Política de tratamiento de datos personales

1. Identificación del responsable del tratamiento

Los datos de identificación del responsable aparecen en el recuadro que encabeza este documento. El artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 exige que la política incluya el nombre o razón social, el domicilio, la dirección, el correo electrónico y el teléfono del responsable.

TODO(legal): confirmar razón social, NIT, domicilio, dirección de notificaciones judiciales y teléfono de atención antes de publicar.

2. Alcance: cuándo somos responsables y cuándo somos encargados

Conjunta trata datos personales en dos calidades distintas, y la diferencia importa:

• Como responsable. Los datos de las personas que nos contactan por este sitio, que solicitan una demostración o que contratan el servicio en representación de una administración o de un conjunto residencial.
• Como encargado. Los datos de residentes, propietarios, visitantes, vehículos y personal de portería que la administración carga o registra dentro de la plataforma. Esa información es del conjunto residencial, que actúa como responsable. Conjunta solo la trata siguiendo sus instrucciones y bajo el contrato de servicio.

TODO(legal): anexar el contrato de transmisión de datos personales entre Conjunta y cada conjunto residencial, exigido por el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015 cuando existe transmisión a un encargado.

3. Datos personales que tratamos

3.1. Como responsable

• Datos de contacto de quien nos escribe: nombre, correo electrónico, número de teléfono y, cuando lo indica, ciudad y nombre del conjunto que administra.
• Datos de facturación de la persona jurídica que contrata el servicio.
• Datos técnicos mínimos de navegación necesarios para prestar y asegurar el servicio.

3.2. Como encargados, por cuenta del conjunto residencial

• Identificación de unidades, propietarios y residentes.
• Registros de ingreso y salida de personas y vehículos, incluida la placa.
• Peticiones, quejas, reclamos y sugerencias, con su trazabilidad.
• Reservas de zonas comunes y citas con la administración.

TODO(legal): definir si alguno de estos tratamientos involucra datos sensibles en los términos del artículo 5 de la Ley 1581 de 2012 —en particular datos biométricos, si en el futuro se habilita reconocimiento facial o huella en la portería— y, de ser así, incorporar el régimen reforzado de autorización que exige el artículo 6.

4. Finalidades del tratamiento

Como responsable, tratamos los datos para:

1. Responder solicitudes de información, cotizaciones y demostraciones.
2. Celebrar, ejecutar y liquidar el contrato de prestación del servicio.
3. Facturar y cumplir obligaciones tributarias y contables.
4. Enviar información sobre cambios del servicio, mantenimientos y avisos de seguridad.
5. Cumplir requerimientos de autoridades competentes.

Como encargados, tratamos los datos únicamente para las finalidades que define cada conjunto residencial en su propia política, y que corresponden a la operación de portería, PQRS, zonas comunes y citas.

TODO(legal): confirmar si se harán envíos comerciales a bases de datos distintas de las de clientes activos, porque eso exige una finalidad y una autorización separadas.

5. Autorización del titular

La autorización se obtiene de forma previa, expresa e informada, por medios que permiten conservar prueba de haberla otorgado, conforme al artículo 9 de la Ley 1581 de 2012 y al artículo 2.2.2.25.2.4 del Decreto 1074 de 2015.

En el caso de residentes y visitantes registrados por la portería, la autorización la obtiene el conjunto residencial, que es el responsable de esa base de datos.

TODO(legal): redactar el texto del aviso de privacidad que el conjunto debe fijar de manera visible en la portería, y el mecanismo de prueba de autorización para visitantes ocasionales.

6. Derechos del titular

De acuerdo con el artículo 8 de la Ley 1581 de 2012, el titular puede:

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización otorgada.
• Ser informado sobre el uso que se ha dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley.
• Revocar la autorización y solicitar la supresión del dato cuando no exista un deber legal o contractual que lo impida.
• Acceder de forma gratuita a sus datos personales.

7. Cómo ejercer esos derechos

El área responsable de atender peticiones, consultas y reclamos es la que se indica en el recuadro de encabezado. Las solicitudes pueden enviarse al correo electrónico allí señalado.

Consultas. Se atienden en un término máximo de diez días hábiles contados desde la fecha de recibo. Si no es posible atenderlas en ese plazo, se informa al interesado y se atiende dentro de los cinco días hábiles siguientes al vencimiento del primer término (artículo 14 de la Ley 1581 de 2012).

Reclamos. Se atienden en un término máximo de quince días hábiles contados desde el día siguiente a la fecha de recibo. Si no es posible atenderlos en ese plazo, se informa al interesado y se atiende dentro de los ocho días hábiles siguientes al vencimiento del primer término (artículo 15 de la Ley 1581 de 2012).

El reclamo debe contener la identificación del titular, la descripción de los hechos, la dirección de contacto y los documentos que se quieran hacer valer. Si está incompleto, se requiere al interesado dentro de los cinco días siguientes; si pasan dos meses sin respuesta, se entiende que desistió.

8. Seguridad de la información

Aplicamos medidas técnicas, humanas y administrativas para proteger los datos contra pérdida, consulta o acceso no autorizado, entre ellas el aislamiento de la información de cada conjunto residencial a nivel de base de datos, el cifrado en tránsito y el control de acceso por rol.

TODO(legal): describir el procedimiento de notificación de incidentes de seguridad a la Superintendencia de Industria y Comercio y a los titulares afectados, y el plazo interno para hacerlo.

9. Transferencia y transmisión internacional de datos

La plataforma se apoya en proveedores de infraestructura que pueden almacenar o procesar información fuera de Colombia.

TODO(legal): listar los proveedores concretos y los países de alojamiento, y establecer para cada uno el fundamento del artículo 26 de la Ley 1581 de 2012, ya sea la declaración de conformidad de la Superintendencia de Industria y Comercio, el consentimiento expreso del titular o una cláusula contractual equivalente.

10. Conservación de los datos

TODO(legal): fijar el período de vigencia de cada base de datos, tal como lo exige el numeral 6 del artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, y en particular cuánto tiempo se conservan los registros de ingreso y salida de la portería una vez terminado el contrato con el conjunto residencial.

11. Registro Nacional de Bases de Datos

TODO(legal): verificar si el responsable está obligado a inscribir sus bases de datos en el Registro Nacional de Bases de Datos administrado por la Superintendencia de Industria y Comercio, según los umbrales de activos vigentes, y dejar constancia del número de registro cuando la inscripción se realice.

12. Vigencia

TODO(legal): fijar la fecha de entrada en vigencia de esta política. Cualquier cambio sustancial se informará a los titulares antes de aplicarlo, por el canal de contacto registrado.