Subencargados e Infraestructura

Cuando Zabi trata datos personales de estudiantes, aspirantes, acudientes, docentes, directivos u otros miembros de la comunidad educativa por cuenta de una institución educativa, Zabi actúa como Encargado del Tratamiento y la institución educativa actúa como Responsable del Tratamiento.

En esos casos, los proveedores tecnológicos que intervienen en el almacenamiento, procesamiento, autenticación, seguridad, mantenimiento o soporte de la Plataforma pueden actuar como subencargados de Zabi, en la medida en que traten datos personales por cuenta de Zabi y de la institución educativa.

Cuando Zabi trata datos personales por cuenta propia —por ejemplo, datos de contacto comercial, datos de cuenta de instituciones clientes, datos de usuarios administradores, información de facturación, soporte o seguridad—, Zabi actúa como Responsable del Tratamiento y sus proveedores tecnológicos pueden actuar como Encargados o proveedores de servicios de Zabi, según corresponda.

En cualquiera de estos casos, Zabi utiliza proveedores tecnológicos para prestar la Plataforma, almacenar información, autenticar usuarios, distribuir y actualizar la aplicación, mantener la seguridad del servicio, realizar funciones técnicas necesarias y atender solicitudes de soporte.

Para crecer, proteger, escalar o mejorar el servicio, Zabi podría incorporar proveedores tecnológicos adicionales. Cuando dicha incorporación afecte de manera relevante el tratamiento de datos personales, Zabi actualizará esta página y/o informará por los canales aplicables.

Entre los posibles proveedores futuros podrían encontrarse:

• proveedor de correo electrónico, para comunicaciones operativas, notificaciones administrativas, soporte o recuperación de cuenta;
• proveedor de SMS o verificación telefónica, para autenticación, códigos de acceso o mensajes operativos;
• servicio de notificaciones push, por ejemplo a través de Expo, Apple o Google, para avisos dentro de la aplicación;
• herramientas de monitoreo, diagnóstico de errores, rendimiento y seguridad, para estabilidad, continuidad, prevención de incidentes e identificación de fallas.

A la fecha de esta versión, Zabi no utiliza de manera activa estos proveedores adicionales, salvo que se indique expresamente lo contrario en la sección de proveedores tecnológicos actuales.

Según el servicio utilizado, los proveedores tecnológicos actuales o futuros pueden tratar, alojar o procesar información como:

• datos de cuenta y autenticación;
• identificadores técnicos de usuario, cuenta, instalación o dispositivo;
• datos escolares registrados en la Plataforma;
• documentos y archivos cargados por usuarios autorizados, incluyendo comprobantes, soportes, fotografías, documentos de inscripción o matrícula y otros archivos;
• registros de acceso, actividad, auditoría o seguridad;
• información técnica del dispositivo, navegador, sistema operativo o aplicación;
• comunicaciones operativas necesarias para el funcionamiento del servicio;
• registros de errores, rendimiento, diagnóstico técnico o seguridad, cuando dichos servicios estén habilitados.

Zabi aplica los principios de necesidad, finalidad y minimización, de modo que cada proveedor acceda únicamente a la información razonablemente necesaria para cumplir su función.

La información principal de la Plataforma —incluyendo base de datos, almacenamiento de archivos y funciones backend— se aloja actualmente en Estados Unidos mediante Google Cloud / Firebase, región us-east1.

Estados Unidos se encuentra reconocido por la Superintendencia de Industria y Comercio de Colombia como un país que brinda un nivel adecuado de protección de datos personales, conforme a la normativa aplicable.

Algunos servicios complementarios, como distribución de la aplicación, redes de entrega de contenido, autenticación, actualizaciones móviles, seguridad, soporte o servicios globales del proveedor, pueden operar mediante infraestructura distribuida o ubicada en otras regiones. La selección de una región específica para un recurso tecnológico no implica que todos los servicios complementarios procesen información exclusivamente en esa misma región.

Cuando existan transmisiones o transferencias internacionales de datos personales, estas se realizarán conforme a la Ley 1581 de 2012, el Decreto 1074 de 2015, las circulares aplicables de la Superintendencia de Industria y Comercio, los contratos celebrados con las instituciones educativas y los mecanismos jurídicos aplicables con los proveedores tecnológicos, incluyendo acuerdos de tratamiento de datos, condiciones de procesamiento de datos o instrumentos equivalentes.

Zabi exige o procura que sus proveedores tecnológicos relevantes implementen medidas razonables de seguridad, confidencialidad y protección de la información, de acuerdo con la naturaleza del servicio prestado, el tipo de información tratada y los riesgos asociados.

Entre las medidas utilizadas por Zabi o exigidas a sus proveedores, según corresponda, pueden encontrarse:

• controles de acceso;
• autenticación segura;
• cifrado en tránsito y en reposo cuando aplique;
• separación lógica de información por institución, usuario y rol;
• reglas de acceso a base de datos y almacenamiento;
• registros técnicos de actividad, auditoría o seguridad;
• restricciones contractuales sobre el uso de la información;
• mecanismos de respaldo, continuidad, recuperación o disponibilidad, según corresponda;
• medidas para prevenir accesos no autorizados, pérdida, adulteración, uso indebido o consulta no autorizada de la información.

Zabi podrá actualizar, reemplazar o incorporar proveedores tecnológicos cuando sea necesario para operar, proteger, mantener, mejorar o escalar la Plataforma.

Cuando un cambio sea material y pueda afectar de forma relevante el tratamiento de datos personales, Zabi lo informará a través de esta página, la Plataforma, la Política de Tratamiento de Datos Personales, la Política de Privacidad o los canales contractuales disponibles con las instituciones educativas.

La fecha de “Última actualización” indicará la versión vigente de esta página.

Para consultas relacionadas con proveedores tecnológicos, infraestructura, seguridad o tratamiento de datos personales, puedes contactarnos en:

• Correo de privacidad / habeas data: nicolas@zabi.co
• Correo de soporte: nicolas@zabi.co
• Sitio web: https://zabi.co

Cuando Zabi actúa como Encargado por cuenta de una institución educativa, las solicitudes de los Titulares relacionadas con sus datos personales pueden dirigirse en primer lugar a la institución educativa correspondiente, en su calidad de Responsable del Tratamiento, sin perjuicio de los canales de contacto de Zabi.