Bisagra PEP · Política de privacidad

Versión 2026-10-19. Esta política se presenta en capas (Decreto Ejecutivo 285 de 2021, art. 16). Primero va el resumen y después el detalle.

1. Responsable y contacto

El responsable del tratamiento de la base Bisagra PEP y de los datos de las cuentas de usuario es Bisagra, con domicilio en la República de Panamá. Para cualquier asunto de datos personales escriba a daniel@bisagrapanama.com o use el formulario de derechos ARCO.

2. Qué datos tratamos, de dónde vienen y para qué

2.1 Base PEP (personas con cargos públicos)

• Datos: nombre y alias públicos; cédula, que se guarda completa para la búsqueda exacta pero se muestra enmascarada; cargo, institución y fechas de inicio y fin; clasificación (Nivel 1 o 2, actual o ex-PEP); enlace a la fuente. También relaciones con familiares cercanos o estrechos colaboradores cuando constan en fuentes públicas, y noticias o sanciones publicadas sobre la persona.
• Fuentes:
  • Publicaciones de la Gaceta Oficial, como decretos y resoluciones de nombramiento, y medios de comunicación. Ambas son fuentes de acceso público (Decreto Ejecutivo 285 de 2021, art. 20, nums. 1 y 2).
  • Información sobre la designación de funcionarios y las planillas, que es pública por ley (Ley 6 de 2002, art. 11).
  • Boletines del Tribunal Electoral sobre candidatos proclamados.
  • Sitios web oficiales de las instituciones y el Registro Público. Del Registro Público se muestran, solo a clientes con sesión, las sociedades en las que figura un nombre coincidente con el de un diputado: denominación, folio, cargo registral y nombre tal como aparece, así como las demás personas que figuran en esas mismas sociedades (asociados). Un cargo registral no acredita propiedad, control ni parentesco, y Bisagra no deduce parentescos a partir de esos datos.
  • Cuando así se indica en la ficha, fuentes secundarias como enciclopedias en línea.
  Cada ficha enlaza su fuente.
• Finalidad: permitir que los sujetos obligados identifiquen a las PEP, a sus familiares cercanos y a sus estrechos colaboradores y les apliquen la debida diligencia ampliada, conforme a la Ley 23 de 2015 (arts. 4 y 34), al Decreto Ejecutivo 35 de 2022 (art. 16) y al Acuerdo SBP 1-2025 (art. 4).
• Condición de licitud: los datos provienen de fuentes de dominio público o accesibles en medios públicos (Ley 81 de 2019, art. 8, num. 1). El tratamiento atiende además al interés legítimo de los sujetos obligados en cumplir su obligación legal de contar con herramientas para determinar si un cliente es PEP (Ley 23 de 2015, art. 34, num. 1; Ley 81 de 2019, art. 8, num. 9; Decreto Ejecutivo 285 de 2021, art. 17, num. 7). Bisagra documentó la ponderación de ese interés frente a los derechos de los titulares y adoptó medidas para mitigar los riesgos: enmascarar la cédula, exigir sesión para la búsqueda completa, no ofrecer listados ni búsquedas por apellido suelto, limitar los resultados por consulta, registrar cada consulta y restringir el uso a los fines de prevención.

2.2 Planillas públicas de funcionarios

• Datos: nombre, cédula (enmascarada al mostrarse), cargo, entidad, fecha de inicio y salario, tal como los publican las entidades.
• Fuente y licitud: por ley, la información sobre la designación de funcionarios, las planillas, los emolumentos y otros pagos de quienes desempeñan funciones públicas es de carácter público y de libre acceso (Ley 6 de 2002, art. 11). Las mismas condiciones de licitud del punto 2.1 aplican aquí.
• Finalidad: distinguir a los funcionarios en cargos PEP de los que ocupan cargos medios o subalternos, que no se consideran PEP (Ley 23 de 2015, art. 34). En los resultados se muestran como «funcionario público, no PEP».

2.3 Datos de los clientes de Bisagra y de sus usuarios

• Cuenta: nombre, correo, organización, rol, contraseña cifrada con Argon2id (nunca la vemos), fecha de último acceso, intentos fallidos y la aceptación de los Términos. Los tratamos para ejecutar el contrato con la organización cliente (Ley 81 de 2019, art. 6, num. 2).
• Bitácora de consultas: texto consultado (que puede incluir nombres y cédulas de los clientes del sujeto obligado), fecha y hora, usuario, organización, número de resultados, fecha de corte de la base, huellas SHA-256 e IP anonimizada mediante un hash con clave. Para estos datos, la organización cliente es la responsable del tratamiento y Bisagra actúa como custodio por su cuenta (Ley 81 de 2019, art. 4, num. 5; Decreto Ejecutivo 285 de 2021, arts. 47 y 48).
• Carga masiva: el archivo de cartera se procesa en memoria y no se guarda. Solo se guardan el Excel y el PDF de resultados, para que la organización los descargue.
• Lista propia: nombres, cédulas, cargos y motivos que agrega la organización cliente, con su bitácora de cambios. La organización cliente es su responsable.
• Demostración pública: el texto buscado, la fecha y hora y la IP anonimizada, para prevenir abusos.

2.4 Solicitudes ARCO

Nombre, cédula si la indica, correo, teléfono y detalle de la solicitud. Los tratamos para atender sus derechos y demostrar que respondimos.

3. Quién recibe los datos

• Sujetos obligados con cuenta: ven los resultados de las personas que consultan. Solo pueden usarlos para la debida diligencia; los Términos de uso prohíben cualquier otro uso, incluido el trato discriminatorio (Ley 23 de 2015, art. 34).
• Público: la página de demostración muestra como máximo 3 coincidencias por nombre, sin cédula completa, sin planillas y sin noticias. La página /verificar solo confirma si una constancia existe y no muestra quién hizo la consulta.
• Proveedores de infraestructura: el Servicio se aloja en Render (Render Services, Inc.), con servidores en Estados Unidos, y el tráfico pasa por su red de entrega. Esto implica una transferencia extrafronteriza que se ampara en garantías contractuales con el proveedor (Decreto Ejecutivo 285 de 2021, art. 51, num. 2, y art. 53, num. 1).
• Autoridades: solo cuando lo requiera una entidad pública en ejercicio de sus funciones legales o por orden judicial (Ley 81 de 2019, arts. 11 y 24).

No vendemos datos para mercadeo ni los usamos para elaborar perfiles comerciales.

4. Cuánto tiempo los conservamos

Datos	Plazo
Fichas de PEP en el cargo	Mientras ejerzan el cargo y durante el plazo de 2 años posterior al cese en que siguen siendo PEP (Ley 23 de 2015, art. 34).
Fichas de ex-PEP fuera de ese plazo	Se marcan como «fuera de plazo» y se eliminan a más tardar 5 años después del cese, salvo que la persona vuelva a ocupar un cargo PEP.
Planillas públicas	Se reemplazan en cada actualización por la versión vigente que publica cada entidad.
Bitácora de consultas	5 años desde cada consulta, para que el sujeto obligado cumpla el plazo mínimo de conservación de sus registros de debida diligencia (Ley 23 de 2015, art. 29; Decreto Ejecutivo 35 de 2022, art. 20). Después se elimina.
Resultados de carga masiva (Excel y PDF)	30 días. El archivo original no se guarda.
Cuentas de usuario	Mientras la cuenta esté activa y hasta 5 años después de desactivada, por su vínculo con la bitácora.
Solicitudes ARCO	5 años desde la respuesta.
Sesiones	Hasta 12 horas.

5. Seguridad

Aplicamos medidas técnicas y organizativas proporcionales al riesgo (Ley 81 de 2019, art. 2, num. 5; Decreto Ejecutivo 285 de 2021, art. 36):

• conexión cifrada (HTTPS) y cookie de sesión protegida (HttpOnly, SameSite);
• contraseñas con Argon2id y bloqueo tras intentos fallidos;
• separación por organización;
• bitácora de solo adición, encadenada con SHA-256, que permite detectar alteraciones;
• cédulas enmascaradas en pantalla y en los PDF;
• límites de consultas por minuto y de resultados por búsqueda;
• secretos fuera del código; y
• acceso administrativo restringido.

Si ocurre una violación de seguridad que represente un riesgo para los datos personales, la notificaremos a la Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI) y a los titulares afectados dentro de las 72 horas siguientes a que la conozcamos (Decreto Ejecutivo 285 de 2021, art. 37). La documentaremos conforme al art. 38 del mismo Decreto.

6. Decisiones automatizadas

Bisagra PEP no toma decisiones sobre las personas. El porcentaje de similitud de nombre (que no es una probabilidad de identidad) se calcula comparando el nombre consultado con los de la base, de forma exacta, fonética (por ejemplo, Giménez y Jiménez), por prefijo o con tolerancia a errores de escritura. La búsqueda por cédula exige coincidencia exacta. La clasificación de Nivel 1 depende de que el cargo figure en la Ley 23 de 2015 (art. 4, num. 18) o en el Anexo 1 del Acuerdo SBP 1-2025. Todo resultado se presenta como apoyo y la decisión la toma una persona del sujeto obligado (Ley 81 de 2019, art. 19; Decreto Ejecutivo 285 de 2021, art. 14, num. 8).

7. Sus derechos (ARCO y portabilidad)

Como titular de los datos, usted tiene los derechos de acceso, rectificación, cancelación, oposición y portabilidad (Ley 81 de 2019, art. 15). Su ejercicio es gratuito (Ley 81 de 2019, art. 16; Decreto Ejecutivo 285 de 2021, art. 23) y no puede limitarse por convenio (Ley 81 de 2019, art. 21).

• Cómo: mediante el formulario de /arco o por correo. Debemos verificar su identidad (Decreto Ejecutivo 285 de 2021, art. 21), así que le pediremos acreditarla al responder.
• Plazos: responderemos las solicitudes de acceso en un plazo no mayor de 10 días hábiles (Ley 81 de 2019, art. 16). Corregiremos los datos erróneos, inexactos, equívocos o incompletos dentro de los 5 días hábiles siguientes a la solicitud (Ley 81 de 2019, art. 17). Atenderemos las demás solicitudes en un plazo no mayor de 10 días hábiles.
• Rectificación y cancelación: si corregimos o eliminamos un dato, lo comunicaremos a las organizaciones que lo consultaron, salvo que sea imposible o exija un esfuerzo desproporcionado (Decreto Ejecutivo 285 de 2021, arts. 26 y 27).
• Oposición: evaluaremos cada solicitud según su situación particular. Podremos mantener los datos exactos sobre funciones públicas vigentes o dentro del plazo legal cuando existan motivos legítimos imperiosos, en especial las obligaciones de prevención de los sujetos obligados. En ese caso le explicaremos las razones (Decreto Ejecutivo 285 de 2021, arts. 29 y 31). Los datos cuya exactitud no pueda establecerse se bloquearán (Ley 81 de 2019, art. 17).
• Portabilidad: procede respecto de los datos que usted nos haya entregado directamente, como los de su cuenta de usuario (Ley 81 de 2019, art. 15, num. 5; Decreto Ejecutivo 285 de 2021, art. 30).
• Si no respondemos: si no nos pronunciamos dentro de los plazos, puede recurrir a la ANTAI (Ley 81 de 2019, art. 18).

Si sus datos aparecen en la bitácora de una organización cliente, por ejemplo porque esa organización lo consultó como cliente suyo, esa organización es la responsable de ese tratamiento. Le trasladaremos su solicitud y colaboraremos para atenderla.

8. Cookies

Solo usamos una cookie técnica de sesión (bp_s), necesaria para mantener la sesión iniciada. No usamos cookies de publicidad ni de analítica de terceros.

9. Cambios

Publicaremos aquí cualquier cambio a esta política, con su fecha de versión.