Política de tratamiento de datos personales
1. Datos que tratamos
Clientes: nombre, teléfono y correo; credenciales cifradas; direcciones y ubicación de entrega; pedidos, productos, descripciones de mandados, propuestas y contraofertas del valor del envío, medio de pago elegido (efectivo o Nequi) y cancelaciones; conversaciones y soporte; calificaciones; dispositivo, dirección IP y registros de seguridad.
Domiciliarios: además de lo anterior, cédula, fotografía, tipo de vehículo (moto de carga o bicicleta), y según corresponda licencia de conducción, SOAT, tarjeta de propiedad, placa y foto de la bicicleta con caja térmica; ubicación mientras están disponibles o con un pedido activo; envíos realizados y ganancias registradas; contacto de emergencia.
Negocios: datos del titular o administrador, nombre comercial, logo, ubicación, horario, catálogo y precios, y pedidos recibidos.
Lista de espera de Viajes: origen, destino y, solo si el titular lo autoriza, su número de teléfono.
GouWay no recibe ni almacena números de tarjeta ni credenciales de Nequi: los pagos se hacen directamente entre las partes.
2. Finalidades
- Crear y proteger cuentas, autenticar y recuperar acceso.
- Gestionar pedidos y mandados: mostrar negocios y catálogos, transmitir la propuesta de envío, recibir aceptaciones y contraofertas, permitir que el cliente elija, habilitar chat temporal, seguimiento del pedido en tiempo real y soporte.
- Operar el panel de negocios (pedidos nuevos, en preparación, listos para recoger, historial y catálogo).
- Verificar la identidad y los documentos de los domiciliarios, prevenir fraude, investigar incidentes y cumplir órdenes de autoridad.
- Registrar los pagos reportados por las partes, mostrar a los domiciliarios sus ganancias del día, gestionar futuras suscripciones o facturación, métricas operativas y mejora del servicio.
- Gestionar la lista de espera de Viajes y, con autorización expresa, avisar al titular por teléfono cuando el servicio esté disponible en su ruta.
- Enviar comunicaciones transaccionales. La publicidad requerirá autorización y permitirá retirarla.
3. Autorización y datos sensibles
Antes del registro solicitamos autorización previa, expresa e informada. La ubicación precisa, la fotografía usada para verificar identidad, biometría si llegara a habilitarse y datos que afecten la intimidad se tratarán como sensibles cuando corresponda. Su suministro es facultativo salvo que sea indispensable para una función solicitada; se explicará la consecuencia de no autorizarlo. El teléfono de la lista de espera de Viajes es opcional y solo se usa si el titular marca su consentimiento.
4. Menores
No se crean cuentas independientes para menores. Un adulto responsable puede pedir un domicilio que reciba un menor. Cualquier dato de un menor se tratará excepcionalmente, respetando su interés superior, derechos fundamentales y la autorización de su representante.
5. Integración con Khonexa
Khonexa (khonexa.com) es un directorio comercial regional del mismo laboratorio, Nexora Labs. La integración funciona de dos formas:
- “Entrar con Khonexa” (dueños de negocio). Solo cuando el dueño lo solicita y autoriza, GouWay trae desde Khonexa su perfil (nombre y datos de contacto de la cuenta) y los negocios de los que es titular: nombre, logo, ubicación, horario y catálogo. El dueño revisa los datos y precios antes de activar pedidos. La contraseña de Khonexa se usa una sola vez para validar la conexión y GouWay no la guarda.
- Negocios públicos del mapa de Khonexa. GouWay muestra a sus clientes la información que ya es pública en el mapa de Khonexa (nombre del negocio, categoría y ubicación aproximada) para que puedan pedir un mandado. No se importan datos personales no públicos de esos negocios. Un negocio que quiera dejar de aparecer puede solicitarlo por los canales de GouWay o ajustar su visibilidad en Khonexa.
El dueño puede desconectar la integración y pedir la supresión de los datos importados, sin perjuicio de los datos que deban conservarse por ley (por ejemplo, el historial de pedidos).
6. Compartición y encargados
Al confirmar un pedido compartimos entre las partes solo lo necesario: con el domiciliario, el nombre visible del cliente, la dirección de entrega, el pedido o la descripción del mandado y el envío pactado; con el cliente, el nombre, foto, calificación y medio de transporte del domiciliario y su ubicación en vivo durante la entrega; con el negocio, los productos pedidos y los datos necesarios para entregarlos al domiciliario. No vendemos datos personales.
Podrán actuar como encargados del tratamiento, bajo deberes de seguridad y confidencialidad, las siguientes categorías de proveedores:
- Nube y alojamiento.
- Mapas y geolocalización.
- Correo electrónico.
- Notificaciones.
- Analítica.
- Pagos (si se llegan a integrar).
- Soporte.
- Nexora Labs (Khonexa), únicamente para la integración descrita en la sección 5. Su calidad de encargado o de responsable independiente debe definirse en la revisión legal.
La lista nominal de proveedores deberá publicarse y mantenerse actualizada cuando se contraten. También se entregarán datos por mandato legal.
7. Transmisiones internacionales
Algunos proveedores tecnológicos pueden procesar datos fuera de Colombia. GouWay aplicará contratos, evaluaciones y mecanismos exigidos por la normativa colombiana antes de habilitarlos en producción.
8. Conservación y seguridad
Conservamos los datos durante la cuenta y por el tiempo necesario para obligaciones legales, defensa de reclamaciones, seguridad y prevención de fraude. Los datos de la lista de espera de Viajes se conservan mientras el servicio no esté disponible o hasta que el titular pida retirarlos. Aplicamos controles de acceso, cifrado de credenciales, copias de respaldo, registro de eventos y mínimos privilegios. Ningún sistema es infalible; los incidentes se gestionarán y reportarán cuando la ley lo exija.
9. Derechos del titular
El titular puede conocer, actualizar, rectificar, solicitar prueba de autorización, conocer el uso, presentar quejas ante la SIC, revocar la autorización y pedir supresión cuando proceda, y acceder gratuitamente a sus datos. Para ejercerlos deberá identificarse y describir la solicitud. Consultas y reclamos se responderán dentro de los términos legales.
10. Canal y procedimiento
El correo oficial de privacidad está pendiente de confirmación y debe publicarse antes de operar comercialmente. Una vez habilitado, se indicará asunto “Datos personales”, identidad, contacto, derecho ejercido y soportes. La falta actual de canal es una limitación preoperativa que debe corregirse antes del lanzamiento.
11. Vigencia y cambios
Esta versión rige desde el 10 de octubre de 2026 para pruebas y etapa preoperativa, y reemplaza la del 23 de agosto de 2026. Los cambios sustanciales se informarán y, si modifican finalidades o requieren nueva autorización, se solicitará consentimiento. La aceptación queda registrada con versión y fecha.