Política de Tratamiento de Datos Personales

Información sobre cómo Validocus recopila, utiliza y protege los datos personales en cumplimiento de la Ley Estatutaria 1581 de 2012 y normas concordantes. Le recomendamos leerla en su totalidad y, ante cualquier duda específica, consultar con un asesor legal.

1. Responsable del tratamiento

   El responsable del tratamiento de los datos personales recopilados a través de la plataforma Validocus es la empresa Validocus (en adelante, "Validocus" o "el Responsable"), con domicilio principal en Medellín, Antioquia, Colombia.

   Hemos designado un punto de contacto único para todos los asuntos relacionados con la protección de datos personales y el ejercicio de los derechos del titular. Para presentar consultas, solicitudes o reclamos sobre el tratamiento de sus datos, puede comunicarse con nosotros a través de los siguientes canales:

   Validocus — Medellín, Antioquia, Colombia.
   Correo electrónico del DPO (Oficial de Protección de Datos): hello@validocus.com
   Teléfono: +57 317 3025584.

2. Marco legal aplicable

   Esta política se sujeta al marco normativo de protección de datos personales vigente en Colombia, en particular a la Ley Estatutaria 1581 de 2012 (Régimen General de Protección de Datos Personales), su Decreto Reglamentario 1377 de 2013, y las circulares e instrucciones emitidas por la Superintendencia de Industria y Comercio (SIC) en su calidad de autoridad de control.

   Cuando el tratamiento involucre datos de titulares localizados en el Espacio Económico Europeo, o cuando Validocus ofrezca productos o servicios a residentes en dicho territorio, la operación se sujetará adicionalmente al Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, "GDPR"). En tales casos, los derechos y garantías reconocidos por el GDPR serán plenamente respetados.

   Validocus revisará periódicamente esta política para alinearla con cambios normativos, jurisprudenciales o de criterio de la autoridad de control.

3. Datos personales que recopilamos

   Para la prestación del servicio de firma electrónica, Validocus puede recopilar y tratar las siguientes categorías de datos personales, tanto del usuario contratante como de los firmantes invitados:

   Datos de identificación y contacto: nombre, apellidos, dirección de correo electrónico, número telefónico, número de documento de identificación (cuando el usuario lo aporta para la firma).

   Datos técnicos y de evidencia probatoria: dirección IP del firmante en el momento de la firma, marcas temporales (timestamp), geolocalización aproximada derivada de la IP, zona horaria, tipo de dispositivo y navegador. Video probatorio del firmante manifestando consentimiento (puede contener imagen y voz), imagen de la firma manuscrita digitalizada, documento PDF firmado, y hash SHA-256 del documento.

   Datos de verificación de identidad, cuando quien solicita el documento activa esa opción: fotografía del documento de identidad por ambas caras, fotografía del rostro (selfie), video corto de prueba de vida y los puntajes técnicos que resultan de compararlos, además de los datos que se extraen del documento (nombre, tipo y número de identificación, país).

   Resultados de consultas de antecedentes y listas restrictivas, cuando quien solicita el documento las pide: coincidencias en listas nacionales e internacionales, condición de persona expuesta políticamente (PEP) y antecedentes en fuentes públicas oficiales.

   No recibimos ni almacenamos el número de su tarjeta: los datos de la tarjeta se capturan y cifran directamente en su navegador y viajan a la pasarela de pagos, que es quien los custodia conforme a sus propias políticas de tratamiento.

   Cuando usted activa la recarga automática o contrata una suscripción, conservamos un token emitido por la pasarela de pagos —un identificador que permite cobrar sin exponer la tarjeta—, junto con los últimos cuatro dígitos y la franquicia, con la única finalidad de ejecutar los cobros que usted autorizó y de permitirle identificar en pantalla qué tarjeta tiene registrada. Ese token no permite reconstruir el número de la tarjeta ni usarla fuera de Validocus, y usted puede eliminarlo en cualquier momento desde su perfil.

4. Finalidades del tratamiento

   Validocus trata los datos personales recopilados para las siguientes finalidades específicas y determinadas:

   (i) Prestar el servicio de firma electrónica, incluyendo la gestión del ciclo completo de firma (envío de invitaciones, recepción de firmas, generación del documento firmado y emisión de evidencia probatoria); (ii) Generar evidencia legal verificable que respalde la validez y trazabilidad de las firmas realizadas, mediante la captura de IP, video, geolocalización aproximada y anclaje de hash en blockchain; (iii) Cumplir obligaciones legales aplicables al Responsable, incluyendo deberes de conservación documental, atención de requerimientos de autoridades y obligaciones contables y tributarias.

   Adicionalmente, podemos tratar los datos para (iv) brindar soporte técnico y atender solicitudes de los titulares; (v) mejorar el servicio mediante análisis agregado y anónimo del uso de la plataforma; y (vi) enviar comunicaciones operativas relacionadas con la prestación del servicio. Las comunicaciones de marketing solo se enviarán con consentimiento previo y expreso, y podrán ser revocadas en cualquier momento.

5. Base de licitud

   El tratamiento de datos personales por parte de Validocus se fundamenta en las siguientes bases de licitud, aplicadas según corresponda a cada finalidad:

   Ejecución del contrato: el tratamiento es necesario para la prestación del servicio que el usuario ha contratado o para adoptar medidas precontractuales a su solicitud. Consentimiento expreso e informado: el titular otorga su consentimiento al registrarse, al aceptar los términos al momento de firmar un documento, y de manera específica al grabar el video probatorio.

   Asimismo, el tratamiento podrá basarse en el cumplimiento de obligaciones legales aplicables al Responsable (por ejemplo, conservación documental con fines probatorios, atención de requerimientos judiciales o administrativos), y en el interés legítimo del Responsable cuando este no prevalezca sobre los derechos del titular (por ejemplo, prevención de fraude, mejoras agregadas del servicio).

6. Categorías especiales de datos

   Conforme al artículo 5 de la Ley 1581 de 2012, los datos biométricos son datos sensibles. Validocus trata las siguientes categorías de datos sensibles, siempre dentro del proceso de firma y nunca por fuera de él:

   (i) El video probatorio, que contiene imagen del rostro y voz del firmante; (ii) la fotografía del rostro (selfie) y el video de prueba de vida de la verificación de identidad, junto con los puntajes técnicos de coincidencia facial y prueba de vida que se derivan de ellos; (iii) la imagen de la firma manuscrita; y (iv) la fotografía del documento de identidad, que contiene imagen facial.

   Además, los resultados de consultas de antecedentes y listas restrictivas —incluida la condición de persona expuesta políticamente— reciben el mismo trato reforzado, porque su uso indebido puede dar lugar a discriminación.

   El tratamiento de estos datos se realiza con el consentimiento del firmante, que se informa de manera previa y específica antes de cada paso que los captura, y exclusivamente con la finalidad probatoria y de cumplimiento descrita. Estos datos no se utilizan para identificación biométrica masiva, no se incluyen en bases de datos biométricas, no se usan para entrenar modelos y no se ceden a terceros con fines distintos a la prestación del servicio.

   El firmante no está obligado a autorizar el tratamiento de datos sensibles. Si decide no hacerlo, puede abandonar el proceso; en ese caso quien solicitó el documento será informado de que no fue firmado, y Validocus no conservará la captura biométrica correspondiente.

   El titular puede revocar el consentimiento en cualquier momento, sin perjuicio de que Validocus deba conservar la evidencia ya generada durante los plazos legales de prescripción aplicables.

7. Encargados del tratamiento (terceros que tocan datos)

   Para la prestación del servicio, Validocus se apoya en encargados del tratamiento, todos vinculados mediante contratos que los obligan a aplicar esta política y medidas de seguridad equivalentes a las nuestras. Se identifican por categoría de servicio, que es lo que permite al titular entender a quién llega su información y para qué:

   (i) Almacenamiento de archivos en la nube: conserva los documentos PDF, videos probatorios, imágenes de firma y los archivos de verificación de identidad. (ii) Verificación de identidad con prueba de vida: captura y compara el documento de identidad, la selfie y el video de prueba de vida. (iii) Consulta de antecedentes y listas restrictivas: recibe el tipo y número de documento para devolver coincidencias en fuentes oficiales. (iv) Mensajería: correo electrónico, SMS y WhatsApp, para enviar invitaciones a firmar, confirmaciones y recordatorios.

   (v) Modelos de inteligencia artificial: procesan el contenido de documentos y formularios para extraer información y asistir al usuario; no se usan para entrenar modelos con sus datos. (vi) Infraestructura de aplicación y base de datos. (vii) Pasarela de pagos y facturación electrónica, que reciben únicamente los datos necesarios para el cobro y para la emisión de la factura ante la DIAN; no reciben documentos firmados. (viii) Conectores con el CRM del cliente, cuando este activa la integración, para devolver el documento firmado al registro correspondiente.

   Red blockchain pública: se publica exclusivamente el hash criptográfico SHA-256 del documento, un identificador unidireccional que no contiene datos personales ni permite reconstruir el documento original.

   Validocus mantiene actualizada la lista nominal de encargados con su identidad, ubicación y finalidad. El titular, y los clientes que lo requieran para sus procesos de debida diligencia, pueden solicitarla escribiendo a hello@validocus.com.

8. Transferencias internacionales

   Buena parte de la infraestructura y de los encargados descritos arriba está ubicada fuera de Colombia, lo que implica transferencias internacionales de datos personales. Son transferencias hacia Estados Unidos y la Unión Europea, y alcanzan a: el almacenamiento de archivos, la infraestructura de aplicación y base de datos, la verificación de identidad con prueba de vida, los servicios de procesamiento de documentos, los modelos de inteligencia artificial, la mensajería por SMS y WhatsApp, los conectores con CRM y las herramientas de medición de campañas.

   La red blockchain es descentralizada, con nodos distribuidos globalmente; en ella se publica exclusivamente el hash criptográfico del documento, que no contiene datos personales.

   Tanto Estados Unidos como los países del Espacio Económico Europeo figuran en la lista de países que la Superintendencia de Industria y Comercio considera con un nivel adecuado de protección (Circular Externa 005 de 2017), por lo que estas transferencias se ajustan al artículo 26 de la Ley 1581 de 2012. Adicionalmente se soportan en cláusulas contractuales con cada encargado y, cuando corresponde, en mecanismos análogos a las Cláusulas Contractuales Estándar (SCC).

   Para titulares localizados en el Espacio Económico Europeo, las transferencias internacionales se rigen además por los artículos 44 y siguientes del GDPR.

9. Tiempo de conservación

   Validocus conservará los datos personales únicamente durante el tiempo necesario para cumplir las finalidades del tratamiento, conforme a los siguientes criterios:

   Documentos firmados y evidencia probatoria (PDF, video, imagen de firma, metadatos): se conservan mientras la cuenta del usuario contratante esté activa y durante un período adicional de hasta siete (7) años tras la terminación, en atención a los plazos generales de prescripción aplicables en Colombia para soporte de operaciones comerciales y necesidades probatorias.

   Datos de cuenta (perfil, configuración, datos de facturación): se conservan mientras la cuenta esté activa y hasta que el titular solicite su supresión, sin perjuicio de los plazos legales que obliguen a su conservación.

   Las solicitudes de supresión se atienden caso a caso por el canal indicado más abajo, dentro de los plazos del Decreto 1377 y con el alcance que la ley permite. Conviene decirlo con precisión: cuando un dato forma parte de la evidencia probatoria de un documento ya firmado, Validocus no puede eliminarlo mientras corran los plazos de prescripción, porque esa evidencia es justamente lo que da validez al documento frente a terceros. En esos casos se informa al titular qué se suprime, qué se conserva y por qué.

   El hash registrado en blockchain, por su naturaleza inmutable, no es eliminable; al no contener datos personales reconstruibles, su permanencia no afecta los derechos del titular.

10. Derechos del titular

    De acuerdo con el artículo 8 de la Ley 1581 de 2012, el titular de los datos personales tiene los siguientes derechos: (i) Conocer, actualizar y rectificar sus datos personales; (ii) Solicitar prueba de la autorización otorgada al Responsable; (iii) Ser informado sobre el uso que se ha dado a sus datos; (iv) Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones al régimen de protección de datos; (v) Revocar la autorización y/o solicitar la supresión del dato cuando el tratamiento no respete los principios, derechos y garantías constitucionales y legales; y (vi) Acceder en forma gratuita a los datos que han sido objeto de tratamiento.

    Para titulares localizados en el Espacio Económico Europeo, además se reconocen los derechos previstos en el GDPR: derecho de acceso, rectificación, supresión ("derecho al olvido"), limitación del tratamiento, portabilidad de los datos, oposición y derecho a no ser objeto de decisiones automatizadas con efectos jurídicos significativos.

    El ejercicio de estos derechos es gratuito, salvo en supuestos expresamente permitidos por la ley.

11. Cómo ejercer sus derechos

    El titular puede ejercer sus derechos enviando una solicitud al correo electrónico hello@validocus.com, indicando: (i) nombre completo y datos de contacto; (ii) descripción clara del derecho que ejerce y los hechos que lo motivan; (iii) los datos que solicita conocer, rectificar, actualizar o suprimir, según corresponda; y (iv) copia del documento de identidad cuando sea razonablemente necesario para verificar la identidad del solicitante.

    Conforme al artículo 22 del Decreto 1377 de 2013, Validocus responderá las consultas en un plazo máximo de diez (10) días hábiles contados desde la fecha de recibo. Cuando no fuere posible atender la consulta en dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá, que en ningún caso superará los cinco (5) días hábiles siguientes al vencimiento del primer término.

    Los reclamos tendrán un plazo máximo de quince (15) días hábiles. Si transcurridos estos plazos el titular no recibe respuesta o esta le resulta insatisfactoria, podrá acudir ante la Superintendencia de Industria y Comercio.

12. Seguridad de la información

    Validocus implementa medidas técnicas y organizativas razonables para proteger los datos personales contra pérdida, uso indebido, acceso no autorizado, divulgación, alteración o destrucción. Entre las medidas adoptadas se incluyen: cifrado en tránsito mediante TLS 1.3 para todas las comunicaciones entre el cliente y nuestros servicios; cifrado en reposo AES-256 para los documentos almacenados en la nube; controles de acceso basados en roles con principio de mínimo privilegio; y registro de auditoría de las operaciones relevantes realizadas sobre los datos.

    Adicionalmente, el anclaje del hash del documento en una red blockchain pública proporciona una capa de evidencia inmutable que permite verificar a posteriori la integridad de los documentos firmados. Ninguna medida de seguridad puede garantizar protección absoluta; sin embargo, Validocus se esfuerza por mantener prácticas de seguridad alineadas con los estándares razonables de la industria SaaS B2B.

    En caso de un incidente de seguridad que afecte datos personales, Validocus notificará a los titulares y a la autoridad de control competente conforme a la normativa aplicable.

13. Cookies y tecnologías similares

    El sitio web y la plataforma de Validocus utilizan cookies y tecnologías similares con finalidades estrictamente necesarias para el funcionamiento del servicio: gestión de sesión autenticada, protección contra ataques CSRF, preferencias de idioma e interfaz.

    En nuestro sitio web público utilizamos además el píxel de Meta, una herramienta de medición publicitaria que instala la cookie _fbp y permite a Meta Platforms (Estados Unidos) atribuir visitas y registros a nuestras campañas. Es una cookie de publicidad y seguimiento entre sitios, y la declaramos como tal. No está presente en la plataforma autenticada ni en el flujo de firma.

    El usuario puede rechazar esta cookie desde la configuración de su navegador, desde las preferencias de anuncios de la propia red, o mediante extensiones de bloqueo, sin que ello afecte el funcionamiento del servicio. Rechazar las cookies estrictamente necesarias, en cambio, sí limita las funciones que requieren autenticación.

14. Datos de menores de edad

    Validocus es una plataforma orientada al uso empresarial (B2B) y no está dirigida a menores de 18 años. No abrimos cuentas a menores.

    No obstante, un menor puede figurar como firmante de un documento cuando el cliente que lo emite así lo configura —por ejemplo, con tarjeta de identidad como documento—. En ese supuesto, y conforme al artículo 7 de la Ley 1581 de 2012 y al artículo 12 del Decreto 1377 de 2013, la autorización corresponde al representante legal del menor, y es responsabilidad del cliente que emite el documento obtenerla y conservarla, así como verificar que el tratamiento respete el interés superior del menor y sus derechos fundamentales. Validocus actúa en ese caso como medio para la ejecución del trámite.

    Padres, madres o representantes legales que consideren que un menor ha proporcionado datos a la plataforma pueden contactarnos al correo hello@validocus.com para solicitar su supresión.

15. Cambios a la política

    Validocus podrá actualizar esta política de manera periódica para reflejar cambios en sus prácticas, en la normativa aplicable o en los criterios de la autoridad de control. Los cambios materiales serán notificados con una antelación mínima de treinta (30) días calendario, mediante aviso en la plataforma y correo electrónico a las direcciones registradas.

    La versión vigente estará siempre accesible en este enlace, indicando la fecha de última actualización. El uso continuado del servicio después de la fecha de entrada en vigor de los cambios constituirá aceptación de los mismos.

    Los cambios menores, correcciones tipográficas o aclaraciones que no alteren materialmente los derechos de los titulares podrán implementarse sin notificación previa.

16. Contacto y DPO

    Para cualquier consulta, reclamo, ejercicio de derechos o requerimiento relacionado con el tratamiento de datos personales, el titular puede contactar al Oficial de Protección de Datos (DPO) de Validocus a través de los siguientes medios:

    Validocus — Oficial de Protección de Datos
    Medellín, Antioquia — Colombia
    Correo electrónico: hello@validocus.com
    Teléfono: +57 317 3025584

    Adicionalmente, el titular puede dirigirse a la Superintendencia de Industria y Comercio (SIC) como autoridad colombiana de control en materia de protección de datos personales, presentando reclamo cuando considere que sus derechos han sido vulnerados y previo agotamiento del trámite ante el Responsable.