Política de Privacidad

1. Responsable del Tratamiento

La Universidad de Caldas, con NIT 890.801.063-0, domiciliada en Calle 65 No. 26-10, Manizales, Caldas, Colombia, es la responsable del tratamiento de los datos personales recopilados a través de la Plataforma Sparlum. Contacto para asuntos de privacidad: sparlum@ucaldas.edu.co.

2. Marco Legal

Esta política se rige por la Ley 1581 de 2012 (Ley de Protección de Datos Personales), el Decreto 1377 de 2013 y demás normas concordantes de la República de Colombia. Adicionalmente, la Plataforma implementa principios de protección de datos alineados con el Reglamento General de Protección de Datos (GDPR) de la Unión Europea cuando resulten aplicables.

3. Datos que Recopilamos

De administradores y signatarios (usuarios del sistema):

• Nombre completo y correo electrónico institucional
• Rol dentro de la Plataforma
• Institución y departamento asociado
• Registros de actividad y logs de acceso (IP, fecha/hora, acciones)
• Clave criptográfica pública asociada a su wallet institucional (para firmantes)

De estudiantes beneficiarios (no son usuarios del sistema):
• Nombre completo
• Correo electrónico
• Número de documento de identidad (opcional)
• Información académica (curso, calificación, fecha de finalización)

4. Protección de Datos Sensibles

Los datos personales de los estudiantes beneficiarios contenidos en los certificados son encriptados con AES-256-GCM antes de almacenarse en la base de datos. Solo los administradores autorizados de la institución correspondiente pueden acceder a los datos desencriptados. Este mecanismo cumple con los principios de protección de datos por diseño y por defecto (Privacy by Design & by Default).

5. Finalidad del Tratamiento

Los datos personales se utilizan exclusivamente para las siguientes finalidades declaradas:

• Emisión, firma y gestión de certificados digitales
• Verificación pública de autenticidad de certificados
• Registro de huellas digitales (hashes) de certificados en blockchain
• Envío de notificaciones relacionadas con certificados (emisión, firma, pago, recordatorios)
• Generación de estadísticas anonimizadas de uso de la Plataforma
• Cumplimiento de obligaciones legales y requerimientos de autoridades competentes
• Prevención de fraude y garantía de seguridad de la Plataforma

6. Base Jurídica del Tratamiento

El tratamiento se realiza con fundamento en: (a) la autorización expresa del titular al entregar sus datos a la institución emisora, (b) el cumplimiento de obligaciones legales y académicas de la Universidad de Caldas, y (c) el interés legítimo en operar un servicio seguro y verificable.

7. Blockchain y Datos Públicos

Al emitir un certificado con registro blockchain, se almacena únicamente un hash criptográfico (SHA-256) en la red. Este hash no contiene datos personales identificables, sino una huella digital matemática que permite verificar la integridad de los datos sin revelarlos. Los datos personales de los beneficiarios NO se almacenan en la blockchain, únicamente su hash criptográfico.

8. Derechos de los Titulares

De acuerdo con la Ley 1581 de 2012, los titulares de datos personales tienen derecho a:

• Conocer: Acceder a sus datos personales almacenados
• Actualizar: Solicitar la corrección de datos inexactos o incompletos
• Rectificar: Modificar datos que sean erróneos
• Revocar la autorización: Cuando no exista obligación legal o contractual de conservarlos
• Suprimir datos: Salvo los datos registrados en blockchain, que son inmutables por naturaleza
• Solicitar portabilidad: Recibir copia estructurada de sus datos
• Presentar quejas: Ante la Superintendencia de Industria y Comercio (SIC)

Para ejercer estos derechos, contacte a: sparlum@ucaldas.edu.co. Responderemos dentro de los plazos establecidos por la Ley 1581 de 2012.

9. Retención de Datos

Los datos de certificados se conservan de forma indefinida dado su carácter académico y su registro en blockchain. Los datos de administradores se conservan mientras mantengan una cuenta activa y durante cinco (5) años posteriores a su desactivación, conforme a las políticas de retención de la Universidad y las obligaciones legales aplicables. Los hashes en blockchain no pueden ser eliminados por su naturaleza inmutable.

10. Transferencia de Datos

Los datos personales no se transfieren a terceros, salvo en los siguientes casos:

• Registro de hashes en la red blockchain CyberChain (sin datos personales identificables)
• Procesamiento de pagos a través de Wompi u otra pasarela autorizada (únicamente los datos necesarios para la transacción)
• Envío de correos electrónicos mediante proveedores de servicios de correo (AWS SES u otros)
• Requerimiento de autoridad judicial o administrativa competente
• Cesiones previamente autorizadas por el titular

No realizamos transferencias internacionales de datos a países sin nivel adecuado de protección sin las garantías exigidas por la ley.

11. Medidas de Seguridad

Implementamos medidas técnicas y organizativas para proteger los datos personales:

• Encriptación AES-256-GCM para datos sensibles en la base de datos
• Comunicaciones cifradas con HTTPS/TLS 1.2+
• Autenticación mediante tokens JWT con expiración y rotación
• Control de acceso basado en roles (RBAC)
• Firma digital dual (ECDSA + ML-DSA post-cuántica) para integridad a largo plazo
• Registros de auditoría de acceso a datos sensibles
• Copias de seguridad encriptadas y segregación de entornos
• Pruebas periódicas de vulnerabilidades y actualizaciones de seguridad

Ninguna medida de seguridad es infalible; la Universidad implementa buenas prácticas razonables pero no puede garantizar seguridad absoluta frente a amenazas emergentes.

12. Notificación de Incidentes

En caso de incidente de seguridad que afecte datos personales, la Universidad notificará a los titulares afectados y a las autoridades competentes en los plazos y condiciones establecidos por la legislación aplicable.

13. Menores de Edad

La Plataforma no está dirigida directamente a menores de edad. Cuando se emitan certificados a beneficiarios menores de edad, el tratamiento de datos se realizará con el consentimiento de sus representantes legales y conforme al principio del interés superior del niño.

14. Modificaciones a esta Política

Esta política puede ser modificada para reflejar cambios legales, operativos o tecnológicos. La versión vigente se publicará en esta página con la fecha de última actualización. Los cambios sustanciales se comunicarán por medios razonables.

15. Contacto

Para consultas sobre privacidad y tratamiento de datos personales:

Universidad de Caldas
Correo: sparlum@ucaldas.edu.co
Teléfono: (606) 878 1500
Dirección: Calle 65 No. 26-10, Manizales, Caldas, Colombia