Política Integral de Tratamiento de Datos Personales, Privacidad y Seguridad de la Información

El presente documento (en adelante, la “Política”) establece las directrices, lineamientos, principios y procedimientos bajo los cuales VERIFIKA TECH S.A.S. (en adelante, “Verifika” o la “Compañía”), sociedad comercial legalmente constituida bajo las leyes de la República de Colombia, identificada con NIT 902.107.493-0, domiciliada en Pereira, Risaralda, recolecta, almacena, usa, circula, transmite, transfiere y suprime datos personales y corporativos de sus clientes, usuarios, empleados y terceros.

Esta Política se articula en estricto cumplimiento del Artículo 15 de la Constitución Política de Colombia, la Ley Estatutaria 1581 de 2012 (Régimen General de Protección de Datos Personales), el Decreto Reglamentario 1377 de 2013 (incorporado en el Decreto Único Reglamentario 1074 de 2015), la Ley 1273 de 2009 (Delitos Informáticos), la Ley 527 de 1999 (Comercio Electrónico) y, en lo pertinente al tratamiento de metadatos de transacciones, los principios rectores de la Ley 1266 de 2008 (Habeas Data Financiero).

Verifika declara expresamente que no es una entidad financiera, no es un establecimiento de crédito, no es una pasarela de pagos, ni vigila, capta, custodia o administra dinero del público. Su naturaleza es la de un proveedor de tecnología (Software as a Service - SaaS) cuya infraestructura se limita a la lectura asíncrona, extracción de metadatos y validación de notificaciones bancarias preexistentes emitidas por terceros.

Para la correcta interpretación de esta Política, en concordancia con el estándar técnico de la arquitectura de Verifika y la normatividad colombiana, se establecen las siguientes definiciones:

• Titular: Persona natural o jurídica cuyos datos personales o corporativos son objeto de Tratamiento. Incluye a los clientes B2B (Comercios) y, de forma incidental, a los terceros pagadores referenciados en las notificaciones bancarias.
• Responsable del Tratamiento: El Comercio (Cliente B2B de Verifika) que decide sobre la base de datos de sus ventas y clientes, y que autoriza la conexión de sus canales de notificación a la infraestructura de Verifika.
• Encargado del Tratamiento: VERIFIKA TECH S.A.S., quien realiza el Tratamiento de los datos por cuenta y mandato tecnológico del Responsable.
• Dato Sensible: Aquel que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación. Verifika prohíbe la recolección activa de datos sensibles y utiliza filtros de Privacy by Design para descartarlos antes de su almacenamiento.
• Dato Transaccional (Metadato): Fragmentos de información extraídos estrictamente de notificaciones bancarias, limitados a: monto, fecha, referencia, últimos cuatro (4) dígitos del producto financiero y nombre del pagador.
• Parsing / Extracción NLP: Proceso algorítmico automatizado mediante Inteligencia Artificial o Modelos de Lenguaje (LLMs) mediante el cual Verifika lee un texto no estructurado (correo o SMS) y extrae únicamente las variables transaccionales de interés.
• Canales de Lectura Limitada: Interfaces a través de las cuales Verifika obtiene acceso de solo lectura a avisos bancarios: las APIs de correo de Microsoft (Mail.Read) y de Google (gmail.readonly); en teléfonos Android, el permiso de recepción de mensajes de texto (RECEIVE_SMS) y el acceso a notificaciones (servicio de escucha de notificaciones del sistema); y en iPhone, la acción «Enviar a Verifika» que el usuario agrega a una automatización de la app Atajos. Ninguno de estos canales permite a Verifika enviar mensajes, borrar mensajes ni leer el historial anterior a su activación.
• Pesca de Arrastre (Prohibida): Recolección indiscriminada de datos. Verifika rechaza esta práctica mediante el filtrado de cabeceras, procesando únicamente correos cuyos dominios de origen (remitentes) correspondan a entidades financieras pre-aprobadas.
• Referidor Independiente / Afiliado: Tercero natural o jurídico que participa en el Programa de Growth Loop. Para el tratamiento de sus datos de identificación (Cédula/NIT) y certificación bancaria (KYC) con fines exclusivos de liquidación y pago de comisiones, Verifika Tech S.A.S. actuará en calidad de Responsable del Tratamiento, garantizando la reserva tributaria de dicha información.
• Aplicación Móvil: La aplicación de Verifika para teléfonos Android e iPhone, disponible en Google Play y App Store, que da acceso a la cuenta del Comercio y a los Canales de Lectura Limitada del propio teléfono.
• Proveedor de Inteligencia Artificial: Empresa que opera modelos de lenguaje o de transcripción de voz y que procesa datos por cuenta de Verifika, en calidad de Encargado, para las funciones descritas en esta Política.

2.1. Limitación de Calidad (Responsable vs. Encargado)

Verifika actúa incondicionalmente como Encargado del Tratamiento respecto a los metadatos transaccionales y avisos bancarios extraídos por mandato del Comercio. Exclusivamente para fines de autenticación, telemetría técnica y auditoría de sesiones en la Aplicación Móvil (logs de dispositivo, identificadores de instalación), Verifika asume la calidad de Responsable, limitando dicho tratamiento a la seguridad y viabilidad técnica de la plataforma, sin fines de comercialización a terceros.

El Tratamiento de datos ejecutado por Verifika se regirá de forma estricta por los siguientes principios normativos:

1. 1Principio de Legalidad: El Tratamiento es una actividad reglada que debe sujetarse a las leyes colombianas aplicables.
2. 2Principio de Finalidad: El Tratamiento obedece a una finalidad legítima, comercial y técnica, explícitamente informada al Titular en el momento de la autorización.
3. 3Principio de Necesidad y Proporcionalidad: Verifika solicitará y procesará de forma exclusiva los datos y permisos de hardware/software que sean estrictamente necesarios para validar la legitimidad de un comprobante de pago.
4. 4Principio de Transparencia: Garantía al Titular de obtener en cualquier momento, y sin restricciones, información sobre la existencia de datos que le conciernan.
5. 5Principio de Privacidad desde el Diseño (Privacy by Design): La arquitectura tecnológica de Verifika está construida para descartar automáticamente información privada o personal que no corresponda a notificaciones bancarias operativas.

Verifika procesa la información de sus clientes B2B con la finalidad central de confirmar la existencia real de pagos reportados mediante comprobantes (ej. Bre-B, Nequi, Bancolombia), mitigando el riesgo de fraude, alteración de imágenes o reutilización de comprobantes. El tratamiento se delimita estrictamente según el canal de integración seleccionado por el Comercio.

Además de los canales de integración, la Sección 4 describe los datos que trata la Aplicación Móvil (numerales 4.7 a 4.10). Verifika no usa ningún dato de los descritos para publicidad, no los vende y no rastrea a los usuarios entre aplicaciones o sitios de terceros.

4.1. Canal de Correo Electrónico (Integración API OAuth 2.0)

El Comercio autoriza el acceso mediante tokens de seguridad delegada a sus buzones corporativos (Microsoft o Google).

• Limitación de Permisos: Para leer el correo se solicitan únicamente los permisos de solo lectura Mail.Read y offline_access (Microsoft) o gmail.readonly (Google). Adicionalmente, y con el único fin de identificar qué buzón se autorizó, se solicitan los permisos básicos de identidad openid, email y profile (y User.Read en el caso de Microsoft), que entregan el nombre y la dirección del buzón conectado. Verifika no solicita acceso a calendario, contactos ni archivos, y no tiene capacidad técnica para enviar, responder, mover o borrar correos electrónicos.
• Filtro de Descarte Inmediato: El sistema audita primero los metadatos de las cabeceras (remitente y asunto). Si el remitente no pertenece al catálogo oficial de bancos, Verifika no solicita, no lee y no guarda el cuerpo del mensaje.
• Retención Cero para No-Bancarios: De los correos ajenos a bancos, no se guarda el contenido, el remitente, ni el asunto; el sistema solo registra la hora del evento para mantener la conexión activa (ping).
• Conexión desde la web o desde la Aplicación Móvil: La conexión del buzón puede iniciarse desde el panel web o desde la Aplicación Móvil. En ambos casos la autorización se otorga en la página del propio proveedor (Microsoft o Google), y puede revocarse en cualquier momento desde Verifika o directamente desde la cuenta del proveedor.
• Avisos de correo nuevo: Para enterarse de que llegó un correo nuevo, Verifika utiliza los servicios de notificación de cambios de Google (Google Cloud Pub/Sub) y de Microsoft (Microsoft Graph). Estos avisos solo informan que el buzón tuvo un cambio y no contienen el mensaje; el contenido se consulta después, bajo los filtros descritos en esta sección.
• Procesamiento del aviso bancario: El cuerpo de un correo cuyo remitente pertenece al catálogo de bancos se procesa en memoria y se envía cifrado a un Proveedor de Inteligencia Artificial para extraer las variables del pago (Sección 8). De ese correo se conservan únicamente los datos descritos en la Sección 12.2.

4.1.1. Cumplimiento Estricto de la Política de API de Google (Google API Services User Data Policy)

El uso y la transferencia a cualquier otra aplicación de la información recibida por Verifika a través de las APIs de Google se ajustarán de manera estricta a la Política de Datos de Usuario de los Servicios de API de Google (https://developers.google.com/terms/api-services-user-data-policy), incluidos los requisitos de Uso Limitado (Limited Use Requirements). Específicamente:

• Verifika utilizará el acceso a gmail.readonly de manera exclusiva para proporcionar funcionalidades orientadas al usuario (validación de notificaciones bancarias) y no utilizará estos datos para ningún otro propósito.
• Verifika prohíbe terminantemente el uso de los datos obtenidos a través de las APIs de Google para el desarrollo, mejora o entrenamiento de modelos de Inteligencia Artificial (IA) fundacionales, generalizados o de terceros.
• Los datos obtenidos no serán transferidos, vendidos, ni cedidos a terceros con fines publicitarios, de segmentación, de investigación de mercado o de seguimiento (tracking).

En estricto acatamiento de la Política de Uso Limitado de Google, el acceso humano directo a correos electrónicos no procesados o metadatos en crudo está prohibido. Este acceso se ejecutará única y excepcionalmente bajo escenarios de soporte técnico solicitado por el usuario, resolución de incidentes de seguridad o cumplimiento de requerimientos legales.

4.2. Extracción de SMS Android (Edge Computing)

Si el Comercio opta por validar las notificaciones de texto (SMS) que ingresan a un dispositivo corporativo equipado con sistema operativo Android.

• Captura Pasiva y Filtrado en Borde: Si el Comercio habilita la función, el sistema operativo transfiere los mensajes entrantes al entorno local de la Aplicación Móvil. Verifika ejecuta un algoritmo de descarte en el procesador del dispositivo (Edge Computing). Los mensajes ajenos a la ontología bancaria son destruidos en el hardware del cliente y jamás se transmiten a la red.
• Limitación de Transmisión y Procesamiento Delegado: Únicamente los metadatos que superan el filtro de origen bancario son transmitidos mediante túneles TLS hacia la nube de Verifika y procesados mediante Proveedores de Inteligencia Artificial (Encargados Subcontratados), operando bajo cláusulas de confidencialidad absoluta (Sección 8).
• Exclusión de Responsabilidad Histórica: Verifika carece de permisos de lectura histórica (READ_SMS); su vector de escucha se limita al tiempo real, pudiendo ser revocado unilateralmente por el Comercio desde la configuración del hardware, cesando todo procesamiento de lectura local transaccional..

4.3. Monitorización de Notificaciones Push (Android NotificationListener)

• Captura Ciega y Filtrado Algorítmico Local: Si el Comercio opta por habilitar la escucha de sistema, el sistema operativo expone temporalmente los eventos de notificación. Verifika aplica un filtro de exclusión algorítmica estricta en el dispositivo (Edge Computing), descartando instantáneamente y sin almacenamiento toda notificación ajena a las aplicaciones financieras pre-aprobadas (ej. mensajería, sistema, redes sociales).
• Transmisión de Metadatos Financieros: Únicamente los payloads (título y texto) de las notificaciones financieras clasificadas son transmitidos por túneles criptográficos (HTTPS) al servidor para su extracción final. Verifika no extrae, consolida ni perfila el historial general de notificaciones del Titular.

4.4. Automatizaciones Nativas (iOS Shortcuts) y Reenvío Asíncrono

Si el Comercio opta por validar las notificaciones de texto (SMS) que ingresan a un dispositivo corporativo equipado con sistemas iOS (Apple).

• Arquitectura de Enrutamiento Condicional: Dada la arquitectura cerrada de iOS (Apple), Verifika no posee privilegios de lectura nativa de SMS. El Titular autoriza la creación voluntaria de una automatización de sistema (Shortcuts) que enruta los eventos de entrada de texto hacia la nube de Verifika.
• Protocolo de Retención Cero (Zero-Retention Drop): Los servidores de Verifika operan como un nodo de descarte inmediato (Drop Node). El algoritmo centraliza y audita las cadenas de texto entrantes; si no coinciden unívocamente con identificadores bancarios parametrizados, el paquete de datos se purga de la memoria volátil (RAM) en milisegundos, garantizando retención cero. Únicamente sobrevive en los registros técnicos (Logs) una huella de tiempo (timestamp) anonimizada sin contenido de texto, con fines exclusivos de telemetría y auditoría de disponibilidad (SLA).

4.5. Canal Conversacional (WhatsApp Business API)

Si el Comercio opta por validar transacciones a través de WhatsApp, Verifika operará como Encargado procesando únicamente las imágenes de los comprobantes y metadatos de texto enviados voluntariamente por el Personal del Comercio al Agente Virtual. Verifika no extrae la agenda de contactos del remitente ni el historial del dispositivo, limitando la extracción al reconocimiento óptico (OCR) del comprobante recibido.

4.6. Canales Oficiales de Soporte, Ventas y PQRS (WhatsApp Business API)

Verifika Tech S.A.S. opera líneas oficiales y verificadas de WhatsApp para la gestión comercial, soporte técnico y atención al cliente. Al interactuar con cualquiera de nuestras líneas presentes o futuras, el Titular autoriza la recolección de su número telefónico, nombre de perfil y el almacenamiento del historial de la conversación.

• Validez del Opt-In Conversacional: Verifika implementa mecanismos de captura de consentimiento dentro del flujo de chat (ej. menús interactivos o mensajes de confirmación). El Titular reconoce y acepta que responder afirmativamente (ej. escribir “SÍ”) o continuar la interacción tras recibir el aviso de privacidad en WhatsApp, constituye un consentimiento expreso, inequívoco y legalmente vinculante para el tratamiento de sus datos bajo esta Política, cumpliendo a cabalidad con la Ley 1581 de 2012. Los datos recolectados por este canal no serán vendidos a terceros ni utilizados para Spam.

4.7. Integración de Hardware (Cámara, Multimedia y Micrófono)

• Captura Visual y Documental: La Aplicación Móvil solicitará acceso a la cámara o almacenamiento local de forma just-in-time (JIT) exclusivamente para la captura voluntaria de comprobantes. Verifika no ejecuta escaneos en segundo plano (background scanning) sobre galerías o repositorios de archivos.
• Procesamiento de Voz Estímera: La activación del micrófono opera bajo el principio de demanda (Push-to-Talk). Los fragmentos de audio capturados para el Agente Conversacional son transmitidos mediante TLS a proveedores de Inteligencia Artificial en calidad de Sub-Encargados. La arquitectura es transitoria: una vez procesada la transcripción (Speech-to-Text), Verifika no almacena las trazas de audio originales, consolidando únicamente el metadato de texto bajo responsabilidad del Comercio emisor.

4.8. Agente Algorítmico (IA) y Procesamiento de Prompts

• Enrutamiento y Tratamiento Delegado: Los inputs de texto, capturas documentales y dictados de voz (Push-to-Talk) ingresados al Agente son enrutados bajo cifrado TLS hacia Proveedores de Modelos Fundacionales (LLMs) operando como Sub-Encargados. Este procesamiento transitorio excluye el entrenamiento de modelos de terceros.
• Exclusión Absoluta por Alucinación Algorítmica: El Titular reconoce que las respuestas generadas por el Agente Algorítmico poseen naturaleza probabilística. Verifika no asume responsabilidad civil, comercial o fiduciaria por alucinaciones algorítmicas, inexactitudes o decisiones financieras tomadas por el Comercio basadas en respuestas automatizadas, rigiéndose estrictamente por el eximente de responsabilidad (Liability Cap) de los Términos y Condiciones Generales.

4.9. Identidad B2B, Fingerprinting de Sesión y Exclusiones

• Identidad y Telemetría de Seguridad: Para la provisión del SaaS, Verifika registra los datos corporativos de la cuenta y ejecuta telemetría de hardware (Device Fingerprinting), capturando el identificador de instalación, versión de OS y modelo del dispositivo. Estos datos se procesan con la finalidad exclusiva de garantizar la integridad de la sesión (prevención de accesos no autorizados) y auditoría técnica de disponibilidad.
• Exclusión Estricta de Rastreo: Se declara y garantiza que la Aplicación Móvil carece de rutinas de rastreo invasivo. Verifika NO recolecta, ni solicita permisos para: geolocalización (GPS), agenda de contactos, calendario, identificadores de publicidad (IDFA/AAID), ni datos de navegación en terceros (Cross-App Tracking).

4.10. Nodos de Diagnóstico (Observability) y Enrutamiento Push

• Monitoreo de Disponibilidad (Sentry): Para garantizar el SLA (Acuerdo de Nivel de Servicio) del 99.5%, la Aplicación emite registros técnicos de fallos (Crash Dumps) hacia infraestructuras de monitoreo de terceros (ej. Sentry). Verifika aplica técnicas de ofuscación perimetral (Edge-masking) asegurando que ningún dato transaccional, metadato bancario, ni PII (Información Personal Identificable) sea transmitido en estos registros de diagnóstico.
• Infraestructura Push: La entrega de alertas en tiempo real requiere el enrutamiento del identificador de dispositivo a través de los nodos de Apple Push Notification Service (APNS) y Firebase Cloud Messaging (FCM). Estas plataformas actúan como pasarelas de transmisión transitoria y no retienen los metadatos transaccionales emitidos en la notificación.

4.11. Persistencia de Lectura Asíncrona (Background Parsing Core)

La funcionalidad central y la promesa de valor (SLA) de la Aplicación Móvil de Verifika radican en la conciliación financiera ininterrumpida. El Titular es informado y acepta de manera expresa, libre e inequívoca que el simple cierre de sesión en la interfaz visual (Log-out) o el envío de la Aplicación a segundo plano NO interrumpe ni desactiva los procesos de extracción (Parsing) y escucha de notificaciones de SMS/Email. Esta persistencia técnica es un requerimiento operacional crítico (Core Functionality) para evitar puntos ciegos en la auditoría de caja de la empresa. Para detener de forma absoluta la monitorización y transmisión de metadatos, el Titular asume la obligación técnica de revocar explícitamente los permisos de lectura desde la configuración nativa del sistema operativo de su dispositivo móvil, o mediante el comando ‘Desvincular Dispositivo’ desde su Panel de Control Web administrativo.

5.1. Naturaleza de los Datos y Transferencia de Responsabilidad

En la provisión de los módulos de Contabilidad y Egresos, Verifika actúa única y exclusivamente en calidad de Encargado del Tratamiento respecto de los datos de terceros (deudores, clientes finales y proveedores). El Comercio (Cliente) actúa como el Responsable legal, declarando bajo gravedad de juramento contar con la autorización previa, expresa e informada de dichos terceros para alojar su información en la Plataforma. El Cliente se obliga a mantener absolutamente indemne a Verifika frente a cualquier queja, sanción o investigación de la Superintendencia de Industria y Comercio (SIC) por infracciones al Habeas Data derivadas de las bases de datos cargadas por el Comercio.

5.2. Gestión de Comunicaciones a Terceros y Ley Anti-Spam

Respecto a las notificaciones, alertas de cobro o mensajes transaccionales/comerciales emitidos a través del módulo Contabilidad hacia los clientes finales del Comercio, Verifika actúa como mero proveedor de infraestructura tecnológica (Encargado). El Comercio asume la obligación indelegable y exclusiva de gestionar sus propias exclusiones (Opt-out), respetar los horarios hábiles de contacto y dar estricto cumplimiento a la Ley Anti-Spam y la Ley 2300 de 2023 (Ley Dejen de Fregar). Verifika no auditará el contenido ni la pertinencia de dichas comunicaciones.

En el marco de la validación, los avisos bancarios contienen, de forma inherente, información de terceros (los clientes finales del Comercio que realizaron el pago). Estos terceros no han suscrito un contrato directo con Verifika.

6.1. Legitimación por Interés Legítimo y Ejecución Contractual

Verifika trata los datos transaccionales del tercero pagador única y exclusivamente en calidad de Encargado del Tratamiento, operando bajo el mandato tecnológico estricto del Comercio (Responsable). Verifika no requiere autorización directa del tercero pagador, toda vez que el Comercio declara y garantiza bajo gravedad de juramento que recolectó dichos datos amparado en las excepciones del Artículo 10 de la Ley 1581 de 2012 (datos necesarios para el perfeccionamiento de la relación contractual/facturación entre el Comercio y el pagador). Verifika no destinará estos datos a perfilamiento, scoring crediticio, ni pauta publicitaria.

Conforme a la Ley 1581 de 2012, el Titular de los datos personales ostenta los siguientes derechos:

1. 1Conocer, actualizar y rectificar sus datos personales frente a Verifika o frente al Comercio Responsable.
2. 2Solicitar prueba de la autorización otorgada, salvo cuando expresamente se exceptúe como requisito para el Tratamiento.
3. 3Ser informado por Verifika, previa solicitud, respecto del uso que se le ha dado a sus datos.
4. 4Presentar ante la Superintendencia de Industria y Comercio (SIC) quejas por infracciones a lo dispuesto en la normativa vigente.
5. 5Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. (Ver restricción en la Sección 12 de esta política).
6. 6Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento.

1. 1Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
2. 2Conservar la información bajo condiciones de seguridad de alto nivel criptográfico para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
3. 3Exigir, en los casos en que Verifika actúe como Encargado, que el Responsable (Comercio) certifique bajo la gravedad de juramento que cuenta con las autorizaciones laborales y comerciales de sus empleados y clientes para el monitoreo de las transacciones.
4. 4Actualizar la información de forma oportuna y rectificar los datos cuando sean incorrectos.
5. 5Registrar y actualizar las bases de datos ante el Registro Nacional de Bases de Datos (RNBD) de la SIC, si a ello hubiere lugar conforme a los criterios de activos totales fijados por la normativa.

Para garantizar la viabilidad técnica, disponibilidad del 99.5% (SLA) y la extracción inteligente de metadatos, la arquitectura de Verifika requiere el uso de infraestructura en la nube (ej. Amazon Web Services - S3) y proveedores especializados en Procesamiento de Lenguaje Natural (ej. modelos de inteligencia artificial de OpenAI, Anthropic/Claude, Google Gemini).

8.1. Categorización de Sub-Encargados Tecnológicos

Para garantizar el SLA y la validación algorítmica, Verifika ejecuta transmisiones internacionales de datos mediante túneles TLS hacia las siguientes categorías de Sub-Encargados, amparados bajo los Términos Estándar de Procesamiento de Datos (Data Processing Addendums) inherentes a la contratación corporativa de dichos servicios:

1. 1Nodos de Almacenamiento en la Nube: Proveedores de infraestructura (ej. AWS) para el alojamiento cifrado (AES-256) de los comprobantes gráficos y bases de datos transaccionales.
2. 2Modelos Fundacionales de Inteligencia Artificial (LLMs/Visión Computacional): Proveedores de IA utilizados con fines exclusivos de: (i) Reconocimiento óptico de caracteres (OCR) sobre imágenes de comprobantes; (ii) Extracción semántica y estructuración de montos, fechas y referencias; y (iii) Transcripción Speech-to-Text para el Agente Conversacional.
3. 3Orquestadores de Flujo y Notificación: Plataformas de automatización de webhooks y pasarelas de enrutamiento Push (APNS/FCM).

El Cliente autoriza a Verifika a delegar el procesamiento de datos en sub-encargados tecnológicos (proveedores de infraestructura en la nube, pasarelas de pago y motores de Inteligencia Artificial). Verifika no publicará un anexo estático por seguridad de la arquitectura, pero garantiza contractualmente que todos los sub-encargados están sujetos a estándares de seguridad (ej. ISO 27001 o equivalentes). Cualquier cambio de proveedor no requerirá notificación expresa al Cliente. Verifika se reserva el derecho unilateral de rotar proveedores tecnológicos siempre que se mantengan los estándares criptográficos.

8.2. Salvaguardas y Restricciones

Verifika garantiza que los contratos de transmisión de datos (Data Processing Agreements - DPA) suscritos con los proveedores de IA establecen de manera irrefutable que:

• El contenido analizado no se utilizará para el entrenamiento de Modelos de Lenguaje Fundacionales (LLMs) de terceros. No obstante, en concordancia con los Términos y Condiciones, Verifika podrá utilizar la estructura visual, patrones algorítmicos y metadatos, de forma estrictamente anonimizada y disociada de los Titulares, con el único propósito de entrenar, calibrar y perfeccionar sus propios motores algorítmicos internos de extracción (OCR), excluyendo categóricamente de esta práctica cualquier dato obtenido a través de las APIs de Google, en estricto cumplimiento de su Política de Uso Limitado.
• Verifika se reserva el derecho perpetuo de utilizar metadatos estrictamente anonimizados (excluyendo de manera categórica y absoluta cualquier dato obtenido a través de las APIs de Google/Workspace, en estricto cumplimiento de su Política de Uso Limitado) con el único propósito de calibrar sus motores internos de extracción (OCR).
• La información no será sujeta a perfilamiento, venta, comercialización ni minería de datos cruzada para pauta publicitaria.
• Los datos transmitidos gozan de niveles de protección análogos o superiores a los exigidos por el Régimen de Protección de Datos Personales de Colombia.

8.3. Consentimiento Transaccional Just-In-Time (JIT)

La Aplicación Móvil implementa protocolos de consentimiento dinámico (Opt-in) incrustados en la interfaz de usuario previos a la habilitación de integraciones algorítmicas, reglas de lectura o uso del Agente Conversacional. La activación afirmativa de dichos flujos en la interfaz por parte del Titular constituye autorización expresa, previa e informada para la transmisión transitoria de los metadatos hacia Proveedores de Inteligencia Artificial. El Titular podrá revocar esta autorización en cualquier momento deshabilitando la integración, cesando el tratamiento futuro.

Verifika provee un software de verificación que asiste al Comercio, operando bajo un modelo de mitigación de errores bajo las siguientes cláusulas de exclusión de responsabilidad civil y comercial:

9.1. Exoneración por Errores de Infraestructura Bancaria

Verifika procesa las notificaciones que emite la entidad financiera. Verifika no es responsable por demoras, caídas masivas de los servidores bancarios, latencias en el sistema de pagos inmediatos (Bre-B) o errores de los operadores de telefonía móvil que impidan la llegada del SMS o correo.

9.2. Exoneración por Reenvío Manual Incorrecto

En el evento de que el Comercio opte por el enrutamiento manual y configure reglas de reenvío general en su buzón (enviando la totalidad de su correo corporativo y personal en lugar de filtrar exclusivamente los del banco), el Comercio asume la responsabilidad legal y material absoluta sobre dicha filtración. Verifika ejecutará rutinas de eliminación automatizada tras identificar el error, eximiéndose de cualquier responsabilidad por el tratamiento incidental derivado de la negligencia del Titular en su configuración.

9.3. Exclusión de Responsabilidad Fiduciaria

Verifika no garantiza, avala, asegura ni reversa fondos. Si el Comercio entrega bienes basándose en comprobantes alterados debido a una interrupción comprobada de los servicios de Verifika o una falla en la conectividad del dispositivo del Comercio, la responsabilidad pecuniaria de Verifika se limitará, en el escenario más gravoso, al valor total equivalente de las tarifas de suscripción pagadas por el Comercio durante los últimos noventa (90) días. Para aquellos Comercios o Titulares que operen bajo modalidades gratuitas (Freemium) o periodos de prueba, el límite indemnizatorio se regirá estrictamente por el tope monetario establecido en los Términos y Condiciones Generales de Uso (Liability Cap).

Verifika implementa un Sistema de Gestión de Seguridad de la Información (SGSI) alineado con estándares internacionales para proteger el activo más crítico: las credenciales y los datos transaccionales.

10.1. Cifrado en Reposo

Las credenciales de acceso (tokens de autorización OAuth) a los buzones de correo se almacenan cifradas en reposo utilizando el algoritmo simétrico AES-256-GCM. Dichas credenciales nunca son expuestas en registros de texto plano (logs) ni en respuestas de la API hacia el cliente (front-end).

10.2. Destrucción en Memoria

El cuerpo completo de un correo electrónico legítimo del banco leído a través de la API es procesado en memoria RAM para la extracción (parsing) de las variables. Inmediatamente finalizada la extracción, el cuerpo del mensaje original no se guarda en ninguna tabla de la base de datos.

10.3. Almacenamiento Temporal de Imágenes (Cloud)

Los archivos gráficos de comprobantes recibidos vía WhatsApp o la Aplicación Móvil son almacenados en repositorios privados en la nube (ej. Amazon S3) bajo cifrado en reposo (AES-256). Estas imágenes están estrictamente aisladas de la red pública. Para dar cumplimiento a las obligaciones de conservación de libros y papeles de comercio exigidas por la ley colombiana, las imágenes de los comprobantes validados exitosamente no serán eliminadas a corto plazo, sino que completarán el ciclo de retención legal de cinco (5) años. En el evento de que el usuario elimine su cuenta, dichos archivos perderán todo vínculo trazable con su identidad personal mediante protocolos de anonimización criptográfica.

10.4. Cifrado en Tránsito (APIs y LLMs)

Toda transmisión de metadatos desde los servidores de Verifika hacia proveedores de Modelos de Lenguaje Fundacionales (LLMs) para tareas de extracción visual (OCR), se ejecuta obligatoriamente a través de túneles seguros utilizando protocolos criptográficos TLS 1.2 o superior.

10.5. Protocolo de Vulneraciones

En caso de una brecha de seguridad confirmada en la infraestructura exclusiva de Verifika, se notificará al Cliente sin demoras indebidas. Verifika se exime de forma absoluta de responsabilidad o del deber de notificación cuando la brecha se origine por negligencia del Cliente, pérdida de dispositivos o vulneración de sus propias credenciales o llaves externas.

El Titular que desee ejercer sus derechos (conocer, actualizar, rectificar, suprimir información o revocar autorización) deberá seguir el siguiente procedimiento de Habeas Data:

• Canal Oficial: Las solicitudes deberán dirigirse exclusivamente al correo electrónico oficial: soporte@verifika.tech, indicando en el asunto “Solicitud Habeas Data”. Sin perjuicio de lo anterior, para el ejercicio específico del derecho de supresión de identidad (Account Deletion), el Titular deberá utilizar prioritariamente el canal de autoservicio automatizado integrado directamente en la configuración de la Aplicación Móvil (Sección 12.3).
• Término para Consultas: Serán atendidas en un máximo de diez (10) días hábiles. Cuando no fuere posible, se informará al Titular los motivos, señalando fecha de respuesta que no superará los cinco (5) días hábiles siguientes al vencimiento del primer término.
• Término para Reclamos: Serán atendidos en quince (15) días hábiles (prorrogables por 8 días hábiles más). Si el reclamo resulta incompleto, Verifika requerirá al Titular dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas. Transcurridos dos (2) meses desde el requerimiento sin que el solicitante presente la información, se entenderá que ha desistido del reclamo (Art. 15, Ley 1581).

12.1. Vigencia de la Política

La presente Política rige a partir de su fecha de publicación y permanecerá vigente mientras Verifika ejerza su objeto social corporativo.

12.2. Política de Retención y Destrucción de Datos (Conflicto de Supresión vs. Deber Legal)

Verifika advierte expresamente que el derecho de supresión (derecho al olvido) no es absoluto. Las bases de datos tendrán una vigencia condicionada a los siguientes plazos de retención inalterables:

• Correos de Reenvío Manual: El correo original completo que ingresa por reglas de reenvío será objeto de borrado automático definitivo a los treinta (30) días de su recepción.
• Bitácora de Eventos (Logs): Los metadatos de actividad del canal (hora de ingreso y remitente bancario) requeridos para trazabilidad de soporte técnico se retendrán por un máximo de ciento ochenta (180) días antes de su borrado automático diario.
• Soportes Contables (Metadatos e Imágenes de Comprobantes): Los datos extraídos del aviso bancario (monto, fecha, referencia, últimos 4 dígitos y pagador, y hasta 160 caracteres de extracto) junto con los archivos gráficos (fotografías de los comprobantes recibidos vía WhatsApp o Aplicación Móvil), constituyen el soporte probatorio e integral de la transacción del negocio cliente. Por mandato expreso del Código de Comercio de Colombia (Art. 60) y requerimientos fiscales de la DIAN, esta información combinada será retenida por un periodo inalterable de cinco (5) años.
• Procedimiento ante Eliminación de Cuenta: Si un Titular solicita el cierre de su cuenta o la supresión de sus datos, Verifika procederá a destruir la Información Personal Identificable (PII) y las credenciales (tokens) de forma inmediata. No obstante, mantendrá el repositorio de imágenes y la base de datos histórica transaccional en estado de estricta anonimización y seudonimización por el término legal restante de 5 años, funcionando exclusivamente como archivo muerto para responder ante eventuales requerimientos fiscales o judiciales.

12.3. Supresión de Identidad B2B (Account Deletion)

El Titular podrá ejecutar la eliminación definitiva de su cuenta directamente desde la configuración de la Aplicación Móvil o vía web, sin fricciones ni retenciones injustificadas. La confirmación desencadena un vaciado criptográfico inmediato de su Información Personal Identificable (PII), revocando las credenciales OAuth y desconectando los dispositivos asociados a la sesión. No obstante, la supresión técnica de la cuenta no opera como revocatoria automática de mandatos de cobro recurrente (Suscripciones). Para detener la facturación vía pasarelas externas (Wompi), el Cliente está obligado a agotar el Protocolo Estricto de Desvinculación Corporativa del Art. 5.4 de los Términos y Condiciones. Eliminar la cuenta sin agotar dicho preaviso de 5 días no exime del pago de ciclos vigentes ni genera reembolsos.

Al solicitar la eliminación de la cuenta, Verifika destruirá los tokens de acceso a los servicios de terceros (Google/Microsoft) y cancelará inmediatamente los mandatos de cobro recurrente vigentes. Es responsabilidad absoluta del Cliente revocar los accesos de la Aplicación directamente desde el panel de seguridad de su proveedor de correo. Verifika retendrá los registros de auditoría y facturación por cinco (5) años, y el Cliente asume toda responsabilidad por la pérdida de datos transaccionales no exportados.

12.4. Ejecución de Plazos Estrictos

Una vez eliminada la cuenta, Verifika aplicará los siguientes plazos inalterables:

• Soportes Contables (Imágenes y Metadatos): En estricto cumplimiento del Artículo 60 del Código de Comercio de Colombia, los archivos gráficos (imágenes de comprobantes alojadas en la nube) y los registros transaccionales en texto (ledger contable) constituyen el soporte fiscal de las operaciones. Por lo tanto, serán retenidos por un plazo de cinco (5) años. Tras la eliminación de la cuenta del Titular, estas imágenes y registros quedarán permanentemente seudonimizados y desvinculados de cualquier identidad personal, mantenidos únicamente como archivo muerto ante eventuales requerimientos de la DIAN.
• Soportes Tributarios (KYC de Referidores): Los documentos de identificación civil (Cédula, NIT) y certificaciones bancarias suministradas por los Referidores Independientes para el desembolso de comisiones, serán retenidos por el término legal inalterable de cinco (5) años. Estos obrarán como anexo fiscal obligatorio del Documento Soporte en cumplimiento del Estatuto Tributario, quedando estrictamente bloqueados para cualquier uso comercial o publicitario posterior a la eliminación de la cuenta.

La infraestructura tecnológica, el Agente Conversacional y la Aplicación Móvil de Verifika Tech S.A.S. están diseñados, desarrollados y licenciados de manera exclusiva para un entorno transaccional Business-to-Business (B2B). En virtud de lo anterior, la presente Política se rige por las siguientes restricciones absolutas:

13.1. Restricción de Titularidad (App Store Compliance)

La creación de la cuenta matriz y la suscripción de los servicios está estrictamente restringida a mayores de 18 años. Si se detecta que el Titular de la Razón Social es menor de edad, la cuenta matriz será clausurada y purgada. Sin embargo, si el Cliente Comercial mayor de edad delega legítimamente el acceso operativo del Agente de WhatsApp o Aplicación a dependientes o cajeros menores de edad, asume la responsabilidad laboral integral por dicho personal, rigiéndose estrictamente por la cláusula de indemnidad y traslado de riesgo estipulada en el Art. 1.5.1 de los Términos y Condiciones.

13.2. Inaplicabilidad del Régimen de Consumo

El Titular reconoce y acepta que actúa en calidad de comerciante, profesional o administrador de un negocio. En consecuencia, la relación derivada del uso de esta plataforma tiene un carácter netamente mercantil, excluyendo de plano la aplicación de la Ley 1480 de 2011 (Estatuto del Consumidor) o normativas análogas de protección al consumidor final (B2C), rigiéndose estrictamente por el Código de Comercio de Colombia y los Términos y Condiciones Generales de Uso de la Plataforma.