Política de Privacidad y Tratamiento de Datos Personales de A&D INTEGRA

El responsable del tratamiento de los datos personales que se recogen a través de la plataforma A&D INTEGRA (en adelante, «la Plataforma») es A&D Soluciones Contables y Tributarias (en adelante, «A&D» o «la Firma»), firma de servicios contables, tributarios y administrativos con domicilio en Medellín, Colombia, que opera bajo el nombre comercial A&D Soluciones Contables, Tributarias y Administrativas.

Esta política aplica a todas las personas cuyos datos se tratan en la Plataforma: los usuarios que ingresan con una cuenta, los representantes y colaboradores de las empresas clientes de la Firma, los terceros (proveedores, clientes, empleados, contribuyentes) cuya información aparece en los documentos contables que la Plataforma procesa, y quienes diligencian el cuestionario público de renta.

Cuando la Firma procesa la información de una empresa cliente por encargo de esta y para llevar su contabilidad, actúa además como encargada del tratamiento en los términos de la Ley 1581 de 2012, y la empresa cliente conserva sus propias obligaciones como responsable frente a sus empleados, proveedores y clientes. En esa calidad, la Firma garantiza el ejercicio de los derechos de los titulares, conserva la información con las medidas de seguridad de esta política, aplica dentro de los cinco (5) días hábiles siguientes las actualizaciones, rectificaciones y supresiones que el cliente le reporte, tramita las consultas y reclamos que reciba, guarda confidencialidad y permite el acceso solo a personas autorizadas. El contrato de prestación de servicios con cada cliente incorpora ese encargo.

A&D INTEGRA es la aplicación web con la que la Firma lleva la contabilidad de sus clientes: importa las facturas electrónicas del reporte de la DIAN, liquida las retenciones (retefuente, ReteIVA y ReteICA), causa las compras y las ventas, liquida la nómina, concilia los bancos, emite documentos electrónicos ante la DIAN y produce los informes y estados financieros de cada empresa.

El acceso es restringido: no hay registro abierto al público. Las cuentas las crea la coordinación de la Firma para su propio equipo y para el personal autorizado de cada empresa cliente, y cada usuario entra con su correo y una contraseña propia. La Plataforma no usa la cuenta de Google para iniciar sesión: la conexión con Google se solicita únicamente para las funciones de Gmail que se describen más abajo, y solo cuando el usuario las activa.

Según la función que se use, la Plataforma puede tratar las siguientes categorías de datos:

Datos sensibles y de menores. Algunas novedades de nómina (por ejemplo, una incapacidad médica o una licencia de maternidad) y algunos datos del cuestionario de renta (por ejemplo, la identificación de hijos dependientes menores de edad, una condición de discapacidad de un dependiente o la constancia de una donación a un partido político) son datos sensibles o de menores de edad en los términos de los artículos 5 a 7 de la Ley 1581 de 2012. Se tratan únicamente porque la liquidación de la nómina, los aportes a la seguridad social y la declaración de renta lo exigen o lo permiten, y con acceso restringido a quien prepara esa nómina o esa declaración. Los datos sensibles de la nómina los entrega la empresa empleadora, que es la responsable de contar con la autorización explícita de sus trabajadores o con la habilitación legal del sistema de seguridad social; los del cuestionario de renta se piden al propio titular (o, para un menor, a su padre, madre o representante legal, respetando su interés superior) y son de respuesta facultativa: nadie está obligado a autorizar su tratamiento y ningún servicio se condiciona a su suministro.

A&D INTEGRA se conecta a Gmail mediante la plataforma de autenticación de Google (OAuth 2.0). La conexión es voluntaria, la autoriza el usuario en la ventana de Google y se solicita solo cuando el usuario pulsa una acción que la necesita. Estos son los permisos («alcances» o scopes) que la Plataforma pide, y exactamente lo que hace con cada uno:

Qué sí y qué no. Al leer el correo, la Plataforma consulta únicamente los mensajes que tienen adjuntos ZIP, PDF o XML en el período elegido y descarga esos adjuntos en el navegador del usuario. De cada mensaje toma solo los archivos adjuntos: no muestra, no analiza ni conserva el contenido de los correos (cuerpo, remitentes, destinatarios ni asuntos), no guarda la lista de mensajes, no modifica, archiva ni borra ningún correo, y no accede a contactos, calendario, Drive ni a ningún otro producto de Google. No solicita ningún otro permiso distinto de los dos anteriores. Antes de leer o enviar, verifica que la cuenta autorizada sea la que corresponde a la empresa o al usuario; si es otra, la operación se cancela.

Dónde se procesan los adjuntos. Los adjuntos se analizan en el navegador del usuario y, en algunas funciones, en el servidor de la Plataforma, que es donde se comprueba a qué documento corresponden. Los que no corresponden a ninguna factura ni comprobante de la empresa se descartan sin registrarse: si alguno llegó a cargarse antes de esa comprobación, no queda asociado a ningún documento ni es accesible desde la Plataforma.

Qué conservamos. De lo que se descarga de Gmail, la Plataforma conserva solo los archivos PDF y XML que corresponden a una factura o documento contable de la empresa, el código único del documento (CUFE o CUDE) que esos archivos contienen y, en el caso de los comprobantes diarios de venta, el PDF y las cifras que se leen de él (fecha, caja, rango de folios y totales). Esos archivos pasan a formar parte del expediente contable de la empresa y se usan en las funciones que se describen en la sección de Uso Limitado.

El token de acceso y la ventana de consentimiento. La ventana de consentimiento de Google aparece la primera vez que se autoriza cada cuenta (y de nuevo si el acceso se revoca); en adelante, mientras la autorización siga vigente y la sesión de Google esté abierta, Google renueva el acceso sin volver a preguntar. La credencial que Google entrega (el token de acceso) vive únicamente en el navegador del usuario: para no pedir el permiso en cada operación, el navegador la recuerda por cada cuenta, solo después de confirmar que la cuenta conectada es la registrada, hasta que caduca por sí sola (en aproximadamente una hora); se borra antes si el usuario cierra la sesión o si en ese navegador entra otro usuario. Nunca se envía a nuestros servidores ni se guarda en la base de datos.

Cuentas que se conectan. Para traer facturas y para enviar documentos de la empresa se conectan la cuenta o cuentas de Gmail que la empresa cliente registró en la Plataforma, autorizadas por su representante (incluido, si lo configuró, un correo de cartera para los comprobantes de pago). Para enviar la nómina o avisar una tarea se conecta la cuenta de Gmail del propio usuario que está trabajando, de modo que el envío quede en su carpeta de enviados. Las cuentas de cobro de la Firma a sus clientes se envían desde la cuenta de Gmail de la propia Firma. Cada cuenta se autoriza por separado en la ventana de Google.

En concreto, respecto de la información obtenida de Google, la Firma se compromete a:

• Usarla únicamente para las funciones contables de la Plataforma que el usuario ve y activa: traer los documentos y emparejarlos con las facturas de la empresa, clasificarlos y contabilizarlos, cumplir las obligaciones de la empresa ante la DIAN (como los acuses del RADIAN), producir sus informes y exportables, enviar sus documentos y responder las consultas del asistente de la Plataforma sobre esos registros. Nunca para otros fines.
• No transferirla a terceros, salvo que sea necesario para prestar esas mismas funciones (por ejemplo, almacenar el PDF de una factura en nuestro proveedor de base de datos), para cumplir una obligación legal, por razones de seguridad, o con la autorización expresa del usuario.
• No usarla para publicidad ni para perfilar a las personas con fines publicitarios.
• Que ninguna persona lea los correos ni los adjuntos que no correspondan a documentos de la empresa. Los archivos de factura o comprobante que el usuario decide traer al pulsar «Traer de Gmail» los consulta únicamente el personal contable autorizado para llevar la contabilidad de esa empresa: esa acción del usuario y el contrato de servicios constituyen su autorización expresa para que entren al expediente contable. Fuera de eso, una persona solo accede por razones de seguridad (por ejemplo, investigar un abuso), porque la ley lo exija, o a información agregada y anonimizada para operar el servicio.
• No usarla para desarrollar, mejorar ni entrenar modelos de inteligencia artificial ni de aprendizaje automático, propios ni de terceros, generales ni especializados.
• No venderla ni cederla a cambio de ninguna contraprestación.

Los datos personales se tratan con las siguientes finalidades:

• Prestar los servicios contables, tributarios y administrativos contratados por cada empresa cliente.
• Registrar, causar y contabilizar las operaciones de la empresa; liquidar las retenciones, los impuestos y la nómina; conciliar las cuentas bancarias; preparar y transmitir las declaraciones y los documentos electrónicos que exigen la DIAN y las demás autoridades.
• Emitir y enviar comprobantes, facturas, desprendibles y certificados a quienes corresponda.
• Administrar las cuentas de usuario, sus roles y permisos, y garantizar la seguridad de la Plataforma.
• Llevar el registro de auditoría de quién hizo cada cosa, como exige la práctica contable y el control interno.
• Responder, mediante el asistente de consulta de la Plataforma, las preguntas del usuario sobre la información contable a la que tiene acceso.
• Atender consultas, reclamos y solicitudes de los titulares, y cumplir las obligaciones legales de la Firma.

No tratamos los datos para publicidad, para venderlos ni para entrenar modelos de inteligencia artificial.

La información se almacena en la base de datos y el almacenamiento de archivos de Supabase (PostgreSQL y almacenamiento de objetos) y la aplicación se ejecuta en Vercel. El servicio de firma y transmisión de documentos electrónicos a la DIAN, desarrollado por la Firma, se ejecuta en Render. Los tres proveedores operan en centros de datos ubicados en los Estados Unidos (ver la sección sobre transmisión internacional).

Las medidas que aplicamos incluyen, entre otras:

• Cifrado de toda la información en tránsito (HTTPS/TLS) y cifrado en reposo provisto por nuestro proveedor de base de datos.
• Separación de la información contable por empresa: las reglas de seguridad a nivel de fila de la base de datos impiden que un usuario vea facturas, nómina, bancos o documentos de empresas a las que no pertenece, además de los permisos que la propia aplicación verifica en cada operación. El maestro de proveedores (identificación, contacto y datos bancarios de los terceros a quienes se les paga) es compartido entre las empresas que atiende la Firma, salvo que la empresa opte por una base propia.
• Roles y permisos por módulo, asignados por la coordinación de la Firma, con el principio de menor privilegio.
• Confirmación con la contraseña del propio usuario para la eliminación definitiva de registros y documentos contables.
• Registro de auditoría de las acciones relevantes, con usuario, fecha y hora.
• Acceso restringido al personal de la Firma que necesita la información para prestar el servicio, sujeto a deber de confidencialidad.
• El certificado de firma digital de cada empresa se guarda cifrado y solo se usa para firmar los documentos que la empresa ordena desde la Plataforma.
• Las claves de nuestros proveedores (base de datos, inteligencia artificial, firma) viven solo en el servidor; las credenciales de portales que una empresa registra se muestran únicamente a los usuarios autorizados de esa empresa.

Si ocurriera un incidente de seguridad que afecte datos personales, la Firma lo informará a la Superintendencia de Industria y Comercio (artículo 17, literal n, de la Ley 1581 de 2012) por los canales que esa entidad dispone, dentro de los quince (15) días hábiles siguientes a su detección, y comunicará lo pertinente a los clientes y titulares afectados. Todas las personas que intervienen en el tratamiento están obligadas a guardar reserva de la información, incluso después de terminada su relación con la Firma.

La Firma no vende datos personales, no los cede para publicidad y no los usa para entrenar modelos de inteligencia artificial. Solo comparte la información con los proveedores estrictamente necesarios para operar la Plataforma (encargados del tratamiento), con las autoridades cuando la ley lo exige, y con los destinatarios que el propio usuario elige al enviar un documento.

Con cada proveedor rigen sus propios acuerdos de tratamiento de datos, que fijan el alcance del encargo y les imponen obligaciones de seguridad, confidencialidad y uso de la información exclusivamente para prestar el servicio, compatibles con los principios de la Ley 1581 de 2012.

Supabase, Vercel, Render y Anthropic actúan como encargados del tratamiento por cuenta de la Firma y almacenan o procesan la información en servidores ubicados fuera de Colombia, principalmente en los Estados Unidos de América, país que la Superintendencia de Industria y Comercio reconoce con un nivel adecuado de protección de datos personales (Circular Única, Título V, Capítulo Tercero). Se trata, por tanto, de una transmisión internacional amparada en los acuerdos de tratamiento de datos de cada proveedor, que fijan el alcance del encargo (artículo 2.2.2.25.5.2 del Decreto 1074 de 2015) y los obligan a salvaguardar la seguridad de la información, a guardar confidencialidad y a no usarla para fines propios; por ello no requiere una autorización adicional del titular. El simple tránsito de los datos por redes internacionales no constituye transferencia.

Google LLC no es un encargado de la Firma: presta el servicio de correo a la empresa o al usuario titular de la cuenta y trata esos datos bajo sus propias condiciones; la Plataforma solo accede a lo que el usuario autoriza en la ventana de Google. La Firma no transfiere datos personales a terceros que actúen como responsables en el exterior.

Cumplidos esos plazos, la información se elimina o se anonimiza. Las bases de datos de la Plataforma permanecen vigentes mientras la Firma preste sus servicios y existan las obligaciones legales descritas.

Revocar el acceso de A&D INTEGRA a su cuenta de Google. Puede hacerlo en cualquier momento, sin intervención de la Firma, desde la configuración de seguridad de su cuenta de Google: https://myaccount.google.com/permissions. Allí verá a A&D INTEGRA entre las aplicaciones con acceso y podrá quitárselo. A partir de ese momento la Plataforma ya no podrá leer ni enviar correos con esa cuenta hasta que usted la vuelva a autorizar. La Plataforma no guarda el token en sus servidores: el que el navegador tenga recordado caduca por sí solo en aproximadamente una hora y se descarta en cuanto Google lo rechaza.

Pedir el borrado de los datos obtenidos de Google. Escríbanos a coordinacioncontabledlgg@gmail.com o por WhatsApp 317 005 90 68 indicando la cuenta de Google y la empresa. La Firma eliminará los documentos descargados de esa cuenta que no esté obligada a conservar por la normativa contable y tributaria, y le confirmará por el mismo medio lo eliminado y lo que deba conservarse, con el fundamento legal, dentro de los plazos de la sección sobre sus derechos. Los documentos que soportan la contabilidad ya registrada de una empresa se conservan por los plazos legales, pero dejan de estar asociados a su cuenta de Google.

Pedir el borrado de otros datos. El mismo procedimiento aplica a cualquier otro dato personal, con las limitaciones que impone el deber legal de conservar la información contable.

Como titular de datos personales, usted tiene derecho a:

• Conocer, actualizar y rectificar sus datos frente a la Firma, en especial los parciales, inexactos, incompletos, fraccionados o que induzcan a error.
• Solicitar prueba de la autorización otorgada, salvo cuando la ley no la exige.
• Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante la Firma.
• Revocar la autorización y solicitar la supresión de sus datos cuando el tratamiento no respete los principios, derechos y garantías legales, salvo que exista un deber legal o contractual de conservarlos.
• Acceder gratuitamente a sus datos personales que hayan sido objeto de tratamiento.

Cómo presentar una consulta o un reclamo. Escriba a coordinacioncontabledlgg@gmail.com o por WhatsApp 317 005 90 68 (se atienden en días hábiles, de lunes a viernes), indicando su nombre, su número de identificación, la descripción de la solicitud, los documentos que la soporten si los hay, y un medio para recibir la respuesta. Las solicitudes las atiende la coordinación contable de la Firma, que deja constancia de la fecha de recepción y del trámite. También puede presentarlas por el mismo medio por el que se recogió la información (por ejemplo, desde la Plataforma o desde el enlace de su cuestionario). Puede actuar por usted su representante legal, su apoderado o su causahabiente, acreditando esa calidad; los derechos de los menores de edad los ejercen quienes estén facultados para representarlos.

El acceso a sus datos es gratuito al menos una vez cada mes calendario y cada vez que esta política cambie de forma sustancial; para consultas más frecuentes la Firma solo podría cobrar los gastos de envío, reproducción o certificación, sin superar su costo.

Mientras el reclamo esté en trámite, dejaremos la constancia «reclamo en trámite» sobre el dato correspondiente dentro de los dos (2) días hábiles siguientes a su recepción, hasta que se decida. La supresión y la revocatoria no proceden cuando usted tenga un deber legal o contractual de permanecer en la base de datos, ni respecto de la información que la Firma o sus clientes deban conservar por las normas contables, tributarias, laborales o de seguridad social. Si vencido el plazo legal no hubiéramos eliminado los datos que debíamos eliminar, usted puede pedir a la Superintendencia de Industria y Comercio que lo ordene. La queja ante la Superintendencia procede una vez agotado el trámite de consulta o reclamo ante la Firma.

La autorización para el tratamiento se obtiene de forma previa, expresa e informada, según el caso:

• Para los representantes y el personal autorizado de cada empresa cliente, en el contrato de prestación de servicios que la empresa firma con la Firma, donde se informa esta política; para el equipo de la Firma, en su vínculo laboral o contractual. Al entregar una cuenta, la coordinación informa esta política, que además está enlazada en la pantalla de ingreso.
• En la pantalla de consentimiento de Google, cada vez que un usuario autoriza la conexión de una cuenta de Gmail.
• En los formularios de la Plataforma que recogen datos directamente del titular (por ejemplo, el cuestionario de renta), donde el titular los aporta de forma voluntaria para la finalidad que esta política describe.

La autorización puede constar por escrito, de forma oral o mediante conductas inequívocas (por ejemplo, al autorizar la conexión en la ventana de Google o al diligenciar y enviar un formulario); el silencio nunca se toma como autorización, y el solo uso de la Plataforma no equivale a autorizar un tratamiento que no esté descrito aquí. La Firma conserva prueba de la autorización por el medio en que la obtuvo (el contrato firmado, el registro del consentimiento en Google, el formulario enviado) y la facilita al titular que la solicite.

Los datos de proveedores, clientes y empleados que figuran en los documentos contables de una empresa los recibe la Firma de esa empresa, que es quien debe contar con la autorización de sus titulares o con la habilitación legal para entregarlos (por ejemplo, la obligación de llevar contabilidad y de reportar información a la DIAN). No se requiere autorización para los datos de naturaleza pública (como la calidad de comerciante o los que constan en registros públicos) ni para la información que exija una autoridad en ejercicio de sus funciones o una orden judicial.

La Plataforma usa únicamente cookies técnicas, necesarias para mantener la sesión del usuario y recordar el mes de trabajo seleccionado. No usa cookies de publicidad ni herramientas de analítica de terceros que rastreen al usuario entre sitios.

Además usa el almacenamiento local del navegador para preferencias (el tema claro u oscuro, el mes de la pestaña, el correo recordado si el usuario lo elige, el permiso de Gmail ya confirmado de cada cuenta hasta que caduca) y para conservar en el propio equipo el trabajo en curso: la conversación con el asistente de consulta mientras la pestaña esté abierta, el avance marcado en una ruta de trabajo o el borrador de un formulario que se esté editando. Esa información no se envía a terceros por ese medio.

En el cuestionario público de renta, que se diligencia sin cuenta, la Plataforma registra un código derivado de la dirección IP (no la dirección en sí) únicamente para limitar intentos abusivos.

La Firma se comunica con sus clientes y con los titulares únicamente por los canales que ellos han indicado. Las comunicaciones que la Plataforma genera son operativas (comprobantes, desprendibles, facturas, cuentas de cobro, avisos de tareas y respuestas a solicitudes): no se usan para publicidad. Si la Firma llegara a enviar comunicaciones comerciales o a gestionar el cobro de sus honorarios por mensajes, correo o llamadas, lo hará dentro de los horarios y con los límites de la Ley 2300 de 2023, y usted podrá pedir en cualquier momento que no se le envíen más comunicaciones comerciales escribiendo a coordinacioncontabledlgg@gmail.com.

Esta política rige desde el 13 de octubre de 2026 y reemplaza cualquier versión anterior. La Firma puede actualizarla cuando cambien la ley, los proveedores o las funciones de la Plataforma; la versión vigente estará siempre publicada en https://www.adsolucionescontables.com/privacidad con su fecha de actualización. Si un cambio afecta de forma sustancial la manera en que se tratan los datos de Google o los derechos de los titulares, lo informaremos a los usuarios por correo o dentro de la Plataforma antes de que entre en vigor; si el cambio se refiere a las finalidades del tratamiento, se pedirá una nueva autorización.

Registro Nacional de Bases de Datos. La obligación de inscribir las bases de datos en el Registro que administra la Superintendencia de Industria y Comercio recae sobre las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y sobre las personas jurídicas de naturaleza pública (artículo 2.2.2.26.1.2 del Decreto 1074 de 2015, modificado por el Decreto 090 de 2018). La Firma verifica cada año si se encuentra en esos supuestos y, de cumplirlos, inscribe y mantiene actualizadas sus bases de datos en los plazos legales. No estar obligada a la inscripción no la exime de los demás deberes de la Ley 1581 de 2012.

Marco legal: Ley Estatutaria 1581 de 2012, Decreto 1377 de 2013 (compilado en el Decreto Único 1074 de 2015), demás normas que las complementen, y la Política de Datos del Usuario de los Servicios de API de Google.