Política de Tratamiento de Datos Personales

1. Objeto y alcance

Esta Política de Tratamiento de Datos Personales (la “Política”) aplica a todas las bases de datos con datos personales tratados por SOMOS INVENTA S.A.S., NIT 901.691.382-0 (la “Empresa”), titular de la plataforma tecnológica Maeztro (web y aplicaciones móviles). Su propósito es informar a los titulares el alcance y la finalidad del tratamiento de sus datos, los derechos que les asisten y los procedimientos para ejercerlos.

La Empresa trata datos personales en dos calidades:

1. Como Responsable, sobre los datos que recolecta para su propia operación: prospectos, clientes y sus contactos, usuarios de la plataforma, visitantes del sitio, proveedores, contratistas, trabajadores, candidatos y accionistas.
2. Como Encargado, sobre los datos que sus clientes cargan o generan en Maeztro respecto de sus propios trabajadores, clientes y terceros (por ejemplo: registros de asistencia, datos biométricos faciales, nómina, ventas y cartera). En este caso el cliente es el Responsable y la Empresa trata los datos únicamente por su cuenta y según sus instrucciones (ver numeral 9).

2. Identificación del Responsable

3. Marco normativo

Artículo 15 de la Constitución Política; Ley Estatutaria 1581 de 2012; Decreto 1074 de 2015 (Capítulos 25 y 26 del Título 2, Parte 2, Libro 2), que compiló los Decretos 1377 de 2013 y 886 de 2014; Ley 1266 de 2008 en lo aplicable; Ley 2300 de 2023 sobre contacto comercial; las instrucciones de la Superintendencia de Industria y Comercio (SIC), incluida la Circular Externa 002 de 2024 sobre tratamiento de datos personales en sistemas de inteligencia artificial; y las normas que las modifiquen o sustituyan.

4. Definiciones

Para esta Política se aplican las definiciones de la Ley 1581 de 2012 y el Decreto 1074 de 2015:

• Autorización: consentimiento previo, expreso e informado del titular para el tratamiento de sus datos.
• Aviso de privacidad: comunicación verbal o escrita que informa al titular sobre la existencia de esta Política y las finalidades del tratamiento.
• Base de datos: conjunto organizado de datos personales objeto de tratamiento.
• Dato personal: información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato público: el que no es semiprivado, privado ni sensible, como el estado civil, la profesión u oficio o la calidad de comerciante.
• Dato semiprivado: el que no es íntimo ni público y cuyo conocimiento interesa a un sector, como el financiero y crediticio.
• Dato privado: el que por su naturaleza íntima solo es relevante para su titular.
• Dato sensible: el que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación, como el origen racial o étnico, la orientación política, las convicciones religiosas, la pertenencia a sindicatos, los datos de salud, de vida sexual y los datos biométricos (incluida la imagen facial usada para identificación).
• Responsable del tratamiento: quien decide sobre la base de datos y/o el tratamiento.
• Encargado del tratamiento: quien trata datos por cuenta del Responsable.
• Titular: persona natural cuyos datos son objeto de tratamiento.
• Transferencia: envío de datos a un receptor que es a su vez Responsable, dentro o fuera de Colombia.
• Transmisión: comunicación de datos a un Encargado para que los trate por cuenta del Responsable, dentro o fuera de Colombia.
• Tratamiento: cualquier operación sobre datos personales, como recolección, almacenamiento, uso, circulación o supresión.

5. Principios

La Empresa, sus encargados y quienes accedan a los datos aplican los principios del artículo 4 de la Ley 1581 de 2012: legalidad, finalidad, libertad (solo con autorización previa, expresa e informada, salvo excepción legal), veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad, que se mantiene incluso después de terminada la relación con el titular. Adicionalmente aplica los principios de necesidad (solo los datos estrictamente requeridos) y temporalidad (solo por el tiempo que la finalidad lo justifique).

6. Tratamiento y finalidades

La Empresa podrá recolectar, almacenar, usar, circular, transmitir, actualizar y suprimir datos personales para las siguientes finalidades, según el grupo de titulares:

Además, para todos los grupos: (i) cumplir obligaciones legales, contables, tributarias y requerimientos de autoridades; (ii) defender a la Empresa en procesos judiciales o administrativos; (iii) elaborar estadísticas e informes con datos anonimizados o agregados; y (iv) las demás finalidades informadas al titular al momento de la recolección.

Las comunicaciones comerciales respetarán la Ley 2300 de 2023: solo por los canales autorizados por el titular, de lunes a viernes de 7:00 a. m. a 7:00 p. m. y sábados de 8:00 a. m. a 3:00 p. m., sin exceder una comunicación semanal por canal, y con opción de cancelar su recepción en cualquier momento.

7. Uso de inteligencia artificial

La Empresa usa herramientas de inteligencia artificial para asistentes virtuales de soporte y agendamiento, y para funciones de la plataforma. En ese uso: (i) informa al titular cuando interactúa con un sistema automatizado y le permite pasar a una persona; (ii) solo envía a los proveedores de IA los datos necesarios para la tarea; (iii) contrata proveedores que no usan los datos para entrenar sus modelos; (iv) no toma decisiones con efectos jurídicos sobre el titular basadas únicamente en tratamiento automatizado sin intervención humana; y (v) evalúa los riesgos de estos tratamientos conforme a la Circular Externa 002 de 2024 de la SIC.

8. Datos sensibles y datos biométricos

La Empresa no condiciona ninguna actividad a que el titular entregue datos sensibles. Solo los trata cuando: (a) el titular dio su autorización explícita; (b) es necesario para proteger su interés vital y está incapacitado; (c) lo exige el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial; o (d) tiene finalidad histórica, estadística o científica, con supresión de identidades.

Al solicitarlos, la Empresa informa al titular que no está obligado a autorizarlos y le indica de forma explícita y previa cuáles datos son sensibles y para qué se usan.

Biometría facial en Maeztro Personal. El reconocimiento facial para registro de asistencia trata datos biométricos por cuenta del cliente empleador, quien como Responsable debe: (i) obtener la autorización explícita de cada trabajador antes de enrolarlo; (ii) informarle que no está obligado a darla; y (iii) ofrecerle un mecanismo alternativo de registro si no la otorga. La Empresa, como Encargado, almacena las plantillas biométricas cifradas, las usa solo para verificar identidad y asistencia, aplica medidas contra suplantación y las suprime cuando el cliente lo solicita, cuando termina el contrato o cuando el trabajador se desvincula y el cliente lo reporta.

Geolocalización en Maeztro Personal. La ubicación del dispositivo del trabajador se captura solo en el momento de la marcación, para validar el lugar autorizado por el cliente; no se hace seguimiento continuo. El cliente, como Responsable, debe informarlo a sus trabajadores y obtener su autorización.

9. Tratamiento como Encargado (datos de los clientes)

Cuando actúa como Encargado, la Empresa: (i) trata los datos solo para prestar los servicios contratados y según las instrucciones del cliente; (ii) no los usa para finalidades propias ni los vende o cede; (iii) cumple los deberes del artículo 18 de la Ley 1581 de 2012; (iv) aplica las medidas de seguridad del numeral 12; (v) informa al cliente sin demora cualquier incidente de seguridad que afecte sus datos; (vi) traslada al cliente las consultas y reclamos que reciba de sus titulares, dentro de los dos (2) días hábiles siguientes, y lo apoya para responderlos; y (vii) al terminar el contrato, devuelve o suprime los datos según instrucción del cliente, salvo obligación legal de conservarlos.

Corresponde al cliente, como Responsable, contar con la autorización de sus titulares, informarles las finalidades y atender sus derechos. Las condiciones específicas se pactan en el contrato de prestación de servicios y su acuerdo de transmisión de datos.

10. Datos de niños, niñas y adolescentes

La plataforma no está dirigida a menores de edad. La Empresa solo trata datos de menores cuando sea necesario (por ejemplo, beneficiarios de seguridad social de un trabajador), respetando su interés superior y sus derechos fundamentales, con autorización de su representante legal y previa valoración de la opinión del menor según su madurez.

11. Transmisión y transferencia de datos

La Empresa puede transmitir datos a encargados que le prestan servicios de alojamiento en la nube, mensajería (incluido WhatsApp), correo, CRM, analítica, publicidad, pagos e inteligencia artificial, algunos ubicados fuera de Colombia, en países como Estados Unidos. Estas transmisiones se rigen por contratos que obligan al encargado a tratar los datos solo según las instrucciones de la Empresa, con medidas de seguridad adecuadas y confidencialidad, conforme al artículo 2.2.2.25.5.2 del Decreto 1074 de 2015.

Las transferencias internacionales a terceros responsables solo se harán a países con nivel adecuado de protección según la SIC, o bajo las excepciones del artículo 26 de la Ley 1581 de 2012, o con la declaración de conformidad correspondiente.

12. Seguridad de la información

La Empresa adopta medidas técnicas, humanas y administrativas para evitar la adulteración, pérdida, consulta, uso o acceso no autorizado a los datos, entre ellas: cifrado en tránsito y en reposo, control de acceso por roles y mínimo privilegio, autenticación segura, registros de auditoría, copias de respaldo, acuerdos de confidencialidad con trabajadores y contratistas, y gestión de incidentes. Los incidentes de seguridad que afecten bases de datos bajo su responsabilidad se reportarán a la SIC dentro de los quince (15) días hábiles siguientes a su detección, y a los titulares afectados cuando corresponda.

13. Derechos de los titulares

Conforme al artículo 8 de la Ley 1581 de 2012, el titular puede:

1. Conocer, actualizar y rectificar sus datos, incluso frente a datos parciales, inexactos, incompletos, fraccionados o que induzcan a error.
2. Solicitar prueba de la autorización otorgada, salvo cuando la ley no la exija.
3. Ser informado, previa solicitud, del uso dado a sus datos.
4. Presentar quejas ante la SIC por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante la Empresa.
5. Revocar la autorización y/o solicitar la supresión del dato, cuando no exista un deber legal o contractual que obligue a conservarlo.
6. Acceder gratuitamente a sus datos, al menos una vez cada mes calendario y cada vez que esta Política tenga modificaciones sustanciales.

Pueden ejercer estos derechos el titular, sus causahabientes, su representante o apoderado, y quien haya actuado por estipulación a favor de otro, acreditando su calidad.

14. Área responsable

La Gerencia General es responsable de implementar esta Política y de atender consultas y reclamos. Contacto: legal@somosinventa.com, Carrera 7 # 116-50, Bogotá D.C., +57 350 849 0456.

15. Procedimiento para consultas y reclamos

Consultas. El titular puede consultar qué datos suyos reposan en las bases de la Empresa, el uso que se les ha dado y la autorización otorgada. La Empresa responderá en un máximo de diez (10) días hábiles desde su recibo. Si no es posible, informará los motivos y la nueva fecha, que no superará cinco (5) días hábiles adicionales.

Reclamos. Para corregir, actualizar o suprimir datos, revocar la autorización o reclamar por un incumplimiento, el titular debe enviar al correo indicado: (a) nombre e identificación; (b) descripción de los hechos y lo que solicita; (c) dirección y datos de contacto; y (d) los documentos que quiera hacer valer.

Si el reclamo está incompleto, la Empresa pedirá subsanarlo dentro de los cinco (5) días siguientes a su recibo. Si pasan dos (2) meses sin respuesta, se entenderá desistido.

Si quien lo recibe no es competente, lo trasladará al área responsable en máximo dos (2) días hábiles e informará al interesado.

Recibido completo, se incluirá en la base de datos la leyenda “reclamo en trámite” en máximo dos (2) días hábiles, hasta que se resuelva.

El plazo para resolver es de quince (15) días hábiles desde el día siguiente a su recibo, prorrogable por ocho (8) días hábiles informando los motivos.

La Empresa conservará prueba de cada consulta, reclamo y respuesta.

16. Conservación de los datos

Los datos se conservan mientras sean necesarios para la finalidad que justificó su recolección y durante los plazos exigidos por la ley (por ejemplo, diez años para documentos contables y soportes, y los plazos laborales y de seguridad social aplicables). Vencidos, se suprimen o anonimizan de forma segura.

17. Registro Nacional de Bases de Datos

La Empresa registrará sus bases de datos ante el Registro Nacional de Bases de Datos (RNBD) de la SIC cuando esté obligada conforme al Decreto 1074 de 2015, y mantendrá actualizada la información.

18. Modificaciones y vigencia

Cualquier cambio sustancial a esta Política se comunicará a los titulares antes de su implementación, por medios idóneos. Esta Política (versión 2) rige desde el 21 de octubre de 2026, sustituye la versión de julio de 2026, y las bases de datos tendrán vigencia mientras subsistan sus finalidades.

Consulta también nuestra Política de Privacidad.