Política de Privacidad y Tratamiento de Datos Personales

Persona responsable de la atención de peticiones, consultas y reclamos. Al no existir una estructura organizacional, esa función la ejerzo directamente yo. No hay un área intermedia, un sistema de tiquetes ni un tercero delegado: tu solicitud llega a la misma persona que decide sobre el tratamiento de tus datos, al correo hola@ricardovelit.com.

No estoy obligado a inscribir bases de datos en el Registro Nacional de Bases de Datos (RNBD), porque el artículo 2.2.2.26.1.2 del Decreto 1074 de 2015 —modificado por el Decreto 090 de 2018— limita esa obligación a sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y a personas jurídicas de naturaleza pública. Esta exclusión no me exime de ninguna otra obligación de la Ley 1581 de 2012, incluidas todas las que se enuncian en este documento.

Cubre el tratamiento de datos personales que realizo como Responsable a través de:

• el sitio web ricardovelit.com y sus subrutas;
• el asistente conversacional Kivi embebido en ese sitio;
• los canales de contacto directo publicados en el sitio: correo electrónico y WhatsApp;
• las tecnologías de medición y publicidad descritas en la sección 7;
• los datos de contacto y facturación de quienes llegan a contratarme.

No cubre:

• Los datos de terceros que un cliente me entrega bajo contrato de prestación de servicios. En esos proyectos —diagnósticos, desarrollo, limpieza de datos, implementación de agentes— el cliente conserva la calidad de Responsable sobre los datos de sus propios titulares y yo actúo como Encargado del Tratamiento, sujeto al contrato de transmisión que exige el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015. Las condiciones de ese tratamiento se pactan en el contrato correspondiente, no aquí. Los datos de contacto y facturación del cliente mismo sí quedan cubiertos por esta política.
• Los sitios de terceros enlazados desde ricardovelit.com. Cada uno tiene su propia política y su propio Responsable.
• La información que no permite identificar a una persona natural, ni directa ni indirectamente, por no constituir dato personal en los términos del artículo 3 de la Ley 1581 de 2012.

Esta política se rige por:

• Constitución Política de Colombia, artículo 15 — derecho fundamental al habeas data.
• Ley Estatutaria 1581 de 2012 — régimen general de protección de datos personales.
• Decreto 1074 de 2015, Libro 2, Parte 2, Título 2, Capítulo 25 — decreto único reglamentario del sector comercio, industria y turismo, que compila el Decreto 1377 de 2013.
• Ley 2300 de 2023 — protección del consumidor frente a comunicaciones comerciales no deseadas.
• Circular Externa 002 del 21 de agosto de 2024 de la Superintendencia de Industria y Comercio — lineamientos sobre el tratamiento de datos personales en sistemas de inteligencia artificial.
• Circular Única de la SIC, Título V — instrucciones sobre protección de datos personales, incluido el listado de países con nivel adecuado de protección.
• Sentencia C-748 de 2011 de la Corte Constitucional — control previo de constitucionalidad de la Ley 1581 de 2012.

No se cita aquí la Ley 1266 de 2008 porque regula el dato financiero, crediticio y comercial administrado por operadores de información, actividad que no realizo. Tampoco se invoca el Reglamento General de Protección de Datos de la Unión Europea: no ofrezco bienes ni servicios dirigidos a titulares en el Espacio Económico Europeo ni monitoreo su comportamiento, de modo que declarar sujeción a esa norma sería una afirmación falsa.

Las siguientes son las definiciones legales del artículo 3 de la Ley 1581 de 2012 y del artículo 2.2.2.25.1.3 del Decreto 1074 de 2015. Se incluyen porque el resto del documento las usa con su significado técnico, no coloquial.

Autorización. Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales.

Aviso de privacidad. Comunicación verbal o escrita dirigida al Titular para informarle acerca de la existencia de esta política, la forma de acceder a ella y las finalidades del Tratamiento.

Base de datos. Conjunto organizado de datos personales que sea objeto de Tratamiento.

Dato personal. Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Dato público. El que no sea semiprivado, privado o sensible. Son públicos, entre otros, los datos relativos al estado civil, a la profesión u oficio y a la calidad de comerciante o servidor público.

Dato sensible. El que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación: origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos u organizaciones sociales o de derechos humanos, datos de salud, de vida sexual y datos biométricos.

Encargado del Tratamiento. Persona natural o jurídica que realiza el Tratamiento de datos personales por cuenta del Responsable.

Responsable del Tratamiento. Persona natural o jurídica que decide sobre la base de datos y el Tratamiento de los datos. En esta política, Ricardo Velit.

Titular. Persona natural cuyos datos personales son objeto de Tratamiento. En esta política, tú.

Transferencia. Envío de datos a un receptor que se encuentra dentro o fuera del país y que actúa como Responsable.

Transmisión. Comunicación de datos a un Encargado, dentro o fuera del territorio colombiano, para que este realice el Tratamiento por cuenta del Responsable. La distinción entre transferencia y transmisión no es semántica: determina qué régimen legal aplica, como se explica en la sección 12.

Tratamiento. Cualquier operación sobre datos personales: recolección, almacenamiento, uso, circulación o supresión.

Todo tratamiento que realizo está sometido a los ocho principios del artículo 4 de la Ley 1581 de 2012. No los reproduzco como declaración de intenciones sino como criterio de control que puedes usar para evaluarme:

Legalidad. El Tratamiento es una actividad reglada. Lo que no esté permitido por la ley o autorizado por ti, no lo hago.

Finalidad. Cada dato que recojo tiene una finalidad determinada, informada en la sección 8. Un dato recogido para responder una consulta no puede reutilizarse después para una finalidad distinta sin nueva autorización.

Libertad. El Tratamiento solo se ejerce con tu consentimiento previo, expreso e informado.

Veracidad o calidad. La información debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Si detecto que un dato tuyo es incorrecto, tengo el deber de rectificarlo aunque no me lo pidas.

Transparencia. Puedes preguntarme, en cualquier momento y sin restricciones, si tengo datos que te conciernen y cuáles son.

Acceso y circulación restringida. No publico tus datos ni los pongo a disposición en internet o en medios de divulgación o comunicación masiva. El acceso a los sistemas donde reposan es técnicamente controlado y limitado a quienes indica la sección 12.

Seguridad. Aplico las medidas técnicas, humanas y administrativas descritas en la sección 15.

Confidencialidad. La reserva sobre tu información se mantiene incluso después de terminado el Tratamiento y de terminada cualquier relación contractual.

Solo se enumeran datos que efectivamente se recogen hoy. Ninguna categoría se incluye «por si acaso».

6.1Asistente conversacional Kivi

El sitio incorpora a Kivi, un agente conversacional. Cuando le escribes se registra:

• el contenido de los mensajes que envías, incluidos los datos personales que decidas incluir en ellos —nombre, correo, teléfono, empresa, cargo, descripción de tu necesidad—;
• el contenido de las respuestas generadas y la traza de razonamiento asociada a la conversación;
• marcas de tiempo e identificadores técnicos de sesión.

Kivi no exige datos identificatorios para funcionar. Puedes conversar con él sin decirle quién eres. Lo que escribas es tu decisión, y esa decisión constituye tu autorización para tratar ese contenido con las finalidades de la sección 8.

6.2Contacto directo

Cuando me escribes a hola@ricardovelit.com o al WhatsApp publicado, trato los datos que ese canal transporta: dirección de correo o número telefónico, nombre o alias de perfil, y el contenido de tu mensaje y sus adjuntos.

6.3Datos técnicos de navegación

La infraestructura que sirve el sitio genera registros técnicos automáticos: dirección IP, tipo y versión de navegador, sistema operativo, páginas visitadas, fecha y hora, y la página de origen. Estos registros se producen por el funcionamiento normal de cualquier servidor web y se usan para operación, diagnóstico y seguridad, no para construir perfiles individuales.

6.4Datos de medición publicitaria

El sitio carga un píxel de Meta Platforms, que registra tu visita y determinadas interacciones y las asocia a tu cuenta de Facebook o Instagram si tienes una sesión abierta. El alcance y las consecuencias de esta herramienta se detallan en la sección 7, porque son mayores que los de las otras tres categorías.

6.5Datos de facturación

Si llegamos a celebrar un contrato, recojo además los datos necesarios para facturar y cumplir mis obligaciones tributarias: identificación tributaria, dirección de facturación y datos de contacto administrativo. Estos datos se recogen al formalizar la relación, no a través del sitio.

6.6Lo que no recolecto

No solicito ni recojo, por ningún canal de este sitio: datos de salud, datos biométricos, datos de origen racial o étnico, convicciones religiosas o filosóficas, orientación política, pertenencia a sindicatos u organizaciones, vida sexual, datos crediticios, ni números de tarjetas o cuentas bancarias. Tampoco compro bases de datos ni obtengo datos personales mediante scraping de terceros para prospección comercial.

Colombia no tiene una ley específica de cookies. Eso no significa que no haya regla aplicable: la Superintendencia de Industria y Comercio, en el concepto con radicado 16-172268 del 9 de agosto de 2016, señaló que cuando mediante cookies se recolecten datos personales debe darse cumplimiento a la Ley 1581 de 2012 y a sus principios rectores. De ahí se sigue, por aplicación del principio de libertad del artículo 4 literal c) y del deber de informar del artículo 12 de esa ley, que el consentimiento debe ser previo, expreso e informado —y por tanto no puede ser tácito ni deducirse del solo hecho de que sigas navegando.

7.1Cookies técnicas

Son las estrictamente necesarias para que el sitio funcione: mantener la sesión del asistente, recordar la preferencia de tema claro u oscuro y garantizar la seguridad de la conexión. Sin ellas el sitio no opera, y por eso no requieren consentimiento separado.

7.2Píxel de Meta

Este sitio carga el píxel de Meta Platforms, Inc. Es una tecnología de finalidad publicitaria, no técnica, y conviene que entiendas exactamente qué implica:

• registra que visitaste este sitio y qué acciones realizaste en él;
• transmite esa información a Meta, que puede vincularla con tu perfil de Facebook o Instagram;
• permite construir audiencias para mostrar publicidad de mis servicios a personas con características similares a las tuyas.

Este píxel no se carga hasta que lo aceptas en el mecanismo de consentimiento que aparece en tu primera visita.

Cómo controlarlo después. Puedes revocar la aceptación desde ese mismo mecanismo, configurar tu navegador para bloquear cookies de terceros, usar extensiones de bloqueo de rastreadores, o ajustar las preferencias de anuncios en tu cuenta de Meta. Retirar el consentimiento no limita ninguna funcionalidad del sitio, porque este píxel no cumple ninguna función necesaria para que el sitio te sirva.

No utilizo Google Analytics, ni píxeles de LinkedIn, TikTok o X, ni cookies de otras redes publicitarias. Si esto cambia, se actualizará esta sección antes de implementar la herramienta, no después.

Trato tus datos personales exclusivamente para:

1. Responder lo que preguntas. Atender consultas recibidas por Kivi, correo o WhatsApp, y darles continuidad hasta que queden resueltas.
2. Evaluar si un proyecto tiene sentido. Entender tu necesidad, estimar alcance, elaborar propuestas y cotizaciones, y decirte si puedo ayudarte o si no es el caso.
3. Ejecutar la relación contractual. Formalizar, cumplir y liquidar los contratos de servicios que lleguemos a celebrar, incluidas la facturación y el cumplimiento de obligaciones tributarias.
4. Enviar comunicaciones comerciales, solo si lo autorizas de forma diferenciada. Información sobre servicios, contenidos técnicos o novedades. Esta finalidad se rige por la sección 9.3 y es siempre separable de las anteriores: puedes contratarme sin recibir una sola comunicación comercial.
5. Operar y proteger el sitio. Diagnóstico técnico, prevención de abuso y fraude, y mantenimiento de la disponibilidad del servicio.
6. Medir el desempeño publicitario, en los términos y con los controles de la sección 7.2.
7. Cumplir obligaciones legales y atender requerimientos de autoridades administrativas o judiciales competentes.

Lo que no hago con tus datos. No los vendo, no los arriendo, no los cedo ni los comercializo con terceros bajo ninguna modalidad. No los uso para entrenar ni afinar modelos de inteligencia artificial —ni míos ni de terceros—, según se detalla en la sección 11. No los uso para tomar decisiones automatizadas que produzcan efectos jurídicos sobre ti.

9.1Cómo la obtengo

Conforme al artículo 9 de la Ley 1581 de 2012, requiero tu autorización previa e informada, obtenida por un medio que pueda ser objeto de consulta posterior. En este sitio la autorización se manifiesta:

• por conducta inequívoca, cuando escribes voluntariamente a Kivi, al correo o al WhatsApp con datos identificatorios y una solicitud concreta, habiendo tenido esta política a tu disposición desde antes;
• de forma expresa y separada, mediante casilla no premarcada o botón de aceptación específico, cuando se trate de comunicaciones comerciales o del píxel publicitario.

Conservo prueba de esta autorización y, si me la pides, te entrego copia, como exige el parágrafo del artículo 12 de la Ley 1581 de 2012.

9.2Qué te informo al pedirla

En cumplimiento del artículo 12 de la Ley 1581 de 2012, al momento de solicitar tu autorización te informo: el Tratamiento al que serán sometidos tus datos y su finalidad; el carácter facultativo de responder preguntas sobre datos sensibles o de menores —que en todo caso no formulo—; los derechos que te asisten como Titular; y mi identificación, dirección y teléfono, publicados en la sección 1.

9.3Comunicaciones comerciales y Ley 2300 de 2023

La Ley 2300 de 2023 extiende, por su artículo 5, el régimen de protección frente a comunicaciones no deseadas a las relaciones entre proveedores de bienes y servicios y consumidores, incluyendo mensajes por correo electrónico, aplicaciones de mensajería, SMS y llamadas. En consecuencia:

• Solo te envío comunicaciones comerciales si lo autorizaste de manera explícita y diferenciada, y únicamente por los canales que hayas autorizado.
• Respeto los horarios del artículo 3 de esa ley: lunes a viernes de 7:00 a.m. a 7:00 p.m. y sábados de 8:00 a.m. a 3:00 p.m., sin contacto los domingos ni los días festivos.
• Como compromiso propio, adicional a lo que la ley me exige, no te contacto por varios canales dentro de una misma semana ni más de una vez en el mismo día.
• Todo mensaje comercial incluye un mecanismo visible y gratuito para cancelar su recepción, que atiendo sin dilación injustificada y, en todo caso, dentro de los plazos del artículo 15 de la Ley 1581 de 2012.
• Las comunicaciones estrictamente relacionadas con un servicio que ya contrataste —avances, entregas, facturación, soporte— no son comunicaciones comerciales y no dependen de esta autorización.

9.4Cómo la revocas

Puedes revocar la autorización en cualquier momento escribiendo a hola@ricardovelit.com. La revocatoria puede ser total —para todas las finalidades— o parcial —por ejemplo, solo para comunicaciones comerciales, conservando el tratamiento necesario para ejecutar un contrato vigente—. Indícalo en tu solicitud; si no lo indicas, te preguntaré antes de actuar.

Conforme al artículo 2.2.2.25.2.6 del Decreto 1074 de 2015, la revocatoria y la supresión no proceden cuando tengas un deber legal o contractual de permanecer en la base de datos. Es el caso, por ejemplo, de los datos asociados a una factura ya expedida, que debo conservar por mandato tributario.

Datos sensibles. No solicito datos sensibles a través de este sitio ni por ninguno de sus canales. Si decides incluirlos por iniciativa propia en un mensaje a Kivi o en un correo, ten presente que responder con ese tipo de información es facultativo y que ninguna de mis finalidades los requiere. Los suprimiré tan pronto los identifique, salvo que resulten indispensables para atender tu propia solicitud y hayas dado autorización explícita en los términos del artículo 6 literal a) de la Ley 1581 de 2012.

Niños, niñas y adolescentes. El artículo 7 de la Ley 1581 de 2012 restringe el tratamiento de datos personales de menores de edad; la Corte Constitucional, en la Sentencia C-748 de 2011, precisó que solo procede cuando responda al interés superior del menor y respete sus derechos prevalentes, con los requisitos del artículo 2.2.2.25.2.9 del Decreto 1074 de 2015.

Este sitio y estos servicios están dirigidos exclusivamente a personas mayores de 18 años en ejercicio de una actividad profesional o empresarial. No dirijo publicidad a menores ni realizo perfilamiento sobre ellos. Si identifico que he recibido datos de un menor de edad sin autorización de su representante legal, procederé a su supresión inmediata. Si eres representante legal de un menor y crees que sus datos llegaron a mí, escríbeme a hola@ricardovelit.com y los eliminaré sin que medie ningún trámite adicional.

Construyo sistemas de inteligencia artificial. Eso me obliga a un estándar más alto en esta sección, no a uno más laxo. La Superintendencia de Industria y Comercio impartió instrucciones vinculantes sobre la materia en la Circular Externa 002 del 21 de agosto de 2024, y este es el punto donde se aplican.

11.1Qué hace Kivi con lo que escribes

Kivi procesa el contenido de la conversación para entender tu solicitud y responderla. Ese procesamiento implica el envío del contenido conversacional a un proveedor de modelos de lenguaje que actúa como Encargado del Tratamiento —no como Responsable— y que está contractualmente obligado a tratarlo únicamente conforme a mis instrucciones. El proveedor vigente se identifica en la tabla de la sección 12.2.

11.2Cuatro límites que asumo expresamente

1. Tus conversaciones no entrenan modelos. Los términos de servicio aplicables al proveedor de modelos excluyen el uso del contenido para entrenar o afinar modelos, propios o de terceros. El proveedor puede retenerlo temporalmente por razones de seguridad y prevención de abuso, conforme a sus propios términos.
2. Kivi no toma decisiones que produzcan efectos jurídicos sobre ti. No aprueba ni rechaza solicitudes, no fija precios vinculantes ni asume obligaciones en mi nombre. Es un canal de conversación y calificación; toda decisión contractual la tomo yo.
3. No hago perfilamiento a partir de tus conversaciones. No cruzo lo que escribes con fuentes externas para inferir características tuyas no declaradas.
4. Puedes pedir intervención humana en cualquier momento. Basta con que lo digas en la conversación o escribas a hola@ricardovelit.com.

11.3Datos accesibles al público

El numeral IX de la Circular Externa 002 de 2024 es explícito en que la información accesible al público no es, por ese solo hecho, información de naturaleza pública. Recogerla de internet no releva de obtener autorización previa del Titular. En consecuencia, no obtengo datos personales mediante scraping ni de fuentes públicas para alimentar prospección comercial, entrenamiento o enriquecimiento de perfiles.

11.4Evaluación previa de impacto

Cuando una funcionalidad de este sitio implique un tratamiento de datos personales mediante inteligencia artificial con probabilidad de alto riesgo de afectación de los Titulares, realizo y documento un estudio de impacto de privacidad antes de ponerla en producción, conforme al numeral IV de la misma circular.

12.1La distinción que importa

Cuando envío datos a un proveedor que los trata por mi cuenta y bajo mis instrucciones —correo, alojamiento, procesamiento del asistente—, jurídicamente hay una transmisión, regida por el artículo 2.2.2.25.5.1 del Decreto 1074 de 2015 cuando es internacional y por el contrato de transmisión del artículo 2.2.2.25.5.2. Cuando envío datos a un tercero que decide sobre ellos por sí mismo, hay una transferencia, sometida al artículo 26 de la Ley 1581 de 2012.

12.2Quiénes intervienen

En el caso de Meta —tanto por WhatsApp como por el píxel— la relación no es de encargo: Meta determina sus propias finalidades sobre esos datos conforme a sus políticas. Por eso ambos flujos se tratan como transferencia y no como transmisión, y por eso el consentimiento de la sección 7.2 es expreso y separado.

No comparto tus datos con ningún otro tercero, salvo requerimiento de autoridad administrativa o judicial competente en ejercicio de sus funciones legales, conforme al artículo 13 literal b) de la Ley 1581 de 2012.

12.3Legitimidad de la salida del país

Transmisiones (Google, Vercel y los proveedores de Kivi). El artículo 2.2.2.25.5.1 del Decreto 1074 de 2015 dispone que las transmisiones internacionales de datos personales que se efectúen entre un Responsable y un Encargado no requieren ser informadas al Titular ni contar con su consentimiento cuando medie un contrato de transmisión en los términos del artículo 2.2.2.25.5.2. Ese contrato existe con cada uno de los Encargados listados. Aun así, los declaro aquí por transparencia.

Transferencias (Meta). El artículo 26 de la Ley 1581 de 2012 prohíbe la transferencia de datos a países que no ofrezcan un nivel adecuado de protección. Estados Unidos e Irlanda figuran en el listado de países con nivel adecuado declarado por la Superintendencia de Industria y Comercio en el numeral 3.2 del Capítulo Tercero del Título V de su Circular Única. Estas transferencias son, por tanto, legítimas sin necesidad de invocar una excepción del artículo 26 ni de solicitar declaración de conformidad ante la SIC.

Si en el futuro incorporo un tercero establecido en un país que no figure en ese listado, obtendré tu autorización expresa e inequívoca para la transferencia, o acudiré al mecanismo contractual del numeral 3.3 del mismo capítulo, o solicitaré la declaración de conformidad de la SIC —lo que corresponda—, antes de que el flujo comience.

El artículo 8 de la Ley 1581 de 2012 te reconoce los siguientes derechos, que puedes ejercer frente a mí sin costo alguno:

Conocer. Saber si tengo datos tuyos, cuáles son y de dónde salieron. El acceso a tus datos personales objeto de Tratamiento es gratuito.

Actualizar. Poner al día un dato que cambió.

Rectificar. Corregir datos parciales, inexactos, incompletos, fraccionados o que induzcan a error.

Solicitar prueba de la autorización que me otorgaste, salvo en los casos en que la ley exceptúa expresamente ese requisito.

Ser informado del uso que le he dado a tus datos personales, previa solicitud.

Revocar la autorización y solicitar la supresión del dato, con los límites del artículo 2.2.2.25.2.6 del Decreto 1074 de 2015 explicados en la sección 9.4.

Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la Ley 1581 de 2012 y a las normas que la modifiquen o complementen.

Estos derechos los ejerces tú, tus causahabientes, tu representante o apoderado, o quien actúe por estipulación a favor de otro.

14.1Dónde

El canal principal, atendido directamente por mí, es hola@ricardovelit.com. También puedes iniciar y tramitar tu solicitud por el WhatsApp publicado en la sección 1: te sugeriré confirmarla por correo para que quede constancia verificable a favor de ambos, pero si prefieres no hacerlo, la tramito igual.

14.2Qué debes incluir

Tu nombre completo y número de documento; la descripción de lo que pides; una dirección de correo o física para responderte; y los documentos que quieras hacer valer. Si tu solicitud llega incompleta, te lo haré saber dentro de los cinco (5) días siguientes para que la subsanes. Si transcurren dos (2) meses desde ese requerimiento sin que aportes lo pedido, se entenderá que desististe.

14.3Consulta — artículo 14 de la Ley 1581 de 2012

Es la solicitud para conocer tus datos o el uso que les he dado.

Plazo: diez (10) días hábiles contados desde el recibo. Si no me es posible atenderla en ese término, te informaré los motivos y la fecha en que la atenderé, que en ningún caso superará los cinco (5) días hábiles siguientes al vencimiento del primer plazo.

14.4Reclamo — artículo 15 de la Ley 1581 de 2012

Es la solicitud de corrección, actualización o supresión, o el señalamiento de un presunto incumplimiento de mis deberes.

Dentro de los dos (2) días hábiles siguientes al recibo del reclamo completo, incluiré en la base de datos la leyenda «reclamo en trámite» con el motivo, y la mantendré hasta que el reclamo sea decidido. Si el reclamo no es de mi competencia, lo trasladaré a quien corresponda dentro de los dos (2) días hábiles siguientes y te informaré.

Plazo: quince (15) días hábiles contados desde el día siguiente a la fecha de recibo. Si no me es posible atenderlo en ese término, te informaré los motivos y la fecha en que lo atenderé, que en ningún caso superará los ocho (8) días hábiles siguientes al vencimiento del primer plazo.

14.5Requisito de procedibilidad

El artículo 16 de la Ley 1581 de 2012 exige agotar previamente el trámite de consulta o reclamo ante mí antes de elevar queja ante la Superintendencia de Industria y Comercio. Ese requisito existe para darme la oportunidad de resolver directamente; no limita en absoluto tu derecho a acudir después a la autoridad.

15.1Medidas de seguridad

En cumplimiento del artículo 4 literal g) y del artículo 17 literal d) de la Ley 1581 de 2012, aplico medidas técnicas, humanas y administrativas proporcionadas al volumen y sensibilidad de los datos que trato:

• Cifrado en tránsito mediante TLS en todo el sitio web y en la conexión con los Encargados. En el correo electrónico el cifrado en tránsito depende también del servidor de tu proveedor, circunstancia que no está bajo mi control.
• Autenticación de doble factor en las cuentas administrativas con acceso a datos personales.
• Acceso restringido. No hay personal bajo mi dirección con acceso a los datos: soy la única persona que los consulta. Los Encargados listados en la sección 12.2 acceden únicamente en lo necesario para prestar su servicio y bajo obligación contractual de confidencialidad.
• Acuerdos de tratamiento de datos suscritos —en la mayoría de los casos por adhesión a los términos estándar del proveedor— con cada Encargado identificado en la sección 12.2.
• Minimización. No recojo datos que no necesite para una finalidad declarada, y suprimo los que dejan de ser necesarios.

Ninguna medida de seguridad es infalible, y afirmar lo contrario sería deshonesto. Lo que sí asumo es el deber del artículo 17 literal n) de la Ley 1581 de 2012: informar a la Superintendencia de Industria y Comercio, por su canal de atención al ciudadano, cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de tu información. Si un incidente te afecta directamente, te lo informaré a ti también.

15.2Cuánto tiempo conservo los datos

El artículo 2.2.2.25.2.8 del Decreto 1074 de 2015 exige conservar los datos solo durante el tiempo razonable y necesario para las finalidades que justificaron su obtención. Los períodos que aplico:

Cumplido el período, o cumplida la finalidad, procedo a la supresión definitiva de los datos, salvo obligación legal o contractual de conservación.

15.3Período de vigencia de la base de datos

La base de datos permanecerá vigente mientras se mantengan las finalidades de la sección 8 y, en todo caso, mientras subsistan las obligaciones legales de conservación indicadas en la tabla anterior.

16.1Vigencia de esta política

Esta política entra en vigencia el 15 de agosto de 2026 y permanece vigente hasta que sea sustituida por una versión posterior publicada en esta misma dirección.

16.2Modificaciones

Puedo modificar esta política. Cuando el cambio sea sustancial —una finalidad nueva, un Encargado nuevo, una categoría de datos nueva, un cambio en el régimen de transferencias—, te lo comunicaré por un medio eficiente antes de implementarlo, como exige el parágrafo del artículo 2.2.2.25.3.1 del Decreto 1074 de 2015. No es una cortesía: es un requisito de validez del nuevo tratamiento.

Cada versión queda identificada con su fecha de entrada en vigencia en el encabezado de este documento.

16.3Contacto

16.4Autoridad de control

La autoridad competente en materia de protección de datos personales en Colombia es la Superintendencia de Industria y Comercio, a través de su Delegatura para la Protección de Datos Personales.

Ante la SIC puedes presentar quejas por el tratamiento de tus datos personales, una vez agotado el trámite de consulta o reclamo descrito en la sección 14.