Política de Tratamiento de Datos Personales

1. Identificación del Responsable

Razón social: MASJ TECH SOLUTIONS S.A.S.
NIT: 902044783-1
Domicilio: Bogotá D.C., Colombia
Dirección física: CARRERA 37 68 C 61 SUR
Sitio web: https://masjcommunity.com
Función responsable de atención a titulares: Función de Privacidad y Protección de Datos Personales de MASJ TECH SOLUTIONS S.A.S.
Correo para protección de datos: contacto@masjcommunity.com
Teléfono / WhatsApp: +57 314 2541060
Actividad principal: CIIU 6201 - Actividades de desarrollo de sistemas informáticos

2. Estado, objeto y alcance

Esta política establece las reglas para recolectar, almacenar, usar, consultar, actualizar, circular, transmitir, conservar, suprimir o anonimizar datos personales cuando MASJ actúa como Responsable, y los controles corporativos que aplica cuando trata datos por cuenta de una copropiedad Responsable.

Su alcance comprende el sitio público, la plataforma Web, MASJ Mobile, relaciones comerciales y de soporte, seguridad del servicio, proveedores y bases corporativas. Cada copropiedad debe mantener su propia política y autorizaciones cuando determine las finalidades del tratamiento de su comunidad.

3. Definiciones

Titular: persona natural a quien pertenece la información.
Responsable: persona que decide sobre la base de datos o el tratamiento.
Encargado: persona que trata datos por cuenta del Responsable.
Tratamiento: cualquier operación sobre datos, incluida recolección, almacenamiento, uso, circulación o supresión.
Transmisión: comunicación a un Encargado para tratar datos por cuenta del Responsable, dentro o fuera de Colombia.
Transferencia: envío a otro Responsable del tratamiento.
Dato sensible: información cuyo uso indebido puede afectar la intimidad o generar discriminación.

4. Principios

Legalidad, finalidad legítima e informada y libertad.
Veracidad, calidad, transparencia y acceso del Titular.
Acceso y circulación restringida, seguridad y confidencialidad.
Necesidad, proporcionalidad, minimización, temporalidad y responsabilidad demostrada.
Privacidad desde el diseño y por defecto en cambios relevantes del producto.

5. Titulares, bases y fuentes

MASJ puede tratar datos de residentes, propietarios, arrendatarios, visitantes, guardias, administradores, técnicos, trabajadores, representantes y contactos de clientes, prospectos, proveedores, contratistas, accionistas, colaboradores, usuarios del sitio y personas que solicitan soporte.

La información puede provenir del Titular, de la copropiedad, de personas autorizadas que registran una operación, de integraciones habilitadas, de registros públicos cuando su consulta sea legítima y de eventos técnicos generados al usar el servicio.

6. Categorías de datos

Identificación, contacto, autenticación, rol, estado de cuenta y aceptación legal.
Copropiedad, residencia, unidad, parentesco o relación autorizada con el inmueble.
Visitantes, ingresos, salidas, fotografías operativas, vehículos y parqueaderos.
Paquetería, reservas, reportes, mantenimiento, técnicos y notificaciones.
Saldos, conceptos, pagos, comprobantes, referencias y registros contables; MASJ no almacena por defecto datos completos de tarjetas.
Participación y elegibilidad en votaciones; los votos configurados como anónimos se separan de la identidad.
IP, User-Agent, dispositivo, versión de app, UUID aleatorio de instalación, sesión, logs y eventos de seguridad.
Datos comerciales, contractuales, de facturación, soporte y comunicaciones corporativas.

7. Finalidades cuando MASJ actúa como Responsable

Gestionar relaciones comerciales, contractuales, proveedores, facturación y cartera propias.
Responder contactos, soporte, consultas y reclamos de privacidad.
Autenticar cuentas, proteger sistemas, prevenir fraude y abuso, investigar incidentes y conservar evidencia.
Cumplir obligaciones legales, regulatorias, judiciales, contables, fiscales o contractuales.
Enviar comunicaciones operativas y, solo con autorización cuando corresponda, comunicaciones comerciales revocables.
Mejorar seguridad, accesibilidad y funcionamiento usando información agregada o minimizada, sin vender datos personales.

8. MASJ como Encargado de las copropiedades

Cuando la copropiedad determina las finalidades para administrar su comunidad, actúa normalmente como Responsable y MASJ procesa la información como Encargado tecnológico conforme al contrato o anexo de transmisión y a instrucciones documentadas.

Usar los datos solo para las finalidades e instrucciones autorizadas.
Mantener confidencialidad, separación por tenant y controles de acceso.
No explotar la base de una copropiedad para publicidad, venta, perfilado comercial propio o beneficio de otra copropiedad.
Apoyar consultas, reclamos, incidentes, devolución, portabilidad técnica cuando se pacte y supresión cuando proceda.
Informar al Responsable sobre subencargados y cambios materiales según el contrato aplicable.

9. Recolección, aviso y autorización

Cuando la autorización sea exigible, se solicitará a más tardar al recolectar los datos, de forma previa, expresa e informada y mediante un mecanismo consultable posteriormente. El silencio no constituye autorización.

El aviso informará quién trata los datos, qué datos y finalidades son obligatorios u opcionales, los derechos del Titular, el canal de contacto y cómo acceder a esta política. MASJ conservará evidencia razonable de la autorización cuando sea Responsable.

10. Casos exceptuados de autorización

No se solicitará autorización en los casos previstos legalmente, como requerimientos de una entidad pública o administrativa en ejercicio de sus funciones, orden judicial, datos públicos, urgencia médica o sanitaria y los demás eventos expresamente autorizados por ley. Las demás obligaciones y principios continúan aplicando.

11. Datos sensibles, fotografías y menores

MASJ evitará datos sensibles salvo necesidad estricta y base jurídica válida. Cuando la autorización sea aplicable, informará su carácter facultativo, la finalidad y el derecho a no responder. Las fotografías operativas no se usan actualmente para reconocimiento facial ni identificación biométrica automatizada.

El tratamiento de datos de niños, niñas y adolescentes exige respetar su interés superior, sus derechos prevalentes, escuchar su opinión según madurez y aplicar las reglas de representación.

12. Web, Mobile y almacenamiento local

Web usa cookies de sesión y seguridad y almacenamiento local de preferencias visuales. Mobile usa almacenamiento seguro del sistema para tokens, UUID aleatorio de instalación y preferencia visual; la contraseña no se persiste en la aplicación.

El selector del sistema permite al residente elegir una imagen o PDF como comprobante de pago. El archivo puede copiarse temporalmente a la caché privada antes de enviarse. El flujo Mobile v1 auditado no adjunta archivos en Reportes o Mantenimiento.

13. Inteligencia artificial y decisiones automatizadas

La versión Web/Mobile auditada no utiliza inteligencia artificial generativa, reconocimiento facial, perfilado algorítmico ni decisiones exclusivamente automatizadas que produzcan efectos jurídicos o similares sobre los Titulares.

Antes de usar IA con datos personales, MASJ deberá documentar finalidad, necesidad, datos, proveedor, transferencias, riesgos, intervención humana, seguridad y derechos; realizar una evaluación de impacto; actualizar políticas y contratos; e informar y obtener la autorización que corresponda. Los datos tenant no se usarán para entrenar modelos de terceros sin autorización específica, instrucciones del Responsable y controles contractuales.

14. Publicidad, analítica y finalidades incompatibles

La versión auditada no integra publicidad, identificadores publicitarios, analítica de producto, SDK de seguimiento o crash reporting de terceros en Mobile. MASJ no vende ni alquila datos personales y no los utiliza para publicidad comportamental o perfilado comercial propio.

Una incorporación futura que cambie estas afirmaciones requiere evaluación, minimización, actualización de esta política y de Data Safety y autorización previa cuando sea aplicable.

15. Proveedores y destinatarios

Un proveedor no adquiere derecho a usar los datos para fines propios por prestar un servicio a MASJ. Debe limitarse a las instrucciones, contrato, confidencialidad y seguridad aplicables. Antes de activar esta versión se confirmarán proveedor contratado, servicio, región y rol real.

DigitalOcean: infraestructura, cómputo, base de datos o almacenamiento según el despliegue contratado; puede alojar los datos necesarios del servicio.
Brevo: correo transaccional; puede recibir dirección, nombre, contenido y eventos técnicos necesarios para entregar mensajes.
Cloudflare Turnstile: protección antiabuso en flujos Web habilitados; puede tratar IP, User-Agent, token y señales técnicas del desafío.
Google Play: distribución de la aplicación Android y tratamiento propio de datos de la tienda conforme a su política; Mobile no le envía la base tenant mediante una integración runtime.
Expo/EAS: compilación y entrega técnica del binario; no se identificó como SDK de analítica runtime ni como receptor de la base tenant en Mobile v1.
Mercado Pago: integración Web condicional y deshabilitada por defecto en la configuración productiva auditada; solo recibirá datos de pago necesarios si una copropiedad la habilita con información y contratos aplicables.
Autoridades, jueces, auditores o asesores: únicamente por obligación válida, defensa de derechos, cumplimiento o relación profesional sujeta a reserva.

16. Transmisiones y transferencias internacionales

Los servicios tecnológicos pueden implicar transmisión nacional o internacional. MASJ verificará el rol del destinatario y establecerá alcance, finalidad, ubicación, seguridad, confidencialidad, retorno y supresión en el contrato correspondiente. Una transferencia a un nuevo Responsable se sujetará a las reglas colombianas aplicables y no se confundirá con una transmisión por encargo.

17. Derechos de los Titulares

Conocer, actualizar, rectificar y acceder gratuitamente a sus datos.
Solicitar prueba de autorización cuando corresponda y conocer el uso dado a la información.
Presentar consultas y reclamos; solicitar revocatoria o supresión cuando legalmente proceda.
Ser informado de cambios sustanciales y de incidentes cuando exista deber de comunicación.
Presentar queja ante la Superintendencia de Industria y Comercio después de agotar el trámite correspondiente.

18. Consultas y reclamos

La solicitud debe identificar al Titular o representante, acreditar legitimación, describir lo pedido, aportar contacto y documentos pertinentes y dirigirse al correo de privacidad publicado.
Las consultas se atenderán en máximo diez (10) días hábiles desde su recepción. Si no es posible, se informará el motivo y se responderá dentro de los cinco (5) días hábiles siguientes.
Si un reclamo está incompleto, se requerirá al interesado dentro de cinco (5) días hábiles; transcurridos dos (2) meses sin subsanar se entenderá desistido.
El reclamo completo se atenderá en máximo quince (15) días hábiles desde el día siguiente a su recepción; si no es posible, se informará el motivo y se responderá dentro de los ocho (8) días hábiles siguientes.
Si MASJ no es competente, trasladará la solicitud a quien corresponda dentro de dos (2) días hábiles e informará al interesado. Cuando la copropiedad sea Responsable, MASJ colaborará como Encargado.

19. Conservación, devolución y supresión

Los datos se conservarán durante la finalidad autorizada y los periodos exigidos por obligaciones legales, contables, fiscales, contractuales, de seguridad o defensa. Mientras el servicio esté activo permanecerán disponibles los datos necesarios para operarlo; una suspensión temporal restringe el acceso, pero no equivale por sí sola a terminación ni supresión.

A partir de la terminación efectiva de una copropiedad, MASJ podrá mantener una custodia restringida hasta por un máximo ordinario de cinco (5) años, solo mientras subsista una necesidad legítima y documentada. Este máximo no constituye un mínimo, no aplica automáticamente a todas las categorías y no modifica los periodos especiales que establezcan la ley, el contrato o una instrucción válida.

Cuando MASJ actúe como Encargado del Tratamiento, la custodia posterior a la terminación se realizará conforme al contrato, al anexo de transmisión y a las instrucciones válidas del Responsable. MASJ no ampliará unilateralmente el periodo de conservación de los datos del tenant por fuera de esas instrucciones, las finalidades legítimas aplicables o las obligaciones legales y contractuales correspondientes.

En esa custodia se prohíben la operación ordinaria, publicidad, marketing, perfilado comercial, venta, entrenamiento de inteligencia artificial y cualquier finalidad incompatible. El tratamiento se limita a custodia, continuidad, recuperación, eventual reactivación válidamente solicitada, obligaciones legales o contractuales, seguridad, auditoría, atención de reclamaciones y defensa jurídica.

La devolución, supresión o anonimización procederá antes del máximo cuando desaparezca la finalidad o base que justifica conservar. Vencido el máximo ordinario se realizará la disposición segura, excepto cuando exista deber legal o contractual, litigio, investigación, reclamación abierta, orden de autoridad, instrucción válida del Responsable o necesidad de defensa documentada; la excepción se limitará a los registros necesarios, con motivo, alcance, custodio y revisión.

Las copias de respaldo tienen un ciclo técnico independiente y actualmente se gestionan manualmente. Esta política no afirma respaldos diarios, instantáneas o rotación automáticas, ubicación externa, cifrado específico, RPO, RTO ni recuperación instantánea no demostrados. Si se restaura una copia, deberán reaplicarse las restricciones y disposiciones pendientes.

Cerrar sesión o desactivar una cuenta no equivale a borrar inmediatamente sus registros.

20. Seguridad e incidentes

MASJ aplica medidas administrativas, humanas, contractuales y técnicas razonables y proporcionales, incluidos control de acceso, HTTPS en producción, separación tenant, almacenamiento seguro de credenciales, validación de archivos, auditoría, revocación y copias de respaldo. Ningún sistema puede prometer riesgo cero.

Ante un incidente se contendrá el riesgo, preservará evidencia, evaluará impacto, informará al Responsable cuando MASJ sea Encargado y realizará comunicaciones o reportes a la SIC cuando resulten aplicables.

21. Responsabilidad demostrada y registro

MASJ mantendrá evidencia proporcional de autorizaciones, contratos de transmisión, controles, incidentes, capacitación y revisiones. Evaluará las obligaciones de inscripción o actualización en el Registro Nacional de Bases de Datos según los criterios legales aplicables; esta política no afirma por sí sola que una inscripción sea obligatoria o esté completada.

22. Periodo de vigencia de las bases, entrada en vigencia y cambios

Las bases de datos y tratamientos respecto de los cuales MASJ actúe como Responsable tendrán vigencia mientras subsistan las finalidades legítimas que justifican su tratamiento y durante los periodos adicionales necesarios para atender obligaciones legales o contractuales, reclamaciones, defensa jurídica, seguridad y los periodos específicos definidos en la matriz de retención aplicable.

Cuando MASJ actúe como Encargado respecto de información de una copropiedad, la vigencia del tratamiento estará además sujeta al contrato, a las instrucciones válidas del Responsable y a las obligaciones legales aplicables.

El periodo de vigencia de una base no implica que todas sus categorías de datos deban conservarse durante el mismo plazo. Cada categoría estará sometida a su finalidad, necesidad, instrucciones aplicables y periodo específico de conservación. El máximo ordinario de cinco (5) años de custodia tenant es un techo, no un mínimo ni una regla universal, y no desplaza categorías más cortas ni obligaciones específicas aplicables.

Esta política entra en vigencia el 20 de septiembre de 2026.

Esta versión seguirá sin vigencia hasta completar controles operativos, aprobación interna, fecha efectiva, PDFs finales y autorización de activación. Los cambios sustanciales se comunicarán antes o al implementarse y una finalidad nueva obtendrá autorización previa cuando corresponda.

Marco normativo y fuentes oficiales

Ley 1581 de 2012: https://www1.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=49981
Decreto 1074 de 2015: https://www1.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=76608
Ley 527 de 1999: https://www.suin-juriscol.gov.co/viewDocument.asp?ruta=Leyes%2F1662013
Ley 1480 de 2011: https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=44306
Circular Externa SIC 002 del 7 de octubre de 2025.
Circular Externa SIC 003 del 19 de diciembre de 2025.