Política de Tratamiento de Datos Personales

Cambio de nombre. Senots Sign ahora se llama one2sign, que se presta en one2sign.com y en subdominios relacionados de one2sign. Las referencias a «Senots Sign» en pedidos, facturas, correos, registros de evidencia, certificados de firma y otros registros anteriores a este cambio se refieren a one2sign. El prestador (DDR Solutions Inc.) y el resto de este documento no cambian. Los certificados emitidos antes del 30 de octubre de 2026 se titulan «certificado de finalización»; son el mismo registro que este documento llama certificado de firma.

Esta Política de Tratamiento de Datos Personales (la "Política") describe cómo DDR Solutions Inc. ("DDR", "nosotros") trata datos personales en relación con Senots y one2sign (antes Senots Sign) (en conjunto, los "Servicios") y los sitios web en one2sign.com y senots.com, para titulares en Colombia o cuando la legislación colombiana resulte aplicable.

Esta Política se elabora de conformidad con la Ley 1581 de 2012 y el Decreto 1377 de 2013 (compilado, entre otros, en el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.3.1). No constituye asesoría jurídica.

Las definiciones en mayúscula que no se definen aquí tienen el significado de la Privacy Policy y de los Terms of Service en inglés. En caso de discrepancia entre esta Política y los documentos en inglés, prevalece la versión en inglés, salvo en lo que la ley colombiana exija de forma imperativa.

1. Identificación del Responsable del Tratamiento

DDR es una sociedad constituida conforme a las leyes de Ontario, Canadá. No tiene establecimiento físico en Colombia.

2. Dos roles: Responsable y Encargado

2.1 Cuando DDR actúa como Responsable

DDR decide sobre el tratamiento (es Responsable) respecto de:

• datos de cuenta de Usuarios Autorizados y de quienes se registran (nombre, correo, empresa, rol, preferencias, registros de inicio de sesión);
• datos de facturación (plan, número de puestos, intervalo, correo y dirección de facturación, facturas y estado de pago; los datos de la tarjeta los recoge y almacena Stripe, no DDR);
• mensajes de soporte y contacto enviados a hello@one2sign.com;
• datos de las listas de espera de senots.com (Senots Suite, one2sign u otros productos Senots), si usted se inscribe: correo electrónico, producto en el que se inscribió y página desde la que lo hizo, idioma de esa página, fecha y hora de inscripción, país que Cloudflare deduce de su dirección IP (DDR nunca guarda la dirección IP; para evitar inscripciones repetidas, conserva un hash con clave de su dirección IP durante unos minutos, normalmente no más de 10, y luego lo elimina automáticamente; las copias de recuperación del proveedor de base de datos de DDR, que se conservan hasta por 30 días, pueden contener aún ese hash), tipo de navegador y sistema operativo (por ejemplo, Chrome en Windows) y un registro del texto de autorización que se le mostró, como prueba de su autorización. Cuando usted cancela la suscripción, pide que se elimine su inscripción o su inscripción alcanza el límite de conservación, DDR elimina su correo electrónico y los demás datos de la inscripción, y conserva solo un registro mínimo de su autorización: un hash con clave de su correo electrónico (no el correo), el producto, la página y el idioma, la versión del texto de autorización, las fechas en que usted otorgó la autorización y en que se retiró, y si usted canceló la suscripción o pidió la eliminación, o si la inscripción alcanzó el límite de conservación. DDR lo conserva durante 3 años como prueba de la autorización y luego lo elimina. Los formularios de inscripción usan Cloudflare Turnstile, que revisa su navegador en busca de señales de actividad automatizada; para ello, Cloudflare trata señales técnicas como su dirección IP, la descripción del navegador y datos de la conexión, y declara que las usa solo para distinguir personas de bots y mejorar Turnstile, no para identificar, perfilar ni dirigirse a personas;
• información técnica y de seguridad del uso de los Servicios y sitios web (por ejemplo, dirección IP o su hash con clave, tipo de navegador, páginas solicitadas), en la medida descrita en la Privacy Policy en inglés; y
• datos opcionales del clima en la barra superior, si el Usuario Autorizado activa esa función.

2.2 Cuando DDR actúa como Encargado

Los Datos del Cliente (Customer Data) pertenecen al Cliente (la empresa con cuenta one2sign o Senots) que los introduce en los Servicios. Incluyen contactos, documentos enviados a firma e información sobre Destinatarios (Recipients), y demás contenidos que el Cliente almacene.

Respecto de esos datos, el Cliente es el Responsable y DDR actúa como Encargado (processor / encargado), solo conforme a las instrucciones del Cliente y al Data Processing Agreement (el "DPA") en inglés.

Si usted es Destinatario de un documento, empleado de un Cliente o cliente de un Cliente, el Cliente decide cómo se usan sus datos. Diríjase primero a esa empresa. Si nos escribe a nosotros, trasladaremos su solicitud al Cliente y le ayudaremos a responder, en los términos de la Privacy Policy (sección 10) y del DPA.

3. Tratamiento y finalidades (cuando DDR es Responsable)

El tratamiento incluye recolección, almacenamiento, uso, circulación y, cuando corresponda, supresión de datos personales. Las finalidades principales son:

DDR no vende datos personales, no los comparte para publicidad comportamental, no los usa para publicidad de terceros y no usa Datos del Cliente para entrenar modelos de inteligencia artificial.

El detalle de categorías y bases de tratamiento aparece en la Privacy Policy en inglés (secciones 3 y 4).

4. Datos sensibles

De acuerdo con la Ley 1581 de 2012 (artículo 5) y el Decreto 1377 de 2013, los datos sensibles incluyen, entre otros, el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, datos relativos a la salud o a la vida sexual, y datos biométricos.

DDR, como Responsable, no recolecta datos biométricos (por ejemplo, huellas dactilares, reconocimiento facial o plantillas biométricas) para identificar o autenticar a las personas en los Servicios.

En one2sign, la firma electrónica se captura como nombre mecanografiado, trazo dibujado o imagen cargada por el firmante; no se trata de un sistema de identificación biométrica operado por DDR. Cualquier foto de perfil (headshot) u otros archivos que un Cliente cargue forman parte de los Datos del Cliente y se tratan bajo el rol de Encargado descrito en la sección 2.2.

DDR no condiciona el uso de los Servicios a que el titular suministre datos sensibles propios de DDR como Responsable.

5. Datos de niños, niñas y adolescentes

Los Servicios están dirigidos a empresas y no están dirigidos a menores. DDR, como Responsable, no recolecta de manera consciente datos personales de menores de 16 años para sus propias finalidades.

Los Clientes pueden almacenar información sobre dependientes de empleados (por ejemplo, para beneficios) como parte de sus propios registros; eso es Dato del Cliente tratado por DDR como Encargado. El Cliente es responsable de cumplir la Ley 1581 de 2012 (artículo 7) y el Decreto 1377 de 2013 (artículo 12) respecto de menores.

6. Derechos del Titular (Ley 1581 de 2012, artículo 8)

Como Titular, usted tiene derecho a:

1. Conocer, actualizar y rectificar sus datos personales frente a DDR (o, cuando corresponda, frente al Encargado).
2. Solicitar prueba de la autorización otorgada, salvo cuando la ley exceptúe la autorización.
3. Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos.
4. Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la Ley 1581 de 2012 y normas complementarias.
5. Revocar la autorización y/o solicitar la supresión del dato cuando el tratamiento no respete los principios, derechos y garantías constitucionales y legales, en los términos de la ley.
6. Acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

Estos derechos se ejercen sin perjuicio de las excepciones legales y de los deberes contractuales o legales de conservación (por ejemplo, registros de facturación).

Respecto de Datos del Cliente, el Cliente es quien decide sobre su solicitud; DDR actuará como Encargado según la sección 2.2.

7. Persona o área responsable de peticiones, consultas y reclamos

8. Procedimiento y plazos (Ley 1581 de 2012, artículos 14 y 15)

8.1 Cómo presentar una solicitud

Envíe un correo a hello@one2sign.com indicando:

• su identificación (nombre completo y, si aplica, documento de identidad);
• descripción clara de la consulta o del reclamo (hechos, derecho que ejerce, datos a los que se refiere);
• dirección de contacto (correo o dirección física); y
• documentos que quiera hacer valer.

DDR podrá solicitar información razonable para verificar su identidad.

8.2 Consultas (artículo 14)

DDR atenderá la consulta en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo. Si no es posible atenderla en ese plazo, se informarán los motivos de la demora y la fecha en que se atenderá, la cual no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

8.3 Reclamos (artículo 15)

El reclamo se tramitará así:

1. Si el reclamo está incompleto, DDR requerirá al interesado dentro de los cinco (5) días siguientes a la recepción para que lo subsane. Transcurridos dos (2) meses desde el requerimiento sin respuesta, se entenderá que ha desistido.
2. Si quien recibe el reclamo no es competente, dará traslado a quien corresponda en máximo dos (2) días hábiles e informará al interesado.
3. Una vez recibido el reclamo completo, se incluirá en la base de datos la leyenda «reclamo en trámite» y el motivo, en un término no mayor a dos (2) días hábiles, hasta que se decida el reclamo.
4. El término máximo para atender el reclamo es de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Si no es posible atenderlo en ese plazo, se informarán los motivos y la fecha de atención, la cual no podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

Antes de presentar queja ante la SIC, el Titular o causahabiente debe agotar el trámite de consulta o reclamo ante DDR (Ley 1581 de 2012, artículo 16).

Las consultas y reclamos sobre Datos del Cliente se remiten al Cliente; DDR ayudará al Cliente a responder según el DPA.

9. Transferencia y transmisión internacional; Encargados

Los Servicios se ejecutan sobre la infraestructura de Cloudflare. DDR solicita a Cloudflare ubicar la base de datos y el almacenamiento de archivos en el este de Norteamérica. Esa ubicación es una solicitud de colocación, no una garantía de residencia: Cloudflare puede almacenar los datos en Canadá o en Estados Unidos, y su red global atiende solicitudes desde el centro de datos más cercano a quien se conecta (que puede estar fuera de Norteamérica). La base de datos de las listas de espera de senots.com está en la ubicación de Cloudflare del oeste de Norteamérica (Canadá o Estados Unidos); tampoco es una garantía de residencia.

Otros proveedores procesan información principalmente en Estados Unidos. En consecuencia, sus datos personales pueden almacenarse y tratarse fuera de Colombia, principalmente en Canadá y Estados Unidos, y pueden ser accesibles a autoridades de esos países conforme a su derecho local.

Para los fines de la Ley 1581 de 2012, DDR informa que utiliza, entre otros, a los siguientes Encargados (subencargados / subprocessors), según la lista publicada en Subprocessors:

La lista actualizada, el aviso de cambios (al menos 30 días antes de un nuevo Encargado, salvo emergencia) y el detalle de salvaguardas contractuales constan en Subprocessors y en el DPA.

DDR celebra contratos con estos Encargados para que traten los datos solo para prestar los Servicios y con medidas de seguridad adecuadas, en los términos del DPA.

Cuando el Titular autorice el tratamiento o resulte aplicable una excepción del artículo 26 de la Ley 1581 de 2012 (por ejemplo, ejecución de un contrato con el Titular), la transferencia internacional se realiza en ese marco. El régimen de adecuación aplicable (incluida la Circular Externa 005 de 2017 de la SIC y sus actualizaciones) respecto de Canadá y Estados Unidos debe confirmarse con un abogado colombiano.

10. Conservación y vigencia de las bases de datos

La fecha de entrada en vigor de esta Política es el 26 de octubre de 2026.

El período de vigencia de las bases de datos es el siguiente, alineado con la Privacy Policy en inglés (sección 7):

La información eliminada puede permanecer en las copias de recuperación del proveedor de base de datos de DDR hasta por 30 días antes de sobrescribirse.

Cumplidas las finalidades y sin perjuicio de obligaciones legales o contractuales de conservación, DDR procederá a la supresión de los datos bajo su control.

11. Autorización

Cuando la ley lo exija, DDR obtendrá la autorización previa, expresa e informada del Titular (Ley 1581 de 2012, artículos 3 y 9), por escrito, de forma oral o mediante conductas inequívocas (Decreto 1377 de 2013, artículo 7). El silencio no constituye autorización. DDR conservará prueba de la autorización cuando corresponda (artículo 8 del mismo decreto).

Usted puede revocar la autorización o solicitar la supresión en los términos de la sección 8, sin perjuicio de los casos en que exista un deber legal o contractual de permanecer en la base de datos.

12. Seguridad

DDR aplica medidas administrativas, técnicas y físicas adecuadas a la sensibilidad de la información, descritas en el Security Overview en inglés. Ningún sistema es perfectamente seguro.

13. Cambios a esta Política

DDR publicará cualquier actualización con un nuevo número de versión y fecha de vigencia. Si un cambio es sustancial (en particular, identificación del Responsable o finalidad del tratamiento), se comunicará a los Titulares antes de implementarlo, en los términos del Decreto 1377 de 2013 (artículo 5) / Decreto 1074 de 2015 (artículo 2.2.2.25.2.2), y se obtendrá nueva autorización cuando el cambio se refiera a la finalidad.

14. Documentos relacionados (versión en inglés que rige)

• Privacy Policy
• Terms of Service
• Data Processing Agreement
• Subprocessors
• Cookie Notice
• Aviso de Privacidad

15. Contacto

DDR Solutions Inc. Attention: Privacy Officer, Deivis Diaz, CEO 120 Adelaide St W, Suite 2500, Toronto, ON M5H 3V1, Canadá Correo: hello@one2sign.com Teléfono: +1 (647) 857-9005