Política de Privacidad

Grovity Services LLC ("Grovity", "nosotros" o "nuestro") se compromete a proteger la privacidad de las personas que visitan nuestros sitios web ("Visitantes"), de las personas y entidades que se registran para usar nuestros servicios ("Clientes"), de las personas naturales cuyos datos son tratados por nuestros Clientes a través de la plataforma Grovity ("Titulares") y de las personas que asisten a nuestros eventos ("Asistentes"). Esta Política de Privacidad describe las prácticas de privacidad de Grovity para nuestros sitios web y para los servicios y aplicaciones relacionados que ofrece Grovity (conjuntamente, el "Servicio").

Las preguntas o quejas sobre esta Política de Privacidad pueden enviarse a nuestro Oficial de Protección de Datos (DPO) a privacy@grovity.ai.

Esta Política de Privacidad cubre los sitios web y servicios que enlazan a ella, incluidos https://www.grovity.ai, https://app.grovity.ai, https://api.grovity.ai y los subdominios, aplicaciones, API y canales asociados operados por Grovity.

Nuestros sitios web pueden contener enlaces a sitios web de terceros. Grovity no es responsable de las prácticas ni del contenido de dichos sitios web.

Grovity recibe y almacena la información que usted proporciona cuando solicita información sobre el Servicio, se registra en él, asiste a nuestros eventos o interactúa con nuestros canales. Esta puede incluir:

• Información de contacto: nombre, dirección de correo electrónico, número de teléfono y dirección postal.
• Información profesional: empresa, cargo y, cuando sea necesario para la contratación, número de identificación tributaria.
• Información de la cuenta: nombre de usuario, contraseña (almacenada como hash) y preferencias.
• Información de facturación: contacto y dirección de facturación. Los medios de pago son procesados por proveedores de pago certificados; Grovity no almacena números de tarjeta completos.
• Contenido cargado en el Servicio: texto, archivos, audio, imágenes, listas de contactos, bases de conocimiento y cualquier otro dato que el Cliente decida tratar a través de la plataforma.
• Comunicaciones con los equipos de soporte, ventas o comerciales de Grovity.

Cuando usted visita nuestros sitios web o usa el Servicio, Grovity puede recolectar automáticamente:

• Datos técnicos: dirección IP, identificadores del dispositivo, tipo de navegador, sistema operativo e idioma.
• Datos de uso: páginas visitadas, funcionalidades utilizadas, marcas de tiempo, URL de referencia y rutas de clics.
• Cookies y tecnologías similares (ver la Sección 5).

Grovity utiliza proveedores de analítica (como Google Analytics) para entender cómo se usan nuestros sitios web y mejorarlos. Las tecnologías de analítica y marketing no esenciales solo se activan después de que usted las acepte mediante el banner de cookies, cuando la ley así lo exija. Grovity no vende información personal.

Grovity utiliza:

• Cookies esenciales, necesarias para el funcionamiento del sitio web y del Servicio (por ejemplo, cookies de sesión y de seguridad). Estas no pueden desactivarse.
• Cookies de analítica, para medir el tráfico y el rendimiento del sitio web. Estas son opcionales.
• Cookies de marketing, para medir la efectividad de nuestras campañas. Estas son opcionales.

Usted puede aceptar, rechazar o configurar las cookies opcionales mediante el banner de cookies que se muestra en su primera visita, y cambiar su elección en cualquier momento mediante el enlace "Configuración de cookies" en el pie de página de nuestro sitio web. También puede gestionar las cookies mediante la configuración de su navegador. Las cookies establecidas por proveedores terceros se rigen por las políticas de privacidad de dichos proveedores.

Grovity Services LLC 600 Campana Ave, Miami, FL 33156, Estados Unidos Oficial de Protección de Datos: privacy@grovity.ai Sitio web: https://www.grovity.ai

Grovity se compromete a proteger la información personal de sus Clientes, empleados, proveedores, Visitantes y Titulares de conformidad con las leyes de protección de datos aplicables en cada país donde opera.

Esta Política de Privacidad (la "Política") explica las categorías de datos recolectados, las finalidades del Tratamiento, los derechos de los Titulares y la forma de ejercerlos. Grovity trata los Datos Personales de conformidad con los principios de licitud, lealtad, transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación, integridad y confidencialidad establecidos en el Reglamento (UE) 2016/679 (RGPD), la California Consumer Privacy Act, modificada por la CPRA (CCPA) (Ley de Privacidad del Consumidor de California), la Ley 1581 de 2012 y el Decreto 1377 de 2013 de Colombia, la Ley General de Protección de Datos Personales de Brasil (LGPD (Lei Geral de Proteção de Dados), Ley 13.709/2018) y las demás leyes enumeradas en los anexos de esta Política.

• Autorización o Consentimiento: el consentimiento previo, expreso e informado del Titular para el Tratamiento de sus Datos Personales.
• Base de Datos: conjunto organizado de Datos Personales que sea objeto de Tratamiento.
• Datos Personales: cualquier información vinculada a una persona natural identificada o identificable.
• Datos Sensibles: aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como los que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas, la pertenencia a sindicatos, la salud, la vida sexual o los datos biométricos.
• Datos de Salud: Datos Personales relativos a la salud física o mental de una persona, incluida la prestación de servicios de atención en salud.
• Responsable del Tratamiento: la persona que, por sí misma o en asocio con otros, decide sobre las finalidades y los medios del Tratamiento.
• Encargado del Tratamiento: la persona que realiza el Tratamiento de Datos Personales por cuenta del Responsable del Tratamiento.
• Subencargado (subprocesador): un tercero contratado por Grovity para tratar Datos Personales por cuenta de un Cliente.
• Tratamiento: cualquier operación realizada sobre Datos Personales, tal como la recolección, el registro, el almacenamiento, el uso, la circulación o la supresión.
• Transmisión: la comunicación de Datos Personales por un Responsable del Tratamiento a un Encargado del Tratamiento, dentro o fuera del país, para que este realice el Tratamiento por cuenta del Responsable.
• Transferencia: el envío de Datos Personales a un receptor que actúa como Responsable del Tratamiento, dentro o fuera del país.

Grovity aplica los siguientes principios al Tratamiento de Datos Personales: legalidad; finalidad; libertad y consentimiento; veracidad y calidad; transparencia; acceso y circulación restringida; seguridad; confidencialidad; y responsabilidad demostrada. Grovity aplica medidas de seguridad técnicas, humanas y administrativas diseñadas con referencia a los Trust Services Criteria de SOC 2 y a la norma ISO/IEC 27001, descritas en la Descripción de la Seguridad de los Servicios.

Grovity actúa como Responsable del Tratamiento respecto de los Datos Personales de Visitantes, Asistentes, prospectos, personas de contacto y usuarios de cuenta de los Clientes, proveedores, candidatos y empleados. En tal calidad, Grovity:

• Garantizará a los Titulares el pleno y efectivo ejercicio de sus derechos.
• Obtendrá y conservará prueba de la autorización otorgada por el Titular, cuando esta sea requerida.
• Informará al Titular sobre la finalidad de la recolección y sobre sus derechos.
• Conservará la información bajo condiciones de seguridad que impidan su adulteración, pérdida o acceso no autorizado.
• Tramitará las consultas y reclamos dentro de los términos establecidos en esta Política.
• Mantendrá procedimientos internos para la atención de las solicitudes de los Titulares.
• Notificará a la autoridad de protección de datos competente los incidentes de seguridad, según lo exija la ley.

Cuando un Cliente usa el Servicio para interactuar con sus propios clientes, prospectos, pacientes u otras personas, el Cliente es el Responsable del Tratamiento y Grovity actúa como Encargado del Tratamiento. En tal calidad, Grovity:

• Tratará los Datos Personales únicamente siguiendo las instrucciones documentadas del Cliente y para prestar el Servicio.
• Conservará los datos bajo condiciones de seguridad apropiadas, aislados por cliente.
• Actualizará, rectificará o suprimirá los datos siguiendo las instrucciones del Cliente.
• Asistirá al Cliente, en una medida razonable, en la atención de las solicitudes de los Titulares.
• Permitirá el acceso a la información únicamente a las personas autorizadas por el Cliente o facultadas por la ley.
• Notificará al Cliente sin dilación indebida, y dentro de las setenta y dos (72) horas siguientes a haber tenido conocimiento razonable, cualquier incidente de seguridad que afecte Datos Personales tratados por su cuenta.
• Contratará únicamente Subencargados obligados por escrito a cumplir obligaciones de protección de datos, e informará a los Clientes con antelación sobre los cambios en sus Subencargados.
• Suprimirá o devolverá los Datos Personales al finalizar el servicio, según lo establecido en la Sección 12.
• No usará los Datos Personales del Cliente para ninguna finalidad distinta de las instruidas por el Cliente.

Estas obligaciones se formalizan en el Acuerdo de Tratamiento de Datos (DPA) de Grovity, disponible en https://www.grovity.ai/dpa, que incluye, cuando corresponda, las obligaciones del artículo 28 del RGPD, las Cláusulas Contractuales Tipo adoptadas por la Comisión Europea y por la ANPD de Brasil, y un contrato de transmisión de datos conforme al Decreto 1074 de 2015 de Colombia.

Grovity conserva los Datos Personales únicamente durante el tiempo necesario para las finalidades que justificaron su recolección, teniendo en cuenta las obligaciones legales, contables, tributarias y contractuales.

Categoría	Conservación
Contenido del Cliente (conversaciones, archivos, bases de conocimiento)	Durante la vigencia del Contrato, o menos si el Cliente instruye una supresión anticipada
Contenido del Cliente tras la terminación	Suprimido de los sistemas activos dentro de los treinta (30) días siguientes al periodo de exportación, y de las copias de seguridad al final de su ciclo de conservación
Datos de la cuenta y de facturación	Durante la vigencia de la relación y hasta diez (10) años después, según lo exija la normativa contable y tributaria
Datos de marketing	Hasta que el Titular revoque su consentimiento o solicite la supresión
Datos de analítica del sitio web	Según la configuración del proveedor de analítica, sin exceder catorce (14) meses

Los Titulares pueden revocar su consentimiento en cualquier momento, salvo que Grovity esté legal o contractualmente obligada a continuar el Tratamiento, escribiendo a privacy@grovity.ai.

• Prestar los servicios y productos contratados, directamente o con la participación de proveedores terceros.
• Informar sobre cambios sustanciales en esta Política.
• Establecer y gestionar relaciones precontractuales, contractuales, comerciales, laborales o civiles.
• Atender solicitudes, consultas, reclamos y quejas.
• Cumplir obligaciones legales y requerimientos de autoridades judiciales o administrativas.
• Garantizar la seguridad del Servicio y prevenir el fraude.

Procesos de reclutamiento, selección y contratación, incluidas pruebas de competencias y verificación de referencias.

Ejecución de la relación laboral o de prestación de servicios, nómina, beneficios, seguridad social, capacitación, evaluación del desempeño, asignación de herramientas de trabajo, control de acceso y cumplimiento de obligaciones laborales.

Gestión de la relación contractual, pagos, evaluación del servicio, cumplimiento de obligaciones legales y control de acceso.

Evaluación, registro, contratación, prestación del Servicio, soporte, encuestas de satisfacción, análisis estadístico, evaluación del riesgo crediticio y comunicaciones de marketing (sujetas a consentimiento previo cuando sea exigido).

Grovity trata los Datos Personales de las personas que interactúan con los agentes de IA de un Cliente exclusivamente para prestar el Servicio a dicho Cliente y siguiendo sus instrucciones. El Cliente, como Responsable del Tratamiento, es responsable de: (i) contar con una base legal válida, incluido el consentimiento cuando sea exigido; (ii) informar a los Titulares sobre el Tratamiento, incluido el uso de IA; y (iii) atender las solicitudes de los Titulares, con la asistencia razonable de Grovity. Los Titulares que deseen ejercer sus derechos respecto de estos datos deben contactar al Cliente correspondiente; las solicitudes recibidas por Grovity serán remitidas al Cliente.

Grovity no requiere Datos Sensibles para prestar sus servicios a los Visitantes ni a los usuarios de cuenta de los Clientes. Los Clientes pueden configurar el Servicio para tratar Datos Sensibles, incluidos Datos de Salud, de sus propios Titulares únicamente de conformidad con el Anexo de Datos de Salud y la ley aplicable. En tales casos:

• El Cliente debe obtener el consentimiento previo, expreso e informado del Titular cuando la ley lo exija y, cuando sea requerido, informar al Titular que la respuesta a preguntas sobre Datos Sensibles es facultativa.
• Grovity trata los Datos Sensibles únicamente para prestar el Servicio, con acceso restringido, y no los usa, ni siquiera en forma agregada o desidentificada, para mejorar el Servicio ni para entrenar ningún modelo.
• Grovity no usa Datos Sensibles con fines publicitarios y no los vende.
• La Información de Salud Protegida (PHI) conforme a la HIPAA de los Estados Unidos solo se trata en virtud de un Business Associate Agreement (BAA) celebrado con Grovity.

Los servicios de Grovity no están dirigidos a niños, y Grovity no recolecta a sabiendas Datos Personales de niños a través de sus sitios web. Los Clientes que usen el Servicio en contextos en los que puedan participar menores de edad deben obtener la autorización de sus representantes legales según lo exija la ley y respetar el interés superior del menor.

Grovity no vende ni alquila información personal. Grovity divulga Datos Personales únicamente:

• Cuando el Titular lo haya autorizado.
• A los Subencargados que ayudan a prestar el Servicio (proveedores de infraestructura, base de datos, modelos de IA, voz y observabilidad), en virtud de acuerdos escritos de protección de datos. La lista vigente se publica en https://www.grovity.ai/subprocessors.
• A los proveedores de mensajería, telefonía e integraciones que el Cliente selecciona y conecta al Servicio, los cuales actúan bajo sus propios términos.
• En relación con una fusión, adquisición u otra reorganización societaria, con sujeción a obligaciones de confidencialidad.
• Cuando lo exija la ley o una autoridad competente.

Grovity aplica medidas técnicas, humanas y administrativas para proteger los Datos Personales contra su adulteración, pérdida, acceso no autorizado o uso indebido, incluidas:

• Cifrado en tránsito (TLS 1.2 o superior) y en reposo (AES-256), con una capa adicional de cifrado a nivel de aplicación para las credenciales más sensibles.
• Aislamiento entre clientes aplicado del lado del servidor en cada solicitud.
• Acceso bajo el principio de mínimo privilegio con identidades individuales, y registros de auditoría.
• Procedimientos de monitoreo, alertas y respuesta a incidentes.
• Copias de seguridad cifradas y redundantes.

Los detalles están disponibles en la Descripción de la Seguridad de los Servicios.

Con sujeción a la ley aplicable, los Titulares tienen derecho a:

• Acceso: saber si sus Datos Personales están siendo tratados y obtener una copia.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar la supresión cuando los datos ya no sean necesarios o se haya revocado el consentimiento.
• Limitación: solicitar la limitación del Tratamiento en determinadas circunstancias.
• Portabilidad: recibir sus datos en un formato estructurado, de uso común y de lectura mecánica.
• Oposición: oponerse a determinados Tratamientos, incluido el marketing directo.
• Revocar el consentimiento: en cualquier momento, sin afectar la licitud del Tratamiento previo.
• No ser objeto de decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o similarmente significativos, cuando así lo prevea la ley, y solicitar una revisión humana.
• Presentar una queja ante la autoridad de protección de datos competente.

Estos derechos pueden ser ejercidos por el Titular, su representante legal o sus causahabientes. Los derechos de los menores de edad se ejercen a través de sus representantes legales.

Envíe su solicitud a privacy@grovity.ai, incluyendo su identificación, una descripción clara de la solicitud y un medio de contacto. Grovity podrá solicitar información adicional para verificar su identidad. El ejercicio de sus derechos es gratuito.

Consultas: se atienden dentro de los diez (10) días hábiles siguientes a su recibo. Cuando no fuere posible, Grovity informará los motivos y la nueva fecha, la cual no podrá superar cinco (5) días hábiles adicionales.

Reclamos:

• El reclamo debe presentarse por escrito, con la identificación del Titular, la descripción de los hechos, una dirección y los documentos de soporte.
• Si el reclamo está incompleto, Grovity solicitará la información faltante dentro de los cinco (5) días hábiles siguientes. Si esta no se aporta dentro de los dos (2) meses siguientes, se entenderá que se ha desistido del reclamo.
• Se incluirá en la base de datos una leyenda que diga "reclamo en trámite" dentro de los dos (2) días hábiles siguientes, la cual se mantendrá hasta que el reclamo sea resuelto.
• Los reclamos se resuelven dentro de los quince (15) días hábiles siguientes, prorrogables hasta por ocho (8) días hábiles cuando esté justificado.

Prevalecen los plazos más cortos establecidos por la ley local (por ejemplo, el plazo de 15 días de la LGPD para las solicitudes de acceso).

La infraestructura de Grovity está alojada en los Estados Unidos. El personal de Grovity que presta soporte puede estar ubicado en los Estados Unidos, Colombia, Brasil, Guatemala y Jamaica. Las transferencias y transmisiones internacionales de Datos Personales se realizan con garantías adecuadas, incluidas:

• Las Cláusulas Contractuales Tipo adoptadas por la Comisión Europea, para las transferencias desde la UE/EEE.
• Las cláusulas contractuales tipo aprobadas por la ANPD de Brasil (Resolución CD/ANPD n.º 19/2024), para las transferencias desde Brasil.
• Contratos de transmisión de datos que cumplan los requisitos del Decreto 1074 de 2015 de Colombia, o la autorización del Titular, para las transmisiones desde Colombia.
• Mecanismos equivalentes exigidos por otras leyes aplicables.

Grovity utiliza modelos de inteligencia artificial para prestar el Servicio:

• Proveedores. Se accede a los modelos de IA principalmente a través de Amazon Bedrock, dentro del entorno de AWS de Grovity, y, según la configuración del Cliente, a través de las API empresariales de otros proveedores enumerados en la página de Subencargados.
• Datos compartidos. Solo se envían a los modelos los datos necesarios para ejecutar cada tarea (por ejemplo, el contexto de la conversación necesario para generar una respuesta). Los datos de tarjetas de pago nunca se incluyen.
• Finalidades. Generar respuestas, clasificar intenciones, transcribir audio, sintetizar voz, evaluar la calidad de las conversaciones y recuperar información de las bases de conocimiento del Cliente.
• Sin entrenamiento. El Contenido del Cliente no se usa para entrenar los modelos de los proveedores de IA, en virtud de los términos empresariales de cada proveedor. Grovity no entrena ni ajusta (fine-tuning) modelos con el Contenido del Cliente.
• Aislamiento entre clientes. Los datos de un Cliente no se usan para configurar ni mejorar agentes, bases de conocimiento o modelos que prestan servicio a otros Clientes.
• Transparencia y supervisión humana. Los Clientes están obligados a informar a sus Usuarios Finales que están interactuando con un sistema de IA y a ofrecer una forma de comunicarse con un humano cuando corresponda. La declaración de IA Responsable de Grovity está disponible en https://www.grovity.ai/responsible-ai.

Grovity puede enviar comunicaciones comerciales sobre productos, servicios y eventos cuando la ley lo permita y, cuando sea exigido, con su consentimiento. Toda comunicación incluye una opción para darse de baja. Las solicitudes de baja se procesan con prontitud y, en todo caso, dentro del plazo exigido por la ley.

Grovity puede actualizar esta Política. La versión vigente siempre estará publicada en nuestro sitio web. Los cambios sustanciales se notificarán con antelación de conformidad con los Términos y Condiciones.

Grovity ha designado un Oficial de Protección de Datos, quien también actúa como encarregado de Grovity conforme a la LGPD y como la persona responsable de la atención de las solicitudes de los Titulares conforme a la ley colombiana:

privacy@grovity.ai

Esta Política está vigente a partir de la fecha de entrada en vigencia indicada al inicio y sustituye cualquier versión anterior.

• Bases legales. Ejecución de un contrato; cumplimiento de obligaciones legales; intereses legítimos (tales como la seguridad, la prevención del fraude y la mejora de nuestros sitios web); y consentimiento (por ejemplo, para las cookies opcionales y el marketing).
• Categorías. Datos de identificación y contacto, datos profesionales, datos de facturación, datos técnicos y Contenido del Cliente.
• Destinatarios. Subencargados en virtud de acuerdos de tratamiento de datos; autoridades competentes cuando lo exija la ley. Grovity no vende Datos Personales.
• Conservación. Según lo establecido en la Sección 12.
• Transferencias. En virtud de las Cláusulas Contractuales Tipo de la Comisión Europea.
• Derechos y quejas. Todos los derechos de la Sección 18, incluido el derecho a presentar una queja ante la autoridad de control de su país de residencia.

El Tratamiento se realiza de conformidad con la Ley 1581 de 2012, el Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) y las instrucciones de la Superintendencia de Industria y Comercio (SIC). Los Titulares pueden presentar una queja ante la SIC después de agotar el trámite de la Sección 20. La respuesta a preguntas sobre Datos Sensibles o sobre datos de niños, niñas y adolescentes es facultativa.

El Tratamiento se realiza de conformidad con la LGPD (Lei Geral de Proteção de Dados, Ley 13.709/2018). Los Titulares en Brasil tienen los derechos establecidos en el artículo 18 de la LGPD, incluidos la confirmación de la existencia del Tratamiento, el acceso, la corrección, la anonimización, el bloqueo o la eliminación de datos innecesarios o excesivos, la portabilidad, la eliminación de los datos tratados con consentimiento, la información sobre el uso compartido, la información sobre la posibilidad de no otorgar el consentimiento, la revocación del consentimiento y la revisión de decisiones automatizadas (artículo 20). El encarregado se identifica en la Sección 25. Las quejas pueden presentarse ante la Autoridade Nacional de Proteção de Dados (ANPD).

Grovity no vende ni comparte información personal para publicidad conductual entre contextos (cross-context behavioral advertising), según la definición de dichos términos en la CCPA. Los residentes de California tienen derecho a conocer, eliminar, corregir y limitar el uso de la información personal sensible, y derecho a no ser discriminados por ejercerlos. Las solicitudes pueden enviarse a privacy@grovity.ai. Los residentes de otros estados de los Estados Unidos con leyes integrales de privacidad tienen derechos equivalentes en virtud de dichas leyes.

El Tratamiento se realiza de conformidad con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (2025). Los Titulares pueden ejercer sus derechos ARCO (acceso, rectificación, cancelación y oposición) a través de privacy@grovity.ai y presentar quejas ante la autoridad competente.

El Tratamiento se realiza de conformidad con la Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales y su reglamento. Los Titulares pueden ejercer sus derechos a través de privacy@grovity.ai y presentar quejas ante la Agencia de Protección de Datos de los Habitantes (PRODHAB).

Grovity respeta los derechos constitucionales a la intimidad y al acceso y rectificación de los registros personales. Los Titulares pueden ejercer los derechos descritos en la Sección 18 a través de privacy@grovity.ai.

El Tratamiento se realiza de conformidad con la Data Protection Act, 2020 (Ley de Protección de Datos de 2020). Los Titulares pueden ejercer sus derechos a través de privacy@grovity.ai y presentar quejas ante la Office of the Information Commissioner (Oficina del Comisionado de Información).