Política de tratamiento de datos personales y privacidad — Praxeora

1. Identificación del responsable del tratamiento

El responsable del tratamiento de los datos personales será la Asociación 11-8 Labs, identificada con NIT 902113594, con domicilio en la calle 45 No. 20A - 59, Palmira, Valle del Cauca, Colombia. Los titulares de los datos podrán comunicarse a través del correo electrónico contacto@once8labs.org o del teléfono 3177582247.

La Asociación desarrolla y administra la plataforma Praxeora, disponible en https://app.praxeora.org. Cuando la Asociación determine directamente las finalidades y los medios del tratamiento, actuará como responsable. Cuando una fundación cliente determine las finalidades y la Asociación trate datos por cuenta de ella y siguiendo sus instrucciones, la fundación podrá ser la responsable y la Asociación actuará como encargada respecto de ese tratamiento. La asignación de estos roles dependerá de las funciones efectivamente realizadas y de los acuerdos aplicables.

La existencia de una relación tecnológica o contractual con una fundación no convierte automáticamente a la Asociación en responsable de todos los datos que aquella administra. Las partes deberán documentar sus obligaciones, instrucciones, medidas de seguridad y responsabilidades respecto de los datos personales.

2. Ámbito de aplicación

Esta política aplica al tratamiento de datos personales realizado mediante Praxeora, incluidos sus componentes móviles, interfaces web, servicios de backend, módulos de administración, registros de asistencia, herramientas de consulta e informes, y demás componentes que formen parte de la plataforma.

La plataforma está destinada a apoyar la gestión de programas, subprogramas, actividades, beneficiarios, asistencia e indicadores de las organizaciones que la utilizan. Podrán tratarse datos de personas vinculadas a la Asociación 11-8 Labs o a fundaciones clientes, de acuerdo con las finalidades informadas y las autorizaciones o demás bases jurídicas que resulten aplicables.

Las fundaciones que utilicen Praxeora deberán definir y comunicar las finalidades de los tratamientos bajo su responsabilidad, obtener las autorizaciones que correspondan, entregar a los titulares la información exigida por la ley y cumplir las instrucciones y obligaciones documentadas con la Asociación. La disponibilidad de la plataforma no sustituye estas obligaciones.

3. Datos personales que se pueden tratar

Según las funcionalidades utilizadas y las necesidades del programa, Praxeora podrá tratar datos de identificación y contacto, información de inscripción y vinculación a programas, datos relacionados con acudientes o representantes, registros de asistencia, actividades realizadas, información operativa e información técnica necesaria para la seguridad y funcionamiento de la plataforma.

La plataforma puede tratar imágenes faciales y datos biométricos derivados del reconocimiento facial para los fines específicos de identificación y validación de asistencia que hayan sido informados.

También podrán generarse registros técnicos, como identificadores de usuario, fechas de acceso, eventos de seguridad y registros de operación, en la medida necesaria para administrar y proteger el servicio. No se deberán recopilar datos que no sean pertinentes para las finalidades informadas.

Cuando se trate información de niños, niñas o adolescentes, su tratamiento deberá respetar sus derechos prevalentes, su interés superior y las condiciones especiales establecidas en la legislación colombiana. La inclusión de datos de menores no autoriza por sí misma cualquier tratamiento de sus imágenes o datos biométricos.

4. Finalidades del tratamiento

Los datos personales podrán utilizarse para registrar y administrar beneficiarios; gestionar programas, subprogramas y actividades; controlar y consultar asistencia; generar reportes e indicadores de ejecución y cobertura; administrar usuarios y permisos; atender solicitudes; mantener la trazabilidad de las operaciones y proteger la disponibilidad, integridad y confidencialidad de la plataforma.

Cuando se utilice reconocimiento facial, las imágenes y los datos biométricos podrán tratarse exclusivamente para las finalidades específicas previamente informadas y autorizadas que resulten legalmente procedentes, como apoyar la identificación del beneficiario y el registro de su asistencia. No deberán reutilizarse para publicidad, vigilancia general, elaboración de perfiles u otros propósitos incompatibles sin una base jurídica válida y el cumplimiento de los deberes de información y autorización aplicables.

La información podrá utilizarse para soporte técnico, mantenimiento, diagnóstico de errores y seguridad, siempre que sea necesario y proporcional. Cuando sea posible, se deberán emplear datos minimizados, anonimizados o disociados para pruebas y análisis que no requieran identificar a una persona.

La Asociación y las fundaciones que utilicen Praxeora deberán asegurar que cada finalidad corresponda a las funciones efectivamente ofrecidas, que haya sido informada al titular y que el tratamiento se limite a lo autorizado o legalmente permitido.

5. Autorización y consentimiento informado

Cuando la ley lo exija, la recolección y el tratamiento de datos personales deberán contar con autorización previa, expresa e informada del titular o de quien esté legalmente facultado para otorgarla. La organización responsable deberá conservar prueba verificable de la autorización y de la información entregada al momento de obtenerla.

La autorización para tratar imágenes faciales o datos biométricos deberá identificar expresamente la naturaleza sensible de estos datos, explicar las finalidades concretas del reconocimiento facial e informar que, por tratarse de datos sensibles, su suministro es facultativo. La autorización para usar la cámara del dispositivo no sustituye la autorización para tratar datos personales o biométricos.

Cuando se traten datos de niños, niñas y adolescentes, la Fundación que opere Praxeora deberá aplicar las reglas especiales correspondientes, verificar la representación legal cuando sea necesaria, respetar la opinión del menor de acuerdo con su madurez y asegurar que el tratamiento responda a su interés superior y respete sus derechos fundamentales. La autorización del acudiente no permite desconocer estas exigencias.

La organización responsable deberá informar los mecanismos para consultar, actualizar, corregir o solicitar la supresión de los datos y para revocar la autorización cuando legalmente proceda. La revocatoria o supresión podrá estar sujeta a las excepciones legales aplicables.

6. Almacenamiento, conservación y eliminación

La infraestructura de servidor utilizada por Praxeora se encuentra alojada con HostGator en Monterrey, México.

Los datos se conservarán mientras sean necesarios para las finalidades informadas y para la prestación de los programas o servicios correspondientes, de acuerdo con las instrucciones de la organización responsable y las obligaciones legales aplicables. La Asociación y cada fundación deberán establecer y documentar los periodos de conservación que correspondan a los tipos de datos tratados.

Cuando un beneficiario se retire voluntariamente, sea retirado por decisión de la organización o solicite la supresión de sus datos, directamente o por medio de su acudiente cuando corresponda, se tramitará la eliminación integral de la información asociada cuando legalmente proceda. La solicitud deberá verificarse y atenderse conforme al procedimiento y los plazos legales aplicables.

La eliminación abarca, según corresponda, los registros de la base de datos, imágenes faciales, datos biométricos derivados, archivos asociados y copias o réplicas bajo control de la organización. Cuando existan respaldos, obligaciones legales de conservación, reclamaciones pendientes o limitaciones técnicas justificadas, se deberá documentar el tratamiento aplicable, restringir el uso de los datos cuando corresponda y ejecutar su eliminación conforme al ciclo de vida de los respaldos y a la normativa aplicable.

La supresión podrá no proceder en los casos en que exista un deber legal o contractual válido de conservación, una obligación de autoridad competente u otra excepción legal. En tales situaciones se informará, cuando corresponda, la razón por la cual no es posible atender íntegramente la solicitud.

7. Acceso a los datos y proveedores

El acceso a los datos personales estará limitado a usuarios y personal autorizados que lo requieran para las funciones asignadas. La Asociación implementa controles de acceso en la plataforma; su alcance, configuración y eficacia son verificadas de manera periódica.

Las fundaciones usuarias podrán consultar los datos que administren conforme a sus permisos y responsabilidades. La Asociación y los proveedores tecnológicos podrán acceder a información únicamente en la medida necesaria para las funciones autorizadas, el soporte, la seguridad o la operación del servicio y conforme a los roles, instrucciones y obligaciones que les correspondan.

Los proveedores que intervienen en el almacenamiento, alojamiento, mantenimiento o procesamiento de datos están sujetos a condiciones contractuales adecuadas, instrucciones documentadas, obligaciones de confidencialidad y medidas de protección acordes con la información tratada.

Los datos no deberán venderse ni utilizarse para finalidades ajenas a las informadas y autorizadas. El acceso por autoridades competentes solo se permitirá cuando exista fundamento jurídico y se cumplan los requisitos aplicables.

8. Transmisión y transferencia de datos personales

Praxeora utiliza infraestructura de servidor que se encuentra en Monterrey, México, y es suministrada por HostGator. Por esta razón, los datos personales tratados por la plataforma pueden almacenarse o procesarse fuera de Colombia. Los titulares deben tener presente esta circunstancia al consultar esta política.

La operación internacional constituye meramente una transmisión internacional de datos personales, dado que el servidor actúa únicamente como almacenamiento. La Asociación y las fundaciones usuarias mantendrán el control absoluto y la manipulación de la información desde Colombia.

La Asociación y las fundaciones usuarias deberán documentar las responsabilidades, instrucciones y garantías aplicables a los datos que gestionan.

9. Derechos de los titulares y procedimiento de consultas y reclamos

Los titulares de los datos personales tienen derecho a conocer, actualizar y rectificar sus datos; solicitar prueba de la autorización cuando corresponda; ser informados sobre el uso dado a su información; presentar consultas o reclamos; solicitar la revocatoria de la autorización y la supresión de los datos cuando legalmente proceda; y acudir ante la Superintendencia de Industria y Comercio después de agotar el trámite de consulta o reclamo ante el responsable o encargado, según corresponda.

Las solicitudes pueden dirigirse al correo contacto@once8labs.org o al teléfono 3177582247, indicando el nombre del titular, una forma de contacto, la descripción de la solicitud y la información razonablemente necesaria para identificar los datos involucrados. No se deberá solicitar más información de la necesaria para verificar la identidad y tramitar la solicitud.

Cuando una solicitud se refiera a datos tratados por una fundación cliente que actúe como responsable, la Asociación determinará, conforme a los roles y acuerdos aplicables, si debe remitirla a esa fundación o tramitarla directamente como responsable de un tratamiento propio. La existencia de un canal de contacto común no elimina las obligaciones legales de cada parte.

Las solicitudes presentadas en nombre de niños, niñas o adolescentes deberán acompañarse de la información razonablemente necesaria para verificar la identidad y la legitimidad de quien actúa como representante o acudiente, cuando corresponda. La verificación deberá realizarse de forma proporcional y respetando la privacidad del menor.

Las consultas se atenderán, por regla general, dentro de los diez (10) días hábiles siguientes a su recepción. Cuando no sea posible responder dentro de ese plazo, se informarán los motivos de la demora y la nueva fecha de respuesta, que no podrá superar los cinco (5) días hábiles siguientes al vencimiento del término inicial.

Los reclamos se atenderán, por regla general, dentro de los quince (15) días hábiles siguientes al día hábil posterior a su recepción. Cuando no sea posible resolverlos dentro de ese plazo, se informarán los motivos de la demora y la nueva fecha de respuesta, que no podrá superar los ocho (8) días hábiles siguientes al vencimiento del término inicial. Se aplicarán las reglas legales vigentes sobre recepción, subsanación y trámite de las solicitudes.

10. Tratamiento de datos de niños, niñas y adolescentes

Praxeora puede ser utilizada para gestionar programas que incluyan niños, niñas y adolescentes. El tratamiento de sus datos deberá respetar sus derechos fundamentales, su interés superior, su derecho a ser escuchados de acuerdo con su madurez y las demás garantías establecidas en la legislación colombiana.

Antes de recolectar o utilizar datos de menores, la organización que actúe como responsable deberá evaluar la necesidad y proporcionalidad del tratamiento, informar de manera comprensible las finalidades y obtener las autorizaciones que legalmente correspondan de sus representantes cuando sea necesario. La intervención de un representante no elimina el deber de proteger los derechos del menor ni habilita tratamientos contrarios a su interés superior.

Las organizaciones responsables deberán conservar evidencia de las autorizaciones pertinentes, limitar el acceso a la información, evitar la divulgación innecesaria y disponer de un procedimiento para atender solicitudes presentadas por los menores o sus representantes, de acuerdo con las normas aplicables.

11. Seguridad y confidencialidad

La Asociación informa que existen controles de acceso en Praxeora. La protección de los datos personales se apoya en medidas técnicas, humanas y administrativas adecuadas a la naturaleza de la información y a los riesgos del tratamiento, en especial cuando se trate de datos biométricos sensibles o de información de menores.

Las medidas están orientadas a prevenir la consulta, uso, alteración, pérdida o divulgación no autorizados; restringir los privilegios según las funciones; proteger las credenciales y secretos de la aplicación; mantener la confidencialidad; y revisar periódicamente los permisos y las configuraciones de seguridad. La descripción de estas medidas no constituye una certificación independiente de su eficacia.

El acceso a imágenes faciales y datos biométricos está limitado a las finalidades autorizadas y a las personas o servicios que lo necesiten legítimamente. De forma periódica se revisan los permisos de almacenamiento, la exposición pública de archivos, la protección de comunicaciones, las copias de seguridad, la eliminación de información y la gestión de credenciales.

La Asociación y las fundaciones deberán contar con procedimientos para gestionar incidentes de seguridad, evaluar su alcance, preservar la evidencia necesaria, mitigar sus efectos y efectuar las notificaciones que resulten exigibles ante las autoridades y los titulares.

Toda persona que tenga acceso a datos personales deberá mantener la confidencialidad y utilizarlos exclusivamente dentro de las funciones autorizadas. Esta obligación se mantendrá después de terminar la relación laboral, contractual o de prestación de servicios, en los términos aplicables.

12. Modificaciones de esta política

La Asociación 11-8 Labs podrá actualizar esta política para reflejar cambios legales, tecnológicos, operativos o contractuales que afecten el tratamiento de datos personales. La versión vigente estará disponible en https://app.praxeora.org/privacy.

Los cambios se comunicarán por los medios apropiados cuando corresponda, especialmente si modifican las finalidades del tratamiento, las categorías de datos, los proveedores relevantes o las condiciones de uso de datos sensibles. Cuando una modificación requiera nueva autorización, esta deberá obtenerse antes de iniciar el tratamiento correspondiente.

La publicación de una nueva versión no autoriza retroactivamente finalidades distintas ni elimina los derechos de los titulares. La Asociación y las fundaciones deberán conservar un registro de las versiones y aplicar los cambios de manera coherente con sus responsabilidades.

13. Contacto y atención de consultas

Para consultas sobre esta política, el tratamiento de datos personales o el ejercicio de los derechos de los titulares, los interesados pueden contactar a la Asociación 11-8 Labs a través del correo electrónico contacto@once8labs.org o del teléfono 3177582247. Dirección: calle 45 No. 20A - 59, Colombia.

La solicitud deberá identificar razonablemente al titular y describir el derecho que desea ejercer. Si la información corresponde a una fundación cliente que actúa como responsable, la solicitud se gestionará de acuerdo con los roles y procedimientos definidos para ese tratamiento y se remitirá a la organización competente cuando corresponda.

Si el titular considera que su consulta o reclamo no ha sido atendido conforme a la normativa, podrá acudir a la Superintendencia de Industria y Comercio una vez agotado el trámite previo ante el responsable o encargado, según las reglas aplicables.

La Asociación revisa periódicamente que los canales de contacto publicados estén activos y que las solicitudes recibidas sean registradas, asignadas y atendidas dentro de los términos legales.