Política de Privacidad

1. Responsable del tratamiento

Flota Inteligente, operado por FLOTA INTELIGENTE SAS, identificada con NIT 902.071.976-9, domiciliado en Carrera 7 #116-50, Bogotá D.C., Colombia, es el Responsable del tratamiento de sus datos personales, en cumplimiento de la Ley Estatutaria 1581 de 2012 y el Decreto 1377 de 2013.

Contacto: contacto@flotainteligente.com

2. Datos personales que recopilamos

a) Datos de cuenta y organización

• Nombre completo del usuario y nombre de la organización
• Correo electrónico (autenticación y notificaciones)
• Número de identificación: C.C. (persona natural) o NIT (persona jurídica)
• Número de celular (opcional)
• Logo de la empresa (imagen almacenada en Supabase Storage)
• Contraseña en hash bcrypt — nunca almacenamos la contraseña en texto plano

b) Datos obtenidos a través de Google OAuth

• Nombre y apellido registrados en Google
• Dirección de correo electrónico de Google
• URL de foto de perfil de Google
• Identificador único de cuenta de Google (sub)

Solo cuando el usuario elige "Iniciar sesión con Google". FI no solicita ni almacena la contraseña de Google.

c) Datos de vehículos

• Placa, categoría, tipo de servicio, marca, modelo, año, color, kilometraje
• Archivos de documentos vehiculares: SOAT, Tecnomecánica, Tarjeta de Operación, Pólizas RC, Licencia de Tránsito, Impuesto de Rodamiento, Tarjeta de Registro de Carga (almacenados en Supabase Storage)
• Registros de mantenimientos (título, fecha, kilometraje, costo, archivo adjunto)
• Comparendos registrados en el SIMIT para la placa consultada

d) Datos de conductores

• Nombre completo, correo electrónico y número de identificación del conductor
• Comparendos, deudas y estado de la licencia de conducción registrados en el SIMIT para ese número de identificación, consultados al momento de vincular al conductor — visibles únicamente para el propietario/administrador de la Organización
• Número y fecha de vencimiento de la licencia de conducción
• Fotografía del conductor y datos de seguridad social: EPS, fondo de pensiones, ARL y caja de compensación (cuando la Organización los registra)
• Archivos escaneados: licencia de conducción, cédula de ciudadanía y certificado de afiliación a ARL (almacenados en Supabase Storage)

e) Datos de pago

• Referencia de pago y estado de la transacción — gestionados por Wompi (Bancolombia)
• Plan activo, cantidad de licencias y fecha de vencimiento de la suscripción
• FI no almacena números de tarjeta de crédito/débito ni datos bancarios sensibles. Toda la información de pago es procesada directamente por Wompi.

f) Datos técnicos y de uso

• Dirección IP y ubicación aproximada (ciudad/país). La dirección IP también se usa para limitar el número de peticiones y prevenir abusos (Upstash) y, en el formulario de contacto, para la verificación anti-bots (Cloudflare Turnstile)
• Si autoriza la ubicación del navegador en la página de inicio o en el registro, sus coordenadas se envían a OpenStreetMap (Nominatim) solo para identificar su ciudad; la ciudad se guarda en su navegador
• Registros de errores y grabación de una muestra de sesiones (Sentry): si ocurre un error, y en una pequeña muestra de visitas, se registran los datos técnicos del fallo y una grabación de la sesión (navegación y clics) con todo el texto, los campos y las imágenes enmascarados
• Tipo de dispositivo, sistema operativo y versión del navegador (User-Agent)
• Registros de acceso: fecha, hora, acciones realizadas, errores del sistema
• Datos de comportamiento en la plataforma recopilados por Google Analytics 4 (páginas visitadas, eventos, duración de sesión). Si no acepta las cookies en el banner, Google Analytics funciona en modo de consentimiento denegado: no crea cookies y solo recibe señales sin cookies, que incluyen la dirección IP y datos del navegador, para estadísticas agregadas
• Datos de rendimiento de campañas publicitarias recopilados por Meta Pixel, que solo se carga si elige "Aceptar todo" en el banner de cookies

g) Token de notificaciones push (app móvil)

• Expo Push Token: identificador único del dispositivo para el envío de notificaciones push
• Plataforma del dispositivo (iOS o Android)

Solo se recopila si el usuario instala la app móvil y otorga permiso de notificaciones. El token se elimina al cerrar sesión.

h) Datos de Google Calendar (opcional, planes Plus y Business)

• Token de acceso y token de actualización de Google Calendar, necesarios para crear y modificar eventos en el calendario del usuario
• Identificadores de eventos del calendario creados por FI (almacenados internamente para permitir actualizaciones y eliminaciones)

Solo se recopila si el usuario de plan Plus o Business conecta voluntariamente su Google Calendar desde Ajustes. FI únicamente crea, actualiza y elimina los eventos de vencimiento que el propio usuario gestiona; no lee eventos existentes del calendario ni accede a ningún otro dato de la cuenta de Google. La conexión puede revocarse en cualquier momento desde Ajustes → Integraciones.

i) Datos de transporte especial (FUEC), planes con módulo habilitado

• Datos de la habilitación de la empresa y de los contratos de transporte (contratante, objeto, vigencia, archivos PDF cargados)
• Datos del contratante y evidencia de la firma electrónica captada por enlace (nombre, identificación, fecha y hora de la firma)
• Certificado de firma digital (.p12) de la Organización y su contraseña, almacenados de forma cifrada y usados únicamente para firmar los FUECs que el propio Usuario ordena emitir
• Registros del control preoperacional de vehículos y conductores

Solo se recopila en las Organizaciones habilitadas que activan el módulo de transporte especial. El FUEC se expide bajo la habilitación y la firma de la Organización; FI actúa únicamente como herramienta. El certificado y su contraseña pueden eliminarse en cualquier momento desde los ajustes del módulo.

j) Listas de espera de nuevas funcionalidades

• Correo electrónico —y, según el caso, empresa, teléfono, ciudad y número de vehículos— que el interesado deja voluntariamente para ser avisado sobre funcionalidades en desarrollo (por ejemplo, la app iOS o el manifiesto de carga; también se recibieron registros para el GPS cuando aún estaba en desarrollo, hoy disponible en el módulo Programación de servicios)

k.1) Ubicación GPS del conductor durante un servicio en curso (app móvil, módulo Programación de servicios)

• Qué se recopila: la ubicación GPS (latitud y longitud) del dispositivo del conductor y la hora de cada lectura.
• Cuándo: únicamente mientras el conductor tiene un servicio en curso — desde que toca "Iniciar servicio" en la app móvil hasta que el servicio se completa, se cancela o se elimina. Fuera de esa ventana no se rastrea. Con la app en segundo plano, el sistema operativo muestra una notificación visible mientras se comparte la ubicación.
• Quién la ve: los coordinadores (propietario y administradores) de la Organización para la que trabaja el conductor, y el cliente de ese servicio a través de un enlace privado de seguimiento que solo muestra la ubicación mientras el servicio está en curso.
• Cuánto se guarda: los puntos de ubicación se eliminan al finalizar el servicio. Solo se conserva una imagen del recorrido dentro del PDF de evidencia del servicio.

Solo se recopila si el conductor usa la app móvil y otorga el permiso de ubicación, que la app solicita explicando antes su motivo. El conductor puede negarlo o revocarlo en los ajustes del dispositivo: el servicio se puede iniciar y completar igual, sin compartir ubicación. El enlace web del conductor no comparte ubicación.

k.2) Ubicación del vehículo con dispositivo GPS instalado (rastreo de flota 24 horas)

• Qué se recopila: la ubicación (latitud y longitud) y la hora de cada reporte del dispositivo GPS instalado en el vehículo.
• Cuándo: de forma continua, las 24 horas, mientras el dispositivo esté instalado en el vehículo y vinculado a la cuenta de la Organización. El dispositivo es un servicio adicional que la Organización solicita y paga por vehículo.
• Quién la ve: el propietario y los administradores de la Organización dueña de la cuenta.
• Cuánto se guarda: mientras la cuenta esté activa y el dispositivo siga vinculado, según la sección 7.

El dispositivo registra la ubicación del vehículo y, por lo tanto, la de quien lo conduce. La Organización, como Responsable del tratamiento frente a sus conductores, debe informarles que el vehículo cuenta con rastreo GPS permanente y obtener su autorización cuando la ley lo exija. El proveedor del dispositivo y de su plataforma de rastreo actúa como Encargado del tratamiento.

l) Mensajes de WhatsApp del cliente (agente de IA, módulo Programación de servicios)

• Qué se recopila: el número de teléfono y el contenido de los mensajes del cliente que escribe por WhatsApp a la Organización para pedir un servicio de transporte.
• Cómo se usa: el texto se envía a un proveedor de inteligencia artificial (Anthropic) para extraer automáticamente los datos del servicio (fecha, origen, destino, pasajeros, etc.) y crear el servicio solicitado, que queda pendiente de programar hasta que un coordinador de la Organización le asigna conductor y vehículo. El servicio nunca se programa solo.
• Quién lo ve: los coordinadores de la Organización, en la bandeja de mensajes del módulo.
• Cuánto se guarda: se conserva igual que el resto de la información del servicio. Si el cliente no completa los datos en 48 horas, la conversación se marca como expirada, pero no se elimina.

Solo aplica en Organizaciones con Programación de servicios que conectan su propio número de WhatsApp Business al módulo.

m) Pago en línea de afiliados (módulo Control de cobros con afiliados)

• Qué se recopila: la llave pública y el secreto de integridad de la cuenta de Wompi de la empresa (almacenados cifrados), y la referencia de cada pago que un afiliado realiza a través de ese enlace.
• Cómo funciona: cuando el afiliado paga (PSE, tarjeta o Nequi), el dinero va directo a la cuenta de Wompi de la empresa — FI nunca lo recibe. FI nunca almacena ni solicita la llave privada de esa cuenta.
• Quién lo ve: los coordinadores de la empresa y el propio afiliado, cada uno en su comprobante de pago.

Solo aplica en Organizaciones con el addon "Control de cobros con afiliados" activo que hayan conectado su propia cuenta de Wompi.

n) Enlaces públicos de documentos compartidos

• El propio conductor o un coordinador puede generar, de forma voluntaria, un enlace de solo lectura (sin necesidad de iniciar sesión) para compartir los documentos de identidad y licencia de un conductor, o los documentos de un vehículo, con un tercero (por ejemplo, una aseguradora).
• Cualquier persona con el enlace puede ver esos documentos mientras el enlace esté activo. Quien lo generó puede revocarlo en cualquier momento desde la plataforma, lo que lo invalida de inmediato.

o) Mensajes que nos envía por WhatsApp

• Si nos escribe con el botón de WhatsApp del sitio, recibimos su número de teléfono, su nombre de perfil y los mensajes que nos envíe, a través de WhatsApp (un servicio de Meta). Los usamos para atender su consulta.

p) Asistente de IA del dashboard

• Las preguntas que el propietario o un administrador le hace al asistente y los datos de la Organización necesarios para responderlas o preparar una acción (vehículos, conductores, mantenimientos, servicios) se envían a un proveedor de inteligencia artificial (Anthropic). Ninguna acción se ejecuta sin la confirmación del usuario.

q) RUT de los clientes de la Organización (solo Colombia)

• Qué se recopila: el archivo PDF del Registro Único Tributario (RUT) de un cliente persona jurídica de la Organización, cuando un propietario o administrador decide adjuntarlo al crear o editar ese cliente. El RUT contiene, entre otros, la razón social, el NIT, la dirección, el correo y los teléfonos de la empresa cliente, y el nombre y número de identificación de su representante legal.
• Cómo se usa: el sistema lee el archivo de forma automática, sin inteligencia artificial y sin enviarlo a terceros, para proponer la razón social, el NIT y el representante legal, que el usuario debe confirmar antes de guardarlos. Si el usuario lo adjunta, el archivo queda guardado como soporte del cliente.
• Dónde se guarda: en un almacenamiento privado (Supabase Storage), sin enlace público. La descarga se hace mediante un enlace temporal que vence a los pocos segundos.
• Quién lo ve: el propietario y los administradores de la Organización pueden verlo y descargarlo. Los usuarios con rol de solo lectura pueden verlo dentro de la plataforma, sin opción de descarga. Conductores y afiliados no tienen acceso. Cada carga, consulta, descarga y eliminación queda registrada.
• Cuánto se guarda: mientras el cliente exista en la Organización. Se elimina de forma permanente al reemplazarlo por otro RUT, al quitarlo, al eliminar el cliente o al eliminar la cuenta de la Organización.

Respecto de estos datos, la Organización es la Responsable del tratamiento y Flota Inteligente actúa como Encargada. Corresponde a la Organización contar con la autorización o la base legal necesaria para tratar los datos de sus clientes y de sus representantes legales, y atender las consultas y reclamos de esos titulares.

3. Finalidades del tratamiento

• Prestación del Servicio: registrar y gestionar la cuenta, la flota y las suscripciones del Usuario.
• Monitoreo de comparendos: consultar el SIMIT con las placas registradas y notificar al Usuario sobre novedades.
• Verificación de comparendos del conductor: al vincular un conductor (por la Organización o por uno de sus afiliados), consultar el SIMIT con su número de documento de identidad, para que el propietario/administrador de la Organización decida si autoriza su ingreso.
• Alertas de vencimientos: enviar notificaciones por correo electrónico y/o push cuando documentos vehiculares o licencias estén próximos a vencer.
• Sincronización con Google Calendar: cuando el usuario conecta su Google Calendar (opcional, planes Plus y Business), crear eventos de vencimiento de documentos y licencias directamente en su calendario personal, con recordatorios configurados según sus preferencias de alerta.
• Seguimiento en vivo de servicios: en las Organizaciones con Programación de servicios, mostrar al coordinador y al cliente del servicio la ubicación del conductor mientras el servicio está en curso, y dejar el recorrido realizado como evidencia de la prestación.
• Atención automatizada por WhatsApp: en las Organizaciones con Programación de servicios que conectan su WhatsApp Business, extraer automáticamente los datos de un pedido de servicio a partir del mensaje del cliente, para crear el servicio solicitado, que queda pendiente de programar hasta que un coordinador de la Organización le asigna conductor y vehículo.
• Asistente de IA del dashboard: responder las consultas del propietario y los administradores sobre los datos de su Organización y preparar las acciones que ellos confirman (crear o editar vehículos, registrar mantenimientos, programar servicios, invitar conductores o afiliados).
• Soporte tributario de los clientes: en Organizaciones de Colombia, leer el RUT de un cliente para proponer sus datos de identificación y conservar el archivo como soporte, por decisión del propio usuario.
• Rastreo de flota con dispositivo GPS: en las Organizaciones que instalan dispositivos GPS en sus vehículos, mostrar la ubicación de su flota en tiempo real, las 24 horas, a su propietario y administradores.
• Pago en línea de afiliados: en las Organizaciones con el addon "Control de cobros con afiliados", permitir que sus afiliados paguen directamente a la cuenta de Wompi de la empresa.
• Compartir documentos: generar, a solicitud del propio usuario, enlaces públicos de solo lectura para compartir documentos de conductores o vehículos con terceros.
• Transporte especial (FUEC): en las Organizaciones habilitadas, emitir, firmar electrónicamente, numerar, verificar (QR) y enviar el FUEC, y gestionar contratos, afiliados y control preoperacional.
• Procesamiento de pagos: gestionar suscripciones, cobros y facturación a través de Wompi.
• Seguridad y antifraude: detectar accesos no autorizados, actividades sospechosas, prevenir el abuso del Servicio y diagnosticar errores.
• Mejora del Servicio: analizar patrones de uso de forma agregada para mejorar la experiencia (Google Analytics 4).
• Marketing digital: medir el rendimiento de campañas publicitarias (Meta Pixel), únicamente si acepta las cookies de marketing ("Aceptar todo" en el banner de cookies). Sin ese consentimiento el Pixel no se carga.
• Comunicaciones del Servicio: enviar correos sobre actualizaciones, mantenimiento programado o cambios en los Términos.
• Cumplimiento legal: atender requerimientos de autoridades colombianas competentes.

4. Base legal del tratamiento

• Ejecución del contrato: datos de cuenta, vehículos, conductores y pagos necesarios para prestar el Servicio.
• Consentimiento: comunicaciones de marketing y uso de cookies analíticas/de marketing. El consentimiento puede retirarse en cualquier momento sin afectar la prestación del Servicio.
• Interés legítimo: seguridad, prevención de fraude, analítica interna anonimizada y mejora continua.
• Obligación legal: atención de requerimientos de autoridades colombianas competentes.

5. Encargados del tratamiento y terceros

FI no vende datos personales a terceros. Comparte datos únicamente con los siguientes proveedores (Encargados del Tratamiento) en la medida estrictamente necesaria para prestar el Servicio:

6. Transferencias internacionales de datos

Varios de nuestros proveedores (Supabase, Vercel, Resend, Google, Meta, Anthropic, Expo, Apple, Sentry, Upstash, Cloudflare) operan principalmente desde los Estados Unidos, y OpenStreetMap Foundation desde el Reino Unido. Al usar el Servicio, usted autoriza expresamente la transferencia de sus datos personales a estos países, en cumplimiento del artículo 26 de la Ley 1581 de 2012, que permite la transmisión internacional de datos cuando el encargado ofrece garantías adecuadas de protección o cuando el titular ha dado su consentimiento.

FI se adhiere a los Acuerdos de Procesamiento de Datos (DPA) de cada proveedor, que incluyen cláusulas contractuales estándar para garantizar la protección de los datos en territorio extranjero.

7. Retención de datos

• Cuenta activa: todos los datos de cuenta, vehículos, documentos, conductores y registros se conservan mientras la cuenta esté activa.
• Tras cancelación de cuenta: los datos se conservan durante 30 días para permitir exportación o recuperación. Después se eliminan permanentemente.
• Logs técnicos: máximo 90 días para fines de seguridad y resolución de incidencias.
• Datos de pago (referencias): 5 años conforme a obligaciones contables y tributarias colombianas.
• Tokens de push: se eliminan al cerrar sesión en la app móvil o al revocarlos desde los ajustes del dispositivo.
• Ubicación GPS del conductor: los puntos de ubicación de un servicio se eliminan al completarlo, cancelarlo o eliminarlo. Solo queda la imagen del recorrido en el PDF de evidencia, que se conserva como el resto de la información del servicio.
• Ubicación de vehículos con dispositivo GPS: se conserva mientras la cuenta esté activa y el dispositivo siga vinculado, y se elimina con el resto de los datos de la cuenta según esta sección.
• RUT de clientes: se conserva mientras el cliente exista en la Organización y se elimina de forma permanente al reemplazarlo, quitarlo, eliminar el cliente o eliminar la cuenta. El registro de accesos al archivo no incluye el NIT ni números de identificación.

8. Seguridad de los datos

Implementamos las siguientes medidas técnicas y organizativas:

• Cifrado en tránsito mediante TLS 1.2/1.3 en todas las comunicaciones.
• Contraseñas almacenadas con hash bcrypt (salt individual por contraseña).
• Control de acceso basado en roles (OWNER, ADMIN, VIEWER, DRIVER): cada rol accede solo a los datos que requiere.
• Row Level Security (RLS) activado en todas las tablas de la base de datos.
• JWT firmados con clave secreta para autenticación de sesiones web y móviles.
• Archivos almacenados en Supabase Storage con acceso controlado por la capa de aplicación (no públicos por defecto).
• Auditoría de accesos y registros de consultas al SIMIT.

Pese a estas medidas, ningún sistema es 100% seguro. En caso de violación de seguridad que afecte datos personales, FI notificará a los titulares afectados y a la SIC dentro de los plazos legales establecidos.

9. Sus derechos como titular

Conforme a la Ley 1581 de 2012, usted tiene los siguientes derechos:

• Conocer: consultar los datos personales que tenemos sobre usted.
• Actualizar y rectificar: corregir datos inexactos o incompletos.
• Suprimir: solicitar la eliminación de sus datos cuando no exista obligación legal de conservarlos.
• Revocar el consentimiento: sin efecto retroactivo sobre el tratamiento ya realizado.
• Acceder gratuitamente: obtener copia de sus datos al menos una vez al mes calendario.
• Presentar quejas: ante la Superintendencia de Industria y Comercio (SIC) si considera que sus derechos han sido vulnerados.

Escriba a contacto@flotainteligente.com con el asunto "Derechos ARCO", indicando su nombre completo, número de identificación y descripción de la solicitud. Respondemos en máximo 10 días hábiles para consultas y 15 días hábiles para reclamos.

10. Cookies y tecnologías similares

Usamos cookies esenciales para la autenticación y el funcionamiento del Servicio. Las cookies analíticas (Google Analytics 4) y de marketing (Meta Pixel) solo se usan si las acepta en el banner de cookies; sin su aceptación, Google Analytics funciona sin cookies (Consent Mode) —solo recibe señales sin cookies, que incluyen la dirección IP y datos del navegador, para estadísticas agregadas— y el Meta Pixel no se carga. Puede cambiar su preferencia en cualquier momento desde la Política de Cookies. Para más información consulte nuestra Política de Cookies.

11. Menores de edad

El Servicio está dirigido exclusivamente a personas mayores de 18 años con capacidad legal para celebrar contratos en Colombia. FI no recopila intencionalmente datos de menores de edad. Si tiene conocimiento de que un menor ha proporcionado datos a FI sin consentimiento de sus padres o tutores, contáctenos de inmediato a contacto@flotainteligente.com para proceder con su eliminación.

12. Cambios a esta Política

FI puede actualizar esta Política en cualquier momento. Los cambios materiales se notificarán con al menos 15 días calendario de antelación por correo electrónico. El uso continuado del Servicio tras la fecha de vigencia de los cambios constituye aceptación de la nueva política. Publicaremos cualquier cambio en esta página, con su fecha de última actualización.