Nomiweb
Agenda una reunión

Versión 2026.1 · Actualizada el

POLÍTICA DE TRATAMIENTO Y PROTECCIÓN DE DATOS PERSONALES

SUMMA BPO S.A.S. – NOMIWEB

Versión: 2026.1
Fecha de actualización: 3 de octubre de 2026
Razón social: SUMMA BPO S.A.S.
NIT: 901.023.614-1
Domicilio: Bogotá D.C., Colombia
Dirección: Carrera 50 # 100-40, Bogotá D.C., Colombia
Correo electrónico para protección de datos personales: info@summabpo.com
Sitio web: nomiweb.co
Plataformas comprendidas: nomiweb.co, payroll.nomiweb.co y hcm.nomiweb.co

1. OBJETO

SUMMA BPO S.A.S. (en adelante, “SUMMA”) adopta la presente Política de Tratamiento y Protección de Datos Personales con el propósito de establecer los principios, finalidades, derechos, deberes y procedimientos aplicables al tratamiento de datos personales que realice en desarrollo de sus actividades comerciales y de prestación de servicios.

La Política comprende, entre otros, los tratamientos relacionados con:

  1. La prestación de servicios de outsourcing de nómina a empresas clientes.
  2. La operación de la plataforma Payroll Nomiweb.
  3. La prestación y operación de servicios de Human Capital Management (HCM) mediante HCM Nomiweb.
  4. La administración de relaciones con clientes, prospectos, proveedores, aliados y contactos comerciales.
  5. Los formularios, solicitudes de contacto y actividades comerciales realizadas a través de nomiweb.co.
  6. El uso de sistemas de gestión de relaciones con clientes (CRM), herramientas de comunicaciones, infraestructura tecnológica, servicios en la nube y otros proveedores necesarios para la operación.
  7. Las demás actividades que impliquen tratamiento de datos personales y se encuentren relacionadas con el objeto social y la prestación de los servicios de SUMMA.

Esta Política sustituye las versiones anteriores de la Política de Tratamiento de la Información de SUMMA, sin afectar las autorizaciones válidamente obtenidas ni las obligaciones contractuales o legales existentes.

2. MARCO NORMATIVO

La presente Política se adopta principalmente en desarrollo de:

  • El artículo 15 de la Constitución Política de Colombia, relativo a los derechos a la intimidad, buen nombre y hábeas data.
  • La Ley Estatutaria 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales.
  • El Decreto 1074 de 2015, Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, en las disposiciones aplicables a la protección de datos personales.
  • La Circular Única de la Superintendencia de Industria y Comercio, en particular su Título V y las disposiciones que lo modifiquen, adicionen o sustituyan.
  • Las instrucciones impartidas por la Superintendencia de Industria y Comercio en materia de protección de datos personales, responsabilidad demostrada, seguridad de la información, tratamiento mediante tecnologías y sistemas de inteligencia artificial, transferencias y transmisiones nacionales o internacionales y protección de datos desde el diseño y por defecto.
  • Las demás normas que modifiquen, adicionen, reglamenten o sustituyan las anteriores.

3. ÁMBITO DE APLICACIÓN

Esta Política aplica al tratamiento de datos personales realizado por SUMMA en calidad de Responsable del Tratamiento o de Encargado del Tratamiento, según corresponda.

Aplica a las bases de datos, archivos, aplicaciones, plataformas, sistemas de información y demás repositorios físicos o electrónicos administrados por SUMMA que contengan datos personales sujetos al régimen colombiano de protección de datos.

También aplica, en lo pertinente, a empleados, contratistas, proveedores y terceros que tengan acceso o realicen tratamiento de datos personales por cuenta de SUMMA.

4. IDENTIFICACIÓN Y CANALES DE CONTACTO

El titular podrá contactar a SUMMA para asuntos relacionados con protección de datos personales mediante:

SUMMA BPO S.A.S.
NIT 901.023.614-1
Carrera 50 # 100-40
Bogotá D.C., Colombia
Correo electrónico: info@summabpo.com
Sitio web: nomiweb.co

El correo info@summabpo.com constituye el canal electrónico principal para consultas, reclamos, solicitudes de actualización, rectificación, supresión, revocatoria de autorización y demás solicitudes relacionadas con datos personales.

5. DEFINICIONES

Para efectos de esta Política se aplicarán las definiciones establecidas en la legislación colombiana y, particularmente, las siguientes:

Autorización: consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales, salvo los casos exceptuados por la ley.

Base de Datos: conjunto organizado de datos personales objeto de Tratamiento.

Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Dato público: dato que, conforme a la legislación, no sea semiprivado, privado o sensible.

Dato privado: dato que por su naturaleza íntima o reservada solo es relevante para el Titular.

Dato semiprivado: dato que no tiene naturaleza íntima, reservada ni pública y cuyo conocimiento o divulgación puede interesar al Titular y a determinado sector o grupo de personas.

Dato sensible: información que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación, incluyendo, entre otros, datos relativos a la salud, vida sexual, origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos, organizaciones sociales o de derechos humanos y datos biométricos dirigidos a identificar de manera unívoca a una persona.

Encargado del Tratamiento: persona natural o jurídica que realiza el Tratamiento de datos personales por cuenta del Responsable del Tratamiento.

Responsable del Tratamiento: persona natural o jurídica que decide sobre la base de datos y/o el Tratamiento de los datos.

Titular: persona natural cuyos datos personales son objeto de Tratamiento.

Tratamiento: cualquier operación o conjunto de operaciones sobre datos personales, incluyendo recolección, almacenamiento, organización, consulta, uso, circulación, transmisión, actualización, análisis, supresión y, cuando corresponda, transferencia.

Transferencia: operación mediante la cual un Responsable y/o Encargado ubicado en Colombia envía datos personales a un receptor que, a su vez, actúa como Responsable del Tratamiento dentro o fuera de Colombia.

Transmisión: Tratamiento que implica la comunicación de datos personales dentro o fuera de Colombia para que un Encargado realice el Tratamiento por cuenta del Responsable.

Subencargado: proveedor o tercero contratado por un Encargado para ejecutar determinadas operaciones de Tratamiento por cuenta del Responsable, sujeto a las obligaciones legales y contractuales aplicables.

6. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES

SUMMA aplicará los principios previstos en la legislación colombiana, entre ellos:

6.1 Legalidad

El Tratamiento se realizará de conformidad con la Constitución, la ley y las disposiciones que regulan la protección de datos personales.

6.2 Finalidad

Todo Tratamiento obedecerá a una finalidad legítima, específica e informada al Titular o determinada por el Responsable cuando SUMMA actúe como Encargado.

6.3 Libertad

El Tratamiento solo podrá ejercerse con el consentimiento previo, expreso e informado del Titular cuando este sea requerido, sin perjuicio de las excepciones legales.

6.4 Veracidad o calidad

La información procurará ser veraz, completa, exacta, actualizada, comprobable y comprensible.

6.5 Transparencia

Se garantizará al Titular el derecho a obtener información sobre la existencia y tratamiento de sus datos personales, de acuerdo con la ley.

6.6 Acceso y circulación restringida

Los datos personales serán tratados únicamente por personas autorizadas y no estarán disponibles públicamente, salvo que sean datos públicos o exista autorización o habilitación legal para ello.

6.7 Seguridad

SUMMA adoptará medidas administrativas, humanas, contractuales y técnicas razonables y apropiadas para proteger la información contra adulteración, pérdida, consulta, uso, acceso, divulgación o tratamiento no autorizado o fraudulento.

6.8 Confidencialidad

Las personas que intervengan en el Tratamiento deberán garantizar la reserva de la información, incluso después de finalizar su relación con SUMMA, en los términos aplicables.

6.9 Necesidad y minimización

SUMMA procurará que los datos recolectados y tratados sean adecuados, pertinentes y razonablemente necesarios para las finalidades correspondientes.

6.10 Responsabilidad demostrada

SUMMA implementará medidas apropiadas y efectivas que le permitan acreditar el cumplimiento de sus obligaciones en materia de protección de datos personales, de manera proporcional a la naturaleza de los datos, las finalidades, los riesgos y las características del Tratamiento.

6.11 Protección de datos desde el diseño y por defecto

En el desarrollo, adquisición, configuración y operación de sus sistemas y servicios tecnológicos, SUMMA procurará incorporar criterios de privacidad y protección de datos desde etapas tempranas y configurar el Tratamiento de forma acorde con las finalidades legítimas y necesarias.

PARTE I – ROLES DE SUMMA EN EL TRATAMIENTO

7. SUMMA COMO RESPONSABLE DEL TRATAMIENTO

SUMMA actuará como Responsable del Tratamiento cuando determine directamente las finalidades y medios esenciales del Tratamiento.

Esto ocurre, entre otros casos, respecto de información relacionada con:

  • Prospectos y potenciales clientes.
  • Representantes, empleados y contactos de empresas clientes.
  • Personas que diligencien formularios en nomiweb.co.
  • Información administrada para actividades comerciales y de mercadeo propias de SUMMA.
  • Proveedores, contratistas y aliados.
  • Usuarios de los servicios respecto de información cuya finalidad sea determinada directamente por SUMMA.
  • Personal propio de SUMMA y candidatos a cargos internos, cuando corresponda.
  • Información necesaria para facturación, cartera, soporte, administración contractual, seguridad y cumplimiento de obligaciones legales propias.

8. SUMMA COMO ENCARGADO DEL TRATAMIENTO EN OUTSOURCING DE NÓMINA Y HCM

Cuando una empresa cliente entregue, transmita, permita consultar o almacene en las plataformas de SUMMA información personal de sus empleados, trabajadores, contratistas, candidatos, beneficiarios u otras personas con el propósito de utilizar los servicios de outsourcing de nómina, Payroll Nomiweb o HCM Nomiweb, la empresa cliente será, por regla general, el Responsable del Tratamiento y SUMMA actuará como Encargado del Tratamiento.

En estos casos:

  1. SUMMA tratará los datos de acuerdo con las instrucciones documentadas del cliente, el contrato de servicios, los acuerdos de tratamiento o transmisión de datos y la legislación aplicable.
  2. El cliente será responsable de determinar las finalidades del Tratamiento y de contar con las autorizaciones, avisos, bases jurídicas y demás requisitos necesarios para suministrar o permitir el Tratamiento de la información, salvo aquellos que correspondan directamente a SUMMA por ley.
  3. SUMMA no utilizará los datos recibidos como Encargado para finalidades propias incompatibles con las instrucciones del Responsable.
  4. SUMMA podrá utilizar proveedores tecnológicos y subencargados cuando ello sea necesario para prestar el servicio, bajo medidas contractuales y de seguridad apropiadas.
  5. Las solicitudes de los Titulares relacionadas con datos respecto de los cuales SUMMA actúe exclusivamente como Encargado podrán ser comunicadas al respectivo cliente Responsable para su gestión, sin perjuicio de la colaboración y obligaciones que correspondan a SUMMA.

El hecho de que SUMMA actúe como Encargado para determinadas operaciones no impide que pueda actuar simultáneamente como Responsable respecto de otros datos y finalidades propias, tales como facturación, administración contractual, seguridad, soporte, cumplimiento normativo o gestión de contactos del cliente.

PARTE II – CATEGORÍAS DE DATOS Y FINALIDADES

9. DATOS TRATADOS EN LOS SERVICIOS DE OUTSOURCING DE NÓMINA Y PAYROLL NOMIWEB

Dependiendo de los servicios contratados y de la información suministrada por cada cliente, SUMMA podrá tratar, entre otros:

  • Nombres y apellidos.
  • Tipo y número de identificación.
  • Fecha de nacimiento.
  • Datos de contacto.
  • Dirección y ciudad de residencia.
  • Información laboral y contractual.
  • Cargo, área, centro de costos y lugar de trabajo.
  • Fechas de ingreso y retiro.
  • Tipo de contrato.
  • Jornada y condiciones laborales.
  • Salario y demás componentes de remuneración.
  • Bonificaciones, comisiones, horas extras, recargos y otros conceptos.
  • Deducciones, descuentos, libranzas y embargos cuando corresponda.
  • Información bancaria necesaria para pagos.
  • Información tributaria necesaria para retenciones y obligaciones legales.
  • Información sobre seguridad social.
  • Entidades de salud, pensión, riesgos laborales y cajas de compensación.
  • Novedades de nómina.
  • Vacaciones, licencias, permisos y ausencias.
  • Incapacidades y otra información relacionada con salud cuando sea necesaria para el cumplimiento de obligaciones laborales y de seguridad social.
  • Información de beneficiarios cuando sea requerida.
  • Información necesaria para nómina electrónica, seguridad social, prestaciones sociales, liquidaciones y reportes legales.
  • Documentos y soportes relacionados con los procesos anteriores.

Las finalidades podrán comprender:

  1. Elaborar, procesar, revisar y administrar la nómina de los trabajadores del cliente.
  2. Calcular salarios, prestaciones, vacaciones, novedades, deducciones, retenciones y liquidaciones.
  3. Procesar información necesaria para pagos de nómina.
  4. Preparar archivos, reportes y documentos requeridos por el cliente.
  5. Gestionar información necesaria para seguridad social y parafiscales.
  6. Apoyar la generación y administración de nómina electrónica.
  7. Administrar novedades laborales.
  8. Generar certificados, comprobantes, reportes e información histórica.
  9. Realizar validaciones, conciliaciones, auditorías y controles asociados al servicio.
  10. Atender requerimientos del cliente y brindar soporte.
  11. Cumplir obligaciones legales, judiciales, administrativas o contractuales relacionadas con el servicio.
  12. Mantener la seguridad, integridad, disponibilidad, continuidad y trazabilidad de la plataforma y del servicio.

10. DATOS TRATADOS EN HCM NOMIWEB

En el servicio HCM podrán tratarse, según los módulos contratados y utilizados por cada cliente:

  • Datos de identificación.
  • Datos de contacto.
  • Hojas de vida.
  • Formación académica.
  • Experiencia laboral.
  • Información contractual y laboral.
  • Cargo, área y estructura organizacional.
  • Información salarial.
  • Información de seguridad social.
  • Documentos laborales.
  • Novedades y movimientos de personal.
  • Vacaciones, permisos, licencias e incapacidades.
  • Información de beneficiarios cuando corresponda.
  • Información asociada a procesos de gestión humana habilitados por la plataforma.
  • Otra información que el cliente incorpore legítimamente a los módulos contratados.

Las finalidades estarán determinadas principalmente por la empresa cliente como Responsable y podrán incluir la administración de información de talento humano, gestión de hojas de vida, expedientes laborales, novedades, estructura organizacional y demás procesos de HCM habilitados por la plataforma.

11. DATOS DE CLIENTES, PROSPECTOS Y CONTACTOS COMERCIALES

A través de nomiweb.co, comunicaciones comerciales, reuniones, eventos y otros canales, SUMMA podrá recolectar información como:

  • Nombre y apellido.
  • Empresa.
  • Cargo.
  • Correo electrónico.
  • Teléfono.
  • Número aproximado de empleados de la organización.
  • Servicios de interés.
  • Información incluida voluntariamente en formularios, mensajes o solicitudes.
  • Información necesaria para elaborar propuestas y administrar la relación comercial.

Las finalidades incluyen:

  1. Atender solicitudes de información.
  2. Contactar al interesado.
  3. Programar reuniones o demostraciones.
  4. Identificar necesidades de outsourcing de nómina o HCM.
  5. Elaborar y enviar propuestas comerciales.
  6. Realizar seguimiento de oportunidades comerciales.
  7. Gestionar clientes y prospectos mediante herramientas CRM.
  8. Administrar la relación precontractual, contractual y poscontractual.
  9. Enviar información relacionada con productos, servicios, funcionalidades, contenidos, eventos o novedades de SUMMA cuando exista autorización o una base jurídica aplicable.
  10. Realizar análisis internos de gestión comercial y calidad del servicio.
  11. Cumplir obligaciones legales, contables, tributarias y contractuales.

Los Titulares podrán solicitar en cualquier momento dejar de recibir comunicaciones comerciales mediante info@summabpo.com o a través de los mecanismos de desuscripción que se habiliten en las comunicaciones.

12. FORMULARIOS, CRM Y HERRAMIENTAS DE MARKETING

Los formularios de nomiweb.co podrán integrarse con plataformas de CRM, automatización comercial, correo electrónico, analítica y otras herramientas tecnológicas.

SUMMA podrá utilizar proveedores como HubSpot u otros que cumplan funciones equivalentes. La selección o sustitución de un proveedor tecnológico no modificará las finalidades esenciales informadas al Titular.

SUMMA procurará que los proveedores que tengan acceso a datos personales estén sujetos a obligaciones de confidencialidad, seguridad y tratamiento de información consistentes con la legislación aplicable y con el rol que desempeñen.

13. DATOS SENSIBLES

En la prestación de servicios de nómina y HCM puede resultar necesario tratar datos sensibles, especialmente información relacionada con salud, incapacidades, discapacidad, información biométrica si algún servicio futuro autorizado la requiere, afiliaciones o información que indirectamente revele condiciones protegidas por la ley.

El Tratamiento de datos sensibles estará sujeto a las siguientes reglas:

  1. Se limitará a los casos necesarios, legítimos y permitidos por la legislación.
  2. Cuando la autorización del Titular sea legalmente requerida, se informará el carácter facultativo de responder preguntas relacionadas con datos sensibles y se obtendrá la autorización correspondiente.
  3. Se implementarán controles de acceso y medidas de seguridad acordes con la naturaleza y riesgo de la información.
  4. Cuando SUMMA actúe como Encargado, tratará los datos sensibles conforme a las instrucciones del cliente Responsable y las obligaciones legales aplicables.
  5. No se condicionará una actividad a la entrega de datos sensibles salvo que estos sean necesarios para la finalidad legítima correspondiente o exista otra habilitación legal.

14. DATOS DE NIÑOS, NIÑAS Y ADOLESCENTES

SUMMA no busca recolectar directamente datos de niños, niñas y adolescentes para fines comerciales.

No obstante, en los servicios de nómina y HCM puede ser necesario tratar información de hijos, beneficiarios u otros menores vinculados con los trabajadores de las empresas clientes.

Este Tratamiento se realizará únicamente cuando sea necesario para finalidades legítimas relacionadas, entre otras, con beneficios laborales, seguridad social, afiliaciones, obligaciones legales o servicios de gestión humana.

En estos casos se respetará el interés superior de los niños, niñas y adolescentes y sus derechos fundamentales, y se observarán los requisitos especiales establecidos por la legislación colombiana.

Cuando SUMMA actúe como Encargado, corresponderá al cliente Responsable determinar la procedencia del Tratamiento y garantizar la existencia de la base jurídica correspondiente.

PARTE III – AUTORIZACIONES Y DERECHOS

15. AUTORIZACIÓN

Cuando la legislación requiera autorización del Titular, SUMMA deberá obtenerla previamente o garantizar que exista un mecanismo válido que permita acreditar el consentimiento.

La autorización podrá obtenerse por escrito, oralmente, mediante medios electrónicos, formularios, conductas inequívocas u otros mecanismos permitidos por la legislación que permitan conservar evidencia de su otorgamiento.

No será necesaria autorización en los casos expresamente exceptuados por la ley.

Cuando SUMMA actúe exclusivamente como Encargado, corresponderá principalmente al Responsable determinar y documentar la base jurídica que habilita el Tratamiento y, cuando sea necesario, obtener la autorización del Titular.

16. DERECHOS DE LOS TITULARES

Los Titulares tendrán los derechos establecidos en la legislación colombiana, incluyendo:

  1. Conocer, actualizar y rectificar sus datos personales.
  2. Solicitar prueba de la autorización cuando esta sea legalmente exigible.
  3. Ser informados, previa solicitud, respecto del uso dado a sus datos.
  4. Presentar consultas y reclamos.
  5. Solicitar la supresión de datos cuando proceda legalmente.
  6. Revocar la autorización cuando proceda.
  7. Acceder gratuitamente a sus datos personales en los términos legales.
  8. Presentar quejas ante la Superintendencia de Industria y Comercio, previo agotamiento del trámite de consulta o reclamo ante el Responsable o Encargado cuando dicho requisito sea aplicable.
  9. Ejercer los demás derechos reconocidos por las normas vigentes.

La revocatoria de la autorización o supresión no procederá cuando exista un deber legal o contractual que requiera conservar o tratar la información.

17. PERSONAS LEGITIMADAS PARA EJERCER LOS DERECHOS

Los derechos podrán ser ejercidos por:

  • El Titular.
  • Sus causahabientes, previa acreditación de dicha calidad.
  • El representante o apoderado del Titular, previa acreditación.
  • Quienes estén legitimados por estipulación a favor de otro o para otro.
  • Los representantes legales de menores de edad, cuando corresponda.

SUMMA podrá solicitar información razonable para verificar la identidad y legitimación del solicitante y evitar el acceso no autorizado a datos personales.

PARTE IV – CONSULTAS Y RECLAMOS

18. CANAL DE ATENCIÓN

Las consultas, reclamos y solicitudes relacionadas con datos personales podrán presentarse al correo:

info@summabpo.com

También podrán dirigirse por escrito a:

SUMMA BPO S.A.S.
Carrera 50 # 100-40
Bogotá D.C., Colombia

La solicitud deberá contener información suficiente para identificar al Titular, datos de contacto, descripción de la solicitud y, cuando corresponda, documentos que acrediten representación o soporten la petición.

19. PROCEDIMIENTO PARA CONSULTAS

Los Titulares o sus causahabientes podrán consultar la información personal que repose en las bases de datos respecto de las cuales SUMMA sea Responsable o Encargado.

Las consultas serán atendidas en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo.

Cuando no sea posible atender la consulta dentro de dicho término, se informará al interesado antes de su vencimiento, indicando los motivos de la demora y la fecha en que será atendida, la cual no podrá superar los cinco (5) días hábiles siguientes al vencimiento del término inicial, de acuerdo con la legislación aplicable.

20. PROCEDIMIENTO PARA RECLAMOS

El Titular o sus causahabientes podrán presentar reclamos cuando consideren que la información debe ser corregida, actualizada o suprimida o cuando adviertan un posible incumplimiento de las obligaciones en materia de protección de datos personales.

El reclamo deberá contener como mínimo:

  1. Identificación del Titular.
  2. Descripción de los hechos que dan lugar al reclamo.
  3. Datos de contacto.
  4. Documentos que se pretendan hacer valer, cuando corresponda.

Si el reclamo está incompleto, SUMMA podrá requerir al interesado dentro del término legal para que subsane las faltas.

Cuando legalmente corresponda, una vez recibido el reclamo completo se incluirá en la base de datos una leyenda equivalente a “reclamo en trámite”, junto con el motivo, dentro del término previsto en la ley, y se mantendrá hasta que el reclamo sea resuelto.

El término máximo para atender el reclamo será de quince (15) días hábiles, contados a partir del día siguiente a su recibo completo.

Cuando no sea posible atenderlo dentro de ese término, se informarán al interesado los motivos de la demora y la fecha en que se resolverá, la cual no podrá superar los ocho (8) días hábiles siguientes al vencimiento del término inicial.

Cuando SUMMA reciba un reclamo respecto de información para la cual actúe exclusivamente como Encargado, podrá trasladarlo o coordinar su atención con la empresa cliente que actúe como Responsable, de conformidad con la ley y los acuerdos aplicables.

21. REQUISITO DE PROCEDIBILIDAD

Cuando resulte aplicable, el Titular o causahabiente podrá presentar una queja ante la Superintendencia de Industria y Comercio después de haber agotado el trámite de consulta o reclamo ante el Responsable o Encargado del Tratamiento, de conformidad con la Ley 1581 de 2012.

PARTE V – SEGURIDAD, INFRAESTRUCTURA Y TERCEROS

22. SEGURIDAD DE LA INFORMACIÓN

SUMMA implementará medidas administrativas, humanas, contractuales y técnicas razonables y proporcionales a la naturaleza de la información y a los riesgos del Tratamiento.

Estas medidas podrán comprender, según corresponda:

  • Gestión y control de accesos.
  • Autenticación de usuarios.
  • Separación de funciones y perfiles.
  • Protección de comunicaciones y almacenamiento.
  • Copias de seguridad y mecanismos de recuperación.
  • Registro y monitoreo de eventos relevantes.
  • Gestión de vulnerabilidades y actualizaciones.
  • Controles sobre proveedores y terceros.
  • Acuerdos de confidencialidad.
  • Procedimientos internos de gestión de incidentes.
  • Continuidad y recuperación de los servicios.
  • Capacitación y concientización del personal.
  • Otras medidas que SUMMA considere apropiadas conforme a los riesgos identificados.

Ningún sistema de información puede garantizar seguridad absoluta. SUMMA aplicará medidas razonables orientadas a prevenir y mitigar los riesgos de pérdida, acceso no autorizado, alteración, divulgación o uso indebido.

23. INFRAESTRUCTURA EN LA NUBE

SUMMA utiliza servicios de infraestructura tecnológica en la nube para soportar la operación de Nomiweb, Payroll Nomiweb y HCM Nomiweb.

Actualmente, parte de esta infraestructura utiliza servicios de Amazon Web Services (AWS) en la región US East (N. Virginia), identificada como us-east-1, ubicada en los Estados Unidos de América.

Los servicios utilizados pueden incluir infraestructura de cómputo, almacenamiento, bases de datos y servicios relacionados. Las bases de datos administradas mediante Amazon RDS utilizadas por las plataformas se encuentran igualmente configuradas en la región us-east-1, de acuerdo con la arquitectura tecnológica vigente a la fecha de esta Política.

La infraestructura y los proveedores podrán modificarse en el futuro por razones técnicas, operativas, de seguridad, continuidad o eficiencia. Cualquier modificación deberá conservar el cumplimiento de las obligaciones aplicables en materia de protección de datos personales.

24. TRANSMISIONES Y TRANSFERENCIAS NACIONALES E INTERNACIONALES

Debido a la naturaleza tecnológica de los servicios, los datos personales podrán ser objeto de transmisión nacional o internacional a proveedores que presten servicios por cuenta de SUMMA o de sus clientes.

En particular, el uso de infraestructura AWS en Estados Unidos puede implicar transmisión internacional de datos personales, cuando el proveedor trate la información por cuenta del Responsable o Encargado y no determine finalidades propias incompatibles.

SUMMA procurará que las transmisiones internacionales se encuentren sujetas a contratos, términos de servicio, acuerdos de tratamiento de datos u otros instrumentos apropiados que establezcan, entre otros aspectos, obligaciones sobre:

  • Finalidad y alcance del Tratamiento.
  • Confidencialidad.
  • Seguridad.
  • Restricción de uso.
  • Protección de los derechos de los Titulares.
  • Gestión de incidentes.
  • Devolución, eliminación o disposición de información cuando corresponda.
  • Cumplimiento de la legislación aplicable.

Cuando una operación constituya una transferencia internacional y no una transmisión, SUMMA verificará la procedencia de la operación de acuerdo con las reglas establecidas en la legislación colombiana, incluyendo las disposiciones relativas a niveles adecuados de protección, excepciones legales, autorizaciones o mecanismos administrativos que resulten aplicables.

25. PROVEEDORES Y SUBENCARGADOS

Para prestar sus servicios, SUMMA podrá contratar proveedores de:

  • Infraestructura y computación en la nube.
  • Bases de datos.
  • Almacenamiento y respaldo.
  • Seguridad informática.
  • Correo electrónico y comunicaciones.
  • CRM y automatización comercial.
  • Analítica.
  • Soporte tecnológico.
  • Monitoreo y registro de eventos.
  • Desarrollo y mantenimiento de software.
  • Otros servicios necesarios para su operación.

SUMMA procurará seleccionar proveedores que ofrezcan garantías razonables de seguridad y cumplimiento, y establecerá las condiciones contractuales apropiadas según la naturaleza del servicio y del Tratamiento.

Cuando SUMMA actúe como Encargado y utilice subencargados para soportar los servicios contratados por un cliente, lo hará conforme a los acuerdos aplicables con el Responsable y la normativa vigente.

26. INCIDENTES DE SEGURIDAD

SUMMA contará con procedimientos para identificar, analizar, contener, gestionar y documentar incidentes de seguridad que puedan afectar datos personales.

Cuando se presente un incidente que deba ser informado a una autoridad, cliente, Responsable o Titular, SUMMA realizará las actuaciones y comunicaciones que correspondan conforme a la legislación aplicable y al rol que desempeñe en el Tratamiento.

Cuando SUMMA actúe como Encargado, comunicará al Responsable los incidentes relevantes de acuerdo con las obligaciones legales y contractuales aplicables, a fin de facilitar la gestión y cumplimiento de los deberes correspondientes.

PARTE VI – TECNOLOGÍA, AUTOMATIZACIÓN E INTELIGENCIA ARTIFICIAL

27. TRATAMIENTO MEDIANTE SISTEMAS AUTOMATIZADOS E INTELIGENCIA ARTIFICIAL

SUMMA podrá incorporar funcionalidades de automatización, analítica, aprendizaje automático o inteligencia artificial a sus procesos y plataformas cuando estas contribuyan a la prestación, seguridad, calidad, soporte o evolución de los servicios.

Cuando dichas tecnologías impliquen tratamiento de datos personales, SUMMA procurará aplicar, según corresponda:

  • Legalidad y finalidad.
  • Transparencia.
  • Necesidad y minimización.
  • Seguridad y confidencialidad.
  • Gestión de riesgos.
  • Responsabilidad demostrada.
  • Protección de datos desde el diseño y por defecto.
  • Controles humanos apropiados de acuerdo con la naturaleza y riesgo del proceso.

Cuando SUMMA actúe como Encargado, la utilización de datos personales de los trabajadores de un cliente mediante funcionalidades de inteligencia artificial deberá encontrarse comprendida dentro de las instrucciones, finalidades y condiciones acordadas con el Responsable.

Los datos personales de nómina o HCM suministrados por las empresas clientes no serán utilizados por SUMMA para entrenar modelos de inteligencia artificial de propósito general para finalidades propias o de terceros incompatibles con el servicio contratado, salvo que exista una base jurídica válida, información suficiente al Responsable y/o Titular cuando corresponda y las autorizaciones o acuerdos específicos exigibles.

SUMMA podrá utilizar información anonimizada o agregada para estadísticas, seguridad, análisis de desempeño, mejora de procesos y evolución tecnológica cuando dicha información no permita razonablemente identificar a una persona natural, sujeto a la legislación aplicable.

PARTE VII – CONSERVACIÓN Y SUPRESIÓN

28. TEMPORALIDAD Y CONSERVACIÓN

Los datos personales serán conservados durante el tiempo razonablemente necesario para cumplir las finalidades para las cuales fueron recolectados o tratados y durante los períodos adicionales exigidos o permitidos por obligaciones legales, contractuales, contables, fiscales, laborales, administrativas, judiciales o de defensa de derechos.

SUMMA no establece como regla general la conservación indefinida de todos los datos personales.

Cuando SUMMA actúe como Encargado, la conservación, devolución o eliminación de la información estará determinada por las instrucciones del cliente Responsable, el contrato de servicios y las obligaciones legales aplicables.

Finalizada la necesidad del Tratamiento, los datos podrán ser eliminados, devueltos, bloqueados, archivados o anonimizados, según corresponda y resulte legal y técnicamente procedente.

Las copias de respaldo podrán conservar temporalmente información eliminada de sistemas activos hasta completar los ciclos razonables de rotación, respaldo y recuperación, bajo las medidas de seguridad correspondientes.

29. TERMINACIÓN DEL SERVICIO CON CLIENTES

Cuando finalice la relación contractual con una empresa cliente, SUMMA gestionará los datos tratados por cuenta de dicho cliente conforme a:

  1. Las instrucciones del Responsable.
  2. El contrato de servicios y los acuerdos de tratamiento o transmisión.
  3. Los períodos de transición o recuperación acordados.
  4. Las obligaciones legales de conservación aplicables.
  5. Los procedimientos técnicos razonables para eliminación, devolución, archivo o anonimización.

SUMMA podrá conservar la información estrictamente necesaria para acreditar la prestación del servicio, ejercer o defender derechos, atender obligaciones legales o resolver controversias durante los términos aplicables.

PARTE VIII – DEBERES DE SUMMA

30. DEBERES COMO RESPONSABLE

Cuando SUMMA actúe como Responsable del Tratamiento cumplirá los deberes establecidos en la legislación, incluyendo, según corresponda:

  1. Garantizar al Titular el pleno y efectivo ejercicio del derecho de hábeas data.
  2. Solicitar y conservar prueba de la autorización cuando sea requerida.
  3. Informar adecuadamente al Titular sobre las finalidades del Tratamiento y sus derechos.
  4. Conservar la información bajo condiciones razonables de seguridad.
  5. Garantizar que la información suministrada a Encargados sea veraz, completa, exacta, actualizada y comprensible en los términos legales.
  6. Actualizar y rectificar la información cuando corresponda.
  7. Exigir a los Encargados el respeto de las condiciones de seguridad y privacidad.
  8. Tramitar consultas y reclamos.
  9. Informar a la autoridad competente los incidentes de seguridad cuando exista el deber legal de hacerlo.
  10. Cumplir las instrucciones y requerimientos de la Superintendencia de Industria y Comercio.
  11. Adoptar medidas de responsabilidad demostrada acordes con los riesgos del Tratamiento.

31. DEBERES COMO ENCARGADO

Cuando SUMMA actúe como Encargado, cumplirá los deberes establecidos en la legislación y los acuerdos aplicables, incluyendo:

  1. Garantizar al Titular el ejercicio de sus derechos en coordinación con el Responsable cuando corresponda.
  2. Conservar la información bajo condiciones apropiadas de seguridad.
  3. Realizar oportunamente las actualizaciones, rectificaciones o supresiones instruidas por el Responsable cuando procedan.
  4. Actualizar la información reportada por el Responsable dentro de los términos aplicables.
  5. Tramitar consultas y reclamos en los casos que le correspondan.
  6. Registrar las leyendas requeridas por la ley.
  7. Abstenerse de circular información controvertida cuando exista orden legal o administrativa aplicable.
  8. Permitir acceso únicamente a personas autorizadas.
  9. Informar al Responsable y/o a la autoridad sobre incidentes cuando corresponda.
  10. Cumplir las instrucciones de la Superintendencia de Industria y Comercio.
  11. Tratar los datos conforme a las instrucciones legítimas del Responsable y las finalidades contratadas.

PARTE IX – SITIO WEB Y TECNOLOGÍAS DE SEGUIMIENTO

32. SITIO WEB

El sitio nomiweb.co podrá recopilar información suministrada directamente por los usuarios mediante formularios, solicitudes de contacto y otros mecanismos habilitados.

El sitio también podrá generar información técnica necesaria para su funcionamiento, seguridad y administración, como direcciones IP, registros técnicos, características del navegador o dispositivo y eventos de seguridad, sujeto a la legislación aplicable.

33. COOKIES Y TECNOLOGÍAS SIMILARES

Nomiweb.co podrá utilizar cookies y tecnologías similares necesarias para funcionamiento, seguridad, medición, analítica, personalización o actividades comerciales.

Cuando la legislación o la naturaleza de la tecnología utilizada lo requiera, SUMMA implementará mecanismos apropiados para informar al usuario y gestionar sus preferencias o consentimiento.

SUMMA podrá adoptar una Política de Cookies o aviso específico que complemente esta Política y describa con mayor detalle las tecnologías utilizadas en el sitio web.

PARTE X – REGISTRO, AUDITORÍA Y CUMPLIMIENTO

34. RESPONSABILIDAD DEMOSTRADA Y GESTIÓN DE RIESGOS

SUMMA promoverá un programa de protección de datos personales proporcional al tamaño, naturaleza y riesgos de sus operaciones.

Podrá implementar, entre otros:

  • Inventarios o registros de bases de datos y actividades de Tratamiento.
  • Evaluaciones de riesgos.
  • Políticas y procedimientos internos.
  • Gestión de proveedores.
  • Controles de acceso.
  • Capacitación.
  • Procedimientos de incidentes.
  • Revisiones de seguridad.
  • Evaluaciones de impacto o análisis reforzados cuando la naturaleza o riesgo del Tratamiento lo justifique.
  • Evidencias documentales de decisiones y medidas adoptadas.

35. REGISTRO NACIONAL DE BASES DE DATOS

Cuando SUMMA se encuentre legalmente obligado a registrar o actualizar bases de datos en el Registro Nacional de Bases de Datos (RNBD), cumplirá las obligaciones aplicables dentro de los términos establecidos por la regulación y las instrucciones de la Superintendencia de Industria y Comercio.

La inclusión de esta disposición no implica que todas las bases de datos o todas las organizaciones estén obligadas a registrarse; la obligación será determinada conforme a los criterios legales vigentes.

PARTE XI – MODIFICACIONES Y VIGENCIA

36. MODIFICACIONES DE LA POLÍTICA

SUMMA podrá modificar esta Política para adaptarla a cambios:

  • Legales o regulatorios.
  • Jurisprudenciales o de instrucciones de autoridades.
  • Tecnológicos.
  • De infraestructura.
  • De proveedores.
  • De los servicios Payroll, HCM o Nomiweb.
  • De sus procesos internos.
  • De sus modelos de negocio.

Cuando las modificaciones sean sustanciales y afecten de manera relevante las finalidades del Tratamiento o los derechos de los Titulares, SUMMA adoptará las medidas de información y, cuando legalmente corresponda, obtendrá las autorizaciones adicionales requeridas.

La versión vigente estará disponible a través de nomiweb.co o de los canales que SUMMA determine.

37. VIGENCIA

La presente Política entra en vigencia a partir del 3 de octubre de 2026 y sustituye la Política de Tratamiento de la Información anteriormente adoptada por SUMMA BPO S.A.S.

Las bases de datos y tratamientos sujetos a esta Política tendrán la vigencia necesaria para cumplir sus finalidades y las obligaciones legales y contractuales aplicables.

38. CANAL PARA EJERCER DERECHOS DE HÁBEAS DATA

Para consultas, reclamos, solicitudes de actualización, rectificación, supresión, revocatoria de autorización y demás asuntos relacionados con protección de datos personales:

SUMMA BPO S.A.S.
NIT: 901.023.614-1
Dirección: Carrera 50 # 100-40, Bogotá D.C., Colombia
Correo electrónico: info@summabpo.com
Sitio web: nomiweb.co

NOTA DE CONTROL DOCUMENTAL

Documento: Política de Tratamiento y Protección de Datos Personales
Empresa: SUMMA BPO S.A.S.
Marca / plataforma: Nomiweb
Versión: 2026.1
Fecha: 3 de octubre de 2026
Sustituye: Política de Tratamiento de la Información vigente desde el 1 de noviembre de 2016.

Nota: Este documento constituye una política corporativa de tratamiento de datos personales preparada con base en la información operativa suministrada por SUMMA BPO S.A.S. y en el marco normativo colombiano aplicable. Se recomienda que los contratos de outsourcing de nómina, HCM y servicios tecnológicos incluyan o remitan a acuerdos específicos de transmisión y tratamiento de datos que definan los roles, instrucciones, medidas de seguridad, subencargados, gestión de incidentes, conservación y terminación del tratamiento para cada cliente.