Política de Tratamiento de la Información y Protección de Datos Personales

2.0 2 de enero de 2026 Actualización normativa, fortalecimiento de procedimientos e incorporación de guía para titulares y representantes.

1. DISPOSICIONES GENERALES

1.1. Objeto

G&C LAW, domiciliada en Bogotá, Colombia (en adelante, la “Firma”), adopta la presente Política de Tratamiento de la Información y Protección de Datos Personales (la “Política”) para informar de manera clara a los Titulares sobre el Tratamiento de sus Datos Personales, las finalidades aplicables, los derechos que les asisten, los canales y procedimientos para ejercerlos y las medidas generales adoptadas para su protección.

La Política se adopta en cumplimiento del artículo 15 de la Constitución Política, la Ley Estatutaria 1581 de 2012, el Capítulo 25 del Decreto 1074 de 2015, la Circular Única de la Superintendencia de Industria y Comercio (“SIC”) en su versión vigente y las demás normas que modifiquen, adicionen, sustituyan o desarrollen este régimen.

1.2. Alcance

Esta Política aplica al Tratamiento de Datos Personales realizado por la Firma en calidad de Responsable y, cuando corresponda, a las operaciones que ejecute en calidad de Encargado por cuenta de terceros. Comprende los datos de clientes, clientes potenciales, contrapartes, proveedores, contratistas, colaboradores, aspirantes, visitantes, contactos comerciales y demás personas naturales cuyos datos sean tratados por la Firma, según resulte aplicable a cada relación.

1.3. Identificación y datos de contacto del Responsable

Responsable del Tratamiento: G&C LAW.

Domicilio: Bogotá, Colombia.

Dirección física: Calle 31 No. 13 A – 51, Torre 2, Oficina 231, Edificio Panorama, Bogotá.

Correo electrónico para asuntos de protección de datos: gerencia@gyclaw.com.

Teléfono: +57 (601) 7027445. Celulares: 317 372 6562 / 317 434 0848.

1.4. Marco normativo

• Artículo 15 de la Constitución Política de Colombia.
• Ley Estatutaria 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales.
• Decreto 1074 de 2015, Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, en especial el Capítulo

25 del Título 2 de la Parte 2 del Libro 2, que compiló la reglamentación del Decreto 1377 de 2013.

• Circular Única de la Superintendencia de Industria y Comercio, Título V , en su versión vigente.
• Ley Estatutaria 1266 de 2008 y Ley Estatutaria 2157 de 2021, cuando el Tratamiento corresponda a información financiera, crediticia, comercial, de servicios o proveniente de terceros países y la Firma actúe en alguno de los roles regulados por dicho régimen.
• Ley 2300 de 2023, cuando resulte aplicable a contactos de cobranza o a comunicaciones comerciales y publicitarias.
• Decreto 90 de 2018 y las instrucciones de la SIC relativas al Registro Nacional de Bases de Datos, únicamente cuando la Firma se encuentre dentro del ámbito de sujetos obligados a registrar sus bases.

1.5. Definiciones

a) Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de sus Datos Personales, salvo las excepciones legales. b) Base de Datos: Conjunto organizado de Datos Personales que sea objeto de Tratamiento. c) Dato Personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables. d) Dato Público: Dato que no sea semiprivado, privado o sensible y que, por mandato legal o constitucional, tenga naturaleza pública. El acceso público a una fuente no convierte en público un dato que por su naturaleza no lo sea. e) Dato Sensible: Dato que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación, incluyendo, entre otros, datos sobre origen racial o étnico, orientación política, convicciones religiosas o filosóficas, afiliación sindical, salud, vida sexual y datos biométricos. f) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que realiza el Tratamiento de Datos Personales por cuenta del Responsable. g) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que decide sobre la Base de Datos y/o el Tratamiento de los Datos Personales. h) Titular: Persona natural cuyos Datos Personales sean objeto de Tratamiento. i) Transferencia: Envío de Datos Personales a un receptor que, a su vez, actúa como Responsable del Tratamiento, dentro o fuera de Colombia. j) Transmisión: Comunicación de Datos Personales a un Encargado para que realice un Tratamiento por cuenta del Responsable, dentro o fuera de Colombia. k) Tratamiento: Cualquier operación o conjunto de operaciones sobre Datos Personales, tales como recolección, almacenamiento, uso, circulación, consulta, análisis, actualización, rectificación, transmisión, transferencia, supresión o eliminación. l) Representante o Apoderado: Persona que actúa válidamente en nombre del Titular y acredita la representación o el apoderamiento conforme a la ley y a esta Política.

2. POLÍTICA DE TRATAMIENTO

2.1. Principios aplicables

La Firma realizará el Tratamiento de Datos Personales de acuerdo con los principios previstos en la Ley 1581 de 2012 y las normas reglamentarias, entre ellos: a) Legalidad: El Tratamiento se sujetará al régimen jurídico aplicable. b) Finalidad: Los Datos Personales serán tratados para finalidades legítimas, específicas e informadas al Titular. c) Libertad: Salvo excepción legal, el Tratamiento requiere autorización previa e informada y no se obtendrán datos mediante medios engañosos o fraudulentos. d) Veracidad o calidad: La información deberá ser veraz, completa, exacta, actualizada, comprobable y comprensible. e) Transparencia: El Titular podrá obtener información sobre la existencia y el uso de sus Datos Personales en los términos de la ley. f) Acceso y circulación restringida: El Tratamiento estará limitado a personas autorizadas por el Titular o por la ley y se implementarán controles para evitar acceso indiscriminado. g) Seguridad: Se adoptarán medidas técnicas, humanas y administrativas razonables y proporcionales al riesgo para prevenir adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. h) Confidencialidad: Quienes intervengan en el Tratamiento deberán conservar la reserva de la información incluso después de finalizada su relación con la Firma. i) Necesidad, temporalidad y proporcionalidad: Se procurará tratar únicamente los datos adecuados y necesarios para la finalidad informada y conservarlos durante el tiempo razonablemente requerido por dicha finalidad o por obligaciones legales o contractuales. j) Responsabilidad demostrada: La Firma procurará documentar medidas y procedimientos internos que evidencien el cumplimiento del régimen de protección de datos, de forma proporcional a su actividad, a la naturaleza de los datos y a los riesgos del Tratamiento.

2.2. Tratamiento y categorías especiales de información

La Firma podrá recolectar, almacenar, organizar, consultar, usar, circular, analizar, actualizar, rectificar, transmitir, transferir, suprimir y eliminar Datos Personales de acuerdo con la finalidad aplicable y con la autorización del Titular cuando esta sea requerida.

2.2.1. Datos de niñas, niños y adolescentes

El Tratamiento de Datos Personales de niñas, niños y adolescentes se realizará de manera excepcional y con observancia de las reglas especiales del artículo 7 de la Ley 1581 de 2012 y del artículo 2.2.2.25.2.9 del Decreto 1074 de 2015. En todo caso, el Tratamiento deberá responder al interés superior del menor, asegurar el respeto de sus derechos fundamentales y contar, cuando corresponda, con la autorización de su representante legal, previo ejercicio del derecho del menor a ser escuchado, valorando su opinión según su madurez, autonomía y capacidad para comprender el asunto. La Firma evitará recolectar datos de menores cuando no sean estrictamente necesarios para la prestación de sus servicios, el cumplimiento de obligaciones legales o la defensa de derechos e intereses legítimos.

2.2.2. Datos sensibles

El Tratamiento de Datos Sensibles está prohibido salvo en los casos permitidos por la ley. Cuando se solicite autorización para tratar Datos Sensibles, la Firma informará al Titular el carácter sensible de la información, la finalidad específica y que no está obligado a autorizar su Tratamiento ni a responder preguntas que versen sobre este tipo de datos, salvo que exista un deber legal aplicable.

La Firma aplicará controles de acceso reforzados y medidas de confidencialidad y seguridad acordes con la naturaleza y el riesgo de estos datos.

2.2.3. Información financiera, crediticia, comercial y de servicios

Cuando la Firma trate información sujeta al régimen especial de hábeas data financiero, aplicará la Ley 1266 de 2008, la Ley 2157 de 2021 y las normas que las modifiquen, complementen o sustituyan, según el rol que corresponda en cada caso. Esta sección no implica que la Firma actúe de manera permanente como operador, fuente o usuario de información financiera; su aplicación dependerá del Tratamiento efectivamente realizado.

2.2.4. Uso de tecnologías e inteligencia artificial

La Firma podrá utilizar herramientas tecnológicas, automatización e inteligencia artificial para apoyar actividades como gestión documental, búsqueda, organización de información, análisis, elaboración y revisión de documentos, control de calidad y prestación o mejora de servicios. Este uso deberá respetar las finalidades informadas, la confidencialidad y el secreto profesional, la minimización de datos, los controles de acceso y las obligaciones contractuales y legales aplicables. Cuando proveedores tecnológicos actúen como Encargados o receptores de información, la Firma evaluará las condiciones de seguridad, confidencialidad, uso de la información y localización del Tratamiento, y adoptará los instrumentos contractuales o medidas exigibles para transmisiones o transferencias de Datos Personales. La información no deberá utilizarse para finalidades incompatibles con las informadas al Titular.

2.3. Finalidades del Tratamiento

La Firma tratará Datos Personales para las finalidades informadas en la autorización, aviso de privacidad, contrato u otro instrumento aplicable. Sin perjuicio de finalidades específicas adicionales debidamente informadas, el Tratamiento podrá comprender:

• Gestionar la relación precontractual, contractual, profesional, comercial o administrativa con clientes, potenciales clientes, proveedores, contratistas, colaboradores y demás contrapartes.
• Prestar servicios jurídicos y de consultoría de acuerdo con las necesidades del cliente, incluyendo análisis de información, elaboración de conceptos y documentos, representación, seguimiento de asuntos y gestión de expedientes.
• Cumplir obligaciones legales, regulatorias, tributarias, contables, corporativas, laborales, de archivo, gestión documental y atención de requerimientos de autoridades competentes.
• Gestionar facturación, pagos, cartera, proveedores y procesos administrativos internos.
• Realizar verificaciones de identidad, debida diligencia, conocimiento de contrapartes, prevención de fraude y, cuando corresponda, controles relacionados con prevención del lavado de activos, financiación del terrorismo y demás riesgos de cumplimiento.
• Proteger la seguridad de las personas, instalaciones, sistemas, redes, documentos y Bases de Datos de la Firma, y atender incidentes de seguridad o continuidad del negocio.
• Administrar sistemas de información, respaldos, archivo, actualizaciones, soporte tecnológico, servicios en la nube y demás recursos necesarios para la operación de la Firma.
• Enviar información institucional, invitaciones, novedades, contenidos y comunicaciones comerciales o de mercadeo cuando exista autorización o una base jurídica aplicable, respetando los canales y límites legales correspondientes y ofreciendo mecanismos sencillos para dejar de recibirlas.
• Transmitir o transferir Datos Personales a proveedores, aliados, corresponsales, asesores u otros terceros cuando ello sea necesario para una finalidad informada, para ejecutar una relación contractual, cumplir una obligación legal o cuando exista autorización del Titular.
• Utilizar herramientas tecnológicas e inteligencia artificial en los términos descritos en esta Política, para apoyar la prestación, administración y mejora de los servicios.
• Atender peticiones, consultas, reclamos, solicitudes de ejercicio de derechos y actuaciones ante autoridades administrativas o judiciales.
• Las demás finalidades específicas que sean informadas al Titular y, cuando sea necesario, autorizadas antes de iniciar el Tratamiento.

2.4. Derechos de los Titulares

De conformidad con la Ley 1581 de 2012 y sus normas reglamentarias, los Titulares tienen, entre otros, los siguientes derechos: a) Conocer, actualizar y rectificar: Conocer los Datos Personales tratados por la Firma y solicitar su actualización o rectificación cuando sean parciales, inexactos, incompletos, fraccionados, induzcan a error o su Tratamiento resulte improcedente. b) Solicitar prueba de la Autorización: Solicitar prueba de la autorización otorgada, salvo cuando la autorización no sea exigible por disposición legal. c) Ser informado sobre el uso de los datos: Solicitar información sobre el uso que la Firma ha dado a sus Datos Personales. d) Acceder gratuitamente: Acceder de forma gratuita a sus Datos Personales en los términos previstos en la ley y el Decreto 1074 de 2015. e) Revocar la Autorización y solicitar la supresión: Solicitar la revocatoria de la autorización y/o la supresión cuando proceda legalmente, sin perjuicio de los datos que deban conservarse por obligación legal o contractual o para la formulación, ejercicio o defensa de reclamaciones. f) Presentar quejas ante la SIC: Acudir ante la Superintendencia de Industria y Comercio por presuntas infracciones al régimen de protección de datos, una vez agotado el trámite de consulta o reclamo ante la Firma cuando sea exigible. g) Conocer cambios sustanciales: Ser informado de manera oportuna sobre cambios sustanciales de esta Política que puedan afectar el contenido de una autorización; cuando el cambio implique una nueva finalidad que requiera autorización, se solicitará una nueva autorización. h) Derechos sobre datos sensibles: Conocer el carácter facultativo de las respuestas relacionadas con Datos Sensibles y negarse a autorizar su Tratamiento cuando la ley no lo imponga. i) Derechos de niñas, niños y adolescentes: Que el Tratamiento respete el interés superior y los derechos prevalentes de los menores, incluyendo su derecho a ser escuchados en los términos legales aplicables.

2.5. Deberes de G&C LAW como Responsable del Tratamiento

Sin perjuicio de los demás deberes legales, la Firma procurará:

• Garantizar al Titular el pleno y efectivo ejercicio del derecho de hábeas data.
• Solicitar y conservar evidencia de la autorización cuando esta sea exigible, e informar la finalidad del Tratamiento.
• Mantener la información bajo condiciones razonables de seguridad y confidencialidad.
• Actualizar la información y rectificarla cuando resulte procedente.
• Atender consultas y reclamos dentro de los términos legales y conservar evidencia de su gestión.
• Exigir a sus Encargados el cumplimiento de instrucciones y obligaciones de protección de datos.
• Informar a la autoridad competente las situaciones que legalmente deban ser reportadas y atender sus instrucciones.
• Adoptar y mantener procedimientos internos que permitan demostrar el cumplimiento del régimen de protección de

Datos Personales.

2.5.1. Chief Privacy Officer (CPO)

La Firma designará un Chief Privacy Officer (CPO) quien será el responsable de coordinar, supervisar y velar por el cumplimiento integral del esquema de protección de Datos Personales de la Firma, de la presente Política, de los procedimientos internos relacionados con el Tratamiento de Datos Personales y de la normativa aplicable en materia de protección de datos personales.

El CPO/DPO actuará como instancia transversal de gobierno y supervisión en materia de privacidad y protección de datos, y tendrá, entre otras, las siguientes funciones: a) Supervisar el cumplimiento de la presente Política y de las normas aplicables sobre protección de Datos Personales. b) Coordinar la implementación, actualización y seguimiento del programa integral de protección de datos personales de la Firma. c) Asesorar a la alta dirección y a las diferentes áreas de la Firma respecto de sus obligaciones en materia de privacidad y Tratamiento de Datos Personales. d) Supervisar los procedimientos establecidos para la atención de consultas, peticiones, quejas y reclamos formulados por los Titulares, sus causahabientes, representantes legales y/o apoderados. e) Promover programas de capacitación y sensibilización dirigidos a empleados, contratistas y demás personas que intervengan en el Tratamiento de Datos Personales. f) Coordinar la identificación, evaluación, gestión y seguimiento de riesgos asociados al Tratamiento de Datos Personales. g) Participar en la evaluación de nuevos proyectos, tecnologías, proveedores, sistemas, herramientas de inteligencia artificial, transmisiones y transferencias de información que involucren Datos Personales. h) Coordinar, conjuntamente con las áreas competentes, la gestión y respuesta frente a incidentes de seguridad que puedan comprometer Datos Personales. i) Promover la adopción de medidas técnicas, humanas, administrativas y organizacionales necesarias para proteger la confidencialidad, integridad, disponibilidad y seguridad de los Datos Personales. j) Mantener y promover la conservación de evidencias y registros que permitan demostrar el cumplimiento de las obligaciones de la Firma en materia de protección de Datos Personales. k) Servir como punto de coordinación interno en asuntos relacionados con privacidad y protección de Datos Personales y, cuando corresponda, apoyar la atención de requerimientos de la Superintendencia de Industria y Comercio u otras autoridades competentes. l) Informar a la alta dirección sobre riesgos, incidentes, incumplimientos, oportunidades de mejora y medidas necesarias para fortalecer el sistema de protección de Datos Personales.

Para el adecuado cumplimiento de sus funciones, el CPO/DPO tendrá acceso a la alta dirección, a las áreas de la Firma y a la información razonablemente necesaria para el ejercicio de sus responsabilidades. La designación y actuación del CPO/DPO no sustituye, limita ni exonera las obligaciones y responsabilidades legales que correspondan a la Firma en su calidad de Responsable y/o Encargado del Tratamiento de Datos Personales .

2.6. Área responsable y canales para peticiones, consultas y reclamos

La Firma ha designado a l oficial de protección de datos como encargado de recibir y gestionar peticiones, consultas, reclamos y solicitudes relacionadas con Datos Personales, sin perjuicio de que internamente pueda requerir apoyo de otras áreas para responder de fondo.

Canales habilitados:

• Correo electrónico: gerencia@gyclaw.com. Se recomienda usar como asunto “HÁBEAS DATA – [tipo de solicitud]” .
• Dirección física: Calle 31 No. 13 A – 51, Torre 2, Oficina 231, Edificio Panorama, Bogotá, Colombia.
• Teléfono: +57 (601) 7027445. Para garantizar trazabilidad, las solicitudes que requieran acreditar identidad o aportar soportes podrán ser formalizadas por escrito o por correo electrónico.

La Firma procurará registrar la fecha de recepción y mantener evidencia de la solicitud y de la respuesta emitida.

2.7. GUÍA PARA EL EJERCICIO DE LOS DERECHOS Y OBLIGACIONES DE LOS TITULARES Y DE SUS

REPRESENTANTES LEGALES Alcance de las “obligaciones”. La Ley 1581 de 2012 impone principalmente deberes a los Responsables y Encargados del Tratamiento. En esta guía, las obligaciones de los Titulares y de sus representantes se entienden como deberes de colaboración y requisitos procedimentales razonables para identificar al solicitante, verificar su legitimación y tramitar correctamente la solicitud. No podrán utilizarse para limitar o impedir el ejercicio de los derechos reconocidos por la ley.

2.7.1. ¿Quién puede ejercer los derechos?

• El Titular, acreditando suficientemente su identidad.
• Los causahabientes del Titular, acreditando dicha calidad.
• El representante legal o apoderado del Titular, acreditando la representación o el poder.
• La persona a favor de quien exista estipulación para otro o a favor de otro, en los términos aplicables.
• En el caso de niñas, niños y adolescentes, las personas facultadas para representarlos, respetando el interés superior del menor y su derecho a ser escuchado.

2.7.2. Información mínima de la solicitud

Para facilitar una respuesta completa, toda solicitud deberá incluir, según corresponda:

• Nombre completo del Titular y número de documento de identificación.
• Datos de contacto para recibir la respuesta: correo electrónico y, si se desea, dirección física y teléfono.
• Indicación clara del derecho que se desea ejercer: acceso/consulta, actualización, rectificación, información sobre uso, prueba de autorización, revocatoria, supresión u otro reclamo relacionado con el Tratamiento.
• Descripción precisa de los Datos Personales, hechos o tratamiento objeto de la solicitud.
• Documentos o soportes que se quieran hacer valer, cuando sean pertinentes.
• Si actúa un tercero: identificación del representante y documento que acredite la representación, poder, parentesco o calidad invocada.
• Medio preferido para recibir la respuesta.

La Firma podrá solicitar únicamente la información adicional razonablemente necesaria para verificar identidad, legitimación o resolver el fondo de la solicitud. Cuando sea posible, el solicitante podrá ocultar en las copias de documentos los datos que no sean necesarios para la verificación.

2.7.3. Guía rápida: tipo de solicitud, requisitos y plazo

2.7.4. Procedimiento para consultas y acceso

1. Radicación. El Titular o persona legitimada envía la consulta por uno de los canales habilitados, con la información mínima indicada en esta guía.
2. Verificación. La Firma verificará la identidad y, si actúa un tercero, la legitimación o representación. Si no es posible verificarla con la información aportada, podrá solicitar la aclaración o soporte necesario.
3. Búsqueda y respuesta. La Firma recopilará la información vinculada con la identificación del Titular que sea objeto de la consulta y dará respuesta completa y comprensible.
4. Término. La consulta será atendida en máximo diez (10) días hábiles contados desde su recibo. Si no es posible responder en ese término, se informarán los motivos de la demora y la nueva fecha de respuesta, que no podrá superar cinco (5) días hábiles siguientes al vencimiento del término inicial.

El acceso a los Datos Personales será gratuito al menos una vez por cada mes calendario y cada vez que existan modificaciones sustanciales de la Política que motiven nuevas consultas, sin perjuicio de las reglas aplicables a solicitudes adicionales de copias o reproducciones.

2.7.5. Procedimiento para reclamos: actualización, rectificación, supresión, revocatoria o incumplimiento

1. El reclamo se presentará por escrito o por correo electrónico e incluirá identificación del Titular, descripción de los hechos o datos objeto del reclamo, dirección o canal de respuesta y los documentos que se quieran hacer valer.
2. Si el reclamo está incompleto, la Firma requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las faltas. Si transcurren dos (2) meses desde la fecha del requerimiento sin que se aporte la información solicitada, se entenderá desistido el reclamo.
3. Si quien recibe el reclamo no es competente para resolverlo, lo trasladará a quien corresponda dentro de los dos (2) días hábiles siguientes e informará al interesado.
4. Una vez recibido el reclamo completo, la Firma incluirá, cuando aplique, la leyenda “reclamo en trámite” y el motivo, en un término no mayor a dos (2) días hábiles, y la mantendrá hasta que el reclamo sea resuelto.
5. El término máximo para atender el reclamo será de quince (15) días hábiles contados desde el día hábil siguiente a la fecha de su recibo. Si no es posible atenderlo en ese término, se informarán los motivos de la demora y la nueva fecha, que no podrá superar ocho (8) días hábiles siguientes al vencimiento del término inicial.

2.7.6. Revocatoria de la autorización y supresión de datos

El Titular podrá solicitar la revocatoria de la autorización y/o la supresión de sus Datos Personales cuando sea legalmente procedente. La solicitud podrá ser total o parcial respecto de determinadas finalidades. La Firma analizará cada caso y explicará la decisión.

La revocatoria o supresión no procederá respecto de información que deba conservarse por una obligación legal o contractual, por deberes de archivo o conservación, por la existencia de una relación jurídica vigente o por la necesidad de formular, ejercer o defender reclamaciones. Cuando solo exista una limitación temporal para la supresión, la Firma procurará restringir el Tratamiento a las finalidades que justifiquen su conservación.

2.7.7. Reglas especiales para representantes legales, apoderados y representantes de menores

• El representante deberá identificarse y acreditar su calidad mediante documento idóneo y vigente. Un apoderado deberá aportar el poder correspondiente; la Firma podrá verificar su alcance cuando sea necesario.
• Cuando se trate de un menor de edad, deberá acreditarse la representación legal o la calidad que habilita para actuar, y la solicitud deberá atender el interés superior del menor. Cuando corresponda, se tendrá en cuenta su derecho a ser escuchado, según su madurez y capacidad para comprender el asunto.
• La Firma entregará únicamente la información comprendida dentro del alcance de la representación acreditada y aplicará medidas razonables para evitar divulgaciones a terceros no autorizados.
• Si la representación, poder o autorización termina, cambia o es revocada, el representante deberá informarlo oportunamente a la Firma para evitar actuaciones posteriores sin legitimación.

2.7.8. Deberes de colaboración de Titulares y representantes al ejercer sus derechos

Para que la Firma pueda gestionar de forma segura y eficaz las solicitudes, el Titular y, cuando aplique, su representante deberán:

• Actuar de buena fe y suministrar información veraz y suficiente para identificar al Titular y comprender la solicitud.
• Mantener actualizados los datos de contacto utilizados para recibir respuestas relacionadas con el trámite.
• Acreditar identidad, representación, poder, parentesco o calidad invocada cuando la solicitud sea presentada por un tercero.
• Precisar, en lo posible, el dato, tratamiento o derecho sobre el cual se formula la solicitud y aportar los soportes pertinentes.
• Proteger la confidencialidad de la información recibida y abstenerse de usar el procedimiento para acceder a Datos

Personales de terceros sin autorización o legitimación.

• Informar cambios relevantes en la representación o en la información aportada durante el trámite.
• Atender oportunamente los requerimientos de subsanación necesarios para resolver el reclamo.

El incumplimiento de estos deberes de colaboración no autoriza a la Firma a desconocer los derechos del Titular; la Firma deberá aplicar criterios de necesidad, proporcionalidad y facilitación del ejercicio del hábeas data.

2.7.9. Quejas ante la Superintendencia de Industria y Comercio

Cuando el Titular o su causahabiente considere que persiste una vulneración del régimen de protección de Datos Personales, podrá presentar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante la Firma, de conformidad con el artículo 16 de la Ley 1581 de 2012.

2.8. Transmisiones y transferencias de Datos Personales

La Firma podrá transmitir Datos Personales a Encargados que presten servicios necesarios para las finalidades informadas. Cuando corresponda, celebrará los contratos o acuerdos requeridos para establecer el alcance del Tratamiento, obligaciones de confidencialidad, medidas de seguridad, restricciones de uso, devolución o supresión y demás condiciones aplicables.

Las transferencias internacionales de Datos Personales se sujetarán a las reglas de la Ley 1581 de 2012 y a las instrucciones de la SIC sobre niveles adecuados de protección, excepciones legales o mecanismos aplicables. La Firma procurará evaluar los riesgos y salvaguardas cuando utilice proveedores de tecnología o nube ubicados fuera de Colombia.

2.9. Seguridad de la información y confidencialidad

La Firma adoptará medidas técnicas, humanas, administrativas y contractuales razonables y proporcionales a la naturaleza de los Datos Personales y a los riesgos del Tratamiento. Estas medidas podrán incluir controles de acceso, gestión de credenciales, res paldo, registro de eventos, actualización de sistemas, restricciones de privilegios, acuerdos de confidencialidad, procedimientos de gestión de incidentes y capacitación del personal.

El acceso a información protegida por secreto profesional, reserva legal o confidencialidad contractual estará sujeto, además, a las obligaciones especiales aplicables al ejercicio de la profesión jurídica. La Firma procurará que los proveedores que tengan acceso a dicha información asuman compromisos equivalentes de confidencialidad y seguridad.

2.10. Conservación y supresión

Los Datos Personales se conservarán durante el tiempo necesario para cumplir las finalidades informadas, atender obligaciones legales o contractuales, aplicar tablas o reglas de retención, gestionar eventuales reclamaciones y demostrar el cumplimiento de d eberes. Una vez desaparezcan las finalidades y no exista deber de conservación, los datos serán suprimidos, eliminados, anonimizados o bloqueados según resulte técnicamente y jurídicamente procedente.

2.11. Comunicaciones comerciales, publicitarias y de cobranza

Cuando la Firma realice comunicaciones de carácter comercial o publicitario, procurará utilizar los canales autorizados por el destinatario y respetar las reglas legales aplicables sobre horario, periodicidad y mecanismos de exclusión. El Titular podrá solicitar en cualquier momento que se suspendan dichas comunicaciones, salvo aquellas estrictamente necesarias para una relación contractual, obligación legal o servicio solicitado.

Si la Firma realiza gestiones de cobranza a las que resulte aplicable la Ley 2300 de 2023, respetará los canales autorizados y los límites de contacto previstos en dicha ley.

2.12. Modificaciones de la Política

La Firma podrá modificar esta Política cuando resulte necesario por cambios normativos, operativos, tecnológicos o de sus actividades de Tratamiento. Los cambios sustanciales relacionados con la identificación del Responsable o con finalidades que puedan afectar el contenido de una autorización serán comunicados de forma oportuna antes de su implementación o, a más tardar, al momento de implementarlos, de acuerdo con la normativa aplicable. Cuando una nueva finalidad requiera autorización, esta será solicitada al Titular.

2.13. Vigencia

La presente versión de la Política rige a partir del 2 de enero de 2026 y reemplaza la versión anterior adoptada el 14 de agosto de 2017, sin perjuicio de la validez de las autorizaciones previamente obtenidas en la medida en que continúen siendo compatibles con las finalidades informadas y con la normativa vigente.

3. REFERENCIAS NORMATIVAS

• Constitución Política de Colombia, artículo 15.
• Ley Estatutaria 1581 de 2012.
• Decreto 1074 de 2015, Capítulo 25 del Título 2 de la Parte 2 del Libro 2.
• Circular Única de la Superintendencia de Industria y Comercio, Título V, versión vigente.
• Ley Estatutaria 1266 de 2008 y Ley Estatutaria 2157 de 2021, cuando resulten aplicables.
• Ley 2300 de 2023, cuando resulte aplicable a comunicaciones comerciales o gestiones de cobranza.
• Decreto 90 de 2018 e instrucciones vigentes de la SIC sobre el Registro Nacional de Bases de Datos, cuando resulten aplicables.