Política de Privacidad

Política de Privacidad y Tratamiento de Datos Personales

CIMA Conversion Engine — "CIMA Inmobiliaria"

Última actualización: [FECHA DE ENTRADA EN VIGENCIA]

Esta Política de Privacidad y Tratamiento de Datos Personales (en adelante, la "Política") describe de forma clara y sencilla cómo se recopilan, usan, almacenan, comparten, protegen y eliminan los datos personales tratados a través de la plataforma CIMA Conversion Engine, operada bajo la marca "CIMA Inmobiliaria" (en adelante, "CIMA", "la Plataforma", "nosotros"), accesible en https://app.bycima.com.

Esta Política aplica a los datos de Leads, Agentes inmobiliarios y Usuarios de la Plataforma, recolectados a través de WhatsApp Cloud API (Meta), Instagram, Messenger (Meta), MercadoLibre, correo electrónico y formularios web, así como a los datos generados por el Asesor IA.

CIMA opera en Colombia, República Dominicana y Costa Rica, por lo que esta Política da cumplimiento a:

• Colombia: Ley Estatutaria 1581 de 2012, Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) y lineamientos de la Superintendencia de Industria y Comercio (SIC), incluida la Circular Externa 2 de 2024 sobre IA.
• República Dominicana: Ley 172-13 sobre Protección de Datos de Carácter Personal.
• Costa Rica: Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales y normativa de la Agencia de Protección de Datos de los Habitantes (PRODHAB).
• Como estándar internacional de referencia: el Reglamento General de Protección de Datos de la UE (GDPR), incluidos sus artículos 13, 14 y 22.

1. Identificación del Responsable del Tratamiento

Esta es la Política de Privacidad propia de CIMA Inmobiliaria.

2. Alcance y modelo multi-tenant (doble rol: Responsable y Encargado)

CIMA es una plataforma multi-tenant (multi-cliente). Por ello, los roles de tratamiento se distribuyen así:

• CIMA actúa como ENCARGADO del Tratamiento respecto de los datos de los Leads que trata por cuenta y bajo instrucciones de cada inmobiliaria-cliente ("Tenant"). En este caso, cada Tenant es el RESPONSABLE de los datos de sus Leads.
• CIMA actúa como RESPONSABLE del Tratamiento respecto de: (i) los datos de las cuentas de Agentes y Usuarios de la Plataforma; y (ii) los datos de operación, soporte y facturación propios.

Cuando un Lead ejerza sus derechos, CIMA, en su calidad de Encargado, podrá canalizar la solicitud al Tenant Responsable correspondiente o atenderla por cuenta de este, según el caso.

3. Definiciones

• Titular / Interesado: persona natural cuyos datos personales son objeto de tratamiento.
• Dato personal: información vinculada o asociable a una persona natural determinada o determinable.
• Dato sensible: dato que afecta la intimidad o cuyo uso indebido puede generar discriminación (origen racial/étnico, salud, datos biométricos, orientación sexual, convicciones, etc.).
• Tratamiento: cualquier operación sobre datos personales (recolección, almacenamiento, uso, circulación, supresión).
• Responsable del Tratamiento: quien decide sobre la base de datos y/o el tratamiento.
• Encargado del Tratamiento: quien trata datos por cuenta del Responsable.
• Autorización / Consentimiento: manifestación previa, expresa e informada del Titular para el tratamiento.
• Aviso de privacidad: comunicación breve dirigida al Titular en el punto de recolección.
• Transferencia / Transmisión: envío de datos a un tercero (dentro o fuera del país).
• Lead: persona natural que contacta o es contactada con fines comerciales inmobiliarios a través de los Canales.
• Agente: persona autorizada por un Tenant para operar la Plataforma.
• Asesor IA: sistema de inteligencia artificial que responde automáticamente y realiza scoring/perfilamiento de Leads.
• Tenant: empresa o inmobiliaria cliente que utiliza la Plataforma.

4. Principios rectores del Tratamiento

CIMA trata los datos personales conforme a los principios de: legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad (Ley 1581 de 2012, art. 4), así como los principios de lealtad, proporcionalidad, minimización y limitación de la finalidad reconocidos por la normativa de República Dominicana, Costa Rica y el estándar GDPR.

5. Datos personales que se recogen (por categoría de titular)

5.1. Datos de LEADS

• Nombre y apellidos.
• Número de teléfono / número de WhatsApp.
• Correo electrónico.
• Foto o avatar de perfil (cuando el canal lo provee).
• Contenido de mensajes y archivos adjuntos (texto, imágenes, audio, video, documentos) enviados o recibidos por los Canales.
• Intereses inmobiliarios (zona, presupuesto, tipo de inmueble, intención de compra/arriendo).
• Metadatos de conversación (fecha, hora, canal, estado).
• Identificadores de plataforma de Meta (por ejemplo, WA ID, PSID).
• Inferencias y puntuación (score) generadas por el Asesor IA.

5.2. Datos de AGENTES inmobiliarios

• Nombre, correo electrónico, teléfono.
• Credenciales de acceso.
• Tenant/empresa a la que pertenece y rol asignado.
• Actividad y registros de uso en la Plataforma.

5.3. Datos de USUARIOS / administradores

• Datos de cuenta, rol y actividad en la Plataforma.

5.4. Datos técnicos automáticos

• Dirección IP, tipo de dispositivo y navegador, identificadores, registros (logs) y cookies o tecnologías similares.

6. Fuentes de los datos y canales de recolección

Los datos se obtienen a través de:

• WhatsApp Cloud API (Meta)
• Instagram Messaging (Meta)
• Messenger (Meta)
• MercadoLibre
• Correo electrónico
• Formularios web en https://app.bycima.com
• Datos generados por la propia Plataforma (inferencias y score del Asesor IA)

Cuando los datos de un Lead no se obtienen directamente de él sino a través de un Canal de un tercero (WhatsApp, Instagram, Messenger, MercadoLibre), el Titular es informado mediante esta Política y el Aviso de Privacidad de la categoría de datos tratados y de su fuente (en cumplimiento del deber de información y del art. 14 del GDPR).

7. Finalidades del Tratamiento y base legal

CIMA y los Tenants tratan los datos para las siguientes finalidades específicas, expresas y legítimas:

No se realizan tratamientos con finalidades genéricas, indeterminadas o ajenas a las aquí declaradas.

8. Uso de Inteligencia Artificial, decisiones automatizadas y perfilamiento (Asesor IA)

CIMA utiliza un Asesor IA que merece especial transparencia:

8.1. Existencia de IA

Un sistema de inteligencia artificial responde automáticamente a los mensajes de los Leads y realiza scoring, perfilamiento y priorización. El Lead es informado, de forma clara y a más tardar en la primera interacción, de que está interactuando con un sistema automatizado y no con una persona humana.

8.2. Lógica involucrada (información significativa)

El Asesor IA analiza el contenido de los mensajes y los datos del Lead (intereses, comportamiento, metadatos de conversación) para clasificar, puntuar (score) y priorizar la atención y predecir la intención de compra o arriendo. Esta puntuación ayuda a los agentes a priorizar el contacto y personalizar la atención. No se revela el algoritmo ni el código fuente, pero sí los criterios y principios generales en lenguaje comprensible.

8.3. Consecuencias del perfilamiento

La puntuación puede influir en el orden de prioridad con que un agente atiende a un Lead y en el tipo de seguimiento. No se adoptan, mediante medios únicamente automatizados, decisiones que produzcan efectos jurídicos o afecten significativamente al Titular sin posibilidad de intervención humana.

8.4. Derecho a no ser objeto de decisiones únicamente automatizadas

El Titular tiene derecho a no ser objeto de una decisión basada únicamente en tratamiento automatizado (incluido el perfilamiento) que produzca efectos jurídicos o le afecte significativamente. Para ello, CIMA garantiza, como salvaguardas mínimas:

• 1.Derecho a obtener intervención humana (hablar con un agente o asesor real).
• 2.Derecho a expresar su punto de vista.
• 3.Derecho a impugnar o contestar la decisión o el resultado del perfilamiento.

Estos derechos pueden ejercerse por los canales de la sección 14.

8.5. Proveedores de IA y datos

Los mensajes pueden ser procesados por proveedores de modelos de lenguaje (LLM) a través de un gateway, exclusivamente para atender al Lead individual. Los datos de los Leads NO se utilizan para entrenar modelos de terceros sin base legal. Se aplican criterios de idoneidad, necesidad, razonabilidad y proporcionalidad, así como controles de calidad del dato, conforme a la Circular Externa 2 de 2024 de la SIC (Colombia) y al estándar GDPR/AI Act. En tratamientos de alto riesgo, se realizan evaluaciones de impacto en la privacidad (PIA).

8.6. Naturaleza del Asesor IA

El Asesor IA es una IA de tarea específica (atención inmobiliaria, agendamiento y seguimiento) y no un chatbot de propósito general, en cumplimiento de las políticas de IA de los Canales de Meta.

9. Terceros, Encargados y Subencargados

Para prestar el Servicio, CIMA comparte datos con las siguientes categorías de terceros, vinculados por contrato de encargo/DPA y obligados a confidencialidad y seguridad:

CIMA mantiene una lista de subprocesadores actualizada disponible a solicitud por el correo de privacidad. Estos terceros tratan los datos únicamente para las finalidades declaradas y no para reventa.

10. Compartición de datos con Meta y uso de datos de Meta

10.1. Para poder enviar y recibir mensajes, se comparten con Meta/WhatsApp los números de teléfono y datos de contacto necesarios.

10.2. CIMA no usará los datos obtenidos a través de Meta sobre una persona (más allá del contenido del propio hilo de conversación) para fines distintos a sostener la mensajería con ese usuario.

10.3. CIMA no reenvía ni comparte el chat de un cliente con otro cliente (principio de aislamiento multi-tenant), y no vende datos de usuarios.

10.4. El tratamiento se realiza conforme a las Políticas de la Plataforma de Meta, la WhatsApp Business Messaging Policy y las políticas de mensajería de Messenger e Instagram.

11. Consentimiento (opt-in) y opt-out

11.1. Opt-in. El Titular debe haber consentido previamente recibir mensajes por los Canales. El consentimiento es informado, libre, expreso e inequívoco; el silencio o las casillas premarcadas no equivalen a consentimiento. Se conserva prueba del consentimiento (fuente, fecha/hora, finalidad e identificador).

11.2. Al obtener el opt-in, el Titular conoce: (a) el nombre del negocio; (b) las categorías de mensajes que recibirá; y (c) que puede darse de baja en cualquier momento.

11.3. Opt-out / baja. El Titular puede bloquear, suspender o darse de baja de las comunicaciones en cualquier momento. Las solicitudes de baja se atienden de inmediato y el Titular es eliminado de la lista de contactos para los fines correspondientes.

12. Transferencias y transmisiones internacionales de datos

12.1. Los datos pueden ser tratados o almacenados fuera del país del Titular (por ejemplo, en servidores o proveedores de Meta y de IA ubicados en otras jurisdicciones, como Estados Unidos).

12.2. Estas transferencias se amparan en: (a) la autorización / consentimiento del Titular; y/o (b) la necesidad de la transferencia para la ejecución del contrato o de la relación entre el Titular y el Responsable; y/o (c) garantías contractuales (cláusulas de protección de datos) con los destinatarios.

12.3. En Costa Rica, las transferencias a terceros países observan la Ley 8968 (consentimiento informado o adecuación/criterios de PRODHAB). En República Dominicana, se sujetan a la Ley 172-13 (consentimiento o causal legal). En el estándar GDPR, se aplican las garantías de los artículos 44 a 49.

13. Cookies y tecnologías de seguimiento

El sitio https://app.bycima.com puede usar cookies y tecnologías similares:

• Necesarias: para el funcionamiento y la sesión.
• Funcionales: para recordar preferencias.
• Analíticas: para medir el uso y mejorar el Servicio.

El Titular puede gestionar las cookies desde la configuración de su navegador y, cuando aplique, desde el mecanismo de consentimiento de la Plataforma. Para más detalle, consulte la [Política de Cookies] si aplica.

14. Derechos de los Titulares y cómo ejercerlos

14.1. Derechos por país

Colombia (Ley 1581 de 2012, art. 8 — Habeas Data): conocer, actualizar y rectificar sus datos; solicitar prueba de la autorización; ser informado del uso dado a sus datos; presentar quejas ante la SIC; revocar la autorización y/o solicitar la supresión; y acceder gratuitamente a sus datos.

República Dominicana (Ley 172-13): acceso, rectificación, cancelación/supresión y oposición, así como la acción de Habeas Data.

Costa Rica (Ley 8968 — derechos ARCO): Acceso, Rectificación, Cancelación y Oposición, con derecho a información sobre el tratamiento.

Estándar GDPR (referencia): además de los anteriores, derecho a la portabilidad, limitación del tratamiento, revocación del consentimiento, oposición al perfilamiento y a no ser objeto de decisiones únicamente automatizadas (art. 22), y a presentar reclamación ante la autoridad de control.

14.2. Procedimiento

Para ejercer cualquier derecho, el Titular puede escribir a [CORREO DE PRIVACIDAD] o utilizar el canal indicado en la sección 16, identificándose y describiendo claramente su solicitud. El ejercicio de derechos es gratuito.

14.3. Plazos de respuesta

15. Procedimiento y URL de eliminación de datos (Data Deletion)

15.1. Cualquier Titular puede solicitar la eliminación de sus datos personales:

• Por correo: enviando una solicitud a [CORREO DE PRIVACIDAD] con el asunto "Eliminación de datos".
• Por formulario / canal de soporte: [FORMULARIO O URL DE SOLICITUD DE ELIMINACIÓN, p. ej. https://app.bycima.com/privacidad].

15.2. CIMA atenderá la solicitud dentro de los plazos legales aplicables y procederá a eliminar o anonimizar los datos cuando no exista deber legal de conservación.

15.3. Para las integraciones de Meta, CIMA dispone de un mecanismo de solicitud de eliminación de datos (Data Deletion Request) conforme a las exigencias de la Plataforma de Meta; cuando aplique, se mantiene configurada una URL de devolución de llamada (callback) de eliminación de datos en el panel de la aplicación.

16. Área responsable de atención al Titular

CIMA designa al área/persona responsable de atender peticiones, consultas y reclamos sobre datos personales:

• Área / cargo: [ÁREA O CARGO RESPONSABLE DE DATOS]
• Correo: [CORREO DE PRIVACIDAD]
• Teléfono: [TELÉFONO]
• Domicilio: [DOMICILIO]

17. Conservación y supresión de los datos

17.1. Los datos se conservan mientras subsista la finalidad que justificó su recolección, la relación con el Tenant/Titular, o mientras lo exija una obligación legal.

17.2. Criterios orientativos:

• Datos de Leads y conversaciones: mientras dure la gestión comercial y el plazo legal aplicable, tras lo cual se eliminan o anonimizan.
• Datos de cuentas de Agentes/Usuarios: mientras la cuenta esté activa y por el plazo legal posterior.
• Backups: por el período técnico necesario, con posterior depuración.

17.3. En Costa Rica, la conservación de datos en bases registradas no excede 10 años, salvo ley especial (Ley 8968, art. 6).

17.4. Cuando cese la finalidad o se revoque el consentimiento, los datos se suprimen, salvo las retenciones mínimas exigidas por ley.

18. Seguridad de la información

CIMA adopta medidas administrativas, técnicas y organizativas acordes a los estándares de la industria para proteger los datos frente a acceso, uso, alteración, pérdida o divulgación no autorizados, incluyendo:

• Cifrado en tránsito (HTTPS) y, cuando aplica, en reposo.
• Control de acceso basado en roles y autenticación.
• Aislamiento por tenant y mecanismos de separación de datos.
• Copias de seguridad (backups) y registros de auditoría.
• Deber de confidencialidad del personal y de los subprocesadores, incluso tras finalizar la relación.

En caso de incidente de seguridad que afecte datos personales, CIMA actuará conforme a la ley aplicable y, siguiendo las mejores prácticas, procurará notificar a la autoridad y/o a los afectados sin demora indebida (referencia: 72 horas bajo el estándar GDPR).

19. Datos sensibles

19.1. CIMA y los Tenants no solicitan ni requieren datos sensibles para la prestación del Servicio.

19.2. Dado que algunos Canales (como WhatsApp) son abiertos, un Lead podría enviar voluntariamente datos sensibles. Responder con datos sensibles es facultativo; el Titular no está obligado a hacerlo. Si llegaran a recibirse, su tratamiento requiere consentimiento explícito (y, en RD y CR, por escrito en medio físico o electrónico) y se les aplican medidas de protección reforzadas.

20. Menores de edad

La Plataforma no está dirigida a menores de edad y no recopila datos de menores de forma consciente. En Colombia, el tratamiento de datos de niños, niñas y adolescentes se sujeta a las reglas especiales de la Ley 1581 de 2012 y su reglamentación. Si se detecta el tratamiento involuntario de datos de un menor, se procederá a su supresión.

21. Procedencia de la información

Los datos provienen del propio Titular, de los Canales por los que contacta (WhatsApp, Instagram, Messenger, MercadoLibre, correo), de los formularios web y de las inferencias generadas por el Asesor IA, conforme a la sección 6.

22. Cumplimiento de políticas de plataformas de terceros

CIMA trata los datos de manera consistente con las Políticas de la Plataforma de Meta, los Términos de WhatsApp Business, las políticas de Messenger e Instagram, los términos de MercadoLibre y las políticas de uso de datos de desarrolladores aplicables. El uso de datos se limita a las finalidades declaradas; no se venden datos de usuarios ni se reutilizan fuera de la finalidad.

23. Autoridades de control por país

El Titular puede presentar reclamaciones ante la autoridad competente de su país:

• Colombia: Superintendencia de Industria y Comercio (SIC).
• Costa Rica: Agencia de Protección de Datos de los Habitantes (PRODHAB).
• República Dominicana: marco de la Ley 172-13 (supervisión sectorial de la Superintendencia de Bancos para información crediticia y acción judicial de Habeas Data ante los tribunales competentes).
• Estándar GDPR (referencia): la autoridad de control de la UE correspondiente.

24. Registro Nacional de Bases de Datos y registros aplicables

24.1. Colombia (RNBD). El operador de CIMA evaluará la obligación de inscribir sus bases de datos ante la SIC conforme a la Circular Externa 003 de 2018 (obligatorio para personas jurídicas con activos superiores a 100.000 UVT y entidades públicas).

24.2. Costa Rica. El operador evaluará la obligación de registrar bases de datos ante PRODHAB cuando distribuya, divulgue o comercialice datos personales (Ley 8968, art. 21).

25. Aviso de Privacidad (versión corta)

En los puntos de recolección (por ejemplo, al iniciar un chat por WhatsApp, Instagram o Messenger) se presenta un Aviso de Privacidad con: la identidad y contacto del Responsable, el tratamiento y su finalidad, los derechos del Titular y la forma de acceder a esta Política completa (https://app.bycima.com/privacidad).

Texto modelo del aviso:

"Tus datos serán tratados por [RAZÓN SOCIAL] / la inmobiliaria correspondiente, a través de la plataforma CIMA Inmobiliaria, para atender tu consulta inmobiliaria mediante un Asesor con inteligencia artificial que responde automáticamente y prioriza tu atención. Puedes conocer, actualizar, rectificar, oponerte, revocar tu autorización o solicitar la eliminación de tus datos escribiendo a [CORREO DE PRIVACIDAD]. Consulta la Política completa en https://app.bycima.com/privacidad."

26. Cambios a esta Política

CIMA podrá actualizar esta Política. Los cambios sustanciales se comunicarán a través de https://app.bycima.com o por los canales de contacto. La fecha de la última versión vigente se indica al final del documento. El uso continuado del Servicio tras la publicación de los cambios implica su conocimiento.

27. Vigencia

Esta Política entra en vigencia el [FECHA DE ENTRADA EN VIGENCIA] y permanece vigente mientras CIMA preste el Servicio. Las bases de datos asociadas tendrán vigencia mientras subsistan las finalidades del tratamiento y los plazos legales aplicables.

28. Contacto

• Responsable / Operador: [RAZÓN SOCIAL]
• Identificación fiscal: [NIT]
• Domicilio: [DOMICILIO]
• Correo de protección de datos: [CORREO DE PRIVACIDAD]
• Teléfono: [TELÉFONO]
• Términos y Condiciones: https://app.bycima.com/terminos
• Solicitud de eliminación de datos: [CORREO DE PRIVACIDAD] / https://app.bycima.com/privacidad

Última actualización: [FECHA DE ENTRADA EN VIGENCIA]