Política de Tratamiento de Datos Personales

CERTIVEH S.A.S. (en adelante, "CertiVeh"), con NIT 902051875-8, domiciliada en la ciudad de Medellín, Antioquia, Colombia, es la empresa responsable de la operación de la Plataforma CertiVeh, aplicativo digital que facilita la gestión del trámite de certificación ante la Unidad de Planeación Minero Energética (UPME) para el acceso a los incentivos tributarios aplicables a vehículos eléctricos o híbridos.

En cumplimiento de lo dispuesto en la Ley 1581 de 2012, el Decreto 1377 de 2013, el Decreto 1074 de 2015 y demás normas que los modifiquen, sustituyan o complementen, CertiVeh adopta la presente Política de Tratamiento de Datos Personales (en adelante, la "Política"), con el propósito de garantizar el pleno ejercicio del derecho al habeas data de todos los titulares cuyos datos personales sean tratados en el marco de sus operaciones.

La presente Política es de obligatorio cumplimiento para CertiVeh, sus empleados, contratistas y cualquier persona que, en desarrollo de sus funciones, tenga acceso a datos personales bajo la responsabilidad de la empresa.

Datos de contacto del Responsable del Tratamiento:

La presente Política se fundamenta en las siguientes normas:

1. Ley 1581 de 2012: Ley Estatutaria de Protección de Datos Personales, que establece las disposiciones generales para la protección del derecho fundamental al habeas data.
2. Decreto 1377 de 2013: Reglamenta parcialmente la Ley 1581 de 2012 en materia de autorización, políticas de tratamiento, ejercicio de derechos de los titulares y responsabilidad demostrada.
3. Decreto 1074 de 2015: Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, que compila las normas reglamentarias vigentes en materia de protección de datos personales.
4. Ley 527 de 1999: Regula el acceso y uso de los mensajes de datos, el comercio electrónico y las firmas digitales.
5. Ley 1480 de 2011: Estatuto del Consumidor, aplicable en lo pertinente a los servicios ofrecidos a través de la Plataforma.
6. Circulares e instrucciones de la Superintendencia de Industria y Comercio (SIC), en su calidad de Autoridad Nacional de Protección de Datos.

Para efectos de la presente Política, se aplicarán las siguientes definiciones, conforme a la Ley 1581 de 2012 y el Decreto 1377 de 2013:

• Titular: Persona natural cuyos datos personales sean objeto de tratamiento. En el caso de CertiVeh, son titulares los Usuarios de la Plataforma, los representantes legales y contactos de Aliados Comerciales, y los empleados o contratistas de CertiVeh.
• Dato Personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato Sensible: Dato que afecta la intimidad del titular o cuyo uso indebido puede generar su discriminación. Incluye datos de origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos, datos de salud, vida sexual y datos biométricos.
• Dato Público: Dato que no sea semiprivado, privado o sensible, tales como los relativos al estado civil, profesión u oficio, y calidad de comerciante o servidor público.
• Tratamiento: Cualquier operación sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
• Responsable del Tratamiento: CERTIVEH S.A.S., quien decide sobre la base de datos y el tratamiento de los datos personales.
• Encargado del Tratamiento: Persona natural o jurídica que realiza el tratamiento de datos personales por cuenta del Responsable.
• Autorización: Consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de sus datos personales.
• Aviso de Privacidad: Comunicación dirigida al titular para informarle sobre la existencia de las políticas de tratamiento, la forma de acceder a ellas y las finalidades del tratamiento.
• Base de Datos: Conjunto organizado de datos personales que sea objeto de tratamiento.
• Habeas Data: Derecho fundamental de toda persona a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ella en bases de datos o archivos.
• Plataforma: El aplicativo digital CertiVeh, mediante el cual los usuarios pueden registrar información y gestionar el trámite de certificación ante la UPME.
• Usuario: Persona natural o jurídica que se registra en la Plataforma para gestionar el trámite de certificación ante la UPME.
• Aliado Comercial: Persona natural o jurídica vinculada a CertiVeh mediante acuerdo de alianza, cuya función consiste en referir clientes hacia la Plataforma.
• SIC: Superintendencia de Industria y Comercio, Autoridad Nacional de Protección de Datos Personales en Colombia.
• Datos de Navegación: Información técnica generada de forma automática durante la interacción de los usuarios con la Plataforma, incluyendo dirección IP, fecha y hora de acceso, dispositivo, navegador, sistema operativo, logs de actividad, cookies y datos de geolocalización aproximada.
• RLS (Row Level Security): Mecanismo de seguridad implementado en la base de datos de la Plataforma que restringe el acceso a los registros de datos según el rol y la identidad autenticada del usuario, garantizando que cada perfil solo pueda acceder a la información que le corresponde según sus funciones.

La presente Política aplica a todos los datos personales que CertiVeh recolecte, almacene, use, circule, transmita, transfiera o suprima en el desarrollo de sus actividades.

Para efectos de la presente Política, CertiVeh administra, entre otras, las siguientes bases de datos:

4.1 Base de datos de Usuarios de la Plataforma

Personas naturales o representantes de personas jurídicas que se registran en la Plataforma CertiVeh para gestionar el trámite de certificación ante la UPME. Sus datos son suministrados directamente por el titular al momento del registro y durante el proceso de gestión del trámite.

4.2 Base de datos de Representantes y Contactos de Aliados Comerciales

Corresponde a la base de datos que contiene la información de personas naturales vinculadas a CertiVeh en calidad de Aliados Comerciales, así como la de sus representantes legales, empleados, dependientes o contactos autorizados, recolectada en el marco de la celebración, ejecución y seguimiento de los acuerdos de vinculación correspondientes y aquellos datos que se recopilen cuando se ingrese al Portal de aliados (usuario/contraseña del aliado en el portal).

4.3 Base de datos de Empleados, Contratistas y Colaboradores de CertiVeh

Personas naturales que mantienen una relación laboral o contractual con CertiVeh. El tratamiento de sus datos se rige por esta Política y por las disposiciones legales aplicables en materia laboral.

4.4 Base de datos de Prospectos y Contactos Comerciales

Personas naturales cuyos datos de contacto son recopilados en el marco de actividades de promoción, mercadeo o relacionamiento comercial de CertiVeh.

4.5 Base de datos de Atención de Peticiones, Quejas, Reclamos y Consultas

Corresponde a la base de datos que contiene la información de los titulares que presenten peticiones, consultas, solicitudes de actualización, rectificación, supresión, revocatoria de autorización, quejas o reclamos relacionados con el tratamiento de sus datos personales o con los servicios prestados por CertiVeh.

4.6 Base de datos de Navegación y Soporte Tecnológico

Corresponde a la base de datos que contiene la información técnica y de navegación asociada al uso de la Plataforma CertiVeh por parte de sus usuarios, visitantes o personas que interactúan con sus servicios digitales. Esta base de datos incluye datos como dirección IP, fecha y hora de acceso, dispositivo, navegador, logs de actividad, cookies y datos de geolocalización aproximada, recolectados a través de herramientas de analítica como Google Analytics.

Parágrafo primero. El tratamiento de los datos personales incluidos en las bases de datos anteriormente descritas se realizará conforme a las finalidades informadas al titular, a los principios establecidos en la Ley 1581 de 2012 y a los procedimientos previstos en la presente Política.

Parágrafo segundo. CertiVeh podrá crear, fusionar, actualizar, reorganizar o suprimir bases de datos en la medida en que ello resulte necesario para el desarrollo de sus actividades, siempre que el tratamiento correspondiente se ajuste a la finalidad autorizada por el titular y a lo dispuesto en la presente Política.

Parágrafo tercero. El período de vigencia de cada base de datos estará determinado por la finalidad para la cual se recolectó la información y por los términos de conservación exigidos por la ley, el contrato o las instrucciones de la autoridad competente, sin perjuicio de lo dispuesto en el artículo 12 de la presente Política.

CertiVeh garantiza que el tratamiento de datos personales se realizará de conformidad con los siguientes principios establecidos en el artículo 4° de la Ley 1581 de 2012:

1. Legalidad: El tratamiento de datos personales es una actividad reglada que se sujetará a lo establecido en la Ley 1581 de 2012, el Decreto 1377 de 2013 y las demás normas que los desarrollen.
2. Finalidad: El tratamiento obedecerá a una finalidad legítima, la cual será informada al titular al momento de solicitar su autorización.
3. Libertad: El tratamiento solo se ejercerá con el consentimiento previo, expreso e informado del titular. Los datos no podrán ser obtenidos o divulgados sin previa autorización, salvo mandato legal o judicial.
4. Veracidad o Calidad: La información tratada deberá ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el tratamiento de datos parciales, incompletos o que induzcan a error.
5. Transparencia: CertiVeh garantizará al titular el derecho a obtener información sobre los datos que le conciernan en cualquier momento y sin restricciones.
6. Acceso y Circulación Restringida: El tratamiento se sujetará a los límites que se derivan de la naturaleza de los datos y de la Ley. Los datos solo podrán ser tratados por personas autorizadas por el titular.
7. Seguridad: La información se manejará con las medidas técnicas, humanas y administrativas necesarias para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
8. Confidencialidad: Todas las personas que intervengan en el tratamiento de datos personales están obligadas a garantizar la reserva de la información, incluso después de finalizada su relación con CertiVeh.

En desarrollo de la operación de la Plataforma CertiVeh y de sus relaciones comerciales, contractuales, laborales y administrativas, CERTIVEH S.A.S. podrá recolectar, almacenar, usar, circular, transmitir, transferir o suprimir datos personales de los titulares, de acuerdo con la naturaleza de la relación que estos mantengan con la compañía y con las finalidades informadas en la presente Política.

6.1 Datos de Usuarios de la Plataforma

CertiVeh recolecta los siguientes datos de los usuarios que se registran en la Plataforma para gestionar el trámite de certificación ante la UPME:

Datos de registro e identificación de cuenta:

1. Nombre completo o razón social.
2. Correo electrónico.
3. Fecha y hora de registro en la Plataforma.
4. Identificador único de usuario (ID único asignado automáticamente por el sistema al momento del registro).

Datos de identificación para el trámite:

1. Tipo y número de documento de identificación.
2. Datos de contacto: número telefónico y celular, dirección de notificación.
3. Tipo de persona (natural o jurídica), actividad económica (código CIIU).
4. Régimen tributario del Usuario.

Datos del vehículo:

1. Tipo, marca, línea, tecnología (EV/HEV/PHEV), modelo, cantidad, valor unitario y total, información del vehículo a reemplazar, consumo estimado.

Documentos de soporte:

1. Documento de identidad, certificado de existencia y representación legal (personas jurídicas), ficha técnica del vehículo, certificados técnicos y demás documentos requeridos por la UPME.

Credenciales de acceso:

1. Contraseña de la Cuenta de Usuario, almacenada en formato de hash mediante el algoritmo SHA-2, lo que garantiza que CertiVeh no almacena la contraseña en texto plano. Cuando sea necesario, también se administran credenciales de la cuenta ante la UPME para efectos del trámite.

6.2 Datos de Navegación y Uso de la Plataforma

CertiVeh recolecta, a través de herramientas de analítica digital (Google Analytics) y de los registros propios de la infraestructura tecnológica de la Plataforma, los siguientes datos técnicos de forma automática durante la interacción de los usuarios con la Plataforma:

1. Dirección IP del dispositivo de acceso.
2. Fecha y hora de acceso a la Plataforma.
3. Tipo de dispositivo utilizado (computador, celular, tablet).
4. Navegador web y versión.
5. Registros de actividad (logs) de autenticación y uso de la Plataforma.
6. Cookies de sesión y de analítica.
7. Datos de geolocalización aproximada derivados de la dirección IP.

Estos datos son recolectados con las finalidades de analítica, mejora del servicio, seguimiento del trámite, análisis de mercado y actividades de mercadeo segmentado, conforme a lo descrito en el artículo 7 de la presente Política.

6.3 Datos de Representantes y Contactos de Aliados Comerciales

En el marco de los Acuerdos de Vinculación de Aliados Comerciales, CertiVeh recolecta los siguientes datos:

1. Datos de identificación del Aliado o su representante: nombre o razón social, NIT o número de documento de identificación.
2. Datos de contacto: correo electrónico, teléfono, dirección.
3. Datos del representante legal o persona de contacto: nombre, cargo, documento de identificación.
4. Datos comerciales: código o enlace de referido asignado, historial de referidos agregado.

6.4 Datos de Empleados, Contratistas y Colaboradores

CertiVeh trata los datos de sus colaboradores en el marco de la relación laboral o contractual, conforme a las obligaciones legales aplicables, incluyendo datos de identificación, contacto, laborales, financieros y de seguridad social.

6.5 Datos de la Solicitud y del Trámite

CertiVeh podrá recolectar y tratar la información que el titular diligencie o suministre en formularios, solicitudes, comunicaciones, requerimientos, respuestas y demás actuaciones asociadas al proceso de certificación, así como la información relativa al estado del trámite, observaciones, subsanaciones, radicados, respuestas de autoridades y actuaciones de seguimiento.

6.6 Datos Sensibles

Como regla general, CertiVeh no recolecta ni trata datos sensibles en el marco ordinario de la operación de la Plataforma ni de sus relaciones comerciales. En caso de que por circunstancias excepcionales resulte necesario su tratamiento, CertiVeh informará de manera previa, clara y expresa al titular el carácter sensible de los datos solicitados, la finalidad específica de su tratamiento y el carácter facultativo de su suministro, y solicitará la correspondiente autorización explícita en los casos en que esta sea legalmente exigible.

CertiVeh tratará los datos personales de los titulares de manera adecuada, pertinente y limitada a lo necesario, de acuerdo con la naturaleza de la relación que mantengan con la compañía y con las finalidades legítimas, específicas e informadas en la presente Política, en cumplimiento del principio de finalidad previsto en la Ley 1581 de 2012.

7.1 Para datos de Usuarios de la Plataforma

Los datos personales de los usuarios serán tratados para las siguientes finalidades:

1. Gestionar el registro y la Cuenta de Usuario en la Plataforma CertiVeh.
2. Recopilar, organizar, preparar y radicar ante la UPME la solicitud de certificación para el acceso a los incentivos tributarios aplicables a vehículos eléctricos o híbridos.
3. Crear y administrar, cuando sea necesario, la cuenta del usuario ante la UPME para efectos de la radicación y seguimiento del trámite.
4. Realizar el seguimiento del trámite ante la UPME y comunicar al usuario los requerimientos de información adicional formulados por dicha entidad.
5. Enviar comunicaciones relacionadas con el estado del trámite, requerimientos, notificaciones y demás información relevante para el usuario.
6. Verificar preliminarmente la integridad e idoneidad de la información y los documentos suministrados por el usuario antes de la radicación.
7. Dar cumplimiento a obligaciones legales, regulatorias o contractuales derivadas de la prestación del servicio.
8. Atender consultas, peticiones, quejas y reclamos relacionados con el servicio.
9. Analítica y mejora del servicio: mejorar los servicios ofrecidos a través de la Plataforma mediante el análisis estadístico del comportamiento de uso, preferencias y patrones de navegación, utilizando datos anonimizados o agregados.
10. Analítica de mercado: analizar tendencias del mercado de vehículos eléctricos e híbridos por subregión, región y tipo de vehículo, con el fin de identificar oportunidades de mejora del servicio y desarrollar nuevas funcionalidades.
11. Actividades de mercadeo y publicidad segmentada: realizar campañas publicitarias y de comunicación segmentadas por subregión, región y tipo de vehículo, cuando el titular haya autorizado expresamente el tratamiento de sus datos para esta finalidad. Estas actividades podrán realizarse a través de plataformas digitales y redes de publicidad.
12. Servicios asociados al ciclo de vida del vehículo: en el futuro, y previo aviso al titular y obtención de la autorización correspondiente cuando sea requerida, CertiVeh podrá utilizar los datos para ofrecer o gestionar otros servicios asociados a la vida útil del vehículo eléctrico o híbrido del usuario.

7.2 Para datos de Aliados Comerciales

Los datos de los representantes y contactos de Aliados Comerciales serán tratados para las siguientes finalidades:

1. Gestionar la relación comercial derivada del Acuerdo de Vinculación de Aliado Comercial.
2. Asignar y administrar el Código o Enlace de Referido del Aliado Comercial.
3. Elaborar y enviar el Informe Mensual de Referidos al correo electrónico registrado y publicarlo en el Portal de Aliados.
4. Gestionar el pago de las contraprestaciones económicas pactadas.
5. Enviar comunicaciones relacionadas con la alianza, actualizaciones de los términos del acuerdo, materiales de promoción y demás información relevante.
6. Dar cumplimiento a obligaciones legales, regulatorias o contractuales.
7. Atender consultas, peticiones y reclamos relacionados con la alianza.

7.3 Para datos de Empleados y Contratistas

Los datos de empleados y contratistas serán tratados para las finalidades propias de la relación laboral o contractual, incluyendo nómina, seguridad social, cumplimiento de obligaciones laborales, tributarias y legales.

7.4 Para Prospectos y Contactos Comerciales

Los datos personales de prospectos, interesados y contactos comerciales podrán ser tratados para:

1. Atender solicitudes de información, cotizaciones, reuniones, demostraciones o acercamientos comerciales.
2. Contactar a los titulares para presentar información sobre la Plataforma, sus funcionalidades y condiciones del servicio.
3. Realizar actividades de mercadeo, promoción y prospección comercial, cuando ello haya sido autorizado por el titular o se encuentre permitido por la ley.
4. Mantener actualizada la base de datos de contactos comerciales y gestionar actividades de relacionamiento empresarial.

7.5 Para datos de Navegación y Uso

Los datos de navegación recolectados a través de Google Analytics y de los registros de la infraestructura tecnológica serán tratados para las siguientes finalidades:

1. Análisis del funcionamiento técnico de la Plataforma y detección de errores o fallas.
2. Mejora de la experiencia de usuario y optimización de los flujos de la Plataforma.
3. Análisis estadístico de uso y comportamiento de los usuarios (de forma agregada y anonimizada).
4. Seguridad de la Plataforma: monitoreo de accesos, detección de actividad sospechosa o no autorizada.
5. Segmentación para actividades de mercadeo por subregión, región y tipo de vehículo, cuando el titular haya otorgado su autorización.

De conformidad con el artículo 9° de la Ley 1581 de 2012 y el artículo 5° del Decreto 1377 de 2013, CertiVeh solicitará la autorización previa, expresa e informada del titular para el tratamiento de sus datos personales.

8.1 Mecanismos de obtención de la autorización

La autorización se obtendrá a través de los siguientes mecanismos, según el tipo de titular:

1. Usuarios de la Plataforma: La autorización se obtiene de forma electrónica al momento de la creación de la Cuenta de Usuario, mediante la aceptación expresa de los Términos y Condiciones de Uso de la Plataforma, los cuales incluyen el consentimiento para el tratamiento de datos personales con las finalidades descritas en la presente Política.
2. Aliados Comerciales: La autorización se obtiene mediante la firma o aceptación del Acuerdo de Vinculación de Aliado Comercial, el cual incluye las disposiciones relativas al tratamiento de datos personales.
3. Empleados y Contratistas: La autorización se obtiene mediante la firma del contrato de trabajo o contrato de prestación de servicios, o mediante formularios de autorización específicos.

8.2 Conservación de la autorización

CertiVeh conservará prueba de la autorización otorgada por los titulares durante el tiempo en que se traten sus datos personales y mientras perduren las obligaciones derivadas del tratamiento, de conformidad con el artículo 8° del Decreto 1377 de 2013.

8.3 Casos en que no se requiere autorización

Conforme al artículo 10° de la Ley 1581 de 2012, no se requerirá autorización cuando se trate de: (i) información requerida por entidad pública o por orden judicial; (ii) datos de naturaleza pública; (iii) casos de urgencia médica o sanitaria; (iv) tratamiento autorizado por ley para fines históricos, estadísticos o científicos; (v) datos relacionados con el Registro Civil de las Personas.

De conformidad con el artículo 8° de la Ley 1581 de 2012, los titulares de datos personales tienen los siguientes derechos, los cuales CertiVeh garantiza en todo momento:

1. Conocer, actualizar y rectificar sus datos personales frente a CertiVeh. Este derecho podrá ejercerse, entre otros, frente a datos parciales, inexactos, incompletos, fraccionados o que induzcan a error.
2. Solicitar prueba de la autorización otorgada a CertiVeh para el tratamiento de sus datos personales.
3. Ser informado por CertiVeh sobre el uso que ha dado a sus datos personales.
4. Presentar ante la Superintendencia de Industria y Comercio (SIC) quejas por infracciones a las disposiciones de la Ley 1581 de 2012, una vez agotado el trámite de consulta o reclamo ante CertiVeh.
5. Revocar la autorización y/o solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
6. Acceder en forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

10.1 Canales de atención

Los titulares podrán ejercer sus derechos a través de los siguientes canales:

10.2 Consultas

Los titulares podrán consultar la información personal que repose en las bases de datos de CertiVeh de forma gratuita al menos una vez al mes. Las consultas deberán formularse a través de los canales indicados y serán atendidas dentro de los diez (10) días hábiles siguientes a su recibo. Cuando no sea posible atender la consulta en dicho término, se informará al titular expresando los motivos de la demora y la fecha de respuesta, la cual no podrá superar cinco (5) días hábiles adicionales.

10.3 Reclamos (actualización, rectificación, supresión y revocatoria)

Cuando el titular considere que la información debe ser corregida, actualizada, suprimida o cuando advierta el presunto incumplimiento de la Ley 1581 de 2012, podrá presentar un reclamo ante CertiVeh. El reclamo deberá contener:

1. Identificación del titular.
2. Descripción de los hechos que dan lugar al reclamo.
3. Dirección de notificación.
4. Documentos que se quiera hacer valer.

Una vez recibido el reclamo completo, CertiVeh incluirá en la base de datos la leyenda "reclamo en trámite" dentro de los dos (2) días hábiles siguientes. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a su recibo. Si no es posible atenderlo en dicho término, se informará al titular los motivos de la demora y la nueva fecha de respuesta, que no podrá superar ocho (8) días hábiles adicionales.

El titular solo podrá elevar queja ante la SIC una vez haya agotado el trámite de consulta o reclamo ante CertiVeh, de conformidad con el artículo 16 de la Ley 1581 de 2012.

CertiVeh implementa las medidas técnicas, humanas y administrativas necesarias para garantizar la seguridad de los datos personales tratados, con el propósito de evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, en cumplimiento del principio de seguridad establecido en el artículo 4°, literal g), de la Ley 1581 de 2012.

La infraestructura tecnológica de la Plataforma opera sobre los siguientes componentes: base de datos y servicios de autenticación provistos por Supabase (con almacenamiento en servidores AWS US East), hosting y servicios de dominio provistos por GoDaddy, y analítica de uso mediante Google Analytics. Las medidas de seguridad implementadas incluyen:

1. Cifrado de comunicaciones y almacenamiento: Todas las comunicaciones entre los usuarios y la Plataforma se realizan mediante protocolos HTTPS/TLS 1.3. Los datos almacenados en Supabase Storage, incluidos los documentos de soporte cargados por los usuarios, se encuentran cifrados en reposo mediante el estándar AES-256, gestionado por la infraestructura de AWS S3 en la región US East.
2. Control de acceso con perfiles diferenciados y principio de mínimo privilegio: El acceso a los datos personales está controlado mediante Row Level Security (RLS), mecanismo implementado en la base de datos que restringe el acceso a los registros de acuerdo con el rol y la identidad autenticada de cada usuario. Los perfiles de acceso son: (i) Usuario Final: accede exclusivamente a sus propias solicitudes y documentos; (ii) Operador: accede a las solicitudes asignadas dentro de su ámbito de gestión; (iii) Administrador: acceso total gestionado mediante service_role exclusivamente desde el backend, nunca expuesto al cliente. Este esquema garantiza que cada perfil, incluyendo el personal administrativo interno, operadores y sistemas automatizados, acceda únicamente a la información estrictamente necesaria para el cumplimiento de sus funciones, bajo el principio de mínimo privilegio.
3. Autenticación segura de usuarios: Las contraseñas de los usuarios se almacenan en formato de hash mediante el algoritmo SHA-2, lo que garantiza que CertiVeh no almacene contraseñas en texto plano. El proceso de registro y autenticación está gestionado por el servicio de autenticación de Supabase, que implementa mecanismos estándar de seguridad para el control de sesiones. La llave pública (anon key) se utiliza exclusivamente para operaciones de registro e inicio de sesión del lado del cliente; la llave de servicio (service_role key) se mantiene exclusivamente en el backend y nunca es expuesta al cliente.
4. Capacitación periódica al personal: CertiVeh capacita periódicamente a sus empleados y colaboradores sobre el manejo adecuado de datos personales, las obligaciones derivadas de la Ley 1581 de 2012 y la presente Política, y las buenas prácticas de seguridad de la información.
5. Procedimientos de respaldo y recuperación: Supabase realiza backups automáticos diarios de la base de datos. Adicionalmente, CertiVeh puede complementar este esquema con exportaciones periódicas de la información a través de la API de administración. Estos procedimientos garantizan la disponibilidad y recuperabilidad de los datos ante eventos de falla o pérdida.
6. Monitoreo de incidentes de seguridad: La Plataforma cuenta con logs de autenticación, logs de consultas (queries) y alertas de actividad inusual provistos por Supabase. CertiVeh implementa adicionalmente alertas de sistema cuando se presentan errores críticos en el procesamiento de solicitudes. Para incidentes de seguridad específicos que afecten la infraestructura de Supabase, dicha empresa notificará a CertiVeh conforme a su política de notificación de brechas de seguridad (breach notification policy).
7. Gestión de proveedores tecnológicos y contratos de procesamiento de datos: CertiVeh suscribe acuerdos de procesamiento de datos (Data Processing Agreements - DPA) con sus proveedores de infraestructura tecnológica que actúan como Encargados del Tratamiento, incluyendo Supabase y GoDaddy. Dichos acuerdos incluyen las obligaciones de seguridad, confidencialidad y cumplimiento normativo exigidas por la Ley 1581 de 2012. CertiVeh verifica las certificaciones de seguridad y las políticas de tratamiento de datos de sus proveedores de infraestructura tecnológica como parte de su gestión de riesgos.
8. Restricción de acceso bajo el principio de necesidad: El acceso a datos personales se restringe únicamente al personal estrictamente necesario para el cumplimiento de sus funciones, bajo el principio de mínimo privilegio. Ningún colaborador tendrá acceso a datos personales por fuera del alcance de sus responsabilidades asignadas.

En caso de presentarse un incidente de seguridad que pueda comprometer la confidencialidad, integridad o disponibilidad de los datos personales, CertiVeh lo informará a la Superintendencia de Industria y Comercio y a los titulares afectados, conforme a lo establecido en el artículo 17, literal n), de la Ley 1581 de 2012.

CertiVeh conservará los datos personales durante el tiempo que sea razonable y necesario para cumplir con las finalidades que justificaron el tratamiento, conforme al artículo 11 del Decreto 1377 de 2013. En particular:

1. Los datos de Usuarios de la Plataforma serán conservados por un período mínimo de cinco (5) años contados a partir de la finalización del trámite o de la expedición del Certificado UPME, con el fin de atender solicitudes, consultas, reclamaciones, cumplir obligaciones legales, regulatorias o contractuales y atender requerimientos de autoridades administrativas o judiciales.
2. Los datos de Aliados Comerciales serán conservados durante la vigencia del Acuerdo de Vinculación y por un período adicional de dos (2) años contados desde su terminación, o el tiempo que sea necesario para cumplir con obligaciones legales pendientes.
3. Los datos de empleados y contratistas serán conservados conforme a los términos establecidos por la normativa laboral, tributaria y de seguridad social aplicables.
4. Los datos de navegación recolectados a través de Google Analytics se conservarán conforme a las políticas de retención de datos configuradas en dicha herramienta y a las instrucciones de la SIC. CertiVeh configura los períodos de retención de datos en Google Analytics de acuerdo con las finalidades de analítica declaradas y de conformidad con la normativa de protección de datos aplicable.

Una vez cumplido el período de conservación y sin perjuicio de obligaciones legales que impongan su conservación, CertiVeh procederá a la eliminación, anonimización o bloqueo de los datos personales, conforme a sus políticas internas y a las instrucciones de la SIC.

13.1 Transmisión a Encargados del Tratamiento

CertiVeh podrá transmitir datos personales a terceros que actúen como Encargados del Tratamiento, cuando ello sea necesario para el cumplimiento de las finalidades descritas en la presente Política. Los principales Encargados del Tratamiento son:

1. Supabase (base de datos y autenticación): Proveedor que administra la base de datos de la Plataforma (incluyendo autenticación, almacenamiento de archivos y gestión de sesiones), con infraestructura ubicada en servidores de AWS US East. Supabase suscribe un Data Processing Agreement (DPA) disponible en su panel de administración.
2. GoDaddy (hosting y dominio): Proveedor del servicio de alojamiento web y administración del dominio de la Plataforma CertiVeh.
3. Google Analytics (analítica de uso): Herramienta de analítica digital de Google LLC que recolecta datos de navegación de forma automática. Google actúa como Encargado del Tratamiento conforme a sus Condiciones de Servicio y Política de Privacidad, y suscribe los acuerdos de procesamiento de datos aplicables.

La transmisión a estos proveedores se rige por contratos o acuerdos de procesamiento de datos en los que el Encargado se obliga a: (i) dar tratamiento a los datos conforme a las instrucciones de CertiVeh y los principios de la Ley 1581 de 2012; (ii) salvaguardar la seguridad de las bases de datos; (iii) guardar confidencialidad sobre los datos tratados, de conformidad con el artículo 25 del Decreto 1377 de 2013.

13.2 Transferencia a la UPME

En el marco del servicio prestado a través de la Plataforma, CertiVeh transferirá a la Unidad de Planeación Minero Energética (UPME) la información y los documentos suministrados por el usuario, únicamente con el propósito de gestionar y radicar la solicitud de certificación correspondiente. Esta transferencia se realiza en virtud de la autorización expresa otorgada por el usuario al aceptar los Términos y Condiciones de Uso de la Plataforma.

13.3 Transferencias internacionales

Dado que CertiVeh utiliza servicios de infraestructura tecnológica cuyos servidores se encuentran ubicados fuera del territorio colombiano (Supabase con infraestructura en AWS US East, Estados Unidos; y Google Analytics con infraestructura de Google LLC), los datos personales de los usuarios son transmitidos a servidores ubicados en territorio estadounidense. CertiVeh garantiza que estas transmisiones se realizan bajo los acuerdos de procesamiento de datos (DPA) suscritos con dichos proveedores, los cuales incorporan las salvaguardas adecuadas exigidas por la normativa de protección de datos aplicable, de conformidad con el artículo 26 de la Ley 1581 de 2012.

De conformidad con los artículos 14 y 15 del Decreto 1377 de 2013, CertiVeh pondrá a disposición de los titulares un Aviso de Privacidad, el cual contendrá como mínimo:

1. Nombre o razón social y datos de contacto del Responsable del Tratamiento.
2. El tratamiento al cual serán sometidos los datos y la finalidad del mismo.
3. Los derechos que le asisten al titular.
4. Los mecanismos dispuestos para que el titular conozca la Política de Tratamiento de la información y los cambios sustanciales que se produzcan en ella.

El Aviso de Privacidad se pondrá a disposición de los usuarios a través de la Plataforma al momento del registro, y de los Aliados Comerciales al momento de la suscripción del Acuerdo de Vinculación. CertiVeh conservará el modelo del Aviso de Privacidad utilizado, de conformidad con el artículo 16 del Decreto 1377 de 2013.

En cumplimiento del Capítulo VI del Decreto 1377 de 2013, CertiVeh implementa medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012, incluyendo:

1. La adopción y actualización de la presente Política de Tratamiento de Datos Personales.
2. La designación de una persona o área responsable de la atención de peticiones, consultas y reclamos en materia de datos personales.
3. La capacitación periódica de los colaboradores sobre la normativa de protección de datos y las obligaciones de la empresa.
4. La implementación de medidas de seguridad técnica y organizativa proporcionales al tipo de datos tratados, conforme a lo descrito en el artículo 11 de la presente Política.
5. La suscripción de contratos o acuerdos de procesamiento de datos (DPA) con los Encargados del Tratamiento, incluyendo proveedores de infraestructura tecnológica SaaS/cloud.
6. El registro de las bases de datos ante la Superintendencia de Industria y Comercio, cuando ello sea requerido conforme a la normativa vigente.
7. La conservación de las autorizaciones otorgadas por los titulares.
8. La atención oportuna de consultas y reclamos de los titulares en los términos establecidos por la Ley.

CertiVeh no recolecta ni trata datos personales de niños, niñas o adolescentes en el marco de los servicios prestados a través de la Plataforma, dado que el acceso a los mismos está restringido a personas mayores de edad con capacidad legal para contratar.

En el evento excepcional en que se requiera tratar datos de menores de edad, se dará cumplimiento estricto a lo dispuesto en el artículo 7° de la Ley 1581 de 2012 y el artículo 12 del Decreto 1377 de 2013, garantizando el interés superior del menor y requiriendo la autorización de su representante legal.

CertiVeh se reserva el derecho de modificar la presente Política en cualquier momento, cuando ello resulte necesario para ajustarla a cambios normativos, regulatorios, tecnológicos o en las condiciones operativas de la empresa. Cualquier modificación sustancial, en los términos del artículo 5° del Decreto 1377 de 2013, será comunicada a los titulares de manera eficiente, a través de los mismos canales utilizados en la relación ordinaria con ellos, antes de su implementación.

La versión actualizada de la Política estará disponible en la Plataforma CertiVeh y en los demás medios que CertiVeh disponga para tal efecto. La fecha de entrada en vigencia de cada versión se indicará en el encabezado del documento.

La presente Política entra en vigencia a partir del 27 de agosto de 2026 y permanecerá vigente de manera indefinida, hasta tanto sea modificada o derogada por CertiVeh conforme al procedimiento establecido en el artículo anterior.

Las bases de datos administradas por CertiVeh tendrán vigencia durante el tiempo necesario para cumplir con las finalidades del tratamiento y las obligaciones legales aplicables, conforme a los períodos de conservación descritos en el artículo 12 de la presente Política.

La Superintendencia de Industria y Comercio (SIC), a través de su Delegatura para la Protección de Datos Personales, es la Autoridad Nacional de Protección de Datos en Colombia y ejerce la vigilancia sobre el cumplimiento de la Ley 1581 de 2012.

Los titulares de datos personales podrán presentar ante la SIC quejas por infracciones a la normativa de protección de datos, una vez hayan agotado el trámite de consulta o reclamo ante CertiVeh, conforme al artículo 16 de la Ley 1581 de 2012.

Superintendencia de Industria y Comercio: