Procedimiento ante solicitudes de autoridades públicas

Este procedimiento aplica a cualquier solicitud de información o datos formulada por una autoridad pública colombiana o extranjera dirigida a Herfox Company S.A.S., sociedad colombiana con NIT 901.069.041-8, domicilio en Transversal 53D # 129-94 Of 1810, Bogotá, Colombia, y correo de contacto soporte@herfox.com.

La decisión sobre entrega, aclaración o impugnación corresponde al representante legal de Herfox Company S.A.S., o a quien este delegue por escrito para este procedimiento. Ningún miembro del equipo entrega información a una autoridad sin pasar por este proceso, aunque la solicitud parezca rutinaria o urgente.

Este documento se vincula con los Términos del servicio, la Política de privacidad y el Aviso de Privacidad de Herfox Company S.A.S., así como con el contrato de encargo del tratamiento suscrito con cada cliente.

Las solicitudes deben enviarse por escrito a los siguientes canales oficiales:

• Correo electrónico: soporte@herfox.com
• Dirección física de notificaciones judiciales: Transversal 53D # 129-94 Of 1810, Bogotá D.C., Colombia

No se atienden solicitudes verbales, telefónicas o recibidas por canales informales. Tampoco se reconoce como notificación oficial un requerimiento que no cumpla las formalidades que exija la ley procesal aplicable; en ese caso se solicitará por escrito que se subsane por el canal correspondiente.

El plazo interno de primera revisión es de 2 días hábiles (lunes a viernes no festivos en Colombia) desde la recepción. Si vence, se registra la causa en el expediente y se escala de inmediato al representante legal o a la asesoría jurídica externa.

Antes de entregar cualquier dato se verifica, dejando constancia de cada punto:

1. Quién la firma y si esa autoridad tiene competencia sobre la materia y sobre Herfox Company S.A.S. (sociedad colombiana, datos alojados en Colombia).
2. Fundamento jurídico invocado y si el tipo de dato pedido requiere orden judicial.
3. Alcance y proporcionalidad: identifica personas, conversaciones o períodos concretos, o es una petición abierta.
4. Autenticidad: la solicitud se contrasta con el despacho o entidad emisora por un canal independiente (llamada a la entidad o consulta en directorio oficial), sin limitarse a responder al mismo correo.
5. Umbral constitucional y legal: se distingue entre (i) datos de identificación y tráfico, (ii) metadatos y registros de operación, y (iii) contenido de comunicaciones. Este último solo se entrega ante orden judicial expedida por autoridad competente, salvo excepciones expresas de la Constitución Política de Colombia y la ley.

Si algo no encaja, se pide aclaración por escrito antes de entregar nada.

Gocentric opera las cuentas de WhatsApp de sus clientes. Frente a los datos de los usuarios finales de un cliente, Herfox Company S.A.S. actúa como encargado del tratamiento y el cliente es el responsable del tratamiento.

Esa distinción se sustenta en el contrato de encargo del tratamiento suscrito con cada cliente, el cual obliga al cliente a atender directamente las solicitudes de autoridades sobre los datos de sus usuarios finales.

Por eso, cuando la solicitud versa sobre conversaciones o contactos de un cliente, la respuesta por defecto es redirigir a la autoridad hacia ese cliente, que es quien decide sobre esos datos, y notificarle la solicitud. Solo se entrega directamente cuando una orden vincula expresamente a Herfox y no admite esa vía; en tal caso se entrega solo lo ordenado y se notifica al cliente de inmediato, salvo prohibición legal expresa.

Se impugna, con asesoría jurídica, mediante los recursos o acciones procesales pertinentes (recurso de reposición, acción de tutela, incidente de nulidad, oposición en procedimiento administrativo o penal, según el caso), cuando:

• La autoridad carece de competencia o el fundamento invocado no cubre lo pedido.
• Se pide contenido de comunicaciones sin la orden judicial que ese contenido exige.
• El alcance es indeterminado — por ejemplo, “todas las conversaciones de la plataforma” — o desproporcionado frente al fin declarado.
• Se pretende acceso directo, permanente o automatizado a los sistemas, en lugar de una entrega puntual y acotada.

La decisión de impugnar la toma el representante legal o quien delegue por escrito, previo concepto de la asesoría jurídica. Mientras la impugnación esté en curso no se entrega la información, salvo obligación legal expresa de hacerlo de forma inmediata.

Se entrega lo mínimo que satisface la solicitud, nunca la cuenta completa ni un volcado de base de datos. En la práctica:

• Se extraen solo las conversaciones, contactos o períodos identificados, filtrados por el proyecto y la organización correspondientes.
• Si en el mismo hilo aparecen datos de terceros ajenos a la solicitud, se entrega el hilo completo solo cuando sea estrictamente necesario; de lo contrario se anonimizan o excluyen esos mensajes, registrando la medida en el expediente.
• Nunca se entregan credenciales ni claves de cifrado: los secretos, tokens de acceso y claves de cifrado de las cuentas de WhatsApp de los clientes no son objeto de estas solicitudes. Una solicitud que los pida se trata como acceso a sistemas y pasa por el punto anterior.
• La entrega se hace por correo electrónico certificado, plataforma de notificaciones judiciales u otro medio que deje constancia de recepción y fecha.

6.1 Dónde residen los datos

Los datos y sus respaldos residen en infraestructura de Oracle Cloud Infrastructure, región sa-bogota-1 (Colombia), la cual actúa como encargada de infraestructura. Los respaldos conservan el cifrado en reposo. No hay proveedores externos que procesen los datos para fines de analítica, correo, modelos de lenguaje ni otros servicios adicionales.

De cada solicitud se conserva un expediente con:

1. La solicitud original y la fecha de recepción.
2. Autoridad y funcionario que la firma.
3. El análisis de legalidad, con su conclusión.
4. Lo que se entregó, o la negativa/impugnación y su fundamento.
5. Fecha, canal y destinatario de la respuesta.
6. Si se notificó al cliente afectado, o por qué no se pudo.

El expediente se conserva por el plazo definido en la política de retención de documentos de Herfox, que en ningún caso será inferior a cinco (5) años. Es el soporte que se presentará si Meta, la SIC o el propio cliente piden cuentas.

Se informa al cliente (responsable del tratamiento) cuya cuenta o usuarios finales se vean afectados, salvo que una orden expresa lo prohíba o que hacerlo comprometa una investigación conforme a la ley. Si no se puede notificar, se registra el motivo en el expediente y se revisa periódicamente si esa restricción decae.

1. Recepción por canal formal y por escrito.
2. Verificación de autenticidad, competencia y fundamento jurídico.
3. Si la solicitud es sobre datos de un cliente: redirigir a la autoridad hacia el cliente y notificarle.
4. Si una orden vincula expresamente a Herfox: minimizar datos, entregar por canal con acuse y notificar al cliente.
5. Si la solicitud es ilícita: solicitar aclaración o impugnar con asesoría jurídica.
6. Archivar el expediente por al menos cinco (5) años.

• Responsable del tratamiento: quien decide sobre el tratamiento de datos personales. En este modelo, el cliente de Gocentric.
• Encargado del tratamiento: quien trata datos por cuenta del responsable. En este modelo, Herfox Company S.A.S.
• Orden judicial: decisión de autoridad judicial competente que exige el contenido de comunicaciones o datos con ese umbral.
• Requerimiento administrativo: solicitud de datos de autoridad administrativa, cuyo alcance y fundamentos se revisan caso a caso.
• Datos de tráfico: registros sobre el uso del servicio, distintos del contenido de las comunicaciones.
• Contenido de comunicaciones: texto, audio, imagen, video o documento intercambiado en una conversación.

Este procedimiento se revisa una vez al año, y antes si cambia la normativa aplicable, la infraestructura donde residen los datos, los proveedores que los procesan, o el modelo de negocio y canales de datos de la plataforma.