Política de tratamiento de datos personales

Última actualización: 18 de mayo de 2026.

Esta política regula el tratamiento de datos personales en Neyror (neyror.com) conforme a la Ley 1581 de 2012, la Ley 1266 de 2008, el Decreto 1377 de 2013 y demás normas concordantes de la República de Colombia.

1. Responsable del tratamiento

Responsable: Soleyner Torres, persona natural domiciliada en Colombia.
Ciudad de notificaciones: Medellín, Colombia.
Correo de contacto para PQRS y ejercicio de derechos: soporte@neyror.com.

2. Definiciones

Titular: persona natural cuyos datos personales son tratados (Neyror la llama "usuario").
Dato personal: cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable.
Tratamiento: cualquier operación sobre datos personales (recolección, almacenamiento, uso, circulación, supresión).
Encargado: persona o entidad que realiza el tratamiento por cuenta del Responsable (por ejemplo, los subprocesadores listados en la sección 8).

3. Datos que tratamos

Neyror trata únicamente los datos que el usuario suministra directamente o que se generan por el uso del servicio:

Datos de cuenta: correo electrónico, contraseña (almacenada cifrada por Supabase Auth, nunca en texto plano).
Datos financieros que tú registras: transacciones (monto, categoría, descripción libre, fecha), cuentas, categorías y presupuestos. Estos son datos financieros bajo la Ley 1266 de 2008 y reciben el tratamiento reforzado que ella exige.
Datos de uso: métricas mínimas necesarias para operar el servicio (timestamps de creación, contadores de uso de IA con propósito de cumplir el límite mensual).
Datos técnicos: dirección IP y agente de usuario recibidos por el servidor en cada petición, conservados temporalmente en registros operativos.

Neyror no recolecta datos sensibles (origen racial, salud, orientación política, religiosa, etc.) ni datos de menores de edad. El servicio está dirigido únicamente a mayores de edad.

4. Finalidades del tratamiento

Los datos personales se tratan exclusivamente para las siguientes finalidades:

Crear, mantener, autenticar y proteger la cuenta del usuario.
Permitir el registro, consulta y análisis de las transacciones financieras que el usuario decide cargar.
Generar, cuando el usuario lo solicita explícitamente, un análisis mensual asistido por inteligencia artificial (ver sección 5).
Enviar comunicaciones transaccionales necesarias para operar el servicio (confirmación de cuenta, recuperación de contraseña).
Atender solicitudes de PQRS y de ejercicio de derechos ARCO sobre los datos del usuario.
Cumplir obligaciones legales y atender requerimientos de autoridades competentes.

Neyror no utiliza los datos del usuario para publicidad, perfilamiento comercial, venta a terceros, ni los comparte con anunciantes.

5. Cláusula explícita de procesamiento por inteligencia artificial

La funcionalidad "Analiza mi mes" envía un resumen de las transacciones del usuario a un modelo de inteligencia artificial operado por Anthropic, PBC, sociedad constituida en Estados Unidos de América. El modelo utilizado es Claude Haiku 4.5 a través de su API oficial.

La función se ejecuta únicamente cuando el usuario presiona el botón correspondiente. No hay envío automático ni en segundo plano.
Antes del envío, Neyror aplica un proceso de sanitización que remueve identificadores personales (correo, nombre, IDs internos) y envía solo los importes y categorías agregados estrictamente necesarios para el análisis.
Anthropic, conforme a sus términos de servicio API vigentes, no utiliza el contenido enviado por la API para entrenar sus modelos.
El usuario puede abstenerse de usar la funcionalidad de IA sin perder acceso al resto del servicio.

6. Derechos del titular

Conforme al artículo 8 de la Ley 1581 de 2012, el usuario tiene derecho a:

Conocer, actualizar y rectificar sus datos personales.
Solicitar prueba de la autorización otorgada al Responsable.
Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos personales.
Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la Ley 1581.
Revocar la autorización y/o solicitar la supresión de sus datos cuando no se respeten los principios, derechos y garantías legales.
Acceder gratuitamente a sus datos personales que hayan sido objeto de tratamiento.
Solicitar la portabilidad de sus datos mediante la función de exportación disponible en la aplicación.

7. Cómo ejercer tus derechos

Para ejercer cualquiera de los derechos anteriores, el titular puede:

Acceder y exportar:usar la función "Exportar mis datos" disponible dentro de la aplicación (entrega un archivo JSON con todos tus datos).
Eliminar la cuenta:usar la función "Eliminar mi cuenta" disponible dentro de la aplicación. La eliminación es inmediata e irreversible.
Otras solicitudes (consulta, rectificación, reclamo, revocatoria): enviar correo a soporte@neyror.com indicando nombre, correo de la cuenta y descripción de la solicitud.

Tiempos de respuesta conforme a la Ley 1581 y al Decreto 1377: consultas, máximo diez (10) días hábiles; reclamos, máximo quince (15) días hábiles, prorrogables por ocho (8) días adicionales cuando exista justificación.

8. Encargados y subprocesadores

Neyror se apoya en los siguientes proveedores para operar el servicio. Cada uno trata datos por cuenta del Responsable y bajo sus propias políticas de seguridad y privacidad:

Supabase, Inc. (Estados Unidos): autenticación y base de datos PostgreSQL. Cifrado en reposo y en tránsito.
Vercel, Inc. (Estados Unidos): hospedaje de la aplicación web.
Anthropic, PBC(Estados Unidos): modelo de IA (Claude Haiku 4.5) para la función opcional "Analiza mi mes".
Sentry (Functional Software, Inc.) (Estados Unidos): monitoreo de errores. Neyror aplica filtros que excluyen montos, descripciones y correos antes del envío.

9. Transferencia internacional de datos

Por la naturaleza de los subprocesadores listados en la sección 8, los datos del usuario se almacenan y procesan en Estados Unidos de América. La Superintendencia de Industria y Comercio ha declarado a Estados Unidos como país con nivel adecuado de protección para ciertos sectores; en todo caso,Neyror exige a sus encargados cláusulas contractuales que garanticen un nivel de protección equivalente al de la ley colombiana. Al aceptar esta política y registrarse, el usuario autoriza expresamente esta transferencia internacional.

10. Retención y supresión

Mientras la cuenta esté activa, los datos se conservan para permitir el uso del servicio.
Al eliminar la cuenta, los datos transaccionales del usuario se suprimen de manera inmediata.
Neyror conserva por un período de hasta cinco (5) años el registro de eliminación de la cuenta (fecha, correo asociado y motivo agregado), únicamente para atender requerimientos legales y demostrar el ejercicio del derecho de supresión ante la SIC.

11. Medidas de seguridad

Neyror implementa medidas técnicas, humanas y administrativas razonables para proteger los datos del usuario:

Cifrado en tránsito (TLS) en todas las conexiones.
Cifrado en reposo de la base de datos por parte del proveedor de infraestructura.
Aislamiento por usuario mediante Row Level Security (RLS) en la base de datos: ningún usuario puede acceder a datos de otro.
Autenticación con contraseñas almacenadas mediante funciones de derivación segura (bcrypt) por Supabase Auth.
Filtros de redacción que excluyen datos personales de los registros de error remitidos a Sentry.
Acceso del Responsable a la consola administrativa restringido por allowlist de correos.

12. Procedimiento ante incidentes de seguridad

En caso de presentarse una vulneración de seguridad que afecte datos personales, Neyror notificará el incidente a la Superintendencia de Industria y Comercio dentro de los plazos establecidos por la regulación vigente, y a los usuarios afectados por el canal de contacto registrado.

13. Vigencia y modificaciones

Esta política rige a partir del 18 de mayo de 2026 y permanecerá vigente mientras no sea modificada por una nueva versión publicada en esta misma página. Neyror notificará por correo cualquier cambio sustancial con al menos diez (10) días hábiles de antelación.

14. Autoridad de control

La autoridad competente para conocer reclamos por infracciones al régimen colombiano de protección de datos personales es la Superintendencia de Industria y Comercio (SIC), delegatura para la protección de datos personales.