Política de Privacidad y Tratamiento de Datos Personales de NoCodeCrud

Versión 1.0 · Vigente desde 2026-10-01

1. Responsable del tratamiento e identificación

NoCodeCrud (en adelante "nosotros") presta la plataforma NoCodeCrud (la "Plataforma"). Canal para consultas, reclamos y ejercicio de derechos de datos personales (habeas data): ****. Área responsable: Oficial de Protección de Datos / área designada por NoCodeCrud.

2. Ámbito, marco normativo y definiciones

2.1. Esta política describe cómo tratamos datos personales en la Plataforma y en nuestro sitio web. Se emite en cumplimiento de la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015), la Ley 1266 de 2008 cuando aplique, las instrucciones de la Superintendencia de Industria y Comercio (SIC) y, para titulares ubicados en la Unión Europea, Reino Unido, California y otras jurisdicciones, el Reglamento (UE) 2016/679 (GDPR), la CCPA/CPRA y normas equivalentes (por ejemplo LGPD de Brasil), en la medida en que sean aplicables.

2.2. Definiciones clave: Titular (persona a quien se refieren los datos), Responsable (decide sobre la finalidad y los medios del tratamiento), Encargado (trata datos por cuenta del Responsable), Subencargado (tercero contratado por el Encargado), Contenido del Cliente (datos que el Cliente conecta, carga o procesa mediante la Plataforma, incluidos los de sus bases de datos conectadas y sus usuarios finales).

3. Nuestros roles: Responsable y Encargado

La Plataforma implica dos tipos de tratamiento distintos:

3.1. NoCodeCrud como Responsable. Respecto de: datos de cuenta y registro de empresas y administradores; datos de contacto comercial y de soporte; datos de facturación y pagos; datos de seguridad, auditoría y telemetría técnica de la Plataforma; comunicaciones con prospectos y clientes; cumplimiento de obligaciones legales y defensa de reclamaciones.

3.2. NoCodeCrud como Encargado (Procesador / Service Provider). Respecto del Contenido del Cliente: datos personales contenidos en las bases de datos que el Cliente conecta, datos de sus usuarios finales (por ejemplo, el login contra una tabla externa), archivos y registros que el Cliente procesa mediante la Plataforma. En ese caso el Cliente es el Responsable (o, según el caso, también Encargado de un tercero), decide las finalidades, la base legal y las autorizaciones, y NoCodeCrud trata los datos únicamente siguiendo sus instrucciones documentadas, conforme al Acuerdo de Tratamiento de Datos (DPA).

3.3. Si usted es usuario final de una aplicación creada por un Cliente de NoCodeCrud, el Responsable de sus datos es ese Cliente. Dirija a él sus solicitudes; lo asistiremos en lo que corresponda.

4. Datos que tratamos

4.1. Datos de cuenta y empresa: razón social, NIT, correo y teléfono de la empresa; nombre, correo, celular, perfil y preferencia de idioma del administrador y de los usuarios internos; contraseña (almacenada como hash, nunca en claro).

4.2. Datos de contacto: nombre, correo, teléfono, empresa, tema y mensaje del formulario de contacto, idioma, dirección IP y agente de usuario (navegador y sistema operativo) para fines de seguridad y antispam.

4.3. Datos de facturación y pagos: plan contratado, historial de pagos, referencias de transacción, estado, importes y saldo de Billetera. Los datos de tarjeta los recolecta y procesa directamente Wompi; NoCodeCrud no almacena el número completo de tarjeta ni el código de seguridad.

4.4. Datos de uso, seguridad y auditoría: identificadores de usuario y empresa, direcciones IP, fechas y horas, acciones realizadas, registros de errores y rendimiento, registros de auditoría de cambios (incluidos valores anteriores y nuevos de registros modificados a través de la Plataforma), tokens de sesión y de actualización (refresh) y eventos de autenticación.

4.5. Datos de inteligencia artificial: instrucciones, mensajes, contexto enviado al modelo, respuestas, modelo usado, consumo de tokens y costos. Estos registros pueden contener datos personales si el Cliente o sus usuarios los incluyen en la conversación o en el contexto.

4.6. Contenido del Cliente (como Encargado): lo que el Cliente decida conectar. La Plataforma no determina qué datos contiene.

4.7. Datos que no solicitamos. No solicitamos datos sensibles (salud, origen racial, orientación sexual, biométricos, convicciones, etc.) ni datos de menores como parte del registro. El Cliente no debe conectar ese tipo de datos sin base legal propia, autorización explícita de los titulares, medidas reforzadas y aviso previo a NoCodeCrud (ver cláusula 8 de los Términos). En tratamiento de datos sensibles, el titular tiene derecho a no autorizar.

4.8. Cookies y almacenamiento local: se describen en la Política de Cookies.

5. Finalidades y bases legales

El tratamiento para finalidades distintas requerirá nueva autorización o una base legal compatible. No vendemos ni "compartimos" datos personales a cambio de publicidad personalizada, ni usamos el Contenido del Cliente para fines propios de mercadeo.

6. Menores de edad

La Plataforma es un servicio empresarial dirigido a mayores de edad. No recolectamos conscientemente datos de menores. Si detectamos que lo hemos hecho, los eliminaremos. Los menores solo podrán figurar en el Contenido del Cliente bajo la exclusiva responsabilidad del Cliente y respetando el interés superior del menor y los requisitos de la ley.

7. Credenciales de bases de datos conectadas

7.1. Cuando un Cliente conecta una base de datos, almacenamos los parámetros de conexión (servidor, puerto, nombre de base de datos, usuario y contraseña) para poder operar la conexión que el Cliente nos instruyó.

7.2. Cifrado en reposo: la contraseña de la base de datos se almacena cifrada con el algoritmo AES mediante una clave de la aplicación guardada fuera de la base de datos de metadatos (en la configuración segura del servicio). Se descifra solamente en memoria del servidor de aplicación en el momento de abrir la conexión y no se vuelve a mostrar en claro en la interfaz.

7.3. Acceso restringido: el acceso a las credenciales está limitado por empresa (tenant), por perfiles autorizados y por controles internos, y las operaciones relevantes quedan registradas para auditoría. El personal del Prestador solo accede a ellas cuando es estrictamente necesario para soporte técnico autorizado o seguridad, bajo deber de confidencialidad.

7.4. Recomendaciones y responsabilidad compartida: el Cliente debe usar un usuario de base de datos dedicado con el mínimo privilegio (de solo lectura si no necesita escribir), restringir por IP, habilitar TLS en su servidor, rotar las credenciales y revocarlas al terminar la relación o ante sospecha de compromiso. Ningún sistema es infalible; no garantizamos seguridad absoluta, pero aplicamos medidas razonables y proporcionales al riesgo.

7.5. Eliminación: las credenciales se eliminan cuando el Cliente borra la conexión o cuando se elimina la cuenta, dentro del plazo indicado en la cláusula 12.

8. Datos del Cliente en tránsito, caché y almacenamiento

8.1. Funcionamiento. La Plataforma lee y escribe en la base de datos del Cliente en el momento en que un usuario autorizado lo solicita. Los datos viajan cifrados entre el navegador y la Plataforma (HTTPS/TLS). El cifrado entre la Plataforma y la base de datos depende de la configuración del servidor de base de datos del Cliente, que éste debe habilitar.

8.2. Tratamiento temporal. El Contenido del Cliente se procesa en memoria del servidor y puede mantenerse temporalmente en cachés (memoria y, si está habilitado, un servicio de caché distribuida) con tiempos de vida acotados e invalidación automática cuando cambian los datos o la configuración. La caché está segmentada por empresa.

8.3. Almacenamiento persistente de nuestra parte. NoCodeCrud no hace copia permanente de las bases de datos del Cliente. Sin embargo, pueden persistir en nuestros sistemas, por la naturaleza del servicio: (a) registros de auditoría de cambios (incluyen valores anteriores y nuevos de campos modificados); (b) registros de conversaciones con IA; (c) archivos que el Cliente suba a almacenamiento de la Plataforma; (d) resultados de ejecuciones de flujos de trabajo y de exportaciones; (e) registros técnicos de errores que puedan contener fragmentos de datos. El Cliente debe tener esto en cuenta al decidir qué datos conecta y qué funciones activa.

9. Inteligencia artificial

9.1. Cuando se usan Agentes de IA, el texto de la conversación y el contexto necesario para responder se envían, mediante API, a proveedores de modelos de lenguaje (hoy, según configuración: OpenAI, Google —Gemini/Vertex AI— y OpenRouter, que a su vez puede enrutar a terceros proveedores de modelos). Esto implica una transmisión de datos a terceros, posiblemente fuera de Colombia.

9.2. Usamos las interfaces de API empresariales de esos proveedores, cuyas condiciones, en general, establecen que los datos enviados por API no se usan para entrenar sus modelos públicos; esa condición depende de cada proveedor y puede cambiar. No usamos el Contenido del Cliente para entrenar modelos propios.

9.3. Las decisiones relevantes no se toman exclusivamente de forma automatizada: las salidas de IA son asistencia y requieren validación humana; el Cliente es quien decide si ejecuta una acción. No realizamos perfilamiento con efectos jurídicos sobre personas.

9.4. El Cliente puede limitar o desactivar el uso de IA por perfil o empresa cuando la Plataforma lo permita, y debe evitar incluir datos personales innecesarios en los mensajes.

10. Encargados, subencargados y destinatarios

10.1. Para prestar el servicio recurrimos a proveedores que pueden tratar datos personales en nuestro nombre (por categoría): infraestructura de nube y alojamiento (por ejemplo Microsoft Azure o servidores virtuales privados), almacenamiento de archivos, caché distribuida (Redis), procesamiento de pagos (Wompi), proveedores de modelos de IA (OpenAI, Google, OpenRouter), servicios de correo transaccional, y servicios de recursos estáticos del sitio (Google Fonts, jsDelivr y Tailwind CDN, que reciben la IP del navegador al cargar páginas). La lista vigente y los países de tratamiento se publican en el Anexo de Subencargados del DPA.

10.2. Wompi actúa como responsable independiente respecto de los datos de pago que usted le entrega directamente y se rige por su propia política de privacidad.

10.3. Podemos compartir datos con: asesores legales, contables y de seguridad bajo confidencialidad; autoridades cuando medie requerimiento válido; y terceros en operaciones corporativas (fusión, adquisición), con las garantías debidas.

10.4. Exigimos a nuestros subencargados obligaciones de protección equivalentes y notificaremos cambios relevantes según el DPA.

11. Transferencias y transmisiones internacionales

11.1. Algunos proveedores tratan datos fuera de Colombia (por ejemplo en Estados Unidos o la Unión Europea). Estas operaciones se realizan conforme al artículo 26 de la Ley 1581 de 2012, hacia países con nivel adecuado de protección o con las garantías contractuales (cláusulas de transmisión), o cuando el titular lo autorice, y se documentan según las instrucciones de la SIC (incluida, cuando proceda, la declaración de conformidad).

11.2. Para titulares del Espacio Económico Europeo y Reino Unido, aplicamos como mecanismo de transferencia las Cláusulas Contractuales Tipo de la Comisión Europea y, cuando el proveedor esté certificado, el Marco de Privacidad de Datos UE-EE. UU., junto con medidas complementarias.

12. Conservación y eliminación

Conservamos los datos solo el tiempo necesario para las finalidades descritas y los plazos legales. Plazos de referencia:

Al vencer el plazo, los datos se eliminan de forma segura o se anonimizan. Los datos en copias de seguridad se eliminan con la rotación.

13. Seguridad de la información

Aplicamos medidas técnicas, humanas y administrativas razonables, entre ellas: cifrado en tránsito (HTTPS/TLS); cookies de autenticación con atributos HttpOnly, Secure y SameSite; protección contra falsificación de solicitudes (antiforgery); tokens de acceso de corta vida (15 minutos) y de actualización de hasta 30 días revocables; contraseñas almacenadas con hash; cifrado AES de secretos de conexión; aislamiento lógico por empresa; control de acceso por perfiles; registros de auditoría; tokens firmados con claves por empresa para incrustación; límites de frecuencia y protección anti-abuso; y gestión de configuración fuera del código fuente. Mantenemos un procedimiento de respuesta a incidentes. Ninguna medida elimina por completo el riesgo.

14. Incidentes de seguridad

Si ocurre un incidente que afecte datos personales, lo investigaremos y contendremos sin demora. Notificaremos a los Clientes afectados (cuando actuemos como Encargado) sin dilación indebida y, en todo caso, dentro de las 72 horas siguientes a tener conocimiento razonable de él, y reportaremos a la SIC (a través del Registro Nacional de Bases de Datos) y a las autoridades europeas competentes y a los titulares cuando la ley lo exija.

15. Derechos de los titulares

15.1. Derechos (Ley 1581 de 2012, art. 8): conocer, actualizar y rectificar sus datos; solicitar prueba de la autorización; ser informado del uso que se ha dado a sus datos; presentar quejas ante la SIC por infracciones; revocar la autorización y/o solicitar la supresión cuando no se respeten los principios o garantías; y acceder gratuitamente a sus datos.

15.2. Derechos adicionales (GDPR): acceso, rectificación, supresión, limitación, portabilidad, oposición, a no ser objeto de decisiones exclusivamente automatizadas y a reclamar ante la autoridad de control de su país. CCPA/CPRA: conocer, eliminar, corregir, limitar el uso de información sensible, optar por no vender/compartir (no vendemos ni compartimos datos con fines publicitarios) y no ser discriminado por ejercer sus derechos.

15.3. Cómo ejercerlos: escriba a **** indicando nombre, identificación, derecho que ejerce y descripción de la solicitud. Podemos pedir información adicional para verificar su identidad.

15.4. Plazos: consultas, 10 días hábiles (prorrogables 5 días hábiles más); reclamos, 15 días hábiles (prorrogables 8 días hábiles más); GDPR, 1 mes (prorrogable por 2 meses más en casos complejos); CCPA, 45 días (prorrogables 45 días más). La supresión no procede cuando exista deber legal o contractual de conservar los datos.

15.5. Requisito de procedibilidad: antes de acudir a la SIC, el titular debe agotar el trámite de consulta o reclamo ante el Responsable.

15.6. Si su solicitud se refiere a datos que tratamos como Encargado, la trasladaremos al Cliente Responsable o lo asistiremos para que la atienda.

16. Cookies

Usamos cookies y tecnologías similares. Para su detalle, finalidades, duraciones y para gestionar sus preferencias, consulte la Política de Cookies.

17. Autorización y aceptación

Al registrarse y marcar la casilla correspondiente, el titular autoriza de manera previa, expresa e informada el tratamiento de sus datos como se describe aquí. Guardamos prueba de la aceptación (versión de documento, fecha y hora UTC, IP y agente de usuario). La autorización puede revocarse en cualquier momento, sin perjuicio de los datos que debamos conservar por mandato legal o contractual.

18. Cambios a esta política

Podemos actualizar esta política. Publicaremos la versión vigente con su fecha y avisaremos de los cambios sustanciales con antelación razonable (al menos 15 días) mediante correo o aviso en la Plataforma. Cuando el cambio requiera nueva autorización, la solicitaremos.

19. Registro Nacional de Bases de Datos y manual interno

NoCodeCrud adoptará un manual interno de políticas y procedimientos de datos personales y, cuando supere los umbrales legales, inscribirá sus bases de datos en el Registro Nacional de Bases de Datos (RNBD) de la SIC. Los Clientes son responsables de las inscripciones que les correspondan como Responsables de sus propias bases de datos.

20. Contacto

. Si no está conforme con nuestra respuesta, puede dirigirse a la Superintendencia de Industria y Comercio (Colombia) o a la autoridad de protección de datos de su país de residencia.