Política de Privacidad y Tratamiento de Datos Personales

1. Identificación de Contler

El servicio Agente de Reservas con IA es operado por Contler AG y su sucursal en Colombia. Ambas actúan bajo esta política y en adelante se denominan "Contler".

2. Objeto, alcance y marco normativo

Esta política explica cómo Contler recolecta, usa, almacena y protege los datos personales tratados por su agente de reservas con inteligencia artificial, en voz y en chat.

Aplica a:

• Huéspedes y potenciales huéspedes que llaman o escriben al agente de un hotel o cadena hotelera cliente de Contler.
• Personas de contacto de los hoteles y cadenas que contratan el servicio.
• Cualquier otra persona cuyos datos lleguen a Contler por medio del agente.

Marco normativo aplicable:

• Colombia: Constitución Política (art. 15), Ley 1581 de 2012, Decreto 1074 de 2015 (que compila el Decreto 1377 de 2013) y las instrucciones de la Superintendencia de Industria y Comercio (SIC).
• Suiza: Ley Federal de Protección de Datos (nLPD), vigente desde el 1 de septiembre de 2023.
• Unión Europea: Reglamento General de Protección de Datos (RGPD), cuando el servicio se preste a hoteles establecidos en la UE o a huéspedes que se encuentren en ella.
• Las demás normas locales de protección de datos del país donde opere el hotel cliente.

Cuando dos normas regulen lo mismo, Contler aplicará la que ofrezca mayor protección al titular.

3. Roles en el tratamiento

Frente a los datos de los huéspedes, el hotel o la cadena hotelera es el Responsable y Contler es el Encargado del tratamiento.

En consecuencia:

• Cada hotel cliente es responsable de contar con su propia política de tratamiento y con una base legal válida para tratar los datos de sus huéspedes.
• Contler trata los datos de huéspedes solo para prestar el servicio contratado por el hotel, conforme al contrato y, cuando corresponda, al acuerdo de encargo o transmisión de datos firmado entre las partes.
• Contler no vende, alquila ni comercializa datos personales de huéspedes, ni los usa para fines propios de mercadeo.

4. Definiciones

• Agente de IA: asistente virtual de Contler que atiende por voz (llamadas) y por chat (web, WhatsApp u otros canales habilitados) y gestiona reservas para un hotel.
• Titular: persona natural cuyos datos personales son tratados, por ejemplo, el huésped que llama o escribe.
• Dato personal: cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable.
• Dato sensible: dato que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación, como datos de salud o datos biométricos.
• Tratamiento: cualquier operación sobre datos personales, como recolección, almacenamiento, uso, circulación o supresión.
• Responsable: quien decide sobre la base de datos y el tratamiento. Para los datos de huéspedes, es el hotel.
• Encargado: quien trata datos por cuenta del Responsable. Para los datos de huéspedes, es Contler.
• Motor de reservas: sistema del hotel o de la cadena (IBE, CRS, PMS o channel manager) donde se crea y se paga la reserva.
• Transmisión: comunicación de datos a un Encargado, dentro o fuera de Colombia, para que los trate por cuenta del Responsable.
• Transferencia: envío de datos a un Responsable ubicado dentro o fuera de Colombia.

5. Datos personales que tratamos

El agente solo pide los datos necesarios para cotizar y crear la reserva y enviar su confirmación.

Contler no solicita datos de tarjetas de pago ni datos bancarios (ver sección 7).

6. Finalidades del tratamiento

Los datos de huéspedes se tratan solo para gestionar su consulta o reserva con el hotel. Las finalidades son:

1. Atender consultas sobre el hotel, sus habitaciones, tarifas, disponibilidad y servicios.
2. Consultar disponibilidad y tarifas en tiempo real en el motor de reservas del hotel o la cadena.
3. Crear, modificar o cancelar reservas directamente en el motor de reservas del hotel, a solicitud del titular.
4. Enviar al huésped el enlace de confirmación y, cuando aplique, el enlace de pago del motor de reservas del hotel, por SMS, WhatsApp o correo electrónico.
5. Transferir la llamada o el caso a personal del hotel cuando el agente no pueda resolverlo o el huésped lo pida.
6. Entregar al hotel el registro de la conversación y el resumen de la solicitud.
7. Controlar la calidad del servicio, revisar errores y atender quejas o reclamos.
8. Proteger la seguridad del servicio y prevenir fraude o uso abusivo.
9. Generar estadísticas e informes agregados o anonimizados para el hotel y para la mejora del servicio de Contler.
10. Cumplir obligaciones legales, contractuales y requerimientos de autoridades competentes.

Cualquier finalidad nueva y distinta exigirá informar al titular y, cuando la ley lo pida, obtener una nueva autorización.

Cuando aplique el RGPD o la nLPD, las bases legales son la ejecución de un contrato o de medidas precontractuales a petición del huésped (finalidades 1 a 6), el interés legítimo del hotel y de Contler (finalidades 7 a 9) y el cumplimiento de obligaciones legales (finalidad 10).

7. Pagos: Contler no procesa pagos

• El pago de la reserva se hace siempre en el motor de reservas o la pasarela de pago del hotel o la cadena, a través del enlace que el huésped recibe.
• El agente de IA está instruido para no pedir, ni por voz ni por chat, números de tarjeta, códigos de seguridad (CVV), fechas de vencimiento, claves ni datos bancarios.
• Si un huésped intenta dictar o escribir datos de pago, el agente le indicará que no los comparta y que complete el pago en el enlace seguro del hotel.
• Si a pesar de lo anterior el titular comparte esos datos, Contler aplicará medidas para enmascararlos o suprimirlos de grabaciones y transcripciones en cuanto se detecten, y no los usará para ningún fin.
• La seguridad del pago, incluido el cumplimiento del estándar PCI DSS, es responsabilidad del hotel y de su proveedor de motor de reservas o pasarela de pago.

Contler nunca llamará ni escribirá para pedir datos de pago. Ante cualquier mensaje de ese tipo a nombre de Contler o de su agente, el titular debe abstenerse de responder y avisar al hotel o a Contler.

8. Inteligencia artificial y almacenamiento de conversaciones

Todas las conversaciones con el agente, de voz y de chat, se graban o registran y se almacenan de forma segura y cifrada.

Transparencia sobre la IA

Al inicio de cada llamada o chat, el agente informa que el titular está hablando con un asistente de inteligencia artificial y que la conversación será grabada. El titular puede pedir en cualquier momento ser atendido por una persona del hotel.

Qué se almacena

La grabación de audio (en voz), la transcripción o los mensajes (en chat), el resumen de la solicitud y los datos técnicos de la interacción.

Uso de la voz

La voz se procesa solo para convertirla en texto y entender la solicitud. Contler no usa la voz para identificar o autenticar personas, ni crea perfiles o huellas biométricas de voz.

Decisiones automatizadas

El agente no toma por sí solo decisiones que produzcan efectos jurídicos sobre el titular. La disponibilidad, las tarifas y la confirmación de la reserva las determina el motor de reservas del hotel.

Entrenamiento de modelos

Contler no usa los datos personales de los huéspedes para entrenar modelos de IA de terceros. Para mejorar su servicio solo usa información anonimizada o agregada, salvo autorización expresa del hotel y, cuando aplique, del titular.

Acceso a las conversaciones

Solo pueden acceder el hotel cliente (a sus propias conversaciones) y el personal autorizado de Contler, para soporte, calidad o seguridad.

9. Autorización y aviso de privacidad

La autorización del titular se obtiene al inicio de la interacción, mediante un aviso breve y una conducta inequívoca: continuar la llamada o el chat.

Aviso en voz:

"Hola, soy el asistente virtual con inteligencia artificial de [Hotel]. Esta llamada será grabada y sus datos serán tratados para gestionar su solicitud, según nuestra política de privacidad. Si prefiere hablar con una persona, dígamelo en cualquier momento."

Aviso en chat:

"Estás chateando con el asistente de IA de [Hotel]. Guardamos esta conversación y tus datos para gestionar tu consulta o reserva. Al continuar, aceptas nuestra política de privacidad."

• Si el titular no acepta, puede terminar la interacción o pedir atención humana. En ese caso, el agente no solicitará más datos.
• Contler conserva prueba de la autorización mediante la grabación o el registro del chat.
• El hotel cliente debe incluir en su propia política el uso del agente de IA de Contler y garantizar que el aviso esté activo en sus canales.

10. Datos sensibles y de menores

El agente no solicita datos sensibles y el titular no está obligado a darlos.

• Si el huésped comparte voluntariamente un dato sensible para una solicitud especial (por ejemplo, una necesidad de accesibilidad o una restricción alimentaria por salud), se usará solo para atender esa solicitud y se comunicará únicamente al hotel.
• Las reservas deben hacerlas personas mayores de edad. Los datos de niños, niñas y adolescentes que viajen (por ejemplo, número o edad de los menores) solo se tratan para la reserva, respetando su interés superior y sus derechos fundamentales, conforme al artículo 7 de la Ley 1581 de 2012.

11. Transmisión y transferencia de datos

Contler comparte datos solo con quien lo necesita para prestar el servicio, y siempre bajo contrato con obligaciones de confidencialidad y seguridad.

Proveedores tecnológicos actuales

Contler actualizará esta lista cuando incorpore o cambie de proveedor.

Transferencias internacionales

Algunos de estos proveedores están fuera de Colombia y de Suiza. Contler solo transmite datos a países con nivel adecuado de protección, o mediante contratos de transmisión o cláusulas contractuales tipo que garanticen un nivel equivalente, conforme al artículo 26 de la Ley 1581 de 2012, la nLPD suiza y, cuando aplique, el RGPD.

Contler AG y su sucursal en Colombia pueden compartir datos entre sí, por ser la misma persona jurídica, para operar y dar soporte al servicio.

12. Medidas de seguridad

Contler protege los datos con medidas técnicas, humanas y administrativas acordes con los estándares de la industria.

• Cifrado de los datos en tránsito (TLS) y en reposo.
• Infraestructura en proveedores de nube con certificaciones reconocidas de seguridad (por ejemplo, ISO 27001 o SOC 2).
• Control de acceso por roles, con autenticación segura y principio de mínimo privilegio. Cada hotel solo accede a sus propias conversaciones.
• Registro y monitoreo de accesos y actividad en la plataforma.
• Gestión segura de credenciales y llaves de API, con rotación periódica.
• Acuerdos de confidencialidad con empleados, contratistas y proveedores.
• Copias de seguridad y procedimientos de recuperación.
• Procedimiento de gestión de incidentes. Ante un incidente que afecte datos personales, Contler avisará sin demora indebida al hotel afectado y, cuando la ley lo exija, a la autoridad competente (en Colombia, la SIC) y a los titulares.

Ningún sistema es infalible. Contler revisa y actualiza estas medidas de forma periódica.

13. Conservación y supresión

Contler conserva los datos solo el tiempo necesario para la finalidad y lo que exija la ley o el contrato con el hotel.

Al terminar el contrato con un hotel, Contler devolverá o suprimirá los datos de sus huéspedes, a elección del hotel, salvo que la ley obligue a conservarlos. Los datos anonimizados pueden conservarse para estadísticas, porque ya no permiten identificar a nadie.

14. Derechos de los titulares

Conforme al artículo 8 de la Ley 1581 de 2012, y a la nLPD y el RGPD cuando apliquen, el titular puede:

• Conocer, actualizar y rectificar sus datos personales.
• Pedir prueba de la autorización otorgada.
• Ser informado sobre el uso que se ha dado a sus datos.
• Revocar la autorización y pedir la supresión de sus datos, cuando no exista un deber legal o contractual de conservarlos.
• Acceder gratuitamente a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC), una vez agotado el trámite ante el Responsable o Encargado.
• Cuando aplique el RGPD o la nLPD: oponerse al tratamiento, pedir su limitación, pedir la portabilidad de sus datos y reclamar ante la autoridad de protección de datos competente (en Suiza, el FDPIC).

Como los hoteles son los Responsables de los datos de sus huéspedes, el titular puede ejercer estos derechos directamente ante el hotel. Si escribe a Contler, Contler atenderá o trasladará la solicitud al hotel y apoyará su respuesta.

15. Consultas y reclamos

Las solicitudes se envían al correo atencionalcliente@contler.com, con el asunto "Protección de datos", o al teléfono +57 315 765 0150. El área responsable de atenderlas es el área de Administración.

La solicitud debe incluir: nombre del titular, documento de identidad, medio de respuesta, hotel con el que interactuó, fecha aproximada de la conversación, descripción de lo que pide y documentos de soporte si los hay.

• Si el reclamo está incompleto, Contler pedirá completarlo dentro de los 5 días hábiles siguientes. Si pasan 2 meses sin respuesta del titular, se entenderá desistido.
• Mientras se resuelve, la base de datos marcará el registro con la leyenda "reclamo en trámite".
• Si Contler no es competente para resolver la solicitud, la trasladará al hotel Responsable en máximo 2 días hábiles e informará al titular.

Plazos según los artículos 14 y 15 de la Ley 1581 de 2012. Cuando aplique el RGPD, Contler responderá dentro del mes siguiente al recibo, prorrogable en los términos que permite el RGPD.

16. Vigencia y modificaciones

Esta política rige desde el 1 de septiembre de 2026 y estará vigente mientras Contler preste el servicio de agente de reservas con IA.

• Contler publica esta política en contler.com y la enlaza desde los avisos del agente en voz y chat.
• Cualquier cambio sustancial se publicará en este mismo sitio y se informará a los hoteles clientes antes de su entrada en vigor, indicando la fecha de actualización.
• Las bases de datos se conservarán mientras se cumplan las finalidades descritas y no exista una solicitud válida de supresión.

Versión 1.0 — Contler AG / Contler AG Colombia, NIT 901.487.841-6.