Política de privacidad

1. Quién trata sus datos

Fesa ID es una plataforma operada por Formas Eficientes, S.A. (en adelante, "Fesa"), con domicilio en la República de Panamá.

Cuando una organización cliente (empresa, aseguradora, institución educativa, organizador de eventos u otra entidad) emite credenciales a sus colaboradores, asegurados, estudiantes o asistentes, esa organización es la responsable del tratamiento de los datos de sus titulares. Fesa actúa como custodio: trata los datos únicamente siguiendo las instrucciones de la organización, bajo un acuerdo de encargo de tratamiento.

Cuando usted crea una cuenta en Fesa ID o registra una organización, Fesa es responsable del tratamiento de los datos de su cuenta (nombre, correo, contraseña cifrada, idioma, registros de acceso).

2. Qué datos se tratan

Según el uso que haga de la plataforma, se tratan:

• Datos de cuenta: nombre, correo electrónico, nombre de usuario, contraseña cifrada, idioma, fecha de último acceso y sesiones activas.
• Datos de la credencial: nombre, cargo, foto, correo, teléfono, organización y los campos que la organización defina en su plantilla (por ejemplo número de empleado, departamento, número de póliza).
• Datos sensibles solo cuando la organización los incluye en la credencial y ha obtenido el consentimiento expreso del titular (por ejemplo tipo de sangre o información de un plan de salud).
• Datos técnicos: dirección IP, tipo de dispositivo y navegador, página desde la que se realizó una acción, fecha y hora, registrados en la bitácora de auditoría y en las estadísticas de visitas y verificaciones de cada credencial.

3. Para qué se usan

• Emitir, mostrar, actualizar, suspender y revocar credenciales digitales, incluidos los pases para Apple Wallet y Google Wallet.
• Permitir que un tercero verifique la vigencia de una credencial escaneando su código QR.
• Enviar los correos operativos de la plataforma: entrega de la credencial, códigos de verificación, restablecimiento de contraseña, avisos de estado.
• Mantener una bitácora de auditoría de quién hizo qué, cuándo y desde dónde, por seguridad y por obligación legal de las organizaciones reguladas.
• Elaborar estadísticas de uso agregadas para la organización emisora.

4. Base legal

El tratamiento se basa en el consentimiento del titular, en la relación contractual o laboral entre el titular y la organización emisora, y en el cumplimiento de obligaciones legales de la organización. Los datos sensibles se tratan únicamente con consentimiento previo, expreso e informado del titular, recabado por la organización responsable.

5. Quién puede ver la credencial

La página pública de una credencial muestra únicamente los campos que la organización decidió incluir en el diseño. Es accesible para cualquier persona que escanee el código QR o abra el enlace; el enlace contiene un identificador aleatorio no adivinable y no se indexa en buscadores.

La página de verificación muestra un conjunto mínimo: foto, nombre, cargo, organización emisora, estado de vigencia y fechas. No muestra datos de contacto del titular.

6. Dónde se alojan los datos y a quién se transfieren

Los datos se alojan en servidores contratados por Fesa fuera de Panamá, con proveedores que garantizan medidas de seguridad equivalentes a las exigidas por la Ley 81 de 2019. Fesa se apoya en los siguientes subencargados para operar la plataforma:

• Proveedores de servidores y base de datos (alojamiento de la aplicación y de la información).
• Cloudflare (almacenamiento de imágenes y archivos de pases).
• Resend (envío de correos electrónicos transaccionales).
• Apple y Google (únicamente cuando el titular añade su credencial a Apple Wallet o Google Wallet).

7. Cuánto tiempo se conservan

Los datos de una credencial se conservan mientras la credencial esté vigente y durante el plazo que la organización responsable determine para su registro de emisiones, sin exceder el límite legal aplicable. Los datos de la cuenta se conservan mientras la cuenta exista. La bitácora de auditoría se conserva por el tiempo necesario para atender requerimientos de las organizaciones reguladas y de las autoridades.

8. Sus derechos

Usted puede ejercer los derechos de acceso, rectificación, cancelación, oposición y portabilidad (derechos ARCO) previstos en la Ley 81 de 2019.

Si su credencial la emitió una organización, dirija su solicitud a esa organización, que es la responsable; Fesa la apoyará como custodio. Si se trata de los datos de su cuenta en Fesa ID, escriba a privacidad@fesa.com.pa. Las solicitudes de acceso se atienden en un plazo máximo de diez días hábiles y las de rectificación en cinco días hábiles.

También puede presentar una reclamación ante la Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI).

9. Seguridad

Fesa aplica cifrado en tránsito, control de acceso por roles y organización, autenticación de dos factores para administradores, bloqueo por intentos fallidos, bitácora de auditoría y copias de seguridad diarias. Ante un incidente de seguridad que afecte datos personales, Fesa informará a la organización responsable de inmediato para que esta pueda notificar a los titulares y a la ANTAI dentro del plazo legal.

10. Cambios en esta política

Cuando esta política cambie, se actualizará la fecha de versión indicada al inicio y, si el cambio es sustancial, se pedirá nuevamente su aceptación al iniciar sesión.