Política de tratamiento de datos personales

1.Quién responde por sus datos

GULLA TEC S.A.S., NIT 902094551-1, domiciliada en Bucaramanga, Colombia, es la sociedad responsable de esta política. kiito es la marca bajo la cual presta su plataforma de gestión de cobranza y de vigilancia de procesos judiciales.

Para ejercer sus derechos, o para cualquier consulta o reclamo sobre sus datos, escriba a hola@kiito.co. Esa es también la dirección del área de protección de datos que designamos conforme al Decreto 1074 de 2015.

Esta política se rige por la ley colombiana. Nada de lo aquí escrito limita su derecho a acudir ante la Superintendencia de Industria y Comercio.

2.Dos papeles distintos

Frente a los datos de nuestros clientes —las casas de cobro y bufetes que contratan la plataforma, y las personas que ellos autorizan a usarla— actuamos como RESPONSABLES del tratamiento.

Frente a los datos de los deudores y acreedores que el cliente carga, actuamos como ENCARGADOS: los tratamos siguiendo sus instrucciones y no los usamos para ninguna finalidad propia. Quien decidió cobrarle, con qué información y en qué términos, es la casa de cobro, no kiito.

Si usted es un deudor, eso no lo deja sin interlocutor: escríbanos y trasladamos su solicitud a quien corresponde, diciéndole a quién se la trasladamos.

3.Qué datos tratamos

De los usuarios de la plataforma: nombre, documento, correo, rol dentro de la organización, firma digitalizada cuando suscriben documentos y registros técnicos de acceso.

De los deudores y demás obligados de un caso: datos de identificación y contacto (nombre, documento cuando está disponible, teléfono, correo y dirección), la información de la obligación, el contenido de las comunicaciones sostenidas y su resultado, los archivos que el deudor envía por WhatsApp —incluidos comprobantes e imágenes de documentos—, la grabación y transcripción de las llamadas atendidas por el agente de voz, y la evidencia del acto de firma electrónica.

De los procesos judiciales en vigilancia: el número de radicado, el despacho, las partes y las actuaciones tal como los publican las fuentes oficiales y públicas de la Rama Judicial. Son datos de acceso público que reproducimos con fines informativos para el cliente que vigila el proceso; no los enriquecemos ni los cruzamos con otras fuentes.

No pedimos datos sensibles ni tenemos campos destinados a ellos. Dos entran de hecho y conviene decirlo: la voz, cuando la llamada la atiende el agente, y lo que el propio deudor decida contar en una conversación. No se solicitan, no se clasifican y no se usan para nada distinto de acreditar la gestión.

La plataforma admite registrar documentos de menores de edad. Establecer si ese tratamiento procede, en el interés superior del niño y con las garantías del artículo 7 de la Ley 1581 de 2012, corresponde al cliente antes de cargar la información.

4.Para qué los tratamos

Únicamente para prestar el servicio contratado y cumplir obligaciones legales. Ninguna finalidad es publicitaria.

• Organizar los casos de cobranza del cliente y darles seguimiento.
• Generar los documentos del caso y enviar comunicaciones dentro de las ventanas de contacto de la Ley 2300 de 2023, registrando su resultado.
• Producir y conservar el expediente probatorio de las firmas electrónicas.
• Asistir al equipo del cliente con funciones de inteligencia artificial.
• Facturar al cliente su suscripción y sus recargas.
• Conservar el registro de auditoría, que es la prueba de que la gestión se hizo dentro de la ley.

5.Inteligencia artificial, agente y llamadas

kiito usa modelos de inteligencia artificial para clasificar las respuestas del deudor, transcribir estados de cuenta, redactar la narrativa de los informes de gestión, responder por WhatsApp las consultas que el equipo del cliente hace sobre su propia información —a lo que solo acceden las personas que el cliente habilita— y operar un agente conversacional que, cuando el cliente lo activa, escribe y llama al deudor. Los documentos judiciales —demandas, memoriales, poderes y liquidaciones— se generan con plantillas y no contienen texto redactado por inteligencia artificial.

Ninguna función automática modifica por sí sola un saldo, concilia un pago ni firma un documento. Lo que el agente le diga en una conversación es preliminar: lo que obliga es el documento del acuerdo que usted firme.

Si una decisión automatizada le resulta desfavorable, tiene derecho a una explicación comprensible y a solicitar que lo atienda una persona. Los criterios que determinan lo que el agente puede ofrecerle los configura la casa de cobro, no kiito: el saldo y su composición, la etapa del caso, el número máximo de cuotas y la cuota inicial mínima que el acreedor acepta, y el margen de rebaja autorizado.

Las llamadas atendidas por el agente de voz SE GRABAN Y SE TRANSCRIBEN. Si usted participó en una y quiere copia, escríbanos con la fecha y el número desde el que fue contactado.

6.Con quién se comparten y dónde se procesan

Para operar nos apoyamos en proveedores que tratan datos por cuenta nuestra, en estas categorías: infraestructura de nube y base de datos, alojamiento de la aplicación, modelos de inteligencia artificial, agente y telefonía de voz, mensajería por WhatsApp, mensajes de texto, correo electrónico y procesamiento del pago de nuestra propia suscripción. No publicamos sus nombres comerciales por razones de confidencialidad de negocio; los informamos al cliente que lo solicite en el marco del contrato.

Esos proveedores no tienen infraestructura en Colombia: el almacenamiento y el procesamiento ocurren en el exterior, principalmente en Estados Unidos. Jurídicamente es una TRANSMISIÓN y no una transferencia, porque tratan los datos por cuenta nuestra y bajo nuestras instrucciones, en los términos del artículo 25 del Decreto 1377 de 2013.

Estados Unidos figura entre los países que la Superintendencia de Industria y Comercio reconoce como de nivel adecuado de protección, conforme al numeral 3.2 del Título V de su Circular Única. Por eso esta operación no requiere declaración de conformidad ante la Superintendencia.

No vendemos ni cedemos datos personales a terceros con fines publicitarios o comerciales.

7.Seguridad

La separación entre clientes está implementada en la base de datos y no solo en la interfaz: un usuario con sesión iniciada solo puede leer la información de su organización, y cada acreedor únicamente los casos que le corresponden.

Los accesos que no requieren sesión —el enlace para firmar un documento, el que usa un acreedor para entregar soportes— están delimitados por un token que da acceso solo a ese trámite. Los códigos de un solo uso vencen a los cinco minutos, se invalidan al usarse y se guardan cifrados. Los archivos se almacenan en repositorios privados, cifrados en tránsito y en reposo.

Tenga presente algo: quien tenga el enlace de un documento puede verlo. No reenvíe los enlaces que reciba.

Si se produce un incidente de seguridad lo reportamos a la Superintendencia de Industria y Comercio dentro de los quince (15) días hábiles siguientes a su detección, y notificamos sin demora al cliente afectado.

8.Cuánto tiempo se conservan

Los datos se conservan mientras dure la relación con el cliente y, después, por el tiempo necesario para atender obligaciones legales, contables y probatorias.

Un caso eliminado permanece treinta (30) días en una papelera de la que puede recuperarse, y vencido ese plazo se purga con sus gestiones, documentos, pagos y acuerdos. Eliminar un caso no suprime por sí solo los datos de identificación del titular, que pueden estar vinculados a otros casos.

El registro de auditoría y el expediente de firma se conservan aunque el caso se elimine y aunque el titular solicite la supresión: son la prueba de que la gestión se hizo dentro de los límites de la Ley 2300 de 2023 y lo que le da valor a un documento firmado. No se usan para gestión de cobro ni para ninguna finalidad distinta de la probatoria.

Terminado el contrato, el cliente dispone de treinta (30) días para exportar su información.

9.Sus derechos y cómo ejercerlos

Puede conocer, actualizar y rectificar sus datos; solicitar prueba de la autorización; ser informado del uso que se les ha dado; presentar quejas ante la Superintendencia de Industria y Comercio; y revocar la autorización o pedir la supresión cuando no proceda un deber legal o contractual de conservarlos.

Escríbanos a hola@kiito.co. Las consultas se atienden en un máximo de diez (10) días hábiles y los reclamos en quince (15) días hábiles, prorrogables informándole el motivo. La consulta es gratuita al menos una vez al mes. Antes de acudir a la Superintendencia debe haber agotado la consulta o el reclamo ante nosotros.

La supresión y la revocatoria no proceden cuando exista un deber legal o contractual de permanecer en la base de datos. Una obligación vigente e impagada es uno de esos casos, y se lo diremos con esa franqueza en vez de dejar su solicitud sin respuesta.

Si usted es un deudor, el responsable de su información es la casa de cobro que gestiona su caso. Trasladaremos su solicitud dentro de los dos (2) días hábiles siguientes y le diremos a quién.

10.Si usted es un deudor y recibió una comunicación

Si considera que la deuda no es suya, que ya la pagó, que está prescrita, que sus datos son incorrectos o que el mensaje llegó a un canal que no le pertenece, escríbanos con el código del caso que aparece en la comunicación.

La Ley 2300 de 2023 le reconoce el derecho a indicar el canal, el día y la hora en que desea ser contactado, y a pedir que se suspenda el contacto. Registramos su manifestación y la trasladamos; la suspensión la ejecuta la casa de cobro sobre su caso.

Cuidado con los fraudes: los datos de pago válidos son los que constan en el documento del acuerdo que usted firmó. Si recibe instrucciones que cambian la cuenta de destino, verifíquelas por un canal distinto antes de pagar. kiito nunca recibe pagos de deudores.

11.Cookies, vigencia y cambios

Usamos cookies estrictamente necesarias para mantener la sesión iniciada y recordar preferencias de interfaz. No usamos cookies publicitarias ni de seguimiento de terceros.

Esta política rige desde el 30 de agosto de 2026 y sustituye las anteriores. Las bases de datos que administramos tienen vigencia indefinida mientras subsistan las finalidades y las obligaciones legales que las justifican; cesadas ambas, los datos se suprimen o se anonimizan.

Los cambios sustanciales se comunican antes de implementarlos y la versión vigente es siempre la publicada en esta página. Si un cambio se refiere a la finalidad del tratamiento, solicitaremos nueva autorización.