2.1. Roles en el tratamiento

La calidad en la que CETI participe en el tratamiento de datos personales dependerá de la naturaleza del servicio prestado, de la relación jurídica existente con el titular de los datos y de las funciones que desempeñe en cada caso.

En consecuencia, CETI podrá actuar como Responsable del Tratamiento, como Encargado del Tratamiento o, excepcionalmente, desempeñar ambos roles respecto de diferentes categorías de datos personales, siempre de conformidad con la legislación aplicable.

2.2. Categorías de datos personales tratados

La naturaleza de los datos personales tratados por CETI dependerá del servicio utilizado, de la relación existente con el titular y de la finalidad del tratamiento. En desarrollo de sus actividades, CETI podrá tratar, entre otras, las siguientes categorías de datos personales:

2.3. Finalidades del tratamiento

Los datos personales tratados por CETI serán utilizados únicamente para finalidades legítimas, previamente informadas al titular cuando ello resulte exigible y compatibles con la naturaleza de los servicios prestados.

Dependiendo del servicio utilizado, de la relación existente con el titular y de la calidad en la que CETI actúe como Responsable o Encargado del Tratamiento, los datos personales podrán ser tratados para una o varias de las siguientes finalidades:

2.4. Bases jurídicas del tratamiento

El tratamiento de datos personales realizado por CETI se fundamentará en las bases jurídicas previstas por la legislación aplicable. Dependiendo de la naturaleza del tratamiento, de la relación con el titular y de los servicios prestados, CETI podrá tratar datos personales con fundamento en una o varias de las siguientes bases jurídicas:

2.5. Tratamiento de datos de menores

CETI reconoce la especial protección que la legislación colombiana otorga a los datos personales de niños, niñas y adolescentes y se compromete a realizar su tratamiento con estricto respeto por sus derechos fundamentales, su interés superior y las disposiciones legales aplicables.

El tratamiento de datos personales de menores de edad se realizará únicamente cuando sea necesario para la prestación de los servicios, exista una finalidad legítima y se cumplan los requisitos establecidos por la legislación vigente.

CETI procurará implementar medidas técnicas, administrativas y organizacionales orientadas a proteger la información de los menores de edad contra el acceso, uso, alteración, divulgación o pérdida no autorizados, de acuerdo con la naturaleza de los servicios prestados y los riesgos asociados al tratamiento.

CETI promoverá el diseño y desarrollo de sus servicios bajo criterios de privacidad y seguridad desde el diseño (Privacy by Design), procurando que las funcionalidades dirigidas o utilizadas por menores de edad incorporen medidas razonables para reducir la exposición de sus datos personales y fortalecer su protección.

2.6. Tratamiento de datos sensibles

Como regla general, CETI no solicita ni requiere el suministro de datos personales sensibles para la prestación ordinaria de sus servicios.

No obstante, cuando la naturaleza de un servicio, una obligación legal o las instrucciones impartidas por el Responsable del Tratamiento hagan necesario el tratamiento de datos sensibles, este se realizará únicamente en los casos permitidos por la legislación aplicable y adoptando las medidas de protección correspondientes.

En ningún caso el titular estará obligado a suministrar datos personales sensibles, salvo cuando exista una obligación legal o una circunstancia expresamente prevista por la legislación aplicable.

CETI implementará medidas técnicas, administrativas y organizacionales apropiadas para restringir el acceso a los datos sensibles, proteger su confidencialidad y reducir los riesgos asociados a su tratamiento, de acuerdo con la naturaleza de la información y los servicios prestados.

2.7. Inteligencia Artificial y tratamiento de datos

Algunos de los servicios ofrecidos por CETI podrán incorporar funcionalidades basadas en inteligencia artificial (IA), ya sea mediante tecnologías desarrolladas por CETI o proporcionadas por terceros, con el propósito de apoyar, automatizar o mejorar determinadas funcionalidades de los servicios.

Cuando un Usuario utilice herramientas de inteligencia artificial integradas en los servicios de CETI, la información suministrada mediante instrucciones, consultas, documentos, imágenes, archivos u otros contenidos (inputs), así como las respuestas, recomendaciones o contenidos generados (outputs), podrán ser tratados en la medida necesaria para prestar la funcionalidad solicitada.

Los resultados generados mediante inteligencia artificial constituyen un apoyo tecnológico y podrán contener errores, imprecisiones o información incompleta. En consecuencia, el Usuario será responsable de revisar y validar dichos resultados antes de utilizarlos para la adopción de decisiones académicas, administrativas, profesionales, comerciales o de cualquier otra naturaleza.

Cuando un servicio incorpore funcionalidades de inteligencia artificial capaces de influir significativamente en los derechos o intereses de los titulares, CETI procurará adoptar medidas razonables para garantizar la transparencia del tratamiento y, cuando resulte aplicable, facilitar la intervención o revisión humana conforme a la legislación vigente.

Las condiciones específicas relacionadas con el funcionamiento de las herramientas de inteligencia artificial podrán desarrollarse de manera complementaria en la Política de Inteligencia Artificial o en las condiciones particulares del servicio correspondiente.

3.1. Compartición de información con terceros

CETI no comercializa, vende ni cede datos personales a terceros para fines distintos de los autorizados por el titular o permitidos por la legislación aplicable.

No obstante, para el desarrollo de sus actividades y la adecuada prestación de los servicios, CETI podrá compartir datos personales con terceros en los siguientes casos:

3.2. Transferencias y transmisiones nacionales e internacionales

Con el fin de prestar sus servicios, operar su infraestructura tecnológica y desarrollar sus actividades, CETI podrá realizar transmisiones o transferencias de datos personales dentro o fuera del territorio colombiano, de conformidad con la legislación aplicable.

Estas transmisiones o transferencias podrán realizarse hacia proveedores de servicios tecnológicos, centros de datos, servicios de alojamiento en la nube, plataformas de autenticación, procesamiento de pagos, comunicaciones electrónicas, almacenamiento, inteligencia artificial, analítica, respaldo de información u otros servicios necesarios para la operación de los servicios ofrecidos por CETI.

Cuando dichas operaciones constituyan una transmisión de datos personales, CETI garantizará que los terceros receptores actúen conforme a las instrucciones impartidas por el Responsable del Tratamiento y adopten las medidas contractuales, técnicas, administrativas y de seguridad necesarias para salvaguardar la confidencialidad y protección de la información.

Cuando se trate de una transferencia internacional de datos personales, CETI adoptará las medidas que resulten exigibles conforme a la legislación vigente y las directrices de la Autoridad de Protección de Datos en Colombia, asegurando contar con la autorización previa del titular cuando sea requerida, o implementando los instrumentos contractuales necesarios para garantizar un nivel adecuado de protección de la información.

Los datos personales podrán ser tratados o almacenados en servidores ubicados dentro o fuera de Colombia, siempre que ello resulte necesario para la prestación de los servicios, el cumplimiento de obligaciones legales o contractuales, la continuidad del negocio, la recuperación ante desastres, la implementación de mecanismos de respaldo o cualquier otra finalidad legítima relacionada con la operación de CETI.

Cuando CETI actúe como Encargado del Tratamiento, las transmisiones o transferencias de datos personales se realizarán conforme a las instrucciones impartidas por el Responsable del Tratamiento y a los acuerdos suscritos entre las partes, sin perjuicio del cumplimiento de las obligaciones legales que correspondan a CETI en su calidad de Encargado.

3.3. Conservación y eliminación de la información

CETI conservará los datos personales únicamente durante el tiempo que resulte necesario para cumplir las finalidades para las cuales fueron recolectados, prestar los servicios correspondientes, atender obligaciones legales, contractuales o regulatorias, ejercer o defender derechos en actuaciones administrativas o judiciales, y cumplir los períodos de conservación establecidos por la legislación aplicable.

Una vez desaparezca la finalidad que justificó el tratamiento y siempre que no exista una obligación legal o contractual que exija la conservación de la información, CETI procederá a su eliminación, anonimización, bloqueo o adopción de cualquier otra medida que impida su tratamiento, según resulte procedente de acuerdo con la naturaleza de los datos y la normativa aplicable.

La eliminación de los datos personales podrá realizarse de manera progresiva, teniendo en cuenta los ciclos operativos de los sistemas de información, las políticas de respaldo, recuperación ante desastres, continuidad del negocio y demás procedimientos técnicos implementados por CETI.

Cuando los datos personales se encuentren contenidos en copias de seguridad o mecanismos de respaldo, CETI procurará que dichos datos no sean utilizados para finalidades distintas de la recuperación de la información, la continuidad de los servicios o el cumplimiento de obligaciones legales, y serán eliminados conforme a los ciclos normales de renovación de dichos respaldos.

Cuando CETI actúe como Encargado del Tratamiento, conservará o eliminará los datos personales de acuerdo con las instrucciones impartidas por el Responsable del Tratamiento, salvo que exista una obligación legal que exija su conservación por un período determinado.

La supresión de los datos personales solicitada por el titular no procederá cuando exista un deber legal o contractual de conservar la información, cuando su tratamiento sea necesario para el cumplimiento de obligaciones legales, para la formulación, ejercicio o defensa de reclamaciones, o en los demás casos previstos por la legislación aplicable.

4.1. Derechos de los titulares

De conformidad con la legislación aplicable en materia de protección de datos personales, los titulares de la información podrán ejercer los siguientes derechos frente a CETI, cuando esta actúe como Responsable del Tratamiento:

Cuando CETI actúe únicamente como Encargado del Tratamiento, los derechos del titular podrán ser ejercidos ante el Responsable del Tratamiento correspondiente. No obstante, CETI colaborará razonablemente con el Responsable para facilitar la atención de las solicitudes cuando ello resulte necesario.

4.2. Procedimiento para consultas y reclamos (Habeas Data)

Los titulares de los datos personales, sus causahabientes, representantes legales o las personas debidamente autorizadas podrán ejercer los derechos previstos en la presente Política mediante solicitud dirigida a CETI a través de los canales oficiales de atención.

La solicitud deberá contener, como mínimo, la información necesaria para identificar al solicitante, describir de manera clara el objeto de la petición y, cuando resulte aplicable, aportar los documentos que permitan verificar su identidad o representación.

5.1. Medidas de seguridad de la información

CETI adopta medidas técnicas, administrativas, organizacionales y, cuando resulte aplicable, físicas, orientadas a proteger los datos personales contra el acceso, uso, alteración, divulgación, pérdida, destrucción o tratamiento no autorizado.

Las medidas de seguridad implementadas por CETI se diseñarán teniendo en cuenta la naturaleza de los datos tratados, los riesgos asociados al tratamiento, el estado de la tecnología, la naturaleza de los servicios prestados y los requisitos establecidos por la legislación aplicable.

Entre otras medidas, CETI podrá implementar mecanismos relacionados con:

• Gestión de identidades y control de acceso.
• Autenticación y mecanismos de verificación de identidad.
• Cifrado de la información cuando resulte técnica y operativamente viable.
• Protección de las comunicaciones y de la infraestructura tecnológica.
• Registro y monitoreo de eventos de seguridad.
• Copias de seguridad y mecanismos de recuperación de la información.
• Gestión de vulnerabilidades y actualización de los sistemas.
• Capacitación y sensibilización del personal sobre seguridad de la información y protección de datos personales.
• Controles internos orientados a preservar la confidencialidad, integridad y disponibilidad de la información.

Las medidas de seguridad podrán ser actualizadas, reforzadas o modificadas por CETI cuando resulte necesario para responder a cambios tecnológicos, nuevos riesgos, amenazas identificadas o modificaciones en la legislación aplicable.

La implementación de medidas de seguridad razonables no garantiza que los servicios estén completamente libres de incidentes, ataques informáticos o accesos no autorizados. No obstante, CETI procurará adoptar las acciones razonables para prevenir, detectar y mitigar los riesgos asociados al tratamiento de datos personales.

5.2. Gestión de incidentes de seguridad

CETI cuenta con procedimientos internos orientados a identificar, evaluar, gestionar y responder a incidentes de seguridad que puedan afectar la confidencialidad, integridad, disponibilidad o autenticidad de los datos personales tratados en el desarrollo de sus actividades.

Cuando se detecte un incidente de seguridad, CETI adoptará las medidas que razonablemente resulten necesarias para contener el incidente, reducir sus efectos, restablecer la operación de los servicios cuando sea posible e investigar sus causas.

Cuando la legislación aplicable así lo exija o cuando la naturaleza del incidente lo haga recomendable, CETI podrá informar sobre el incidente a las autoridades competentes, a los Responsables del Tratamiento, a los Usuarios o a los titulares de los datos personales afectados, según corresponda y dentro de los términos previstos por la normativa aplicable.

CETI podrá revisar y actualizar sus procedimientos de gestión de incidentes de manera periódica como parte de sus procesos de mejora continua en materia de seguridad de la información y protección de datos personales.

6.1. Responsabilidades de las instituciones educativas y demás Responsables del Tratamiento

Cuando una institución educativa, organización, empresa o cualquier otra entidad utilice los servicios de CETI e incorpore datos personales de terceros en las plataformas ofrecidas por CETI, dicha entidad actuará como Responsable del Tratamiento, salvo que la legislación aplicable disponga otra cosa.

En consecuencia, será responsabilidad exclusiva del Responsable del Tratamiento, entre otras obligaciones:

• Recolectar los datos personales conforme a la legislación aplicable.
• Obtener las autorizaciones, consentimientos o habilitaciones que resulten necesarios para el tratamiento de los datos personales, especialmente cuando involucren niños, niñas y adolescentes o datos sensibles.
• Informar a los titulares sobre las finalidades del tratamiento y el ejercicio de sus derechos.
• Garantizar que los datos personales suministrados a CETI hayan sido obtenidos de manera lícita.
• Atender las consultas, solicitudes, quejas y reclamos presentados por los titulares cuando le corresponda hacerlo en su calidad de Responsable del Tratamiento.
• Definir los períodos de conservación de la información, cuando ello resulte aplicable.
• Impartir a CETI las instrucciones necesarias para el tratamiento de los datos personales cuando esta actúe como Encargado.

CETI tratará los datos personales únicamente conforme a las instrucciones impartidas por el Responsable del Tratamiento, a los acuerdos suscritos entre las partes y a la legislación aplicable.

El uso de los servicios de CETI no exime al Responsable del Tratamiento del cumplimiento de las obligaciones que le impone la normativa sobre protección de datos personales.

6.2. Responsabilidades de los usuarios

Los Usuarios de los servicios de CETI deberán utilizar las plataformas de manera responsable, conforme a la legislación aplicable, los Términos de Servicio, la presente Política y las demás políticas publicadas por CETI.

En particular, los Usuarios se comprometen a:

• Proporcionar información veraz, exacta y actualizada cuando ello sea necesario para utilizar los servicios.
• Mantener la confidencialidad de sus credenciales de acceso y adoptar medidas razonables para proteger su cuenta.
• Utilizar los servicios únicamente para fines lícitos y conforme a su finalidad.
• Abstenerse de cargar, compartir o tratar información respecto de la cual no cuenten con autorización o fundamento legal cuando ello resulte exigible.
• Respetar los derechos de terceros, incluyendo los relacionados con la protección de datos personales, la propiedad intelectual y la privacidad.
• Informar oportunamente a CETI sobre accesos no autorizados, incidentes de seguridad o cualquier uso indebido del que tengan conocimiento.
• Cumplir las obligaciones adicionales que resulten aplicables según el servicio utilizado.

El incumplimiento de estas responsabilidades podrá dar lugar a la adopción de las medidas previstas en los Términos de Servicio, sin perjuicio de las acciones legales a que haya lugar.

7.1. Cambios a la Política

CETI podrá modificar, actualizar o complementar la presente Política de Tratamiento de Datos Personales cuando resulte necesario para:

• Adaptarse a cambios en la legislación, la regulación o la jurisprudencia aplicable.
• Incorporar nuevos servicios, productos o funcionalidades.
• Implementar mejoras en los procesos de tratamiento de datos personales.
• Responder a cambios tecnológicos, operativos o de seguridad.
• Atender necesidades propias del desarrollo de sus actividades.

Las modificaciones entrarán en vigor a partir de su publicación, salvo que se indique una fecha diferente.

Cuando los cambios sean sustanciales o afecten significativamente la forma en que se tratan los datos personales, CETI procurará informar a los Usuarios y demás titulares por los medios que considere razonables, tales como sus sitios web, los propios servicios, correo electrónico u otros canales oficiales, cuando ello resulte procedente.

La versión vigente de esta Política estará disponible en los canales oficiales de CETI y sustituirá cualquier versión anterior desde su fecha de entrada en vigor.

7.2. Vigencia

La presente Política de Tratamiento de Datos Personales entra en vigor a partir de la fecha de su publicación y permanecerá vigente mientras CETI realice actividades de tratamiento de datos personales o hasta que sea modificada o sustituida por una versión posterior.

Los datos personales serán conservados durante el tiempo necesario para cumplir las finalidades del tratamiento, las obligaciones legales o contractuales aplicables y los períodos de conservación previstos por la legislación vigente, conforme a lo establecido en la presente Política.