Volver al inicio

Política de Tratamiento de Datos Personales

Vigente desde el 2 de octubre de 2026 · Versión 2026-10-02

Esta política explica cómo TwionX recoge, usa, guarda y protege los datos personales, y cómo puedes ejercer tus derechos. Cumple la Ley 1581 de 2012, el Decreto 1074 de 2015 (que compila el Decreto 1377 de 2013) y las demás normas colombianas de protección de datos personales.

1. Quién es el responsable

• Razón social: GESDEC S.A.S., titular de la plataforma TwionX («TwionX»).
• NIT: 900.571.256-2.
• Domicilio: Cali, Valle del Cauca, Colombia.
• Correo para datos personales: privacidad@twionx.com.
• Soporte general: soporte@twionx.com.

2. Los dos papeles de TwionX

TwionX trata datos personales en dos calidades distintas, y es importante saber cuál aplica a tu caso:

• Como Responsable: de los datos de las personas que usan la plataforma. Son los dueños y administradores de los negocios, su personal (meseros, cajeros, contadores, etc.) y quienes nos contactan o se registran en twionx.com. También las personas que crean su cuenta de cliente TwionX (la cuenta con la que un cliente ve en la app sus beneficios en los negocios que lo invitaron). TwionX decide para qué se usan esos datos, y esta política aplica completa.
• Como Encargado: de los datos que cada negocio registra de SUS clientes, proveedores y empleados en TwionX (por ejemplo, las personas que se inscriben en el formulario de registro de un negocio, sus compras o sus manillas). En ese caso el Responsable es el negocio. TwionX solo trata esos datos por cuenta del negocio y según sus instrucciones, en virtud del contrato de transmisión incluido en los Términos de Uso (Decreto 1074 de 2015, art. 2.2.2.25.5.2). Si eres cliente de un negocio que usa TwionX, dirige tus solicitudes al negocio. Si nos escribes a nosotros, se la trasladaremos en un plazo máximo de dos (2) días hábiles y te avisaremos.

3. Qué datos tratamos

3.1 Como Responsable

• De identificación y contacto: nombre, documento, correo, teléfono, cargo y empresa.
• De la cuenta: usuario, contraseña (guardada solo como huella cifrada irreversible), PIN, rol y permisos, y configuración de verificación en dos pasos.
• De acceso sin contraseña: si activas Face ID, Touch ID, huella o passkeys, guardamos solo una llave pública. Tu cara o tu huella nunca salen de tu equipo; TwionX no las recibe ni las guarda.
• Comerciales y de facturación: plan, pagos, facturas y datos tributarios del negocio.
• Técnicos y de seguridad: dirección IP, tipo de equipo y sistema, versión de la app, registros de ingreso y de actividad (auditoría), y el identificador para enviar notificaciones al equipo.
• De la cuenta de cliente TwionX: correo (tu usuario), contraseña (solo como huella cifrada irreversible), número de documento (para reconocerte en los negocios donde estás registrado), nombre, la versión de estos términos que aceptaste y el identificador de notificaciones de tu celular.

Con tu cuenta de cliente ves, desde la app, lo que cada negocio guarda de ti: sellos, promociones, visitas, saldos y tus datos de contacto. Esos datos son de cada negocio (Responsable) y TwionX los trata por su cuenta (sección 3.2).

3.2 Como Encargado (por cuenta de cada negocio)

Datos de los clientes, proveedores y empleados del negocio: identificación, contacto, fecha de nacimiento, compras, saldos, créditos, manillas, reservas, nómina y el programa de beneficios del negocio (sellos por compras o visitas, promociones y beneficios usados). También la prueba de las autorizaciones de datos que otorgaron (fecha, hora, versión del texto aceptado, IP y navegador).

No pedimos datos sensibles (salud, origen racial o étnico, orientación política, religiosa o sexual, datos biométricos) y no están obligados a entregarlos. La nómina puede incluir datos de afiliación a seguridad social que el negocio registra por obligación legal: se tratan solo para ese fin y con acceso restringido.

4. Para qué los usamos (finalidades)

Como Responsable, TwionX trata los datos para:

1. Crear y administrar las cuentas, autenticar a los usuarios y proteger el acceso (incluida la verificación en dos pasos).
2. Prestar el servicio contratado: punto de venta, inventario, contabilidad, facturación electrónica, nómina, reportes y demás módulos.
3. Facturar la suscripción, gestionar pagos, cartera y obligaciones tributarias propias.
4. Dar soporte técnico y atender peticiones, quejas y reclamos.
5. Enviar avisos necesarios del servicio: seguridad, cambios en la cuenta, vencimientos, fallas y cambios a estas políticas.
6. Mantener la seguridad de la plataforma: detectar fraudes, accesos indebidos y abusos, y llevar registros de auditoría.
7. Mejorar el servicio con estadísticas de uso agregadas o anonimizadas.
8. Cumplir obligaciones legales y atender requerimientos de autoridades competentes.
9. Solo con tu autorización previa y separada: enviarte información comercial de TwionX. Puedes retirarla cuando quieras.
10. Con la cuenta de cliente: darte acceso a tus beneficios en los negocios que te invitaron, avisarte cuando completas una tarjeta de sellos y, solo si autorizaste publicidad a ese negocio, enviarte sus promociones y saludos de cumpleaños. Esos mensajes comerciales se envían solo de lunes a viernes de 7:00 a. m. a 7:00 p. m. y los sábados de 8:00 a. m. a 3:00 p. m., nunca domingos ni festivos (Ley 2300 de 2023). Puedes dejar de recibirlos desde tu cuenta en la app y desactivar las notificaciones en tu celular cuando quieras.

Como Encargado, los datos se usan únicamente para prestar al negocio el servicio contratado y para las finalidades que el negocio informó a sus titulares. TwionX no vende, no alquila, no comparte con fines comerciales ni usa para sus propios fines los datos de los clientes de los negocios.

5. Derechos de los titulares

Según el artículo 8 de la Ley 1581 de 2012, tienes derecho a:

• Conocer, actualizar y rectificar tus datos, incluso si son parciales, inexactos, incompletos, fraccionados o inducen a error.
• Solicitar prueba de la autorización otorgada, salvo cuando la ley no la exige.
• Ser informado, previa solicitud, del uso que se ha dado a tus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC), después de haber hecho tu consulta o reclamo ante el Responsable o el Encargado.
• Revocar la autorización y solicitar la supresión de tus datos cuando no exista un deber legal o contractual de conservarlos.
• Acceder en forma gratuita a tus datos personales.

6. Cómo ejercer tus derechos

El área responsable de atender peticiones, consultas y reclamos es el equipo de protección de datos de TwionX, en privacidad@twionx.com. En tu solicitud incluye:

• tu nombre y número de documento;
• lo que pides (consulta, actualización, corrección, supresión o revocatoria);
• los hechos que la motivan y los documentos que quieras aportar;
• un medio para responderte.

Podemos verificar tu identidad antes de entregar o modificar datos, para proteger tu información. Si actúas en nombre de otra persona, acredita la representación.

• Consultas: se responden en máximo diez (10) días hábiles desde su recibo. Si no es posible, te informaremos el motivo y la nueva fecha, que no superará cinco (5) días hábiles adicionales (Ley 1581, art. 14).
• Reclamos (corrección, actualización, supresión o revocatoria): si el reclamo está incompleto, te pediremos completarlo dentro de los cinco (5) días siguientes; si pasan dos (2) meses sin que lo completes, se entenderá desistido. Un reclamo completo se atiende en máximo quince (15) días hábiles, prorrogables por ocho (8) días hábiles más con aviso del motivo. Mientras se resuelve, el dato se marcará como «reclamo en trámite» (Ley 1581, art. 15).

Si la solicitud se refiere a datos que TwionX trata como Encargado, la trasladaremos al negocio Responsable en máximo dos (2) días hábiles y te informaremos. Colaboraremos con el negocio para que te responda dentro de los plazos legales.

7. Con quién compartimos los datos

Solo con proveedores que necesitamos para prestar el servicio, que actúan como encargados o subencargados. Todos tienen obligaciones de confidencialidad y seguridad, y no pueden usar los datos para fines propios:

• Alojamiento de servidores y base de datos: OVHcloud, en Canadá.
• Correo transaccional: Amazon Web Services (SES), en Estados Unidos.
• Notificaciones al celular: Google Firebase (Estados Unidos), y Apple para equipos Apple.
• Protección contra robots en formularios: Cloudflare Turnstile (Estados Unidos).
• Lectura automática de facturas y funciones de inteligencia artificial: Google Cloud Vertex AI (Estados Unidos), bajo condiciones empresariales que no permiten usar los datos para entrenar sus modelos.
• Facturación electrónica: el proveedor tecnológico autorizado por la DIAN que usa TwionX (en Colombia) y la DIAN, cuando el negocio emite documentos electrónicos.
• Medición de campañas: si un negocio activa la integración con Meta (Facebook e Instagram), se envían a Meta datos de contacto cifrados de forma irreversible (hash), solo de clientes que autorizaron publicidad.
• Autoridades: cuando lo exija la ley o una orden de autoridad competente.

Transferencias y transmisiones internacionales: Canadá y Estados Unidos tienen un nivel adecuado de protección de datos según la Superintendencia de Industria y Comercio (Circular Externa 005 de 2017 y sus modificaciones). Las transmisiones a esos encargados se hacen con contratos que garantizan la seguridad y la confidencialidad de la información.

8. Seguridad

Aplicamos medidas técnicas, humanas y administrativas razonables para proteger los datos contra pérdida, consulta, uso o acceso no autorizado:

• cifrado en tránsito (HTTPS/TLS);
• contraseñas guardadas con algoritmos de hash seguros;
• separación estricta de la información de cada empresa;
• control de acceso por roles y verificación en dos pasos;
• registros de auditoría;
• copias de respaldo;
• monitoreo del servidor y acceso administrativo restringido con llaves criptográficas.

Ningún sistema es completamente invulnerable. Si ocurre un incidente de seguridad que afecte datos personales, lo gestionaremos de inmediato, lo informaremos a la Superintendencia de Industria y Comercio y, cuando corresponda, a los titulares y a los negocios afectados, según la ley.

9. Cookies y almacenamiento en el equipo

El sitio y la aplicación usan almacenamiento local del navegador o del equipo solo para funciones necesarias: mantener la sesión, recordar preferencias (como el modo claro u oscuro) y la seguridad. No usamos cookies de publicidad de terceros en la plataforma.

10. Cuánto tiempo guardamos los datos

Mientras la cuenta esté activa y sea necesario para las finalidades descritas. Al terminar la relación:

• el negocio puede descargar su información durante treinta (30) días;
• después la suprimimos o la anonimizamos, salvo lo que debamos conservar por obligaciones legales, contables o tributarias (por ejemplo, soportes de facturación) o para atender reclamaciones, y solo por el tiempo que esas obligaciones exijan;
• la prueba de las autorizaciones se conserva mientras pueda requerirse ante una autoridad.

Cuenta de cliente: puedes eliminarla tú mismo en la app (en tu cuenta, «Eliminar mi cuenta»). Se borran de inmediato tu acceso, tus avisos y el vínculo con los negocios. Lo que cada negocio registró de tus compras es de ese negocio: pídele a él que lo suprima (o escríbenos y se lo trasladamos).

11. Niñas, niños y adolescentes

TwionX es una herramienta para negocios y no está dirigida a menores de edad. Las cuentas son solo para mayores de 18 años. Los formularios de registro de clientes de TwionX exigen declarar la mayoría de edad. Si detectamos datos de un menor recogidos sin la autorización de su representante, los suprimiremos.

12. Obligaciones de los negocios que usan TwionX

Cada negocio es Responsable de los datos de sus clientes, proveedores y empleados. Le corresponde:

• contar con la autorización de los titulares cuando la ley la exige;
• informar las finalidades;
• tener su propia política de tratamiento;
• atender los derechos de los titulares;
• inscribir sus bases de datos en el Registro Nacional de Bases de Datos de la SIC, cuando esté obligado.

TwionX le entrega herramientas para cumplir, como el formulario de registro con autorización y prueba, la descarga de la base de clientes y la edición de los datos a solicitud del titular. Aun así, el cumplimiento de esos deberes es del negocio.

13. Cambios a esta política

Si cambiamos esta política de forma sustancial, lo informaremos por la aplicación o por correo antes de que el cambio aplique. Cuando el cambio afecte las finalidades, pediremos una nueva autorización. Siempre se publica la versión vigente con su fecha.

14. Vigencia

Esta política rige desde el 2 de octubre de 2026 (la versión anterior, del 28 de septiembre de 2026, no incluía la cuenta de cliente). Las bases de datos estarán vigentes mientras se mantengan las finalidades para las que se recogieron los datos y las obligaciones legales de conservación.

15. Autoridad de control

La autoridad de protección de datos en Colombia es la Superintendencia de Industria y Comercio: www.sic.gov.co.