POLÍTICA INTEGRAL DE TRATAMIENTO DE DATOS PERSONALES Y PRIVACIDAD DIGITAL
Con Régimen Especial para la Aplicación Móvil Oficial conforme a directrices de Google Play y Apple App Store
FONDO DE EMPLEADOS SUFONDO
IDENTIFICACIÓN INSTITUCIONAL DEL RESPONSABLE DEL TRATAMIENTO
| Elemento | Detalle Institucional |
|---|---|
| Razón Social: | Fondo de Empleados SUFONDO (Empresa del sector solidario sin ánimo de lucro) |
| Número de Identificación Tributaria (NIT): | 811.005.688-1 / 811.008.999-0 |
| Entidad de Vigilancia y Control: | Superintendencia de la Economía Solidaria (Supersolidaria) |
| Autoridad Nacional de Protección de Datos: | Superintendencia de Industria y Comercio (SIC) - Delegatura de Datos Personales |
| Vínculo Societario Empresarial: | Trabajadores y colaboradores vinculados a la Organización Corona |
| Domicilio Principal: | Carrera 48 No. 72 Sur 01, Avenida Las Vegas, Sabaneta, Antioquia, Colombia |
| Líneas de Atención Telefónica: | (604) 305-83-23 / (604) 305-82-00 Extensión 63714 |
| Correo Electrónico Oficial de Datos: | aalvarez@corona.com.co |
| Responsable Designado de la Custodia: | Gerencia General de SUFONDO (Resolución Junta Directiva Acuerdo 041) |
DIRECTRIZ DE UNIFICACIÓN INSTITUCIONAL Y DIGITAL: El presente documento consolida y unifica las políticas institucionales de protección de datos de SUFONDO con los requisitos técnicos y normativos exigidos para la publicación y funcionamiento de aplicaciones móviles en Google Play Store y Apple App Store. La unificación en un solo documento garantiza coherencia jurídica frente a la Superintendencia de Industria y Comercio (SIC), cumplimiento ante la Superintendencia de la Economía Solidaria y aprobación sin observaciones en las tiendas globales de distribución de software.
CAPÍTULO I: MARCO LEGAL, OBJETO Y PRINCIPIOS RECTORES
El Fondo de Empleados SUFONDO, en cumplimiento de sus atribuciones estatutarias y de las facultades otorgadas por su Junta Directiva, adopta la presente Política Integral de Tratamiento de Datos Personales y Privacidad Digital. El documento establece los criterios, pautas corporativas y procesos operacionales aplicables a la recolección, almacenamiento, uso, circulación, supresión y transmisión de los datos personales de sus asociados, empleados, proveedores, directivos y usuarios de sus canales digitales.
1.1. Marco Jurídico Vigente
La política se sustenta rigurosamente en las siguientes disposiciones legales colombianas e internacionales:
| • | Constitución Política de Colombia: Artículos 15 y 20 (Derechos fundamentales a la intimidad, buen nombre y hábeas data). |
|---|---|
| • | Ley Estatutaria 1581 de 2012: Por la cual se dictan disposiciones generales para la protección de datos personales. |
| • | Ley 1266 de 2008 y Ley 2157 de 2021: Que regulan el hábeas data financiero, crediticio, comercial y de servicios. |
| • | Decreto Único Reglamentario 1074 de 2015: Capítulo 25 (que compila el Decreto 1377 de 2013 y reglamenta el tratamiento de datos personales). |
| • | Decreto 886 de 2014 y Circular Externa 02 de 2015 de la SIC: Registro Nacional de Bases de Datos (RNBD). |
| • | Normativa de la Superintendencia de la Economía Solidaria (Supersolidaria): Circulares básicas jurídica y contable aplicables a fondos de empleados. |
| • | Políticas de Plataformas Móviles: Políticas del Programa para Desarrolladores de Google Play y Pautas de Revisión de la App Store de Apple (App Store Review Guidelines - Sección 5.1 Privacidad y Seguridad). |
1.2. Principios Rectores Aplicables
Todo acto de tratamiento realizado por el personal interno de SUFONDO, sus proveedores o sus canales tecnológicos observará los siguientes principios:
| • | Principio de Legalidad: El tratamiento es una actividad reglada sujeta estrictamente a la Constitución y la Ley. |
|---|---|
| • | Principio de Finalidad: El tratamiento obedece a propósitos institucionales, asociativos y crediticios legítimos, informados previamente al titular. |
| • | Principio de Libertad: Los datos solo se tratan con el consentimiento previo, expreso e informado del titular, salvo expresa excepción legal. |
| • | Principio de Veracidad o Calidad: La información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. |
| • | Principio de Transparencia: Se garantiza al titular el derecho a obtener en cualquier momento información sobre la existencia y uso de sus datos. |
| • | Principio de Acceso y Circulación Restringida: El tratamiento solo se realiza por personas autorizadas por el titular o facultadas por la ley. |
| • | Principio de Seguridad: La información se resguarda mediante medidas técnicas, humanas y administrativas que impidan su adulteración, pérdida o acceso indebido. |
| • | Principio de Confidencialidad: Todas las personas que intervienen en el tratamiento están obligadas profesionalmente a guardar reserva estricta de la información. |
CAPÍTULO II: CLASIFICACIÓN Y TIPOLOGÍA DE LOS DATOS RECOLECTADOS
En concordancia con el Acuerdo 041 de la Junta Directiva de SUFONDO y el marco legal colombiano, los datos personales administrados por la entidad se estructuran bajo las siguientes categorías técnicas:
| Tipo de Dato | Descripción y Datos Comprendidos | Finalidad y Tratamiento Autorizado |
|---|---|---|
| Datos Públicos | Certificados de existencia y representación legal, RUT, balances, información financiera pública de SUFONDO. En asociados: certificación del documento de identidad y nombre. | Operaciones comerciales con entidades públicas y privadas, presentación ante entes de supervisión y control (Supersolidaria, DIAN). |
| Datos Privados y Semiprivados | Número y copia de cédula, nombres completos, fecha de nacimiento, estado civil, número de hijos, dirección de vivienda, teléfonos, correo electrónico, salario, prestaciones, historial crediticio, saldos de ahorros y créditos en el sistema OPA. | Gestión del vínculo de asociación, liquidación de nómina con Organización Corona, colocación de créditos, evaluación de capacidad de pago y reporte a centrales de riesgo (Datacrédito / TransUnion). |
| Datos Sensibles | Huella dactilar y fotocopia del documento de identidad. En casos específicos y documentados: certificados sobre el estado de salud. | La huella dactilar y fotocopia del documento se usan exclusivamente para autenticación contractual y vinculación física. Los datos de salud se tratan de forma restringida para la radicación de siniestros ante pólizas de seguros colectivas (Delima Marsh). |
| Datos de Menores de Edad | Nombres completos, fecha de nacimiento, parentesco y datos de contacto de niños, niñas y adolescentes beneficiarios de asociados. | Inclusión voluntaria en programas de bienestar social, recreación, kits escolares y eventos decembrinos. Se autorizan siempre por sus representantes legales y las listas físicas se destruyen tras el evento. |
PROHIBICIÓN EXPRESA DE DISCRIMINACIÓN: SUFONDO prohíbe expresamente indagar o registrar datos sensibles relativos a convicciones religiosas, inclinaciones políticas, orientación sexual, origen racial o étnico, o pertenencia a organizaciones sindicales o de derechos humanos. Dichas variables son completamente ajenas a la naturaleza de la asociación solidaria.
CAPÍTULO III: FINALIDADES INSTITUCIONALES Y DIVULGACIÓN A TERCEROS
El tratamiento de datos personales por parte de SUFONDO se limita estrictamente al cumplimiento del vínculo estatutario, crediticio y solidario. Las finalidades autorizadas comprenden:
| 1. | Vincular al solicitante en calidad de asociado, verificar su condición de empleado de la empresa matriz (Organización Corona) y administrar su cuenta individual de ahorros y aportes obligatorios. |
|---|---|
| 2. | Evaluar la viabilidad crediticia, originar préstamos, formalizar pagarés, libranzas y garantías, e inscribir los reportes correspondientes ante los operadores de información financiera y crediticia. |
| 3. | Efectuar la retención y aplicación de pagos directos mediante descuento de nómina autorizado con la empresa generadora del vínculo societario. |
| 4. | Tramitar la expedición, renovación, cobro de primas y liquidación de siniestros de pólizas de seguros de vida, deudor, autos y hogar vinculadas a convenios colectivos. |
| 5. | Facilitar a los asociados el acceso a servicios de bienestar social, previsión exequial, telefonía móvil corporativa y convenios comerciales. |
| 6. | Suministrar información a los órganos internos de gobierno y fiscalización: Junta Directiva, Comité de Control Social y Revisoría Fiscal. |
| 7. | Atender requerimientos formales de la Superintendencia de la Economía Solidaria, la DIAN, jueces de la República y organismos de supervisión. |
3.1. Divulgación y Transferencia de Información a Terceros Receptores
SUFONDO no comercializa ni monetiza los datos personales. La transferencia o transmisión a terceros obedece exclusivamente a las siguientes alianzas operativas:
| • | Empresa Generadora del Vínculo (Organización Corona): Transmisión periódica de novedades de nómina para descuentos de aportes y cuotas de crédito, así como actualización de salarios y retiros de personal. |
|---|---|
| • | Corredor de Seguros Delima Marsh y Compañías Aseguradoras Aliadas: Remisión de bases de datos de asegurados que registran créditos activos (nombre, cédula, número de pagaré, saldo insoluto y fecha de nacimiento) para la vigencia de las pólizas de deudores, vida y bienes amparados. |
| • | Proveedores de Servicios Exequiales y Convenios Comerciales: Información básica de identificación para la expedición de contratos de afiliación asistencial debidamente autorizados por el asociado. |
| • | Firma Especializada de Custodia Documental (SETECSA): Custodia física externa de hojas de vida y expedientes inactivos de exempleados y exasociados, bajo estrictos protocolos de confidencialidad y control. |
| • | Proveedores de Tecnología y Servidores: Soporte de base de datos SQL del sistema operativo OPA, respaldos informáticos y canales de comunicación en la nube con cláusulas vinculantes de transmisión de datos. |
CAPÍTULO IV: RÉGIMEN ESPECÍFICO PARA LA APLICACIÓN MÓVIL Y CANALES DIGITALES
(Cláusula especial de cumplimiento para Google Play Store y Apple App Store)
Este capítulo constituye la Política de Privacidad de la Aplicación Móvil de SUFONDO (en adelante, la "App"), diseñada para dar cumplimiento integral a las normativas de las tiendas Google Play Store y Apple App Store, así como a los derechos de los usuarios en entornos virtuales.
4.1. Naturaleza y Funcionalidad de la App
La App de SUFONDO es una herramienta de consulta, información y gestión solidaria que permite a los asociados autenticarse para visualizar su estado de cuenta, movimientos de ahorro, saldo y cuotas de crédito, simuladores financieros, notificaciones institucionales y canales de contacto directo con la entidad. La App opera sobre una arquitectura cliente-servidor conectada de forma segura a los sistemas centrales de SUFONDO.
4.2. Categorías de Datos Recopilados a través de la App
| • | Datos de Identificación y Autenticación: Número de cédula de ciudadanía, clave o contraseña personal de acceso (PIN numérico o alfanumérico) y correo electrónico institucional o personal registrado. |
|---|---|
| • | Datos Financieros y Transaccionales: Consulta en tiempo real de saldos de ahorros permanentes y voluntarios, cupos disponibles, cuotas de préstamos, historial de amortización y extractos periódicos. |
| • | Datos Técnicos del Dispositivo y Registro: Dirección IP pública, identificador único de instalación móvil (UUID), marca y modelo del dispositivo, versión del sistema operativo (Android / iOS) y registros de fecha y hora de inicio de sesión con fines de auditoría y prevención de fraudes. |
4.3. Tratamiento de Permisos Móviles y Datos Biométricos
| • | Autenticación Biométrica Local (Touch ID, Face ID o Lector de Huella Android): Si el usuario activa el ingreso biométrico en su teléfono, la validación se realiza íntegra y exclusivamente en el entorno seguro local del dispositivo móvil (Secure Enclave en Apple iOS o Android BiometricPrompt API). SUFONDO nunca recopila, nunca transmite y nunca almacena en sus servidores las huellas digitales ni los patrones faciales del usuario. |
|---|---|
| • | Permiso de Almacenamiento / Archivos: Se solicita única y exclusivamente cuando el asociado decide descargar y guardar en la memoria de su teléfono un extracto de cuenta o certificado tributario en formato PDF. |
| • | Permiso de Notificaciones Push: Se utiliza para enviar avisos informativos sobre fechas límite de pago, asambleas de asociados, consignación de auxilios o alertas de seguridad. El usuario puede revocar este permiso en cualquier momento desde los ajustes de su sistema operativo. |
4.4. Procedimiento Obligatorio de Eliminación de Cuenta y Supresión de Datos
En cumplimiento de los requerimientos de la Sección 5.1.1 (v) de las Pautas de Revisión de Apple y de la Política de Eliminación de Datos de Google Play, SUFONDO garantiza a los usuarios el derecho a solicitar la eliminación de su cuenta digital en la App y la supresión de sus registros móviles siguiendo este procedimiento:
| 1. | El usuario debe enviar una comunicación escrita al correo electrónico aalvarez@corona.com.co indicando en el asunto: "SOLICITUD ELIMINACIÓN DE CUENTA APP SUFONDO", señalando sus nombres completos y número de cédula. |
|---|---|
| 2. | El equipo de sistemas procederá a deshabilitar las credenciales de acceso digital, revocar los tokens de autenticación y suprimir los registros técnicos de asociación del dispositivo en un plazo máximo de cinco (5) días hábiles. |
| 3. | Límites Legales de Conservación Contable: De conformidad con el artículo 60 del Código de Comercio colombiano, la Ley 962 de 2005 y la normativa de la Supersolidaria, la supresión de la cuenta digital no implica la destrucción de los soportes contables, contractuales, pagarés o registros de cartera histórica de SUFONDO, los cuales deben conservarse durante un periodo mínimo de diez (10) años por mandato legal expreso. |
REQUISITO TÉCNICO DE APROBACIÓN EN TIENDAS: Condición para la publicación en Google Play y Apple App Store: El texto de este Capítulo IV, o la totalidad de esta política, debe permanecer alojado en una página web estándar (HTML), con certificado SSL activo (https://), accesible en todo el mundo sin necesidad de contraseña ni inicio de sesión, exactamente en la URL reportada en las consolas de desarrollador.
CAPÍTULO V: MEDIDAS DE SEGURIDAD DE LA INFORMACIÓN Y GESTIÓN DE RIESGOS
SUFONDO implementa un sistema integral de controles de seguridad física, administrativa y tecnológica conforme a las directrices de la Ley 1581 de 2012 y las mejores prácticas en protección de activos de información:
5.1. Seguridad en Canales Digitales y Cifrado
| • | Protocolo Cifrado SSL/TLS (Cifrado en Tránsito): Toda comunicación entre la aplicación móvil, el portal web y los servidores de base de datos se transmite bajo canales seguros cifrados mediante protocolo HTTPS con certificados SSL robustos. |
|---|---|
| • | Políticas de Autenticación Segura: Acceso condicionado a credenciales individuales. El sistema bloquea automáticamente la cuenta tras intentos fallidos reiterados de inicio de sesión para impedir ataques de fuerza bruta. |
| • | Bases de Datos SQL y Copias de Respaldo: Los registros residen en servidores SQL de alta disponibilidad gestionados en coordinación con el área de sistemas de Organización Corona. Se realizan copias de seguridad (backups) automáticas con frecuencia diaria. |
5.2. Seguridad Física y Archivo Documental
| • | Custodia de Títulos Valores: Los pagarés firmados y escrituras de garantía hipotecaria se custodian bajo llave en archivadores de seguridad dentro de las oficinas de SUFONDO a cargo exclusivo de la Gerencia. |
|---|---|
| • | Hojas de Vida de Asociados Activos: Almacenadas en carpetas individuales en el Archivo Central cerrado de SUFONDO, con acceso restringido a personal autorizado. |
| • | Archivo Pasivo Externalizado (SETECSA): Los expedientes de asociados y exempleados inactivos se trasladan en custodia a la firma especializada SETECSA, con inventario codificado y trazabilidad de entrega. |
| • | Destrucción Segura de Soportes Físicos: Los documentos temporales, borradores o listas de control de eventos se destruyen mediante corte mecánico triturador para garantizar su irreductibilidad. |
5.3. Gestión de Incidentes de Seguridad
En caso de detectarse una vulneración de seguridad o incidente que comprometa la confidencialidad o integridad de las bases de datos, el Oficial de Protección de Datos de SUFONDO levantará un registro formal del suceso e informará a la Superintendencia de Industria y Comercio (SIC) a través del Registro Nacional de Bases de Datos (RNBD) dentro de los quince (15) días hábiles siguientes a su detección, procediendo a notificar a los titulares afectados cuando exista riesgo significativo.
CAPÍTULO VI: PROCEDIMIENTO PARA EL EJERCICIO DE LOS DERECHOS DE LOS TITULARES (HÁBEAS DATA)
Los titulares de los datos personales (asociados, extrabajadores, contratistas o sus causahabientes) pueden ejercer en cualquier momento sus derechos constitucionales de conocer, actualizar, rectificar y suprimir su información, así como revocar la autorización concedida.
| Tipo de Solicitud | Término Legal de Respuesta | Prórroga Máxima y Trámite Legal |
|---|---|---|
| Consultas<br>(Acceso y conocimiento de datos) | Diez (10) días hábiles contados a partir de la fecha de recepción de la solicitud completa. | Si no es posible resolver en 10 días, se notificará al interesado antes del vencimiento indicando motivos, otorgando máximo cinco (5) días hábiles adicionales. |
| Reclamos<br>(Actualización, rectificación o supresión) | Quince (15) días hábiles contados a partir del día siguiente a la fecha de radicación completa. | Si el reclamo está incompleto, se requiere subsanar en 5 días. Tras recibirlo completo, se inserta la leyenda "reclamo en trámite" en la base de datos en máximo 2 días hábiles. Prórroga máxima: ocho (8) días hábiles informando al titular. |
| Instancia Interna de Control | Inmediato ante la radicación. | El titular podrá acudir en primera instancia ante el Comité de Control Social de SUFONDO para dirimir inconformidades en el tratamiento. |
| Instancia Gubernamental (SIC) | Posterior al trámite directo. | El titular solo podrá elevar queja formal ante la Superintendencia de Industria y Comercio (SIC) una vez agotado el trámite directo ante SUFONDO. |
6.1. Canales Habilitados para la Radicación
Las solicitudes de Hábeas Data podrán remitirse mediante cualquiera de los siguientes medios institucionales:
| • | Correo Electrónico Exclusivo: aalvarez@corona.com.co (indicando datos de contacto y fotocopia del documento de identidad). |
|---|---|
| • | Radicación Presencial: Oficinas de SUFONDO, Carrera 48 No. 72 Sur 01, Avenida Las Vegas, Sabaneta, Antioquia. |
| • | Líneas de Atención Telefónica: (604) 305-83-23 / (604) 305-82-00 Extensión 63714. |
CAPÍTULO VII: VIGENCIA, PUBLICACIÓN Y APROBACIÓN INSTITUCIONAL
La presente Política Integral rige a partir de la fecha de su expedición y protocolización institucional por la Junta Directiva de SUFONDO, actualizando y armonizando las disposiciones adoptadas en el Acuerdo 041 de octubre de 2016. Las bases de datos tendrán un periodo de vigencia equivalente a la duración del vínculo de asociación solidaria más los términos de prescripción legal y retención documental exigidos por las normas contables y comerciales de Colombia.
7.1. Control de Cambios y Versiones
| Versión | Fecha de Emisión | Acto de Aprobación | Alcance de la Modificación |
|---|---|---|---|
| 01 | 13 de Octubre de 2016 | Acuerdo No. 041 de Junta Directiva | Reglamento inicial de tratamiento y uso de datos personales conforme a la Ley 1581 de 2012. |
| 02 | Octubre de 2026 | Resolución de Junta Directiva y Gerencia | Armonización integral, actualización digital, e incorporación del régimen específico para la Aplicación Móvil oficial conforme a directrices de Google Play Store y Apple App Store. |
ANEXO TÉCNICO: FICHA DE DECLARACIÓN EN CONSOLAS DE GOOGLE PLAY Y APPLE
(Guía de respuestas para el equipo de desarrollo)
| Requerimiento de la Consola | Declaración SUFONDO | Justificación Técnica y Operativa |
|---|---|---|
| ¿La App recopila o comparte datos personales? | SÍ (Recopila datos / No comparte con fines comerciales) | Se recopilan datos para autenticar al usuario y mostrar su información asociativa y financiera de forma privada. |
| ¿Los datos se transfieren mediante conexión cifrada? | SÍ (Cifrado en tránsito obligatorio) | Todas las conexiones entre la App y el backend se realizan bajo protocolo seguro HTTPS / SSL. |
| ¿Se ofrece mecanismo de eliminación de cuenta? | SÍ (Canal directo por correo electrónico) | Se cuenta con un procedimiento ágil de revocación de credenciales digitales a través de aalvarez@corona.com.co. |
| Información Personal Recopilada: | Cédula, nombre, correo y teléfono | Funcionalidad básica de la aplicación, prevención de fraudes y autenticación segura de la cuenta. |
| Información Financiera Recopilada: | Saldos de ahorros, créditos y cuotas OPA | Exclusivamente para que el asociado consulte su estado de cuenta y movimientos con el Fondo. |
| Identificadores de Dispositivo: | UUID / ID de instalación móvil y dirección IP | Gestión operativa de sesiones, prevención de accesos concurrentes indebidos y registros de auditoría. |
| ¿Se recopilan datos biométricos en servidores? | NO (Validación 100% local en el teléfono) | Face ID, Touch ID o huella se procesan exclusivamente en el procesador seguro local del dispositivo móvil del usuario. |
| ¿Se comparten datos con fines publicitarios? | NO (Cero uso publicitario ni rastreo) | SUFONDO no incluye redes de anuncios, ni paquetes SDK de publicidad comportamental ni rastreadores de marketing. |
