Tratamiento de datos institucional

1. IDENTIFICACIÓN DEL RESPONSABLE DEL TRATAMIENTO

El Responsable del Tratamiento de los datos personales recolectados a través de la plataforma VALIDANDO es el Congreso de la República de Colombia, con domicilio en [dirección], Bogotá, D.C., Colombia, correo electrónico de contacto [correo electrónico] y línea de atención [teléfono]. Cualquier solicitud relacionada con el ejercicio de derechos sobre datos personales deberá dirigirse a dicho canal.

2. MARCO NORMATIVO

Esta política se expide en cumplimiento del siguiente marco normativo aplicable en Colombia:

• Artículo 15 de la Constitución Política de Colombia, que consagra el derecho fundamental al Habeas Data.
• Ley Estatutaria 1581 de 2012, "Por la cual se dictan disposiciones generales para la protección de datos personales".
• Decreto Reglamentario 1377 de 2013.
• Decreto Único Reglamentario 1074 de 2015, Título 2, Capítulos 25 y 26.
• Ley 1266 de 2008, en lo relativo al Habeas Data financiero, cuando resulte aplicable.
• Circular Externa 002 de 2015 de la Superintendencia de Industria y Comercio.

3. ÁMBITO DE APLICACIÓN

Esta política aplica a los datos personales de los Usuarios que acceden a la plataforma VALIDANDO, así como a los datos de los Funcionarios de las Entidades Prestadoras cuya identidad es objeto de consulta. Su ámbito de aplicación es el territorio de la República de Colombia, sin perjuicio de los casos en que la infraestructura tecnológica utilizada para prestar el servicio se encuentre ubicada fuera del país, conforme se detalla en la sección de transferencia internacional de datos.

4. PRINCIPIOS RECTORES DEL TRATAMIENTO

El tratamiento de datos personales a través de VALIDANDO se rige por los siguientes principios, previstos en el artículo 4 de la Ley 1581 de 2012:

• Legalidad: El tratamiento es una actividad reglada que debe sujetarse a lo establecido en la ley y demás disposiciones que la desarrollen.
• Finalidad: El tratamiento obedece a una finalidad legítima, informada al Titular, y no puede ser incompatible con ella.
• Libertad: El tratamiento solo puede ejercerse con el consentimiento previo, expreso e informado del Titular, salvo las excepciones previstas en la ley.
• Veracidad o Calidad: La información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.
• Transparencia: Se garantiza al Titular el derecho a obtener información sobre la existencia de datos que le conciernan.
• Acceso y Circulación Restringida: El tratamiento se sujeta a los límites derivados de la naturaleza de los datos y de las disposiciones de la ley; los datos solo pueden estar disponibles a Titulares, Responsables, Encargados y terceros autorizados.
• Seguridad: La información se maneja con las medidas técnicas, humanas y administrativas necesarias para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado.
• Confidencialidad: Todas las personas que intervengan en el tratamiento están obligadas a garantizar la reserva de la información, aun después de finalizada su relación con el Responsable.

5. DEFINICIONES

• Dato Personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato Sensible: Aquel dato que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación, incluidas las fotografías cuando permiten identificar a una persona.
• Responsable del Tratamiento: Persona que decide sobre la base de datos y/o el tratamiento de los datos.
• Encargado del Tratamiento: Persona que realiza el tratamiento de datos personales por cuenta del Responsable.
• Tratamiento: Cualquier operación sobre datos personales, tales como recolección, almacenamiento, uso, circulación o supresión.
• Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el tratamiento de sus datos personales.
• Titular: Persona natural cuyos datos personales sean objeto de tratamiento.
• Base de Datos: Conjunto organizado de datos personales que sea objeto de tratamiento.

6. TIPOS DE DATOS TRATADOS

A través de VALIDANDO se tratan las siguientes categorías de datos:

• Datos de Identificación: Nombre completo, fotografía y cargo del Funcionario consultado, suministrados por la Entidad Prestadora.
• Metadatos de Sesión: Dirección IP, marca de tiempo (timestamp) y, cuando corresponda, datos de geolocalización del dispositivo del Usuario.
• Registros de Transacción OTP: Evidencia técnica del envío y validación del código de un solo uso, sin que ello implique el almacenamiento permanente del contenido personal asociado.
• Clasificación: La fotografía del Funcionario se considera un dato sensible en los términos del artículo 5 de la Ley 1581 de 2012; los demás datos de identificación se consideran datos personales de carácter privado o semiprivado.

7. FINALIDADES DEL TRATAMIENTO

El tratamiento de datos personales a través de VALIDANDO tiene como finalidades exhaustivas y taxativas:

• Seguridad: Validar la identidad de Funcionarios que prestan servicios domiciliarios o institucionales para prevenir el fraude y la suplantación.
• Auditoría: Generar registros de transacciones para asegurar la trazabilidad de las consultas realizadas por motivos de seguridad pública.
• Interoperabilidad: Actuar como pasarela de consulta en tiempo real entre el Usuario y la Entidad Prestadora del servicio.
• Fines Secundarios: Elaboración de estadísticas agregadas y anonimizadas para la mejora continua de la Plataforma, sin que ello implique la identificación de Titulares específicos.

8. NATURALEZA EFÍMERA DE LOS DATOS Y MINIMIZACIÓN

VALIDANDO se compromete con el principio de minimización de datos. En cumplimiento de este principio:

• Cero Almacenamiento Permanente: La Plataforma no guarda en sus bases de datos información personal, fotografías, nombres ni cargos de los Funcionarios consultados con posterioridad a la sesión.
• Datos en Tránsito: La información personal es tratada únicamente de forma transitoria mientras dure la sesión del Usuario (sesión volátil).
• Eliminación Automática: Una vez finalizada la validación o cerrada la pestaña del navegador, los datos son eliminados automáticamente de la memoria temporal del sistema.
• Conservación de Registros de Auditoría: Los registros técnicos de auditoría (metadatos de la transacción, sin incluir la fotografía ni datos sensibles) podrán conservarse por un período limitado con fines de seguridad y trazabilidad, aplicando medidas de seudonimización cuando sea posible.

9. DATOS SENSIBLES

Conforme al artículo 5 de la Ley 1581 de 2012, se consideran datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar discriminación. La fotografía del Funcionario, al permitir su identificación biométrica visual, es tratada por VALIDANDO como un dato sensible.

En consecuencia, la Plataforma solicita el consentimiento explícito y previo de los Titulares (Funcionarios) a través de sus respectivas Entidades Prestadoras antes de permitir su consulta, y aplica medidas reforzadas de seguridad y minimización, absteniéndose de solicitar dicha información salvo cuando sea estrictamente necesaria para la finalidad de validación de identidad, conforme a las excepciones del artículo 6 de la Ley 1581 de 2012.

10. AUTORIZACIÓN Y CONSENTIMIENTO

La autorización del Usuario se obtiene de forma electrónica, mediante la aceptación de los Términos y Condiciones y de la presente Política al momento de acceder a la Plataforma, en concordancia con la Ley 527 de 1999. La autorización relativa a los datos del Funcionario se obtiene y custodia por la Entidad Prestadora, quien declara contar con el consentimiento previo de sus Funcionarios para compartir dicha información con VALIDANDO.

El Titular podrá revocar su autorización en cualquier momento, sin efectos retroactivos, dirigiéndose al canal institucional habilitado. De conformidad con el artículo 10 de la Ley 1581 de 2012, no se requerirá autorización cuando se trate de información requerida por una entidad pública en ejercicio de sus funciones legales, información relacionada con el Registro Civil, casos de urgencia médica, o datos de naturaleza pública, entre otras excepciones previstas en dicha norma.

11. DERECHOS DE LOS TITULARES

Los Funcionarios y Usuarios, en su calidad de Titulares, tienen derecho a:

• Acceso: Conocer, actualizar y rectificar sus datos personales ante la Entidad Prestadora del servicio (quien es la dueña de la base de datos de origen) o ante el Congreso de la República respecto de los registros generados por la Plataforma.
• Prueba de la Autorización: Solicitar en cualquier momento prueba de la autorización otorgada.
• Procedimiento: Las solicitudes de acceso, rectificación, cancelación u oposición deberán presentarse por escrito al canal institucional habilitado, indicando el nombre del Titular, la descripción de los hechos y los documentos que se quieran hacer valer.
• Plazos de Respuesta: La solicitud será atendida en un término máximo de quince (15) días hábiles contados a partir de su recepción, prorrogable por ocho (8) días hábiles adicionales, previa comunicación al Titular, conforme al artículo 14 de la Ley 1581 de 2012.
• Reclamos ante la SIC: Si el Titular considera que sus derechos han sido vulnerados, podrá presentar una queja ante la Superintendencia de Industria y Comercio, Delegatura para la Protección de Datos Personales, Carrera 13 No. 27-00, Bogotá, D.C., línea gratuita 018000-910165, www.sic.gov.co.

12. SEGURIDAD DE LA INFORMACIÓN

El Congreso de la República implementa medidas técnicas, humanas y administrativas de alta seguridad para proteger los datos personales tratados a través de VALIDANDO.

• Medidas Técnicas: Cifrado en tránsito mediante TLS, autenticación mutua (mTLS), tokens JWT de corta duración, listas blancas (whitelisting) de direcciones IP y segmentación de sesiones.
• Medidas Organizacionales: Controles de acceso basados en roles, capacitación del personal en protección de datos y protocolos de respuesta ante incidentes de seguridad.
• Notificación de Incidentes: En caso de vulneración de la seguridad de los datos que constituya un riesgo para la administración de la información de los Titulares, el Congreso de la República notificará a la Superintendencia de Industria y Comercio y, cuando corresponda, a los Titulares afectados, conforme al artículo 17 literal (l) de la Ley 1581 de 2012.

13. TRANSFERENCIA Y TRANSMISIÓN INTERNACIONAL DE DATOS

VALIDANDO no realiza transferencia internacional de datos personales a otros Responsables del Tratamiento ubicados fuera de Colombia. En caso de que, para la prestación del servicio, se requiera la transmisión de datos a un Encargado del Tratamiento (por ejemplo, proveedores de infraestructura tecnológica) ubicado fuera del territorio nacional, dicha transmisión se realizará únicamente hacia países que cuenten con niveles adecuados de protección de datos personales, conforme a los estándares fijados por la Superintendencia de Industria y Comercio, o mediante la suscripción de las cláusulas contractuales y garantías exigidas por el artículo 26 del Decreto 1377 de 2013.

14. VIGENCIA Y MODIFICACIONES

Esta política entra en vigor a partir del 18 de septiembre de 2026 y estará disponible de forma permanente en el portal web de VALIDANDO. La presente política, junto con las bases de datos administradas por el Congreso de la República en el marco de esta Plataforma, se encuentra sujeta al deber de registro ante el Registro Nacional de Bases de Datos (RNBD) administrado por la Superintendencia de Industria y Comercio, conforme al artículo 25 de la Ley 1581 de 2012, en los casos en que dicho registro resulte aplicable.

El Congreso de la República podrá modificar esta política en cualquier momento para adaptarla a cambios normativos, tecnológicos o institucionales. Las modificaciones serán publicadas en esta misma sección con indicación de su fecha de entrada en vigor y número de versión.