Política de tratamiento de datos personales

1. Responsable del tratamiento

El responsable del tratamiento de tus datos personales es Those Who Build Dreams, Inc., sociedad constituida en los Estados Unidos de América, en su calidad de operadora del servicio Kligrafia (la “Plataforma”) para el mercado colombiano.

Kligrafia no está obligada a inscribir sus bases de datos en el Registro Nacional de Bases de Datos (RNBD) de la Superintendencia de Industria y Comercio: el RNBD obliga únicamente a sociedades y entidades que cumplen los supuestos del Decreto 090 de 2018 (compilado en el Decreto 1074 de 2015, arts. 2.2.2.26.1.2 y 2.2.2.26.3.1), categorías en las que Those Who Build Dreams, Inc. no encuadra (concepto SIC radicado 22-300986 del 16 de noviembre de 2022).

2. Datos que recopilamos

Recopilamos las siguientes categorías de datos:

• Datos de cuenta: nombre, correo electrónico, contraseña cifrada, idioma, zona horaria.
• Datos de organización: razón social, NIT o cédula, condición frente al IVA, roles de miembros, dominio corporativo.
• Datos de identidad (KYC): número de cédula de ciudadanía, cédula de extranjería, Permiso por Protección Temporal (PPT) o pasaporte; imágenes anverso y reverso del documento; selfie con prueba de vida; vectores biométricos derivados; score de coincidencia.
• Documentos y firmas: PDFs cargados, campos de firma, metadatos del proceso de firma, IP del firmante, user-agent, sello de tiempo, cadena de auditoría.
• Datos de facturación: historial de planes, créditos consumidos. Los datos de tarjeta nunca tocan nuestros servidores: son gestionados directamente por Stripe.
• Datos de uso: registros de inicio de sesión, eventos de auditoría, métricas técnicas.
• Comunicaciones: correos de notificación, mensajes de PQR, mensajes de chat con IA dentro de la plataforma.

3. Finalidades del tratamiento

Tratamos tus datos para:

• gestionar el envío, la firma y el seguimiento de sobres de firma electrónica;
• verificar tu identidad y la de los firmantes (KYC);
• generar evidencia auditable con valor probatorio bajo la Ley 527 de 1999 y el Decreto 2364 de 2012;
• procesar pagos, aplicar IVA/retención según tu condición fiscal y emitir recibos;
• cumplir obligaciones legales, contables, tributarias y de prevención de fraude;
• responder solicitudes de soporte y de PQR, y mejorar el producto;
• enviar notificaciones operativas (no marketing salvo consentimiento expreso);
• defender derechos en sede judicial o administrativa cuando corresponda.

No utilizamos tus datos personales ni el contenido de tus documentos para entrenar modelos de inteligencia artificial.

4. Autorización del titular

Conforme a los artículos 9 y 12 de la Ley 1581 de 2012, el tratamiento de tus datos personales requiere tu autorización previa, expresa e informada, que obtenemos al momento de crear tu cuenta, de firmar un documento a través de la Plataforma, o de someterte al proceso de KYC, según corresponda. Puedes revocar esa autorización en cualquier momento conforme a la Sección 9.

Excepcionalmente, tratamos datos sin necesidad de autorización cuando la Ley 1581 lo permite (artículo 10) — por ejemplo, información requerida por una entidad pública en ejercicio de sus funciones legales o datos necesarios para el reconocimiento de un derecho en un proceso judicial.

5. Datos biométricos: dato sensible

Los datos biométricos (los vectores derivados de tu rostro durante el proceso de prueba de vida) son un dato sensible en los términos del artículo 5 de la Ley 1581 de 2012. Su tratamiento requiere tu autorización explícita, separada de la autorización general de tratamiento.

Conforme al artículo 6 del Decreto 1377 de 2013, ninguna persona está obligada a responder preguntas sobre datos sensibles. Por eso te informamos, de forma explícita, que brindar tus datos biométricos es facultativo: puedes optar por un nivel de verificación de identidad que no los requiera, salvo cuando el documento que vas a firmar exija un nivel de verificación que sí los incluya. Además:

• no se utilizan para identificarte en contextos distintos del proceso de firma para el que fueron recolectados;
• no se comparten con terceros con fines comerciales ni se ceden a redes sociales o motores de búsqueda;
• se almacenan cifrados y con control de acceso estricto;
• puedes solicitar su eliminación una vez transcurridos los plazos de conservación legal aplicables al documento firmado.

6. Encargados y subencargados

Para prestar el servicio utilizamos los siguientes proveedores tecnológicos, en calidad de encargados del tratamiento:

La lista detallada y vigente, así como los compromisos contractuales asumidos por cada encargado frente a Kligrafia, está disponible para clientes empresariales en el contrato de transmisión de datos (DPA).

7. Transferencia internacional a EE. UU.

La infraestructura de Kligrafia y varios de los encargados listados en la Sección 6 operan en Estados Unidos de América. Esa transferencia internacional está habilitada por adecuación: Estados Unidos figura expresamente en la lista de países que garantizan un nivel adecuado de protección de datos personales según el numeral 3.2 del Título V de la Circular Única de la Superintendencia de Industria y Comercio (Circular Externa 008 de 2017, consolidada por la Circular Externa 03 de 2020). El texto de la SIC es expreso: “garantizan un nivel adecuado de protección los siguientes países: … Estados Unidos de América …”.

Que la transferencia esté habilitada por adecuación no elimina la necesidad de tu autorización general de tratamiento (artículos 9 y 12 de la Ley 1581 de 2012), que obtenemos conforme a la Sección 4, ni nuestro deber de responsabilidad demostrada sobre el tratamiento de tus datos. La calificación de adecuación de la SIC puede revisarse en cualquier tiempo; monitoreamos su vigencia y actualizaremos esta sección si cambia.

8. Conservación de los datos

Conservamos tus datos personales conforme a nuestra política de retención vigente, y en todo caso mientras subsista la finalidad del tratamiento o exista un deber legal o contractual de conservación:

• Datos de cuenta: mientras la cuenta esté activa más el período de cortesía posterior a la cancelación.
• Documentos firmados y reportes de evidencia: durante el plazo de prescripción de las acciones civiles y mercantiles que puedan derivarse del documento, conforme a la política de retención vigente de Kligrafia.
• Datos de KYC y biométricos: el plazo de conservación aplicable al documento firmado, con un margen razonable para la defensa de derechos.
• Datos de facturación: por el plazo exigido por la normativa contable y tributaria aplicable.

9. Derechos del titular

Conforme al artículo 8 de la Ley 1581 de 2012, como titular de los datos tienes derecho a:

• Conocer, actualizar y rectificar tus datos personales frente a Kligrafia.
• Solicitar prueba de la autorización otorgada, salvo que la ley exima de ese requisito.
• Ser informado sobre el uso que le hemos dado a tus datos personales.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la Ley 1581.
• Revocar la autorización y/o solicitar la supresión del dato, cuando no exista un deber legal o contractual de conservarlo.
• Acceder de forma gratuita a tus datos personales que hayan sido objeto de tratamiento.

10. Procedimiento de consultas y reclamos

Puedes ejercer tus derechos escribiendo a [email protected], identificándote e indicando con claridad la consulta o el reclamo. Atendemos:

• Consultas (conocer los datos que tratamos sobre ti): dentro de los diez (10) días hábiles siguientes a la recepción. Si no es posible responder en ese plazo, te informaremos los motivos y la fecha en que atenderemos tu consulta, que no podrá superar cinco (5) días hábiles adicionales.
• Reclamos (corregir, actualizar o suprimir tus datos, o revocar la autorización): dentro de los quince (15) días hábiles siguientes a la recepción. Si no es posible atenderlo en ese plazo, te informaremos los motivos y la fecha de respuesta, que no podrá superar ocho (8) días hábiles adicionales.

11. Cookies y tecnologías similares

Utilizamos cookies estrictamente necesarias para mantener tu sesión autenticada y proteger la plataforma contra ataques CSRF. No utilizamos cookies de seguimiento publicitario ni compartimos identificadores con redes sociales por defecto.

12. Medidas de seguridad

• cifrado en tránsito (TLS 1.2+) y en reposo (AES-256);
• row-level security en la base de datos por organización;
• autenticación multifactor disponible para roles administrativos;
• control de acceso por roles y principio de privilegio mínimo;
• registros de auditoría con cadena de hashes;
• respaldos periódicos cifrados con rotación de claves;
• revisión de dependencias y monitoreo de vulnerabilidades.

Si detectamos un incidente que afecte tus datos personales, te notificaremos sin dilación indebida con la información razonablemente disponible.

13. Menores de edad

El Servicio está dirigido exclusivamente a personas mayores de edad. Si detectamos que una cuenta corresponde a un menor sin la autorización de su representante legal exigida por la ley colombiana, procederemos a su suspensión y eliminación.

14. Modificaciones

Esta política puede actualizarse para reflejar cambios regulatorios o de producto. Notificaremos los cambios materiales por correo electrónico o mediante un aviso visible en la plataforma con al menos quince (15) días de anticipación.

15. Aviso de privacidad

Conforme al artículo 13 del Decreto 1377 de 2013, este es el Aviso de Privacidad resumido que complementa la Política de Tratamiento anterior: comunicación breve que recibes al momento de recolectar tus datos.

16. Contacto