Esta política explica cómo Cetus trata los datos personales, en cumplimiento de la Ley 1581 de 2012, el Decreto 1074 de 2015 (capítulo 25, que compila el Decreto 1377 de 2013) y las demás normas que los modifiquen o complementen.
1. Responsable del tratamiento
- Nombre: Carlos Andrés Pavajeau Max
- Identificación: C.C. 1007870923
- Domicilio: Carrera 11 #13B-62, Obrero, Valledupar, Cesar, Colombia
- Correo electrónico: [email protected]
Las consultas y reclamos sobre datos personales los atiende el responsable a través de ese correo.
2. Definiciones
- Titular: la persona natural a quien se refieren los datos.
- Tratamiento: cualquier operación sobre datos personales, como recolectarlos, almacenarlos, usarlos, circularlos o suprimirlos.
- Responsable: quien decide sobre la base de datos y su tratamiento.
- Encargado: quien trata datos por cuenta del responsable.
- Autorización: el consentimiento previo, expreso e informado del titular.
3. Datos que tratamos como responsable y para qué
Usuarios de la consola: nombre, correo electrónico, contraseña (guardada solo como un resumen criptográfico que no permite recuperarla), configuración de verificación en dos pasos, organizaciones y roles, y la dirección IP y el navegador de cada sesión. Los usamos para crear y proteger la cuenta, autenticar el acceso, enviar los correos de verificación y recuperación, registrar la actividad para auditoría y seguridad, y dar soporte.
Contactos de la cuenta: los correos técnicos, fiscales y de facturación que registra el Cliente. Los usamos para enviar avisos del servicio, como vencimientos de certificados, fallos de webhooks, consumo del plan y suspensiones.
Datos de los emisores: cuando el emisor es una persona natural, su nombre, NIT, dirección, teléfono, correo y responsabilidades tributarias, además de su certificado de firma digital y las credenciales del software ante la DIAN. Los usamos para firmar y transmitir sus documentos. Los certificados y las credenciales se guardan cifrados y nadie del equipo de Cetus puede descargarlos.
Facturación del servicio: los datos necesarios para facturar y cobrar el plan al Cliente y para cumplir las obligaciones contables y tributarias de Cetus.
Comunicaciones comerciales: solo con autorización separada, que se puede revocar en cualquier momento, Cetus puede enviar novedades del producto. Los avisos del servicio no son comunicaciones comerciales.
4. Datos que tratamos como encargado
Los documentos electrónicos que el Cliente expide con Cetus contienen datos de sus adquirientes y de otras personas (nombre, identificación, dirección, teléfono, correo y detalle de la operación). Sobre esos datos el responsable es el Cliente; Cetus los trata solo por su cuenta y para generar, transmitir, entregar y conservar sus documentos, según el acuerdo de encargo de datos. El Cliente es quien debe contar con la autorización de esos titulares cuando la ley la exige, y las solicitudes de los adquirientes se atienden con él.
5. Autorización
El usuario autoriza el tratamiento al crear su cuenta, marcando la casilla de aceptación. Cetus conserva la prueba de esa autorización: la versión aceptada, la fecha, la dirección IP y el navegador. Cetus no trata datos sensibles ni datos de niños, niñas o adolescentes; el servicio está dirigido a mayores de edad que actúan en nombre de una empresa o de su propia actividad.
6. Derechos de los titulares
De acuerdo con el artículo 8 de la Ley 1581 de 2012, el titular tiene derecho a:
- Conocer, actualizar y rectificar sus datos.
- Solicitar prueba de la autorización otorgada.
- Ser informado sobre el uso que se ha dado a sus datos.
- Presentar quejas ante la Superintendencia de Industria y Comercio, después de agotar el trámite de consulta o reclamo ante Cetus.
- Revocar la autorización o pedir la supresión de sus datos, cuando no exista un deber legal o contractual de conservarlos.
- Acceder de forma gratuita a sus datos.
Muchos de estos datos se pueden consultar y actualizar directamente desde la consola. Para lo demás, escribe a [email protected].
7. Consultas y reclamos
Consultas: se atienden en un máximo de diez días hábiles desde su recibo. Si no es posible en ese plazo, se informará el motivo y la nueva fecha, que no superará cinco días hábiles adicionales.
Reclamos (corrección, actualización, supresión o incumplimiento): deben incluir la identificación del titular, la descripción de los hechos, la dirección de respuesta y los documentos que se quieran hacer valer. Si el reclamo está incompleto, se pedirá completarlo dentro de los cinco días siguientes; si pasan dos meses sin respuesta, se entenderá desistido. Los reclamos se atienden en un máximo de quince días hábiles, prorrogables hasta por ocho días hábiles más avisando el motivo. Mientras se tramita, el dato quedará marcado como «reclamo en trámite».
Puede presentar la solicitud el titular, sus causahabientes, su representante o apoderado, o quien actúe por estipulación a favor de otro, acreditando su calidad.
8. Encargados y transferencia internacional
Para prestar el servicio, Cetus se apoya en los siguientes proveedores, que tratan datos por su cuenta y bajo obligaciones de confidencialidad y seguridad:
- Railway: alojamiento de las aplicaciones, en Virginia, Estados Unidos.
- PlanetScale: base de datos, en Virginia, Estados Unidos.
- Amazon Web Services: almacenamiento de documentos y cifrado de secretos, en Virginia, Estados Unidos.
- Cloudflare: red de entrega y protección del tráfico de la consola.
- Resend: envío de correos electrónicos, en Estados Unidos.
Esto implica una transmisión internacional de datos a Estados Unidos, país que la Superintendencia de Industria y Comercio reconoce con un nivel adecuado de protección. Además, Cetus envía a la DIAN los documentos electrónicos, como lo exige la ley, y entrega por correo los documentos a las direcciones que indica el Cliente.
9. Seguridad
Cetus aplica medidas técnicas y administrativas para proteger los datos: conexiones cifradas, cifrado de certificados y credenciales con llaves administradas, verificación en dos pasos obligatoria para su equipo, permisos mínimos por servicio, registro de auditoría y almacenamiento de documentos que impide modificarlos. Si ocurre un incidente que afecte datos personales, Cetus lo informará a los afectados y a la Superintendencia de Industria y Comercio según la normativa.
10. Cookies
La consola usa solo cookies necesarias: la de la sesión y la que recuerda el ambiente elegido. Cetus no usa cookies de publicidad ni de analítica de terceros.
11. Conservación
- Datos de la cuenta y sus usuarios: mientras la cuenta esté activa.
- Documentos de producción y sus respuestas de la DIAN: cinco años desde su expedición.
- Documentos de simulación: diez días.
- Avisos enviados a los contactos: un año.
- Registro de peticiones a la API: treinta días.
- Prueba de la autorización y registro de auditoría: mientras exista la cuenta y el tiempo que exijan las normas aplicables.
Al vencer esos plazos, o cuando el titular lo pida y no exista un deber de conservarlos, los datos se suprimen.
12. Vigencia y cambios
Esta política rige desde la fecha indicada al inicio. Las bases de datos estarán vigentes mientras Cetus preste el servicio y durante los plazos de conservación anteriores. Los cambios sustanciales se avisarán por correo electrónico y en la consola, que pedirá aceptar la nueva versión.