Política de tratamiento de datos personales

Versión: PTDP-2026-10-V4. Fecha de entrada en vigencia: 13 de octubre de 2026. Última actualización: 17 de octubre de 2026 (la autorización expresa pasó a la sección 11).

1. Marco normativo

Esta Política de Tratamiento de Datos Personales se fundamenta en el artículo 15 de la Constitución Política de Colombia, la Ley Estatutaria 1581 de 2012 (por la cual se dictan disposiciones generales para la protección de datos personales), el Decreto 1377 de 2013, compilado en el Capítulo 25 del Decreto Único Reglamentario del Sector Comercio, Industria y Turismo (Decreto 1074 de 2015), la Ley 527 de 1999 sobre mensajes de datos y comercio electrónico, e instrucciones impartidas por la Superintendencia de Industria y Comercio (SIC).

2. Identificación del responsable del tratamiento

• Razón social / nombre: Federico Arango Aristizabal
• NIT / cédula: C.C. 1.094.959.426
• Domicilio y dirección física: Armenia, Quindío, Colombia
• Correo electrónico oficial de datos: [email protected]
• Teléfono: 310 807 9138

Cláusula de autonomía e independencia institucional: CuentaLista es una plataforma tecnológica de titularidad de derecho privado, completamente independiente. NO pertenece, NO está vinculada contractual, laboral o institucionalmente, NO actúa en representación, ni cuenta con el patrocinio o aval de la Alcaldía de Armenia, la Gobernación del Quindío, ni de ninguna otra entidad pública o descentralizada del Estado colombiano.

3. Categorías de datos personales tratados

• Datos de identificación y contacto: nombres, apellidos, tipo y número de documento de identidad, correo electrónico, dirección física de notificación y número telefónico.
• Datos financieros y contractuales: entidad bancaria, tipo y número de cuenta, valor del contrato, adiciones, pagos ejecutados, número de contrato, objeto contractual, CDP, RP, rubro presupuestal, dependencia, y datos de identificación de supervisores según la minuta.
• Datos de seguridad social: número de planilla integrada de liquidación de aportes (PILA), Ingreso Base de Cotización (IBC), aportes a salud, pensión, ARL y fechas de pago.
• Archivos y contenidos de usuario: soportes documentales, actas, registros fotográficos y narrativas de actividades cargadas voluntariamente.
• Datos técnicos, telemetría y cifrado: registros de uso, dirección IP completa (capturada al momento de emitir declaraciones juramentadas, para constituir prueba sumaria), versión acortada de la IP al autorizar el tratamiento, sellos de tiempo, código hash SHA-256 no reversible del documento de identidad, origen de la visita (parámetros de campaña de la dirección web y dominio del sitio de procedencia) y registros de uso seudonimizados (identificador cifrado no asociado a tu nombre ni correo).

Ausencia de datos sensibles: la Plataforma prohíbe el cargue de datos sensibles (artículo 5 de la Ley 1581 de 2012) como origen racial, convicción política, religiosa, datos relativos a la salud o vida sexual, o datos biométricos. Tampoco se procesan datos de niños, niñas y adolescentes.

4. Finalidades del tratamiento

El tratamiento de los datos personales responde estrictamente a las siguientes finalidades legítimas:

• Operar la plataforma como un software bajo la modalidad de servicio (SaaS) para la estructuración automatizada de cuentas de cobro y sus anexos.
• Ejecutar procesamiento del lenguaje natural mediante modelos de inteligencia artificial exclusivamente para la extracción de texto desde las minutas y RP cargados.
• Validar consistencias lógicas en los montos, fechas, aportes a seguridad social y saldo del contrato antes de la generación final del documento.
• Generar trazabilidad jurídica sobre la identidad del usuario que autogeneró los documentos, como mecanismo contra el fraude y la suplantación.
• Gestionar el envío de autenticaciones sin contraseña (enlaces de un solo uso) y la atención de peticiones, quejas y reclamos.
• Medir de forma interna y agregada el uso de la plataforma y la efectividad de nuestros anuncios, sin cookies de publicidad ni compartir datos con plataformas publicitarias.

Garantía anticomercialización y manejo de IA: CuentaLista no vende, no alquila, no cede ni transfiere comercialmente sus datos a terceros, ni utiliza sus documentos o narrativas para el entrenamiento público de modelos de inteligencia artificial generativa.

5. Política de conservación y supresión de información

• Minutas y Registros Presupuestales (RP) originales: se eliminan de manera automatizada inmediatamente después de que el usuario confirma los datos extraídos, o en un plazo máximo e improrrogable de veinticuatro (24) horas en caso de no confirmación. En Mi perfil puedes ver la fecha y la hora exactas en que se borraron.
• Documentos borradores generados (PDF) y fotos de evidencia: permanecen en el servidor por un término máximo de siete (7) días calendario posteriores a su generación, vencido el cual son destruidos en forma irreversible. Las fotos no asociadas a una cuenta generada se eliminan a los treinta (30) días calendario.
• Perfil de usuario y custodia temporal de borrado: si el usuario solicita la supresión de la cuenta, esta entrará en un periodo de congelamiento y suspensión por quince (15) días hábiles (plazo legal para el trámite de reclamos previsto en el artículo 15 de la Ley 1581 de 2012); durante ese periodo puede cancelar la solicitud entrando con su correo, y mientras tanto la plataforma queda bloqueada. Cumplido el término sin que el usuario revoque la solicitud, los datos serán depurados de manera permanente e irreversible, dejando constancia mediante un registro de destrucción consultable con el número que se entrega al solicitar el borrado. Excepción: el registro del pago (monto, fecha y estado, sin datos de identificación) se conserva como soporte contable, según lo exige el Código de Comercio.
• Huella digital hash anónima: posterior a la supresión, se conservará únicamente una cadena criptográfica unidireccional (hash SHA-256) no reidentificable del número de documento, con la única finalidad de detectar registros duplicados e impedir la suplantación de identidad o el uso fraudulento reiterado del sistema.
• Métricas de uso: los registros de uso seudonimizados se conservan después de la supresión de la cuenta, sin posibilidad de asociarlos de nuevo al Titular; el origen de la visita pendiente de asociar a un registro se borra a las 48 horas.
• Autorizaciones y solicitudes: el registro de la autorización otorgada y de las solicitudes que el Titular presente se conserva el tiempo necesario para demostrar el cumplimiento de la ley.

6. Medidas de seguridad de la información

El Responsable implementa medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado:

• Cifrado fuerte: protocolos TLS/HTTPS para los datos en tránsito y cifrado simétrico AES-256-GCM para la información de especial cuidado (cédula, dirección, teléfono, datos bancarios) almacenada en la base de datos.
• Control de acceso físico y lógico: aislamiento a nivel de fila (Row Level Security) que impide el acceso cruzado entre datos de diferentes usuarios; enlaces de descarga de archivos con expiración de 5 minutos.
• Leer y olvidar: se conserva solo lo que el usuario confirma, no los documentos originales; las fotografías se guardan sin metadatos de ubicación ni de cámara.
• Autenticación sin contraseña: el ingreso se realiza mediante un enlace de un solo uso enviado al correo del Titular.
• Depuración automática de registros técnicos: antes de enviarse a la herramienta de monitoreo de errores, cada registro se limpia de cédulas, correos y otros datos personales.

7. Encargados del tratamiento y transferencia / transmisión internacional

Para prestar el servicio, la Plataforma utiliza infraestructura tecnológica provista por terceros en calidad de Encargados del Tratamiento:

• Supabase Inc. (Brasil): almacenamiento de base de datos, autenticación y gestión de archivos.
• Railway Corp. (Estados Unidos): servidor de ejecución de la lógica de la aplicación.
• Cloudflare Inc. (Estados Unidos / red global): dominio, CDN y protección de la conexión.
• Google LLC (Gemini) y Anthropic PBC (Claude) (Estados Unidos): servicios de inteligencia artificial para la lectura de documentos; Claude se usa solo como respaldo cuando Gemini no responde. Se utilizan las capas de pago de ambos servicios, cuyos términos contractuales excluyen la retención o el uso de los datos de entrada o salida para el entrenamiento de sus modelos.
• Resend Inc. (Brasil): infraestructura de correo transaccional para el enlace de ingreso.
• Sentry (Functional Software Inc.) (Unión Europea): registro y depuración de errores técnicos, sin datos personales.

El Titular, al otorgar la autorización de tratamiento, autoriza expresamente la transmisión y, en los casos aplicables, la transferencia internacional de sus datos personales a los Encargados enunciados, en los términos de los artículos 26 y 27 de la Ley 1581 de 2012. [PENDIENTE para el abogado: confirmar los plazos de retención contractual de cada proveedor y si se requiere un contrato de transmisión de datos o una declaración de conformidad ante la SIC.]

8. Derechos de los Titulares

El Titular de los datos personales tiene los siguientes derechos:

• Conocer, actualizar y rectificar sus datos personales frente al Responsable o a los Encargados.
• Solicitar prueba de la autorización otorgada.
• Ser informado por el Responsable, previa solicitud, respecto del uso que se ha dado a sus datos personales.
• Presentar ante la Superintendencia de Industria y Comercio (SIC) quejas por infracciones a la ley, previo agotamiento del trámite ante el Responsable.
• Revocar la autorización y/o solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
• Acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

9. Procedimiento para el ejercicio de los derechos (habeas data)

Los derechos de consulta, reclamo, rectificación o supresión podrán ejercerse a través de los siguientes canales:

• Módulo web interno: sección Tus derechos dentro de la plataforma, que genera un número de radicado automatizado.
• Correo electrónico: [email protected].
• Dirección física: Armenia, Quindío, Colombia.
• Borrado de la cuenta: desde Mi perfil, programado a 15 días hábiles y cancelable, con constancia.

Trámite de consultas (artículo 14 de la Ley 1581 de 2012): serán atendidas en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado antes del vencimiento, expresando los motivos de la demora y señalando la fecha en que se atenderá, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

Trámite de reclamos, correcciones y supresión (artículo 15 de la Ley 1581 de 2012): el reclamo deberá contener la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección de contacto y los documentos que se quieran hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas; transcurridos dos (2) meses desde el requerimiento sin que el solicitante presente la información pedida, se entenderá que ha desistido del reclamo. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo en debida forma; cuando no fuere posible atenderlo dentro de dicho término, se informará al usuario los motivos de la demora y la fecha en que se atenderá, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

10. Cookies

Usamos solo cookies necesarias para mantener la sesión y proteger los formularios; ninguna de publicidad ni de seguimiento. El detalle está en la política de cookies.

11. Autorización expresa e informada para el tratamiento de datos personales

De conformidad con la Ley Estatutaria 1581 de 2012, el Decreto Único Reglamentario 1074 de 2015 y la jurisprudencia de la Superintendencia de Industria y Comercio (SIC), al marcar la casilla de aceptación al registrarte, manifestando ser mayor de edad y actuando en nombre propio y como Titular de los datos, AUTORIZAS EXPRESA, PREVIA, LIBRE, INFORMADA E INEQUÍVOCAMENTE al Responsable identificado en el numeral 2 para recolectar, almacenar, usar, circular, procesar, auditar y suprimir tus datos personales identificativos, contractuales, financieros, de seguridad social y técnicos.

• Finalidad limitada: el tratamiento de tus datos se hace exclusivamente para: a) el procesamiento y automatización de borradores e informes para cuentas de cobro; b) la lectura asistida por inteligencia artificial de minutas y Registros Presupuestales (RP); c) la verificación técnica de la coherencia de aportes a seguridad social; d) el envío de enlaces de autenticación de un solo uso (magic links); y e) la generación de evidencias de trazabilidad mediante registro de dirección IP y marcas temporales, para garantizar la seguridad del sistema y la prevención de fraudes o suplantaciones.
• Tratamiento de datos de especial cuidado y cifrado: los datos de especial cuidado (cédula, datos bancarios, dirección) no constituyen datos sensibles en los términos del artículo 5 de la Ley 1581 de 2012, pero se someten a mecanismos de cifrado robusto (AES-256-GCM) tanto en tránsito como en reposo. No se tratan datos sensibles de manera obligatoria ni datos de menores de edad.
• Encargados y transferencia: tus datos pueden almacenarse y procesarse en Colombia o fuera de ella por los encargados del tratamiento descritos en el numeral 7.
• Revocatoria y derechos de habeas data: tienes derecho a conocer, actualizar, rectificar y suprimir tus datos y a revocar esta autorización conforme al procedimiento del numeral 9, mediante el correo [email protected] o el módulo Tus derechos.

La marcación de la casilla electrónica ("check") constituye una firma electrónica equivalente a tu firma manuscrita, conforme al artículo 7° de la Ley 527 de 1999. También aceptas los términos y condiciones de uso.