Política de Privacidad y Tratamiento de Datos Personales

Esta política cumple lo dispuesto en la Ley Estatutaria 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto Único Reglamentario 1074 de 2015) y demás normas que los modifiquen, y constituye la Política de Tratamiento de la Información del responsable. Para usuarios del Espacio Económico Europeo y del Reino Unido incorpora, además, lo exigido por el Reglamento General de Protección de Datos (RGPD/GDPR).

1. Responsable del tratamiento

• Plataforma: AionClock — aplicación móvil y sitio web aionclock.app.
• Responsable: Jonny Cano, persona natural.
• Domicilio: Bogotá D.C., Colombia.
• Correo para asuntos de datos personales: [email protected].

2. Qué datos tratamos

Datos de cuenta: nombre y apellidos, correo electrónico, teléfono (opcional), fotografía de perfil (opcional) e idioma preferido.

Credenciales: tu contraseña se almacena únicamente como hash criptográfico (bcrypt); nunca en claro. Si eliges acceso federado, guardamos el identificador técnico que Google o Microsoft nos entregan; nunca vemos tu contraseña de esas cuentas.

Ubicación: solo si autorizas el permiso del dispositivo. La usamos para mostrarte profesionales cercanos y, en servicios a domicilio, para validar que la dirección esté dentro del área de cobertura. Se guarda tu última ubicación conocida; no hay rastreo continuo en segundo plano.

Perfil profesional (solo si lo activas): nombre del negocio, profesión, dirección base y sus coordenadas, radio de cobertura, zona horaria, horarios de atención, redes sociales y tus servicios con precio y duración.

Actividad: historial de citas (reservas, cancelaciones con su motivo, no presentaciones), reseñas y calificaciones que escribes o recibes.

Datos técnicos: dirección IP y registros de acceso (necesarios para seguridad y prevención de abuso), token de notificaciones push del dispositivo e identificadores de sesión.

Biometría: nunca la recibimos. Si activas el desbloqueo con huella o Face ID, la verificación ocurre exclusivamente dentro de tu dispositivo, mediante el sistema operativo. Ningún dato biométrico llega a nuestros servidores.

No tratamos datos sensibles ni datos de menores de edad, y no estás obligado a suministrar unos ni otros. Las cuentas son de mayores de 18 años (sección 13).

3. Finalidades del tratamiento

1. Prestar el servicio: gestionar tu cuenta, publicar agendas, calcular disponibilidad, crear y administrar citas.
2. Enviarte comunicaciones transaccionales: confirmaciones, cambios de estado, cancelaciones y recordatorios de citas (24 horas y 1 hora antes), por correo y notificación push.
3. Facilitar la comunicación entre cliente y profesional respecto de una cita concreta, compartiendo con el profesional el canal de contacto que tú elijas (sección 4).
4. Mostrarte profesionales cercanos cuando autorizas la ubicación.
5. Seguridad: proteger el servicio frente a accesos no autorizados, limitar intentos abusivos, detectar fraude y conservar evidencia de incidentes.
6. Atender tus solicitudes, consultas y reclamos.
7. Cumplir obligaciones legales y atender requerimientos de autoridad competente.

No enviamos publicidad de terceros, no vendemos ni alquilamos datos personales y no hacemos perfilado publicitario. Si algún día quisiéramos enviarte comunicaciones comerciales propias, te pediremos una autorización separada y podrás negarte sin afectar el servicio.

4. Qué se publica y qué no

Si activas tu perfil profesional, se hace público (visible en la app y en fichas web indexables por buscadores): el nombre de tu negocio, tu profesión, tu foto, tus servicios con precio y duración, tu horario, tus redes sociales declaradas y tu valoración media.

Nunca se publica: tu correo electrónico, tu teléfono, tu ubicación en tiempo real, tu historial de citas ni ningún identificador técnico de tu dispositivo.

Tu dirección exacta y sus coordenadas solo se publican si ofreces al menos un servicio que no sea a domicilio —es decir, si recibes clientes en un local—. Si todos tus servicios son a domicilio, se muestra únicamente tu ciudad, sin coordenadas y sin mapa, porque tu ubicación base sería tu domicilio particular.

Cuando reservas una cita, el Profesional ve los datos necesarios para atenderla: tu nombre; el canal de contacto que tú elijas para que pueda comunicarse contigo sobre esa cita; y, en servicios a domicilio, la dirección del servicio.

El canal compartido lo controlas tú: por defecto es tu teléfono y puedes cambiarlo a tu correo en cualquier momento, desde Editar perfil en la app o desde la sección de citas de la web. Si elegiste teléfono pero no has guardado ninguno, se comparte tu correo para que la comunicación siga siendo posible. El Profesional solo puede usar estos datos para gestionar esa cita (sección 8 de los Términos y Condiciones).

En sentido inverso, cuando tienes una cita con un Profesional, tú ves el canal de contacto que él eligió con la misma regla (teléfono, o correo si no guardó ninguno) o, si atiende en una empresa, el teléfono de esa empresa; y la dirección de su local con su complemento (piso, torre, local), únicamente si publica su dirección exacta. Esos datos solo pueden usarse para gestionar esa cita, y un Profesional eliminado no expone nada.

5. Encargados y terceros que intervienen

No compartimos datos con fines comerciales. Intervienen únicamente los proveedores necesarios para operar el servicio, que actúan por cuenta nuestra y bajo sus propios compromisos contractuales de protección de datos:

• Infraestructura y base de datos: DigitalOcean (API y almacenamiento) y Vercel (sitio web).
• Correo transaccional: el proveedor de envío de correo (MailerSend o servidor SMTP propio).
• Notificaciones push: Firebase Cloud Messaging (Google). Solo recibe el token del dispositivo y el contenido de la notificación; no usamos Firebase como base de datos.
• Identidad federada: Google o Microsoft, solo si eliges iniciar sesión con ellos.
• Analítica web: Umami autoalojado, una analítica sin cookies que no almacena datos personales ni sigue al visitante entre sitios.

Algunos de estos proveedores procesan datos en Estados Unidos u otros países. Esa transmisión internacional se realiza conforme a los artículos 26 y 27 de la Ley 1581 de 2012 y, para usuarios europeos, al capítulo V del RGPD, amparada en las cláusulas contractuales tipo o los marcos de transferencia (por ejemplo, el EU-U.S. Data Privacy Framework) que cada proveedor suscribe.

Fuera de lo anterior, solo revelaremos datos cuando lo ordene una autoridad competente en ejercicio de sus funciones.

6. Cuánto tiempo conservamos los datos

• Cuenta activa: mientras mantengas tu cuenta, conservamos los datos descritos.
• Al eliminar tu cuenta: tus identificadores se anonimizan de forma inmediata e irreversible (nombre, correo, teléfono, foto, ubicación, identificadores federados y token de notificaciones), y tu perfil profesional y redes sociales se eliminan. El detalle está en Eliminación de cuenta y datos.
• Historial de citas: es inmutable por su naturaleza de registro para ambas partes; las citas cerradas no se borran, pero al eliminar tu cuenta quedan disociadas de tu identidad.
• Registros técnicos (logs): se conservan por un periodo limitado con fines de seguridad y se eliminan de forma rotativa.
• Copias de seguridad: los datos anonimizados pueden persistir en copias de seguridad cifradas durante el ciclo de rotación del proveedor de infraestructura, tras el cual desaparecen definitivamente.

7. Tus derechos como titular (Ley 1581 de 2012)

Tienes derecho a:

• Conocer, actualizar y rectificar tus datos personales.
• Solicitar prueba de la autorización otorgada para el tratamiento.
• Ser informado sobre el uso que se ha dado a tus datos.
• Revocar la autorización y/o solicitar la supresión de tus datos cuando no exista un deber legal o contractual que lo impida. Puedes eliminar tu cuenta tú mismo desde la aplicación, sin pedir permiso a nadie.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC, www.sic.gov.co), autoridad colombiana de protección de datos, una vez agotado el trámite de consulta o reclamo ante el responsable.

Gran parte de estos derechos los ejerces directamente en la aplicación: editar tu perfil actualiza tus datos al instante, y eliminar la cuenta ejecuta la supresión descrita en la sección 6.

8. Cómo ejercer consultas y reclamos

Escríbenos a [email protected] desde el correo registrado en tu cuenta, indicando tu nombre, la descripción de la solicitud y, si aplica, los documentos que la soporten.

• Consultas: respondemos en máximo diez (10) días hábiles. Si no es posible, te informaremos los motivos y la nueva fecha, que no superará los cinco (5) días hábiles adicionales.
• Reclamos (corrección, actualización, supresión o presunto incumplimiento): respondemos en máximo quince (15) días hábiles. Si no es posible, te informaremos los motivos y la nueva fecha, que no superará los ocho (8) días hábiles adicionales. Si el reclamo está incompleto, te pediremos subsanarlo dentro de los cinco (5) días siguientes a su recepción.

9. Usuarios en el Espacio Económico Europeo y el Reino Unido (RGPD)

Si usas AionClock desde el EEE o el Reino Unido, te informamos además:

• Bases jurídicas: ejecución del contrato (art. 6.1.b RGPD) para la cuenta, las agendas y las citas; tu consentimiento (art. 6.1.a) para la ubicación y los datos opcionales, revocable en cualquier momento desde los permisos del dispositivo; nuestro interés legítimo (art. 6.1.f) en la seguridad y prevención de abuso para los registros técnicos; y el cumplimiento de obligaciones legales (art. 6.1.c) cuando una autoridad lo requiera.
• Derechos: acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, ejercitables por los mismos canales de la sección 8. También puedes reclamar ante tu autoridad de control local.
• Decisiones automatizadas: no tomamos decisiones automatizadas con efectos jurídicos sobre ti ni elaboramos perfiles en el sentido del artículo 22 del RGPD. El cálculo de disponibilidad de agendas es una función del servicio, no un perfilado de personas.
• Transferencias: ver sección 5.

10. Usuarios en California (CCPA/CPRA)

No «vendemos» ni «compartimos» información personal en el sentido de la CCPA/CPRA, y no la usamos para publicidad conductual. Puedes ejercer tus derechos de conocer, corregir y eliminar por los canales de la sección 8, sin discriminación alguna por ejercerlos.

11. Seguridad

Aplicamos medidas técnicas y organizativas proporcionales al riesgo: cifrado del tráfico (HTTPS/TLS), contraseñas con hash bcrypt, control de acceso por token con expiración, validación estricta de entrada, límites de tasa frente a abuso, registro de accesos y principio de mínimo privilegio. Ningún sistema es infalible: si ocurriera un incidente de seguridad que afecte tus datos, lo gestionaremos conforme a la ley aplicable y te informaremos cuando corresponda.

12. Cookies y tecnologías similares

En la aplicación móvil no usamos cookies. El sitio web usa únicamente cookies técnicas y de preferencia, exentas de banner de consentimiento por ser necesarias para lo que tú mismo solicitas:

• Sesión: mantiene tu inicio de sesión en la zona privada (y una cookie auxiliar con tu correo para mostrar qué cuenta está conectada).
• Preferencias: tu tema (claro/oscuro) y tu idioma.
• Acceso federado: cookies efímeras que protegen el flujo de inicio de sesión con Google o Microsoft (estado y verificación anti-falsificación); caducan en minutos.

No hay cookies publicitarias ni de seguimiento de terceros. La analítica del sitio (Umami) funciona sin cookies y sin identificar visitantes. Por eso no verás un banner de consentimiento: no hay nada que consentir.

13. Menores de edad

Para crear una cuenta debes ser mayor de 18 años. Si eres menor, puedes usar AionClock a través de la cuenta de tu madre, padre o representante legal, que será quien reserve o gestione los servicios en tu nombre. No recolectamos deliberadamente datos de menores; si adviertes que un menor ha creado una cuenta propia, escríbenos y la eliminaremos.

14. Cambios a esta política

Podemos actualizar esta política. Si el cambio es sustancial, lo anunciaremos por la aplicación o por correo antes de su entrada en vigor. La fecha de la última actualización aparece siempre en la cabecera de esta página.

15. Vigencia

Esta política rige desde el 15 de agosto de 2026. Las bases de datos se mantienen mientras la Plataforma opere y subsistan las finalidades descritas; los datos de cada titular, por los plazos de la sección 6.