Política de tratamiento de datos personales

En novameent conviven dos tratamientos distintos, con roles distintos:

• novameent como Responsable: de los datos de las personas que crean una cuenta (nombre, correo, datos de facturación del servicio). Los usamos para prestar el servicio, facturarlo, dar soporte y enviar comunicaciones operativas.
• novameent como Encargado: de los datos que cada empresa cliente (el Responsable) carga en su contabilidad: sus clientes, proveedores y empleados. Esos datos se tratan solo bajo las instrucciones del cliente y según el capítulo de encargo de tratamiento de los Términos y condiciones. Si tus datos aparecen en la contabilidad de una empresa que usa novameent, esa empresa es la responsable de tu información y el primer canal para ejercer tus derechos.

Tratamos datos personales exclusivamente para: (a) crear y operar las cuentas de usuario; (b) llevar la contabilidad de cada organización; (c) emitir y recibir documentos electrónicos ante la DIAN a través de un proveedor tecnológico habilitado; (d) liquidar nómina y aportes de seguridad social (PILA); (e) preparar declaraciones y reportes; (f) facturar y cobrar el servicio; y (g) cumplir deberes legales de conservación y auditoría. No vendemos datos ni los usamos para publicidad de terceros.

La nómina incluye datos sensibles: afiliaciones a EPS y ARL, nivel de riesgo laboral y pensión de alto riesgo. Su tratamiento se ampara en el cumplimiento de las obligaciones del empleador en materia de seguridad social (excepción del art. 6 lit. b de la Ley 1581 de 2012 y art. 6 del Decreto 1377 de 2013): sin esos datos no es posible liquidar aportes ni transmitir la nómina electrónica. El acceso a la información dentro de la plataforma se limita según el rol y los permisos de cada usuario de la organización.

Como titular puedes:

• Consultar tus datos: respondemos en máximo diez (10) días hábiles desde el recibo de la solicitud (art. 14, Ley 1581 de 2012).
• Reclamar (corregir, actualizar o suprimir): respondemos en máximo quince (15) días hábiles (art. 15, Ley 1581 de 2012).
• Revocar la autorización y pedir la supresión de los datos no amparados por un deber legal de conservación.

Canal de contacto: soporte@novameent.com. Si tus datos están en la contabilidad de una empresa cliente, dirige primero la solicitud a esa empresa; nosotros la apoyaremos como encargados.

Supresión selectiva (anonimización): la plataforma permite a cada empresa anonimizar los datos de un tercero o de un empleado retirado: el nombre y los datos de contacto y bancarios se eliminan de forma irreversible, conservando únicamente el número de documento y los valores contables que la ley obliga a retener (art. 60 del Código de Comercio: libros por 10 años; soportes de seguridad social para fiscalización UGPP). Cada anonimización queda registrada en la bitácora de auditoría con su justificación, sin copiar los datos suprimidos.

La infraestructura del servicio (cómputo, base de datos y almacenamiento de archivos) opera en centros de datos fuera de Colombia, principalmente en Estados Unidos, país declarado con nivel adecuado de protección por la Circular Externa 005 de 2017 de la SIC. La transmisión de datos del cliente hacia novameent y sus subencargados se ampara en el contrato de transmisión del capítulo 3 de los Términos (art. 25 del Decreto 1377 de 2013), que no requiere autorización adicional del titular. Los subencargados (Railway, Cloudflare R2, Matias API, Anthropic, Google, Resend, Polar) están listados y descritos en ese capítulo.

Conservamos los datos mientras la cuenta esté activa y, después, según el deber legal aplicable: la información contable y sus soportes por mínimo diez (10) años (art. 60 del Código de Comercio, mod. art. 28 de la Ley 962 de 2005), los soportes tributarios por el término de firmeza de las declaraciones, y los soportes de nómina y seguridad social por los términos de fiscalización de la UGPP. Al terminar el servicio la organización se archiva en modo de solo lectura con exportación integral disponible; lo no amparado por deber legal se suprime a solicitud.

Aplicamos aislamiento por organización con verificación de permisos en cada petición, roles y permisos por usuario, cifrado de credenciales, bitácora de auditoría inmutable con cadena de integridad verificable y candados de base de datos sobre los registros contables. Los incidentes de seguridad que afecten datos personales se gestionan conforme a nuestro procedimiento interno de respuesta a incidentes, incluida la notificación a la SIC dentro de los quince (15) días hábiles siguientes cuando proceda (Título V, Circular Única SIC).

Publicaremos cualquier cambio en esta página con nueva fecha de versión y anunciaremos por correo los cambios sustanciales.