Política de Tratamiento de la Información y Protección de Datos Personales

• Razón social: [RAZÓN SOCIAL]
• NIT: [NIT]
• Domicilio y dirección: [DIRECCIÓN], [MUNICIPIO, DEPARTAMENTO], Colombia
• Correo electrónico: [CORREO]
• Teléfono: [TELÉFONO]
• Entidad vigilada por: [SUPERINTENDENCIA QUE LA VIGILA]

Cada cooperativa o entidad que ofrece el servicio a sus asociados es responsable del tratamiento de los datos de sus asociados. El proveedor de la plataforma tecnológica actúa como encargado del tratamiento por cuenta de la entidad, bajo un contrato de transmisión de datos (Decreto 1074 de 2015, art. 2.2.2.25.5.2).

La entidad recolecta, almacena, usa, circula, actualiza, transmite y, cuando corresponde, suprime datos personales de asociados, beneficiarios, codeudores y usuarios de sus canales digitales. Los datos que se tratan son:

• Identificación: nombres y apellidos, tipo y número de documento (cédula de ciudadanía, cédula de extranjería, pasaporte, permiso por protección temporal o NIT), fecha y lugar de nacimiento, nacionalidad, estado civil, sexo.
• Contacto: dirección, municipio, teléfono y correo electrónico.
• Financieros y de la relación: aportes sociales, cuentas de ahorro, CDAT, créditos, transacciones, transferencias, pagos, beneficiarios y su historial.
• Laborales y socioeconómicos (cuando un producto lo exige): ocupación, empleador, ingresos, referencias.
• Del dispositivo y uso: identificador y modelo del dispositivo, sistema operativo, dirección IP y registros técnicos necesarios para la seguridad y la trazabilidad de las operaciones.
• Token de notificaciones: identificador que entrega el sistema del dispositivo para enviar avisos (no es su número ni su correo).

La app no rastrea su ubicación en segundo plano.

• Vincularlo como asociado, administrar la relación y prestar los servicios de ahorro, crédito y demás productos.
• Autenticarlo, proteger su cuenta y prevenir el fraude y el uso no autorizado de los canales.
• Cumplir obligaciones legales: SARLAFT y reportes a la UIAF (Ley 526 de 1999, Ley 1121 de 2006), reportes a la Superintendencia de la Economía Solidaria o a la Superintendencia Financiera, información tributaria a la DIAN, y requerimientos de autoridades.
• Consultar y reportar su comportamiento crediticio ante operadores de información (Ley 1266 de 2008), solo con su autorización previa y expresa.
• Enviarle notificaciones sobre sus operaciones, avisos de seguridad e información de la entidad (las comerciales solo con su autorización y puede retirarla).
• Atender peticiones, consultas, quejas y reclamos, y medir la calidad del servicio.

El tratamiento requiere su autorización previa, expresa e informada, que la entidad obtiene por medios que permiten su consulta posterior (formulario de vinculación, aceptación en la app o el portal) y conserva como prueba. No se requiere autorización en los casos del art. 10 de la Ley 1581 de 2012 (por ejemplo, información requerida por una entidad pública en ejercicio de sus funciones o datos de naturaleza pública).

Datos sensibles (art. 5 de la Ley 1581 de 2012), como los biométricos: su entrega es facultativa; usted no está obligado a autorizar su tratamiento ni a responder preguntas sobre ellos. Si activa el desbloqueo por huella o rostro, la verificación ocurre en su propio dispositivo y la entidad no recibe ni almacena su biometría. La cámara solo se usa, con su acción, para escanear el código de conexión a su entidad.

Niños, niñas y adolescentes (art. 7 de la Ley 1581 de 2012): sus datos solo se tratan cuando son de naturaleza pública o con autorización de su representante legal, respetando su interés superior y sus derechos fundamentales, y escuchando su opinión según su madurez.

• Conocer, actualizar y rectificar sus datos personales, incluso frente a datos parciales, inexactos, incompletos, fraccionados o que induzcan a error.
• Solicitar prueba de la autorización otorgada, salvo cuando no sea necesaria.
• Ser informado, previa solicitud, del uso que se ha dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, una vez agotado el trámite ante la entidad.
• Revocar la autorización y/o solicitar la supresión del dato cuando no se respeten los principios, derechos y garantías legales, siempre que no exista un deber legal o contractual de permanecer en la base de datos.
• Acceder en forma gratuita a sus datos personales objeto de tratamiento.

[NOMBRE DEL ÁREA O CARGO RESPONSABLE] de [RAZÓN SOCIAL] atiende las solicitudes de los titulares en el correo [CORREO], el teléfono [TELÉFONO] y la dirección [DIRECCIÓN], [MUNICIPIO, DEPARTAMENTO], así como en la opción de soporte del portal y de la app.

Consultas (art. 14 de la Ley 1581 de 2012): se atienden en un término máximo de diez (10) días hábiles desde su recibo. Si no es posible, se le informarán los motivos y la nueva fecha, que no podrá superar cinco (5) días hábiles adicionales.

Reclamos de corrección, actualización, supresión o por presunto incumplimiento (art. 15): se presentan con su identificación, la descripción de los hechos, la dirección de respuesta y los documentos de soporte. Si el reclamo está incompleto, se le pedirá subsanarlo dentro de los cinco (5) días siguientes; si transcurren dos (2) meses sin completarlo, se entenderá desistido. Se atienden en un término máximo de quince (15) días hábiles desde el día siguiente a su recibo, prorrogable hasta ocho (8) días hábiles más informándole los motivos. Mientras se tramita, el dato se marca con la leyenda «reclamo en trámite».

Pueden ejercer los derechos el titular, sus causahabientes, su representante o apoderado, y quien estipule a favor de otro.

• Encargados: proveedores tecnológicos que operan la plataforma por cuenta de la entidad, bajo obligaciones de confidencialidad y seguridad.
• Notificaciones: proveedores de mensajería push (Expo, Apple y Google), que pueden procesar datos fuera de Colombia; la entidad exige garantías adecuadas de protección (Ley 1581 de 2012, art. 26).
• Autoridades competentes cuando exista obligación legal o requerimiento válido (UIAF, Supersolidaria o Superfinanciera, DIAN, autoridades judiciales).
• La entidad no vende sus datos personales. Aplica cifrado en tránsito, control de accesos, segregación por entidad y registros de auditoría.

Esta política rige a partir del [FECHA DE ENTRADA EN VIGENCIA]. Las bases de datos se conservarán mientras subsistan las finalidades del tratamiento, la relación con el asociado y los plazos de conservación que imponen las normas contables, tributarias y de prevención del lavado de activos (por regla general, diez (10) años para libros y soportes, C. de Co. art. 60 y Ley 962 de 2005 art. 28). Cumplidos esos plazos, los datos se suprimen o anonimizan de forma segura.

Los cambios sustanciales de esta política se comunicarán antes de su aplicación por los canales de la entidad, indicando la nueva fecha de vigencia. Las bases de datos sujetas a registro se inscriben en el Registro Nacional de Bases de Datos (RNBD) de la Superintendencia de Industria y Comercio.