PIPELINE-OS · Legal y cumplimiento
Razón social: PIPELINE Business School LLCTipo de entidad: limited liability company constituida en Delaware, Estados UnidosDomicilio registrado: 8 The Green, STE R, Dover, Delaware 19901, Estados UnidosCorreo para peticiones, consultas y reclamos: hola@pipelinebusinessschool.comServicio relacionado: PIPELINE-OS
La dirección indicada es el domicilio registrado de la compañía y no necesariamente una oficina operativa abierta al público.
Esta Política establece las reglas de PIPELINE Business School LLC (la “Compañía”) para recopilar, utilizar, almacenar, consultar, circular, transmitir, transferir, actualizar, corregir, suprimir y proteger datos personales.
Aplica a datos respecto de los cuales la Compañía actúa como responsable, incluidos datos de prospectos, clientes individuales, representantes, administradores, Usuarios Autorizados, proveedores, Business Advisors y personas que se comunican con la Compañía.
Cuando una organización o persona natural define las finalidades y medios del tratamiento de datos de terceros incluidos en su Contenido, ese Cliente es normalmente el responsable y la Compañía actúa como encargado, procesador o subencargado. Las condiciones contractuales de encargo incluidas en la Sección 18 de esta misma Política se incorporan automáticamente a los Términos cuando corresponda. Si una persona natural proporciona únicamente sus propios datos de cuenta, esta Política y la Política de Privacidad determinan el rol correspondiente sin convertirla artificialmente en responsable de sus propios datos.
Esta Política busca servir a operaciones internacionales y, en especial, a personas en Latinoamérica. Si una norma local concede derechos o términos más favorables, prevalece esa norma en la medida obligatoria.
Autorización o consentimiento: manifestación previa, específica, informada e inequívoca cuando la ley la exija.
Dato personal: información vinculada o razonablemente vinculable a una persona identificada o identificable.
Dato sensible: información cuyo uso indebido puede afectar la intimidad o generar discriminación, incluidas categorías reconocidas por la ley aplicable.
Encargado o procesador: quien trata datos por cuenta e instrucciones de un responsable.
Responsable o controlador: quien decide las finalidades y medios esenciales del tratamiento.
Titular: persona a quien se refieren los datos.
Tratamiento: cualquier operación sobre datos, como recolección, almacenamiento, uso, transmisión, transferencia, actualización o eliminación.
La Compañía aplicará, según corresponda, los principios de legalidad, finalidad, libertad, transparencia, acceso y circulación restringida, exactitud, minimización, necesidad, seguridad, confidencialidad, responsabilidad demostrada y conservación limitada.
En particular:
tratará datos para finalidades informadas y compatibles;
limitará el acceso a personas autorizadas;
procurará mantener datos razonablemente exactos;
no recolectará datos excesivos frente a la finalidad;
implementará medidas proporcionales al riesgo; y
eliminará o anonimizará cuando la finalidad y la obligación de conservación terminen.
La Compañía puede tratar:
identificación y contacto;
datos profesionales, organización, cargo y rol;
credenciales e identificadores de cuenta;
suscripción, facturación, asignación y consumo de tokens o almacenamiento y referencias de pago tokenizadas;
uso, dispositivo, IP, seguridad, auditoría y soporte;
preferencias, consentimiento y marketing;
comunicaciones, demostraciones y eventos;
información de proveedores y Business Advisors; y
datos incluidos en Contenido del Cliente cuando actúe como encargado, incluidos PDF, presentaciones comerciales, propuestas, información comercial, herramientas y materiales de ventas, hojas de cálculo o documentos de Excel, fotografías, imágenes, voz, audio, video, cursos, certificaciones, listas de precios, playbooks y demás archivos que el Cliente decida cargar.
La Compañía no almacena números completos de tarjeta ni códigos de verificación. PIPELINE-OS no está diseñado para secretos de autenticación, datos de menores, información médica regulada, información gubernamental clasificada, plantillas biométricas ni otras categorías de alto riesgo, salvo aprobación escrita y controles específicos. Una fotografía ordinaria puede cargarse con una finalidad comercial lícita, pero PIPELINE-OS no realiza reconocimiento facial ni crea plantillas biométricas por defecto.
La Compañía puede tratar datos para:
gestionar prospectos, solicitudes y demostraciones;
celebrar, ejecutar y terminar contratos;
crear y administrar cuentas, usuarios, roles y permisos;
prestar PIPELINE-OS, soporte, implementación y recuperación;
coordinar consultoría, mentoría y coaching comercial solicitados sin conceder acceso de consultores a cuentas de Clientes;
procesar pagos, facturas, impuestos y conciliaciones;
ofrecer funciones de inteligencia artificial cuyo uso decide el Cliente y que se ejecutan mediante acción afirmativa de un Usuario Autorizado;
comunicarse sobre operación, facturación, seguridad y asuntos legales;
enviar marketing permitido y registrar el retiro;
prevenir fraude, abuso, incidentes e infracciones;
mantener evidencia, auditoría, respaldo y continuidad;
atender derechos, consultas, reclamos y requerimientos de autoridades;
formular, ejercer o defender reclamaciones; y
analizar de forma agregada el rendimiento y mejorar técnicamente el Servicio.
La Compañía no utilizará Contenido del Cliente para entrenar modelos generales de IA sin autorización separada, expresa e informada.
Cuando la ley requiera autorización, la Compañía la solicitará antes o al momento de recolectar los datos y conservará evidencia consultable. La autorización puede obtenerse por checkbox, firma, formulario, registro electrónico, correo u otra conducta afirmativa válida.
Antes de obtenerla, se informará de manera accesible:
la identidad y contacto del responsable;
las finalidades relevantes;
si una respuesta sobre datos sensibles es facultativa;
los derechos del Titular; y
la forma de consultar esta Política.
La Compañía puede tratar datos sin autorización cuando una excepción legal lo permita, sin dejar de cumplir los demás deberes aplicables.
PIPELINE-OS está destinado a mayores de 18 años. La Compañía no busca recolectar directamente datos de menores.
El suministro de datos sensibles es facultativo salvo que resulte estrictamente necesario y exista una base válida. Si un tratamiento sensible se aprueba, se aplicarán controles reforzados, acceso restringido, minimización e información específica. Un Cliente no debe cargar datos sensibles o de menores en contra de las restricciones del Servicio o sin tener autoridad y salvaguardas suficientes.
El Cliente que cargue una fotografía, imagen, voz o video de una persona debe determinar la finalidad, suministrar los avisos exigidos y contar con consentimiento, autorización de imagen u otra base legal suficiente. No podrá utilizar ese material para identificación biométrica, inferencia de datos sensibles, suplantación dañina o contenido íntimo sin consentimiento.
Las funciones de IA pueden estar disponibles en todas las cuentas, pero su uso es opcional y lo decide el Cliente. Las integraciones son seleccionadas, contratadas, configuradas y administradas exclusivamente por la Compañía. El Cliente no puede conectar su propio proveedor de IA, llave API o modelo, salvo autorización expresa mediante una función o acuerdo futuro. Los proveedores pueden incluir Anthropic Claude (Claude AI), OpenAI ChatGPT y modelos GPT, DeepSeek, Google Gemini y Delphi.ai, además de cualquier otra plataforma de IA que la Compañía considere conveniente en el futuro. La Compañía puede agregar, sustituir, limitar o retirar modelos después de evaluar seguridad, privacidad, disponibilidad, costo y condiciones contractuales.
Solo se enviará información cuando un Usuario Autorizado ejecute afirmativamente la función correspondiente. Que una función aparezca habilitada o visible no significa que los archivos almacenados se envíen automáticamente. La ejecución constituye una instrucción del Cliente para utilizar el proveedor administrado que corresponda. La Compañía procurará utilizar entornos corporativos o API y limitar la retención y el entrenamiento general cuando la configuración lo permita. Puede restringir un proveedor para contenido confidencial si sus condiciones, ubicación o controles no resultan adecuados.
Los proveedores aplican sus propias condiciones técnicas, de retención, seguridad, confidencialidad y disponibilidad. La Compañía no garantiza confidencialidad absoluta, retención cero ni una ubicación específica fuera de la oferta y configuración contratadas. Esta limitación no elimina las obligaciones propias de la Compañía que una ley o contrato aplicable no permita excluir, incluidas las relativas a selección, configuración, seguridad, instrucciones y supervisión del proveedor.
Las funciones de Delphi.ai u otro proveedor que creen una réplica digital, plantilla facial, patrón de voz, clon de voz, reconocimiento facial u otro identificador biométrico no se consideran autorizadas por la aceptación general de esta Política. Antes de habilitarlas, la Compañía deberá realizar una evaluación jurídica y de impacto, proporcionar aviso específico, obtener consentimiento o autorización verificable cuando corresponda y definir acceso, retención y eliminación. Esta restricción no aplica al asistente o coach virtual propio de PIPELINE‑OS (una persona digital creada y autorizada por la Compañía con su proveedor), sino a la creación de réplicas, clones de voz o identificadores biométricos de Usuarios, Clientes o terceros.
Los resultados requieren revisión humana y no se usarán por la Compañía como única base de decisiones de alto impacto sobre una persona.
La Compañía puede transmitir datos a encargados que presten alojamiento, base de datos, desarrollo, seguridad, correo, CRM, pagos, soporte, monitoreo e IA. También puede transferir datos a un tercero responsable cuando exista consentimiento, instrucción del Titular, operación corporativa, obligación legal u otra base válida.
Los proveedores pueden incluir Cloudflare (red, seguridad y rendimiento), GitHub (código y despliegue), Supabase (base de datos, autenticación y almacenamiento), Backblaze (almacenamiento o respaldo), Anthropic Claude, OpenAI ChatGPT/GPT, DeepSeek, Google Gemini y Delphi.ai (funciones de IA), Stripe (pagos), Resend (correo transaccional), Slack (comunicación operativa interna), GoHighLevel (CRM y comunicaciones), WordPress (sitio web o contenido público) y Sentry (monitoreo de errores y rendimiento), además de otros proveedores que la Compañía incorpore. Cada proveedor debe recibir solamente los datos necesarios para su función y configuración.
La selección, incorporación, sustitución o retiro de proveedores y plataformas corresponde exclusivamente a la Compañía y no requiere consentimiento previo del Cliente, salvo que una norma obligatoria disponga lo contrario. La Compañía hará esfuerzos comercialmente razonables para evitar una afectación material del Servicio y mantendrá actualizada la información sobre proveedores que traten datos por su cuenta. El cambio de proveedor no otorga por sí solo derecho a reembolso ni se considera terminación del Servicio.
Los datos pueden tratarse en Estados Unidos y otros países donde operen proveedores aprobados. Cuando la ley lo exija, la Compañía utilizará contratos, cláusulas, autorizaciones o mecanismos válidos para la transferencia o transmisión internacional.
Según la ley aplicable, el Titular puede:
conocer y acceder a sus datos y, cuando estén disponibles en su cuenta, descargarlos directamente desde PIPELINE-OS;
actualizar y rectificar información inexacta;
solicitar prueba de la autorización, salvo excepción;
conocer el uso dado a sus datos;
eliminar directamente desde PIPELINE-OS los archivos o datos que administre, o solicitar supresión cuando la función no esté disponible;
revocar autorización o retirar consentimiento para el futuro;
oponerse o limitar ciertos tratamientos;
solicitar portabilidad;
excluirse de venta, publicidad dirigida o perfilamiento cuando aplique;
no ser discriminado por ejercer derechos;
apelar una negativa; y
presentar queja ante la autoridad competente después de agotar el procedimiento previo cuando la ley así lo exija.
La supresión o revocación puede no proceder cuando exista deber contractual o legal, defensa de reclamaciones, interés de seguridad, evidencia de fraude, legal hold u otra excepción válida.
La función de Privacidad y Cumplimiento de PIPELINE Business School LLC es responsable de tramitar solicitudes. Mientras no exista un portal específico, el canal es:
Correo: hola@pipelinebusinessschool.comAsunto recomendado: “Consulta de Datos”, “Reclamo de Datos” o “Solicitud de Privacidad”
La solicitud debe incluir nombre, datos de contacto, país, cuenta u organización relacionada, descripción clara del derecho y documentos de representación cuando actúe un apoderado. La Compañía puede solicitar información proporcional para verificar identidad, pero no pedirá un ITIN, documento oficial o dato sensible si existe un medio menos intrusivo suficiente.
Una consulta busca conocer o acceder a datos personales.
La Compañía registrará la fecha de recepción, identidad, país y alcance.
Verificará razonablemente la identidad o representación.
Determinará si actúa como responsable o debe remitir la solicitud al Cliente controlador.
Buscará la información en los sistemas pertinentes y responderá por un medio seguro.
Para solicitudes sujetas a la legislación colombiana, la consulta se atenderá en un máximo de 10 días hábiles desde su recepción. Si no es posible, se informará el motivo antes del vencimiento y la respuesta no excederá 5 días hábiles adicionales. En otra jurisdicción se aplicará el término legal correspondiente.
Un reclamo debe identificar al Titular, describir los hechos, indicar el contacto de respuesta y acompañar los documentos que se quieran hacer valer.
Para reclamos sujetos a la legislación colombiana:
Si está incompleto, la Compañía solicitará subsanación dentro de los 5 días siguientes. Si transcurren 2 meses sin respuesta, podrá entenderse desistido.
Si la Compañía no es competente, trasladará el reclamo a quien corresponda dentro de 2 días hábiles, cuando sea posible, e informará al interesado.
Una vez completo, registrará “reclamo en trámite” y su motivo dentro de 2 días hábiles, cuando corresponda a una base controlada por la Compañía.
Resolverá en un máximo de 15 días hábiles contados desde el día siguiente a la recepción completa. Si no es posible, informará el motivo y la nueva fecha, que no excederá 8 días hábiles adicionales.
En otras jurisdicciones se aplicará el procedimiento y plazo legal local. La Compañía informará la decisión, el fundamento de una negativa y el mecanismo de apelación o queja disponible.
Cuando el dato se encuentre en Contenido del Cliente y la Compañía actúe como encargado:
informará al solicitante, cuando corresponda, que el Cliente —organización o persona natural— es el responsable;
remitirá la solicitud al Cliente sin demora indebida;
no responderá sustantivamente en contra de las instrucciones lícitas del Cliente; y
prestará asistencia técnica razonable para acceso, corrección, exportación o supresión.
La conservación funciona de la siguiente manera:
Cuenta activa: el Contenido del Cliente permanece mientras exista la suscripción, hasta que un usuario autorizado lo elimine.
Cancelación: el administrador tendrá hasta 30 días para obtener una copia de su información. Puede descargar directamente los archivos que sigan visibles en la aplicación y, para una copia consolidada, solicitarla por escrito al correo de contacto; la Compañía la entregará en un formato estructurado y de uso común dentro de un objetivo de 30 días desde la verificación de identidad. No existe un mecanismo automático de exportación masiva: la solicitud escrita es la vía prevista. Esta es la “ventana de exportación”; no es una extensión gratuita del plan. Si el Cliente pide borrado inmediato, la ventana termina.
Producción: después de la ventana, o antes si se solicita borrado inmediato, la cuenta se bloquea y el contenido se elimina lógicamente de los sistemas activos dentro de un objetivo de 30 días, salvo obligación legal, investigación, disputa o legal hold.
Respaldos: las copias residuales son respaldos automáticos para recuperación ante desastres, no cuentas activas. Expiran dentro de un objetivo máximo de 35 días después del borrado de producción. Si se restaura una copia, se vuelven a aplicar las eliminaciones pendientes.
Copias de archivo y destrucción de llaves: además del ciclo anterior, pueden mantenerse copias de archivo cifradas por un máximo de 24 meses, solo para recuperación ante desastres, continuidad y deberes legales de conservación. No se restauran para reconstruir cuentas eliminadas. Al vencer la retención aplicable, o cuando se solicite el borrado definitivo y no exista obligación legal de conservación, la Compañía destruirá el material de llave que permite descifrar las copias de ese Cliente; destruida la llave, la copia queda técnicamente irrecuperable. Queda constancia de la fecha de destrucción, disponible para el Cliente que la solicite.
Logs técnicos: registran funcionamiento —por ejemplo, fecha, IP, cuenta, función o error— y no deben contener copias de documentos. Se conservan normalmente 30 días.
Logs de seguridad y auditoría: registran inicios de sesión, aprobaciones por correo, accesos de Super Admin o soporte, búsquedas, vistas, permisos, cargas, descargas, exportaciones, ediciones, eliminaciones y uso de IA. Se conservan normalmente 3 meses, o más cuando exista incidente, reclamación, fraude o deber de preservar evidencia.
Soporte: los tickets se conservan normalmente 3 meses después del cierre, salvo que documenten un incidente o disputa.
Relaciones comerciales sin contratación: los datos de una persona que pidió información o una demostración pueden conservarse hasta 12 meses desde la última interacción, salvo retiro anterior. Esto no se refiere a los prospectos que un Cliente cargue como Contenido del Cliente.
Evidencia legal y contable: contratos, aceptación, facturas y soportes fiscales se conservan por el periodo legal o de defensa de reclamaciones aplicable, sin necesidad de conservar el Contenido del Cliente.
La Compañía no confirmará eliminación definitiva hasta terminar los ciclos aplicables de producción y respaldo. Puede conservar un registro mínimo de la solicitud, identidad verificada, decisión y fecha de ejecución.
La Compañía aplicará medidas técnicas, humanas y administrativas razonables para evitar pérdida, adulteración, uso, consulta, acceso o divulgación no autorizados. Estas medidas incluyen controles de acceso, cifrado, MFA obligatorio para Super Admin y personal interno con acceso a cuentas, respaldo, registros y un protocolo de respuesta a incidentes.
Los Business Advisors, mentores, coaches y consultores externos asignados por PIPELINE Business School LLC o PIPELINE-OS para acompañar al Cliente, y aquellos contratados directamente por el Cliente, no podrán ingresar a cuentas o tenants ni recibir credenciales o Contenido del Cliente mediante acceso a la plataforma. Solo personal interno autorizado podrá acceder temporalmente y cada ingreso se notificará al administrador por correo electrónico, con un enlace para registrar su aprobación. Cuando el ingreso responda a un incidente de seguridad, a una falla que impida usar el Servicio, a una solicitud de soporte del propio Cliente o a un deber legal, podrá ejecutarse sin esperar esa aprobación; si el administrador manifiesta su objeción, la Compañía cerrará el acceso salvo obligación legal en contrario. Todo acceso utilizará una cuenta individual con MFA, será monitoreado y quedará en un log de eventos que registre todas las acciones realizadas, sin copiar innecesariamente contraseñas, secretos o el contenido íntegro de archivos y prompts.
Ante un incidente, la Compañía evaluará alcance, riesgo, rol de tratamiento y requisitos de notificación por jurisdicción. Cuando actúe como encargado, informará al responsable según el contrato y la ley.
Aviso al Cliente. Confirmado un incidente de seguridad que haya afectado o pueda afectar Datos Personales o Contenido del Cliente, la Compañía lo notificará al administrador de la cuenta afectada sin demora indebida y, como objetivo, dentro de las 72 horas siguientes a la confirmación. El aviso se enviará al correo de contacto registrado e incluirá, con la información razonablemente disponible: qué ocurrió y cuándo, qué categorías de datos y qué cuentas resultaron comprometidas o expuestas, las consecuencias probables, las medidas de contención y corrección adoptadas y un punto de contacto. La Compañía actualizará el aviso conforme avance la investigación y cooperará razonablemente para que el Cliente, como responsable, realice las notificaciones que le correspondan ante los titulares y ante la Superintendencia de Industria y Comercio u otra autoridad competente, dentro de los plazos que la ley le imponga. Un aviso preliminar no constituye reconocimiento de responsabilidad.
Esta Sección establece las condiciones contractuales aplicables cuando la Compañía trate Datos Personales del Cliente siguiendo instrucciones de una organización o persona natural. Forma parte de los Términos en esos casos. Si la persona suministra únicamente sus propios datos de cuenta, esta Sección no la convierte artificialmente en responsable de sus propios datos.
La Compañía tratará los Datos Personales del Cliente únicamente para prestar, alojar, organizar, respaldar, proteger, soportar, exportar y eliminar PIPELINE-OS; administrar usuarios, tokens y almacenamiento; ejecutar funciones de IA utilizadas por el Cliente; cumplir instrucciones documentadas y obligaciones legales; y durante los periodos descritos en la Sección 16. Las categorías de datos, personas, finalidades y operaciones son las descritas en las Secciones 5, 6 y 9. La Compañía no venderá esos datos ni utilizará Contenido del Cliente para entrenar modelos generales sin autorización separada, expresa e informada.
El Cliente decide qué datos carga, qué usuarios invita, qué permisos concede y si utiliza funciones de IA. Declara que cuenta con las bases legales, avisos, derechos y autorizaciones necesarios y atenderá primariamente las solicitudes relacionadas con sus datos. La Compañía seguirá siendo responsable de las obligaciones que la ley le imponga directamente como encargado, procesador o en otro rol propio.
El Cliente autoriza de manera general a la Compañía para utilizar y cambiar proveedores o subencargados necesarios para el Servicio. La Compañía evaluará razonablemente su función, limitará los datos a lo necesario y les impondrá obligaciones apropiadas de confidencialidad, privacidad y seguridad. La Compañía puede agregar, sustituir o retirar proveedores sin pedir consentimiento individual al Cliente, hará esfuerzos comercialmente razonables para evitar una afectación material y mantendrá una lista vigente. Si una norma obligatoria reconoce un derecho específico de objeción o información, la Compañía lo respetará en la medida aplicable.
La Compañía exigirá confidencialidad al personal autorizado y mantendrá medidas razonables y proporcionales, como separación lógica entre clientes, cifrado en tránsito y reposo, cuentas individuales, MFA para accesos privilegiados, monitoreo, gestión de vulnerabilidades, logs y respuesta a incidentes. Los Business Advisors, mentores, coaches y consultores externos asignados por la Compañía o contratados por el Cliente no acceden a cuentas o tenants. Cada acceso humano interno se notifica al administrador por correo, con un enlace para registrar su aprobación, y queda monitoreado y registrado en el log de auditoría.
La arquitectura inicial contempla copias diarias conservadas 7 días, copias semanales conservadas 4 semanas, respaldo separado con credenciales distintas, cifrado e inmutabilidad o protección equivalente. El contenido eliminado debe expirar de respaldos dentro de un objetivo máximo de 35 días, salvo deber de preservación. El RPO interno puede ser de hasta 7 días y el RTO interno de hasta 7 días calendario; son objetivos de continuidad y no un SLA ni garantía de ausencia de pérdida.
La Compañía prestará asistencia razonable para solicitudes de acceso, descarga, corrección, eliminación o portabilidad y para evaluaciones o consultas regulatorias, teniendo en cuenta la naturaleza del tratamiento. Ante una brecha confirmada que afecte Datos Personales del Cliente, informará y cooperará sin demora indebida conforme a la ley y al contrato aplicables. El Cliente realizará las notificaciones que le correspondan como responsable, con la información razonablemente disponible de la Compañía.
La devolución, exportación, conservación y eliminación se rigen por la Sección 16. Los datos pueden tratarse en Estados Unidos y donde operen proveedores autorizados; cuando una transferencia requiera un mecanismo legal específico, la Compañía utilizará el mecanismo aplicable. Una vez por año, el Cliente podrá solicitar información razonable para verificar estas condiciones. Una auditoría adicional requerirá causa razonable, confidencialidad, alcance limitado, ausencia de acceso a datos de otros clientes y costos a cargo del Cliente, salvo incumplimiento material de la Compañía.
Si existe conflicto, una norma obligatoria prevalece; después, esta Sección respecto del tratamiento por cuenta del Cliente; luego una orden firmada respecto de sus condiciones específicas; y finalmente los Términos generales. La responsabilidad derivada de esta Sección queda sujeta a las exclusiones y límites de los Términos en la máxima medida permitida por la ley.
Esta Política entra en vigor en la fecha indicada y permanecerá vigente mientras existan bases o tratamientos cubiertos.
La Compañía puede actualizarla por cambios legales, técnicos u operativos. Comunicará oportunamente los cambios sustanciales relativos a identidad del responsable, finalidades, derechos o mecanismos de ejercicio antes de implementarlos cuando la ley lo exija. Los cambios ordinarios de interfaz o funcionalidad de PIPELINE-OS no constituyen por sí solos un cambio sustancial de esta Política.
PIPELINE Business School LLCDomicilio registrado: 8 The Green, STE RDover, Delaware 19901, Estados UnidosCorreo: hola@pipelinebusinessschool.com