Última actualización: 7 de junio de 2026.

Esta política desarrolla el derecho fundamental de Habeas Data (artículo 15 de la Constitución Política de Colombia) y la libertad de información (artículo 20), la Ley Estatutaria 1581 de 2012 (declarada exequible por la Sentencia C-748 de 2011) y el Decreto 1377 de 2013.

Marco legal: Ley 1581 de 2012, Decreto 1377 de 2013 y normas complementarias (Colombia); RGPD/GDPR (Unión Europea), CCPA/CPRA (California, EE. UU.) y la LGPD — Lei nº 13.709/2018 (Brasil), para los usuarios sujetos a dichas normas.

Puedes revocar tu autorización y solicitar la supresión de tus datos cuando el tratamiento no respete los principios, derechos y garantías constitucionales y legales (art. 8, lit. e, Ley 1581 de 2012), salvo deber legal o contractual de conservación.

Aviso: este documento es información general y no constituye asesoría legal.

El responsable del tratamiento es LUXISOFT, operador de LUXIPANEL, identificado con NIT [____] y domicilio en [dirección], Colombia. Contacto de privacidad: [correo de privacidad / canal de soporte]. NOTA: la identificación del responsable (NIT/registro, domicilio y contacto) es un marcador de posición que debe completarse antes de publicar en producción; su ausencia incumple el art. 13, lit. a del Decreto 1377 de 2013 y el art. 17 de la Ley 1581 de 2012.

LUXISOFT actúa con un doble rol según el tipo de dato:

• Como Responsable del Tratamiento (controller; art. 3, lit. e, Ley 1581 de 2012): respecto de los datos de cuenta, identidad, autenticación, pagos, uso, soporte, blog y marketplace, que tratamos para fines propios definidos por nosotros.
• Como Encargado del Tratamiento (processor; art. 3, lit. d, Ley 1581 de 2012): respecto de las credenciales de servidor (SSH) y los datos a los que accedemos en la infraestructura del cliente por instrucción suya. En esta relación, el cliente es el Responsable y LUXISOFT trata esos datos únicamente conforme a sus instrucciones documentadas, sin determinar finalidades propias.

Para usuarios sujetos al RGPD, esta relación de encargo se rige por un Acuerdo de Tratamiento de Datos (DPA) conforme al artículo 28 del RGPD, que forma parte integral de estos términos e incluye: objeto, duración, naturaleza y finalidad del tratamiento; tipos de datos y categorías de interesados; el compromiso de tratar los datos solo bajo instrucciones documentadas del cliente; confidencialidad del personal; medidas de seguridad del artículo 32 (detalladas en la sección de Seguridad); el régimen de subencargados; asistencia en el ejercicio de derechos de los interesados y en la notificación de brechas; y la supresión o devolución de los datos al término del servicio. Puedes solicitar la versión completa del DPA por los canales de soporte.

Punto de contacto y DPO: puedes dirigir cualquier consulta sobre tus datos por los canales indicados. Si la naturaleza o el volumen del tratamiento lo exige, designaremos un Delegado de Protección de Datos (DPO) (RGPD art. 37) y, en su caso, un representante en la Unión Europea (RGPD art. 27), publicando sus datos de contacto en esta política. Puedes ejercer tus derechos por los canales de la sección 9.

Según tu interacción con la plataforma, podemos tratar:

• Datos de cuenta e identidad: correo, nombre, foto, idioma/locale, identificador de Google, empresa, país y teléfono/WhatsApp (opcionales).
• Autenticación: tokens de identidad de Google/Firebase y metadatos de passkeys (WebAuthn) y códigos de recuperación.
• Metadatos de pago: referencias, estados, montos y fechas de las transacciones procesadas por Wompi. No almacenamos datos de tarjetas.
• Credenciales de servidor: usuario SSH, puerto, IP, llaves privadas y passphrases, almacenadas cifradas con AES-256-GCM y nunca en texto plano.
• Datos de uso técnico: registros de conexión, consumo de saldo, eventos de auditoría, direcciones IP y datos de dispositivo.
• Interacciones con el asistente de IA: el texto de las consultas y respuestas procesadas para prestar soporte.
• Contenido del usuario: artículos del blog, módulos del marketplace, tickets de soporte y adjuntos.

Tratamos cada categoría de datos con una base de licitud específica (RGPD art. 6.1):

• Ejecución del contrato [art. 6.1.b]: crear y mantener la cuenta, autenticación, gestión del saldo y compras, conexión SSH a tus servidores, soporte, payouts del marketplace.
• Consentimiento [art. 6.1.a]: inicio de sesión con Google, comunicaciones comerciales y cookies no esenciales. Revocable en cualquier momento sin efecto retroactivo.
• Obligación legal [art. 6.1.c]: conservación tributaria/contable, atención de requerimientos de autoridad, verificaciones KYC.
• Interés legítimo [art. 6.1.f]: seguridad de la plataforma, prevención del fraude y mejora del servicio, previa ponderación documentada frente a tus derechos. Puedes oponerte a estos tratamientos conforme al art. 21 del RGPD.

LUXISOFT trata tus datos conforme a los principios del artículo 4 de la Ley 1581 de 2012 (legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad) y cumple los deberes del artículo 17 (como Responsable) y del artículo 18 (como Encargado de las credenciales del cliente).

Tratamos los datos para: operar el portal, paneles y aplicaciones; autenticar usuarios; gestionar el saldo de datos, las compras y los comprobantes; conectar de forma segura a los servidores del cliente vía SSH; prestar soporte y operar el asistente de IA; gestionar el blog y el marketplace (incluidos payouts); reforzar la seguridad y prevenir el fraude; cumplir obligaciones legales; y enviar comunicaciones transaccionales y, con tu consentimiento, comerciales.

Algunos tratamientos pueden involucrar datos sensibles en los términos del artículo 5 de la Ley 1581 de 2012 y de categorías especiales del artículo 9 del RGPD:

• Datos biométricos (passkeys/WebAuthn): la verificación biométrica (huella o rostro) se realiza localmente en tu dispositivo; LUXIPANEL no recibe ni almacena tu biometría, solo una clave pública criptográfica que no permite reconstruirla. Puedes usar métodos de autenticación no biométricos.
• Contenido del asistente de IA: si voluntariamente incluyes información sensible (p. ej. de salud) en el chat, será tratada únicamente para responder tu consulta. Te recomendamos no compartir datos sensibles innecesarios.

Conforme al artículo 6 de la Ley 1581 de 2012, al Decreto 1377 de 2013 y al artículo 9 del RGPD, el tratamiento de datos sensibles requiere tu autorización explícita y no estás obligado a otorgarla; ningún servicio se condiciona a que entregues datos sensibles.

No vendemos tus datos personales. Solo los compartimos con encargados/subencargados estrictamente necesarios para operar el servicio, o cuando exista obligación legal o requerimiento de autoridad competente. Subencargados principales:

• Google / Firebase — autenticación e infraestructura de identidad.
• Wompi — procesamiento de pagos (datos de tarjeta tratados en su propio entorno).
• Cloudflare — CDN, almacenamiento de objetos (R2) y protección de red.
• Proveedor de IA (modelo compatible con OpenAI) — procesamiento de las consultas del asistente.
• Meta (Facebook/Instagram) — sindicación opcional de publicaciones del blog.

Cada subencargado trata los datos bajo sus propios términos de procesamiento y medidas de seguridad.

Algunos subencargados operan fuera de Colombia y del Espacio Económico Europeo (principalmente en Estados Unidos y otras regiones donde operan Google/Firebase, Cloudflare, el proveedor de IA y Meta). La normativa colombiana distingue:

• Transmisión internacional (art. 25, Decreto 1377 de 2013): envío de datos a un encargado que los trata por cuenta y según instrucciones de LUXISOFT (Google/Firebase, Wompi, Cloudflare, proveedor de IA). Con cada uno suscribimos un contrato de transmisión con cláusulas de protección y confidencialidad.
• Transferencia internacional (art. 26, Ley 1581 de 2012): solo se realiza a países con nivel adecuado de protección según la Circular Externa 005 de 2017 de la SIC (entre ellos Estados Unidos y los Estados de la Unión Europea), o al amparo de sus excepciones, en particular cuando la transferencia es necesaria para la ejecución del contrato entre el titular y LUXISOFT (art. 26, lit. e) o medie tu autorización expresa e inequívoca (lit. a).

Para usuarios sujetos al RGPD se aplican adicionalmente las garantías del Capítulo V del Reglamento:

• Decisión de adecuación — EU-US Data Privacy Framework (DPF): cuando el subencargado en EE. UU. está certificado bajo el DPF, la transferencia se ampara en la decisión de adecuación de la Comisión Europea (RGPD art. 45). Mantenemos las Cláusulas Contractuales Tipo como mecanismo de respaldo dada la apelación pendiente sobre el DPF.
• Cláusulas Contractuales Tipo (SCC): para destinos sin decisión de adecuación, suscribimos las SCC aprobadas por la Comisión Europea (RGPD art. 46.2.c), complementadas con medidas técnicas y organizativas adicionales tras una evaluación de impacto de la transferencia (TIA) cuando procede.

Puedes solicitar información sobre el mecanismo aplicable a un subencargado específico y copia de las garantías por los canales de soporte.

Conservamos los datos por el tiempo necesario para las finalidades informadas y para cumplir obligaciones legales, tributarias, contables, contractuales o de seguridad. Los tokens de identidad se procesan en tránsito y no se conservan más allá de lo necesario para mantener la sesión. Las solicitudes verificadas de eliminación se atienden en un plazo de treinta (30) días, salvo información que estemos obligados a conservar.

Los tokens se conservan como crédito de consumo y no caducan. Los registros de transacción y de consumo asociados se conservan conforme a los plazos legales aplicables.

Tus derechos dependen de la normativa que te resulte aplicable:

• Titulares en Colombia (Ley 1581 de 2012, art. 8): conocer, acceder, actualizar y rectificar tus datos; solicitar la supresión y revocar la autorización cuando proceda; presentar consultas y reclamos ante el responsable y, agotado el trámite, ante la SIC.
• Interesados en el RGPD (arts. 15-22): acceso, rectificación, supresión ("derecho al olvido"), limitación del tratamiento, portabilidad, oposición (incluida la oposición al interés legítimo, art. 21) y a no ser objeto de decisiones automatizadas con efectos jurídicos significativos.
• Residentes de California (CCPA/CPRA): tienes derecho a conocer, acceder, eliminar y corregir tu información; a optar por no "vender" ni "compartir" tu información personal; y a limitar el uso de tu Información Personal Sensible (SPI) a los fines permitidos. No vendemos información personal. La sindicación opcional de contenido a Meta (Facebook/Instagram) solo se realiza con tu activación; si ello implicara una "compartición" para publicidad de contexto cruzado, ofrecemos el control "No vender ni compartir mi información personal" en la plataforma.
• Titulares en Brasil (LGPD — Lei nº 13.709/2018, arts. 17-22): confirmación, acceso, corrección, anonimización, portabilidad, eliminación y revocación del consentimiento, con posibilidad de reclamar ante la Autoridade Nacional de Proteção de Dados (ANPD).

Puedes ejercer tus derechos enviando una solicitud por los canales oficiales de soporte de LUXIPANEL, identificándote y usando el mismo correo registrado.

Consultas (art. 14, Ley 1581 de 2012): atenderemos tu consulta sobre los datos que tenemos sobre ti en un máximo de diez (10) días hábiles. Si no fuera posible, te informaremos los motivos y la nueva fecha, que no superará los cinco (5) días hábiles siguientes al vencimiento del primer plazo.

Reclamos (art. 15, Ley 1581 de 2012): los reclamos (corrección, actualización, supresión o revocatoria de autorización) se atenderán en un máximo de quince (15) días hábiles contados desde el día siguiente a su recibo, prorrogables por ocho (8) días hábiles. Si el reclamo está incompleto, te pediremos subsanarlo dentro de los cinco (5) días siguientes; mientras se resuelve, la base de datos llevará la leyenda "reclamo en trámite".

Plazos internacionales: para usuarios del RGPD responderemos sin dilación indebida y a más tardar en un (1) mes, prorrogable dos meses más en casos complejos, informándote la prórroga (art. 12.3). Para residentes de California (CCPA/CPRA) responderemos dentro de 45 días, prorrogables 45 días adicionales. Si la solicitud es manifiestamente infundada o excesiva, podremos cobrar un canon razonable o negarnos, motivándolo.

Puedes revocar el acceso de LUXIPANEL a tu Cuenta de Google en myaccount.google.com/permissions.

Conforme al artículo 16 de la Ley 1581 de 2012, solo podrás presentar queja ante la Superintendencia de Industria y Comercio (SIC) (www.sic.gov.co) una vez hayas agotado el trámite de consulta o reclamo ante LUXISOFT. Los usuarios del EEE pueden acudir a su autoridad de protección de datos.

Cuando usas el asistente de IA, el texto de tu consulta (y el contexto necesario, como el historial de la conversación y metadatos de tu cuenta requeridos para la herramienta) se envía a un proveedor de modelos compatible con OpenAI con la finalidad exclusiva de generar la respuesta y prestar el soporte. Estos datos no se utilizan para publicidad. LUXISOFT ha pactado con el proveedor de modelos que las interacciones se procesan únicamente para prestar el servicio y no se utilizan para entrenar sus modelos ni para publicidad. Evita compartir datos sensibles innecesarios en el chat.

Datos de categorías especiales: el asistente de IA y los formularios de soporte/KYC no están diseñados para tratar datos sensibles (RGPD art. 9; Ley 1581 de 2012, arts. 5-6). Te pedimos no introducir información de salud, biométrica, ideológica, religiosa, de orientación sexual u otras categorías especiales. Si decides hacerlo, lo tratamos únicamente con base en tu consentimiento explícito y solo en la medida necesaria para atender tu solicitud, pudiendo eliminarlo a tu requerimiento.

LUXISOFT aplica medidas técnicas, administrativas y organizativas para proteger la confidencialidad, integridad y disponibilidad de la información. Mecanismos principales:

• Cifrado en tránsito: HTTPS/TLS 1.2 o superior en todas las comunicaciones.
• Cifrado en reposo: las credenciales SSH (llaves y passphrases) se cifran con AES-256-GCM antes de persistirse; la infraestructura de Google/Firebase cifra en reposo con AES-256.
• mTLS estricto y allowlist de IP en la comunicación servicio a servicio entre el panel y la autoridad de licencias.
• TOFU explícito de huellas de host SSH y bloqueo de SSRF al resolver destinos.
• Autenticación robusta: OAuth 2.0/OpenID Connect con validación criptográfica de tokens, passkeys (WebAuthn/FIDO2), 2FA y códigos de recuperación.
• Control de acceso y privilegio mínimo para el personal autorizado, con confidencialidad.
• Minimización, registro de auditoría inmutable y nunca se registran secretos en los logs.
• Prevención de fraude y validación de webhooks de pago (Wompi).

Ningún sistema es 100% seguro; si crees que tu cuenta o tus datos se han visto comprometidos, contáctanos de inmediato por los canales oficiales.

Mantenemos un procedimiento de gestión de incidentes de seguridad. Ante una violación de seguridad de datos personales (brecha) actuamos así:

• Cuando actuamos como Responsable: notificaremos a la autoridad de control competente sin dilación indebida y, cuando sea factible, en un plazo máximo de 72 horas desde que tengamos conocimiento de la brecha, salvo que sea improbable que constituya un riesgo para los derechos de los interesados (RGPD art. 33). Si la brecha puede entrañar un alto riesgo para tus derechos y libertades, te lo comunicaremos directamente y sin dilación indebida (RGPD art. 34).
• Cuando actuamos como Encargado (p. ej. respecto de tus credenciales o infraestructura SSH): te notificaremos como cliente-Responsable sin dilación indebida tras tener conocimiento de la brecha, aportando la información necesaria para que cumplas tus propias obligaciones de notificación (RGPD art. 33.2).

La notificación describirá, en la medida disponible: la naturaleza de la brecha, las categorías y número aproximado de interesados y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Para usuarios en Colombia aplicará además el reporte de incidentes ante la Superintendencia de Industria y Comercio conforme a la Ley 1581 de 2012.

Usamos cookies técnicas (esenciales para el funcionamiento y la sesión) y, cuando aplique, de análisis para mejorar la experiencia. Puedes gestionar las cookies no esenciales desde tu navegador o desde los controles disponibles en la plataforma.

LUXIPANEL está dirigido exclusivamente a mayores de edad con capacidad legal. Conforme al artículo 7 de la Ley 1581 de 2012, al artículo 12 del Decreto 1377 de 2013 y a la Sentencia C-748 de 2011, el tratamiento de datos de niños, niñas y adolescentes está restringido y solo procede atendiendo a su interés superior y con autorización del representante legal. No recopilamos a sabiendas datos de menores; si detectamos tales datos sin autorización válida, procederemos a su supresión conforme a la normativa.

Podemos actualizar esta política para reflejar cambios normativos, operativos o técnicos. Publicaremos la versión vigente con su fecha de actualización e informaremos los cambios materiales por los canales disponibles.

Para consultas sobre datos personales usa los canales de soporte de LUXIPANEL. Si no estás conforme con la respuesta, la autoridad de vigilancia en Colombia es la Superintendencia de Industria y Comercio (SIC) (www.sic.gov.co). Los usuarios del EEE pueden acudir a su autoridad de protección de datos, y los de California a las vías previstas por la CCPA/CPRA.

LUXIPANEL ofrece la opción “Iniciar sesión con Google” como método de autenticación para acceder al portal y gestionar licencias, suscripciones y pagos, implementada mediante Google OAuth 2.0 a través de Firebase Authentication.

El proyecto de Google Cloud / Firebase asociado es: luxisoft (project ID), número de proyecto 456853307907, operado por LUXISOFT. Los scopes solicitados se limitan estrictamente a los scopes básicos y no sensibles de identidad: openid, email y profile. NO solicitamos scopes restringidos o sensibles (Gmail, Drive, Calendar, Contacts, YouTube).

Al iniciar sesión con tu Cuenta de Google, LUXIPANEL y Firebase Authentication acceden a los siguientes datos específicos de usuario de Google:

• Dirección de correo electrónico — identificador único de tu cuenta.
• Estado de verificación del correo.
• Información básica de perfil: nombre completo y nombre público (display name).
• URL de la imagen de perfil.
• Idioma y configuración regional (locale), cuando Google los proporciona.
• Identificador único de la Cuenta de Google (Google sub / user ID).
• Tokens de identidad OAuth/OpenID — de corta duración, procesados en tránsito y no conservados más allá de lo necesario.

LUXIPANEL NO solicita, accede ni almacena scopes restringidos o sensibles de Google a través del inicio de sesión de usuario final.

Los datos de la sección 19 se usan exclusivamente para: crear y autenticar tu cuenta; gestionar licencias, suscripciones, servidores registrados e historial de pagos; identificarte visualmente en el portal; personalizar el idioma; reforzar la seguridad y prevenir el fraude; persistir la cuenta en Firebase y en la base de datos de LUXIPANEL; y enviar comunicaciones transaccionales y de soporte.

LUXIPANEL cumple la Google API Services User Data Policy, incluido el Uso Limitado: NO vendemos los datos, NO los usamos con fines publicitarios, NO los usamos para entrenar modelos de IA, y NO los transferimos a terceros para fines ajenos a la operación del servicio. Solo se comparten con los subprocesadores estrictamente necesarios (Google Firebase / Google Cloud).

Conservamos los datos de usuario de Google mientras tu cuenta permanezca activa o tengas licencias/suscripciones vigentes, y por el tiempo adicional necesario para cumplir obligaciones legales, contables o fiscales. Puedes revocar el acceso en https://myaccount.google.com/permissions. Para solicitar la eliminación de tu cuenta y de los datos asociados, escribe por los canales de soporte usando el mismo correo registrado; eliminaremos los datos personales de Firebase y de la base de datos en un plazo de treinta (30) días, salvo la información que debamos conservar por ley.

De forma opcional y a iniciativa del cliente, LUXIPANEL ofrece una integración con Google Cloud que permite listar proyectos de GCP y descubrir instancias de Compute Engine (VPS). Esta integración NO usa el inicio de sesión del usuario final, sino una cuenta de servicio que el cliente provee voluntariamente. El scope es estrictamente de solo lectura (https://www.googleapis.com/auth/cloud-platform.read-only) y se limita a la Cloud Resource Manager API y la Compute Engine API. LUXIPANEL no modifica recursos del cliente con esta credencial; las claves se almacenan cifradas y el cliente puede revocarlas en cualquier momento desde la consola de Google Cloud.