Política de Tratamiento de Datos Personales

Esta Política de Tratamiento de Datos Personales describe la forma en que Soluciones INTIC, identificada con NIT 91080576-3, realiza el tratamiento de datos personales en el marco de Iron-Chain, su servicio de automatización para la evaluación de seguridad y riesgo de proveedores.

Esta política se expide en cumplimiento de la Ley 1581 de 2012, el Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015, y demás normas que las modifiquen, adicionen o sustituyan.

Iron-Chain es un servicio de Soluciones INTIC.

1.Responsable del tratamiento

El responsable del tratamiento de los datos personales, cuando Soluciones INTIC determine las finalidades y los medios del tratamiento, es:

• Razón social: Soluciones INTIC
• NIT: 91080576-3
• Domicilio: Tunja, Boyacá, Colombia
• Dirección: Cra 35 c n 43 c 90
• Correo electrónico: [email protected]
• Teléfono: 3142959947

Área responsable de protección de datos personales: Soluciones INTIC – Área de Protección de Datos Personales. El canal principal para consultas, reclamos y solicitudes relacionadas con el tratamiento de datos personales es [email protected].

2.Roles de Soluciones INTIC

Dependiendo de la naturaleza del tratamiento, Soluciones INTIC podrá actuar como Responsable o como Encargado del Tratamiento. Cuando Soluciones INTIC determine las finalidades y los medios del tratamiento, actuará como Responsable. Cuando el tratamiento se realice por cuenta de una empresa cliente de Iron-Chain y de acuerdo con sus instrucciones documentadas, Soluciones INTIC podrá actuar como Encargado del Tratamiento. Cuando actúe como Encargado, Soluciones INTIC tratará los datos personales únicamente para las finalidades autorizadas por el Responsable y de acuerdo con las obligaciones legales, contractuales y de seguridad aplicables.

3.Qué datos tratamos

Dependiendo de la interacción con Iron-Chain, podrán tratarse las siguientes categorías de datos personales:

3.1. Usuarios del panel

Datos de las personas que utilizan el panel de Iron-Chain en representación de empresas clientes, incluyendo:

• Nombre y datos de identificación suministrados.
• Correo electrónico.
• Contraseña, almacenada únicamente mediante mecanismos criptográficos adecuados y nunca en texto claro.
• Información relacionada con el segundo factor de autenticación, cuando aplique.
• Rol o perfil dentro de la organización.
• Registros de acceso, incluyendo fecha, hora y dirección IP.
• Registros de actividades realizadas dentro de la plataforma.

3.2. Contactos de proveedores evaluados

Dependiendo de la información suministrada durante una evaluación:

• Nombre del proveedor.
• Nombre y correo electrónico de las personas de contacto.
• Información relacionada con la evaluación.
• Respuestas suministradas al cuestionario.
• Evidencias documentales cargadas voluntariamente.
• Resultados, calificaciones o niveles de criticidad asociados a la evaluación.

3.3. Solicitudes de demostración, contacto o soporte

Podremos tratar:

• Nombre.
• Correo electrónico.
• Empresa.
• Información incluida voluntariamente en el mensaje o solicitud.

3.4. Bitácoras de seguridad y auditoría

Podrán registrarse las acciones relevantes realizadas dentro de la plataforma, incluyendo:

• Usuario que realizó la acción.
• Acción realizada.
• Fecha y hora.
• Recurso o información involucrada.
• Dirección IP.
• Información técnica necesaria para garantizar la seguridad, trazabilidad y auditoría del servicio.

Minimización de datos

Iron-Chain aplica el principio de minimización de datos personales. Las evidencias documentales deben limitarse a la información estrictamente necesaria para demostrar el cumplimiento del control o requisito evaluado. Iron-Chain no solicita ni requiere información personal sensible para prestar el servicio. Los usuarios deben evitar cargar información sensible o datos personales que no sean necesarios para la evaluación.

4.Finalidades del tratamiento

Los datos personales podrán ser tratados para las siguientes finalidades:

1. Prestar el servicio de evaluación de seguridad y riesgo de proveedores.
2. Administrar evaluaciones, cuestionarios, evidencias y resultados.
3. Generar informes y resultados asociados a las evaluaciones.
4. Crear y administrar cuentas de usuario.
5. Autenticar usuarios y controlar el acceso a la plataforma.
6. Enviar invitaciones, códigos de acceso y notificaciones operativas.
7. Atender solicitudes de demostración, soporte, contacto y servicio.
8. Mantener registros de seguridad, auditoría y trazabilidad.
9. Detectar, prevenir e investigar accesos no autorizados, fraude, abuso o incidentes de seguridad.
10. Cumplir obligaciones legales, regulatorias, judiciales, fiscales, contables o contractuales cuando corresponda.
11. Gestionar la relación contractual o comercial con clientes y proveedores.
12. Atender consultas, reclamos y solicitudes relacionadas con los derechos de los Titulares.

Soluciones INTIC no vende datos personales ni los utiliza para fines de publicidad de terceros que no hayan sido informados y autorizados cuando dicha autorización sea legalmente necesaria.

5.Tratamiento de datos sensibles

Iron-Chain no solicita ni requiere datos personales sensibles para prestar el servicio. Los usuarios deben abstenerse de cargar información sensible que no sea estrictamente necesaria para demostrar un control de seguridad. Si Soluciones INTIC identifica que se ha cargado accidentalmente información sensible que no resulta necesaria para la finalidad informada, podrá adoptar medidas para restringir su tratamiento y proceder a su eliminación cuando resulte procedente. El tratamiento de datos sensibles que excepcionalmente resulte necesario se realizará únicamente cuando exista una base legal que lo permita y se aplicarán las medidas reforzadas de protección correspondientes.

6.Datos de niños, niñas y adolescentes

Iron-Chain es un servicio dirigido a organizaciones y profesionales y no está destinado a niños, niñas o adolescentes. Soluciones INTIC no solicita deliberadamente datos personales de menores de edad. Cuando excepcionalmente se identifique información correspondiente a un menor de edad que haya sido cargada de manera accidental, Soluciones INTIC adoptará medidas razonables para restringir su tratamiento y proceder a su eliminación cuando corresponda, teniendo en cuenta el interés superior del menor y la protección de sus derechos fundamentales. Cuando Soluciones INTIC actúe como Encargado, las actuaciones correspondientes se coordinarán con el Responsable del tratamiento.

7.Autorización para el tratamiento

Cuando la legislación aplicable requiera autorización del Titular, Soluciones INTIC obtendrá dicha autorización antes o al momento de iniciar el tratamiento, mediante mecanismos que permitan acreditar posteriormente que fue otorgada. La autorización podrá obtenerse por medios físicos, electrónicos o mediante conductas inequívocas, de acuerdo con la normativa aplicable. Soluciones INTIC conservará evidencia de las autorizaciones obtenidas cuando corresponda. La autorización deberá estar asociada a las finalidades informadas al Titular.

El registro, uso de la plataforma, solicitud de una demostración o utilización de determinados servicios podrá implicar el tratamiento de datos cuando exista una base jurídica que lo permita. Cuando sea necesaria una autorización específica, esta será solicitada mediante el mecanismo correspondiente. El Titular podrá revocar su autorización en los casos en que esta constituya la base jurídica del tratamiento, sin perjuicio de las excepciones legales y de los tratamientos que puedan continuar cuando exista otra base jurídica que los sustente.

8.Cómo protegemos los datos

Soluciones INTIC implementa medidas técnicas, humanas, administrativas y organizativas razonables y proporcionales a los riesgos asociados al tratamiento. Entre otras medidas, Iron-Chain implementa:

• Cifrado de la evidencia documental en reposo.
• Mecanismos de segregación de información entre empresas.
• Protección criptográfica de credenciales.
• Segundo factor de autenticación cuando corresponda.
• Controles de acceso.
• Restricciones de acceso basadas en IP cuando sean aplicables.
• Limitación de intentos de autenticación.
• Cabeceras y configuraciones de seguridad.
• Registros de auditoría y trazabilidad.
• Controles destinados a prevenir accesos no autorizados.
• Mecanismos de protección de las credenciales y secretos.
• Pruebas y controles técnicos orientados a mantener la seguridad de la plataforma.

La información perteneciente a una empresa cliente se encuentra lógicamente aislada de la información correspondiente a otras empresas. La evidencia documental es procesada mediante mecanismos de inteligencia artificial desplegados en infraestructura controlada por Soluciones INTIC. Los documentos cargados por los clientes no se envían a servicios externos de inteligencia artificial para su análisis, salvo que esta condición sea modificada y comunicada conforme a la normativa y condiciones aplicables. Los mecanismos concretos de seguridad podrán modificarse o evolucionar de acuerdo con las necesidades técnicas, los riesgos identificados y las buenas prácticas de seguridad de la información.

9.Encargados y proveedores tecnológicos

Para prestar Iron-Chain, Soluciones INTIC podrá utilizar proveedores tecnológicos que actúen como Encargados del Tratamiento o que intervengan en determinadas operaciones de procesamiento. Actualmente se utilizan, entre otros:

• Oracle Cloud: infraestructura y servicios de alojamiento.
• Cloudflare: servicios de red, protección y entrega.
• Resend: envío de comunicaciones y correos electrónicos transaccionales.

Estos proveedores tratarán los datos personales únicamente en la medida necesaria para prestar los servicios contratados y conforme a las condiciones aplicables. Soluciones INTIC procurará que los proveedores que intervengan en el tratamiento implementen medidas apropiadas de seguridad y confidencialidad y, cuando corresponda, suscribirá los acuerdos o instrumentos contractuales necesarios para regular el tratamiento de datos personales. Los proveedores podrán cambiar, incorporarse o ser sustituidos cuando resulte necesario para la operación de Iron-Chain.

10.Transferencias y transmisiones internacionales

Algunos proveedores tecnológicos utilizados por Iron-Chain pueden procesar o almacenar información fuera de Colombia. Cuando esto ocurra, Soluciones INTIC determinará, de acuerdo con la operación concreta, si se trata de una transferencia internacional o una transmisión internacional de datos personales y aplicará el régimen jurídico correspondiente.

Cuando un proveedor actúe como Encargado del Tratamiento, Soluciones INTIC establecerá, cuando corresponda, las condiciones contractuales aplicables al tratamiento, incluyendo obligaciones relacionadas con:

• Confidencialidad.
• Seguridad de la información.
• Tratamiento conforme a instrucciones.
• Atención de solicitudes de los Titulares.
• Gestión de incidentes.
• Subcontratación o utilización de otros encargados, cuando aplique.
• Devolución o eliminación de información cuando corresponda.

Cuando exista una transferencia internacional de datos personales a otro Responsable, Soluciones INTIC verificará las condiciones de legalidad aplicables, incluyendo el nivel adecuado de protección del país receptor y las excepciones o mecanismos establecidos por la normativa colombiana. Soluciones INTIC mantendrá evidencia de las medidas adoptadas para garantizar el cumplimiento de las obligaciones aplicables a las transferencias y transmisiones internacionales.

11.Cuánto tiempo conservamos los datos

Los datos personales serán conservados durante el período necesario para cumplir las finalidades informadas, atender la relación contractual o comercial y cumplir las obligaciones legales aplicables. Los períodos de conservación podrán variar según el tipo de información y su finalidad.

Evidencia documental

La evidencia documental podrá conservarse durante el período configurado para la evaluación o de acuerdo con las instrucciones del cliente cuando Soluciones INTIC actúe como Encargado. Una vez cumplida la finalidad o vencido el período de conservación, la evidencia será eliminada, anonimizada o sometida a mecanismos equivalentes cuando corresponda, salvo que exista una obligación legal o contractual que justifique su conservación.

Resultados e informes

Las respuestas, resultados, veredictos e informes podrán conservarse durante el período necesario para mantener la trazabilidad de las evaluaciones realizadas y cumplir obligaciones legales o contractuales.

Datos de usuarios

Los datos asociados a las cuentas de usuario serán conservados mientras la cuenta permanezca activa y durante el período posterior que resulte necesario para cumplir obligaciones legales, resolver controversias, mantener registros de seguridad o ejercer o defender derechos.

Registros de seguridad

Los registros de auditoría y seguridad podrán conservarse durante períodos definidos de acuerdo con criterios de seguridad, gestión de riesgos y obligaciones legales aplicables.

Eliminación

Una vez finalizado el período de conservación aplicable, Soluciones INTIC procederá a eliminar, anonimizar o desasociar los datos cuando corresponda y de acuerdo con las capacidades técnicas de la infraestructura utilizada.

12.Derechos de los Titulares

De acuerdo con la legislación colombiana aplicable, los Titulares tienen derecho a:

1. Conocer, actualizar y rectificar sus datos personales.
2. Solicitar prueba de la autorización otorgada, cuando esta constituya la base del tratamiento.
3. Ser informados sobre el uso que se ha dado a sus datos personales.
4. Presentar quejas ante la Superintendencia de Industria y Comercio cuando consideren que se han vulnerado las normas aplicables.
5. Solicitar la revocatoria de la autorización cuando proceda.
6. Solicitar la supresión de sus datos cuando proceda.
7. Acceder gratuitamente a sus datos personales.
8. Los demás derechos reconocidos por la legislación colombiana aplicable.

La revocatoria o supresión podrá estar sujeta a las excepciones previstas legalmente, incluyendo situaciones en las que exista un deber legal o contractual de conservar la información.

13.Cómo ejercer los derechos

El Titular podrá ejercer sus derechos mediante comunicación dirigida a: [email protected]. La solicitud deberá contener, en lo posible:

• Nombre del Titular.
• Información que permita identificarlo.
• Descripción clara de la solicitud.
• Datos sobre los cuales recae la solicitud.
• Información de contacto para recibir la respuesta.
• Documentos que resulten necesarios para acreditar la identidad o representación, cuando corresponda.

Consultas

Las consultas serán atendidas dentro de los términos establecidos por la legislación aplicable. Actualmente, las consultas se atenderán en un plazo máximo de diez (10) días hábiles, prorrogable por cinco (5) días hábiles adicionales cuando no sea posible atenderlas dentro del término inicial, informando al interesado los motivos de la demora.

Reclamos

Si el reclamo se encuentra incompleto, se requerirá al interesado para que lo complete dentro de los cinco (5) días siguientes a la recepción de la solicitud. Los reclamos serán atendidos dentro de un término máximo de quince (15) días hábiles, prorrogable por ocho (8) días hábiles adicionales cuando resulte necesario, informando al interesado los motivos de la demora.

Cuando la solicitud se refiera a datos personales cuyo Responsable sea una empresa cliente de Iron-Chain, Soluciones INTIC podrá remitir la solicitud al Responsable correspondiente o actuar conforme a las instrucciones recibidas, según el rol que desempeñe respecto del tratamiento.

14.Gestión de incidentes de seguridad

Soluciones INTIC cuenta con mecanismos y procedimientos internos destinados a identificar, contener, analizar, documentar y gestionar incidentes de seguridad que puedan comprometer datos personales. Ante un incidente, se podrán implementar medidas de:

• Contención.
• Investigación.
• Recuperación.
• Mitigación del impacto.
• Evaluación del riesgo.
• Prevención de recurrencia.

Cuando resulte legalmente exigible, los incidentes de seguridad que involucren datos personales serán reportados a la Superintendencia de Industria y Comercio dentro de los términos establecidos por la normativa aplicable. Cuando corresponda, también se evaluará la necesidad de informar a los Responsables del tratamiento, Titulares u otras autoridades competentes. Soluciones INTIC conservará evidencia de la gestión de los incidentes y de las medidas adoptadas.

15.Responsabilidad demostrada

Soluciones INTIC adopta medidas orientadas a demostrar el cumplimiento de las obligaciones relacionadas con la protección de datos personales. Estas medidas podrán incluir:

• Políticas y procedimientos internos.
• Controles de acceso.
• Gestión de riesgos.
• Medidas de seguridad de la información.
• Acuerdos con Encargados.
• Registros y evidencias de autorización cuando corresponda.
• Gestión de incidentes.
• Mecanismos de atención de consultas y reclamos.
• Evaluaciones y revisiones periódicas de los controles aplicables.

La organización podrá modificar o fortalecer estas medidas de acuerdo con la evolución de los riesgos, los servicios prestados y las obligaciones legales aplicables.

16.Vigencia y cambios de la política

Esta política entra en vigencia el 22 de agosto de 2026, correspondiente a la versión 1.0. Las bases de datos y los datos personales serán conservados durante el tiempo necesario para cumplir las finalidades informadas y las obligaciones legales, contractuales o administrativas aplicables. Soluciones INTIC podrá modificar esta política cuando cambien las finalidades del tratamiento, los servicios prestados, las condiciones operativas, los proveedores relevantes o la normativa aplicable. Las modificaciones sustanciales serán comunicadas mediante los mecanismos disponibles y, cuando corresponda, con anterioridad a su implementación. La versión vigente estará disponible en el sitio web o plataforma correspondiente.

Última actualización: 22 de agosto de 2026.