Política de tratamiento de datos

1. Definiciones

Para efectos de esta Política, y conforme al artículo 3 de la Ley 1581 de 2012:

• Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato sensible: dato personal que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación (entre otros, datos de salud). Su tratamiento exige autorización explícita y separada.
• Titular: la persona natural cuyos datos personales son objeto de tratamiento (por ejemplo, un árbitro o un usuario administrativo del Colegio).
• Tratamiento: cualquier operación sobre datos personales, como recolección, almacenamiento, uso, circulación o supresión.
• Responsable del tratamiento: quien decide sobre la base de datos o el tratamiento de los datos.
• Encargado del tratamiento: quien realiza el tratamiento de datos personales por cuenta del Responsable.
• Autorización: el consentimiento previo, expreso e informado del Titular para el tratamiento de sus datos.

2. Principios que rigen el tratamiento

NovaReef trata los datos personales conforme a los principios del artículo 4 de la Ley 1581/2012: legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad. En particular, los datos solo se usan para las finalidades descritas en esta Política, no se obtienen ni se transfieren sin autorización del Titular, y solo pueden ser conocidos por personas autorizadas dentro del Colegio correspondiente.

3. Responsable y encargado del tratamiento

Cada Colegio es Responsable del tratamiento de los datos personales de sus árbitros y demás usuarios: decide qué información se recolecta a través de la Plataforma y para qué la usa en su operación interna. NovaReef actúa como Encargado del tratamiento: procesa esos datos por cuenta del Colegio, únicamente para prestar el servicio técnico contratado, y no los usa para fines propios ajenos a esa prestación.

4. Datos que se recolectan

Según el rol del usuario dentro del Colegio, la Plataforma puede tratar:

• Datos de identificación: nombre, tipo y número de documento, lugar de expedición.
• Datos de contacto: correo electrónico, teléfono, dirección, barrio.
• Datos profesionales/deportivos: categoría, disponibilidad, historial de designaciones y partidos, calificaciones, sanciones disciplinarias.
• Datos financieros: pagos, saldos, cuotas y multas registrados dentro del Colegio.
• Datos académicos: asistencia y participación en sesiones de formación.
• Datos sensibles de salud (opcionales): grupo sanguíneo (RH) y afiliación a EPS — ver numeral 6.
• Datos de la suscripción del Colegio a NovaReef: historial de pagos de la suscripción, y —si el Colegio elige pagar en línea— una referencia tokenizada de la tarjeta usada (marca, últimos cuatro dígitos, fecha de expiración) generada por la pasarela de pagos. NovaReef nunca recibe, procesa ni almacena el número completo de la tarjeta ni el código de seguridad (CVC) — ver numeral 9.

5. Finalidad del tratamiento

Los datos se usan exclusivamente para operar el Colegio dentro de la Plataforma: gestionar árbitros y su disponibilidad, designar partidos, administrar torneos, registrar movimientos financieros internos del Colegio, llevar el control académico y disciplinario, y comunicarse con los usuarios sobre asuntos relacionados con el Servicio. NovaReef no vende los datos personales ni los comparte con terceros para fines comerciales ajenos a este propósito.

Para una función concreta y opcional —el importador de programación, que interpreta el documento de partidos que la federación le envía al Colegio— la Plataforma puede procesar ese documento con la ayuda de un servicio de inteligencia artificial de un tercero (ver numeral 9). El único fin es extraer del documento los datos que el Colegio necesitaría transcribir a mano (equipos, sede, fecha, nombres de los árbitros de cada rol); no se toman decisiones automatizadas sobre ninguna persona ni se elabora ningún perfil. El Colegio siempre revisa y confirma el resultado antes de que se cree cualquier registro.

Cuando un colegio solicita crear una cuenta a través del formulario público de registro, los datos que suministra (nombre y datos de contacto del colegio, nombre y correo del administrador) se usan para verificar su correo y evaluar la solicitud antes de habilitar el acceso — ver "Aprobación de solicitudes de registro" en el numeral 13.

6. Datos sensibles

El grupo sanguíneo y la afiliación a EPS son datos sensibles de salud (art. 5, Ley 1581/2012). Son opcionales: el Titular no está obligado a suministrarlos, y la Plataforma exige una autorización explícita y separada de la aceptación general de esta Política antes de guardarlos. Ningún Titular sufre consecuencias adversas en el Servicio por no proporcionar estos datos.

7. Menores de edad

La Plataforma no está diseñada para recolectar ni verificar la edad de los Titulares. Si un Colegio identifica que alguno de sus árbitros es menor de edad, es responsabilidad del Colegio obtener la autorización de su representante legal antes de registrar sus datos en la Plataforma, garantizar el respeto de su interés superior y evitar el tratamiento de datos sensibles del menor, conforme al artículo 7 de la Ley 1581/2012.

8. Autorización del titular

La autorización general se obtiene al momento en que el usuario acepta esta Política dentro de la Plataforma, mediante una casilla de verificación que no viene marcada por defecto. El tratamiento de datos sensibles (numeral 6) requiere una autorización adicional e independiente, obtenida en el formulario donde se registran esos campos. El Titular puede consultar en cualquier momento si otorgó estas autorizaciones y revocarlas conforme al numeral 12.

9. Encargados externos y transferencia de datos

NovaReef utiliza los siguientes proveedores de infraestructura tecnológica como encargados subordinados. Cada uno procesa únicamente los datos necesarios para su función técnica específica y no los usa con fines propios:

• Hostinger — alojamiento del servidor (VPS) donde corre la aplicación y la base de datos.
• Resend — envío de correo electrónico transaccional (credenciales de acceso, notificaciones, recuperación de contraseña).
• Meta Platforms, Inc. (WhatsApp Cloud API) — envío de notificaciones de designación por WhatsApp, en los Planes que incluyen este módulo.
• Anthropic, PBC (Claude API) — interpretación asistida por inteligencia artificial del documento de programación que el Colegio sube al importador de partidos, en los Planes que incluyen este módulo. Recibe únicamente el contenido de ese documento (que puede incluir nombres de árbitros, equipos y sedes) y devuelve los datos extraídos. Conforme a los términos comerciales de Anthropic, ese contenido no se usa para entrenar sus modelos y se elimina de sus sistemas en un plazo corto (hasta 30 días), salvo obligación legal. NovaReef no envía a este servicio identificadores de cuenta, contraseñas ni datos financieros.
• Wompi S.A.S. (Bancolombia) — procesa el pago en línea de la suscripción del Colegio a NovaReef, cuando el Colegio elige esa forma de pago. La tarjeta se captura y tokeniza directamente en el navegador del usuario contra los sistemas de Wompi, certificados bajo el estándar PCI-DSS para el manejo de datos de tarjetas: el número completo de la tarjeta y el CVC nunca llegan a los servidores de NovaReef, que solo recibe de vuelta una referencia tokenizada y los datos no sensibles necesarios para identificar el método de pago guardado (marca, últimos cuatro dígitos, expiración). Si el Colegio autoriza el cobro recurrente de su suscripción con esa tarjeta guardada, Wompi ejecuta cada cobro periódico contra esa referencia tokenizada, sin que NovaReef vuelva a tener acceso a los datos completos de la tarjeta en ningún momento posterior — ver también el numeral 8 de los Términos y Condiciones.
• Google LLC (Google Drive) y, cuando esté configurado, un servicio de almacenamiento compatible con el protocolo S3 (por ejemplo Amazon Web Services o Backblaze) — destino adicional del respaldo automático de la base de datos de la Plataforma, además del disco del propio servidor.
• Sentry — monitoreo técnico de errores de la Plataforma; registra información técnica del incidente, no el contenido operativo del Colegio.

Estos proveedores operan servidores fuera de Colombia, incluido Estados Unidos — país que a la fecha no cuenta con declaración de nivel adecuado de protección de datos por parte de la Superintendencia de Industria y Comercio (SIC). La base legal para esta transferencia internacional es la autorización expresa que el Titular otorga al aceptar esta Política, conforme al numeral 8. NovaReef selecciona proveedores que ofrecen garantías contractuales de protección de datos (cifrado en tránsito, acuerdos de tratamiento propios de cada proveedor) y limita, en cada caso, el acceso a la información estrictamente necesaria para la función técnica contratada.

10. Seguridad de la información

NovaReef aplica medidas técnicas y administrativas razonables para proteger los datos personales: acceso a la información restringido por rol dentro de cada Colegio, aislamiento de datos entre colegios (arquitectura multi-tenant), doble factor de autenticación para cuentas administrativas de alto privilegio, contraseñas almacenadas de forma cifrada, y registro de auditoría de las acciones administrativas más sensibles. Ninguna medida de seguridad es infalible; ante un incidente que comprometa datos personales, NovaReef lo gestionará conforme a la normativa aplicable.

11. Cookies y tecnologías similares

La Plataforma usa únicamente una cookie de sesión, estrictamente necesaria para mantener la sesión iniciada del usuario mientras usa el Servicio. NovaReef no usa cookies de rastreo publicitario ni comparte esta información con redes de publicidad de terceros.

12. Derechos del titular (ARCO)

Como Titular de los datos, tienes derecho a:

• Acceder a tus datos personales, de forma gratuita.
• Rectificarlos cuando sean inexactos o estén desactualizados.
• Solicitar su Cancelación cuando el tratamiento no respete los principios y deberes de la ley.
• Oponerte a un tratamiento específico, o revocar la autorización otorgada.
• Ser informado sobre el uso que se ha dado a tus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio.

Si ya eres usuario, puedes ejercer estos derechos desde "Mis datos personales" en tu panel; si no tienes cuenta, escríbenos a soporte@novareef.tech. Las consultas se atienden en un plazo máximo de diez (10) días hábiles desde su recepción, y los reclamos en quince (15) días hábiles; si no es posible atenderlos en ese plazo, se informará al Titular el motivo de la demora antes de su vencimiento, con una prórroga máxima de ocho (8) días hábiles adicionales para consultas.

13. Vigencia y conservación de los datos

Los datos personales se conservan mientras exista la relación entre el Titular y el Colegio, y durante el tiempo adicional que exijan las obligaciones legales, contables o contractuales aplicables. Cumplido ese plazo, los datos se suprimen o anonimizan, salvo que exista una obligación legal de conservarlos por más tiempo.

Aprobación de solicitudes de registro. Cuando un colegio se registra a través del formulario público de la Plataforma, la cuenta queda sujeta a la revisión previa de NovaReef antes de habilitar el acceso —ver numeral 4 de los Términos y Condiciones—. Si la solicitud es rechazada, o si un colegio aprobado nunca llega a usar efectivamente el Servicio durante el período de prueba, sus datos de contacto e identificación se anonimizan una vez transcurrido un plazo razonable sin actividad, de forma que dejan de ser datos personales asociables a una persona determinable. Esta anonimización no aplica a un colegio que sí convirtió a un plan de pago.

14. Modificaciones a esta política

Esta Política puede actualizarse para reflejar cambios normativos o en la forma en que NovaReef trata los datos personales. Cuando una actualización sea sustancial, se solicitará nuevamente la aceptación de los usuarios activos antes de continuar usando el Servicio, conforme al mecanismo de aceptación por versión ya incorporado en la Plataforma.

15. Autoridad de control

La Superintendencia de Industria y Comercio (SIC) es la autoridad de protección de datos personales en Colombia. Si consideras que tus derechos no fueron atendidos adecuadamente por NovaReef o por el Colegio responsable, puedes presentar tu queja ante la SIC.

16. Contacto

Para ejercer tus derechos o resolver dudas sobre esta Política, escríbenos a soporte@novareef.tech.