Política de Tratamiento de Datos Personales

1. Responsable del tratamiento y canales de atención

Huellas de Vuelta es un proyecto sin ánimo de lucro que no está constituido como entidad. El responsable del tratamiento de los datos personales es una persona natural, quien administra la plataforma:

• Responsable: Luis Sánchez, persona natural, a nombre del proyecto Huellas de Vuelta.
• Domicilio y dirección: Girón, Santander, Colombia, código postal 687542.
• Correo electrónico: huellasdevueltacol@gmail.com.
• WhatsApp: 320 233 3099.
• No hay NIT ni razón social, porque el proyecto no es una entidad. El documento de identidad del responsable no se publica; se acreditará ante la autoridad competente cuando esta lo requiera.

Área que atiende las consultas, reclamos y solicitudes de los titulares: el propio responsable, por el correo electrónico indicado (el WhatsApp es un canal de apoyo; las solicitudes formales de datos personales deben enviarse por correo para que quede constancia).

Registro Nacional de Bases de Datos: el responsable entiende que, como persona natural, no está obligado a inscribir las bases de datos (Decreto 090 de 2018). Las demás obligaciones de la normativa de protección de datos personales sí le aplican y esta política las atiende en lo que describe.

Las placas son la principal fuente de financiación del mantenimiento de la plataforma; lo que sobre se destina a los demás usos del proyecto: donaciones a fundaciones, jornadas de esterilización, ayudas en emergencias, colaboraciones especiales y educación y concienciación.

2. A quién se dirige y alcance

La plataforma está dirigida exclusivamente a personas mayores de 18 años con correo electrónico propio. Para crear una cuenta es obligatorio declarar que se es mayor de edad (junto con aceptar esta política y los Términos de uso); esa declaración queda guardada con su fecha y su versión.

La política aplica a los datos que se tratan a través del sitio web, los paneles (persona usuaria, veterinaria, fundación, aliado, proveedor y administración), los perfiles públicos (/m/código y la página de inicio), los avisos de hallazgo y las placas con código QR. No cubre sitios o servicios de terceros enlazados desde la plataforma (WhatsApp, Google Maps y otros), que se rigen por sus propias políticas. No es el documento de términos de uso: son documentos separados.

3. Marco, definiciones y principios

Se toman como referencia la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) y los lineamientos de la Superintendencia de Industria y Comercio (SIC). Se usan sus definiciones: titular (la persona a quien se refieren los datos), dato personal, dato sensible, tratamiento, responsable, encargado y autorización.

El tratamiento se guía por los principios de legalidad, finalidad, libertad (autorización previa, expresa e informada), veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.

4. Qué datos se recogen, por tipo de cuenta, y para qué

Persona usuaria (dueña de mascotas)

• Cuenta: nombre y apellidos, correo electrónico y contraseña (la contraseña la gestiona el servicio de autenticación y se guarda cifrada; el responsable no la conoce). Teléfono principal y alterno, si los registra.
• Mascotas: nombre, especie, raza, color, sexo, fecha de nacimiento (se muestra solo la edad), descripción, fotografías y estado (en casa, perdida o en adopción), y la ciudad cuando la mascota se reporta perdida o se publica en adopción.
• Reportes de pérdida: ubicación hasta ciudad (barrio opcional), fecha, descripción y fotografías.
• Información médica opcional de la mascota (sección 6), placas QR asociadas, notificaciones, preferencias de privacidad y consentimientos.
• Finalidades: crear y administrar la cuenta y la seguridad del acceso; administrar sus mascotas y reportes; facilitar el reencuentro y, si lo decide, la adopción; enviarle notificaciones dentro de la plataforma; atender sus solicitudes.

Quien encuentra o ve una mascota (sin cuenta)

• Aviso de hallazgo o avistamiento: ubicación hasta ciudad y barrio (se pide para ayudar a encontrar el lugar), fecha aproximada, descripción, condición de la mascota, fotografía y, si la persona decide escribirlos, su nombre y su dato de contacto (en un aviso de «la tengo conmigo» o «necesita ayuda», un celular colombiano de 10 dígitos).
• Finalidad: que la familia dueña y la organización que la persona elija reciban el aviso. Estos avisos los ven la persona dueña, la organización elegida y la administración; no se publican. La persona puede llevar a la mascota a una veterinaria o dejarla de paso en una fundación (hogar de paso) cercanas, aprobadas y operativas; la organización NO ve el contacto de quien avisó.
• Para evitar abusos se usa un código temporal firmado que vence en minutos y límites por hora; no se guarda la dirección IP con esa finalidad.

Veterinarias y fundaciones

• Datos de la persona que administra la cuenta (como los de la persona usuaria) y datos de la organización: nombre, descripción, teléfono, WhatsApp, correo, horarios, dirección, ciudad, barrio, ubicación en el mapa, redes sociales, logotipo, servicios, mascotas que publica, pósteres y estado de verificación.
• Finalidades: verificar y mostrar la organización en la plataforma; publicar mascotas en adopción; recibir avisos de hallazgo; coordinar traspasos de mascotas a adoptantes; mostrar pósteres aprobados.

Aliados y proveedores

• Aliados: datos de la persona que administra la cuenta y de la empresa (nombre, sector, descripción, sitio web, país, ciudad, dirección, correo, teléfonos, WhatsApp y logotipo), sus autorizaciones de publicación y de uso del logotipo, y sus solicitudes de visibilidad.
• Proveedores de placas: datos de la persona que administra la cuenta y de la empresa, y los lotes de códigos QR que manejan.
• Finalidad: mostrar a los aliados autorizados y con visibilidad vigente; producir y reportar lotes de placas.

Pedidos de placas

• El botón «Solicitar placa» abre WhatsApp con un mensaje fijo: no hay formulario en la plataforma ni se guardan datos al pulsarlo. Los datos del pedido (por ejemplo nombre del destinatario, dirección y ciudad de envío, teléfono, correo y la personalización de la placa) los da la persona por WhatsApp y el administrador los registra manualmente en la plataforma.
• Antes del pago se informa por WhatsApp quién vende y produce la placa (algunas las vende Huellas de Vuelta y otras un tercero), el precio y el costo del envío, que se cobra aparte.
• Finalidades: coordinar la compra, la personalización, la producción y el envío de la placa, y dar seguimiento al pedido. Si la placa la produce o envía un tercero, solo se le comparte lo necesario para esa tarea.

Administración y operación

• El personal administrativo accede al mínimo necesario para moderar, verificar organizaciones, registrar pedidos y atender solicitudes. Los administradores pueden activar verificación en dos pasos.
• Registros de auditoría de operaciones sensibles y de bloqueos de cuentas o correos, para trazabilidad, seguridad y atención de reclamos.

Adopción

Compartir el número de WhatsApp del titular con las personas interesadas en adoptar una mascota que el titular haya publicado «En adopción», para que puedan comunicarse directamente con él o ella. Esta finalidad es opcional, requiere una autorización específica e independiente de esta política, y el titular puede revocarla en cualquier momento. Huellas de Vuelta no gestiona la adopción.

No se recogen más datos de los descritos ni se usan para publicidad, mercadeo, perfiles comerciales o venta o cesión a terceros con fines comerciales. Quien registra datos de otra persona (por ejemplo un contacto) debe contar con su autorización.

5. Qué se muestra públicamente

Cualquier persona, con o sin cuenta, puede ver:

• Página de inicio: mascotas reportadas como perdidas (foto, nombre, edad, raza, sexo, departamento y ciudad, y cuánto hace que se reportó), mascotas en adopción, fundaciones y veterinarias verificadas (nombre, logotipo, descripción, ciudad, horario y servicios, y los botones de contacto y ubicación que hayan publicado), aliados autorizados y pósteres aprobados.
• Perfil público de una mascota (/m/código, al escanear la placa): foto pública, nombre, especie, raza, sexo, colores, edad, descripción, estado y datos del reporte (ciudad y, solo si la persona lo activa, barrio). Nunca muestra el correo, la dirección, la historia clínica, las vacunas ni los datos del propietario.
• Ubicación pública: solo hasta ciudad. El barrio solo aparece si quien reporta lo activa con una casilla que viene desmarcada. Nunca se publican direcciones exactas de personas.
• Teléfono o WhatsApp del dueño: no se muestra como texto. Solo se ofrece un botón de contacto si el titular lo autorizó (secciones 7 y 8).

Estas reglas se aplican en la base de datos (funciones públicas con comprobaciones dentro y seguridad por filas), no solo en la pantalla: las consultas públicas devuelven únicamente lo anterior. Un administrador puede retirar una mascota de las listas de la página de inicio; eso no cambia su perfil ni su placa.

6. Información médica de las mascotas

La información médica de una mascota (vacunas, tratamientos, notas de salud y alertas) no es, por sí sola, un dato sensible de una persona. Aun así se trata aparte y con más cuidado porque puede revelar hábitos o circunstancias de su dueño. Su registro es voluntario.

• No se publica: ni la página de inicio ni el perfil /m/ la muestran. Solo puede ofrecerse un aviso («tiene alerta médica») si el dueño lo autoriza, sin el contenido.
• La ve el dueño. Una veterinaria solo accede con una autorización temporal que el dueño concede (con los permisos y la duración que elija), o por el mecanismo de emergencia previsto, y cada acceso queda registrado. La historia clínica se escribe sin poder borrarse ni editarse (solo se añaden notas).
• Se elimina junto con la mascota o la cuenta.

7. Autorizaciones y consentimientos

Al crear la cuenta (obligatorias)

• Aceptar esta política y los Términos de uso, y autorizar el tratamiento de los datos según las finalidades informadas. Se guarda con fecha y versión (versión de la política vigente: 1.0).
• Declarar que se es mayor de 18 años. Se guarda como un consentimiento aparte, con fecha y versión (versión de la declaración: 1.0). El servidor exige ambas; sin ellas no se crea la cuenta.

Estos registros son de solo inserción: no se editan ni se sobrescriben cuando se publica una versión nueva. Cada persona puede consultar su historial en «Seguridad y privacidad». Las cuentas creadas antes de la declaración de mayoría de edad no tuvieron que repetirla.

Opcionales (desactivadas por defecto)

Son independientes entre sí, no se activan al aceptar la política, el titular puede cambiarlas cuando quiera y cada cambio queda guardado con su fecha:

• Permitir que una veterinaria o fundación aprobada y operativa vea SOLO el nombre y el celular del titular, después de confirmar que recibió su mascota y mientras el caso siga abierto, para coordinar la entrega. Si no se activa, la organización le avisa por una notificación de Huellas y no ve su número. Cada consulta queda registrada y el acceso termina cuando el titular cierra el caso.
• Permitir el contacto por WhatsApp, mediante un botón, mientras su mascota esté reportada como perdida.
• Compartir su contacto con la persona dueña de una mascota que el titular haya encontrado.
• Contacto para adopción: permitir que quienes quieran adoptar una mascota suya publicada «En adopción» le escriban por WhatsApp. Se revoca sola si el titular cambia su teléfono.
• En cada mascota: mostrar el barrio en el reporte de pérdida y mostrar que tiene una alerta médica.
• En aliados: autorizar la publicación de la información de la empresa y, aparte, el uso del logotipo. En fundaciones y veterinarias: aceptar los términos del póster antes de enviarlo a revisión.

8. WhatsApp

• Placas: el botón «Solicitar placa» abre WhatsApp hacia el número del proyecto con un mensaje fijo; no se envía ni se guarda nada desde la plataforma.
• Organizaciones: «Contactar» abre WhatsApp hacia el número que la propia organización publicó, y el botón de adopción lo hace con un mensaje que incluye el nombre y el enlace de la mascota.
• Dueños: el número del dueño solo se entrega a quien pulsa el botón y solo si el titular lo autorizó (mascota perdida o contacto para adopción); nunca viaja en las listas ni en la página.
• Lo que se escriba dentro de WhatsApp queda en esa conversación y lo trata WhatsApp (Meta) según sus condiciones. Huellas de Vuelta no administra la adopción ni la compra en esas conversaciones más allá de lo descrito.

9. Proveedores, mapas y transmisión internacional

Se usan estos servicios; no hay otros proveedores que reciban datos personales:

• Supabase: base de datos, autenticación, almacenamiento de archivos (fotografías, logotipos, pósteres y evidencias) y funciones del servidor. El proyecto está alojado en la región de São Paulo, Brasil. También envía los correos de acceso (verificación y recuperación de contraseña).
• Vercel: aloja y ejecuta el sitio y sus funciones. Como todo servicio de alojamiento, puede registrar datos técnicos de las conexiones (por ejemplo la dirección IP) según sus condiciones; la región de ejecución no está fijada por el proyecto.
• OpenStreetMap: solo en el selector de ubicación de organizaciones, el navegador pide los mosaicos del mapa a OpenStreetMap (que recibe la dirección IP y la zona consultada) y, si se busca una dirección, el texto buscado se envía al buscador Nominatim para obtener coordenadas.
• Google Maps y WhatsApp: solo al hacer clic en «Ubicación» o en un botón de WhatsApp se abre una pestaña nueva en esos servicios. La plataforma no incrusta mapas ni scripts de Google o de Meta.
• Las tipografías se descargan al compilar el sitio y se sirven desde el propio dominio: al visitar la plataforma no se consultan servidores de fuentes de terceros.

Como Supabase opera desde Brasil y Vercel y WhatsApp son servicios internacionales, los datos pueden ser tratados fuera de Colombia. El responsable evaluará con asesoría jurídica las condiciones aplicables a esa transmisión y a los contratos con los proveedores. No se ceden datos a terceros con fines comerciales; cualquier proveedor nuevo se añadirá a esta lista antes de empezar a tratar datos.

10. Cookies, almacenamiento local y analítica

• La plataforma no pone cookies propias ni usa herramientas de analítica, publicidad o seguimiento de terceros.
• En el navegador se guarda, en el almacenamiento local, la sesión de la cuenta (la gestiona el servicio de autenticación, para mantener la sesión iniciada) y la preferencia de tema claro u oscuro. Se borran al cerrar sesión o al limpiar los datos del navegador.
• Los datos técnicos que el proveedor de alojamiento registre por su funcionamiento se rigen por sus condiciones (sección 9).

11. Acceso y circulación restringida

• Las tablas con datos personales no tienen permisos directos: el acceso pasa por funciones del servidor que comprueban el rol y el contexto (verificado con pruebas por rol: anónimo, usuario, fundación, veterinaria, aliado, proveedor, administradores y cuenta bloqueada).
• Una persona solo lee lo suyo; ningún rol puede ascender a administrador ni cambiar su rol; solo el administrador principal concede o retira ese rol.
• Las organizaciones solo acceden al contacto del dueño (nombre y celular; nunca correo, dirección ni otros datos) cuando existe un aviso que las vincula, confirmaron que recibieron la mascota, siguen aprobadas y operativas y el dueño lo autorizó; el acceso termina al cerrar el caso y cada consulta queda auditada (sin guardar el contacto).
• Los administradores ven, por funciones, lo necesario para su tarea; entre otros, los avisos de hallazgo completos (incluidos el nombre y el contacto que haya dado quien avisa).

12. Medidas de seguridad

Controles comprobados en el código y la base de datos:

• Seguridad por filas y funciones con comprobación de rol dentro (no solo en la pantalla), con una matriz de pruebas por rol que se repite al cambiar permisos.
• Contraseñas cifradas; mensajes de acceso y registro que no revelan si un correo existe; verificación en dos pasos disponible para administradores (su exigencia obligatoria está en preparación).
• Fotografías privadas con enlaces temporales firmados, archivos con nombres no adivinables y bloqueo del acceso a archivos de cuentas bloqueadas.
• Códigos temporales y límites de uso en las acciones públicas (avisos de hallazgo, permisos de subida); bloqueo de cuentas y correos por uso indebido.
• Registros de auditoría de operaciones sensibles y cabeceras de seguridad del navegador (por ejemplo, impedir que el sitio se incruste en otros).

Ninguna medida garantiza una protección absoluta. Si ocurre un incidente de seguridad que afecte datos personales, el responsable lo investigará, lo corregirá, informará a las personas afectadas cuando corresponda y a la autoridad competente según la ley.

13. Conservación de los datos

• Cuenta, perfil, mascotas, reportes, avisos y archivos: mientras la cuenta exista. Al eliminar la cuenta se eliminan, junto con sus archivos (sección 14).
• Pedidos de placas y los datos de envío: se conservan mientras el pedido esté en curso. Al terminar cada mes, el administrador principal descarga un PDF de respaldo con los pedidos y envíos ya cerrados o entregados de ese mes (para poder atender reclamos de garantía) y, solo después de confirmarlo, esos datos personales se anonimizan en la plataforma. El respaldo en PDF queda bajo custodia de la persona responsable de la plataforma.
• Traspasos de mascotas ya terminados (aceptados, rechazados o cancelados): en el mismo cierre mensual se anonimiza la pista del correo de la persona adoptante y la nota; en el PDF solo aparecen cifras.
• Consentimientos: se conservan como prueba mientras exista la cuenta; si la cuenta se elimina, se eliminan con ella.
• Mascotas de una organización traspasadas a una persona adoptante: la copia de la organización se oculta de inmediato y se elimina a los 30 días del traspaso (esa limpieza se está implementando; mientras tanto permanecen ocultas).
• Auditoría y bloqueos: los registros de auditoría que deben conservarse quedan anonimizados al eliminar la cuenta; un bloqueo queda sin datos que identifiquen a la persona ni notas, solo con tipo, estado y fechas. Un bloqueo de correo conserva el correo bloqueado (o una huella de él) para impedir nuevos registros.
• Placas QR: al eliminar la cuenta se anulan y se desvinculan de la mascota, y se conserva un registro mínimo de su historial.
• Fotografías de reportes y avisos: se conservan mientras el reporte o la cuenta existan.

Vigencia de las bases de datos: mientras el proyecto esté activo y se cumplan las finalidades descritas en esta política.

14. Eliminación de la cuenta y bloqueos

La persona usuaria puede eliminar su cuenta desde «Seguridad y privacidad», con su contraseña y escribiendo ELIMINAR. Se elimina la identidad de acceso, el perfil, las mascotas, los reportes, las notificaciones y los archivos que le pertenecen; no queda copia en la plataforma de esos datos. El correo vuelve a quedar libre. Lo único que se conserva es información de auditoría anonimizada.

La eliminación puede quedar bloqueada mientras haya reportes activos, pedidos en curso, la persona sea la única administradora o gestione una organización. Las cuentas de organización (fundación, veterinaria, aliado y proveedor) todavía no pueden eliminarse por sí mismas: para ellas la eliminación se solicita por correo y se atiende manualmente.

Cuentas con restricciones o bloqueadas

La plataforma puede bloquear una cuenta o un correo por uso contrario a los Términos de uso o a la ley. El bloqueo lo decide y lo levanta una persona administradora (no hay decisiones automáticas ni perfiles). Una cuenta bloqueada puede iniciar sesión, consultar su información, ejercer sus derechos y eliminar su cuenta, pero pierde funciones como publicar o modificar contenido. Para bloquear solo se guarda lo mínimo: la cuenta o el correo, el estado, las fechas, quién lo aplicó y una nota breve; No se recogen direcciones IP, huellas del dispositivo ni intentos fallidos con esa finalidad. Una cuenta bloqueada por más de un mes podrá eliminarse automáticamente cuando el responsable active esa función (aún no está activa). Si crees que tu cuenta se bloqueó por error, escribe al correo de contacto.

15. Derechos del titular

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización otorgada, salvo cuando la ley no la exija.
• Ser informado sobre el uso que se ha dado a sus datos.
• Revocar la autorización y solicitar la supresión de los datos cuando no exista un deber legal o contractual de conservarlos.
• Acceder de forma gratuita a sus datos personales.
• Presentar quejas ante la Superintendencia de Industria y Comercio, una vez agotado el trámite de consulta o reclamo ante el responsable.

Buena parte de los datos puede actualizarse en «Mi perfil»; las autorizaciones opcionales, en «Seguridad y privacidad». La revocatoria o supresión no procede cuando exista un deber legal o contractual de conservar la información.

16. Consultas y reclamos

Se presentan por escrito al correo huellasdevueltacol@gmail.com, identificando al titular y describiendo lo que solicita. El área que las atiende es el responsable.

Consultas

Se responden en máximo 10 días hábiles desde su recibo. Si no es posible, se informa al interesado el motivo de la demora y la nueva fecha, que no puede pasar de 5 días hábiles más.

Reclamos (corrección, actualización, supresión o revocatoria)

• El reclamo debe incluir la identificación del titular, la descripción de los hechos, la dirección o medio de contacto y los documentos que se quieran hacer valer.
• Si está incompleto, se pide completarlo dentro de los 5 días siguientes a su recibo. Si en 2 meses no se completa, se entiende que se desistió.
• Si quien lo recibe no es competente, lo traslada a quien corresponda en máximo 2 días hábiles e informa al interesado.
• Una vez completo, en máximo 2 días hábiles se incluye en la base de datos la leyenda «reclamo en trámite» y el motivo, hasta que se resuelva.
• Se responde en máximo 15 días hábiles desde el día siguiente a su recibo completo. Si no es posible, se informa el motivo y la nueva fecha, que no puede pasar de 8 días hábiles más.

Agotado este trámite, el titular puede acudir a la Superintendencia de Industria y Comercio.

17. Menores de edad

La plataforma no está dirigida a menores de 18 años y no admite cuentas de menores: para crear la cuenta se exige declarar la mayoría de edad. No se piden datos de niños, niñas ni adolescentes. Si se detecta una cuenta o datos de un menor, se eliminarán a solicitud de su representante legal o por iniciativa del responsable. La plataforma no verifica documentos de identidad: la declaración de mayoría de edad es la que hace la propia persona.

18. Cambios, vigencia y fecha

Esta política corresponde a la versión 1.0, es un borrador pendiente de revisión jurídica y su última actualización fue el 19 de octubre de 2026. Cuando se apruebe una versión definitiva con cambios sustanciales, se publicará con un número nuevo, se avisará dentro de la plataforma y se pedirá a las personas con cuenta que la acepten de nuevo al ingresar; el historial de aceptaciones anteriores se conserva mientras exista la cuenta.

Los Términos de uso (/legal/terminos-de-uso) son un documento aparte. La base de datos tiene vigencia mientras el proyecto esté activo y se cumplan sus finalidades.