Política de tratamiento de datos personales

El área de datos personales de Habi atiende las consultas y los reclamos.

Red Habi es una plataforma profesional para asesores inmobiliarios. Comprende la aplicación móvil, el sitio web red.habi.co y los servicios asociados. Esta política aplica a:

1. Los asesores que se registran en Red Habi, y a quienes los representan.
2. Los terceros cuyos datos carga un asesor, como el propietario de un inmueble o un cliente, en los términos de la sección 7.
3. Quienes visitan el sitio web, como el cliente que abre una ficha que un asesor le compartió, en la medición de la sección 6.6.

Red Habi está dirigida solo a profesionales mayores de edad. Habi no trata en Red Habi datos de niños, niñas y adolescentes.

Aplican las definiciones de la Ley 1581 de 2012 y del Decreto 1074 de 2015: autorización, base de datos, dato personal, dato público, privado, semiprivado y sensible, encargado, responsable, titular, transferencia, transmisión y tratamiento. Además:

• Asesor. La persona natural que ejerce la intermediación inmobiliaria y tiene una cuenta en Red Habi.
• Datos biométricos. Las propiedades físicas de una persona que permiten identificarla de manera única. En esta política son la imagen de su rostro y la información derivada de ella.
• Plantilla facial. La representación numérica de su rostro que el proveedor de verificación genera para compararlo.
• Inventario Habi. Los inmuebles que Habi o una sociedad de su grupo vende como propietaria, o comercializa como intermediaria o apoderada, y que publica en Red Habi.

Habi aplica los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.

Para detectar que dos cuentas usan el mismo documento, Habi compara una huella criptográfica del número, de la que no se puede reconstruir el número.

Habi no trata en Red Habi datos bancarios ni tributarios suyos. Si una función futura los necesita, Habi actualiza esta política y le pide la autorización que corresponda antes de tratarlos.

6.1 Finalidades necesarias para prestar el servicio

Habi trata sus datos para:

1. Crear, administrar y autenticar su cuenta, con código de un solo uso o con Google o Facebook.
2. Publicar y mostrar dentro de la red los inmuebles que usted carga.
3. Entregar su nombre, su teléfono y su correo al asesor verificado que pide contactarlo sobre un inmueble que usted publicó.
4. Mostrar su nombre, su fotografía, su teléfono y su inmobiliaria en las fichas públicas que usted comparte. Esas fichas se abren en internet sin cuenta.
5. Prevenir el fraude, la suplantación, la extracción masiva del inventario y los usos indebidos.
6. Enviarle comunicaciones operativas sobre su cuenta, el inventario y el servicio.
7. Atender sus solicitudes, consultas y reclamos, incluidas las de revisión humana.
8. Conservar la evidencia de su actividad y de sus autorizaciones.
9. Cumplir las obligaciones legales de Habi y atender los requerimientos de autoridad competente.
10. Revisar con un sistema automatizado que su fotografía de perfil sea un retrato válido. La revisión no identifica a nadie ni compara su rostro con otras imágenes.
11. Armar, a partir de un enlace que usted entrega, un borrador de ficha que usted revisa antes de publicar.
12. Verificar su identidad en persona, si usted la pide (sección 8.4): revisar su documento original y consultar su nombre en listas restrictivas y de personas expuestas políticamente.
13. Medir cómo usa usted la aplicación, asociado a su cuenta, junto con su rendimiento y sus errores, para operar, asegurar y mejorar el servicio. La medición incluye las pantallas que abre, sus toques, grabaciones de sus pantallas y su ubicación aproximada según la dirección IP (sección 6.5).
14. Elaborar estadísticas con datos disociados para mejorar Red Habi.

6.2 Datos sensibles: la verificación de su identidad

Esta sección describe todo lo que usted autoriza cuando marca la casilla de datos sensibles en la aplicación. Es la única autorización de datos sensibles de Red Habi. La grabación de pantallas de la medición del uso (sección 6.5) capta también su rostro, la prueba de vida y su documento mientras usted se verifica. Esa grabación no depende de esta casilla: ocurre aunque usted no la marque.

Usted no está obligado a otorgarla. Su cuenta se crea igual y usted consulta el inventario. Para interactuar con la red necesita verificar su identidad, y puede hacerlo sin datos sensibles: en persona, en una oficina de Habi en Bogotá, Barranquilla, Medellín o Cali (sección 8.4).

Qué datos sensibles. La imagen de su rostro, el video de la prueba de vida y la plantilla facial que se calcula a partir de ellos. La autorización cubre además la imagen de su documento, que incluye su fotografía, y la consulta de su nombre en listas, que se hacen en la misma verificación.

Para qué. Habi y Didit, su proveedor de verificación, tratan esos datos para:

1. Leer su documento y confirmar que es auténtico.
2. Comprobar que hay una persona real frente a la cámara y compararla con la foto del documento.
3. Guardar su plantilla facial y compararla con las de los demás asesores verificados de Red Habi, para impedir que una misma persona abra dos cuentas o use identidades distintas. Su plantilla solo se compara dentro de Red Habi: Didit la guarda por cuenta de Habi y nunca la compara con registros de otras organizaciones.
4. Consultar su nombre y los datos de su documento en listas restrictivas y de personas expuestas políticamente.
5. Cruzar con la red de prevención de fraude de Didit una huella criptográfica de su número de documento, de su dispositivo y de su dirección IP, nunca su rostro ni su plantilla (sección 9.1).

Durante la verificación, Didit puede analizar también la dirección IP de su conexión y, si usted permitió la ubicación en su teléfono, la de su dispositivo, solo como señal contra el fraude. Habi no usa esa señal para decidir el resultado (sección 10.1).

Quién los trata. Didit, como encargado de Habi, en la Unión Europea, sobre infraestructura de Amazon Web Services (sección 9). En el cruce del punto 5, Didit actúa como responsable, por cuenta propia (sección 9.1). PostHog, como encargado de Habi en los Estados Unidos, recibe la grabación de las pantallas de la verificación, con su rostro, la prueba de vida y su documento (sección 6.5), pero no su plantilla facial.

Cuánto se conservan. Hasta doce meses desde la verificación, conforme a la sección 11.

Cómo retirarla. Desde la configuración de su cuenta o en red@habi.co. Su cuenta queda sin verificar y en modo consulta, y Habi pide a Didit que borre su sesión y su plantilla. Usted puede autorizarla de nuevo o verificarse en persona.

6.3 Finalidades opcionales

Usted puede negarlas o retirarlas sin que eso afecte su cuenta:

1. Usar la ubicación de su dispositivo para proponerle la ciudad donde opera y la zona de búsqueda más cercana, y para centrar el mapa cuando ubica un inmueble que publica. Habi solo la usa si usted concede el permiso de ubicación que la aplicación le pide cuando la necesita, y usted lo retira en los ajustes de su teléfono. Habi recibe la coordenada solo para encontrar esa ciudad o esa zona: no la guarda en su cuenta, no ordena el inventario con ella y no lo perfila con ella. Queda únicamente en los registros técnicos del servicio (sección 11).
2. Enviarle comunicaciones comerciales y encuestas sobre Red Habi y las sociedades del grupo Habi. Habi la pide con una casilla propia, que arranca sin marcar.

6.4 Uso futuro de la biometría

Cuando Habi habilite la confirmación con su rostro de que fue usted quien aceptó un acuerdo o una oferta dentro de la aplicación, le pedirá una autorización específica antes de usar sus datos biométricos para ese fin.

6.5 Cómo se mide el uso de la aplicación

Cuatro herramientas hacen la medición de la finalidad 13, como encargados de Habi, y procesan en los Estados Unidos (sección 9.3):

1. PostHog registra las pantallas que usted abre, cuándo instala, abre o deja en segundo plano la aplicación, y cada toque, con los identificadores y el texto visible del elemento que toca. Graba además las pantallas de todas sus sesiones: la grabación muestra todo lo que usted ve y todo lo que escribe, incluidos su correo, su teléfono y el texto de sus fichas. Solo tapa el código de acceso que usted recibe para iniciar sesión. Durante la verificación de identidad, la grabación capta también su rostro, la prueba de vida y su documento. PostHog no recibe su plantilla facial. De su dirección IP deduce su país, su región y su ciudad.
2. Sentry registra los errores, los cierres inesperados y el rendimiento de la aplicación, del servidor y del sitio web, con el identificador de la instalación, el dispositivo, la versión y el detalle técnico del error.
3. Dash0 recibe las trazas técnicas del servidor, sin el contenido de las solicitudes ni sus credenciales de acceso.
4. Expo, con su servicio EAS Observe, mide cuánto tarda la aplicación en abrir y en mostrar cada pantalla, con el modelo del dispositivo, el país, el tipo de red y un identificador de la sesión de cada instalación. Expo no recibe su identidad ni la asocia a su cuenta.

Cuando usted inicia sesión, PostHog asocia ese uso a su cuenta con un identificador interno de Red Habi. El texto visible de un toque y la grabación de las pantallas pueden incluir datos de terceros que usted ve o escribe en la pantalla (sección 7.4).

Esta medición es necesaria para operar y asegurar el servicio, así que la aplicación no ofrece una forma de desactivarla. Deja de ocurrir cuando usted da de baja su cuenta (sección 14).

6.6 Cómo se mide el uso del sitio web

El sitio web red.habi.co, donde se abren las fichas públicas y los documentos legales, mide cada visita con dos de esas herramientas, como encargados de Habi, en los Estados Unidos (sección 9.3). La medición es la misma para un asesor que para quien no tiene cuenta, como el cliente que abre una ficha:

1. PostHog registra las páginas que el visitante abre, cada clic, con el texto visible del elemento, y cuánto se desplaza en la página, y graba la visita: la grabación muestra lo que el visitante ve en la página y tapa lo que escribe en un campo. Para reconocer las visitas que llegan desde el mismo navegador, guarda en él un identificador, en una cookie y en el almacenamiento local. De la dirección IP deduce el país, la región y la ciudad.
2. Sentry mide cuánto tarda cada página en cargar y en responder, y registra sus errores. Cuando una visita tiene un error, Sentry graba esa visita con el texto y las imágenes tapados, y guarda con el error la dirección IP, las cookies y los encabezados de la solicitud.

Habi usa esta medición solo para operar, asegurar y mejorar el sitio, y nunca para contactar ni perfilar al visitante. El sitio no muestra publicidad ni comparte la visita con redes de anuncios. El visitante puede borrar el identificador desde la configuración de su navegador.

7.1. Cuando usted publica un inmueble, puede cargar datos de terceros: la dirección del inmueble, fotografías o datos del propietario. Cuando usted comparte una ficha, lo hace con su propio cliente.

7.2. Sobre esos datos, usted es el responsable. Usted debe obtener la autorización del titular, informarle el tratamiento y atender sus derechos. Habi los trata por cuenta suya, como encargado, para prestarle el servicio. Habi le traslada cualquier solicitud que reciba sobre datos que usted cargó.

7.3. El Inventario Habi es la excepción. Sobre los datos del propietario de un inmueble del Inventario Habi, y del cliente que un asesor le presenta a Habi para ese inmueble, Habi es el responsable y trata esos datos conforme a su propia política de tratamiento de datos.

7.4. Los datos de terceros en la medición del uso. Cuando un dato de un tercero aparece en la pantalla o usted lo escribe, como el nombre o el teléfono de un propietario o de un cliente, PostHog lo recibe en el toque y en la grabación de esa pantalla (sección 6.5). Al aceptar esta política, usted le instruye a Habi tratarlo también para esa medición. Habi lo usa ahí solo para medir y mejorar la aplicación, y nunca para contactar ni perfilar a su titular. Informar a ese titular de este tratamiento le corresponde a usted, conforme a la sección 7.2.

8.1. Su autorización es previa, expresa e informada. Habi la recoge en la aplicación con casillas que usted marca, y ninguna casilla viene marcada. Cada decisión queda registrada con la fecha, el medio, la versión exacta del texto que usted leyó y su huella criptográfica. La negativa también queda registrada.

8.2. La autorización de datos personales es necesaria para crear la cuenta, porque sin ella Habi no puede prestar el servicio.

8.3. La autorización de datos sensibles es opcional. Habi la pide con una casilla propia, que empieza sin marcar y nombra los datos sensibles y sus finalidades. Desde esa casilla usted abre la sección 6.2, que describe todo lo que la casilla autoriza.

Si usted no autoriza el tratamiento de datos sensibles, su cuenta sigue activa en modo consulta. Usted consulta el inventario y ve lo suyo. Para interactuar con la red (publicar, compartir fichas, contactar a otros asesores, agendar visitas u ofertar) necesita verificar su identidad, porque la identidad comprobada es lo que permite que dos asesores que no se conocen confíen entre sí. Usted puede autorizarla después, desde la configuración de su cuenta, o verificarse en persona.

8.4. Verificación en persona. Conforme al artículo 6 del Decreto 1377 de 2013, compilado como artículo 2.2.2.25.2.3 del Decreto 1074 de 2015, Habi no condiciona la cuenta, la consulta del inventario ni la interacción con la red a que usted entregue datos sensibles. Si usted no autoriza el tratamiento de datos sensibles, puede verificar su identidad en persona:

1. Pida una cita a red@habi.co y diga en cuál de las oficinas de la tabla prefiere verificarse. Habi le responde dentro de los diez días hábiles siguientes con la fecha y la hora, de lunes a viernes, entre las 8 a. m. y las 5 p. m.
2. Preséntese en esa oficina en la fecha y la hora de la cita, con el original de su documento de identidad.
3. Una persona del equipo de Habi compara su rostro con el documento y consulta su nombre en listas. No toma fotografías de su rostro ni lo trata con medios técnicos.

Si la verificación en persona es exitosa, su cuenta queda verificada con los mismos efectos que la verificación en la aplicación.

8.5. No se requiere autorización en los casos del artículo 10 de la Ley 1581 de 2012.

9.1. Habi comparte sus datos solo con:

1. Didit, el proveedor de verificación de identidad. Lee el documento, hace la prueba de vida, compara el rostro, guarda la plantilla facial y consulta las listas. Actúa como encargado de Habi y procesa en la Unión Europea, sobre infraestructura de Amazon Web Services. Su plantilla facial solo se compara dentro de Red Habi. Para prevenir el fraude, Didit puede cruzar con otras organizaciones que usan sus servicios una huella criptográfica de su número de documento, de su dispositivo y de su dirección IP, nunca su rostro ni su plantilla. La huella no permite reconstruir el dato, y el cruce solo informa cuántas organizaciones marcaron ese mismo dato como fraude, sin nombrarlas. El cruce es recíproco: si Habi marca uno de esos datos como fraude, las demás organizaciones que consultan ese mismo dato reciben el mismo conteo, sin saber que fue Habi quien lo marcó. En ese cruce Didit actúa como responsable, por cuenta propia y solo para prevenir el fraude.
2. Google, que opera Gemini, el sistema de inteligencia artificial que revisa su fotografía de perfil y arma el borrador de ficha a partir de un enlace. Actúa como encargado de Habi y procesa fuera de Colombia, en la infraestructura de Google, que incluye los Estados Unidos.
3. Los proveedores de autenticación, infraestructura en la nube, mensajería, mapas y direcciones, descarga de páginas web, analítica, grabación de pantallas y monitoreo técnico, como encargados, cada uno limitado a lo que su función necesita. Los de analítica y monitoreo los nombran las secciones 6.5 y 6.6.
4. Los asesores verificados de la red, que reciben sus datos de contacto conforme a la sección 6.1, punto 3.
5. Quien abre una ficha pública que usted compartió, conforme a la sección 6.1, punto 4.
6. Las sociedades del grupo Habi, para prestar el servicio y atender sus solicitudes, y para enviarle comunicaciones comerciales si usted lo autoriza.
7. Las autoridades, cuando una norma o una orden lo exija.

9.2. Habi no vende sus datos y no los entrega a terceros para que le hagan publicidad.

9.3. Transmisiones y transferencias internacionales. Algunos encargados procesan datos fuera de Colombia, principalmente en la Unión Europea y en los Estados Unidos. Habi celebra con ellos contratos que les exigen tratar los datos solo por instrucción de Habi y con medidas de seguridad equivalentes a las que exige la ley colombiana. Los países de la Unión Europea y los Estados Unidos están en la lista de países con nivel adecuado de protección de la Superintendencia de Industria y Comercio (Circular Externa 005 de 2017).

En el cruce de la sección 9.1, punto 1, Didit recibe como responsable, en la Unión Europea, las huellas criptográficas de su número de documento, de su dispositivo y de su dirección IP. Esa transferencia internacional no incluye datos sensibles, y usted la autoriza con la autorización de datos sensibles (sección 6.2). Su plantilla facial no forma parte de ninguna transferencia. Las grabaciones de pantalla que PostHog recibe en los Estados Unidos sí pueden mostrar su rostro y su documento (sección 6.5).

Esta sección dice qué tratamientos automatizados de datos personales operan hoy en Red Habi, qué produce cada uno y cómo pedir que una persona revise el resultado. Un tratamiento automatizado que no aparece en esta sección no opera en Red Habi.

La regla. Ningún sistema automatizado rechaza, suspende ni cancela a un asesor. Que la aplicación no acepte una fotografía de perfil no es rechazar la cuenta. Un sistema automatizado puede aprobar la verificación o enviarla a revisión. La revisión la hace una persona del equipo de Habi, y solo una persona puede rechazar, suspender o cancelar una cuenta.

10.1 Qué opera hoy

Todos estos tratamientos ocurren durante la verificación de identidad. Todos forman parte de la autorización de datos sensibles (sección 6.2). Los ejecuta nuestro proveedor de verificación de identidad, que procesa los datos fuera de Colombia, salvo el último, que ejecuta Habi. El proveedor actúa como encargado, salvo en el cruce con su red de prevención de fraude (sección 9.1).

La búsqueda facial es el único tratamiento que conserva un rasgo suyo después de la verificación. El proveedor guarda su plantilla biométrica, y cada verificación posterior se compara contra ella. La comparación se hace solo entre los asesores de Red Habi.

Fuera de la verificación operan dos funciones con inteligencia artificial. Las ejecuta Google (Gemini) como encargado de Habi:

10.2 Qué efecto tiene cada resultado

Mientras su cuenta está en revisión, está en modo consulta: usted consulta el inventario y ve lo suyo, pero no interactúa con la red.

10.3 Qué no hacemos

• No usamos estos resultados para decidir qué inventario le mostramos ni en qué orden. El inventario se ordena por precio o por fecha de publicación.
• No usamos estos resultados para perfilarlo con fines comerciales.
• Solo enviamos datos a un servicio de inteligencia artificial generativa en las dos funciones de la sección 10.1, y solo los que cada una necesita.
• Habi no entrena modelos de inteligencia artificial con sus datos.

10.4 Qué conservamos

• El proveedor conserva por cuenta de Habi las imágenes de la captura y su plantilla biométrica.
• Habi conserva la respuesta completa del proveedor sobre cada verificación, como evidencia de qué se decidió y por qué. Esa respuesta puede incluir los datos que el proveedor leyó de su documento. Habi la conserva por los plazos de la sección 11.
• Para detectar documentos duplicados, Habi conserva una huella criptográfica del número de su documento.

10.5 Sus derechos frente a un resultado automatizado

Además de los derechos de la sección 12, usted puede:

• Pedir que una persona revise cualquier resultado, también una aprobación. Una persona de Habi lo revisa y le responde dentro del plazo de un reclamo (sección 13.4).
• Conocer qué datos se usaron y qué produjo cada tratamiento sobre usted.
• Corregir un dato que el sistema leyó mal de su documento.
• Retirar la autorización de datos sensibles. Su cuenta deja de estar verificada y queda en modo consulta, y Habi pide al proveedor que suprima su sesión y su plantilla biométrica (sección 11). Usted puede volver a autorizarla cuando quiera, o verificarse en persona (sección 8.4).

Todo por red@habi.co. Si la respuesta no lo satisface, puede presentar una queja ante la Superintendencia de Industria y Comercio.

10.6 Antes de habilitar un tratamiento nuevo

Red Habi evoluciona, y algunas funcionalidades futuras pueden usar inteligencia artificial sobre datos personales. Antes de habilitar cualquiera de ellas, Habi:

1. Evalúa su impacto en la privacidad y documenta esa evaluación.
2. Publica una nueva versión de esta política que la describe en este numeral: qué hace, con qué datos, qué proveedor la ejecuta y qué efecto tiene sobre usted.
3. Le pide una autorización separada si usa datos sensibles o si trata sus datos para una finalidad que esta política no contempla. Esa autorización empieza sin marcar y usted puede negarla.
4. Garantiza que una persona pueda revisar el resultado, si la funcionalidad decide algo sobre usted.

Una funcionalidad que no cumple estos cuatro pasos no se habilita.

Después de la baja, Habi bloquea esos datos: solo los usa para atender reclamos, ejercer su defensa en un proceso y responder a una autoridad. Cumplido el plazo, los suprime de forma segura.

Usted puede:

1. Conocer, actualizar y rectificar sus datos.
2. Ser informado del uso que Habi les da.
3. Solicitar prueba de la autorización que otorgó.
4. Revocar la autorización y solicitar la supresión de sus datos, cuando no exista un deber legal o contractual de conservarlos.
5. Acceder gratuitamente a sus datos.
6. Presentar quejas ante la Superintendencia de Industria y Comercio, después de agotar la consulta o el reclamo ante Habi.

Estos derechos los ejerce usted, sus causahabientes, su representante o su apoderado.

Revocar no cierra su cuenta. Retirar una autorización apaga las funciones que dependen de ella, y nada más. Usted revoca cada autorización desde la configuración de su cuenta o escribiendo a red@habi.co.

13.1. Canales. red@habi.co, o por escrito en la Calle 93B # 16-47, piso 6, Bogotá D.C.

13.2. Contenido de la solicitud. Sus nombres y apellidos, y los de su representante si aplica, la descripción de los hechos, un correo para la respuesta y los documentos que la respalden.

13.3. Consultas. Habi las responde en máximo diez días hábiles desde su recepción. Si no puede hacerlo, antes del vencimiento le informa el motivo y la fecha de la respuesta, que no supera los cinco días hábiles siguientes al vencimiento del primer plazo, conforme al artículo 14 de la Ley 1581 de 2012.

13.4. Reclamos. Si el reclamo está incompleto, Habi le pide completarlo dentro de los cinco días siguientes a su recepción. Si pasan dos meses desde ese requerimiento sin respuesta suya, el reclamo se entiende desistido. Con el reclamo completo, Habi incluye en la base de datos la leyenda «reclamo en trámite» y su motivo en máximo dos días hábiles. Habi responde en máximo quince días hábiles desde el día siguiente a la recepción. Si no puede hacerlo, antes del vencimiento le informa el motivo y la fecha de la respuesta, que no supera los ocho días hábiles siguientes al vencimiento del primer plazo, conforme al artículo 15 de la Ley 1581 de 2012.

13.5. Supresión. Habi suprime los datos cuando procede, salvo que exista un deber legal o contractual de conservarlos.

Usted solicita la baja de su cuenta desde la configuración de su cuenta o escribiendo a red@habi.co. La página baja de cuenta explica el procedimiento. La solicitud retira de inmediato todas sus autorizaciones. La supresión de los datos ocurre después, conforme a la sección 11.

Habi cumple los deberes del artículo 17 de la Ley 1581 de 2012. Cifra los datos en tránsito y en reposo y limita el acceso interno a quien lo necesita para su función. Si ocurre un incidente que afecte sus datos, Habi se lo informa a usted y a la Superintendencia de Industria y Comercio en los términos de la ley.

Esta política rige desde su fecha de publicación. Las bases de datos de Red Habi están vigentes mientras la red opere y mientras exista un deber legal de conservación.

Esta política tiene versiones. Habi publica cada versión en red.habi.co/legal/co/politica-de-tratamiento-de-datos y dentro de la aplicación, y conserva disponibles las anteriores. Si un cambio afecta las finalidades, los datos que se tratan o quién es el responsable, Habi lo marca como cambio material, le dice qué cambió y le pide su autorización de nuevo antes de aplicarlo.