1.1. Objetivo de esta Política

El objetivo de la presente Política de Privacidad (en adelante, la "Política") es informar a nuestros clientes, usuarios, empleados, proveedores y demás titulares de datos sobre las prácticas del grupo de entidades de Alegra, incluídas todas las entidades subsidiarias y filiales directas e indirectas que están controladas o bajo el contrato común de Alegra Holdings S.A.S (en adelante “Alegra”), en relación con la recolección, uso, almacenamiento, tratamiento y protección de sus datos personales.

Alegra adopta el Reglamento (UE) 2016/679, conocido como Reglamento General de Protección de Datos (RGPD), como estándar para sus operaciones globales, sin perjuicio del cumplimiento estricto de la normativa local aplicable en cada jurisdicción.

Esta Política cubre expresamente el uso de tecnologías de inteligencia artificial (IA) en los servicios de Alegra, incluyendo: (i) asistentes y modelos de lenguaje de terceros conectados mediante el Protocolo de Contexto de Modelo (MCP – Model Context Protocol), que permite a los usuarios consultar y operar la plataforma Alegra desde asistentes de IA como ChatGPT (OpenAI) y Claude (Anthropic); (ii) agentes y bots de IA para atención y soporte al cliente; y (iii) el análisis automatizado de comunicaciones y grabaciones con fines de calidad. El tratamiento de datos personales asociado a estas tecnologías se realiza conforme a las finalidades y bases de legitimación descritas en la Sección 3 y a las garantías de transferencia internacional de la Sección 5.

Asimismo, esta Política cubre la conexión opcional de la cuenta de correo electrónico del usuario con Alegra —incluida la conexión con Gmail a través de las APIs de Google— para confirmar automáticamente los pagos recibidos por transferencia bancaria. Los datos que se tratan con esa finalidad, su base de legitimación y las garantías aplicables, incluidos los requisitos de Uso Limitado (Limited Use) de Google, se describen en la Sección 6.

1.2. Identidad y datos de contacto del Responsable del Tratamiento

El Responsable del Tratamiento de sus datos personales es la entidad del grupo Alegra que es parte de la relación contractual o de servicio establecida con usted.

La identidad de esta entidad se especifica claramente en los documentos que formalizan o soportan dicha relación, tales como los Términos y Condiciones del Servicio, el contrato de trabajo, el contrato de prestación de servicios, o cualquier otro documento aplicable. En el caso que no se identifique, se tendrá como Responsable nuestra empresa matriz, que a continuación se identifica:

La identificación completa del Responsable del Tratamiento:

Alegra Holdings S.A.S.
NIT: 901.712.596-1
Dirección: Calle 17 # 43 F - 287, Medellín - Colombia

Nota de Transversalidad: Los datos podrán ser tratados de forma transversal por las entidades vinculadas, filiales o subsidiarias del Grupo Alegra, quienes actúan bajo estándares de seguridad unificados para cumplir con las finalidades descritas en esta Política.

Para cualquier consulta general sobre privacidad o para contactar al equipo global de protección de datos, puede utilizar los siguientes canales centralizados:

• Correo Electrónico: soporte@alegra.com
• Sitio Web Corporativo: www.alegra.com

Como regla general:

a) Para Clientes de la plataforma: El Responsable del Tratamiento es la entidad de Alegra identificada como proveedor del servicio, es decir, la identificada en la facturación del servicio.

b) Para Empleados, Contratistas y Candidatos: El Responsable del Tratamiento es la entidad de Alegra que figura como su empleador, reclutador o contratante en su respectivo contrato o proceso de selección. En su defecto, o para efectos de gestión global, actuará como Responsable Matriz Alegra Holdings S.A.S.

c) Para Proveedores y Aliados: El Responsable del Tratamiento es la entidad de Alegra con la que se ha suscrito el acuerdo comercial.

En caso de que no exista una relación contractual formalizada o para el tratamiento de datos recolectados a través de nuestro sitio web con fines informativos, el Responsable del Tratamiento será la sociedad matriz del grupo, indicada previamente.

Sin perjuicio de lo anterior, para la gestión de procesos centralizados, el desarrollo de estrategias globales y la administración de la plataforma tecnológica, las distintas entidades del grupo Alegra podrán actuar como corresponsables del tratamiento, garantizando siempre el cumplimiento de los principios establecidos en esta Política.

1.4. Definición de roles: Alegra como Responsable y Encargado del Tratamiento

Para efectos de la presente Política, Alegra actúa en una doble capacidad:

• Como Responsable del Tratamiento: Alegra determina los fines y los medios del tratamiento de los datos personales que recolecta directamente de sus clientes para la gestión contractual y facturación, de sus empleados para la relación laboral, y de sus proveedores para la gestión comercial, entre otros.
• Como Encargado del Tratamiento: cuando los usuarios de la plataforma procesan datos personales de terceros (por ejemplo, datos incluidos en facturas, informes contables o nóminas). En esos casos, el cliente es el Responsable del Tratamiento, y Alegra actúa conforme a sus instrucciones, los Términos del Servicio y el Acuerdo de Procesamiento de Datos (DPA) vigente. Alegra no utiliza dicha información para fines propios y garantiza su confidencialidad, seguridad e integridad durante la prestación del servicio.

*Los usuarios de Alegra tendrán a su disposición el Acuerdo de Procesamiento de los Datos (DPA), respecto a los datos personales que procesen a través de su cuenta/plataforma de Alegra, y lo podrán solicitar al correo electrónico soporte@alegra.com

Al finalizar la relación contractual, Alegra permitirá al cliente la descarga o respaldo seguro de sus datos y conservará la información durante un periodo post-contrato limitado, exclusivamente para facilitar dicha transferencia o atender requerimientos legales. Transcurrido ese plazo, los datos serán eliminados o anonimizados conforme a los procedimientos internos de seguridad y a la normativa aplicable

3.1. Clientes y Usuarios de la Plataforma

3.2. Empleados, Ex-empleados, Contratistas y Candidatos a Vacantes

3.3. Proveedores, Aliados y Partners

3.4. Tratamiento de Categorías Especiales de Datos (Datos Sensibles)

Se consideran "categorías especiales de datos" aquellos que, por su naturaleza, son particularmente sensibles y requieren una protección específica. Estos incluyen datos personales que revelen:

• Origen racial o étnico.
• Opiniones políticas.
• Convicciones religiosas o filosóficas.
• Afiliación sindical.
• Datos genéticos o datos biométricos dirigidos a identificar de manera unívoca a una persona.
• Datos relativos a la salud.
• Datos relativos a la vida sexual o la orientación sexual de una persona.

Como principio general, Alegra no realiza el tratamiento de categorías especiales de datos. No recolectamos activamente esta información de nuestros clientes, usuarios, aliados o proveedores, a través de nuestras plataformas o formularios y su tratamiento está restringido al máximo en todas nuestras operaciones.

Excepciones Legítimas para el Tratamiento: Alegra solo tratará este tipo de datos cuando sea estrictamente indispensable y se cumpla una de las condiciones de excepción establecidas en el artículo 9.2 del RGPD. Nuestra práctica actual se enmarca en las siguientes excepciones:

a) Para el Cumplimiento de Obligaciones Legales en el Ámbito Laboral: El principal tratamiento de datos sensibles en Alegra se produce en el contexto de la relación con nuestros empleados y contratistas. Tratamos datos relativos a la salud con la única finalidad de cumplir con nuestras obligaciones legales como empleador en materia de derecho laboral y de la seguridad y protección social.

b) Con el Consentimiento Explícito del Titular: En circunstancias excepcionales y para una finalidad muy específica que no pueda ampararse en otra base legal, Alegra podría tratar datos sensibles solicitando el consentimiento explícito del titular.

Independientemente de la excepción que aplique, cualquier tratamiento de categorías especiales de datos se realiza aplicando medidas de seguridad, garantizando un acceso restringido y la máxima confidencialidad.

4.1. Derecho de Acceso

Usted tiene derecho a obtener confirmación de si en Alegra se están tratando o no datos personales que le conciernen y, en tal caso, derecho a acceder a dichos datos y a obtener información sobre los fines del tratamiento.

4.2. Derecho de Rectificación

Usted tiene derecho a solicitar la rectificación de los datos personales inexactos que le concierne.

4.3. Derecho de Supresión ("Derecho al Olvido")

Puede solicitar la eliminación de sus datos, entre otros motivos, cuando ya no sean necesarios para los fines para los que fueron recolectados,

Alegra podrá conservar cierta información cuando exista una obligación legal o un motivo legítimo para ello.

4.4. Derecho a la Limitación del Tratamiento

El titular podrá solicitar la limitación del tratamiento de sus datos personales cuando desee que Alegra conserve sus datos, pero que no los utilice temporalmente para otras finalidades distintas a su almacenamiento.

El titular podrá ejercer este derecho en los siguientes casos:

1. Cuando impugne la exactitud de sus datos, mientras Alegra verifica su actualización o corrección.
2. Cuando el tratamiento sea presuntamente ilícito, y el titular prefiera que sus datos no se eliminen, sino que se limite su uso.
3. Cuando Alegra ya no necesite los datos para las finalidades iniciales, pero el titular los requiera para la formulación, ejercicio o defensa de reclamaciones.
4. Cuando el titular se haya opuesto al tratamiento, mientras Alegra evalúa si sus motivos legítimos prevalecen sobre los del titular

4.5. Derecho a la Portabilidad de los Datos

El titular tiene derecho según la legislación aplicable en cada caso a solicitar y recibir los datos personales que haya proporcionado a Alegra, en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable cuando lo desee.

El derecho a la portabilidad aplica únicamente cuando:

1. El tratamiento se base en el consentimiento del titular o en la ejecución de un contrato.
2. O el tratamiento se realiza por medios automatizados, es decir, a través de sistemas o herramientas tecnológicas.

4.6. Derecho de Oposición

Puede oponerse al tratamiento de sus datos cuando esté basado en el interés legítimo de Alegra. Alegra dejará de tratar los datos salvo que existan motivos legítimos imperiosos o que el tratamiento sea necesario para la formulación, ejercicio o defensa de reclamaciones.

4.7. Derechos relativos a Decisiones Individuales Automatizadas

Uso de Inteligencia Artificial

Las funcionalidades de inteligencia artificial de Alegra tienen carácter asistencial y no producen efectos jurídicos ni afectan significativamente a los titulares sin intervención humana, por lo que no constituyen decisiones automatizadas en los términos de la normativa de protección de datos aplicable.

Integración con asistentes de IA de terceros (MCP). Cuando el usuario conecta la plataforma Alegra con un asistente de IA de terceros (por ejemplo, ChatGPT o Claude) mediante el Protocolo de Contexto de Modelo (MCP), dicha integración: (i) se activa únicamente mediante una acción afirmativa y explícita del usuario (opt-in); (ii) permite al usuario controlar qué asistente conecta y qué alcance de datos autoriza; (iii) puede revocarse en cualquier momento desde la configuración de su cuenta o escribiendo a soporte@alegra.com, sin que dicha revocación afecte la licitud del tratamiento previo; y (iv) transmite los datos al proveedor del asistente exclusivamente durante la sesión activa y bajo instrucciones del usuario y/o de Alegra. Los proveedores de dichos asistentes actúan como Encargados del Tratamiento y no utilizan la información transmitida para entrenar sus modelos.

Atención mediante bots de soporte. Alegra podrá atender consultas mediante bots o asistentes de soporte basados en IA. El titular podrá solicitar en cualquier momento la intervención o el escalamiento a un agente humano. El proveedor de la herramienta de soporte actúa como Encargado del Tratamiento de Alegra y no utiliza la información de las conversaciones para entrenar sus modelos.

Grabación y análisis de sesiones. Cuando una sesión de atención se graba y su transcripción se analiza mediante herramientas de IA con fines de calidad, dicho tratamiento se realiza únicamente previa autorización expresa e informada del titular, solicitada al inicio de la sesión. El titular será informado de que la sesión será grabada y analizada, de la finalidad del análisis y de que la información no se utiliza para entrenar sistemas de IA. La negativa del titular a ser grabado no condicionará la prestación del servicio. Las grabaciones y transcripciones se conservan por el tiempo estrictamente necesario para la finalidad de calidad y con accesos restringidos.

4.8. Procedimiento para el Ejercicio de los Derechos

Para ejercer cualquiera de los derechos descritos anteriormente, usted puede comunicarse al siguiente canal:

Correo electrónico: soporte@alegra.com

Su solicitud debe incluir:

• nombre y datos de contacto,
• una descripción clara del derecho que desea ejercer, y
• un documento o medio que permita verificar su identidad, cuando ello sea necesario.

Alegra responderá dentro de un plazo máximo de cinco (5) días hábiles, sin perjuicio de los plazos previstos por la normativa aplicable en cada país. En casos complejos, Alegra podrá extender el plazo, informándole oportunamente.

4.9. Delegado de Protección de Datos (DPO)

En cumplimiento del RGPD, Alegra ha designado un Delegado de Protección de Datos (DPO), responsable de supervisar el cumplimiento de la normativa, asesorar internamente y atender consultas de titulares y autoridades de control.

Puede contactar al DPO a través del correo: soporte@alegra.com

5.1. Transferencias Internacionales de Datos Personales

Alegra opera a nivel internacional, por lo que sus datos personales pueden ser transferidos y almacenados en países distintos a aquel desde el cual usted accede a nuestra plataforma. Estas transferencias se realizan únicamente cuando son necesarias para prestar nuestros servicios, operar nuestra infraestructura tecnológica, habilitar integraciones solicitadas por el usuario o cumplir obligaciones legales aplicables.

Alegra garantiza que cualquier transferencia internacional se realiza bajo medidas adecuadas de protección, que aseguran un nivel de seguridad y confidencialidad equivalente al exigido en la normativa aplicable. Todas las transferencias se gestionan conforme al Reglamento General de Protección de Datos (cuando aplica) y a las leyes locales de protección de datos de los países donde opera Alegra.

En particular, cuando el usuario activa una integración con asistentes de IA de terceros vía MCP, o cuando Alegra emplea proveedores de IA como Encargados, los datos pueden transferirse a los Estados Unidos u otros terceros países. Dichas transferencias se amparan en las Cláusulas Contractuales Tipo (CCT) adoptadas por la Comisión Europea (Módulos 2 y 3) y, cuando aplica, en la Adenda del Reino Unido, incorporadas en los Acuerdos de Procesamiento de Datos (DPA) que Alegra suscribirá y mantendrá vigentes con cada proveedor —entre ellos OpenAI (OpenAI Ireland Limited / OpenAI OpCo, LLC) y Anthropic (Anthropic Ireland, Limited / Anthropic PBC)—, complementadas con las medidas técnicas y organizativas adecuadas. En Colombia, estas transmisiones a Encargados se realizan conforme al artículo 25 del Decreto 1377 de 2013, sin requerir autorización previa de la Superintendencia de Industria y Comercio, para lo cual Alegra mantendrá vigente un contrato de transmisión de datos con cada proveedor. Cuando la integración vía MCP la activa el usuario desde su propia cuenta de un asistente de IA, las transferencias internacionales derivadas del uso de dicho asistente se rigen por las garantías y los mecanismos de transferencia que el proveedor de IA tiene establecidos con el usuario, y no por un contrato de transmisión propio de Alegra.

5.3. Integraciones con Asistentes de IA de Terceros mediante MCP (ChatGPT, Claude y marketplaces oficiales)

Alegra pone a disposición de sus usuarios un servidor MCP (Model Context Protocol) que permite conectar la plataforma Alegra con asistentes de inteligencia artificial de terceros —incluidos, entre otros, ChatGPT de OpenAI y Claude de Anthropic— y utilizarlo a través de sus respectivos marketplaces oficiales de aplicaciones y conectores. Mediante esta integración, el usuario puede formular preguntas y ejecutar acciones sobre su información de Alegra desde dichos asistentes.

Modelo de integración y rol de Alegra. El rol de Alegra depende de cómo se realice técnicamente la conexión: (a) cuando el asistente de IA del usuario consulta el servidor MCP de Alegra de forma directa —el usuario conecta la integración desde su propia cuenta de ChatGPT o Claude—, Alegra pone la información de la cuenta del usuario a disposición de dicho asistente por instrucción del usuario, y el tratamiento posterior que realice el proveedor de IA se rige por los términos de servicio y la política de privacidad que ese proveedor mantiene directamente con el usuario; en este supuesto Alegra no actúa como quien transmite datos a un Encargado propio. (b) Cuando la funcionalidad opera a través de la infraestructura de Alegra y es Alegra quien remite los datos a un proveedor de IA para prestar el servicio, dicho proveedor actúa como Encargado del Tratamiento de Alegra y su tratamiento se ampararía en los términos comerciales y el Acuerdo de Procesamiento de Datos (DPA) —que incorpora Cláusulas Contractuales Tipo (CCT)— de cada proveedor, que Alegra suscribirá y mantendrá vigente para esos flujos. En ambos casos, Alegra aplica el principio de minimización y solo pone a disposición los datos estrictamente necesarios para atender la solicitud del usuario.

Base de legitimación y consentimiento. La integración se activa exclusivamente mediante una acción afirmativa y explícita del usuario (opt-in). El usuario decide qué asistente conecta, qué alcance de datos autoriza y durante cuánto tiempo, y puede desconectar la integración o revocar el acceso en cualquier momento desde la configuración de su cuenta o escribiendo a soporte@alegra.com. La revocación no afecta la licitud del tratamiento realizado con anterioridad.

Datos tratados y roles. A través del MCP solo se transmiten los datos estrictamente necesarios para atender la solicitud del usuario (por ejemplo, datos de identificación y de la cuenta, e información de negocio como facturas, contactos, reportes o saldos que el usuario decida exponer), junto con las instrucciones y respuestas generadas durante la sesión. Respecto de estos datos, Alegra actúa como Responsable del Tratamiento y el proveedor del asistente de IA actúa como Encargado, tratándolos únicamente bajo instrucciones y durante la sesión activa de la integración. Cuando la información expuesta incluya datos de terceros ingresados por el cliente-empresa (por ejemplo, datos de sus propios clientes o proveedores contenidos en facturas), el cliente-empresa actúa como Responsable de dichos datos y Alegra como Encargado, conforme a la Sección 1.4 y al DPA disponible para los usuarios.

Garantías. Los proveedores de asistentes de IA de terceros: (i) no utilizan los datos transmitidos para entrenar sus modelos; (ii) cuando Alegra los emplee como sus Encargados, tratarían los datos bajo un Acuerdo de Procesamiento de Datos (DPA) que incorpora Cláusulas Contractuales Tipo (CCT) para las transferencias internacionales, que Alegra suscribirá y mantendrá vigente; y (iii) están sujetos a obligaciones de confidencialidad y seguridad. Las entidades contratantes son OpenAI Ireland Limited (EEE/Suiza) u OpenAI OpCo, LLC (resto del mundo) para ChatGPT, y Anthropic Ireland, Limited (EEE/Suiza/Reino Unido) o Anthropic PBC (resto del mundo) para Claude. Alegra aplica el principio de minimización, de modo que a través del MCP no se expone información sensible ni datos que excedan la finalidad autorizada por el usuario. Las condiciones anteriores relativas al DPA y a las CCT aplican cuando Alegra emplea al proveedor de IA como su Encargado (modelo (b) de esta Sección); cuando el usuario conecta el asistente desde su propia cuenta (modelo (a)), dichas garantías provienen del acuerdo que el usuario mantiene directamente con el proveedor de IA.

6.1. Datos de Google a los que accedemos

Alegra accede a la cuenta de Gmail solo con la autorización que el usuario otorga en la pantalla de consentimiento de Google (OAuth 2.0), mediante el permiso otorgado por el usuario.

Con ese permiso, Alegra trata únicamente:

• El remitente, el asunto, la fecha y el contenido de los correos identificados como notificaciones bancarias de pagos o transferencias recibidas; y
• Los datos de la transacción extraídos de esos correos: monto, fecha, entidad financiera y nombre de quien realiza el pago.

Alegra no lee, almacena ni usa correos personales u otros correos distintos de las notificaciones bancarias, ni contactos, archivos adjuntos u otros datos de la cuenta de Google del usuario.

6.2. Cómo usamos los datos

Usamos estos datos exclusivamente para identificar las notificaciones bancarias y confirmar automáticamente en Alegra POS que un pago por transferencia fue recibido, sin que el usuario tenga que verificarlo manualmente. La identificación y extracción se realizan de forma automatizada

6.3. Con quién compartimos los datos

Alegra no vende los datos obtenidos de las APIs de Google. Solo los comparte:

• con proveedores que prestan a Alegra servicios de infraestructura o procesamiento necesarios para operar esta funcionalidad, que actúan como Encargados del Tratamiento bajo contrato y no pueden usarlos para fines propios;
• cuando lo exija la ley o una autoridad competente;
• cuando sea necesario para la seguridad de la plataforma o para prevenir fraude o abuso; y
• como parte de una fusión, adquisición o venta de activos de Alegra, previo consentimiento expreso del usuario.

6.4. Cómo protegemos los datos

Los datos se transmiten y almacenan cifrados. El acceso está restringido a los sistemas y al personal estrictamente necesarios, y se aplican los controles del Sistema de Gestión de Seguridad de la Información de Alegra.

6.5. Conservación y eliminación

Los datos de la transacción extraídos se conservan mientras sean necesarios para confirmar el pago y dejar registro de la conciliación por treinta (30) días. El contenido de los correos "se elimina una vez extraídos los datos de la transacción".

Cuando el usuario desconecta la integración, Alegra revoca el acceso a su cuenta de Gmail y elimina los datos obtenidos de las APIs de Google en un plazo de treinta (30) días, salvo los que la ley obligue a conservar. El usuario también puede solicitar la eliminación escribiendo a soporte@alegra.com.

6.6. Cómo revocar el acceso

El usuario puede desconectar la integración en cualquier momento desde la configuración de su cuenta de Alegra o desde https://myaccount.google.com/permissions. La revocación no afecta la licitud del tratamiento realizado antes.

6.7. Cumplimiento de la Política de Datos de Usuario de Google (Uso Limitado)

Alegra's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

El uso y la transferencia a cualquier otra aplicación de la información recibida de las APIs de Google se ajustarán a la Política de Datos de Usuario de los Servicios de la API de Google, incluidos los requisitos de Uso Limitado. En consecuencia, Alegra:

• usa los datos solo para prestar o mejorar la funcionalidad de confirmación de pagos, visible para el usuario en la aplicación;
• no los transfiere a terceros, salvo en los casos de la sección 6.3;
• no los usa ni transfiere para publicidad, incluida la publicidad personalizada, el retargeting o la publicidad basada en intereses;
• no los usa ni transfiere para evaluar la solvencia crediticia del usuario ni con fines de otorgamiento de créditos;
• no los usa ni transfiere para desarrollar, mejorar o entrenar modelos generalizados de inteligencia artificial o aprendizaje automático; y
• no permite que personas lean estos datos, salvo con el consentimiento expreso del usuario para mensajes específicos, cuando sea necesario por seguridad (incluida la investigación de abusos), para cumplir la ley aplicable, o cuando los datos estén agregados y anonimizados para operaciones internas.