Política de Tratamiento de
Datos Personales

Sephum es una empresa de tecnología que ofrece herramientas para la gestión empresarial, validación de identidad, consulta de antecedentes, firma electrónica, gestión de pagos y administración de proveedores, entre otros servicios.

Esta política explica cómo recopilamos, utilizamos, almacenamos y protegemos los datos personales de quienes interactúan con nuestros servicios, en cumplimiento de la Constitución Política de Colombia, la Ley Estatutaria 1581 de 2012, el Decreto 1377 de 2013 y el Decreto Único Reglamentario 1074 de 2015.

Esta política aplica cuando Sephum actúa como responsable del tratamiento de datos. Cuando Sephum trata datos por cuenta de un cliente (como encargado), las condiciones se rigen por el contrato de prestación de servicios correspondiente.

1. Recopilación de datos personales

Datos que usted nos proporciona directamente

• Datos de identificación y contacto: nombre, número y tipo de documento de identidad, correo electrónico, número de teléfono y dirección, recopilados al crear una cuenta en el portal o al comunicarse con Sephum.
• Datos biométricos: fotografías del documento de identidad y del rostro del titular, utilizados para validación de identidad a través de integraciones tecnológicas autorizadas por la Registraduría Nacional del Estado Civil.
• Datos de antecedentes: resultados de consultas en fuentes oficiales, en el marco de debida diligencia y SARLAFT.
• Datos contractuales: documentos generados o firmados electrónicamente a través del ecosistema de Sephum.
• Datos financieros y de proveedores: información sobre proveedores, costos, condiciones contractuales, fechas de renovación y observaciones ingresadas voluntariamente por el usuario.
• Credenciales almacenadas (módulo de llaves): nombres de usuario, contraseñas y datos de acceso a servicios externos, cifrados de extremo a extremo. Sephum no tiene acceso al contenido descifrado.
• Información de comunicaciones: contenido de mensajes enviados a través de WhatsApp, correo electrónico u otros canales de contacto.

Datos que recibimos automáticamente

• Datos de acceso y dispositivo: dirección IP, tipo de dispositivo, navegador, sistema operativo y zona horaria.
• Registros de actividad (logs): identificación del usuario, fecha y hora, módulo consultado, tipo de acción realizada (consulta, modificación, eliminación) y dirección IP de origen.
• Datos demográficos: sexo, ubicación geográfica y otros datos generales, utilizados únicamente de forma agregada.

Sitio web público

El sitio web público de Sephum contiene simuladores en los que el visitante ingresa exclusivamente datos numéricos (fechas, tasas de cambio, porcentajes, cantidades). No se permite el ingreso de texto ni datos identificables. Sephum no asocia esta información con ninguna persona, no exige registro y podrá utilizarla de forma agregada y anónima con fines estadísticos.

Canal de WhatsApp

Cuando un visitante se comunica con Sephum a través de WhatsApp, Sephum recibe el número de teléfono desde el cual se origina el mensaje. Antes de continuar la conversación, Sephum solicitará autorización expresa para el tratamiento de ese número. El titular podrá revocar esta autorización en cualquier momento.

Datos de menores de edad

En procesos de selección bajo modalidad de prácticas laborales, es posible que se traten datos de menores entre 15 y 17 años, conforme a la Ley 1098 de 2006 y con autorización del Ministerio de Trabajo. En estos casos, se requiere autorización expresa del representante legal del menor, y el tratamiento se limita estrictamente a la finalidad del proceso de selección.

2. Finalidades del tratamiento

Utilizamos los datos personales para las siguientes finalidades:

• Prestar los servicios contratados: validación de identidad, consulta de antecedentes, firma electrónica, gestión de pagos y dispersión de recursos.
• Crear y administrar cuentas de usuario en el portal.
• Verificar la identidad de los titulares conforme a la normativa SARLAFT y de debida diligencia.
• Garantizar la trazabilidad y seguridad de las operaciones.
• Generar copias de respaldo para la continuidad del servicio y el cumplimiento legal.
• Cumplir obligaciones legales, regulatorias, contables y tributarias.
• Atender consultas, quejas y reclamaciones.
• Comunicarse con el titular para asuntos relacionados con el servicio.

Finalidades sujetas a consentimiento granular

Cuando el usuario registra información de proveedores en el portal, Sephum podrá utilizarla únicamente si el usuario activa de forma voluntaria e independiente una o más de estas finalidades:

• a) Análisis de costos operativos: Sephum podrá analizar la información para comprender patrones de costos en el sector del usuario.
• b) Ofrecimiento de alternativas: Sephum podrá informar al usuario sobre proveedores con condiciones potencialmente más favorables.
• c) Compartir información agregada: Sephum podrá compartir datos no identificables con terceros de sectores relacionados para mejorar la oferta del mercado.

Cada finalidad es activable y desactivable de manera independiente, en cualquier momento y sin afectar el servicio contratado.

Comunicaciones comerciales

Sephum no enviará comunicaciones comerciales sin consentimiento previo y expreso. Si el titular las autoriza, se limitarán a una frecuencia no superior a una por trimestre e incluirán siempre un mecanismo para revocar la autorización.

3. Ecosistema de integraciones tecnológicas

Sephum opera un ecosistema de integraciones con proveedores especializados, debidamente autorizados y licenciados, que cubren servicios como validación de identidad, consulta de antecedentes, firma electrónica y procesamiento de pagos.

Sephum selecciona a estos proveedores bajo criterios estrictos de seguridad, cumplimiento normativo y protección de datos. La transmisión de datos a estos proveedores se realiza bajo contratos que garantizan niveles de protección equivalentes a los de esta política.

4. Transferencia y transmisión internacional de datos

Los datos personales podrán ser almacenados o procesados en servidores ubicados fuera de Colombia. En todos los casos, Sephum garantiza que el país de destino ofrece niveles adecuados de protección conforme a los estándares de la Superintendencia de Industria y Comercio, o que se han suscrito cláusulas contractuales que garantizan dicha protección.

5. Trazabilidad, seguridad y cifrado

Sistema de trazabilidad

Sephum mantiene registros de actividad que documentan: usuario, fecha y hora, IP de origen, módulo consultado y tipo de acción. Sephum accede a estos registros únicamente con fines de seguridad, mantenimiento y cumplimiento legal, sin acceder al contenido cifrado de la información.

Cifrado

La información se cifra en tránsito y en reposo. El módulo de llaves utiliza cifrado de extremo a extremo: ni Sephum ni su equipo técnico pueden acceder al contenido.

Permisos

El administrador de cada cuenta cliente configura los niveles de acceso de sus colaboradores, incluyendo la posibilidad de que un colaborador sepa que otro realizó una consulta sin ver su contenido. La configuración de permisos es responsabilidad exclusiva del cliente.

Medidas de seguridad

Sephum implementa medidas técnicas, humanas y administrativas razonables, que incluyen: autenticación con contraseña y verificación en dos pasos (2FA), cifrado en tránsito y en reposo, control de acceso basado en roles, monitoreo de actividad y copias de respaldo periódicas.

6. Retención y conservación de datos

Sephum conserva los datos personales durante el tiempo necesario para cumplir las finalidades de esta política y las obligaciones legales aplicables:

• Registros SARLAFT y debida diligencia: mínimo cinco (5) años desde la terminación de la relación comercial (Circular Externa 055 de 2016, Superintendencia Financiera de Colombia; artículos 102 a 107 del Estatuto Orgánico del Sistema Financiero).
• Documentos contractuales y laborales: mínimo diez (10) años, aplicando el periodo superior entre: la prescripción de acciones laborales de tres (3) años (artículo 488, Código Sustantivo del Trabajo), la conservación de documentos contables y tributarios de cinco (5) años (artículo 632, Estatuto Tributario), y la caducidad de la acción sancionatoria de diez (10) años (artículo 28, Ley 962 de 2005). Sephum adopta el periodo de diez (10) años como estándar de conservación para garantizar cobertura integral.
• Registros de trazabilidad (logs): mínimo tres (3) años, alineado con la prescripción ordinaria de acciones civiles y buenas prácticas de seguridad informática.
• Datos del sitio web público: al ser anónimos y no identificables, no están sujetos a periodo de retención específico.

Cuando el cliente solicite la eliminación de su información, Sephum desactivará el acceso activo y conservará únicamente las copias necesarias para cumplir los periodos legales, tras los cuales se eliminarán de forma definitiva y segura.

7. Derechos de los titulares

Todo titular tiene los siguientes derechos:

• Conocer: solicitar información sobre el tratamiento de sus datos.
• Actualizar y rectificar: solicitar la corrección de datos inexactos, incompletos o desactualizados.
• Solicitar prueba de la autorización: pedir evidencia del consentimiento otorgado.
• Revocar la autorización: retirar el consentimiento, salvo obligación legal o contractual.
• Suprimir: solicitar la eliminación de datos cuando no exista obligación legal de conservarlos.
• Acceder: obtener copia de sus datos personales.
• Presentar quejas: acudir ante la Superintendencia de Industria y Comercio.

Para ejercer estos derechos, envíe una solicitud a privacidad@sephum.com indicando: nombre completo, documento de identidad, descripción de la solicitud y correo para respuesta.

Consultas: plazo máximo de diez (10) días hábiles, prorrogable por cinco (5) días hábiles. Reclamos: plazo máximo de quince (15) días hábiles, prorrogable por ocho (8) días hábiles.

8. Responsabilidad sobre el uso de datos por parte del cliente

Sephum proporciona herramientas tecnológicas. El cliente es responsable de:

• Obtener las autorizaciones legales para tratar datos de terceros a través del portal.
• Configurar los permisos de acceso de sus colaboradores.
• El uso que él o sus colaboradores hagan de la información obtenida, incluyendo difusión, publicación o uso indebido de datos, imágenes o documentos.

Ante una reclamación de un tercero, Sephum colaborará proporcionando registros de trazabilidad pertinentes, sin perjuicio de que la responsabilidad recaiga en el cliente.

9. Canal de reclamaciones por uso indebido de datos o imagen

Cualquier persona que considere que sus datos o imagen han sido tratados indebidamente por un usuario de Sephum puede escribir a privacidad@sephum.com indicando: nombre, documento, descripción de los hechos, pruebas disponibles y material que solicita retirar o corregir.

Sephum evaluará la reclamación y notificará al cliente involucrado. Si el material se encuentra fuera de las plataformas de Sephum, orientará al reclamante sobre los mecanismos disponibles para solicitar su retiro.

10. Bases legales del tratamiento

La siguiente tabla resume las bases legales que sustentan cada finalidad:

11. Vigencia y modificaciones

Esta política entra en vigencia desde su publicación. Sephum podrá modificarla en cualquier momento, informando los cambios sustanciales con antelación razonable a través de sus canales (sitio web, portal o correo electrónico).

Si el titular no manifiesta oposición dentro de los treinta (30) días calendario siguientes a la notificación, se entenderá que acepta las nuevas condiciones.

12. Información de contacto

El responsable del tratamiento de datos personales es:

Para cualquier consulta, solicitud o reclamación relacionada con el tratamiento de datos personales, puede comunicarse a través de privacidad@sephum.com. Si considera que sus derechos no han sido atendidos adecuadamente, puede acudir ante la Superintendencia de Industria y Comercio (www.sic.gov.co).

13. Definiciones

Los siguientes términos tienen el significado que se les atribuye a continuación:

• Dato personal: cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable.
• Dato sensible: aquel que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación (biométricos, salud, origen racial o étnico, orientación política, convicciones religiosas, entre otros).
• Titular: persona natural cuyos datos son objeto de tratamiento.
• Responsable del tratamiento: persona que decide sobre la base de datos y el tratamiento.
• Encargado del tratamiento: persona que realiza el tratamiento por cuenta del responsable.
• Tratamiento: cualquier operación sobre datos personales (recolección, almacenamiento, uso, circulación, supresión).
• Autorización: consentimiento previo, expreso e informado del titular.
• Transferencia: envío de datos a un tercero como nuevo responsable.
• Transmisión: comunicación de datos a un encargado para su tratamiento por cuenta del responsable.