Política de Privacidad

1. Introducción

Kurit ("nosotros", "nuestro" o "la empresa") es una plataforma fintech de microcréditos que opera en Colombia. Esta Política de Privacidad describe cómo recopilamos, usamos, almacenamos, transferimos y protegemos la información personal de nuestros usuarios ("usted" o "usuario") en cumplimiento con la Ley 1581 de 2012 (Ley de Protección de Datos Personales), el Decreto 1377 de 2013 y la Ley 1266 de 2008 (Habeas Data) de la República de Colombia.

Esta versión 2.0.0 introduce un cambio sustancial respecto de versiones anteriores: la incorporación del Asistente Companion de Kurit, una experiencia conversacional asistida por inteligencia artificial que opera principalmente a través de WhatsApp y de la aplicación móvil. Por su naturaleza, esta funcionalidad implica nuevas categorías de datos, nuevas finalidades y nuevos encargados internacionales del tratamiento, todos los cuales se describen en esta política.

2. Responsable del Tratamiento de Datos

Empresa: Kurit S.A.S.
NIT: 901.985.236 - 6
Correo electrónico: negocio@kurit.co
Dirección: VRD Pepino, Barrio Los Prados, Mocoa, Putumayo, Colombia

3. Datos Personales que Recopilamos

Recopilamos los siguientes datos personales:

3.1 Datos de Identificación

Nombre completo
Correo electrónico
Número de teléfono
Documento de identidad
Fecha de nacimiento
Dirección de residencia
Ciudad y departamento de residencia

3.2 Datos Financieros

Información crediticia, incluida la consultada en centrales de riesgo (Datacrédito Experian)
Historial de préstamos y comportamiento de pago
Información de ingresos y empleo
Datos bancarios para desembolsos y pagos
Información de medios de pago (en proceso de tokenización por terceros autorizados)

3.3 Datos de Uso

Información del dispositivo (modelo, sistema operativo, versión de la aplicación)
Dirección IP y datos de geolocalización aproximada
Interacciones con la aplicación y la página web
Datos de comportamiento de uso del producto

3.4 Datos de Autenticación

Credenciales de inicio de sesión mediante correo electrónico, Google o Apple
Tokens de sesión y dispositivos vinculados

3.5 Datos del Asistente Companion

A partir de la versión 2.0.0, los usuarios que activen el Asistente Companion compartirán adicionalmente:

Mensajes de chat: texto enviado por usted al asistente a través de WhatsApp o de la aplicación, así como las respuestas del asistente.
Notas de voz: audio enviado por WhatsApp, que es transcrito automáticamente a texto en español para ser procesado por el asistente.
Imágenes de comprobantes: fotografías o capturas de pantalla de recibos, transferencias y comprobantes que usted comparta voluntariamente con el asistente.
Memoria del asistente (agent facts): datos derivados de sus conversaciones que el asistente guarda para personalizar su experiencia (por ejemplo, preferencias de tono, recordatorios recurrentes, etiquetas de gasto).
Características financieras agregadas: indicadores estadísticos derivados de su actividad (por ejemplo, ingreso promedio mensual, tasa de ahorro, concentración de gasto por categoría) que se utilizan para mejorar la evaluación de riesgo y personalizar las recomendaciones.

Usted puede activar o desactivar el Asistente Companion en cualquier momento desde Configuración → Companion dentro de la aplicación.

4. Finalidad del Tratamiento de Datos

Utilizamos sus datos personales para:

Evaluar y procesar solicitudes de microcréditos.
Gestionar contratos de préstamo y venta de productos a crédito.
Calcular intereses según la normativa colombiana vigente para microcréditos.
Facilitar la compra de productos a través de nuestros aliados comerciales.
Realizar el desembolso de préstamos y el cobro de cuotas.
Enviar notificaciones sobre el estado de sus créditos y pagos.
Cumplir con obligaciones legales, tributarias y regulatorias.
Mejorar nuestros servicios y la experiencia de usuario.
Prevenir, detectar e investigar fraudes y actividades ilícitas.
Operar el Asistente Companion: procesar mensajes de chat, notas de voz e imágenes de comprobantes para responder en lenguaje natural, registrar gastos e ingresos personales, organizar metas de ahorro, alertar sobre presupuestos y enviar recordatorios de pagos recurrentes.
Transcripción de audio: convertir notas de voz en español a texto, exclusivamente para que el asistente comprenda y procese su solicitud.
Lectura de comprobantes: interpretar imágenes y archivos PDF (por ejemplo, recibos de transferencia o reportes de Historia de Crédito) mediante reconocimiento óptico de caracteres y análisis con modelos de lenguaje.
Educación y coaching financiero: generar resúmenes mensuales, recomendaciones de ahorro y mensajes contextuales basados en su comportamiento financiero registrado.

5. Compartición de Datos

Podemos compartir su información con:

Aliados comerciales: tiendas y establecimientos con los que tenemos convenio para la venta de productos a crédito.
Entidades financieras: para el procesamiento de pagos, desembolsos y validación bancaria.
Centrales de riesgo: Datacrédito Experian y otras autorizadas, en cumplimiento con la Ley 1266 de 2008.
Procesadores de pago: Wompi (Colombia) para pagos electrónicos y PSE.
Operador de firma digital: ZapSign para la firma electrónica de pagarés y documentos contractuales.
Autoridades competentes: cuando sea requerido por ley o por orden de autoridad judicial o administrativa.
Proveedores tecnológicos de inteligencia artificial: detallados en el §9 de esta política.
Otros proveedores tecnológicos (alojamiento, mensajería, monitoreo): detallados en el §9 de esta política.

No vendemos ni alquilamos sus datos personales a terceros.

6. Almacenamiento y Seguridad

Sus datos son almacenados en servidores seguros con las siguientes medidas de protección:

Cifrado de datos en tránsito (TLS 1.2+) y en reposo.
Autenticación segura mediante correo y contraseña, Google Sign-In o Apple Sign-In.
Acceso restringido al personal autorizado bajo el principio de menor privilegio.
Monitoreo continuo de seguridad y registros de auditoría de cada acceso a datos personales.
Acceso a imágenes y notas de voz mediante URLs firmadas: los archivos cargados al Asistente Companion se almacenan en buckets privados de Google Cloud Storage; el acceso de lectura sólo es posible mediante URLs temporales firmadas con vencimiento corto.
Retención de datos del Companion: los mensajes de chat, las imágenes y los archivos de audio asociados al Asistente Companion se conservan durante un máximo de dieciocho (18) meses, transcurridos los cuales se eliminan automáticamente. Esta retención es independiente de la conservación de información comercial-financiera regida por la Ley 962 de 2005, que se mantiene durante diez (10) años.

7. Derechos del Titular

De acuerdo con la Ley 1581 de 2012 y la Ley 1266 de 2008, usted tiene derecho a:

Conocer: acceder a sus datos personales en nuestra posesión.
Actualizar: rectificar datos inexactos o incompletos.
Suprimir: solicitar la eliminación de sus datos cuando no sean necesarios para las finalidades autorizadas, salvo cuando exista deber legal o contractual de conservarlos.
Revocar: retirar su autorización para el tratamiento de datos.
Acceder: obtener copia de sus datos personales.
Presentar quejas: ante la Superintendencia de Industria y Comercio (SIC) por violaciones a la ley.

Para ejercer estos derechos puede escribir a negocio@kurit.co con asunto "Protección de Datos Personales", o utilizar el botón "Eliminar mis datos" en Configuración → Companion dentro de la aplicación.

8. Eliminación de Cuenta y Eliminación de Datos del Companion

Usted puede solicitar la eliminación de su cuenta y datos personales en cualquier momento desde la configuración de la aplicación o enviando un correo a negocio@kurit.co.

La función "Eliminar mis datos" del Companion elimina, en una sola operación, los siguientes registros asociados a su cuenta: mensajes de chat, transcripciones de audio, imágenes de comprobantes, registros de auditoría de inferencia, transacciones personales, cuentas personales, metas, presupuestos, reglas recurrentes, alias de comercios, memoria del asistente y preferencias del Companion.

Tenga en cuenta que:

Si tiene créditos vigentes, deberá saldarlos antes de la eliminación completa de la cuenta.
Algunos datos podrán ser conservados por obligaciones legales y regulatorias (información comercial-financiera regida por la Ley 962 de 2005, 10 años).
La eliminación de los datos del Companion ocurre de forma inmediata sobre los registros listados; la sincronización con copias de respaldo puede tomar hasta 30 días.
La eliminación de la cuenta completa se procesa en un plazo máximo de 15 días hábiles.

9. Encargados del Tratamiento — Inteligencia Artificial, Analítica e Infraestructura

Utilizamos herramientas y servicios de terceros para entender cómo usa la plataforma, operar el Asistente Companion y mejorar su experiencia. En todos los casos, estos encargados están vinculados por contratos que les prohíben usar la información para fines distintos a los aquí establecidos y les exigen niveles de protección equivalentes o superiores a los previstos por la legislación colombiana.

9.1 Asistencia con Inteligencia Artificial y procesamiento de medios

Los siguientes encargados procesan datos personales del Asistente Companion y se identifican aquí por nombre, dado el carácter no-fungible y la sensibilidad del tratamiento involucrado:

Anthropic, PBC (Estados Unidos): procesa los mensajes de chat, el contexto de la conversación, el texto extraído de comprobantes (OCR) y, de manera excepcional cuando el OCR no es viable, las imágenes en formato base64. Modelos utilizados: Claude (familias Sonnet, Haiku y Opus). Tratamiento gobernado por el Acuerdo de Tratamiento de Datos (Data Processing Addendum) corporativo de Anthropic, con configuración de no-entrenamiento (zero-data-retention) habilitada para la organización de producción de Kurit.
OpenAI, L.L.C. (Estados Unidos): procesa exclusivamente las notas de voz que usted envía por WhatsApp para transcribirlas a texto en español, mediante el modelo Whisper. La transcripción es enviada al asistente y el audio original se elimina. Tratamiento gobernado por el Acuerdo de Tratamiento de Datos de OpenAI más la adenda de Zero Data Retention.
Mistral AI, SAS (Francia / Estados Unidos): procesa archivos PDF (por ejemplo, reportes de Historia de Crédito de Datacrédito) mediante reconocimiento óptico de caracteres para extraer texto estructurado. La extracción se almacena en infraestructura de Kurit y el archivo original no es retenido por Mistral. Tratamiento gobernado por el Acuerdo de Tratamiento de Datos de Mistral, con configuración de no-entrenamiento habilitada.

9.2 Otras categorías de encargados

Adicionalmente, utilizamos las siguientes categorías de proveedores. Por tratarse de servicios fungibles que pueden rotarse periódicamente bajo equivalentes contractuales, los identificamos por categoría:

Proveedor de envío de correo transaccional (Estados Unidos): para enviar mensajes operativos como confirmaciones, recordatorios de pago, recibos de paz y salvo y resúmenes mensuales del Companion.
Proveedor de infraestructura de base de datos PostgreSQL (Estados Unidos): para alojar la información transaccional y de uso de Kurit, en condiciones de cifrado en reposo y aislamiento por inquilino.
Proveedor de almacenamiento de archivos en la nube (Estados Unidos / Unión Europea, Google Cloud Storage): para almacenar imágenes, audios y documentos cargados al Asistente Companion, en buckets privados con acceso por URL firmada.
Proveedor de observabilidad y monitoreo de calidad de modelos de lenguaje (Estados Unidos): para auditar la calidad y la latencia de las respuestas del asistente. Las trazas pueden incluir el contenido de los prompts; están vinculadas por DPA y por configuración de retención limitada.

9.3 Analítica de producto y monitoreo de errores

PostHog, Inc. (Estados Unidos) — analítica de producto y grabación de sesión con enmascaramiento.
Google LLC (Estados Unidos) — Google Analytics 4 para métricas de uso agregadas.
Functional Software, Inc. dba Sentry (Estados Unidos) — monitoreo de errores con filtrado automático de información personal antes del envío.

9.4 Qué capturamos y qué no

Qué capturamos:

Páginas visitadas, clicks, tiempo en pantalla.
Funnel de pago (sin montos exactos, sólo rangos).
Errores técnicos que ocurren en su sesión.
Grabación de sesión con enmascaramiento automático de inputs y áreas marcadas como sensibles.
En el caso del Companion: mensajes de chat completos, transcripciones de audio, imágenes cargadas y resúmenes derivados.

Qué NUNCA capturamos en analítica ni se envía sin consentimiento explícito a procesadores de IA:

Cédula, teléfono o correo en campos de texto de la interfaz analítica.
Montos exactos, saldos ni números de cuenta bancaria en sesiones grabadas.
Contenido de pantallas de pago con Wompi ni de firma digital con ZapSign.
Audio o imágenes que usted no haya compartido voluntariamente con el asistente.

9.5 Transferencia internacional

Al usar estos servicios, sus datos pueden ser procesados en Estados Unidos, en la Unión Europea o en ambas regiones. Verificamos que cada proveedor cumpla con niveles adecuados de protección (SOC 2 Tipo II, GDPR, ISO 27001 según corresponda) y aplicamos cláusulas contractuales tipo (Standard Contractual Clauses) y obligaciones de confidencialidad equivalentes a las exigidas por la legislación colombiana.

9.6 Cómo controlar su privacidad

Puede:

Desactivar analíticas y grabación de sesión en cualquier momento desde Configuración → Privacidad dentro de la app. Esto no afecta su acceso al servicio.
Activar o desactivar el Asistente Companion desde Configuración → Companion. Si lo desactiva, los datos asociados pueden eliminarse mediante el botón "Eliminar mis datos".
Solicitar copia o supresión de sus datos en cualquier momento por correo a negocio@kurit.co.

10. Menores de Edad

Nuestros servicios están dirigidos exclusivamente a personas mayores de 18 años. No recopilamos intencionalmente datos de menores de edad, y el Asistente Companion no opera en cuentas de personas menores.

11. Cambios a esta Política

Nos reservamos el derecho de modificar esta Política de Privacidad en cualquier momento. Los cambios sustanciales (versiones MAJOR) bloquearán el acceso a la aplicación hasta que usted otorgue una nueva aceptación informada. Los cambios menores (versiones MINOR o PATCH) serán comunicados mediante banner o correo electrónico. El historial completo de versiones está disponible en /legal/privacy/historial.

12. Marco Legal

Esta política se rige por:

Ley 1581 de 2012 (Protección de Datos Personales).
Decreto 1377 de 2013.
Ley 1266 de 2008 (Habeas Data).
Ley 962 de 2005 (conservación de documentos comerciales).
Demás normas aplicables en la República de Colombia.

13. Contacto

Para ejercer sus derechos o resolver dudas sobre esta política, contáctenos:

Correo electrónico: negocio@kurit.co
Asunto: Protección de Datos Personales
WhatsApp: +57 318 948 0060
Dirección: VRD Pepino, Barrio Los Prados, Mocoa, Putumayo

Al utilizar Kurit, usted acepta los términos de esta Política de Privacidad y autoriza el tratamiento de sus datos personales conforme a lo aquí establecido, incluyendo la transferencia internacional a los encargados descritos en el §9 bajo cláusulas contractuales tipo.