English · Este texto en español es el que rige; la versión en inglés es una traducción.

Política de Privacidad

También es la Política de Tratamiento de Datos Personales de engman según la Ley 1581 de 2012.

Versión: 2026-10-27

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales que describe esta Política es Ruben Amauri Melo Carballo, persona natural domiciliada en Cartagena de Indias, Colombia, que actúa bajo el nombre comercial engman. En esta Política lo llamamos "engman".

• Dirección: Carrera 15 # 39-20, Cartagena de Indias, Bolívar, Colombia
• Correo electrónico: hello@engmanapp.com
• Teléfono: +57 318 659 4497

2. Alcance

engman es una aplicación web en la que líderes de tecnología (CTO, jefes de área y managers de ingeniería) llevan las reuniones 1:1, el feedback y los planes de carrera de las personas que dirigen.

Esta Política cubre los datos personales de los que engman es Responsable: las cuentas de los Usuarios, la lista de espera y la evidencia de aceptación (secciones 3 a 5). La sección 6 explica los correos de invitación, que engman envía por cuenta del Cliente. Explica también cómo engman trata los datos de Google, la inteligencia artificial y los Agentes conectados. Es, además, la política de tratamiento de datos personales que exige la Ley 1581 de 2012. Es un solo documento, publicado en español y en inglés (sección 21).

Para los Registros que los Usuarios llevan sobre las Personas del Cliente, el Responsable es el Cliente y engman actúa como Encargado, por cuenta del Cliente (sección 20). Esa relación la regula el Acuerdo de Tratamiento de Datos (DPA).

En esta Política, estas palabras tienen este significado:

• Cliente: la empresa que tiene el Espacio de trabajo.
• Espacio de trabajo: el espacio del Cliente en engman.
• Propietario: el Usuario que creó el Espacio de trabajo o que hoy lo tiene a su cargo.
• Usuario: un manager con cuenta en engman: el Propietario u otro manager que el Cliente invitó.
• Personas del Cliente: los empleados (y, cuando el Cliente haya decidido que es lícito, los contratistas) sobre quienes los Usuarios llevan Registros. No tienen cuenta en engman.
• Registros: las 1:1, las acciones pactadas, el feedback, los planes de carrera, los documentos importados y las notas privadas que llevan los Usuarios.
• Propuesta: un resultado de la inteligencia artificial o una escritura de un Agente conectado que espera a que una persona la confirme en la aplicación web.
• Agente conectado: un asistente de inteligencia artificial que un Usuario conecta a engman por MCP o A2A.
• Subencargado: un proveedor que trata datos personales del Cliente por cuenta de engman.
• los Términos: los Términos del Servicio de engman.

3. Bases de datos y finalidades: cuentas de los Usuarios

Esta base de datos guarda las cuentas de los Usuarios. Incluye a los managers invitados: su cuenta es suya, no del Cliente, y la autorización para tratarla la da cada uno.

Datos que tratamos:

• Su nombre y su correo electrónico.
• Si inicia sesión con Google: el nombre y el correo que Google nos entrega. Solo pedimos esos datos básicos de perfil, y no guardamos su foto de perfil.
• Si inicia sesión con correo y contraseña: la contraseña, que guardamos solo como un resumen criptográfico (hash Argon2id), nunca en texto legible.
• Su segundo factor: la clave de su app de autenticación o la clave pública de su llave de acceso, y sus códigos de recuperación. La clave de la app y los códigos se guardan cifrados.
• Su idioma preferido.
• De cada sesión: la dirección IP y el navegador y sistema (user agent) desde los que inició sesión.

Finalidades:

• Crear su cuenta y protegerla, incluido el segundo factor que todo Usuario debe usar.
• Identificarlo cuando inicia sesión y mostrarle solo el Espacio de trabajo y los Registros a los que tiene acceso.
• Enviarle los correos del servicio, como la confirmación de su correo o el cambio de contraseña, y los que engman envía por encargo suyo, como las agendas.
• Mostrarle la aplicación y los correos en su idioma.

Las Personas del Cliente no tienen cuenta: el Usuario ingresa su información (sección 20).

4. Bases de datos y finalidades: lista de espera

La lista de espera de engmanapp.com son dos formularios de Google Forms, uno en español y otro en inglés. Las respuestas se guardan en una hoja de cálculo de Google Sheets.

Piden, de forma obligatoria, su correo electrónico, su cargo y cuántas personas dirige, directa e indirectamente. Si usted quiere, también su país, su nombre y cómo supo de engman (puede venir prellenado con el canal por el que llegó a la página).

Los usamos solo para: (i) escribirle sobre engman; (ii) invitarlo al acceso anticipado; y (iii) coordinar una llamada de 20 minutos, solo si usted marca la casilla separada y opcional que la autoriza.

Cada formulario muestra un aviso con estos datos y dos casillas: la de autorización, obligatoria, y la de la llamada, opcional. Si nos escribe a hello@engmanapp.com, borramos su inscripción.

5. Bases de datos y finalidades: evidencia de aceptación

Cada vez que un Usuario marca la casilla de aceptación (al crear un Espacio de trabajo, al aceptar una invitación o ante una nueva versión de los Términos), guardamos un registro de aceptación con:

• el identificador del Usuario y el del Espacio de trabajo;
• las versiones de los Términos y de esta Política que aceptó;
• el tipo de aceptación: como Propietario al crear el Espacio de trabajo, como Usuario invitado o ante un cambio material;
• la fecha y la hora;
• la dirección IP y el navegador y sistema (user agent) desde los que aceptó, y el identificador de la sesión;
• el idioma en que se le mostró el texto;
• en las aceptaciones del Propietario, la razón social o el nombre del Cliente, su país y su número de identificación tributaria, si se ingresó. Cuando el Cliente es una persona natural, su nombre y ese número son datos personales.

Finalidades: probar que se celebró el contrato y que usted dio su autorización, y ejercer o defendernos de reclamaciones legales. No usamos estos registros para nada más (sección 15).

6. Correos de invitación

Cuando un Usuario invita a una persona a engman, engman le envía la invitación al correo electrónico de trabajo que el Cliente registró para esa persona. Lo hace por cuenta del Cliente, como Encargado, según el DPA: ese correo es parte de los datos del Cliente y se conserva mientras exista la ficha de la persona en el Espacio de trabajo. El enlace de la invitación vence a los 7 días; el Usuario puede enviar uno nuevo.

Cuando la persona acepta, engman comprueba que quien entra es la persona invitada, y el correo pasa a ser parte de su cuenta (sección 3).

7. Datos de usuarios de Google

engman pide cada permiso de Google solo cuando usted activa la función que lo necesita. Puede retirarlo en cualquier momento desde su cuenta de Google.

• Google Calendar (opcional): engman lee los eventos de los calendarios de los que usted es dueño para encontrar sus próximas 1:1, guarda solo el identificador y las horas de los eventos que vincula a una 1:1, y escribe la agenda de la reunión en la descripción de los eventos que usted organiza. No lee otros calendarios.
• Google Drive (opcional): engman abre solo los archivos que usted elige en el selector de archivos de Google, para importar su contenido. No puede ver sus demás archivos.

El uso de la información recibida a través de los permisos de Google Workspace cumplirá la Política de Datos de Usuario de Google, incluidos sus requisitos de Uso Limitado. La declaración que Google exige, en su idioma original:

"The use of information received from Google Workspace scopes will adhere to the Google User Data Policy, including the Limited Use requirements."

No vendemos los datos de usuarios de Google, no los usamos para publicidad y no los usamos para entrenar ni mejorar modelos de inteligencia artificial. Los tokens de acceso de Google (OAuth) se guardan cifrados.

8. Procesamiento con IA

engman usa los modelos Gemini de Google en Vertex AI, de Google Cloud, para extraer y resumir los documentos que usted importa y para preparar agendas de reunión.

La inteligencia artificial de engman extrae, agrupa y resume los Registros del propio Cliente, con enlaces a sus fuentes, y redacta agendas.

Todo resultado de la inteligencia artificial y toda escritura de un Agente conectado es una Propuesta que una persona revisa y confirma en la aplicación web antes de que se guarde. Nada se guarda en los Registros de una persona sin esa confirmación.

La inteligencia artificial de engman nunca califica, clasifica, puntúa ni compara a las personas, no infiere emociones y no recomienda contratar, promover, sancionar ni despedir a nadie.

Google no usa estos datos para entrenar sus modelos. engman tampoco entrena modelos con los datos de sus Clientes, y solo usa proveedores de inteligencia artificial que se comprometen a no hacerlo.

La supervisión automática de abuso de Google puede conservar una solicitud que marque hasta por 90 días, en Estados Unidos, solo para revisar un posible mal uso.

9. Agentes conectados

Un Usuario puede conectar un asistente de inteligencia artificial (por ejemplo, Claude) a engman por MCP o A2A. El Agente conectado actúa en nombre de ese Usuario.

• Qué puede leer. En esta versión de engman, solo identificadores: nombres, correos de trabajo, equipos, a quién reporta cada persona, fechas, estados, conteos (por ejemplo, de acciones abiertas o vencidas), idioma de los correos e identificadores internos. Nunca texto libre, como el contenido de las 1:1, el feedback o las notas privadas. Y solo lo que el Usuario que lo conectó ya puede ver.
• Qué puede escribir. Todo resultado de la inteligencia artificial y toda escritura de un Agente conectado es una Propuesta que una persona revisa y confirma en la aplicación web antes de que se guarde. Un Agente conectado nunca modifica un Registro directamente.
• A dónde van los datos. Lo que engman le responde al agente llega al proveedor de ese agente (por ejemplo, Anthropic en el caso de Claude), bajo la cuenta que el Usuario tiene con ese proveedor. Desde ese momento los datos salen de engman y se rigen por los términos de ese proveedor. Ese proveedor no es un Subencargado de engman.
• Qué guardamos. Qué agente es, quién lo conectó y cuándo, y cuándo se usó por última vez, para mostrarlo en la página Agentes conectados. Además, cada llamada del agente queda en un evento de auditoría (quién, cuándo y qué acción, con identificadores), que forma parte de los datos del Cliente (sección 20) y se conserva mientras exista el Espacio de trabajo.
• Cuánto tiempo. Las Propuestas que nadie confirma se descartan a los 30 días. El acceso del agente dura hasta que el Usuario lo desconecta; si el agente no se usa durante 14 días, el Usuario debe aprobarlo de nuevo.
• Cómo detenerlo. En la aplicación web, en la página Agentes conectados, con el botón Desconectar (app.engmanapp.com/agents). El agente queda cortado en su siguiente llamada; lo que ya propuso sigue en la cola de confirmación hasta que se confirme o se descarte. El Propietario también puede desactivar el acceso de los agentes para todo el Espacio de trabajo en la misma página.

10. Base legal y autorización

En Colombia. Tratamos sus datos con su autorización previa, expresa e informada (Ley 1581 de 2012, art. 9). La ley colombiana no permite tratarlos solo porque sean necesarios para un contrato (Ley 1581 de 2012, art. 10), así que le pedimos esa autorización:

• Usuarios: con la casilla de aceptación, que aparece sin marcar al crear un Espacio de trabajo y al aceptar una invitación. Antes de que la marque, solo usamos los datos de su cuenta para que pueda iniciar sesión y crear un Espacio de trabajo o unirse a uno.
• Lista de espera: con la casilla de autorización del formulario, que es obligatoria. La llamada de 20 minutos solo se coordina si usted marca, además, la casilla separada y opcional que la autoriza.

Si le aplica el Reglamento General de Protección de Datos de la Unión Europea (RGPD). Solo nos basamos en su consentimiento para la llamada opcional de la lista de espera. Las bases son:

• para su cuenta, la ejecución del contrato (RGPD art. 6(1)(b));
• para la lista de espera, las medidas previas a un contrato que usted pidió al inscribirse (RGPD art. 6(1)(b)) y, para coordinar la llamada, su consentimiento, que da con la casilla opcional y puede retirar en cualquier momento (RGPD art. 6(1)(a));
• para la evidencia de aceptación, nuestro interés legítimo en probar el contrato y la autorización, y en ejercer o defendernos de reclamaciones (RGPD art. 6(1)(f)).

11. Destinatarios y encargados

Compartimos datos personales solo con quienes los necesitan para su tarea. Cada uno recibe solo lo que esa tarea exige.

• Proveedores que tratan datos por cuenta de engman. Google Cloud aloja engman, guarda sus datos y ejecuta los modelos de inteligencia artificial. Un proveedor de correo electrónico envía los correos de engman, incluidos los de la lista de espera. Google también aloja el formulario de la lista de espera (Google Forms). La lista completa de Subencargados, con el nombre, la ubicación y la actividad de cada uno, está en la página del Acuerdo de Tratamiento de Datos (DPA): engmanapp.com/es/dpa.
• Paddle, cuando engman empiece a cobrar suscripciones. Paddle cobrará como revendedor y tratará los datos de facturación como responsable independiente, según su propio aviso de privacidad: https://www.paddle.com/legal/privacy. No es un Subencargado de engman.
• Proveedores de Agentes conectados. Reciben, fuera de engman, lo que el Usuario pide a través del agente (sección 9).

12. Transferencias y transmisiones internacionales

engman funciona en Google Cloud, en Estados Unidos: la aplicación y la base de datos están en la región us-east4, y los modelos de Vertex AI se ejecutan en Estados Unidos. El proveedor de correo electrónico guarda los datos en Estados Unidos.

Enviar datos a estos proveedores para que los traten por nuestra cuenta es una transmisión internacional. Estados Unidos está en la lista de países con un nivel adecuado de protección de datos que publica la Superintendencia de Industria y Comercio (SIC). Cada transmisión se ampara en un contrato de tratamiento de datos con el proveedor (Decreto 1377 de 2013, art. 25).

Para titulares en la Unión Europea: Colombia no tiene una decisión de adecuación de la Comisión Europea. Por eso, cuando un Cliente establecido en la Unión Europea transfiere datos personales a engman, la transferencia se ampara en las cláusulas contractuales tipo de la Unión Europea, anexas al DPA.

13. Seguridad

• Los datos se cifran en tránsito y en reposo.
• Las notas privadas se cifran además con una clave propia de cada Espacio de trabajo, protegida por una clave de Google Cloud KMS.
• Todo Usuario inicia sesión con un segundo factor (una app de autenticación o una llave de acceso), también si entra con Google.
• Los archivos originales que usted importa se borran cuando la importación queda resuelta, y a más tardar 30 días después de subirlos.
• Registros técnicos: de cada solicitud que su navegador o un Agente conectado hace a engman, engman registra el método, la dirección solicitada sin parámetros ni tokens, el resultado, el tiempo de respuesta y un identificador de la solicitud. Estos registros no guardan su dirección IP ni su navegador. Para limitar los intentos de inicio de sesión, engman guarda además un contador por dirección IP durante unos minutos. Los usamos solo para mantener la seguridad del servicio y para detectar y corregir fallas.

14. Conservación

Guardamos cada dato solo durante estos plazos:

Cuando borramos un dato de la base de datos de engman, desaparece de inmediato de la base en uso y, a más tardar en 7 días, de las copias de respaldo. Después, Google purga esas copias de sus sistemas en un máximo de 180 días, sin que nadie pueda recuperarlas ni restaurarlas.

15. Conservación: filas de aceptación tras la eliminación

Los registros de aceptación de la sección 5 se conservan aunque se eliminen la cuenta del Usuario o el Espacio de trabajo. Conservamos los identificadores (incluido el de la sesión), las versiones aceptadas, el tipo de aceptación, el idioma en que se mostró el texto, la fecha y la hora, la dirección IP, el user agent y, en las aceptaciones del Propietario, la identificación del Cliente (sección 5). La dirección IP es un dato personal, y también lo son el nombre y el número de identificación tributaria de un Cliente que es persona natural.

Conservamos la dirección IP y el user agent durante 2 años contados desde la terminación del contrato al que se refieren, y el resto del registro durante 10 años contados desde esa misma fecha, para probar el contrato y la autorización, y para ejercer o defendernos de reclamaciones (Decreto 1377 de 2013, arts. 9 y 11; RGPD art. 17(3)(e)). Mientras corra ese plazo no podemos suprimir estos registros aunque usted lo pida, porque existe un deber legal y contractual de conservarlos. Solo los consultamos para fines legales, como probar una aceptación o atender una reclamación; nunca para el producto ni para analítica. Al terminar cada plazo, borramos esos datos.

16. Derechos de los titulares

Según la Ley 1581 de 2012, art. 8, usted tiene derecho a:

1. Conocer, actualizar y rectificar sus datos personales.
2. Pedir prueba de la autorización que nos dio.
3. Saber, si lo pide, qué uso hemos dado a sus datos.
4. Presentar quejas ante la SIC, después de hacer su consulta o reclamo ante engman (sección 18).
5. Revocar la autorización o pedir que suprimamos sus datos, salvo cuando exista un deber legal o contractual de conservarlos (como en la sección 15).
6. Consultar gratis sus datos personales, al menos una vez cada mes calendario (Decreto 1377 de 2013, art. 21).

Si le aplica el RGPD, también tiene derecho de acceso, rectificación, supresión, limitación del tratamiento y portabilidad de sus datos (RGPD arts. 15 a 20), y a presentar una reclamación ante una autoridad de protección de datos.

Derecho de oposición (RGPD art. 21). Cuando tratamos sus datos por un interés legítimo (la evidencia de aceptación), usted puede oponerse en cualquier momento, por motivos relacionados con su situación particular. Dejaremos de tratarlos, salvo que los necesitemos para ejercer o defendernos de reclamaciones.

Lo que puede hacer usted mismo:

• Desconectar Google Calendar o Google Drive, en engman o en su cuenta de Google.
• Desconectar un Agente conectado en la página Agentes conectados.
• Pedirnos una copia de sus datos, o que borremos su cuenta y sus datos, en hello@engmanapp.com.
• Si un Usuario lleva Registros sobre usted, siga la sección 20.

17. Área responsable de atender solicitudes

El Área de Protección de Datos Personales de engman atiende las consultas, los reclamos y las demás solicitudes sobre datos personales (Decreto 1377 de 2013, arts. 13.4 y 23). Puede escribir a hello@engmanapp.com, enviar una carta a Carrera 15 # 39-20, Cartagena de Indias, Bolívar, Colombia o llamar al +57 318 659 4497.

18. Procedimiento y plazos

Para hacer una consulta o un reclamo, escríbanos a hello@engmanapp.com o use los otros medios de la sección 17. Indique su nombre, cómo contactarlo y qué pide. Si es un reclamo, describa los hechos y adjunte los documentos que quiera hacer valer. Podemos pedirle que confirme su identidad antes de responder.

• Consultas (por ejemplo, saber qué datos tenemos sobre usted): respondemos en un máximo de 10 días hábiles desde que la recibimos. Si no podemos en ese plazo, le explicamos por qué y respondemos en un máximo de 5 días hábiles más.
• Reclamos (corregir, actualizar o suprimir datos, revocar la autorización o advertir un incumplimiento): respondemos en un máximo de 15 días hábiles, contados desde el día siguiente a recibirlo. Si no podemos en ese plazo, le explicamos por qué y respondemos en un máximo de 8 días hábiles más.
• Reclamos incompletos: dentro de los 5 días siguientes a recibirlo, le pedimos lo que falta. Si pasan 2 meses desde esa petición sin que nos lo envíe, entendemos que desistió del reclamo.
• Reclamos que no nos corresponden: los enviamos a quien deba resolverlos en un máximo de 2 días hábiles y se lo informamos a usted.
• Queja ante la SIC: solo puede presentarla después de hacer su consulta o reclamo ante engman.

19. Menores

engman es una herramienta para líderes de empresas y no está dirigida a menores de edad. Los Términos dicen, además, que engman no está diseñado para llevar Registros sobre menores.

20. engman como Encargado

Los Registros que los Usuarios llevan sobre las Personas del Cliente pertenecen al Cliente. Para esos datos, el Responsable es el Cliente, y engman los trata solo por su cuenta y según sus instrucciones, como dice el DPA. Esto incluye los Registros que el manager de un Usuario lleve sobre ese Usuario.

Si un Usuario lleva Registros sobre usted, dirija su solicitud a su empleador, que es el Cliente. También puede escribirnos a hello@engmanapp.com: en un máximo de 2 días hábiles enviaremos su solicitud al Cliente y le avisaremos a usted que lo hicimos.

21. Idioma

Esta Política se publica en español y en inglés. El texto en español es el que rige; la versión en inglés es una traducción.

22. Cambios

Cada versión de esta Política se identifica con su fecha de entrada en vigencia y queda publicada en su propia dirección, con esa fecha (por ejemplo, engmanapp.com/es/privacy/2026-10-27). En engmanapp.com/es/privacy está siempre la versión vigente.

Si hacemos un cambio sustancial, como un cambio en la identidad del Responsable (por ejemplo, si engman pasa a ser una sociedad) o en las finalidades del tratamiento, se lo comunicaremos por correo electrónico antes de que entre en vigor. Si el cambio agrega una finalidad nueva, le pediremos una nueva autorización; los Usuarios la darán en la página de aceptación que aparece al iniciar sesión.

23. Vigencia

Esta Política rige desde el 2026-10-27 hasta que una nueva versión la reemplace. Las bases de datos de las secciones 3 a 5 estarán vigentes mientras engman preste su servicio; dentro de ellas, cada dato se conserva solo durante los plazos de las secciones 14 y 15.