Documento legal

Política de tratamiento y protección de datos personales

Connexa Legal LLC

1. Objeto y alcance

CONNEXA LEGAL LLC (en adelante, «CONNEXA» o «la Sociedad») adopta la presente política con el fin de fijar las reglas internas que rigen la recolección, el uso y, en general, el tratamiento de los datos personales de quienes se relacionan con ella, y de informar a los titulares las finalidades, los derechos y los procedimientos que les asisten conforme al régimen colombiano de protección de datos personales.

El documento se aplica a toda base de datos o archivo que contenga información personal y que sea objeto de tratamiento por parte de la Sociedad, en su condición de responsable, con independencia del canal —físico o digital— por el que se haya obtenido la información. Sus disposiciones vinculan a todos los colaboradores, áreas y encargados que intervengan en el tratamiento.

2. Identificación del responsable

El responsable del tratamiento es CONNEXA LEGAL LLC, sociedad comercial domiciliada en Estados Unidos, identificada con EIN. 42-4024517, con domicilio principal en Cape Coral, Florida. Sus canales de contacto para efectos de esta política se encuentran publicados en el sitio web oficial de la compañía.

3. Marco normativo aplicable

Esta política se fundamenta en el marco normativo colombiano de protección de datos personales, integrado por los artículos 15 y 20 de la Constitución Política, la Ley Estatutaria 1581 de 2012 y sus decretos reglamentarios (1377 de 2013, 886 de 2014 y 090 de 2018), compilados en el Decreto Único Reglamentario 1074 de 2015 (Libro 2, Parte 2, Título 2, Capítulos 25 y 26), así como por la Ley 1266 de 2008 y la Circular Única de la Superintendencia de Industria y Comercio (Título V), junto con sus normas concordantes, modificatorias y reglamentarias.

4. Definiciones

Para la correcta lectura de esta política, los siguientes términos se entienden conforme a la Ley 1581 de 2012 y al Decreto 1074 de 2015:

Autorización: Manifestación previa, expresa e informada del titular para que se traten sus datos personales.
Aviso de privacidad: Comunicación, verbal o escrita, dirigida al titular para informarle la existencia de la política de tratamiento, la forma de acceder a ella y las finalidades del uso de sus datos.
Base de datos: Conjunto organizado de datos personales que es objeto de tratamiento.
Cliente o usuario: Persona natural, afiliada o no, que contrata o recibe los servicios de la Sociedad, o que participa en sus actividades y eventos.
Colaborador: Persona vinculada para desempeñar funciones en la Sociedad, cualquiera sea su modalidad de contratación.
Dato personal: Cualquier información vinculada o asociable a una o varias personas naturales determinadas o determinables.
Dato sensible: Dato que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación, como los relativos a la salud, la vida sexual y los datos biométricos (por ejemplo, huella, fotografía, audio o video).
Encargado del tratamiento: Persona natural o jurídica que trata datos personales por cuenta del responsable.
Operador de información (central de riesgo): Entidad que recibe de las fuentes datos sobre el comportamiento financiero, crediticio o comercial de los titulares, los administra y los pone a disposición de los usuarios conforme a la Ley 1266 de 2008.
Prospecto: Persona natural que ha manifestado interés en los servicios de la Sociedad sin tener aún la condición de cliente.
Proveedor o contratista: Persona natural que suministra bienes o servicios a la Sociedad.
Responsable del tratamiento: Persona natural o jurídica que decide sobre el tratamiento de los datos y las medidas de seguridad de sus bases de datos.
Titular: Persona natural cuyos datos personales son objeto de tratamiento.
Transferencia: Envío de datos a un receptor que actúa como responsable del tratamiento.
Transmisión: Envío de datos a un encargado para que realice un tratamiento por cuenta del responsable.
Tratamiento: Cualquier operación sobre datos personales, como su recolección, almacenamiento, uso, circulación o supresión.
Visitante: Persona natural que ingresa a las instalaciones de la Sociedad.

5. Principios rectores

Todo tratamiento que adelante la Sociedad se rige por los principios del artículo 4 de la Ley 1581 de 2012:

Legalidad: El tratamiento es una actividad reglada que se sujeta a la ley.
Finalidad: La recolección obedece a finalidades legítimas, determinadas y previamente informadas al titular.
Libertad: El tratamiento solo procede con el consentimiento previo, expreso e informado del titular, salvo mandato legal o judicial.
Veracidad o calidad: La información es veraz, completa, exacta, actualizada, comprobable y comprensible.
Transparencia: Se garantiza al titular el derecho a obtener información sobre sus datos en cualquier momento.
Acceso y circulación restringida: Los datos solo pueden ser conocidos por personas autorizadas o por quienes tengan interés legítimo conforme a la ley.
Seguridad: Se aplican las medidas técnicas, humanas y administrativas necesarias para evitar adulteración, pérdida, consulta o acceso no autorizado.
Confidencialidad: quienes intervienen en el tratamiento se obligan a reservar la información, incluso después de finalizada su relación con la Sociedad.

6. Categorías de titulares y datos tratados

En su condición de responsable, la Sociedad trata datos personales de los siguientes grupos de titulares: clientes y prospectos (personas naturales); proveedores y contratistas (personas naturales); colaboradores y candidatos a procesos de selección; y visitantes de sus instalaciones.

La Sociedad recolecta únicamente la información necesaria y razonable para desarrollar su objeto social, ejecutar sus relaciones contractuales y cumplir sus deberes legales. Según el caso, los datos se obtienen directamente del titular, en cumplimiento de un deber legal o a partir de fuentes de acceso público. De manera ordinaria trata:

Datos de identificación, como nombres, apellidos y número de documento.
Datos de contacto, como dirección, teléfono, correo electrónico, ciudad y país.
Datos relativos a los intereses, hábitos y preferencias del titular, cuando resulten pertinentes para los servicios ofrecidos.
Datos sensibles de salud, biométricos e imagen cuyo tratamiento es facultativo para el titular y se rige por lo previsto en esta política.

7. Finalidades del tratamiento

En desarrollo de su objeto social, la Sociedad trata los datos personales para las finalidades que se indican a continuación, según el grupo de titular:

Clientes mayores de edad y prospectos

Prestar de manera efectiva los servicios contratados y gestionar la relación contractual o comercial.
Remitir comunicaciones —por medios físicos o digitales, incluidas redes sociales— sobre servicios, eventos, promociones, encuestas de satisfacción e información de interés.
Realizar análisis de mercado y estadísticos, construir perfiles de hábitos y preferencias y desarrollar nuevos servicios.
Atender peticiones, consultas, quejas y reclamos, y permitir el ejercicio de los derechos del titular.
Adelantar gestiones de cobro prejudicial o judicial derivadas de la relación contractual.
Previa autorización, consultar y reportar el comportamiento de pago del cliente ante operadores de información y centrales de riesgo, conforme a la norma vigente en Colombia.
Informar cambios de precios, servicios, alianzas y promociones de terceros por cualquier medio elegido, incluyendo los electrónicos.

Colaboradores

Ejecutar y hacer seguimiento al contrato y a la relación laboral.
Gestionar afiliaciones y trámites ante el Sistema de Seguridad Social y tramitar incapacidades.
Otorgar beneficios laborales o extralaborales al colaborador y, cuando corresponda, a su grupo familiar.
Adelantar evaluaciones de desempeño y programas de capacitación.
Remitir comunicaciones relativas a la relación laboral y certificar el historial del colaborador ante autoridades o terceros autorizados.

Candidatos a selección

Adelantar el proceso de selección, incluida la verificación de referencias y de antecedentes laborales y académicos.
Remitir comunicaciones sobre el proceso en curso u otros que puedan ser de interés del candidato.

Proveedores y contratistas

Ejecutar y hacer seguimiento al contrato, orden de servicio o relación comercial.
Verificar referencias y evaluar el desempeño.
Remitir comunicaciones relacionadas con la relación contractual o comercial.

Visitantes

Autorizar y registrar el ingreso a las instalaciones mediante la recolección de datos de identificación.
Adelantar la videovigilancia de las instalaciones para velar por la seguridad de las personas y los bienes y, de ser necesario, aportar la información en actuaciones judiciales o administrativas.

Adicionalmente, los datos podrán usarse para el cumplimiento de deberes legales de la Sociedad, como adelantar trámites y reportes ante autoridades, soportar auditorías internas o externas, elaborar reportes tributarios y contables, efectuar la facturación y conservar información con fines estadísticos e históricos.

Cuando el titular así lo autorice de manera previa, expresa e informada, la Sociedad queda facultada para consultar, solicitar, procesar, verificar, actualizar, rectificar, retirar y reportar, ante los operadores de información, centrales de riesgo y bancos de datos legalmente constituidos, la información referente al nacimiento, ejecución, modificación y extinción de las obligaciones a cargo del titular, así como su comportamiento de pago, tanto en sentido positivo como negativo. Dicho tratamiento se realizará con la finalidad de evaluar, otorgar, monitorear y dar continuidad a la relación contractual, y se sujetará a los términos, principios y garantías previstos en la Ley 1266 de 2008, la Ley 2157 de 2021 y las demás normas que las modifiquen, reglamenten o complementen.

De manera previa a la realización de cualquier reporte negativo, la Sociedad comunicará al titular tal eventualidad, con la antelación que exige la ley, a fin de que pueda controvertir, demostrar o regularizar el cumplimiento de la obligación. La permanencia, caducidad y supresión del dato negativo se regirán por los plazos establecidos en la normativa vigente, en especial los introducidos por la Ley 2157 de 2021.

La conservación de los datos en los sistemas de la Sociedad obedece a las tablas de retención documental y a la finalidad del tratamiento. Agotada esa finalidad, los datos se suprimen o devuelven según el caso, o se conservan cuando la ley lo exija, con las medidas técnicas que eviten su uso indebido.

8. Tratamiento de datos sensibles y de menores de edad

Por la naturaleza de sus servicios, la Sociedad puede tratar datos sensibles. De conformidad con los artículos 5 y 6 de la Ley 1581 de 2012, su tratamiento está prohibido salvo que el titular otorgue autorización previa, expresa y específica. El suministro de datos sensibles es siempre facultativo: el titular no está obligado a autorizarlo y puede abstenerse de responder preguntas sobre ellos. La Sociedad recolecta la información mínima razonable, la trata de forma anonimizada cuando es posible y le aplica medidas de seguridad reforzadas.

Datos de salud

Titulares: Colaboradores.

Gestionar afiliaciones a seguridad social y el trámite de incapacidades.

Datos biométricos

Titulares: Clientes, colaboradores y visitantes.

Operar un esquema de seguridad y control de acceso que permita identificar plenamente a los titulares y velar por la seguridad de las personas y los bienes en las instalaciones.

Imagen (videovigilancia y/o fotografía) y uso publicitario

Titulares: Clientes, colaboradores y visitantes.

Monitorear la seguridad de las instalaciones mediante cámaras, utilizar esta información en procesos judiciales o administrativos en caso de ser necesario y, cuando exista autorización expresa y separada para ello, emplear la imagen del titular en piezas publicitarias y en redes sociales.

Tratamiento de datos de menores de edad: En Colombia, el tratamiento de datos personales de menores de edad tiene una protección reforzada. La regla general es que el tratamiento de datos de niños, niñas y adolescentes está prohibido, salvo en casos específicos autorizados por la ley. Y la sociedad podrá tratar estos datos cuando resulte indispensable para prestar sus servicios a este grupo poblacional o, en el caso de los familiares de colaboradores, para gestionar afiliaciones y beneficios. El tratamiento exige la autorización previa, expresa e informada de uno de los padres o del representante legal, obtenida por un medio susceptible de consulta posterior, al momento de la suscripción del contrato de servicios.

9. Autorización del titular

La autorización es la manifestación previa, expresa e informada mediante la cual el titular consiente el tratamiento de sus datos. La Sociedad la obtiene por escrito —firma en documento físico o digital/electrónico— o mediante el registro y la aceptación de las casillas dispuestas para ello en su sitio web o en su software de gestión. De manera excepcional, el consentimiento puede manifestarse por conductas inequívocas; es el caso del visitante que ingresa a las instalaciones tras conocer, por los avisos ubicados en el acceso, que existe videovigilancia.

La Sociedad conservará dentro de su capacidad y posibilidades tecnológicas, la prueba de la autorización otorgada por cada titular y la pone a disposición de la autoridad o del propio titular cuando le sea requerida.

9.1. Videovigilancia

La Sociedad cuenta con cámaras de videovigilancia en sus instalaciones, con la finalidad exclusiva de proteger la seguridad de las personas y los bienes. En los recintos correspondientes se dispone de un aviso de privacidad con la información necesaria sobre esta actividad.

9.2. Datos de referidos

En sus campañas comerciales, la Sociedad puede contactar a personas que manifestaron interés en sus servicios o que fueron referidas por un tercero. En el primer contacto solicitará la autorización de tratamiento para realizar el ofrecimiento; si el titular la niega o no es posible contactarlo, su información se eliminará conforme a los procedimientos legales y jurisprudenciales aplicables de acuerdo a la norma vigente.

9.3. Consulta y reporte a centrales de información

Al aceptar esta política y suscribir la autorización correspondiente, el titular faculta a la Sociedad para consultar, solicitar, procesar, verificar, actualizar, rectificar, retirar y reportar, ante los operadores de información y centrales de riesgo, los datos sobre el nacimiento, la ejecución y la extinción de sus obligaciones y su comportamiento de pago, conforme a la Ley 1266 de 2008 y la Ley 2157 de 2021. Esta autorización se entiende vigente mientras subsista la relación contractual y por el tiempo adicional que la ley permita para el reporte de información crediticia.

9.4. Casos en que no se requiere autorización

Conforme al artículo 10 de la Ley 1581 de 2012, no se requiere autorización cuando la información sea solicitada por una entidad pública en ejercicio de sus funciones legales o por orden judicial; cuando se trate de datos de naturaleza pública; en casos de urgencia médica o sanitaria; para fines históricos, estadísticos o científicos con las debidas garantías; o respecto de datos relacionados con el registro civil de las personas.

9.5. Aviso de privacidad

El aviso de privacidad es la comunicación —física, electrónica o verbal— mediante la cual la Sociedad informa al titular, de forma previa y resumida, sobre la existencia de esta Política de Tratamiento de la Información y la forma de acceder a ella, la identidad y datos de contacto del responsable, el tratamiento y las finalidades a que serán sometidos sus datos, y los derechos que le asisten como titular —conocer, actualizar y rectificar su información—, con el fin de garantizar la transparencia y permitirle adoptar decisiones informadas. La Sociedad conservará el modelo del aviso de privacidad que utilice mientras trate datos personales conforme a él y perduren las obligaciones que de este se deriven, empleando para su almacenamiento medios informáticos, electrónicos o cualquier otra tecnología que garantice lo previsto en la Ley 527 de 1999.

10. Derechos de los titulares

De acuerdo con el artículo 8 de la Ley 1581 de 2012, el titular tiene derecho a:

Conocer, actualizar y rectificar sus datos frente al responsable o al encargado, especialmente cuando sean parciales, inexactos, incompletos o cuyo tratamiento no haya sido autorizado.
Solicitar prueba de la autorización otorgada, salvo cuando la ley la exceptúe como requisito.
Ser informado, previa solicitud, sobre el uso dado a sus datos personales.
Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la normativa de protección de datos.
Revocar la autorización o solicitar la supresión del dato cuando el tratamiento no respete los principios y garantías legales y no exista un deber legal o contractual de conservarlo.
Acceder de forma gratuita a sus datos que hayan sido objeto de tratamiento.

La revocatoria de la autorización puede ser total o parcial y no afecta la licitud del tratamiento realizado con anterioridad. El derecho de supresión no es absoluto: la Sociedad puede negar la solicitud cuando exista un deber legal o contractual de conservar el dato, cuando su eliminación obstaculice actuaciones judiciales o administrativas, o cuando el dato sea necesario para proteger intereses jurídicamente tutelados del titular o cumplir una obligación legal.

11. Deberes del responsable y de los encargados

La Sociedad, como responsable, y sus encargados cumplen los deberes previstos en los artículos 17 y 18 de la Ley 1581 de 2012, entre ellos: garantizar al titular el ejercicio de sus derechos; conservar la información bajo condiciones de seguridad que eviten su adulteración, pérdida o acceso no autorizado; tramitar consultas y reclamos en los términos legales; actualizar y rectificar la información cuando corresponda; informar el uso dado a los datos; y observar las instrucciones que imparta la Superintendencia de Industria y Comercio.

12. Circulación, transmisión y transferencia de datos

La Sociedad puede designar encargados para el tratamiento de los datos que maneja como responsable, en particular cuando contrata servicios de tecnología, gestión, facturación, contabilidad o pasarelas de pago. Cuando un encargado o un tercero receptor se encuentre fuera de Colombia, la operación constituye una transmisión o transferencia internacional y se sujeta a lo dispuesto en el artículo 26 de la Ley 1581 de 2012 y en el Decreto 1074 de 2015.

Toda circulación de datos se limita a la información razonable y necesaria, se realiza por el tiempo indispensable para cumplir las finalidades autorizadas, queda formalizada y deja trazabilidad de los flujos de información, bajo estándares adecuados de seguridad y confidencialidad.

Se prohíbe la transferencia de datos personales a destinatarios ubicados en países que no ofrezcan un nivel adecuado de protección de datos. Para estos efectos, se consideran países seguros aquellos que cumplen con los estándares fijados por la Superintendencia de Industria y Comercio.

13. Atención al titular

La Sociedad designará al área legal como responsable, dentro de su organización, de recibir, tramitar y canalizar las solicitudes de los titulares en los términos de esta política. Los titulares pueden ejercer sus derechos a través de los canales electrónicos o físicos dispuestos por la sociedad para el efecto y que mantendrá al alcance de los usuarios o informará sobre ellos al momento en que le sean exigidos.

14. Procedimiento de consultas y reclamos

14.1. Consultas

Las consultas sobre los datos del titular o sobre el uso que se les ha dado se atienden en un término máximo de diez (10) días hábiles contados desde su recibo. Si no fuere posible atenderlas dentro de ese plazo, se informará al interesado los motivos de la demora y la fecha en que se atenderá la consulta, que en ningún caso superará los cinco (5) días hábiles siguientes al vencimiento del primer término (artículo 14 de la Ley 1581 de 2012).

14.2. Reclamos

El titular que considere que su información debe corregirse, actualizarse o suprimirse, o que advierta un presunto incumplimiento de la normativa, puede presentar un reclamo escrito que se tramitará así (artículo 15 de la Ley 1581 de 2012):

Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes para que subsane las fallas. Transcurridos dos (2) meses sin respuesta, se entenderá que ha desistido.
Si quien recibe el reclamo no es competente, dará traslado a quien corresponda en un máximo de dos (2) días hábiles e informará de ello al interesado.
Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que indique «reclamo en trámite» y el motivo, en un término no mayor a dos (2) días hábiles, que se mantendrá hasta que el reclamo se decida.
El reclamo se resolverá en un término máximo de quince (15) días hábiles contados desde el día siguiente a su recibo. Cuando no sea posible, se informarán los motivos de la demora y la fecha de respuesta, que no superará los ocho (8) días hábiles siguientes al vencimiento del primer plazo.

15. Seguridad de la información

La Sociedad adopta medidas técnicas, humanas y administrativas razonables para garantizar la integridad, disponibilidad, confidencialidad y seguridad de los datos personales, e impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. El acceso a la información se restringe a los colaboradores que deban conocerla por razón de sus funciones, a quienes el titular autorice de manera expresa, a las autoridades competentes y a los encargados contratados para las finalidades autorizadas, todos sujetos a deberes de confidencialidad. La Sociedad procura que los datos almacenados sean los estrictamente necesarios para las finalidades informadas.

16. Conservación y supresión de los datos

Las bases de datos se conservan durante el tiempo que corresponda a la finalidad para la cual se autorizó el tratamiento y a las normas especiales aplicables. Cumplidas las finalidades, y salvo disposición legal o contractual en contrario, la Sociedad procede a la supresión de los datos. Para ordenar el archivo físico y lógico de la información y de las autorizaciones obtenidas, la Sociedad establece tablas de retención documental.

17. Registro Nacional de Bases de Datos

El Registro Nacional de Bases de Datos (RNBD), administrado por la Superintendencia de Industria y Comercio, debe ser diligenciado por las sociedades cuyos activos totales superen las cien mil (100.000) Unidades de Valor Tributario (UVT). A la fecha de adopción de esta política, la Sociedad no supera dicho umbral, razón por la cual no está obligada a inscribir sus bases de datos en el RNBD. Esta circunstancia no la exime del cumplimiento de las demás obligaciones de la Ley 1581 de 2012 y de esta política, como contar con la presente política y el aviso de privacidad, obtener y conservar las autorizaciones, atender consultas y reclamos y mantener medidas de seguridad. En el evento de superar el umbral señalado, la Sociedad inscribirá y mantendrá actualizadas sus bases de datos en el RNBD dentro de los plazos fijados por la Superintendencia de Industria y Comercio.

18. Aviso de privacidad

19. Vigencia y actualización

La presente política rige a partir de la fecha de su adopción y su vigencia es indefinida. La Sociedad podrá modificarla para adecuarla a cambios normativos o a sus prácticas de tratamiento; las modificaciones sustanciales se comunicarán a los titulares por los canales dispuestos para el efecto.