Seguridad, privacidad y ciclo de vida de los datos
Objetivo
Tratar los datos personales y de las empresas clientes según la ley y protegerlos durante todo su ciclo de vida.
Roles frente a los datos
- ELEMENTHOR es responsable de los datos de sus propios clientes y visitantes (cuentas, pagos, contacto).
- ELEMENTHOR es encargado de los datos que cada empresa cliente guarda en sus apps (casos, clientes, empleados, nómina). La empresa cliente es la responsable y dueña de esos datos.
Clasificación
- Restringida: datos de nómina y salarios, documentos de identidad, datos de salud de empleados, claves y llaves.
- Confidencial: el resto de la información de las empresas clientes y de sus personas.
- Interna: información operativa de ELEMENTHOR.
- Pública: lo publicado en el sitio web.
Inventario, flujo y ubicación
El inventario de datos, su clasificación, por dónde viajan y dónde se guardan y respaldan está en el documento "Inventario y flujo de datos" y se revisa cada año.
Medidas
- Cada empresa tiene su propia carpeta de datos y su propio proceso, separados de las demás.
- Acceso por roles y mínimo privilegio; cifrado en tránsito; copias diarias verificadas.
- Privacidad por defecto: las apps no publican nada sin que la empresa lo decida, y las integraciones e IA están apagadas hasta que la empresa las activa.
- No se usan datos de producción de los clientes para pruebas. Si alguna vez fuera necesario (por ejemplo para resolver una falla que pide el cliente), se hace con su autorización escrita y se borran al terminar.
- Antes de tratar datos de una forma nueva que pueda afectar a las personas (por ejemplo un nuevo producto con datos sensibles), se hace una evaluación de impacto de privacidad y se registra como riesgo.
Derechos de los titulares
Las personas pueden consultar, corregir, actualizar o pedir que se borren sus datos escribiendo a support@elementhor.com. Se responden las consultas en máximo 10 días hábiles y los reclamos en máximo 15 días hábiles (Ley 1581 de 2012). Cuando la solicitud es sobre datos de una empresa cliente, se le traslada a ella como responsable. Cada solicitud queda en Consola → Seguridad y cumplimiento → Solicitudes de titulares.
Subencargados y transferencias
Los proveedores que tratan datos (subencargados) están en el registro de proveedores y en la Política de tratamiento de datos publicada en elementhor.com/privacidad, que informa la transmisión internacional (servidores en Estados Unidos).
Retención y borrado
- Los datos se conservan mientras la empresa tenga cuenta o mientras la ley lo exija.
- Al cancelar, la empresa puede descargar toda su información; después se borran sus datos del servidor y salen de las copias a medida que estas se renuevan (7 copias en el servidor y lo que indique la retención configurada en S3).
- El borrado en la nube lo hace el proveedor con métodos que impiden recuperar la información.
Solicitudes de autoridades
Si una autoridad pide datos de una empresa cliente: se verifica que la orden sea legal y competente, se entrega solo lo exigido, y se avisa a la empresa cliente antes de entregar, salvo que la ley lo prohíba. Cada solicitud queda registrada.
Revisión
Este documento se revisa al menos una vez al año y cada vez que haya un cambio importante en el servicio, en la infraestructura o en la ley. La revisión y la aprobación quedan registradas en Consola → Seguridad y cumplimiento, con su versión y fecha.
Sobre este documento
Esta es la versión 1 de la política, aprobada el 2026-11-12. Forma parte del programa de seguridad de la información de ELEMENTHOR, que cubre los 17 dominios de la Cloud Controls Matrix de la Cloud Security Alliance y aplica a OSNEX Service Desk, CRM, HCM y Nómina. Cada política tiene un responsable, se revisa al menos una vez al año y cada revisión queda registrada con su fecha y su versión.
Si tu empresa está evaluando a ELEMENTHOR como proveedor y necesita más detalle, por ejemplo el cuestionario de seguridad, el modelo de responsabilidad compartida o la lista de componentes del servicio, escríbenos a support@elementhor.com y te respondemos por correo.