Política de Privacidad y Tratamiento de Datos Personales

El responsable del tratamiento de los datos personales tratados en la plataforma Nodus CRM (en adelante, «la Plataforma») es Nodus Ecosystem (en adelante, «Nodus»), con domicilio en Colombia. Canal oficial de contacto para asuntos de privacidad y protección de datos: nodusecosystem@gmail.com.

Respecto de los datos personales de las audiencias, seguidores o clientes de las empresas usuarias, Nodus actúa como encargado del tratamiento por cuenta de la agencia o empresa responsable, en los términos del artículo 3 de la Ley 1581 de 2012.

Esta política se expide en cumplimiento de la Ley 1581 de 2012, el Decreto 1377 de 2013 y el Decreto 1074 de 2015 (compilatorio), así como de los Términos de la Plataforma de Meta aplicables al uso de la API de Marketing.

• Titular: persona natural cuyos datos personales son objeto de tratamiento.
• Dato personal: cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable.
• Dato sensible: datos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación (salud, orientación sexual, origen racial o étnico, convicciones religiosas, entre otros). Nodus no trata datos sensibles.
• Tratamiento: cualquier operación sobre datos personales (recolección, almacenamiento, uso, circulación, supresión, etc.).
• Responsable del tratamiento: persona que decide sobre la base de datos y las finalidades del tratamiento.
• Encargado del tratamiento: persona que realiza el tratamiento por cuenta del responsable.
• Autorización: consentimiento previo, expreso e informado del titular para tratar sus datos personales.
• Transferencia internacional: envío de datos personales a un destinatario ubicado en otro país.

Esta política aplica a todas las personas que acceden a la Plataforma (usuarios de agencia y usuarios de empresas clientes previamente autorizados) y a los datos tratados en ella, incluidos los provenientes de las cuentas publicitarias de Meta Ads conectadas al servicio.

El acceso a la Plataforma es cerrado y por invitación: solo pueden autenticarse los correos electrónicos previamente registrados por el administrador de la agencia. Al iniciar sesión, el titular autoriza el tratamiento de sus datos conforme a esta política.

Si no estás de acuerdo con esta política, no debes acceder ni utilizar la Plataforma.

4.1. Datos de cuenta y autenticación. El acceso se realiza exclusivamente con Google OAuth (Better Auth). Tratamos: nombre, correo electrónico, foto de perfil e identificador de la cuenta de Google, con la única finalidad de autenticarte y verificar que estás autorizado.

4.2. Datos de sesión y seguridad. Registramos la sesión activa (identificador, fecha y hora de creación y expiración) y metadatos técnicos de la conexión (dirección IP y agente de navegador), necesarios para mantener la sesión segura, prevenir accesos no autorizados y atender requerimientos de seguridad.

4.3. Datos de la relación comercial. Correo electrónico en la lista de autorización (whitelist), rol asignado (administrador o cliente) y empresa a la que está vinculado el usuario.

4.4. Datos de cuentas publicitarias y métricas de Meta Ads. Para prestar el servicio tratamos: el identificador de la cuenta publicitaria de Meta (por ejemplo, act_123…), los identificadores y nombres de las campañas, y métricas agregadas por día: inversión, impresiones, clics, conversiones/leads, conversaciones de mensajería iniciadas y ROAS.

• No accedemos a los datos personales de las audiencias de los anuncios (ni nombres, ni correos, ni teléfonos de personas alcanzadas).
• No extraemos datos de formularios de clientes potenciales (Lead Ads), ni mensajes, ni contenido de conversaciones de WhatsApp/Messenger: solo contamos conversaciones iniciadas de forma agregada.
• No realizamos perfilamiento, segmentación ni decisiones automatizadas sobre personas con base en estos datos.

4.5. Datos técnicos. Registramos errores de sincronización y el estado de consumo de la API de Meta con fines de operación y seguridad. No utilizamos cookies de publicidad, píxeles de seguimiento ni analítica de terceros dentro de la Plataforma.

4.6. Cookies y almacenamiento local. Usamos únicamente una cookie de sesión esencial (Better Auth) y, en el navegador, el almacenamiento local para recordar tus preferencias de interfaz (por ejemplo, el panel lateral y el tema claro/oscuro). No usamos estos mecanismos para rastrearte entre sitios.

Nodus accede a la API de Marketing de Meta mediante un token de sistema y el permiso ads_read, únicamente sobre las cuentas publicitarias que las empresas han autorizado expresamente. La consulta se realiza a nivel de campaña y devuelve métricas agregadas por día.

Estos datos se utilizan exclusivamente para prestar el servicio contratado: sincronizar, almacenar, calcular y visualizar el rendimiento publicitario de la empresa titular de la cuenta, y permitir su exportación a CSV.

• No vendemos, alquilamos ni cedemos datos de la Plataforma de Meta a terceros.
• No utilizamos estos datos para segmentación, creación de audiencias, targeting ni publicidad propia o de terceros.
• No los combinamos con otras fuentes con fines distintos a la prestación del servicio.
• No los compartimos con personas fuera de la agencia y la empresa titular de la cuenta, salvo los proveedores tecnológicos indicados en la sección 10.

El acceso se limita al permiso ads_read. Nodus cumple los Términos de la Plataforma de Meta y sus Políticas de Datos, y atiende las solicitudes de eliminación conforme a la sección 14.

La autenticación con Google se realiza a través de OAuth. Nodus utiliza los datos de tu cuenta de Google (nombre, correo, foto e identificador) únicamente para autenticarte y verificar tu autorización de acceso, conforme a la Política de Datos de Usuario de los Servicios API de Google.

El uso de la información recibida de las API de Google se limita a los requisitos de Uso Limitado (Limited Use): no la utilizamos para publicidad, no la vendemos y no la transferimos a terceros salvo lo estrictamente necesario para operar el servicio o por obligación legal.

• Prestar el servicio: autenticar al usuario, controlar el acceso por invitación, sincronizar métricas desde la API de Meta, calcular indicadores, mostrar el panel, generar exportaciones y brindar soporte.
• Seguridad y operación: mantener las sesiones, prevenir accesos no autorizados o abusos, aplicar límites de frecuencia de la API de Meta y diagnosticar errores.
• Comunicaciones operativas: avisos sobre mantenimiento, seguridad, cambios en el servicio o en esta política.
• Cumplimiento legal: atender requerimientos de autoridades competentes y obligaciones legales, contables o contractuales.

Nodus no utiliza los datos para enviar publicidad ni comunicaciones de marketing sin autorización previa del titular. No realiza transferencias de datos a terceros para finalidades distintas a las aquí descritas.

Al iniciar sesión en la Plataforma, el titular otorga su autorización previa, expresa e informada para el tratamiento de sus datos personales conforme a esta política. Dicha autorización puede ser revocada en cualquier momento (sección 14), sin efectos retroactivos, siempre que no exista un deber legal o contractual de conservar los datos.

El tratamiento también se fundamenta en la ejecución de la relación contractual entre la agencia/empresa y Nodus, y en el cumplimiento de obligaciones legales. Nodus no trata datos sensibles ni datos de menores de edad.

• Datos de cuenta y perfil: mientras la cuenta esté activa y hasta 90 días calendario después de su desactivación, plazo en el que se eliminan o anonimizan, salvo obligación legal de conservación.
• Métricas publicitarias y campañas: mientras la empresa mantenga el servicio y hasta 90 días calendario después de su terminación, con la misma salvedad legal.
• Registros de seguridad y errores: hasta 6 meses.
• Sesiones: hasta su expiración o cierre de sesión.

Cumplidos los plazos, los datos se eliminan de forma segura o se anonimizan de manera irreversible.

Para operar la Plataforma nos apoyamos en proveedores tecnológicos que actúan como encargados y están sujetos a obligaciones contractuales de confidencialidad, seguridad y uso limitado a nuestras instrucciones:

• Supabase: base de datos PostgreSQL con aislamiento por empresa mediante Row Level Security (RLS).
• Vercel: alojamiento de la aplicación y ejecución de la sincronización programada.
• Google: proveedor de autenticación OAuth.

Meta Platforms actúa como fuente originaria de las métricas publicitarias a través de su API. Nodus no transmite datos a Meta con finalidades propias distintas de las necesarias para consultar la API.

Algunos proveedores alojan infraestructura en Estados Unidos, por lo que puede existir transferencia internacional de datos. El titular autoriza dicha transferencia al aceptar esta política; Nodus adopta medidas contractuales y técnicas razonables para que los datos mantengan un nivel de protección adecuado.

• Cifrado en tránsito (TLS) entre el navegador, la aplicación y la base de datos.
• Cifrado en reposo provisto por la infraestructura de los encargados.
• Aislamiento multi-empresa a nivel de base de datos con políticas RLS: cada empresa solo puede consultar sus propios datos.
• El token de sistema de Meta se almacena exclusivamente en variables de entorno del servidor; nunca se guarda en la base de datos ni se registra en logs.
• Acceso restringido bajo el principio de mínimo privilegio, con roles de aplicación de solo lectura para el panel y conexión administrativa únicamente del lado servidor.
• Monitoreo del consumo de la API de Meta y mecanismos de corte automático ante límites de frecuencia.

Ningún sistema es absolutamente infalible. Si se presenta un incidente de seguridad que afecte datos personales, Nodus informará a los titulares y a las autoridades competentes conforme a la ley.

Conforme al artículo 8 de la Ley 1581 de 2012, el titular tiene derecho a:

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización otorgada, salvo cuando la ley exceptúe dicho requisito.
• Ser informado sobre el uso que se ha dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la ley.
• Revocar la autorización y solicitar la supresión de sus datos, cuando no exista un deber legal o contractual de conservarlos.
• Acceder de forma gratuita a sus datos personales.

Las consultas y reclamos se atienden por el correo nodusecosystem@gmail.com. La solicitud debe incluir: nombre e identificación del titular, correo de contacto, descripción clara de la solicitud y los documentos que la sustenten (si aplica).

• Consultas: se responden dentro de los 15 días hábiles siguientes a la recepción. Si no es posible atenderlas en ese plazo, se informará el motivo y la fecha de respuesta, que no superará 8 días hábiles adicionales.
• Reclamos: se atienden dentro de los 15 días hábiles siguientes a la recepción. Si se requiere más tiempo, se informará el motivo y la fecha de respuesta, que no superará 8 días hábiles adicionales.

Si la solicitud está incompleta, se pedirá al titular que subsane las faltas dentro de los 5 días siguientes; de no hacerlo, se entenderá desistida.

Puedes solicitar la eliminación de tus datos personales en cualquier momento escribiendo a nodusecosystem@gmail.com con el asunto «Eliminación de datos» e indicando el correo con el que accedes a la Plataforma.

Ver las instrucciones detalladas para eliminar tus datos

Verificaremos tu identidad y procederemos dentro de los 15 días hábiles siguientes a la solicitud. Se eliminarán tu cuenta, tu perfil y los datos asociados; las métricas de la empresa se eliminan o anonimizan conforme a la sección 9.

También puedes revocar el acceso de la aplicación desde tu cuenta de Google (myaccount.google.com/permissions) y retirar los permisos otorgados en la configuración de tu cuenta publicitaria de Meta. Ten en cuenta que la revocatoria no elimina la información que Meta conserva por su cuenta, la cual se rige por las políticas de Meta.

La eliminación puede estar limitada cuando exista un deber legal o contractual de conservar los datos (por ejemplo, obligaciones contables). En tal caso se informará la razón y el plazo aplicable.

La Plataforma es una herramienta profesional dirigida a mayores de 18 años y no está diseñada para menores de edad. No recopilamos conscientemente datos de menores. Si identificamos que se han tratado datos de un menor sin la autorización correspondiente, procederemos a su eliminación.

Nodus puede actualizar esta política para reflejar cambios legales, técnicos u operativos. La versión vigente estará siempre publicada en esta página con su fecha de actualización. Los cambios sustanciales se comunicarán por correo electrónico o mediante aviso en la Plataforma. El uso continuado del servicio después de la notificación implica la aceptación de la versión actualizada.

Responsable: Nodus Ecosystem — Colombia. Correo para asuntos de privacidad, ejercicio de derechos y eliminación de datos: nodusecosystem@gmail.com.

Autoridad de control en Colombia: Superintendencia de Industria y Comercio (SIC), Carrera 13 n.º 27-00, Bogotá D.C. — www.sic.gov.co. Teléfono: (601) 587 0000.