Política de Tratamiento de Datos Personales

Identificación del responsable

Razón social: Compañía Administrativa para el Manejo Empresarial e Inteligencia Artificial S.A.S. · Sigla: CameIA · NIT: 902.067.109-4.

Dirección comercial: Carrera 13 No. 93-67, Bogotá D.C., Colombia. Correo para habeas data y privacidad: contacto@cameia.co · Teléfono: 312 521 4818.

“CameIA” se refiere a Compañía Administrativa para el Manejo Empresarial e Inteligencia Artificial S.A.S., como persona jurídica que desarrolla, administra y opera la solución tecnológica. “Plataforma CameIA” se refiere a la solución tecnológica, sus módulos, funcionalidades, interfaces, herramientas digitales, funcionalidades de inteligencia artificial y demás componentes tecnológicos ofrecidos a empresas clientes y usuarios autorizados.

Área responsable de la atención de consultas y reclamos: Administración de CameIA – Gestión de Privacidad y Protección de Datos.

Compromiso de CameIA

CameIA no vende, alquila ni comercializa datos personales de trabajadores, usuarios o clientes.

La información podrá ser comunicada a proveedores que intervengan legítimamente en la prestación del servicio, a terceros autorizados cuando corresponda o a autoridades públicas, administrativas o judiciales cuando exista obligación legal, orden o requerimiento emitido en ejercicio de sus competencias.

Toda comunicación de datos estará sometida a las finalidades, principios y garantías previstas en esta Política y en la legislación colombiana.

1. Objeto y alcance

Esta Política establece los criterios aplicables al tratamiento y protección de datos personales realizado por CameIA y al tratamiento efectuado mediante la Plataforma CameIA.

Su finalidad es informar de manera transparente: qué datos pueden ser tratados; para qué son utilizados; cuáles son los derechos de los Titulares; cómo pueden ejercerlos; qué roles jurídicos puede desempeñar CameIA; cómo se protegen los datos sensibles; cómo se gestionan proveedores y operaciones internacionales; y cuáles son las medidas generales de protección aplicables.

Esta Política se aplica al sitio web, la Plataforma CameIA, canales digitales, soporte, relaciones comerciales y demás tratamientos sometidos a la legislación colombiana.

2. Marco normativo

Esta Política se adopta en desarrollo del artículo 15 de la Constitución Política de Colombia, la Ley Estatutaria 1581 de 2012, el Decreto 1074 de 2015 y las demás normas que reglamenten, modifiquen, adicionen o sustituyan el régimen general de protección de datos personales.

CameIA atenderá igualmente las instrucciones aplicables impartidas por la Superintendencia de Industria y Comercio, incluidos los lineamientos relacionados con el tratamiento de datos personales en sistemas de inteligencia artificial.

Cuando CameIA se encuentre dentro de los sujetos obligados a realizar inscripción de bases de datos en el Registro Nacional de Bases de Datos —RNBD—, cumplirá dicha obligación y mantendrá actualizada la información correspondiente en los términos establecidos por la regulación aplicable.

3. Roles de CameIA

CameIA puede actuar bajo diferentes roles dependiendo de quién determine las finalidades y condiciones esenciales del tratamiento.

Como Encargado del Tratamiento: CameIA actuará normalmente como Encargado cuando procese información de trabajadores por cuenta de una empresa cliente que determine las finalidades asociadas con la gestión laboral y del talento humano. En estos casos, CameIA tratará la información mediante la Plataforma CameIA conforme al contrato, al DPA y a las instrucciones legítimas del Responsable.

Como Responsable del Tratamiento: CameIA actuará como Responsable respecto de aquellos tratamientos cuyas finalidades determine directamente, por ejemplo contacto comercial, gestión de prospectos, administración de clientes y proveedores, facturación propia, soporte, seguridad, prevención de fraude, gestión de incidentes, trazabilidad del servicio, administración de accesos propios y cumplimiento de obligaciones legales.

La Plataforma CameIA constituye la herramienta tecnológica a través de la cual se ejecutan determinados tratamientos, pero la condición jurídica de Responsable o Encargado corresponde a las personas naturales o jurídicas que intervienen en el tratamiento de acuerdo con sus funciones y decisiones.

4. Categorías de Titulares

CameIA puede tratar información correspondiente a: visitantes del sitio web; usuarios de los canales digitales; trabajadores invitados por empresas clientes; representantes legales de clientes; administradores de cuentas empresariales; usuarios autorizados por empresas clientes; prospectos; personas que solicitan demostraciones o información comercial; proveedores; contratistas; aliados; personas que presentan solicitudes de soporte; y personas que ejercen derechos relacionados con privacidad o seguridad.

5. Categorías de datos

Dependiendo de la funcionalidad utilizada en la Plataforma CameIA, podrán tratarse las siguientes categorías de datos:

• Datos de identificación y contacto: nombres y apellidos, número de identificación, edad, correo electrónico, teléfono, empresa, cargo e información necesaria para administrar una cuenta.
• Datos laborales y económicos: empresa, cargo, fechas asociadas con la relación laboral, salario cuando una funcionalidad legítimamente lo requiera, horas extras, vacaciones, permisos, ausencias, novedades laborales y demás información relacionada con los módulos habilitados por la empresa.
• Datos familiares: relativos a hijos, beneficiarios, personas a cargo u otros familiares, cuando exista una finalidad laboral legítima y el tratamiento resulte necesario y jurídicamente procedente.
• Datos sensibles: información relativa a la salud contenida en incapacidades, certificaciones o documentos médicos, así como otros datos sensibles únicamente cuando sean necesarios y exista una habilitación jurídica para su tratamiento.
• Datos técnicos y de seguridad: dirección IP, identificadores de sesión, dispositivo, navegador, registros de acceso, acciones efectuadas dentro de la Plataforma CameIA, fecha, hora, logs y eventos relacionados con seguridad.

6. Finalidades cuando CameIA actúa como Responsable

Cuando CameIA actúe como Responsable podrá tratar datos personales para:

• Gestionar el alta y la relación comercial con clientes
• Atender prospectos y solicitudes de demostración
• Administrar cuentas y usuarios autorizados
• Prestar soporte técnico y atención
• Enviar comunicaciones operativas relacionadas con el servicio
• Gestionar facturación, pagos, cartera y obligaciones contables o tributarias
• Proteger la seguridad de la Plataforma CameIA y detectar accesos indebidos
• Prevenir fraude y gestionar incidentes
• Conservar registros de auditoría, trazabilidad y evidencia digital de actuaciones relevantes
• Atender consultas y reclamos, y cumplir requerimientos de autoridades
• Cumplir obligaciones legales y contractuales
• Analizar y mejorar el funcionamiento y rendimiento de la Plataforma CameIA mediante datos agregados, anonimizados o tratamientos compatibles con las finalidades legítimamente informadas

Cuando CameIA pretenda utilizar información para una nueva finalidad incompatible con aquella previamente informada, cumplirá previamente los requisitos legales aplicables.

7. Tratamiento por cuenta de empresas clientes

Cuando una empresa crea perfiles de trabajadores en la Plataforma CameIA y la utiliza para administrar información o gestionar novedades laborales, la empresa determina normalmente las finalidades del tratamiento y tendrá la condición de Responsable.

CameIA procesará dicha información como Encargado, conforme al DPA y a las instrucciones legítimas del Responsable.

La empresa cliente será responsable de contar con la autorización del Titular cuando resulte exigible o de determinar y documentar la excepción legal que habilite el tratamiento sin autorización.

CameIA podrá proporcionar mediante la Plataforma CameIA mecanismos tecnológicos para obtener, registrar y conservar evidencia de autorizaciones o actuaciones de los Titulares. La existencia de dichos mecanismos tecnológicos no sustituye las obligaciones legales de la empresa Responsable.

8. Datos sensibles y datos relativos a la salud

Los datos relativos a la salud tienen carácter de datos personales sensibles. Su tratamiento se encuentra sujeto a protección reforzada y únicamente podrá realizarse cuando exista una de las habilitaciones previstas por la legislación colombiana.

Cuando el tratamiento de un dato sensible se fundamente en autorización del Titular:

• La autorización deberá ser explícita
• Deberá informarse al Titular que se trata de información sensible
• Deberán explicarse las finalidades correspondientes
• Deberá informarse que, salvo obligación o excepción legal aplicable, no está obligado a autorizar el tratamiento de datos sensibles

CameIA aplicará mediante la Plataforma CameIA controles reforzados para limitar el acceso a documentos de salud. Cuando resulte técnica y funcionalmente posible, procurará separar la información operativa necesaria para gestionar una novedad —por ejemplo, existencia, período y estado de una incapacidad— del contenido completo del documento médico. El acceso a la información médica deberá limitarse a los usuarios que necesiten conocerla en desarrollo de funciones legítimas.

9. Autorización y prueba

Cuando la autorización sea legalmente requerida, será obtenida de manera previa e informada mediante un mecanismo que permita demostrar la manifestación de voluntad del Titular y conservar prueba para su consulta posterior.

La autorización podrá obtenerse por escrito, verbalmente, mediante mecanismos electrónicos o a través de conductas inequívocas que razonablemente permitan concluir que el Titular otorgó su consentimiento, de acuerdo con la normativa aplicable. El silencio no constituirá autorización.

Cuando se trate de datos sensibles y la autorización sea el fundamento jurídico del tratamiento, esta deberá ser explícita. La Plataforma CameIA podrá incorporar mecanismos destinados a registrar dichas autorizaciones.

CameIA conservará, cuando le corresponda, evidencia razonable de: identidad o identificador del Titular; versión del aviso o autorización; finalidades informadas; fecha; hora; y acción mediante la cual se manifestó la autorización.

10. Derechos de los Titulares

Los Titulares tienen derecho a:

• Conocer, actualizar y rectificar sus datos personales
• Solicitar prueba de la autorización otorgada cuando esta sea exigible
• Ser informados, previa solicitud, respecto del uso dado a sus datos
• Presentar consultas y reclamos
• Solicitar la revocatoria de la autorización cuando legalmente proceda
• Solicitar la supresión del dato cuando resulte procedente
• Acceder gratuitamente a los datos objeto de tratamiento en los términos establecidos por la legislación
• Presentar queja ante la Superintendencia de Industria y Comercio después de agotar el trámite ante el Responsable o Encargado, cuando dicho requisito resulte aplicable

Estos derechos podrán ser ejercidos por el Titular, sus causahabientes, su representante legal o su apoderado, previa acreditación de la calidad correspondiente cuando sea necesaria.

11. Procedimiento para consultas

Las consultas relacionadas con datos personales podrán presentarse mediante correo (contacto@cameia.co) o teléfono (312 521 4818).

Para garantizar trazabilidad, CameIA podrá solicitar que la petición sea radicada o confirmada por un medio escrito o digital.

La consulta será atendida dentro de los diez (10) días hábiles siguientes a su recepción.

Cuando no sea posible atenderla dentro de dicho término, CameIA informará al interesado los motivos de la demora y señalará la nueva fecha de respuesta, que no podrá superar los cinco (5) días hábiles siguientes al vencimiento del término inicial.

12. Procedimiento para reclamos

El Titular, sus causahabientes, representante o apoderado, según corresponda, que considere que la información contenida en una base de datos debe ser objeto de corrección, actualización, supresión o revocatoria, o que advierta un presunto incumplimiento de las normas de protección de datos personales, podrá presentar un reclamo.

El reclamo deberá contener, cuando corresponda:

• Identificación del Titular
• Descripción de los hechos que dan lugar al reclamo
• Información de contacto
• Solicitud concreta
• Documentos que pretendan hacerse valer

Cuando el reclamo esté incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las deficiencias identificadas. Si transcurren dos (2) meses desde el requerimiento sin que el solicitante presente la información requerida, podrá entenderse que ha desistido del reclamo. Cuando quien reciba el reclamo no sea competente para resolverlo, deberá trasladarlo a quien corresponda dentro de un término máximo de dos (2) días hábiles e informar de dicha situación al interesado. Una vez recibido el reclamo completo, se incluirá en la base de datos, sistema o registro correspondiente una leyenda de “reclamo en trámite” dentro de un término no mayor a dos (2) días hábiles, la cual se mantendrá hasta que el reclamo sea decidido. El término máximo para atenderlo será de quince (15) días hábiles contados desde el día siguiente a su recepción; cuando no sea posible cumplirlo, CameIA informará los motivos de la demora y la nueva fecha de respuesta, que no podrá superar los ocho (8) días hábiles siguientes al vencimiento del término inicial. Cuando CameIA actúe como Encargado respecto de la información objeto del reclamo, coordinará su gestión con la empresa cliente que actúe como Responsable, sin perjuicio de los deberes que legalmente le correspondan directamente.

13. Área responsable de privacidad y habeas data

La función responsable de promover la aplicación de esta Política y gestionar las solicitudes de los Titulares será ejercida por Administración de CameIA – Gestión de Privacidad y Protección de Datos. Correo: contacto@cameia.co. Teléfono: 312 521 4818.

Esta función será responsable de coordinar internamente la atención de consultas, reclamos y demás actuaciones relacionadas con el ejercicio de los derechos de los Titulares.

14. Seguridad de la información

CameIA adoptará medidas técnicas, humanas y administrativas razonables, apropiadas y proporcionales al riesgo para proteger los datos personales tratados directamente o mediante la Plataforma CameIA frente a pérdida, adulteración, uso indebido, consulta o acceso no autorizado, divulgación indebida, modificación fraudulenta y demás riesgos asociados al tratamiento.

Dependiendo de la naturaleza del tratamiento, dichas medidas podrán comprender: autenticación; controles de acceso; segregación de roles; trazabilidad; registros técnicos; respaldos; cifrado cuando corresponda; monitoreo; gestión de vulnerabilidades; y procedimientos de respuesta a incidentes.

Ningún mecanismo tecnológico puede garantizar seguridad absoluta. CameIA implementará sus medidas bajo criterios de diligencia y proporcionalidad al riesgo.

Cuando se presente un incidente de seguridad, CameIA activará sus procedimientos de detección, contención, investigación, mitigación y recuperación. El incidente será reportado a la Superintendencia de Industria y Comercio cuando resulte obligatorio y dentro del término legal aplicable.

CameIA comunicará la situación a los Titulares afectados cuando ello resulte jurídicamente exigible o cuando, atendiendo a la naturaleza y nivel de riesgo del incidente, dicha comunicación sea necesaria o apropiada para que puedan adoptar medidas razonables de protección. Cuando CameIA actúe como Encargado, informará al Responsable afectado conforme a la normativa, el DPA y los compromisos contractuales correspondientes.

15. Proveedores, transmisiones y transferencias de datos

CameIA podrá contratar proveedores tecnológicos necesarios para la operación de la Plataforma CameIA, incluyendo servicios de infraestructura y nube, almacenamiento, comunicaciones, pagos, seguridad, soporte, inteligencia artificial y demás componentes necesarios para prestar el servicio.

Transmisión de datos

Cuando un proveedor trate datos personales por cuenta del Responsable o Encargado y bajo las instrucciones correspondientes, la operación se estructurará como transmisión de datos personales.

Cuando la transmisión tenga carácter internacional, CameIA implementará las garantías contractuales aplicables y establecerá, entre otros aspectos: alcance del tratamiento; actividades autorizadas; finalidades; obligaciones de seguridad; confidencialidad; deberes frente al Responsable; y reglas aplicables a subencargados.

Transferencia de datos

Cuando los datos sean enviados a un tercero que determine autónomamente las finalidades del tratamiento y adquiera la condición de Responsable, la operación se analizará como transferencia de datos personales.

Las transferencias internacionales estarán sujetas al artículo 26 de la Ley 1581 de 2012, a las reglas sobre nivel adecuado de protección, a las excepciones legalmente previstas y a las instrucciones de la Superintendencia de Industria y Comercio.

CameIA aplicará el mecanismo jurídico correspondiente a la naturaleza real de cada flujo internacional de información y mantendrá evidencia de las medidas adoptadas en desarrollo del principio de responsabilidad demostrada.

Proveedores tecnológicos actualmente identificados

De acuerdo con la arquitectura tecnológica informada para esta versión de la Política, la Plataforma CameIA utiliza OVHcloud como proveedor de infraestructura en la nube, con infraestructura contratada ubicada en Estados Unidos, y OpenAI, mediante OpenAI API, como proveedor tecnológico para determinadas funcionalidades de inteligencia artificial.

Cuando estos proveedores traten información únicamente por cuenta de CameIA y dentro del alcance de las instrucciones contractuales, dicho flujo se gestionará jurídicamente como una transmisión internacional de datos, sin perjuicio del análisis individual que corresponda respecto de cada tratamiento o servicio adicional.

CameIA mantendrá actualizado internamente el inventario de proveedores, subencargados, ubicación de procesamiento y condiciones de protección aplicables.

16. Inteligencia artificial

Las funcionalidades de inteligencia artificial incorporadas a la Plataforma CameIA que impliquen tratamiento de datos personales estarán sujetas a los principios de legalidad, finalidad, libertad, veracidad y calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad. CameIA aplicará adicionalmente criterios de responsabilidad demostrada y gestión de riesgos.

Las funcionalidades que involucren datos sensibles, información relativa a la salud, perfilamiento, inferencias relevantes o efectos laborales significativos serán sometidas a una evaluación reforzada y deberán mantener un nivel apropiado de intervención humana.

Para determinadas funcionalidades, CameIA utiliza OpenAI API como proveedor tecnológico de inteligencia artificial. Conforme a las condiciones actualmente aplicables a dicho servicio, los datos de entrada y salida enviados mediante la API no se utilizan por defecto para entrenar los modelos del proveedor, salvo que CameIA decida voluntariamente habilitar mecanismos de compartición.

CameIA no habilitará voluntariamente la utilización de datos personales de las empresas clientes para entrenamiento de modelos por parte del proveedor sin una evaluación jurídica y técnica previa y el cumplimiento de las obligaciones que correspondan.

17. Conservación y eliminación

Los datos personales serán conservados durante el tiempo razonablemente necesario para cumplir la finalidad del tratamiento, la prestación del servicio, las obligaciones legales y contractuales, la defensa de derechos y los períodos de conservación que resulten aplicables.

Una vez desaparezca la necesidad legítima de conservación, los datos serán objeto, según corresponda, de eliminación, anonimización, devolución, bloqueo o restricción de acceso.

CameIA definirá los períodos específicos mediante su inventario y política interna de retención. Cuando actúe como Encargado, observará adicionalmente las instrucciones legítimas del Responsable y las reglas establecidas en el DPA.

18. Datos de niños, niñas y adolescentes

La Plataforma CameIA no está diseñada para ser utilizada autónomamente por niños, niñas o adolescentes.

No obstante, determinadas funcionalidades legítimas de gestión laboral podrán requerir que una empresa cliente trate información relacionada con hijos, beneficiarios u otros menores de edad vinculados con sus trabajadores. Este tratamiento únicamente deberá realizarse cuando exista una finalidad legítima, específica y necesaria, y deberá respetar en todo momento el interés superior del niño, niña o adolescente y sus derechos fundamentales y prevalentes.

La empresa cliente, en su calidad de Responsable, deberá determinar y documentar el fundamento jurídico aplicable, limitar la información a aquella estrictamente necesaria y garantizar que quien la suministre se encuentre legitimado para hacerlo.

Cuando la autorización sea jurídicamente requerida, deberá observarse el régimen especial aplicable a niños, niñas y adolescentes, incluida la intervención de su representante legal y, cuando corresponda, el derecho del menor a ser escuchado de acuerdo con su madurez, autonomía y capacidad.

CameIA aplicará medidas de minimización, acceso restringido y seguridad reforzada cuando procese información de menores por cuenta de una empresa cliente. Si en el futuro una funcionalidad pretende tratar datos sensibles, información médica, documentos de identidad u otras categorías especialmente relevantes de un menor, dicha funcionalidad deberá ser objeto de una evaluación jurídica y de privacidad previa a su implementación.

19. Cambios y vigencia

La presente Política entra en vigencia el 14 de agosto de 2026 y corresponde a su Versión 1.0.

CameIA podrá modificarla para reflejar cambios normativos, instrucciones de autoridades, modificaciones tecnológicas, nuevas funcionalidades, cambios en proveedores o modificaciones en las finalidades del tratamiento. Las modificaciones sustanciales serán informadas por medios electrónicos o mediante los canales disponibles.

Cuando una modificación implique una nueva finalidad que requiera autorización del Titular, dicha autorización será solicitada antes de iniciar el nuevo tratamiento.

La versión vigente de esta Política permanecerá disponible en los canales digitales de CameIA.