Política de Tratamiento de Datos Personales

1. Responsable del Tratamiento

El Responsable del Tratamiento de los datos personales recolectados a través de Somos REACTIVA es:

Carlos Eduardo Mafla Paz

• Persona natural — Responsable de Somos REACTIVA
• Domicilio: Popayán, Cauca, Colombia
• Dirección: Carrera 10 #5-44 Centro, Popayán, Cauca, Colombia
• Teléfono: +57 321 565 6712
• Correo para asuntos de privacidad: privacidad@somosreactiva.co
• Sitio web: https://somosreactiva.co

Para efectos de esta Política, “Somos REACTIVA”, “REACTIVA”, “la Plataforma”, “nosotros” o expresiones equivalentes se refieren al proyecto digital operado por el Responsable anteriormente identificado.

2. Objeto

Esta Política establece las reglas mediante las cuales Somos REACTIVA recolecta, almacena, consulta, organiza, utiliza, actualiza, comparte, transmite, anonimiza, archiva y, cuando proceda, elimina datos personales.

Nuestro objetivo es tratar únicamente la información necesaria para operar una plataforma orientada a la recuperación de medios de vida después de desastres, conectando personas y unidades productivas afectadas con ciudadanos, profesionales, empresas e instituciones capaces de aportar recursos, servicios, conocimiento y capacidades.

3. Marco general

El Tratamiento se realizará respetando los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad establecidos por la normativa colombiana de protección de datos personales.

La autorización será solicitada de manera previa, expresa e informada cuando resulte necesaria y se conservará evidencia de su otorgamiento.

La aceptación de esta Política no sustituye las autorizaciones específicas requeridas para determinados tratamientos.

4. A quién aplica esta Política

Puede comprender información de:

• usuarios registrados;
• propietarios o responsables de unidades productivas afectadas;
• trabajadores independientes;
• emprendedores;
• representantes de empresas;
• ciudadanos que quieran aportar;
• profesionales voluntarios;
• proveedores;
• verificadores;
• representantes de universidades;
• organizaciones sociales;
• entidades públicas o privadas;
• personas que soliciten servicios mediante REACTIVA CONECTA;
• visitantes del sitio web;
• personas que contacten directamente a Somos REACTIVA.

5. Categorías de información que podremos tratar

5.1. Datos de identificación y cuenta

• nombres y apellidos;
• correo electrónico;
• número telefónico;
• municipio y departamento;
• información de autenticación;
• rol dentro de la Plataforma;
• organización a la que pertenece el usuario;
• datos necesarios para validar su identidad.

Las contraseñas no deben almacenarse en texto legible por Somos REACTIVA y serán gestionadas mediante los mecanismos de autenticación implementados en la infraestructura tecnológica.

5.2. Datos de unidades productivas y casos de reactivación

• nombre comercial;
• actividad económica;
• ubicación;
• descripción de la afectación;
• número de empleos vinculados;
• necesidades identificadas;
• fotografías y videos;
• cotizaciones;
• facturas o soportes;
• documentos comerciales;
• información necesaria para verificar la existencia del negocio;
• estimaciones de pérdidas;
• Plan Mínimo de Reactivación — PMR;
• información relacionada con aportes y soluciones recibidas;
• evidencia de reapertura;
• información de seguimiento.

La información privada del expediente estará separada de la información expresamente autorizada para publicación.

6. Información pública y expediente privado

Somos REACTIVA aplica el principio de separación entre:

Perfil público

Puede contener, previa autorización:

• nombre comercial;
• municipio;
• actividad económica;
• historia autorizada;
• fotografías autorizadas;
• necesidades del PMR;
• estado de reactivación;
• cantidad de empleos vinculados;
• nivel de verificación;
• avance del caso;
• resultados de impacto.

Expediente privado

• identificación personal;
• teléfono;
• dirección exacta;
• documentos;
• cotizaciones;
• información financiera;
• fotografías no autorizadas para publicación;
• notas de verificación;
• datos de contacto;
• información utilizada para prevenir fraude;
• información administrativa.

7. Información de aportantes, empresas y proveedores

Podremos tratar información necesaria para:

• identificar al aportante;
• registrar una intención de ayuda;
• relacionar un aporte con una necesidad;
• documentar entregas;
• verificar productos o servicios;
• conectar proveedores;
• generar trazabilidad;
• medir impacto;
• gestionar programas empresariales o institucionales.

Durante el MVP, Somos REACTIVA no pretende custodiar directamente recursos económicos destinados a los casos publicados.

Cuando un pago se realice directamente entre aportantes, proveedores, beneficiarios u otros terceros, Somos REACTIVA podrá registrar evidencia de la operación con fines de trazabilidad, pero no se convierte por ello en entidad financiera ni custodio del dinero.

8. Profesionales de REACTIVA CONECTA

Para administrar la red profesional podremos tratar:

• identidad;
• profesión;
• especialidades;
• formación;
• experiencia;
• tarjeta, licencia o matrícula profesional cuando corresponda;
• documentos que permitan verificar credenciales;
• institución a la que pertenece;
• servicios ofrecidos;
• modalidad presencial, remota o híbrida;
• territorios atendidos;
• disponibilidad;
• cupos;
• historial operativo de solicitudes y servicios;
• valor equivalente estimado de horas aportadas.

Los documentos utilizados para verificar credenciales no serán publicados.

La Plataforma podrá mostrar públicamente indicadores como “Profesional verificado” cuando corresponda.

9. Solicitudes privadas de REACTIVA CONECTA

Una persona podrá solicitar determinados servicios sin necesidad de tener un caso productivo público en REACTIVA CORE. Estas solicitudes estarán separadas de los casos públicos.

Podremos tratar únicamente la información necesaria para:

• entender la categoría general de la solicitud;
• verificar elegibilidad territorial;
• realizar matching;
• gestionar disponibilidad;
• contactar al profesional;
• programar el servicio;
• registrar su realización;
• gestionar una eventual derivación;
• medir resultados de manera agregada.

La existencia de una solicitud privada de CONECTA no será publicada.

10. Datos sensibles y Primeros Auxilios Psicológicos

Algunas solicitudes de REACTIVA CONECTA, particularmente aquellas relacionadas con Primeros Auxilios Psicológicos —PAP—, podrían involucrar información relacionada con el bienestar o la salud de una persona. Los datos relativos a la salud tienen la naturaleza de datos sensibles.

Cuando sea necesario tratar este tipo de información:

• se solicitará autorización explícita y separada;
• se informará al Titular sobre el carácter sensible de la información;
• se procurará recolectar exclusivamente los datos mínimos necesarios;
• la información no será utilizada para perfiles públicos;
• no será utilizada para publicidad;
• no se utilizará para historias de impacto sin una autorización posterior, específica e independiente;
• no será utilizada por sistemas de IA para emitir diagnósticos, evaluar salud mental o tomar decisiones clínicas.

Durante el MVP de PAP, Somos REACTIVA no pretende almacenar:

• historias clínicas;
• diagnósticos;
• notas terapéuticas;
• grabaciones;
• transcripciones de sesiones;
• prescripciones médicas;
• resultados de pruebas psicológicas.

La Plataforma deberá limitarse principalmente a información operacional como solicitud, matching, disponibilidad, programación, realización y eventual derivación.

11. Finalidades generales del Tratamiento

Los datos podrán ser tratados para:

1. crear y administrar cuentas;
2. autenticar usuarios;
3. verificar identidades y roles;
4. recibir solicitudes;
5. verificar casos productivos;
6. identificar afectaciones;
7. estructurar Planes Mínimos de Reactivación;
8. publicar casos previamente autorizados;
9. conectar necesidades con capacidades;
10. registrar aportes y compromisos;
11. gestionar proveedores;
12. verificar entregas;
13. administrar profesionales y credenciales;
14. gestionar solicitudes privadas de CONECTA;
15. realizar matching;
16. enviar comunicaciones operativas;
17. generar reportes;
18. prevenir fraude;
19. proteger la seguridad de la Plataforma;
20. investigar incidentes;
21. mantener registros de auditoría;
22. medir resultados e impacto;
23. crear estadísticas agregadas;
24. mejorar la experiencia del producto;
25. cumplir obligaciones legales;
26. atender requerimientos de autoridades;
27. ejercer o defender derechos;
28. gestionar consultas y reclamos de los Titulares.

12. Inteligencia artificial y herramientas automatizadas

Somos REACTIVA podrá utilizar herramientas de inteligencia artificial o automatización para asistir tareas como:

• clasificación de solicitudes;
• estructuración preliminar de necesidades;
• borradores de PMR;
• resumen de expedientes;
• detección de posibles duplicados;
• identificación de inconsistencias;
• sugerencias de matching;
• borradores de comunicaciones.

La IA tendrá una función asistiva. No deberá adoptar por sí sola decisiones definitivas sobre:

• aceptación o rechazo de casos;
• asignación definitiva de ayudas;
• prioridad definitiva de beneficiarios;
• verificación de credenciales;
• diagnósticos médicos o psicológicos;
• derivaciones clínicas;
• riesgo psicológico;
• decisiones que puedan producir efectos significativos sobre una persona.

Las decisiones relevantes estarán sujetas a intervención humana autorizada.

13. Publicación de historias, fotografías y casos

El Tratamiento general de un caso no implica automáticamente autorización para hacerlo público. Somos REACTIVA solicitará consentimientos diferenciados, según corresponda, para:

• publicar el perfil del caso;
• utilizar fotografías o videos;
• contar historias;
• utilizar testimonios;
• compartir determinadas piezas en redes sociales o comunicaciones institucionales.

El Titular podrá negarse a usos comunicacionales opcionales sin que ello implique necesariamente la imposibilidad de tramitar privadamente su solicitud.

14. Compartir información con aliados

Somos REACTIVA podrá compartir información estrictamente necesaria con:

• verificadores;
• profesionales;
• empresas aportantes;
• universidades;
• Cámaras de Comercio;
• organizaciones sociales;
• entidades territoriales;
• proveedores;
• organizaciones que participen en la solución de un caso.

Esto deberá realizarse cuando exista autorización, obligación legal u otra base jurídica aplicable y respetando los principios de necesidad y acceso restringido.

Un aliado no adquiere por el solo hecho de participar autorización para consultar el expediente completo.

15. Proveedores tecnológicos

Somos REACTIVA utiliza o podrá utilizar terceros especializados para funciones como:

• infraestructura y base de datos;
• autenticación;
• alojamiento;
• almacenamiento;
• correo electrónico;
• análisis de rendimiento;
• observabilidad y gestión de errores;
• inteligencia artificial;
• comunicaciones;
• seguridad.

Entre las tecnologías actualmente contempladas se encuentran Supabase, Sentry y PostHog. Estos proveedores podrán actuar como Encargados u otros participantes del Tratamiento, dependiendo de la relación jurídica y técnica aplicable.

Podrán existir transmisiones internacionales de información como consecuencia del uso de infraestructura tecnológica ubicada fuera de Colombia. Somos REACTIVA procurará limitar la información compartida al mínimo necesario y adoptar las salvaguardas contractuales, técnicas y organizativas aplicables.

16. Geolocalización y herramientas tecnológicas

Para ubicar con precisión las unidades productivas afectadas y validar su elegibilidad operativa, la Plataforma utiliza Google Maps y Google Places API como herramientas cartográficas y de búsqueda de direcciones.

Qué datos de ubicación podemos tratar

• dirección o lugar seleccionado por el usuario;
• coordenadas aproximadas o exactas del punto de afectación;
• identificador de lugar de Google (google_place_id);
• municipio y departamento asociados a la ubicación.

La captura de la ubicación exacta mediante el GPS del dispositivo ocurre únicamente con el consentimiento del usuario, otorgado a través del permiso del navegador. El usuario siempre puede rechazarlo y ubicar el punto manualmente en el mapa o escribir la dirección.

Estos datos se usan exclusivamente para verificar si la afectación ocurrió dentro de una zona operativa habilitada, coordinar la verificación territorial y hacer seguimiento al caso. No se utilizan para publicidad, perfilamiento comercial ni venta de datos, y no se comparten con terceros con fines publicitarios.

17. Analítica y telemetría

La Plataforma podrá recopilar información técnica necesaria para:

• detectar errores;
• prevenir ataques;
• comprender el funcionamiento del servicio;
• medir rendimiento;
• conocer patrones generales de utilización;
• mejorar el producto.

Cuando utilicemos herramientas de analítica u observabilidad, procuraremos aplicar configuraciones de minimización como enmascaramiento de campos, exclusión de contenidos sensibles y limitación de identificadores innecesarios.

La información de PAP y otros formularios sensibles deberá excluirse, en la medida técnicamente posible, de herramientas de grabación o analítica de contenido.

18. Comunicaciones

Comunicaciones operativas

Necesarias para la prestación del servicio, por ejemplo:

• confirmación de una solicitud;
• información pendiente;
• cambios de estado;
• matches;
• citas;
• verificación;
• alertas de seguridad.

Comunicaciones opcionales

• novedades;
• campañas;
• historias;
• convocatorias;
• contenidos promocionales.

Las comunicaciones opcionales deberán ofrecer mecanismos razonables para dejar de recibirlas.

19. Datos de niños, niñas y adolescentes

Durante el piloto, el registro general y las solicitudes directas de REACTIVA CONECTA estarán orientadas principalmente a mayores de 18 años.

El Tratamiento de datos de menores será excepcional y requerirá un flujo específico que respete sus derechos prevalentes y las autorizaciones y condiciones que correspondan.

Somos REACTIVA no pretende habilitar PAP directo para menores dentro del MVP sin un protocolo específico previamente validado.

20. Seguridad

Somos REACTIVA adoptará medidas técnicas y organizativas razonables para proteger los datos contra pérdida, alteración, acceso no autorizado, divulgación indebida, destrucción y uso fraudulento.

Entre las medidas previstas podrán encontrarse:

• Row Level Security;
• separación de roles;
• almacenamiento privado;
• URLs temporales;
• MFA para cuentas privilegiadas;
• registros de auditoría;
• minimización de datos;
• políticas deny-by-default;
• limitación de permisos;
• monitoreo de errores e incidentes.

Ningún sistema tecnológico puede garantizar un riesgo de seguridad igual a cero.

21. Conservación de información

La información será conservada durante el tiempo necesario para las finalidades para las cuales fue recolectada y, posteriormente, cuando sea necesario para obligaciones legales, trazabilidad, seguridad, auditoría, resolución de controversias o defensa de derechos.

Cuando una finalidad desaparezca y no exista obligación o justificación para conservar los datos, estos deberán eliminarse, anonimizarse o bloquearse según resulte técnicamente y jurídicamente apropiado.

Los datos sensibles de PAP tendrán criterios de minimización y conservación especialmente restrictivos. Los registros puramente operativos podrán conservar estados mínimos como COMPLETED o REFERRED sin conservar contenido de la interacción.

22. Derechos de los Titulares

• conocer sus datos;
• acceder a ellos;
• solicitar actualización;
• solicitar rectificación;
• solicitar prueba de su autorización cuando proceda;
• conocer las finalidades y usos realizados;
• presentar consultas;
• presentar reclamos;
• solicitar supresión cuando proceda;
• solicitar revocación de una autorización cuando proceda;
• presentar queja ante la autoridad competente después de agotar el procedimiento correspondiente;
• acceder gratuitamente a sus datos en los términos legales.

23. Cómo ejercer los derechos

Las solicitudes podrán enviarse a privacidad@somosreactiva.co. También podrán remitirse a Carlos Eduardo Mafla Paz — Somos REACTIVA, Carrera 10 #5-44 Centro, Popayán, Cauca, Colombia. Teléfono de contacto: +57 321 565 6712.

También puedes utilizar el formulario disponible en /mis-datos.

La solicitud debe permitir identificar razonablemente al Titular y explicar qué pretende. Podremos solicitar información adicional estrictamente necesaria para verificar identidad y prevenir divulgación de información a terceros no autorizados.

24. Consultas

Las consultas sobre información personal serán atendidas dentro de los términos establecidos por la legislación colombiana. Como regla general, el término máximo es de diez (10) días hábiles desde la recepción.

Cuando no sea posible responder dentro de ese plazo, se informará el motivo y la nueva fecha, que no podrá superar los cinco (5) días hábiles siguientes al vencimiento inicial.

25. Reclamos

Las solicitudes relacionadas con corrección, actualización, supresión, revocación o presunto incumplimiento serán tratadas como reclamos. El término general máximo para resolver un reclamo completo es de quince (15) días hábiles contados desde el día siguiente a su recepción.

Cuando sea imposible responder dentro de dicho término, se informará la razón y la nueva fecha, que no podrá superar los ocho (8) días hábiles siguientes. Si el reclamo está incompleto, podrá solicitarse su subsanación dentro de los cinco (5) días siguientes a su recepción. Si transcurren dos (2) meses desde ese requerimiento sin que se complete la información, podrá entenderse desistido el reclamo.

26. Supresión y revocación

La revocación de una autorización o solicitud de supresión no implica necesariamente eliminación inmediata de toda información. Podrá conservarse aquella que deba mantenerse para:

• cumplir obligaciones legales;
• conservar evidencia de operaciones;
• resolver controversias;
• prevenir fraude;
• ejercer derechos;
• proteger la seguridad;
• mantener información que no dependa jurídicamente de la autorización revocada.

Cuando la supresión sea procedente, se realizará de forma que la información deje de ser utilizada activamente para la finalidad revocada.

27. Modificaciones

Esta Política podrá cambiar como consecuencia de:

• evolución del producto;
• nuevos servicios;
• cambios tecnológicos;
• cambios normativos;
• incorporación de una persona jurídica;
• nuevas categorías de datos;
• nuevos tratamientos relevantes.

Los cambios sustanciales serán comunicados mediante mecanismos apropiados y, cuando corresponda, se solicitará una nueva autorización. Las versiones serán identificadas mediante número y fecha.

28. Vigencia

Esta Política entra en vigencia el 14/08/2026. Las bases de datos permanecerán vigentes mientras Somos REACTIVA opere y mientras subsistan las finalidades legítimas para las cuales se realiza el Tratamiento, sin perjuicio de los periodos de conservación que resulten legalmente necesarios.