Política de Privacidad y Tratamiento de Datos

1. Quiénes somos y a quién aplica

TABO ECOM S.A.S. ("nosotros") opera la plataforma Grand Line ("la Plataforma"), un software como servicio para negocios de comercio electrónico en Latinoamérica. Esta política explica cómo tratamos los datos personales conforme a la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) y demás normas de protección de datos de Colombia, y las de otros países donde aplique.

Tratamos datos en dos calidades distintas:

• Como Responsable, de los datos de las empresas que contratan Grand Line y de las personas que las usan (dueños, administradores y miembros de cada equipo).
• Como Encargado, de los datos de los clientes finales de cada empresa: nombres, teléfonos, direcciones de envío, pedidos y conversaciones de WhatsApp, Instagram, Messenger, correo y comentarios que la empresa gestiona en Den Den (el CRM de Grand Line) o importa desde Dropi, Shopify u otras fuentes. En ese caso la empresa es la Responsable y nosotros tratamos esos datos solo por su cuenta y según sus instrucciones, bajo el contrato de transmisión de datos que cada empresa acepta.

2. Datos que tratamos

2.1. De las empresas y sus usuarios (Responsable)

• Registro y perfil: nombre, correo, contraseña (la guarda Firebase Authentication, no nosotros), foto, cargo y rol en el equipo
• Datos de la empresa: nombre comercial, país, moneda y zona horaria
• Facturación: la procesa Stripe; no guardamos números de tarjeta
• Datos de operación: ventas, envíos, recaudo, gastos, inventario, campañas y creativos que la empresa importa o conecta
• Credenciales de integraciones (claves de acceso de Meta, TikTok, Dropi, Shopify, etc.), guardadas cifradas en el servidor
• Uso técnico: dirección IP, navegador, dispositivo y registros de actividad para seguridad y soporte
• Evidencia de la aceptación de los términos: versión, fecha, usuario, IP y navegador

2.2. De los clientes finales de cada empresa (Encargado)

• Identificación y contacto: nombre, teléfono, correo, usuario de Instagram o identificador del canal
• Envío: ciudad, departamento, dirección y referencias
• Pedidos: productos, valores, estado del envío y del recaudo
• Conversaciones: mensajes, notas de voz, fotos y archivos que la persona envía a la empresa, y las respuestas de la empresa o de su asistente de IA
• Atribución publicitaria: el anuncio o la publicación desde donde escribió

Estas conversaciones pueden contener datos sensibles (por ejemplo, de salud) si el cliente final los comparte. La empresa es quien debe informar a sus clientes y obtener su autorización; nosotros no usamos esos datos para ningún fin propio.

2.3. De integraciones que conectas

• Meta (Facebook, Instagram, WhatsApp): métricas y estructura de campañas, páginas, mensajes y comentarios de las cuentas que conectas
• TikTok for Business: perfil básico de la cuenta (open ID, usuario, avatar), métricas de campañas, comentarios de anuncios y estado de los borradores subidos
• Dropi, Shopify y MercadoLibre: pedidos, productos, inventario y datos de envío
• Google (Firebase): datos de inicio de sesión (correo, identificador y método de acceso)

3. Para qué los usamos (finalidades)

• Prestar la Plataforma: tableros, reportes, finanzas, logística, publicidad, laboratorio creativo, CRM y trabajo en equipo
• Sincronizar y enviar información a las plataformas que la empresa conecta y autoriza
• Atender por cuenta de la empresa a sus clientes finales (responder mensajes, crear pedidos, avisos de envío), solo según la configuración que ella defina
• Procesar pagos y administrar la suscripción
• Enviar avisos del servicio (alertas, reportes, cambios en la cuenta, cobros)
• Dar soporte y responder solicitudes
• Seguridad, prevención de fraude y abuso, y registros de auditoría
• Cumplir obligaciones legales, contables y tributarias

No vendemos datos personales ni los usamos para publicidad propia o de terceros.

4. Inteligencia artificial

Varias funciones usan modelos de IA de terceros —Google Gemini, OpenAI y Anthropic (Claude)— para redactar respuestas, transcribir notas de voz, describir imágenes, generar reportes y creativos. Para eso enviamos al proveedor solo la información necesaria para cada tarea, que puede incluir datos de la empresa y de sus clientes finales (por ejemplo, el texto de una conversación).

• Usamos las interfaces de programación (API) comerciales de esos proveedores. Según sus condiciones vigentes, OpenAI y Anthropic no usan por defecto los datos enviados por API para entrenar sus modelos, y Google no usa los datos de los servicios pagos de la API de Gemini para mejorar sus productos.
• Los proveedores pueden guardar esos datos por un tiempo limitado para detectar abusos, según sus propias condiciones.
• No usamos los datos de una empresa ni de sus clientes para entrenar modelos propios ni de terceros. La memoria que la IA guarda de cada empresa (reglas, decisiones y aprendizajes) es exclusiva de esa empresa.
• Si una empresa conecta su propia clave de un proveedor de IA, las llamadas con esa clave se rigen por el contrato entre la empresa y ese proveedor.
• Lo que genera la IA puede tener errores: la empresa decide qué se envía a sus clientes y puede dejar al asistente en modo de propuesta (sin enviar solo).

5. Con quién compartimos datos y transferencia internacional

Compartimos datos solo con proveedores que nos ayudan a prestar el servicio (subencargados) y con las plataformas que la empresa conecta:

• Google Cloud / Firebase: base de datos, archivos, autenticación y funciones
• Vercel: alojamiento y ejecución de la aplicación
• Stripe: pagos y suscripciones
• Google (Gemini), OpenAI y Anthropic: procesamiento con inteligencia artificial
• Meta (WhatsApp, Instagram, Messenger, Facebook Ads): mensajería y publicidad que la empresa conecta
• TikTok: publicidad, comentarios y publicación de borradores
• Shopify, Dropi, MercadoLibre y Mercado Pago: tienda, pedidos, logística y pagos que la empresa conecta
• Slack y correo electrónico: avisos y reportes que la empresa configura

Varios de estos proveedores procesan datos fuera de Colombia, principalmente en Estados Unidos. Al aceptar esta política y los términos, la empresa autoriza esa transmisión y transferencia internacional, que hacemos con proveedores que ofrecen medidas de seguridad y confidencialidad adecuadas. También entregamos datos cuando lo exige la ley o una autoridad competente.

6. Derechos de los titulares

Según el artículo 8 de la Ley 1581 de 2012, todo titular puede:

• Conocer, actualizar y rectificar sus datos
• Pedir prueba de la autorización que dio (salvo cuando la ley no la exige)
• Ser informado sobre el uso que se da a sus datos
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) después de haber agotado el trámite ante nosotros
• Revocar la autorización y pedir la supresión de sus datos cuando no haya un deber legal o contractual de conservarlos
• Acceder gratis a sus datos personales

6.1. Cómo ejercerlos

Escríbenos a ceo@taboecom.com con tu nombre, documento o dato de contacto con el que te tenemos registrado, lo que pides y, si actúas por otra persona, el documento que lo acredite.

• Consultas: respondemos en máximo 10 días hábiles desde que la recibimos. Si no alcanzamos, te avisamos el motivo y respondemos dentro de los 5 días hábiles siguientes.
• Reclamos (corrección, actualización, supresión o incumplimiento): respondemos en máximo 15 días hábiles, prorrogables hasta 8 días hábiles más con aviso. Si el reclamo está incompleto, te pedimos lo que falta dentro de los 5 días siguientes; si no llega en 2 meses, entendemos que desististe. Mientras se resuelve, marcamos el dato como «reclamo en trámite».

6.2. Si eres cliente de una empresa que usa Grand Line

La responsable de tus datos es esa empresa: dirige tu petición a ella. Si nos escribes a nosotros, se la trasladamos y le damos las herramientas para atenderla dentro de los plazos legales (exportar o anonimizar tus datos desde Configuración › Privacidad).

7. Cuánto tiempo los conservamos

• Datos de la cuenta y de operación: mientras la suscripción esté vigente
• Conversaciones de Den Den: cada empresa puede fijar cuántos meses se conserva el contenido de los mensajes (por defecto, 24); pasado ese plazo el texto y los adjuntos se eliminan y quedan solo cifras
• Cuando una empresa pide el borrado de su cuenta, sus datos se eliminan 30 días después de la solicitud (puede descargarlos antes y cancelar el borrado en ese plazo)
• Tras la cancelación de una suscripción sin pedido de borrado, los datos se eliminan dentro de los 90 días siguientes
• Registros de auditoría y lo que exija la ley (contable, tributario, defensa ante reclamos): hasta 5 años o el plazo legal aplicable
• Credenciales de integraciones: se eliminan al desconectar la integración

8. Seguridad

• Cifrado en tránsito y en reposo en la infraestructura de Google Cloud
• Separación por empresa: cada equipo solo accede a sus propios datos, también en las reglas de la base de datos
• Credenciales de terceros cifradas en el servidor; nunca se envían al navegador salvo donde la función lo exige
• Permisos por rol dentro de cada equipo y registro de auditoría de los cambios sensibles
• Si ocurre un incidente que afecte datos personales, avisamos a las empresas afectadas y a la autoridad cuando corresponda

9. Integración con TikTok

• user.info.basic: open ID, avatar y usuario, solo para mostrar la cuenta conectada
• video.upload: sube videos como borrador a tu cuenta; tú los revisas y publicas
• No usamos datos de TikTok para publicidad, perfilamiento ni venta a terceros, ni accedemos a seguidores o mensajes privados
• Al desconectar TikTok borramos de inmediato las claves de acceso; los datos asociados se eliminan dentro de 30 días

10. Cookies

Usamos solo cookies y almacenamiento local esenciales (sesión, preferencias de la interfaz). No usamos cookies de seguimiento publicitario.

11. Menores de edad

La Plataforma no está dirigida a menores de 18 años y no recopilamos a sabiendas sus datos como usuarios. Si una empresa trata datos de menores entre sus clientes, debe hacerlo respetando sus derechos y con la autorización de su representante legal.

12. Cambios y vigencia

Esta política rige desde la fecha de actualización indicada arriba. Si la cambiamos de forma sustancial, lo publicamos aquí y le pedimos al administrador de cada empresa que la revise y acepte de nuevo dentro de la Plataforma.

13. Contacto

• Responsable: TABO ECOM S.A.S.
• Correo para datos personales: ceo@taboecom.com
• Plataforma: grandline.com.co
• Soporte: grandline.com.co/soporte