Política de Tratamiento de Datos Personales
1. Identificación del Responsable y del Encargado del Tratamiento
Responsable del Tratamiento: La notaría o empresa usuaria del sistema registrada en la plataforma, en los términos del artículo 3 literal e) de la Ley 1581 de 2012. El Responsable determina los fines y medios del tratamiento, y puede ser contactado a través del administrador del sistema o del canal oficial que la notaría haya establecido.
Encargado del Tratamiento: Notarialai, proveedor tecnológico, actúa en calidad de Encargado en los términos del artículo 3 literal d) de la Ley 1581 de 2012, accediendo a los datos personales exclusivamente para proveer, mantener y mejorar el sistema de gestión notarial, sin que le sea permitido usar los datos para fines distintos a los instruidos por el Responsable.
2. Marco Normativo
Esta política se adopta en cumplimiento del ordenamiento jurídico colombiano vigente en materia de protección de datos personales, derechos digitales y seguridad de la información:
- Constitución Política de Colombia, artículo 15: Derecho a la intimidad, al buen nombre y al habeas data como derecho fundamental autónomo.
- Ley Estatutaria 1581 de 2012: Régimen general de protección de datos personales.
- Decreto 1377 de 2013 (compilado en el Decreto Único Reglamentario 1074 de 2015): Desarrolla la Ley 1581.
- Ley 1266 de 2008: Régimen especial de habeas data financiero, crediticio y comercial.
- Ley 1712 de 2014: Transparencia y acceso a la información pública.
- Ley 527 de 1999 y Ley 962 de 2005: Validez jurídica de los mensajes de datos y documentos electrónicos.
- Circular Única de la SIC — Título V: Instrucciones para el registro de bases de datos.
Jurisprudencia relevante: SU-082/1995, SU-089/1995, T-729/2002, C-748/2011, T-294/2023, T-360/2022, T-067/2025, T-256/2025, Boletín Temático Sala Plena 2026 «Derechos en el Escenario Digital y de las TIC».
3. Definiciones
| Término | Definición |
|---|---|
| Dato personal | Cualquier información vinculada o asociable a una o varias personas naturales determinadas o determinables (Ley 1581, art. 3 lit. c). |
| Dato sensible | Dato que afecta la intimidad o puede generar discriminación: datos de salud, biométricos, orientación sexual, origen racial o étnico, convicciones políticas o religiosas. |
| Tratamiento | Cualquier operación sobre datos personales: recolección, almacenamiento, uso, circulación, supresión, etc. |
| Titular | Persona natural cuyos datos son objeto de tratamiento. |
| Autorización | Consentimiento previo, expreso e informado del Titular para el tratamiento. |
| SIC | Superintendencia de Industria y Comercio; autoridad de protección de datos personales en Colombia. |
| RBAC | Control de Acceso Basado en Roles. |
4. Categorías de Datos Personales Tratados por Módulo
El sistema trata las siguientes categorías según el módulo utilizado, delimitadas al mínimo necesario (principio de minimización):
- Usuarios: nombre, correo, contraseña (hash bcrypt), rol RBAC, empresa, estado de cuenta.
- Clientes: nombres, documento de identidad, tipo de persona, correos, teléfonos, direcciones, estado civil.
- Contactos: nombres, documento, cargo, empresa, correos, teléfonos.
- Negociaciones: datos de partes, tipo de acto, valor económico, datos de inmuebles.
- Escrituras y actos notariales: número de escritura, fecha, tipo de acto, datos de otorgantes.
- Documentos: nombre, tipo, formato, URL en Azure Blob Storage.
- Facturas y pagos: datos del cliente, valor, estado de pago, referencia de transacción (Mercado Pago). No se almacenan datos de tarjetas.
- NIR y Certificados: matrícula inmobiliaria, municipio, NIR, estado del trámite, usuario solicitante.
- Correo electrónico (Gmail/Outlook): tokens OAuth cifrados, alcance autorizado por el Titular.
5. Principios Rectores
Conforme al artículo 4 de la Ley 1581 de 2012: Legalidad, Libertad, Finalidad, Veracidad/Calidad, Necesidad/Minimización, Transparencia, Acceso y circulación restringida, Temporalidad, Incorporación, Seguridad, Confidencialidad, Responsabilidad demostrada (accountability).
6. Finalidades del Tratamiento
Gestión de usuarios y RBAC; registro y tramitación de clientes, contactos, negociaciones y actos notariales; almacenamiento de documentos; consulta al portal SNR; liquidación de tarifas; radicación de rentas; gestión de citas; certificados de tradición y libertad; pagos vía Mercado Pago; suscripciones; vinculación voluntaria de correo; mensajería interna; alertas; reportes; cumplimiento legal; prevención de fraudes; auditoría; mejora del servicio.
7. Derechos del Titular (Habeas Data)
Conocer, Actualizar, Rectificar, Suprimir/Excluir, Revocar la autorización, Presentar quejas ante la SIC, Derecho al olvido digital, No ser objeto de decisiones exclusivamente automatizadas, Privacidad de comunicaciones digitales, Información sobre herramientas digitales.
8. Procedimiento para el Ejercicio de Derechos
Presentar la solicitud al administrador del sistema o canal oficial de la notaría. Consultas: 10 días hábiles. Reclamos: 15 días hábiles. Canal SIC: www.sic.gov.co — Línea Nacional: 01 8000 910 165.
9. Transferencia y Transmisión a Terceros
Microsoft Azure (almacenamiento), NeonDB (base de datos), Mercado Pago (pagos), Google/Microsoft (OAuth), SNR (portal público), Redis (sesiones). Todos los Encargados están contractualmente obligados.
10. Transferencia Internacional
Datos transferidos a EE.UU. (Azure, NeonDB, Google, Microsoft) y Argentina/EE.UU. (Mercado Pago). Se adoptan garantías contractuales y cláusulas de protección. El Titular otorga consentimiento informado al utilizar los módulos que implican transferencias.
11. Tratamiento de Datos Sensibles
El sistema puede contener datos sensibles en documentos adjuntos (ej. historia clínica en escritura de interdicción). El tratamiento se realiza por obligación legal; el acceso está restringido por RBAC; los documentos se almacenan cifrados.
12. Medidas de Seguridad
Técnicas: Contraseñas hash bcrypt, tokens OAuth cifrados, HTTPS/TLS, RBAC, aislamiento multi-tenant, Azure Blob Storage privado, JWT con expiración, bitácoras de auditoría, soft delete.
Administrativas: Capacitación, acuerdos de confidencialidad, revisiones de acceso, gestión de incidentes.
Continuidad: Backups automáticos, alta disponibilidad, monitoreo.
13. Plazos de Conservación
Escrituras: indefinido (archivo notarial). Usuarios: relación laboral + 5 años. Facturas: mínimo 10 años. Tokens OAuth: mientras la vinculación esté activa. Bitácoras: mínimo 5 años.
14–19. Otras disposiciones
Tratamiento automatizado sin decisiones exclusivamente automatizadas con efectos jurídicos significativos (T-067/2025). Derechos digitales. Obligaciones del usuario. Gestión de incidentes. Modificaciones notificadas con antelación. Vigencia: 19 de marzo de 2026.