*Documento interno — no se publica*

# Auditoría de consistencia del paquete legal (P23)

1. Se revisaron los documentos 02 a 21 contra el Contexto Maestro v2 (CM v2) y entre sí: 54 hallazgos (16 de prioridad alta, 20 media y 18 baja). No se editó ningún documento.
2. Coinciden con el CM v2 en todo el paquete: razón social, NIT, teléfono, correos, URL públicas, fecha de vigencia y versiones, plazos de habeas data y supresión, retención, pago B2B, SLA, confidencialidad, controversias y reglas de propiedad intelectual. Ninguna página pública usa URL fuera de §3 ni proveedores en Brasil, Singapur o China.
3. Casi todos los hallazgos altos son promesas públicas o contractuales que 18, 19 y 20 marcan como brechas: el no entrenamiento de ElevenLabs, Dapta sin declarar, la clonación de voz y los datos de salud que el EIPD suspende, el Anexo B del DPA y la severidad 1 del SLA.
4. Hay funciones no confirmadas en textos públicos: «puede pedir que no se grabe», redacción de tarjetas, Desconectar Instagram y Messenger desde el panel, pruebas y registros de IA aún no construidos. Además, 08 y 12 se contradicen sobre publicidad y cookies.
5. Los problemas jurídicos principales son una remisión rota del tope especial de responsabilidad (02 cl. 9), el deber propio del Encargado de reportar incidentes a la SIC (art. 18 lit. k Ley 1581 de 2012) y una cita imprecisa del Código Civil en 05.

| Documento | Sección | Texto actual (cita corta) | Problema | Corrección propuesta | Prioridad |
|---|---|---|---|---|---|
| 03 y 08 | 03 §6; 08 §6 (fila «Voz») | 03: «se le avisará al inicio y puede pedir que no se grabe»; 08: «puede pedir que no se grabe» | Promete evitar o detener la grabación a pedido. El CM v2 §4 la lista como función NO confirmada («stopping a recording mid-call»). Contradice 10 §3.3: si la persona no acepta, el Agente la transfiere a un asesor o termina la llamada. | Usar el texto de 10 §3.3: «Si no acepta la grabación, el agente le transfiere a un asesor o termina la llamada». | alta |
| 15 | §5, fila «Audio de llamadas» | «☐ No grabar ☐ Grabar y conservar 90 días (por defecto)» | Deja la grabación activa por defecto. Según el CM v2 §4, se graba solo si el Cliente lo activa. El EIPD 20 (§3, §6 R4) toma como control existente la «Grabación desactivada por defecto» y calcula el riesgo residual con ese control. | Marcar «No grabar (por defecto)» y dejar «Grabar y conservar 90 días» como opción. | alta |
| 03, 06, 08, 09 y 10 | 03 §6; 06 §9.6; 08 resumen, §7 y §12; 09 §2 (fila ElevenLabs); 10 §7.2 | 09 y 10: «Exclusión de entrenamiento activada»; 03: «No usamos sus conversaciones, audios ni archivos para entrenar modelos de IA, propios o de terceros» | 18 B5 la califica de «promesa pública falsa». La exclusión de ElevenLabs no está confirmada por escrito y su retención por defecto es de 2 años (09, pendientes). El 20 A1 sigue pendiente hasta el 7 nov. 2026. | No publicar 03, 06, 08, 09 ni 10 hasta cerrar A1. Otra opción: publicar en 09 y 10 el estado real y sacar la voz de la promesa de no entrenamiento hasta tener la exclusión por escrito. | alta |
| 06, 08, 10, 11 y 15 | 06 §9.5; 08 §7 y §16.1; 10 §3.5; 11 §7.3; 15 §5 | 10 §3.5: «Un Agente puede hablar con la voz clonada de una persona real solo si esa persona dio su autorización escrita…» | Presentan la clonación de voz como servicio disponible hoy, como dice el CM v2 §4. Pero 20 §8.2 decide: «la clonación de voz no se ofrece a nuevos Clientes hasta cerrar A1 y A5» (fecha: 7 nov. 2026). | Cerrar A1 y A5 antes de publicar. Si no, agregar en 06 §9.5, 10 §3.5 y 15 §5 que la voz clonada se activa solo con el formulario de autorización (A5) y con la exclusión de entrenamiento (A1). Dejar la decisión en el CM. | alta |
| 02 y 15 | 02 Anexo A (fila «Datos sensibles»); 15 §5 (fila «Datos sensibles») | 02: «Si el caso de uso los implica (por ejemplo, datos de salud en clínicas y consultorios), el Responsable lo indica en la Orden de Servicio» | Los contratos ya admiten datos de salud. Pero 20 §8.2 decide que «los Agentes para clínicas y consultorios no tratan datos de salud hasta cerrar A6» (fecha: 21 nov. 2026), y el riesgo R6 solo es aceptable con A6 cerrado. | Agregar en 15 §5: «Datos de salud: solo con el Modo clínica activo (EIPD, acción A6)». Otra opción: no firmar con clínicas hasta cerrar A6. | alta |
| 02, 06, 08, 09, 12 y 16 | 06 resumen; 08 §13.2; 09 §1.3 y §2; 02 cl. 5 y Anexo C; 12 §5.2; 16 §5.2 | 08: «Alojamos y tratamos los datos solo en Colombia, Estados Unidos y Estados de la Unión Europea. No los alojamos ni los enviamos a otros países.» | Dapta tiene hoy agentes de clientes, pero no figura en 09 ni en 02 Anexo C. Su ubicación está «Por confirmar» (18 §3 y B2; 19 S13; 20 §2.3 y R10; 21 E7). Hoy la promesa de ubicación y la lista de Subencargados son inexactas. | Terminar la migración antes de publicar. Si no, agregar Dapta a 09 §2 y a 02 Anexo C con ubicación, DPA y retención. Si sus datos están fuera de Colombia, EE. UU. o la UE, no publicar la promesa absoluta. | alta |
| 02 | Anexo B, viñeta 6 | «Redacción automática de datos sensibles (tarjetas, documentos) antes del envío a modelos de lenguaje, cuando se configure.» | El CM v2 §4 la lista como función NO confirmada y 18 B11 dice que no existe. Además, «cuando se configure» da a entender que el Cliente puede activarla. | Quitar la viñeta o cambiarla por la regla de 06 §7.4 y 11 §4.7: los Agentes no piden números completos de tarjetas, cuentas ni contraseñas. | alta |
| 02 | Anexo B, viñetas 2, 3 y 4 | «pruebas periódicas de aislamiento»; «Gestión de llaves en un servicio de KMS con rotación»; «Autenticación multifactor y principio de mínimo privilegio» | 18 las marca como brechas de prioridad alta: B1 (no hay KMS), B3 (pruebas de aislamiento sin confirmar) y B6 (MFA sin verificar). Las acciones 20 A2 y A10 siguen pendientes. El DPA promete algo que no se cumple desde el día de la firma. | Cerrar B1, B3 y B6 antes de firmar, o usar el texto alternativo de 18 B1 («gestión segura de llaves, separadas de los datos, con rotación») y prometer las pruebas solo cuando existan. | alta |
| 05 | A.5, severidad 1 | «Caída total; agentes sin responder · 1 hora · 24x7» | Para 18 B4 (alta), el incumplimiento es «casi seguro» con una sola persona. El pendiente de 05 y el 00 Índice piden revisarlo. | Cambiar a «2 horas, de 7:00 a. m. a 10:00 p. m., todos los días» (propuesta de 05 y 18) o contratar guardia antes de firmar. | alta |
| 02 | Cláusula 9 | «tendrá el tope especial previsto en los Términos y Condiciones B2B» | Remisión rota. 04 §12 no fija un tope especial y remite al SLA. El tope de 2 veces está en 05 C.3 y 06 §18.2. Un Cliente que solo aceptó 06 no firmó 04. | Remitir a «la sección C.3 del Acuerdo de Nivel de Servicio o, si no se firmó, la sección 18.2 de los Términos de Servicio (2 veces lo pagado en los 12 meses anteriores)». | alta |
| 02, 10 y 18 | 02 cl. 2.6 y 6; 10 §10.3; 18 §5, paso 5 | 18: «Si somos Encargado, apoyamos al Cliente para que reporte (art. 18, literal k)»; 10: «para que, como Responsable, reporte a la SIC» | El art. 18 literal k de la Ley 1581 de 2012 le da al Encargado un deber propio: «Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad…». Los tres documentos dejan el reporte solo en manos del Responsable. | Agregar que ialabs, como Encargado, también informa a la SIC (art. 18 lit. k), en coordinación con el Cliente y dentro de los mismos 15 días hábiles [VERIFICAR con el abogado y con la Circular Única, Título V]. | alta |
| 08 y 12 | 08 resumen, §7 («Lo que no hacemos») y §20; 12 §2, §3.2 y §3.3 | 08 §20: «cookies necesarias y, solo con su consentimiento, cookies de preferencias y de analítica»; 12 §2: «Marketing — … mostrarle anuncios relacionados» | 08 omite las cookies de marketing (píxel de Meta) que declara 12. Habla de cookies de «preferencias», que 12 trata como necesarias. Su resumen dice «no los usamos para publicidad». Y §7 no incluye la finalidad de medir campañas o mostrar anuncios (art. 2.2.2.25.2.1 Decreto 1074 de 2015). | En 08 §20, usar las tres categorías de 12. En 08 §7, agregar la finalidad «medir campañas y mostrar anuncios de ialabs a visitantes que lo autoricen». Precisar el resumen: no se usan para publicidad los datos de la Plataforma, de Meta ni de Google. | alta |
| 12 | §3.3, fila _fbp de s360.tech | «Distinguir visitas para medir campañas (píxel de Meta). Solo si usted acepta» | El inventario del anexo de 12 y el 00 Índice §3 muestran que s360.tech crea _fbp antes del consentimiento y no muestra aviso. Si se publica así, la frase es falsa. | Corregir s360.tech antes de publicar 12: cargar el píxel solo después de «Aceptar todo» y mostrar el aviso del Anexo. | alta |
| 10 y 08 | 10 §4.2, §8 y §9.1; 08 §15.1 | 10 §8: «Ningún Agente se activa sin pasar estas pruebas»; 08 §15.1: «pruebas contra la manipulación de instrucciones de los Agentes (prompt injection)» | 20 §6 marca como planeadas (P) las pruebas de 50 preguntas y las de inyección (A3, fecha: 21 nov. 2026). Según 18 B10 y el anexo de 10, el registro de versiones (9.1) y el escalamiento automático (4.2) aún no existen («No publicar promesas que la Plataforma aún no cumple»). | Construirlos y guardar la evidencia antes de publicar, o redactar estas secciones como compromiso con fecha de inicio. Mantener la coherencia con 20 §6. | alta |
| 08 | §15.1 | «cifrado en tránsito y en reposo; … control de accesos por roles con autenticación multifactor» | 18 B6 (alta): la MFA de las cuentas de administración no está verificada. 18 B9: el disco del VPS no tiene cifrado confirmado. 20 A10 sigue pendiente (fecha: 31 oct. 2026). | Cerrar A10 y B6. Limitar «en reposo» a Supabase y R2, o cifrar el volumen del VPS antes de publicar. | alta |
| 07 | §2.1 | «En la configuración de canales de la Plataforma, elija WhatsApp, Messenger o Instagram y use la opción «Desconectar».» | El CM v2 §4 solo confirma Desconectar WhatsApp, Desconectar Google y eliminar la cuenta y los datos. La opción para Messenger e Instagram no está confirmada y 19 W3 la marca [VERIFY]. Meta compara esta página con el producto. | Confirmarlo en el panel. Si no existe, para Messenger e Instagram describir solo la vía de Meta (§2.2) y el correo (§4). Actualizar el CM v2 §4. | alta |
| 06 y 02 | 06 §18.3; 02 cl. 9 | 06: «Estos límites no aplican en caso de dolo o culpa grave, incumplimiento de la confidencialidad u obligaciones de indemnidad, ni frente a los consumidores…» | Faltan dos excepciones del CM v2 §7 y de 05 C.4: las obligaciones de pago del Cliente y los daños a la vida o a la integridad de las personas. 02 cl. 9 solo exceptúa el dolo y la culpa grave. | Copiar en 06 §18.3 las cinco excepciones de 05 C.4 y remitir a ellas en 02 cl. 9. | media |
| 05 | Nota inicial y C.4 num. 1 | «Dolo o culpa grave (art. 1616 del Código Civil; la ley no permite condonarlos por anticipado)» | El art. 1616 regula hasta dónde se responde por los perjuicios. La prohibición de condonar el dolo futuro está en el art. 1522, y la culpa grave equivale al dolo por el art. 63 del Código Civil. | Citar «artículos 63 y 1522 del Código Civil» [VERIFICAR]. | media |
| 04 | §3 | «El Proveedor es Responsable únicamente de los datos de contacto y facturación del Cliente y de sus usuarios en la plataforma.» | Contradice 08 §5.1 y 06 §11.1. ialabs también es Responsable de los Usuarios Individuales, los prospectos, sus propios Agentes de venta, los visitantes y los proveedores. | Quitar «únicamente» o remitir a la sección 5 de la Política de Privacidad. | media |
| 04 | §16 | «la Orden de Servicio podrá pactar arbitraje CCI con sede en Medellín y en inglés» | El CM v2 §7 fija el arbitraje en la Cámara de Comercio de Medellín, en español. La opción CCI en inglés no está decidida y 15 no la incluye. | Quitar la frase, o registrarla como decisión en el CM v2 y agregar la casilla en 15. | media |
| 02 | Anexo B, viñetas 4, 5, 7 y 8 | «solo se da con ticket y queda registrado»; «Registros de auditoría inmutables»; «prueba de penetración anual»; «capacitación anual del personal» | 18 marca B7, B8 y B14 como brechas. El sistema de tickets no aparece en 18. | Cumplirlo antes de firmar o usar los textos alternativos de 18: «protegidos contra modificación» y «evaluación de seguridad anual». Para el soporte, decir «con registro de cada acceso». | media |
| 05 | A.6 | «Copias de respaldo diarias, cifradas, con rotación de 35 días»; «RPO … 24 horas … RTO … 8 horas» | 18 B12 y B13: la copia propia en R2 no está confirmada. Hoy solo hay los respaldos de Supabase de 7 días (09 y 19 W6) y no se ha probado ninguna restauración. | Programar la copia en R2 y hacer una prueba de restauración con acta antes de firmar, o describir los respaldos reales. | media |
| 09 y 08 | 09 §2, filas Twilio, Groq y OpenRouter; 08 §16.1 | 09: «Grabaciones: las borramos a los 90 días»; «Retención cero activada en su panel»; «No guarda los mensajes (registro desactivado)» | Presenta como hechos configuraciones pendientes: 20 A4 (borrado automático en Twilio y R2) y A8 (OpenAI, Anthropic, Groq y OpenRouter), ambas con fecha 7 nov. 2026. El anexo de 09 las marca como bloqueantes. | Configurarlas y guardar capturas fechadas antes de publicar 09, o publicar el estado real. | media |
| 02, 08 y 10 frente a 09 | 02 cl. 4; 08 §13.1; 10 §7.4 | 02: «El Encargado avisará con 30 días de anticipación cualquier nuevo subencargado.» | En materia de datos prevalece el DPA (02 cl. 10), pero ni el DPA ni 08 ni 10 recogen dos reglas de 09: la activación de proveedores en reserva sin nuevo plazo (§5.2) y el reemplazo urgente con aviso en 5 días hábiles (§5.3; CM v2 §7). | Agregar a 02 cl. 4 las reglas de 09 §5.2 y §5.3, y remitir a ellas desde 08 §13.1 y 10 §7.4. | media |
| 09, 18 y 21 | 09 §2; 18 §3; 21 R4, R7 y R11; 17 §9.1 | 21 R7: «Registro de solicitudes (ver 17); correo de ialabs.app»; R4: «software contable [HERRAMIENTA CONTABLE]» | Tres proveedores tratan datos y no están en 09 ni en el inventario de 18, y no consta su ubicación: el correo de ialabs.app (recibe PQR, solicitudes de supresión y reportes con datos de Contactos), la hoja de cálculo del Registro (17 §9.1) y el software contable y de facturación electrónica. | Identificarlos y confirmar que están en Colombia, EE. UU. o la UE. Agregarlos a 09 §2 D, a 18 §3 y, si reciben datos de Contactos, a 02 Anexo C. | media |
| 12 | §3.5 y §5.2 | «Nuestros proveedores tratan los datos solo en Colombia, Estados Unidos y Estados de la Unión Europea. La lista está en https://ialabs.app/legal/subencargados.» | Google Fonts, Adobe Fonts, el píxel de Meta, Google Tag Manager/Analytics y Cloudflare Web Analytics reciben datos de los visitantes y no están en 09. Adobe no aparece en ningún documento. No hay base para afirmar su ubicación. | Indicar que son terceros de §3 que actúan como responsables independientes (§5.1) y quitar la remisión a 09. Otra opción: alojar las fuentes en el propio servidor, como propone el anexo de 12. | media |
| 12 | §3.2, §3.3 y §3.4 | «[COOKIE] · Meta (facebook.com) · … · [DURACIÓN]»; «_ga, _ga_[ID]» | Quedan corchetes en el cuerpo de una página pública. El CM v2 §9 solo los admite para datos que nadie tiene, y estos se obtienen con el inventario del anexo. | Completar los nombres y las duraciones o quitar las filas antes de publicar. Escribir «_ga_ seguida del ID de la propiedad». | media |
| 03 y 08 frente a 06 | 03 §5; 08 §6 (fila «Cuenta y acceso») | 03: «Le recomendamos activar la autenticación de dos factores.»; 08: «autenticación multifactor, registros de inicio de sesión» | Dan por hecho que la Plataforma ofrece MFA a los usuarios. 06 §6.2 dice «cuando esté disponible» y el CM v2 §4 no la incluye entre las funciones que existen. | Confirmarlo. Si no existe, decir «cuando esté disponible» también en 03 y 08. | media |
| 02 y 03 | 02 cl. 3.5; 03 §12 | 02: «ofrecer herramientas para buscar, exportar, rectificar y suprimir datos»; 03: «Tendrá 30 días para descargar sus datos» | El CM v2 §4 solo confirma Desconectar WhatsApp y Google y eliminar la cuenta. La exportación es un diseño objetivo («enable the export endpoint», 19 W1). | Mientras no exista la herramienta, prometer la entrega de los datos a solicitud (JSON o CSV); si ya existe, confirmarla. | media |
| 07 frente a 17 y 19 | 07 nota de borrador y §4.3; 17 §3.1; 19 W5 | 07: «Esta página se registra en Meta for Developers como «URL de instrucciones de eliminación de datos»»; «Con él puede consultar el estado respondiendo a nuestro correo.» | 19 W5 diseña también el callback de eliminación de Meta y una consulta de estado en /legal/eliminacion?codigo=…. El panel de Meta pide elegir una de las dos opciones [VERIFICAR], y 07 no explica la consulta por código. | Elegir entre URL de instrucciones y callback. Si es callback, describir en 07 §4.3 la consulta en /legal/eliminacion?codigo= y ajustar la nota. Si no, quitar W5 de 17 y 19. | media |
| 18 y 19 frente a 10 | 18 B10; 19 A.5 | 19: «Registro de versiones de IA: modelo, instrucciones y base de conocimiento por respuesta (documento 10, §9)» | Según su tabla de cambios, 10 §9.1 ya pasó a un registro de versiones por Agente y de eventos por conversación. 18 y 19 describen la versión anterior, más exigente. | Alinear 18 B10 y 19 A.5 con 10 §9.1. | media |
| 19 | B.6, AT-12 | «Request received on 23 Dec 2026 … 25 Dec, 1 Jan, 6 Jan and weekends are skipped» | En Colombia el festivo de Reyes pasa al lunes siguiente (Ley 51 de 1983). En 2027 el 6 de enero cae miércoles y el festivo es el 11 de enero. La prueba aprobaría un cálculo errado de los plazos. | Cambiar «6 Jan» por «11 Jan 2027 (Epiphany moved to Monday, Ley 51 de 1983)». | media |
| 19 frente a 09 y 21 | 19 A.2 (fila «Datos de pago»); 09 §2 D; 21 R4 | 19: «No aplica: Bold es Responsable de esos datos» | 09 pone a Bold en la lista de proveedores que tratan datos por cuenta de ialabs y pide su contrato de tratamiento. 21 R4 lo pone como proveedor de una base de ialabs. El rol no es coherente: ¿transmisión o transferencia? | Definir el rol de Bold con el abogado y usar la misma calificación en 09, 19 y 21. | media |
| 20 frente a 10 | 20 §6, riesgos R1 y R7 | «si no sabe, escala (10, 4.2 y 8) (E)»; «el Agente escala si parece un menor (10, 4.2) (E)» | Marca el escalamiento automático como control que existe, pero el anexo de 10 pide «Construir… escalamiento automático (4.2)». El riesgo residual de R1 y R7 se calcula con un control que aún no existe. | Marcarlo como planeado (P), con acción y fecha, y recalcular el riesgo residual. | media |
| 20 frente a 06, 08 y 10 | 20 §7, acción A1 | «Pendiente (bloqueante para voz clonada)» | 06, 08 y 10 tratan la exclusión de ElevenLabs como bloqueante para publicar, y para toda la voz (síntesis, transcripción y agentes). 18 B5 la marca alta. 20 la limita a la voz clonada. | Extender A1 a todo el Flujo C y a la publicación de 06, 08, 09 y 10. | media |
| 20 frente a 08 y 10 | 20 §8 y §9; 08 §12; 10 §12.2 | 08: «Hacemos un estudio de impacto de privacidad antes de lanzar funciones de alto riesgo, como las de voz.» | La voz ya se ofrece (CM v2 §4). Sin embargo, 20 no está firmado y su §8 no concluye sobre el Flujo C, el agente de voz sin clonación. | Agregar en 20 §8 la conclusión sobre el Flujo C y firmar 20 antes de publicar 08 y 10. | media |
| 02 | Comparecencia | «los artículos 17, 18 y 25 de la Ley 1581 de 2012» | El art. 25 regula el Registro Nacional de Bases de Datos, no la transmisión ni el encargo. | Quitar el art. 25 [VERIFICAR]. | baja |
| 02 | Cláusula 5 | «Para el Reino Unido aplica el UK Addendum y para Brasil las cláusulas estándar de la ANPD.» | Puede leerse como permiso para enviar datos a Brasil, que el CM v2 §5 excluye. En realidad se refiere a titulares sujetos a la ley de Brasil (LGPD). | Precisar: «para titulares sujetos a la LGPD de Brasil, sin que los datos se alojen allí». | baja |
| 02, 03 y 04 | 02 consideración 1; 03 §2; 04 §2 | 02: «SMS, web chat y telefonía»; 03: «por aplicación, web, WhatsApp…» | El CM v2 §4 solo nombra WhatsApp, Instagram, Messenger y voz. «Web chat» (y «aplicación, web» en 03) no está confirmado, y 15 §3 no lo ofrece. | Usar los canales del CM v2 §4, y SMS solo si se confirma. | baja |
| 02 | Anexo C, último párrafo | «Meta (WhatsApp Business Platform) y Google (Calendar, Gmail, Drive y Sheets) no son Subencargados» | Omite Instagram y Messenger, que 09 §3 y el CM v2 §6 sí incluyen. | Escribir «Meta (WhatsApp Business Platform, Instagram y Messenger)». | baja |
| 03 y 08 | 03 §11; 08 §7 | 03: «respondiendo STOP»; 08: «respondiendo «BAJA»» | Cada uno da una palabra distinta para la misma baja. 06, 07 y 11 usan «STOP» o «BAJA». | Usar «STOP» o «BAJA» en los dos documentos. | baja |
| 04 | §6 | «sigue el criterio de Moffatt v. Air Canada (2024) y del Estatuto del Consumidor colombiano, según los cuales la empresa responde por lo que dice su chatbot» | El Estatuto del Consumidor no menciona los chatbots. 10 §11.2 cita mejor: 2024 BCCRT 149 y art. 23 de la Ley 1480 de 2011. | Usar la redacción y las citas de 10 §11.2. | baja |
| 05 frente a 15 | 05 nota inicial y C.8 | «para consumidores B2C, la Sección C solo rige en lo que no contradiga la Ley 1480» | 05 sugiere que la Sección C se aplica a consumidores, pero 15 §2 dice que para ellos los Términos para consumidores reemplazan el SLA. | Decir que 05 no se aplica a consumidores (CM v2 §7: «never against consumers»). | baja |
| 08 | §3 | «los principios fijados por la Corte Constitucional en las sentencias C-748 de 2011 y T-323 de 2024» | La T-323 de 2024 trata del uso de IA por jueces. 10 §2 aclara que se aplica por analogía; 08 no lo dice. | Agregar «(la T-323, por analogía)» o quitarla de 08. | baja |
| 11 | §4.6 | «WhatsApp Business Commerce Policy» | 06 §7.3 la llama «WhatsApp Commerce Policy», el nombre que usa Meta. | Unificar en «WhatsApp Commerce Policy». | baja |
| 12 | §4.1 frente al Anexo | «un aviso con dos botones del mismo tamaño y visibilidad: «Aceptar todo» y «Rechazar»» | El texto del Anexo tiene tres botones: «Rechazar», «Configurar» y «Aceptar todo». | Mencionar los tres botones y aclarar que «Rechazar» y «Aceptar todo» tienen el mismo tamaño. | baja |
| 13 | Anexo interno, pendientes | «Enlazar esta página en el pie de los tres Sitios y en 06 §13.3.» | 06 §13.3 ya enlaza a /legal/desarrollos. | Dejar solo el enlace del pie de página. | baja |
| 16 | §11 | «salvo ialabs a una sociedad bajo control común, con aviso» | El CM v2 §1, 04 §17 y 06 §22 exigen un aviso de 30 días. | Escribir «con aviso previo de 30 días». | baja |
| 17 y 19 | Líneas 1 a 5 | Línea 2 en blanco y «*Documento interno — no se publica*» en la línea 3 | El CM v2 §9 lo pone en la línea 2 y el encabezado en la línea 3, como en 14, 18, 20 y 21. | Quitar la línea en blanco. | baja |
| 19 frente a 09 y 10 | 19 B.2 (S9) y W7 | «Nothing stored under our settings (zero retention, logging off)» (Anthropic, Groq, OpenRouter) | 09 §2 y 10 §7.2 publican que Anthropic conserva los datos hasta 30 días, y su retención cero solo está solicitada (09, pendientes). El certificado de W8 diría algo distinto de 09. | Escribir: «Anthropic: up to 30 days unless zero retention is granted». | baja |
| 19 frente a 08 | 19 A.2 (fila «Soporte y PQR») | «12 meses desde la última interacción» | 08 §16.1 no publica ningún plazo para soporte y PQR, aunque 08 §6 trata esos datos. | Agregar la fila a 08 §16.1. | baja |
| 21 | R4 y R11 | «software contable [HERRAMIENTA CONTABLE]» | El fundador tiene este dato. El CM v2 §9 solo admite corchetes para datos que nadie tiene. | Completar el nombre del software. | baja |
| 21 | §3, fila E8 | En «Proveedor» dice «No se guardan copias después de la entrega, salvo pacto escrito (08, 11.6)» | Las columnas están corridas: en «Proveedor» quedó el texto de conservación. | Proveedor: «— (sistemas del Cliente)». Conservación: «Hasta la entrega; sin copias después, salvo pacto escrito (08, 11.6)». | baja |
| 21 | §5.2 | «2026 · $52.374 · Resolución DIAN 000238 del 15 de diciembre de 2025» | El valor y la resolución no llevan nota de verificación y no se pudieron confirmar en esta auditoría. | Agregar [VERIFICAR] o adjuntar la resolución. | baja |

## Estado después de las correcciones (22 de octubre de 2026)

**Corregidos en el texto:** las altas de grabación (03, 08 y 15), clonación de voz (se activa solo con formulario y exclusión de entrenamiento: 06, 10 y 15), datos de salud («modo clínica»: 02 y 15), Anexo B del DPA, severidad 1 del SLA (2 horas, de 7:00 a. m. a 10:00 p. m.), remisión del tope en 02 cl. 9, deber del Encargado ante la SIC (art. 18 lit. k: 02, 10 y 18), publicidad y cookies de marketing en 08, cifrado en reposo y «medidas» contra prompt injection en 08 §15.1, y desconexión de Instagram y Messenger en 07. También todas las medias y bajas de redacción y citas: excepciones al tope en 06 §18.3, arts. 63 y 1522 del Código Civil, 04 §3 y §16, respaldos en 05, reglas de reserva y urgencia en 02 cl. 4, terceros de cookies en 12, MFA «cuando esté disponible», copia de datos a solicitud, callback de Meta opcional en 19, registro de versiones en 18 y 19, festivo de Reyes en 19, controles planeados en 20, conclusión del Flujo C, canales confirmados, STOP o BAJA, Commerce Policy, botones del aviso, 30 días en 16, encabezados de 17 y 19, retención de Anthropic, fila de soporte en 08 y columnas de 21.

**Quedan como bloqueantes operativos (no se resuelven con texto):**

| Hallazgo | Qué hay que hacer | Fecha (EIPD) |
|---|---|---|
| Exclusión de entrenamiento de ElevenLabs | Obtenerla por escrito y fijar 90 días de retención | A1 · 7 nov. 2026 |
| Dapta sin declarar | Declararla en 09 y 02 Anexo C o terminar la migración | A9 · 7 nov. 2026 |
| Píxel de Meta en s360.tech antes del consentimiento | Cargarlo solo después de «Aceptar todo» y mostrar el aviso | Antes de publicar 12 |
| Pruebas, registro de versiones y escalamiento de la 10 | Construirlos y guardar evidencia | A3 · 21 nov. 2026 |
| MFA de las cuentas de administración | Activarla en todas | A10 · 31 oct. 2026 |
| Configuraciones de Twilio, Groq, OpenRouter, OpenAI y Anthropic (09) | Configurar y guardar capturas fechadas | A4 y A8 · 7 nov. 2026 |
| Proveedores sin listar (correo, hoja del Registro, software contable) y rol de Bold | Identificarlos y definir el rol con el abogado | Antes de publicar 09 |
| Nombres y duraciones de cookies tras aceptar (12) | Inventario con DevTools | Antes de publicar 12 |
| Prueba de restauración de respaldos (05 A.6) | Hacerla y guardar el acta | Antes de firmar 05 |