Política de Privacidad
Última actualización: 1 de octubre de 2026 · Versión 2.2
VIBEWORKFLOW es un producto y nombre comercial operado por FIRPLAK S.A., sociedad colombiana identificada con NIT 890.927.404-0, con domicilio en Itagüí, Antioquia, Colombia. Esta Política de Privacidad describe cómo recopilamos, utilizamos, almacenamos y protegemos los datos personales de usuarios, administradores de tenant y colaboradores de las organizaciones clientes. Aplica a todos los servicios en https://vibeworkflow.co, sus aplicaciones web, su servidor de protocolo contextual (MCP) y sus integraciones con Microsoft 365 y Google Identity.
01.¿Quiénes somos y cómo contactarnos?
FIRPLAK S.A., operando bajo la marca VIBEWORKFLOW, actúa como responsable del tratamiento cuando determina las finalidades y medios del tratamiento de datos personales. Cuando procesa información siguiendo instrucciones documentadas de un cliente empresarial, actúa como encargado del tratamiento.
- Razón social: FIRPLAK S.A.
- NIT: 890.927.404-0
- Marca comercial: VIBEWORKFLOW
- Domicilio y dirección: Calle 29 #41-15, Itagüí, Antioquia, Colombia
- Representación legal: FIRPLAK S.A., según certificado de existencia y representación legal vigente.
- Oficial de Privacidad / DPO: privacy@vibeworkflow.co
- Seguridad / Brechas: security@vibeworkflow.co
- Asuntos Legales: legal@vibeworkflow.co
02.Datos que recopilamos y Protocolo MCP
| Categoría | Ejemplos | Origen |
|---|---|---|
| Identificación Google | Nombre completo, correo electrónico, foto de perfil, identificador único de cuenta | Google Identity Services (OAuth 2.0: openid, email, profile) |
| Identificación Microsoft | Nombre, correo institucional, ID de usuario Entra ID | Microsoft Entra ID (OAuth) |
| Contacto y perfil | Cargo, departamento, foto | User.Read, User.ReadBasic.All |
| Comunicaciones Teams | Patrones de interacción (metadatos, no contenido íntegro) | Chat.Read, ChatMessage.Read |
| Tareas Planner | Título, estado, fecha, notas, checklist y asignaciones de tareas | Tasks.ReadWrite |
| Documentos SharePoint y OneDrive | Metadatos y contenido textual de documentos accesibles por el usuario, procesados por IA para extraer contexto de procesos | Files.Read.All |
| Datos de la plataforma | Flows creados, entornos, sesiones de lienzo, tarjetas, ontología y documentación | Generados en VIBEWORKFLOW |
| Técnicos / logs | IP, User-Agent, timestamps, identificadores de sesión, registros de error | Servidores de la plataforma |
El servidor MCP de VIBEWORKFLOW permite a clientes de IA autorizados interactuar con el grafo de conocimiento corporativo. Las categorías de datos que puede consultar o devolver el MCP están estrictamente acotadas a:
- Identidad y perfil corporativo: Nombre, dirección de correo, rol asignado y organización vinculada.
- Entornos y áreas de trabajo: Identificadores, denominaciones y configuraciones de espacios organizacionales activos.
- Miembros, roles y responsables: Listado de miembros del equipo, responsabilidades asignadas y niveles de permiso.
- Flujos, macroflujos, nodos y conexiones: Estructura del grafo operacional, dependencias, tipos de nodo y relaciones entre procesos.
- Documentos Markdown asociados a tarjetas: Procedimientos operativos estándar (SOPs), directivas, especificaciones técnicas y documentación contextual.
- Tareas, checklists e información de implementación: Pasos de ejecución, estados de avance, soluciones asociadas e ítems de verificación.
- KPIs y datos operacionales: Métricas de rendimiento, tiempos de ciclo, volumen y datos de proceso modelados en el lienzo.
- Registros técnicos estrictamente necesarios para seguridad y funcionamiento: Identificadores de sesión, trazabilidad de llamadas a herramientas, auditoría de mutaciones y prevención de abusos.
Lo que NO recopilamos:
- El contenido íntegro de conversaciones privadas en Teams.
- Datos de categorías especiales o sensibles (salud, religión, orientación, datos biométricos).
- Datos de buzones de correo electrónico completos (Outlook / Exchange).
- Archivos binarios completos (imágenes, videos, ejecutables). Solo se procesa el contenido textual relevante de documentos autorizados.
03.Bases Legales del Tratamiento
| Categoría de dato | Base legal GDPR (Reglamento UE 2016/679) | Base legal Colombia (Ley 1581/2012 y Decreto 1074/2015) |
|---|---|---|
| Autenticación y perfil corporativo | Art. 6(1)(b) — ejecución de contrato | Art. 10(a) Ley 1581 / Dec. 1074 Art. 2.2.2.25.2.1 — ejecución de contrato |
| Datos de Teams y actividad autorizada | Art. 6(1)(a) — consentimiento del admin | Art. 9 Ley 1581 — autorización del responsable empresarial |
| Mapeo organizacional y servidor MCP | Art. 6(1)(b) — contrato / Art. 6(1)(f) — interés legítimo | Art. 10(c) Ley 1581 / Dec. 1074 — mandato o relación contractual |
| Logs de seguridad y auditoría técnica | Art. 6(1)(c) — obligación legal | Obligación legal y deber de seguridad de la información |
04.Finalidades del Tratamiento
- ▸Mapeo organizacional: Construir representaciones visuales de la estructura, roles, flujos de trabajo y dependencias.
- ▸Optimización de procesos: Identificar cuellos de botella, redundancias y oportunidades de automatización.
- ▸Generación de documentación: Crear diagramas de flujo, SOPs y entregables operacionales de forma automatizada.
- ▸Protocolo Contextual MCP: Permitir consultas seguras y contextualizadas desde clientes y agentes de IA autorizados.
- ▸Prestación y mejora del servicio: Garantizar el correcto funcionamiento de la plataforma y mejorar la experiencia de usuario.
- ▸Seguridad y cumplimiento: Prevenir accesos no autorizados, registrar auditorías técnicas y mitigar brechas.
- Publicidad comportamental o perfilado con fines comerciales propios.
- Venta, alquiler o cesión de datos personales o corporativos a terceros.
- Entrenamiento de modelos de IA generales propios o de terceros con datos del cliente.
- Vigilancia o seguimiento disciplinario individual de colaboradores del cliente.
05.Retención de Datos por Categoría
| Categoría | Retención activa | Tras terminación |
|---|---|---|
| Perfil e identificación corporativa | Vigencia de la cuenta | 30 días |
| Flows, entornos y documentación | Vigencia del contrato | 30 días |
| Metadatos de Teams y Planner | Vigencia del contrato | 30 días |
| Backups cifrados | Contrato + 30 días | 90 días |
| Logs de auditoría y técnicos | 12 meses | Al cumplirse el período legal |
| Datos de facturación | 5 años (obligación fiscal) | Al cumplirse el período fiscal |
06.Compartir Datos y Subprocesadores
FIRPLAK S.A. no vende ni comparte datos personales o corporativos con terceros para fines comerciales propios. Solo los subprocesadores de infraestructura y servicios verificados listados en la Sección 05 de los Términos de Servicio tienen acceso a datos, bajo contratos de procesamiento de datos conformes a la Ley 1581 de 2012, el Decreto 1074 de 2015 y el GDPR.
Cumplimiento con Google API Services User Data Policy
El uso y la transferencia a cualquier otra aplicación por parte de VIBEWORKFLOW de la información recibida de las API de Google se adherirán estrictamente a la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado (Limited Use).
- Los datos obtenidos a través de las API de Google solo se utilizan para la autenticación, verificación de identidad y provisión de las funcionalidades directas de la plataforma.
- No transferimos ni vendemos datos de usuarios de Google a terceros ni a corredores de datos (data brokers).
- No utilizamos datos de Google para publicidad segmentada ni para el entrenamiento de modelos de inteligencia artificial generales.
07.Transferencias Internacionales
Aplicamos Cláusulas Contractuales Tipo (SCC 2021) para la Unión Europea, el Acuerdo Internacional de Transferencia de Datos (UK IDTA) para el Reino Unido, y el régimen de transferencias de la Ley 1581 de 2012 y Decreto 1074 de 2015 para Colombia. Para ver la tabla detallada de subprocesadores, regiones y garantías, consulta la Sección 05 y Sección 06 de los Términos de Servicio.
08.Derechos del Titular
Las solicitudes de ejercicio de derechos deben remitirse con identificación válida a privacy@vibeworkflow.co. Plazos de atención: 15 días hábiles (Colombia), 30 días (GDPR), 45 días (CCPA).
Revocación de permisos de terceros: Puedes revocar el acceso concedido a VIBEWORKFLOW en cualquier momento desde la configuración de tu cuenta de Google en myaccount.google.com/permissions o desde el portal de aplicaciones empresariales de Microsoft en myapps.microsoft.com. Para solicitar la eliminación definitiva de tu cuenta y datos asociados, contáctanos a privacy@vibeworkflow.co.
🇪🇺 GDPR (UE)
- Acceso, Rectificación, Supresión
- Portabilidad, Oposición, Limitación
🇨🇴 Ley 1581/2012 y Dec. 1074/2015
- Conocer, Actualizar, Rectificar
- Suprimir datos, Revocar autorización
- Reclamo formal ante la SIC
🇺🇸 CCPA / CPRA
- Know, Delete, Correct
- Opt-Out, Limit, No discriminación
09.Cookies y Tecnologías Similares
| Tipo | Finalidad | ¿Esencial? |
|---|---|---|
| Sesión / Autenticación | Mantener sesión activa de forma segura (Supabase Auth) | Sí |
| Preferencias de idioma | Recordar idioma seleccionado (es/en) mediante cookie NEXT_LOCALE | Sí |
| Analítica web (Google Analytics) | Medir tráfico agregado y navegación anónima en sitio web público | No (opt-in) |
No utilizamos cookies de publicidad comportamental ni compartimos datos con redes publicitarias de terceros.
10.Menores de Edad
VIBEWORKFLOW es un servicio exclusivamente B2B para organizaciones y profesionales. No prestamos servicio a personas menores de 18 años ni recopilamos deliberadamente sus datos. Si detectamos que se han recopilado datos de un menor de edad, procederemos a su eliminación inmediata. Notificaciones a privacy@vibeworkflow.co.
11.Cambios a esta Política
Notificaremos cambios materiales con al menos 30 días de antelación al administrador del tenant u organización cliente. La versión vigente y actualizada estará siempre publicada en https://vibeworkflow.co/privacidad.
12.DPO y Autoridades Supervisoras
Oficial de Protección de Datos (DPO)
FIRPLAK S.A. — Área de Privacidad y Cumplimiento
privacy@vibeworkflow.coAutoridades Supervisoras
- 🇨🇴 SIC (Colombia): www.sic.gov.co
- 🇪🇺 EDPB (Unión Europea) / Autoridad nacional de protección de datos del titular
- 🇬🇧 ICO (Reino Unido): ico.org.uk