaleza pública; c) urgencia médica o sanitaria; d) tratamiento autorizado por la ley para fines históricos, estadísticos o científicos; e) datos del Registro Civil. Ninguno de ellos corresponde a la ejecución de un contrato. La figura equivalente del RGPD europeo (Art. 6.1.b) no tiene análogo en la ley colombiana. Por eso estos tratamientos se apoyan en tu autorización del Art. 9 y no en el Art. 10.

5.3. Tratamientos exceptuados de autorización por requerimiento de autoridad pública u orden judicial (Art. 10 lit. a) Ley 1581/2012). No requieren autorización separada porque la ley autoriza directamente el tratamiento. Cae aquí la atención de requerimientos motivados de autoridades administrativas y judiciales.

5.4. Conservación y deber de permanecer. La revocación de la autorización y la solicitud de supresión no proceden mientras exista un deber legal o contractual de permanecer en la base de datos (Art. 2.2.2.25.2.6 del Decreto 1074/2015, que compiló el Art. 9 del Decreto 1377/2013, y condicionamiento de la Sentencia C-748 de 2011 al Art. 8 lit. e) de la Ley 1581/2012). Esto cubre dos supuestos:

a) Deber contractual. Mientras un acuerdo firmado a través de la plataforma siga produciendo efectos entre el Titular y su contraparte, conservamos el registro de la firma electrónica (identificación del firmante, IP, marca de tiempo y hash SHA-256 del documento), porque es la prueba del acto para ambas partes. Precisamos que la Ley 527/1999 no impone ese deber de conservación: sus Arts. 10 a 12 regulan la fuerza probatoria del mensaje de datos y las condiciones bajo las cuales conservarlo electrónicamente satisface un deber establecido en otra norma. El Decreto 2364/2012 tampoco fija plazo alguno: reglamenta el Art. 7 de la Ley 527/1999 sobre firma electrónica.

b) Deber legal. Si el Responsable llega a estar sujeto a los impuestos administrados por la DIAN, los soportes contables y tributarios se conservan por el término que fije la ley tributaria. No anunciamos una cifra en años, porque la norma vigente no la expresa así: el Art. 46 de la Ley 962 de 2005, modificado por el Art. 304 de la Ley 1819 de 2016, dispone que «el período de conservación de informaciones y pruebas a que se refiere el artículo 632 del Estatuto Tributario será el mismo término de la firmeza de la declaración tributaria correspondiente». La firmeza se mide declaración por declaración. Ese deber recae sobre los soportes contables y tributarios, no sobre la cuenta del Titular ni sobre los documentos que genera en la plataforma.

Extinguido el deber o cumplido el plazo, el dato se suprime. Ninguno de estos supuestos es una excepción del Art. 10 de la Ley 1581/2012.

5.5. Revocación de la autorización. El Titular puede revocar su autorización en cualquier momento y la revocación no tiene efectos retroactivos. Admitimos la revocación parcial, referida solo a algunas finalidades. Las consecuencias no son las mismas en los dos casos:

a) Revocar el numeral 5.1 (cookies analíticas, marketing, entrenamiento de modelos con datos identificables) no afecta la cuenta ni el acceso al servicio. Esas finalidades son facultativas y separables: aceptarlas nunca es condición para usar la plataforma.

b) Revocar el numeral 5.2 deja sin base los tratamientos indispensables (autenticación, generación de documentos, pagos y firma) y por lo tanto termina el uso del servicio. No es una sanción: como la Ley 1581/2012 no contempla una base de necesidad contractual, la autorización del Titular es la única base disponible para prestarlo.

Límite. La revocación y la supresión no proceden mientras exista un deber legal o contractual de permanecer en la base de datos (numeral 5.4). Típicamente, un contrato firmado por el Titular y aún vigente frente a su contraparte. Extinguido ese deber, el Titular ejerce su derecho de supresión conforme al Art. 8 de la Ley 1581/2012 y a la sección 7 de esta Política.

6. Datos sensibles

Pacto Capital no recopila intencionalmente datos sensibles (Art. 5 Ley 1581/2012). Si un usuario sube contenido que los contenga, se procesan exclusivamente para prestar el servicio solicitado.

7. Derechos del Titular

De conformidad con el Art. 8 Ley 1581/2012, el Titular tiene derecho a:

• Conocer / Acceder a sus datos y a la finalidad del tratamiento.
• Actualizar / Rectificar datos parciales o inexactos.
• Suprimir / Cancelar cuando el tratamiento no se ajuste a los principios legales.
• Revocar la autorización total o parcial.
• Solicitar prueba de la autorización otorgada.
• Ser informado sobre el uso dado a sus datos.
• Presentar quejas ante la SIC.
• Oponerse al tratamiento para finalidades específicas (especialmente marketing).

Estos derechos se ejercen en los términos de la Ley 1581/2012. En particular, la revocación de la autorización y la solicitud de supresión no proceden mientras exista un deber legal o contractual de permanecer en la base de datos (numerales 5.4 y 5.5 de esta Política).

Cómo ejercer sus derechos

Enviar solicitud por los canales de soporte publicados en la plataforma, con asunto: "Solicitud derecho del Titular, Ley 1581/2012, [Nombre del titular]".

Plazo de respuesta para consultas (Art. 14): diez (10) días hábiles, prorrogables por cinco (5).

Plazo de respuesta para reclamos (Art. 15): quince (15) días hábiles, prorrogables por ocho (8).

8. Queja ante la SIC

Si la respuesta no es satisfactoria, el Titular puede presentar queja ante la Superintendencia de Industria y Comercio, Delegatura para la Protección de Datos Personales:

• Sitio web: www.sic.gov.co
• Línea gratuita: 01 8000 910 165
• Correo: contactenos@sic.gov.co
• Dirección: Carrera 13 No. 27-00, Piso 3, Bogotá D.C.

9. Transferencias internacionales

9.1. Las transferencias internacionales (a otro Responsable) se rigen por el Art. 26 de la Ley 1581 de 2012. Las transmisiones internacionales (a un Encargado que trata los datos por cuenta de Pacto Capital) se rigen por los Arts. 2.2.2.25.5.1 y 2.2.2.25.5.2 del Decreto 1074 de 2015, que compilaron los Arts. 24 y 25 del Decreto 1377 de 2013.

9.2. Países destino: EE. UU. (Vercel, Resend, Google, Groq, Cloudflare, Anthropic, Stripe; matrices de Supabase Inc. y demás Encargados) y Brasil (almacenamiento del proyecto Supabase en la región South America, São Paulo). Cuando pagas una recarga, los datos del pago descritos en §3.1 van a Stripe en EE. UU.: como transmisión a un Encargado, para procesar el pago, y como transferencia a Stripe como Responsable, para sus propios fines descritos en §3.3. Los correos que nos escribes a hola@pactocapital.app pasan por ImprovMX, que trata los datos fuera de Colombia como Encargado (§3.3).

9.3. Garantías contractuales: en el caso de Stripe, su contrato de servicios incorpora su acuerdo de tratamiento de datos: obliga a Stripe a tratar los datos según las instrucciones de Pacto Capital, a mantener un programa de seguridad de la información y a que su personal guarde confidencialidad. En el caso de ImprovMX, el reenvío se presta bajo sus términos de servicio y se limita a entregar el correo.

9.4. Autorización del Titular. Mediante la aceptación de esta Política, el Titular autoriza expresamente la transmisión y la transferencia internacional de sus datos a los destinatarios listados en la sección 3.3 (Art. 26 lit. a) Ley 1581/2012). Adicionalmente, antes del lanzamiento público, el flujo de registro incorporará una autorización afirmativa separada para esta transmisión internacional, de modo que el consentimiento sea libre, expreso e inequívoco en cumplimiento del Art. 26 Ley 1581/2012 y de los Arts. 24 y 25 del Decreto 1377/2013. Dicha autorización podrá revocarse en los términos del numeral 5.5 de esta Política.

10. Conservación de datos

El Art. 2.2.2.25.2.8 del Decreto 1074/2015 plantea la conservación como una condición, no como una cifra: los datos se tratan «durante el tiempo que sea razonable y necesario» según la finalidad que los justificó y se suprimen cumplida esa finalidad, salvo deber legal o contractual de conservarlos. Por eso esta sección describe condiciones. Donde aparece un plazo, es un compromiso operativo propio, no un término que nos imponga una norma.

• Datos de cuenta: mientras la cuenta esté vigente. Al cerrarla se suprimen, salvo que quede pendiente un deber legal o contractual de los descritos en el numeral 5.4.
• Registros de firma electrónica (identificación del firmante, IP, marca de tiempo y hash SHA-256): mientras el acuerdo firmado siga produciendo efectos entre las partes, porque es la prueba del acto para ambas (numeral 5.4 a).
• Registro derivado del análisis de contratos (§3.2): 24 meses desde el análisis, con supresión automática programada. Compromiso propio. No incluye el texto del contrato.
• Datos de transacción de créditos: mientras la cuenta esté vigente y, después, únicamente lo que quede cubierto por el deber legal descrito en el numeral 5.4 b.
• Documentos generados: hasta que el Titular solicite su supresión, salvo que quede pendiente un deber legal o contractual de los descritos en el numeral 5.4.
• Correo capturado en el escáner para el envío del análisis (§3.1 y §4): la finalidad se agota al enviarse el correo. Conservamos el registro (correo, tipo de contrato, ciudad si la diste, y la evidencia de autorización descrita en §3.1) como prueba del cumplimiento del deber de informar (Art. 12 PARÁGRAFO Ley 1581/2012), hasta que el Titular solicite su supresión o revoque la autorización escribiendo a hola@pactocapital.app. No reutilizamos este correo para enviar nada distinto de lo que autorizaste.
• Correo de contacto de una consulta sin sesión: mientras la consulta esté abierta; una vez cerrada, hasta que el Titular solicite su supresión escribiendo a hola@pactocapital.app.
• Datos analíticos GA4: 14 meses. Configuración propia.
• Canal de llegada asociado al registro: 14 meses desde el registro, o hasta el cierre de la cuenta si ocurre antes; después queda solo como conteo agregado. Compromiso propio.
• Logs de IA: 30 días, eliminación automática. Compromiso propio.

Cambio del 31 de agosto de 2026. Esta sección anunciaba plazos fijos en años apoyados en el Art. 632 del Estatuto Tributario y en el Art. 60 del Código de Comercio. Se retiraron. El período de conservación del material del Art. 632 lo fija hoy el Art. 46 de la Ley 962 de 2005, modificado por el Art. 304 de la Ley 1819 de 2016, por remisión a la firmeza de la declaración tributaria, que no es un número uniforme de años. Y el Art. 60 del Código de Comercio obliga al comerciante respecto de sus libros de comercio, calidad que esta Política no acredita. El Art. 29 de la Ley 1480 de 2011 hace vinculantes las condiciones que se anuncian, de modo que preferimos no anunciar un plazo que no podemos sostener.

11. Medidas de seguridad y notificación de incidentes

11.1. Medidas técnicas:

• Cifrado en tránsito (TLS 1.2+) y en reposo (AES-256).
• Row Level Security (RLS) en la base de datos.
• Comparación de tokens en tiempo constante (crypto.timingSafeEqual()).
• Segregación cliente / servidor de secretos.
• Rate limiting (Upstash Redis).
• Auditoría de operaciones administrativas con verificación de autorización.

11.2. Notificación (Circular Externa 002 de 2015 SIC). En caso de incidente de seguridad material, Pacto Capital informará a la SIC en los plazos regulatorios y notificará a los Titulares afectados al correo registrado.

11.3. RNBD. Pacto Capital inscribirá sus bases de datos en el RNBD (Registro Nacional de Bases de Datos) administrado por la SIC una vez iniciada la operación.

12. Uso de inteligencia artificial

12.1. Pacto Capital no utiliza IA generativa para redactar el texto de los documentos. Las cláusulas son determinísticas.

12.2. La IA se usa para clasificación, extracción de cláusulas suministradas por el usuario, consulta de jurisprudencia, asistencia en negociación bilateral y respuesta a preguntas de soporte.

12.3. Ningún dato personal de alta sensibilidad se envía a servicios de IA externos.

12.4. El software informa claramente cuándo un análisis fue producido por un sistema automatizado.

13. Menores de edad

La plataforma está dirigida a mayores de 18 años. Pacto Capital no recolecta intencionalmente datos de menores. Si se detecta, procederá a suspender la cuenta y eliminar los datos, salvo obligación legal de conservación.

14. Datos no cubiertos por esta Política

14.1. Habeas Data Financiero (Ley 1266/2008). Pacto Capital no opera bases de datos crediticias ni reporta a centrales de riesgo.

14.2. Contraparte ingresada por el usuario. Cuando el usuario ingresa datos de una contraparte, actúa como Responsable o Encargado de esos datos. Pacto Capital los trata como Encargado para la finalidad específica del servicio solicitado.

15. Cambios a esta Política

Pacto Capital puede actualizar esta Política. Los cambios sustanciales se notificarán con 15 días de anticipación al correo registrado. La versión vigente siempre está disponible en https://pactocapital.app/legal/privacidad.

16. Vigencia

Esta Política entra en vigor en la fecha de publicación y permanece vigente hasta su actualización o derogación expresa.

Este documento es un borrador en preparación. El fundador y un abogado revisarán antes de la entrada en vigor.