Política de tratamiento de datos personales de Cogni

En resumen

• Tratamos tu correo, los datos de tu perfil, tu contenido de estudio y tu actividad en Cogni para prestarte el servicio.
• Enviamos el texto de tus notas, de los documentos que importas y de tus respuestas de recordación activa a proveedores de IA en Estados Unidos. Algunos, en su nivel gratuito, pueden usarlo para mejorar sus productos. Por eso te pedimos que no incluyas datos sensibles ni de otras personas.
• No vendemos tus datos, no hacemos publicidad con ellos y no entrenamos modelos propios.
• Puedes conocer, actualizar, rectificar y pedir que eliminemos tus datos escribiendo a [PENDIENTE: correo de privacidad]. Respondemos consultas en máximo 10 días hábiles y reclamos en máximo 15 días hábiles.
• Si no quedas conforme, puedes acudir a la Superintendencia de Industria y Comercio.

1. Responsable del tratamiento

El Responsable atiende directamente las consultas, los reclamos y las solicitudes relacionadas con datos personales.

2. Marco normativo

Esta política cumple la Constitución Política (art. 15), la Ley Estatutaria 1581 de 2012 y su reglamentación compilada en el Decreto 1074 de 2015 (en especial, los artículos 2.2.2.25.1.1 y siguientes, que recogen el antiguo Decreto 1377 de 2013), y la Circular Externa 002 de 2024 de la Superintendencia de Industria y Comercio (SIC) sobre inteligencia artificial.

3. Definiciones

• Dato personal: información vinculada o que pueda asociarse a una persona natural determinada o determinable.
• Dato sensible: dato que afecta la intimidad o cuyo uso indebido puede generar discriminación, como los de salud, vida sexual, origen racial o étnico, orientación política, convicciones religiosas o filosóficas y datos biométricos.
• Titular: persona cuyos datos son tratados. En Cogni, eres tú.
• Responsable: quien decide sobre la base de datos y el tratamiento.
• Encargado: quien trata datos por cuenta del Responsable.
• Transmisión: envío de datos a un Encargado para que los trate por cuenta del Responsable.
• Transferencia: envío de datos a un receptor que los trata como Responsable, es decir, también para sus propios fines.
• Tratamiento: cualquier operación sobre datos personales, como recolección, almacenamiento, uso, circulación o supresión.

4. Datos que tratamos

No te pedimos nombre real, documento de identidad, fecha de nacimiento, teléfono ni datos sensibles.

5. Finalidades

Tratamos tus datos para:

1. crear y administrar tu cuenta, autenticarte y mantener tu sesión;
2. guardar, organizar y mostrarte tu contenido de estudio;
3. convertir los documentos que importas en páginas;
4. generar con proveedores de IA tarjetas, preguntas, exámenes y retroalimentación a partir de tu contenido, y evaluar tus respuestas de recordación activa;
5. programar tus repasos y mostrarte tu calendario y tu progreso;
6. aplicar límites de uso para proteger el servicio y su disponibilidad;
7. detectar y corregir errores, y proteger la seguridad de la plataforma;
8. medir de forma agregada el uso de las funciones para mejorar Cogni;
9. guardar la prueba de tus aceptaciones y autorizaciones;
10. enviarte correos estrictamente relacionados con el servicio (verificación de la cuenta, recuperación de contraseña, avisos sobre cambios en estos documentos o en el servicio);
11. atender tus consultas, reclamos y solicitudes, y cumplir obligaciones legales u órdenes de autoridad.

Lo que no hacemos: no vendemos ni alquilamos tus datos; no los usamos para publicidad ni para perfiles comerciales; no entrenamos modelos de IA propios con tu contenido; no tomamos decisiones automatizadas que produzcan efectos jurídicos sobre ti. Hoy no enviamos correos publicitarios. Si en el futuro lo hacemos, te pediremos una autorización separada, con la posibilidad de retirarla en cualquier momento, y los enviaremos solo en los horarios que permite la Ley 2300 de 2023.

6. Datos sensibles y datos de otras personas

6.1. Cogni no solicita datos sensibles y no condiciona el servicio a que los suministres. Responder preguntas sobre datos sensibles es siempre facultativo.

6.2. Como tu contenido se envía a proveedores de IA, algunos de los cuales pueden usarlo para sus propios fines (sección 10), te pedimos no incluir en tus notas, documentos o respuestas datos sensibles, información confidencial ni datos personales de otras personas. Si lo haces, ese contenido seguirá el mismo tratamiento que el resto.

7. Niños, niñas y adolescentes

Cogni es solo para personas de 18 años o más. No tratamos a sabiendas datos de menores de edad. Si conocemos que una cuenta pertenece a un menor, la eliminamos junto con sus datos.

8. Autorización

8.1. Te pedimos tu autorización previa, expresa e informada en el momento del registro, antes de crear tu cuenta. La das al pulsar «Crear cuenta» o «Continuar con Google», junto al aviso que enlaza a esta política y al Aviso de privacidad. Esa acción es una conducta inequívoca; tu silencio nunca se toma como autorización. Conservamos la prueba de tu autorización: versión, fecha y método.

8.2. La autorización incluye, de forma expresa, el envío de tu contenido a los proveedores de IA ubicados en Estados Unidos descritos en la sección 10, algunos de los cuales pueden usarlo para mejorar sus servicios.

8.3. Guardamos prueba de tu autorización: la versión del texto que aceptaste y la fecha.

8.4. Puedes revocar la autorización en cualquier momento escribiendo a [PENDIENTE: correo de privacidad]. Como el servicio depende de ella, la revocación implica la eliminación de tu cuenta, salvo que exista un deber legal de conservar algún dato.

9. Tus derechos

Como titular tienes derecho a:

1. conocer, actualizar y rectificar tus datos;
2. pedir prueba de la autorización que nos diste;
3. ser informado, previa solicitud, sobre el uso que damos a tus datos;
4. presentar quejas ante la SIC por infracciones a la ley, después de agotar el trámite de consulta o reclamo ante nosotros;
5. revocar la autorización y pedir la supresión de tus datos cuando no exista un deber legal o contractual de conservarlos;
6. acceder gratuitamente a tus datos.

10. Destinatarios, transmisiones y transferencias internacionales

10.1. Encargados. Para prestar el servicio compartimos datos con proveedores que los tratan por nuestra cuenta. Todos operan principalmente en Estados Unidos, país que la SIC incluye en su listado de países con nivel adecuado de protección (Circular Única, Título V, numeral 3.2).

La lista completa, con el estado de los contratos, está en la lista de subencargados.

10.2. Transferencias a proveedores que usan los datos para sus fines. Los siguientes proveedores pueden usar el contenido que reciben para fines propios, por lo que el envío es una transferencia que autorizas de forma expresa (sección 8.2):

10.3. Inicio de sesión con Google. Si eliges entrar con Google, Google trata tus datos como responsable independiente según su propia política de privacidad.

10.4. Autoridades. Podemos entregar datos cuando lo ordene una autoridad competente conforme a la ley.

11. Seguridad

Aplicamos, entre otras, estas medidas:

• seguridad a nivel de fila en la base de datos, para que cada persona solo acceda a su información;
• almacenamiento de archivos privado, organizado por usuario;
• conexiones cifradas y cabeceras de seguridad en el navegador;
• contraseñas gestionadas por el proveedor de autenticación, que no guarda el texto de la contraseña;
• registro de errores configurado para no enviar datos personales por defecto;
• envío a los modelos de IA solo del contenido académico necesario, sin tu correo, nombre ni identificador.

Ninguna medida es infalible. Si ocurre un incidente de seguridad que ponga en riesgo tus datos, lo informaremos a la SIC conforme al artículo 17, literal n, de la Ley 1581 de 2012 y te avisaremos cuando pueda afectarte.

12. Conservación

12.1. Conservamos tus datos mientras tengas una cuenta en Cogni.

12.2. Cuando eliminamos tu cuenta, se borran tu perfil, tu contenido y tu actividad de estudio de nuestra base de datos. En el mismo trámite eliminamos los archivos que importaste o subiste.

12.3. Algunos datos se conservan por más tiempo o en otros sistemas:

• los contadores de límites de uso expiran solos entre una hora y cuarenta y ocho horas;
• los eventos de analítica y los informes de errores se conservan según la configuración de PostHog y Sentry: [PENDIENTE: periodo de retención en PostHog y Sentry];
• el contenido que ya recibió un proveedor de IA que lo usa para sus propios fines se rige por las condiciones de ese proveedor;
• conservamos la prueba de las autorizaciones y los datos necesarios para atender reclamaciones mientras exista un deber legal o una reclamación en curso.

13. Procedimiento para ejercer tus derechos

13.1. Canal. Escribe a [PENDIENTE: correo de privacidad] desde el correo asociado a tu cuenta. Si escribes desde otro correo, podemos pedirte información adicional para verificar tu identidad. Tu representante o apoderado también puede ejercer tus derechos, si acredita esa calidad.

13.2. Contenido de la solicitud. Indica tu nombre o correo de la cuenta, la descripción de lo que pides, la dirección de respuesta y, si quieres, los documentos que la soporten.

13.3. Consultas (para conocer tus datos o cómo los usamos). Las respondemos en un máximo de diez (10) días hábiles desde que las recibimos. Si no es posible, te explicaremos el motivo y la nueva fecha, que no superará cinco (5) días hábiles adicionales.

13.4. Reclamos (para corregir, actualizar o suprimir datos, revocar la autorización o denunciar un incumplimiento):

1. Si el reclamo está incompleto, te pediremos dentro de los cinco (5) días siguientes que lo completes. Si pasan dos (2) meses sin respuesta, entenderemos que desististe.
2. Si el reclamo no es de nuestra competencia, lo trasladaremos a quien corresponda en máximo dos (2) días hábiles y te avisaremos.
3. En máximo dos (2) días hábiles después de recibir el reclamo completo, marcaremos tus datos con la leyenda "reclamo en trámite" y el motivo, hasta que se resuelva.
4. Resolveremos en un máximo de quince (15) días hábiles desde el día siguiente a su recibo. Si no es posible, te explicaremos el motivo y la nueva fecha, que no superará ocho (8) días hábiles adicionales.

13.5. Supresión de la cuenta. Una solicitud de eliminación de la cuenta se tramita como reclamo. Al resolverla eliminamos tu cuenta, tu contenido y tus archivos, y te confirmamos por correo.

13.6. Requisito previo ante la SIC. Antes de presentar una queja ante la SIC debes haber agotado este trámite ante nosotros (Ley 1581 de 2012, art. 16).

14. Cambios en esta política

Si cambiamos esta política de forma sustancial, en especial las finalidades o los destinatarios, te lo informaremos antes de aplicar el cambio y, cuando la ley lo exija, te pediremos una nueva autorización. Mantenemos publicadas las versiones anteriores.

15. Vigencia

15.1. Esta política rige desde [PENDIENTE: fecha de entrada en vigor].

15.2. Las bases de datos de Cogni estarán vigentes mientras se preste el servicio y, después, durante el tiempo necesario para cumplir deberes legales y atender reclamaciones.

15.3. El Responsable no está obligado a inscribir sus bases de datos en el Registro Nacional de Bases de Datos, porque es una persona natural (Decreto 1074 de 2015, art. 2.2.2.26.1.2).