BORRADOR — pendiente de revisión por abogado con práctica en protección de datos en Colombia (Ley 1581/2012) y GDPR antes de publicar. Punto de partida para revisión legal; no constituye asesoría jurídica.

Política de Retención de Datos — Astrosoul Center

Última revisión: 2026-06-30 Versión: 2.0 (borrador — adaptación Colombia)

Esta política describe durante cuánto tiempo conservamos cada categoría de dato personal y qué hacemos cuando ese plazo termina. Forma parte de la privacy-policy.md y desarrolla el cumplimiento del principio de limitación del plazo de conservación, tanto bajo el régimen de habeas data de Colombia (Ley 1581 de 2012, Decreto 1377 de 2013 y Decreto 1074 de 2015) como bajo el principio de limitación del plazo de conservación del GDPR para usuarios de la Unión Europea (Art. 5.1.e GDPR).

Es responsable del tratamiento Astro Soul Center S.A.S. (nombre comercial Astrosoul Center, https://astrosoul.center), sociedad por acciones simplificada (S.A.S.) constituida en Colombia e inscrita en la Cámara de Comercio de Bogotá, NIT [PENDIENTE — NIT], matrícula mercantil [PENDIENTE — matrícula Cámara de Comercio de Bogotá], con domicilio en Diagonal 17 B No. 90-53, Bogotá D.C., Colombia (C.P. 110921), representante legal Carlos Eduardo Gómez Fandiño, contacto info@astrosoul.center (se recomienda habilitar un buzón dedicado privacidad@astrosoul.center).

1. Principios generales

1.1 Minimización

Sólo recogemos los datos estrictamente necesarios para prestar el servicio. Cuanto menos guardamos, menos riesgo asumimos.

1.2 Limitación del plazo

Cada categoría de dato tiene un plazo máximo definido. Pasado ese plazo, los datos se eliminan o se anonimizan (según se detalla en la tabla y en la sección 4).

1.3 Confidencialidad

Mientras los datos están almacenados, aplicamos medidas técnicas y organizativas proporcionales al riesgo (cifrado en reposo, control de acceso, separación de roles).

1.4 Trazabilidad

Cualquier eliminación o anonimización se documenta en un audit log que se conserva durante 1 año como prueba del cumplimiento.

2. Tabla de retención por categoría

3. Plazos por obligación legal

Algunas obligaciones legales prevalecen sobre el deseo del usuario de eliminar sus datos. Las principales en Colombia son:

3.1 Obligaciones contables y fiscales

• Art. 28 y 60 del Código de Comercio colombiano: el comerciante debe conservar los libros y papeles del comerciante (libros de contabilidad, comprobantes y la correspondencia directamente relacionada con sus negocios) por un término de diez años. [PENDIENTE — confirmar plazo y alcance por abogado]
• Estatuto Tributario (Art. 632 y Art. 714): obligación de conservar los soportes de las declaraciones (informaciones y pruebas) durante el periodo de firmeza de las declaraciones (Art. 714, con la firmeza ordinaria de las declaraciones tributarias) y, en general, de mantener disponible la documentación que sustenta los ingresos, costos, deducciones y demás factores declarados. [PENDIENTE — confirmar plazo aplicable por abogado]
• Nota: el periodo contable-mercantil pasa del marco anterior de 6 años al de 10 años que rige en Colombia. Este plazo, así como el alcance exacto de la conservación tributaria, debe ser confirmado por el abogado.

3.2 Obligaciones laborales (si en el futuro hay personal)

No aplican mientras la sociedad no tenga personal vinculado. En caso de contratar trabajadores, deberán observarse los plazos de conservación de la documentación laboral y de seguridad social aplicables en Colombia. [PENDIENTE — confirmar por abogado]

3.3 Defensa frente a reclamaciones

Datos potencialmente útiles para defender posibles reclamaciones (logs de consentimiento/autorización, evidencia de aceptación de Términos) se conservan durante el plazo de prescripción de la acción que pudiera ejercitarse. Según el Art. 2536 del Código Civil colombiano, la acción ejecutiva prescribe en cinco años y la acción ordinaria en diez años.

4. Procedimiento de eliminación de cuenta

Cuando un usuario solicita eliminar su cuenta (desde /dashboard/profile/privacy o por email), el procedimiento es:

4.1 Decisión: anonimización en lugar de hard delete

No realizamos un borrado físico total porque hay datos que la ley obliga a conservar (facturas, registros contables). En su lugar, aplicamos anonimización:

• El registro del usuario en la base de datos pasa a un estado is_deleted=true con borrado lógico inmediato (soft-delete).
• En 30 días naturales se ejecuta la anonimización irreversible: se reemplazan los campos identificativos (nombre, email, datos de nacimiento) por valores genéricos o NULL, y se desligan los datos del identificador personal.
• Los datos contables y fiscales obligatorios se conservan, pero sin enlace al titular: queda un "tombstone" con ID interno, fechas, importes y conceptos, sin nombre ni email recuperables.
• Cartas natales, reports y conversaciones del usuario eliminado se borran físicamente al ejecutarse la anonimización.

4.2 Por qué este enfoque

• Cumple el derecho de supresión: los datos personales identificativos desaparecen, atendiendo el derecho del titular a solicitar la supresión y/o revocar la autorización (Art. 8 Ley 1581) y el derecho de supresión del Art. 17 GDPR para usuarios de la UE.
• Respeta la obligación legal fiscal y mercantil: los registros contables siguen disponibles ante una inspección de la autoridad tributaria (DIAN) o requerimiento mercantil, sin vincularse a una persona identificable.
• Es proporcional: no destruimos información cuya conservación es obligatoria, pero la desligamos del individuo en cuanto la ley lo permite.

4.3 Plazos

• 0-30 días desde la solicitud: ventana de gracia por si el usuario se arrepiente. La cuenta queda inactiva y oculta. Si en este periodo el usuario solicita restaurar, lo hacemos.
• Día 30: anonimización irreversible.
• Día 31 en adelante: sólo persisten los datos mínimos en cumplimiento legal.

4.4 Confirmación al usuario

Enviamos un email al usuario en el momento de la solicitud (confirmando recepción) y otro al ejecutarse la anonimización (confirmando finalización).

5. Caso especial: datos de menores

Si descubrimos que una cuenta corresponde a un menor de edad sin la autorización del representante legal documentada (16 años bajo el GDPR para usuarios de la UE; menores de edad conforme a la Ley 1581 y al Decreto 1377 en Colombia, que da un tratamiento reforzado a los datos de niñas, niños y adolescentes):

• Suspendemos la cuenta inmediatamente.
• Notificamos al titular del email asociado.
• Si en 30 días no se aporta la autorización del representante legal, eliminamos los datos.

[PENDIENTE — confirmar por abogado la edad/umbral y el régimen de datos de niñas, niños y adolescentes bajo la Ley 1581 y el Decreto 1377]

6. Caso especial: brecha de seguridad

En una brecha que afecte a datos personales, podemos prolongar temporalmente la retención de logs y backups que ayuden a investigar el incidente. Esta prolongación atiende tanto el deber de reportar incidentes a la Superintendencia de Industria y Comercio (SIC) y a los titulares afectados conforme a la Ley 1581 y sus decretos reglamentarios, como la obligación de notificación de violaciones de seguridad del Art. 33 GDPR para usuarios de la UE. La prolongación se documenta en el audit log y se levanta cuando concluya la investigación.

7. Backups y caché

7.1 Backups

Hacemos backups cifrados diarios de la base de datos. La rotación es de 90 días. Cuando un usuario solicita eliminar sus datos, los datos en backups expiran progresivamente: pasados 90 días, ningún backup contiene ya información del usuario eliminado. Documentamos esta dependencia técnica para informar al usuario en el momento de la baja.

7.2 Caché de aplicación

La caché de Postgres / Redis (cuando exista) se invalida al borrar la cuenta. Cachés de CDN (Vercel) no almacenan datos personales sensibles porque las rutas autenticadas no se cachean.

7.3 Caché RAG y embeddings

Los embeddings de la base RAG documental no contienen datos personales: vectorizan contenido técnico astrológico. No requieren tratamiento específico al borrar cuentas de usuario.

8. Datos en tránsito a sub-procesadores y transferencias internacionales

Cuando enviamos datos a sub-procesadores (AWS Bedrock, AWS RDS, Stripe, Resend, Vercel, Railway), sus propias políticas de retención aplican. Ver subprocessors.md para detalle de cada uno y los compromisos contractuales.

Buena parte de estos datos se aloja o procesa fuera de Colombia (por ejemplo, AWS RDS en la región us-east-1 de Estados Unidos, AWS Bedrock, Stripe, Resend, Vercel y Railway). Estas transferencias internacionales se amparan en:

• Colombia (Art. 26 Ley 1581 de 2012): la transferencia a países que la SIC no haya declarado con un nivel adecuado de protección requiere la autorización del titular y/o garantías contractuales adecuadas (acuerdos de tratamiento de datos / DPAs con cada encargado).
• UE/EEE (GDPR): las transferencias a Estados Unidos se realizan mediante un mecanismo válido de transferencia (Cláusulas Contractuales Tipo de la Comisión Europea y/o el marco de adecuación aplicable en cada momento).

Resumen de retención de los principales sub-procesadores:

• AWS Bedrock (generación + embeddings): los prompts, respuestas y textos a vectorizar no se almacenan tras servir la petición ni se usan para entrenar modelos (sin retención de contenido por defecto).
• Stripe: retención de datos de pago según PCI-DSS y obligaciones fiscales, alineada con la nuestra (10 años). [PENDIENTE — confirmar plazo por abogado]
• Resend: logs de envío durante 90 días.

9. Datos exportados por el usuario (portabilidad)

Cuando un usuario ejerce su derecho a portabilidad (Art. 20 GDPR para usuarios de la UE) o solicita una copia de sus datos en ejercicio de su derecho a conocer y a obtener prueba del tratamiento (Art. 8 Ley 1581), exportamos sus datos en formato JSON estructurado. El paquete exportado tiene una caducidad de 30 días en nuestros servidores: pasado ese plazo, se elimina automáticamente del almacenamiento temporal aunque el usuario ya lo haya descargado.

10. Excepciones documentadas

Cualquier excepción al plazo estándar (por requerimiento judicial o de autoridad competente, investigación en curso, defensa frente a reclamaciones) se documenta en el audit log indicando:

• Motivo de la excepción.
• Categoría y volumen de datos afectados.
• Plazo previsto de la prórroga.
• Persona responsable de la decisión.

11. Revisión

Esta política se revisa al menos una vez al año o cuando cambien circunstancias relevantes (nueva normativa, nuevo sub-procesador, cambios de funcionalidad). La próxima revisión se prevé para 2027-06-30.

12. Contacto

Si tienes preguntas sobre cuánto tiempo conservamos tus datos o quieres ejercer tu derecho de supresión (o, si estás en Colombia, tu derecho a actualizar, rectificar, revocar la autorización o solicitar la supresión conforme al Art. 8 de la Ley 1581), escríbenos a info@astrosoul.center o por correo postal a Diagonal 17 B No. 90-53, Bogotá D.C., Colombia (C.P. 110921).