Saltar al contenido

Marco Legal y Cumplimiento Normativo

Política de Privacidad y Tratamiento de Datos

Última actualización: 12 de octubre de 2026 · Versión 1.0 (Lanzamiento Comercial)

1. Identidad del Responsable y Alcance

Xentriq ("nosotros" o "la plataforma") es una plataforma de software como servicio (SaaS B2B multi-tenant) diseñada para la gestión integral de citas, turnos en pantalla, inventario, caja y nómina para clínicas, salones de belleza, spas, consultorios odontológicos y negocios de atención al público.

Responsable del tratamiento: Eduardo Guarnizo, persona natural, que opera la marca Xentriq. Domicilio: Purificación, Tolima, Colombia. Correo para asuntos de datos personales: privacidad@xentriq.app. Xentriq no es una sociedad comercial: cuando esta política dice "Xentriq" o "nosotros", se refiere a esta persona natural como titular del servicio.

En cumplimiento de la legislación aplicable —en particular la Ley Estatutaria 1581 de 2012 de la República de Colombia, su Decreto Reglamentario 1377 de 2013, así como los estándares del Reglamento General de Protección de Datos (RGPD/GDPR de la Unión Europea)—, este documento establece las políticas de recolección, almacenamiento, uso, circulación y supresión de datos personales.

2. Distinción de Roles: Responsable vs. Encargado

Para garantizar la transparencia y la legalidad en el tratamiento, reconocemos dos relaciones jurídicas diferenciadas:

  • Xentriq como Responsable del Tratamiento: Respecto a la información de los usuarios que crean una cuenta comercial en Xentriq (datos de administradores, profesionales, credenciales, facturación del negocio y registros de auditoría de acceso).
  • Xentriq como Encargado del Tratamiento: Respecto a la información de los clientes finales y pacientes que el negocio suscriptor almacena o procesa mediante las herramientas de Xentriq (agenda de citas, turnero, comprobantes de pago y fichas de clientes). El negocio suscriptor actúa como Responsable directo frente a sus usuarios y garantiza contar con la debida autorización de Habeas Data para ingresar dichos datos en la plataforma.

3. Categorías de Datos Recopilados

A. Datos de Registro y Cuenta Comercial

Nombre completo del titular, razón social o nombre comercial, identificación tributaria (NIT/RUT o cédula), correo electrónico corporativo, número de contacto, país, ciudad y credenciales criptográficas de acceso. En caso de registro mediante proveedores de identidad federada (como Google OAuth), recibimos el identificador de cuenta, correo electrónico y nombre verificado. Al registrarte también guardamos, de forma opcional, cómo conociste Xentriq y el origen de tu primera visita (parámetros de campaña del enlace, dominio de procedencia y primera página vista, sin datos personales), según se describe en la política de cookies.

B. Datos Operativos de Negocio

Catálogos de servicios y productos, tarifas, horarios de atención, agenda de turnos, comisiones de profesionales, registros de ventas de caja y movimientos de inventario necesarios para la operación de la sede.

C. Datos de Clientes Finales del Negocio

Nombre, teléfono celular y notas sobre servicios recibidos recopilados por el negocio para coordinar reservas y asignación en turneros en sala de espera.

D. Canales de Mensajería de Meta y Prohibición de Voz

Los canales de mensajería que Xentriq podrá admitir son exclusivamente WhatsApp Business, Instagram Direct y Facebook Messenger, todos operados por Meta Platforms, Inc. A la fecha de esta versión, la conexión de canales está en desarrollo y no forma parte de los planes vigentes; esta sección describe cómo se tratarán los datos cuando se habilite. Cuando un negocio suscriptor conecta voluntariamente alguno de estos canales a su cuenta, Xentriq recibe, a través de las APIs oficiales de Meta, los mensajes que los clientes finales envían a ese negocio, junto con su identificador de contacto (por ejemplo, número de WhatsApp o identificador de usuario de Instagram o Messenger), nombre de perfil público, contenido y fecha de los mensajes y los archivos que el cliente comparta. Esta información se trata como datos de la Plataforma de Meta y se usa solo para lo descrito en la sección 4. Queda expresamente establecido que Xentriq no opera ni operará canales de voz, telefonía analógica ni servicios de VoIP.

F. Asistentes de Inteligencia Artificial

Xentriq incluye dos funciones de inteligencia artificial para agilizar el trabajo del negocio: (1) interpretar un texto pegado por el usuario (por ejemplo, una conversación de WhatsApp) para sugerir una cita o reserva, y (2) leer la fotografía de una lista de precios para proponer servicios y tarifas. El texto o la imagen se envía de forma puntual, en el momento en que el usuario usa la función, a un proveedor externo de modelos de IA (OpenAI) bajo condiciones que prohíben usar esos datos para entrenar sus modelos. Los resultados son sugerencias que el usuario revisa y confirma antes de guardarse; la IA no toma decisiones automáticas sobre las personas ni envía mensajes por su cuenta.

E. Notificaciones Push y Proveedores de Infraestructura

Para el envío de alertas operativas en tiempo real (nuevas reservas, comprobantes y cancelaciones), utilizamos Firebase Cloud Messaging (Google LLC) mediante tokens criptográficos anónimos de dispositivo. Las alertas push transmiten únicamente metadatos operativos y títulos descriptivos sin exponer datos de contacto sensibles como números telefónicos o correos electrónicos.

4. Finalidades del Tratamiento

Los datos personales recolectados se utilizan estrictamente para:

  1. Prestar, mantener y optimizar los servicios contratados de agenda, turnero, caja e inventario.
  2. Gestionar la autenticación de usuarios y la seguridad de la cuenta (incluyendo verificación 2FA y detección de accesos no autorizados).
  3. Procesar cobros de suscripción a través de pasarelas de pago seguras y emitir las facturas correspondientes.
  4. Garantizar el soporte técnico, atención de incidencias y cumplimiento de compromisos de disponibilidad (SLA).
  5. Cumplir con las obligaciones fiscales, contables y regulatorias exigidas por las autoridades competentes.
  6. Mostrar al negocio, en una bandeja unificada, los mensajes que sus clientes le envían por WhatsApp Business, Instagram Direct y Facebook Messenger, y permitirle responderlos.
  7. Ejecutar los asistentes de IA descritos en la sección 3.F a solicitud expresa del usuario.
  8. Medir, de forma agregada y con datos propios, qué canales de difusión traen nuevos negocios a Xentriq. Este dato no se usa para publicidad ni se comparte con terceros.
  9. Enviar correos transaccionales (verificación de cuenta, recuperación de acceso, avisos de suscripción y notificaciones del servicio) desde la dirección no-reply@xentriq.app.

Uso de datos de la Plataforma de Meta. Los datos recibidos de WhatsApp, Instagram y Messenger se usan únicamente para prestar el servicio al negocio que autorizó la conexión. Xentriq no vende ni cede estos datos, no los usa para publicidad ni para elaborar perfiles ajenos al servicio, no los combina con datos de otros negocios y no los usa para entrenar modelos de IA. Cada negocio accede solo a sus propias conversaciones, y puede desconectar el canal en cualquier momento desde su configuración, tras lo cual Xentriq deja de recibir nuevos mensajes de ese canal.

Terceros que intervienen en el servicio: Meta Platforms, Inc. (canales de mensajería), OpenAI y Google (Gemini) (asistentes de IA), Google LLC (autenticación con Google y notificaciones push), la pasarela de pagos que procesa las suscripciones y el proveedor de infraestructura donde se alojan los servidores. Cada uno recibe solo la información necesaria para su función.

5. Medidas de Seguridad y Aislamiento Multi-Tenant

Xentriq implementa arquitectura de aislamiento lógico estricto (*Multi-tenant Isolation*). Cada cuenta opera bajo un identificador único de inquilino (TenantId) validado criptográficamente en cada solicitud.

  • Cifrado en tránsito y en reposo: Todo el tráfico viaja bajo protocolos HTTPS / TLS 1.3 con certificados HSTS. Las bases de datos y copias de seguridad se almacenan cifradas bajo el estándar AES-256.
  • Control de acceso basado en roles (RBAC): Cada colaborador del negocio solo accede a los módulos explícitamente autorizados según su perfil (dueño, administrador, profesional, recepcionista).
  • Tokens de acceso y Refresh Tokens rotativos: Las sesiones se gestionan mediante tokens JWT de corta duración y cookies seguras HttpOnly protegidas contra manipulación XSS y CSRF.

6. Derechos de los Titulares (Habeas Data)

De conformidad con el artículo 8 de la Ley 1581 de 2012 y el RGPD, los titulares de la información tienen derecho a:

  • Conocer, actualizar y rectificar sus datos personales frente a información inexacta, incompleta o desactualizada.
  • Solicitar prueba de la autorización otorgada para el tratamiento de sus datos.
  • Ser informados respecto del uso que se ha dado a sus datos personales.
  • Revocar la autorización o solicitar la supresión de datos cuando no medie un deber legal o contractual de conservarlos.
  • Acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

Para ejercer estos derechos, cualquier titular puede enviar una comunicación formal a nuestro Oficial de Protección de Datos al correo electrónico: privacidad@xentriq.app. Las solicitudes serán atendidas dentro de los plazos legales (máximo 10 a 15 días hábiles).

Eliminación de datos provenientes de Meta. Cualquier persona cuyos mensajes hayan llegado a Xentriq a través de WhatsApp, Instagram o Messenger puede solicitar la eliminación de sus datos escribiendo a privacidad@xentriq.app e indicando el canal y el identificador con el que contactó al negocio (número de teléfono o nombre de usuario). Eliminaremos o anonimizaremos esa información dentro de los plazos de esta política y confirmaremos por el mismo medio. El negocio suscriptor también puede eliminar conversaciones o desconectar el canal desde su panel.

7. Conservación y Supresión de Datos

Conservaremos la información mientras el negocio mantenga activa su suscripción a Xentriq. En caso de cancelación de la cuenta o término del periodo de prueba de 15 días sin conversión, el negocio dispondrá de un plazo de 30 días calendario para solicitar la exportación completa de sus datos en formato estructurado (CSV/JSON), tras lo cual la información será eliminada o anonimizada irreversiblemente de los servidores principales, conservando únicamente respaldos cifrados durante el término legalmente exigido para requerimientos contables o tributarios.

8. Canales de Contacto

  • Soporte técnico y consultas generales: soporte@xentriq.app
  • Protección de datos y ejercicio de derechos: privacidad@xentriq.app
  • Envío de correos del sistema: no-reply@xentriq.app es una dirección de salida (alias) que no recibe mensajes; para responder o consultar, escribe a soporte@xentriq.app.

9. Cambios a esta Política

Nos reservamos el derecho de modificar esta Política de Privacidad para adaptarla a novedades legislativas, jurisprudenciales o mejoras funcionales en la plataforma. Notificaremos cualquier cambio sustancial con al menos quince (15) días de antelación a través del panel de control o por correo electrónico registrado.