Ley 1581 de 2012

Política de tratamiento de datos personales de FLIT Verify

Versión 1.0, vigente desde el 16 de octubre de 2026. Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015. Aplica a toda verificación de identidad que se hace con FLIT Verify: el enlace de captura, el certificado, la consulta de vigencia del documento y el panel de las empresas que lo usan.

Vigente

1. Responsable y encargado del tratamiento

Verify es un producto de FLIT S.A.S., que responde por él y es la responsable del tratamiento cuando la verificación hace parte de un trámite de FLIT. Cuando otra empresa usa Verify para su propio trámite, esa empresa es la responsable de esa verificación: decide para qué verifica tu identidad, te envía el enlace y es la dueña del resultado; sus datos y el canal para ejercer tus derechos aparecen arriba cuando llegas desde su enlace, y están en el correo y en la pantalla de captura.

FLIT S.A.S. es quien guarda los datos: la base de datos, las imágenes mientras existen y los certificados están en su infraestructura. Cuando la verificación es de otra empresa, FLIT S.A.S. los custodia por cuenta de esa empresa como encargada, siguiendo sus instrucciones y esta política.

Kyverum LLC es el proveedor tecnológico: desarrolla y mantiene la plataforma para FLIT S.A.S. No almacena datos de las personas ni tiene bases de datos propias; accede a la plataforma solo para soporte y mantenimiento, por instrucción de FLIT S.A.S. y bajo confidencialidad.

Si la empresa responsable no te ha dado un canal, o no responde, escribe a FLIT S.A.S.: traslada tu solicitud a la empresa en un máximo de 2 días hábiles y te lo confirma.

2. Marco legal y principios

Esta política desarrolla el artículo 15 de la Constitución Política, la Ley Estatutaria 1581 de 2012, el Decreto 1377 de 2013 (capítulo 25 del Decreto 1074 de 2015), el Decreto 090 de 2018 sobre el Registro Nacional de Bases de Datos y las instrucciones de la Superintendencia de Industria y Comercio. El sello del certificado y la firma registrada se rigen además por la Ley 527 de 1999. Cuando la verificación hace parte de un trámite de tránsito, aplica la Resolución 20233040017145 de 2023 del Ministerio de Transporte, que habilita la validación de identidad de forma virtual.

Todo tratamiento sigue los principios de legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad (Ley 1581, art. 4). En concreto: se piden solo los datos que la verificación necesita, con autorización previa e informada; las imágenes se usan únicamente para verificar tu identidad y nunca para entrenar modelos ni para fines comerciales; y cada empresa ve solo sus propias verificaciones.

3. Qué datos se tratan

Identificación

Nombre, tipo y número de documento y, si la empresa lo registra, tu correo electrónico para enviarte el enlace y los recordatorios. Los da la empresa responsable al crear la verificación o los escribes tú en la captura.

Imágenes y datos biométricos

Foto de tu rostro (con prueba de que estás presente frente a la cámara), fotos del frente y el reverso de tu documento y, si el trámite lo pide, tu firma manuscrita. Son datos sensibles. De las fotos del documento se lee su texto (nombre, número, fechas) para compararlo con lo registrado.

Resultado de la verificación

Estado (aprobada, rechazada o vencida), puntaje de la comparación facial, motivo del rechazo si lo hay, número de intentos, fecha y el sello de firma electrónica del resultado (serie, huella y fecha). Todo queda en el certificado en PDF, que incluye las imágenes capturadas y lleva firma digital y un código QR para comprobar que es auténtico.

Estado del documento ante la Registraduría

Si la empresa lo activa, se consulta la vigencia de la cédula en el portal público de la Registraduría Nacional del Estado Civil con tu número y la fecha de expedición leída del documento, y el resultado se anota en el certificado.

Datos de la sesión

Dirección IP, tipo de dispositivo y navegador, fecha y hora, y una ubicación aproximada (ciudad) calculada a partir de la IP con una base de datos local, sin consultar a terceros. Sirven para la seguridad, para detectar fraude y para dejar constancia en el certificado. Cookies: la captura usa una cookie técnica que ata el enlace al dispositivo donde se abrió (dura lo que el enlace) y el panel de operadores una cookie de sesión; no hay cookies de analítica ni de publicidad.

Prueba de tu autorización

Fecha y hora en que marcaste la casilla y firmaste, y la versión del texto que aceptaste. El texto íntegro de la autorización de trámite queda en el certificado.

Comprobación pública del certificado

Quien escanea el código QR del certificado ve si es auténtico y datos enmascarados; de cada comprobación se guarda solo el resultado, sin datos personales.

4. Para qué se tratan

1. Verificar tu identidad para el trámite o servicio de la empresa responsable: leer tu documento, comprobar que estás presente y comparar tu rostro con la foto del documento.
2. Dejar constancia del resultado en un certificado firmado digitalmente, que la empresa responsable usa como soporte de su trámite y que puede comprobarse por su código QR.
3. Registrar tu firma y tu autorización cuando el trámite lo exige, en especial los trámites de tránsito de forma virtual.
4. Consultar, si la empresa lo activa, el estado de vigencia de tu cédula ante la Registraduría.
5. Enviarte el enlace de captura, los recordatorios y el resultado por correo.
6. Prevenir el fraude y mantener seguro el servicio: límites de intentos, trazas de la sesión y registros de auditoría.
7. Atender tus solicitudes sobre tus datos y cumplir obligaciones legales y requerimientos de autoridad.

La comparación facial y la lectura del documento las hace un motor automático. El resultado puede ser revisado por una persona de la empresa responsable cuando lo pides desde la misma pantalla («solicitar revisión») o por el canal de la sección 9. No se usan tus datos para publicidad ni para perfilarte.

5. Autorización

La autorización es previa, expresa e informada. Antes de encender la cámara marcas una casilla, que viene desmarcada, con el texto a la vista y el enlace al aviso de privacidad. Si el trámite exige firma, lees además el texto completo de la autorización de trámite digital y firmas dentro del recuadro (o escribes tu nombre y marcas la casilla si no puedes dibujar). El servicio guarda la fecha y la hora de cada paso y la versión del texto que aceptaste; la autorización de trámite queda íntegra en el certificado. Puedes pedir esa prueba por el canal de la sección 9.

6. Datos sensibles y menores

Las imágenes de tu rostro y de tu documento y tu firma son datos biométricos: datos sensibles según los artículos 5 y 6 de la Ley 1581. Solo se tratan con tu autorización explícita y no estás obligado(a) a darla; si no la das, la identidad no se verifica por este medio y la empresa responsable te indicará la alternativa de su trámite. Las imágenes se usan únicamente para esta verificación.

El servicio está pensado para personas mayores de 18 años. Si una empresa necesita verificar a un menor, debe hacerlo con la autorización de quien ejerce la patria potestad y en su interés superior; FLIT S.A.S. suprime cualquier verificación de un menor hecha sin ese respaldo.

7. Proveedores y transmisión internacional

FLIT S.A.S. (Colombia)

Titular del producto y quien guarda los datos: la base de datos, los archivos y los certificados están en su infraestructura.

Kyverum LLC (Estados Unidos)

Proveedor tecnológico: desarrolla y mantiene la plataforma. No almacena datos de las personas; accede solo para soporte y mantenimiento por instrucción de FLIT S.A.S.

Proveedor de alojamiento (servidor en Países Bajos)

Alojamiento del servidor contratado por FLIT S.A.S., donde están la base de datos y los archivos. Los datos viajan cifrados y las imágenes se guardan cifradas.

Motor de análisis de un proveedor tecnológico (Estados Unidos)

Motor de análisis: lectura del documento, prueba de presencia y comparación facial. Recibe las imágenes y el nombre y número de documento registrados, solo para producir el resultado, bajo los términos de uso de su interfaz de programación, que excluyen usar esos datos para entrenar sus modelos.

Seguimiento de errores técnicos

Los errores del servicio se envían, sin datos personales, a una herramienta de seguimiento provista por Kyverum para FLIT S.A.S.

Registraduría Nacional del Estado Civil (Colombia)

Fuente pública de la vigencia de la cédula. Recibe únicamente el número de documento y la fecha de expedición. Para acceder a ese portal el servicio puede usar un proveedor que resuelve su control de acceso automatizado; ese proveedor no recibe ningún dato tuyo.

Proveedor de correo electrónico (Estados Unidos y Unión Europea)

Servidores de correo por los que salen el enlace de captura, los recordatorios y el resultado. La identificación de cada proveedor se entrega a quien la solicite por el canal de la sección 9.

Estados Unidos y los Países Bajos no cuentan con una declaración de nivel adecuado de protección de la Superintendencia de Industria y Comercio. La transmisión a esos proveedores está amparada en los contratos y términos de servicio que rigen el uso de cada uno (Decreto 1377, art. 25) y, respecto de tus datos sensibles, en la autorización expresa e inequívoca que das antes de la captura, que informa que el análisis de las imágenes y de los datos de tu documento lo hace un proveedor en Estados Unidos (Ley 1581, art. 26, literal a).

8. Cuánto tiempo se conservan

9. Tus derechos y cómo ejercerlos

Como titular puedes (Ley 1581, art. 8): conocer, actualizar y rectificar tus datos; pedir prueba de la autorización que diste; saber qué uso se les ha dado; revocar la autorización y pedir la supresión cuando no exista un deber legal o contractual que obligue a conservarlos; acceder a tus datos sin costo; y presentar quejas ante la Superintendencia de Industria y Comercio.

Canal

Escribe a la empresa responsable por el canal que aparece arriba, en su correo o en la pantalla de captura. Si no lo tienes, escribe a FLIT S.A.S. (soporte@flitsas.com, asunto «Datos personales») indicando qué empresa te pidió la verificación; traslada tu solicitud en un máximo de 2 días hábiles y te lo confirma. Para comprobar que eres tú, indica tu nombre, tipo y número de documento y la fecha aproximada de la verificación; nunca te pediremos fotos nuevas para atender una solicitud.

Consultas

Pides saber qué datos hay de ti. Se responden en máximo 10 días hábiles desde el recibo. Si no es posible, se te avisa antes de vencer ese plazo, con el motivo y la fecha de respuesta, que no supera 5 días hábiles más.

Reclamos

Pides corregir, actualizar o suprimir un dato, revocar la autorización o señalar un incumplimiento. Indica tu nombre, qué pides y los hechos. Si falta algo, se te pide completarlo dentro de los 5 días hábiles siguientes; si pasan 2 meses sin respuesta se entiende desistido. Un reclamo completo se marca como «reclamo en trámite» en máximo 2 días hábiles y se resuelve en máximo 15 días hábiles; si no es posible, se te avisa antes de vencer con el motivo y la fecha, que no supera 8 días hábiles más.

Queja ante la autoridad

Solo después de agotar la consulta o el reclamo puedes acudir a la Superintendencia de Industria y Comercio, Delegatura para la Protección de Datos Personales (www.sic.gov.co).

10. Supresión y revocatoria

Cuando pides la supresión o revocas tu autorización, la empresa responsable ejecuta en la plataforma la supresión por número de documento en todas tus verificaciones con esa empresa:

1. Se borran tu nombre, tipo y número de documento, correo, dirección IP, dispositivo, el estado de tu cédula y la consulta hecha a la Registraduría, y los eventos de la verificación quedan sin datos.
2. Se borran las imágenes que queden y el certificado en PDF, porque contiene tus imágenes.
3. Se conservan, sin ningún dato que te identifique, el estado, el puntaje y el sello de firma electrónica del resultado: son la prueba de que la verificación ocurrió y del veredicto que dio, y la empresa responsable debe poder demostrarlo. Si vuelve a pedirse el certificado, se genera sin imágenes ni datos personales.
4. Queda una anotación de que la supresión se atendió, con la fecha y sin tus datos. La referencia y los datos de contexto que la empresa responsable adjuntó a su trámite se conservan, porque son datos suyos.

La supresión no alcanza las copias que la empresa responsable ya descargó ni los documentos que ella haya anexado a su propio trámite; la empresa responde por ellos conforme a su política. Las copias de seguridad la reflejan en 7 días.

11. Seguridad e incidentes

El sistema de gestión de seguridad de la información de FLIT S.A.S., titular del producto, está certificado bajo la norma ISO/IEC 27001:2022 por BVQI Colombia Ltda. (Bureau Veritas Certification, acreditado por ONAC), certificado número CO26.07189, emitido el 2 de octubre de 2026 y vigente hasta el 1 de octubre de 2029, con alcance en la prestación de servicios tecnológicos basados en la plataforma FLIT para la gestión de trámites digitales de tránsito y transporte. Puedes descargar el certificado; su validez se comprueba con el código QR que trae. Las medidas técnicas de la plataforma son las que siguen.

El servicio se usa solo por HTTPS; cada empresa accede con llaves que se guardan como huella y con permisos mínimos; el panel exige segundo factor de autenticación; la base de datos aísla las verificaciones de cada empresa en el propio motor de base de datos; las imágenes se guardan cifradas y se borran según la sección 8; el certificado lleva firma digital y la comprobación pública por QR muestra datos enmascarados; las acciones de los operadores quedan en un registro de auditoría; y hay copias de seguridad diarias.

Ante una violación de seguridad que afecte tus datos, FLIT S.A.S., con el apoyo de su proveedor tecnológico, la contiene, la reporta a la Superintendencia de Industria y Comercio en los términos que la autoridad exige, informa de inmediato a la empresa responsable cuando la verificación es de otra empresa, y te avisa cuando el incidente pueda afectar tus derechos.

12. Vigencia y cambios

Esta política rige desde el 16 de octubre de 2026 y mientras exista el servicio FLIT Verify. Las bases de datos se mantienen mientras duren las finalidades de la sección 4 y los plazos de la sección 8. Cada empresa responsable inscribe sus bases en el Registro Nacional de Bases de Datos cuando está obligada a ello (Decreto 090 de 2018); FLIT S.A.S. le entrega la información necesaria.

Cualquier cambio de fondo se publica en esta misma dirección antes de aplicarse, con versión y fecha nuevas. Las versiones del texto de autorización que aceptaste quedan registradas con tu verificación y en el certificado.

Sistema de gestión de seguridad de la información de FLIT S.A.S. certificado ISO/IEC 27001:2022 · Certificado CO26.07189 · Bureau Veritas