Inicio · Tratamiento de datos
Protección de datos personales
VAELTIS S.A.S. · Ley 1581 de 2012 y Decreto 1074 de 2015
| Razón social | VAELTIS S.A.S. |
|---|---|
| NIT | 902.088.316-2 |
| Domicilio | Envigado, Antioquia, Colombia |
| Dirección física | Carrera 25 # 39 Sur - 25, Envigado (Antioquia) |
| Correo electrónico | [email protected] |
| Teléfono | (+57) 320 471 1614 · (+57) 321 844 1640 |
| Sitio web | https://www.vaeltis.com |
Esta política rige el tratamiento de los datos personales que VAELTIS S.A.S. recoge y administra a través de su sitio web y de sus aplicaciones —Vaeltis Audit, Vaeltis Compliance, Vaeltis Consolida, Vaeltis Contable, Vaeltis Financiero y Vaeltis Impuestos— y aplica a:
Ahora bien, no todos los datos de terceros llegan igual, y la ley trata cada caso distinto. Son tres situaciones, no dos, y de cuál se trate depende quién autoriza y quién responde:
| Situación | Quién autoriza | Papel de VAELTIS |
|---|---|---|
| Usted entrega sus propios datos para crear o usar su cuenta, pedir una demostración o escribirnos | Usted mismo, a VAELTIS | Responsable |
| Usted, como tercero, diligencia personalmente un formulario que le envió una firma cliente | Usted mismo, a esa firma | Encargado |
| Una firma cliente carga datos suyos que ya tenía, sin que usted intervenga en ese momento | Nadie en ese momento: la firma declara que ya obtuvo su autorización y que conserva la prueba | Encargado |
En las dos últimas situaciones el Responsable es la firma, no VAELTIS: es ella quien decidió recoger esos datos, quien debe tener la autorización del Titular y quien responde por su uso. VAELTIS solo los trata siguiendo sus instrucciones y para prestarle el servicio contratado. La tercera es la más frecuente, y por eso las aplicaciones exigen a la firma declararlo expresamente antes de dejarla continuar.
Se emplean las definiciones del artículo 3 de la Ley 1581 de 2012. En lenguaje corriente:
| Quién | Qué datos | Para qué |
|---|---|---|
| Interesado que nos escribe o usa el chat | Nombre, correo, teléfono y el contenido del mensaje | Responder la solicitud, agendar una demostración y hacer seguimiento comercial |
| Cualquiera que otorgue una autorización | Datos técnicos de la conexión: dirección IP y navegador declarado, junto con la fecha y hora y la versión de esta política aceptada | Conservar la prueba de la autorización, que el artículo 8 de la Ley 1581 le da derecho a exigir al Titular. No se usan para perfilar ni para publicidad |
| Usuario de una aplicación | Nombre, correo, rol, firma a la que pertenece, correo y teléfono de recuperación, registro de actividad dentro del sistema | Crear y proteger la cuenta, permitir el trabajo en equipo, dejar trazabilidad de quién hizo qué —que es una exigencia de las normas de auditoría— y prestar soporte |
| Usuario que ingresa a una aplicación | Dirección IP desde la que se conecta, navegador y sistema operativo del equipo, y fecha y hora de cada ingreso | Verificar que cada licencia la use una sola persona, y proteger la cuenta frente a accesos no autorizados avisando al Titular cuando se detecte un ingreso desde otro equipo. No se usan para perfilar, para publicidad ni para determinar la ubicación exacta del Titular. Se conservan doce (12) meses y después se borran automáticamente |
| Usuario que abre el Asistente de Vaeltis por primera vez | Constancia de que leyó el aviso del asistente: fecha y hora, versión del aviso, dirección IP y navegador | Poder demostrar que el usuario conocía que las respuestas del asistente son informativas y no constituyen asesoría profesional |
| Usuario de una aplicación y destinatario de un correo enviado por ella | Registros técnicos del sistema: dirección IP, dirección de la página o servicio solicitado, navegador, fecha y hora, mensajes de error y, en algunos mensajes, el correo electrónico del usuario o del destinatario de un correo. Antes de salir del servidor se eliminan de ellos los códigos, enlaces de acceso y credenciales | Detectar y diagnosticar fallas, e investigar incidentes de seguridad y usos abusivos de la plataforma. No se usan para perfilar ni para publicidad. Se conservan treinta (30) días en el proveedor de registros y después se borran automáticamente (sección 8) |
| Firma suscriptora | Datos de facturación y de la suscripción | Cobrar, facturar y cumplir obligaciones tributarias y contables |
| Terceros cargados por el cliente | Los que cada firma decida cargar en su trabajo profesional | Únicamente prestar el servicio contratado por esa firma. No los usamos para ningún fin propio |
No usamos los datos de nuestros clientes ni de sus terceros para entrenar modelos de inteligencia artificial, ni los vendemos, ni los cedemos con fines publicitarios.
Al ingresar a cualquiera de las aplicaciones de Vaeltis se registran la dirección IP desde la que se conecta, el navegador y el sistema operativo del equipo, y la fecha y hora del ingreso.
Estos datos se tratan con dos finalidades: verificar que cada licencia la use una sola persona —cada cuenta es personal e intransferible— y proteger la cuenta del Titular frente a accesos no autorizados, avisándole cuando se detecte un ingreso desde un equipo o una dirección distintos de los habituales. Un ingreso desde un equipo desconocido suele ser la primera señal de que alguien más entró a la cuenta.
Se conservan doce (12) meses contados desde cada ingreso, y después se suprimen de forma automática. Ese plazo corresponde a la vigencia anual de la licencia: es el tiempo necesario para advertir si una misma cuenta la usan varias personas a lo largo de un período facturado, y para que el Titular pueda consultar accesos anteriores si denuncia un acceso indebido. Es un plazo distinto —y más corto— que el del registro de las acciones realizadas dentro del sistema, que sigue los términos de la ley comercial, tributaria y contable.
Estos datos no se usan para elaborar perfiles comerciales, para publicidad, ni para determinar la ubicación exacta del Titular. El Titular puede consultarlos y ejercer los derechos del artículo 8 de la Ley 1581 de 2012 por los canales indicados en la sección 9.
VAELTIS no solicita datos sensibles para prestar sus servicios. Cuando una firma cliente carga información que pueda contener datos sensibles —por ejemplo, incapacidades dentro del módulo de nómina—, es esa firma quien debe contar con la autorización del Titular y quien responde por ella.
Y no se da por supuesto: al cargar datos de un tercero, las aplicaciones exigen a la firma declarar expresamente que ya obtuvo esa autorización y que conserva la prueba para entregarla si el Titular o una autoridad la exige. Esa declaración queda registrada con la fecha, quién la hizo y el texto que aceptó.
No dirigimos nuestros servicios a menores de edad ni recogemos sus datos de forma directa. Si un menor apareciera como Titular en información cargada por un cliente, su tratamiento deberá responder al interés superior del menor y contar con la autorización de su representante legal, conforme al artículo 7 de la Ley 1581 de 2012.
La autorización se obtiene antes de tratar los datos y se conserva como prueba. Se entiende otorgada cuando el Titular, de forma libre e informada:
De cada autorización se conserva constancia de que se otorgó, cuándo, bajo qué versión de este documento, desde qué dirección IP y con qué navegador. Esos datos técnicos existen únicamente para poder demostrar la autorización si el Titular la exige, y no se emplean para perfilarlo ni con fines publicitarios.
La autorización puede revocarse en cualquier momento por los canales del numeral 9, salvo que exista un deber legal o contractual de conservar la información.
Las constancias de autorización se conservan mientras exista la cuenta de la firma y, cuando esta se borra definitivamente, diez (10) años más, separadas del resto de su información, porque son la prueba que el Titular o una autoridad pueden exigir. Cumplido ese plazo se suprimen automáticamente.
Conforme al artículo 8 de la Ley 1581 de 2012, usted puede:
Para operar, VAELTIS se apoya en proveedores de tecnología que actúan como Encargados y que, por su naturaleza, alojan o procesan información fuera de Colombia. Se lo informamos de manera expresa porque la Ley 1581 lo exige:
| Para qué | Proveedor | Dónde procesa |
|---|---|---|
| Servidores de las aplicaciones, base de datos y sus copias automáticas | DigitalOcean, LLC | Nueva York, Estados Unidos |
| Almacenamiento de los archivos de los clientes y de los respaldos cifrados de las bases de datos; publicación de las pantallas; nombres de dominio y red de entrega | Cloudflare, Inc. | Estados Unidos, sobre una red de distribución global |
| Segunda copia de respaldo, en otro proveedor y otra región: copia de los archivos de los clientes y de los respaldos cifrados de las bases de datos | Backblaze, Inc. | Ámsterdam, Países Bajos (empresa con sede en Estados Unidos) |
| Registros técnicos del sistema (sección 4), conservados treinta (30) días | Axiom, Inc. | Estados Unidos |
| Envío de correos del sistema | Resend, Inc. | Estados Unidos |
| Buzones de correo de VAELTIS, incluido el canal de atención de la sección 9 | Hostinger International Ltd. | Chipre (Unión Europea), en los centros de datos del proveedor |
| Inteligencia artificial (los usos se detallan abajo) | Anthropic, Google, OpenAI y xAI | Estados Unidos |
| Inteligencia artificial (los usos se detallan abajo) | DeepSeek y Moonshot AI (Kimi) | República Popular China |
| En las consultas de Vaeltis Compliance: resolver los captchas de los portales públicos, y dar salida por su red de conexiones residenciales a las consultas de las fuentes que bloquean a los servidores. Al resolver un captcha no recibe datos personales: solo la dirección pública del portal y la clave del captcha. Las consultas que pasan por su red viajan cifradas de extremo a extremo, de modo que solo ve a qué portal se dirigen y su volumen, no su contenido | 2Captcha (ALTWEB WLL) | Reino de Baréin; las conexiones salen por direcciones residenciales de distintos países |
Con cada uno existe una relación contractual que los obliga a tratar la información únicamente para prestar el servicio y a mantener medidas de seguridad. Quien acepta esta política autoriza de manera expresa que sus datos se traten en esos países, conforme al artículo 26 de la Ley 1581 de 2012. Esta lista se mantiene actualizada: cuando se incorpora un proveedor nuevo, se agrega aquí.
Estados Unidos, los Países Bajos y Chipre figuran entre los países que la Superintendencia de Industria y Comercio reconoce con un nivel adecuado de protección de datos (Circular Única, Título V). La República Popular China y el Reino de Baréin no figuran en esa lista; por eso la información que llega a esos proveedores se limita a lo descrito en esta sección, y su firma puede pedir que no se usen los proveedores ubicados fuera de Estados Unidos.
Respaldos. Los archivos de los clientes y las bases de datos se respaldan en dos proveedores distintos y en regiones distintas; los respaldos de las bases de datos viajan y se guardan cifrados. Esas copias existen solo para recuperar el servicio ante una falla, un borrado accidental o un ataque, y no se consultan ni se usan para ningún otro fin. La información que se suprime de las aplicaciones puede permanecer en esas copias hasta que se renueven por su propio ciclo.
El SuperAdministrador de la plataforma decide qué proveedores quedan habilitados, y cada firma puede usar sus propias cuentas. Hay dos clases de uso, y se las informamos por separado porque no todas dependen de que el usuario las pida en ese momento.
Usos que ocurren solos, como parte del funcionamiento de la plataforma:
Usos que solo ocurren cuando el usuario los pide: el Asistente de Vaeltis, los análisis, las redacciones y las lecturas de documentos que se lanzan con un botón. Lo que el usuario escribe al asistente se envía al proveedor para responderlo, así que no conviene escribir en él datos personales que no hagan falta para la pregunta.
En todos los casos el proveedor actúa como Encargado, con el solo fin de devolver el resultado, y no usa la información para entrenar sus modelos ni para ninguna finalidad propia. Si su firma prefiere que su información no salga hacia proveedores ubicados fuera de Estados Unidos, puede solicitarlo y se limitarán los proveedores disponibles para su cuenta.
Esto aplica tanto a los datos propios de quien usa la plataforma como a los documentos de terceros que una firma cargue bajo su propia responsabilidad, en los términos de la sección 4 de esta política. El encargo a estos proveedores es una transmisión de datos a un Encargado, regulada por los artículos 24 y 25 del Decreto 1377 de 2013, hoy compilado en el Decreto 1074 de 2015, y por eso se informa aquí de manera expresa.
En cada consulta de debida diligencia, el nombre y el número de identificación de la contraparte se escriben en los buscadores de las fuentes consultadas, públicas y de terceros, en Colombia y en el exterior —entre ellas, la Procuraduría, la Contraloría, la Policía Nacional, la Rama Judicial, el RUES, la DIAN, el SECOP, el Consejo Nacional Electoral, INTERPOL, la Oficina de Control de Activos Extranjeros (OFAC) y la lista consolidada del Gobierno de Estados Unidos, las listas del Consejo de Seguridad de las Naciones Unidas, el Banco Mundial, el Banco Interamericano de Desarrollo, la base Offshore Leaks del Consorcio Internacional de Periodistas de Investigación (ICIJ) y el buscador de noticias de Google—. Algunas listas se descargan completas y se cruzan dentro de la plataforma, sin enviar el dato. Esas fuentes no actúan como Encargados de VAELTIS: cada una trata lo que recibe conforme a sus propias reglas. La consulta se hace por cuenta de la firma, que es la Responsable (sección 2).
Cuando una firma entrega las credenciales de un portal para que la plataforma trabaje por ella —por ejemplo, el usuario del portal de la DIAN de un contribuyente en Vaeltis Impuestos, o el buzón de facturas en Vaeltis Contable—, esas credenciales se guardan cifradas y solo se usan para la tarea que la firma encargó. Contar con la autorización del titular de esas credenciales para entregarlas es responsabilidad de la firma.
El área encargada de atender consultas y reclamos es la Administración de VAELTIS S.A.S., a través de:
Si el reclamo se recibe incompleto, se solicitará al interesado que lo corrija dentro de los cinco (5) días siguientes. Pasados dos (2) meses sin respuesta, se entenderá que desistió.
Aplicamos medidas técnicas y administrativas razonables para proteger la información: cifrado del tráfico, contraseñas almacenadas de forma irreversible, verificación en dos pasos, cifrado de las credenciales de portales y de las llaves de servicios externos, cierre automático de sesión por inactividad, separación estricta de la información entre firmas y entre clientes, acceso de cada usuario limitado según su rol y los clientes que tiene asignados, enlaces de acceso de un solo uso y de vigencia limitada, enlaces de descarga temporales, registro de las acciones sensibles —como las exportaciones masivas, los cambios de permisos y las acciones de administración—, eliminación de los códigos y credenciales de los registros técnicos antes de que salgan del servidor, y respaldos periódicos en dos proveedores distintos, protegidos contra el borrado. Ninguna medida elimina por completo el riesgo, pero mantenemos un proceso de mejora continua.
Versión de este documento: 2026-10-09. Rige desde el 9 de octubre de 2026. Es la referencia que queda guardada en cada constancia de autorización, para poder demostrar qué texto leyó el Titular el día que autorizó.
Cambios de esta versión frente a la anterior (2026-10-01): se agregan como Encargados a Backblaze, que guarda la segunda copia de los respaldos en Ámsterdam (Países Bajos), a Axiom, que conserva treinta (30) días los registros técnicos del sistema, y a Hostinger, que aloja los buzones de correo de VAELTIS (sección 8); se declaran los registros técnicos del sistema y su plazo de conservación (sección 4); se precisa que 2Captcha también da salida, por su red de conexiones residenciales, a consultas cifradas de algunas fuentes de Vaeltis Compliance (sección 8); se informa cómo se consultan las fuentes públicas en Vaeltis Compliance (sección 8); se corrige la lista de aplicaciones que verifican con inteligencia artificial los soportes de autorización de un cliente, que incluía por error a Vaeltis Impuestos (sección 8); se informan los respaldos y lo que ocurre en ellos con la información suprimida (sección 8), y se actualizan las medidas de seguridad (sección 10). Las finalidades del tratamiento no cambian.
Cambios de la versión 2026-10-01 frente a la anterior (2026-08-07): se incluye Vaeltis Financiero en el alcance (sección 2); se informan los usos de la inteligencia artificial que ocurren sin que el usuario los pida en ese momento —verificación de los soportes de autorización de un cliente, lectura de la declaración del año anterior en Vaeltis Impuestos, búsqueda en fuentes abiertas en las consultas de Vaeltis Compliance y diagnóstico de incidentes—, y se corrige la versión anterior, que decía que la inteligencia artificial solo se activaba cuando el usuario la invocaba (sección 8); se agrega a 2Captcha, que resuelve los captchas de los portales públicos en Vaeltis Compliance sin recibir datos personales (sección 8); se informa la custodia cifrada de las credenciales de portales que entregan las firmas (secciones 8 y 10); se informa la constancia del aviso del Asistente de Vaeltis (sección 4) y el plazo de conservación de las constancias de autorización (sección 6); y se corrige la forma en que se comunican los cambios de esta política, que se describe abajo.
Cambios de la versión 2026-08-07 frente a la anterior (2026-07-29): se declara el registro de ingresos —dirección IP, navegador y fecha y hora de cada acceso—, con sus dos finalidades: verificar que cada licencia la use una sola persona, y proteger la cuenta del Titular avisándole cuando se detecte un ingreso desde otro equipo. Se fija además un plazo de conservación de doce (12) meses, tras el cual esos datos se borran automáticamente (sección 4). Ese tratamiento ya venía ocurriendo y no estaba declarado.
Cambios de la versión 2026-07-29 frente a la anterior (2026-07-28): se informa de manera expresa que la lectura asistida de documentos puede apoyarse en un proveedor de inteligencia artificial que actúa como Encargado, que no entrena sus modelos con esa información, y que mientras la firma no active esa lectura los documentos no salen de la plataforma (sección 8).
Esta política rige a partir del 23 de julio de 2026, fecha de constitución de la compañía. Las bases de datos se conservarán mientras exista la relación con el Titular y, después, durante los términos exigidos por la ley comercial, tributaria y contable colombiana. Cumplidos esos términos, la información se suprime o se anonimiza.
Cómo se comunican los cambios. Cuando esta política cambia de forma sustancial, la nueva versión se publica en esta página con su fecha y un resumen de los cambios, y a cada usuario de las aplicaciones se le pide leerla y aceptarla en su siguiente ingreso, antes de seguir usándolas; esa aceptación queda registrada con la fecha, la versión y la dirección IP. Si el cambio afecta la finalidad del tratamiento, se pide una nueva autorización antes de usar los datos para esa finalidad, como lo exigen los artículos 5 y 13 del Decreto 1377 de 2013.
El Registro Nacional de Bases de Datos (RNBD) es obligatorio únicamente para ciertas organizaciones según su tamaño y naturaleza. VAELTIS S.A.S. evalúa anualmente si le corresponde y, de ser así, mantiene el registro al día ante la Superintendencia de Industria y Comercio.