Política de Privacidad y Tratamiento de Datos Personales

Última actualización: 7 de noviembre de 2026

Grabitt es una plataforma tecnológica desarrollada y operada por Eventt S.A.S., sociedad constituida conforme a las leyes de la República de Colombia y domiciliada en Bogotá D.C., Colombia.

Esta Política de Privacidad y Tratamiento de Datos Personales explica cómo se recopila, utiliza, procesa, almacena y protege la información relacionada con los usuarios, clientes y participantes que utilizan Grabitt.

El tratamiento de datos personales se realiza de conformidad con la legislación colombiana aplicable, incluyendo la Ley 1581 de 2012, el Decreto 1074 de 2015, que compila sus normas reglamentarias, y las instrucciones de la Superintendencia de Industria y Comercio.

1. Sobre Grabitt

Grabitt es una plataforma tecnológica que permite a organizaciones y usuarios autorizados crear, configurar y administrar encuestas y mediciones, gestionar participantes, recopilar respuestas y generar resultados, análisis y reportes.

Grabitt proporciona las herramientas tecnológicas necesarias para realizar estos procesos, pero no determina por cuenta propia las preguntas, participantes, finalidades ni condiciones particulares de las encuestas creadas por sus clientes.

Cada organización que utiliza Grabitt es responsable de configurar sus mediciones, determinar qué información desea recopilar, establecer las finalidades correspondientes y definir la política de privacidad aplicable a sus participantes.

2. Responsable y Encargado del Tratamiento

La función de Eventt S.A.S. respecto del tratamiento de datos depende del contexto en el cual se utiliza Grabitt.

Eventt como Responsable

Eventt S.A.S. actúa como Responsable del Tratamiento respecto de la información que recopila directamente para administrar Grabitt y mantener su relación con usuarios y clientes.

Esto incluye, entre otros, los datos necesarios para:

• crear y administrar cuentas;
• autenticar usuarios;
• prestar y mantener el servicio;
• gestionar la relación contractual y comercial con los clientes, incluidas las solicitudes de acceso, demostración o contacto;
• administrar la facturación y el registro del consumo del servicio;
• proporcionar soporte;
• registrar la aceptación de los Términos de Servicio, de esta política y del Acuerdo de Tratamiento de Datos;
• registrar y atender las solicitudes de los titulares, incluidas las que se refieren a mediciones de los clientes;
• mantener la seguridad de Grabitt y gestionar los incidentes de seguridad; y
• cumplir obligaciones legales.

Eventt como Encargado

Cuando un cliente utiliza Grabitt para crear y administrar una encuesta o medición, el cliente determina las finalidades del tratamiento, las preguntas, los participantes, la información recopilada y las condiciones bajo las cuales se realiza la medición.

En estos casos, el cliente actúa normalmente como Responsable del Tratamiento y Eventt S.A.S., a través de Grabitt, actúa normalmente como Encargado del Tratamiento, procesando la información por cuenta del cliente para proporcionar las funcionalidades de la plataforma.

Eventt trata esta información dentro del alcance necesario para prestar el servicio, conforme a las instrucciones legítimas y documentadas del cliente, las finalidades autorizadas, los contratos aplicables, la configuración de privacidad de cada medición y las obligaciones establecidas por la legislación aplicable. Ninguna instrucción puede utilizarse para eludir las garantías que la modalidad de privacidad de una medición ofrece a sus participantes.

Como Encargado, Eventt conserva las obligaciones que la ley le impone, entre ellas las de seguridad, confidencialidad y colaboración en la atención de los derechos de los titulares. Las condiciones del encargo se detallan en el Acuerdo de Tratamiento de Datos de Grabitt, que forma parte de los Términos de Servicio.

El cliente es responsable de determinar que la recopilación y utilización de los datos mediante sus encuestas sea legítima, identificar los datos necesarios, informar adecuadamente a los participantes, contar con las autorizaciones o fundamentos jurídicos que resulten necesarios, proporcionar su propia política de tratamiento, administrar correctamente a sus usuarios autorizados y utilizar legalmente los resultados y exportaciones.

Organizaciones que realizan mediciones por cuenta de terceros

Una organización cliente, como una firma consultora, puede utilizar Grabitt para realizar mediciones por cuenta de otra empresa.

En ese caso, el Responsable del Tratamiento es quien determina las finalidades y condiciones del tratamiento, que no es necesariamente el titular de la cuenta en Grabitt. Puede ser la empresa por cuya cuenta se realiza la medición, con la consultora como su Encargado, o puede existir otra distribución de funciones según el acuerdo entre ellas. La consultora debe contar con los acuerdos e instrucciones necesarios e identificar en cada medición, como Responsable, a la organización que efectivamente lo sea, para que los participantes sepan ante quién ejercer sus derechos.

Proveedores de Eventt

Para prestar el servicio, Eventt se apoya en proveedores tecnológicos que tratan determinada información por su cuenta, descritos en la sección 9. Eventt responde por la selección de esos proveedores y por exigirles condiciones de seguridad y confidencialidad adecuadas.

3. Información de los usuarios de Grabitt

Para crear y administrar una cuenta podemos recopilar información como:

• nombre;
• dirección de correo electrónico;
• organización asociada a la cuenta;
• roles y permisos; y
• datos técnicos y de seguridad necesarios para administrar la cuenta y sus sesiones.

Cuando una organización contrata un plan, también podemos tratar los datos de facturación y de contacto comercial necesarios para gestionar esa relación.

Cuando un usuario acepta los Términos de Servicio, esta política o el Acuerdo de Tratamiento de Datos, o realiza la declaración previa a la carga de participantes, Grabitt registra quién aceptó, el documento, su versión, una huella criptográfica del texto, el idioma y la fecha y hora. Estos registros se conservan como evidencia y no se eliminan con las mediciones, proyectos o equipos.

Autenticación mediante terceros

Grabitt puede permitir utilizar proveedores externos de identidad, como Google o Microsoft, para realizar la autenticación.

Cuando un usuario utiliza uno de estos proveedores, la validación de identidad se realiza mediante el proveedor correspondiente y Grabitt recibe la información necesaria para crear o identificar la cuenta, como el nombre y la dirección de correo electrónico.

La interacción del usuario con el proveedor de identidad correspondiente también está sujeta a las políticas de privacidad de dicho proveedor.

Autenticación mediante contraseña

Los usuarios también pueden utilizar mecanismos de autenticación mediante contraseña.

Grabitt no almacena estas contraseñas en texto legible. Se almacena una representación criptográfica de la contraseña destinada a verificar posteriormente las credenciales del usuario.

4. Información de participantes y respuestas

Grabitt permite tres modalidades de privacidad para recopilar respuestas: anónima, confidencial e identificada. El cliente elige la modalidad de cada medición; la modalidad puede cambiarse mientras la medición está en borrador y queda congelada desde su primera activación. Un cambio posterior del plan del cliente no modifica la modalidad ni debilita sus garantías.

Encuestas anónimas

En una medición anónima no se utiliza una lista de participantes identificados, y las respuestas no se asocian directamente con un participante registrado.

Cuando una persona inicia una participación anónima, Grabitt genera un identificador técnico temporal cuya finalidad es permitir que el sistema agrupe las diferentes respuestas que forman parte de un mismo envío del formulario.

Este identificador no contiene la identidad del participante ni está asociado a un registro de participante identificado.

Grabitt no recopila, como parte de la respuesta de una encuesta anónima, información personal del participante o de su dispositivo destinada a identificar posteriormente quién respondió la medición.

Los usuarios autorizados del cliente pueden consultar y exportar las respuestas individuales de una medición anónima, incluidos los comentarios, sin datos de identidad registrados.

Esta configuración técnica no impide que un participante se identifique voluntariamente mediante sus respuestas, ni que el contenido de las preguntas, los comentarios, los atributos solicitados o la combinación de varias respuestas permitan identificarlo de manera indirecta. Una medición anónima no garantiza un anonimato absoluto.

Como no existe un vínculo con una identidad registrada, Grabitt normalmente no puede localizar la respuesta de una persona concreta en una medición anónima para atender una solicitud de acceso, rectificación o supresión, salvo que el titular aporte información que permita ubicarla con certeza. Los datos de una participación anónima no se rectifican (sección 15).

Encuestas confidenciales

En una medición confidencial, el cliente registra a los participantes, puede enviarles invitaciones y recordatorios y puede conocer quién completó la medición y quién está pendiente.

El cliente no puede consultar las respuestas individuales de los participantes mediante las funcionalidades de Grabitt, y ningún rol de su organización permite eludir esa restricción. Tampoco puede exportar ni descargar respuestas individuales. Una respuesta individual es el conjunto de respuestas de un participante, o cualquiera de ellas asociada a su identidad, a su segmento o a su fecha de envío.

Los resultados se presentan únicamente mientras la medición está cerrada, de forma agregada y con controles de confidencialidad, entre ellos:

• un umbral mínimo de cinco respuestas válidas para publicar una cifra;
• la retención de las cifras que permitirían deducir otras ya retenidas;
• restricciones de segmentación, que limitan los resultados a una sola dimensión de análisis elegida antes de activar la medición;
• la exclusión de la comparación con otras mediciones en los reportes; y
• la presentación de los comentarios de las preguntas abiertas de texto cada uno por separado del resto de su respuesta, sin el nombre, el segmento ni la fecha de envío de quien lo escribió, en un orden que no corresponde al de envío, solo cuando la pregunta alcanza el umbral mínimo, nunca por segmento y sin posibilidad de descargarlos ni exportarlos.

Grabitt conserva internamente las relaciones técnicas necesarias para administrar, procesar y proteger las respuestas, incluida la relación entre cada respuesta y el participante que la envió. Esas relaciones no están disponibles para los usuarios del cliente, y el acceso de Eventt a ellas se limita a lo descrito en la sección 15.

Un comentario mostrado de esta forma no es una respuesta individual, pero su contenido o su forma de redacción pueden permitir identificar a quien lo escribió, y el umbral mínimo no lo impide. Por eso conviene no incluir en los comentarios datos que permitan identificar a una persona.

Estos controles reducen el riesgo de identificar a una persona a partir de los resultados, pero no lo eliminan. Que una cifra represente a cinco personas o más no la convierte por sí sola en un dato anónimo: la posibilidad de identificación depende también del contenido, del contexto, de las características de la población y de la información externa razonablemente disponible.

Encuestas identificadas

En una medición identificada, cada respuesta queda asociada al participante que la envió.

Los usuarios autorizados del cliente, según sus permisos, pueden consultar las respuestas individuales y exportarlas junto con el nombre, el correo electrónico, el identificador y los atributos del participante, incluidos sus comentarios.

El cliente debe informar previamente a los participantes sobre este tratamiento. El acceso continúa sujeto a los permisos y controles de seguridad de Grabitt.

Identificación de los participantes

En una medición confidencial, el participante se identifica siempre con su correo electrónico y un código temporal de verificación enviado a esa dirección. El código demuestra el acceso al buzón de correo, no necesariamente la identidad de la persona: si otra persona u organización tiene acceso a ese buzón, también puede acceder al código.

En una medición identificada, el cliente puede exigir ese código o permitir la identificación mediante el correo electrónico o un identificador de su lista sin verificación. En ese caso, Grabitt no verifica la identidad de quien responde, y conocer el correo o el identificador de una persona no constituye prueba de su identidad.

La información del participante que el cliente incorpora a la lista, como su nombre, correo, identificador o atributos, es determinada por el cliente.

Entorno de demostración

En el entorno de demostración que Eventt puede habilitar para conocer Grabitt no están disponibles las mediciones confidenciales, y los resultados se muestran desde una respuesta. Esos resultados no ofrecen garantías de confidencialidad estadística. Esta política se aplica igualmente a la información tratada en ese entorno.

Contenido definido por el cliente

Grabitt proporciona la infraestructura tecnológica para crear y responder las mediciones, pero no determina las preguntas creadas por los clientes.

Una organización podría configurar preguntas cuyas respuestas contengan información que identifique directamente al participante o que, al combinarse con otra información disponible para dicha organización, permita inferir razonablemente su identidad.

Cuando esto ocurra, dicha posibilidad de identificación se deriva del contenido y configuración definidos por el cliente y no del mecanismo técnico utilizado por Grabitt para cada modalidad.

El cliente, en su calidad de Responsable del Tratamiento, es responsable de evaluar las preguntas que incorpora a sus mediciones, determinar qué información solicita, establecer si dicha información puede permitir identificar a los participantes y cumplir las obligaciones de privacidad y protección de datos correspondientes.

Eventt no controla ni determina las preguntas incorporadas por los clientes en sus mediciones.

5. Política de privacidad de cada encuesta

El cliente que crea una medición es responsable de determinar la política de privacidad y las condiciones de tratamiento aplicables a dicha encuesta.

Aviso de privacidad de Grabitt

Antes de responder, cada medición presenta al participante un aviso redactado por Grabitt sobre su modalidad de privacidad, que describe cómo se administran sus respuestas. El cliente no puede eliminarlo ni modificarlo.

El aviso se presenta en el idioma del formulario, español o inglés, y no promete anonimato absoluto en ninguna modalidad. Este aviso complementa, y no sustituye, la información y la política de privacidad del Responsable, y no constituye por sí solo una autorización para el tratamiento.

Información del Responsable

Grabitt ofrece al cliente una página configurable de privacidad, términos y autorización, que esta Política también llama “página de autorización” y que el cliente puede incluir en una medición según su caso y sus obligaciones. En ella puede identificar a la organización responsable y presentar su política de tratamiento o la información de privacidad aplicable en el propio texto de la página, mediante un enlace externo o de ambas formas. El cliente determina y suministra la información legal que aplique a cada medición y responde por su contenido.

Grabitt no exige esa página, ni los datos del Responsable en la configuración, para programar o activar una medición, y no muestra esos datos al participante por sí mismo: aparecen en el formulario solo cuando el cliente los incluye en una página. La ausencia de la página o de esos datos no elimina las obligaciones legales del cliente ni las del Responsable. Eventt conserva sus propias responsabilidades como proveedor de Grabitt y, cuando corresponda, como Encargado del Tratamiento.

Cada página de autorización puede ser informativa o solicitar la aceptación expresa del participante. El cliente la configura según las finalidades, el fundamento legal y las obligaciones que apliquen a la medición. Que una página no solicite la aceptación no exime al cliente de obtener la autorización del titular cuando el tratamiento la requiera.

Corresponde al Responsable informar a los participantes, según corresponda, la organización responsable de la medición, su finalidad, las categorías de información solicitada, sus derechos como titulares, los canales para ejercerlos, la política de tratamiento aplicable y las condiciones de identificación y confidencialidad de la medición, y determinar si el tratamiento se basa en una autorización o en un fundamento legal que la exceptúe.

Desde que una medición se programa o se activa por primera vez, quedan congelados los datos del Responsable registrados en la configuración y, en cada página de autorización, la declaración, el enlace y la opción de solicitar o no la aceptación. En las páginas que solicitan la aceptación y se agregaron desde la entrada en vigor de esta versión de la Política, también queda congelado el cuerpo de texto de la página; las agregadas antes, y sus copias en mediciones duplicadas, conservan las reglas con las que se crearon.

Aceptación

Cuando la medición incluye una página de autorización que solicita la aceptación, Grabitt la presenta antes de permitir al participante continuar con la encuesta y exige marcar su casilla. Una página informativa no tiene casilla y no genera registro de aceptación.

La aceptación queda registrada técnicamente junto con la participación correspondiente, con el texto de la declaración aceptada, una huella criptográfica de ese texto, una huella criptográfica del cuerpo de texto de la página cuando lo hay, el enlace a la política presentado, los datos del Responsable registrados en la configuración de la medición cuando existen, la versión del aviso de privacidad de Grabitt y la fecha y hora de la aceptación. De un documento enlazado se registra solo la dirección del enlace, no una copia ni una huella de su contenido. En encuestas confidenciales e identificadas, el registro queda relacionado con la participación del participante. En encuestas anónimas, queda relacionado exclusivamente con el identificador técnico temporal de la participación, y no se añade ningún dato identificativo para registrarla.

Este registro acredita la acción del participante. Que una casilla haya sido marcada no implica por sí solo una autorización válida para cualquier tratamiento: su validez depende de la información presentada, la finalidad, la naturaleza de los datos y las condiciones legales aplicables.

La inclusión de esta funcionalidad no significa que Eventt determine el contenido de la política del cliente. El cliente continúa siendo responsable de definir las finalidades del tratamiento, proporcionar la información legalmente requerida y obtener las autorizaciones correspondientes.

Carga de listas de participantes

Antes de cargar el primer participante de una medición, un usuario del cliente declara que la organización responsable cuenta con la autorización de los titulares, o con otro fundamento legal aplicable, para tratar esos datos, y que los usará solo para gestionar esa medición. Grabitt registra esa declaración conforme a la sección 3. La declaración no sustituye las autorizaciones que el Responsable debe obtener y conservar.

6. Datos sensibles

Grabitt no requiere que los clientes recopilen datos sensibles para utilizar la plataforma.

Sin embargo, debido a que los clientes pueden configurar las preguntas de sus propias mediciones, una encuesta podría solicitar información considerada sensible conforme a la legislación aplicable.

Son ejemplos los datos relativos a la salud, la afiliación sindical, las convicciones religiosas y la orientación política. Cuando un cliente decida recopilar este tipo de información, será responsabilidad del cliente determinar la legitimidad de dicho tratamiento, informar adecuadamente al participante sobre el carácter sensible de los datos y sobre su facultad de no responder las preguntas que versen sobre ellos cuando así lo disponga la ley, cumplir las condiciones especiales aplicables y obtener las autorizaciones que resulten necesarias.

El cliente no debe solicitar información sensible que no sea necesaria para la finalidad de la medición. La modalidad confidencial no constituye por sí misma una autorización para tratar datos sensibles ni sustituye las exigencias especiales que la ley establece para ellos, y el uso de una plantilla de Grabitt no garantiza el cumplimiento de la legislación aplicable. En el entorno de demostración deben utilizarse datos ficticios o sintéticos.

Eventt tratará dicha información como Encargado únicamente para proporcionar las funcionalidades de Grabitt y conforme a las obligaciones legales aplicables.

7. Finalidades del tratamiento realizado por Grabitt

Dependiendo de la naturaleza de la información y de la relación correspondiente, Eventt puede tratar datos para:

• crear y administrar cuentas de usuario;
• autenticar usuarios y mantener sus sesiones;
• gestionar organizaciones, roles y permisos;
• prestar y mantener las funcionalidades de Grabitt;
• almacenar y procesar la configuración de las mediciones;
• gestionar participantes cuando corresponda;
• recopilar y procesar respuestas;
• generar resultados, análisis y reportes, aplicando los controles de la modalidad de privacidad de cada medición;
• registrar el consumo del servicio para su facturación, mediante registros que no contienen las respuestas ni los datos de contacto de los participantes;
• ejecutar funcionalidades solicitadas expresamente por usuarios autorizados;
• proporcionar soporte técnico;
• detectar, investigar y prevenir problemas de seguridad;
• diagnosticar errores y mantener la disponibilidad de la plataforma;
• gestionar la relación contractual con los clientes; y
• cumplir obligaciones legales.

Eventt no utiliza las respuestas de los participantes para publicidad dirigida ni para crear perfiles comerciales de los participantes.

8. Inteligencia artificial

Eventt prevé ofrecer en Grabitt funcionalidades opcionales de inteligencia artificial destinadas a analizar respuestas y apoyar la generación de resultados, interpretaciones o reportes.

Grabitt AI ofrece, en los planes que la incluyen, dos funcionalidades:

• Asistencia para diseñar encuestas. Opera sobre la información de configuración que el usuario suministra al solicitarla, como el propósito, el objetivo, el público, el contexto, el idioma y, cuando decide adaptarla, una plantilla. No envía respuestas de participantes, listas de participantes ni resultados de mediciones.
• Generación de reportes. Opera sobre los resultados agregados de las mediciones que el usuario selecciona, calculados por Grabitt conforme a la modalidad de privacidad de cada medición y a su umbral mínimo de respuestas: la cantidad de respuestas completas, los promedios por dimensión, pregunta y fila de matriz con su escala, la distribución porcentual de las respuestas por bandas y los porcentajes de las opciones de respuesta. Envía también los nombres de la medición, de sus dimensiones y de sus preguntas, y la audiencia y el enfoque que el usuario indica. No envía respuestas individuales, respuestas de texto libre, listas de participantes, datos de identificación de los participantes ni las cifras que el umbral mínimo oculta. Las cifras del reporte las calcula Grabitt; el proveedor propone la estructura del reporte y la interpretación de esas cifras, que el usuario revisa y puede editar antes de guardarlo como borrador. El reporte no se publica automáticamente.

El usuario no debe incluir datos personales de los participantes ni de otras personas en la información que suministra a estas funcionalidades. El análisis de respuestas individuales o de texto libre mediante inteligencia artificial no está disponible a la fecha de esta política; esta sección describe también las condiciones bajo las cuales se incorporaría.

Las funcionalidades de inteligencia artificial:

• no se ejecutarán automáticamente sobre todas las respuestas, sino solo cuando un usuario autorizado solicite expresamente una funcionalidad o reporte que requiera dicho procesamiento;
• respetarán los permisos de ese usuario y la modalidad de privacidad de cada medición, y no permitirán eludirlos;
• no consultarán respuestas individuales de mediciones confidenciales; y
• recibirán solo la información razonablemente necesaria para el análisis solicitado.

Las funcionalidades que ayuden a crear encuestas o a configurar reportes podrán operar sobre información de configuración, como preguntas, plantillas o estructuras, sin procesar respuestas de participantes. El análisis de resultados es una operación distinta y está sujeto a las reglas de esta sección.

Antes de enviar información al servicio de inteligencia artificial, Grabitt preparará los datos necesarios para el análisis sin incluir la relación existente entre las respuestas y participantes identificados. Cuando resulte posible y apropiado, entregará información calculada, agregada, resumida o estructurada de la medición, en lugar de las respuestas en crudo.

Eventt podrá utilizar proveedores especializados de inteligencia artificial mediante servicios empresariales o APIs. Antes de habilitar una funcionalidad que envíe información a uno de ellos, Eventt celebrará con el proveedor un acuerdo que ampare ese tratamiento y lo incorporará a la relación de la sección 9 y al Acuerdo de Tratamiento de Datos, con la finalidad, la información enviada, el lugar del tratamiento y el mecanismo jurídico aplicable cuando ese tratamiento se realice fuera de Colombia.

Grabitt no utiliza las respuestas de los participantes para entrenar modelos propios de inteligencia artificial. Eventt publicará declaraciones sobre si un proveedor utiliza la información para entrenar sus modelos, y sobre el tiempo que la conserva, solo cuando estén respaldadas por el contrato con ese proveedor y por la configuración efectivamente contratada.

Los resultados generados mediante inteligencia artificial podrán contener errores y estarán sujetos a la revisión humana del cliente antes de utilizarse para tomar decisiones sobre una persona.

Las funcionalidades de inteligencia artificial podrán estar disponibles como complementos adquiridos por separado o como parte de una suscripción, según el plan contratado. La información tratada dependerá de la funcionalidad solicitada.

Inteligencia artificial y mediciones confidenciales

Sobre una medición confidencial, las funcionalidades de inteligencia artificial utilizarán únicamente los resultados agregados que esa modalidad permite consultar al cliente. No tendrán un acceso privilegiado a las respuestas individuales.

Inteligencia artificial y mediciones anónimas

Cuando se utilice una funcionalidad de inteligencia artificial sobre una medición anónima, Grabitt procesará la información conforme al modelo de esa modalidad y no entregará a los servicios de inteligencia artificial información de identidad de los participantes que no recopila como parte de la medición anónima.

No obstante, las preguntas configuradas por el cliente o las respuestas de texto libre proporcionadas por los participantes pueden contener por sí mismas información que permita identificar o contribuir a identificar a una persona.

El cliente es responsable de considerar esta posibilidad al configurar sus preguntas y al decidir si utiliza funcionalidades de inteligencia artificial sobre las respuestas recopiladas.

9. Proveedores tecnológicos

Eventt utiliza proveedores tecnológicos especializados para operar Grabitt. Estos proveedores tratan la información por cuenta de Eventt y únicamente en la medida necesaria para prestar sus servicios.

Actualmente estos servicios incluyen:

• Google Cloud Platform, para el cómputo de la API, el almacenamiento de archivos como logotipos y facturas, la gestión de secretos, la programación de tareas y el registro técnico de la operación. El cómputo, la programación de tareas y el almacenamiento de archivos se ubican en la región us-east1 de Google Cloud, en los Estados Unidos de América. Los registros técnicos de la operación se almacenan en la ubicación global de Google Cloud, que no corresponde a una región determinada, durante treinta (30) días los registros generales y hasta cuatrocientos (400) días los registros de auditoría de la propia plataforma de Google Cloud;
• Firebase Hosting, servicio de Google, para el alojamiento de las aplicaciones web de Grabitt, que se sirven desde la infraestructura global de Google;
• MongoDB Atlas, para servicios de bases de datos y respaldo, con la base de datos alojada en la región us-east-1 de Amazon Web Services (Virginia del Norte, Estados Unidos de América) y respaldos automáticos diarios, de los que se conservan las ocho (8) copias más recientes;
• Resend, para el envío de correos electrónicos transaccionales, como invitaciones a participantes, códigos de verificación y avisos de la cuenta, lo que implica tratar la dirección de correo del destinatario, su nombre cuando corresponde y el contenido del mensaje, con región de envío en us-east-1 (Virginia del Norte, Estados Unidos de América);
• Google y Microsoft, cuando el usuario decide utilizar estos proveedores para autenticarse y esa forma de ingreso está disponible;
• Google Workspace, que Eventt utiliza para su correo de contacto y para la gestión y la entrega segura de las respuestas a las solicitudes de los titulares;
• Anthropic, para la asistencia de diseño de encuestas y la generación de reportes de Grabitt AI mediante su API, que trata la información de configuración y los resultados agregados descritos en la sección 8, ubicada, según lo informado por el proveedor, en los Estados Unidos de América; y
• Umami, para analítica sin cookies de seguimiento en el sitio público y en la consola administrativa, ubicada, según lo informado por el proveedor, en Oregón, Estados Unidos de América.

Cuando Eventt incorpore otros proveedores de inteligencia artificial, o utilice uno para nuevas funcionalidades, lo hará conforme a la sección 8.

Varios de estos proveedores procesan o almacenan información fuera de Colombia, en particular en los Estados Unidos de América, y algunos lo hacen en infraestructura global distribuida en varios países. Las ubicaciones indicadas corresponden a la región principal de cada servicio; los proveedores y sus subencargados pueden tratar información en otros lugares para fines de soporte, seguridad o continuidad, conforme a sus contratos.

Cuando un proveedor trata datos personales por cuenta de Eventt, sin decidir sobre su finalidad, la comunicación de esos datos constituye una transmisión internacional, que se realiza conforme a un contrato con el proveedor. Una transferencia internacional, en la que quien recibe los datos los trata como responsable, solo se realizará en los casos y con los requisitos que establece la ley. Respecto de los datos de las mediciones, Eventt actúa como Encargado y sus proveedores como subencargados, conforme al Acuerdo de Tratamiento de Datos.

La relación actualizada de proveedores, su finalidad y el lugar de tratamiento informado por cada uno pueden solicitarse mediante los canales de contacto indicados en esta política.

10. Almacenamiento y arquitectura de la información

Grabitt implementa una arquitectura diseñada para reducir la exposición innecesaria de relaciones entre diferentes conjuntos de información.

Los diferentes componentes del sistema utilizan identificadores técnicos internos para establecer las relaciones necesarias entre cuentas, organizaciones, mediciones, participantes, respuestas y otros elementos de la plataforma.

Estas relaciones son administradas por la lógica de Grabitt y permiten evitar la repetición innecesaria de información personal dentro de los diferentes registros utilizados por el sistema.

En las mediciones identificadas y confidenciales, la aplicación mantiene la relación entre cada participante y sus respuestas, necesaria para administrar la participación y procesar los resultados. En las mediciones confidenciales esa relación se utiliza internamente y no se pone a disposición de los usuarios del cliente.

En las mediciones configuradas como anónimas, dicha relación con un participante identificado no existe. El identificador técnico temporal utilizado para agrupar las respuestas de un mismo envío no está asociado a un participante determinado.

Los resultados agregados de una medición confidencial se calculan después de su cierre y se almacenan como un registro estable de resultados protegidos. Ese registro contiene cifras ya sometidas a los controles de confidencialidad, junto con los nombres de las preguntas, los grupos y los valores de la dimensión de análisis, y no contiene respuestas individuales, nombres, correos ni identificadores de participantes o de respuestas. No se recalcula mientras la medición permanece cerrada, para evitar que cambios posteriores permitan deducir respuestas por diferencia, y se elimina con la medición. Si el cliente reabre la medición, el registro se elimina y los resultados se calculan de nuevo, con las respuestas disponibles y los mismos controles, cuando la medición vuelve a cerrarse. Comparar los resultados de dos cierres puede revelar información sobre quienes respondieron entre ambos; la decisión de reabrir corresponde al cliente. Cuando esos resultados se retiran conforme a la sección 14, el registro conserva solo la constancia del retiro, sin cifras, ninguna funcionalidad de Grabitt vuelve a calcularlos y la medición no puede reabrirse.

Grabitt utiliza infraestructura y servicios especializados para almacenar y proteger la información, incluyendo MongoDB Atlas y Google Cloud Platform.

Las bases de datos cuentan con una copia de respaldo automática diaria, destinada a proteger la disponibilidad e integridad de la información, cuyo periodo de conservación se indica en la Política de Retención de Información.

11. Cookies y tecnologías similares

Grabitt utiliza cookies estrictamente necesarias para proporcionar determinadas funcionalidades de la plataforma, particularmente aquellas relacionadas con la autenticación y el mantenimiento de sesiones en la consola administrativa.

Estas cookies no se utilizan para publicidad dirigida ni para crear perfiles publicitarios.

El sitio público de Grabitt y los formularios utilizados por los participantes para responder las encuestas no requieren la cookie de sesión administrativa de Grabitt.

Cuando un lector desbloquea un reporte restringido con su clave de acceso, Grabitt utiliza una cookie estrictamente necesaria, de duración limitada, para mantener ese acceso sin volver a pedir la clave. La cookie solo identifica el reporte desbloqueado, no la persona, y deja de ser válida cuando su plazo vence o cuando el autor cambia la clave o renueva el enlace del reporte.

Los formularios de las encuestas no utilizan cookies. Utilizan el almacenamiento local del navegador para conservar el progreso del participante y, cuando corresponde, su sesión de identificación. En las mediciones confidenciales, esa información se conserva solo mientras la pestaña del navegador permanece abierta y se borra al enviar la encuesta o al salir de ella.

Cuando un usuario decide autenticarse mediante un proveedor externo, como Google o Microsoft, dicho proveedor puede utilizar sus propias cookies o tecnologías necesarias para proporcionar el proceso de autenticación, de acuerdo con sus respectivas políticas.

12. Analítica

Grabitt utiliza Umami para obtener información agregada sobre el funcionamiento y utilización de sus servicios.

La implementación de Umami utilizada por Grabitt no requiere cookies de seguimiento. Se utiliza únicamente en el sitio público y en la consola administrativa. Los formularios que responden los participantes y los reportes que consultan los lectores no incorporan esta analítica.

La información de analítica se utiliza para comprender el funcionamiento general del servicio, detectar problemas y mejorar la plataforma. Eventt no utiliza esta información para crear perfiles publicitarios de los participantes.

13. Seguridad de la información

Eventt adopta medidas técnicas, administrativas y organizativas razonables destinadas a proteger la información procesada mediante Grabitt frente a pérdida, alteración, acceso, divulgación o utilización no autorizada.

Estas medidas incluyen, según corresponda:

• controles de acceso y permisos;
• separación lógica de información;
• utilización de identificadores técnicos internos;
• mecanismos seguros de autenticación;
• protección criptográfica de credenciales;
• utilización de infraestructura tecnológica especializada;
• respaldos periódicos;
• cifrado de las claves de acceso a reportes restringidos;
• controles de confidencialidad sobre los resultados de las mediciones confidenciales;
• registro de auditoría de las acciones de las personas autorizadas por Eventt que eliminan información, acceden a datos de un titular, los rectifican o retiran resultados; y
• controles destinados a limitar el acceso a la información según las necesidades operativas.

El acceso de las personas autorizadas por Eventt a datos de participantes para atender solicitudes de titulares se realiza mediante herramientas del producto restringidas a ellas y registradas, conforme a la sección 15, y no mediante consultas manuales a la base de datos como mecanismo ordinario.

Identificación y sesiones de los participantes

En las mediciones confidenciales, los participantes se identifican con su correo electrónico y un código temporal de verificación de un solo uso, con un número limitado de intentos. Sus sesiones tienen una duración limitada, se conservan solo en la pestaña del navegador y se cierran al enviar la encuesta; recuperar un progreso guardado requiere una nueva verificación. Estas medidas buscan reducir los riesgos de los dispositivos compartidos. Los valores operativos vigentes se describen en el Centro de Ayuda y pueden ajustarse razonablemente para mantener la seguridad.

El código verifica el acceso al buzón de correo, no necesariamente la identidad de la persona. Eventt no puede garantizar que quien administra un correo corporativo no tenga acceso a los códigos enviados a esa dirección.

En las mediciones identificadas, el cliente puede utilizar mecanismos de identificación sin verificación por correo. En ese caso, conocer el identificador de una persona no constituye prueba de su identidad, y el progreso de la encuesta se conserva solo en el navegador del participante.

Ningún sistema conectado a Internet puede garantizar una seguridad absoluta. Eventt revisa y actualiza sus medidas de seguridad conforme evolucionan la plataforma, los riesgos y las tecnologías disponibles.

14. Conservación y eliminación

Eventt conservará los datos personales respecto de los cuales actúe como Responsable únicamente durante el tiempo necesario para las finalidades para las cuales fueron recopilados, para mantener la relación correspondiente y para cumplir las obligaciones legales aplicables.

Respecto de las mediciones en las que Eventt actúe como Encargado, la conservación, eliminación o devolución de la información estará sujeta a las instrucciones y acuerdos establecidos con el cliente que actúe como Responsable y a las obligaciones legales aplicables.

Cuando un usuario del cliente elimina una medición, un proyecto, un reporte o un participante desde el espacio de trabajo, la información deja de estar disponible en la interfaz y deja de contar en los resultados, pero permanece almacenada hasta su eliminación definitiva, que se realiza conforme a la Política de Retención de Información. La eliminación definitiva borra la información de los sistemas activos.

Los respaldos de seguridad pueden conservar temporalmente copias de información eliminada durante los ciclos técnicos normales de respaldo y recuperación.

Estas copias no serán utilizadas para finalidades ordinarias diferentes a la seguridad, continuidad, integridad y recuperación del servicio y serán eliminadas conforme a los ciclos técnicos correspondientes.

Los periodos de conservación pueden variar según el plan del cliente, el estado de la medición, el acuerdo contractual aplicable y el tipo de información.

A modo de ejemplo, las mediciones operadas bajo el plan de Pago por uso pueden permanecer disponibles en línea durante noventa (90) días después de su cierre y posteriormente pasar a un periodo limitado de inactividad o recuperación antes de su eliminación.

Las suscripciones PRO pueden ofrecer acceso histórico ampliado a las mediciones elegibles mientras la suscripción permanezca vigente, conforme a las reglas de conservación aplicables de Grabitt.

Los clientes Enterprise pueden estar sujetos a periodos de conservación particulares establecidos en sus acuerdos comerciales.

Los periodos concretos aplicables a cada plan se detallan en la Política de Retención de Información.

La modalidad de privacidad de una medición no cambia durante su vida, y un cambio de plan no transforma respuestas confidenciales en identificadas.

Resultados agregados y supresión individual

Cuando un titular solicita legítimamente la supresión de sus datos, su respuesta individual se elimina de los sistemas activos de Grabitt cuando proceda.

Los resultados agregados ya publicados de una medición confidencial no se recalculan automáticamente tras esa supresión, porque un recálculo permitiría deducir por diferencia las respuestas de la persona suprimida. Solo se calculan de nuevo si el cliente reabre la medición y la vuelve a cerrar, y la evaluación descrita a continuación también tiene en cuenta esa posibilidad. Su conservación no es incondicional: depende de que, evaluados su contenido, el contexto, el tamaño de los grupos, las características de la población, la información externa razonablemente disponible y las posibles combinaciones entre cifras, esos resultados no permitan identificar al titular, y de que su conservación sea jurídicamente procedente. Cuando el resultado de esa evaluación lo exija, Eventt, en coordinación con el Responsable, retirará o restringirá los resultados afectados y dejará constancia de la decisión y de su justificación.

El retiro de los resultados de una medición confidencial es definitivo: elimina sus cifras del registro de resultados y de los reportes de Grabitt que las utilizaban, impide consultarlas o calcularlas de nuevo, no da lugar a un nuevo cálculo e impide reabrir la medición. Los enlaces de los reportes se mantienen para el resto de su contenido. El retiro no alcanza las copias que el cliente haya descargado antes, como archivos PDF, de las cuales es responsable el cliente.

Los resultados agregados de una medición se eliminan junto con la medición cuando corresponda su eliminación definitiva, sin perjuicio de los ciclos técnicos de los respaldos y de las obligaciones legales de conservación.

15. Derechos de los titulares

De acuerdo con la legislación colombiana aplicable, los titulares de datos personales tienen derecho, entre otros, a:

• conocer, actualizar y rectificar sus datos personales;
• solicitar prueba de la autorización otorgada cuando corresponda;
• ser informados sobre el uso dado a sus datos;
• presentar consultas y reclamos relacionados con el tratamiento;
• solicitar la supresión de sus datos o revocar la autorización cuando legalmente proceda;
• acceder gratuitamente a sus datos personales objeto de tratamiento; y
• presentar quejas ante la Superintendencia de Industria y Comercio, previo cumplimiento de los requisitos establecidos por la legislación aplicable.

Estos derechos comprenden el acceso a los datos, su consulta, actualización y rectificación, la supresión y la revocatoria de la autorización cuando procedan, la información sobre el tratamiento, la presentación de reclamos y los demás derechos que reconozca la legislación aplicable.

Cuando la solicitud se refiera a una encuesta administrada por un cliente de Grabitt, dicho cliente, o la organización por cuya cuenta actúa, será normalmente el Responsable del Tratamiento.

Eventt colaborará, en su calidad de Encargado, con el Responsable para permitir la atención de las solicitudes de los titulares conforme a la legislación aplicable.

Los participantes conservan sus derechos sobre sus propios datos en todas las modalidades. Eventt atiende o apoya la atención de las solicitudes conforme a las reglas siguientes:

• Registro. Cada solicitud que recibe Eventt se registra como un caso, con su fecha de recepción, su tipo, el derecho ejercido, el Responsable y la medición cuando se conocen, las actuaciones realizadas y su respuesta y cierre. El plazo de respuesta se calcula en días hábiles desde la recepción: diez (10) días hábiles para las consultas, prorrogables una sola vez hasta cinco (5) días hábiles más, y quince (15) días hábiles para los reclamos, prorrogables una sola vez hasta ocho (8) días hábiles más. La prórroga se comunica al titular antes del vencimiento del plazo inicial, con sus motivos.
• Verificación. Se verifica la identidad del solicitante, o la legitimación de quien actúa en su nombre, antes de entregar, rectificar o suprimir información.
• Acceso. Cuando el titular solicita conocer sus datos de una medición, el acceso lo realiza un operador autorizado de Eventt, con una herramienta que solo actúa sobre un caso registrado con la identidad verificada, se limita a un participante y una medición en cada consulta, exige una justificación y deja un registro de auditoría de lo consultado. No se realizan consultas generales.
• Entrega. La información individual se entrega directamente al titular por un canal seguro, y no a los usuarios del cliente ni, por defecto, a un buzón de correo corporativo.
• Rectificación. Pueden corregirse los datos objetivos del participante, como su nombre, correo electrónico, identificador o atributos, cuando proceda. Las respuestas a las preguntas no se modifican libremente: una solicitud sobre ellas se evalúa según el derecho ejercido y la naturaleza de la respuesta, y puede atenderse mediante su supresión. Las participaciones de mediciones anónimas no se rectifican, porque no están asociadas a una identidad registrada.
• Supresión. La supresión definitiva de los datos de un participante la ejecuta un operador de Eventt y queda vinculada al caso. En las mediciones confidenciales, se evalúan además los resultados ya publicados, conforme a la sección 14.

En las mediciones anónimas, Grabitt normalmente no puede localizar la participación de una persona concreta, salvo que el titular aporte información que permita ubicarla con certeza.

Solicitudes sobre encuestas confidenciales

Como los usuarios del cliente no pueden consultar, modificar ni eliminar las respuestas individuales de las mediciones confidenciales, las solicitudes que las requieran se atienden mediante el procedimiento restringido de Eventt descrito en esta sección, en coordinación con el Responsable. La corrección de un atributo de un participante después de publicados los resultados no modifica esos resultados ni da lugar a un nuevo cálculo; Eventt evalúa si deben conservarse, restringirse o retirarse.

Este procedimiento no habilita a los usuarios del cliente a consultar respuestas individuales confidenciales.

16. Consultas y reclamos

Para los tratamientos respecto de los cuales Eventt actúe como Responsable, los titulares pueden presentar consultas, solicitudes o reclamos relacionados con sus datos personales a través de:

Correo electrónico: hello@eventt.co

Formulario de contacto: Escríbenos

La solicitud deberá contener información suficiente para identificar al solicitante, comprender su petición y localizar la información correspondiente.

La atención de consultas y reclamos estará a cargo de la representación legal de Eventt S.A.S. o de la persona o área que esta designe para dicha función.

Eventt atenderá las consultas y reclamos dentro de los términos establecidos por la legislación colombiana aplicable, en particular los artículos 14 y 15 de la Ley 1581 de 2012. Las consultas se atienden en un máximo de diez (10) días hábiles y los reclamos en un máximo de quince (15) días hábiles, con las prórrogas que permite la ley, descritas en la sección 15. Cuando Eventt actúe como Encargado, coordinará con el Responsable la atención dentro de esos mismos términos.

Cuando una solicitud corresponda a información tratada por cuenta de un cliente de Grabitt, Eventt podrá remitirla o coordinar su atención con el cliente que actúe como Responsable del Tratamiento.

17. Niños, niñas y adolescentes

Grabitt no está diseñado específicamente como un servicio dirigido a niños, niñas o adolescentes.

Cuando un cliente utilice Grabitt para realizar una medición que involucre datos personales de menores de edad, será responsabilidad del cliente determinar la legitimidad del tratamiento y cumplir las condiciones y garantías especiales establecidas por la legislación aplicable.

Eventt tratará esta información únicamente dentro del alcance necesario para prestar el servicio y de las obligaciones que le correspondan como Encargado del Tratamiento. La modalidad de privacidad elegida no sustituye esas condiciones y garantías especiales.

18. Cambios a esta política

Eventt puede actualizar esta política para reflejar cambios en Grabitt, sus funcionalidades, proveedores tecnológicos, prácticas de tratamiento de información o las obligaciones legales aplicables.

La fecha indicada al inicio de esta política corresponde a su última actualización. Eventt conserva copia de las versiones anteriores de esta política.

Cuando los cambios sean sustanciales y la legislación aplicable requiera información adicional o una nueva autorización, Eventt adoptará las medidas correspondientes.

19. Identificación y contacto

Grabitt es desarrollado y operado por:

Eventt S.A.S.
NIT: 901454420-7
Domicilio: Bogotá D.C., Colombia
Dirección: Carrera 67 #169A-82, Bogotá, Colombia
Correo electrónico para asuntos de privacidad: hello@eventt.co
Teléfono: (+57) 350 632 9910

Los participantes que tengan consultas relacionadas específicamente con el tratamiento de información realizado mediante una encuesta deberán consultar también la política de privacidad proporcionada por la organización responsable de dicha medición.