Política de Privacidad

Protección de Datos Personales · Versión 2.0 · Vigente desde el 15 de septiembre de 2026

1. Objeto y alcance

1.1 Objeto. El objeto de esta política es dar cumplimiento a la Ley Estatutaria 1581 de 2012, su Decreto Reglamentario 1074 de 2015 y demás normas que rigen la protección de datos personales, y garantizar el derecho de hábeas data de los titulares cuyos datos son tratados por Arrubla Devis Asociados S.A.S. (en adelante, Arrubla Devis).

1.2 Alcance. Esta política aplica a Arrubla Devis, en calidad de responsable del tratamiento, a sus empleados y a todas las personas naturales o jurídicas a quienes transmita datos personales de los titulares que integran sus grupos de interés, cuando estos realicen algún tratamiento sobre los mismos.

1.3 Responsable del tratamiento. Razón social: Arrubla Devis Asociados S.A.S. Domicilio: Medellín, Antioquia. Dirección: Carrera 37 No. 2 sur – 34 (Medellín); y sede en Bogotá: Calle 70 Bis No. 4 – 54. Correo electrónico: info@arrubladevis.com. Teléfono: (604) 3229884 (Medellín) y (601) 4824084 (Bogotá).

2. Definiciones

2.1 Glosario. Para los efectos de esta política se entiende por:

Autorización: consentimiento previo, expreso e informado del titular para el tratamiento de sus datos personales, otorgado por escrito, de forma oral o mediante conductas inequívocas que permitan concluir razonablemente que la otorgó.
Aviso de privacidad: documento físico, electrónico o en cualquier formato que el responsable pone a disposición del titular para informarle sobre la existencia de esta política, su forma de acceso y las condiciones del tratamiento.
Base de datos: conjunto organizado de datos personales objeto de tratamiento.
Dato personal: información vinculada o asociable a una o varias personas naturales determinadas o determinables. Puede ser público, semiprivado, privado o sensible.
Dato privado: información de carácter íntimo o reservado, relevante únicamente para el titular.
Dato público: información no clasificada como privada, semiprivada o sensible, de libre acceso. Incluye estado civil, profesión, calidad de comerciante o servidor público.
Dato semiprivado: información que interesa al titular y a ciertos terceros. Incluye datos de seguridad social o comportamiento financiero.
Dato sensible: información que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación. Incluye origen racial o étnico, orientación política, convicciones religiosas, afiliación sindical, salud, vida sexual y datos biométricos.
Dato biométrico: dato sensible derivado de características físicas o fisiológicas del titular, como huella dactilar, iris, voz, rostro, fotografías o videos.
Encargado del tratamiento: persona natural o jurídica que realiza el tratamiento de datos por cuenta del responsable.
Grupos de interés: conjunto de personas naturales cuyos datos personales son tratados por Arrubla Devis o sus encargados.
Oficial de Protección de Datos: persona designada para atender consultas, reclamos y verificar el cumplimiento de la normativa de protección de datos.
PQR: peticiones, quejas o reclamos de los titulares en materia de protección de datos.
Responsable del tratamiento: persona que decide sobre la base de datos y el tratamiento. Para esta política, Arrubla Devis Asociados S.A.S.
Titular: persona natural cuyos datos personales son objeto de tratamiento.
Transferencia: envío de datos personales del responsable a otro responsable ubicado dentro o fuera del país.
Transmisión: comunicación de datos personales al encargado del tratamiento por cuenta del responsable.
Tratamiento: cualquier operación sobre datos personales: recolección, almacenamiento, uso, circulación, actualización, supresión, transmisión o transferencia.

3. Principios del tratamiento

Principios rectores. Arrubla Devis trata datos personales con fundamento en los siguientes principios:
Legalidad. El tratamiento se sujeta a lo dispuesto en la ley y las normas que la desarrollan.
Finalidad. El tratamiento obedece a una finalidad legítima, determinada y explícita, informada al titular.
Libertad. El tratamiento se realiza solo con el consentimiento previo, expreso e informado del titular, salvo excepción legal.
Veracidad o calidad. La información es veraz, completa, exacta, actualizada, comprobable y comprensible.
Transparencia. Se garantiza al titular el derecho a obtener información clara sobre el tratamiento de sus datos.
Acceso y circulación restringida. El tratamiento se sujeta a los límites que impone la naturaleza de los datos y las disposiciones legales. Los datos no pueden estar disponibles en internet o en medios masivos, salvo que el acceso sea técnicamente controlable.
Seguridad. Se adoptan las medidas técnicas, humanas y administrativas necesarias para proteger los datos personales, conforme a la Política de Seguridad de la Información de Arrubla Devis.
Confidencialidad. Todas las personas que intervienen en el tratamiento están obligadas a garantizar la reserva de la información.
Necesidad. El tratamiento se limita a los datos pertinentes, adecuados y estrictamente necesarios para la finalidad prevista.

4. Disposición general sobre el tratamiento

4.1 Operaciones de tratamiento. Arrubla Devis –en calidad de responsable o encargado del tratamiento– recolecta, almacena, usa, circula, actualiza, suprime o realiza cualquier otra operación sobre los datos personales de sus grupos de interés, conforme a la legislación vigente y las buenas prácticas en protección de datos.

4.2 Facultades . Con la autorización otorgada, Arrubla Devis tiene las facultades más amplias para llevar a cabo dicho tratamiento, conforme a la ley y esta política, sin perjuicio de los derechos de los titulares.

5. Finalidades del tratamiento de datos

5.1 Finalidades generales. Las siguientes finalidades aplican a todos los grupos de interés:

Transmitir, transferir, almacenar y custodiar información en archivos físicos o servidores propios o de terceros, dentro o fuera del país.
Registrar y controlar la entrada y salida de documentos.
Convocar y ejecutar programas, reuniones, capacitaciones y eventos, y conservar registros documentales que pueden usarse en medios de comunicación internos o externos.
Elaborar y aplicar encuestas o entrevistas.
Enviar comunicaciones sobre actividades de Arrubla Devis o aliados estratégicos.
Realizar controles, estadísticas e históricos sobre las relaciones con titulares.
Generar indicadores internos y servir como base para la toma de decisiones.
Registrar y controlar el acceso a las instalaciones.
Monitorear mediante sistemas de videovigilancia, conforme al aviso de videovigilancia de Arrubla Devis.
Velar por la seguridad física de instalaciones y personas, y atender emergencias.
Apoyar procesos de auditoría interna o externa, revisoría fiscal y mejora continua.
Implementar y cumplir las normas sobre prevención de delitos financieros.
Presentar reportes y responder requerimientos de autoridades competentes.
Presentar demandas, denuncias o ejercer defensa en procesos administrativos o judiciales.
Cumplir obligaciones derivadas de contratos con titulares, contratantes o empleadores.
Gestionar aspectos contables, financieros y tributarios.
Atender peticiones, quejas o reclamos.
Tratar los datos mediante herramientas o sistemas basados en inteligencia artificial, en los términos del capítulo Tratamiento mediante inteligencia artificial.
Aplicar las finalidades indicadas en la autorización del titular, en los avisos de privacidad y en las normas vigentes.

5.2 Finalidades para accionistas .

Convocar y desarrollar reuniones ordinarias o extraordinarias de la asamblea de accionistas.
Elaborar y conservar actas de reuniones y libros de registro de accionistas.
Expedir, cancelar o actualizar títulos de acciones.
Divulgar la calidad de accionista cuando sea necesario para procesos de vinculación.
Decretar y pagar dividendos.

5.3 Finalidades para aspirantes, empleados, practicantes, aprendices y sus familias .

Recolectar hojas de vida, desarrollar procesos de selección, validar referencias y antecedentes, conservar resultados para futuros procesos, vincular contractualmente y realizar carnetización.
Controlar prórroga, renovación y terminación de contratos, asignar funciones, gestionar nómina, seguridad social, liquidaciones, permisos, procesos disciplinarios, certificados laborales y descuentos autorizados.
Ejecutar actividades de clima laboral, gestionar riesgo psicosocial, programar capacitaciones y evaluaciones de desempeño, aplicar evaluaciones médicas, gestionar dotación y activar contacto de emergencia.
Realizar reservas hoteleras, tiquetes, viáticos y otros auxilios logísticos.
Suministrar información a clientes o contratistas para ejecución de contratos, verificar cumplimiento SG-SST, crear y administrar accesos a plataformas digitales, y transferir comprobantes de pago de seguridad social.

5.4 Finalidades para clientes y sus colaboradores. Aplica a clientes potenciales, actuales o antiguos, personas que han suministrado datos a través del sitio web o redes sociales, y sus colaboradores:

Analizar comportamiento e intereses para segmentar el mercado.
Ofrecer bienes y servicios de Arrubla Devis o de aliados estratégicos.
Consultar y reportar información ante centrales de riesgo legalmente autorizadas.
Enviar propuestas de prestación de servicios.
Ejecutar las actividades de asesoría jurídica o representación judicial contratadas.
Responder comunicaciones o solicitudes y gestionar el proceso de facturación.
Enviar información comercial, actualizaciones normativas o boletines jurídicos.
Recuperar cartera mediante cobro persuasivo, extrajudicial o judicial.
Fidelizar clientes mediante estrategias de retención.
Transmitir y transferir datos a encargados o aliados estratégicos conforme a las finalidades anteriores.

5.5 Finalidades para proveedores, contratistas y sus colaboradores .

5.6 Solicitar y analizar cotizaciones, invitar a procesos de contratación, verificar requisitos jurídicos, técnicos y financieros, expedir certificados de experiencia, suscribir y administrar contratos.

5.7 Cumplir obligaciones contractuales, gestionar pagos, evaluar desempeño, verificar cumplimiento de normas laborales, de seguridad social y SG-SST.

5.8 Programar ejecución de actividades, gestionar reclamaciones, coordinar logística de traslados y transferir comprobantes de pago.

6. Tratamiento mediante inteligencia artificial

6.1 Autorización. Los datos personales pueden ser tratados mediante herramientas o sistemas basados en inteligencia artificial (IA), incluyendo tecnologías de aprendizaje automático, modelos generativos, analítica avanzada, automatización y otras tecnologías afines, con el propósito de apoyar, optimizar o ejecutar procesos relacionados con la gestión administrativa, operativa, comercial, jurídica, financiera, tecnológica, de servicio al cliente, talento humano, seguridad de la información, cumplimiento normativo y demás actividades propias de Arrubla Devis.

6.2 Operaciones. En desarrollo de esta finalidad, la inteligencia artificial puede utilizarse para el análisis, clasificación, organización, extracción, validación, estructuración, correlación, anonimización o seudonimización de información; automatización o apoyo en procesos; generación de documentos, respuestas o contenidos; análisis predictivo, descriptivo o prescriptivo; detección de riesgos, anomalías, fraudes o incumplimientos; apoyo en la toma de decisiones; optimización de procesos; elaboración de estadísticas e indicadores; asistencia virtual; búsqueda y recuperación de información; mejora de productos y servicios; así como para cualquier otra finalidad compatible con aquellas autorizadas por el titular y con el objeto social o las funciones de Arrubla Devis.

6.3 Garantías en decisiones con efectos jurídicos. Cuando el tratamiento implique decisiones que produzcan efectos jurídicos o afecten significativamente los intereses del titular, Arrubla Devis debe adoptar las medidas necesarias para garantizar la intervención humana cuando resulte exigible por la normativa aplicable, así como la transparencia, seguridad, trazabilidad, proporcionalidad y protección de los derechos de los titulares.

6.4 Anonimización y uso responsable. El tratamiento de datos personales mediante herramientas de inteligencia artificial se rige por la Política de IA y Tecnología de Arrubla Devis. Los datos deben anonimizarse antes de ingresarlos a cualquier herramienta de IA, salvo que esta ofrezca garantías verificables de no aprendizaje y privacidad. La anonimización o seudonimización asistida por inteligencia artificial, prevista en el literal de operaciones, solo puede realizarse en herramientas que ofrezcan esas garantías; en cualquier otra herramienta, los datos deben ingresarse ya anonimizados. Está prohibido ingresar datos personales de clientes a herramientas públicas sin contrato de confidencialidad.

7. Datos sensibles

7.1 Condiciones del tratamiento. Arrubla Devis realiza tratamiento de datos sensibles únicamente cuando el titular otorga autorización explícita (salvo excepción legal), el tratamiento es necesario para salvaguardar intereses vitales del titular, o el tratamiento tiene finalidad legítima y proporcional al riesgo. Al momento de recolectar datos sensibles, Arrubla Devis informa al titular que no está obligado a autorizar su tratamiento y cuáles de los datos solicitados tienen carácter sensible.

7.2 Clasificación y protección reforzada. Los datos sensibles se rigen por los niveles de clasificación de la Política de Seguridad de la Información y reciben protección reforzada: acceso restringido y etiquetado DLP obligatorio.

7.3 Datos de niños, niñas y adolescentes . Arrubla Devis trata datos de menores de edad únicamente cuando el tratamiento responde al interés superior del niño, se garantiza el respeto de sus derechos fundamentales y se cuenta con autorización expresa del representante legal. El tratamiento se limita a los datos estrictamente necesarios y se adoptan medidas especiales de seguridad.

7.4 Datos biométricos . Arrubla Devis recolecta y trata datos biométricos cuando se requieren para controlar el ingreso físico a instalaciones o el acceso a plataformas digitales, verificar la identidad del titular o garantizar la seguridad de personas, activos e información. Estos datos se tratan bajo medidas estrictas de seguridad física, técnica y jurídica, y su uso se limita a las finalidades informadas.

8. Transmisión y transferencia

8.1 Transmisión . La transmisión consiste en la comunicación de datos personales por parte de Arrubla Devis a un tercero encargado del tratamiento, para que los trate por cuenta de Arrubla Devis conforme a las finalidades autorizadas. Toda transmisión se realiza bajo contratos que establecen: alcance del tratamiento, obligaciones de confidencialidad y seguridad, prohibición de uso para finalidades no autorizadas, medidas de seguridad exigidas y condiciones para la devolución o supresión de los datos.

8.2 Transferencia . La transferencia consiste en el envío de datos personales a otro responsable del tratamiento, ubicado dentro o fuera de Colombia. Arrubla Devis garantiza que el país receptor cuente con niveles adecuados de protección según la Superintendencia de Industria y Comercio, o que se obtenga autorización expresa del titular, o que se suscriban cláusulas contractuales que aseguren protección adecuada.

8.3 Obligaciones . En todos los casos, Arrubla Devis informa al titular sobre el hecho y la finalidad del envío, limita el tratamiento al mínimo necesario, exige a los terceros receptores el cumplimiento de los principios y medidas de seguridad de la ley, y conserva evidencia de las autorizaciones otorgadas.

9. Medidas de protección

9.1 Alcance de las medidas. Arrubla Devis adopta medidas técnicas, humanas, jurídicas y administrativas para proteger los datos personales bajo su custodia y garantizar su confidencialidad, integridad, disponibilidad y autenticidad, conforme a la Política de Seguridad de la Información. Estas medidas buscan prevenir el acceso no autorizado, el uso indebido, la alteración, la pérdida o la destrucción de los datos.

10. Proporcionalidad, acceso restringido y formación

10.1 Proporcionalidad y control de acceso. Las medidas de seguridad se implementan atendiendo al tipo de dato tratado, el volumen de la base de datos y el nivel de riesgo asociado. El acceso a los datos personales está limitado al personal autorizado, en función de sus responsabilidades y necesidades operativas, y se controla mediante políticas de contraseñas, autenticación multifactor, restricción de perfiles y protocolos de auditoría. Los datos personales se clasifican conforme a los niveles de la Política de Seguridad de la Información: pública, interna, confidencial o reservada. Todo el personal con acceso a datos personales conoce y acata los principios de protección de datos, está sujeto a cláusulas de confidencialidad y recibe capacitación sobre la normatividad aplicable.

11. Videovigilancia

11.1 Conservación y aviso. Los datos personales capturados por dispositivos de videovigilancia en las instalaciones de Arrubla Devis se almacenan por un plazo de 25 días calendario desde su captura y luego se eliminan permanentemente, salvo que deban conservarse como evidencia de un incidente de seguridad. Arrubla Devis mantiene un aviso de videovigilancia visible en sus instalaciones.

12. Derechos de los titulares

12.1 Derechos. Los titulares de datos personales tratados por Arrubla Devis tienen los siguientes derechos:

Conocer sus datos personales objeto de tratamiento frente a responsables y encargados.
Acceder gratuitamente a sus datos al menos una vez por mes calendario, o cada vez que existan modificaciones sustanciales a esta política.
Actualizar y rectificar sus datos cuando sean parciales, inexactos, incompletos o induzcan a error.
Solicitar prueba de la autorización otorgada, salvo excepción legal.
Ser informado sobre el uso que se da a sus datos.
Revocar la autorización y solicitar la supresión de los datos, en las condiciones previstas en esta política.
Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a las normas de protección de datos, una vez agotado el trámite interno.
Negarse al tratamiento de datos sensibles o de menores, salvo cuando sea obligatorio por ley o necesario para la ejecución de una relación jurídica válida.

12.2 Limitaciones al ejercicio de derecho . El ejercicio de los derechos puede limitarse cuando exista una obligación legal que persista, el titular tenga una deuda con Arrubla Devis que requiera seguimiento, o exista un procedimiento legal vigente que requiera conservar los datos. En estos casos, Arrubla Devis informará al titular sobre las limitaciones y su fundamento.

13. Consultas

13.1 Presentación de la consulta. Los titulares pueden presentar consultas para conocer la información que sobre ellos reposa en las bases de datos de Arrubla Devis. La solicitud debe contener: identificación del titular, descripción clara y precisa de la solicitud, y datos de contacto para la respuesta.

13.2 Término de respuesta. Arrubla Devis debe responder dentro de los diez (10) días hábiles siguientes a la recepción. Si no es posible atenderla en ese plazo, se informará al titular antes del vencimiento del término, indicando las razones e indicando la fecha de respuesta, que no puede superar cinco (5) días hábiles adicionales.

14. Reclamos

14.1 Presentación del reclamo. Cuando el titular considere que su información debe ser corregida, actualizada o suprimida, o que se ha incumplido algún deber legal, puede presentar un reclamo dirigido al Oficial de Protección de Datos. El reclamo debe contener: identificación del titular, descripción de los hechos, dirección y datos de contacto, y documentos de soporte.

14.2 Subsanación. Si el reclamo está incompleto, se requerirá al titular dentro de los cinco (5) días siguientes para que lo subsane. Si no lo hace en los dos (2) meses siguientes, se entenderá que ha desistido.

14.3 Leyenda de reclamo en trámite. Una vez recibido el reclamo completo, Arrubla Devis incluirá en la base de datos una leyenda que indique “reclamo en trámite” y el motivo, en un término no mayor a dos (2) días hábiles. La leyenda se mantendrá hasta que el reclamo sea decidido.

14.4 Término de respuesta. El reclamo se atenderá dentro de los quince (15) días hábiles siguientes a su recepción completa. Si no es posible resolverlo en ese término, se informará al titular indicando las razones y la fecha estimada de respuesta, que no puede superar ocho (8) días hábiles adicionales.

15. Revocatoria de la autorización y supresión

15.1 Procedencia. El titular puede solicitar en cualquier momento la supresión de sus datos o la revocatoria de la autorización otorgada. La revocatoria y la supresión proceden de forma directa cuando el titular no tenga un deber legal o contractual de permanecer en la base de datos. Asimismo, proceden cuando la Superintendencia de Industria y Comercio haya determinado que el responsable o encargado ha incurrido en conductas contrarias a la Ley 1581 de 2012 y a la Constitución.

15.2 Improcedencia. La solicitud no procederá cuando el titular tenga un deber legal o contractual de permanecer en la base de datos. En estos casos, Arrubla Devis tramitará la solicitud conforme al procedimiento de reclamos.

16. Requisito previo a queja ante la SIC

16.1 Agotamiento previo. El titular solo puede presentar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo directamente ante Arrubla Devis.

17. Canales de atención

17.1 Medios de atención. Los titulares pueden ejercer sus derechos a través de los siguientes medios:

17.2 Correo electrónico: protecciondedatos@arrubladevis.com

17.3 Atención presencial: sede principal de Arrubla Devis (Carrera 37 No. 2 sur – 34, Medellín; o Calle 70 Bis No. 4 – 54, Bogotá), de lunes a viernes, de 9:00 a. m. a 5:00 p. m. Teléfono: (604) 3229884 (Medellín) y (601) 4824084 (Bogotá).

17.4 Responsable de atención: el Oficial de Protección de Datos, función que Arrubla Devis ha asignado al cargo de Asociado Director, y a quien puede contactarse en protecciondedatos@arrubladevis.com.

18. Canal de denuncias y quejas

18.1 Canales de denuncia. Los titulares pueden presentar quejas o denuncias sobre el tratamiento de sus datos a través de:

18.2 Correo del Oficial de Protección de Datos: protecciondedatos@arrubladevis.com

18.3 Canal Ético: lineaetica@arrubladevis.com

18.4 Solicitud escrita en las oficinas de Arrubla Devis.

18.5 Ante la Superintendencia de Industria y Comercio, en caso de incumplimiento grave, previo agotamiento del trámite interno.

19. Deberes del responsable del tratamiento

19.1 Deberes legales. En su condición de responsable del tratamiento, y conforme al artículo 17 de la Ley 1581 de 2012, corresponde a Arrubla Devis:

Garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
Solicitar y conservar, por cualquier medio y en las condiciones previstas en la Ley 1581 de 2012, copia de la autorización otorgada por el titular.
Informar debidamente al titular sobre la finalidad de la recolección y los derechos que le asisten en virtud de la autorización otorgada.
Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Garantizar que la información suministrada al encargado del tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible.
Actualizar la información, comunicando oportunamente al encargado del tratamiento todas las novedades sobre los datos que previamente le haya suministrado.
Rectificar la información cuando sea incorrecta y comunicar lo pertinente al encargado del tratamiento.
Suministrar al encargado del tratamiento únicamente datos cuyo tratamiento esté previamente autorizado conforme a la Ley 1581 de 2012.
Exigir al encargado del tratamiento, en todo momento, el respeto de las condiciones de seguridad y privacidad de la información del titular.
Tramitar las consultas y los reclamos en los términos señalados en la Ley 1581 de 2012.
Adoptar un manual interno de políticas y procedimientos para garantizar el cumplimiento de la Ley 1581 de 2012 y, en especial, la atención de consultas y reclamos.
Informar al encargado del tratamiento cuando determinada información se encuentre en discusión por el titular, una vez presentada la reclamación y mientras no haya finalizado el trámite.
Informar, a solicitud del titular, sobre el uso dado a sus datos.
Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares.
Cumplir las instrucciones y los requerimientos que imparta la Superintendencia de Industria y Comercio.

20. Deberes de los encargados del tratamiento

20.1 Deberes legales. Conforme al artículo 18 de la Ley 1581 de 2012, corresponde a quien trate datos personales por cuenta de Arrubla Devis:

Cumplir, en el desarrollo de las actividades contratadas, esta política y los procedimientos, guías y directrices que imparta Arrubla Devis en materia de protección de datos personales.
Adoptar, según las instrucciones de Arrubla Devis, las medidas técnicas, humanas y administrativas necesarias para dar seguridad a los registros y evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Implementar una política de protección de datos personales ajustada a las normas que regulan la materia.
Dar tratamiento a los datos personales conforme a las instrucciones expresas de Arrubla Devis, absteniéndose de usarlos para fines distintos de los contratados.
Abstenerse de suministrar, ceder o comercializar los datos personales con terceros, salvo que sean de naturaleza pública sin sujeción a reserva o que los requiera una autoridad competente en ejercicio de sus funciones legales.
Guardar estricta confidencialidad sobre los datos personales a los que acceda en ejercicio de las actividades contratadas, y cumplir el deber de guarda y custodia durante la vigencia del contrato y después de su terminación.
Acceder o consultar la información que repose en las bases de datos de Arrubla Devis únicamente cuando sea estrictamente necesario para el ejercicio de las actividades contratadas.
Reportar a Arrubla Devis, de manera inmediata a su materialización o al momento en que llegue a su conocimiento, cualquier incidente o amenaza de incidente que afecte o pueda afectar la protección de datos personales.
Garantizar en todo tiempo el pleno y efectivo ejercicio del derecho de hábeas data de los titulares, así como el debido proceso cuando se presenten peticiones, consultas o reclamos.
Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la Ley 1581 de 2012.
Actualizar la información reportada por Arrubla Devis dentro de los cinco (5) días hábiles siguientes a su recibo.
Adoptar un manual interno de políticas y procedimientos para garantizar el cumplimiento de la Ley 1581 de 2012 y, en especial, la atención de consultas y reclamos.
Abstenerse de circular información que esté siendo controvertida por el titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio.
Permitir el acceso a la información únicamente a las personas autorizadas para ello.
Cumplir las instrucciones y los requerimientos que imparta la Superintendencia de Industria y Comercio.
Cuando recolecte datos por cuenta de Arrubla Devis, solicitar la autorización de los titulares en los casos en que se requiera, conforme a la Ley 1581 de 2012.

21. Cookies y tecnologías de rastreo

21.1 Ausencia de cookies y de rastreo. El sitio web de Arrubla Devis no instala cookies ni emplea tecnologías de rastreo, y no incorpora servicios de analítica, publicidad o medición de terceros. Si en el futuro se incorporan cookies no esenciales, Arrubla Devis debe informarlo mediante un aviso visible al ingresar al sitio y recoger el consentimiento previo del usuario, quien puede revocarlo en cualquier momento.

22. Datos en redes sociales

22.1 Publicación responsable. Cuando Arrubla Devis publique contenido en redes sociales, solo publicará información que el titular haya hecho disponible públicamente o haya autorizado, respetará la privacidad de las personas y mantendrá políticas de comentarios que respeten la privacidad de terceros.

23. Registro Nacional de Bases de Datos

23.1 Inscripción y actualización. Arrubla Devis inscribe y mantiene actualizadas sus bases de datos ante el Registro Nacional de Bases de Datos de la Superintendencia de Industria y Comercio, conforme al Decreto 1074 de 2015.

24. Retención de datos

24.1 Plazo de conservación. Arrubla Devis retiene datos personales durante el tiempo necesario para cumplir las finalidades para las cuales fueron recopilados y el tiempo requerido por obligaciones legales. Los plazos de conservación se definen por categoría de dato y finalidad en la tabla de retención documental del Manual de Gestión Documental. Los datos contractuales, contables y tributarios se conservan al menos durante los plazos legales aplicables contados desde la finalización de la relación; las demás categorías se suprimen cuando cesan las finalidades que motivaron su recolección. Transcurrido el plazo, los datos deben ser destruidos o anonimizados conforme al Manual de Gestión Documental, salvo obligación legal de retención mayor.

25. Gestión de incidentes de seguridad

25.1 Respuesta a incidentes. Si Arrubla Devis detecta un incidente que comprometa datos personales, tomará acciones inmediatas para mitigar el daño, notificará a los titulares afectados conforme a los niveles de severidad de la Política de Seguridad de la Información, reportará a la Superintendencia de Industria y Comercio si corresponde, y documentará el incidente y las medidas correctivas.

26. Auditoría y cumplimiento

26.1 Auditorías anuales. Arrubla Devis realiza auditorías anuales de protección de datos para verificar la implementación de controles de seguridad, el cumplimiento de los principios de tratamiento, la respuesta oportuna a solicitudes y la identificación de áreas de mejora.

27. Medidas disciplinarias

27.1 Régimen aplicable. El incumplimiento de esta política por empleados se tramita conforme al régimen disciplinario del Reglamento Interno de Trabajo. Sin perjuicio de lo anterior, el incumplimiento que cause perjuicio a un titular o a un tercero puede generar responsabilidad civil, disciplinaria o penal.

28. Modificaciones a la política

28.1 Facultad de modificación. Arrubla Devis puede modificar esta política en cualquier momento para ajustarse a cambios normativos, jurisprudenciales u organizacionales. Cuando los cambios sean sustanciales y puedan afectar los derechos de los titulares, deben informarse oportunamente mediante publicación en la página web de Arrubla Devis y comunicación directa al titular por los medios registrados.

29. Vigencia

29.1 Entrada en vigencia. Esta política (Versión 2.0) entra en vigencia el 15 de septiembre de 2026, fecha de su publicación en el sitio web de Arrubla Devis, y deroga la Versión 1.0, vigente desde el 31 de marzo de 2025. Rige mientras Arrubla Devis realice tratamiento de datos personales en el marco de sus actividades. Las bases de datos estarán vigentes mientras subsistan las finalidades descritas, respetando los plazos legales aplicables.