La evidencia no depende de que confíe en nosotros

Datos personales (Ley 1581 de 2012)

Frente a los datos del destinatario, el abogado o la firma es el responsable del tratamiento y Notificado actúa como encargado: los tratamos por su cuenta y solo para notificar y probar la notificación. Frente a los datos de su cuenta, somos responsables.

• La relación de encargo se rige por el contrato de transmisión que forma parte de los términos del servicio.
• La página de verificación nunca muestra el contenido del mensaje ni datos personales del destinatario.
• Cada titular puede conocer, actualizar, rectificar y suprimir sus datos en los términos de nuestra política.

Almacenamiento inmutable por 10 años

Los mensajes congelados, los documentos, los sellos de tiempo, las constancias y las respuestas originales de los proveedores se guardan en Amazon S3 con Object Lock en modo de cumplimiento durante diez años. En ese plazo nadie puede borrarlos ni sobrescribirlos, tampoco un administrador de Notificado.

• Cifrado en tránsito (TLS) en todas las conexiones y cifrado en reposo en el almacenamiento de evidencia.
• Registro de eventos de solo inserción: la base de datos rechaza cualquier modificación o borrado.
• Verificación nocturna de toda la cadena y un ancla diaria sellada en el tiempo.

Acceso restringido y auditado

Cada firma ve solo sus propios procesos y notificaciones. Cuando nuestro equipo consulta datos de un cliente, la consulta queda registrada con quién, cuándo y qué; cada descarga de evidencia también queda registrada como un evento.

• Roles con permisos mínimos para el equipo interno: operaciones, soporte, finanzas y cumplimiento.
• Los tokens de API se guardan solo como hash, se muestran una vez y se revocan en cualquier momento.
• Un asistente de IA nunca envía por su cuenta: cada envío lo confirma una persona.

Proveedores detrás de interfaces

El correo, los sellos de tiempo y la firma de las constancias pasan por interfaces propias, no por el formato de un proveedor. La evidencia usa estándares abiertos (RFC 3161 para los sellos, PAdES para la firma, SHA-256 y RFC 8785 para las huellas), así que sigue siendo verificable aunque cambiemos de proveedor.

Si ocurre un incidente

Si un incidente de seguridad afecta datos personales, lo informamos a los clientes afectados, que son los responsables del tratamiento, y a la Superintendencia de Industria y Comercio, como exige la Ley 1581.