Política de Tratamiento de Datos Personales
Política de Tratamiento de la Información y Protección de Datos Personales de YIKI AI, adoptada por CARP INDUSTRIES S.A.S. en cumplimiento de la Ley 1581 de 2012, el Decreto 1074 de 2015 y demás normas concordantes del ordenamiento jurídico colombiano.
Versión 2.1 · Última actualización: 30 de julio de 2026 · Incorpora el tratamiento de datos de fuentes públicas en las herramientas de consulta.
Contenido
1. Identificación del Responsable del Tratamiento
2. Definiciones
3. Ámbito de aplicación
4. Categorías de datos objeto de Tratamiento
5. Registro de actividad e interacción con la Plataforma
6. Finalidades del Tratamiento
7. Bases de legitimación y autorización del Titular
8. Plazos de conservación
9. Encargados del Tratamiento y transferencias internacionales
10. Medidas de seguridad
11. Sistemas de inteligencia artificial y decisiones automatizadas
12. Derechos del Titular
13. Procedimiento para consultas y reclamos
14. Cookies y tecnologías de almacenamiento local
15. Datos de fuentes públicas y herramientas de consulta
16. Menores de edad
17. Vigencia y modificaciones
1 Identificación del Responsable del Tratamiento
CARP INDUSTRIES S.A.S., sociedad comercial constituida conforme a las leyes de la República de Colombia, identificada con NIT 901354806-7, con domicilio principal en la Carrera 7 # 113-43, Torre Samsung, Oficina 1107, Bogotá D.C., Colombia (en adelante, el «Responsable»), actúa en calidad de Responsable del Tratamiento respecto de los datos personales recolectados a través de la plataforma YIKI AI y de los canales asociados a ella.
Área responsable de la atención de peticiones, consultas y reclamos: Dirección de Protección de Datos. Correo electrónico de contacto: soporte@yikiai.com. Sitio web: www.yikiai.com.
2 Definiciones
Para los efectos de la presente Política, los términos que se relacionan a continuación tendrán el significado que aquí se les atribuye, sin perjuicio de las definiciones contenidas en la Ley 1581 de 2012 y sus decretos reglamentarios:
«Plataforma» o «YIKI AI»: el conjunto de aplicaciones, interfaces, servicios web, motores de análisis y canales de comunicación operados por el Responsable para asistir la participación en procesos de contratación pública.
«Titular»: la persona natural cuyos datos personales son objeto de Tratamiento, comprendiendo tanto a quien registra una cuenta como a las personas vinculadas a la empresa suscriptora que acceden a la Plataforma bajo dicha cuenta.
«Tratamiento»: cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, el almacenamiento, el uso, la circulación, la supresión, el análisis, la correlación y la conservación.
«Input»: los datos, textos, instrucciones, documentos, archivos y demás materiales que el Titular suministre, cargue, transmita o consigne en la Plataforma, incluidos los documentos de habilitación contractual y las instrucciones dirigidas a los componentes de inteligencia artificial.
«Output»: los análisis, respuestas, comparaciones, clasificaciones, puntuaciones, alertas y demás materiales generados por la Plataforma como resultado del procesamiento del Input.
«Datos de Interacción»: los registros generados de manera automatizada como consecuencia de la utilización de la Plataforma por parte del Titular, en los términos precisados en la sección 5 de esta Política.
«Evento»: la unidad mínima de registro que documenta la ocurrencia de un hecho verificable dentro de la Plataforma, acompañada de su marca temporal y de los atributos técnicos que permiten su interpretación.
«Encargado del Tratamiento»: la persona natural o jurídica que realiza el Tratamiento de datos personales por cuenta y bajo instrucción del Responsable.
3 Ámbito de aplicación
La presente Política resulta aplicable a la totalidad de los datos personales recolectados por el Responsable a través de la Plataforma, de sus interfaces web y móviles, de los formularios de registro y contacto, de los canales de mensajería habilitados y de cualquier otro medio, presente o futuro, que el Responsable disponga para la prestación de los servicios.
La aceptación de los Términos y Condiciones de Uso comporta la aceptación de la presente Política, la cual se entiende incorporada a aquellos por referencia y constituye, para todos los efectos legales, la autorización a que se refiere el artículo 9 de la Ley 1581 de 2012.
4 Categorías de datos objeto de Tratamiento
El Responsable somete a Tratamiento las siguientes categorías de información:
4.1 Datos de identificación y contacto
Nombres y apellidos, número de documento de identidad cuando resulte exigible, cargo o rol desempeñado en la empresa suscriptora, dirección de correo electrónico, número de teléfono móvil en formato internacional, zona horaria declarada y credenciales de acceso, entendiéndose que estas últimas se almacenan exclusivamente bajo esquemas de derivación criptográfica irreversible o son gestionadas por el proveedor de identidad federada correspondiente.
4.2 Datos societarios y de habilitación contractual
Razón social, Número de Identificación Tributaria, sector económico, rango de empleados, rango de ingresos, códigos de clasificación UNSPSC, así como la información contenida en los documentos que el Titular cargue con el objeto de acreditar su experiencia y capacidad, incluido el Registro Único de Proponentes y los datos de contratación derivados de él.
4.3 Datos de facturación y pago
Plan contratado, estado de la suscripción, historial de facturación y referencias de las operaciones de pago. El Responsable no almacena en sus sistemas los datos completos de instrumentos de pago, los cuales son procesados directamente por la pasarela de pagos habilitada, en su condición de Encargado.
4.4 Contenido suministrado por el Titular
El Input en su integridad, comprendiendo los documentos cargados, las consultas formuladas, las instrucciones impartidas a los componentes de inteligencia artificial y las anotaciones, filtros y configuraciones que el Titular defina.
4.5 Datos técnicos y de conexión
Direcciones de protocolo de internet, identificadores de sesión, agente de usuario, características del dispositivo y del navegador, marcas temporales de acceso, latencias de respuesta y códigos de traza asociados a cada operación.
4.6 Datos de Interacción
Los registros a que se refiere la sección 5, que se enuncian de manera separada por su naturaleza continua y por el nivel de detalle que comportan.
5 Registro de actividad e interacción con la Plataforma
El Titular reconoce y acepta expresamente que la Plataforma incorpora mecanismos de instrumentación que registran, de forma automatizada, continua y sin intervención manual, los Eventos que se producen durante sus sesiones de uso. Dicho registro se efectúa con el nivel de granularidad necesario para reconstruir la secuencia de acciones ejecutadas y comprende, de manera enunciativa y no taxativa:
Las secuencias de navegación entre las distintas vistas de la Plataforma, con indicación de la ruta de cada vista, su denominación y la marca temporal de acceso y permanencia.
Los accionamientos que el Titular ejecute sobre los elementos de la interfaz, con identificación del elemento accionado, de su rótulo visible o de su etiqueta de accesibilidad, del destino asociado cuando corresponda y del número de accionamientos consecutivos sobre un mismo elemento.
El contenido literal de las expresiones de búsqueda formuladas por el Titular, junto con el número de resultados obtenidos y las demás circunstancias de la consulta, con independencia de que la búsqueda haya arrojado resultados.
El contenido literal de las instrucciones, indicaciones o solicitudes que el Titular dirija a los componentes de inteligencia artificial de la Plataforma, incluidas aquellas que no deriven en la creación de un agente o en la obtención de un Output.
Los valores consignados por el Titular en los campos de formulario, al momento en que dichos valores quedan confirmados, así como la denominación del campo correspondiente.
El identificador de sesión de navegación, que permite agrupar los Eventos producidos en una misma visita, y los atributos técnicos del entorno desde el que se accede.
Los eventos de error, degradación o resultado incompleto que se produzcan durante el uso, junto con su código de traza, el flujo afectado, el punto de la aplicación en que se originaron y el identificador del Titular que los experimentó.
Los Eventos son transmitidos al Responsable de manera agrupada y diferida, y su marca temporal se determina conforme al reloj de los sistemas del Responsable, ajustada por la antigüedad que el cliente reporta para cada Evento.
5.1 Exclusiones
Quedan expresamente excluidos del registro descrito en la presente sección, y no son objeto de Tratamiento bajo ninguna circunstancia: (i) el contenido de los campos destinados a la captura de contraseñas; (ii) el contenido de los campos destinados a la captura de códigos de un solo uso o de segundos factores de autenticación; y (iii) el contenido de los campos que el Responsable haya designado como reservados en la configuración de la interfaz. El Responsable adopta las medidas técnicas necesarias para que dicha exclusión opere de manera automática en el origen, con anterioridad a cualquier transmisión.
5.2 Alcance de la observación en el ámbito empresarial
Cuando el acceso a la Plataforma se produzca en el marco de una suscripción contratada por una persona jurídica, los Datos de Interacción asociados a cada Titular vinculado a dicha suscripción podrán ser consultados por el Responsable de forma individualizada y agrupada por empresa, para las finalidades previstas en la sección 6. Corresponde a la persona jurídica suscriptora informar de esta circunstancia a las personas naturales a quienes habilite el acceso.
6 Finalidades del Tratamiento
Los datos personales referidos en las secciones precedentes son objeto de Tratamiento para las siguientes finalidades:
Ejecutar el contrato de prestación de servicios, habilitar el acceso a la Plataforma, gestionar la cuenta del Titular y administrar la suscripción contratada.
Generar el Output, incluidas la identificación de oportunidades de contratación, la evaluación de viabilidad, la clasificación de procesos y la construcción de agentes conforme a las instrucciones del Titular.
Remitir notificaciones y alertas por los canales habilitados, conforme a las preferencias de periodicidad y franja horaria configuradas.
Atender solicitudes de soporte y diagnosticar incidencias, para lo cual el Responsable podrá examinar la secuencia de acciones que precedió a la incidencia reportada y contactar al Titular afectado por el canal registrado.
Preservar la seguridad de la Plataforma, prevenir el fraude, detectar usos anómalos, abusivos o automatizados y proteger la integridad de la infraestructura y de la información de los demás usuarios.
Analizar el comportamiento de uso con el objeto de medir la adopción de las funcionalidades, identificar puntos de fricción, dimensionar la capacidad de los sistemas y orientar el desarrollo y la mejora de los servicios.
Elaborar estadísticas, indicadores de gestión, informes internos y análisis de cohortes, así como realizar pruebas comparativas de variantes de producto sobre segmentos de usuarios.
Cumplir las obligaciones legales, contables, tributarias y regulatorias a cargo del Responsable y atender los requerimientos de autoridad competente.
El Responsable no comercializa datos personales ni los cede a terceros con finalidades publicitarias ajenas a la prestación del servicio.
7 Bases de legitimación y autorización del Titular
El Tratamiento se fundamenta, según la finalidad de que se trate, en la autorización previa, expresa e informada del Titular; en la necesidad de dar ejecución al contrato del que el Titular es parte o de adoptar medidas precontractuales a su solicitud; en el cumplimiento de obligaciones legales a cargo del Responsable; y, respecto de las finalidades de seguridad, prevención del fraude y mejora del servicio, en el interés legítimo del Responsable, debidamente ponderado frente a los derechos y libertades del Titular.
La autorización se entiende otorgada mediante la aceptación de los Términos y Condiciones de Uso al momento del registro, mediante la marcación de las casillas dispuestas al efecto, o mediante conductas inequívocas que permitan concluir de forma razonable que el Titular la otorgó, en los términos del artículo 7 del Decreto 1377 de 2013.
El Titular puede revocar la autorización otorgada, salvo cuando una disposición legal o contractual imponga el deber de permanecer en la base de datos, o cuando el Tratamiento resulte indispensable para la ejecución del contrato vigente.
8 Plazos de conservación
Los datos personales se conservan durante el tiempo estrictamente necesario para cumplir la finalidad que justificó su recolección y, en todo caso, durante los plazos que impongan las obligaciones legales aplicables. A título indicativo:
Los Datos de Interacción de granularidad detallada, referidos en la sección 5, se conservan por un término de noventa (90) días calendario contados desde su generación, transcurrido el cual son suprimidos de forma automatizada.
Los Eventos de negocio, entendidos como aquellos que documentan hitos contractuales o de uso relevantes, tales como el registro, la activación, la creación de agentes y las operaciones de pago, se conservan durante la vigencia de la relación contractual y por el término de prescripción de las acciones correspondientes.
Los datos de facturación y los soportes contables se conservan por el término que exija la normativa tributaria y comercial vigente.
Los documentos cargados por el Titular se conservan mientras permanezca activa la cuenta y hasta que el Titular solicite su supresión, sin perjuicio de las copias de respaldo, que se depuran conforme a los ciclos de retención definidos.
9 Encargados del Tratamiento y transferencias internacionales
El Responsable se apoya en terceros que actúan como Encargados del Tratamiento para la prestación de servicios de infraestructura en la nube, autenticación e identidad federada, envío de correo electrónico transaccional, mensajería instantánea, procesamiento de pagos y modelos de inteligencia artificial. Dichos terceros acceden a los datos personales exclusivamente en la medida necesaria para prestar el servicio contratado y bajo obligaciones contractuales de confidencialidad y seguridad.
El Titular reconoce y acepta que la prestación del servicio puede comportar la transferencia y transmisión internacional de sus datos personales a países que podrían no ser considerados por la Superintendencia de Industria y Comercio como países que proporcionan un nivel adecuado de protección. En tales eventos, el Responsable adopta las garantías contractuales exigidas por el artículo 26 de la Ley 1581 de 2012 y por las normas que lo desarrollan.
10 Medidas de seguridad
El Responsable implementa medidas técnicas, humanas y administrativas razonables y proporcionadas al riesgo, orientadas a preservar la confidencialidad, integridad y disponibilidad de la información, entre ellas el cifrado de las comunicaciones en tránsito, el cifrado de la información en reposo, el control de acceso basado en roles con principio de mínimo privilegio, la autenticación reforzada del personal autorizado, la segregación de los entornos de análisis respecto de los entornos operativos, el registro de auditoría de los accesos y la realización de copias de respaldo periódicas.
Ninguna medida de seguridad ofrece una garantía absoluta. El Responsable no garantiza la inviolabilidad de los sistemas frente a accesos no autorizados derivados de conductas ilícitas de terceros, sin perjuicio de su deber de adoptar las medidas exigibles y de informar los incidentes conforme a la normativa vigente.
11 Sistemas de inteligencia artificial y decisiones automatizadas
La Plataforma incorpora sistemas de inteligencia artificial que procesan el Input para generar el Output. El Titular reconoce que dichos sistemas producen resultados de naturaleza probabilística, que el Output no constituye asesoramiento profesional de ninguna índole y que su valoración y utilización se realizan bajo la exclusiva responsabilidad del Titular.
Las clasificaciones, puntuaciones y priorizaciones que la Plataforma asigna a los procesos de contratación tienen carácter orientativo y no producen por sí mismas efectos jurídicos sobre el Titular ni lo afectan significativamente de modo análogo. En todo caso, el Titular conserva el derecho a solicitar la intervención humana, a expresar su punto de vista y a impugnar el resultado, dirigiendo su solicitud al canal previsto en la sección 13.
12 Derechos del Titular
De conformidad con el artículo 8 de la Ley 1581 de 2012, el Titular tiene derecho a:
Conocer, actualizar y rectificar sus datos personales frente al Responsable o frente a los Encargados del Tratamiento.
Solicitar prueba de la autorización otorgada, salvo en los casos en que la ley exceptúa dicho requisito.
Ser informado, previa solicitud, respecto del uso que se ha dado a sus datos personales.
Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a la normativa de protección de datos, una vez agotado el trámite de consulta o reclamo ante el Responsable.
Revocar la autorización y solicitar la supresión de sus datos cuando no medie un deber legal o contractual que lo impida, o cuando la Superintendencia haya determinado que el Tratamiento incurrió en conductas contrarias a la ley.
Acceder de forma gratuita a sus datos personales que hayan sido objeto de Tratamiento.
Cuando resulte aplicable el Reglamento General de Protección de Datos de la Unión Europea, el Titular podrá asimismo ejercer los derechos de limitación del tratamiento, portabilidad y oposición reconocidos en dicho instrumento.
13 Procedimiento para consultas y reclamos
Las consultas se atenderán en un término máximo de diez (10) días hábiles contados a partir de su recepción. Cuando no fuere posible atenderlas en dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá la consulta, la cual en ningún caso superará los cinco (5) días hábiles siguientes al vencimiento del primer plazo.
Los reclamos se tramitarán en un término máximo de quince (15) días hábiles contados a partir del día siguiente a su recepción. Cuando no fuere posible atenderlos en dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá el reclamo, la cual en ningún caso superará los ocho (8) días hábiles siguientes al vencimiento del primer término.
Las solicitudes deberán dirigirse al correo electrónico soporte@yikiai.com, indicando el nombre del Titular, la descripción de los hechos que dan lugar a la solicitud, la dirección de notificación y los documentos que se quieran hacer valer.
14 Cookies y tecnologías de almacenamiento local
La Plataforma emplea cookies y tecnologías de almacenamiento local en el navegador del Titular con el objeto de mantener la sesión iniciada, conservar preferencias de presentación, asignar un identificador de sesión de navegación y medir el uso de las funcionalidades. El Titular puede configurar su navegador para restringir o eliminar dichas tecnologías, con la advertencia de que ello puede impedir el funcionamiento de la autenticación y de otras funcionalidades esenciales.
15 Datos de fuentes públicas y herramientas de consulta
El Responsable pone a disposición del público herramientas gratuitas de consulta construidas sobre información de fuentes oficiales de acceso abierto, en particular los conjuntos de datos del Sistema Electrónico de Contratación Pública (SECOP) que el Estado colombiano publica en el portal de datos abiertos. El Responsable no genera ni modifica dicha información: la organiza, la agrega y la presenta para facilitar su consulta.
El Tratamiento de datos de naturaleza pública no requiere autorización previa del Titular, conforme al literal b) del artículo 10 de la Ley 1581 de 2012. Lo anterior no desplaza la aplicación de los principios del artículo 4 ni el ejercicio de los derechos reconocidos en el artículo 8 de la misma ley, que el Responsable atiende en los términos de la sección 13 de esta Política.
15.1 Limitaciones que se aplican por decisión del Responsable
Aun cuando la fuente sea pública y el Tratamiento resulte legalmente admisible, el Responsable ha adoptado las siguientes restricciones, que operan de manera técnica y no meramente declarativa:
Solo se publica información relativa a proveedores que son personas jurídicas. Los contratistas que son personas naturales quedan excluidos de las herramientas de consulta, pese a figurar en la fuente.
No se publica el documento de identidad, el domicilio, el género ni ningún otro dato identificador de representantes legales, supervisores, ordenadores del gasto ni de cualquier otra persona natural que aparezca asociada a un contrato.
No se publican los datos bancarios que la fuente asocia a cada contrato.
Respecto de los servidores públicos señalados por su entidad como punto de contacto en el Plan Anual de Adquisiciones, los datos de contacto se muestran de forma PARCIAL y enmascarada. El enmascaramiento se realiza en el servidor: el valor completo no se incorpora en ningún momento a la página entregada al navegador, de modo que no resulta accesible ni mediante inspección del código fuente ni para los motores de búsqueda. La medida no obedece a que el Tratamiento sea inadmisible —se trata de datos de naturaleza pública difundidos por la propia entidad para ser contactada— sino a evitar que su agregación en un repositorio consultable facilite el envío masivo de comunicaciones no solicitadas.
Las anteriores restricciones se implementan mediante una lista taxativa de campos publicables en el código que consulta las fuentes: los campos no incluidos en ella no se solicitan a la fuente, de modo que un campo nuevo nace excluido.
15.2 Exactitud de la información y rectificación en la fuente
La información reproducida corresponde a lo publicado por las entidades estatales en el momento de la consulta y puede no reflejar modificaciones, adiciones o aclaraciones posteriores. Cuando un dato de fondo sea inexacto, su corrección debe solicitarse ante la entidad que lo publicó, única competente para rectificarlo en la fuente oficial. El Responsable atenderá, en todo caso, las solicitudes que se le dirijan respecto de la presentación de esa información en sus propias herramientas.
15.3 Supresión
Cualquier persona natural cuya información aparezca en estas herramientas puede solicitar su supresión escribiendo a soporte@yikiai.com, sin necesidad de justificar la solicitud y sin perjuicio de que la información permanezca disponible en la fuente oficial. La solicitud se atenderá en los términos de la sección 13.
16 Menores de edad
La Plataforma está dirigida exclusivamente a personas mayores de edad que actúan en el ejercicio de una actividad empresarial o profesional. El Responsable no recolecta de forma consciente datos personales de menores de edad. En caso de advertirse la existencia de datos de un menor, se procederá a su supresión.
17 Vigencia y modificaciones
La presente Política rige a partir del 30 de julio de 2026. Las bases de datos administradas por el Responsable se conservarán durante el tiempo que resulte razonable y necesario para las finalidades descritas.
El Responsable se reserva el derecho de modificar la presente Política. Toda modificación sustancial será comunicada al Titular a través de la Plataforma, por correo electrónico o mediante la publicación de la versión actualizada en el sitio web, con una antelación razonable a su entrada en vigor. La utilización de la Plataforma con posterioridad a dicha entrada en vigor comportará la aceptación de la versión modificada.