Política de privacidad y tratamiento de datos personales

1. Quién es el responsable

Equiss Group SAS, sociedad colombiana, NIT [por completar], con domicilio en [dirección por completar], Bogotá D.C., Colombia (en adelante, “Equiss”).

Esta política cumple la Ley 1581 de 2012 y el Decreto 1074 de 2015 (capítulos 25 y 26, que recogen el Decreto 1377 de 2013) en Colombia. En México cumple la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, y sirve como aviso de privacidad integral.

2. Dos papeles distintos

Según los datos de que se trate, Equiss actúa de una de dos formas:

Cuando Equiss es encargado, trata los datos solo siguiendo las instrucciones de la empresa cliente y para prestar el servicio. La empresa cliente debe contar con la autorización de sus trabajadores (Colombia) o haberles dado su aviso de privacidad (México) para tratar esos datos, incluidos los datos sensibles. Las solicitudes de esos trabajadores se atienden con la empresa: si nos llegan, se las remitimos y la apoyamos para responder.

3. Qué datos tratamos

Sitio web

• Formulario de reunión: nombre, correo, empresa, número de empleados, plan de interés y lo que usted escriba en “requerimientos”.
• No usamos herramientas de analítica ni publicidad en este sitio.

Cuentas de usuario de DANA

• Nombre, correo, rol, empresa, foto y teléfono opcionales.
• Contraseña: guardada solo como resumen cifrado (bcrypt). Nadie, ni Equiss, puede verla.
• Registro de actividad: fecha de ingreso, acciones importantes y desde qué función se hicieron (auditoría).
• Lo que la persona escribe o dicta a DANA, y las respuestas.

Datos que la empresa cliente registra (Equiss como encargado)

• Identificación y datos laborales del personal y contratistas: nombre, documento, cargo, área, fechas, contacto.
• Capacitaciones, certificados, entregas de EPP, permisos de trabajo, incidentes, observaciones de seguridad con foto, tareas y documentos.
• Datos sensibles: del examen médico ocupacional, DANA solo guarda el concepto de aptitud (apto, apto con restricciones, no apto) y sus fechas, nunca el contenido clínico. Los certificados médicos y hojas de vida que la empresa sube solo los abren su administrador y su coordinador, y DANA no usa su contenido para responder a otros roles.
• Datos de menores de edad solo si la empresa los registra (por ejemplo, aprendices), bajo su responsabilidad y en lo que la ley permite.

Voz

Si una persona dicta en el navegador, el audio lo procesa el servicio de voz del navegador (Google, Microsoft o Apple). Si su empresa tiene DANA Voz, el audio se transcribe con un servicio de transcripción de voz en la nube contratado por Equiss. En ningún caso DANA guarda el audio: solo guarda el texto que la persona revisa y envía.

4. Para qué los usamos

• Prestar el servicio DANA a la empresa cliente: organizar registros, calcular vencimientos e indicadores, generar alertas, resúmenes, reportes y respuestas.
• Crear y administrar las cuentas, verificar la identidad al ingresar y mantener la seguridad (auditoría, prevención de accesos indebidos).
• Enviar los correos del servicio: activación, recuperación de contraseña, resúmenes diarios y semanales que la empresa configure.
• Atender soporte, solicitudes y reclamos.
• Responder las solicitudes de reunión hechas en este sitio y comunicarnos comercialmente con quien nos lo pidió.
• Cumplir obligaciones legales, contables y requerimientos de autoridades.

No vendemos ni alquilamos datos personales, no los usamos para publicidad de terceros y no hacemos perfiles comerciales de los trabajadores de nuestros clientes.

5. Inteligencia artificial

• DANA usa modelos de lenguaje para redactar respuestas y propuestas. DANA propone y una persona decide: no toma decisiones con efectos jurídicos sobre nadie, no autoriza trabajos ni declara que una empresa cumple una norma.
• Antes de enviar una pregunta al modelo, DANA reemplaza nombres y números de identificación por seudónimos cuando puede. Es una medida de protección, no una anonimización completa.
• La empresa puede elegir un modelo interno operado por Equiss en lugar de un proveedor externo.
• Equiss no usa los datos de los clientes para entrenar modelos, y contrata los modelos externos en condiciones comerciales en las que el proveedor no entrena con esos datos.

6. Proveedores y transferencias internacionales

Para prestar el servicio trabajamos con estos proveedores, que tratan los datos por cuenta de Equiss y bajo contrato:

El nombre de cada proveedor se entrega por escrito a la empresa cliente que lo solicite en consultas@equissgroup.com; no lo publicamos para no exponer información que ayudaría a un atacante.

Algunos de estos proveedores están en Estados Unidos. En Colombia, ese país figura entre los que la Superintendencia de Industria y Comercio reconoce con un nivel adecuado de protección; además, Equiss celebra con cada proveedor un contrato de transmisión o encargo que le exige confidencialidad, seguridad y usar los datos solo para el servicio. En México, estas comunicaciones son remisiones a encargados, que no requieren su consentimiento. No hacemos otras transferencias a terceros, salvo por orden de una autoridad competente.

7. Seguridad y respaldos

Protegemos los datos con varias capas, de modo que la falla de una sola no los deje expuestos. Por seguridad, no publicamos detalles técnicos de la infraestructura; los clientes pueden pedir una descripción de las medidas, bajo confidencialidad, en consultas@equissgroup.com.

Dónde está la información

• DANA funciona en un entorno privado de nube, exclusivo de Equiss, con acceso restringido a las personas autorizadas. No se comparte con otros clientes ni con otros servicios.
• Los documentos y los respaldos se guardan en Estados Unidos, en un entorno privado de Equiss separado del que atiende la aplicación.

Aislamiento y control de acceso

• Todas las conexiones viajan cifradas.
• Cada empresa está aislada: un usuario solo ve los datos de su empresa, y lo que puede hacer depende de su rol (administrador, coordinador, jefe de área o consulta).
• Las personas de Equiss que administran el servicio entran por una consola aparte, con contraseña individual, y las acciones delicadas piden una segunda verificación de identidad.
• Los accesos se pueden cerrar en todos los equipos desde la propia cuenta, y los permisos se revisan en el servidor, no solo en la pantalla.

Cifrado

• Los documentos se cifran con una llave propia de cada empresa antes de guardarse: un archivo de una empresa no se puede abrir con la llave de otra. El almacenamiento añade además su propio cifrado.
• Las llaves se guardan separadas de los datos que protegen.
• DANA usa seudónimos en lugar de nombres cuando consulta al modelo de inteligencia artificial, y no entrega datos de menores ni contenido clínico.

Respaldos

• La base de datos se respalda todos los días y también antes de cada actualización importante. Cada copia se cifra antes de salir del servidor, con una clave que no se guarda junto a las copias.
• Las copias se conservan en un entorno separado del de producción, de modo que un incidente en el servicio no las alcance.
• Cada mes se prueba que un respaldo se puede restaurar de verdad, y si un respaldo falla o se atrasa, el equipo recibe una alerta.
• Solo personal autorizado de Equiss puede restaurar, con doble verificación de identidad, y siempre primero en una copia aparte que se revisa antes de ponerla en uso.
• Los respaldos se borran solos al cumplir su ciclo (ver la sección 8).

Vigilancia y desarrollo seguro

• Las acciones importantes quedan en un registro de auditoría.
• Cada versión nueva se prueba con pruebas automáticas, y los cambios que tocan accesos o aislamiento pasan por una revisión de seguridad adicional antes de publicarse.
• Si ocurre un incidente de seguridad que afecte datos personales, lo informaremos a la empresa cliente y a la autoridad competente según la ley aplicable.

Marco de cumplimiento

• Tratamos los datos conforme a la Ley 1581 de 2012 y sus decretos reglamentarios en Colombia, y a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares en México.
• Nuestras medidas se inspiran en los controles de la norma ISO/IEC 27001. Esto describe nuestras prácticas: DANA no cuenta con una certificación ISO/IEC 27001.

8. Cuánto tiempo los guardamos

• Datos de la empresa cliente: mientras el servicio esté vigente. Al terminar, la empresa puede descargar una exportación durante 30 días. Después los eliminamos de la aplicación en un plazo máximo de 90 días, salvo que la ley exija conservarlos.
• Respaldos: se borran solos según su ciclo: diarios 14 días, semanales 8 semanas, mensuales 12 meses. Mientras tanto siguen cifrados y solo se usan para restaurar el servicio.
• Solicitudes de reunión del sitio web: hasta 24 meses después del último contacto.
• Registros de auditoría y de seguridad: mientras la cuenta exista, y los de errores técnicos 60 días.

9. Sus derechos

En Colombia (Ley 1581 de 2012)

Usted puede conocer, actualizar y rectificar sus datos, pedir prueba de la autorización, ser informado del uso que se les da, revocar la autorización o pedir la supresión cuando proceda, y acceder gratis a sus datos. Responderemos las consultas en máximo 10 días hábiles (prorrogables 5) y los reclamos en máximo 15 días hábiles (prorrogables 8). Puede presentar una queja ante la Superintendencia de Industria y Comercio después de haber acudido a nosotros.

En México (LFPDPPP)

Usted puede ejercer sus derechos de acceso, rectificación, cancelación y oposición (ARCO), revocar su consentimiento y limitar el uso o divulgación de sus datos. Responderemos en los plazos de la ley (hasta 20 días hábiles para comunicar la respuesta). La autoridad competente es la Secretaría Anticorrupción y Buen Gobierno.

Cómo presentarla

Escriba a consultas@equissgroup.com con su nombre, la forma de contactarlo, una copia de su documento de identidad (o el de su representante y el poder), una descripción de lo que pide y, si quiere corregir algo, el dato correcto.

Si usted es trabajador de una empresa cliente, la responsable de sus datos es su empleador: le recomendamos dirigirse primero a ella. Si nos escribe a nosotros, se lo remitiremos y la ayudaremos a responder.

10. Cookies y almacenamiento local

Este sitio no usa cookies de analítica ni de publicidad. La aplicación DANA guarda en el navegador solo lo necesario para mantener la sesión abierta y algunas preferencias de pantalla (por ejemplo, si el panel del chat está abierto). Al cerrar sesión, la sesión se borra.

11. Cambios a esta política

Si cambiamos esta política de forma importante, publicaremos la nueva versión aquí con su fecha y avisaremos a las empresas clientes por correo o dentro de DANA. Cuando la ley lo exija, pediremos de nuevo la aceptación.

Versión 2026-10-12.