Política de privacidad
Versión 1.7 · Vigente desde el 27 de octubre de 2026 · Reemplaza la versión 1.6 del 26 de octubre de 2026
1. Resumen
En Zoan Software tomamos en serio la protección de los datos personales. Esta política describe qué información recopilamos al utilizar nuestros productos, con qué propósito la procesamos, durante cuánto tiempo la conservamos y qué derechos tienen las personas titulares de esos datos.
Esta política aplica al sitio público zoansoftware.com, a los portales de cliente de Zoan Automation alojados bajo *.cloud.zoansoftware.com, a las aplicaciones de escritorio Zoan Designer y Zoan Agent, a la extensión Zoan UI Discover para Chrome y Microsoft Edge, y a la plataforma Zoan Biomed360. Es la única política de tratamiento de datos de ZOAN SOFTWARE S.A.S.; las secciones específicas de cada producto se indican en el apartado 3.
2. Responsable del tratamiento
El responsable del tratamiento de los datos personales recolectados a través de los servicios descritos en esta política es:
- Razón social: ZOAN SOFTWARE S.A.S. (nombre comercial: Zoan Software)
- NIT: 902.097.982-6
- Domicilio: Carrera 39C # 29A-23 Sur, Bogotá D.C., Colombia
- Contacto para asuntos de privacidad: privacy@zoansoftware.com
- Teléfono y WhatsApp: +57 322 768 3234
Los datos de identificación tributaria y registro mercantil se encuentran disponibles en el Aviso Legal.
3. Categorías de datos que procesamos
3.1 Sitio público (zoansoftware.com)
- Datos de los formularios del sitio: nombre, correo corporativo, empresa o institución, cargo y teléfono cuando el formulario los pide, y el mensaje enviado. Se usan para responder la solicitud, enviar el material pedido (por ejemplo, la guía de calidad del agua para diálisis) y contactarle sobre ella, incluido el agendamiento de un diagnóstico. Base legal: autorización previa, expresa e informada del titular, que se otorga al marcar la casilla del formulario (Ley 1581, art. 9; RGPD art. 6.1.a). No enviamos boletines ni publicidad sin una autorización aparte para ese fin.
- Datos técnicos de navegación: los servidores que atienden el sitio registran, por cada petición, la dirección IP, la fecha y hora, la página pedida, la página de la que llega la visita (referente) y el tipo de navegador. Se usan para detectar problemas operativos, proteger el servicio frente a uso indebido y contar las visitas de forma agregada, sin perfilar a nadie, y se eliminan a los 90 días. Base legal: deber de seguridad de la información (Ley 1581, art. 17, lit. d) e interés legítimo en el funcionamiento del sitio (RGPD art. 6.1.f).
- Datos de analítica web (solo con consentimiento): si el visitante acepta las cookies de analítica, Google Analytics 4 registra de forma seudónima las páginas visitadas, el origen de la visita (buscador, red social, enlace o campaña), el tipo de dispositivo y navegador, la región aproximada y las acciones en el sitio (por ejemplo, clics en botones o el envío del formulario, sin su contenido). GA4 no almacena direcciones IP completas. Base legal: consentimiento (Ley 1581 art. 9 / RGPD art. 6.1.a), revocable en cualquier momento desde «Preferencias de cookies», al pie del sitio. Detalle en la Política de cookies.
- Conversaciones del chat del sitio: los mensajes que el visitante escribe en el widget de chat, para responder su consulta. Base legal: autorización del titular al iniciar la conversación (Ley 1581, art. 9).
El sitio público no utiliza píxeles de seguimiento publicitario ni comparte datos de analítica con fines publicitarios: el uso publicitario está denegado en la configuración de Google Analytics.
3.2 Portal de cliente de Zoan Automation
- Registro en línea (plan Community): quien crea una organización desde app.cloud.zoansoftware.com/signup entrega el nombre de la organización, su nombre y apellido, su correo y una contraseña. Para dejar prueba de la autorización guardamos la versión de los términos y de esta política que aceptó, la fecha y la dirección IP desde la que la aceptó. Para evitar registros automatizados y abusos, la página usa la verificación Cloudflare Turnstile (ver la sección 5) y contamos los registros por dirección IP y por dominio de correo durante un máximo de 24 horas. La organización queda pendiente hasta que se confirma el correo con el enlace que enviamos, válido por 48 horas; si no se confirma, la organización y sus datos se eliminan a los 7 días. Base legal: autorización del titular, que se otorga al marcar la casilla del registro (Ley 1581, art. 9; RGPD art. 6.1.a), y la relación contractual que nace al aceptar los términos (RGPD art. 6.1.b).
- Datos de cuenta de usuario: nombre, correo corporativo, rol asignado dentro del tenant. La contraseña se almacena con un hash criptográfico salado; nunca se guarda en texto plano. Base legal: ejecución del contrato con el cliente que creó la organización, por contrato o por el registro en línea; los usuarios que el cliente invita, con la autorización que el cliente obtiene de ellos.
- Datos de sesión: para mantener al usuario autenticado, el portal emite un token de acceso de corta duración (que reside solo en la memoria del navegador) y un token de renovación que viaja en una cookie propia HttpOnly (
nx_refresh), inaccesible desde JavaScript. El servidor valida y puede revocar la sesión en todo momento. El detalle se describe en la Política de cookies. Base legal: ejecución del contrato e interés legítimo en la seguridad del servicio. - Datos operativos del producto: ejecuciones de procesos, logs, métricas de agentes y registros de auditoría. Cada tenant ve únicamente sus propios datos: el aislamiento se aplica a nivel de base de datos.
- Bóveda de credenciales del cliente: credenciales, tokens y secretos que los bots del cliente utilizan para acceder a sistemas externos. Se cifran en reposo con un algoritmo estándar de la industria. La llave de cifrado es gestionada por Zoan Software; no se comparte con terceros.
- Contenido que el cliente carga al portal: archivos de proceso (
.zoan), paquetes de actividades, plantillas de email. Permanecen en almacenamiento aislado por tenant.
3.3 Extensión Zoan UI Discover (Chrome y Microsoft Edge)
Propósito único. Zoan UI Discover es una herramienta para desarrolladores cuya única función es llevar a la aplicación de escritorio Zoan Designer lo que ocurre en el navegador mientras el usuario diseña una automatización: capturar selectores — los identificadores técnicos que localizan un elemento dentro de una página web —, comprobar que un selector guardado sigue encontrando su elemento, grabar las acciones que el usuario realiza en la página para convertirlas en pasos del flujo y mostrar una vista previa de los datos que una extracción obtendría. La extensión no realiza ninguna otra actividad y no funciona sin Zoan Designer.
Funcionamiento exclusivamente local. La extensión opera íntegramente en el equipo del usuario y no requiere crear una cuenta ni iniciar sesión. Solo actúa cuando el usuario inicia una captura, una validación, una grabación o una vista previa desde Zoan Designer; fuera de esos momentos no lee el contenido de las páginas. Lo que obtiene se envía a la aplicación Zoan Designer instalada en la misma máquina mediante una conexión local de bucle de retorno (ws://localhost:9224). Esta comunicación nunca sale del dispositivo: no se transmite a servidores de Zoan Software ni a terceros, no se almacena en la nube y no se utiliza para perfilar al usuario.
| Dato | Cuándo | Finalidad | ¿Sale del dispositivo? |
|---|---|---|---|
| Elemento que el usuario señala (etiqueta, atributos, texto visible) y su posición en la página | Al capturar | Generar identificadores estables del elemento | No. Solo a la aplicación Zoan Designer local. |
| Miniatura del elemento capturado (recorte de una imagen de la pestaña visible) | Al capturar | Mostrar en el Designer qué elemento quedó asociado al selector | No. Solo a Designer local. |
| URL y título de la pestaña activa | Al capturar, validar o grabar | Contexto del elemento y volver a la página correcta al validar | No. Solo a Designer local. |
| Acciones del usuario en la página: clics, texto escrito en campos, opciones elegidas, casillas y navegación | Solo durante una grabación iniciada por el usuario | Convertirlas en pasos del flujo de automatización | No. Solo a Designer local. El texto escrito en campos de contraseña no se registra. |
| Vista previa de una extracción: las celdas o filas que el usuario indicó (número limitado de filas) | Solo al pedir una vista previa | Mostrar qué obtendría la extracción antes de guardarla | No. Solo a Designer local. |
| Resultado de validar un selector (si encuentra el elemento y cuántas coincidencias) | Al validar | Avisar de selectores rotos antes de publicar el proceso | No. Solo a Designer local. |
La extensión no recopila, almacena ni transmite: credenciales ni contraseñas (los campos de contraseña se excluyen de la grabación), cookies de sesión, historial de navegación, ni el contenido de las páginas fuera de las capturas, grabaciones y vistas previas que el usuario inicia expresamente. Si durante una grabación el usuario escribe datos personales en un formulario, esos datos viajan únicamente al Designer del propio usuario y quedan en el archivo del proceso que él controla; recomendamos no grabar mientras se introducen datos sensibles.
Permisos solicitados y su justificación
Solicitamos el conjunto mínimo de permisos necesarios para cumplir el propósito único de la extensión:
| Permiso | Por qué es necesario |
|---|---|
activeTab | Actuar sobre la pestaña que el usuario tiene en primer plano, solo cuando inicia una captura, validación o grabación, y tomar la miniatura del elemento capturado. |
scripting | Inyectar bajo demanda el resaltador visual, el capturador de selectores y el grabador de acciones en esa pestaña; nunca al cargar páginas. |
tabs | Saber qué pestaña está activa y su dirección, seguir la pestaña correcta cuando el sitio abre ventanas emergentes o el usuario cambia de pestaña, volver a la página donde se capturó un selector al validarlo y detectar la navegación durante una grabación. No se leen los contenidos de otras pestañas. |
alarms | Mantener viva y reintentar la conexión local con la aplicación Zoan Designer; no se usa para rastrear actividad. |
storage | Buzón temporal de sesión: si la conexión local con el Designer se cae justo al capturar, la captura se conserva como máximo dos minutos y se entrega al recuperarla. No se guarda nada entre sesiones del navegador ni se sincroniza. |
host_permissions (<all_urls>) | El usuario puede automatizar cualquier aplicación web, por lo que el capturador debe poder funcionar en el sitio que el usuario elija. La extensión solo actúa sobre la pestaña activa y únicamente cuando el usuario inicia una sesión desde Zoan Designer; no lee ni envía contenido de las páginas en segundo plano. |
Uso limitado de los datos
El uso que Zoan Software hace de la información obtenida a través de la extensión se ajusta a la política de Uso Limitado de Chrome Web Store y a las políticas equivalentes de Microsoft Edge Add-ons. En concreto:
- No vendemos ni alquilamos los datos a terceros.
- No transferimos los datos a terceros, salvo a la aplicación local Zoan Designer del propio usuario, que es el destino del propósito único de la extensión.
- No usamos los datos con fines de publicidad, marketing, medición de audiencias ni creación de perfiles.
- No permitimos que ninguna persona lea los datos: al no salir del equipo del usuario, no son accesibles para Zoan Software ni para terceros.
- Los datos se usan exclusivamente para la finalidad única descrita: generar selectores, validarlos, grabar acciones y previsualizar extracciones para el flujo de automatización que el usuario está diseñando.
Conservación y eliminación
La extensión no conserva de forma persistente los datos obtenidos ni los guarda en servidores: se transmiten a Zoan Designer y se descartan (como máximo, dos minutos en el buzón temporal de sesión si la conexión local se cae). Lo que el usuario decide guardar queda en el archivo del proceso, en su equipo o en el portal de su organización según lo publique. Desinstalar la extensión elimina cualquier dato local asociado a ella.
3.4 Plataforma Zoan Biomed360
Zoan Biomed360 es una plataforma para la gestión del mantenimiento de equipos biomédicos (inventario, hojas de vida, mantenimientos, calibraciones, cronogramas, tecnovigilancia y documentos) en clínicas, hospitales e instituciones prestadoras de servicios de salud.
- Roles. Respecto de la información que la institución cliente carga en la plataforma, la institución actúa como responsable del tratamiento y Zoan Software como encargado, conforme al contrato de servicio. Para los datos de las cuentas de usuario necesarios para la seguridad del servicio y para la relación comercial, Zoan Software actúa como responsable.
- Proveedores que atienden varias instituciones. Cuando un proveedor de servicios biomédicos usa Zoan Biomed360 para atender a varias instituciones, el proveedor actúa como encargado de cada institución y Zoan Software como subencargado del proveedor. Cada institución solo ve la información de sus propias sedes.
- Qué hace Zoan Software como encargado. Trata los datos solo para prestar el servicio y según las instrucciones del contrato; no los usa para fines propios ni los comparte con terceros distintos de los proveedores indicados abajo; aplica las medidas de seguridad de esta política; apoya a la institución para responder consultas y reclamos de los titulares; le avisa de los incidentes de seguridad sin demora injustificada, y al terminar el contrato devuelve y suprime los datos como se indica en «Conservación» (Ley 1581, art. 18; Decreto 1074 de 2015, art. 2.2.2.25.5.2). El contrato de transmisión de datos se suscribe con cada institución que lo solicite.
- Datos de cuenta y de usuarios: nombre, correo electrónico, cargo, sede y credenciales de acceso (la contraseña se guarda con un hash criptográfico). La institución obtiene de sus usuarios la autorización para crearles la cuenta.
- Datos de uso: registros de acceso y actividad dentro de la plataforma (inicios y cierres de sesión, con dirección IP y navegador), con fines de seguridad y auditoría. Se conservan 24 meses en línea y después se archivan.
- Datos operativos de la institución: inventario de equipos, hojas de vida, registros de mantenimiento y calibración, órdenes de trabajo, fotos de evidencia, reportes de tecnovigilancia y los documentos que el cliente cargue.
- Firmas de las órdenes de trabajo: la imagen del trazo, el nombre, el cargo, el documento de identidad (opcional), el rol y la hora de quien firma. Al cerrar la orden, el PDF queda sellado con su huella SHA-256 y, en el plan Enterprise, con una firma criptográfica propia de la organización. La firma a distancia se hace con un enlace personal que vence a los 45 días y no admite una segunda firma. Es una firma electrónica en los términos de la Ley 527 de 1999; no es una firma digital con certificado de una entidad de certificación.
- Datos de pacientes. Zoan Biomed360 no está diseñado para almacenar historias clínicas. En los reportes de tecnovigilancia solo registra la edad y el sexo del paciente afectado, sin nombre, documento ni diagnóstico. Los campos de texto libre (descripción y acciones) no deben incluir datos que identifiquen al paciente; la plataforma lo recuerda al diligenciarlos. Por tratarse de información relacionada con la salud, Zoan Software la trata con la reserva que exige el artículo 21 de la Resolución 4816 de 2008, con acceso restringido a los usuarios autorizados de la institución. Si la institución incorporara otros datos sensibles, deberá contar con la autorización previa, expresa e informada de sus titulares (Ley 1581, arts. 5 y 6).
- Dónde se alojan los datos y quién más los trata: la aplicación y la base de datos funcionan en servidores de OVHcloud en Canadá; los documentos, las fotos y las copias de seguridad se guardan en Cloudflare R2; los correos del sistema se envían por Resend, que los entrega a través de Amazon SES desde Brasil. Si la institución lo configura, se conecta además con su proveedor de inicio de sesión (SSO) y con su proveedor de facturación electrónica. Zoan Biomed360 no envía datos a proveedores de inteligencia artificial y su portal no usa analítica de terceros. Ver la sección 5.1 sobre transferencias internacionales.
- Uso en el celular sin conexión. Zoan Biomed360 se puede instalar en el celular como aplicación web. Mientras no hay señal, las fotos de evidencia quedan guardadas en el dispositivo hasta que se sincronizan, por un máximo de 14 días, y los borradores de texto se borran al documentar la orden, a los 30 días o al cerrar sesión. Las fotos se toman con la cámara del sistema solo cuando el usuario lo decide; la aplicación no pide acceso a la ubicación. Recomendamos proteger el celular con bloqueo de pantalla.
- Seguridad: aislamiento de la información de cada organización en la base de datos, control de accesos por rol y por sede, autenticación reforzada (MFA/SSO), registro de la actividad relevante con cadena de verificación y copias de seguridad continuas, con una copia completa diaria que se conserva 30 días.
- Conservación: mientras la cuenta esté activa. La institución puede exportar sus datos en cualquier momento (archivo ZIP con CSV y JSON). Al terminar el servicio, los datos de la plataforma se suprimen 30 días después de la baja, y los documentos y fotos almacenados se eliminan en el cierre del contrato; las copias de seguridad caducan a los 30 días. El registro de auditoría se conserva durante su plazo, salvo obligación legal distinta.
4. Finalidades y plazos de conservación
| Finalidad | Base legal (Ley 1581; RGPD y LGPD cuando apliquen) | Conservación |
|---|---|---|
| Responder a solicitudes de contacto comercial y enviar el material pedido | Autorización del titular (art. 9 Ley 1581; art. 6.1.a RGPD) | 24 meses desde el último contacto |
| Registro en línea de una organización y prevención de registros abusivos | Autorización del titular y relación contractual (art. 9 Ley 1581; art. 6.1.a y 6.1.b RGPD) | La prueba de aceptación, mientras exista la cuenta y durante el plazo de prescripción de las acciones legales; los conteos por IP y dominio, 24 horas; los registros sin confirmar, 7 días |
| Registros técnicos de los servidores del sitio público | Deber de seguridad de la información (art. 17, lit. d, Ley 1581; art. 6.1.f RGPD) | 90 días |
| Analítica del sitio público (Google Analytics 4) | Autorización del titular (art. 9 Ley 1581; art. 6.1.a RGPD) | 14 meses; las cookies _ga duran hasta 2 años |
| Prestar el servicio de Zoan Automation y de Zoan Biomed360 | Contrato con el cliente; los datos de sus usuarios, con la autorización que el cliente obtiene de ellos (art. 9 Ley 1581; art. 6.1.b RGPD) | Duración del contrato + 30 días para exportación |
| Logs operativos y de auditoría | Deber de seguridad de la información (art. 17, lit. d, y art. 18, lit. b, Ley 1581; art. 6.1.c y 6.1.f RGPD) | 2 años |
| Facturación y obligaciones contables | Obligación legal (Código de Comercio de Colombia) | 10 años |
| Atención de derechos de los titulares | Obligación legal (arts. 14 a 16 Ley 1581; arts. 12 a 22 RGPD) | 3 años desde el cierre de la solicitud |
5. Destinatarios y proveedores
Algunos proveedores de tecnología tratan datos personales por cuenta de Zoan Software para hacer posible la prestación del servicio. Cuando trabajamos con encargados que tratan datos personales, suscribimos los acuerdos correspondientes (DPA u otros instrumentos análogos) cuando la normativa aplicable lo exija.
- Proveedor de infraestructura cloud / hosting — alojamiento de los portales y de las bases de datos del producto.
- Proveedor de CDN y protección de tráfico — entrega de contenido estático y protección frente a abuso. Puede registrar la dirección IP y cabeceras HTTP del visitante.
- Proveedor de correo transaccional — envío de correos del sistema (confirmación del registro, recuperación de contraseña, invitaciones, alertas) y entrega a nuestro equipo de los mensajes del formulario de contacto del sitio público.
- Cloudflare, Inc. (Turnstile) — en la página de registro de Zoan Cloud, comprueba que quien se registra es una persona y no un programa automatizado, a partir de la dirección IP y de señales técnicas del navegador. Según Cloudflare, Turnstile no usa cookies para recopilar ni guardar información y no usa estos datos con fines publicitarios (ver su aviso de privacidad de Turnstile).
- Proveedores de inteligencia artificial y lectura de documentos — Anthropic, OpenAI y Microsoft (Azure Document Intelligence), cuando el plan incluye la IA o la lectura de documentos de Zoan. Ver la sección 10.
- Google LLC (Google Analytics 4) — analítica del sitio público, solo para quienes la aceptan, con el uso publicitario denegado.
- Mosend — widget de chat del sitio público para atender las consultas de los visitantes.
- Procesador de pago — gestión de cobros del servicio, cuando se habilite el cobro por el portal. Los datos de tarjeta nunca pasan por servidores de Zoan: van directos al proveedor certificado PCI-DSS.
La lista nominativa actualizada de proveedores y subencargados se proporciona a los clientes empresariales que la soliciten por escrito a privacy@zoansoftware.com.
No vendemos, alquilamos ni cedemos datos personales a terceros con fines de marketing, publicidad o prospección comercial.
5.1 Transferencias internacionales de datos
Cuando un proveedor procese datos fuera de Colombia, la transferencia o transmisión se hace a países con un nivel adecuado de protección según la Superintendencia de Industria y Comercio, o se ampara en un contrato de transmisión con las obligaciones del encargado (Ley 1581, art. 26; Decreto 1074 de 2015, arts. 2.2.2.25.5.1 y 2.2.2.25.5.2). Para datos de titulares de la Unión Europea o Brasil se usan además los mecanismos de esas normas, como las cláusulas contractuales tipo. Si tienes preguntas específicas sobre la ubicación de un dato concreto, puedes escribirnos a privacy@zoansoftware.com.
6. Derechos de los titulares
Como titular de datos personales puedes ejercer los siguientes derechos en los términos de la normativa aplicable:
- Acceso — saber qué datos tuyos procesamos.
- Rectificación — corregir datos inexactos.
- Supresión / cancelación — pedir el borrado cuando ya no haya base que justifique el tratamiento.
- Limitación del tratamiento — pedir que suspendamos temporalmente el uso de los datos durante una controversia.
- Oposición — oponerte por motivos relacionados con tu situación particular al tratamiento basado en interés legítimo.
- Portabilidad — recibir tus datos en formato estructurado y de uso común.
- Revocación del consentimiento — en cualquier momento, sin que ello afecte la licitud del tratamiento previo.
- No ser objeto de decisiones únicamente automatizadas con efectos significativos sobre el titular.
- Reclamación ante la autoridad competente — Superintendencia de Industria y Comercio en Colombia, ANPD en Brasil, AEPD en España, o la autoridad equivalente en otra jurisdicción.
6.1 Cómo ejercer estos derechos
- Envía una solicitud a privacy@zoansoftware.com desde el correo asociado a tu cuenta o desde un correo desde el que podamos verificar tu identidad por otro medio.
- Indica claramente qué derecho ejerces y la información a la que se refiere la solicitud.
- Consultas (saber qué datos tuyos tratamos): las respondemos en un máximo de diez (10) días hábiles desde que las recibimos. Si no es posible, te informamos el motivo y la nueva fecha, que no superará cinco (5) días hábiles adicionales (Ley 1581, art. 14).
- Reclamos (corrección, actualización, supresión o un posible incumplimiento): incluye tu identificación, la descripción de los hechos, la dirección de respuesta y los documentos que quieras hacer valer. Si el reclamo está incompleto, te pedimos subsanarlo dentro de los cinco (5) días siguientes; si pasan dos (2) meses sin respuesta, se entiende que desististe. En un máximo de dos (2) días hábiles marcamos el dato con la leyenda «reclamo en trámite», y lo resolvemos en un máximo de quince (15) días hábiles, prorrogables hasta ocho (8) días hábiles más con aviso previo del motivo (Ley 1581, art. 15).
- Antes de acudir a la Superintendencia de Industria y Comercio, debes haber agotado la consulta o el reclamo ante nosotros (Ley 1581, art. 16). Para titulares cubiertos por el RGPD, respondemos en un plazo de un mes, prorrogable según su artículo 12.
- Cuando los datos los carga una institución cliente de Zoan Biomed360 o de Zoan Automation, ella es la responsable: te indicaremos que dirijas la solicitud a ella y la apoyaremos para atenderla dentro de estos plazos.
7. Medidas de seguridad
Aplicamos medidas técnicas y organizativas razonables para proteger los datos personales contra acceso no autorizado, pérdida o alteración. En particular:
- Cifrado en tránsito de las comunicaciones entre el navegador y los portales.
- Cifrado en reposo de la bóveda de credenciales con un algoritmo estándar de la industria. La gestión de claves la realiza Zoan Software.
- Aislamiento por tenant a nivel de base de datos, forzado por políticas que no se pueden eludir desde la aplicación.
- Hash de contraseñas con un algoritmo criptográfico moderno, factor de coste adecuado y sal aleatoria por usuario.
- Protección de la sesión: el token de renovación se transporta en una cookie HttpOnly (inaccesible desde JavaScript, fuera del alcance de ataques XSS) y el token de acceso es de corta duración y reside solo en memoria. Las sesiones inactivas se cierran automáticamente y pueden revocarse desde el servidor.
- Registros de auditoría de las acciones administrativas dentro del portal del cliente.
Si descubres un problema de seguridad, te agradecemos que nos lo comuniques de forma responsable escribiéndonos a privacy@zoansoftware.com antes de divulgarlo públicamente.
8. Notificación de incidentes
En caso de detectar una brecha de seguridad que comprometa datos personales y que represente un riesgo razonable para los derechos de los titulares, cumpliremos las obligaciones de notificación que correspondan según la normativa aplicable:
- En Colombia, reportamos el incidente a la Superintendencia de Industria y Comercio (Ley 1581, art. 17, lit. n, y art. 18, lit. k) dentro de los quince (15) días hábiles siguientes a su detección, como lo indica la Superintendencia.
- Como encargados de los datos de una institución cliente, le avisamos sin demora injustificada, con la información disponible para que pueda cumplir sus propias obligaciones.
- Bajo el RGPD, notificamos a la autoridad de control sin dilación indebida y, cuando sea posible, en un plazo máximo de setenta y dos (72) horas desde que tengamos conocimiento de la brecha.
9. Menores de edad
Nuestros productos están dirigidos a profesionales y organizaciones. No están diseñados para ser utilizados por menores de edad. Si tomamos conocimiento de que hemos recabado datos de un menor sin la autorización requerida por la normativa aplicable, los suprimiremos sin demora.
10. Inteligencia artificial y lectura de documentos
Zoan Automation incluye asistentes conversacionales, pasos de inteligencia artificial en flujos y robots, transcripción de audio y lectura de documentos (IDP). Para prestarlos, parte del contenido que procesas debe enviarse a un proveedor especializado. Esta sección no aplica a Zoan Biomed360, que no usa inteligencia artificial.
10.1 Qué se envía y a quién
- Cuando tu plan incluye la IA o la lectura de documentos de Zoan, los textos, imágenes, audios y documentos que tus asistentes, flujos, robots y pruebas del Designer necesitan procesar pasan por Zoan Cloud hacia el proveedor que presta el servicio: Anthropic (modelos de lenguaje), OpenAI (transcripción de audio) y Microsoft Azure Document Intelligence (lectura de documentos).
- Cuando usas tu propia cuenta de un proveedor, el contenido va al proveedor que tú configures (por ejemplo Anthropic, OpenAI, Google, Azure OpenAI u OpenRouter), bajo las condiciones de tu contrato con él.
- Bases de conocimiento: para que los asistentes encuentren la información, el texto de los documentos se convierte en vectores con un servicio que Zoan Software opera en su propia infraestructura; ese proceso no envía el contenido a terceros.
10.2 Enmascarado de datos personales
Antes de enviar texto a un modelo de lenguaje, los datos personales detectados (por ejemplo documentos de identidad, direcciones, correos y teléfonos) se reemplazan por marcadores. El enmascarado está activo por defecto y tu organización puede volverlo obligatorio en su política de IA. No se aplica a imágenes, audio ni a los documentos que se envían a la lectura de documentos: esos contenidos llegan completos al proveedor.
10.3 Qué guarda Zoan Cloud
- De la comunicación con el proveedor, Zoan Cloud no conserva una copia de lo que envía ni de la respuesta: registra solo el consumo (tokens, páginas, minutos y costo) y un registro de gobierno sin contenido (por ejemplo, qué tipos de datos se enmascararon).
- Como parte del servicio que usas, Zoan Cloud sí guarda el contenido que tu organización procesa en la plataforma: las conversaciones de los asistentes y sus adjuntos, los resultados de los pasos de IA en los flujos, los documentos y las extracciones de los proyectos de lectura de documentos, y los documentos de las bases de conocimiento. Se conservan según los plazos de retención de cada servicio y de tu plan, y se eliminan al terminar el contrato según lo descrito en la sección 4.
10.4 Si usas tu propia cuenta del proveedor
- Robots y pruebas del Designer: llaman al proveedor directamente desde el equipo donde corren; Zoan Cloud registra solo el consumo y el registro de gobierno sin contenido.
- Asistentes, flujos y diseño de proyectos de lectura de documentos en el portal: se ejecutan en Zoan Cloud, así que la llamada al proveedor sale de nuestros servidores, usando tu credencial, que guardamos cifrada.
10.5 Uso para entrenamiento
Zoan Software no utiliza el contenido de sus clientes para entrenar modelos de inteligencia artificial. Con la cuenta de Zoan, usamos las API que estos proveedores ofrecen públicamente, bajo sus condiciones comerciales estándar, sin acuerdos particulares con ellos. Según esas condiciones, vigentes a la fecha de esta política, el contenido enviado a través de la API no se utiliza para entrenar sus modelos, aunque el proveedor puede conservarlo durante un tiempo limitado por razones de seguridad y prevención de abuso. Cuando usas tu propia cuenta, rigen las condiciones de tu relación con el proveedor.
Estos proveedores pueden procesar los datos fuera de Colombia, por ejemplo en Estados Unidos; aplica lo descrito en la sección 5.1.
11. Cambios a esta política
Esta política puede actualizarse para reflejar cambios en el servicio, en los proveedores o en la normativa aplicable. Cuando haya cambios materiales:
- Actualizamos la fecha y la versión al inicio del documento.
- Notificamos a los clientes activos por los medios habituales de contacto con una antelación razonable, salvo que el cambio esté motivado por una obligación legal urgente.
12. Contacto
- Privacidad y derechos del titular: privacy@zoansoftware.com
- Soporte general: soporte@zoansoftware.com
- Contacto comercial: contacto@zoansoftware.com