En Supmetrix protegemos los datos que nuestros clientes nos confían con controles técnicos y organizativos alineados con la normativa colombiana de protección de datos personales. Esta página describe nuestra infraestructura, los proveedores que utilizamos y las medidas de seguridad que aplicamos.
1. Infraestructura y subprocesadores
Supmetrix se apoya en proveedores de infraestructura y servicios especializados para operar la plataforma. Actuamos como Encargado del Tratamiento y estos proveedores como subprocesadores por cuenta del cliente, que es el Responsable del Tratamiento. Todos los subprocesadores que manejan PHI están cubiertos por BAAs vigentes.
| Proveedor | Propósito | Ubicación |
|---|---|---|
| Amazon Web Services (AWS) | Almacenamiento, cómputo, orquestación, base de datos del plano PHI, auditoría y análisis con Amazon Bedrock | Estados Unidos |
| AssemblyAI | Transcripción de audio y redacción automática de PII | Estados Unidos |
| Supabase | Autenticación y almacenamiento de resultados operativos desidentificados | Según la región contratada |
| Vercel | Hosting y entrega de la aplicación web; no procesa PHI | Red global |
Las plataformas de contact center elegidas por el cliente son fuentes de datos de su propia operación y no se presentan como subprocesadores de Supmetrix. La compatibilidad con GoContact, NextivaOne, Five9 y Sagicc se realiza mediante la importación de reportes compatibles. Mantenemos una lista actualizada de subprocesadores y notificamos a nuestros clientes cualquier cambio material con antelación razonable.
2. Cómo fluyen los datos de las llamadas
Supmetrix opera un flujo de análisis diseñado para cargas HIPAA. La redacción automática de PII es una salvaguarda adicional y no se presenta, por sí sola, como una determinación legal de desidentificación:
- El navegador carga el audio directamente a almacenamiento AWS cifrado mediante una URL temporal. El audio no transita por Vercel ni por Supabase.
- AssemblyAI accede al audio mediante una URL temporal, realiza la transcripción y aplica redacción automática de PII bajo BAA. La transcripción se sigue tratando como PHI dentro del plano protegido.
- Amazon Bedrock genera análisis y resúmenes dentro del entorno AWS. El audio, la transcripción y el resumen permanecen en el plano PHI de AWS.
- Supabase recibe únicamente resultados operativos desidentificados, como puntuaciones, desglose por reglas, tipos de banderas, agente, campaña y hora truncada. No recibe audio, transcripciones ni resúmenes.
- El audio se conserva temporalmente, cifrado, y se elimina al finalizar la transcripción. Un lifecycle de almacenamiento de un día actúa como respaldo ante fallos de limpieza.
3. Medidas de seguridad
Aplicamos las siguientes medidas técnicas y organizativas para proteger los datos personales:
- Cifrado de datos en tránsito mediante TLS y cifrado en reposo.
- Control de acceso basado en roles con políticas de seguridad a nivel de fila (Row Level Security) en la base de datos.
- Auditoría de accesos a los datos.
- Credenciales de usuario almacenadas exclusivamente en formato hash, nunca en texto plano.
- Redacción automática de PII como salvaguarda adicional, manteniendo las transcripciones dentro del plano PHI.
- Eliminación del audio al finalizar la transcripción y lifecycle de respaldo para el almacenamiento temporal.
- Uso exclusivo de cookies estrictamente necesarias para autenticación y sesión; sin cookies publicitarias ni rastreo de terceros con fines comerciales.
En caso de un incidente de seguridad que comprometa datos personales, Supmetrix notificará al cliente sin demora injustificada, conforme al artículo 18 de la Ley 1581 de 2012.
4. Marco legal y cumplimiento
Nuestras prácticas de seguridad y tratamiento de datos se rigen por la normativa colombiana de protección de datos personales:
- Ley Estatutaria 1581 de 2012: Régimen General de Protección de Datos Personales.
- Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015): reglamentario de la Ley 1581.
- Circular Externa No. 2 de 2024 de la SIC: lineamientos sobre tratamiento de datos personales mediante sistemas de inteligencia artificial.
- Circulares y resoluciones vigentes de la Superintendencia de Industria y Comercio (SIC).
Las transmisiones internacionales de datos hacia los subprocesadores mencionados se realizan en los términos de los artículos 24 y 25 del Decreto 1377 de 2013, respaldadas por contratos de transmisión con cláusulas estándar de protección. La autoridad de vigilancia en Colombia es la Superintendencia de Industria y Comercio (SIC), con sede en Bogotá D.C., línea de atención 01 8000 910165.
5. Contacto
Para consultas sobre seguridad o el tratamiento de datos personales:
- Softguer Studio S.A.S. — Barranquilla, Colombia
- Contacto general: info@supmetrix.com
- Oficial de Protección de Datos: habeasdata@supmetrix.com
Consulta también nuestra Política de Privacidad para conocer en detalle cómo tratamos los datos personales y los derechos que asisten a los titulares.