Política de Tratamiento de Datos Personales

Información sobre cómo Validocus recopila, utiliza y protege los datos personales en cumplimiento de la Ley Estatutaria 1581 de 2012 y normas concordantes. Le recomendamos leerla en su totalidad y, ante cualquier duda específica, consultar con un asesor legal.

1. Responsable del tratamiento

   El responsable del tratamiento de los datos personales recopilados a través de la plataforma Validocus es la empresa Validocus (en adelante, "Validocus" o "el Responsable"), con domicilio principal en Medellín, Antioquia, Colombia.

   Hemos designado un punto de contacto único para todos los asuntos relacionados con la protección de datos personales y el ejercicio de los derechos del titular. Para presentar consultas, solicitudes o reclamos sobre el tratamiento de sus datos, puede comunicarse con nosotros a través de los siguientes canales:

   Validocus — Medellín, Antioquia, Colombia.
   Correo electrónico del DPO (Oficial de Protección de Datos): hello@validocus.com
   Teléfono: +57 317 3025584.

2. Marco legal aplicable

   Esta política se sujeta al marco normativo de protección de datos personales vigente en Colombia, en particular a la Ley Estatutaria 1581 de 2012 (Régimen General de Protección de Datos Personales), su Decreto Reglamentario 1377 de 2013, y las circulares e instrucciones emitidas por la Superintendencia de Industria y Comercio (SIC) en su calidad de autoridad de control.

   Cuando el tratamiento involucre datos de titulares localizados en el Espacio Económico Europeo, o cuando Validocus ofrezca productos o servicios a residentes en dicho territorio, la operación se sujetará adicionalmente al Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, "GDPR"). En tales casos, los derechos y garantías reconocidos por el GDPR serán plenamente respetados.

   Validocus revisará periódicamente esta política para alinearla con cambios normativos, jurisprudenciales o de criterio de la autoridad de control.

3. Datos personales que recopilamos

   Para la prestación del servicio de firma electrónica, Validocus puede recopilar y tratar las siguientes categorías de datos personales, tanto del usuario contratante como de los firmantes invitados:

   Datos de identificación y contacto: nombre, apellidos, dirección de correo electrónico, número telefónico, número de documento de identificación (cuando el usuario lo aporta para la firma).

   Datos técnicos y de evidencia probatoria: dirección IP del firmante en el momento de la firma, marcas temporales (timestamp), geolocalización aproximada derivada de la IP, tipo de dispositivo y navegador. Video probatorio del firmante manifestando consentimiento (puede contener imagen y voz), imagen de la firma manuscrita digitalizada, documento PDF firmado, y hash SHA-256 del documento.

   No solicitamos ni almacenamos datos sensibles más allá de los necesarios para la prestación del servicio. No recopilamos información de medios de pago: el procesamiento de pagos es realizado por la pasarela ePayco, conforme a sus propias políticas de tratamiento.

4. Finalidades del tratamiento

   Validocus trata los datos personales recopilados para las siguientes finalidades específicas y determinadas:

   (i) Prestar el servicio de firma electrónica, incluyendo la gestión del ciclo completo de firma (envío de invitaciones, recepción de firmas, generación del documento firmado y emisión de evidencia probatoria); (ii) Generar evidencia legal verificable que respalde la validez y trazabilidad de las firmas realizadas, mediante la captura de IP, video, geolocalización aproximada y anclaje de hash en blockchain; (iii) Cumplir obligaciones legales aplicables al Responsable, incluyendo deberes de conservación documental, atención de requerimientos de autoridades y obligaciones contables y tributarias.

   Adicionalmente, podemos tratar los datos para (iv) brindar soporte técnico y atender solicitudes de los titulares; (v) mejorar el servicio mediante análisis agregado y anónimo del uso de la plataforma; y (vi) enviar comunicaciones operativas relacionadas con la prestación del servicio. Las comunicaciones de marketing solo se enviarán con consentimiento previo y expreso, y podrán ser revocadas en cualquier momento.

5. Base de licitud

   El tratamiento de datos personales por parte de Validocus se fundamenta en las siguientes bases de licitud, aplicadas según corresponda a cada finalidad:

   Ejecución del contrato: el tratamiento es necesario para la prestación del servicio que el usuario ha contratado o para adoptar medidas precontractuales a su solicitud. Consentimiento expreso e informado: el titular otorga su consentimiento al registrarse, al aceptar los términos al momento de firmar un documento, y de manera específica al grabar el video probatorio.

   Asimismo, el tratamiento podrá basarse en el cumplimiento de obligaciones legales aplicables al Responsable (por ejemplo, conservación documental con fines probatorios, atención de requerimientos judiciales o administrativos), y en el interés legítimo del Responsable cuando este no prevalezca sobre los derechos del titular (por ejemplo, prevención de fraude, mejoras agregadas del servicio).

6. Categorías especiales de datos

   El video probatorio que se captura durante el proceso de firma puede contener imagen del rostro y voz del firmante, los cuales pueden ser considerados datos biométricos en la medida en que permitan o confirmen la identificación unívoca de una persona.

   El tratamiento de estos datos se realiza con consentimiento explícito y específico del firmante, otorgado al iniciar la grabación del video, y exclusivamente con la finalidad probatoria descrita: respaldar la trazabilidad y autenticidad de la firma electrónica. Estos datos no se utilizan para fines de identificación biométrica masiva, ni se incluyen en bases de datos biométricas, ni se ceden a terceros con fines distintos al estrictamente necesario para la prestación del servicio.

   El titular puede revocar el consentimiento al tratamiento de estos datos en cualquier momento, sin perjuicio de que Validocus deba conservar la evidencia generada durante los plazos legales de prescripción aplicables.

7. Encargados del tratamiento (terceros que tocan datos)

   Para la prestación del servicio, Validocus puede compartir información con los siguientes encargados del tratamiento, todos ellos vinculados mediante contratos que garantizan niveles de seguridad y confidencialidad adecuados:

   Wasabi Technologies: proveedor de almacenamiento en la nube (S3-compatible) donde se conservan los documentos PDF, videos probatorios e imágenes de firma. ePayco: pasarela de pagos que procesa las transacciones; no compartimos con ePayco los documentos firmados, únicamente los datos necesarios para el cobro. Avalanche (red blockchain pública): en la red se publica únicamente el hash criptográfico SHA-256 del documento, que es un identificador unidireccional que no contiene datos personales ni permite la reconstrucción del documento original.

   Proveedor de correo electrónico: utilizado para enviar notificaciones operativas (invitaciones a firmar, confirmaciones, recordatorios). Estos encargados acceden a los datos estrictamente necesarios para la prestación de su servicio y están obligados a aplicar medidas de seguridad equivalentes a las de Validocus.

8. Transferencias internacionales

   Algunos de los encargados del tratamiento están ubicados fuera de Colombia, lo que implica transferencias internacionales de datos personales. En particular: el almacenamiento en Wasabi puede realizarse en centros de datos ubicados en Estados Unidos y/o Europa; la red blockchain Avalanche es una red descentralizada con nodos distribuidos globalmente, en la cual se publica exclusivamente el hash criptográfico del documento (que no contiene datos personales).

   Estas transferencias se realizan con las garantías exigidas por la normativa colombiana (Ley 1581, artículo 26, y Decreto 1377), incluyendo cláusulas contractuales con los encargados y, cuando corresponda, mecanismos análogos a las Cláusulas Contractuales Estándar (SCC). El titular consiente expresamente estas transferencias al aceptar la presente política y utilizar el servicio.

   Para titulares localizados en el Espacio Económico Europeo, las transferencias internacionales se rigen además por los artículos 44 y siguientes del GDPR.

9. Tiempo de conservación

   Validocus conservará los datos personales únicamente durante el tiempo necesario para cumplir las finalidades del tratamiento, conforme a los siguientes criterios:

   Documentos firmados y evidencia probatoria (PDF, video, imagen de firma, metadatos): se conservan mientras la cuenta del usuario contratante esté activa y durante un período adicional de hasta siete (7) años tras la terminación, en atención a los plazos generales de prescripción aplicables en Colombia para soporte de operaciones comerciales y necesidades probatorias.

   Datos de cuenta (perfil, configuración, datos de facturación): se conservan mientras la cuenta esté activa y hasta que el titular solicite su supresión, sin perjuicio de los plazos legales que obliguen a su conservación. Transcurridos los plazos aplicables, los datos serán eliminados o anonimizados de manera irreversible. El hash registrado en blockchain, por su naturaleza inmutable, no es eliminable; sin embargo, al no contener datos personales reconstruibles, su permanencia no afecta los derechos del titular.

10. Derechos del titular

    De acuerdo con el artículo 8 de la Ley 1581 de 2012, el titular de los datos personales tiene los siguientes derechos: (i) Conocer, actualizar y rectificar sus datos personales; (ii) Solicitar prueba de la autorización otorgada al Responsable; (iii) Ser informado sobre el uso que se ha dado a sus datos; (iv) Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones al régimen de protección de datos; (v) Revocar la autorización y/o solicitar la supresión del dato cuando el tratamiento no respete los principios, derechos y garantías constitucionales y legales; y (vi) Acceder en forma gratuita a los datos que han sido objeto de tratamiento.

    Para titulares localizados en el Espacio Económico Europeo, además se reconocen los derechos previstos en el GDPR: derecho de acceso, rectificación, supresión ("derecho al olvido"), limitación del tratamiento, portabilidad de los datos, oposición y derecho a no ser objeto de decisiones automatizadas con efectos jurídicos significativos.

    El ejercicio de estos derechos es gratuito, salvo en supuestos expresamente permitidos por la ley.

11. Cómo ejercer sus derechos

    El titular puede ejercer sus derechos enviando una solicitud al correo electrónico hello@validocus.com, indicando: (i) nombre completo y datos de contacto; (ii) descripción clara del derecho que ejerce y los hechos que lo motivan; (iii) los datos que solicita conocer, rectificar, actualizar o suprimir, según corresponda; y (iv) copia del documento de identidad cuando sea razonablemente necesario para verificar la identidad del solicitante.

    Conforme al artículo 22 del Decreto 1377 de 2013, Validocus responderá las consultas en un plazo máximo de diez (10) días hábiles contados desde la fecha de recibo. Cuando no fuere posible atender la consulta en dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá, que en ningún caso superará los cinco (5) días hábiles siguientes al vencimiento del primer término.

    Los reclamos tendrán un plazo máximo de quince (15) días hábiles. Si transcurridos estos plazos el titular no recibe respuesta o esta le resulta insatisfactoria, podrá acudir ante la Superintendencia de Industria y Comercio.

12. Seguridad de la información

    Validocus implementa medidas técnicas y organizativas razonables para proteger los datos personales contra pérdida, uso indebido, acceso no autorizado, divulgación, alteración o destrucción. Entre las medidas adoptadas se incluyen: cifrado en tránsito mediante TLS 1.3 para todas las comunicaciones entre el cliente y nuestros servicios; cifrado en reposo AES-256 para los documentos almacenados en Wasabi; controles de acceso basados en roles con principio de mínimo privilegio; y registro de auditoría de las operaciones relevantes realizadas sobre los datos.

    Adicionalmente, el anclaje del hash del documento en la red blockchain Avalanche proporciona una capa de evidencia inmutable que permite verificar a posteriori la integridad de los documentos firmados. Ninguna medida de seguridad puede garantizar protección absoluta; sin embargo, Validocus se esfuerza por mantener prácticas de seguridad alineadas con los estándares razonables de la industria SaaS B2B.

    En caso de un incidente de seguridad que afecte datos personales, Validocus notificará a los titulares y a la autoridad de control competente conforme a la normativa aplicable.

13. Cookies y tecnologías similares

    El sitio web y la plataforma de Validocus utilizan cookies y tecnologías similares con finalidades estrictamente necesarias para el funcionamiento del servicio: gestión de sesión autenticada, protección contra ataques CSRF, preferencias de idioma e interfaz.

    Utilizamos Cloudflare Web Analytics, una herramienta de analítica que no instala cookies ni rastrea individualmente a los usuarios, y que proporciona métricas agregadas y anónimas sobre el uso del sitio. No utilizamos cookies publicitarias ni de seguimiento cruzado entre sitios.

    El usuario puede configurar su navegador para rechazar cookies; sin embargo, ello puede limitar el funcionamiento de la plataforma, especialmente las funciones que requieren autenticación.

14. Datos de menores de edad

    Validocus es una plataforma orientada al uso empresarial (B2B) y no está dirigida a menores de 18 años. No recopilamos de manera consciente datos personales de menores. Si llegásemos a tener conocimiento de que un menor de edad ha proporcionado datos personales a través de la plataforma, procederemos a su eliminación de manera diligente, salvo que la ley aplicable disponga lo contrario.

    Padres, madres o representantes legales que consideren que un menor ha proporcionado datos a la plataforma pueden contactarnos al correo hello@validocus.com para solicitar su supresión.

15. Cambios a la política

    Validocus podrá actualizar esta política de manera periódica para reflejar cambios en sus prácticas, en la normativa aplicable o en los criterios de la autoridad de control. Los cambios materiales serán notificados con una antelación mínima de treinta (30) días calendario, mediante aviso en la plataforma y correo electrónico a las direcciones registradas.

    La versión vigente estará siempre accesible en este enlace, indicando la fecha de última actualización. El uso continuado del servicio después de la fecha de entrada en vigor de los cambios constituirá aceptación de los mismos.

    Los cambios menores, correcciones tipográficas o aclaraciones que no alteren materialmente los derechos de los titulares podrán implementarse sin notificación previa.

16. Contacto y DPO

    Para cualquier consulta, reclamo, ejercicio de derechos o requerimiento relacionado con el tratamiento de datos personales, el titular puede contactar al Oficial de Protección de Datos (DPO) de Validocus a través de los siguientes medios:

    Validocus — Oficial de Protección de Datos
    Medellín, Antioquia — Colombia
    Correo electrónico: hello@validocus.com
    Teléfono: +57 317 3025584

    Adicionalmente, el titular puede dirigirse a la Superintendencia de Industria y Comercio (SIC) como autoridad colombiana de control en materia de protección de datos personales, presentando reclamo cuando considere que sus derechos han sido vulnerados y previo agotamiento del trámite ante el Responsable.