← Volver a flow-state.app

Política de Tratamiento de Datos Personales

Última actualización: 30 de octubre de 2026

La presente Política de Tratamiento de Datos Personales de FlowState (en adelante "la Política") da cumplimiento a la Ley Estatutaria 1581 de 2012, al Decreto 1377 de 2013, al artículo 15 de la Constitución Política de Colombia y a la Ley 1273 de 2009 sobre delitos informáticos. Describe cómo FlowState recolecta, usa, almacena, suprime y en general trata los datos personales de los usuarios de la plataforma (dueños de tiendas) y de los compradores finales que interactúan con esas tiendas.

1. Responsable del tratamiento

2. Marco legal

Esta Política se rige por la siguiente normatividad colombiana aplicable:

• Artículo 15 de la Constitución Política de Colombia (Hábeas Data).
• Ley Estatutaria 1581 de 2012, sobre protección de datos personales.
• Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2012.
• Ley 1273 de 2009, sobre delitos informáticos.
• Circulares y lineamientos de la Superintendencia de Industria y Comercio (SIC), autoridad competente en protección de datos personales en Colombia.
• Las Políticas de la Plataforma de Meta y las Políticas de WhatsApp Business, en lo aplicable a la integración con WhatsApp Cloud API.

3. Definiciones

Conforme al artículo 3 de la Ley 1581 de 2012:

• Autorización: consentimiento previo, expreso e informado del Titular para el Tratamiento de sus datos personales.
• Base de Datos: conjunto organizado de datos personales objeto de Tratamiento.
• Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Encargado del Tratamiento: persona natural o jurídica que realiza el Tratamiento de datos personales por cuenta del Responsable.
• Responsable del Tratamiento: persona natural o jurídica que decide sobre la base de datos y el Tratamiento de los datos.
• Titular: persona natural cuyos datos personales son objeto de Tratamiento.
• Tratamiento: cualquier operación sobre datos personales — recolección, almacenamiento, uso, circulación o supresión.
• Aviso de Privacidad: comunicación del Responsable dirigida al Titular para informarle sobre el Tratamiento de sus datos.

4. Datos personales objeto de tratamiento

4.1 Datos de los usuarios de la plataforma (dueños de tienda)

• Datos de identificación: nombre completo, número de identificación cuando aplique.
• Datos de contacto: correo electrónico, número de teléfono, ciudad, país.
• Datos de perfil de negocio: nombre de la tienda, categoría del negocio.
• Datos de facturación: plan contratado, fechas de pago y comprobantes asociados a la suscripción.
• Datos de autenticación: credenciales de acceso, almacenadas con hash Argon2id (nunca en texto plano), tokens de sesión y registros de inicio de sesión.
• Datos de conexión: dirección IP y fecha/hora de cada inicio de sesión.
• Datos de uso del panel, de los dueños y de los empleados que entran a él: pantallas visitadas, fecha, hora y tiempo en ellas, rol, tienda activa y datos técnicos del navegador, asociados a un identificador interno. No incluyen su nombre ni su correo.

4.2 Datos de los compradores finales de cada tienda

En su rol de plataforma multi-tenant, FlowState almacena en nombre de cada comercio los datos de los compradores finales de esa tienda:

• Datos de identificación y contacto: nombre, número de teléfono, dirección de entrega, ciudad, departamento.
• Datos comerciales: historial de pedidos, productos adquiridos, cantidades, precios y estado del envío.
• Datos de comunicación: contenido de las conversaciones de WhatsApp Business (texto, imágenes, audios, videos y documentos, como el comprobante de un pago anticipado) y sus metadatos (fecha, hora, estado de lectura y de entrega).
• Datos de pauta: si el comprador escribió desde un anuncio de Meta, el identificador del anuncio y del clic.
• Datos de logística: dirección de entrega, número de guía y estado del despacho.
• Origen de estos datos: la tienda en línea del comercio, las conversaciones de WhatsApp, el panel y las landings o formularios que el comercio conecte para recibir pedidos (webhooks de entrada). En todos los casos, el comercio es quien los recoge y quien debe contar con la autorización del titular.
• Datos generados por automatizaciones: etiquetas asignadas a pedidos y clientes desde el panel del comercio.

4.3 Datos sensibles

FlowState no solicita ni promueve el tratamiento de datos sensibles (orientación sexual, afiliación política, salud, datos biométricos, datos de menores, etc.). Si el comercio, en su propia operación, recolecta datos sensibles a través de las conversaciones, es su exclusiva responsabilidad obtener la autorización previa, expresa e informada del titular, conforme al artículo 6 de la Ley 1581 de 2012.

5. Finalidades del tratamiento

Los datos personales se tratan para las siguientes finalidades:

• Operación de la plataforma: permitir el acceso al servicio contratado y la gestión de la tienda, sus productos, pedidos, conversaciones y automatizaciones.
• Soporte técnico: atender incidencias reportadas, diagnosticar errores y aplicar correcciones.
• Mantenimiento y evolución del servicio: aplicar actualizaciones, migraciones y mejoras.
• Aseguramiento de la calidad del servicio: monitorear el funcionamiento de las integraciones externas (WhatsApp Cloud API, Shopify, el operador logístico) y del desempeño del asistente de inteligencia artificial.
• Medición del uso del panel: conocer qué pantallas se usan, con qué frecuencia y en qué horarios, por usuario y por tienda, para decidir qué mejorar, simplificar o retirar. No incluye datos de los compradores ni se usa para publicidad.
• Cumplimiento de obligaciones legales: atender requerimientos de autoridades competentes y dar respuesta a solicitudes de titulares conforme a la Ley 1581 de 2012.
• Envío de datos de pedidos a destinos que el comercio configure (webhooks de salida): por instrucción del comercio y solo con los datos que este elija (sección 9.4).
• Recepción de pedidos desde las fuentes que el comercio conecte (webhooks de entrada): para registrar el pedido y gestionarlo como cualquier otro, incluida su confirmación por WhatsApp.
• Opinión y testimonios: pedir al comprador su opinión sobre un pedido entregado y, solo con su autorización expresa y la aprobación del comercio, mostrarla a otros compradores con su nombre de pila y su ciudad.
• Aviso de recompra: ofrecer por WhatsApp reponer un producto, solo a quien lo autorizó expresamente para ese canal y esa finalidad, en horario hábil y con un máximo de frecuencia.
• Carrito abandonado: recordar una vez por WhatsApp una compra que no se terminó, solo a quien lo autorizó en el checkout de la tienda.
• Medición de la pauta del comercio: leer el gasto de las cuentas publicitarias de Meta que el comercio elija y, si activa el píxel, informar a Meta cada compra confirmada (valor, moneda, número de pedido, identificador del clic y ciudad, departamento y país cifrados con hash), sin el nombre, el teléfono ni el correo del comprador.
• Consultas desde las apps de IA del usuario (MCP): responder, en solo lectura, lo que el usuario pregunte a la app de IA que él mismo conecte (sección 9.5).
• Comunicaciones de servicio: avisos operativos, cambios de políticas y recordatorios de pago relacionados con la suscripción.
• Prevención de fraude y uso indebido: detectar spam, abuso o prácticas contrarias a los Términos y Condiciones o a las políticas de Meta.

6. Personas autorizadas para acceder a los datos

Conforme al literal h del artículo 4 de la Ley 1581 de 2012 (principio de confidencialidad), el acceso a los datos personales está restringido a:

• El responsable del tratamiento, Johan Steven Barón Díaz.
• Colaboradores autorizados que requieran acceso a los datos para cumplir las finalidades descritas en la sección 5, bajo el principio de mínimo privilegio.
• Encargados del tratamiento: proveedores de infraestructura y servicios (Amazon Web Services, Vercel, Cloudflare, Resend, PostHog, Meta Platforms, el proveedor de inteligencia artificial elegido por cada comercio, y el operador logístico), que tratan los datos únicamente bajo instrucciones de FlowState y para las finalidades del servicio.

El acceso administrativo se ejerce únicamente con las finalidades legítimas enumeradas y queda sujeto a registro auditable de cada operación.

7. Derechos de los titulares

Conforme al artículo 8 de la Ley 1581 de 2012, el titular de los datos personales tiene los siguientes derechos, ejercibles en cualquier momento:

• Conocer los datos personales que se estén tratando sobre él, gratuitamente.
• Actualizar y rectificar los datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o cuyo tratamiento esté prohibido o no haya sido autorizado.
• Solicitar prueba de la autorización otorgada para el tratamiento de sus datos, salvo cuando se exceptúe expresamente como requisito.
• Ser informado, previa solicitud, respecto del uso dado a sus datos personales.
• Presentar ante la Superintendencia de Industria y Comercio (SIC) quejas por infracciones a la Ley 1581 de 2012.
• Revocar la autorización o solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
• Acceder de forma gratuita a sus datos personales tratados.

8. Procedimiento para ejercer los derechos

El titular puede presentar una solicitud, consulta o reclamo a través de:

La solicitud debe contener, al menos: identificación del titular (nombre completo y número de documento), descripción clara de los hechos que dan lugar al reclamo, un medio de contacto para recibir respuesta, y los documentos que soporten la solicitud, cuando aplique.

Plazos de respuesta, conforme a la Ley 1581 de 2012:

• Consultas: atendidas en un término máximo de diez (10) días hábiles desde su recepción. Si no es posible atenderla en ese término, se informará al titular antes del vencimiento, expresando los motivos y la nueva fecha, que no podrá superar cinco (5) días hábiles adicionales.
• Reclamos: atendidos en un término máximo de quince (15) días hábiles desde el día siguiente a su recepción. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes. Si no es posible atenderlo en el plazo, se informará al interesado antes del vencimiento, expresando los motivos y la nueva fecha, que no podrá superar ocho (8) días hábiles adicionales.

De no recibirse respuesta satisfactoria, el titular puede presentar una queja ante la Superintendencia de Industria y Comercio (SIC).

9. Transferencia y transmisión de datos

9.1 Transmisión a encargados del tratamiento

Para la prestación del servicio, FlowState transmite datos personales a los siguientes encargados del tratamiento, quienes actúan bajo instrucciones de FlowState y conforme a las finalidades de esta Política:

9.2 Transferencias internacionales de datos

Algunos de estos proveedores procesan datos en servidores ubicados fuera de Colombia (principalmente en Estados Unidos). FlowState realiza estas transferencias observando las garantías adecuadas de seguridad y confidencialidad que ofrecen dichos proveedores.

9.3 Divulgaciones a autoridades

FlowState podrá divulgar datos personales cuando sea requerido por autoridades judiciales o administrativas colombianas competentes, en cumplimiento de órdenes legales.

9.4 Envíos a destinos que elige el comercio (webhooks de salida)

El comercio puede configurar destinos (direcciones web de herramientas como Make, Zapier, una hoja de Google o un servidor propio) para recibir los datos de sus pedidos.

• No es una transmisión de FlowState a un proveedor propio. Es una comunicación que FlowState ejecuta como encargado, por instrucción del comercio, que es el responsable del tratamiento de los datos de sus compradores. El proveedor del destino actúa por cuenta del comercio, o como un tercero que este elige.
• Le corresponde al comercio: contar con la autorización de los titulares, u otra base legal, para ese envío y su finalidad; suscribir con el proveedor del destino el contrato de transmisión del artículo 25 del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) cuando corresponda; y verificar las condiciones del artículo 26 de la Ley 1581 de 2012 cuando el destino esté fuera de Colombia. FlowState registra la fecha en que el comercio lo declara para cada destino.
• Datos que se envían: los de los pedidos (número, estado, productos, guía y novedades) y, salvo que el comercio elija enviarlos sin datos personales, nombre, teléfono, correo y dirección del comprador. Nunca el contenido de las conversaciones.
• Medidas de FlowState: solo conexiones cifradas (HTTPS), una firma en cada envío para que el destino compruebe que viene de FlowState, bloqueo de destinos que apunten a redes internas, y un registro de los envíos que se conserva 14 días.

9.5 Apps de inteligencia artificial que conecte el usuario (MCP)

El usuario puede conectar a su tienda una app de IA propia (por ejemplo, Claude, ChatGPT o Cursor) para hacerle preguntas sobre su negocio.

• La conecta y la autoriza el usuario, con su propia cuenta en esa app. FlowState no la contrata ni la elige.
• Solo lectura: la app puede consultar pedidos, clientes, chats pendientes, finanzas, el semáforo logístico y la pauta. No puede modificar nada ni enviar mensajes.
• El proveedor de la app trata lo que recibe conforme a sus propios términos, que el usuario acepta al usarla.
• El usuario puede revocar el acceso en cualquier momento desde Integraciones, y deja de funcionar de inmediato.

10. Medidas de seguridad

FlowState implementa medidas técnicas, humanas y administrativas para garantizar la seguridad e integridad de los datos personales:

Técnicas:

• Cifrado de datos en tránsito mediante HTTPS/TLS.
• Cifrado de credenciales en reposo con AES-256-GCM, con la clave fuera de la base de datos.
• Contraseñas almacenadas con hash Argon2id; nunca en texto plano.
• Tokens de acceso de integraciones almacenados cifrados, con acceso restringido.
• Aislamiento entre tiendas a nivel de aplicación: toda consulta queda acotada a la tienda del usuario que la realiza.
• Copias de seguridad cifradas, con retención configurada para recuperación ante desastres.
• Registro auditable de los accesos administrativos.

Humanas y administrativas:

• Compromiso de confidencialidad de todo colaborador con acceso a los datos.
• Aplicación del principio de mínimo privilegio: cada colaborador accede solo a lo necesario para su función.
• Control de acceso por roles y revisión periódica de permisos.

11. Vigencia y período de conservación

• Los datos personales de los usuarios se conservan mientras exista la relación comercial con FlowState y durante el tiempo adicional necesario para cumplir obligaciones legales, contables y fiscales.
• Los mensajes y conversaciones se conservan mientras la cuenta esté activa, para permitir su consulta histórica.
• Al solicitarse la eliminación de una cuenta, FlowState se compromete a suprimir los datos personales dentro de los treinta (30) días siguientes, salvo aquellos que deban conservarse por obligación legal.
• El objetivo de conservación de los registros de seguridad y auditoría es de un máximo de doce (12) meses.
• El registro de envíos a los destinos que configure el comercio (webhooks de salida) se conserva catorce (14) días.
• El registro de lo recibido de las fuentes que conecte el comercio (webhooks de entrada) se conserva catorce (14) días. El pedido creado se conserva como los demás.
• Los datos de un carrito abandonado que no se recupera se conservan treinta (30) días.
• Los datos de uso del panel se conservan doce (12) meses, o menos si se elimina la cuenta o el titular lo solicita.
• Esta Política tiene vigencia desde su fecha de última actualización y se mantiene vigente mientras no sea modificada.

12. Autorización del titular

Al crear una cuenta en FlowState, al aceptar los Términos y Condiciones, al usar la plataforma o al proporcionar datos en formularios de registro o contacto, el titular otorga su autorización previa, expresa e informada para el tratamiento de sus datos personales conforme a las finalidades y condiciones descritas en esta Política, en cumplimiento del artículo 9 de la Ley 1581 de 2012.

El titular puede revocar esta autorización en cualquier momento, siempre que no exista un deber legal o contractual que imponga al responsable continuar con el tratamiento.

Los mensajes comerciales de recompra y el uso de una opinión como testimonio piden además una autorización propia, expresa y separada, que el comprador da en el mismo chat con un botón. La revoca igual: con el botón "No más mensajes", con sus palabras, o pidiendo que se quite su testimonio. FlowState guarda cuándo y con qué mensaje se dio cada autorización.

13. Aviso de privacidad (versión corta)

El siguiente aviso puede incluirse en formularios de registro o contacto cuando no sea posible presentar la política completa:

Los datos personales que proporciones serán tratados por FlowState (Johan Steven Barón Díaz, cédula de ciudadanía No. 1.001.316.473, Bogotá, Colombia) con las siguientes finalidades: operar la plataforma, brindar soporte técnico, ejecutar los servicios contratados, medir el uso de la plataforma para mejorarla, cumplir obligaciones legales y prevenir fraude. Como titular tienes derecho a conocer, actualizar, rectificar y suprimir tus datos, y a revocar tu autorización. Para ejercer estos derechos escribe a myflowstate.ai@gmail.com o al WhatsApp +57 311 246 2464. Consulta la política completa en flow-state.app/politica-datos. Al aceptar este aviso, otorgas tu autorización para el tratamiento de tus datos personales conforme a la Ley 1581 de 2012.

14. Modificaciones a la política

FlowState podrá modificar esta Política en cualquier momento para reflejar cambios en la normatividad aplicable o en el alcance del servicio. Los cambios sustanciales se notificarán a través de la plataforma o por correo electrónico con al menos quince (15) días de anticipación a su entrada en vigencia. La fecha de la última actualización se indica al inicio de este documento.

15. Contacto del responsable

Esta Política de Tratamiento de Datos Personales se emite en cumplimiento de la Ley 1581 de 2012, el Decreto 1377 de 2013, el artículo 15 de la Constitución Política de Colombia y la Ley 1273 de 2009, y es complementaria de los Términos y Condiciones y de la Política de Privacidad de FlowState.