Seguridad y privacidad
Qué hacemos con los datos que nos confían
Verifty verifica personas, documentos y empresas para la seguridad y salud en el trabajo. Eso significa tratar datos personales — algunos sensibles. Esta página dice, sin rodeos, dónde viven esos datos, quién los procesa por cuenta nuestra, qué papel juega la inteligencia artificial y cómo se ejercen los derechos. Actuamos como Encargado del tratamiento bajo la Ley 1581 de 2012: los datos son del cliente y de sus trabajadores, no nuestros.
Dónde viven los datos
Cifrado siempre
En reposo con llaves administradas (base de datos y archivos) y en tránsito con HTTPS/TLS en todo el tráfico.
Aislamiento entre empresas
Cada cliente ve solo lo suyo: el aislamiento se aplica en la propia base de datos, fila por fila, en todas las tablas con datos de clientes.
Región declarada
La infraestructura corre en AWS, región us-east-1 (EE. UU.), país con nivel adecuado de protección según la Superintendencia de Industria y Comercio.
Auditoría y vigilancia
Registro de auditoría de infraestructura (CloudTrail), detección de amenazas administrada (GuardDuty), firewall de aplicación activo y trazabilidad de acciones dentro de la plataforma.
Qué hace la inteligencia artificial — y qué no
Usamos IA para leer documentos (planillas de seguridad social, exámenes médicos, licencias, certificados) y para el asistente VERA. Los proveedores son OpenAI y Anthropic, bajo estas condiciones:
- Nunca se usan para entrenar modelos. Está desactivado por política del proveedor y por configuración expresa de nuestra cuenta.
- Acuerdo de tratamiento firmado con OpenAI (Data Processing Addendum): procesa solo por instrucción nuestra, notifica incidentes y borra al terminar.
- Retención mínima: el registro de llamadas está desactivado en nuestra cuenta y la retención cero está en trámite de aprobación con el proveedor.
- El documento se procesa para extraer los datos de la verificación; el resultado y la evidencia quedan en nuestra infraestructura, no en la del proveedor de IA.
Biometría: opcional, informada y reversible
- El rostro es un dato sensible y así se le dice a la persona antes de autorizar: nadie está obligado a autorizarlo y siempre hay una alternativa (por ejemplo, el documento de identidad).
- La autorización se firma antes de tomar la primera foto, y esa firma se conserva como prueba del consentimiento.
- Revocable en cualquier momento: al revocar, se elimina la plantilla facial y las fotos de enrolamiento — verificando que el borrado ocurrió — y queda constancia de quién, cuándo y qué se eliminó.
Quiénes procesan datos por cuenta nuestra
Estos son nuestros subprocesadores: los proveedores que tocan datos personales para que la plataforma funcione. La transmisión internacional se hace a países con nivel adecuado de protección según la SIC.
| Proveedor | Para qué | Qué datos toca | Dónde | Garantías |
|---|---|---|---|---|
| Amazon Web Services (AWS) | Toda la infraestructura: base de datos, archivos, autenticación, reconocimiento facial y correo transaccional. | Todos los datos de la plataforma, cifrados en reposo y en tránsito. | EE. UU. (us-east-1) | DPA de AWS; certificaciones SOC 2 e ISO 27001 de AWS. |
| OpenAI | Lectura automática de documentos con IA: planillas de seguridad social, exámenes médicos ocupacionales, licencias y certificados. | Los datos contenidos en los documentos que se suben para verificación. | EE. UU. | DPA firmado (ago-2026). La API no usa nuestros datos para entrenar modelos. Registro de llamadas desactivado y retención mínima configurada. |
| Anthropic | VERA, el asistente con inteligencia artificial de la plataforma. | La información de la empresa que VERA consulta para responder. | EE. UU. | La API no usa nuestros datos para entrenar modelos. |
| Verifik | Consultas a fuentes oficiales colombianas (antecedentes, RUNT, RUES, validación de identidad). | Número de documento y nombre de la persona consultada. | Colombia / EE. UU. | Contrato comercial; a Verifik solo llega el dato mínimo para cada consulta. |
| Meta (WhatsApp Business) | Envío de enlaces de verificación y notificaciones. | Número de celular y nombre del destinatario. | EE. UU. | Términos de WhatsApp Business API. |
| Bunny Stream | Alojamiento de los videos de inducción. | No recibe datos personales de los trabajadores. | UE / red global | DPA disponible de Bunny. |
Nuestros compromisos
Aviso previo de 30 días
Si incorporamos o reemplazamos un proveedor que toque datos personales, avisamos con 30 días de anticipación y el cliente puede objetar.
Responsabilidad plena
Respondemos ante el cliente por los actos de nuestros proveedores como si fueran propios.
Evaluación anual
Verificamos cada año que cada proveedor mantenga vigentes sus certificaciones y garantías.
Dato mínimo necesario
A cada proveedor solo llega el dato que necesita para su función. Nunca el expediente completo.
¿Preguntas de seguridad o privacidad?
Escríbenos a hola@verifty.com. Respondemos cuestionarios de seguridad de clientes corporativos y atendemos solicitudes de titulares (acceso, corrección, supresión y revocación) conforme a la Ley 1581 de 2012.
Última actualización: 21 de agosto de 2026 · Aldama Software SAS