POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES

ArreglenEsto — arreglenesto.org / arreglenesto.com Versión: 1.2 Fecha de entrada en vigencia: 17 de abril de 2026 Última actualización: 18 de abril de 2026

1. Preámbulo

La presente Política de Tratamiento de Datos Personales (en adelante, "la Política") regula el tratamiento de datos personales realizado por el Responsable a través de la plataforma ArreglenEsto, en ejercicio del derecho fundamental al habeas data consagrado en el artículo 15 de la Constitución Política de Colombia, desarrollado por la Ley Estatutaria 1581 de 2012 y reglamentado por el Decreto 1074 de 2015 (Decreto Único Reglamentario del Sector Comercio, Industria y Turismo), que compiló el Decreto 1377 de 2013.

ArreglenEsto es una plataforma ciudadana que permite a los habitantes de Cúcuta y, progresivamente, de otros municipios de Colombia, generar y tramitar derechos de petición formales en ejercicio del artículo 23 de la Constitución Política y de la Ley 1755 de 2015, respecto de problemas del espacio público que requieran intervención de la administración pública.

El tratamiento de datos personales que realiza la plataforma es condición necesaria para el cumplimiento de esa finalidad. El Responsable asume el tratamiento de los datos con el compromiso de respetar los principios de legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad establecidos en el artículo 4 de la Ley 1581 de 2012.

2. Identificación del Responsable

Conforme al artículo 2.2.2.26.1.2 del Decreto 1074 de 2015, modificado por el Decreto 090 de 2018, la obligación de registro ante el Registro Nacional de Bases de Datos (RNBD) de la Superintendencia de Industria y Comercio recae sobre personas jurídicas y entidades de naturaleza pública con determinados umbrales de activos, y no sobre personas naturales. El Responsable cumple con la totalidad de las demás obligaciones previstas en la Ley 1581 de 2012 y su reglamentación.

Los datos de identificación de la persona natural que asume el rol de Responsable del Tratamiento conforme a la Ley 1581 de 2012 constan en el cierre del presente documento y pueden ser solicitados por el Titular o por la Superintendencia de Industria y Comercio en cualquier momento a través del correo privacidad@arreglenesto.org.

3. Definiciones

Para efectos de la presente Política, se adoptan las definiciones del artículo 3 de la Ley 1581 de 2012 y del artículo 3 del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015), entre ellas: Titular, Autorización, Dato personal, Dato sensible, Encargado del Tratamiento, Responsable del Tratamiento, Tratamiento, Transferencia y Transmisión.

Adicionalmente, para efectos operativos específicos de ArreglenEsto:

• Usuario / Titular: persona natural mayor de edad, identificada con cédula de ciudadanía colombiana, que se registra en la plataforma y genera reportes.
• Reporte: registro creado por el Usuario que contiene fotografía, geolocalización, categoría y descripción de un problema del espacio público.
• Radicado ARE: identificador único interno del reporte en la plataforma.
• Tercero incidental: persona que, sin ser Usuario ni Titular registrado, aparece incidentalmente en una fotografía adjuntada por un Usuario a un reporte.

4. Ámbito de aplicación

Esta Política aplica a todo tratamiento de datos personales realizado por el Responsable en el marco de la operación de la plataforma ArreglenEsto, incluyendo:

• Datos recolectados a través de la aplicación móvil o el sitio web de ArreglenEsto.
• Datos procesados por los Encargados del Tratamiento contratados por el Responsable.
• Datos comunicados a entidades destinatarias en el marco del trámite de derechos de petición.
• Datos difundidos públicamente en forma anonimizada o agregada a través del panel de rendición de cuentas institucional en veeduriaCiudadana.org.

5. Datos objeto de tratamiento

5.1. Datos de identificación del Titular

• Número de cédula de ciudadanía.
• Nombre completo.
• Número de celular o dirección de correo electrónico (al menos uno de los dos).

5.2. Datos de autenticación

• Códigos de verificación de un solo uso (OTP) enviados por SMS o correo.
• Registros de acceso y autenticación (logs).

5.3. Datos asociados al reporte

• Fotografía(s) del problema reportado (entre una y cinco imágenes).
• Metadatos de las fotografías, incluyendo timestamp y, cuando disponibles, datos técnicos del dispositivo.
• Coordenadas GPS del punto del reporte.
• Dirección aproximada (cuando GPS no disponible).
• Descripción textual del problema.
• Categoría y subcategoría seleccionadas.
• Fecha y hora del reporte.

5.4. Datos derivados del trámite

• Radicados institucionales asignados por las entidades destinatarias, cuando el Titular los registre.
• Estado del reporte a lo largo de su ciclo de vida.
• Confirmaciones de resolución generadas por el propio Titular u otros Usuarios.

5.5. Datos sensibles

La plataforma no recolecta voluntariamente datos sensibles en los términos del artículo 5 de la Ley 1581 de 2012. Sin embargo, los datos de geolocalización reciben tratamiento reforzado conforme al numeral 8.1 de la presente Política, y las fotografías pueden contener imágenes de terceros incidentales, situación abordada específicamente en el numeral 8.2.

5.6. Datos de menores de edad

La plataforma está diseñada exclusivamente para personas mayores de edad identificadas con cédula de ciudadanía. El Responsable presume que el Titular efectivo de toda cuenta es el titular legítimo de la cédula registrada y no realiza tratamiento consciente de datos de menores de edad. Si el Responsable detecta o es notificado del registro con datos de un menor, procederá a la supresión inmediata de la cuenta y de los datos asociados.

6. Finalidades del tratamiento

El Responsable trata los datos personales del Titular exclusivamente para las siguientes finalidades:

6.1. Crear y mantener la cuenta de Usuario en la plataforma, con fines de autenticación, identificación unívoca y acceso desde múltiples dispositivos mediante códigos OTP.

6.2. Generar el instrumento jurídico del derecho de petición en los términos del artículo 23 de la Constitución Política y de la Ley 1755 de 2015, incorporando los datos de identificación del Titular exigidos por la norma para la validez formal del instrumento.

6.3. Tramitar el envío del derecho de petición a las entidades destinatarias principales y a las entidades de copia que corresponda según la categoría del reporte, utilizando los canales de comunicación institucional disponibles.

6.4. Mantener la trazabilidad de los radicados internos (ARE) y de los radicados institucionales vinculados al caso a lo largo de su ciclo de vida.

6.5. Permitir la verificación ciudadana del estado de resolución de los reportes, incluyendo la captación de confirmaciones por parte del Titular original y de otros Usuarios.

6.6. Alimentar, de forma automática y con datos anonimizados o agregados, el panel público de rendición de cuentas institucional alojado en veeduriaCiudadana.org, con el fin de ejercer veeduría ciudadana sobre el desempeño de las entidades destinatarias conforme a los principios de la Ley 1712 de 2014 de transparencia y acceso a la información pública.

6.7. Mostrar al Titular, dentro de su propia cuenta, el estado y los resultados de los reportes que él mismo ha generado, así como métricas agregadas y anonimizadas del impacto colectivo de la plataforma (por ejemplo: "en este período, X problemas reportados por la ciudadanía fueron resueltos"), con fines de información, transparencia funcional y fortalecimiento del sentido de pertenencia a la cultura de veeduría ciudadana.

Exclusión expresa: El Responsable no realiza perfilamiento individualizado con fines de ranking público, reconocimiento competitivo entre Usuarios o cualquier otro tratamiento que exponga públicamente la identidad y la actividad individual del Titular. Si en el futuro el Responsable decide implementar funcionalidades que impliquen exposición pública individualizada, requerirá autorización expresa, específica e informada del Titular, separada y adicional a la autorización general de esta Política.

7. Encargados del Tratamiento y transferencias

El Responsable utiliza servicios de terceros que actúan como Encargados del Tratamiento conforme al artículo 25 del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015). Cada Encargado trata los datos exclusivamente para la finalidad contratada y bajo las instrucciones del Responsable. Los Encargados vigentes a la fecha son:

* Los países de la Unión Europea son considerados por la Superintendencia de Industria y Comercio como países con nivel adecuado de protección de datos en los términos del artículo 26 de la Ley 1581 de 2012.

Transferencias internacionales: Las transferencias a Encargados con infraestructura en Estados Unidos se realizan conforme al artículo 26 de la Ley 1581 de 2012, bajo garantías contractuales equivalentes a los estándares colombianos de protección de datos, exigidas a cada Encargado a través de los términos de servicio y cláusulas de procesamiento de datos (Data Processing Agreement — DPA) correspondientes. El Titular autoriza expresamente estas transferencias al aceptar la presente Política.

El Responsable mantiene un registro interno actualizado de Encargados, disponible para consulta por parte del Titular mediante solicitud a privacidad@arreglenesto.org.

8. Tratamiento de datos con protección reforzada

8.1. Geolocalización

La geolocalización del Titular se recolecta únicamente en el momento exacto del reporte y se asocia al reporte, no al Titular. La plataforma no realiza seguimiento continuo de ubicación del Titular ni recolecta datos de geolocalización fuera de la acción explícita de generar un reporte.

Las coordenadas exactas del reporte (precisión GPS máxima del dispositivo) se usan internamente para: (i) enrutamiento jurídico a la entidad territorial competente, (ii) verificación de proximidad para detección de reportes vinculados, y (iii) trazabilidad del caso. Las coordenadas que se publican en el panel público de veeduriaCiudadana.org se reducen a precisión aproximada (nivel de cuadra o sector) de modo que nunca revelen la ubicación exacta del reportante en el momento del reporte.

8.2. Fotografías y terceros incidentales

Las fotografías adjuntadas por el Titular pueden contener incidentalmente imágenes de terceros (transeúntes, placas de vehículos, fachadas con datos identificables) que no son Titulares registrados ni han otorgado autorización al Responsable.

Obligaciones del Titular (Fase A — vigente desde la entrada en vigencia de esta Política): En el momento de tomar la fotografía, la plataforma advertirá expresamente al Titular que debe evitar capturar rostros de personas, placas de vehículos o cualquier otro elemento que permita identificar a terceros, limitando el encuadre al problema reportado. El Titular se compromete a cumplir esta advertencia y asume la responsabilidad primaria por las imágenes que incorpore al sistema.

Compromiso del Responsable (Fase B — de implementación progresiva): El Responsable se compromete a implementar, en una versión futura de la plataforma, procesamiento automático de las fotografías para difuminar rostros y placas antes de su almacenamiento definitivo y antes de su eventual publicación en el panel público. Hasta tanto esa funcionalidad esté disponible, el Responsable realizará los mejores esfuerzos razonables para minimizar la exposición pública de imágenes de terceros incidentales.

Derecho del tercero incidental: Cualquier persona que considere que su imagen aparece identificable en una fotografía de la plataforma podrá solicitar, por los canales de atención al Titular descritos en el numeral 11 de esta Política, la difuminación o eliminación de la imagen correspondiente. El Responsable atenderá estas solicitudes conforme al procedimiento establecido para el ejercicio de derechos.

8.3. Verificación automatizada de integridad y veracidad de los reportes

Con el fin de proteger la integridad del sistema de veeduría ciudadana frente al fraude, la duplicación y el uso indebido, el Responsable aplica o podrá aplicar, de forma progresiva, procesos automatizados de verificación sobre los reportes y su contenido. Dichos procesos incluyen, sin limitarse a:

8.3.1. Análisis de metadatos de las fotografías: lectura de los metadatos EXIF (marca temporal, datos técnicos del dispositivo y, cuando estén disponibles, coordenadas embebidas en la imagen) y comparación con los datos del reporte para detectar incoherencias tales como fotografías de fecha muy anterior a la del reporte o discordancia entre GPS capturado por el navegador y GPS embebido en la imagen.

8.3.2. Análisis perceptual de imágenes (perceptual hashing): cálculo de huellas matemáticas (hashes) de cada fotografía para detectar reutilización de imágenes ya cargadas por otros Titulares o por el mismo Titular en reportes distintos.

8.3.3. Detección de patrones anómalos de uso: monitoreo de frecuencia de reportes por Titular, consistencia de metadatos de dispositivo y otras señales técnicas que permitan identificar comportamientos atípicos.

8.3.4. Análisis semántico por modelos de inteligencia artificial: cuando el Responsable lo considere necesario y exclusivamente sobre fotografías y textos ya aportados voluntariamente al reporte, estos podrán ser enviados a modelos de inteligencia artificial operados por proveedores externos para evaluar si el contenido es coherente con la categoría del reporte. En ningún caso se enviará a dichos modelos el nombre, la cédula, el correo electrónico o cualquier otro dato de identificación del Titular.

8.3.5. Incorporación de nuevos Encargados: cualquier proveedor externo que preste los servicios descritos en el numeral 8.3.4 será incorporado al listado de Encargados del numeral 7 antes de iniciar su uso productivo. El Responsable informará de la incorporación mediante los canales habituales (publicación de nueva versión de esta Política y aviso en la aplicación).

8.3.6. Uso de los resultados: los resultados de los análisis automatizados alimentan un puntaje interno de confianza. Ningún reporte es rechazado ni archivado por la sola decisión automatizada. Los reportes con puntaje bajo son marcados para revisión humana por el Responsable o, cuando exista, por el panel de administración; sólo tras esa revisión se puede archivar un reporte como falso. El Titular cuyo reporte haya sido marcado tiene derecho a solicitar la revisión humana y a recibir explicación del criterio aplicado, conforme al numeral 11.

8.3.7. No se generan perfiles individuales: el Responsable no utiliza los resultados de estos análisis para construir perfiles del Titular ni para tomar decisiones con efectos jurídicos sobre él distintas al trámite del reporte específico.

8.3.8. Autorización: el Titular autoriza expresamente la aplicación de los procesos descritos en este numeral al aceptar la presente Política. Esta autorización cubre la activación progresiva de nuevos proveedores que cumplan las condiciones del numeral 8.3.5, sin necesidad de solicitar consentimiento adicional específico por cada proveedor.

9. Finalidad de interés público — Difusión en veeduriaCiudadana.org

ArreglenEsto alimenta de forma automática el panel público de rendición de cuentas institucional alojado en veeduriaCiudadana.org. Los datos difundidos en dicho panel son exclusivamente:

• Radicado ARE del reporte (identificador no personal).
• Categoría y subcategoría.
• Fecha del reporte.
• Coordenadas aproximadas (precisión reducida).
• Fotografías del reporte, procesadas conforme al numeral 8.2.
• Estado del caso y tiempos de respuesta.
• Radicados institucionales vinculados y entidades emisoras.

En ningún caso se difundirá en el panel público el número de cédula, nombre completo, correo electrónico, número de celular, ni cualquier otro dato que permita identificar directa o indirectamente al Titular reportante.

Esta difusión se realiza en desarrollo del derecho ciudadano a la veeduría y bajo los principios de la Ley 1712 de 2014, en la medida en que los datos difundidos corresponden al desempeño de entidades públicas en el cumplimiento de sus competencias legales.

10. Derecho de petición radicado — Tratamiento específico

El Titular reconoce y acepta que el derecho de petición que la plataforma genera con sus datos, una vez es enviado a la entidad destinataria, se convierte en un documento del trámite administrativo ante dicha entidad. En consecuencia:

• El documento queda sujeto a las reglas de archivo documental y conservación de la entidad destinataria, sobre las cuales el Responsable no tiene control.
• La solicitud de supresión de datos que el Titular haga al Responsable no obliga ni vincula a la entidad destinataria respecto del documento ya radicado.
• El Responsable conservará copia del derecho de petición enviado por el término establecido en el numeral 12, a efectos de trazabilidad y prueba del trámite.

11. Derechos del Titular

Conforme al artículo 8 de la Ley 1581 de 2012, el Titular tiene derecho a:

a) Conocer, actualizar y rectificar sus datos personales. b) Solicitar prueba de la autorización otorgada al Responsable. c) Ser informado, previa solicitud, respecto del uso que se ha dado a sus datos personales. d) Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la ley. e) Revocar la autorización y/o solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. f) Acceder en forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

12. Procedimiento para el ejercicio de derechos

12.1. Canal de atención

El Titular podrá ejercer sus derechos enviando solicitud al correo privacidad@arreglenesto.org o a través del formulario dispuesto dentro de la aplicación para tal efecto.

12.2. Contenido mínimo de la solicitud

• Identificación del Titular (nombre y número de cédula).
• Descripción clara del derecho que se ejerce y de los hechos que lo motivan.
• Dirección de notificación (correo electrónico).
• Documentos que sustenten la solicitud, cuando aplique.

12.3. Términos de respuesta

• Consultas (acceso a información): el Responsable responderá en un término máximo de diez (10) días hábiles contados desde la recepción de la solicitud, conforme al artículo 14 de la Ley 1581 de 2012. Cuando no fuere posible atender la consulta dentro de este término, se informará al interesado antes del vencimiento, expresando los motivos de la demora y señalando la fecha en que se atenderá, que no podrá superar los cinco (5) días hábiles adicionales.
• Reclamos (corrección, actualización, supresión, revocatoria): el Responsable responderá en un término máximo de quince (15) días hábiles contados desde el día siguiente a la recepción, conforme al artículo 15 de la Ley 1581 de 2012. Cuando no fuere posible atender el reclamo dentro de ese término, se informará al interesado los motivos de la demora y la fecha en que se atenderá, que no podrá superar los ocho (8) días hábiles adicionales.

12.4. Requisito de procedibilidad ante la SIC

El Titular solo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite directo de reclamación ante el Responsable, conforme al artículo 16 de la Ley 1581 de 2012.

12.5. Limitaciones al derecho de supresión

El derecho de supresión no procede cuando exista un deber legal o contractual del Responsable de conservar los datos. En particular:

• Los datos incorporados en derechos de petición ya radicados ante entidades públicas permanecerán en los archivos de dichas entidades, sobre los cuales el Responsable no tiene control.
• Los datos que se hayan difundido de manera anonimizada o agregada en el panel público de veeduriaCiudadana.org, por su naturaleza no identificable, no son objeto de supresión como datos personales, aunque el Titular conserva el derecho a solicitar la eliminación de la fotografía si en ella aparece identificable.

13. Períodos de conservación

El Responsable conservará los datos personales por los siguientes términos, observando los principios de finalidad y proporcionalidad del artículo 4 de la Ley 1581 de 2012:

Cumplidos los términos, el Responsable procederá a la supresión o anonimización irreversible de los datos según corresponda.

14. Medidas de seguridad

El Responsable adopta medidas técnicas, humanas y administrativas razonables para proteger los datos personales de pérdida, consulta, uso o acceso no autorizado o fraudulento, conforme al principio de seguridad del artículo 4 de la Ley 1581 de 2012. Dichas medidas incluyen, entre otras:

• Cifrado en tránsito (TLS) en todas las comunicaciones entre el dispositivo del Titular, la plataforma y los Encargados.
• Cifrado en reposo de la base de datos de Titulares y de las fotografías almacenadas.
• Control de acceso a la base de datos mediante credenciales personales y autenticación reforzada para el Responsable y quienes él autorice.
• Registro de auditoría de accesos administrativos a la base de datos.
• Revisión periódica de las configuraciones de seguridad de los Encargados.
• Protocolo de notificación de incidentes de seguridad conforme al numeral 15.

15. Protocolo de incidentes de seguridad

En caso de presentarse un incidente de seguridad que comprometa la confidencialidad, integridad o disponibilidad de los datos personales tratados por el Responsable, se seguirá el siguiente protocolo:

15.1. Contención inmediata del incidente y evaluación de su alcance.

15.2. Notificación a la Superintendencia de Industria y Comercio en los términos del literal n) del artículo 17 de la Ley 1581 de 2012, a través de los canales oficiales dispuestos por la SIC para tal efecto.

15.3. Notificación a los Titulares afectados, por el canal de contacto registrado, cuando el incidente genere un riesgo significativo para sus derechos.

15.4. Análisis post-incidente y adopción de medidas correctivas.

16. Autorización

Al registrarse en la plataforma, aceptar estos términos y generar su primer reporte, el Titular otorga al Responsable autorización previa, expresa e informada para el tratamiento de sus datos personales conforme a las finalidades establecidas en el numeral 6 de esta Política, incluyendo la transferencia internacional a los Encargados identificados en el numeral 7, la aplicación de los procesos automatizados de verificación descritos en el numeral 8.3 (incluida la activación progresiva de proveedores de inteligencia artificial que allí se contempla), y la difusión en forma anonimizada descrita en el numeral 9.

La autorización se manifiesta mediante la aceptación explícita de esta Política en el momento del primer reporte, de modo que dicho acto constituye simultáneamente (i) el consentimiento para el tratamiento de datos y (ii) el ejercicio del derecho de petición contenido en el reporte.

El Titular podrá revocar su autorización en cualquier momento, con los efectos y limitaciones previstos en el numeral 12.5.

17. Vigencia y modificaciones

17.1. Vigencia: Esta Política entra en vigencia el 17 de abril de 2026 y permanecerá vigente por tiempo indefinido hasta que sea modificada o sustituida.

17.2. Vigencia de las bases de datos: Las bases de datos tratadas por el Responsable tendrán una vigencia equivalente al período de conservación establecido en el numeral 13 para cada tipo de dato.

17.3. Modificaciones: El Responsable podrá modificar esta Política en cualquier momento. Las modificaciones serán publicadas en arreglenesto.org con al menos diez (10) días calendario de antelación a su entrada en vigencia, y se notificarán al Titular a través del correo o celular registrado cuando impliquen cambios sustanciales en las finalidades o en los Encargados.

17.4. Continuidad de autorización: El uso continuado de la plataforma con posterioridad a la entrada en vigencia de una modificación equivale a la aceptación de la Política modificada. Si el Titular no está de acuerdo con una modificación, podrá revocar su autorización conforme al numeral 12.

Aceptación del Titular

Declaro haber leído íntegramente la presente Política de Tratamiento de Datos Personales y autorizo expresamente al Responsable para realizar el tratamiento de mis datos personales conforme a las finalidades aquí descritas.

Documento emitido en Cúcuta, Norte de Santander, el 17 de abril de 2026. Última revisión: 18 de abril de 2026.

_{Responsable del Tratamiento conforme a la Ley 1581 de 2012: persona natural identificada con Cédula de Ciudadanía No. 1.090.495.611 (Juan Diego Cárdenas Sepúlveda), operando bajo la denominación Imagine Robots. Datos de contacto para ejercicio de derechos: privacidad@arreglenesto.org.}