Política de tratamiento de datos personales

Razón social: [TODO(legal): razón social]. NIT: [TODO(legal): NIT]. Domicilio: [TODO(legal): ciudad]. Dirección de notificaciones: [TODO(legal): dirección de notificaciones]. Correo electrónico: hola@cautia.co. Teléfono: [TODO(legal): teléfono de contacto].

El área responsable de atender las peticiones, consultas y reclamos relacionadas con datos personales es [TODO(legal): área o cargo responsable], en el correo hola@cautia.co.

Esta política aplica a todas las bases de datos y tratamientos de información personal que realice cautia en desarrollo de su actividad.

cautia actúa como responsable del tratamiento respecto de los datos que recoge directamente: datos de contacto de prospectos y clientes suministrados en el formulario de este sitio, en correos o en reuniones comerciales, y datos de las personas de contacto de las agencias con las que tiene relación contractual.

cautia actúa como encargado del tratamiento respecto de los datos personales contenidos en los documentos y bases que las agencias y corredores le entregan para ejecutar los flujos contratados —cotizaciones, pólizas, reportes de cartera, bases de colectivas—. En ese rol, cautia trata la información únicamente siguiendo las instrucciones del responsable y lo pactado en el contrato, y no la usa para finalidades propias.

Cuando actúa como encargado, el responsable es la agencia o el corredor. Los titulares de esos datos pueden dirigir sus solicitudes a la agencia con la que tienen la relación; si se dirigen a cautia, esta las trasladará al responsable y le prestará el apoyo necesario para responder dentro de los plazos legales.

Como responsable, cautia trata datos de identificación y de contacto profesional: nombre, correo electrónico corporativo, teléfono, nombre de la agencia o corredor, cargo, contenido del mensaje y los datos técnicos asociados al envío del formulario.

Como encargado, cautia trata la información personal contenida en los documentos y bases que la agencia o el corredor le entregan, y solo en la medida en que el flujo contratado lo requiera. Esos documentos pueden contener datos sensibles —por ejemplo, información relacionada con la salud en cotizaciones de vida o salud—, que se tratan exclusivamente para ejecutar el flujo contratado, con medidas de seguridad reforzadas y sin que el titular esté obligado a autorizar su tratamiento cuando la ley así lo disponga.

Según el flujo contratado, las categorías de datos que pueden aparecer en esa información son, entre otras:

• Nombre y documento de identidad del tomador, asegurado o beneficiario.
• Datos de contacto, ciudad y ubicación del riesgo.
• Datos del bien asegurado.
• Coberturas, deducibles, valores asegurados, primas y vigencias.
• Número de póliza y anexo.
• Estado de pago y antigüedad de cartera.
• Novedades de ingreso, retiro y aumento en pólizas colectivas.

Como responsable: atender las solicitudes de contacto y de piloto; enviar información comercial sobre los servicios de cautia a quien lo haya autorizado; gestionar la relación contractual y la facturación; cumplir obligaciones legales, contables y tributarias; y atender requerimientos de autoridades.

Como encargado: ejecutar los flujos contratados por la agencia, lo que incluye leer y extraer información de documentos, normalizarla, cruzarla con las bases del cliente, producir los entregables y entregarlos por los canales acordados; además de dar soporte, corregir errores y conservar registros técnicos de ejecución para efectos de auditoría y facturación.

cautia no utiliza los datos personales contenidos en los documentos de sus clientes para finalidades comerciales propias, ni los cede a terceros distintos de los encargados y subencargados descritos en esta política.

La autorización para el tratamiento se obtiene de forma previa, expresa e informada, por medios que permitan su consulta posterior, tal como lo exige el artículo 9 de la Ley 1581 de 2012: la casilla de aceptación del formulario de este sitio, la aceptación en un mensaje de correo electrónico o la cláusula correspondiente del contrato de servicios.

Al momento de solicitar la autorización se informa al titular la finalidad del tratamiento, el carácter facultativo de responder cuando se trate de datos sensibles, sus derechos y la identidad del responsable, conforme al artículo 12 de la misma ley.

Cuando cautia actúa como encargado, la obtención de la autorización de los titulares corresponde a la agencia o corredor responsable, que declara contar con ella al entregar la información.

El titular puede revocar la autorización o solicitar la supresión de sus datos en cualquier momento, salvo que exista un deber legal o contractual que lo impida.

Como titular de datos personales tratados por cautia —sea en su condición de responsable o de encargado— la ley colombiana te reconoce los derechos enumerados en el artículo 8 de la Ley 1581 de 2012.

El ejercicio de estos derechos es gratuito y puede hacerlo el titular, sus causahabientes, su representante o apoderado, o quien actúe por estipulación a favor de otro. Antes de responder, cautia verifica la identidad de quien presenta la solicitud.

En concreto, puedes:

• Conocer, actualizar y rectificar tus datos personales frente a cautia.
• Solicitar prueba de la autorización otorgada, salvo en los casos en que la ley no la exija.
• Ser informado sobre el uso que se ha dado a tus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley.
• Revocar la autorización y solicitar la supresión del dato cuando proceda.
• Acceder de forma gratuita a tus datos personales.

Las consultas y los reclamos se presentan al correo hola@cautia.ai, indicando nombre completo, documento de identidad, la solicitud concreta y una dirección o correo para recibir la respuesta.

Las consultas se atienden en un plazo máximo de diez (10) días hábiles contados desde su recibo, conforme al artículo 14 de la Ley 1581 de 2012. Si no fuere posible atenderlas dentro de ese término, se informará al interesado antes del vencimiento, expresando los motivos y la fecha en que se atenderá, que en ningún caso superará los cinco (5) días hábiles siguientes.

Los reclamos se atienden en un plazo máximo de quince (15) días hábiles contados desde el día siguiente a su recibo, conforme al artículo 15 de la misma ley. Si no fuere posible atenderlos en ese término, se informará al interesado antes del vencimiento, con los motivos y la fecha en que se atenderá, que no superará los ocho (8) días hábiles siguientes. Si el reclamo está incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recepción; transcurridos dos (2) meses desde ese requerimiento sin respuesta, se entenderá que ha desistido.

Para prestar sus servicios, cautia se apoya en proveedores de infraestructura y de procesamiento que actúan como encargados o subencargados y que están ubicados fuera de Colombia.

Lo anterior implica que los datos personales pueden ser objeto de transmisión y transferencia internacional. cautia adopta las medidas contractuales necesarias para que esos terceros cumplan estándares de protección equivalentes a los exigidos por la ley colombiana y traten la información únicamente conforme a sus instrucciones.

Al autorizar el tratamiento y al contratar los servicios, el titular y el cliente quedan informados de esta transferencia y transmisión internacional, en los términos de los artículos 24 y 25 del Decreto 1377 de 2013.

Los proveedores que intervienen hoy en la prestación del servicio son:

• Cloudflare: alojamiento del sitio, red de entrega de contenido y analítica agregada sin cookies.
• Google Cloud: infraestructura de ejecución.
• Google Gemini: modelos de inteligencia artificial para clasificación y extracción de información.
• Mistral: reconocimiento de texto en documentos escaneados.
• [TODO(legal): proveedor de correo transaccional].

Los flujos de cautia utilizan sistemas de inteligencia artificial para leer, clasificar, extraer y organizar la información contenida en los documentos que procesa. Se declara expresamente este uso, conforme a los lineamientos de la Circular Externa 002 de 2024 de la Superintendencia de Industria y Comercio sobre tratamiento de datos personales en sistemas de inteligencia artificial.

El tratamiento con estos sistemas se limita a lo necesario para la finalidad contratada, bajo criterios de idoneidad, necesidad y proporcionalidad. No se realizan decisiones automatizadas con efectos jurídicos sobre las personas: los resultados están sujetos a revisión humana antes de ser utilizados o enviados.

[TODO(legal): incluir aquí la declaración sobre uso o no uso de los datos para entrenamiento de modelos, una vez se confirmen las condiciones contractuales de cada proveedor].

cautia adopta medidas técnicas, humanas y administrativas razonables para proteger la información contra acceso no autorizado, pérdida, alteración o uso indebido: control de accesos por cliente, credenciales separadas por agencia, cifrado en tránsito y registro de actividad.

Ningún sistema es completamente infalible. En caso de incidentes que afecten datos personales, cautia informará a los responsables afectados y a la Superintendencia de Industria y Comercio, en cumplimiento del deber previsto para los responsables en el literal n) del artículo 17 y para los encargados en el literal k) del artículo 18 de la Ley 1581 de 2012.

[TODO(legal): revisar el detalle de medidas antes de publicar, y no afirmar ninguna certificación que no se tenga].

Los datos tratados como responsable se conservan mientras dure la relación comercial o el interés legítimo de la solicitud, y durante el término necesario para cumplir obligaciones legales.

Los datos tratados como encargado se conservan por el tiempo pactado con la agencia responsable y, al término del contrato, se devuelven o se suprimen según lo acordado. Los registros técnicos de ejecución se conservan por un período limitado, con fines de auditoría y facturación.

[TODO(legal): fijar los plazos exactos de conservación de documentos, entregables y registros técnicos].

[TODO(legal): verificar si la sociedad titular está obligada a registrar sus bases de datos en el Registro Nacional de Bases de Datos administrado por la Superintendencia de Industria y Comercio, según su naturaleza y el monto de sus activos, y declararlo en esta sección].

Con independencia de esa obligación, cautia mantiene un inventario interno de las bases de datos que administra, con su finalidad, su responsable y su período de conservación.

Esta política rige desde [TODO(legal): fecha de entrada en vigencia]. Las bases de datos administradas por cautia tendrán una vigencia igual al tiempo en que se mantenga la finalidad que justificó su tratamiento.

Cualquier cambio sustancial se comunicará por los medios habituales de contacto y se publicará en esta página con su nueva fecha de actualización. El uso del sitio o de los servicios después de la publicación implica la aceptación de la versión vigente.

Este documento debe ser revisado por un abogado colombiano antes de su publicación definitiva.