Política de Tratamiento de Datos

Esta política explica de forma detallada qué datos personales puede tratar SIGDE, para qué los usa, quién puede consultarlos, cuánto tiempo se conservan, qué derechos tienen los titulares y cómo ejercerlos. Se adopta con referencia al artículo 15 de la Constitución Política, la Ley 1581 de 2012, el Decreto 1074 de 2015 y las instrucciones de la Superintendencia de Industria y Comercio (SIC).

1. Responsable, encargado y datos de contacto

Responsable: Institución Educativa Técnica Industrial Rafael Navia Varón · NIT: 805.027.641-9 · Domicilio: Calle 11 #45-46, Cali, Colombia · Correo: [CORREO DE DATOS EN DESARROLLO] · Teléfono: [TELÉFONO POR DEFINIR].

La institución decide las finalidades y medios del tratamiento. Los proveedores que alojan, mantienen o transmiten la plataforma actúan como Encargados únicamente bajo instrucciones documentadas, confidencialidad y medidas de seguridad. La institución debe mantener la lista actualizada de esos proveedores.

2. Definiciones

Dato personal: información vinculada o asociable a una persona natural. Titular: persona a quien pertenece el dato. Tratamiento: recolección, almacenamiento, uso, consulta, circulación, actualización, bloqueo o supresión. Responsable: quien decide sobre el tratamiento. Encargado: quien lo realiza por cuenta del responsable. Dato sensible: información cuyo uso indebido puede afectar la intimidad o generar discriminación, incluyendo salud, biometría, orientación sexual, convicciones y otros previstos por la ley.

3. Categorías de datos que puede tratar SIGDE

• Identificación: nombres, apellidos, tipo y número de documento, código estudiantil, fecha de nacimiento, edad, curso, grado, grupo, estado académico y fotografía si se habilita.
• Contacto: correo institucional y personal, teléfono, dirección y datos del acudiente o contacto autorizado.
• Cuenta y seguridad: usuario, rol, estado de cuenta, contraseña almacenada de forma protegida, códigos de recuperación, fechas de inicio/cierre de sesión, registros de auditoría, IP, navegador y eventos de seguridad.
• Convivencia: fecha, lugar, descripción del hecho, personas relacionadas, clasificación, medidas pedagógicas, estado del caso, observaciones, compromisos y seguimiento.
• Salidas: estudiante, hora de salida y regreso, motivo, persona autorizada, autorización, responsable de entrega, estado y observaciones.
• Evidencias: archivos, imágenes, documentos o notas asociados a un reporte, únicamente cuando sean necesarios, legítimos y autorizados.
• Comunicaciones: mensajes enviados, destinatarios, estado de entrega, fecha y respuesta o constancia de notificación.
• Datos potencialmente sensibles: solo se tratarán cuando sean estrictamente necesarios, exista base legal y autorización reforzada cuando corresponda. No deben cargarse diagnósticos, historias clínicas, datos biométricos u otra información sensible si el módulo no la requiere.

4. Tratamiento por tipo de usuario

Estudiantes: se tratan datos académicos, de identificación, contacto, convivencia y salidas para administrar la relación escolar, proteger su seguridad, hacer seguimiento pedagógico, notificar al acudiente autorizado y cumplir obligaciones institucionales.

Acudientes: se tratan identificación, parentesco o calidad de representante, contacto y trazabilidad para verificar autorizaciones, enviar notificaciones y facilitar el seguimiento del estudiante relacionado. No reciben credenciales ni tienen acceso a SIGDE.

Docentes: se tratan identificación, correo, rol, permisos y actividad de cuenta para autenticar, permitir la creación de reportes, la consulta de reportes por estudiante y la visualización de alertas, asignar responsabilidades y mantener auditoría.

Administradores y coordinadores: comparten los permisos de mayor responsabilidad en SIGDE. Se tratan los datos necesarios para gestión de usuarios, revisión, configuración, informes, seguridad y auditoría. El privilegio técnico no permite consultar o divulgar información sin finalidad institucional.

Personal de Portería: se tratan los datos mínimos de identificación, autorizaciones y salida para crear y consultar registros de salida durante su turno. No puede eliminar salidas ni acceder a reportes disciplinarios, alertas, usuarios u otros módulos.

5. Finalidades específicas

1. Crear y administrar cuentas, roles, permisos y sesiones.
2. Validar identidad, recuperar contraseñas y prevenir accesos fraudulentos.
3. Registrar, consultar, actualizar y hacer seguimiento de reportes de convivencia.
4. Generar alertas por reglas institucionales y facilitar revisión humana.
5. Registrar salidas, autorizaciones, responsables y novedades de seguridad.
6. Enviar notificaciones operativas al usuario o acudiente autorizado.
7. Generar informes estadísticos, PDF o Excel con controles de acceso, preferiblemente agregados o anonimizados cuando no se requiera identificar.
8. Atender peticiones, consultas, reclamos, auditorías, investigaciones y requerimientos de autoridad.
9. Conservar evidencia y trazabilidad para seguridad, defensa de derechos y cumplimiento legal.
10. Mejorar la operación y seguridad del sistema sin usar los datos para publicidad, venta, perfiles comerciales ni finalidades incompatibles.

6. Base de legitimidad y autorización

El tratamiento se realizará con autorización previa, expresa e informada cuando sea exigible, o con fundamento en una obligación legal, contractual o finalidad institucional legítima permitida por la normativa. La autorización debe poder consultarse posteriormente y explicar finalidades, derechos, responsable y canales.

La negativa a entregar datos no necesarios no podrá generar consecuencias injustificadas. Los datos estrictamente necesarios para crear una cuenta o cumplir una obligación institucional pueden ser indispensables para prestar el servicio; los datos opcionales deben identificarse como tales.

7. Niños, niñas y adolescentes

SIGDE trata información de estudiantes menores de edad únicamente cuando responda a su interés superior, respete sus derechos fundamentales y sea adecuada, pertinente y necesaria. La institución debe escuchar al menor según su madurez y capacidad, valorar su opinión y obtener la autorización del representante legal cuando corresponda.

No se usarán datos de estudiantes para publicidad, venta, publicaciones abiertas, rankings públicos ni perfiles de comportamiento ajenos a la finalidad educativa. Cualquier dato sensible requiere justificación reforzada, minimización, acceso limitado y controles adicionales.

8. Circulación, acceso y proveedores

El acceso se limita a usuarios autorizados por rol y necesidad. Puede existir acceso del proveedor de alojamiento, base de datos, correo, despliegue, copias de seguridad o soporte, siempre con instrucciones, confidencialidad, seguridad y supervisión. La institución debe informar los proveedores reales y verificar transferencias o transmisiones internacionales cuando existan.

Los reportes y expedientes no deben hacerse públicos ni enviarse a destinatarios no autorizados. Las exportaciones deben protegerse, limitarse y eliminarse cuando ya no sean necesarias.

9. Conservación y supresión

Los datos se conservarán durante la relación institucional y por el tiempo adicional necesario para obligaciones legales, archivo, auditoría, defensa de derechos o investigación. La institución debe aprobar una tabla de retención por categoría, revisar periódicamente los datos y suprimir, anonimizar o bloquear aquellos que ya no sean necesarios, salvo excepción legal.

10. Medidas de seguridad

La institución aplicará, de acuerdo con el riesgo, controles de autenticación, autorización por rol, confidencialidad, registro de accesos, copias de seguridad, recuperación, actualizaciones, protección de secretos, capacitación y revisión de permisos. Las contraseñas no deben almacenarse en texto plano y las exportaciones deben controlarse.

Ante pérdida, alteración, acceso, consulta, uso o divulgación no autorizada, se documentará el incidente, se contendrá el riesgo, se preservarán evidencias, se evaluarán titulares afectados y se realizarán los reportes y comunicaciones exigibles dentro de los términos aplicables.

11. Derechos de los titulares

El titular puede conocer, actualizar y rectificar sus datos; solicitar prueba de la autorización; ser informado del uso; presentar quejas ante la SIC; revocar la autorización cuando proceda; y solicitar supresión cuando no exista deber legal o contractual de conservarlos. También puede solicitar información sobre las finalidades, categorías, encargados y canales.

12. Consultas y reclamos

La solicitud debe dirigirse a [CORREO DE DATOS EN DESARROLLO] con nombre, identificación, descripción clara, datos a consultar o corregir y medio de respuesta. La institución verificará identidad, registrará la fecha, responderá dentro de los términos legales y conservará evidencia de la gestión. Si es un reclamo incompleto, solicitará la información faltante; si no puede resolverlo, lo remitirá al competente e informará al solicitante.

El titular puede acudir a la SIC una vez agotado el trámite ante el responsable, sin perjuicio de otros derechos constitucionales o legales.

13. Cambios y vigencia

La política rige desde [FECHA DE VIGENCIA]. Toda modificación debe indicar versión, fecha, cambios relevantes y mecanismo de comunicación. Si cambia una finalidad o se requiere nueva autorización, la institución deberá informarlo y actuar conforme a la ley.