A qué solicitudes aplica
Esta política aplica a cualquier requerimiento de una autoridad pública, judicial o administrativa, de Colombia o de otro país, que pida a Tussia datos personales de las personas que usan el servicio o de los compradores que un vendedor atiende a través de él. Incluye órdenes judiciales, requerimientos de fiscalías, policías y organismos de control, y solicitudes relacionadas con la seguridad nacional.
Los datos que recibimos de Meta, Facebook, Instagram y WhatsApp a través de las integraciones que autorizas quedan cubiertos por esta política igual que el resto de los datos personales. Se complementa con la política de privacidad, que describe qué información tratamos y con quién se comparte.
Revisión obligatoria de legalidad
Antes de entregar un solo dato, Tussia revisa cada solicitud y comprueba, como mínimo:
- Quién la hace: que provenga de una autoridad competente, identificada, a través de un canal oficial y verificable. Una solicitud recibida por un correo o un mensaje que no se puede verificar se confirma con la autoridad por un canal independiente antes de continuar.
- Con qué facultad: la norma, la orden o la decisión que le permite pedir esos datos, citada de forma expresa.
- Sobre qué datos y personas: que identifique con precisión a las personas, las cuentas o el período afectados. No se atienden solicitudes genéricas o que pidan bases de datos completas.
- Que sea escrita: las solicitudes verbales se piden por escrito. Solo se actúa sobre una solicitud verbal cuando existe un riesgo inminente para la vida o la integridad de una persona, y en ese caso se exige la confirmación escrita después.
La revisión la hace el responsable indicado en esta política. Cuando la solicitud plantea dudas jurídicas, se consulta a un abogado antes de responder. Ninguna persona del equipo entrega datos a una autoridad por su cuenta.
Solicitudes que se rechazan o se impugnan
Tussia no cumple una solicitud que considere ilícita, y usa los recursos legales disponibles para oponerse a ella. Se considera ilícita, entre otras, una solicitud que:
- no cita una base legal o la cita de forma que no cubre los datos pedidos;
- no proviene de una autoridad competente o no se puede verificar;
- es desproporcionada frente a la finalidad declarada, por ejemplo cuando pide datos de muchas personas para investigar a una;
- pide datos que Tussia no tiene o que ya fueron eliminados;
- proviene de una autoridad extranjera sin pasar por los mecanismos de cooperación que la legislación aplicable exige.
Ante una solicitud así, Tussia responde por escrito explicando la objeción, pide que se corrija o se acote, y, si la autoridad insiste, la impugna ante la instancia que corresponda. Mientras la impugnación esté en curso no se entregan datos, salvo que una decisión judicial firme lo ordene.
Mínima información necesaria
Cuando una solicitud es válida, Tussia entrega únicamente los datos que la solicitud identifica y en el alcance que exige. En la práctica:
- se entregan los campos pedidos y no la cuenta completa, la tabla completa ni una exportación general;
- se limita el período de tiempo al que la solicitud se refiere;
- se separan y se excluyen los datos de terceros que no forman parte de la solicitud, como los de otros compradores o de otros vendedores;
- no se entregan credenciales, contraseñas, tokens de acceso a servicios externos ni claves de la aplicación;
- si un dato se puede entregar de forma agregada o anonimizada y eso satisface la solicitud, se prefiere esa forma.
Cuando la solicitud pide más de lo necesario, Tussia lo señala por escrito y entrega solo la parte justificada, aplicando lo dicho en la sección anterior para el resto.
Registro de cada solicitud
Toda solicitud, se atienda o no, queda documentada en un registro que conserva Tussia. De cada una se anota:
- fecha de recepción, canal y autoridad que la presenta, con la identificación del funcionario y del expediente cuando existan;
- la base legal invocada y el texto de la solicitud;
- el análisis de legalidad, las dudas planteadas y las consultas jurídicas realizadas;
- la decisión tomada: atender, atender en parte, pedir aclaración, rechazar o impugnar, con su motivación;
- los datos entregados, campo por campo, la fecha de entrega y la persona que respondió;
- si se avisó a la persona afectada y cuándo, o por qué no fue posible.
El registro se conserva durante al menos cinco años desde la respuesta, o más si un proceso en curso lo exige. Se guarda separado de los datos de operación, con acceso restringido al responsable y a quien él autorice. Sirve para rendir cuentas ante la persona afectada, ante la Superintendencia de Industria y Comercio y ante los proveedores, como Meta, que exigen conocer estas prácticas.
Aviso a la persona afectada
Salvo que la ley o una orden válida lo prohíban, Tussia avisa a la persona cuyos datos se piden antes de entregarlos, o tan pronto como la prohibición deje de aplicar, para que pueda ejercer sus derechos. Cuando los datos pertenecen a los compradores de un vendedor, el aviso se da también al vendedor, que es quien decide la finalidad de esos datos.
Solicitudes de seguridad nacional
Las solicitudes relacionadas con la seguridad nacional siguen exactamente el mismo proceso: revisión de legalidad, oposición a las que resulten ilícitas, entrega mínima y registro. Hasta la fecha de esta versión, Tussia no ha recibido ni atendido ninguna solicitud de este tipo. Si eso cambia, esta política se actualizará con el número de solicitudes recibidas en el último año, en la medida en que la ley permita informarlo.
Canal y responsable
Las autoridades deben dirigir sus solicitudes por escrito al correo de privacidad de Tussia. Ese mismo canal sirve para que cualquier persona pregunte si sus datos han sido objeto de una solicitud.
- Servicio
- Tussia
- Correo
- sales@tussia.co
El responsable de aplicar esta política es el titular de Tussia, que actúa como responsable del tratamiento de los datos de las cuentas del servicio. Esta política se interpreta conforme a la Ley 1581 de 2012, el Decreto 1074 de 2015 y las demás normas aplicables, y se revisa cada vez que cambia la forma en que Tussia trata los datos o cuando se recibe una solicitud que muestre un vacío en ella.