1. Identificación del Responsable del Tratamiento

mytymy (en adelante, "la Plataforma"), en calidad de Responsable del Tratamiento de los datos personales de sus suscriptores (Negocios) y, simultáneamente, en calidad de Encargado del Tratamiento de los datos de los Clientes Finales de dichos Negocios, en cumplimiento del artículo 17 de la Ley 1581 de 2012, adopta la presente Política de Tratamiento de Datos Personales (en adelante, "Política" o "PTI").

• Canal de contacto para ejercicio de derechos ARCO: soporte@mytymy.com
• Asunto del correo: "Solicitud Habeas Data – [Nombre del titular]"

2. Marco Normativo

La presente Política se rige por:

• Constitución Política de Colombia, Art. 15 (Derecho al Habeas Data).
• Ley Estatutaria 1581 de 2012 (Régimen General de Protección de Datos Personales).
• Decreto 1074 de 2015, Parte 2, Título 13 (Reglamentación de la Ley 1581/2012).
• Ley 1266 de 2008 (Habeas Data Financiero, como referencia complementaria).
• Circulares e instrucciones de la Superintendencia de Industria y Comercio (SIC).
• Ley 527 de 1999 (Comercio Electrónico y firmas digitales).

3. Datos Personales que se Recopilan

3.1 Datos de Suscriptores (Negocios):

• Nombre completo o razón social, correo electrónico, número de teléfono.
• Datos de facturación: NIT o cédula, dirección, ciudad, régimen tributario.
• Información de acceso: nombre de usuario, contraseña (almacenada en formato hash bcrypt, nunca en texto plano).
• Datos de uso de la Plataforma: historial de sesiones, funcionalidades utilizadas, logs de actividad.
• Datos de pago: procesados directamente por la pasarela de pagos habilitada; mytymy no almacena números de tarjeta crédito/débito.

3.2 Datos de Clientes Finales (cargados por el Negocio):

• Nombre, apellido, número de teléfono (WhatsApp), dirección de correo electrónico.
• Historial de citas, servicios agendados, notas clínicas o de servicio ingresadas por el Negocio.
• En el caso de profesionales de salud: únicamente los datos que el Negocio decida registrar, siendo el Negocio el Responsable de su tratamiento y de obtener la autorización correspondiente.

3.3 Datos de uso y técnicos:

• Dirección IP, tipo de navegador, sistema operativo, páginas visitadas y tiempo de sesión, recopilados automáticamente para seguridad y analítica.
• Cookies de sesión y preferencias. El usuario puede gestionar las cookies desde la configuración de su navegador.

4. Finalidades del Tratamiento

Los datos personales serán tratados para las siguientes finalidades:

Finalidades principales (necesarias para la ejecución del contrato):

• Prestación del Servicio SaaS: Creación y gestión de cuentas, configuración de agendas, reservas de citas y administración de servicios.
• Notificaciones transaccionales: Envío de confirmaciones, recordatorios y actualizaciones de citas por WhatsApp y correo electrónico mediante APIs de terceros (Meta/WhatsApp Business API, proveedores de email).
• Facturación y cobro: Gestión de suscripciones, emisión de comprobantes de pago y procesamiento de transacciones.
• Soporte técnico: Atención a PQR, resolución de incidencias y asistencia al usuario.

Finalidades secundarias (sujetas a autorización expresa):

• Mejora del Servicio: Análisis estadístico anonimizado de uso para optimizar funcionalidades.
• Comunicaciones comerciales: Envío de novedades, nuevas funcionalidades o promociones de mytymy. El suscriptor puede optar por no recibirlas en cualquier momento desde la configuración de su cuenta o escribiendo a soporte@mytymy.com.

Finalidades de cumplimiento legal:

• Atención de requerimientos de autoridades judiciales o administrativas colombianas.
• Prevención del fraude, lavado de activos y cumplimiento de obligaciones tributarias (DIAN).
• Conservación de registros contables conforme a la legislación mercantil colombiana.

5. Autorización y Mecanismo de Obtención del Consentimiento

De conformidad con los artículos 9 y 10 de la Ley 1581/2012, mytymy obtiene la autorización del tratamiento de datos de los suscriptores (Negocios) mediante la aceptación expresa de estos Términos y Condiciones y de la presente Política durante el proceso de registro en la Plataforma, acto que queda registrado con sello de fecha y hora.

Para los Clientes Finales de los Negocios, la responsabilidad de obtener la autorización previa, expresa e informada recae exclusivamente sobre el Negocio en calidad de Responsable del Tratamiento, conforme a lo dispuesto en la sección 9 de los Términos y Condiciones.

La autorización podrá ser revocada en cualquier momento mediante comunicación escrita a soporte@mytymy.com. La revocación no tiene efectos retroactivos sobre tratamientos ya realizados conforme a la ley.

6. Derechos de los Titulares — Habeas Data (Arts. 8 y 22, Ley 1581/2012)

Todo titular de datos personales tiene los siguientes derechos:

• Acceso: Conocer qué datos suyos son tratados por mytymy y con qué finalidad.
• Rectificación: Solicitar la corrección de datos inexactos, incompletos o desactualizados.
• Cancelación / Supresión: Solicitar la eliminación de sus datos cuando no sean necesarios para las finalidades para las que fueron recopilados, o cuando haya revocado su autorización, salvo que exista una obligación legal de conservación.
• Oposición: Oponerse al tratamiento de sus datos para finalidades secundarias o comerciales.
• Portabilidad: Solicitar una copia de sus datos en formato estructurado y de uso común.

Procedimiento para ejercer derechos:

1. Enviar correo a soporte@mytymy.com con asunto: "Solicitud Habeas Data".
2. Indicar: nombre completo del titular, tipo y número de identificación, descripción clara de la solicitud y datos de contacto para respuesta.
3. mytymy atenderá las consultas dentro de los diez (10) días hábiles siguientes (prorrogables 5 días más con previo aviso).
4. Los reclamos serán atendidos dentro de los quince (15) días hábiles siguientes (prorrogables 8 días más con previo aviso).
5. Si la solicitud resulta improcedente total o parcialmente, mytymy emitirá respuesta motivada.

Si el titular considera que mytymy no ha dado respuesta satisfactoria, podrá elevar su queja ante la Superintendencia de Industria y Comercio (SIC), entidad responsable de la vigilancia en materia de protección de datos personales en Colombia.

7. Transmisión y Transferencia Internacional de Datos

Para la prestación del Servicio, mytymy utiliza infraestructura de terceros que puede estar ubicada fuera del territorio colombiano:

• Supabase Inc. (EE.UU.): Base de datos y autenticación. Cumple con el marco GDPR europeo y estándares SOC 2 Type II.
• Vercel Inc. (EE.UU.): Infraestructura de despliegue de la aplicación.
• Meta Platforms / WhatsApp Business API: Envío de notificaciones transaccionales. Sujeta a las políticas de privacidad de Meta.
• Proveedores de correo electrónico transaccional (p. ej. Resend, SendGrid): Envío de notificaciones por email.

Conforme al artículo 26 de la Ley 1581/2012 y el artículo 2.2.2.25.6.1 del Decreto 1074/2015, dichas transmisiones se realizan bajo contratos de procesamiento de datos que garantizan un nivel de protección adecuado y el cumplimiento de las obligaciones legales del Encargado. Al aceptar la presente Política, el titular autoriza expresamente estas transmisiones internacionales, necesarias para la correcta ejecución del Servicio.

8. Medidas de Seguridad de la Información

En cumplimiento del Art. 17, literal d) de la Ley 1581/2012, mytymy implementa las siguientes medidas de seguridad de grado empresarial:

• Cifrado en tránsito: Toda comunicación entre el navegador y los servidores se realiza mediante TLS 1.2/1.3 (HTTPS).
• Cifrado en reposo: Los datos almacenados en base de datos se cifran mediante AES-256.
• Contraseñas: Las contraseñas de usuarios se almacenan exclusivamente en formato hash bcrypt. mytymy nunca tiene acceso a las contraseñas en texto plano.
• Autenticación: Se ofrece autenticación multifactor (MFA) como capa adicional de seguridad.
• Control de accesos: Acceso a los sistemas de producción restringido por roles y principio de mínimo privilegio.
• Auditorías: Registros (logs) de acceso y actividad conservados para detección de incidentes.
• Copias de seguridad: Backups automáticos periódicos de la base de datos.

No obstante lo anterior, ningún sistema es completamente infalible. El titular acepta este riesgo inherente a los sistemas digitales. El Negocio es responsable de la seguridad y confidencialidad de sus credenciales de acceso a la Plataforma.

9. Gestión de Incidentes de Seguridad

En caso de producirse una violación de seguridad que comprometa datos personales, mytymy:

• Notificará a los Negocios afectados dentro de las 72 horas siguientes a tomar conocimiento del incidente, describiendo la naturaleza del mismo, los datos posiblemente comprometidos y las medidas adoptadas.
• Implementará de manera inmediata las medidas correctivas y de contención necesarias.
• Reportará el incidente a la SIC en los plazos y formas establecidos por dicha entidad, cuando sea procedente conforme a la normativa vigente.

10. Conservación y Supresión de Datos

Los datos serán conservados durante los siguientes plazos:

• Datos de cuenta activa: Mientras dure la relación contractual con el Negocio.
• Datos post-cancelación: Noventa (90) días calendario para permitir restauración o exportación, transcurridos los cuales se eliminarán definitivamente.
• Registros contables y tributarios: Diez (10) años conforme al Código de Comercio colombiano (Art. 60 C.Com.) y las normas de la DIAN.
• Registros de seguridad (logs): Hasta doce (12) meses para detección de fraudes e incidentes.

11. Tratamiento de Datos de Menores de Edad

mytymy no recopila directamente datos personales de menores de 18 años para la creación de cuentas de suscriptor. En caso de que los Negocios gestionen datos de menores en el contexto de la prestación de sus servicios (p. ej. pediatría, odontología pediátrica), el Negocio es el único Responsable de obtener la autorización del representante legal del menor, de conformidad con el artículo 7 de la Ley 1581/2012, el Decreto 1074/2015 y el Código de la Infancia y la Adolescencia (Ley 1098 de 2006).

12. Vigencia y Modificaciones de la Política

La presente Política rige a partir de su fecha de publicación. mytymy se reserva el derecho de modificarla en cualquier momento para adaptarla a cambios normativos, tecnológicos o del Servicio. Las modificaciones serán comunicadas mediante publicación en la Plataforma y aviso por correo electrónico a los suscriptores registrados con al menos quince (15) días de antelación a su entrada en vigencia. El uso continuado del Servicio tras dicho plazo implica la aceptación de la nueva versión.