La evidencia no depende de que confíe en nosotros

Datos personales (Ley 1581 de 2012)

Frente a los datos del destinatario, el abogado o la firma es el responsable del tratamiento y Notificado actúa como encargado: los tratamos por su cuenta y solo para notificar y probar la notificación. Frente a los datos de su cuenta, somos responsables.

• La relación de encargo se rige por el contrato de transmisión incluido en los términos del servicio.
• La página de verificación nunca muestra el contenido del mensaje ni datos personales del destinatario.
• Cada titular puede conocer, actualizar, rectificar y suprimir sus datos en los términos de nuestra política. La supresión no alcanza la evidencia de una notificación durante su plazo de conservación: debe conservarse para cumplir obligaciones legales y contractuales, entre ellas la prueba de la notificación en el proceso (Decreto 1377 de 2013, art. 11).

Dónde se aplica

En el contrato de transmisión incluido en los términos del servicio y en la política de tratamiento de datos.

Almacenamiento inmutable por al menos 10 años

Los mensajes congelados, los documentos, los sellos de tiempo, las constancias y las respuestas originales de los proveedores se guardan en Amazon S3 con Object Lock en modo de cumplimiento durante al menos diez años. En ese plazo nadie puede borrarlos ni sobrescribirlos, tampoco un administrador de Notificado.

• Cifrado en tránsito (TLS) en las conexiones con nuestro sitio, nuestra API y el almacenamiento, y cifrado en reposo del proveedor de almacenamiento (Amazon S3) para la evidencia.
• Registro de eventos de solo inserción: la base de datos rechaza cualquier modificación o borrado.
• Verificación nocturna de toda la cadena y un ancla diaria sellada en el tiempo.

Acceso restringido y auditado

Cada firma ve solo sus propios procesos y notificaciones. Cuando nuestro equipo consulta datos de un cliente, la consulta queda registrada con quién, cuándo y qué; cada descarga de evidencia también queda registrada como un evento.

• Roles con permisos mínimos para el equipo interno: operaciones, soporte, finanzas y cumplimiento.
• Los tokens de API se guardan solo como hash, se muestran una vez y se revocan en cualquier momento.
• Un asistente de IA nunca envía por su cuenta: cada envío lo confirma una persona.

Quién firma las constancias

Cada constancia la firma VENOMTECH S.A.S. con una firma electrónica (PAdES) hecha con una llave propia. El X.509 de esa llave es autoemitido, y por eso un lector de PDF puede mostrar la identidad del firmante como desconocida. Esa advertencia no significa que el documento cambió. Para comprobar la firma, compare la huella SHA-256 del firmante con la publicada en el método de evidencia, o cargue el PDF en la página de verificación.

Proveedores detrás de interfaces

El correo, los sellos de tiempo y la firma de las constancias pasan por interfaces propias, no por el formato de un proveedor. La evidencia usa estándares abiertos (RFC 3161 para los sellos, PAdES para la firma, SHA-256 y RFC 8785 para las huellas), así que sigue siendo verificable aunque cambiemos de proveedor.

Si ocurre un incidente

Si un incidente de seguridad afecta datos personales, lo informamos a los clientes afectados, que son los responsables del tratamiento, y a la Superintendencia de Industria y Comercio, como exige la Ley 1581.

Quién opera Notificado

Notificado es un servicio de VENOMTECH S.A.S., sociedad colombiana identificada con NIT 901.991.367-7 y con número D-U-N-S 474254581. Asuntos del servicio: soporte@notificado.co. Sus datos personales: privacidad@notificado.co. Seguridad y vulnerabilidades: seguridad@notificado.co. Teléfono: +57 333 227 3151.

Auditoría externa de seguridad

Los especialistas en ciberseguridad de HiScore S.R.L., firma de Rumania, hicieron una auditoría completa de la seguridad de los datos y de la ciberseguridad de Notificado, y Notificado la aprobó. La auditoría revisó:

• La infraestructura.
• El código fuente.
• Las categorías de vulnerabilidad del OWASP Top 10.
• El control de acceso.
• El manejo de los datos.
• La custodia de las claves y los algoritmos criptográficos en uso.

Auditor

HiScore S.R.L., Rumania

Fecha

28 de octubre de 2026

Alcance

Seguridad de los datos y ciberseguridad

Resultado

Aprobada

Reporte una vulnerabilidad

Si encuentra una falla de seguridad, escríbanos con los pasos para reproducirla. Le pedimos no acceder a datos de otras personas, no degradar el servicio y darnos un plazo razonable para corregirla antes de publicarla.

Escribir a seguridad@notificado.co