*Borrador para revisión de abogado colombiano*
*Documento interno — no se publica*

**IALABS.APP · AGENTRIXLABS.COM.CO · S360.TECH — CORDOVA GROUP S.A.S.**

# Inventario de Bases de Datos Personales y Decisión sobre el RNBD

Versión 1.0 · Vigente desde el 22 de octubre de 2026 · Cordova Group S.A.S., NIT 901578119-7 · Sitios: ialabs.app (sitio principal), agentrixlabs.com.co y s360.tech

## 1. Para qué sirve este inventario

1.1 Este inventario lista las bases de datos personales que trata Cordova Group S.A.S. («ialabs»), separando las que maneja como **Responsable** de las que maneja como **Encargado** de sus Clientes. Es la prueba de responsabilidad demostrada que exige el artículo 2.2.2.25.6.1 del Decreto 1074 de 2015, y la base para decidir si hay que inscribirse en el Registro Nacional de Bases de Datos (RNBD).

1.2 Lo actualiza Mateo Piza Ruiz, Representante Legal y Oficial de Protección de Datos, cada vez que se crea una base, se cambia un proveedor o una finalidad, y al menos una vez al año, en enero.

1.3 **Nivel de seguridad.** Alto: datos sensibles, biométricos, de menores, conversaciones o tokens de acceso. Medio: identificación, contacto, facturación. Bajo: datos técnicos sin contenido y datos agregados.

## 2. Bases en las que ialabs es Responsable

| ID | Base | Finalidad | Categorías de datos | Titulares | Ubicación | Proveedor | Conservación | Seguridad |
|---|---|---|---|---|---|---|---|---|
| R1 | Clientes y Usuarios Autorizados | Crear y administrar cuentas, prestar los Servicios, soporte | Nombre, cargo, empresa, NIT o cédula, correo, celular, credenciales cifradas, registros de acceso | Representantes y usuarios de Clientes | Estados Unidos o Unión Europea | Supabase | Mientras la cuenta esté activa; 30 días para exportar y luego eliminación | Medio |
| R2 | Usuarios individuales (B2C) | Prestar el Servicio a consumidores, facturar, atender garantías y retracto | Identificación y documento para factura, contacto, cuenta, uso, preferencias de contacto | Personas naturales consumidoras | Estados Unidos o Unión Europea | Supabase | Igual que R1 | Medio |
| R3 | Modelos de voz de personas reales | Que un Agente hable con la voz de quien lo autorizó | Grabaciones y modelo de voz (biométrico, dato sensible), autorización escrita | Personas que autorizan su voz | Estados Unidos | ElevenLabs; referencia en Supabase | Mientras esté vigente la autorización; supresión al revocarla | Alto |
| R4 | Facturación y pagos | Cobrar, emitir factura electrónica, cumplir obligaciones contables y tributarias | Razón social o nombre, NIT o cédula, dirección fiscal, correo de facturación, historial de pagos | Clientes y usuarios B2C | Colombia; Estados Unidos o Unión Europea | Bold; software contable [HERRAMIENTA CONTABLE]; Supabase | 10 años (art. 28 de la Ley 962 de 2005) | Medio |
| R5 | Prospectos y CRM comercial | Gestionar la relación comercial y enviar información con autorización | Nombre, empresa, cargo, correo, celular, servicio de interés, historial de contacto | Prospectos | Estados Unidos | HubSpot | 24 meses desde la última interacción o hasta la revocatoria | Medio |
| R6 | Autorizaciones y lista de exclusión | Probar las autorizaciones y no volver a contactar a quien se retiró | Texto aceptado y versión, fecha y hora, canal, identificador; número en forma cifrada | Clientes, usuarios B2C y prospectos | Estados Unidos o Unión Europea | Supabase; HubSpot | Pruebas: mientras se traten los datos y 3 años más (art. 52 de la Ley 1437 de 2011). Exclusión: hasta que el titular pida lo contrario | Medio |
| R7 | Solicitudes de titulares (consultas, reclamos, eliminación) | Atender derechos y probar que se cumplieron | Identificación, solicitud, respuesta, código de confirmación, certificado | Cualquier titular que escriba | Estados Unidos o Unión Europea | Registro de solicitudes (ver 17); correo de ialabs.app | 2 años | Medio |
| R8 | Conversaciones con nuestros propios Agentes de venta | Atender prospectos y clientes de ialabs | Número y nombre de perfil, mensajes, audios, transcripciones | Prospectos y clientes de ialabs | Estados Unidos o Unión Europea | Plataforma (OVHcloud, Supabase, Cloudflare); proveedores de IA de 09 | Conversaciones 12 meses; audio 90 días; transcripciones 12 meses | Alto |
| R9 | Visitantes de los Sitios | Seguridad, funcionamiento y, con consentimiento, analítica | IP, navegador, dispositivo, páginas vistas, identificadores de cookies | Visitantes de los tres Sitios | Estados Unidos o Unión Europea | Cloudflare; herramientas de la Política de Cookies (12) | Según la Política de Cookies; registros técnicos 12 meses | Bajo |
| R10 | Registros técnicos y de seguridad | Seguridad, prevención de fraude, soporte | Eventos, accesos, errores, identificadores de cuenta | Usuarios de la Plataforma | Estados Unidos o Unión Europea | OVHcloud, Supabase, Cloudflare | 12 meses; seguridad hasta 24 meses | Bajo |
| R11 | Proveedores, aliados y contratistas | Gestionar contratos y pagos | Nombre, documento, contacto, datos bancarios para pago, contrato | Proveedores y contratistas personas naturales | Colombia | Software contable [HERRAMIENTA CONTABLE]; correo | Mientras dure la relación; soportes contables 10 años | Medio |

## 3. Bases en las que ialabs es Encargado

El Responsable de cada base es el Cliente que contrató la Plataforma. Le corresponde a él inscribirlas en el RNBD si está obligado.

| ID | Base | Responsable | Finalidad | Categorías de datos | Titulares | Ubicación | Proveedor | Conservación | Seguridad |
|---|---|---|---|---|---|---|---|---|---|
| E1 | Conversaciones de Contactos (WhatsApp, Instagram, Messenger) | Cada Cliente | Las del Anexo A del DPA (02): atención, ventas, agendamiento, notificaciones, cobranza, soporte | Número y nombre de perfil, mensajes, imágenes, documentos, audios, ubicación compartida, estados de entrega. Puede incluir datos de salud en clínicas | Clientes, prospectos y pacientes del Cliente | Estados Unidos o Unión Europea | OVHcloud, Supabase, Cloudflare; proveedores de IA de 09; Meta (plataforma del Cliente) | 12 meses desde la última interacción, o menos si el Cliente lo fija | Alto |
| E2 | Llamadas: grabaciones y transcripciones | Cada Cliente | Atender por voz y permitir revisión | Número, audio, transcripción, metadatos | Igual que E1 | Estados Unidos | Twilio, ElevenLabs, R2 de Cloudflare, Supabase | Audio 90 días; transcripciones 12 meses | Alto |
| E3 | Bases de conocimiento, archivos e índices de búsqueda | Cada Cliente | Que el Agente responda con información del negocio | Documentos del Cliente y datos personales que contengan; fragmentos indexados | Los que aparezcan en esos documentos | Estados Unidos o Unión Europea | Supabase, R2 de Cloudflare | Mientras el Cliente los mantenga; eliminación al retirarlos o al terminar | Medio |
| E4 | Datos de Plataforma de Meta | Cada Cliente | Operar su WhatsApp, Instagram y Messenger | IDs y nombres de cuenta, números, plantillas, calidad, tokens cifrados | Representantes del Cliente y Contactos | Estados Unidos o Unión Europea | Supabase | Mientras la cuenta esté conectada; revocación en 1 día hábil y borrado en 15 días hábiles | Alto |
| E5 | Datos de Usuario de Google | Cada Cliente | Agendar citas, enviar correos, leer archivos elegidos | Eventos y asistentes, registros de envío, fragmentos de archivos, tokens cifrados | Usuarios del Cliente y Contactos | Estados Unidos o Unión Europea | Supabase | Citas 12 meses; registros de envío 12 meses; tokens hasta la desconexión | Alto |
| E6 | Flujos de automatización | Cada Cliente | Ejecutar integraciones y automatizaciones del Cliente | Datos que pasan por cada flujo y registros de ejecución | Contactos y usuarios del Cliente | Unión Europea (n8n Cloud); Estados Unidos (n8n autoalojado en el VPS) | n8n | Según la configuración de cada flujo; máximo los plazos de E1 | Medio |
| E7 | Agentes alojados en Dapta (temporal) | Clientes aún no migrados | Atender por WhatsApp y voz mientras termina la migración | Conversaciones, llamadas, datos de prospectos | Contactos de esos Clientes | Por confirmar | Dapta | Hasta la migración; luego eliminación y certificado | Alto |
| E8 | Datos en Desarrollos a la Medida | Cada Cliente | Construir o mantener el desarrollo contratado | Los que existan en los sistemas del Cliente | Los del Cliente | Sistemas del Cliente | — (sistemas del Cliente) | Hasta la entrega; sin copias después, salvo pacto escrito (08, 11.6) | Según el caso |

## 4. Ubicación y transmisiones

Todas las bases se alojan en Colombia, Estados Unidos o Estados de la Unión Europea, países con nivel adecuado según el numeral 3.2 del Capítulo Tercero del Título V de la Circular Única de la SIC (Circular Externa 005 de 2017). La única excepción por confirmar es E7 (Dapta). El envío a proveedores se hace como transmisión a Encargados, con contrato (arts. 2.2.2.25.5.1 y 2.2.2.25.5.2 del Decreto 1074 de 2015). La lista vigente está en 09.

## 5. ¿Debe Cordova Group inscribirse en el RNBD?

5.1 **Regla.** Desde el Decreto 090 de 2018, que modificó el artículo 2.2.2.26.1.2 del Decreto 1074 de 2015, solo deben inscribir sus bases en el RNBD: (a) las sociedades y entidades sin ánimo de lucro con **activos totales superiores a 100.000 UVT**; y (b) las personas jurídicas de naturaleza pública.

5.2 **Valor de la UVT.**

| Año | Valor de la UVT | Norma | 100.000 UVT |
|---|---|---|---|
| 2025 | $49.799 | Resolución DIAN 000193 de 2024 | $4.979.900.000 |
| 2026 | $52.374 | Resolución DIAN 000238 del 15 de diciembre de 2025 [VERIFICAR] | $5.237.400.000 |

La SIC mide los activos totales al 31 de diciembre del año anterior [VERIFICAR qué valor de UVT aplica: el del año del balance o el del año de la inscripción]. Por prudencia, se compara contra el umbral más bajo: **$4.979.900.000**.

5.3 **Decisión.**

| Si los activos totales de Cordova Group S.A.S. a 31 de diciembre de 2025 son… | Entonces |
|---|---|
| Iguales o menores a $4.979.900.000 | **No está obligada** a inscribirse en el RNBD en 2026. Conserva este inventario como prueba |
| Mayores a $5.237.400.000 | Está obligada: inscribir las bases R1 a R11 en el RNBD y actualizarlas cada año [VERIFICAR plazos de inscripción y actualización vigentes] |
| Entre los dos valores | Pedir concepto al abogado o consultar a la SIC antes de decidir |

Activos totales a 31 de diciembre de 2025: **[VALOR ACTIVOS TOTALES A 31-12-2025]** (dato del balance que firma el contador).

5.4 **Las bases de la sección 3 no las inscribe ialabs.** Si un Cliente está obligado, él inscribe esas bases como Responsable y declara a ialabs como Encargado.

5.5 **Aunque no haya obligación de inscribirse, se cumple todo lo demás.** La Ley 1581 de 2012 aplica igual: política publicada (08), autorizaciones con prueba, procedimiento de consultas y reclamos (17), seguridad (18), reporte de incidentes a la SIC (18, sección 5) y este inventario. La SIC puede pedir esta evidencia en cualquier investigación.

## 6. Mantenimiento

| Cuándo | Qué hacer |
|---|---|
| Al crear una base, cambiar un proveedor o una finalidad | Agregar o editar la fila; revisar si cambia 08 o 09 |
| Al cierre contable de cada año | Recalcular el umbral del RNBD con el nuevo balance y la UVT del año |
| Al terminar la migración de Dapta | Eliminar la fila E7 y guardar el certificado de eliminación |
| Una vez al año, en enero | Revisión completa junto con 18 y 20 |

## Anexo interno — no publicar

### Pendientes antes de usar

- [ ] Pedir al contador el valor de los activos totales a 31 de diciembre de 2025 y completar **[VALOR ACTIVOS TOTALES A 31-12-2025]**.
- [ ] Completar **[HERRAMIENTA CONTABLE]** (software de contabilidad y facturación electrónica).
- [ ] Confirmar la ubicación de los datos en Dapta (E7) y la región de Supabase y de OVHcloud.
- [ ] Confirmar si hay empleados; si los hay, agregar la base de personal (hojas de vida, nómina, seguridad social).
- [ ] Verificar con el abogado qué UVT aplica al umbral y los plazos de inscripción y actualización del RNBD.
- [ ] Revisión del abogado.