toca

Política de tratamiento de datos

Vigente desde el 4 de octubre de 2026.

Esta política explica qué datos personales recogemos cuando usas Toca, para qué los usamos y cómo puedes conocerlos, corregirlos o pedir que los borremos. La escribimos para cumplir la Ley 1581 de 2012 y el Decreto 1074 de 2015, y en lenguaje simple.

1. Quién es responsable

ResponsableToca Technologies [razón social completa]
NIT[NIT]
Domicilio[dirección, ciudad], Colombia
Contacto para datos personales[correo, p. ej. [email protected]] · WhatsApp +57 312 822 6008

2. Qué datos tratamos y para qué

Si tienes una tarjeta Toca (dueños de tarjeta):

  • Tu correo y tu contraseña (guardada cifrada, nunca la vemos). Si entras con Google, el identificador que Google nos da para tu cuenta. Los usamos para crear tu cuenta, dejarte entrar y enviarte el link para recuperar la contraseña.
  • Lo que pones en tu perfil: nombre, cargo, foto, imagen de fondo, botones con sus links, y si quieres, teléfono, correo y empresa para «Guardar contacto». Esto es público: lo ve cualquiera que toque o escanee tu tarjeta. Tú decides qué publicas y lo puedes cambiar o quitar cuando quieras.
  • Cuántas veces se abre tu perfil y qué botones se tocan, para mostrarte cómo se usa tu tarjeta. No guardamos quién lo abrió.
  • La fecha en que aceptaste estos términos y esta política.

Si tocas o escaneas una tarjeta o un dispositivo Toca (visitantes): no te pedimos datos. Registramos que hubo un toque, la hora y si fue por NFC o QR, sin nada que te identifique. Tu IP la usamos solo en el momento, para frenar abusos, y no la guardamos en nuestra base de datos; los registros técnicos de nuestros servidores la conservan unos 30 días y luego se borran solos. Si un programa automático (un bot) abre el link, guardamos su «user agent» para afinar el filtro.

Si te anotas en la lista de espera: nombre, negocio, correo, teléfono y número de sedes, para contactarte sobre Toca.

Si usas el panel de Toca (clientes con dispositivos): nombre, correo y contraseña cifrada de tu usuario, para darte acceso.

No vendemos datos personales, no los usamos para publicidad y no hacemos perfiles de nadie.

3. Con quién los compartimos

Solo con los proveedores que necesitamos para operar el servicio, que los tratan por cuenta nuestra (encargados):

  • Supabase (base de datos), Google Cloud y Vercel (servidores), en Estados Unidos.
  • Resend, para enviar correos como el de recuperar la contraseña.
  • Google, solo si eliges entrar con tu cuenta de Google. Las páginas de perfil cargan fuentes desde Google Fonts, lo que deja ver tu IP a Google al abrirlas.

Como estos servidores están fuera de Colombia, al usar Toca autorizas la transferencia de tus datos a Estados Unidos, donde se protegen con medidas de seguridad equivalentes. También entregaremos datos a una autoridad si la ley nos obliga.

4. Tus derechos

Como titular puedes:

  • Conocer, actualizar y corregir tus datos. Casi todo lo puedes hacer tú mismo desde tu cuenta.
  • Pedir prueba de la autorización que nos diste.
  • Saber cómo hemos usado tus datos.
  • Revocar la autorización y pedir que borremos tus datos, cuando no haya un deber legal de conservarlos. Desde «Mi cuenta» puedes eliminar tu cuenta: se borran tu perfil, tus fotos y tus datos, y tus tarjetas quedan desactivadas.
  • Presentar quejas ante la Superintendencia de Industria y Comercio, después de haber hecho tu solicitud ante nosotros.
  • Acceder gratis a tus datos.

5. Cómo hacer una consulta o un reclamo

Escríbenos al contacto de la sección 1 con tu nombre, el correo de tu cuenta y lo que pides.

  • Consultas (qué datos tenemos de ti): respondemos en máximo 10 días hábiles. Si necesitamos más tiempo te avisamos, y no pasaremos de 5 días hábiles más.
  • Reclamos (corregir, borrar, revocar o señalar un incumplimiento): respondemos en máximo 15 días hábiles, prorrogables 8 días hábiles más con aviso. Si al reclamo le falta información te la pedimos en los 5 días siguientes; si no llega en 2 meses, entendemos que desististe.

6. Cuánto tiempo los guardamos

Mientras tengas tu cuenta o mientras sigamos prestando el servicio. Cuando eliminas tu cuenta borramos tus datos personales de inmediato; las estadísticas de toques quedan sin nada que te identifique. Los datos de la lista de espera los borramos si nos lo pides.

7. Seguridad

Las contraseñas se guardan cifradas con scrypt, todo viaja por HTTPS y el acceso a la base de datos está restringido. Ningún sistema es infalible: si ocurre un incidente que afecte tus datos, te avisaremos y lo reportaremos a la Superintendencia como manda la ley.

8. Menores de edad

Toca no está dirigido a menores de 18 años y no tratamos a sabiendas sus datos.

9. Cambios

Si cambiamos esta política de forma importante te avisaremos por correo o en tu cuenta antes de que el cambio aplique. La fecha de arriba dice cuándo fue la última versión.

Data processing policy

In effect since October 4, 2026. The Spanish version is the legally binding one.

This policy explains what personal data we collect when you use Toca, what we use it for and how you can see it, correct it or ask us to delete it. It follows Colombia's Law 1581 of 2012 and Decree 1074 of 2015, in plain language.

1. Who is responsible

ControllerToca Technologies [full legal name]
Tax ID (NIT)[NIT]
Address[address, city], Colombia
Contact for personal data[email, e.g. [email protected]] · WhatsApp +57 312 822 6008

2. What data we process and why

If you own a Toca card:

  • Your email and password (stored encrypted; we never see it). If you sign in with Google, the identifier Google gives us for your account. We use them to create your account, sign you in and send you a password recovery link.
  • What you put on your profile: name, title, photo, background image, buttons and their links, and if you want, phone, email and company for "Save contact". This is public: anyone who taps or scans your card sees it. You decide what to publish and can change or remove it at any time.
  • How many times your profile is opened and which buttons are tapped, to show you how your card is used. We do not store who opened it.
  • The date you accepted these terms and this policy.

If you tap or scan a Toca card or device (visitors): we do not ask you for any data. We record that a tap happened, when, and whether it was NFC or QR, with nothing that identifies you. We use your IP address only in the moment, to stop abuse, and do not keep it in our database; our servers' technical logs keep it for about 30 days and then delete it automatically. If an automated program (a bot) opens the link, we keep its user agent to tune the filter.

If you join the waitlist: name, business, email, phone and number of locations, to contact you about Toca.

If you use the Toca dashboard (customers with devices): your user's name, email and encrypted password, to give you access.

We do not sell personal data, we do not use it for advertising and we do not profile anyone.

3. Who we share it with

Only the providers we need to run the service, who process it on our behalf:

  • Supabase (database), Google Cloud and Vercel (servers), in the United States.
  • Resend, to send emails such as password recovery.
  • Google, only if you choose to sign in with your Google account. Profile pages load fonts from Google Fonts, which lets Google see your IP when you open them.

Because these servers are outside Colombia, by using Toca you authorize the transfer of your data to the United States, where it is protected with equivalent security measures. We will also hand data to an authority if the law requires it.

4. Your rights

You can:

  • See, update and correct your data. You can do almost all of it yourself from your account.
  • Ask for proof of the authorization you gave us.
  • Know how we have used your data.
  • Revoke your authorization and ask us to delete your data, unless the law requires us to keep it. From "My account" you can delete your account: your profile, photos and data are deleted and your cards are disabled.
  • File a complaint with Colombia's Superintendence of Industry and Commerce (SIC), after first making your request to us.
  • Access your data free of charge.

5. How to make a request or a complaint

Write to the contact in section 1 with your name, your account email and what you are asking for.

  • Requests (what data we hold about you): we answer within 10 business days. If we need longer we tell you, and we will not take more than 5 extra business days.
  • Complaints (correct, delete, revoke or report a breach of this policy): we answer within 15 business days, extendable by 8 more with notice. If your complaint is missing information we ask for it within 5 days; if it does not arrive within 2 months, we consider it withdrawn.

6. How long we keep it

While you have your account or while we keep providing the service. When you delete your account we delete your personal data right away; tap statistics remain with nothing that identifies you. We delete waitlist data if you ask us to.

7. Security

Passwords are stored encrypted with scrypt, everything travels over HTTPS and database access is restricted. No system is infallible: if an incident affects your data, we will tell you and report it to the SIC as the law requires.

8. Minors

Toca is not aimed at people under 18 and we do not knowingly process their data.

9. Changes

If we change this policy in a meaningful way we will tell you by email or in your account before the change applies. The date at the top shows the latest version.