Tratamiento de Datos

Para efectos de esta Política, Zabi o el Proveedor se refiere a Trenggo Labs SAS, titular y operador de la Plataforma Zabi.

Por la naturaleza de la Plataforma, Zabi puede actuar bajo dos calidades diferenciadas, según el tipo de información y la finalidad del tratamiento:

2.1. Zabi como Encargado del Tratamiento. Respecto de los datos personales de estudiantes, aspirantes, acudientes, docentes, directivos, personal administrativo y demás miembros de la comunidad educativa que una institución educativa utiliza, carga o gestiona a través de la Plataforma, la Institución Educativa actúa como Responsable del Tratamiento y Zabi actúa como Encargado del Tratamiento, tratando los datos por cuenta y según las instrucciones de la Institución.

En estos casos, las decisiones sobre la recolección, autorización, finalidades educativas, exactitud, conservación, corrección, supresión y uso institucional de los datos corresponden principalmente a la Institución Educativa, sin perjuicio de las obligaciones que correspondan a Zabi como Encargado.

2.2. Zabi como Responsable del Tratamiento. Zabi actúa como Responsable respecto de los datos personales que recolecta y trata por cuenta propia, por ejemplo: datos de contacto comercial de instituciones educativas, representantes o usuarios administradores; datos necesarios para facturación, contratación, soporte, seguridad, administración de cuentas, atención de solicitudes, funcionamiento de su sitio web y cumplimiento de obligaciones legales propias.

Cuando una solicitud de un Titular corresponda a una decisión que debe adoptar la Institución Educativa en su calidad de Responsable, Zabi podrá canalizarla, trasladarla o apoyar su gestión ante la Institución correspondiente.

• Autorización: consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales.
• Aviso de privacidad: comunicación verbal o escrita dirigida al Titular, mediante la cual se informa la existencia de las políticas de tratamiento y la forma de acceder a ellas.
• Base de datos: conjunto organizado de datos personales objeto de Tratamiento.
• Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato sensible: aquel que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación, incluyendo datos relativos a la salud, origen racial o étnico, orientación política, convicciones religiosas o filosóficas, vida sexual, datos biométricos y demás categorías previstas en la ley.
• Datos de niños, niñas y adolescentes: datos personales cuyos Titulares son menores de dieciocho (18) años y cuyo Tratamiento está sujeto a protección reforzada, al interés superior del menor y al respeto de sus derechos prevalentes.
• Encargado del Tratamiento: persona natural o jurídica que realiza el Tratamiento de datos personales por cuenta del Responsable.
• Responsable del Tratamiento: persona natural o jurídica que decide sobre la base de datos y/o el Tratamiento de los datos.
• Titular: persona natural cuyos datos personales son objeto de Tratamiento.
• Tratamiento: cualquier operación sobre datos personales, tales como recolección, almacenamiento, uso, circulación, transmisión, transferencia, actualización, supresión o conservación.
• Transferencia internacional: envío de datos personales a un receptor que actúa como Responsable y se encuentra ubicado fuera de Colombia.
• Transmisión internacional: envío de datos personales a un Encargado ubicado fuera de Colombia para que los trate por cuenta del Responsable.

Esta Política aplica a los datos personales tratados por Zabi o a través de la Plataforma, según corresponda, de los siguientes Titulares:

• Aspirantes y estudiantes, incluyendo niños, niñas y adolescentes.
• Acudientes, padres, madres, representantes legales o personas autorizadas por la Institución.
• Docentes, directivos, personal de bienestar, personal administrativo y demás personal de las instituciones educativas.
• Usuarios administradores, operadores de redes educativas, fundaciones, entidades o grupos multiescuela que utilicen la Plataforma.
• Contactos comerciales, representantes, empleados o contratistas de instituciones clientes o potenciales clientes de Zabi.
• Usuarios que contacten a Zabi por soporte, ventas, PQRS, seguridad, privacidad o canales del sitio web.

El Tratamiento de datos personales en Zabi se rige por los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad. Zabi tratará los datos personales de forma limitada a las finalidades informadas, con acceso restringido a usuarios y personal autorizado, y con medidas razonables de seguridad de acuerdo con la naturaleza de la información y los riesgos asociados.

Según el rol del Titular, las funcionalidades habilitadas por la Institución y los servicios efectivamente utilizados, Zabi puede tratar o alojar las siguientes categorías de datos:

7.1. Datos sensibles. El Tratamiento de datos sensibles está prohibido por regla general, salvo cuando se configure una excepción legal, incluyendo la autorización explícita del Titular o de quien legalmente pueda otorgarla. Cuando se soliciten datos sensibles, se informará su carácter sensible y que el Titular no está obligado a autorizar su Tratamiento, salvo los casos en que exista una obligación legal o una excepción aplicable.

7.2. Datos de menores. El Tratamiento de datos personales de niños, niñas y adolescentes se realizará respetando sus derechos prevalentes, su interés superior, su dignidad y las normas aplicables. Cuando se requiera autorización, esta deberá ser otorgada por el representante legal o por quien esté jurídicamente facultado, y se procurará que el menor sea informado y escuchado de acuerdo con su edad, madurez y capacidad de comprensión.

7.3. Rol de la Institución. Cuando los datos de menores o datos sensibles sean recolectados o definidos por la Institución Educativa para fines educativos, administrativos, de bienestar o de reporte institucional, la Institución actuará como Responsable del Tratamiento y deberá contar con las autorizaciones o fundamentos legales que correspondan. Zabi tratará dichos datos como Encargado, conforme a las instrucciones de la Institución y a las medidas de seguridad de la Plataforma.

7.4. Medidas reforzadas. Zabi aplicará controles de acceso por institución y rol, reglas de seguridad, autenticación y otras medidas razonables para limitar el acceso a datos sensibles y datos de menores a los usuarios autorizados.

Las finalidades varían según el rol de Zabi en cada Tratamiento.

8.1. Finalidades cuando Zabi actúa como Encargado por cuenta de la Institución. Zabi podrá tratar Datos Institucionales para prestar la Plataforma y ejecutar instrucciones de la Institución Educativa, incluyendo:

• crear, administrar y autenticar cuentas de usuarios autorizados;
• gestionar roles, permisos y accesos por institución;
• facilitar inscripciones, admisiones, matrícula y actualización de información escolar;
• apoyar la gestión académica, incluyendo grados, grupos, asignaturas, asistencia, calificaciones, planeaciones, horarios y reportes;
• permitir comunicaciones internas, anuncios, calendario, mensajes y notificaciones operativas de la comunidad educativa;
• generar reportes, constancias, certificados, documentos PDF y archivos de apoyo para reportes oficiales ante autoridades educativas, cuando la Institución lo habilite;
• almacenar documentos, comprobantes, fotografías, soportes y archivos cargados por usuarios autorizados;
• proveer indicadores o analítica institucional solicitada por la Institución dentro de la Plataforma;
• prestar soporte técnico, corregir errores, mantener la seguridad y asegurar el correcto funcionamiento de la Plataforma;
• realizar copias de seguridad, recuperación, auditoría técnica, registro de eventos y continuidad del servicio;
• cumplir instrucciones de bloqueo, corrección, exportación, conservación o eliminación impartidas por la Institución, según corresponda.

Zabi no decide admisiones, calificaciones, sanciones, promociones, decisiones disciplinarias, decisiones de bienestar ni obligaciones educativas propias de la Institución.

8.2. Finalidades cuando Zabi actúa como Responsable. Zabi podrá tratar datos personales por cuenta propia para:

• administrar la relación comercial, contractual y operativa con instituciones clientes o potenciales clientes;
• crear y administrar cuentas institucionales, usuarios administradores y accesos internos de soporte;
• atender solicitudes de soporte, ventas, PQRS, seguridad, privacidad o habeas data dirigidas a Zabi;
• emitir facturas, cumplir obligaciones tributarias, contables, comerciales y legales;
• proteger la seguridad, integridad, disponibilidad y buen funcionamiento de la Plataforma;
• prevenir, detectar, investigar y responder frente a accesos no autorizados, fraude, incidentes, abuso o fallas técnicas;
• mantener registros de auditoría, evidencia de aceptación electrónica, logs técnicos y documentación de cumplimiento;
• analizar el funcionamiento técnico del servicio mediante información agregada, estadística o minimizada cuando sea posible;
• cumplir órdenes de autoridad competente y obligaciones legales aplicables.

Zabi no venderá datos personales de estudiantes, no utilizará datos personales identificables de estudiantes para publicidad comportamental y no empleará Datos Institucionales identificables para entrenar modelos generales de inteligencia artificial para fines propios, salvo autorización o base jurídica expresa y documentada que así lo permita.

El Tratamiento de datos personales se realizará con autorización previa, expresa e informada del Titular cuando esta sea requerida, o con fundamento en las excepciones legales aplicables.

Cuando los datos sean recolectados directamente por Zabi en calidad de Responsable, Zabi informará al Titular las finalidades del Tratamiento, sus derechos, los canales de contacto y, cuando corresponda, el carácter facultativo de entregar datos sensibles o datos de menores.

Cuando los datos sean recolectados por la Institución Educativa o cargados en la Plataforma por usuarios autorizados de la Institución, la Institución será responsable de obtener y conservar las autorizaciones, avisos o fundamentos legales necesarios. Zabi podrá almacenar evidencia técnica de aceptación, autorización, registro o actividad cuando la Plataforma esté configurada para ello, actuando como Encargado por cuenta de la Institución.

No se requerirá autorización en los casos previstos por la ley, incluyendo datos requeridos por una entidad pública o administrativa en ejercicio de sus funciones legales, datos de naturaleza pública, casos de urgencia médica o sanitaria, información autorizada por la ley para fines históricos, estadísticos o científicos, y datos relacionados con el Registro Civil de las Personas, según corresponda.

Los Titulares tienen derecho a:

• conocer, actualizar y rectificar sus datos personales frente al Responsable o Encargado;
• solicitar prueba de la autorización otorgada, salvo cuando la ley no la exija;
• ser informados, previa solicitud, sobre el uso dado a sus datos personales;
• presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la normativa, una vez agotado el trámite de consulta o reclamo;
• revocar la autorización y/o solicitar la supresión del dato cuando no exista deber legal, contractual o legítimo de conservarlo;
• acceder gratuitamente a sus datos personales objeto de Tratamiento en los términos de la ley.

Cuando Zabi actúe como Encargado, apoyará a la Institución Educativa en la atención de los derechos de los Titulares y podrá remitir la solicitud a la Institución cuando la decisión corresponda a esta como Responsable.

Los Titulares, sus causahabientes, representantes legales o apoderados podrán ejercer sus derechos mediante comunicación dirigida a nicolas@zabi.co. La solicitud deberá permitir verificar la identidad del solicitante y su legitimación para actuar, especialmente cuando se trate de datos de menores de edad.

La solicitud deberá incluir, en la medida de lo posible: nombre completo, tipo y número de documento, datos de contacto, Institución Educativa relacionada, descripción clara de la consulta o reclamo, documentos de soporte y, cuando aplique, prueba de representación, poder o calidad de causahabiente.

11.1. Consultas. Las consultas serán atendidas en un término máximo de diez (10) días hábiles contados desde la fecha de recibo. Cuando no fuere posible atenderlas en dicho término, se informará al interesado los motivos de la demora y la fecha de atención, que no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

11.2. Reclamos. El reclamo deberá contener la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, los datos de contacto y los documentos que se pretendan hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días hábiles siguientes para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.

Si quien recibe el reclamo no es competente para resolverlo, dará traslado a quien corresponda en un máximo de dos (2) días hábiles e informará de la situación al interesado. Una vez recibido el reclamo completo, se incluirá la leyenda “reclamo en trámite” o una marca equivalente en el registro correspondiente, cuando sea técnicamente posible y aplicable, hasta que el reclamo sea decidido.

El reclamo será atendido en un término máximo de quince (15) días hábiles contados desde el día siguiente a su recibo. Cuando no fuere posible atenderlo en dicho término, se informará al interesado los motivos de la demora y la fecha de atención, que no podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

11.3. Quejas ante la SIC. El Titular podrá presentar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el Responsable o Encargado, conforme a la normativa aplicable.

El área o persona responsable de atender peticiones, consultas y reclamos relacionados con el Tratamiento de datos personales en Zabi es el Departamento de Seguridad de Datos, a través del correo nicolas@zabi.co.

Para operar la Plataforma, Zabi utiliza proveedores tecnológicos ubicados en Colombia o en el exterior. La información actualizada sobre proveedores relevantes, funciones, servicios y ubicaciones se encuentra disponible en la página de Subencargados, proveedores tecnológicos e infraestructura de Zabi: https://zabi.co/legal/subencargados.

Actualmente, la operación principal de la Plataforma se apoya en Google Cloud / Firebase para base de datos, almacenamiento de archivos, autenticación y funciones backend; Expo / EAS para compilación y actualizaciones de la aplicación móvil; y las tiendas Apple App Store y Google Play Store para distribución de la aplicación móvil.

La información principal de la Plataforma —incluyendo base de datos, almacenamiento de archivos y funciones backend— se aloja actualmente en Estados Unidos mediante Google Cloud / Firebase, región us-east1. Algunos servicios complementarios, como distribución de la aplicación, actualizaciones móviles, autenticación, seguridad, soporte o servicios globales del proveedor, pueden operar mediante infraestructura distribuida o ubicada en otras regiones.

Estados Unidos se encuentra reconocido por la Superintendencia de Industria y Comercio de Colombia como un país que brinda un nivel adecuado de protección de datos personales, conforme a la normativa aplicable. La selección de una región para un recurso tecnológico específico no implica que todos los servicios complementarios procesen información exclusivamente en esa misma región.

Cuando Zabi trate Datos Institucionales por cuenta de una Institución Educativa y utilice infraestructura o proveedores ubicados fuera de Colombia, la operación podrá constituir una transmisión internacional de datos personales en la medida en que Zabi y/o sus proveedores actúen como Encargados o subencargados por cuenta del Responsable.

Cuando exista una transferencia o transmisión internacional de datos personales, esta se realizará conforme a la Ley 1581 de 2012, el Decreto 1074 de 2015, la Circular Única de la Superintendencia de Industria y Comercio, los contratos celebrados con las instituciones educativas y los mecanismos jurídicos aplicables con los proveedores tecnológicos, incluyendo acuerdos de tratamiento de datos, condiciones de procesamiento de datos o instrumentos equivalentes.

Cuando Zabi actúe como Encargado de la Institución, el tratamiento internacional de Datos Institucionales se realizará en el marco del contrato, términos comerciales o instrumento de encargo/transmisión celebrado con la Institución Educativa, y con las medidas de seguridad y confidencialidad aplicables.

Zabi implementa medidas técnicas, humanas y administrativas razonables para proteger los datos personales contra adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Entre estas medidas, según corresponda, se encuentran:

• control de acceso por usuario, rol e institución;
• separación lógica de información por institución;
• reglas de seguridad a nivel de base de datos y almacenamiento de archivos;
• autenticación y administración de accesos;
• cifrado en tránsito y en reposo cuando el servicio utilizado lo provea o aplique;
• restricción de accesos administrativos y uso de credenciales autorizadas;
• registros técnicos de actividad, auditoría o seguridad;
• copias de respaldo, continuidad y recuperación, según la configuración técnica vigente;
• medidas reforzadas para datos sensibles y datos de menores de edad;
• gestión de incidentes de seguridad y colaboración con la Institución cuando Zabi actúe como Encargado.

Ninguna medida de seguridad es absoluta; sin embargo, Zabi procura aplicar medidas razonables y proporcionales a la naturaleza de la información, los riesgos del servicio y los recursos técnicos disponibles.

Zabi cuenta con procedimientos para identificar, contener, investigar, documentar y remediar incidentes que puedan comprometer datos personales. Cuando Zabi actúe como Encargado, informará a la Institución Responsable sobre incidentes relevantes que involucren Datos Institucionales y colaborará razonablemente para atender las obligaciones legales aplicables.

Cuando corresponda, Zabi realizará o apoyará los reportes a las autoridades competentes conforme a la normativa aplicable y a la calidad en que actúe en cada Tratamiento.

Cuando no sea posible poner a disposición del Titular esta Política al momento de la recolección de los datos, se pondrá a su disposición un aviso de privacidad que informe la identidad del Responsable, las finalidades del Tratamiento, los derechos del Titular y los medios para conocer esta Política.

La obligación de inscribir bases de datos en el Registro Nacional de Bases de Datos (RNBD) recae sobre los Responsables del Tratamiento que se encuentren obligados conforme a la normativa aplicable, incluyendo sociedades y entidades sin ánimo de lucro con activos totales superiores a los umbrales legales, así como personas jurídicas de naturaleza pública, según corresponda.

Respecto de los Datos Institucionales de la comunidad educativa, la inscripción en el RNBD —cuando proceda— corresponde a la Institución Educativa en su calidad de Responsable del Tratamiento, no a Zabi cuando actúa como Encargado. Respecto de sus propias bases de datos, Zabi realizará la inscripción o actualización en el RNBD cuando se encuentre dentro de los supuestos de obligatoriedad legal.

La ausencia de obligación de registro en el RNBD no elimina las demás obligaciones de protección de datos personales, incluyendo autorización, información, seguridad, atención de consultas y reclamos, confidencialidad e incidentes.

Los datos personales se conservarán durante el tiempo razonable y necesario para cumplir las finalidades informadas, prestar la Plataforma, atender obligaciones legales o contractuales, gestionar reclamaciones, conservar evidencia, mantener seguridad, realizar auditoría o cumplir instrucciones de la Institución cuando Zabi actúe como Encargado.

Cuando una Institución Educativa deje de utilizar la Plataforma, la devolución, exportación, conservación, bloqueo o eliminación de los Datos Institucionales se realizará conforme al contrato, términos comerciales, instrucciones de la Institución y normativa aplicable. Zabi podrá conservar registros técnicos, copias de respaldo o evidencias durante los periodos necesarios por razones legales, contractuales, contables, de seguridad o de continuidad operacional.

Zabi podrá conservar sus propios datos comerciales, contables, contractuales, de soporte, seguridad y cumplimiento durante los periodos exigidos o permitidos por la ley y mientras exista una finalidad legítima para su conservación.

Zabi podrá actualizar esta Política para reflejar cambios legales, técnicos, operativos, de seguridad, de proveedores, de infraestructura o de funcionalidades de la Plataforma. Los cambios sustanciales serán informados a través de la Plataforma, el sitio web, correo electrónico u otros canales disponibles, según corresponda.

Cuando un cambio implique nuevas finalidades que requieran autorización conforme a la ley, Zabi o la Institución Educativa, según la calidad en que actúe cada parte, gestionará la autorización correspondiente.

Esta Política se rige por las leyes de la República de Colombia, en particular por la Ley Estatutaria 1581 de 2012, el Decreto 1074 de 2015, la Ley 1098 de 2006, la Ley 527 de 1999, la Circular Única de la Superintendencia de Industria y Comercio y las demás normas que las modifiquen, adicionen o sustituyan.

Referencias normativas:

• Ley Estatutaria 1581 de 2012 — Régimen general de protección de datos personales.
• Decreto 1074 de 2015 — Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, incluyendo reglas sobre políticas de tratamiento, autorización, datos de menores, transmisión y transferencia internacional.
• Circular Única de la Superintendencia de Industria y Comercio, Título V — Instrucciones sobre protección de datos personales, transferencia y transmisión internacional y países con nivel adecuado de protección.
• Decreto 090 de 2018 — Obligados al Registro Nacional de Bases de Datos.
• Ley 1098 de 2006 — Código de la Infancia y la Adolescencia.
• Ley 527 de 1999 — Validez jurídica y probatoria de mensajes de datos y mecanismos electrónicos.