Última actualización: 21 de mayo de 2026

Su confianza es lo más importante para nosotros. ZAPSIGN está comprometida con la protección de la privacidad y la seguridad de los datos personales de sus usuarios, firmantes y demás terceros que utilicen la plataforma. Contamos con un área de privacidad dedicada, responsable de proteger todos los datos personales que tratamos y de garantizar que sean manejados de conformidad con la legislación aplicable en todos los países en los que prestamos servicios.

Por favor, lea atentamente esta Política de Tratamiento y Privacidad de Datos Personales (en adelante, la "Política de Privacidad"). Para utilizar nuestro sitio y los servicios que prestamos es necesario que lea y acepte esta Política de Privacidad, así como nuestros Términos y Condiciones disponibles en www.zapsign.co.

1. Introducción y Objetivos

1.1. ZapSign es una línea de negocio operada por TRUORA S.A.S., sociedad debidamente constituida y existente bajo las leyes de la República de Colombia, identificada con el NIT 901.761.442-5, con domicilio principal en Carrera 12 #90-20, oficina 504, Bogotá D.C., Colombia (en adelante, "ZapSign"). Para los efectos del tratamiento de datos personales, ZapSign actuará en calidad de Responsable y/o Encargado del Tratamiento, según corresponda, en los términos de la Ley Estatutaria 1581 de 2012, el Decreto 1074 de 2015 (Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, que compiló el Decreto 1377 de 2013), y demás normas que las modifiquen, complementen o sustituyan.

1.2. Esta Política de Privacidad es el documento que regula el manejo de todas las Bases de Datos y/o archivos de ZapSign que contengan Datos Personales de clientes, contratistas, proveedores, firmantes y, en general, terceros, que sean objeto de Tratamiento por parte de ZapSign, en cumplimiento del artículo 15 de la Constitución Política de Colombia (Habeas Data), la Ley Estatutaria 1581 de 2012, el Decreto 1074 de 2015, la Ley 1266 de 2008 (Habeas Data Financiero, cuando aplique), las circulares e instrucciones expedidas por la Superintendencia de Industria y Comercio (SIC) como Autoridad Nacional de Protección de Datos, y los demás instrumentos normativos vigentes que regulan la privacidad y la protección de datos personales en Colombia.

1.3. Asimismo, esta Política tiene como objetivo establecer las políticas y procedimientos de gestión y protección de información para ZapSign, alineadas con la Política de Seguridad de la Información implementada por la compañía, con la finalidad de preservar la seguridad en el intercambio, transferencia y destrucción de información.

2. Definiciones

2.1. Para los efectos de esta Política, los términos abajo, siempre que sean iniciados con letra mayúscula, tendrán los siguientes significados, conforme al artículo 3 de la Ley 1581 de 2012 y al Decreto 1074 de 2015:

• Autorización: consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de Datos Personales.
• Aviso de Privacidad: comunicación verbal o escrita generada por el Responsable, dirigida al Titular para el Tratamiento de sus Datos Personales, mediante la cual se le informa acerca de la existencia de las políticas de Tratamiento de Datos que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los Datos Personales.
• Base de Datos: conjunto organizado de Datos Personales que sea objeto de Tratamiento.
• Dato Personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Datos Personales Sensibles: aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales o de derechos humanos, así como los datos relativos a la salud, a la vida sexual y los datos biométricos.
• Dato Biométrico: huellas dactilares, reconocimiento facial, reconocimiento de iris, reconocimiento de firma manuscrita, reconocimiento de voz, entre otros.
• Dato Público: aquel calificado como tal por la ley o la Constitución y aquel que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los relativos al estado civil, su profesión u oficio, su calidad de comerciante o servidor público, y aquellos que puedan obtenerse sin reserva alguna.
• Dato Privado: el dato que por su naturaleza íntima o reservada solo es relevante para el Titular.
• Encargado del Tratamiento: persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de Datos Personales por cuenta del Responsable del Tratamiento.
• Habeas Data: derecho fundamental que tiene toda persona a conocer, actualizar y rectificar los datos que sobre ella se hayan recolectado en bases de datos o archivos, conforme al artículo 15 de la Constitución Política y al artículo 8 de la Ley 1581 de 2012.
• Responsable del Tratamiento: persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la Base de Datos y/o el Tratamiento de los Datos Personales.
• SIC: Superintendencia de Industria y Comercio, autoridad nacional encargada de vigilar el cumplimiento de la normatividad de protección de datos personales en Colombia.
• Titular: persona natural cuyos Datos Personales sean objeto de Tratamiento.
• Transferencia de Datos: envío de Datos Personales que realiza el Responsable o el Encargado del Tratamiento, ubicado en Colombia, a un receptor (Responsable o Encargado), que se encuentra dentro o fuera del país.
• Transmisión de Datos: tratamiento de Datos Personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia, cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable.
• Tratamiento: cualquier operación o conjunto de operaciones sobre Datos Personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
• Grupo Truora / Vinculadas: corresponde a la matriz, controlantes, controladas, filiales, vinculadas, parceiras y subsidiarias que componen el grupo económico del que hace parte ZapSign, incluyendo, sin limitación: Truora S.A.S. (Colombia), Truora Fraud Prevention S.A. de C.V. (México), Truora Chile SpA (Chile) y ZAPSIGN PROCESSAMENTO DE DADOS LTDA (Brasil).
  
  

3. Tratamiento y Alcance de los Datos Personales

3.1. ZapSign, en el desarrollo de su objeto social y actividad económica, actúa como Responsable y/o Encargado del Tratamiento de Datos Personales suministrados por los Titulares, Usuarios (conforme se definen en los Términos y Condiciones de uso de la Plataforma), empleados, contratistas y/o proveedores, los cuales se almacenarán en sus bases de datos y en las de aquellos que en virtud de esta Política puedan acceder a los mismos.

3.2. En consecuencia, ZapSign recolecta, almacena, utiliza, transmite, transfiere, suprime y, en general, le da Tratamiento a los Datos Personales proporcionados por personas naturales con las cuales tiene o ha tenido algún tipo de relación, cualquiera sea su naturaleza (civil, comercial y/o laboral); entre las cuales se incluyen, sin limitarse, sus clientes, usuarios del software en la nube, firmantes, aliados, proveedores, contratistas, trabajadores, acreedores, deudores y accionistas.

3.3. Este documento abarca el tratamiento de la información gestionada en ZapSign. Cubre todas las entregas, transferencias o traspasos de información y/o datos de confidencialidad media o alta tanto al interior de la organización como con el entorno de clientes, proveedores, bases de datos externas, redes sociales y público general.

3.4. Los intercambios de información pueden ocurrir a través del uso de diversos tipos de comunicación, sea verbal (presenciales o telefónicas), visual (videos), o escrita (papel o medios digitales). Implica la obtención, transferencia, procesamiento, almacenamiento y borrado de la información suministrada por los clientes y demás Titulares.

4. Principios Rectores

4.1. Estamos comprometidos con que cualquier Tratamiento de Datos Personales que realicemos respete siempre los derechos consagrados en la Constitución Política de Colombia y en las leyes. En cumplimiento del artículo 4 de la Ley 1581 de 2012, los siguientes son los principios que guían nuestro comportamiento:

• Principio de legalidad: el Tratamiento de Datos Personales es una actividad reglada que se sujeta a lo establecido en la Ley 1581 de 2012 y en las demás disposiciones que la desarrollen.
• Principio de finalidad: el Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular.
• Principio de libertad: el Tratamiento solo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los Datos Personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.
• Principio de veracidad o calidad: la información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.
• Principio de transparencia: en el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable o del Encargado, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.
• Principio de acceso y circulación restringida: el Tratamiento se sujeta a los límites que se derivan de la naturaleza de los Datos Personales, de las disposiciones de la Ley y de la Constitución. Los Datos Personales, salvo la información pública, no podrán estar disponibles en internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable.
• Principio de seguridad: la información sujeta a Tratamiento se deberá manejar con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
• Principio de confidencialidad: todas las personas que intervengan en el Tratamiento de Datos Personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento.
  
  

5. Uso de la Política de Privacidad y Protección de la Información

5.1. Todo Tratamiento de Datos Personales se sujetará a la presente Política de Privacidad. Por lo tanto, si un Titular no se encuentra de acuerdo con la presente Política, no podrá suministrar información alguna que deba registrarse en una de las Bases de Datos de ZapSign.

5.2. ZapSign se compromete con la seguridad de los Datos que le sean suministrados y, en consecuencia, se obliga a darle a estos el uso adecuado, así como a mantener la confidencialidad requerida frente a los mismos, de acuerdo con lo establecido en esta Política y en lo dispuesto por la Ley 1581 de 2012, el Decreto 1074 de 2015, las circulares de la SIC y demás normas concordantes. En el momento en el cual los Titulares entreguen sus Datos Personales para que sean recolectados en las Bases de Datos de ZapSign, se entiende que dichos Titulares aceptan y conocen que el Tratamiento de tales Datos Personales se sujetará a esta Política.

5.3. Los Datos Personales podrán ser transferidos a sus accionistas, Vinculadas y/o Relacionadas, así como a terceros y a autoridades judiciales o administrativas, sean personas naturales o jurídicas, colombianas o extranjeras, en aquellos eventos en los cuales la transferencia o transmisión de los datos sea necesaria para llevar a cabo los usos y actividades autorizadas por los Titulares conforme al objeto social de ZapSign. En todos los casos, el intercambio de dicha información deberá sujetarse a los requerimientos establecidos en las secciones 13 y 14 de la presente Política. Asimismo, la información deberá ser conservada bajo estricta confidencialidad y será sometida a un Tratamiento riguroso, respetando los derechos y las garantías de sus Titulares.

5.4. ZapSign podrá utilizar proveedores de servicios y procesadores de datos que trabajen en nombre de la misma. Dichos servicios podrán incluir alojamiento de sistemas y mantenimiento, encriptación, servicios de análisis, servicios de mensajería por email, servicios de validación de identidad, servicios de call-centers, servicios de entrega, gestión de transacciones de pago, y controles de solvencia y de dirección, entre otros. En consecuencia, los Titulares entienden que, al suministrarle información a ZapSign, automáticamente le estarán concediendo a estos terceros, en calidad de Encargados, autorización para acceder a sus Datos Personales.

5.5. Por lo tanto, ZapSign se compromete a realizar todas las acciones necesarias para garantizar que tanto los proveedores de servicios como los Encargados que trabajan en nombre de la sociedad y demás terceros autorizados conforme a la presente Política, protejan, en todos los eventos, la confidencialidad de la Información Personal a su cargo.

5.6. Licencia limitada para los datos personales de los clientes finales. Usted otorga autorización no exclusiva y de duración limitada para acceder, copiar, ejecutar, distribuir, mostrar, descargar y utilizar los Datos Personales a ZapSign y a los proveedores de ZapSign. El Tratamiento de los Datos Personales corresponderá: (a) para ejercer sus derechos y obligaciones en virtud de los Términos y Condiciones; (b) para proporcionar, mantener y actualizar los Servicios de ZapSign y de sus proveedores; (c) para prevenir o solucionar problemas técnicos o de servicio; y (d) para producir informes estadísticos e investigaciones de manera anónima y agregada que no puedan identificar al Titular.

5.7. ZapSign podrá recolectar información que se encuentre en el dominio público para complementar las Bases de Datos. A dicha información se le dará el mismo tratamiento señalado en la presente Política.

6. Autorización del Titular y Efectos del Consentimiento

6.1. De conformidad con los artículos 9 y 10 de la Ley 1581 de 2012, el Tratamiento de Datos Personales por parte de ZapSign requiere la previa, expresa e informada autorización del Titular, salvo en los siguientes eventos en que la autorización no será requerida:

1. información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial;
2. datos de naturaleza pública;
3. casos de urgencia médica o sanitaria;
4. tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos;
5. datos relacionados con el Registro Civil de las Personas.

6.2. Se entiende que la Autorización otorgada por los Titulares es una autorización expresa e informada otorgada por parte de éstos a favor de ZapSign, sus Vinculadas y/o Relacionadas y terceros determinados por ZapSign en virtud del desarrollo de su objeto social, para darle Tratamiento a sus Datos Personales, cualquiera que haya sido el medio (escrito, oral o por medio de conductas inequívocas) por el cual se entregaron. Igualmente, implica el entendimiento y la aceptación plena de todo el contenido de la presente Política de Privacidad.

6.3. El Titular podrá revocar la autorización en cualquier momento, mediante solicitud al Responsable, y/o solicitar la supresión del dato cuando no se haga un uso conforme a los usos y finalidades autorizados, salvo cuando exista un deber legal o contractual de permanecer en la base de datos.

6.4. En el evento de una venta, fusión, consolidación, cambio en el control societario, transferencia de activos, reorganización o liquidación de ZapSign y/o sus entidades Vinculadas y/o Relacionadas, ZapSign podrá transferir los Datos Personales de los Titulares a las partes involucradas, observando siempre las bases legales y finalidades originalmente informadas.

7. Datos Personales sujetos al Tratamiento

7.1. ZapSign recopila o recibe los siguientes Datos:

Datos Personales que pertenecen a las siguientes categorías generales:

• Nombre y apellidos;
• Dirección de correo electrónico;
• Número de teléfono;
• Cédula de Ciudadanía, Cédula de Extranjería, Pasaporte u otro documento oficial de identificación;
• NIT o RUT, cuando aplique;
• Fecha y lugar de nacimiento;
• Nacionalidad y datos migratorios;
• Sexo;
• Estado civil;
• Ocupación;
• Domicilio;
• Datos de contacto.

Datos Personales Sensibles (tratados conforme a las disposiciones del artículo 6 de la Ley 1581 de 2012, en particular mediante autorización expresa y específica del Titular, o cuando sean indispensables para la prestación del servicio de firma electrónica y para la prevención del fraude):

• Biométricos;
• Huellas digitales;
• Rasgos faciales y de iris;
• Patrón de voz;
• Datos patrimoniales y/o financieros (Ley 1266 de 2008).

Datos de Geolocalización y Dispositivo: dirección IP, identificador del dispositivo, sistema operativo, navegador, registros de acceso y de aplicación (logs).

Datos de Menores: los sitios web y aplicaciones de ZapSign no están dirigidos a menores de edad. ZapSign no recopila deliberadamente ninguna información personal directamente de menores de 18 años. Si usted cree que procesamos información personal relacionada con un menor de manera inapropiada, le instamos a comunicarse con ZapSign utilizando la información proporcionada en la sección "Oficial de Protección de Datos" de la presente Política. El eventual Tratamiento de datos de niños, niñas y adolescentes se realizará en estricto cumplimiento de la jurisprudencia de la Corte Constitucional (Sentencia C-748/2011) y de los principios del interés superior del menor, así como del Código de la Infancia y la Adolescencia (Ley 1098 de 2006).

Datos en Fuentes de Acceso Público: ZapSign obtiene datos a través de medios remotos o locales de comunicación electrónica, óptica y de otras tecnologías en fuentes de acceso público, es decir, fuentes a las que cualquier persona puede tener acceso, todo ello con apego a la normatividad aplicable.

8. Finalidades Principales del Uso de la Información

8.1. A los datos personales que le sean suministrados a ZapSign se les dará un Tratamiento conforme a las finalidades establecidas en esta sección. Las finalidades principales del Tratamiento obedecen a:

1. La correcta ejecución del contrato formalizado entre el Titular y ZapSign.
2. Creación de cuenta para el acceso a la Plataforma de ZapSign.
3. Verificación de identidad ya sea con cualquier documento oficial vigente que sirva para acreditar la identidad.
4. Verificación de datos biométricos, cuando sea activado por la cuenta de Usuario, para verificación de identidad del firmante.
5. Revisión de información disponible del firmante en bases de datos públicas o privadas, cuando sea activado por la cuenta de Usuario.
6. Facilitación del contacto entre ZapSign y el Titular.
7. Envío de información o mensajes de texto al teléfono celular suministrado, correo electrónico, sobre nuevos servicios, cambio en el servicio y tarifas, recordatorios de pago, promociones, eventos e información de interés para los Titulares en general.
8. Facturación y demás efectos tributarios, en cuyo caso será compartida con la DIAN y demás entidades del Estado encargadas de desarrollar dicha labor.
9. Completar la información del perfil en la Plataforma de ZapSign.
10. Procesamiento de pago de los servicios adquiridos.
11. Validación de identidad.
12. Transmisión de los Datos Personales a los proveedores de ZapSign para que estos a su vez puedan desarrollar los servicios necesarios para el correcto funcionamiento de la Plataforma, en calidad de Encargados.
13. Obtener información de otras fuentes y combinarla con la que ZapSign recopila a través de la Plataforma.
14. Revisión del historial de antecedentes, restricciones y/o de la inclusión en listados públicos relevantes para la contratación, cuando aplique y sea legalmente permitido.
15. Revisión de detección de fraude y cuestiones de seguridad de la información.
16. Recepción de resultados de comprobaciones de antecedentes o advertencias sobre fraude de parte de servicios de verificación de la identidad a efectos de las labores de prevención de prácticas fraudulentas y evaluación de riesgos.
17. Generación y almacenamiento de evidencias de firma electrónica (logs, hash, geolocalización aproximada, IP, sello de tiempo, biometría, entre otros) para efectos de validez jurídica del documento.
18. Cumplimiento de obligaciones legales, regulatorias y atención de requerimientos de autoridades competentes.
    
    

9. Finalidades Secundarias y Usos de la Información

9.1. A los datos personales que le sean suministrados a ZapSign se les dará un Tratamiento conforme a las siguientes finalidades secundarias para el uso de la información, según le aplique a cada Titular:

1. Mejora de las iniciativas comerciales y promocionales de ZapSign, así como análisis de las páginas visitadas y las búsquedas realizadas, para mejora de la oferta de contenidos y artículos de ZapSign y personalización de dichos contenidos, su presentación y servicios.
2. Desarrollo de estudios de medición respecto a la participación de diferentes sectores de la población en ZapSign.
3. Análisis de la Información Personal por parte de ZapSign, sus accionistas, Vinculadas y/o Relacionadas y terceros contratados para el desarrollo y promoción de la venta de sus servicios.
4. Recopilación de los servicios que los Titulares utilizan y la manera en la que hacen uso de los mismos.
5. Recepción de información acerca del Titular, de sus actividades dentro y fuera de la Plataforma de ZapSign a través de los socios de esta o información acerca de las experiencias y las interacciones que el Titular haya tenido a través de nuestra red por parte de anunciantes asociados.
6. Tratamiento con fines de mercadotecnia, publicidad o prospección comercial de ZapSign.
7. Demás comunicaciones y actividades relacionadas con el objeto social de ZapSign.
   

9.2. En caso de que usted, como Titular de los Datos Personales, no esté de acuerdo con alguna de las finalidades secundarias establecidas en la presente Política, por favor escriba a privacy@truora.com.

10. Deberes y Derechos de los Titulares

10.1. De conformidad con el artículo 8 de la Ley 1581 de 2012, los Titulares de los Datos Personales suministrados a ZapSign tendrán los siguientes derechos:

1. Conocer, actualizar y rectificar sus Datos Personales frente a los Responsables o Encargados del Tratamiento, gratuitamente.
2. Solicitar prueba de la autorización otorgada al Responsable, salvo cuando expresamente se exceptúe como requisito para el Tratamiento.
3. Ser informado, previa solicitud, respecto al uso que le ha dado a sus Datos Personales.
4. Presentar ante la Superintendencia de Industria y Comercio (SIC) quejas por infracciones a lo dispuesto en la Ley 1581 de 2012 y las demás normas que la modifiquen, adicionen o complementen.
5. Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la SIC haya determinado que en el Tratamiento, el Responsable o Encargado han incurrido en conductas contrarias a la ley y a la Constitución.
6. Acceder en forma gratuita a sus Datos Personales que hayan sido objeto de Tratamiento.
7. Presentar consultas y reclamos referentes a los Datos Personales conforme al procedimiento establecido en la sección 11 de esta Política.

10.2. Los Titulares de la información personal suministrada a ZapSign tendrán los siguientes deberes:

1. Suministrar información veraz, la cual puede ser verificada por ZapSign para efectos de control y validación. ZapSign tendrá la facultad de negar solicitudes cuando se verifique que la información suministrada por el Titular es falsa o presenta inconsistencias.
2. Mantener actualizada la información de contacto, esto con el objetivo de asegurar una prestación del servicio más eficaz y oportuna, además de permitir un canal de comunicación e información directa entre ZapSign y el Titular.
   
   

11. Procedimiento para el Ejercicio de Derechos (Consultas y Reclamos)

ZapSign dispone de las herramientas y medios de comunicación para que los Titulares o sus representantes legales puedan ejercer sus derechos, conforme al procedimiento establecido en los artículos 14 y 15 de la Ley 1581 de 2012:

11.1. Consultas. El Titular o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos de ZapSign. ZapSign suministrará a éstos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular.

La consulta se formulará por escrito al canal indicado abajo. La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de su recibo. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

11.2. Reclamos. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización, supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en la Ley 1581 de 2012, podrán presentar un reclamo ante ZapSign, el cual será tramitado bajo las siguientes reglas:

1. El reclamo se formulará mediante solicitud dirigida a ZapSign, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días hábiles siguientes a la recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.
2. Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga "reclamo en trámite" y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido.
3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

De conformidad con el artículo 16 de la Ley 1581 de 2012, el Titular o causahabiente solo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el Responsable o Encargado del Tratamiento.

11.3. Canal de Atención al Titular. Oficial de Protección de Datos / Encargado de Privacidad:

Correo electrónico: privacy@truora.com

Dirección: Carrera 12 #90-20, oficina 504, Bogotá D.C., Colombia

12. Confidencialidad de los Datos Personales

12.1. Los Datos Personales suministrados por los Titulares serán utilizados únicamente por ZapSign, sus accionistas, Vinculadas y/o Relacionadas y los terceros autorizados para tales fines, conforme a lo establecido en la presente Política. Los Datos no serán destinados, en evento alguno, a propósitos distintos de aquellos para los cuales fueron suministrados, razón por la cual ZapSign protegerá la privacidad de la Información Personal y hará sus mejores esfuerzos para conservarla bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, así como el respeto de los derechos de los Titulares de la misma.

12.2. Si por cualquier circunstancia una autoridad competente solicita sea revelada la Información Personal que se encuentre en poder de ZapSign, y, en consecuencia, sea su obligación legal suministrar la misma, ZapSign procederá a entregar dicha Información, situación que los Titulares aceptan y autorizan. El Titular será informado siempre que sea posible, salvo en los eventos de reserva legal.

13. Seguridad de la Información

En cumplimiento de las disposiciones de la Ley 1581 de 2012, el Decreto 1074 de 2015 y demás legislaciones, tratados internacionales, decretos, circulares, manuales, recomendaciones y/o reglamentos relativos y aplicables en Protección y Privacidad de Datos Personales, ZapSign ha implementado medidas de seguridad administrativas, técnicas y físicas para establecer a nivel organizacional la gestión, soporte y revisión de la seguridad de los Datos Personales, la identificación y clasificación de la información, así como la concientización, formación y capacitación de su personal en materia de protección de datos personales.

Adicionalmente, ZapSign mantiene certificaciones reconocidas de seguridad de la información aplicables a su modelo de negocio, y adopta controles compatibles con normas internacionales como la ISO/IEC 27001.

Las vulneraciones de seguridad ocurridas en cualquier fase del Tratamiento que afecten de forma significativa los derechos patrimoniales o morales de los Titulares, serán informadas de forma oportuna a la SIC y a los Titulares afectados, conforme a las disposiciones aplicables.

Sin perjuicio de lo anterior, y teniendo en cuenta que los servicios prestados por ZapSign se desarrollan a través de internet, pueden existir interceptaciones ilegales o violaciones a los sistemas y bases de datos por parte de personas inescrupulosas o no autorizadas. ZapSign hará sus mejores esfuerzos y adoptará todas las medidas razonables para evitar tales ocurrencias.

13.1. Conservación de la información. Los archivos que se encuentren bajo la responsabilidad de ZapSign deben cumplir con los protocolos y procedimientos establecidos por la política de seguridad de la información en materia de gestión de activos y clasificación de la información, además de cumplir con las siguientes especificaciones:

1. Los datos del propietario de la información serán almacenados en instancias separadas, con controles de acceso para la lectura.
2. Se debe evitar la consulta de la información por parte de personal no autorizado.
3. Todos los archivos son cifrados al momento de ser almacenados en el repositorio destinado para ello.
4. Las transferencias de los archivos sensibles o restringidos deben realizarse a través de sistemas de mensajería confiables, en lo posible con cifrado de información.

Los Datos Personales serán conservados durante el tiempo necesario para el cumplimiento de las finalidades indicadas en esta Política, así como para el cumplimiento de obligaciones legales (incluidos los plazos prescripcionales aplicables en materia civil, comercial, tributaria y laboral) o para el ejercicio regular de derechos en procesos judiciales, administrativos o arbitrales. Cumplido dicho plazo, los datos serán suprimidos o anonimizados, salvo que exista un deber legal o contractual de conservarlos.

14. Compartimiento y Transferencias Internacionales de Datos

ZapSign realiza remisiones (transmisiones) y transferencias nacionales e internacionales de Datos Personales en cumplimiento de las disposiciones legales aplicables, en particular el artículo 26 de la Ley 1581 de 2012 y los artículos 2.2.2.25.5.1 y siguientes del Decreto 1074 de 2015.

Por regla general, se prohíbe la transferencia de Datos Personales a países que no proporcionen niveles adecuados de protección de datos. Se entiende que un país ofrece un nivel adecuado de protección cuando cumpla con los estándares fijados por la SIC, los cuales en ningún caso podrán ser inferiores a los exigidos por la legislación colombiana. La prohibición no aplica cuando se trate de:

1. Información respecto de la cual el Titular haya otorgado su autorización expresa e inequívoca para la transferencia.
2. Intercambio de datos de carácter médico, cuando lo exija el Tratamiento del Titular por razones de salud o higiene pública.
3. Transferencias bancarias o bursátiles, conforme a la legislación que les resulte aplicable.
4. Transferencias acordadas en el marco de tratados internacionales en los cuales la República de Colombia sea parte.
5. Transferencias necesarias para la ejecución de un contrato entre el Titular y el Responsable, o para la ejecución de medidas precontractuales, siempre y cuando se cuente con la autorización del Titular.
6. Transferencias legalmente exigidas para la salvaguardia del interés público, o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.

Conforme a la Ley 1581 de 2012, ZapSign le informa que con la aceptación de la presente Política se entiende que el Titular otorga su autorización para que ZapSign transfiera y/o transmita sus Datos Personales a terceros, ya sean colombianos o extranjeros, a sus accionistas, Vinculadas y/o Relacionadas (incluyendo las demás empresas del grupo Truora en México, Brasil, Chile y Estados Unidos), así como a terceros y a autoridades judiciales o administrativas, en aquellos eventos en los cuales la transferencia o transmisión de los datos sea necesaria para llevar a cabo los usos y actividades autorizadas por los Titulares conforme al objeto social de ZapSign.

14.1. Intercambio de los Datos Personales. Cuando se suscriban acuerdos formales de intercambio de información con terceros, se deberán establecer procedimientos y/o protocolos de transferencia de Datos Personales que incluya como requisito mínimo las siguientes condiciones de seguridad:

1. Establecer responsabilidades para el control, despacho y recepción.
2. Mecanismos para asegurar el rastreo y no repudio.
3. Establecer responsabilidades y obligaciones en el evento de incidentes de seguridad de la información, como la pérdida de datos.
4. Establecer resguardos contractuales sobre la propiedad de la información, el cuidado de datos personales, el respeto de derechos de autor, licencias de software y consideraciones legales similares.
5. Establecer acuerdos formales de confidencialidad con receptores de información.
   
   

15. Cookies y otras Herramientas Tecnológicas

15.1. ZapSign hace uso de cookies y tecnologías similares para personalizar y mejorar la experiencia de los clientes, así como para mostrarle publicidad online relevante. Las cookies son pequeños archivos de texto que contienen un identificador único que se almacena en el computador o aparato móvil a través del cual usted accede a la página web y/o aplicativos móviles, de manera que aquellos pueden ser reconocidos cada vez que usted utilice la página web y/o aplicativos móviles.

15.2. El Titular de los Datos Personales puede elegir deshabilitar en cualquier momento algunas o todas las cookies que utilizamos. Sin embargo, esto podría restringir su uso de los sitios y limitar su experiencia en el mismo. El uso de cookies no contiene ni afecta Datos Personales sensibles y no representa peligro de virus.

16. Firma Electrónica y Validez Jurídica de los Documentos

16.1. ZapSign actúa como prestadora del servicio de firma electrónica, ofreciendo herramientas tecnológicas que permiten a los Usuarios y Firmantes celebrar contratos y suscribir documentos por medios electrónicos, en cumplimiento de la legislación aplicable en materia de comercio electrónico, mensajes de datos y firma electrónica vigente en la República de Colombia.

16.2. Para efectos de la validez, autenticidad, integridad y no repudio de los documentos firmados electrónicamente a través de la Plataforma, ZapSign recolecta, almacena y produce evidencias técnicas respecto de la formación de la firma, tales como: identificación del firmante, dirección IP, geolocalización aproximada, dispositivo utilizado, sello de tiempo, hash del documento, biometría (cuando se active) y demás logs de auditoría.

16.3. Tales evidencias son consideradas Datos Personales y su Tratamiento se fundamenta en las siguientes bases: (i) ejecución del contrato celebrado entre el Titular y ZapSign; (ii) cumplimiento de obligaciones legales y regulatorias; (iii) ejercicio regular de derechos en procesos judiciales, administrativos o arbitrales; y (iv) interés legítimo del Responsable, especialmente para fines de prevención al fraude y de garantía de la validez jurídica del documento.

16.4. En razón de los principios de integridad y no repudiación de los documentos electrónicamente firmados, así como de obligaciones legales y regulatorias, las evidencias de firma serán mantenidas por el tiempo necesario para el ejercicio de los derechos correspondientes, observados los plazos prescripcionales aplicables. Cualquier solicitud de eliminación de estas evidencias por parte del Titular podrá ser legítimamente denegada, con la debida fundamentación, cuando su almacenamiento sea indispensable para el cumplimiento de obligación legal, regulatoria, contractual o para el ejercicio regular de derechos.

17. Truora Pass — Identidad Digital Reutilizable

17.1. Carácter facultativo. Truora Pass es una funcionalidad opcional ofrecida por Truora (empresa integrante del mismo grupo económico de ZapSign), mediante la cual el Titular puede autorizar la creación de una cuenta personal que le permite gestionar y mantener el control sobre sus propios datos de identificación previamente verificados. La creación de una cuenta Truora Pass es facultativa, gratuita e independiente del uso de los demás Servicios de ZapSign.

17.2. Control del Titular. La creación de la cuenta Truora Pass se realiza únicamente con base en el consentimiento libre, informado, específico y diferenciado (o explícito, según la jurisdicción aplicable) del Titular, manifestado mediante una acción afirmativa propia, distinta de la aceptación general de la presente Política. El Titular conserva, en todo momento, el control sobre su cuenta y podrá decidir libremente si desea o no mantenerla activa.

17.3. Bases legales y marco normativo aplicable. El tratamiento de los Datos Personales asociados a la cuenta Truora Pass se fundamenta en el consentimiento específico, informado y diferenciado del Titular, así como en la ejecución del contrato celebrado entre el Titular y Truora, conforme a los marcos normativos aplicables en cada jurisdicción, en particular: (i) la Ley nº 13.709/2018 — Ley General de Protección de Datos (LGPD), en Brasil, en especial los arts. 7º, V, 11, I, y 18; (ii) el Reglamento (UE) 2016/679 — General Data Protection Regulation (GDPR), en el Espacio Económico Europeo, en especial los arts. 6(1)(b), 9(2)(a) y 15 a 22; (iii) la Ley Estatutaria 1581 de 2012 y el Decreto 1377 de 2013, en Colombia, en especial los arts. 6 y 8; (iv) la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su Reglamento, en México, en especial los arts. 9 y 22 a 35; así como las demás normas concordantes en otras jurisdicciones en las que Truora preste el servicio.

17.4. Derechos del Titular. El Titular podrá, en cualquier momento y de manera gratuita, ejercer los derechos que le reconozca la legislación aplicable en su jurisdicción en relación con la cuenta Truora Pass, incluyendo, según corresponda: confirmación del tratamiento, acceso, rectificación, actualización, anonimización, supresión o eliminación, portabilidad, oposición, limitación del tratamiento, información sobre comunicación de datos, revocación del consentimiento y — cuando aplique bajo el GDPR — el derecho a presentar una reclamación ante la autoridad de control competente, así como los derechos ARCO previstos por la LFPDPPP en México. Las solicitudes podrán dirigirse a Truora a través de los canales indicados en su Política de Privacidad (privacy@truora.com), sin perjuicio de los canales de ZapSign señalados en la presente Política. La revocación del consentimiento o la eliminación de la cuenta Truora Pass no afectará la continuidad de los demás Servicios de ZapSign ni la integridad de las evidencias de firma electrónica ya generadas, conforme a la Sección 16.

17.5. Términos específicos. Las condiciones particulares de uso de Truora Pass, incluyendo el detalle de los atributos tratados, las finalidades específicas y las eventuales interacciones con terceros previamente solicitadas por el Titular, serán reguladas por los Términos y Condiciones específicos de Truora Pass, que deberán ser aceptados de forma separada por el Titular al momento de la creación de la cuenta.

18. Oficial de Protección de Datos

18.1. ZapSign ha designado un Oficial de Protección de Datos (Encargado de Privacidad), responsable de: (i) atender reclamos y comunicaciones de los Titulares, prestar aclaraciones y adoptar las providencias correspondientes; (ii) recibir comunicaciones de la SIC y adoptar las providencias correspondientes; (iii) orientar a los funcionarios y contratistas de la entidad respecto de las prácticas a tomar en relación con la protección de datos personales; y (iv) ejecutar las demás atribuciones determinadas por el Responsable o establecidas en normas complementarias.

Oficial de Protección de Datos / Encargado de Privacidad

Correo electrónico: privacy@truora.com

Dirección: Carrera 12 #90-20, oficina 504, Bogotá D.C., Colombia

19. Modificaciones de la Política de Privacidad

19.1. ZapSign se encuentra plenamente facultada para modificar la presente Política de Privacidad. Cualquier cambio será publicado en nuestro sitio web y/o aplicativos móviles, con indicación de la fecha de la última actualización. Cuando la modificación implique un cambio sustancial en la finalidad o base legal del Tratamiento, y la base legal originaria sea el consentimiento, ZapSign solicitará nueva autorización a los Titulares afectados. Es responsabilidad del Titular revisar con frecuencia esta Política.

20. Vigencia

20.1. La presente Política de Privacidad se encuentra vigente a partir de la fecha indicada como "Última Actualización" y será revisada de manera periódica, al menos una vez al año, o siempre que se presente alguna modificación legislativa, regulatoria u operativa que así lo justifique.

21. Ley Aplicable y Jurisdicción

21.1. La presente Política de Privacidad se rige por las leyes de la República de Colombia, en particular por la Ley Estatutaria 1581 de 2012, el Decreto 1074 de 2015 y demás normas concordantes. Cualquier controversia derivada de esta Política se someterá a la jurisdicción de los jueces de la ciudad de Bogotá D.C., Colombia, sin perjuicio de las disposiciones imperativas en contrario contenidas en normas de protección al consumidor.

22. Titulares ubicados en la Unión Europea / Espacio Económico Europeo — Disposiciones Específicas del GDPR

22.1. Aplicabilidad. La presente Sección 23 se aplica siempre que ZapSign trate Datos Personales de titulares ubicados en la Unión Europea o en el Espacio Económico Europeo en relación con (a) la oferta de bienes o servicios a dichos titulares o (b) la observación de su comportamiento, conforme al art. 3(2) del Reglamento (UE) 2016/679 (el "GDPR"). En esa medida, el GDPR regirá el tratamiento y deberá ser leído conjuntamente con la presente Política de Privacidad. En caso de conflicto entre las disposiciones de la presente Sección 23 y cualquier otra disposición de esta Política respecto a titulares de la UE/EEE, prevalecerá la presente Sección 23.

23.2. Roles. Respecto a los Datos Personales de firmantes finales y demás terceros cargados o presentados por los Usuarios en el uso de la Plataforma ZapSign, el Usuario actúa como responsable del tratamiento (data controller) y ZapSign actúa como encargado del tratamiento (data processor), en el sentido del art. 28 GDPR. Respecto a los Datos Personales tratados en relación con la propia cuenta del Usuario, facturación, soporte, prevención del fraude y demás finalidades administrativas, ZapSign actúa como responsable del tratamiento.

23.3. Identidad del responsable. El responsable del tratamiento bajo la titularidad de ZapSign es TRUORA S.A.S, identificada en la Sección 1.1 de la presente Política. Los datos de contacto en materia de protección de datos se encuentran indicados en la Sección 18 de la presente Política.

23.4. Bases legales (art. 6 GDPR). ZapSign fundamenta el tratamiento de Datos Personales de titulares de la UE/EEE en una o más de las siguientes bases legales, según la finalidad: (a) ejecución de un contrato o medidas precontractuales (art. 6(1)(b) GDPR) — para creación y gestión de la cuenta, prestación del servicio de firma electrónica, verificación de identidad cuando sea activada por el Usuario, facturación, soporte y demás tratamientos estrictamente necesarios para la ejecución del contrato; (b) cumplimiento de una obligación legal (art. 6(1)(c) GDPR) — para conservación de registros, obligaciones fiscales, controles PLD/FT cuando sean aplicables, conservación de evidencias de firma electrónica exigida por la legislación aplicable y respuesta a requerimientos legales de autoridades competentes; (c) intereses legítimos (art. 6(1)(f) GDPR) — para prevención del fraude, seguridad de la información, integridad y no repudio de las firmas electrónicas, defensa frente a acciones legales y análisis en forma agregada o anonimizada; y (d) consentimiento (art. 6(1)(a) GDPR) — para comunicaciones de marketing, cookies no esenciales y tecnologías similares, y cualquier otro tratamiento no amparado por las bases anteriores. El consentimiento podrá ser retirado en cualquier momento, sin afectar la licitud del tratamiento realizado con anterioridad a la retirada.

23.5. Categorías especiales de datos (art. 9 GDPR). Cuando ZapSign trate datos biométricos, en particular datos biométricos faciales, con la finalidad de identificar de manera unívoca a un titular en el contexto de la verificación de identidad o del servicio Truora Pass, el tratamiento se fundamentará en el consentimiento explícito del titular (art. 9(2)(a) GDPR). Cuando los datos biométricos sean tratados sin la finalidad de identificación unívoca (por ejemplo, verificaciones técnicas automatizadas de calidad), no se aplicará la categoría especial, manteniéndose, no obstante, la base legal correspondiente del art. 6 GDPR.

23.6. Punto de contacto en materia de protección de datos y Representante en la Unión. ZapSign mantiene un punto de contacto específico en materia de privacidad, disponible en privacy@truora.com y conforme indicado en la Sección 18 de la presente Política, para recibir consultas y solicitudes de titulares y autoridades competentes en relación con el tratamiento de Datos Personales de titulares de la UE/EEE. En la medida en que ZapSign se vea sujeta a la obligación de designar un representante en la Unión conforme al art. 27 GDPR, dicha designación se realizará y comunicará a través de la presente Política. Mientras no se efectúe tal designación, todas las consultas relacionadas con el GDPR podrán dirigirse al punto de contacto indicado anteriormente.

23.7. Derechos del titular (arts. 15 a 22 GDPR). Los titulares de la UE/EEE tienen los siguientes derechos respecto a los Datos Personales tratados por ZapSign, ejercitables de manera gratuita: (a) derecho de acceso (art. 15); (b) derecho de rectificación (art. 16); (c) derecho de supresión (art. 17), sujeto a los fundamentos y excepciones previstos en el GDPR, incluyendo las obligaciones legales de conservación de las evidencias de firma electrónica; (d) derecho a la limitación del tratamiento (art. 18); (e) derecho a la portabilidad de los datos (art. 20) respecto a los datos proporcionados sobre la base del consentimiento o del contrato; (f) derecho de oposición (art. 21), en particular, en cualquier momento, al tratamiento con fines de marketing directo; (g) derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o le afecte significativamente de modo similar (art. 22) — ZapSign no adopta tales decisiones respecto a titulares de la UE/EEE, sometiéndose a revisión humana cualquier puntuación de prevención del fraude que afecte materialmente al titular; y (h) derecho a retirar el consentimiento en cualquier momento, sin que ello afecte la licitud del tratamiento previo. Las solicitudes podrán dirigirse al punto de contacto en materia de privacidad, en privacy@truora.com. ZapSign responderá sin dilación indebida y, en cualquier caso, en el plazo de un mes desde su recepción, sujeto a las prórrogas admitidas por el art. 12(3) GDPR.

23.8. Derecho a presentar una reclamación ante una autoridad de control (art. 77 GDPR). Sin perjuicio de cualquier otro recurso administrativo o judicial, los titulares de la UE/EEE tienen derecho a presentar una reclamación ante la autoridad de control del Estado miembro de su residencia habitual, lugar de trabajo o lugar de la presunta infracción. La lista de autoridades de control está disponible en https://edpb.europa.eu/about-edpb/about-edpb/members_en.

23.9. Transferencias internacionales (Capítulo V GDPR). Los Datos Personales de titulares de la UE/EEE tratados por ZapSign podrán ser transferidos a, y almacenados en, países fuera del Espacio Económico Europeo, incluyendo Colombia, Brasil, México, Chile y los Estados Unidos. Cuando dichas transferencias se realicen, se llevarán a cabo con base en las garantías adecuadas previstas en el Capítulo V del GDPR, en particular, cuando sean aplicables, las Cláusulas Contractuales Tipo de la UE aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión (Módulos 2 o 3, según corresponda), acompañadas, cuando sea necesario, de una Evaluación de Impacto de la Transferencia (Transfer Impact Assessment) para el país de destino y de medidas técnicas, organizativas y contractuales suplementarias. La información sobre las garantías aplicadas a una transferencia específica podrá solicitarse en privacy@truora.com.

23.10. Conservación. Los Datos Personales de titulares de la UE/EEE se conservarán durante el tiempo necesario para el cumplimiento de las finalidades establecidas en la presente Política, conforme a los criterios previstos en la Sección 13.1. A título orientativo: los datos de la cuenta se conservan durante el tiempo de la relación contractual más el plazo de prescripción aplicable; las evidencias de firma electrónica se conservan durante el tiempo exigido por la legislación aplicable para preservar la validez jurídica del documento firmado; los datos biométricos utilizados para la verificación de identidad se conservan únicamente durante el tiempo estrictamente necesario para completar la verificación o, en el caso del servicio Truora Pass, durante la vida activa de la cuenta; los datos de marketing se conservan hasta la retirada del consentimiento. Calendarios específicos de retención podrán solicitarse en privacy@truora.com.

23.11. Notificación de incidente de seguridad (arts. 33 y 34 GDPR). En caso de violación de datos personales que afecte a titulares de la UE/EEE, ZapSign notificará a la autoridad de control competente sin dilación indebida y, cuando sea posible, en un plazo no superior a setenta y dos (72) horas desde que tuviera conocimiento de la violación, salvo que la violación no sea susceptible de suponer un riesgo para los derechos y libertades de las personas físicas. Cuando la violación sea susceptible de entrañar un alto riesgo para tales derechos y libertades, ZapSign comunicará también la violación a los titulares afectados sin dilación indebida, conforme al art. 34 GDPR.

23.12. Menores (art. 8 GDPR). Los servicios de ZapSign no están dirigidos a personas menores de dieciséis (16) años en la UE/EEE. Cuando se ofrezcan servicios de la sociedad de la información directamente a un menor en la UE/EEE, el tratamiento basado en el consentimiento observará el art. 8 GDPR y, cuando sea aplicable, la edad superior de consentimiento fijada por el Estado miembro pertinente.

23. Autoridad de Emisión, Revisión y Publicación

23.1. La presente Política de Privacidad ha sido desarrollada por el área de Privacidad del Grupo Truora, encargada exclusivamente de la protección de los Datos Personales y de velar por el ejercicio de los derechos de los Titulares.

23.2. En caso de dudas, sugerencias o solicitudes relativas a esta Política, el Titular podrá contactar al Oficial de Protección de Datos a través del canal indicado en la Sección 17.