1. Identificación del responsable y datos de contacto
QPALLIANCE S.A.S., sociedad constituida de conformidad con las leyes colombianas, identificada con NIT 901.405.080-7, con domicilio en Bogotá D.C. (Av. El Dorado #68C-61, Oficinas 909 y 910, Torre Central), en adelante “La Compañía”, actúa como Responsable del Tratamiento de los datos personales que recolecte, almacene, use, circule, procese y, cuando corresponda, suprima a través de sus canales físicos y digitales, plataformas tecnológicas, formularios, contratos y demás mecanismos habilitados para el desarrollo de sus actividades, en los términos de la sección 2.
La Compañía adopta las medidas necesarias para garantizar el adecuado tratamiento de la información personal y el ejercicio de los derechos de sus Titulares, de conformidad con la normativa colombiana aplicable.
Canales de contacto: correo electrónico atencionalcliente_quanta@qpalliance.co; teléfono 3117773799; sitio web https://quantapro.com.co. El área de Atención al Cliente es la encargada de atender las peticiones, consultas y reclamos.
2. Alcance y roles de La Compañía
La Compañía presta el servicio de software como servicio (SaaS) del Ecosistema QUANTA y, según el tipo de dato, actúa en uno de estos dos roles:
- Como responsable, respecto de los datos personales que recolecta directamente para su propia actividad: prospectos, clientes y sus contactos, proveedores, aliados, contratistas, candidatos, trabajadores y visitantes de sus canales digitales. A estos datos se aplican las secciones 5, 7, 8, 12, 13, 14 y 15.
- Como Encargado, respecto de los datos personales que sus clientes (los “Clientes”) cargan, administran o tratan en QUANTA, por ejemplo, los de sus trabajadores, clientes y proveedores. En ese caso el Cliente es el responsable del Tratamiento y La Compañía los trata por cuenta de él, según la sección 6.
3. Marco legal aplicable
La presente Política se rige bajo los principios de legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad, en concordancia con:
- Constitución Política de Colombia.
- Ley Estatutaria 1581 de 2012: disposiciones generales para la protección de datos personales.
- Decreto 1074 de 2015, Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, en las disposiciones que reglamentan el régimen de protección de datos personales, incluidas aquellas que compilaron el Decreto 1377 de 2013, y sus modificaciones vigentes.
- Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio: transferencia internacional de datos personales.
- Circular Externa 002 de 2024 de la Superintendencia de Industria y Comercio: lineamientos sobre el tratamiento de datos personales en sistemas de inteligencia artificial.
- Circular Externa 100-000020 del 2 de julio de 2026 de la Superintendencia de Sociedades: Expide la Circular Básica Jurídica, en las disposiciones que resulten aplicables a la Compañía, incluidos los regímenes de prevención y gestión de riesgos de lavado de activos, financiación del terrorismo y financiación de la proliferación de armas de destrucción masiva, cuando corresponda.
- Ley 1474 de 2011 y Ley 2195 de 2022: transparencia, prevención y lucha contra la corrupción.
Cuando La Compañía se encuentre obligada a implementar un sistema de administración o gestión de riesgos específico, aplicará las disposiciones regulatorias que correspondan a su situación jurídica y sector económico.
4. Principios aplicables
El tratamiento de datos personales realizado por La Compañía se desarrollará bajo los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad, así como los demás principios previstos en la legislación colombiana.
La Compañía procurará que los datos tratados sean pertinentes, adecuados y limitados a lo necesario para las finalidades informadas al Titular.
5. Finalidades del tratamiento (La Compañía como responsable)
La Compañía tratará los datos personales para las finalidades descritas en esta sección, de conformidad con las bases jurídicas aplicables a cada operación. Cuando la autorización del Titular sea legalmente exigible, esta será solicitada de manera previa e informada, mediante mecanismos que permitan acreditar su otorgamiento y conservar prueba de este. Al momento de solicitarla, se informarán las finalidades específicas del tratamiento y los derechos que le asisten al Titular.
5.1 Gestión operativa y vinculación
- Gestionar solicitudes, cotizaciones, propuestas, contratos y relaciones comerciales.
- Realizar procesos de vinculación, actualización y conocimiento de clientes, proveedores, aliados, contratistas, trabajadores, candidatos y demás terceros.
- Ejecutar, administrar, modificar y terminar las relaciones contractuales.
- Gestionar facturación, pagos, cartera, obligaciones tributarias y demás procesos administrativos.
- Mantener y actualizar bases de datos y registros internos.
- Atender solicitudes, peticiones, quejas, reclamos y requerimientos.
5.2 Prestación de servicios y operación
- Prestar los servicios contratados y realizar las actividades necesarias para su adecuada ejecución.
- Realizar seguimiento, soporte, control de calidad, auditoría y trazabilidad de los servicios.
- Gestionar comunicaciones relacionadas con la operación, incluyendo correo electrónico, llamadas, SMS, aplicaciones de mensajería y demás canales autorizados.
- Utilizar herramientas tecnológicas, sistemas de información, analítica de datos, automatización e inteligencia artificial cuando resulte necesario para la prestación, administración o mejora de los servicios, respetando la normativa aplicable. Esta finalidad no comprende el uso de la información que los Clientes cargan en QUANTA, que se rige por la sección 6.3.
5.3 Gestión de riesgos y cumplimiento
Cuando resulte aplicable, La Compañía podrá tratar información para:
- Realizar procesos de conocimiento y debida diligencia de clientes, proveedores, contratistas, aliados y demás terceros.
- Consultar y verificar información en fuentes públicas y privadas legítimamente disponibles.
- Realizar validaciones en listas restrictivas, vinculantes, sancionatorias o de control nacionales e internacionales.
- Identificar, prevenir, administrar y mitigar riesgos legales, contractuales, financieros, reputacionales, de fraude, corrupción, lavado de activos, financiación del terrorismo y financiación de la proliferación de armas de destrucción masiva.
- Cumplir obligaciones legales y regulatorias, incluyendo aquellas relacionadas con sistemas de administración o gestión de riesgos que resulten aplicables a La Compañía.
- Atender requerimientos de autoridades administrativas, judiciales, fiscales o de supervisión.
- Atender los deberes de reporte de operaciones sospechosas y demás obligaciones de información ante la Unidad de Información y Análisis Financiero (UIAF) o las autoridades competentes, únicamente cuando tales deberes resulten legalmente exigibles a QPAlliance S.A.S. en atención a su actividad, naturaleza jurídica, condición de sujeto obligado y régimen regulatorio aplicable.
5.4 Seguridad y prevención del fraude
Los datos podrán ser utilizados para verificar identidad, prevenir suplantaciones, detectar comportamientos fraudulentos, proteger los sistemas de información, prevenir incidentes de seguridad y salvaguardar los derechos de La Compañía, sus clientes y terceros.
5.5 Comunicaciones comerciales
Cuando exista autorización o una base legal que lo permita, La Compañía podrá enviar información relacionada con sus servicios, novedades, eventos, contenidos, productos, campañas y actividades comerciales.
El Titular podrá solicitar en cualquier momento el cese de este tipo de comunicaciones, de acuerdo con los mecanismos habilitados por La Compañía.
6. Tratamiento de datos de los Clientes (La Compañía como Encargado)
6.1 Roles
Respecto de los datos personales que el Cliente cargue, administre o trate en QUANTA, el Cliente actúa como responsable del Tratamiento y La Compañía como Encargado, conforme a la Ley 1581 de 2012 y el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015). La autorización de los Titulares y las bases legales para tratar esos datos corresponden al Cliente. El contrato de servicios suscrito con el Cliente establece el alcance del tratamiento y las obligaciones de La Compañía.
6.2 Instrucciones y finalidad
La Compañía solo trata estos datos conforme a las instrucciones documentadas del Cliente y para prestar el servicio SaaS contratado, incluidos el soporte y el mantenimiento de la plataforma. Los datos no se venden ni se comparten con terceros fuera del marco de la prestación del servicio.
6.3 Propiedad de la información y prohibición de otros usos
La información que el Cliente carga, genera o administra en QUANTA es de su propiedad exclusiva. La Compañía no la usa para entrenar modelos, para analítica propia, benchmarking ni mejora de la plataforma sin autorización expresa y escrita del Cliente.
6.4 Confidencialidad
El acceso a la información del Cliente se limita al personal, contratistas o subcontratistas de La Compañía que requieran conocerla para ejecutar el contrato, y quienes están sujetos a obligaciones de confidencialidad equivalentes. Esta obligación se mantiene durante la vigencia del contrato y, como mínimo, cinco (5) años después de su terminación.
Sin perjuicio del plazo anterior, adicionalmente los deberes de confidencialidad, seguridad y protección de los datos personales se mantendrán durante el tiempo en que subsistan las obligaciones legales o contractuales aplicables y mientras la información conserve su carácter confidencial o deba ser protegida conforme a la normativa vigente.
6.5 Seguridad
La Compañía implementa medidas técnicas, humanas y administrativas idóneas para proteger la confidencialidad, integridad y disponibilidad de la información, y medidas razonables de seguridad y continuidad del servicio en la nube. Las medidas específicas se describen en la sección 11.
6.6 Subencargados, transmisiones, incidentes y requerimientos
La Compañía informa al Cliente sobre la existencia de subencargados, las transmisiones nacionales o internacionales de información, los incidentes de seguridad y las solicitudes de Titulares o de autoridades relacionadas con sus datos. Cuando un incidente de seguridad comprometa información del Cliente, La Compañía se lo notifica en un máximo de dos (2) horas, conforme al Acuerdo de Nivel de Servicio (ANS).
La notificación incluirá, en la medida en que la información esté disponible al momento de su emisión, una descripción del incidente, las categorías de datos y los sistemas potencialmente afectados, las medidas de contención adoptadas y las acciones previstas para mitigar sus efectos. Cuando la información no esté disponible en su totalidad, la Compañía podrá remitir actualizaciones posteriores a medida que avance la investigación del incidente.
6.7 Atención de Titulares
Si un Titular se dirige a La Compañía para ejercer derechos sobre datos que están en QUANTA por cuenta de un Cliente, La Compañía traslada la solicitud al Cliente dentro de los dos (2) días hábiles siguientes e informa al Titular. Además, colabora con el Cliente en la atención de consultas, reclamos, auditorías y procesos de devolución, eliminación o anonimización de datos.
6.8 Copias de la información durante la vigencia
Durante la vigencia del contrato, el Cliente puede obtener copia completa o parcial de su información, mediante las funciones de exportación de QUANTA o solicitándola por los canales de soporte, en formatos abiertos, estructurados y reutilizables (CSV, XLSX, PDF y ZIP para archivos adjuntos, o equivalentes), hasta una (1) vez por mes sin costo adicional.
6.9 Terminación, exportación y supresión
- Exportación. El Cliente puede solicitar la exportación total o parcial de sus datos dentro del Período de Transición. La Compañía acusa recibo dentro de los tres (3) días hábiles siguientes y entrega la exportación estándar dentro de quince (15) días hábiles desde la confirmación de recepción. Si por volumen o complejidad técnica verificable se requiere más tiempo, lo informa por escrito dentro de los cinco (5) días hábiles siguientes a la solicitud, con un cronograma, y el plazo no puede exceder treinta (30) días hábiles, salvo acuerdo escrito.
- Acceso de consulta. Durante noventa (90) días calendario desde la terminación, o hasta el vencimiento del Período de Validación si este fuere posterior, el Cliente conserva acceso de solo consulta y exportación, sin costo, para los usuarios que designe.
- Validación. Entregada la exportación, el Cliente tiene treinta (30) días calendario para verificar que sea completa, íntegra, legible y utilizable. Si formula observaciones, La Compañía corrige dentro de diez (10) días hábiles y el período se reinicia respecto de la información corregida. Mientras no termine la validación, La Compañía conserva la información íntegra y no la elimina ni la anonimiza.
- Supresión. Concluidos la validación y el Período de Transición, o vencido este sin solicitud de exportación, La Compañía elimina o anonimiza de forma segura los datos alojados en sus entornos activos dentro de un máximo de veinte (20) días hábiles, salvo obligación legal expresa de conservación, requerimiento de autoridad competente o necesidad estrictamente probatoria frente a una controversia contractual vigente. Las copias de seguridad, respaldos técnicos y registros del sistema se purgan según los ciclos ordinarios de La Compañía, que no exceden noventa (90) días calendario, salvo esas mismas excepciones.
- Certificación. Terminada la eliminación o anonimización, La Compañía entrega al Cliente una certificación escrita con la fecha de ejecución, el alcance general, las excepciones legales o técnicas aplicables y las medidas adoptadas para impedir el uso posterior de los datos.
7. Datos sensibles
La Compañía podrá realizar tratamiento de datos sensibles únicamente cuando exista una base legal para ello y resulte necesario para una finalidad legítima y determinada.
El tratamiento podrá comprender, según el caso, información relacionada con datos biométricos, información de salud u otros datos que tengan la calidad de sensibles conforme a la legislación colombiana.
Cuando la autorización del Titular sea necesaria, esta será solicitada de manera expresa y se informará la finalidad específica del tratamiento y el carácter facultativo de la autorización, cuando corresponda.
La Compañía implementará medidas de seguridad reforzadas para proteger esta información y limitará su acceso al personal que requiera conocerla para el cumplimiento de sus funciones.
QUANTA no requiere datos sensibles para su funcionamiento. Si un Cliente decide cargarlos (por ejemplo, datos de salud o biométricos de sus trabajadores), le corresponde como Responsable contar con la autorización y la base legal, y La Compañía los trata únicamente como Encargado, según la sección 6.
Nota: La Compañía procurará que los Clientes no carguen datos sensibles que no sean necesarios para la prestación del servicio contratado. Cuando su tratamiento resulte necesario y legítimo, se aplicarán controles de acceso, medidas de seguridad y restricciones de uso acordes con la naturaleza de la información y los riesgos asociados. El Cliente deberá impartir las instrucciones correspondientes y garantizar que cuenta con la base jurídica y las autorizaciones que resulten exigibles. La Compañía, en su calidad de Encargado, tratará dicha información exclusivamente conforme a las instrucciones documentadas del Cliente y al contrato aplicable.
8. Declaración juramentada de veracidad
Con el conocimiento de la presente Política, el titular hace saber:
“Declaro que la información y los documentos que suministro a la Compañía son, según mi leal saber y entender, veraces, completos y actualizados. Me comprometo a informar las modificaciones relevantes cuando corresponda y a no suministrar información o documentos que conozca como falsos, alterados o correspondientes a terceros sin autorización o fundamento legítimo para ello.
La Compañía podrá verificar la información suministrada y, cuando encuentre inconsistencias relevantes, solicitar aclaraciones o soportes adicionales y adoptar las medidas contractuales o legales que resulten procedentes, respetando los derechos del Titular y la normativa aplicable.”
9. Encargados, subencargados y terceros
Para el desarrollo de sus actividades, La Compañía podrá contratar terceros que actúen como Encargados o subencargados del Tratamiento, incluyendo proveedores de tecnología, almacenamiento, alojamiento de información, comunicaciones, analítica, seguridad, servicios jurídicos, contables, administrativos y demás servicios relacionados con su operación.
En estos casos, La Compañía establecerá las obligaciones de confidencialidad, seguridad y tratamiento de información que correspondan, sin perjuicio de las responsabilidades previstas en la legislación aplicable.
Cuando sea necesario para el cumplimiento de las finalidades autorizadas o de obligaciones legales, los datos podrán ser compartidos con autoridades, clientes, proveedores, aliados y terceros legitimados para recibirlos. Los datos que los Clientes cargan en QUANTA no se comparten con terceros fuera del marco de la prestación del servicio.
Subencargado de alojamiento: Amazon Web Services (AWS), donde se aloja la plataforma QUANTA, en la región N-Virginia (Estados Unidos).
La contratación de terceros que tengan acceso a datos personales estará sujeta a la verificación de las condiciones de seguridad, confidencialidad y tratamiento aplicables, así como a la formalización de los acuerdos correspondientes cuando resulte exigible. La Compañía procurará que los terceros actúen únicamente dentro del alcance autorizado y adopten medidas adecuadas para proteger la información a la que accedan.
10. Transferencia y transmisión internacional
Cuando resulte necesario para la prestación de los servicios o la operación de La Compañía, los datos personales podrán ser transmitidos o transferidos a terceros ubicados dentro o fuera de Colombia, siempre que se cumplan los requisitos establecidos en la legislación colombiana, incluido el artículo 26 de la Ley 1581 de 2012, y se adopten las medidas necesarias para garantizar la protección de la información.
La plataforma QUANTA se aloja en los centros de datos de Amazon Web Services, región N-Virginia (us-east-1), en Estados Unidos. Por eso, los datos que los Clientes cargan en QUANTA se transmiten a ese país. La Compañía informa a los Clientes sobre las transmisiones nacionales o internacionales, según la sección 6.6.
La Compañía verificará, según corresponda a cada operación, si el flujo de información constituye una transmisión o una transferencia internacional y garantizará el cumplimiento de los requisitos legales aplicables. Cuando intervengan encargados o subencargados ubicados fuera de Colombia, se documentarán las condiciones de tratamiento y las medidas de protección pertinentes.
11. Seguridad y confidencialidad
La Compañía implementará medidas técnicas, administrativas, organizacionales y jurídicas razonables para proteger los datos personales frente a pérdida, adulteración, acceso, uso, consulta, divulgación o tratamiento no autorizado.
El acceso a la información estará limitado, según corresponda, a las personas que requieran conocerla en ejercicio de sus funciones o en cumplimiento de una obligación legal o contractual.
En la plataforma QUANTA, La Compañía aplica las siguientes medidas:
- Control de acceso. El acceso se controla con roles y permisos por funcionalidad: un usuario sin el permiso correspondiente no ve la opción en pantalla. Además, cada tipo de licencia (Operativo, Estándar y Premium) limita el acceso a los módulos según el rol del usuario.
- Alojamiento y disponibilidad. La plataforma se aloja en Amazon Web Services, con la base de datos en configuración multi zona de disponibilidad.
- Respaldos. Están a cargo de La Compañía, no del Cliente, con frecuencia diaria y retención de sesenta (60) días.
- Recuperación ante falla mayor. La operación se restaura en un máximo de una (1) hora. La pérdida máxima de datos es la información registrada entre el último respaldo y la falla, hasta veinticuatro (24) horas.
- Incidentes de seguridad. Se notifican al Cliente en un máximo de dos (2) horas, según la sección 6.6.
12. Declaración sobre origen lícito de recursos
Cuando resulte aplicable de acuerdo con la naturaleza de la relación o los procedimientos de debida diligencia de La Compañía, el Titular declara que los recursos, bienes y activos vinculados con la relación comercial o contractual provienen de actividades lícitas y que no serán destinados a actividades contrarias a la legislación colombiana.
La Compañía podrá realizar las verificaciones correspondientes en fuentes públicas o privadas legalmente disponibles y adoptar las medidas previstas en sus procedimientos internos y en la normativa aplicable.
13. Derechos de los Titulares
De conformidad con la Ley 1581 de 2012, los Titulares podrán:
- Conocer, actualizar y rectificar sus datos personales.
- Solicitar prueba de la autorización otorgada, cuando esta sea exigible.
- Ser informados sobre el uso dado a sus datos personales.
- Presentar consultas y reclamos relacionados con el tratamiento de sus datos.
- Solicitar la supresión de sus datos cuando corresponda.
- Revocar la autorización otorgada, cuando proceda.
- Presentar quejas ante la Superintendencia de Industria y Comercio.
- Ejercer los demás derechos reconocidos por la legislación aplicable.
Estos derechos podrán estar sujetos a las excepciones y limitaciones establecidas legalmente, particularmente cuando exista un deber legal o contractual de conservar determinada información.
14. Procedimiento para consultas y reclamos
El Titular podrá ejercer sus derechos mediante solicitud dirigida a La Compañía a través del correo electrónico atencionalcliente_quanta@qpalliance.co. La solicitud deberá contener, como mínimo, la identificación del Titular, sus datos de contacto, una descripción clara de la petición y, en el caso de un reclamo, los hechos y los documentos que quiera hacer valer.
- Consultas. Se responden dentro de diez (10) días hábiles contados desde la fecha de recibo. Si no es posible, se informan al interesado los motivos de la demora y la nueva fecha de respuesta, que no puede superar cinco (5) días hábiles adicionales (artículo 14 de la Ley 1581 de 2012).
- Reclamos. Se resuelven dentro de quince (15) días hábiles contados desde el día siguiente a su recepción. Si no es posible, se informan los motivos de la demora y la fecha de respuesta, que no puede superar ocho (8) días hábiles adicionales. Si el reclamo está incompleto, se requiere al interesado dentro de los cinco (5) días siguientes a su recepción para que lo subsane; si pasan dos (2) meses sin que lo haga, se entiende que desistió. Si La Compañía no es competente, lo traslada a quien corresponda en un máximo de dos (2) días hábiles e informa al interesado (artículo 15 de la Ley 1581 de 2012).
Cuando la solicitud se refiera a datos tratados por La Compañía como Encargado, se aplica la sección 6.7.
15. Vigencia y conservación de la información
Los datos personales serán conservados durante el tiempo necesario para cumplir las finalidades para las cuales fueron recolectados, atender obligaciones legales o contractuales, gestionar posibles responsabilidades y mantener los registros que resulten exigibles.
Una vez cumplidas dichas finalidades y vencidos los términos de conservación aplicables, La Compañía procederá con la supresión, anonimización o disposición de la información, de acuerdo con sus procedimientos internos y la normativa vigente. Para los datos de los Clientes en QUANTA se aplican los plazos de la sección 6.9.
Período de vigencia de las bases de datos: respecto de los datos que La Compañía trata como responsable, el tiempo que dure la relación con el Titular y el adicional que exijan la ley, las obligaciones contractuales o la defensa de derechos. Respecto de los datos de los Clientes en QUANTA, la vigencia del contrato de servicios, el Período de Transición y los plazos de supresión de la sección 6.9.
16. Actualización de la Política
La Compañía podrá modificar o actualizar esta Política cuando resulte necesario por cambios normativos, regulatorios, tecnológicos, operativos o en sus procesos internos. Cuando las modificaciones impliquen cambios sustanciales en las finalidades del tratamiento o en las condiciones bajo las cuales se recolectaron los datos, la Compañía informará oportunamente a los Titulares y obtendrá una nueva autorización cuando sea legalmente exigible. La versión vigente de la Política indicará su fecha de actualización y estará disponible para consulta a través de los canales oficiales de la Compañía.
La versión vigente estará disponible a través de los canales oficiales de La Compañía.