Política de tratamiento de datos personales

Esta política se expide en cumplimiento de la Ley Estatutaria 1581 de 2012 y el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) y se complementa con las normas de cada país donde opera Avala (tabla al final). Las bases de datos de Avala se inscriben en el Registro Nacional de Bases de Datos de la Superintendencia de Industria y Comercio cuando se cumplan los supuestos de inscripción.

Responsable

[Razón social S.A.S., NIT, domicilio], correo datos@avala.com.co.

Datos que tratamos y para qué

• Familias: celular, nombre, país, historial de contactos y reseñas. Finalidad: operar el directorio, prevenir fraude y permitir reseñas verificadas.
• Profesionales: datos de perfil, tarifas, zonas, formación y referencias. Finalidad: publicar el perfil y otorgar sellos.
• Datos sensibles (imagen del documento y biometría): solo para verificar identidad, con autorización explícita y separada. Su entrega es facultativa, pero sin ella no se puede publicar el perfil.
• Antecedentes y registros oficiales (ReTHUS u homólogo, antecedentes judiciales, disciplinarios y fiscales, inhabilidades para trabajar con menores): con autorización del titular, solo para otorgar sellos. Los resultados detallados nunca se publican.

Visibilidad pública frente a custodia privada

Lo que no hacemos

• No vendemos ni compartimos datos con terceros para publicidad.
• No pedimos ni publicamos diagnósticos ni historias clínicas; las reseñas se filtran para proteger los datos de salud del paciente.

Seguridad y conservación

Cifrado en tránsito y en reposo (AES-256-GCM para documentos y números de identidad), acceso restringido por rol con registro de auditoría de cada consulta a documentos, y conservación limitada: las evidencias de verificación se guardan durante la vigencia del sello y 12 meses más, salvo deber legal de conservarlas por más tiempo.

Transferencias internacionales

Si los servidores o proveedores están fuera del país del titular, la transferencia se realiza a países con nivel adecuado de protección o con las garantías contractuales exigidas por la autoridad de cada país.

Derechos de los titulares

Conocer, actualizar, rectificar y suprimir los datos, revocar la autorización y presentar quejas ante la autoridad competente. Se ejercen en Mis datos o por correo. En Colombia, las consultas se atienden en máximo 10 días hábiles y los reclamos en máximo 15 días hábiles.

Usuarios en la Unión Europea y España (RGPD)

• Bases jurídicas: ejecución del contrato (cuenta y directorio), consentimiento explícito (datos biométricos y antecedentes, art. 9.2.a RGPD) e interés legítimo (prevención de fraude).
• Derechos: acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad; derecho a no ser objeto de decisiones exclusivamente automatizadas (toda aprobación de perfiles es humana).
• Autoridad de control: Agencia Española de Protección de Datos (AEPD). Se designará un delegado de protección de datos y un representante en la UE si corresponde (art. 27 RGPD).

Normativa aplicable por país