Título I. Objetivo, alcance, destinatarios y definiciones
1. Objetivo
Establecer los criterios para la recolección, almacenamiento, uso, circulación y supresión de los datos personales que Fyrelis S.A.S. trata a través de Fyrelis, en cumplimiento de la Ley 1581 de 2012, el Decreto 1377 de 2013 y las normas que los modifiquen, adicionen o sustituyan, respecto de los firmantes, las empresas que envían documentos, los usuarios del panel, los clientes de la API, los proveedores y cualquier otra persona cuyos datos sean objeto de tratamiento.
2. Alcance
Esta política aplica a toda la información personal registrada en las bases de datos de Fyrelis, tanto cuando Fyrelis S.A.S. actúa como responsable del tratamiento como cuando actúa como encargado por cuenta de las empresas que envían documentos a firmar. Es de obligatorio cumplimiento para la Empresa y para todas las personas que, en su nombre, administren sus bases de datos.
3. Destinatarios
Está dirigida a los titulares de los datos, para que conozcan los tratamientos y las finalidades a los que serán sometidos sus datos y los derechos que pueden ejercer; a las empresas remitentes, que se obligan a cumplirla en lo que les corresponde como responsables; y a los colaboradores y proveedores de Fyrelis S.A.S..
4. Definiciones
Autorización: consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de sus datos personales.
Aviso de privacidad: comunicación del responsable dirigida al titular mediante la cual se le informa la existencia de esta política, la forma de acceder a ella y las finalidades del tratamiento.
Base de datos: conjunto organizado de datos personales que sea objeto de tratamiento.
Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
Dato sensible: el que afecta la intimidad del titular o cuyo uso indebido puede generar su discriminación, entre ellos los datos biométricos. En Fyrelis el único dato sensible que puede recogerse es la fotografía del firmante.
Responsable del tratamiento: quien decide sobre la base de datos y el tratamiento. En Fyrelis es la empresa remitente respecto de los datos de sus firmantes, y Fyrelis S.A.S. respecto de las cuentas, los usuarios del panel y los clientes de la API.
Encargado del tratamiento: quien realiza el tratamiento por cuenta del responsable. Fyrelis S.A.S. es encargado respecto de los datos de los firmantes, y sus proveedores de alojamiento y mensajería son encargados respecto de los datos que ella les transmite.
Titular: persona natural cuyos datos personales son objeto de tratamiento.
Firmante: la persona a la que una empresa remitente le envía un documento para que lo firme por medio de Fyrelis.
Empresa remitente: la persona jurídica o natural que, con una cuenta en Fyrelis o a través de su API, envía un documento a firmar.
Código de un solo uso: clave numérica temporal que se envía al firmante por correo, SMS o WhatsApp y que debe teclear para firmar.
Constancia de firma: las páginas que Fyrelis añade al documento firmado con el detalle de cada firma: quién, cuándo, por qué canal se verificó, el texto que aceptó, la rúbrica y, si la hubo, la fotografía.
Huella: valor resumen criptográfico (SHA-256) de un archivo, que cambia si cambia un solo byte del archivo.
Transmisión: comunicación de datos personales a un encargado, dentro o fuera de Colombia, para que los trate por cuenta del responsable.
Transferencia: envío de datos personales a un tercero que a su vez es responsable del tratamiento, dentro o fuera del país.
Tratamiento: cualquier operación sobre datos personales: recolección, almacenamiento, uso, circulación o supresión.
Título II. Responsable, papeles y finalidades
5. Responsable del tratamiento
Fyrelis S.A.S., sociedad comercial constituida bajo las leyes de la República de Colombia, identificada con NIT 901939766, con domicilio principal en Barranquilla, Atlántico, Colombia, correo electrónico soporte@fyrelis.com y sitio web https://fyrelis.com.
6. Los dos papeles de Fyrelis
6.1. Como encargado. Cuando una empresa remitente envía un documento a firmar, ella es la responsable de los datos de sus firmantes: decidió recogerlos, con qué finalidad y durante cuánto tiempo, y es ella quien debe contar con la autorización del titular o con una causa legal para tratarlos. Fyrelis S.A.S. los trata por su cuenta, únicamente para que el documento se firme, se selle y la firma quede probada, y conforme a las instrucciones de la empresa dentro de los límites de esta política. No los usa para fines propios ni los comunica a terceros distintos de los encargados del numeral 12.
6.2. Como responsable. Fyrelis S.A.S. es responsable de los datos de quienes abren una cuenta, de los usuarios del panel y sus accesos, de los clientes de la API y de quienes se comunican con la Empresa por sus canales de atención.
7. Tratamiento y finalidades
Los datos personales se tratan para las siguientes finalidades:
- Permitir la suscripción de documentos por medios electrónicos y generar y conservar la evidencia que atribuye la firma a su autor y acredita la integridad del documento (artículos 7 y 12 de la Ley 527 de 1999 y Decreto 2364 de 2012).
- Verificar que quien firma es la persona a la que se envió el documento, mediante el número de identificación y el código de un solo uso, y prevenir el fraude y la suplantación.
- Entregar al firmante y a la empresa remitente el documento firmado y su constancia, y notificar a la empresa remitente los eventos de la firma por el panel o por sus sistemas.
- Permitir la verificación pública de que un documento firmado no ha cambiado, comparando su huella con la registrada.
- Prestar el servicio a las empresas remitentes: administrar su cuenta, su saldo de firmas, sus solicitudes y sus usuarios.
- Registrar quién accede al panel y qué consulta, como medida de seguridad y de responsabilidad frente a los datos de terceros que allí se muestran.
- Atender peticiones, consultas y reclamos, y cumplir obligaciones legales y requerimientos de autoridad competente.
Los datos técnicos y la evidencia de firma no se utilizan para publicidad, elaboración de perfiles ni seguimiento fuera del propio servicio. Fyrelis S.A.S. no envía comunicaciones comerciales a los firmantes.
7.1. Tratamiento de datos sensibles
El único dato sensible que Fyrelis puede recoger es la fotografía del firmante, tomada con su cámara en el momento de firmar, como constancia de quién estaba presente. Solo se recoge cuando la empresa remitente lo exige para ese documento en concreto, y siempre con autorización explícita, previa e independiente del titular, otorgada en una casilla separada de la aceptación general. El titular es informado de que la entrega es facultativa y de que puede negarse, caso en el cual no firma por este medio y puede pedir otro a la empresa remitente. No se usa ningún otro dato biométrico ni se realiza cotejo facial automatizado.
Fuera de ese caso, está prohibido el tratamiento de datos sensibles, salvo en los eventos del artículo 6 de la Ley 1581 de 2012.
7.2. Datos de niños, niñas y adolescentes
Fyrelis no está dirigido a menores de edad y la empresa remitente se obliga a no enviar documentos a firmar a menores salvo en los casos en que la ley lo permita, con la autorización de su representante legal y respetando su interés superior y sus derechos fundamentales.
Título III. Derechos de los titulares y autorización
8. Derechos de los titulares
Los titulares tienen los derechos previstos en la Constitución y en el artículo 8 de la Ley 1581 de 2012, en especial:
- Conocer, actualizar y rectificar sus datos frente al responsable o al encargado.
- Solicitar prueba de la autorización otorgada, salvo cuando la ley no la exija.
- Ser informados, previa solicitud, del uso que se ha dado a sus datos.
- Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a la ley.
- Revocar la autorización y solicitar la supresión del dato cuando no se respeten los principios, derechos y garantías legales, siempre que no exista un deber legal o contractual de conservarlo. Los documentos firmados y su evidencia están sujetos al deber de conservación del numeral 15.
- Acceder en forma gratuita a sus datos personales objeto de tratamiento.
- Abstenerse de entregar datos sensibles.
9. Autorización del titular
El tratamiento requiere la autorización previa, expresa e informada del titular, obtenida por un medio que pueda ser objeto de consulta posterior. En Fyrelis se obtiene así:
- Al firmar. Antes de firmar, el titular lee y marca una casilla con el texto de aceptación, que incluye el acuerdo de firmar por medios electrónicos y la autorización a la empresa remitente, como responsable, y a Fyrelis S.A.S., como encargado, para tratar su nombre, identificación, correo, celular, dirección IP y el registro de la firma, con la sola finalidad de firmar el documento y probar la firma. El texto exacto que aceptó, con fecha y hora, queda copiado en la constancia de firma.
- Para la fotografía. Una casilla independiente, que informa que el dato es sensible y la entrega voluntaria. Sin marcarla, la cámara no se abre.
- Al abrir una cuenta. Quien registra una empresa acepta esta política al crear la cuenta; la fecha de creación queda registrada.
- Antes del envío. La empresa remitente garantiza que cuenta con la autorización del firmante, o con otra causa legal, para entregar a Fyrelis su nombre, identificación, correo y celular con el fin de pedirle la firma.
9.1. Casos en que no es necesaria la autorización
Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; datos de naturaleza pública; casos de urgencia médica o sanitaria; tratamiento autorizado por la ley para fines históricos, estadísticos o científicos; y datos relacionados con el registro civil de las personas.
Título IV. Suministro de la información
10. Suministro de la información
La información solicitada por los titulares se suministra por medios electrónicos, o por otro medio si el titular lo requiere, sin barreras técnicas que impidan su acceso y en un contenido de fácil lectura que corresponda a lo que reposa en la base de datos. El firmante puede además descargar en cualquier momento, desde su enlace y mientras esté vigente, el documento firmado con su constancia, que contiene la evidencia de su firma.
10.1. Deber de informar al titular
Al solicitar la autorización se informa al titular el tratamiento al que serán sometidos sus datos y su finalidad, el carácter facultativo de la entrega de datos sensibles, los derechos que le asisten y la identificación, dirección y teléfono del responsable. Fyrelis S.A.S. conserva prueba del cumplimiento de este deber —el texto aceptado, con fecha y hora, en la constancia de cada firma— y entrega copia al titular cuando la solicite.
10.2. Personas a quienes se les puede suministrar la información
- A los titulares, sus causahabientes o sus representantes legales.
- A la empresa remitente, respecto de los documentos que ella envió y la evidencia de sus firmas.
- A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial.
- A los terceros autorizados por el titular o por la ley.
Título V. Deberes y transmisión de datos
11. Deberes de Fyrelis S.A.S.
11.1. Como responsable. Garantizar al titular el pleno y efectivo ejercicio del derecho de hábeas data; solicitar y conservar copia de la autorización; informar la finalidad de la recolección y los derechos del titular; conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado; actualizar y rectificar la información; suministrar a los encargados únicamente datos cuyo tratamiento esté autorizado; exigir a los encargados el respeto a las condiciones de seguridad y privacidad; tramitar las consultas y reclamos en los términos de la ley; e informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información.
11.2. Como encargado, por cuenta de las empresas remitentes. Tratar los datos de los firmantes solo para las finalidades del numeral 7 y conforme a las instrucciones de la empresa remitente; conservar la información bajo las condiciones de seguridad del numeral 13; permitir el acceso únicamente a las personas autorizadas; realizar oportunamente la actualización, rectificación o supresión que la empresa remitente le comunique, dentro de los cinco (5) días hábiles siguientes; tramitar las consultas y reclamos de los titulares y remitirlos a la empresa remitente; registrar la leyenda «reclamo en trámite» cuando corresponda; abstenerse de circular información controvertida por el titular cuyo bloqueo haya ordenado la Superintendencia; informar a la empresa remitente y a la Superintendencia de los incidentes de seguridad; y cumplir las instrucciones y requerimientos de la autoridad.
11.3. Deberes de la empresa remitente. Como responsable de los datos de sus firmantes, la empresa remitente se obliga a contar con la autorización o la causa legal para tratarlos y para entregarlos a Fyrelis; a exigir la fotografía solo cuando el documento lo justifique; a atender las consultas y reclamos de sus firmantes; y a usar el documento firmado y su constancia únicamente para la finalidad para la que pidió la firma.
12. Transmisión y transferencia de datos personales
Fyrelis S.A.S. transmite datos personales únicamente a los encargados que necesita para operar el servicio:
- Alojamiento de la aplicación y de la base de datos en proveedores de nube, donde residen los documentos, las evidencias y los registros.
- Envío de correo electrónico, por el que llegan los enlaces de firma, los códigos de un solo uso y los documentos firmados.
- Envío de SMS y de mensajes de WhatsApp, por los que llega el código de un solo uso cuando el firmante lo pide por ese canal. Al proveedor se le entrega solo el número de celular y el texto del mensaje.
Algunos de estos proveedores están ubicados fuera de Colombia. La transmisión se ampara en un contrato de transmisión de datos personales que fija el alcance del tratamiento, las actividades que el encargado realiza por cuenta de Fyrelis S.A.S. y sus obligaciones frente al titular y al responsable, entre ellas tratar los datos conforme a esta política, salvaguardar la seguridad de las bases de datos y guardar confidencialidad.
La entrega del documento firmado y su constancia a la empresa remitente no es una transferencia a un tercero: la empresa es la responsable de esos datos desde el principio. Fyrelis S.A.S. no transfiere datos personales a otros responsables, salvo requerimiento de autoridad competente.
Título VI. Seguridad, evidencia y conservación
13. Medidas de seguridad
- Los documentos y las evidencias no tienen dirección pública. Se sirven únicamente a través del enlace personal del firmante —un código opaco con vencimiento, que se renueva si el documento se reenvía— o del panel y la API, que exigen autenticación.
- El código de un solo uso no se almacena en texto claro: se guarda un resumen criptográfico con clave, caduca, y se limita el número de intentos y la frecuencia de reenvío.
- Las contraseñas del panel se guardan con una función de derivación de claves (scrypt) y nunca en texto claro. La sesión del panel dura doce horas.
- De cada rúbrica, fotografía y documento firmado se guarda su huella SHA-256, de modo que cualquier alteración posterior se detecta.
- La bitácora de eventos es de solo escritura: la firma se guarda antes de registrarse y los eventos no se eliminan.
- Los enlaces de firma no se escriben en los registros de acceso del servidor de Fyrelis S.A.S., para que el código del enlace no quede en archivos que se rotan y respaldan.
- Se accede al panel por usuario y contraseña y se registra cada entrada.
- La información se respalda periódicamente y se comprueba la restauración.
14. Datos técnicos y evidencia de firma electrónica
Cuando el titular abre un enlace de firma, pide un código o firma un documento, Fyrelis recoge y conserva, además de los datos que le entregó la empresa remitente y de los que el titular aporta, la siguiente información:
- Dirección IP desde la que se realiza cada paso.
- Navegador y dispositivo (agente de usuario).
- Fecha y hora del envío del enlace, de su apertura, del envío y la comprobación del código, de la firma, del rechazo o del vencimiento, y de cada reenvío.
- El canal —correo, SMS o WhatsApp— y la dirección o el número a los que se envió el código de un solo uso, y el resultado de su verificación. El código no se almacena en texto claro.
- La rúbrica, dibujada o compuesta a partir del nombre tecleado, con indicación de cuál de las dos fue; el nombre tal como se tecleó; y la huella SHA-256 de la imagen.
- La fotografía, únicamente cuando se exigió y se autorizó, y su huella SHA-256.
- El texto de aceptación que el titular marcó, y el de autorización de la fotografía si la hubo, con fecha y hora.
- La huella SHA-256 del documento original y del documento sellado, y la versión del documento que el titular tuvo a la vista.
Estos datos se recogen con la finalidad exclusiva de (i) atribuir de forma confiable la firma a su autor, conforme al artículo 7 de la Ley 527 de 1999 y al Decreto 2364 de 2012; (ii) acreditar la integridad del documento firmado; (iii) constituir la prueba del consentimiento y de la autorización otorgada; y (iv) prevenir el fraude y la suplantación. No se utilizan para publicidad, elaboración de perfiles ni seguimiento fuera del propio servicio.
El conjunto de estos datos se consolida en la constancia de firma que se añade al documento sellado. El titular descarga el documento sellado, con su constancia, desde su mismo enlace una vez firmado, y puede pedir copia en cualquier momento por los canales del numeral 16.
15. Conservación de documentos y mensajes de datos
Los documentos firmados, sus constancias, la bitácora de eventos y las huellas se conservan por un término mínimo de diez (10) años, contados desde el último movimiento del documento, en cumplimiento del artículo 28 de la Ley 962 de 2005 y de las normas concordantes del Código de Comercio. Cuando el documento sea soporte de una reclamación o de un proceso judicial, la conservación se extiende hasta que el asunto quede resuelto en firme.
La conservación se realiza en medios electrónicos de forma que, conforme al artículo 12 de la Ley 527 de 1999, la información sea accesible para consulta posterior, el documento se conserve en el formato en que se generó o en uno que lo reproduzca con exactitud, y se conserven los datos que permiten determinar el origen, el destino, la fecha y la hora de cada mensaje.
Los demás datos se conservan así:
- Códigos de un solo uso: veinticuatro (24) horas desde su emisión.
- Enlaces de firma: hasta el vencimiento de la solicitud. Un documento vencido, rechazado o cancelado conserva su bitácora, pero no se puede firmar.
- Registro de accesos al panel: un (1) año.
- Datos de la cuenta y de los usuarios del panel: mientras la cuenta esté activa y, después, lo que exija el deber de conservación de los documentos firmados con ella.
Vencido el término legal, y siempre que no subsista un deber legal o contractual de conservación, la información se suprime de manera que no permita su recuperación, incluidas las copias de seguridad al rotar.
Título VII. Procedimientos, modificaciones y vigencia
16. Atención de peticiones, consultas y reclamos
Las peticiones, consultas y reclamos para conocer, actualizar, rectificar y suprimir datos, o revocar la autorización, se dirigen a:
- Correo electrónico: soporte@fyrelis.com
- Dirección: Barranquilla, Atlántico, Colombia
Si el titular es firmante de un documento enviado por una empresa remitente, puede dirigirse a ella directamente, como responsable. Si se dirige a Fyrelis S.A.S., esta le da trámite en los plazos de este numeral e informa a la empresa remitente.
16.1. Consultas. Deben contener el nombre y la identificación del titular o de su representante, lo que se pretende consultar y un medio para recibir la respuesta. Se atienden en un término máximo de diez (10) días hábiles contados desde la fecha de recibo. Cuando no sea posible atenderlas en ese término, se informa al interesado antes de su vencimiento, expresando los motivos y la fecha en que se atenderá, que no superará los cinco (5) días hábiles siguientes.
16.2. Reclamos. Deben contener la identificación del titular, la descripción de los hechos que dan lugar al reclamo, el derecho que se desea ejercer, un medio para recibir la respuesta y los documentos que se quieran hacer valer. Si el reclamo está incompleto, se requiere al interesado dentro de los cinco (5) días siguientes para que lo subsane; transcurridos dos (2) meses sin respuesta, se entiende desistido. Recibido el reclamo completo, se incluye en la base de datos la leyenda «reclamo en trámite» y el motivo, en un término no mayor a dos (2) días hábiles, hasta que se decida. El término máximo para atenderlo es de quince (15) días hábiles contados desde el día siguiente a su recibo; cuando no sea posible, se informa al interesado los motivos y la fecha en que se atenderá, que no superará los ocho (8) días hábiles siguientes.
16.3. Supresión. Cuando proceda, la supresión se realiza de manera que no permita la recuperación de la información. El titular debe tener en cuenta que los documentos firmados y su evidencia permanecen durante el término del numeral 15 por deber legal, y que la supresión opera sobre el tratamiento activo distinto de esa conservación.
El titular solo puede elevar queja ante la Superintendencia de Industria y Comercio una vez agotado el trámite de consulta o reclamo ante el responsable o el encargado.
17. Modificaciones
Fyrelis S.A.S. puede modificar esta política en cualquier momento. Los cambios se publican en https://fyrelis.com/legal con su fecha de vigencia. Cuando el cambio sea sustancial —en la identificación del responsable o en la finalidad del tratamiento— se comunica a los titulares por los medios habituales de contacto y, si afecta la finalidad, se obtiene una nueva autorización.
18. Vigencia
La presente Política de Tratamiento de Datos Personales rige a partir del 9 de octubre de 2026. Las bases de datos tienen una vigencia igual al tiempo en que se mantenga y utilice la información para las finalidades descritas; cumplidas estas, y siempre que no exista un deber legal o contractual de conservación, los datos se eliminan.