Política de Tratamiento de Datos Personales

La presente política se rige por la Ley Estatutaria 1581 de 2012, el Decreto Reglamentario 1377 de 2013, y las demás normas que las complementen, modifiquen o sustituyan, en materia de protección de datos personales en Colombia.

MIMMERS SAS, como operador de la plataforma AVEX, trata datos personales para las siguientes finalidades:

3.1. Como responsable del tratamiento

Datos que recopilamos directamente:

• Atender solicitudes de demostración y contacto comercial recibidas a través del formulario de nuestra página web.
• Gestionar el registro y la autenticación de usuarios administradores de la plataforma.
• Enviar comunicaciones relacionadas con el servicio contratado.
• Cumplir obligaciones legales y regulatorias.
• Gestionar la firma electrónica de los contratos con clientes institucionales y conservar su evidencia con finalidad probatoria: identificar al representante legal firmante con un código de un solo uso enviado a su correo y registrar la fecha y hora, la dirección IP, el agente de usuario y las huellas del contenido de cada firma (Ley 527 de 1999, art. 7; Decreto 2364 de 2012). La base legal es la ejecución del contrato y el interés legítimo de MIMMERS SAS de acreditar su celebración; la autorización del firmante para usar el mecanismo se captura de forma expresa en la página de firma.

3.2. Como encargado del tratamiento

Datos procesados por cuenta de clientes institucionales:

• Generar y gestionar credenciales digitales (pases) en Apple Wallet y Google Wallet por instrucciones del cliente institucional contratante.
• Almacenar y procesar datos de portadores del pase (nombre, identificación, fotografía, vertical, estado de vigencia) únicamente según las instrucciones del responsable.
• Enviar notificaciones y comunicaciones al portador del pase por cuenta del cliente institucional.

De conformidad con el Artículo 8 de la Ley 1581 de 2012, como titular de datos personales usted tiene derecho a:

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización otorgada para el tratamiento de sus datos.
• Ser informado sobre el uso que se ha dado a sus datos personales.
• Revocar la autorización y/o solicitar la supresión de sus datos cuando considere que no se han respetado los principios, derechos y garantías constitucionales y legales.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley.
• Acceder de forma gratuita a sus datos personales objeto de tratamiento.

MIMMERS SAS implementa las siguientes medidas técnicas y organizacionales:

• Cifrado AES-256-GCM para credenciales y datos sensibles almacenados.
• Tokens de autenticación con cookies httpOnly y renovación automática.
• Aislamiento de datos por cliente (multi-tenancy) con controles de acceso por rol.
• Registro de auditoría de todas las operaciones administrativas.
• Copias de seguridad diarias automatizadas con retención local de 7 días, 4 semanas y 3 meses, más una réplica cifrada fuera del sitio con retención de hasta doce (12) meses.

AVEX utiliza tres categorías de cookies con propósitos diferenciados:

• Cookies funcionales de sesión: gestionan la autenticación de usuarios administradores en las áreas privadas de la plataforma. Son de tipo httpOnly, no son accesibles desde JavaScript del navegador, no recopilan datos personales adicionales y no se utilizan para seguimiento entre sitios.
• Cookies analíticas (Google Analytics 4): activas únicamente en las páginas públicas de marketing (avex.com.co y subdominios de marketing). El modo de consentimiento arranca denegado: hasta que el visitante acepta, no se establece ninguna cookie de analítica y el contenedor de etiquetas de Google solo puede recibir señales sin identificadores (Consent Mode). Tras la aceptación se establecen los identificadores pseudónimos por dispositivo _ga y _ga_<id> (vigencia máxima de 2 años) para medir tráfico, fuentes de visita e interacción de forma estadística; el consentimiento otorgado cubre únicamente la analítica, nunca publicidad ni personalización. Estas cookies y el propio contenedor están desactivados en todas las URLs con tokens de capacidad (instalación de pases, verificación, panel administrativo, autenticación, historial de notificaciones y baja de correos) para garantizar que ningún token alcance servidores de terceros. El envío de los datos agregados a Google es una transmisión a un encargado: se ampara en los Términos de Tratamiento de Datos aceptados con Google, que cumplen la función del contrato de transmisión del artículo 25 del Decreto 1377 de 2013 (ver sección 14).
• Cookie de preferencia de consentimiento (avex_consent): propia, sin datos personales; guarda la decisión tomada en el aviso de cookies (aceptar o rechazar) y la fecha, durante 365 días, para no volver a preguntar en cada visita.

El titular puede otorgar o revocar su consentimiento en cualquier momento mediante el botón “Gestionar cookies” disponible en el pie de página del sitio, que reabre el aviso de consentimiento. Adicionalmente puede configurar su navegador para rechazar cookies de terceros, instalar un bloqueador de cookies, o utilizar el complemento oficial de inhabilitación de Google Analytics disponible en tools.google.com/dlpage/gaoptout. La desactivación no afecta el funcionamiento de la plataforma.

Adicionalmente, AVEX utiliza una herramienta de monitoreo de errores auto-hospedada (GlitchTip en infraestructura propia) que captura información técnica de la sesión cuando ocurre un error, con el fin de mejorar la calidad del servicio. Estos datos no se comparten con terceros.

Esta política rige desde su fecha de última actualización, indicada en el encabezado del documento, y permanece vigente hasta que sea sustituida por una versión posterior publicada en esta misma página.

Las bases de datos tendrán una vigencia igual al tiempo en que se mantenga la finalidad del tratamiento o la relación contractual.

Los datos del formulario de contacto se conservarán durante un período máximo de doce (12) meses contados a partir de la solicitud, o hasta que el titular solicite su supresión.

Los datos procesados como encargado se conservarán de acuerdo con las instrucciones del cliente institucional responsable y las condiciones del contrato de prestación de servicios.

La evidencia de firma electrónica de los contratos (nombre, cargo y correo del firmante, dirección IP, agente de usuario, marcas de tiempo, consentimiento aceptado y huellas del contenido y del PDF sellado) se conserva durante diez (10) años contados desde la firma, conforme al artículo 28 de la Ley 962 de 2005 y al artículo 12 de la Ley 527 de 1999, con base en la obligación contractual y el interés legítimo de MIMMERS SAS de acreditar la celebración y el contenido de los contratos; vencido ese plazo se suprime o se anonimiza.

MIMMERS SAS se reserva el derecho de modificar la presente política en cualquier momento. Cualquier cambio será publicado en esta página con la fecha de actualización correspondiente.

Para el vertical de servicios públicos domiciliarios, AVEX opera respetando los estándares de manejo de datos de la Superintendencia de Servicios Públicos Domiciliarios (SSPD). AVEX no declara certificaciones específicas ante este organismo — el cumplimiento concreto corresponde a cada cliente institucional según su habilitación.

De conformidad con el artículo 7 de la Ley 1581 de 2012 y el artículo 12 del Decreto 1377 de 2013, el tratamiento de datos personales de niños, niñas y adolescentes está sujeto a las siguientes condiciones especiales:

• AVEX no recolecta intencionalmente datos personales de menores de edad en sus canales públicos de marketing (avex.com.co y subdominios).
• Cuando un cliente institucional contratante (por ejemplo, una institución educativa en el vertical de educación) incorpora datos de menores de edad a la plataforma para emitir credenciales digitales, dicho cliente actúa como responsable del tratamiento y MIMMERS SAS actúa exclusivamente como encargado del tratamiento — el cliente institucional declara contractualmente haber obtenido la autorización del representante legal del menor antes de cargar los datos a AVEX.
• El tratamiento debe responder y respetar el interés superior del menor y garantizar sus derechos fundamentales (art. 7 Ley 1581).

13.1. Canal para representantes legales

El representante legal de un menor cuyos datos se encuentren tratados por AVEX (como encargado por cuenta de un cliente institucional) puede:

• Solicitar acceso, rectificación o supresión escribiendo al correo dev@avex.com.co (canal de atención de la sección 6) con asunto «Solicitud — Datos de menor de edad», adjuntando documento de identidad del menor, documento del representante legal y prueba del vínculo (registro civil, sentencia de custodia o equivalente).
• Solicitar directamente al cliente institucional responsable (la institución que emitió el pase del menor) — AVEX redirige la solicitud al responsable cuando aplique.

13.2. Proceso de supresión

Una vez verificada la identidad del representante legal y la legitimidad de la solicitud, MIMMERS SAS coordina con el cliente institucional responsable la supresión de los datos del menor en un plazo máximo de quince (15) días hábiles desde la recepción documentable. La supresión incluye:

• Invalidación inmediata del pase digital en Apple Wallet y Google Wallet.
• Eliminación de fotografía y datos de identificación del almacenamiento de objetos cifrado.
• Anonimización de registros transaccionales históricos que conserven evidencia de cumplimiento contractual o legal (los registros se conservan despersonalizados conforme al art. 11 Ley 1581 mientras dure la obligación legal del responsable).
• Notificación documentada al representante legal con la fecha efectiva de supresión.

Texto redactado conforme al marco normativo aplicable (Ley 1581 de 2012, Decreto 1377 de 2013 y Sentencia C-748 de 2011). La revisión por asesoría legal externa especializada está programada como trigger contractual al onboarding del primer cliente institucional que procese datos de menores de edad; cualquier ajuste derivado de esa revisión quedará registrado en la fecha de última actualización del documento.

Algunos servicios técnicos que soportan la plataforma AVEX residen en infraestructura ubicada fuera de Colombia. La normativa distingue dos formas de comunicar datos personales a un tercero, cada una con su propio fundamento:

• Transmisión a encargados (artículos 24 y 25 del Decreto 1377 de 2013): el proveedor trata los datos por cuenta de MIMMERS SAS y bajo sus instrucciones, sin usarlos para fines propios. Es el caso de los proveedores de la sección 15 que operan bajo un acuerdo de tratamiento de datos: Hostinger, Cloudflare, Resend y Google (Google Tag Manager y Google Analytics 4). La transmisión se ampara en el contrato de transmisión que exige el artículo 25 del Decreto 1377 de 2013 —aquí, el acuerdo de tratamiento de datos (Data Processing Agreement / DPA) suscrito con cada proveedor—, que obliga al encargado a tratar los datos conforme a esta política, a proteger su seguridad y a guardar su confidencialidad, y reproduce los deberes del encargado del artículo 18 de la Ley 1581 de 2012. Con ese contrato, la transmisión internacional no requiere ser informada al titular ni contar con su consentimiento (artículo 24 del Decreto 1377 de 2013). Respecto de los datos de portadores de pases, que MIMMERS SAS trata como encargado, estos proveedores actúan como subencargados y su intervención se rige por el contrato con el cliente institucional responsable.
• Transferencia a responsables (artículo 26 de la Ley 1581 de 2012): el receptor decide sobre el tratamiento como responsable. Solo procede hacia países con un nivel adecuado de protección o en alguno de los supuestos de excepción del mismo artículo, entre ellos la autorización expresa e inequívoca del titular. Apple Inc. (Apple Wallet) y Google LLC (Google Wallet) reciben los datos del pase bajo sus propios términos, que les permiten usar esa información también para fines propios; en esa medida actúan como responsables y el envío es una transferencia, que procede porque Estados Unidos es un país con nivel adecuado de protección (inciso primero del artículo 26 de la Ley 1581 de 2012).

Estados Unidos, donde tienen su infraestructura principal los proveedores de la sección 15, figura en la lista de países con nivel adecuado de protección de la Superintendencia de Industria y Comercio (Circular Externa 005 de 2017).

14.1. Países donde se tratan los datos

El inventario de la sección 15 (Encargados y subencargados) detalla el país donde cada proveedor activo trata los datos. Resumen a la fecha de esta política:

• Estados Unidos: Hostinger International Ltd. (VPS — servidor de aplicación, base de datos PostgreSQL y herramienta de monitoreo de errores auto-hospedada GlitchTip), Cloudflare (CDN, protección DDoS, DNS y almacenamiento de objetos R2 — imágenes de pase y réplicas cifradas de respaldos), Resend (entrega de correos transaccionales), Apple Inc. (API de Apple Wallet), Google LLC — Google Wallet API, Google LLC — Google Tag Manager y Google Analytics 4 (analítica activa únicamente en las páginas públicas de marketing). Salvo los envíos a Apple Wallet y Google Wallet, que son transferencias (ver arriba), son transmisiones a encargados, amparadas en los acuerdos de tratamiento de datos (artículos 24 y 25 del Decreto 1377 de 2013), con las garantías descritas en la sección 14.2.

Además, dos servicios distribuidos pueden procesar datos fuera de Estados Unidos, según desde dónde se conecte el visitante: la red de Cloudflare procesa cada petición en el centro de datos al que se conecta el visitante, y Google Analytics 4 recibe las mediciones en el centro de recolección de Google más cercano antes de enviarlas a sus servidores de procesamiento.

14.2. Garantías equivalentes

Para los subencargados ubicados en Estados Unidos, salvo Apple Inc. (Apple Wallet) y Google LLC (Google Wallet), que reciben los datos del pase como responsables y su envío es una transferencia, no una transmisión a encargados (sección 14), MIMMERS SAS confirma:

• Acuerdos de tratamiento de datos (Data Processing Agreements / DPA) firmados con cada proveedor.
• Cifrado en tránsito (TLS 1.2+) y en reposo (AES-256) para todos los datos personales transmitidos.
• Restricción de acceso por roles dentro de cada plataforma proveedora.
• Compromiso contractual del proveedor de no usar los datos para finalidades distintas a las contratadas.
• Procedimientos documentados de notificación de incidentes que afecten datos personales (Art. 17(n) Ley 1581).

El titular puede solicitar copia de los acuerdos vigentes con cada subencargado escribiendo al buzón de Habeas Data indicado en la sección 6.

MIMMERS SAS contrata los siguientes proveedores para operar funciones técnicas de la plataforma AVEX. Cada uno es encargado o subencargado, cuenta con acuerdo de tratamiento de datos vigente y procesa los datos exclusivamente bajo instrucción documentada de MIMMERS SAS, salvo Apple Inc. (Apple Wallet) y Google LLC (Google Wallet), que reciben los datos del pase como responsables y su envío es una transferencia, no una transmisión a encargados (sección 14):

• Cloudflare R2 — almacenamiento de objetos (API S3)

  País donde se tratan los datos

  Estados Unidos

  Finalidad

  Almacenamiento cifrado de fotografías, logos institucionales y assets de pase.

  Datos compartidos

  Fotografía del portador, logo institucional, assets gráficos.

  Política de privacidad

  cloudflare.com/privacypolicy

• Hostinger International Ltd. — VPS

  País donde se tratan los datos

  Estados Unidos

  Finalidad

  Alojamiento del servidor de aplicación, base de datos PostgreSQL y herramienta auto-hospedada de monitoreo de errores (GlitchTip).

  Datos compartidos

  Acceso a la infraestructura subyacente: los datos personales residen en servidores gestionados por el proveedor a nivel de host; los respaldos diarios se replican fuera del servidor cifrados con AES-256 y las credenciales sensibles se cifran a nivel de columna en la base de datos.

  Política de privacidad

  hostinger.com/legal/privacy-policy

• Cloudflare

  País donde se tratan los datos

  Estados Unidos (R2); las peticiones, en el centro de datos de la red global de Cloudflare al que se conecta el visitante

  Finalidad

  Red de distribución de contenido (CDN), protección DDoS, resolución DNS para avex.com.co y almacenamiento de objetos R2.

  Datos compartidos

  Dirección IP del visitante, metadata de petición HTTP (anonimizada para analítica). En R2: los assets de pase descritos en la tarjeta de almacenamiento y las réplicas diarias de los respaldos de la base de datos, cifradas del lado del cliente (AES-256) antes de salir del servidor — Cloudflare no puede leer su contenido.

  Política de privacidad

  cloudflare.com/privacypolicy

• Resend

  País donde se tratan los datos

  Estados Unidos

  Finalidad

  Entrega de correos transaccionales (invitaciones, notificaciones, restablecimiento de contraseña).

  Datos compartidos

  Correo electrónico del destinatario, nombre, contenido del mensaje transaccional.

  Política de privacidad

  resend.com/legal/privacy-policy

• GlitchTip — auto-hospedado en infraestructura de MIMMERS

  País donde se tratan los datos

  Estados Unidos — co-localizado con el VPS principal

  Finalidad

  Monitoreo de errores backend y reportes CSP. El software es de un tercero (open-source); los datos no salen del VPS de MIMMERS.

  Datos compartidos

  Identificadores de usuario y trazas técnicas de error (sin contenido sensible).

  Política de privacidad

  Esta misma política (auto-hospedado)

• Apple Inc. — Apple Wallet API

  País donde se tratan los datos

  Estados Unidos

  Finalidad

  Emisión y actualización de pases digitales (.pkpass) en Apple Wallet.

  Datos compartidos

  Nombre del portador, número de pase, vertical, vigencia, imagen del pase.

  Política de privacidad

  apple.com/legal/privacy

• Google LLC — Google Wallet API

  País donde se tratan los datos

  Estados Unidos

  Finalidad

  Emisión y actualización de pases digitales en Google Wallet.

  Datos compartidos

  Nombre del portador, número de pase, vertical, vigencia, imagen del pase.

  Política de privacidad

  policies.google.com/privacy

• Google LLC — Google Tag Manager y Google Analytics 4

  País donde se tratan los datos

  Estados Unidos; la recolección, en el centro de datos de Google más cercano al visitante

  Finalidad

  Analítica agregada de tráfico activa únicamente en las páginas públicas de marketing (avex.com.co y subdominios). Suprimida por configuración en todas las URLs con tokens de capacidad.

  Datos compartidos

  Dirección IP anonimizada (GA4 no registra la dirección IP completa), eventos de navegación, identificadores agregados _ga y _ga_<id>. No incluye tokens, contraseñas, ni datos del portador del pase.

  Política de privacidad

  policies.google.com/privacy

Esta lista se mantiene actualizada en el mismo ciclo de despliegue que cualquier nueva integración con tercero que procese datos personales. El titular puede solicitar copia de los acuerdos de tratamiento (DPA) firmados con cada subencargado escribiendo al buzón de Habeas Data indicado en la sección 6.