Política de Tratamiento de Datos Personales

1. Identificación del Responsable del Tratamiento

SOFTEC LA S.A.S., titular de la marca y plataforma Kuppel (en adelante, "Kuppel"), es la Responsable del Tratamiento de los datos personales descritos en esta Política.

Esta Política se publica en https://kuppel.co/privacidad y está disponible en todo momento para los titulares, en cumplimiento del Decreto 1377/2013, art. 13 (compilado en el Decreto 1074/2015, art. 2.2.2.25.3.1).

2. Marco normativo y definiciones

Esta Política desarrolla el derecho fundamental de hábeas data (Constitución Política, art. 15) y se rige por la Ley 1581/2012, el Decreto 1377/2013 (compilado en el Decreto 1074/2015) y las instrucciones de la Superintendencia de Industria y Comercio (SIC).

Para efectos de esta Política se usan las definiciones de la Ley 1581/2012, art. 3 y del Decreto 1377/2013, art. 3:

• Titular: persona natural cuyos datos personales son objeto de tratamiento.
• Dato personal: cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable.
• Dato sensible: dato que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación, como los relativos a la salud, la afiliación sindical o los datos biométricos.
• Tratamiento: cualquier operación sobre datos personales, como la recolección, almacenamiento, uso, circulación o supresión.
• Responsable del Tratamiento: quien decide sobre la base de datos y el tratamiento de los datos.
• Encargado del Tratamiento: quien trata datos personales por cuenta del Responsable.
• Autorización: consentimiento previo, expreso e informado del titular para el tratamiento.
• Transmisión: comunicación de datos a un Encargado, dentro o fuera de Colombia, para que los trate por cuenta del Responsable.
• Transferencia: envío de datos a otro Responsable, dentro o fuera de Colombia.
• Cliente: empresa o persona que contrata la plataforma Kuppel.
• Usuario: persona natural que accede a la plataforma en nombre de un Cliente.

3. Ámbito de aplicación y rol de Kuppel

Kuppel actúa como Responsable de los datos de quienes se relacionan directamente con ella, y como Encargado de los datos que sus Clientes cargan en la plataforma. Esta Política regula el primer caso; el segundo se rige por el contrato con el Cliente y su Acuerdo de Procesamiento de Datos (DPA).

Cuando Kuppel actúa como Encargado, el Cliente es el Responsable: le corresponde obtener la autorización de sus titulares y atender sus derechos. Kuppel trata esos datos solo para prestar el servicio contratado y conforme a las instrucciones del Cliente (Ley 1581/2012, art. 18; Decreto 1377/2013, art. 25). Si Kuppel recibe una solicitud de un titular sobre esos datos, la trasladará al Cliente correspondiente e informará de ello al titular.

Esta Política es de obligatorio cumplimiento para los socios, administradores, empleados y contratistas de Kuppel que traten datos personales.

4. Datos personales que tratamos

Como Responsable, Kuppel trata solo los datos necesarios para cada finalidad (principio de finalidad y necesidad, Ley 1581/2012, art. 4).

Kuppel no solicita datos sensibles como Responsable. Los datos que los Clientes cargan sobre sus propios empleados y terceros se rigen por la sección 3.

5. Tratamiento y finalidades

Kuppel recolecta, almacena, usa, circula, actualiza y suprime datos personales para las siguientes finalidades:

a) Prestación del servicio

1. Crear y administrar cuentas, autenticar usuarios y gestionar roles y permisos.
2. Prestar las funciones contratadas: facturación electrónica, nómina electrónica, documentos soporte, inventario, cartera y reportes.
3. Transmitir documentos electrónicos a la DIAN a través del proveedor tecnológico autorizado.
4. Enviar comunicaciones operativas: confirmaciones, alertas de vencimiento, avisos de seguridad y cambios del servicio.
5. Atender solicitudes de soporte.

b) Relación comercial y obligaciones legales

6. Facturar y cobrar la suscripción y gestionar la cartera.
7. Cumplir obligaciones contables, tributarias y legales, y atender requerimientos de autoridades competentes.
8. Gestionar proveedores, aliados y procesos de selección.

c) Seguridad y mejora

9. Prevenir fraude, accesos no autorizados y usos indebidos de la plataforma.
10. Mantener registros de auditoría y responder a incidentes de seguridad.
11. Analizar el uso de la plataforma y del sitio para mejorarlos, preferiblemente con datos agregados o seudonimizados.

d) Comunicaciones comerciales (opcional)

12. Enviar información sobre productos, novedades, eventos y contenidos de Kuppel. Esta finalidad requiere autorización separada; el titular puede retirarla en cualquier momento desde el enlace incluido en cada mensaje o escribiendo al correo de la sección 1, sin que ello afecte el servicio.

Kuppel no vende ni alquila datos personales. Si en el futuro necesita usarlos para una finalidad distinta, pedirá una nueva autorización.

6. Datos sensibles y datos de niños, niñas y adolescentes

Kuppel no recolecta datos sensibles ni datos de menores de edad como Responsable. Ningún titular está obligado a suministrarlos (Decreto 1377/2013, art. 6).

La nómina electrónica puede incluir datos sensibles de los empleados de los Clientes, como incapacidades médicas, licencias o afiliación sindical, y datos de beneficiarios menores de edad. En esos casos Kuppel es Encargado: el Cliente debe contar con la autorización expresa exigida por la Ley 1581/2012, arts. 6 y 7, y Kuppel aplica sobre esos datos medidas de seguridad reforzadas y acceso restringido.

La plataforma está dirigida a empresas y sus representantes; no está diseñada para menores de edad.

7. Autorización del titular

Kuppel obtiene la autorización previa, expresa e informada del titular antes de tratar sus datos (Ley 1581/2012, art. 9). La autorización puede darse por escrito, de forma oral o mediante conductas inequívocas, y Kuppel conserva prueba de ella (Decreto 1377/2013, arts. 7 y 8).

Los mecanismos que usa Kuppel son:

• Registro en la plataforma: casilla de aceptación no premarcada, con enlace a esta Política. Se registra fecha, hora, IP y versión de la Política aceptada.
• Formularios del sitio web: casilla de aceptación junto al formulario.
• Comunicaciones comerciales: casilla independiente y opcional.
• Cookies no esenciales: banner de consentimiento, según la Política de Cookies.

Al solicitar la autorización, Kuppel informa al titular el tratamiento y su finalidad, el carácter facultativo de responder preguntas sobre datos sensibles, sus derechos y los datos de contacto del Responsable (Ley 1581/2012, art. 12).

No se requiere autorización en los casos de la Ley 1581/2012, art. 10, entre ellos los datos de naturaleza pública y la información requerida por una entidad pública en ejercicio de sus funciones legales.

8. Derechos de los titulares

Conforme a la Ley 1581/2012, art. 8, el titular tiene derecho a:

1. Conocer, actualizar y rectificar sus datos personales, incluidos los datos parciales, inexactos, incompletos o que induzcan a error.
2. Solicitar prueba de la autorización otorgada, salvo cuando no sea requerida.
3. Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos.
4. Presentar quejas ante la Superintendencia de Industria y Comercio, una vez agotado el trámite ante Kuppel (Ley 1581/2012, art. 16).
5. Revocar la autorización y solicitar la supresión de sus datos cuando no se respeten los principios, derechos y garantías legales. La supresión no procede cuando exista un deber legal o contractual de conservarlos.
6. Acceder gratuitamente a sus datos al menos una vez cada mes calendario y cada vez que esta Política cambie sustancialmente (Decreto 1377/2013, art. 21).

Pueden ejercer estos derechos el titular, sus causahabientes, su representante o apoderado, o quien se haya estipulado a favor de otro (Decreto 1377/2013, art. 20).

9. Área responsable y procedimiento para consultas y reclamos

El Director de Producto de Kuppel, Luis Carlos Moreno, es el responsable de atender las consultas y reclamos de los titulares a través del correo privacidad@kuppel.co o por escrito en la dirección de la sección 1.

La solicitud debe incluir: nombre e identificación del titular, descripción de lo que solicita, dirección o correo para la respuesta y, si actúa un tercero, el documento que acredite su calidad.

Reglas adicionales para los reclamos:

• Si el reclamo está incompleto, Kuppel pedirá subsanarlo dentro de los 5 días siguientes a su recibo. Si pasan 2 meses sin respuesta del titular, se entenderá que desistió.
• Dentro de los 2 días hábiles siguientes al recibo del reclamo completo, Kuppel marcará los datos con la leyenda "reclamo en trámite" hasta que se decida.
• Si Kuppel no es competente para resolverlo, por ejemplo porque los datos pertenecen a un Cliente, dará traslado a quien corresponda en máximo 2 días hábiles e informará al titular.

Agotado este trámite, el titular puede acudir a la Superintendencia de Industria y Comercio.

10. Transmisiones y transferencias de datos

Para prestar el servicio, Kuppel comparte datos personales con proveedores que los tratan por su cuenta (transmisión) y con autoridades cuando la ley lo exige. Con cada Encargado, Kuppel suscribe un contrato de transmisión que lo obliga a tratar los datos solo para las finalidades autorizadas y con medidas de seguridad adecuadas (Decreto 1377/2013, art. 25).

La Superintendencia de Industria y Comercio considera que Estados Unidos, los países de la Unión Europea y otros países de su listado ofrecen un nivel adecuado de protección (Circular Única SIC, Título V, Capítulo 3, num. 3.2, adicionado por la Circular Externa 005/2017). Cuando los datos se envíen a un país que no figure en ese listado, Kuppel lo hará solo bajo un contrato de transmisión o alguna de las excepciones de la Ley 1581/2012, art. 26, o con la autorización expresa del titular.

En todos los casos, Kuppel conserva la responsabilidad frente al titular y exige a sus Encargados el cumplimiento de esta Política.

11. Medidas de seguridad

Kuppel aplica medidas técnicas, humanas y administrativas para proteger los datos contra pérdida, consulta, uso o acceso no autorizado (principio de seguridad, Ley 1581/2012, arts. 4 y 17). Entre ellas:

• Cifrado de las comunicaciones en tránsito (TLS) y de la base de datos y sus copias de seguridad en reposo.
• Control de acceso por roles, con el mínimo privilegio necesario, y aislamiento de los datos de cada Cliente.
• Registro de auditoría de los accesos y acciones relevantes.
• Copias de seguridad periódicas.
• Obligaciones de confidencialidad para empleados y contratistas.
• Un procedimiento de gestión de incidentes.

Si ocurre un incidente que comprometa datos personales, Kuppel lo reportará a la Superintendencia de Industria y Comercio dentro de los 15 días hábiles siguientes a su detección e informará a los titulares o Clientes afectados cuando corresponda.

El detalle de estas medidas está en la Política de Seguridad de Kuppel.

12. Conservación y supresión de los datos

Kuppel conserva los datos personales solo mientras sean necesarios para la finalidad que justificó su recolección, o mientras lo exija una obligación legal o contractual (Decreto 1377/2013, art. 11).

Cumplidos estos plazos, los datos se suprimen o se anonimizan de forma que no permitan identificar al titular.

13. Cookies y tecnologías similares

El sitio y la plataforma de Kuppel usan cookies esenciales para funcionar y, con el consentimiento del usuario, cookies de analítica (Google Analytics). El usuario puede aceptarlas, rechazarlas o configurarlas en el banner de consentimiento. El detalle de cada cookie y su finalidad está en la Política de Cookies, disponible en https://kuppel.co/cookies.

14. Vigencia y modificaciones

Esta Política rige desde el 17 de noviembre de 2026. Las bases de datos de Kuppel estarán vigentes mientras se mantengan las finalidades descritas y durante los plazos de la sección 12.

Kuppel puede modificar esta Política. Los cambios sustanciales, en especial los referidos a la identificación del Responsable o a las finalidades, se comunicarán a los titulares antes de aplicarse, por correo electrónico o mediante aviso en la plataforma. Si el cambio afecta una finalidad, se pedirá una nueva autorización (Decreto 1377/2013, art. 13, parágrafo).