Política de Tratamiento de Datos Personales de Extudents

1. Objeto y marco legal

Esta Política explica cómo VIRTUAL TEC S.A.S. trata los datos personales que pasan por Extudents, la plataforma escolar que desarrolla y opera. Cumple el artículo 13 del Decreto 1377 de 2013, compilado en el Capítulo 25 del Título 2 de la Parte 2 del Libro 2 del Decreto Único 1074 de 2015.

Normas aplicables: Constitución Política, artículos 15 y 20; Ley 1581 de 2012; Decreto 1377 de 2013 y Decreto 886 de 2014 (compilados en el Decreto 1074 de 2015); Ley 1098 de 2006 (Código de la Infancia y la Adolescencia); Ley 527 de 1999; Ley 1266 de 2008 en lo que resulte aplicable; y las instrucciones de la Superintendencia de Industria y Comercio (SIC).

Esta Política complementa la Política de Habeas Data de Virtual Tec (versión 1.0 del 8 de mayo de 2026), que rige las demás bases de datos de la empresa.

2. Identificación del responsable

3. Definiciones

Se usan las definiciones del artículo 3 de la Ley 1581 de 2012 y del artículo 3 del Decreto 1377 de 2013:

• Titular: persona natural cuyos datos son objeto de tratamiento.
• Responsable del tratamiento: quien decide sobre la base de datos y su tratamiento.
• Encargado del tratamiento: quien trata datos por cuenta del responsable.
• Autorización: consentimiento previo, expreso e informado del titular.
• Dato sensible: el que afecta la intimidad o cuyo uso indebido puede generar discriminación, entre ellos los datos biométricos y los relativos a la salud.
• Transmisión: comunicación de datos a un encargado, dentro o fuera de Colombia, para que los trate por cuenta del responsable.
• Transferencia: envío de datos a otro responsable, dentro o fuera de Colombia.

4. Principios

Virtual Tec aplica los principios del artículo 4 de la Ley 1581 de 2012: legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad. En los datos de niños, niñas y adolescentes prevalece su interés superior (Ley 1098 de 2006, artículo 8).

5. Los dos papeles de Virtual Tec

Virtual Tec cumple dos papeles distintos, y es importante saber cuál aplica:

Cada colegio debe tener su propia política de tratamiento y obtener las autorizaciones de su comunidad. La relación entre el colegio y Virtual Tec se rige por el Contrato de Transmisión de Datos Personales.

6. Datos que Virtual Tec trata como responsable

6.1 Personas que agendan una reunión en el sitio público

• Datos: nombre, correo, celular, colegio, cargo, ciudad, número aproximado de estudiantes, temas de interés, comentarios libres y la fecha y hora elegidas. También un código de cancelación y un resumen cifrado e irreversible de la dirección IP (no la IP), que sirve para frenar abusos.
• Finalidades: agendar la reunión virtual; enviar la confirmación con el archivo de calendario y el enlace para cancelarla; enviar el enlace de la videollamada y recordatorios; presentar Extudents y hacer seguimiento comercial a esa solicitud; prevenir el uso abusivo del formulario.
• Autorización: la persona la da al marcar la casilla del formulario, después de ver el Aviso de privacidad. Sin la casilla marcada no se guarda la reserva, y cada reserva registra la fecha y la hora de la aceptación y la versión del aviso aceptado, como prueba de la autorización (artículo 2.2.2.25.2.5 del Decreto 1074 de 2015).

6.2 Contactos de colegios clientes y prospectos

• Datos: nombre, cargo, correo, celular y colegio de rectores, administradores y otras personas de contacto.
• Finalidades: negociar, celebrar y ejecutar el contrato; facturar; dar soporte; informar cambios del servicio, mantenimientos e incidentes; enviar los avisos del operador a los colegios.

6.3 Registros técnicos de operación y seguridad

• Datos: dirección IP, fecha y hora, tipo de dispositivo y navegador, rutas consultadas y errores, generados por los servidores de la plataforma y de sus proveedores de alojamiento; cuentas del equipo operador de Virtual Tec y sus acciones.
• Finalidades: mantener la plataforma disponible y segura, investigar incidentes, prevenir fraudes, dar soporte y calcular la facturación con el conteo agregado de estudiantes activos.

7. Datos que Virtual Tec trata como encargado de cada colegio

Virtual Tec trata estos datos solo para prestarle Extudents al colegio, según lo que el colegio configure. No los usa para fines propios, no los vende ni los comparte con anunciantes.

7.1 Titulares

Estudiantes, acudientes y representantes legales, personal del colegio (docentes, coordinación, rectoría, administración, portería, cafetería y tienda) y clientes externos de la tienda.

7.2 Categorías de datos y finalidades

8. Datos sensibles

Extudents trata dos clases de datos sensibles (Ley 1581 de 2012, artículo 5):

1. Datos biométricos, solo en los colegios que activan el reconocimiento facial o la huella:
   • Rostro: el dispositivo del colegio detecta y alinea la cara y calcula una plantilla de 192 números. A la plataforma llega solo ese vector; la foto no se envía ni se guarda. En el registro, las fotos de las tomas son archivos temporales que la app borra del dispositivo al guardar o cancelar. La comparación se hace en el servidor, solo contra las personas de esa sede con autorización vigente.
   • Huella: la plantilla de la huella se guarda y se compara en el terminal del colegio (tipo ZKTeco). Extudents solo guarda qué número (PIN) corresponde a cada persona y recibe del terminal el PIN y la hora de cada marca.
   • Sin autorización vigente la plantilla y el PIN no pueden existir: es una restricción de la base de datos, no solo de la aplicación.
2. Datos de salud, cuando una familia radica un permiso por motivo médico y adjunta un soporte.

Para estos datos:

• La autorización es expresa y facultativa: nadie está obligado a darla (Decreto 1074 de 2015, artículo 2.2.2.25.2.3).
• Ningún servicio se condiciona a entregarlos. Quien no autoriza la biometría entra con carnet o código, sin consecuencia. Un permiso puede radicarse sin adjuntar un soporte médico, salvo que el reglamento del colegio lo exija para justificar la ausencia; en ese caso lo pide el colegio, como responsable, y no Virtual Tec.
• Se informa con claridad qué datos son sensibles y para qué se usan, como hace la Autorización para el tratamiento de datos biométricos.

9. Datos de niños, niñas y adolescentes

La mayoría de los titulares de Extudents son menores de edad. Su tratamiento:

1. Responde y respeta su interés superior y asegura el respeto de sus derechos fundamentales (Ley 1098 de 2006, artículos 8 y 33; Decreto 1074 de 2015, artículo 2.2.2.25.2.9).
2. La autorización la da el representante legal, después de que el menor ejerce su derecho a ser escuchado y su opinión se valora según su madurez, autonomía y capacidad. En la biometría, la plataforma solo acepta la autorización de un acudiente que el colegio registró como representante legal, y exige que este declare que habló con el menor.
3. Se limita a lo necesario para la vida escolar. Los datos de los menores no se usan para publicidad ni perfiles comerciales.

10. Autorización y prueba

• Datos de la comunidad del colegio: el colegio, como responsable, obtiene la autorización de su comunidad, en general al momento de la matrícula o la vinculación laboral.
• Biometría: el representante legal la da desde la app. La plataforma guarda fecha y hora, IP y dispositivo de la solicitud, quién autorizó, la versión del aviso aceptado y la declaración sobre la opinión del menor. El personal adulto autoriza por sí mismo desde su cuenta.
• Fiado: el acudiente lo autoriza desde la app con un cupo y puede revocarlo.
• Formulario de reunión: casilla de aceptación (ver sección 6.1).

11. Derechos de los titulares

Conforme al artículo 8 de la Ley 1581 de 2012, el titular puede:

1. Conocer, actualizar y rectificar sus datos.
2. Solicitar prueba de la autorización otorgada.
3. Ser informado sobre el uso que se les ha dado a sus datos.
4. Presentar quejas ante la Superintendencia de Industria y Comercio, después de agotar el trámite de consulta o reclamo ante el responsable o el encargado.
5. Revocar la autorización y pedir la supresión de los datos cuando no se respeten los principios, derechos y garantías legales, y siempre que no exista un deber legal o contractual de conservarlos.
6. Acceder en forma gratuita a sus datos.

En la app, el acudiente puede ver lo de sus estudiantes, actualizar sus preferencias de avisos, y revocar en cualquier momento la autorización biométrica o del fiado.

12. Deberes de Virtual Tec

Como responsable, cumple los deberes del artículo 17 de la Ley 1581 de 2012, entre ellos: garantizar el ejercicio del hábeas data, conservar la prueba de la autorización, informar la finalidad, conservar la información con seguridad, tramitar consultas y reclamos en los plazos legales, e informar a la SIC los incidentes de seguridad.

Como encargado, cumple los deberes del artículo 18 de la misma ley, entre ellos: tratar los datos solo por cuenta y según las instrucciones del colegio, conservarlos con seguridad, actualizar y rectificar lo que el colegio le indique, registrar la leyenda "reclamo en trámite" cuando corresponda, abstenerse de circular información en discusión judicial, permitir el acceso solo a quien corresponda, e informar al colegio y a la SIC las violaciones a los códigos de seguridad.

13. Área responsable

La Coordinación de Protección de Datos Personales de VIRTUAL TEC S.A.S. atiende peticiones, consultas y reclamos:

• Correo: info@virtual-tec.com, con el asunto "Habeas Data".
• WhatsApp: +57 300 814 1085.
• Correo físico: Calle 77b # 57-141, Oficina 212, Centro Empresarial Las Américas, Barranquilla, Atlántico, Colombia.

14. Procedimiento para consultas y reclamos

14.1 Quién puede presentarlos

El titular, sus causahabientes, su representante o apoderado, o quien actúe por estipulación a favor de otro. Los derechos de los menores los ejerce su representante legal (Decreto 1074 de 2015, artículo 2.2.2.25.4.1).

14.2 Qué debe incluir la solicitud

Nombre e identificación del titular, la descripción de lo que pide, la dirección o correo para responder y, si actúa un tercero, el documento que lo acredita.

14.3 Consultas

Se responden en un máximo de diez (10) días hábiles desde su recibo. Si no es posible, se informa el motivo y la nueva fecha, que no superará cinco (5) días hábiles adicionales (Ley 1581 de 2012, artículo 14).

14.4 Reclamos

Para corregir, actualizar o suprimir datos, o por un presunto incumplimiento (Ley 1581 de 2012, artículo 15):

1. Si el reclamo está incompleto, se pide completarlo dentro de los cinco (5) días hábiles siguientes. Si pasan dos (2) meses sin respuesta, se entiende que la persona desistió.
2. Dentro de los dos (2) días hábiles siguientes a recibir un reclamo completo, se incluye la leyenda "reclamo en trámite".
3. Se responde en un máximo de quince (15) días hábiles. Si no es posible, se informa el motivo y la nueva fecha, que no superará ocho (8) días hábiles adicionales.

14.5 Solicitudes sobre datos de un colegio

Si la solicitud se refiere a datos de la comunidad de un colegio, el responsable es ese colegio. Virtual Tec la trasladará al colegio dentro de los dos (2) días hábiles siguientes, le informará al titular a quién se trasladó, y apoyará al colegio para responder dentro del plazo legal. Si el plazo ya corre para Virtual Tec, Virtual Tec responderá lo que le corresponda como encargado.

14.6 Queja ante la SIC

El titular puede acudir a la Superintendencia de Industria y Comercio después de agotar el trámite ante el responsable o el encargado (Ley 1581 de 2012, artículo 16).

15. Transmisiones y transferencias internacionales

Para prestar Extudents, Virtual Tec usa proveedores que actúan como subencargados. Algunos tienen servidores fuera de Colombia, por lo que hay transmisión internacional de datos. Esa transmisión se ampara en el artículo 26 de la Ley 1581 de 2012 y en el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015 (contrato de transmisión), y se hace a países con un nivel adecuado de protección según la SIC o, en su defecto, con garantías contractuales que exigen al proveedor un nivel de protección equivalente.

Virtual Tec no transfiere datos a terceros para que los usen con fines propios. Mantiene actualizada la lista de sus proveedores, con su nombre y el país de sus servidores, y la entrega a cada colegio y a cualquier titular que la pida. Cuando contrate o cambie el proveedor de infraestructura en la nube, actualizará esta lista con su nombre y el país de sus servidores. Si algún día se requiere una declaración de conformidad de la SIC para una transmisión, Virtual Tec la tramitará antes de hacerla.

16. Seguridad

Medidas que hoy aplica la plataforma:

• Aislamiento entre colegios: cada tabla lleva el colegio y una regla de seguridad a nivel de fila forzada; una persona solo ve el colegio donde tiene un papel vigente.
• Permisos por papel: cada acción la puede hacer solo el papel que corresponde; los permisos se ajustan por colegio dentro de un límite y todo cambio queda en bitácora.
• Cifrado en tránsito: las comunicaciones con la plataforma usan HTTPS.
• Cifrado en reposo y copias de seguridad: Virtual Tec opera la base de datos y los archivos en servidores con discos cifrados en reposo. Hace copias de seguridad diarias, cifradas, guarda una de ellas fuera del servidor principal y las elimina al cumplirse su ciclo normal de rotación.
• Secretos protegidos: las contraseñas del servidor de correo y las llaves de inteligencia artificial de cada colegio se guardan cifradas en una bóveda y nunca se devuelven a un usuario.
• Dinero auditable: los movimientos de billetera y fiado no se pueden editar ni borrar; una corrección es un movimiento nuevo con autor y motivo.
• Minimización: la foto del rostro no viaja; la huella no sale del terminal; las notificaciones no llevan el contenido de los mensajes; del formulario público se guarda un resumen irreversible de la IP, no la IP.
• Borrado verificable: revocar la biometría la borra y deja constancia en una bitácora inmutable.
• Suspensión de acceso: desactivar a una persona le cierra el acceso desde la siguiente petición.

Ningún sistema es completamente seguro. Si ocurre un incidente, Virtual Tec lo gestionará según el Contrato de Transmisión de Datos Personales y lo informará a quien corresponda.

17. Conservación

18. Registro Nacional de Bases de Datos

VIRTUAL TEC S.A.S. inscribe sus bases de datos en el Registro Nacional de Bases de Datos de la SIC cuando está obligada a hacerlo, según el Decreto 090 de 2018 y el Decreto 1074 de 2015 (artículo 2.2.2.26.1.1 y siguientes), y las mantiene actualizadas. Cada colegio responde por la inscripción de sus propias bases, si le aplica.

19. Vigencia y cambios

Esta Política rige desde el 8 de octubre de 2026. Las bases de datos se mantendrán vigentes mientras subsistan las finalidades descritas y las obligaciones legales o contractuales que exijan conservarlas.

Cualquier cambio sustancial se publicará en esta página con su nueva fecha y se comunicará por la plataforma o por correo antes de aplicarse. Si el cambio afecta la finalidad de los datos, se pedirá una nueva autorización.