Política de Tratamiento de Datos Personales

1. Objeto

Esta Política de Tratamiento de Datos Personales (la Política) regula la forma en que Ibera(en adelante, "Ibera", "nosotros") recolecta, almacena, usa, circula, transmite, transfiere, suprime y en general trata los datos personales de las personas relacionadas con nuestro producto de software como servicio (SaaS) orientado, inicialmente, a la facturación electrónica, y que en el futuro podrá ampliarse a otras funcionalidades complementarias (en adelante, la "Plataforma" o el "Servicio").

Ibera es el nombre comercial bajo el cual PENDIENTE: nombre completo del desarrollador, persona natural identificada con cédula de ciudadanía No. PENDIENTE: número de cédula, presta el Servicio. En consecuencia, para todos los efectos de esta Política, las referencias a "Ibera" corresponden a dicha persona natural actuando bajo ese nombre comercial.

Esta Política se expide en cumplimiento de la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto Único Reglamentario 1074 de 2015, Título 2, Capítulo 25) y el Título V de la Circular Única de la Superintendencia de Industria y Comercio ("SIC"), y busca informar a los Titulares sobre el tratamiento que se da a sus datos personales y los mecanismos para ejercer sus derechos.

2. Identificación del responsable del tratamiento

Nota: al ser Ibera operado por una persona natural y no por una sociedad o entidad sin ánimo de lucro, en principio no se encuentra dentro de los sujetos obligados a inscribirse en el Registro Nacional de Bases de Datos (RNBD) de la SIC conforme al Decreto 090 de 2018 (obligación reservada a personas jurídicas públicas y privadas, y a sociedades/ESAL con activos superiores a 100.000 UVT). No obstante, esta condición no exime del cumplimiento de las demás obligaciones sustanciales de la Ley 1581 de 2012 (política de tratamiento, autorización del Titular, atención de consultas y reclamos, medidas de seguridad, entre otras), las cuales se desarrollan en este documento. Se recomienda validar periódicamente esta condición si la actividad económica crece o cambia de forma societaria.

3. Definiciones

• Autorización: consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales.
• Aviso de privacidad: comunicación verbal o escrita generada por el Responsable, dirigida al Titular para el Tratamiento de sus datos personales.
• Base de datos: conjunto organizado de datos personales que sea objeto de Tratamiento.
• Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato público: dato calificado como tal según la Constitución y la ley (p. ej. estado civil, profesión u oficio, calidad de comerciante o de servidor público).
• Dato privado: dato que por su naturaleza íntima o reservada solo es relevante para el Titular.
• Dato sensible: dato que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación (origen racial o étnico, orientación política, convicciones religiosas o filosóficas, afiliación sindical, datos de salud, vida sexual y datos biométricos, entre otros). Ibera no requiere ni solicita datos sensibles para la prestación del Servicio.
• Encargado del Tratamiento: persona natural o jurídica que, por sí misma o en asocio con otros, realiza el Tratamiento de datos personales por cuenta del Responsable del Tratamiento.
• Responsable del Tratamiento: persona natural o jurídica que decide sobre la base de datos y/o el Tratamiento de los datos.
• Titular: persona natural cuyos datos personales son objeto de Tratamiento.
• Tratamiento: cualquier operación sobre datos personales, tales como recolección, almacenamiento, uso, circulación o supresión.
• Transmisión: Tratamiento de datos personales que implica su comunicación dentro o fuera del territorio colombiano cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable.
• Transferencia: envío de datos personales a un receptor que a su vez es Responsable del Tratamiento, ubicado dentro o fuera del país.

4. Principios rectores

Ibera aplica, en el Tratamiento de datos personales, los principios establecidos en el artículo 4 de la Ley 1581 de 2012:

• Legalidad: el Tratamiento es una actividad reglada que se sujeta a la normativa vigente.
• Finalidad: el Tratamiento obedece a una finalidad legítima, informada al Titular.
• Libertad: el Tratamiento solo se ejerce con el consentimiento previo, expreso e informado del Titular.
• Veracidad o calidad: la información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.
• Transparencia: se garantiza el derecho del Titular a obtener información sobre la existencia de datos que le conciernan.
• Acceso y circulación restringida: el Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos, de las disposiciones legales y de esta Política; los datos solo pueden estar disponibles para quienes tengan autorización para acceder a ellos.
• Seguridad: la información se maneja con las medidas técnicas, humanas y administrativas necesarias para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado.
• Confidencialidad: todas las personas que intervienen en el Tratamiento están obligadas a garantizar la reserva de la información, incluso después de finalizada su relación con Ibera.

5. Alcance: dos categorías de datos personales que se tratan

Dado el modelo de negocio de Ibera, es fundamental distinguir dos categorías de datos personales que se tratan a través de la Plataforma, con roles y responsabilidades distintos frente a cada una de ellas.

5.1. Datos de los Usuarios / Clientes directos de Ibera

Son los datos personales de las personas naturales que representan, administran o utilizan la cuenta contratada por la persona jurídica o natural que adquiere el Servicio directamente con Ibera (en adelante, el "Usuario" o "Cliente"), tales como nombres, cargo, correo electrónico corporativo, teléfono, credenciales de acceso, datos de facturación del Servicio e información de uso de la Plataforma.

Frente a estos datos, Ibera actúa como Responsable del Tratamiento, en los términos de la Ley 1581 de 2012, pues es quien decide las finalidades y medios del Tratamiento de dicha información para la gestión de la relación contractual y la operación del Servicio.

5.2. Datos de terceros contenidos en los documentos de facturación electrónica (clientes de los Usuarios)

La Plataforma permite a los Usuarios generar, emitir, almacenar y consultar facturas electrónicas y documentos equivalentes, los cuales contienen datos personales de las personas naturales que figuran como adquirentes, destinatarios o contactos en dichos documentos (en adelante, los "Terceros").

Respecto de estos datos, Ibera no actúa como Responsable del Tratamiento, sino como Encargado del Tratamiento, por cuanto es el propio Usuario quien determina la finalidad y los medios de recolección de dichos datos personales (es el Usuario quien factura a sus propios clientes y quien mantiene la relación comercial y la obligación de obtener, cuando corresponda, la autorización de esos Terceros). En consecuencia:

• El Usuario, como emisor de las facturas, conserva la calidad de Responsable del Tratamiento de los datos personales de sus propios clientes.
• Ibera almacena, procesa y transmite dichos datos exclusivamente en la medida en que resulte necesario para la prestación técnica del Servicio (por ejemplo, generación, transmisión, conservación y disponibilización de los documentos electrónicos).
• Ibera solo consulta o revisa manualmente los datos de los Terceros de forma excepcional, cuando ello resulte estrictamente necesario para prestar soporte técnico o para la corrección de errores (bugfixing) reportados por el Usuario, y siempre bajo criterios de confidencialidad, minimización y trazabilidad de acceso.
• Ibera no utiliza los datos de los Terceros para fines propios, comerciales, publicitarios o distintos a la prestación del Servicio, ni los transfiere a terceros distintos de aquellos estrictamente necesarios para la operación técnica de la Plataforma (p. ej. proveedores de infraestructura tecnológica).

Esta distinción de roles y las obligaciones correspondientes se documentan, adicionalmente, en el contrato de prestación de servicios y/o en el Acuerdo de Tratamiento de Datos (Data Processing Agreement) suscrito con cada Usuario, en los términos del artículo 25 del Decreto 1377 de 2013.

5.3. Aclaración sobre el rol frente a la DIAN

Ibera presta el Servicio de facturación electrónica como software propio utilizado directamente por el Usuario para el cumplimiento de sus propias obligaciones de facturación. Ibera no opera como Proveedor Tecnológico habilitado ante la DIAN que factura en nombre y representación de terceros, sino que provee la herramienta tecnológica que el propio Usuario, como sujeto obligado a facturar, utiliza bajo su responsabilidad. Esta aclaración es relevante para efectos del alcance de la responsabilidad sobre el tratamiento de los datos de los clientes de los Usuarios, conforme a lo señalado en el numeral 5.2 anterior.

6. Finalidades del tratamiento

6.1. Finalidades respecto de los datos de los Usuarios / Clientes directos (Ibera como Responsable)

• Crear, administrar y autenticar cuentas de acceso a la Plataforma.
• Gestionar la relación contractual y comercial, incluida la facturación del Servicio contratado.
• Prestar soporte técnico, atender solicitudes, quejas, reclamos y peticiones (PQR).
• Enviar comunicaciones operativas, transaccionales y de seguridad relacionadas con el Servicio.
• Enviar comunicaciones comerciales, boletines o novedades del producto, cuando el Titular lo haya autorizado.
• Realizar labores de analítica, mejora, mantenimiento y desarrollo de nuevas funcionalidades de la Plataforma.
• Prevenir el fraude y garantizar la seguridad de la información y de la Plataforma.
• Dar cumplimiento a obligaciones legales, contables, tributarias, regulatorias y de reporte ante autoridades competentes.
• Realizar estudios internos de mercado y estadísticos sobre el uso del Servicio.

6.2. Finalidades respecto de los datos de los Terceros contenidos en las facturas (Ibera como Encargado)

• Almacenar, procesar, estructurar y transmitir los documentos electrónicos de facturación y su información asociada, para permitir su generación, validación, envío, consulta y conservación por parte del Usuario.
• Poner a disposición del Usuario y, cuando aplique, de las autoridades competentes (p. ej. DIAN), los documentos electrónicos generados.
• Prestar soporte técnico y corregir errores (bugfixing) que requieran el acceso puntual y excepcional a dicha información por parte de personal autorizado.
• Cumplir obligaciones legales de conservación documental que resulten aplicables a los documentos electrónicos, en los términos de la normativa tributaria y comercial vigente.

En ningún caso Ibera utilizará los datos de los Terceros para finalidades distintas a las aquí señaladas, ni los empleará con fines de mercadeo, prospección comercial o cesión a terceros no autorizados.

7. Derechos de los titulares

De conformidad con el artículo 8 de la Ley 1581 de 2012, los Titulares de datos personales tienen derecho a:

1. Conocer, actualizar y rectificar sus datos personales frente a Ibera, en su calidad de Responsable del Tratamiento.
2. Solicitar prueba de la autorización otorgada, salvo cuando expresamente se exceptúe como requisito para el Tratamiento.
3. Ser informado, previa solicitud, respecto del uso que se ha dado a sus datos personales.
4. Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a la normativa de protección de datos personales.
5. Revocar la autorización y/o solicitar la supresión del dato, cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
6. Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento.

Para los Terceros cuyos datos son tratados por Ibera exclusivamente en calidad de Encargado del Tratamiento (numeral 5.2), estos derechos deben ejercerse, en primer lugar, ante el respectivo Usuario, quien tiene la calidad de Responsable del Tratamiento de dicha información. No obstante, Ibera colaborará con el Usuario para atender oportunamente dichas solicitudes en lo que corresponda a su rol técnico.

8. Deberes de Ibera

8.1. Como Responsable del Tratamiento

• Garantizar al Titular el pleno ejercicio de sus derechos.
• Solicitar y conservar copia de la autorización otorgada por el Titular.
• Informar debidamente al Titular sobre la finalidad del Tratamiento y sus derechos.
• Tramitar las consultas y reclamos dentro de los términos legales.
• Adoptar medidas de seguridad técnicas, humanas y administrativas.
• Registrar y actualizar las bases de datos ante el Registro Nacional de Bases de Datos (RNBD) de la SIC, únicamente si en el futuro Ibera llegara a encontrarse dentro de los sujetos obligados conforme al Decreto 090 de 2018 (ver nota en la sección 2).

8.2. Como Encargado del Tratamiento

• Dar Tratamiento a los datos únicamente conforme a las instrucciones y finalidades autorizadas por el respectivo Usuario (Responsable).
• Garantizar la reserva y confidencialidad de la información, incluso después de finalizado el Tratamiento.
• Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, uso o acceso no autorizado.
• Registrar los incidentes de seguridad que afecten los datos personales y comunicarlos al Usuario respectivo.
• Abstenerse de utilizar los datos personales para fines distintos a los autorizados por el Usuario.

9. Autorización para el tratamiento

Ibera obtiene la autorización de los Titulares (Usuarios) a través de medios verificables, tales como la aceptación expresa de esta Política y de los Términos y Condiciones del Servicio al momento del registro en la Plataforma, cláusulas contractuales, formularios físicos o electrónicos, o cualquier otro mecanismo idóneo que permita constatar el consentimiento del Titular.

Respecto de los datos de los Terceros (clientes de los Usuarios) contenidos en las facturas electrónicas, corresponde a cada Usuario, en su calidad de Responsable del Tratamiento de dicha información, obtener y conservar las autorizaciones que resulten exigibles frente a sus propios clientes. Ibera no tiene relación directa con dichos Terceros y no recolecta directamente su consentimiento.

10. Transferencia y transmisión de datos personales

Ibera podrá transmitir datos personales a Encargados del Tratamiento que le presten servicios de infraestructura tecnológica, alojamiento en la nube (hosting), procesamiento de pagos, mensajería electrónica, analítica o soporte, quienes estarán sujetos a las obligaciones de confidencialidad y seguridad establecidas contractualmente, en los términos del artículo 25 del Decreto 1377 de 2013.

Cuando dichos proveedores se encuentren ubicados fuera del territorio colombiano, Ibera verificará que el país de destino cuente con niveles adecuados de protección de datos o, en su defecto, adoptará los mecanismos contractuales o legales requeridos (tales como cláusulas contractuales o los demás mecanismos previstos por la SIC) para garantizar la protección de la información transferida o transmitida.

11. Seguridad de la información

Ibera implementa medidas técnicas, humanas y administrativas razonables y proporcionales para proteger los datos personales frente a acceso no autorizado, pérdida, alteración, consulta, uso o divulgación indebida, tales como controles de acceso basados en roles, cifrado de información en tránsito y en reposo, registro y trazabilidad (logs) de accesos, políticas internas de confidencialidad y auditorías periódicas de seguridad.

El acceso a los datos de los Terceros a que se refiere el numeral 5.2 se encuentra restringido al personal estrictamente autorizado y se limita a los casos de soporte técnico o corrección de errores, dejando registro de dicho acceso.

12. Procedimiento para consultas y reclamos

Los Titulares podrán elevar consultas y reclamos relacionados con el Tratamiento de sus datos personales a través del correo ibera.support@gmail.com o de los demás canales dispuestos por Ibera.

Consultas: serán atendidas en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado los motivos de la demora, señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer plazo.

Reclamos: se tramitarán en un término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de recibo, prorrogable por ocho (8) días hábiles adicionales cuando ello resulte necesario, informando al interesado las causas de la demora.

13. Área responsable y canal de atención

El canal encargado de atender las consultas, reclamos y solicitudes relacionadas con la protección de datos personales es PENDIENTE: nombre completo del desarrollador, en su calidad de responsable de Ibera, contactable a través del correo ibera.support@gmail.com.

14. Vigencia de las bases de datos

Las bases de datos que contienen datos personales de los Usuarios se conservarán durante el tiempo que resulte necesario para cumplir las finalidades del Tratamiento y, posteriormente, durante los términos de conservación exigidos por la normativa fiscal, contable, comercial y archivística aplicable.

Los documentos electrónicos de facturación y la información asociada a los Terceros se conservarán durante el término legal de conservación documental exigido para efectos tributarios y contables, conforme a las instrucciones del Usuario respectivo y la normativa vigente.

15. Vigencia y modificaciones de la política

Esta Política rige a partir de su fecha de publicación y permanecerá vigente mientras subsistan las bases de datos objeto de Tratamiento. Ibera podrá modificarla en cualquier momento para reflejar cambios normativos, operativos o del Servicio, publicando la versión actualizada en su sitio web y/o en la Plataforma, e informando a los Titulares cuando el cambio afecte sustancialmente el Tratamiento de sus datos.