Habeas Data — Colombia

3.1 Datos sensibles (biométricos)

• Video facial subido al demo público interactivo.
• Características faciales derivadas (embeddings, vectores de features) generadas durante el procesamiento.

3.2 Datos personales comunes

• Nombre, correo electrónico, empresa, cargo y país (formularios).
• Dirección IP, user-agent, identificador de sesión (técnicos).

No tratamos datos de menores de 18 años a sabiendas, ni datos sensibles distintos a los biométricos descritos.

4.1 Finalidad de los datos biométricos (única y específica)

Procesar el video que subes al demo público para mostrarte el resultado comparativo (Aprobo Live vs. AWS Rekognition) dentro de la misma sesión, con propósito demostrativo del producto.

4.2 Finalidad de los datos comunes

• Atender tu solicitud (demo call, soporte, comercial).
• Anti-abuso, seguridad y auditoría de la plataforma.
• Cumplir obligaciones legales aplicables.
• Comunicaciones de producto solo con tu consentimiento adicional opt-in y revocable en cualquier momento.

Tu autorización para el tratamiento de datos biométricos se obtiene mediante un checkbox visible y separado antes de subir el video, donde se te presenta el siguiente texto de consentimiento:

«Doy mi consentimiento expreso para el tratamiento de mis datos biométricos faciales con el fin de procesar este demo de Aprobo Live + AWS Rekognition y mostrarme el resultado comparativo. Entiendo que el video y los datos biométricos derivados se borran automáticamente en máximo 1 hora, que no se usan para entrenar modelos, y que el procesamiento ocurre en AWS (Estados Unidos).»

Tu consentimiento es libre, previo, expreso, informado y específico. Quedará registro técnico del evento (sin biometría asociada) con fecha, hora e IP, durante 12 meses para fines probatorios.

Para los datos comunes de formularios, tu autorización se obtiene al enviar el formulario, con la información de finalidades presente en el mismo.

Como titular de tus datos personales tienes derecho a:

• Conocer: qué datos tenemos sobre ti.
• Actualizar: mantener tus datos vigentes.
• Rectificar: corregir datos parciales, inexactos, incompletos, fraccionados o que induzcan a error.
• Suprimir: solicitar que borremos tus datos.
• Revocar la autorización en cualquier momento, sin retroactividad. La revocación termina el tratamiento hacia adelante.
• Acceder gratuitamente a tus datos al menos una vez al mes (Art. 21 Decreto 1377).
• Solicitar prueba de la autorización otorgada.
• Ser informado sobre el uso que se le da a tus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por violaciones a la Ley 1581.

7.1 Canal de atención

• Correo electrónico: contacto@aprobo.co
• Asunto sugerido: «Ejercicio de derechos del titular — [Acceso / Rectificación / Supresión / Revocación]»
• Información a incluir: nombre completo y datos de contacto; tipo y número de documento de identidad; descripción clara de la petición; documentos que soporten la solicitud (si aplica).

7.2 Plazos legales (Ley 1581 + Decreto 1377)

Si requerimos información adicional para atender el reclamo, te lo notificaremos en máximo 5 días y tendrás 2 meses para responder.

7.3 Si no estás satisfecho

Puedes acudir a la Superintendencia de Industria y Comercio (SIC) una vez agotado el trámite ante nosotros, o directamente cuando la ley lo permita:

• Web: sic.gov.co/proteccion-de-datos-personales
• Centro de Atención al Ciudadano: Carrera 13 No. 27 — 00, Bogotá D.C.
• Línea: +57 601 587 0000

9.1 Transferencia y transmisión internacional

El procesamiento y almacenamiento ocurren en AWS región us-east-1 (Estados Unidos): el cómputo biométrico del demo (AWS Rekognition + modelos de Aprobo) y el almacenamiento de metadata, scores, logs de auditoría y datos de formularios en Neon (Postgres serverless operado sobre infraestructura AWS, us-east-1). Estados Unidos no aparece en la lista de países con nivel adecuado de protección de la SIC.

La ley colombiana distingue transferencia (Responsable → Responsable) de transmisión (Responsable → Encargado que trata por cuenta del Responsable). El envío de datos de Aprobo a AWS y a Neon es una transmisión internacional: ambos operan como Encargados (Neon como sub-encargado en la cadena) y Aprobo conserva la posición de Responsable. Conforme al Decreto 1377 de 2013 (arts. 24 y 25), la transmisión internacional a un Encargado está amparada por un contrato de transmisión de datos (el DPA) que impone al Encargado las obligaciones de finalidad, seguridad y confidencialidad; cuando dicho contrato existe y cumple los requisitos del art. 25, la transmisión no exige una autorización separada adicional del titular. Aun así lo divulgamos aquí en cumplimiento del principio de transparencia.

Salvaguardas aplicadas:

• Contratos de transmisión de datos (DPA con Cláusulas Contractuales Tipo) que cumplen el art. 25 del Decreto 1377: con AWS (DPA estándar aceptado por los términos de la cuenta) y con Neon (DPA propio de Neon, aceptado). El estado vigente de cada DPA se mantiene en nuestro registro interno de sub-procesadores.
• Consentimiento previo, expreso e informado del titular para el tratamiento biométrico del demo.
• Cifrado en reposo (AWS KMS para la biometría en S3; cifrado gestionado de Neon para la base de datos) y en tránsito (TLS 1.3; Neon exige SSL).
• Borrado automatizado del video crudo y los embeddings biométricos dentro de 1 hora. La biometría cruda nunca se almacena en Neon — vive cifrada en S3 + KMS.
• Neon cuenta con certificación SOC 2 Type II.

9.2 Transmisión a terceros

• No transmitimos datos biométricos del demo a terceros distintos de AWS Rekognition, para el side-by-side comparativo, bajo el régimen de garantías descrito arriba.
• La metadata y los datos de formularios se almacenan en Neon (sub-encargado); no se venden ni se ceden a terceros con fines comerciales.
• Para clientes empresariales que lo requieran está disponible el procesamiento en sa-east-1 (São Paulo) bajo contrato Enterprise.

Adoptamos medidas técnicas, humanas y administrativas razonables y proporcionales para proteger tus datos contra acceso no autorizado, pérdida, alteración o divulgación:

• Cifrado en reposo (AWS KMS) y tránsito (TLS 1.3 mínimo).
• Aislamiento y control de accesos por rol.
• Audit logging de accesos a datos sensibles.
• Borrado automatizado por job programado.
• Plan de respuesta a incidentes documentado internamente.
• Notificación a la SIC y al titular afectado dentro de los plazos legales en caso de incidente de seguridad que afecte datos personales (Circular SIC 002/2015 y normas subsiguientes).

Las bases de datos de Aprobo se inscribirán en el Registro Nacional de Bases de Datos (RNBD) de la SIC antes de:

• (a) recibir el tercer cliente empresarial, o
• (b) procesar más de 100.000 registros de personas naturales en formularios, o
• (c) cumplir 6 meses de operación con tratamiento de datos personales en producción, lo que ocurra primero.

Esta política puede ser actualizada. Cambios materiales se anuncian con al menos 15 días de anticipación en el sitio. La fecha de «Última actualización» refleja la versión vigente.