Política de Tratamiento de Datos Personales

1. Marco normativo

Esta política describe cómo VoyYa recolecta, usa, almacena y protege los datos personales de pasajeros, conductores, empresas afiliadas y las personas que las administran, en cumplimiento de la Ley 1581 de 2012 (Régimen General de Protección de Datos Personales), su decreto reglamentario 1377 de 2013, y demás normas colombianas aplicables sobre protección de datos personales (habeas data).

2. Identificación del Responsable del Tratamiento

El Responsable del Tratamiento de los datos personales descritos en esta política es:

Estos datos identifican a la persona jurídica responsable de decidir para qué se tratan los datos personales que recolecta VoyYa y ante quién puedes ejercer los derechos descritos en esta política. Esta política no puede publicarse en producción sin completarlos.

3. Definiciones básicas

• Dato personal: cualquier información vinculada a una o varias personas naturales determinadas o determinables, como tu nombre, tu número de teléfono, tu cédula o tu ubicación.
• Titular: la persona natural cuyos datos personales son objeto de tratamiento (tú, si usas VoyYa como pasajero o conductor, o la persona natural detrás de una empresa afiliada persona natural).
• Tratamiento: cualquier operación sobre datos personales, como su recolección, almacenamiento, uso, circulación o eliminación.
• Responsable del tratamiento: quien decide sobre la base de datos y/o el tratamiento (identificado en la sección anterior).
• Encargado del tratamiento: quien trata datos personales por cuenta del responsable, siguiendo sus instrucciones (por ejemplo, los proveedores tecnológicos descritos en la sección 9).
• Autorización: el consentimiento previo, expreso e informado del titular para que sus datos personales sean tratados.

4. Qué datos tratamos y para qué

No tratamos datos "por si acaso": cada dato que recolectamos tiene una finalidad concreta, ligada a poder prestarte el servicio o a que la empresa afiliada pueda operar dentro de VoyYa. Esta tabla lo describe dato por dato.

No solicitamos ni almacenamos datos de tarjetas de crédito o débito, ni información bancaria: el pago del servicio de transporte se hace en efectivo, directamente entre pasajero y conductor, sin que VoyYa lo procese.

5. Autorización y cómo revocarla

Al registrarte como pasajero, al ser registrado como conductor por una empresa afiliada, o al enviar una solicitud de afiliación como empresa, autorizas el tratamiento de tus datos personales para las finalidades descritas en la sección anterior. Estamos completando, dentro de la aplicación y del formulario de afiliación, el mecanismo para que esa autorización quede registrada de forma explícita y verificable en el momento del registro; mientras eso avanza, esta política describe con precisión el alcance del tratamiento que ya realizamos y el canal para que ejerzas tus derechos en cualquier momento.

Puedes revocar tu autorización cuando quieras escribiendo al correo de la sección Cómo ejercer tus derechos. Ten en cuenta que revocarla puede significar que no podamos seguir prestándote el servicio: por ejemplo, sin tu ubicación no podemos asignarte un conductor cercano, y sin los documentos del conductor no podemos mantener activa su habilitación dentro de la plataforma.

6. Datos de menores de edad

VoyYa está dirigido a personas mayores de edad. No solicitamos intencionalmente datos personales de menores de edad, ni permitimos que se registren como pasajeros, conductores o representantes de una empresa afiliada. Si llegamos a identificar que se registró una cuenta de una persona menor de edad sin la autorización de quien ejerce su patria potestad o representación legal, la desactivaremos y eliminaremos los datos asociados tan pronto tengamos conocimiento de ello, salvo que la ley nos exija conservar alguno de esos datos.

7. Datos del conductor cargados por la empresa

Hoy, los datos personales del conductor —incluidos su cédula, su licencia y las fotografías de sus documentos— los carga en el sistema la empresa afiliada al registrarlo, y no el conductor directamente. Reconocemos que esto exige un cuidado adicional bajo la Ley 1581, que requiere autorización previa, expresa e informada del titular de los datos.

Mientras completamos el mecanismo para que cada conductor otorgue esa autorización de forma explícita y directa dentro de la aplicación, la empresa afiliada declara, al registrar a un conductor, contar con su autorización para tratar sus datos personales con las finalidades descritas en esta política. El conductor puede ejercer, en cualquier momento y por el mismo canal que cualquier otro titular, los derechos descritos en las secciones 11 y 12 de este documento —incluida la posibilidad de pedir que le mostremos qué datos suyos tenemos registrados o de revocar su autorización—, con independencia de que haya sido la empresa quien los cargó.

8. Conservación de los datos

Hoy no tenemos definido un plazo fijo de conservación para cada tipo de dato, ni un mecanismo automatizado que los elimine al vencerse ese plazo; es un punto que estamos trabajando antes de recibir usuarios reales del piloto. Lo decimos con esa claridad porque preferimos que sepas exactamente en qué estado está esto, en lugar de prometer un plazo que hoy no aplicamos.

Mientras ese mecanismo se define e implementa, aplicamos el siguiente criterio de conservación: guardamos tus datos personales mientras la relación que los originó esté vigente —tu cuenta de pasajero, tu vinculación como conductor a una empresa afiliada, o la afiliación activa de una empresa— y, adicionalmente, durante el tiempo que sea necesario para atender obligaciones legales, contables o de auditoría relacionadas con el servicio prestado. La única excepción es la ubicación del conductor, que sí tiene una purga automática: se elimina tras un período corto de inactividad, sin necesidad de que nadie lo solicite.

Si quieres que suprimamos o anonimicemos tus datos antes de que termine esa relación, puedes pedirlo por el canal descrito en la sección Cómo ejercer tus derechos. Hoy atendemos esa solicitud de forma manual, dentro de los plazos legales de esta política, porque todavía no existe una función para hacerlo por tu cuenta dentro de la aplicación.

9. Encargados del tratamiento y transmisión a terceros

Por regla general, no compartimos tus datos personales con terceros distintos de la empresa afiliada que te presta el servicio de transporte. Para poder operar, sin embargo, algunos datos pasan por proveedores tecnológicos que actúan como Encargados del Tratamiento por cuenta de VoyYa, siguiendo nuestras instrucciones y únicamente para las finalidades ya descritas:

• Railway — aloja la base de datos y el servidor de la aplicación (la API) que procesa tus datos.
• Twilio — envía los mensajes de texto (SMS) con tu código de verificación como pasajero o el PIN de acceso del conductor.
• SendGrid (producto de correo de Twilio) — envía las notificaciones por correo electrónico durante el proceso de afiliación de una empresa (confirmaciones, solicitud de documentos, credenciales de acceso).
• Mapbox — provee los mapas, el cálculo de rutas y la geocodificación de direcciones que usa la aplicación.

Algunos de estos proveedores procesan datos en servidores ubicados fuera de Colombia, lo que constituye una transmisión internacional de datos personales. Estamos trabajando en formalizar con cada uno de ellos los contratos de transmisión que exige la ley colombiana para este tipo de flujo; hasta que eso se complete, esta situación queda declarada aquí de forma explícita, como una tarea pendiente antes de que el sistema reciba usuarios reales del piloto, y no como un hecho oculto.

No vendemos tus datos personales a nadie, ni los usamos con fines publicitarios de terceros.

10. Medidas de seguridad

Aplicamos medidas técnicas y organizativas razonables y proporcionales al tipo de dato que tratamos, entre ellas:

• Toda la comunicación entre la aplicación y nuestros servidores viaja cifrada (HTTPS/TLS).
• Las contraseñas se almacenan mediante una función de cifrado unidireccional (hash), nunca en texto plano.
• El acceso a la información de cada empresa afiliada está aislado del de las demás mediante control de acceso a nivel de fila en la base de datos: el personal de una empresa no puede consultar conductores, viajes ni solicitudes de otra empresa.
• Los documentos legales de empresas y conductores se almacenan de forma privada y se entregan mediante enlaces temporales de pocos minutos de duración; no existen enlaces públicos permanentes a esos archivos.
• El acceso administrativo a los sistemas está limitado al personal que opera la plataforma.

Ninguna medida de seguridad es infalible, pero estas están diseñadas y verificadas para proteger razonablemente tus datos frente a acceso no autorizado, pérdida o uso indebido.

11. Derechos del titular

Como titular de tus datos personales, tienes derecho a:

• Conocer, actualizar y rectificar tus datos personales frente a nosotros.
• Solicitar prueba de la autorización que nos otorgaste, salvo que la ley te exima de ese requisito.
• Ser informado, previa solicitud, sobre el uso que le hemos dado a tus datos personales.
• Presentar una queja ante la Superintendencia de Industria y Comercio por infracciones a la Ley 1581 de 2012, una vez hayas agotado el trámite de consulta o reclamo ante nosotros.
• Revocar la autorización y/o solicitar la supresión de tus datos, cuando no exista un deber legal o contractual que nos obligue a conservarlos.
• Acceder de forma gratuita a tus datos personales que hayan sido objeto de tratamiento.

12. Cómo ejercer tus derechos

Puedes ejercer cualquiera de los derechos anteriores escribiendo al correo [CORREO DE HABEAS DATA] (ver la identificación completa del Responsable en la sección 2), indicando tu nombre completo, el número de teléfono o correo con el que usas VoyYa, y una descripción clara de lo que solicitas.

Hoy atendemos estas solicitudes de forma manual, revisadas por una persona, y no a través de una función de autogestión dentro de la aplicación. Esto no cambia los plazos legales que se aplican a tu solicitud:

• Consultas (por ejemplo, pedir copia de tus datos): respondidas dentro de los 10 días hábiles siguientes a la fecha de recibo. Si no es posible resolverla en ese plazo, te informaremos los motivos y la fecha en que la atenderemos, que no podrá superar 5 días hábiles adicionales.
• Reclamos (por ejemplo, pedir corrección, actualización, supresión o revocar tu autorización): respondidos dentro de los 15 días hábiles siguientes a la fecha de recibo. Si no es posible resolverlo en ese plazo, te informaremos los motivos y la fecha en que lo atenderemos, que no podrá superar 8 días hábiles adicionales. Si tu reclamo está incompleto, te pediremos que lo completes dentro de los 5 días siguientes a su recepción; si no respondes dentro de los dos meses siguientes, entenderemos que desististe del reclamo.

Mientras se resuelve un reclamo, el dato correspondiente quedará marcado como "en trámite" en nuestros sistemas.

13. Autoridad de control

La autoridad de control en materia de protección de datos personales en Colombia es la Superintendencia de Industria y Comercio (SIC). Puedes acudir a ella una vez hayas agotado el trámite de consulta o reclamo directamente ante nosotros, en los términos de la Ley 1581 de 2012.

14. Registro Nacional de Bases de Datos

La Ley 1581 de 2012 exige, según el volumen y tipo de datos tratados, inscribir las bases de datos ante el Registro Nacional de Bases de Datos (RNBD) administrado por la SIC. Estamos evaluando si el volumen de datos que trataremos durante el piloto exige esa inscripción; si corresponde, la haremos antes de que el sistema reciba usuarios reales.

15. Cambios a esta política

Podemos actualizar esta política para reflejar cambios en el tratamiento de datos que hacemos, en nuestros proveedores o en la ley aplicable. Cuando eso ocurra, publicaremos la nueva versión en esta misma página con su fecha de edición actualizada. Si el cambio afecta la finalidad para la que recolectamos un dato, te lo avisaremos de forma visible en la aplicación antes de que entre en vigor, y podrás ejercer tus derechos frente a ese cambio.

16. Contacto

Para cualquier pregunta sobre esta política que no sea una consulta o un reclamo formal, puedes escribirnos a jhonnier98t@gmail.com. Para ejercer tus derechos como titular de datos personales, usa el correo de habeas data identificado en la sección 2 y descrito en la sección Cómo ejercer tus derechos.