Política de tratamiento de datos personales
Cómo recogemos, usamos, guardamos y borramos datos personales en D-UNA, y qué puede exigirnos usted como titular.
Versión 2026-08-v3 · Vigente desde el 29 de agosto de 2026
1. Quiénes somos
D-UNA es el software de gestión de caja menor, viáticos y reembolsos operado por la sociedad que se identifica a continuación, responsable del tratamiento en los términos de la Ley 1581 de 2012.
| Razón social | ROCKET ERP S.A.S. |
|---|---|
| NIT | 901.385.202-1 |
| Domicilio | Calle 94 A # 11A-39, Bogotá D.C., Colombia |
| Correo para asuntos de datos personales | protecciondedatos@rocketerp.co |
| Correo comercial | comercial@rocketerp.co |
| Teléfono | +57 1 636 18 04 · +57 313 309 90 40 |
| Sitio | duna.rocketerp.co |
2. A quién y a qué se aplica
Esta política cubre todos los datos personales que tratamos, sean de:
- quien visita
duna.rocketerp.co; - quien nos pide una demostración o nos escribe;
- las personas que usan el producto en las empresas clientes (administración, contabilidad, finanzas y técnicos de campo);
- proveedores, aliados y candidatos a vacantes.
Para lo específico del sitio web —qué mide, con qué permiso y qué guarda su navegador— vea la política de privacidad, que desarrolla en detalle esta misma política.
3. Marco legal y principios
Aplicamos la Constitución Política (artículo 15), la Ley 1581 de 2012, el Decreto 1074 de 2015 (que compiló el Decreto 1377 de 2013) y las instrucciones de la Superintendencia de Industria y Comercio. Nos obligan sus principios: legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.
4. Definiciones
- Titular: la persona natural cuyos datos se tratan.
- Responsable: quien decide sobre la base de datos y el tratamiento.
- Encargado: quien trata datos por cuenta del responsable.
- Autorización: el permiso previo, expreso e informado del titular.
- Dato sensible: el que afecta la intimidad o cuyo uso indebido puede generar discriminación (salud, origen étnico, datos biométricos, entre otros).
5. Cuándo somos responsables y cuándo encargados
Esta distinción es la que más consecuencias prácticas tiene y por eso va antes que las finalidades:
Somos responsables de los datos de quien visita el sitio, pide una demostración, administra una cuenta o nos provee servicios. Sobre esos datos decidimos nosotros, y a nosotros nos reclama usted.
Somos encargados de los datos que las empresas clientes cargan en el producto: las fotos de facturas y recibos, lo que se extrae de ellas y los datos de sus técnicos. Ahí la responsable es la empresa cliente; nosotros solo tratamos esa información siguiendo sus instrucciones y el contrato. Si usted es técnico o proveedor de una empresa cliente, diríjase primero a ella; si nos escribe a nosotros, le trasladamos la solicitud y se lo avisamos.
6. Qué datos tratamos y para qué
| Base de datos | Datos | Finalidad | Papel |
|---|---|---|---|
| Visitantes del sitio | Identificador aleatorio creado por su navegador, secciones vistas, botones tocados, tiempo en la página, origen de campaña (parámetros utm_*), tipo de dispositivo e idioma. No guardamos su dirección IP ni su agente de usuario. |
Entender qué campañas traen visitas y dónde se abandona la página, para mejorarla. | Responsable |
| Solicitudes de demostración | Nombre, empresa, correo corporativo y teléfono que usted escribe en el formulario. | Contactarlo, mostrarle el producto y hacer seguimiento comercial. | Responsable |
| Usuarios del producto | Nombre, correo, rol, empresa, registros de acceso y auditoría (incluida la dirección IP de las acciones de seguridad). | Prestar el servicio, autenticar, dar soporte, facturar y responder por la trazabilidad que el cliente exige. | Responsable |
| Datos cargados por el cliente | Fotos de facturas y recibos, datos extraídos de esos documentos (proveedor, NIT, montos, fechas), nombres y teléfonos de técnicos. | Legalizar gastos de campo: captura, extracción automática, revisión, aprobación y exportación contable. | Encargado (responsable: la empresa cliente) |
| Proveedores y aliados | Datos de contacto y de facturación. | Gestionar la relación comercial y cumplir obligaciones contables y tributarias. | Responsable |
7. Autorización: cómo la pedimos y cómo la revoca
- En el sitio: la analítica no se enciende sola. Le pedimos permiso con un aviso y, si no lo acepta, no guardamos nada —ni un identificador— y no nos enteramos de su visita. Si su navegador envía la señal Global Privacy Control o Do Not Track, la tratamos como un «no» y ni siquiera preguntamos.
- En el formulario: al enviarlo usted nos autoriza a contactarlo para atender su solicitud.
- En el producto: la autorización se recoge al activar la cuenta, queda registrada con la versión del texto aceptado y se pide de nuevo cuando el texto cambia.
- Revocarla: escríbanos al correo de datos personales, o —para la analítica del sitio— cambie sus permisos cuando quiera con , o borre los datos del sitio en su navegador.
8. Datos sensibles y datos de menores
No pedimos datos sensibles ni los necesitamos para prestar el servicio, y el producto no está dirigido a menores de edad. Puede ocurrir que una factura cargada por un cliente contenga incidentalmente información que él sí considere sensible: en ese caso el responsable es el cliente y nosotros la tratamos solo para procesar el documento, con las mismas medidas de seguridad del resto.
9. Sus derechos
- Conocer, actualizar y rectificar sus datos.
- Solicitar prueba de la autorización que dio.
- Ser informado del uso que les hemos dado.
- Presentar quejas ante la Superintendencia de Industria y Comercio cuando considere que incumplimos la ley (previo trámite de reclamo ante nosotros).
- Revocar la autorización y solicitar la supresión de los datos, cuando no exista un deber legal o contractual que nos obligue a conservarlos.
- Acceder gratuitamente a sus datos.
10. Cómo ejercerlos, y en cuánto respondemos
Escriba al correo de datos personales de la sección 1 con su nombre, un documento que lo identifique, lo que solicita y un canal de respuesta. Los plazos son los de la ley:
| Trámite | Qué es | Plazo |
|---|---|---|
| Consulta | Pedir información sobre sus datos. | 10 días hábiles. Si no alcanzamos, se lo decimos con la fecha en que responderemos, dentro de los 5 días hábiles siguientes. |
| Reclamo | Corregir, actualizar o suprimir datos, o denunciar un incumplimiento. | 15 días hábiles. Si no alcanzamos, se lo decimos con los motivos y la fecha, dentro de los 8 días hábiles siguientes. |
Si el reclamo llega incompleto, se lo pedimos dentro de los 5 días siguientes; si pasan dos meses sin que responda, entendemos que desistió. Si no somos nosotros quien debe atenderlo, trasladamos la solicitud a quien corresponda en un máximo de 2 días hábiles y se lo informamos.
11. Nuestros deberes
- Pedir y conservar prueba de la autorización.
- Informar la finalidad y los derechos que le asisten.
- Guardar la información con las medidas de seguridad de la sección 13.
- Mantenerla exacta y actualizada, y rectificarla cuando corresponda.
- Tramitar consultas y reclamos en los plazos anteriores.
- Informar a la Superintendencia las violaciones a los códigos de seguridad y los riesgos en la administración de la información.
- Exigir a nuestros encargados el mismo estándar por contrato.
12. Encargados, transmisión y transferencia internacional
Para operar usamos proveedores que tratan datos por cuenta nuestra. Nuestros servidores están en Estados Unidos o Canadá, y varios de esos servicios también operan fuera de Colombia; al aceptar esta política y los términos del servicio, usted autoriza esa transferencia y transmisión internacional, que hacemos con contratos que imponen las obligaciones de la Ley 1581.
| Proveedor | Para qué | Dónde procesa | Qué recibe |
|---|---|---|---|
| Anthropic | Extracción automática de datos del documento | Estados Unidos | Texto e imagen del documento. Por contrato, no entrena modelos con estos datos. |
| Cloudflare R2 | Almacenamiento de soportes y copias de respaldo | Red global (jurisdicción de Estados Unidos) | Fotos de documentos, archivos XML y exportaciones, cifrados en tránsito |
| SendGrid (Twilio) | Correo transaccional y alertas. Integrado en el código, todavía sin activar — hoy no se envía ningún correo | Estados Unidos | Si se activa: nombres y correos de destinatarios; contenido de la notificación, sin soportes |
| Servicio de OCR propio | Reconocimiento de texto | Nuestra propia infraestructura, en Estados Unidos o Canadá | Imagen del documento, sin retención |
| Proveedor de infraestructura | Cómputo y almacenamiento | Estados Unidos o Canadá | Los datos del sistema en la infraestructura |
| Google (Google Ads) | Medir el resultado de nuestros anuncios en el sitio web, solo con autorización del visitante | Estados Unidos | El hecho de la visita y el identificador del clic del anuncio. Nunca nombre, correo ni teléfono |
| Meta | Lo mismo para los anuncios de Instagram y Facebook. Autorizado, todavía sin activar | Estados Unidos | Igual que el anterior |
No vendemos datos personales ni los cedemos con fines publicitarios de terceros. La analítica del sitio es propia y corre en nuestra infraestructura; las únicas etiquetas externas son las de publicidad de la tabla anterior, que solo se cargan si el visitante las autoriza y que reciben el clic del anuncio, no sus datos de contacto.
13. Seguridad
Separamos los datos por empresa, ciframos el tránsito, guardamos las contraseñas con funciones de derivación resistentes, ofrecemos segundo factor, registramos las acciones sensibles en un historial que no se puede alterar y hacemos copias de respaldo cifradas con pruebas de restauración. Nuestro personal de soporte y facturación puede acceder a sus datos, siempre con su consentimiento y dejando registro de auditoría de cada acceso. Ningún sistema es infalible: si ocurre un incidente que comprometa sus datos, lo informamos a usted y a la Superintendencia conforme a la ley.
14. Cuánto tiempo conservamos los datos
| Dato | Conservación |
|---|---|
| Expedientes de gastos y soportes | Vigencia del contrato más 5 años |
| Copias de respaldo | 30 días de recuperación puntual y 12 copias mensuales |
| Registros de aplicación | 30 días |
| Auditoría de seguridad y aceptaciones legales | Vida de la cuenta; salen con el cierre |
| Sesiones y credenciales de dispositivo | Hasta 30 y 90 días respectivamente |
| Analítica del sitio | 24 meses. Al vencer, el sistema borra solo los eventos, las visitas y los visitantes que dejaron de volver |
| Solicitudes de demostración | Mientras dure la relación comercial y hasta 2 años después del último contacto |
Al cerrar una cuenta borramos los datos del cliente siguiendo un proceso documentado que deja acta, salvo lo que la ley nos obligue a conservar.
15. Registro ante la Superintendencia
Inscribimos nuestras bases de datos en el Registro Nacional de Bases de Datos de la Superintendencia de Industria y Comercio cuando la ley nos obliga a hacerlo, dentro de los plazos que ella señala, y mantenemos esa información actualizada.
Con independencia de ese registro, respondemos por todo lo demás que exige la ley: la autorización, esta política, la atención de sus consultas y reclamos, la seguridad de la información y el reporte de incidentes a la Superintendencia.
16. Cambios
Si cambiamos esta política publicamos la nueva versión en esta misma dirección con su fecha. Cuando el cambio afecte la finalidad del tratamiento, se lo informamos y, si la ley lo exige, le pedimos una autorización nueva.
17. Vigencia
Esta versión rige desde el 22 de agosto de 2026. Las bases de datos se mantendrán mientras sea necesario para las finalidades descritas y por los plazos de conservación de la sección 14.