Transferencias y Transmisiones Internacionales

Transferencia vs. Transmisión

La Ley 1581 de 2012 distingue dos figuras que tienen consecuencias jurídicas distintas:

• Transferencia internacional (art. 26): envío de datos personales a un Responsable ubicado en el exterior. Requiere que el país destino cuente con un nivel adecuado de protección, o consentimiento expreso del Titular, o alguna de las excepciones legales.
• Transmisión internacional (art. 25 + Decreto 1377 art. 24-25): envío de datos a un Encargado ubicado en el exterior para que los trate por cuenta del Responsable colombiano. No requiere autorización del Titular si existe un contrato de transmisión que cumpla los requisitos del Decreto 1377.

Países considerados con nivel adecuado de protección

Conforme a la Circular Externa 005 de 2017, la SIC ha publicado el listado de países cuyo régimen ofrece un nivel adecuado de protección. RIOGUARDIAN únicamente opera con proveedores de infraestructura ubicados en países incluidos en dicho listado (principalmente Estados Unidos bajo el marco vigente de transferencia, Unión Europea y Reino Unido), o respaldados por cláusulas contractuales tipo y contratos de transmisión que cumplen los requisitos del Decreto 1377/2013.

Proveedores y Encargados internacionales del servicio

La operación del servicio RIOGUARDIAN involucra a los siguientes Encargados internacionales, todos vinculados mediante contratos que incluyen cláusulas de protección de datos, finalidades específicas, deber de confidencialidad y obligaciones de seguridad:

• Infraestructura de cómputo y base de datos (Supabase) — almacenamiento, procesamiento y respaldo de la base operativa.
• Servicios de envío de correo transaccional — envío de notificaciones, OTP y alertas operativas.
• Servicios de telemetría y observabilidad — monitoreo del servicio, sin almacenamiento de cuerpos de mensajes ni datos sensibles del Titular.

El registro completo y actualizado de proveedores, países de tratamiento y rol jurídico (Responsable, Encargado, sub-Encargado) se mantiene en el módulo interno de Vendor Register (RNBD), disponible para consulta por la SIC en ejercicio de sus facultades.

Datos de la empresa cliente como Responsable

Cuando una empresa cliente carga datos personales (empleados, terceros, contrapartes) a la plataforma, dicha empresa actúa como Responsable y RIOGUARDIAN como Encargado. La transmisión a la infraestructura internacional se realiza al amparo del Acuerdo de Tratamiento de Datos (DPA) suscrito al contratar el servicio, que cumple los requisitos del Decreto 1377 de 2013.

Garantías aplicables

• Cifrado en tránsito mediante TLS 1.2 o superior.
• Cifrado en reposo a nivel de infraestructura.
• Controles de acceso con principio de menor privilegio (RLS multi-tenant).
• Registros de actividad inmutables y auditables.
• Cláusulas contractuales tipo / contratos de transmisión con cada proveedor.

Derechos del Titular

El Titular puede solicitar información detallada sobre los terceros a los que se han transferido o transmitido sus datos a través del Procedimiento de derechos del Titular.

Marco normativo: Quejas de datos personales — SIC