Política de Tratamiento de Datos Personales

01Identificación del responsable del tratamiento

Esta Política aplica a Invera Solutions S.A.S. y a las marcas comerciales bajo las cuales presta sus servicios, incluyendo SoliAnalytica, en todas las líneas de negocio de la empresa.

02Objeto y alcance

Esta Política establece los criterios, principios, finalidades y procedimientos que Invera Solutions S.A.S. (en adelante, «Invera») aplica para el tratamiento de los datos personales que recolecta, almacena, usa, circula y suprime, en calidad de responsable o de encargado del tratamiento según corresponda, en el marco de sus actividades comerciales, dentro de las cuales se incluye la operación de la plataforma SaaS SoliAnalytica.

Esta Política aplica a los datos personales de:

• Representantes y contactos de las entidades que contratan los servicios de Invera («Clientes»).
• Los usuarios que operan la plataforma SoliAnalytica en nombre de un Cliente (perfiles Admin y Analista).
• Los asociados de los Clientes cuyos datos financieros y crediticios son cargados en la plataforma para efectos de scoring, simulación y demás módulos contratados («Titulares finales»).
• Visitantes del sitio web, prospectos comerciales y leads.
• Empleados, contratistas y proveedores de Invera.

03Marco normativo aplicable

• Constitución Política de Colombia, artículo 15 (derecho fundamental al habeas data).
• Ley Estatutaria 1581 de 2012, régimen general de protección de datos personales.
• Decreto 1377 de 2013, compilado en el Decreto Único Reglamentario 1074 de 2015.
• Ley 1266 de 2008 (habeas data financiero).
• Circular Externa 002 de 2015 de la Superintendencia de Industria y Comercio (SIC).
• Decreto 090 de 2018.
• Normas concordantes de la Superintendencia de la Economía Solidaria, en cuanto imponen obligaciones de trazabilidad, confidencialidad y reserva de la información a las cooperativas y fondos de empleados, y que se trasladan contractualmente a Invera como proveedor tecnológico.

04Definiciones

Dato personal

Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Dato financiero y crediticio

Dato personal referido al nacimiento, ejecución y extinción de obligaciones dinerarias, así como el historial crediticio de una persona (estado de cartera, mora, capacidad de pago). Sujeto al régimen especial de la Ley 1266.

Dato sensible

Dato que afecta la intimidad del titular o cuyo uso indebido genera discriminación: origen racial o étnico, orientación política, convicciones religiosas o filosóficas, afiliación sindical, datos de salud, vida sexual y datos biométricos.

Titular

Persona natural cuyos datos personales son objeto de tratamiento.

Responsable del tratamiento

Persona natural o jurídica que decide sobre la base de datos o el tratamiento de los datos. Invera es responsable frente a los datos de sus propios Clientes, leads, empleados y usuarios de su sitio web.

Encargado del tratamiento

Persona natural o jurídica que realiza el tratamiento por cuenta del responsable. Invera es encargado frente a los datos de los asociados que las cooperativas y fondos cargan en SoliAnalytica.

Tratamiento

Cualquier operación sobre datos personales: recolección, almacenamiento, uso, circulación o supresión.

Transferencia internacional de datos

Envío de datos personales a un receptor que se encuentra fuera de Colombia, sea o no encargado.

Base de datos

Conjunto organizado de datos personales objeto de tratamiento.

05Principios rectores del tratamiento

Legalidad

El tratamiento se sujeta a la Ley 1581, la Ley 1266 y demás normas aplicables.

Finalidad

El tratamiento obedece a una finalidad legítima, informada al titular.

Libertad

El tratamiento solo se ejerce con el consentimiento previo, expreso e informado del titular, salvo las excepciones legales.

Veracidad o calidad

La información debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.

Transparencia

Se garantiza al titular el derecho a obtener información sobre la existencia de datos que le conciernan.

Acceso y circulación restringida

El tratamiento solo lo realizan personas autorizadas por el titular o por la ley; los datos no están disponibles en internet salvo que exista control de acceso.

Seguridad

Los datos se manejan con las medidas técnicas, humanas y administrativas necesarias para evitar adulteración, pérdida, consulta, uso o acceso no autorizado.

Confidencialidad

Todas las personas que intervienen en el tratamiento están obligadas a garantizar la reserva de la información.

06Rol de Invera: responsable o encargado

6.1 Invera como responsable

Invera es responsable respecto de los datos personales de representantes de sus Clientes, usuarios de la plataforma (Admin y Analista), leads, prospectos, visitantes del sitio web y su propio personal. Frente a estos datos, Invera define las finalidades y medios del tratamiento y responde directamente ante los titulares y ante la SIC.

6.2 Invera como encargado

Frente a los datos de los asociados de las cooperativas y fondos de empleados cargados en SoliAnalytica (cédula, nombre, información financiera, historial de créditos, mora y resultados de scoring), Invera actúa como encargado. Es cada cooperativa o fondo, en calidad de responsable, quien determina qué información recolecta de sus asociados y para qué fines, y quien debe contar con la autorización correspondiente de cada asociado.

Esta relación se formaliza mediante el Acuerdo de Encargo de Tratamiento de Datos (ver sección 14), documento contractual independiente que cada Cliente debe suscribir con Invera antes o al momento de iniciar el cargue de datos reales, incluyendo datos de pilotos.

07Categorías de datos tratados

08Finalidades del tratamiento

8.1 Como responsable: Clientes, usuarios, leads y personal

• Gestionar la relación comercial y contractual con los Clientes.
• Crear y administrar cuentas de usuario y controlar accesos mediante roles.
• Prestar soporte técnico y atender solicitudes.
• Facturación, cobro y gestión de pagos.
• Enviar comunicaciones comerciales, novedades del producto y encuestas de satisfacción.
• Gestionar procesos de selección y vinculación laboral o contractual del equipo.
• Cumplir obligaciones legales, contables, tributarias y de auditoría.
• Mejorar la plataforma y desarrollar nuevos módulos o funcionalidades.

8.2 Como encargado: datos de los titulares finales

• Calcular el score crediticio y demás indicadores contratados por el Cliente, conforme a los parámetros que cada Cliente configura.
• Almacenar el historial de evaluaciones para trazabilidad ante Supersolidaria, la UIAF y la revisoría fiscal del Cliente.
• Generar reportes, simulaciones y exportaciones solicitadas por el Cliente.
• Mantener logs inmutables de todas las operaciones para fines de auditoría del Cliente.

09Derechos de los titulares

De conformidad con el artículo 8 de la Ley 1581 y el artículo 5 de la Ley 1266, todo titular tiene derecho a:

• Conocer, actualizar y rectificar sus datos personales frente a los responsables o encargados del tratamiento.
• Solicitar prueba de la autorización otorgada, salvo que la ley exceptúe este requisito.
• Ser informado, previa solicitud, respecto del uso que se ha dado a sus datos personales.
• Presentar ante la SIC quejas por infracciones a la normativa de protección de datos.
• Revocar la autorización o solicitar la supresión del dato, cuando no exista un deber legal o contractual que impida eliminarlo.
• Acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento.
• Frente a datos financieros (Ley 1266): solicitar rectificación cuando el dato reportado sea inexacto, y conocer las reglas de permanencia del dato negativo en el historial crediticio.

Cuando la solicitud del titular final se refiera a datos tratados por Invera en calidad de encargado, Invera la trasladará al Cliente respectivo dentro de los plazos legales e informará al titular sobre este traslado, salvo que el Acuerdo de Encargo asigne a Invera la respuesta directa.

10Deberes de Invera

10.1 Como responsable

• Garantizar el ejercicio de los derechos de habeas data.
• Solicitar y conservar copia de la autorización otorgada por el titular.
• Informar al titular sobre la finalidad del tratamiento y sus derechos.
• Conservar la información bajo condiciones de seguridad.
• Tramitar consultas y reclamos en los plazos legales.
• Registrar la base de datos ante el RNBD cuando aplique (ver sección 15).

10.2 Como encargado

• Tratar los datos únicamente conforme a las instrucciones del Cliente y para las finalidades autorizadas por este.
• Guardar confidencialidad sobre el tratamiento, incluso después de finalizado el contrato con el Cliente.
• Implementar medidas de seguridad técnicas, humanas y administrativas.
• Informar al Cliente sobre cualquier violación a los códigos de seguridad o incidente que comprometa la administración de la información.
• No ceder, transferir ni transmitir los datos a terceros no autorizados por el Cliente.
• Suprimir o devolver los datos al finalizar la relación contractual, salvo obligación legal de conservación.

11Autorización del titular

Salvo las excepciones previstas en el artículo 10 de la Ley 1581 (información pública, urgencia médica, autorización legal, requerimiento judicial o de una entidad pública en ejercicio de sus funciones legales), el tratamiento de datos personales requiere la autorización previa, expresa e informada del titular.

Invera obtiene la autorización mediante uno o varios de estos canales:

• Cláusula de tratamiento de datos incorporada en los contratos de prestación de servicios y en el Acuerdo de Encargo con cada Cliente.
• Casilla de aceptación en formularios del sitio web y en el registro de usuarios de la plataforma.
• Autorización específica en el proceso de vinculación laboral o contractual del personal de Invera.
• Respecto de los titulares finales, la autorización la obtiene y custodia directamente cada Cliente, quien declara y garantiza contractualmente a Invera que cuenta con ella antes de cargar los datos en la plataforma.

12Transferencia internacional de datos

La infraestructura tecnológica de SoliAnalytica está alojada en la región de São Paulo, Brasil. Esto implica una transferencia internacional de datos personales fuera del territorio colombiano.

13Área responsable y canal de atención

Mientras Invera no cuente con una estructura formal de oficial de protección de datos, la función es asumida directamente por:

14Procedimiento para consultas y reclamos

14.1 Consultas

El titular, sus causahabientes o su representante pueden consultar la información personal que repose en las bases de datos de Invera. La consulta se atiende en un término máximo de diez (10) días hábiles contados desde la fecha de recibo. Cuando no sea posible atenderla dentro de ese término, se informa al interesado antes del vencimiento, con los motivos de la demora y la fecha en que se atenderá, que no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

14.2 Reclamos

El titular que considere que su información debe ser corregida, actualizada o suprimida, o que advierta un presunto incumplimiento de sus derechos, puede presentar un reclamo a Invera con su identificación, la descripción de los hechos, la dirección y los documentos que quiera hacer valer.

• Si el reclamo está incompleto, se requiere al interesado dentro de los cinco (5) días siguientes para que subsane. Transcurridos dos (2) meses sin respuesta, se entiende que ha desistido.
• El término máximo para atender el reclamo es de quince (15) días hábiles desde el día siguiente a su recibo, prorrogable por ocho (8) días hábiles más informando los motivos.
• Mientras se atiende el reclamo, se incluye en la base de datos una leyenda que indica «reclamo en trámite» y su motivo, en un término no mayor a dos (2) días hábiles.

Si Invera recibe un reclamo o consulta referido a datos que trata como encargado, lo traslada al Cliente correspondiente dentro de los dos (2) días hábiles siguientes a su recepción e informa de ello al titular.

15Registro Nacional de Bases de Datos

El Decreto 090 de 2018 exige el registro ante el Registro Nacional de Bases de Datos de la SIC a las sociedades y entidades que superen determinados umbrales de ingresos o activos, o que sean entidades públicas.

A la fecha de esta versión, Invera no supera dichos umbrales y por lo tanto no está obligada a registrar sus bases de datos ante el RNBD. Invera evalúa esta obligación de forma periódica y realizará el registro dentro de los plazos legales en el momento en que llegue a superarlos.

16Medidas de seguridad de la información

Invera implementa medidas técnicas, humanas y administrativas razonables para proteger los datos personales contra pérdida, acceso no autorizado, uso indebido o alteración, en línea con la Circular Externa 002 de 2015 de la SIC. Estas medidas incluyen control de acceso basado en roles, mecanismos de autenticación, trazabilidad de las operaciones realizadas sobre la información y protocolos de gestión de credenciales.

17Vigencia

Esta Política rige a partir de su fecha de adopción y está vigente mientras Invera desarrolle actividades que impliquen el tratamiento de datos personales. Las bases de datos administradas por Invera se conservan durante el tiempo razonable y necesario de acuerdo con la finalidad del tratamiento, las obligaciones legales, contractuales, contables y fiscales aplicables y, en el caso de los datos tratados como encargado, durante el plazo que determine cada Acuerdo de Encargo.

Invera puede modificar esta Política en cualquier momento. Los cambios sustanciales se comunican a los titulares por los canales habituales de contacto y se publican en el sitio web, con indicación de la nueva fecha de vigencia.

18Control de versiones