ORIA es una plataforma tecnológica de organización y gestión de finanzas personales operada por:
En adelante, el responsable será denominado "ORIA", "nosotros", "nuestro" o "la Plataforma".
Esta Política explica cómo ORIA recopila, accede, utiliza, procesa, almacena, protege, transmite, comparte y elimina información relacionada con sus usuarios a través de sus aplicaciones móviles, sitio web, servicios, integraciones y demás funcionalidades asociadas.
ORIA actúa como Responsable del Tratamiento respecto de los datos personales directamente recopilados de sus usuarios y podrá utilizar proveedores tecnológicos que actúen como Encargados o subencargados del tratamiento, según corresponda.
Esta Política se aplica a las personas que:
ORIA se encuentra inicialmente dirigida a usuarios mayores de edad ubicados en Colombia. Cuando ORIA sea ofrecida oficialmente en otras jurisdicciones, podrán aplicarse disposiciones adicionales exigidas por las leyes locales.
El tratamiento de información en ORIA se guía por los principios de legalidad, finalidad, libertad, transparencia, acceso y circulación restringida, seguridad, confidencialidad y responsabilidad demostrada.
ORIA procura recopilar únicamente aquella información razonablemente necesaria para proporcionar, proteger, mantener y mejorar las funcionalidades solicitadas por el usuario.
Dependiendo de las funcionalidades que utilice cada usuario, ORIA puede tratar las siguientes categorías de información.
Podemos tratar: nombre; apellido, cuando sea solicitado; dirección de correo electrónico; identificador interno de usuario; preferencias de cuenta; configuración de la aplicación; información relacionada con la creación, autenticación y gestión de la cuenta.
ORIA no solicita contraseñas bancarias.
El usuario puede ingresar voluntariamente información relacionada con sus finanzas personales, incluyendo: cuentas, efectivo, activos, obligaciones, tarjetas, cupos, saldos, ingresos, gastos, movimientos, presupuestos, categorías, metas de ahorro, patrimonio, compromisos financieros, información financiera histórica y otra información que el usuario decida registrar.
Respecto de tarjetas bancarias, ORIA podrá almacenar información descriptiva necesaria para identificarlas dentro de la aplicación, como: franquicia, nombre asignado por el usuario, cupo, saldo y últimos cuatro dígitos.
ORIA no solicita ni almacena deliberadamente: número completo de tarjeta; CVV/CVC; PIN; claves bancarias; claves dinámicas; códigos OTP; credenciales de banca electrónica.
ORIA no es un banco y, salvo que una funcionalidad futura expresamente autorizada indique lo contrario, no tiene capacidad para disponer, retirar, transferir o mover directamente el dinero de los usuarios.
La conexión de una cuenta de Google es opcional. El usuario puede utilizar determinadas funcionalidades de ORIA sin conectar Gmail, salvo aquellas cuya naturaleza requiera expresamente dicha integración. Para habilitar la automatización de movimientos financieros, el usuario puede autorizar voluntariamente a ORIA mediante Google OAuth.
Cuando el usuario autoriza el permiso https://www.googleapis.com/auth/gmail.readonly, Google concede técnicamente a ORIA acceso de solo lectura a mensajes y determinadas configuraciones de Gmail conforme al alcance definido por Google.
ORIA no utiliza este permiso para enviar, modificar o eliminar correos. ORIA implementa controles programáticos destinados a limitar el procesamiento a mensajes que puedan corresponder a alertas, confirmaciones o notificaciones financieras de entidades soportadas por la Plataforma.
Entre las entidades inicialmente compatibles pueden encontrarse: Bancolombia, Davivienda, Nequi y otras entidades que ORIA incorpore posteriormente. La lista de entidades compatibles podrá cambiar sin que ello implique ampliar el propósito general del tratamiento.
Cuando el usuario conecta Gmail, ORIA puede analizar automáticamente determinados elementos de mensajes que coincidan con reglas de identificación de notificaciones financieras. El procesamiento puede incluir información como: remitente; asunto; fecha y hora; monto de una operación; tipo de transacción; comercio o descripción; entidad financiera; referencia parcial; otros campos necesarios para identificar y registrar correctamente una transacción.
La finalidad exclusiva de este procesamiento es convertir alertas financieras compatibles en información organizada dentro de la cuenta del usuario.
ORIA no utiliza el contenido de Gmail para: publicidad; marketing personalizado basado en correos; creación o venta de perfiles publicitarios; venta de datos; comercialización de bases de datos; vigilancia de comunicaciones personales; determinar capacidad crediticia; aprobar o negar préstamos; actividades de intermediación de datos; fines incompatibles con la funcionalidad solicitada por el usuario.
El uso de información obtenida a través de las APIs de Google por parte de ORIA se encuentra sujeto a la Google API Services User Data Policy, incluidos sus requisitos de Limited Use. En consecuencia, ORIA limita el uso de estos datos a funcionalidades visibles y solicitadas por el usuario.
El acceso humano podrá producirse únicamente cuando sea estrictamente necesario y permitido, por ejemplo: cuando el usuario solicite expresamente soporte relacionado con información específica; cuando sea necesario investigar un incidente de seguridad; cuando exista consentimiento explícito del usuario; cuando sea necesario para cumplir una obligación legal válida; o cuando resulte indispensable para proteger los derechos, seguridad o integridad de ORIA o sus usuarios conforme a la ley. ORIA aplicará criterios de minimización de datos en estas circunstancias.
ORIA puede almacenar tokens OAuth necesarios para mantener la conexión autorizada por el usuario con Google. Estos tokens: no son la contraseña de Google del usuario; no permiten a ORIA conocer la contraseña del usuario; se almacenan utilizando medidas de seguridad apropiadas; podrán estar cifrados adicionalmente; y se utilizarán exclusivamente para mantener las funcionalidades autorizadas.
El usuario puede revocar la autorización desde ORIA o desde los controles de seguridad de su cuenta de Google. Tras una revocación efectiva, ORIA dejará de realizar nuevas consultas mediante el token revocado.
Para operar y proteger la Plataforma, ORIA puede procesar información técnica como: dirección IP; fecha y hora de acceso; tipo de dispositivo; sistema operativo; versión de la aplicación; identificadores técnicos; identificadores de sesión; registros de autenticación; eventos de seguridad; registros de errores; diagnósticos de funcionamiento; dirección IP aproximada; e información necesaria para detectar abuso, fraude o accesos no autorizados.
Esta información se utilizará principalmente para: seguridad; autenticación; prevención de fraude; diagnóstico; continuidad operativa; solución de errores; prevención de abuso; y mantenimiento del servicio.
Si ORIA ofrece planes pagos, compras dentro de la aplicación o suscripciones mediante Apple App Store o Google Play, el pago podrá ser procesado directamente por Apple, Google u otros procesadores autorizados. ORIA no necesariamente recibe ni almacena el número completo del medio de pago utilizado en dichas tiendas.
ORIA podrá recibir información relacionada con: estado de la suscripción; producto adquirido; identificador de transacción; recibo o comprobante técnico; fecha de compra; fecha de renovación; expiración; cancelaciones; reembolsos; y estado del derecho de acceso al servicio. Esta información se utilizará para administrar la suscripción, habilitar funcionalidades y atender solicitudes de soporte. Las compras realizadas mediante Apple o Google también están sujetas a las respectivas políticas y términos de dichas plataformas.
ORIA podrá tratar información para las siguientes finalidades:
Crear y administrar cuentas; permitir inicio de sesión; almacenar información financiera registrada; organizar ingresos y gastos; categorizar movimientos; calcular indicadores financieros; mostrar saldos; estimar patrimonio; construir presupuestos; gestionar metas financieras; generar reportes; mostrar tendencias; automatizar el registro de movimientos.
Identificar alertas financieras; extraer información relevante de notificaciones compatibles; detectar operaciones duplicadas; clasificar transacciones; conciliar información proporcionada por el usuario.
Responder preguntas del usuario; explicar información financiera; identificar patrones; generar resúmenes; presentar recomendaciones personalizadas; facilitar la comprensión de la información almacenada en ORIA.
Autenticar usuarios; detectar actividad inusual; prevenir fraude; prevenir accesos no autorizados; investigar incidentes; mantener registros de auditoría; proteger la infraestructura.
Responder consultas; solucionar errores; investigar problemas reportados; verificar solicitudes relacionadas con la cuenta.
Atender requerimientos legalmente válidos; cumplir obligaciones regulatorias; defender derechos de ORIA; atender solicitudes de autoridades competentes; conservar información cuando exista obligación legal.
ORIA puede incorporar modelos de inteligencia artificial para ayudar al usuario a comprender y organizar sus finanzas. Actualmente ORIA puede utilizar servicios tecnológicos de Anthropic u otros proveedores previamente evaluados. La información enviada a un proveedor de inteligencia artificial se limitará, en la medida razonablemente posible, al contexto necesario para realizar la tarea solicitada.
ORIA implementará medidas destinadas a evitar el envío innecesario de: contraseñas; números completos de tarjetas; CVV; códigos de autenticación; credenciales bancarias. Cuando ORIA utilice la API comercial de Anthropic, el tratamiento estará sujeto a las condiciones contractuales aplicables a dicho servicio. ORIA no autoriza deliberadamente a sus proveedores de inteligencia artificial a utilizar los datos de sus usuarios para desarrollar perfiles publicitarios independientes de ORIA.
Las respuestas producidas mediante inteligencia artificial pueden contener errores, omisiones o interpretaciones incorrectas. El usuario no debe considerar las respuestas automatizadas de ORIA como garantía de resultados futuros.
Salvo que expresamente se indique lo contrario, la información producida por ORIA tiene propósitos informativos, educativos y de organización financiera personal. No constituye por sí sola: asesoría financiera profesional; asesoría tributaria; asesoría contable; asesoría jurídica; recomendación individual de inversión regulada; intermediación financiera; calificación crediticia; aprobación de crédito; garantía de rentabilidad.
Las decisiones financieras finales corresponden al usuario. ORIA podrá utilizar sistemas automatizados para clasificar, organizar, resumir o analizar información, pero no pretende adoptar decisiones automatizadas que produzcan efectos jurídicos adversos sobre el usuario basadas exclusivamente en su información financiera.
Para operar ORIA podemos utilizar proveedores tecnológicos especializados. Actualmente pueden incluir:
ORIA podrá reemplazar, incorporar o retirar proveedores cuando resulte necesario para operar el servicio. Antes de compartir información con un proveedor, ORIA procurará aplicar principios de necesidad y minimización. Los proveedores deberán estar sujetos a obligaciones contractuales o términos que regulen el tratamiento, confidencialidad y seguridad de la información aplicable a los servicios prestados.
Algunos proveedores de ORIA pueden operar infraestructura ubicada fuera de Colombia. Por consiguiente, los datos personales pueden ser transmitidos, procesados o almacenados en otros países. ORIA adoptará las medidas razonablemente exigibles para que dichas transmisiones o transferencias se efectúen conforme al régimen aplicable de protección de datos y bajo salvaguardas apropiadas. Cuando corresponda jurídicamente, ORIA utilizará contratos de transmisión, acuerdos de procesamiento de datos, cláusulas de protección o mecanismos equivalentes.
ORIA podrá divulgar información únicamente cuando exista una causa legítima, incluyendo:
En ningún caso una operación corporativa convertirá automáticamente información obtenida de Google en datos libremente comercializables. Los usos posteriores continuarán sujetos a las obligaciones legales y contractuales aplicables.
ORIA no vende datos personales de sus usuarios a intermediarios de datos, anunciantes ni terceros. ORIA tampoco vende: movimientos financieros; saldos; información bancaria; datos derivados de Gmail; consultas al asistente; historial financiero; información de patrimonio.
ORIA no utiliza el contenido de Gmail para publicidad dirigida. Si en el futuro ORIA incorpora tecnologías publicitarias, seguimiento entre aplicaciones o servicios de terceros que impliquen nuevas finalidades de tratamiento, la presente Política deberá actualizarse antes de aplicar dichos tratamientos y se solicitarán los permisos exigidos por la plataforma o la legislación aplicable. El rechazo de permisos opcionales de seguimiento no deberá impedir el acceso a las funcionalidades básicas que no requieran dichos permisos.
ORIA implementa medidas técnicas, administrativas y organizacionales orientadas a reducir riesgos de: acceso no autorizado, pérdida, modificación indebida, divulgación, destrucción, abuso, apropiación y fraude.
Las medidas pueden incluir: HTTPS/TLS; cifrado de información en tránsito; cifrado de bases de datos proporcionado por la infraestructura; cifrado adicional de tokens sensibles; AES-256-GCM para determinados secretos o credenciales técnicas; autenticación mediante tokens; políticas de control de acceso; aislamiento de información por usuario; Row Level Security cuando sea aplicable; gestión de secretos; controles de permisos; monitoreo técnico; registros de auditoría; copias de seguridad; gestión de vulnerabilidades; y restricciones de acceso administrativo.
No obstante, ningún sistema conectado a Internet puede garantizar seguridad absoluta. ORIA revisará periódicamente sus controles conforme evolucione su arquitectura y nivel de riesgo.
Si ORIA identifica un incidente que comprometa datos personales, realizará una evaluación razonable de: naturaleza del incidente; información involucrada; usuarios afectados; impacto potencial; y riesgo para los titulares.
ORIA podrá tomar medidas como: contener el incidente; revocar credenciales; bloquear sesiones; cambiar secretos; investigar accesos; restaurar información; reforzar controles; y documentar lo ocurrido. Cuando resulte exigible conforme a la legislación aplicable, ORIA comunicará el incidente a las autoridades correspondientes y/o a los titulares afectados.
ORIA conserva la información durante el tiempo razonablemente necesario para proporcionar el servicio y cumplir las finalidades descritas en esta Política. Como regla general:
La conservación no autoriza a ORIA a utilizar dicha información para nuevas finalidades incompatibles.
Los usuarios pueden solicitar la eliminación completa de su cuenta. ORIA deberá proporcionar dentro de la aplicación una opción claramente accesible para iniciar la eliminación cuando sea exigido por las plataformas de distribución. El usuario podrá igualmente solicitar eliminación mediante privacidad@oriafintech.com.
Al eliminar una cuenta, ORIA eliminará o anonimizará la información personal asociada, salvo aquella cuya conservación sea exigida legalmente. La eliminación de la aplicación del teléfono no equivale por sí sola a eliminar la cuenta. La cancelación de una suscripción tampoco equivale automáticamente a eliminar la cuenta.
Cuando exista una suscripción activa administrada por Apple o Google, la eliminación de la cuenta no necesariamente cancela automáticamente obligaciones de suscripción gestionadas por dichas plataformas. El usuario deberá administrar la suscripción conforme al mecanismo proporcionado por la tienda correspondiente cuando resulte necesario.
El usuario puede desconectar Gmail en cualquier momento mediante las opciones disponibles en ORIA. También puede revocar el acceso otorgado a ORIA desde la configuración de seguridad de su cuenta de Google.
Para cualquier consulta sobre privacidad o el tratamiento de tus datos: privacidad@oriafintech.com. Te recomendamos revisar este documento con asesoría legal antes de su publicación definitiva.