Política de Tratamiento de Datos Personales

Versión 1.0 — 26 de mayo de 2026

1. Identificación del Responsable

2. Marco Legal

La presente política se adopta en cumplimiento de:

• Ley 1581 de 2012 — Ley Estatutaria de Protección de Datos Personales
• Decreto 1377 de 2013 — Reglamentario de la Ley 1581
• Decreto 1074 de 2015 — Decreto Único Reglamentario del sector Comercio
• Circular Externa 002 de 2015 de la Superintendencia de Industria y Comercio (SIC)

La entidad de control competente es la Superintendencia de Industria y Comercio (SIC).

3. Definiciones

Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Dato sensible: Aquel que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación (salud, biometría, origen étnico, entre otros).

Titular: Persona natural cuyos datos son objeto de tratamiento.

Responsable: Alejandro Ortiz, quien decide sobre la base de datos y el tratamiento.

Encargado: Persona natural o jurídica que realiza el tratamiento por cuenta del Responsable.

Tratamiento: Cualquier operación sobre datos personales (recolección, almacenamiento, uso, circulación, supresión).

Autorización: Consentimiento previo, expreso e informado del titular.

4. Principios que Rigen el Tratamiento

Alejandro Ortiz aplica los siguientes principios conforme al artículo 4 de la Ley 1581 de 2012:

• Legalidad: El tratamiento se sujeta a las disposiciones legales vigentes.
• Finalidad: Los datos se recopilan con finalidades determinadas, explícitas y legítimas.
• Libertad: El tratamiento requiere autorización previa, expresa e informada del titular.
• Veracidad: Los datos deben ser veraces, completos, exactos y actualizados.
• Transparencia: El titular puede conocer en todo momento la información que existe sobre él.
• Acceso y circulación restringida: Los datos no pueden estar disponibles de forma masiva y no controlada.
• Seguridad: Se adoptan medidas técnicas, humanas y administrativas para proteger los datos.
• Confidencialidad: Quienes intervienen en el tratamiento están obligados a guardar reserva.

5. Datos Personales Tratados

5.1 Usuarios de la plataforma ANNA

5.2 Representantes y contactos de empresas clientes

5.3 Participantes en actividades SST

5.4 Solicitantes de acceso demo

6. Finalidades del Tratamiento

1. Crear y gestionar cuentas de usuario en la plataforma ANNA.
2. Prestar el servicio de gestión del Sistema de Gestión de Seguridad y Salud en el Trabajo (SG-SST).
3. Generar reportes, actas, informes y documentos PDF en cumplimiento de la normativa SST colombiana.
4. Registrar y documentar inspecciones, hallazgos, charlas y actividades de seguridad.
5. Enviar notificaciones operativas (activación de cuenta, recuperación de contraseña, alertas del sistema).
6. Enviar comunicaciones sobre actualizaciones del servicio y nuevas funcionalidades.
7. Atender solicitudes, quejas y reclamos (PQRS).
8. Cumplir obligaciones legales y requerimientos de autoridades competentes.
9. Mejorar y mantener la seguridad y el correcto funcionamiento de la plataforma.
10. Gestionar solicitudes de acceso demo.

Alejandro Ortiz no vende, alquila ni comparte datos personales con terceros con fines comerciales.

7. Derechos de los Titulares

Conforme al artículo 8 de la Ley 1581 de 2012, los titulares tienen derecho a:

• Conocer los datos personales que Alejandro Ortiz tiene sobre ellos.
• Actualizar sus datos cuando sean inexactos, incompletos o desactualizados.
• Rectificar datos que no correspondan a la realidad.
• Suprimir sus datos cuando no exista obligación legal o contractual de conservarlos.
• Revocar la autorización otorgada para el tratamiento, cuando no exista deber legal que lo impida.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la normativa.
• Acceder gratuitamente a sus datos al menos una vez al mes, o cuando existan modificaciones sustanciales.

8. Procedimiento para Ejercer los Derechos (PQRS)

La solicitud debe contener: nombre completo e identificación del titular, descripción clara de la solicitud, y documentos de soporte si aplica.

Consultas: 10 días hábiles, prorrogables por 5 días hábiles adicionales con notificación previa (Art. 14, Ley 1581).

Reclamos: 15 días hábiles, prorrogables por 8 días hábiles adicionales con notificación previa (Art. 15, Ley 1581).

9. Transferencia y Transmisión de Datos

9.1 Encargados del tratamiento

Alejandro Ortiz puede compartir datos con proveedores de servicios tecnológicos que actúan como encargados del tratamiento, bajo acuerdos de confidencialidad:

• Proveedor de infraestructura en la nube: para el alojamiento y funcionamiento de la plataforma.
• Proveedor de correo electrónico (SMTP): para el envío de notificaciones del sistema.

9.2 Autoridades públicas

Alejandro Ortiz puede suministrar datos a autoridades públicas cuando medie orden legal, judicial o administrativa debidamente ejecutoriada.

9.3 Transferencias internacionales

En caso de que algún proveedor esté ubicado fuera de Colombia, Alejandro Ortiz garantiza que dicho país ofrece niveles adecuados de protección conforme al artículo 26 de la Ley 1581 de 2012, o que se han adoptado las garantías contractuales correspondientes.

10. Medidas de Seguridad

Alejandro Ortiz implementa medidas técnicas, administrativas y físicas para proteger los datos personales, entre ellas:

• Contraseñas almacenadas con hash bcrypt (no en texto plano).
• Autenticación mediante tokens JWT con vigencia limitada.
• Comunicaciones cifradas mediante HTTPS/TLS.
• Control de acceso por roles (administrador, inspector, directivo, responsable).
• Aislamiento multi-tenant: cada empresa solo accede a sus propios datos.
• Bloqueo de acceso a archivos de configuración sensibles.
• Monitoreo de eventos de seguridad en el servidor.
• Actualizaciones periódicas de seguridad del sistema operativo y dependencias.

En caso de incidente de seguridad que implique vulneración de datos personales, Alejandro Ortiz notificará a los titulares afectados y a la SIC en los términos previstos en la normativa vigente.

11. Conservación de Datos

Vencidos estos plazos, los datos serán suprimidos de forma segura o anonimizados.

12. Datos de Menores de Edad

Alejandro Ortiz no recopila intencionalmente datos personales de menores de 18 años como usuarios de la plataforma. Si se detecta que se han recopilado datos de un menor sin autorización del representante legal, serán eliminados de inmediato.

13. Autorización

La autorización del titular se obtiene mediante:

• Activación de cuenta: al crear su contraseña, el usuario acepta expresamente esta política marcando la casilla correspondiente.
• Formulario de solicitud de demo: se informa explícitamente el tratamiento antes del envío.
• Firma en actividades SST: los participantes son informados del propósito del registro antes de firmar.

La autorización puede ser revocada en cualquier momento mediante solicitud a adminanna@vigiasst.com, sin efecto retroactivo.

14. Vigencia y Modificaciones

Esta política rige a partir del 26 de mayo de 2026 y permanecerá vigente hasta que sea modificada o reemplazada.

Alejandro Ortiz se reserva el derecho de modificar esta política. Las modificaciones serán publicadas en vigiasst.com/politica-datos con al menos 10 días hábiles de anticipación. Si los cambios son sustanciales, se notificará a los titulares por correo electrónico.

15. Registro Nacional de Bases de Datos

Alejandro Ortiz procederá al registro de sus bases de datos ante la Superintendencia de Industria y Comercio (SIC) conforme al Decreto 090 de 2018.