Política de Tratamiento de Datos Personales

1. Objeto de la Presente Política

La presente Política de Tratamiento de Datos Personales tiene por objeto establecer las reglas, criterios, condiciones, finalidades, alcances, derechos, mecanismos y procedimientos bajo los cuales RIOJURIDICO S.A.S., identificada con NIT 902035295, en adelante "RIOJURIDICO", "la Compañía", "RIOGUARDIAN" o el "Responsable", recolecta, almacena, usa, circula, transmite, transfiere, actualiza, corrige, conserva, bloquea, suprime, anonimiza o realiza cualquier otra operación sobre datos personales de personas naturales, dentro de la máxima medida permitida por la ley y con sujeción al régimen colombiano de protección de datos personales. Esta política se emite para informar a los titulares de manera previa, suficiente, clara y accesible sobre los aspectos esenciales del tratamiento, en línea con la Ley 1581 de 2012, el Decreto 1074 de 2015 y la posición de la SIC sobre el carácter informativo y externo de este tipo de documentos.

La presente política se interpreta de manera conjunta con el Marco Legal General publicado en /legal, con el Aviso de Privacidad, la Política de Retención, Bloqueo, Supresión y Eliminación, el Canal de Atención y demás documentos legales que la Compañía publique. En caso de contradicción entre esta política y un acuerdo específico de tratamiento de datos suscrito con un cliente empresarial, prevalecerá el documento especial respecto del flujo o relación concreta, sin perjuicio de los derechos mínimos de los titulares.

2. Identificación del Responsable del Tratamiento

El responsable del tratamiento de los datos personales a los que aplica esta política es:

Razón social: RIOJURIDICO S.A.S.
NIT: 902035295
Domicilio: Bucaramanga, Santander, Colombia
Dirección física: Cra 34 #51-80, Of. 304, Edificio Foro, Bucaramanga
Correo electrónico para asuntos de protección de datos / hábeas data: [email protected]
Correo general de atención: [email protected]
Teléfono: +57 316 388 11 38
Sitio web: rioguardian.com

El Responsable deberá identificarse claramente ante el titular e informarle, al momento de solicitar la autorización, la dirección física o electrónica y teléfono, junto con la finalidad del tratamiento y los derechos que le asisten; además, el aviso de privacidad debe permitir conocer la identidad, domicilio y datos de contacto del responsable y la forma de acceder a la política.

3. Marco Normativo y Criterios de Interpretación

Esta política se rige, interpreta y aplica conforme a la Constitución Política de Colombia, la Ley Estatutaria 1581 de 2012, el Decreto 1377 de 2013 compilado en el Decreto 1074 de 2015, las instrucciones, guías, conceptos y criterios interpretativos emitidos por la Superintendencia de Industria y Comercio, así como por las demás normas que las adicionen, modifiquen, reglamenten o sustituyan.

Para efectos de esta política, se aplicarán especialmente los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad, previstos en la Ley 1581. La autorización, salvo excepción legal, debe ser previa, expresa e informada, y debe poder ser objeto de consulta posterior; además, el responsable debe conservar prueba del cumplimiento del deber de informar y de la autorización cuando esta sea exigible.

4. Ámbito de Aplicación

La presente política aplica al tratamiento de datos personales de personas naturales que, de manera directa o indirecta, se relacionen con RIOJURIDICO o con la solución tecnológica RIOGUARDIAN, incluyendo, sin limitarse a:

visitantes del sitio web;
usuarios de formularios, landings, demos, solicitudes de contacto o reuniones;
clientes potenciales y clientes actuales;
representantes legales, administradores, empleados, dependientes, contratistas o colaboradores de clientes empresariales;
usuarios autorizados por clientes;
proveedores, contratistas, aliados, referidores o terceros vinculados con la operación del servicio;
solicitantes, asistentes o participantes de capacitaciones, webinars, eventos, reuniones o sesiones comerciales;
personas que formulen consultas, reclamaciones, solicitudes de soporte, tickets, PQRS o peticiones de hábeas data;
candidatos, trabajadores o ex trabajadores, cuando el flujo correspondiente sea administrado por la Compañía;
titulares cuyos datos aparezcan en documentación, archivos, bases, formularios o contenidos que legítimamente ingresen a la operación del servicio.

Esta política se aplica a tratamientos realizados por medios físicos, telefónicos, documentales, contractuales, electrónicos, digitales, automatizados o mixtos, y sobre bases de datos centralizadas o descentralizadas, propias o administradas por terceros por cuenta de la Compañía. La Ley 1581 define tratamiento de forma amplia, comprendiendo recolección, almacenamiento, uso, circulación y supresión, y la SIC ha reiterado que operaciones técnicas como captación, grabación, transmisión o almacenamiento también quedan sometidas al régimen general cuando versan sobre datos personales.

5. Destinatarios de Esta Política y Naturaleza del Documento

Esta política está dirigida principalmente a los titulares de datos personales, para informarles, en términos claros, sobre cómo RIOJURIDICO trata su información, cuáles son sus derechos y cómo puede ejercerlos. De acuerdo con la SIC, la política de tratamiento tiene una finalidad externa e informativa frente al titular, mientras que los manuales internos de tratamiento son instrumentos de gobierno interno, responsabilidad demostrada, seguridad, protocolos y organización interna del responsable. Por ello, la presente política no pretende agotar ni revelar integralmente todos los controles internos, flujos de seguridad, criterios de acceso o protocolos de gestión interna de la Compañía, los cuales podrán reposar en documentos internos separados.

6. Definiciones Básicas

Para la adecuada interpretación de esta política, se adoptan, entre otras, las siguientes definiciones legales y funcionales:

Autorización: consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de datos personales.
Base de datos: conjunto organizado de datos personales objeto de tratamiento.
Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
Encargado del tratamiento: persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros realiza el tratamiento de datos personales por cuenta del responsable.
Responsable del tratamiento: persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros decide sobre la base de datos y/o el tratamiento de los datos.
Titular: persona natural cuyos datos personales son objeto de tratamiento.
Tratamiento: cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. Estas definiciones provienen directamente del artículo 3 de la Ley 1581.

Para fines de esta política, además:

Cliente empresarial: organización que contrata o usa el servicio en desarrollo de su actividad económica, profesional o institucional;
Usuario autorizado: persona natural habilitada por un cliente para usar la plataforma;
Contenido del cliente o del usuario: archivos, textos, documentos, formularios, matrices, soportes, evidencias u otros materiales introducidos o sincronizados por cuenta del cliente;
Servicios de terceros: infraestructuras, nubes, procesadores, herramientas de autenticación, pago, soporte, mensajería, almacenamiento, analítica o seguridad utilizadas por la Compañía para su operación.

7. Principios Rectores del Tratamiento

RIOJURIDICO tratará datos personales conforme a los principios legales aplicables, en especial:

7.1. Legalidad

Todo tratamiento será una actividad reglada y sujeta a la Constitución, la ley, la reglamentación aplicable y las instrucciones de la autoridad competente.

7.2. Finalidad

Los datos serán tratados para finalidades legítimas, determinadas o determinables, informadas al titular y compatibles con la relación que da origen a su tratamiento.

7.3. Libertad

El tratamiento solo podrá ejercerse con autorización previa, expresa e informada del titular, salvo excepción legal. La SIC ha insistido en que no es jurídicamente correcto utilizar mecanismos que hagan equivalente aceptar o no aceptar el tratamiento, ni suponer que el solo ingreso o entrega de datos equivale automáticamente a una autorización válida.

7.4. Veracidad o calidad

La información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Está prohibido tratar datos parciales, fraccionados, incompletos o que induzcan a error.

7.5. Transparencia

RIOJURIDICO garantizará al titular información sobre la existencia y tratamiento de sus datos, así como acceso, en condiciones legalmente procedentes, a la información que le concierne.

7.6. Acceso y circulación restringida

El tratamiento se sujetará a los límites derivados de la naturaleza de los datos, de la ley, de la autorización y de la necesidad de restringir el acceso solo a personas autorizadas.

7.7. Seguridad

La información será tratada con medidas razonables de seguridad para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. La Ley 1581 impone este deber al responsable y también al encargado.

7.8. Confidencialidad

Todas las personas que intervengan en el tratamiento de datos personales que no tengan naturaleza pública estarán obligadas a garantizar la reserva de la información, incluso después de finalizada su relación con alguna de las labores que comprende el tratamiento.

8. Categorías de Datos Personales que Podrán Ser Tratados

Sin perjuicio de que un caso concreto implique menos categorías, RIOJURIDICO podrá tratar, según la relación jurídica, operativa, comercial o técnica correspondiente, las siguientes clases de datos personales:

8.1. Datos de identificación

Nombre, apellidos, tipo y número de documento, nacionalidad, firma, cargo, empresa, calidad de representante, información asociada a identidad digital o corporativa.

8.2. Datos de contacto

Correo electrónico, número telefónico, ciudad, dirección, país, canales de mensajería, datos de notificación o contacto.

8.3. Datos contractuales, comerciales y transaccionales

Información asociada a cotizaciones, propuestas, órdenes de servicio, aceptaciones, activaciones, suscripciones, pagos, facturas, historial comercial, reclamaciones y soporte.

8.4. Datos técnicos y de uso

Dirección IP, identificadores de sesión, registros de acceso, timestamps, logs de actividad, navegador, sistema operativo, tipo de dispositivo, eventos de autenticación, actividad dentro del sitio o plataforma, datos de seguridad, errores, performance y telemetría razonablemente asociada a la operación del servicio.

8.5. Datos documentales o de contenido

Información incluida en formularios, tickets, archivos, matrices, contratos, políticas, instrucciones, evidencias o materiales que el usuario o cliente cargue, remita, incorpore o procese legítimamente a través del servicio.

8.6. Datos de interacción y atención

Información derivada de solicitudes, quejas, consultas, reclamaciones, tickets, chats, correos, reuniones, grabaciones autorizadas, soporte y gestión comercial.

8.7. Datos financieros o tributarios

Datos necesarios para facturación, recaudo, pagos, comprobantes, retenciones, validaciones o cumplimiento contable, tributario o contractual, cuando corresponda.

8.8. Datos laborales o de selección

Datos de aspirantes, trabajadores, ex trabajadores, contratistas o aliados, cuando RIOJURIDICO los trate dentro de su propia operación corporativa o administrativa.

RIOJURIDICO procurará aplicar criterios de minimización y pertinencia, recolectando únicamente la información razonablemente necesaria para el cumplimiento de las finalidades informadas o permitidas por la ley. Este criterio desarrolla los principios de finalidad, libertad, veracidad, acceso restringido y responsabilidad demostrada.

9. Datos Sensibles y Datos de Niños, Niñas y Adolescentes

Como regla general, RIOJURIDICO no basa su operación ordinaria en el tratamiento de datos sensibles ni en el tratamiento de datos de niños, niñas o adolescentes. Sin embargo, en casos excepcionales, y únicamente cuando sea estrictamente necesario, legalmente viable y proporcional a la finalidad perseguida, podrán llegar a tratarse datos de esa naturaleza.

Cuando ello ocurra, RIOJURIDICO observará, entre otras, las siguientes reglas:

informará al titular el carácter facultativo de responder preguntas sobre datos sensibles o sobre datos de niños, niñas y adolescentes;
no condicionará indebidamente la prestación de servicios no relacionados a la entrega de datos sensibles;
limitará el tratamiento a lo estrictamente necesario y legalmente autorizado;
reforzará, cuando corresponda, las medidas de acceso y seguridad;
exigirá al cliente o tercero que cargue dicha información que cuente con base jurídica suficiente y con las autorizaciones o habilitaciones que sean exigibles.

El artículo 12 de la Ley 1581 obliga a informar el carácter facultativo de la respuesta cuando se trate de datos sensibles o de menores, y la autorización debe seguir siendo previa, expresa e informada cuando sea exigible.

10. Fuentes de Recolección de Datos

RIOJURIDICO podrá obtener datos personales por diferentes vías, según la relación correspondiente, incluyendo:

entrega directa del titular;
formularios del sitio web o de landing pages;
procesos de registro o activación;
solicitudes comerciales o de soporte;
contratación o ejecución contractual;
intercambio de correos y comunicaciones;
navegación e interacción técnica con el sitio o la plataforma;
reuniones, webinars, demos o sesiones de trabajo;
información aportada por clientes empresariales respecto de sus usuarios autorizados o contactos;
integraciones o sincronizaciones legítimamente habilitadas por el usuario o cliente;
terceros autorizados por el titular o por la ley;
fuentes públicas o información de naturaleza pública, cuando sea jurídicamente procedente.

La autorización no puede presumirse por el mero ingreso del titular a un establecimiento o por el solo hecho de suministrar algunos datos si no se ha informado adecuadamente la finalidad y no existe un mecanismo jurídicamente suficiente para acreditarla. La SIC lo ha enfatizado expresamente.

11. Finalidades Generales del Tratamiento

RIOJURIDICO podrá tratar datos personales para una o varias de las siguientes finalidades generales, según corresponda a la relación concreta con el titular:

11.1. Gestión precontractual y comercial

atender solicitudes de información, contacto, demostración, cotización o propuesta;
evaluar el interés comercial o la viabilidad de una relación;
generar ofertas, comunicaciones comerciales, propuestas, reuniones o seguimiento de oportunidad;
identificar necesidades del potencial cliente y perfilar el alcance del servicio requerido.

11.2. Registro, acceso y administración del servicio

crear, administrar y dar de baja cuentas;
autenticar usuarios;
asignar perfiles, permisos, roles o niveles de acceso;
permitir el funcionamiento técnico y operativo de la plataforma;
gestionar incidencias de cuenta, recuperación de acceso, bloqueo, seguridad y continuidad.

11.3. Prestación del servicio

habilitar el uso de módulos, funcionalidades, flujos, automatizaciones, cargas documentales o integraciones;
procesar la información que el cliente o usuario ingrese legítimamente;
brindar soporte funcional, técnico, operativo o comercial;
administrar tableros, reportes, comunicaciones del sistema, historial de actividad y evidencias operativas.

11.4. Cumplimiento contractual y postcontractual

ejecutar, administrar, documentar y cerrar la relación contractual;
emitir facturación, recaudo, soporte de pagos y gestión de cartera;
atender reclamaciones, garantías, solicitudes, renovaciones, terminaciones, migraciones, exportaciones o cierres de cuenta;
preservar evidencia contractual, operativa o probatoria.

11.5. Seguridad y prevención de fraude

monitorear eventos de autenticación, accesos, actividad anómala y riesgos técnicos;
prevenir fraude, abuso, suplantación, accesos no autorizados y usos incompatibles con el servicio;
investigar incidentes, conservar evidencia y atender requerimientos internos o de autoridad;
proteger el sistema, a la Compañía, a otros usuarios y a terceros.

11.6. Cumplimiento normativo y defensa jurídica

cumplir deberes legales, regulatorios, tributarios, contables, societarios, contractuales o administrativos;
responder requerimientos de autoridades;
atender procesos judiciales, administrativos, extrajudiciales o auditorías;
ejercer o defender derechos de la Compañía o de sus clientes cuando proceda.

11.7. Calidad, mejora, analítica y estabilización del servicio

medir uso, adopción, navegación, rendimiento, errores, incidencias y estabilidad del sistema;
mejorar interfaces, arquitectura, flujos, documentación, experiencia de usuario y controles de riesgo;
generar métricas, reportes agregados o análisis internos de operación, preferiblemente bajo criterios de minimización, agregación o anonimización cuando sea posible.

11.8. Comunicaciones

remitir comunicaciones operativas, contractuales, técnicas, de seguridad, soporte, pagos, renovaciones, mantenimiento, alertas o continuidad del servicio;
remitir comunicaciones comerciales o publicitarias, cuando exista autorización válida o habilitación legal aplicable, con mecanismos idóneos de exclusión.

11.9. Gestión de proveedores, aliados y talento humano

selección, evaluación, contratación, ejecución, seguimiento y terminación de relaciones con proveedores, contratistas, trabajadores o candidatos;
cumplimiento de obligaciones laborales, contractuales, administrativas o de seguridad interna.

11.10. Gestión documental y trazabilidad

organizar, custodiar, indexar, buscar, correlacionar, visualizar, transformar o conservar información legítimamente incorporada al servicio o a la operación, en la medida necesaria para su funcionamiento, seguridad, soporte o prueba.

Toda finalidad debe ser legítima e informada al titular, y la autorización, cuando se requiera, debe ser previa, expresa e informada; además, el responsable tiene el deber de informar al titular la finalidad de la recolección y los derechos que le asisten, y de conservar prueba de ello.

12. Finalidades Específicas Según el Rol de RIOJURIDICO

12.1. Cuando RIOJURIDICO actúa como Responsable del Tratamiento

RIOJURIDICO actuará como responsable respecto de los datos sobre los cuales decide directamente las finalidades y medios del tratamiento, por ejemplo, en sus propias bases de datos comerciales, administrativas, laborales, contractuales, de soporte, de navegación, de proveedores o de usuarios del sitio y plataforma bajo su propio gobierno.

En estos casos, RIOJURIDICO definirá las finalidades dentro del marco de la ley, solicitará autorización cuando sea exigible, informará al titular, atenderá consultas y reclamos, y garantizará los derechos de hábeas data conforme a los artículos 17 y siguientes de la Ley 1581.

12.2. Cuando RIOJURIDICO actúa como Encargado del Tratamiento

Cuando un cliente empresarial utilice RIOGUARDIAN para alojar, organizar, consultar, transformar, gestionar o procesar datos personales de terceros dentro de su propia operación, y sea ese cliente quien decida las finalidades y elementos esenciales del tratamiento, RIOJURIDICO podrá actuar como encargado del tratamiento por cuenta del cliente responsable.

En tal escenario:

el cliente será, por regla general, quien determine la finalidad y legitimación del tratamiento;
RIOJURIDICO tratará la información conforme a las instrucciones documentadas del cliente, al contrato aplicable y a la ley;
RIOJURIDICO no asumirá, por el solo hecho de hospedar o procesar técnicamente la información, la titularidad plena sobre las finalidades propias del cliente;
el cliente deberá contar con base jurídica suficiente, autorizaciones, avisos y habilitaciones exigibles respecto de los datos que incorpora;
RIOJURIDICO podrá adoptar medidas técnicas, administrativas y contractuales para exigir al cliente un uso lícito del servicio.

La SIC ha reiterado que el encargado obra por cuenta del responsable, que el responsable responde frente a titulares y autoridades por los errores o negligencia de sus encargados, y que conviene dejar claramente fijadas las obligaciones del encargado en los contratos de prestación de servicios. También ha resaltado, en materia internacional, la importancia de distinguir correctamente entre responsable y encargado y de contar con contratos de transmisión cuando corresponda.

13. Autorización del Titular

Sin perjuicio de las excepciones previstas en la ley, RIOJURIDICO solicitará autorización previa, expresa e informada del titular para el tratamiento de sus datos personales, y conservará prueba de dicha autorización o del cumplimiento del deber de informar, según corresponda. La autorización podrá obtenerse por medios físicos, electrónicos, digitales, verbales grabados, contractuales o mediante conductas inequívocas, siempre que el mecanismo empleado permita acreditar que fue previa e informada y que pueda ser consultado posteriormente cuando ello sea exigible.

La autorización del titular deberá estar precedida de información clara sobre:

el tratamiento al cual serán sometidos los datos y su finalidad;
el carácter facultativo de la respuesta cuando se trate de datos sensibles o de menores;
los derechos que le asisten al titular;
la identificación y datos de contacto del responsable.

RIOJURIDICO no considerará como autorización válida, por sí sola, el silencio del titular, la mera inacción, la ausencia de oposición, ni mecanismos diseñados para que tenga el mismo efecto aceptar o no aceptar el tratamiento. La SIC ha señalado expresamente que los avisos de privacidad no sustituyen la autorización previa, expresa e informada, y que no es una buena práctica usar mecanismos equivalentes entre aceptar y no aceptar.

14. Casos en los que No Es Necesaria la Autorización

De conformidad con el artículo 10 de la Ley 1581, la autorización del titular no será necesaria cuando se trate de:

información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial;
datos de naturaleza pública;
casos de urgencia médica o sanitaria;
tratamiento autorizado por la ley para fines históricos, estadísticos o científicos;
datos relacionados con el registro civil de las personas.

Aun en ausencia de autorización, quien acceda o trate datos personales deberá cumplir con las demás disposiciones del régimen de protección de datos personales.

15. Derechos del Titular

El titular de los datos personales, o sus causahabientes cuando legalmente proceda, podrá ejercer frente a RIOJURIDICO, entre otros, los siguientes derechos:

conocer, actualizar y rectificar sus datos personales;
solicitar prueba de la autorización otorgada, salvo cuando legalmente no sea exigible;
ser informado, previa solicitud, respecto del uso que se ha dado a sus datos;
presentar quejas ante la Superintendencia de Industria y Comercio por infracciones al régimen aplicable;
revocar la autorización y/o solicitar la supresión del dato cuando proceda;
acceder de forma gratuita a sus datos personales objeto de tratamiento.

La Ley 1581 reconoce expresamente estos derechos, y precisa además que la revocatoria y/o supresión procederán cuando la SIC determine que en el tratamiento se incurrió en conductas contrarias a la ley y a la Constitución, sin perjuicio de otros escenarios de procedencia según el caso concreto.

16. Personas a Quienes Puede Suministrarse la Información

La información que reúna las condiciones legales podrá ser suministrada por RIOJURIDICO a:

los titulares, sus causahabientes o sus representantes legales;
las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial;
los terceros autorizados por el titular o por la ley.

La Ley 1581 prevé expresamente estas categorías de destinatarios.

17. Consultas

El titular o sus causahabientes podrán consultar la información personal del titular que repose en las bases de datos administradas por RIOJURIDICO. La consulta deberá formularse por el medio habilitado por la Compañía y que permita mantener prueba de su recepción.

RIOJURIDICO atenderá las consultas en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo. Si no fuere posible atender la consulta dentro de ese término, informará al interesado los motivos de la demora y la fecha en que será atendida, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. Estos términos están fijados expresamente en el artículo 14 de la Ley 1581.

18. Reclamos

El titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser corregida, actualizada o suprimida, o que adviertan el presunto incumplimiento de cualquiera de los deberes legales del responsable o encargado, podrán presentar un reclamo ante RIOJURIDICO.

El reclamo deberá contener, como mínimo:

identificación del titular;
descripción de los hechos que originan la solicitud;
dirección física o electrónica de contacto;
documentos o soportes que se quieran hacer valer, cuando sea pertinente.

RIOJURIDICO tramitará los reclamos conforme a las reglas legales, incluyendo:

requerimiento de subsanación dentro de los cinco (5) días siguientes si el reclamo está incompleto;
entendimiento de desistimiento si pasan dos (2) meses sin subsanación;
traslado a quien corresponda dentro de dos (2) días hábiles si quien recibe no es competente;
inclusión de la leyenda "reclamo en trámite" dentro de los dos (2) días hábiles siguientes al recibo completo;
decisión dentro de los quince (15) días hábiles siguientes al día siguiente del recibo completo, prorrogables por máximo ocho (8) días hábiles más si se informa oportunamente al interesado.

Además, el titular solo podrá elevar queja ante la SIC una vez haya agotado el trámite de consulta o reclamo ante el responsable o encargado. Todo esto deriva directamente de los artículos 15 y 16 de la Ley 1581.

19. Canales para el Ejercicio de Derechos

Los titulares podrán ejercer sus derechos mediante los canales de atención que RIOJURIDICO publique oficialmente para asuntos de protección de datos personales, incluyendo al menos un canal electrónico idóneo.

Correo de hábeas data: [email protected]
Teléfono: +57 316 388 11 38
Dirección física: Cra 34 #51-80, Of. 304, Edificio Foro, Bucaramanga
Procedimiento complementario: /legal/canal-atencion

RIOJURIDICO podrá adoptar mecanismos razonables de verificación de identidad y representación para proteger la confidencialidad de la información y evitar accesos no autorizados.

20. Deberes de RIOJURIDICO como Responsable

En calidad de responsable, RIOJURIDICO cumplirá, entre otros, los deberes previstos en el artículo 17 de la Ley 1581, incluyendo:

garantizar al titular el pleno y efectivo ejercicio del derecho de hábeas data;
solicitar y conservar la respectiva autorización cuando sea exigible;
informar debidamente la finalidad de la recolección y los derechos del titular;
conservar la información bajo condiciones de seguridad adecuadas;
garantizar que la información suministrada a encargados sea veraz, completa, exacta, actualizada, comprobable y comprensible;
actualizar y rectificar la información cuando sea necesario;
suministrar al encargado únicamente datos cuyo tratamiento esté previamente autorizado, cuando corresponda;
exigir al encargado respeto por la seguridad y privacidad de la información;
tramitar consultas y reclamos;
adoptar un manual interno de políticas y procedimientos para el adecuado cumplimiento de la ley;
informar al encargado cuando determinada información se encuentre en discusión por parte del titular;
informar al titular, a solicitud suya, sobre el uso dado a sus datos;
informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información;
cumplir las instrucciones y requerimientos que imparta la SIC.

Estos deberes están expresamente consagrados en la Ley 1581.

21. Deberes de los Encargados y Relación con Terceros

Cuando RIOJURIDICO contrate terceros para que realicen actividades que impliquen tratamiento de datos personales por su cuenta, exigirá el cumplimiento de la ley, de esta política, de las medidas razonables de seguridad y de las obligaciones contractuales aplicables. De igual modo, cuando RIOJURIDICO actúe como encargado respecto de datos tratados por cuenta de clientes, lo hará en los términos del contrato y de las instrucciones documentadas del responsable, respetando los límites legales y el principio de responsabilidad demostrada. La SIC ha recordado que el encargado obra por cuenta del responsable y que los contratos deben dejar claras las obligaciones especiales y los deberes de los encargados.

22. Transmisión y Transferencia de Datos Personales

RIOJURIDICO podrá comunicar, transmitir o transferir datos personales a terceros en Colombia o en el exterior cuando ello sea necesario para la prestación del servicio, la operación del negocio, el cumplimiento contractual, la seguridad, la gestión de soporte, el almacenamiento, el procesamiento tecnológico, la autenticación, la facturación, el cumplimiento legal o cualquier otra finalidad legítima informada al titular o permitida por la ley.

22.1. Transmisión

Cuando un tercero trate datos personales por cuenta de RIOJURIDICO en calidad de encargado, podrá celebrarse la correspondiente relación o contrato de transmisión, con las obligaciones de seguridad, confidencialidad, alcance y tratamiento que resulten exigibles. La SIC ha reiterado recientemente la importancia de los contratos de transmisión internacional y de la correcta calificación del rol de responsable o encargado.

22.2. Transferencia internacional

RIOJURIDICO observará la prohibición legal de transferir datos personales a países que no proporcionen niveles adecuados de protección, salvo que opere una de las excepciones previstas en el artículo 26 de la Ley 1581 o exista una Declaración de Conformidad o mecanismo jurídico habilitante reconocido por la autoridad competente. Entre las excepciones legales se encuentran, por ejemplo, la autorización expresa e inequívoca del titular para la transferencia, ciertas transferencias necesarias para la ejecución de un contrato o medidas precontractuales con autorización del titular, o las legalmente exigidas para la salvaguardia del interés público o la defensa de derechos en procesos judiciales. La SIC también ha señalado que hoy existen alternativas como la Declaración de Conformidad y las Normas Corporativas Vinculantes, reglamentadas en el Decreto 1074.

22.3. Uso de terceros proveedores

RIOJURIDICO podrá apoyarse en proveedores de nube, hosting, autenticación, mensajería, monitoreo, analítica, pagos, almacenamiento, seguridad, soporte, ofimática, firma electrónica, CRM y otras herramientas razonablemente necesarias para su operación, siempre bajo criterios de necesidad, legalidad, proporcionalidad y seguridad.

23. Seguridad de la Información

RIOJURIDICO adoptará medidas administrativas, técnicas, contractuales, organizacionales y razonables para proteger los datos personales contra adulteración, pérdida, acceso, uso, consulta, destrucción o divulgación no autorizada o fraudulenta. Estas medidas podrán incluir, según el caso, controles de acceso, segregación de perfiles, gestión de credenciales, cifrado o pseudonimización cuando resulte adecuado, respaldos, monitoreo, trazabilidad, controles sobre terceros y medidas de continuidad del negocio.

No obstante, el titular reconoce que ningún sistema, infraestructura o red es completamente inmune a incidentes de seguridad, y que la seguridad también depende de la conducta del usuario, del cliente, de sus usuarios autorizados y de terceros integrados. La Ley 1581 exige al responsable conservar la información bajo condiciones de seguridad necesarias y reportar a la autoridad las violaciones a los códigos de seguridad cuando existan riesgos en la administración de la información.

24. Incidentes de Seguridad y Reportes

Cuando se presenten violaciones a los códigos de seguridad, incidentes o eventos que generen o puedan generar riesgos en la administración de la información de los titulares, RIOJURIDICO adoptará las medidas razonables de contención, investigación, mitigación, documentación y, cuando sea legalmente exigible, reporte a la autoridad competente o comunicación al responsable correspondiente. El artículo 17 de la Ley 1581 impone al responsable informar a la autoridad cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información.

25. Conservación, Retención, Bloqueo y Supresión

Los datos personales serán conservados durante el tiempo que resulte necesario para:

cumplir la finalidad que justificó su tratamiento;
ejecutar o conservar la relación contractual o precontractual;
atender solicitudes, consultas, reclamos, auditorías o contingencias;
cumplir deberes legales, regulatorios, tributarios, contables o probatorios;
ejercer o defender derechos de la Compañía o de terceros;
cumplir políticas de seguridad, continuidad o archivo;
satisfacer obligaciones de conservación documental legalmente exigibles.

Una vez desaparezca la finalidad y cese la necesidad o obligación legal de conservación, RIOJURIDICO podrá suprimir, anonimizar, bloquear o eliminar la información, conforme a la ley y a la Política de Retención y Eliminación aplicable.

Cuando un titular solicite supresión o revocatoria, la procedencia se evaluará conforme a la ley, a la naturaleza del vínculo existente, a los deberes de conservación y a las reglas del artículo 15 y del derecho de hábeas data. La SIC ha recordado que el titular puede exigir acceso, inclusión, exclusión, corrección, adición, actualización y certificación de sus datos, dentro del marco legal correspondiente.

26. Acceso Gratuito y Suministro de Información al Titular

RIOJURIDICO permitirá al titular acceder gratuitamente a sus datos personales objeto de tratamiento, en los términos de la ley. La información se suministrará por medios de fácil lectura, sin barreras técnicas innecesarias y deberá corresponder a aquella que repose en la base de datos. Estas reglas se desprenden de los artículos 8 y 11 de la Ley 1581.

27. Calidad, Actualización y Rectificación de la Información

RIOJURIDICO procurará que la información tratada sea veraz, completa, exacta, actualizada, comprobable y comprensible. No obstante, en muchos flujos la Compañía depende de la información suministrada por el propio titular, por el cliente empresarial o por terceros autorizados, por lo que el titular y quien cargue datos a la operación deberán informar oportunamente novedades, correcciones o actualizaciones.

Cuando RIOJURIDICO actúe como encargado por cuenta de un cliente, podrá remitir a dicho cliente, como responsable, las solicitudes materiales que deban ser decididas por este, sin perjuicio de su deber de colaborar en la atención legalmente exigible.

28. Datos Cargados por Clientes en la Plataforma

Cuando un cliente empresarial utilice RIOGUARDIAN para almacenar, organizar, consultar, procesar o estructurar datos personales de terceros en su propia operación, el cliente declara y garantiza que:

cuenta con base jurídica suficiente para el tratamiento;
ha cumplido los deberes de información, autorización o legitimación que resulten exigibles;
tiene derecho a instruir a RIOJURIDICO sobre dicho tratamiento;
no cargará contenidos ilícitos, no autorizados o incompatibles con la ley;
responderá por la legalidad del contenido y del uso que se haga del servicio.

RIOJURIDICO podrá establecer medidas contractuales, técnicas y operativas para limitar el uso indebido del servicio, bloquear cargas ilícitas o suspender cuentas que generen riesgo legal, técnico o reputacional.

29. Analítica, Estadística, Mejora y Datos Agregados

RIOJURIDICO podrá usar información derivada del funcionamiento del servicio para fines de seguridad, mejora, analítica, estabilidad, soporte, medición de desempeño y desarrollo del producto, procurando usar datos agregados, estadísticos, seudonimizados o anonimizados cuando sea razonablemente posible.

Cuando RIOJURIDICO actúe como encargado respecto de datos del cliente, no realizará tratamientos incompatibles con las instrucciones del responsable ni análisis autónomos sobre datos personales del cliente por su sola iniciativa cuando ello exceda el marco legal o contractual. La SIC ha reiterado recientemente que el encargado no puede realizar análisis de datos por iniciativa propia sin instrucción del responsable.

30. Cookies, Identificadores y Tecnologías Similares

Cuando el sitio o la plataforma utilicen cookies, SDK, identificadores persistentes, tecnologías de sesión, analítica u otras herramientas similares que impliquen tratamiento de datos personales o información asociable a personas naturales, RIOJURIDICO informará tal circunstancia mediante la Política de Cookies y gestionará los consentimientos que sean legalmente exigibles.

El uso de tecnologías esenciales para el funcionamiento, seguridad, autenticación o continuidad del servicio podrá responder a la necesidad técnica legítima del sistema, sin perjuicio de los deberes de información y elección aplicables a herramientas no esenciales.

31. Datos de Navegación y Registros Técnicos

Por razones de seguridad, estabilidad, soporte, trazabilidad, prevención de fraude, desempeño y mejora, RIOJURIDICO podrá recolectar y tratar datos técnicos de navegación y operación, incluyendo logs, direcciones IP, eventos de acceso, huellas de sesión, estados de autenticación, actividad de uso, errores, latencias y registros relacionados con el funcionamiento del servicio.

Estos tratamientos se realizarán bajo criterios de necesidad, proporcionalidad y seguridad, y podrán ser combinados con otras fuentes internas legítimas para proteger la operación y atender incidentes.

32. Comunicaciones Comerciales y Marketing

Cuando proceda el envío de comunicaciones comerciales o publicitarias, RIOJURIDICO lo hará con sujeción a la autorización válida o habilitación legal aplicable, a las reglas especiales vigentes y a mecanismos razonables de cancelación o exclusión. La autorización para marketing no se entenderá incorporada válidamente por silencio o por mecanismos equívocos, y deberá diferenciarse adecuadamente de las comunicaciones estrictamente necesarias para la prestación del servicio. La SIC ha enfatizado que el aviso de privacidad no suple la autorización y que no son admisibles mecanismos que neutralicen la voluntad del titular.

33. Procedencia de la Queja ante la Superintendencia de Industria y Comercio

El titular podrá presentar queja ante la Superintendencia de Industria y Comercio por infracciones al régimen de protección de datos personales, una vez haya agotado el trámite de consulta o reclamo ante RIOJURIDICO o ante el encargado correspondiente, conforme al artículo 16 de la Ley 1581.

34. Vigencia de la Política y Modificaciones

La presente política rige a partir de la fecha indicada en su encabezado y permanecerá vigente mientras RIOJURIDICO realice actividades de tratamiento de datos personales o mientras subsistan bases de datos bajo su responsabilidad o encargo, conforme a la ley.

RIOJURIDICO podrá modificar, actualizar, complementar o ajustar esta política en cualquier momento, especialmente por cambios normativos, criterios de autoridad, evolución del servicio, reestructuración corporativa, nuevos flujos de datos, integración de nuevos canales o mejora de sus prácticas de gobierno de información. Toda modificación sustancial será publicada por los medios que la Compañía estime razonables y, cuando corresponda, informada al titular a través del aviso de privacidad o del canal idóneo. La SIC ha indicado que el aviso de privacidad debe permitir al titular conocer la política y los cambios sustanciales en ella, así como la forma de acceder o consultarla.

La versión vigente será la publicada por RIOJURIDICO en su Centro Legal o canal equivalente.

35. Remisión al Resto del Centro Legal

Para una comprensión integral del marco de protección de datos, privacidad, conservación y atención al titular, esta política debe leerse junto con:

/legal – Marco Legal General;
/legal/privacidad – Aviso de Privacidad;
/legal/retencion – Política de Retención, Bloqueo, Supresión y Eliminación;
/legal/canal-atencion – Canal de Atención, PQRS y Hábeas Data.

RIOJURIDICO S.A.S., identificada con NIT 902035295, en su calidad de responsable del tratamiento de datos personales, adopta la presente Política con el fin de garantizar el respeto de los derechos de los titulares, informar de manera suficiente las condiciones del tratamiento y fijar criterios de actuación acordes con la legislación colombiana vigente. En todo caso, la presente Política se interpretará de buena fe, de manera sistemática con el resto del Centro Legal de la Compañía y procurando preservar la máxima eficacia del régimen de protección de datos personales, la seguridad jurídica de los titulares y la integridad operativa de la Compañía.