Política de Tratamiento de Datos Personales.

1. Identificación del Responsable

El responsable del tratamiento de los datos personales es Kanguu S.A.S., sociedad por acciones simplificada constituida bajo las leyes de la República de Colombia, identificada con NIT 901.241.078, con domicilio principal en Cra 5 # 9-59, Icononzo, Tolima, Colombia. Los titulares pueden contactarnos por asuntos de protección de datos al correo privacidad@kanguu.app.

2. Definiciones

Para efectos de esta política se adoptan las definiciones del artículo 3 de la Ley 1581 de 2012:

• Titular: persona natural cuyos datos personales son objeto de tratamiento.
• Tratamiento: cualquier operación sobre datos personales (recolección, almacenamiento, uso, circulación, supresión).
• Responsable: Kanguu S.A.S., quien decide sobre la base de datos y/o el tratamiento.
• Encargado: persona que realiza el tratamiento por cuenta del Responsable (proveedores tecnológicos).
• Dato sensible: dato que afecta la intimidad o cuyo uso indebido puede generar discriminación (origen racial, salud, datos biométricos, vida sexual, entre otros).
• Autorización: consentimiento previo, expreso e informado del titular.

3. Datos personales que tratamos

Tratamos únicamente los datos necesarios para prestar el servicio según el rol del titular en la plataforma:

3.1 Cliente (consumidor final)

• Datos de identidad: nombre, apellido, tipo y número de documento.
• Datos de contacto: correo electrónico, teléfono, indicativo de país.
• Direcciones de entrega: dirección textual, referencias, coordenadas geográficas.
• Datos transaccionales: pedidos, métodos de pago tokenizados (los últimos 4 dígitos y marca, sin almacenamiento del PAN completo), saldos de wallet, créditos promocionales, puntos.
• Calificaciones recibidas y emitidas.

3.2 Comercio aliado

• Datos del establecimiento: razón social, RUT, dirección, teléfono, ciudad, vertical económica.
• Datos del representante u operador: nombre, correo, teléfono, rol asignado.
• Datos del catálogo y operación: productos, precios, inventario, ventas.
• Datos de pago: cuenta bancaria para retiros (en submodelo cifrado).

3.3 Conductor o repartidor

• Datos de identidad y contacto.
• Datos KYC: documento de identidad (anverso y reverso), selfie y foto sosteniendo el documento (datos biométricos — ver §5).
• Datos del vehículo y, cuando aplique, documentos asociados.
• Geolocalización en tiempo real durante la prestación del servicio (incluyendo ejecución en segundo plano para entregas activas).
• Métricas de desempeño: ratings, tiempos, servicios completados, ganancias.

4. Finalidades del tratamiento

1. Prestación del servicio: registrar la cuenta, atender pedidos, calcular envíos, enrutar al conductor más cercano, procesar pagos, acreditar saldos y entregar comprobantes.
2. Cumplimiento legal: facturación, conservación contable (Código de Comercio art. 28), atención a requerimientos de autoridades, prevención de lavado de activos y financiación del terrorismo (SARLAFT 4.0).
3. Seguridad y prevención de fraude: validar identidad, detectar conductas sospechosas, prevenir suplantaciones, multi-cuenta y abuso de cupones (Ley 1273 de 2009).
4. Atención al titular: tramitar consultas, peticiones, quejas, reclamos y solicitudes de habeas data.
5. Comunicaciones operativas: notificaciones del estado del pedido, alertas de seguridad y verificaciones por correo, SMS, WhatsApp o notificaciones push.
6. Comunicaciones comerciales (opt-in y revocables): promociones, novedades del marketplace y misiones, en estricto cumplimiento de la Ley 2300 de 2023 (máx. 1 contacto por canal por día, prohibido domingos y festivos, opt-out gratuito en cada mensaje).
7. Verificación y soporte asistidos por inteligencia artificial: validar la autenticidad de documentos de identidad y del vehículo, asistir la atención al usuario (chat y voz) y apoyar la creación de contenido del catálogo y campañas, siempre con supervisión humana en las decisiones que afectan al titular (ver §6).
8. Mejora del servicio: análisis estadístico agregado del uso de la plataforma (en lo posible con técnicas de anonimización).

5. Datos sensibles y consentimiento separado

Conforme al artículo 5 de la Ley 1581 de 2012, son datos sensibles aquellos cuyo uso indebido puede generar discriminación o afectar la intimidad. En Kanguu tratamos los siguientes datos sensibles únicamente con autorización expresa, separada e informada, con la advertencia de que su entrega no es obligatoria:

• Datos biométricos (selfie y foto sosteniendo documento) — exigidos solo para el rol de conductor y como mecanismo antifraude del KYC.
• Geolocalización precisa en tiempo real, incluido el modo de segundo plano cuando la app esté abierta y haya un servicio activo.
• Voz, cuando el titular envía notas de audio en el chat de un pedido.

Para realizar la verificación de identidad y la transcripción de voz, estos datos sensibles pueden ser procesados, en calidad de Encargados y bajo acuerdos de tratamiento, por los proveedores de inteligencia artificial listados en el §7. Dichos proveedores procesan los datos de forma transitoria para la finalidad indicada y no están autorizados a usarlos para entrenar sus modelos generales. El detalle de estos tratamientos y los derechos asociados se describe en el §6.

6. Inteligencia artificial y decisiones automatizadas

Kanguu utiliza sistemas de inteligencia artificial (IA) de terceros como herramienta de apoyo en algunas funciones. En cumplimiento del principio de transparencia (artículo 4, literal h, de la Ley 1581 de 2012), de los lineamientos del documento CONPES 4144 de 2025 de política nacional de IA y de las mejores prácticas internacionales sobre decisiones automatizadas, informamos de forma clara cómo, para qué y con qué garantías se usa la IA.

6.1 Usos de inteligencia artificial

• Verificación de identidad y documentos (KYC): modelos de visión por computadora analizan las imágenes del documento de identidad, la selfie/foto sosteniendo el documento y, para conductores, los documentos del vehículo (licencia, SOAT, revisión tecnomecánica, tarjeta de propiedad). El sistema extrae los datos del documento, detecta indicios de falsificación y emite una recomendación (aprobar, escalar o rechazar).
• Asistente de atención al usuario: un agente de IA, identificado como tal, puede leer el historial reciente de tu conversación de soporte para responder consultas frecuentes o derivar el caso a una persona.
• Asistente de voz y transcripción: si usas funciones de voz, el audio que envías se transcribe a texto y las respuestas pueden sintetizarse en voz mediante proveedores de IA.
• Herramientas de contenido para comercios: generación de descripciones, etiquetas e imágenes de catálogo o de campañas a partir de fotos o textos suministrados. Estas funciones no adoptan decisiones sobre personas.
• Priorización y asignación (perfilamiento): la asignación de pedidos y servicios al conductor se calcula por proximidad, disponibilidad y desempeño (ranking). No utilizamos datos sensibles para este cálculo.

6.2 Garantías sobre decisiones automatizadas

Respecto de cualquier tratamiento automatizado, el titular tiene derecho a:

• Ser informado de que se aplicó un sistema automatizado y de la lógica general involucrada.
• Solicitar la intervención humana en la revisión de la decisión.
• Expresar su punto de vista y aportar documentos o aclaraciones.
• Controvertir la decisión y solicitar su reconsideración.

Estas solicitudes se canalizan a privacidad@kanguu.app o pqrs@kanguu.app y se atienden con el mismo debido proceso previsto en los Términos y Condiciones para bloqueos y suspensiones.

6.3 Límites y no entrenamiento de modelos

Los proveedores de IA actúan como Encargados del tratamiento, procesan los datos de forma transitoria para la finalidad contratada y no están autorizados a utilizar los datos personales de los titulares para entrenar sus modelos generales. Kanguu tampoco cede datos personales a terceros para el entrenamiento de modelos de IA. Los sistemas de IA pueden cometer errores; por ello mantenemos supervisión humana en las decisiones sensibles y revisión continua de su desempeño.

7. Datos de niñas, niños y adolescentes

En cumplimiento del artículo 7 de la Ley 1581 de 2012, el artículo 2.2.2.25.2.9 del Decreto 1074 de 2015 y la Sentencia T-260 de 2012 de la Corte Constitucional, Kanguu no permite el registro ni el uso de la plataforma a personas menores de 18 años. Si detectamos una cuenta de un menor, procederemos al cierre inmediato y la supresión de los datos. Los representantes legales pueden notificar este hecho al correo privacidad@kanguu.app para activación expedita del procedimiento.

8. Encargados y subencargados

Para operar la plataforma, Kanguu se apoya en proveedores tecnológicos que actúan como Encargados del tratamiento. Cada uno está sujeto a un acuerdo de tratamiento de datos (DPA) con cláusulas equivalentes a las del régimen colombiano:

8.1 Infraestructura, pagos y mensajería

• Supabase Inc. — base de datos, autenticación y almacenamiento.
• Render Services Inc. — alojamiento del backend.
• Wompi (Bancolombia) — procesamiento de pagos y tokenización de medios.
• Twilio Inc. — envío de SMS y códigos OTP.
• Meta Platforms, Inc. (WhatsApp Cloud API) — envío y recepción de mensajes de WhatsApp (notificaciones del servicio, verificación y campañas autorizadas); recibe el número de teléfono y el contenido del mensaje.
• Expo (650 Industries Inc.) — entrega de notificaciones push.
• Resend Inc. — envío de correos transaccionales.
• Google LLC (Google Maps Platform) — geocodificación, mapas y direcciones.
• Telegram FZ-LLC — canal interno del equipo de soporte y alertas operativas.
• Functional Software, Inc. (Sentry) — monitoreo de errores y estabilidad técnica; puede registrar datos técnicos de la sesión asociados a un incidente.

8.2 Proveedores de inteligencia artificial

Los siguientes Encargados procesan datos exclusivamente para las funciones de IA descritas en el §6 y no están autorizados a usar los datos para entrenar sus modelos generales:

• OpenAI, L.L.C. — verificación de identidad y documentos (visión por computadora), asistente de atención, transcripción y síntesis de voz, y apoyo en la generación de contenido del catálogo y campañas.
• Google LLC (Google AI / Gemini) — generación de imágenes para campañas de marketing.
• ElevenLabs Inc. — transcripción y síntesis de voz del asistente.

El listado actualizado se publica en esta misma página y se mantiene a disposición de la SIC.

9. Transferencia internacional

Algunos de los Encargados anteriores procesan datos en servidores ubicados en Estados Unidos y la Unión Europea. En consecuencia, al aceptar esta política el titular autoriza expresamente la transferencia internacional de sus datos personales a dichos países, conforme al artículo 26 de la Ley 1581 de 2012 y al artículo 2.2.2.25.6.1 del Decreto 1074 de 2015. Las transferencias se respaldan en cláusulas contractuales tipo (SCC) y en los marcos de adecuación reconocidos por la SIC.

10. Derechos del titular

El titular tiene los derechos consagrados en el artículo 8 de la Ley 1581 de 2012:

1. Conocer, actualizar y rectificar sus datos.
2. Solicitar prueba de la autorización otorgada (salvo excepciones legales).
3. Ser informado, previa solicitud, sobre el uso dado a sus datos.
4. Presentar quejas ante la SIC por infracciones a la normativa.
5. Revocar la autorización y/o solicitar la supresión cuando el tratamiento no respete principios, derechos y garantías.
6. Acceder en forma gratuita a sus datos al menos una vez por mes calendario (Decreto 1074, art. 2.2.2.25.4.4).

11. Procedimiento para ejercer derechos

Las solicitudes de habeas data se canalizan a través del correo privacidad@kanguu.app. La solicitud debe contener:

• Identificación del titular y, si es representante, prueba de su calidad.
• Descripción clara de los hechos y la pretensión.
• Datos de contacto para notificar la respuesta.
• Documentos que soporten la solicitud, si aplica.

Plazos de respuesta (Ley 1581, arts. 14 y 15):

• Consultas: máximo diez (10) días hábiles, prorrogables por cinco (5) más con justificación.
• Reclamos: máximo quince (15) días hábiles, prorrogables por ocho (8) más.

Si la respuesta no es satisfactoria, el titular puede acudir a la SIC.

12. Retención y supresión

Los datos se conservan únicamente por el tiempo necesario para cumplir las finalidades, las obligaciones legales y la atención de eventuales reclamos:

• Datos de cuenta y contacto: mientras la cuenta esté activa y hasta cinco (5) años después de su cierre, por la prescripción ordinaria civil.
• Asientos contables y transaccionales (BankLedger): diez (10) años, conforme al artículo 28 del Código de Comercio.
• Chat de pedidos: doce (12) meses contados desde el cierre del pedido.
• Geolocalización detallada por servicio: noventa (90) días; vencido el plazo se anonimiza para fines estadísticos.
• Datos biométricos KYC: mientras el conductor esté activo y hasta un (1) año después de su desvinculación.
• Imágenes procesadas por IA de verificación: se envían de forma transitoria al proveedor para la verificación y no se usan para entrenar sus modelos; las copias que conserva Kanguu siguen los plazos de KYC indicados.

Tras los plazos, los datos se suprimen o anonimizan de forma efectiva, sin posibilidad razonable de re-identificación.

13. Cookies y tecnologías equivalentes

El sitio web utiliza cookies y tecnologías similares para garantizar la operación, recordar preferencias, medir desempeño y, opcionalmente, para fines analíticos y publicitarios. Antes de instalar cookies no esenciales se solicita consentimiento previo, expreso e informado mediante un banner con opciones granulares (esenciales, funcionales, analíticas y marketing) que se puede revocar en cualquier momento desde el pie de página.

14. Medidas de seguridad

Adoptamos medidas técnicas, humanas y administrativas razonables y proporcionales:

• Cifrado en tránsito (TLS 1.2+) y en reposo en bases de datos y almacenamiento.
• Tokenización de medios de pago a través de la pasarela; Kanguu no almacena el PAN completo de tarjetas.
• Control de acceso basado en roles y registro de auditoría de accesos privilegiados.
• Rotación periódica de credenciales de servicio y revisión de permisos.
• Capacitación al personal interno en protección de datos personales y SARLAFT.

15. Notificación de incidentes

En caso de violación a la seguridad de los datos personales que represente un riesgo para los titulares, Kanguu notificará el incidente a la SIC dentro de los quince (15) días hábiles siguientes a su detección, conforme a la Circular SIC vigente, y comunicará a los titulares afectados las medidas adoptadas para mitigar el riesgo.

16. Vigencia y modificaciones

La presente política entra en vigencia en la fecha de su última actualización indicada al inicio del documento. Toda modificación sustancial se informará a los titulares con una antelación razonable y se publicará en esta misma URL con la nueva versión. La continuación en el uso de la plataforma tras una modificación implica conocimiento de la nueva versión.

17. Autoridad de control

La autoridad de protección de datos personales en Colombia es la Superintendencia de Industria y Comercio (SIC). Sitio web: https://www.sic.gov.co. Dirección: Cra 13 # 27-00, Bogotá D.C.. Teléfono: (601) 587 0000.

Documento expedido por Kanguu S.A.S., NIT 901.241.078. Sujeto al ordenamiento jurídico colombiano. Las modificaciones se publican en esta misma URL con su correspondiente cambio de versión.