Política de Tratamiento de Datos Personales

Borrador para validación de abogado — versión 2026-10-08, 8 de octubre de 2026. Este texto reemplaza la versión 2026-09-28 y está pendiente de revisión jurídica. Mientras tanto rige en los términos aquí descritos.

Esta Política se adopta en cumplimiento de la Ley Estatutaria 1581 de 2012, del Decreto Único Reglamentario 1074 de 2015 (Capítulos 25 y 26 del Título 2, Parte 2, Libro 2, que compilaron los Decretos 1377 de 2013 y 886 de 2014) y de las instrucciones de la Superintendencia de Industria y Comercio (SIC).

1. Responsable del Tratamiento

2. Definiciones

• Titular: la persona natural cuyos datos personales son objeto de Tratamiento.
• Dato personal: cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable. Los datos de una persona jurídica (razón social, NIT de una sociedad) no son datos personales, pero sí lo son los de sus representantes, empleados y contactos.
• Dato sensible: el que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación, como los datos de salud, biométricos, de origen racial o étnico, orientación política, convicciones religiosas o afiliación sindical (art. 5 de la Ley 1581 de 2012).
• Responsable: quien decide sobre la base de datos y su Tratamiento.
• Encargado: quien trata datos personales por cuenta del Responsable.
• Tratamiento: cualquier operación sobre datos personales: recolección, almacenamiento, uso, circulación o supresión.
• Transmisión: la comunicación de datos a un Encargado, dentro o fuera de Colombia, para que los trate por cuenta del Responsable.
• Transferencia: el envío de datos a otro Responsable, dentro o fuera de Colombia.
• Autorización: el consentimiento previo, expreso e informado del Titular.

3. Principios

Tratamos los datos conforme a los principios del artículo 4 de la Ley 1581 de 2012: legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.

4. En qué calidad actúa Ally360

Ally360 trata datos personales en dos calidades distintas:

En el segundo caso la empresa cliente es la Responsable: decide qué datos carga y para qué. Ally360 los trata únicamente para prestarle el servicio y conforme a sus instrucciones, en los términos del Anexo 1 de los Términos y Condiciones (contrato de transmisión de datos personales). Si eres cliente, proveedor o empleado de una empresa que usa Ally360 y quieres ejercer tus derechos, dirígete primero a esa empresa; si nos escribes a nosotros, trasladaremos tu solicitud a ella dentro de los dos (2) días hábiles siguientes y te lo informaremos.

5. Datos que tratamos como Responsable y para qué

5.1 Usuarios de la plataforma

Datos: nombre y apellidos, número de documento de identidad, correo electrónico, teléfono, foto de perfil si la subes o si entras con Google, contraseña (la administra nuestro proveedor de identidad; Ally360 no la conoce), empresas a las que perteneces y tu rol, preferencias de uso y, para los contadores, tarjeta profesional y firma escaneada si la cargas.

Datos de seguridad: dirección IP, navegador y dispositivo, fecha y hora de los inicios de sesión, sesiones activas, eventos de seguridad de la cuenta y, si activas la verificación en dos pasos, el secreto de ese segundo factor (cifrado).

Finalidades:

1. Crear, verificar y administrar tu cuenta y tus accesos.
2. Prestar los servicios contratados por tu empresa: facturación electrónica, punto de venta, inventario, contabilidad, tesorería, cartera, reportes, seguimiento, asistente de inteligencia artificial y los demás módulos del plan.
3. Proteger la cuenta y la plataforma: autenticación, prevención de fraude y de accesos no autorizados, y registro de auditoría de las operaciones.
4. Brindar soporte técnico y responder tus solicitudes.
5. Enviar comunicaciones del servicio: verificación de correo, recuperación de contraseña, avisos de seguridad, cambios del servicio, recordatorios y notificaciones que configures.
6. Cumplir obligaciones legales y atender requerimientos de autoridades competentes.
7. Medir el uso de la plataforma de forma agregada para mejorarla, en los términos de la Política de Cookies.
8. Enviar información comercial sobre productos, eventos y promociones de Ally360, solo si lo autorizas de forma separada. Esa autorización es opcional, no condiciona el servicio y puedes retirarla en cualquier momento.

5.2 Representantes y contactos de las empresas clientes

Datos: nombre, documento, cargo, correo y teléfono del representante legal y de las personas de contacto; datos de facturación de la suscripción.

Finalidades: celebrar y ejecutar el contrato de suscripción, cobrar y facturar la suscripción, gestionar renovaciones, mora y cancelaciones, y cumplir las obligaciones contables y tributarias de Ally360.

Pagos: el cobro lo procesa la pasarela de pagos Wompi. Los datos de tu tarjeta los capturas directamente en el formulario de la pasarela, que los trata como Responsable bajo su propia política y te pide su propia autorización. Ally360 no recibe ni almacena el número completo de la tarjeta; guarda la referencia (token) que la pasarela le devuelve, la franquicia, los últimos cuatro dígitos y la fecha de vencimiento, para mostrarte qué tarjeta tienes registrada, y el resultado de cada cobro.

5.3 Contadores del programa de referidos

Datos: los del usuario (5.1), más el tipo de persona, documento o NIT y dígito de verificación, razón social si aplica, condición de declarante, código de referido, comisiones causadas, retenciones practicadas y comprobantes de pago.

Finalidades: administrar el programa, liquidar y pagar las comisiones, practicar y certificar las retenciones en la fuente, y cumplir las obligaciones tributarias de Ally360.

5.4 Visitantes del sitio y prospectos

Datos: los que envías en el formulario de contacto (nombre, empresa, correo, teléfono y mensaje) y los datos de navegación descritos en la Política de Cookies.

Finalidades: responder tu solicitud, contactarte sobre los servicios que pediste conocer, y medir de forma agregada el desempeño del sitio y de las campañas.

5.5 Proveedores y aliados de Ally360

Datos: nombre, documento, datos de contacto y datos bancarios y tributarios de las personas naturales que nos prestan servicios, o de los contactos de las personas jurídicas.

Finalidades: contratar, pagar, cumplir obligaciones contables y tributarias, y gestionar la relación.

6. Datos que tratamos como Encargado

Por cuenta de cada empresa cliente tratamos los datos que esa empresa carga o genera en la plataforma: identificación, contacto, dirección, información comercial, cartera, documentos electrónicos y, cuando use esos módulos, datos laborales de sus empleados, notas de seguimiento y adjuntos.

Los tratamos solo para:

• almacenarlos, procesarlos y mostrarlos a los usuarios autorizados de esa empresa;
• emitir y transmitir a la DIAN los documentos electrónicos que la empresa ordene, a través del proveedor tecnológico autorizado;
• ejecutar las funciones que la empresa active (asistente de IA, recordatorios, integraciones, cargas masivas, exportaciones);
• hacer copias de seguridad, dar soporte cuando la empresa lo pida y cumplir órdenes de autoridad competente.

No los usamos para fines propios, no los vendemos ni los combinamos entre empresas. Las condiciones completas están en el Anexo 1 de los Términos y Condiciones.

7. Datos sensibles y de menores de edad

Como Responsable, Ally360 no solicita datos sensibles. La plataforma está dirigida a personas mayores de 18 años que actúan en nombre de una empresa, y no recolectamos datos de menores de edad.

Como Encargado, una empresa cliente podría cargar datos sensibles (por ejemplo, incapacidades u otros datos de salud de sus empleados) o datos de menores. En ese caso la empresa, como Responsable, debe contar con la autorización especial que exige la ley: informar al Titular que no está obligado a autorizar ese Tratamiento y, para menores, respetar su interés superior y sus derechos fundamentales (arts. 6 y 7 de la Ley 1581 de 2012).

Cuando se te pregunte por un dato sensible, responder es facultativo.

8. Inteligencia artificial

Algunas funciones usan un modelo de inteligencia artificial de un proveedor externo (Google Gemini):

• el asistente de IA, que responde con datos del ERP que el usuario consulta;
• los resúmenes de seguimiento;
• la lectura del RUT al configurar la empresa;
• la lectura de facturas o soportes que adjuntes al asistente;
• el emparejamiento de columnas en las cargas masivas.

Lo que hacemos para limitar lo que sale:

• se envía solo lo necesario para cada tarea, con listas y textos acotados;
• en el asistente y los resúmenes se quitan los campos de documento, teléfono y correo, y se enmascaran en el texto los correos, teléfonos, NIT, números de cuenta y de tarjeta;
• en las cargas masivas se envían los encabezados y unas pocas muestras de cada columna, también enmascaradas;
• el RUT y los adjuntos sí viajan completos, porque la tarea es leerlos.

El modelo no toma decisiones que produzcan efectos jurídicos sobre ti: propone, y una persona confirma. Ally360 usa la modalidad paga del servicio, en la que el proveedor se compromete a no usar esos datos para mejorar sus productos ni entrenar sus modelos; puede conservarlos por un tiempo limitado para detectar abusos, conforme a sus términos. Las funciones de IA son opcionales: puedes usar la plataforma sin ellas.

9. Derechos del Titular

Conforme al artículo 8 de la Ley 1581 de 2012, tienes derecho a:

1. Conocer, actualizar y rectificar tus datos, también frente a datos parciales, inexactos, incompletos, fraccionados o que induzcan a error.
2. Solicitar prueba de la autorización que otorgaste, salvo en los casos en que la ley no la exige.
3. Ser informado, previa solicitud, del uso que se ha dado a tus datos.
4. Presentar quejas ante la Superintendencia de Industria y Comercio, una vez agotado el trámite de consulta o reclamo ante Ally360 (art. 16 de la Ley 1581 de 2012).
5. Revocar la autorización y/o solicitar la supresión del dato cuando no se respeten los principios, derechos y garantías constitucionales y legales. La supresión y la revocatoria no proceden cuando tengas un deber legal o contractual de permanecer en la base de datos.
6. Acceder gratuitamente a tus datos personales.

Pueden ejercer estos derechos el Titular, sus causahabientes, su representante o apoderado, y quien actúe por estipulación a favor de otro, acreditando su calidad.

10. Cómo ejercer tus derechos

Canales:

• correo electrónico gerencia@ally360.co, con el asunto «Datos personales», preferiblemente desde el correo asociado a tu cuenta;
• comunicación escrita a la dirección del numeral 1.

Qué debe incluir la solicitud: tu nombre completo y documento; la descripción de los hechos o de lo que pides; la dirección o correo para responderte; y los documentos que quieras hacer valer. Si actúas por otra persona, el documento que acredita tu calidad.

Dentro de la plataforma también puedes, sin escribirnos: consultar y corregir los datos de tu perfil, descargar una copia completa de la información de tu empresa (si eres su propietario) y solicitar el cierre de tu cuenta o la eliminación de la empresa.

10.1 Consultas

Las atendemos en un máximo de diez (10) días hábiles contados desde la fecha de recibo. Si no es posible en ese plazo, te informaremos los motivos y la nueva fecha, que no superará los cinco (5) días hábiles siguientes al vencimiento del primer término (art. 14 de la Ley 1581 de 2012).

10.2 Reclamos

Si consideras que tus datos deben corregirse, actualizarse o suprimirse, o adviertes un incumplimiento, puedes presentar un reclamo (art. 15 de la Ley 1581 de 2012):

• Si está incompleto, te pediremos completarlo dentro de los cinco (5) días siguientes a su recepción. Si pasan dos (2) meses desde ese requerimiento sin que lo completes, entenderemos que desististe.
• Una vez completo, lo marcaremos en la base de datos como «reclamo en trámite», con su motivo, en un término no mayor a dos (2) días hábiles, hasta que se decida.
• Lo resolveremos en un máximo de quince (15) días hábiles contados desde el día siguiente a su recibo. Si no es posible, te informaremos los motivos y la nueva fecha, que no superará los ocho (8) días hábiles siguientes al vencimiento del primer término.
• Si no somos competentes para resolverlo —por ejemplo, porque los datos los cargó una empresa cliente que es la Responsable—, lo trasladaremos a quien corresponda en un máximo de dos (2) días hábiles y te lo informaremos.

11. Autorización y su prueba

Pedimos tu autorización de forma expresa, con casillas que debes marcar tú mismo, al crear la cuenta, al aceptar una invitación, al reclamar una empresa, al entrar por primera vez con Google y en los formularios del sitio.

Como prueba guardamos la fecha y hora de la aceptación, la versión del documento aceptado, la dirección IP y el identificador del navegador. Las versiones anteriores de esta Política se conservan y puedes solicitar la que aceptaste.

No necesitamos tu autorización en los casos del artículo 10 de la Ley 1581 de 2012, entre ellos la información requerida por una entidad pública en ejercicio de sus funciones legales y los datos de naturaleza pública.

12. Transmisiones y transferencias de datos

Para prestar el servicio usamos proveedores que tratan datos como Encargados, por cuenta de Ally360 o, según el caso, por cuenta de la empresa cliente:

Además, compartimos datos con quienes los tratan bajo su propia responsabilidad:

• Wompi S.A.S., pasarela de pagos (Colombia), para procesar los cobros de la suscripción, con su propia política y autorización;
• Google, cuando eliges entrar con tu cuenta de Google o conectar tu Google Calendar: Google recibe y trata esos datos según su propia política;
• Google Analytics, en los términos de la Política de Cookies;
• la DIAN y demás autoridades, cuando la ley lo exige.

Estados Unidos figura en la lista de países con nivel adecuado de protección de datos de la Superintendencia de Industria y Comercio. Las transmisiones a Encargados se rigen por contratos que los obligan a tratar los datos solo según nuestras instrucciones, a protegerlos y a guardar confidencialidad. Al autorizar esta Política autorizas también estas transmisiones y transferencias internacionales.

No vendemos, arrendamos ni cedemos datos personales.

13. Seguridad

Aplicamos medidas técnicas, humanas y administrativas para proteger los datos, entre ellas:

• cifrado en tránsito (TLS) en todas las conexiones con la plataforma, y el cifrado en reposo que aplica el proveedor de nube a discos y bases de datos;
• separación de la información de cada empresa y control de acceso por roles y permisos;
• proveedor de identidad para la autenticación, verificación en dos pasos disponible (obligatoria para contadores) y registro de sesiones;
• cifrado adicional de credenciales sensibles, como las de facturación electrónica y los secretos de la verificación en dos pasos;
• registro de auditoría de las operaciones sensibles;
• copias de seguridad periódicas y procedimientos de restauración;
• acceso a producción restringido al personal que lo necesita.

Ningún sistema es infalible. Si ocurre un incidente de seguridad que comprometa datos personales, lo reportaremos a la Superintendencia de Industria y Comercio en los términos que fije la norma vigente, avisaremos a las empresas clientes afectadas y, cuando corresponda, a los Titulares.

14. Conservación

Conservamos los datos mientras sean necesarios para la finalidad para la que se recolectaron y, después, durante el tiempo que exijan las obligaciones legales, contables y tributarias o la defensa en procesos. En particular:

• los datos de tu cuenta, mientras la cuenta esté activa. Si pides cerrarla, se anonimiza a los sesenta (60) días;
• los datos de la empresa, mientras la suscripción esté vigente y hasta su eliminación, que se ejecuta sesenta (60) días después de solicitarla;
• los soportes de la facturación de Ally360 a sus clientes, diez (10) años (art. 28 de la Ley 962 de 2005);
• la prueba de tu autorización, mientras pueda ser exigible, aun después de anonimizar la cuenta;
• las copias de seguridad de la base de datos se renuevan en ciclos de unos treinta (30) días, así que un dato eliminado puede persistir en ellas durante ese tiempo.

Vencidos esos plazos, los datos se eliminan o se anonimizan.

15. Cookies

El sitio y la plataforma usan cookies y tecnologías similares, descritas en la Política de Cookies.

16. Registro Nacional de Bases de Datos

La obligación de inscribir las bases de datos en el Registro Nacional de Bases de Datos (RNBD) de la SIC aplica a las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y a las personas jurídicas de naturaleza pública (Decreto 090 de 2018). Ally360 S.A.S. es una microempresa y no alcanza ese umbral, por lo que a la fecha no está obligada a inscribirlas. Si llegara a estarlo, las inscribirá en los plazos de ley.

17. Vigencia y cambios

Esta Política rige desde el 8 de octubre de 2026 (versión 2026-10-08). Las bases de datos estarán vigentes mientras subsistan las finalidades descritas y los plazos de conservación del numeral 14.

Publicaremos los cambios en esta misma dirección con una versión nueva. Si un cambio sustancial afecta la identificación del Responsable o las finalidades, te lo comunicaremos antes de aplicarlo o, a más tardar, al aplicarlo, y si cambia la finalidad te pediremos una nueva autorización. La versión que aceptaste queda registrada en tu cuenta.