Política de Tratamiento de Datos Personales — THOMAS by Bitsideas

Nota de redacción: esta política toma como marco base la Ley 1581 de 2012 de Colombia (su decreto reglamentario, hoy compilado en el Título 25 del Decreto Único Reglamentario 1074 de 2015, y la Circular Externa 002 de 2024 de la SIC), por ser el régimen más desarrollado en el texto y el país de origen regulatorio del Servicio (ver Términos y Condiciones, cláusula 3.2). Bitsideas LLC presta el Servicio a Clientes en Colombia y en otros países de Latinoamérica; la cláusula 2A explica cómo se aplica el régimen colombiano frente a titulares en Colombia y por qué, para titulares en otros países, puede sumarse la ley local de protección de datos aplicable — algo que debe revisarse país por país a medida que Bitsideas incorpore Clientes fuera de Colombia (México, Perú, Chile, Brasil y otros países de la región tienen cada uno su propio régimen, distinto entre sí y distinto del colombiano). La cláusula 5 desarrolla la transferencia internacional que implica que el propio Responsable esté domiciliado en Estados Unidos. Los datos de identificación de Bitsideas LLC se tomaron de su registro público ante la Florida Division of Corporations (Sunbiz.org, expediente L21000359862) — verificar que sigan vigentes al momento de publicar. Queda pendiente de verificación por el equipo de Bitsideas la determinación de si supera el umbral de la SIC para el registro obligatorio en el RNBD (cláusula 11). Se recomienda una revisión final por un abogado en cada país donde Bitsideas tenga Clientes activos antes de la publicación.

Última actualización: 1 de noviembre de 2026 Responsable del tratamiento: Bitsideas LLC, compañía de responsabilidad limitada constituida bajo las leyes del Estado de Florida, Estados Unidos de América, EIN 61-2001549 (expediente estatal L21000359862), con domicilio principal en 7630 NW 25 Street # 2B, Miami, FL 33122, Estados Unidos. Contacto para temas de datos personales: [email protected]

1. Objeto

Esta política regula el tratamiento de los datos personales que Bitsideas LLC ("Bitsideas", "nosotros") recolecta a través de la plataforma THOMAS by Bitsideas (el "Servicio"), prestado a empresas Cliente en Colombia y en otros países de Latinoamérica. Como marco general, esta política se estructura sobre el régimen de protección de datos personales de Colombia — la Ley 1581 de 2012, su decreto reglamentario (compilado en el Título 25, Parte 2, Libro 2 del Decreto 1074 de 2015) y las circulares de la Superintendencia de Industria y Comercio (SIC) como autoridad de control — por ser el país de origen regulatorio del Servicio, sin perjuicio de la normativa de protección de datos que resulte igualmente aplicable en el país de domicilio de cada Cliente conforme a la cláusula 2A.

2A. Alcance territorial: Responsable domiciliado en el exterior y Clientes en múltiples países

Bitsideas LLC es una compañía constituida en Estados Unidos, sin domicilio en ningún país de Latinoamérica. El régimen de protección de datos personales de cada país donde Bitsideas ofrece el Servicio se aplica, en principio, respecto de los titulares ubicados en ese país, porque el tratamiento se realiza en el contexto de ofrecer bienes o servicios allí. En consecuencia:

• Respecto de titulares en Colombia (empresas Cliente colombianas y sus

trabajadores), Bitsideas asume las obligaciones de la Ley 1581 de 2012 y sus decretos reglamentarios en los mismos términos que si estuviera domiciliada en Colombia.

• Respecto de titulares en otros países donde Bitsideas tenga Clientes

activos, puede resultar igualmente aplicable la ley local de protección de datos personales (por ejemplo, la LFPDPPP en México, la Ley de Protección de Datos Personales en Perú, la Ley 19.628 en Chile, o la LGPD en Brasil, cada una con requisitos propios y distintos entre sí). Bitsideas evaluará y documentará esa aplicabilidad país por país a medida que incorpore Clientes en cada jurisdicción, y podrá complementar esta política con anexos locales cuando así se requiera.

Bitsideas designa como punto de contacto para todos estos efectos el correo indicado al inicio de esta política.

2. Roles: Responsable vs. Encargado del Tratamiento

Es importante distinguir dos roles distintos, que coexisten en la operación del Servicio:

• Bitsideas LLC actúa como Responsable del Tratamiento respecto de los datos

de las personas de contacto de la empresa cliente (nombre, correo, cargo, teléfono) recolectados durante el registro, la relación comercial y la facturación, así como respecto de los datos de navegación del sitio público de THOMAS.

• Bitsideas LLC actúa como Encargado del Tratamiento respecto de los datos

que cada empresa cliente ("el Cliente") ingresa sobre sus propios trabajadores, contratistas y terceros dentro del Servicio (observaciones de comportamiento, incidentes, matriz de riesgos, aptitud médica, licencias de conducción, documentación de contratistas, etc.). En este segundo caso, el Cliente es el Responsable de esos datos y determina las finalidades de su tratamiento; Bitsideas únicamente los procesa siguiendo las instrucciones del Cliente, plasmadas en el uso normal de las funcionalidades del Servicio, y en los términos del acuerdo de encargo de tratamiento constituido por esta política y los Términos y Condiciones.

En consecuencia, si usted es un trabajador o contratista de una empresa que usa THOMAS y tiene preguntas sobre sus propios datos, debe dirigirse en primer lugar a esa empresa (su empleador o contratante), y no directamente a Bitsideas — ver sección 6.

3. Datos que se recolectan

3.1. Datos de la cuenta y de facturación (Bitsideas como Responsable)

Nombre de la empresa, NIT, nombre, cargo, correo y teléfono del administrador de cuenta y demás Usuarios que el Cliente registre, historial de suscripción y pagos (el pago se hace en Bitsideas One, a través de Stripe, sin que Bitsideas almacene números completos de tarjeta; THOMAS no cobra ni recibe datos de tarjeta), dirección IP y registros técnicos de acceso con fines de seguridad y auditoría.

3.2. Datos operativos del SG-SST (Bitsideas como Encargado, por instrucción del Cliente)

Según los módulos que el Cliente use, esto puede incluir:

• Nombre, cédula, cargo, centro de trabajo y datos de contacto de los

trabajadores y contratistas del Cliente.

• Observaciones de comportamiento seguro/inseguro, con o sin identificación del

observador (el módulo permite reportes anónimos).

• Investigación de incidentes y accidentes de trabajo, incluyendo análisis de

causa raíz y planes de acción.

• Aptitud médica, categoría y vigencia de licencia de conducción (módulo de

Seguridad Vial).

• Documentación de cumplimiento de empresas contratistas cargada a través del

Portal de Autogestión de Contratistas: afiliación a ARL, planilla PILA, pólizas, matriz de EPP, certificados de inducción y competencias laborales.

• Evidencia fotográfica y documental asociada a observaciones, incidentes o

inspecciones.

• Inventario de sustancias químicas y hojas de seguridad (SDS), y registros de

disposición de residuos peligrosos (RESPEL), que pueden incluir datos de la persona que gestiona o certifica la disposición.

Algunos de estos datos —en particular los relacionados con salud y aptitud médica— son considerados datos sensibles bajo el artículo 5 de la Ley 1581 de 2012 y reciben protección reforzada: solo se tratan cuando son necesarios para la finalidad del SG-SST del Cliente, su tratamiento no está sujeto a la autorización de Bitsideas sino a la que el propio Cliente obtenga de sus trabajadores, y el Cliente es el único responsable de contar con dicha autorización antes de ingresarlos a la plataforma.

3.3. Datos del Portal de Autogestión de Contratistas

Cuando una empresa contratista del Cliente usa el Portal de Autogestión (acceso mediante enlace único, sin necesidad de crear cuenta — ver Términos y Condiciones, cláusula 3.4), los datos que allí se cargan son ingresados directamente por esa empresa contratista y se tratan bajo las mismas reglas de la sección 3.2: el Cliente que contrató a esa empresa es el Responsable de esos datos, y Bitsideas actúa como Encargado. El acceso a ese portal se protege mediante un token de posesión único y límites de tasa de solicitudes (rate limiting) para dificultar intentos de acceso no autorizado.

3.4. Datos de navegación del sitio público

Al visitar el sitio público de THOMAS (antes de iniciar sesión), se recolectan datos técnicos básicos de navegación (dirección IP, tipo de navegador, páginas visitadas) con fines de seguridad, prevención de abuso (límites de tasa de solicitudes) y analítica agregada del uso del sitio. Ver también la sección 10 sobre cookies.

4. Finalidades del tratamiento

• Prestar el Servicio contratado (gestión del SG-SST, generación de indicadores,

reportes regulatorios, notificaciones a supervisores y administradores).

• Procesar pagos y gestionar la suscripción y facturación.
• Enviar comunicaciones operativas: recordatorios de vencimiento de licencias o

documentos, notificaciones de incidentes o solicitudes pendientes de revisión, confirmaciones de pago y avisos de servicio.

• Prevenir el fraude, el abuso y los accesos no autorizados a la plataforma.
• Mejorar y dar soporte técnico al Servicio.
• Cumplir obligaciones legales y responder a requerimientos de autoridades

competentes.

5. Encargados de tratamiento subcontratados por Bitsideas

Para operar el Servicio, Bitsideas utiliza los siguientes proveedores, que actúan como encargados de tratamiento (sub-encargados) bajo instrucciones de Bitsideas y sujetos a obligaciones contractuales de confidencialidad y seguridad:

Todos los proveedores anteriores operan, en todo o en parte, fuera de Colombia. Adicionalmente, y de forma más relevante aún, el propio Bitsideas —como Responsable y Encargado del tratamiento— está domiciliado en Estados Unidos, de modo que la sola prestación del Servicio implica en la práctica una transferencia y transmisión internacional continua de los Datos del Cliente hacia Estados Unidos, en los términos del artículo 26 del Título 25 del Decreto 1074 de 2015. Bitsideas se asegura de que dicha transferencia cuente con una base legal válida — principalmente, la ejecución del contrato de prestación de servicios entre el Cliente y Bitsideas, que requiere necesariamente el tratamiento fuera de Colombia dada la naturaleza del Servicio — y aplica a los datos, con independencia del país donde se procesen, las mismas medidas de seguridad descritas en la cláusula 9. El Cliente, al aceptar los Términos y Condiciones y contratar el Servicio, autoriza expresamente esta transferencia y transmisión internacional como condición inherente a la naturaleza del Servicio contratado.

5A. Asistentes de inteligencia artificial que conecta el Cliente

En los planes Professional y Enterprise, un administrador de la empresa Cliente puede crear en THOMAS uno o varios servidores MCP (Model Context Protocol) y conectarlos a un asistente de inteligencia artificial que el Cliente haya elegido y contratado por su cuenta, como Claude (Anthropic, PBC), ChatGPT (OpenAI), Microsoft Copilot (Microsoft Corporation) o Gemini (Google LLC).

Cómo funciona y qué datos salen de THOMAS:

• Cada persona autoriza su propia conexión: entra con su cuenta de Bitsideas One

y acepta una pantalla de permisos. El asistente actúa con los permisos de esa persona y sólo recibe información de los módulos que el administrador habilitó en el servidor y que esa persona puede ver según su plan, su rol y los módulos que le asignó el Cliente.

• El asistente recibe la información que THOMAS le entrega en respuesta a lo que

la persona le pide, por ejemplo una lista de incidentes, el estado de los contratistas o los indicadores del tablero. Esa información puede contener datos personales de trabajadores, contratistas y conductores, como nombres, cargos y números de identificación. Los números de identificación se entregan enmascarados (sólo los cuatro últimos dígitos), salvo que el administrador desactive esa opción.

• Los datos de salud no se entregan a los asistentes: no hay acceso al

ausentismo; de un incidente no se entrega la persona afectada ni la incapacidad, y su relato se envía sin los nombres y números de identificación registrados; de un conductor no se entregan la aptitud médica, las restricciones ni el grupo sanguíneo.

• Un asistente sólo puede proponer registros nuevos o cambios (por ejemplo, una

observación, un incidente o una tarea) cuando el servidor y el rol de la persona lo permiten. Nada se guarda hasta que la persona lo confirma, y el registro queda marcado como hecho con un asistente de inteligencia artificial, con el nombre de quien lo confirmó. Un asistente nunca aprueba, borra ni modifica usuarios o roles.

• El administrador puede pausar o eliminar un servidor y quitar el acceso a

cualquier persona conectada en cualquier momento.

Quién responde por esos datos. Los proveedores de los asistentes no son encargados ni subencargados de Bitsideas: Bitsideas no los elige, no los contrata para esta función ni les da instrucciones. Es el Cliente quien decide conectarlos, y la entrega de información al asistente se hace por instrucción del Cliente, en su condición de Responsable del tratamiento. Lo que el proveedor del asistente haga con esa información —dónde la almacena, por cuánto tiempo y si la usa para entrenar sus modelos— se rige por el contrato y las condiciones entre el Cliente (o sus usuarios) y ese proveedor, que puede operar fuera de Colombia. Corresponde al Cliente verificar que cuenta con base legal para esa transmisión, informar de ella a los titulares cuando sea exigible, y elegir un servicio que ofrezca garantías adecuadas.

Lo que Bitsideas trata para prestar esta función: los datos de cada conexión (servidor, persona, asistente y fechas) y un registro de actividad que dice qué herramienta se usó, quién la usó y con qué resultado, sin guardar lo que se pidió ni lo que se respondió. Ese registro se conserva ciento ochenta (180) días. Las credenciales de acceso que se entregan al asistente se guardan como una huella criptográfica, nunca en claro.

6. Derechos de los titulares

Todo titular de datos personales tiene derecho a: conocer, actualizar y rectificar sus datos personales; solicitar prueba de la autorización otorgada para su tratamiento; ser informado sobre el uso dado a sus datos; presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la ley; revocar la autorización y/o solicitar la supresión del dato cuando no exista un deber legal o contractual que lo impida; y acceder de forma gratuita a sus datos personales.

Si usted es trabajador, contratista o tercero cuyos datos fueron ingresados por una empresa que usa THOMAS, la solicitud para ejercer estos derechos debe dirigirse en primer lugar a esa empresa (su empleador o contratante), quien es la Responsable de esos datos conforme a la sección 2. Bitsideas colaborará con el Cliente, en su calidad de Encargado, para atender la solicitud dentro de los plazos legales aplicables (quince días hábiles para consultas y quince días hábiles para reclamos, prorrogables conforme a la ley).

Si su solicitud se refiere a datos de los que Bitsideas es Responsable directo (sección 3.1: datos de cuenta, facturación o navegación), puede ejercer sus derechos escribiendo a [email protected].

7. Autorización

El tratamiento de datos personales por parte de Bitsideas se fundamenta en la autorización previa, expresa e informada del titular, obtenida:

• Directamente por Bitsideas, respecto de los datos de la sección 3.1, mediante

la aceptación de esta política durante el registro en el Servicio; y

• Por el Cliente, respecto de los datos de las secciones 3.2 y 3.3, como

Responsable de dichos datos frente a sus propios trabajadores y contratistas — el Cliente declara y garantiza a Bitsideas, en los Términos y Condiciones, que cuenta con dicha autorización antes de ingresar la información al Servicio, particularmente cuando se trate de datos sensibles conforme a la sección 3.2.

8. Tiempo de conservación

Los datos se conservarán mientras la relación contractual con el Cliente esté vigente y durante el tiempo adicional necesario para atender obligaciones legales, contables, fiscales o de defensa jurídica. En particular:

• Los Datos del Cliente se conservan durante la vigencia de la suscripción y hasta

treinta (30) días después de su terminación, plazo dentro del cual el Cliente puede solicitar su exportación (Términos y Condiciones, cláusula 11). Transcurrido ese plazo, se eliminan de los sistemas productivos, sin perjuicio de su permanencia temporal en copias de seguridad cifradas conforme a la política de rotación de backups de Bitsideas.

• Determinados registros del SG-SST pueden estar sujetos a plazos mínimos de

conservación propios de la normativa sectorial aplicable al Cliente (por ejemplo, los relacionados con historias clínicas ocupacionales bajo la Resolución 1995 de 1999 y normas que la modifiquen). El cumplimiento de esos plazos mínimos es responsabilidad del Cliente como Responsable de dichos datos; el Cliente debe exportar la información relevante antes de solicitar su eliminación si necesita conservarla por más tiempo del descrito en el párrafo anterior.

• Los datos de facturación se conservan por el término que exija la normativa

contable y tributaria colombiana.

9. Seguridad de la información

Bitsideas implementa medidas técnicas y organizativas razonables para proteger los datos personales tratados en el Servicio, entre ellas:

• Aislamiento de datos por empresa mediante Seguridad a Nivel de Fila (Row-Level

Security) en el motor de base de datos PostgreSQL, de forma que ningún Cliente puede acceder a los datos de otro.

• Cifrado en reposo del disco donde reside la base de datos (AES de 256 bits,

administrado por Microsoft Azure) y cifrado en tránsito mediante TLS/HTTPS entre el navegador y el servidor.

• Acceso exclusivamente a través de Bitsideas One (OpenID Connect), con segundo

factor obligatorio. THOMAS no almacena contraseñas. Sesiones firmadas criptográficamente.

• Registro de auditoría (audit trail) de las operaciones de modificación sobre

los datos, y rotación automatizada de copias de seguridad.

• Límites de tasa de solicitudes (rate limiting) sobre los puntos de acceso

públicos, incluyendo el Portal de Autogestión de Contratistas.

Ninguna medida de seguridad es infalible; ante cualquier incidente de seguridad que comprometa datos personales, Bitsideas lo comunicará a los Clientes afectados y, cuando corresponda conforme a la ley, a la SIC, sin dilación injustificada.

10. Cookies y tecnologías similares

El sitio de THOMAS utiliza cookies técnicas estrictamente necesarias para el funcionamiento del Servicio, en particular para mantener la sesión iniciada de los Usuarios autenticados. Estas cookies no se usan con fines publicitarios ni de seguimiento entre sitios. Si en el futuro se incorporan cookies analíticas o de terceros, esta política se actualizará para informar su finalidad y ofrecer al visitante la posibilidad de gestionarlas.

11. Registro Nacional de Bases de Datos (RNBD)

Conforme a la Ley 1581 de 2012 y al Decreto 90 de 2018, los Responsables del Tratamiento cuyas bases de datos superen los umbrales fijados por la SIC deben inscribirlas en el Registro Nacional de Bases de Datos (RNBD). Acción pendiente: verificar, antes de operar con datos reales, si Bitsideas LLC supera dichos umbrales a la fecha de publicación y, de ser así, completar el registro correspondiente ante la SIC. Esta es una determinación fáctica sobre el volumen de datos de Bitsideas que ningún texto contractual puede resolver por sí solo.

12. Menores de edad

El Servicio está dirigido exclusivamente a empresas y a las personas naturales mayores de edad que actúan en su representación o como sus trabajadores. THOMAS no está dirigido a menores de edad y no recolecta intencionalmente datos de menores; si el Cliente ingresara datos de un menor en el contexto de una relación laboral excepcionalmente permitida por la ley, dicho tratamiento queda sujeto a las garantías reforzadas del artículo 7 de la Ley 1581 de 2012, bajo responsabilidad del Cliente.

13. Cambios a esta política

Bitsideas podrá actualizar esta política para reflejar cambios normativos o en el Servicio. Los cambios sustanciales se notificarán a los administradores de cuenta por correo electrónico con al menos quince (15) días calendario de antelación a su entrada en vigor.

14. Autoridad de control y contacto

Los titulares pueden presentar quejas relacionadas con el tratamiento de sus datos personales ante la Superintendencia de Industria y Comercio (SIC), como autoridad de control en materia de protección de datos en Colombia, una vez agotado el trámite de consulta o reclamo directo ante el Responsable correspondiente (Bitsideas o el Cliente, según la sección 6). Para contactar a Bitsideas sobre temas de datos personales: [email protected].