Política de Privacidad

Protección de Datos Personales · Versión 4.0 · Vigente desde el 13 de octubre de 2026

Actualización del 13 de octubre de 2026. Esta es la versión 4.0 de nuestra Política de Privacidad. Lo principal que cambia:

Las herramientas de inteligencia artificial son un medio para las finalidades que usted ya conoce, no una finalidad nueva. Antes de usar un sistema que trate datos personales, evaluamos su necesidad y su riesgo.
Agregamos algunas finalidades, que están en el capítulo 5. Solo las aplicamos a quienes las autoricen.
Reunimos en el capítulo 14 los canales para consultar, reclamar y ejercer sus derechos.

Si tiene preguntas o quiere ejercer sus derechos, escríbanos a protecciondedatos@arrubladevis.com.

1. Objeto y alcance

1.1 Objeto. El objeto de esta política es dar cumplimiento a la Ley Estatutaria 1581 de 2012, su Decreto Reglamentario 1074 de 2015 y demás normas que rigen la protección de datos personales, y garantizar el derecho de hábeas data de los titulares cuyos datos son tratados por Arrubla Devis Asociados S.A.S. (en adelante, Arrubla Devis).

1.2 Alcance. Esta política aplica a Arrubla Devis, en calidad de responsable del tratamiento, a sus empleados y a todas las personas naturales o jurídicas a quienes transmita datos personales de los titulares que integran sus grupos de interés, cuando estos realicen algún tratamiento sobre los mismos.

1.3 Responsable del tratamiento. Razón social: Arrubla Devis Asociados S.A.S. Domicilio: Medellín, Antioquia. Dirección: Carrera 37 No. 2 sur – 34 (Medellín); y sede en Bogotá: Calle 70 Bis No. 4 – 54. Correo electrónico: info@arrubladevis.com. Teléfonos: 604 3229884 (Medellín) y 601 4824084 (Bogotá).

2. Definiciones

2.1 Autorización: consentimiento previo, expreso e informado del titular para el tratamiento de sus datos personales, otorgado por escrito, de forma oral o mediante conductas inequívocas que permitan concluir razonablemente que la otorgó.

2.2 Aviso de privacidad: documento físico, electrónico o en cualquier formato que el responsable pone a disposición del titular para informarle sobre la existencia de esta política, su forma de acceso y las condiciones del tratamiento.

2.3 Base de datos: conjunto organizado de datos personales objeto de tratamiento.

2.4 Dato personal: información vinculada o asociable a una o varias personas naturales determinadas o determinables. Puede ser público, semiprivado, privado o sensible.

2.5 Dato privado: información de carácter íntimo o reservado, relevante únicamente para el titular.

2.6 Dato público: información no clasificada como privada, semiprivada o sensible, cuyo acceso no esté restringido. Incluye estado civil, profesión, calidad de comerciante o servidor público y la contenida en registros o documentos públicos.

2.7 Dato semiprivado: información que no es pública ni reservada, pero interesa al titular y a ciertos terceros. Incluye datos de seguridad social o comportamiento financiero.

2.8 Dato sensible: información que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación. Incluye los que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, a organizaciones sociales o de derechos humanos o a partidos políticos, y los datos relativos a la salud, a la vida sexual y los datos biométricos. A los datos de niños, niñas y adolescentes se les aplica el mismo régimen de protección, y no se realiza tratamiento que pueda afectar su desarrollo físico, mental o emocional.

2.9 Dato biométrico: dato sensible derivado de características físicas o fisiológicas del titular, como huella dactilar, iris, voz, rostro, fotografías o videos.

2.10 Derecho de hábeas data: derecho constitucional de toda persona a conocer, actualizar, rectificar, suprimir o revocar la autorización sobre los datos que reposen en bases de datos públicas o privadas.

2.11 Encargado del tratamiento: persona natural o jurídica que realiza el tratamiento de datos por cuenta del responsable.

2.12 Grupos de interés: conjunto de personas naturales cuyos datos personales son tratados por Arrubla Devis o sus encargados.

2.13 PQR: peticiones, quejas o reclamos de los titulares en materia de protección de datos.

2.14 Protección de Datos: la persona a quien Arrubla Devis ha asignado la función de protección de datos personales del artículo 2.2.2.25.4.4 del Decreto 1074 de 2015. Atiende las consultas y los reclamos de los titulares y verifica el cumplimiento de la normativa de protección de datos.

2.15 Responsable del tratamiento: persona que decide sobre la base de datos y el tratamiento. Para esta política, Arrubla Devis Asociados S.A.S.

2.16 Titular: persona natural cuyos datos personales son objeto de tratamiento.

2.17 Transferencia: envío de datos personales del responsable a otro responsable ubicado dentro o fuera del país.

2.18 Transmisión: comunicación de datos personales al encargado del tratamiento por cuenta del responsable, dentro o fuera del país.

2.19 Tratamiento: cualquier operación sobre datos personales, como: recolección, almacenamiento, uso, circulación, actualización, supresión, transmisión o transferencia.

3. Principios del tratamiento

Arrubla Devis trata datos personales con fundamento en los siguientes principios:

3.1 Legalidad. El tratamiento se sujeta a lo dispuesto en la ley y las normas que la desarrollan.

3.2 Finalidad. El tratamiento obedece a una finalidad legítima, determinada y explícita, informada al titular.

3.3 Libertad. El tratamiento se realiza solo con el consentimiento previo, expreso e informado del titular, salvo excepción legal.

3.4 Veracidad o calidad. La información es veraz, completa, exacta, actualizada, comprobable y comprensible.

3.5 Transparencia. Se garantiza al titular el derecho a obtener información clara sobre el tratamiento de sus datos.

3.6 Acceso y circulación restringida. El tratamiento se sujeta a los límites que impone la naturaleza de los datos y las disposiciones legales.

3.7 Seguridad. Se adoptan las medidas técnicas, humanas y administrativas necesarias para proteger los datos personales, conforme a la Política de Seguridad de la Información de Arrubla Devis.

3.8 Confidencialidad. Todas las personas que intervienen en el tratamiento están obligadas a garantizar la reserva de la información.

3.9 Necesidad. El tratamiento se limita a los datos pertinentes, adecuados y estrictamente necesarios para las finalidades informadas.

3.10 Responsabilidad demostrada. Arrubla Devis adopta medidas apropiadas, efectivas y verificables para cumplir sus obligaciones en materia de protección de datos y está en capacidad de demostrarlas ante la Superintendencia de Industria y Comercio, conforme a los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto 1074 de 2015.

4. Disposición general sobre el tratamiento

4.1 Operaciones de tratamiento. Arrubla Devis –en calidad de responsable o encargado del tratamiento– recolecta, almacena, usa, circula, actualiza, suprime o realiza cualquier otra operación sobre los datos personales de sus grupos de interés, conforme a la legislación vigente y las buenas prácticas en protección de datos.

4.2 Casos en que no se requiere autorización. Conforme al artículo 10 de la Ley 1581 de 2012, no se necesita autorización del titular cuando la información es requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; cuando se trata de datos de naturaleza pública; en casos de urgencia médica o sanitaria; para el tratamiento autorizado por la ley con fines históricos, estadísticos o científicos; y cuando se trata de datos relacionados con el Registro Civil de las personas.

4.3 Prueba de la autorización. Arrubla Devis obtiene la autorización por escrito, de forma oral o mediante conductas inequívocas del titular, y conserva prueba de ella. En los formularios del sitio web, la autorización queda registrada con su fecha y hora, el texto del aviso que se mostró al titular y el medio por el que la otorgó.

5. Finalidades del tratamiento de datos

5.1 Finalidades generales. Las siguientes finalidades aplican a todos los grupos de interés:

Transmitir, transferir, almacenar y custodiar información en archivos físicos o servidores propios o de terceros, dentro o fuera del país.
Registrar y controlar la entrada y salida de documentos.
Convocar y ejecutar programas, reuniones, simulacros, capacitaciones y eventos, y conservar registros documentales (listas de asistencia, fotografías, grabaciones de voz o video) que pueden usarse en medios de comunicación internos o externos (carteleras, sitio web, redes sociales, informes o correos electrónicos, sin limitarse a estos), incluso para fines publicitarios.
Elaborar y aplicar encuestas o entrevistas.
Enviar comunicaciones sobre actividades de Arrubla Devis o de aliados estratégicos, incluyendo información institucional, promociones, eventos, contenido jurídico y beneficios, a través de medios físicos, digitales o electrónicos.
Realizar controles, estadísticas e históricos sobre las relaciones con titulares.
Generar indicadores internos y servir como base para la toma de decisiones.
Registrar y controlar el acceso a las instalaciones.
Monitorear mediante sistemas de videovigilancia, conforme al aviso de videovigilancia de Arrubla Devis.
Velar por la seguridad física de instalaciones y personas, y atender emergencias.
Apoyar procesos de auditoría interna o externa, revisoría fiscal, consultoría y mejora continua.
Implementar y cumplir las normas sobre prevención de delitos financieros y corrupción.
Presentar reportes y responder requerimientos de autoridades competentes.
Presentar demandas, denuncias o ejercer defensa en procesos administrativos o judiciales.
Cumplir obligaciones derivadas de contratos con titulares, contratantes o empleadores.
Gestionar aspectos corporativos, contables, financieros y tributarios, entre otros.
Atender peticiones, quejas o reclamos.
Expedir pólizas o garantías.
Aplicar las finalidades indicadas en la autorización del titular, en los avisos de privacidad y en las normas vigentes.

5.2 Finalidades para accionistas.

Convocar y desarrollar reuniones ordinarias o extraordinarias de la asamblea de accionistas.
Elaborar, registrar y conservar actas de reuniones y libros de registro de accionistas.
Expedir, cancelar o actualizar títulos de acciones.
Divulgar la calidad de accionista cuando sea necesario, por ejemplo, para procesos de vinculación.
Decretar y pagar dividendos.

5.3 Finalidades para aspirantes, empleados, practicantes, aprendices y sus familias.

Recolectar hojas de vida (enviadas directamente por el titular o por terceros autorizados), desarrollar procesos de selección, realizar entrevistas, pruebas psicotécnicas u ocupacionales, validar y analizar referencias y antecedentes, conservar hojas de vida y resultados de selección para futuros procesos, vincular contractualmente y realizar carnetización u otorgar accesos.
Controlar prórroga, renovación y terminación de contratos, asignar funciones, gestionar nómina, descuentos autorizados, seguridad social, liquidaciones, licencias, permisos, procesos disciplinarios, llamados de atención, certificados laborales y referencias laborales.
Registrar información de empleados activos, inactivos o pensionados y sus familias o beneficiarios, para trámites de nómina, seguridad social, liquidaciones, primas, bonificaciones y vacaciones.
Ejecutar actividades de clima laboral, cultura organizacional, gestionar riesgo psicosocial y bienestar para empleados y sus familias, programar capacitaciones y evaluaciones de desempeño, emitir y compartir constancias de capacitación o títulos educativos de los colaboradores a clientes o contratantes cuando sea necesario para la ejecución de contratos, gestionar las evaluaciones médicas ocupacionales, de las que Arrubla Devis solo recibe el certificado de aptitud, sin acceso a la historia clínica, gestionar dotación y activar contacto de emergencia en casos de accidente, enfermedad o eventualidad.
Realizar reservas hoteleras, tiquetes, viáticos y otros auxilios logísticos.
Suministrar información a clientes, contratistas o aliados para ejecución de contratos, verificar cumplimiento de normas laborales, SG-SST (perfil sociodemográfico, ausentismo, accidentalidad, inspecciones, seguimiento a compromisos, etc.), crear y administrar accesos a plataformas digitales, y transferir comprobantes de pago de seguridad social.

5.4 Finalidades para clientes y sus colaboradores. Aplica a clientes potenciales, actuales o antiguos, personas que han suministrado datos a través del sitio web o redes sociales, y sus colaboradores:

Ofrecer los servicios de Arrubla Devis o de aliados estratégicos.
Enviar propuestas de prestación de servicios.
Ejecutar las actividades de asesoría jurídica o representación judicial contratadas.
Responder comunicaciones o solicitudes y gestionar el proceso de facturación.
Enviar información comercial, publicidad, actualizaciones normativas o boletines jurídicos.
Recuperar cartera mediante cobro persuasivo, extrajudicial o judicial.
Fidelizar clientes mediante estrategias de retención.
Analizar comportamiento, necesidades e intereses para segmentar el mercado.
Consultar y reportar información comercial, financiera y crediticia ante centrales de riesgo, operadores o administradores de bases de datos o entidades financieras y crediticias legalmente autorizadas.
Identificar deudores y codeudores.
Transmitir datos a encargados del tratamiento conforme a las finalidades anteriores.

5.5 Finalidades para proveedores, contratistas y sus colaboradores.

Solicitar y analizar cotizaciones, invitar a procesos de contratación, verificar requisitos jurídicos, técnicos y financieros, solicitar referencias o certificados a terceros, expedir certificados de experiencia, suscribir y administrar contratos.
Cumplir obligaciones contractuales, contactar a los contratistas, proveedores o sus colaboradores para el desarrollo de las actividades contratadas, gestionar pagos, evaluar desempeño, verificar cumplimiento de normas laborales, de seguridad social y SG-SST y de protección de datos personales.
Programar ejecución de actividades o capacitaciones, gestionar reclamaciones, coordinar logística de traslados, transferir comprobantes de pago e implementar estrategias de fidelización de contratistas y proveedores.

6. Tratamiento mediante inteligencia artificial

6.1 Medio de tratamiento. Arrubla Devis puede tratar datos personales mediante herramientas o sistemas basados en inteligencia artificial (IA), incluyendo tecnologías de aprendizaje automático, modelos generativos, analítica avanzada, automatización y otras tecnologías afines, con el propósito de apoyar, optimizar o ejecutar procesos de gestión administrativa, comercial, operativa, jurídica, financiera, tecnológica, de talento humano, de atención al cliente, de seguridad de la información y de cumplimiento normativo. El uso de estas herramientas no constituye una finalidad adicional ni autoriza tratamientos distintos de los informados al titular.

6.2 Operaciones. En ese marco, la inteligencia artificial puede utilizarse para el análisis, clasificación, organización, extracción, validación, estructuración, correlación, anonimización o seudonimización de información; automatización o apoyo en procesos; generación de documentos, respuestas o contenidos; análisis predictivo, descriptivo o prescriptivo; detección de riesgos, anomalías, fraudes o incumplimientos; apoyo en la toma de decisiones; optimización de procesos; elaboración de estadísticas e indicadores; asistencia virtual; búsqueda y recuperación de información, y mejora de productos o servicios.

6.3 Garantías en decisiones con efectos jurídicos. Cuando el tratamiento implique decisiones que produzcan efectos jurídicos o afecten significativamente los intereses del titular, Arrubla Devis debe adoptar las medidas necesarias para garantizar la intervención humana cuando resulte exigible por la normativa aplicable, así como la transparencia, seguridad, trazabilidad, proporcionalidad y protección de los derechos de los titulares. Cuando el uso de inteligencia artificial implique la elaboración de perfiles, toma de decisiones automatizadas o el tratamiento de datos sensibles, Arrubla Devis debe informarlo previamente al titular y, cuando se requiera, obtener su autorización.

6.4 Anonimización y uso responsable. El tratamiento de datos personales mediante herramientas de inteligencia artificial se rige por la Política de IA y Tecnología de Arrubla Devis. Los datos deben anonimizarse antes de ingresarlos a cualquier herramienta de IA, salvo que esta ofrezca garantías verificables de no aprendizaje y privacidad. La anonimización o seudonimización asistida por inteligencia artificial, prevista en el literal de operaciones, solo puede realizarse en herramientas que ofrezcan esas garantías; en cualquier otra herramienta, los datos deben ingresarse ya anonimizados. Está prohibido ingresar datos personales de clientes a herramientas públicas sin contrato de confidencialidad.

6.5 Evaluación previa. Antes de implementar un sistema de inteligencia artificial que trate datos personales, Arrubla Devis pondera su idoneidad, necesidad, razonabilidad y proporcionalidad y, cuando el tratamiento implique un riesgo alto para los titulares, realiza y documenta una evaluación de impacto en la privacidad que describa las operaciones, los riesgos y las medidas de mitigación, conforme a la Circular Externa 002 de 2024 de la Superintendencia de Industria y Comercio. Ante la falta de certeza sobre un daño potencial, Arrubla Devis se abstiene de usar la herramienta o adopta medidas preventivas. Los datos personales disponibles en internet no se consideran públicos por ese solo hecho.

7. Datos sensibles

7.1 Condiciones del tratamiento. Arrubla Devis solo puede tratar datos sensibles en los casos del artículo 6 de la Ley 1581 de 2012: cuando el titular otorga autorización explícita, salvo que la ley no la exija; cuando el tratamiento es necesario para salvaguardar un interés vital del titular que esté física o jurídicamente incapacitado; cuando se refiere a datos necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial; o cuando tiene una finalidad histórica, estadística o científica y se suprime la identidad del titular. Al momento de recolectar datos sensibles, Arrubla Devis debe informar al titular que no está obligado a autorizar su tratamiento y cuáles de los datos solicitados tienen carácter sensible. Ninguna actividad puede condicionarse a que el titular suministre datos sensibles.

7.2 Clasificación y protección reforzada. Los datos sensibles se rigen por los niveles de clasificación de la Política de Seguridad de la Información y reciben protección reforzada: acceso restringido y etiquetado acorde a su naturaleza.

7.3 Datos de niños, niñas y adolescentes. Arrubla Devis solo puede tratar datos de menores de edad cuando el tratamiento responde al interés superior del niño, se garantiza el respeto de sus derechos fundamentales y se cuenta con autorización expresa de su representante legal, otorgada previo ejercicio del derecho del menor a ser escuchado, cuya opinión se valora según su madurez, autonomía y capacidad de entender el asunto. El tratamiento debe limitarse a los datos estrictamente necesarios y deben adoptarse medidas especiales de seguridad. Esta restricción no se aplica a los datos de naturaleza pública.

7.4 Datos biométricos. Arrubla Devis recolecta y trata datos biométricos cuando se requieren para controlar el ingreso físico a instalaciones o el acceso a plataformas digitales, verificar la identidad del titular o garantizar la seguridad de personas, activos e información. Estos datos deben tratarse bajo medidas estrictas de seguridad física, técnica y jurídica, y su uso debe limitarse a las finalidades informadas.

8. Transmisión y transferencia

8.1 Transmisión. La transmisión consiste en la comunicación de datos personales por parte de Arrubla Devis, en calidad de Responsable, a un tercero encargado del tratamiento dentro o fuera de Colombia, para que los trate por cuenta de Arrubla Devis conforme a las finalidades autorizadas. Toda transmisión debe realizarse bajo contratos que establezcan: alcance del tratamiento, obligaciones de confidencialidad y seguridad, prohibición de uso para finalidades no autorizadas, medidas de seguridad exigidas y condiciones para la devolución o supresión de los datos.

8.2 Transferencia. La transferencia consiste en el envío de datos personales a otro responsable del tratamiento, ubicado dentro o fuera de Colombia. La transferencia internacional solo procede hacia países que proporcionen niveles adecuados de protección según la Superintendencia de Industria y Comercio (SIC), en los casos exceptuados por el artículo 26 de la Ley 1581 de 2012 —entre ellos, la autorización expresa e inequívoca del titular, las transferencias necesarias para la ejecución de un contrato entre el titular y Arrubla Devis y las necesarias para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial— o con declaración de conformidad de la SIC.

8.3 Obligaciones. Arrubla Devis debe informar al titular sobre el hecho y la finalidad del envío de los datos, limitar el tratamiento al mínimo necesario, exigir a los terceros receptores el cumplimiento de los principios y medidas de seguridad de la ley, y conservar evidencia de las autorizaciones otorgadas. La transmisión internacional a un encargado no requiere ser informada al titular ni contar con su autorización cuando exista un contrato de transmisión en los términos de los artículos 2.2.2.25.5.1 y 2.2.2.25.5.2 del Decreto 1074 de 2015.

9. Medidas de protección, seguridad y videovigilancia

9.1 Alcance de las medidas. Arrubla Devis adopta medidas técnicas, humanas, jurídicas y administrativas para proteger los datos personales bajo su custodia y garantizar su confidencialidad, integridad, disponibilidad y autenticidad, conforme a la Política de Seguridad de la Información. Estas medidas buscan prevenir el acceso no autorizado, el uso indebido o fraudulento, la alteración, la pérdida, la sustracción o la destrucción de los datos.

9.2 Proporcionalidad y control de acceso. Las medidas de seguridad se implementan atendiendo al tipo de dato tratado, el volumen de la base de datos y el nivel de riesgo asociado al tratamiento. El acceso a los datos personales está limitado al personal autorizado, en función de sus responsabilidades y necesidades operativas, y se controla mediante políticas de contraseñas, autenticación multifactor, restricción de perfiles y protocolos de auditoría. Los datos personales se clasifican conforme a los niveles de la Política de Seguridad de la Información: pública, interna, confidencial o reservada. Todo el personal con acceso a datos personales conoce y acata los principios de protección de datos, está sujeto a cláusulas de confidencialidad y recibe capacitación sobre la normatividad aplicable.

9.3 Videovigilancia. Arrubla Devis mantiene un aviso de videovigilancia visible en sus instalaciones.

10. Derechos de los titulares

10.1 Derechos. Los titulares de datos personales tratados por Arrubla Devis tienen los siguientes derechos:

Conocer sus datos personales objeto de tratamiento frente a responsables y encargados.
Acceder gratuitamente a sus datos al menos una vez por mes calendario, o cada vez que existan modificaciones sustanciales a esta política.
Actualizar y rectificar sus datos cuando sean parciales, inexactos, incompletos o induzcan a error.
Solicitar prueba de la autorización otorgada, salvo excepción legal.
Ser informado sobre el uso que se da a sus datos.
Revocar la autorización y solicitar la supresión de los datos, cuando se determine que no se respetaron los principios, derechos y garantías constitucionales y legales.
Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a las normas de protección de datos, una vez agotado el trámite interno.
Negarse al tratamiento de datos sensibles o de menores de edad, salvo cuando sea obligatorio por ley o necesario para la ejecución de una relación jurídica válida.

10.2 Limitaciones al ejercicio de derecho. El ejercicio de los derechos puede limitarse cuando exista una obligación legal que persista, el titular tenga un deber legal o contractual de permanecer en la base de datos, o exista un procedimiento legal vigente que requiera conservar los datos. En estos casos, Arrubla Devis debe informar al titular sobre las limitaciones y su fundamento.

10.3 Legitimación. Pueden ejercer los derechos el titular, acreditando su identidad; sus causahabientes, acreditando esa calidad; su representante o apoderado, previa acreditación de la representación o del apoderamiento; y quien actúe por estipulación a favor de otro o para otro. Los derechos de los niños, niñas y adolescentes los ejercen quienes estén facultados para representarlos.

11. Consultas

11.1 Presentación de la consulta. Los titulares pueden presentar consultas para conocer la información que sobre ellos reposa en las bases de datos de Arrubla Devis. La solicitud debe contener: identificación del titular, descripción clara y precisa de la solicitud, y datos de contacto para la respuesta.

11.2 Término de respuesta. Arrubla Devis debe responder dentro de los diez (10) días hábiles siguientes a la recepción. Si no es posible atenderla en ese plazo, debe informarse al titular antes del vencimiento del término, indicando las razones e indicando la fecha de respuesta, que no puede superar cinco (5) días hábiles adicionales.

12. Reclamos

12.1 Presentación del reclamo. Cuando el titular considere que su información debe ser corregida, actualizada o suprimida, o que se ha incumplido algún deber legal, puede presentar un reclamo dirigido a Protección de Datos. El reclamo debe contener: identificación del titular, descripción de los hechos, dirección y datos de contacto, y documentos de soporte. Si quien recibe el reclamo no es competente para resolverlo, lo traslada a quien corresponda en un término máximo de dos (2) días hábiles e informa de ello al titular.

12.2 Subsanación. Si el reclamo está incompleto, debe requerirse al titular dentro de los cinco (5) días siguientes para que lo subsane. Si no lo hace en los dos (2) meses siguientes, se entiende que ha desistido.

12.3 Leyenda de reclamo en trámite. Una vez recibido el reclamo completo, Arrubla Devis debe incluir en la base de datos una leyenda que indique “reclamo en trámite” y el motivo, en un término no mayor a dos (2) días hábiles. La leyenda debe mantenerse hasta que el reclamo sea decidido.

12.4 Término de respuesta. El reclamo debe atenderse dentro de los quince (15) días hábiles siguientes a su recepción completa. Si no es posible resolverlo en ese término, debe informarse al titular indicando las razones y la fecha estimada de respuesta, que no puede superar ocho (8) días hábiles adicionales.

13. Revocatoria, supresión y trámite previo ante la Superintendencia

13.1 Procedencia. El titular puede solicitar en cualquier momento la supresión de sus datos o la revocatoria de la autorización otorgada. La revocatoria y la supresión proceden de forma directa cuando el titular no tenga un deber legal o contractual de permanecer en la base de datos. Asimismo, proceden cuando la Superintendencia de Industria y Comercio haya determinado que el responsable o encargado ha incurrido en conductas contrarias a la Ley 1581 de 2012 y a la Constitución.

13.2 Improcedencia. La solicitud no procede cuando el titular tenga un deber legal o contractual de permanecer en la base de datos. En estos casos, Arrubla Devis debe tramitar la solicitud conforme al procedimiento de reclamos.

13.3 Agotamiento previo. El titular solo puede presentar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo directamente ante Arrubla Devis.

14. Canales de atención y reclamos

14.1 Medios de atención. Los titulares pueden ejercer sus derechos a través de los siguientes medios:

Correo electrónico: protecciondedatos@arrubladevis.com
Atención presencial: sede principal de Arrubla Devis (Carrera 37 No. 2 sur – 34, Medellín; o Calle 70 Bis No. 4 – 54, Bogotá), de lunes a viernes, de 9:00 a. m. a 5:00 p. m. Teléfono: 604 3229884 (Medellín) y 601 4824084 (Bogotá).
Responsable de atención: Protección de Datos, a quien Arrubla Devis ha asignado la función de protección de datos personales, y a quien puede escribirse a protecciondedatos@arrubladevis.com.

14.2 Canales de reclamos. Los titulares pueden presentar quejas o reclamos sobre el tratamiento de sus datos a través de:

Correo de protección de datos: protecciondedatos@arrubladevis.com
Canal Ético: lineaetica@arrubladevis.com
Solicitud escrita en las oficinas de Arrubla Devis.
Ante la Superintendencia de Industria y Comercio, previo agotamiento del trámite interno.

15. Deberes del responsable y de los encargados

15.1 Deberes legales. En su condición de responsable del tratamiento, y conforme al artículo 17 de la Ley 1581 de 2012, corresponde a Arrubla Devis:

Garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
Solicitar y conservar, por cualquier medio y en las condiciones previstas en la Ley 1581 de 2012, copia de la autorización otorgada por el titular.
Informar debidamente al titular sobre la finalidad de la recolección y los derechos que le asisten en virtud de la autorización otorgada.
Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Garantizar que la información suministrada al encargado del tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible.
Actualizar la información, comunicando oportunamente al encargado del tratamiento todas las novedades sobre los datos que previamente le haya suministrado.
Rectificar la información cuando sea incorrecta y comunicar lo pertinente al encargado del tratamiento.
Suministrar al encargado del tratamiento únicamente datos cuyo tratamiento esté previamente autorizado conforme a la Ley 1581 de 2012.
Exigir al encargado del tratamiento, en todo momento, el respeto de las condiciones de seguridad y privacidad de la información del titular.
Tramitar las consultas y los reclamos en los términos señalados en la Ley 1581 de 2012.
Adoptar un manual interno de políticas y procedimientos para garantizar el cumplimiento de la Ley 1581 de 2012 y, en especial, la atención de consultas y reclamos.
Informar al encargado del tratamiento cuando determinada información se encuentre en discusión por el titular, una vez presentada la reclamación y mientras no haya finalizado el trámite.
Informar, a solicitud del titular, sobre el uso dado a sus datos.
Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares.
Cumplir las instrucciones y los requerimientos que imparta la Superintendencia de Industria y Comercio.

15.2 Deberes de los encargados. Conforme al artículo 18 de la Ley 1581 de 2012, corresponde a quien trate datos personales por cuenta de Arrubla Devis:

Cumplir, en el desarrollo de las actividades contratadas, esta política y los procedimientos, guías y directrices que imparta Arrubla Devis en materia de protección de datos personales.
Adoptar, según las instrucciones de Arrubla Devis, las medidas técnicas, humanas y administrativas necesarias para dar seguridad a los registros y evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Implementar una política de protección de datos personales ajustada a las normas que regulan la materia.
Dar tratamiento a los datos personales conforme a las instrucciones expresas de Arrubla Devis, absteniéndose de usarlos para fines distintos de los contratados.
Abstenerse de suministrar, ceder o comercializar los datos personales con terceros, salvo que sean de naturaleza pública sin sujeción a reserva o que los requiera una autoridad competente en ejercicio de sus funciones legales.
Guardar estricta confidencialidad sobre los datos personales a los que acceda en ejercicio de las actividades contratadas, y cumplir el deber de guarda y custodia durante la vigencia del contrato y después de su terminación.
Acceder o consultar la información que repose en las bases de datos de Arrubla Devis únicamente cuando sea estrictamente necesario para el ejercicio de las actividades contratadas.
Reportar a Arrubla Devis, de manera inmediata a su materialización o al momento en que llegue a su conocimiento, cualquier incidente o amenaza de incidente que afecte o pueda afectar la protección de datos personales.
Garantizar en todo tiempo el pleno y efectivo ejercicio del derecho de hábeas data de los titulares, así como el debido proceso cuando se presenten peticiones, consultas o reclamos.
Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la Ley 1581 de 2012.
Actualizar la información reportada por Arrubla Devis dentro de los cinco (5) días hábiles siguientes a su recibo.
Adoptar un manual interno de políticas y procedimientos para garantizar el cumplimiento de la Ley 1581 de 2012 y, en especial, la atención de consultas y reclamos.
Abstenerse de circular información que esté siendo controvertida por el titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio.
Permitir el acceso a la información únicamente a las personas autorizadas para ello.
Cumplir las instrucciones y los requerimientos que imparta la Superintendencia de Industria y Comercio.
Cuando recolecte datos por cuenta de Arrubla Devis, solicitar la autorización de los titulares en los casos en que se requiera, conforme a la Ley 1581 de 2012.

16. Sitio web, cookies y redes sociales

16.1 Ausencia de cookies y de rastreo. El sitio web de Arrubla Devis no instala cookies ni emplea tecnologías de rastreo, y no incorpora servicios de analítica, publicidad o medición de terceros. Si se incorporan cookies no esenciales, Arrubla Devis debe informarlo mediante un aviso visible al ingresar al sitio y recabar la autorización previa del usuario, quien puede revocarla en cualquier momento.

16.2 Publicación responsable. Cuando Arrubla Devis publica contenido en redes sociales, lo hace a partir de la información que el titular haya hecho pública o haya autorizado, y respeta la privacidad de las personas.

17. Registro Nacional de Bases de Datos y conservación

17.1 Inscripción y actualización. Arrubla Devis debe inscribir y mantener actualizadas sus bases de datos ante el Registro Nacional de Bases de Datos de la Superintendencia de Industria y Comercio cuando sus activos totales superen cien mil (100.000) unidades de valor tributario, conforme al Decreto 1074 de 2015, modificado por el Decreto 090 de 2018. Protección de Datos verifica cada año, con los estados financieros de cierre, si Arrubla Devis alcanza ese umbral.

17.2 Plazo de conservación. Arrubla Devis debe retener los datos personales únicamente durante el tiempo necesario para cumplir las finalidades para las cuales fueron recopilados y el tiempo requerido por obligaciones legales. Los plazos de conservación se definen por categoría de dato y finalidad en la tabla de retención documental del Manual de Gestión y Seguridad Documental AD 2026. Los datos contractuales, contables y tributarios se conservan al menos durante los plazos legales aplicables contados desde la finalización de la relación; las demás categorías se suprimen cuando cesan las finalidades que motivaron su recolección. Transcurrido el plazo, los datos deben ser destruidos o anonimizados conforme al Manual de Gestión y Seguridad Documental AD 2026, salvo obligación legal de retención mayor.

18. Incidentes, auditoría y régimen disciplinario

18.1 Respuesta a incidentes. Si Arrubla Devis detecta un incidente que comprometa datos personales, debe tomar acciones oportunas para mitigar el daño, notificar a los titulares afectados conforme a los niveles de severidad de la Política de Seguridad de la Información, reportarlo a la Superintendencia de Industria y Comercio dentro de los quince (15) días hábiles siguientes a su detección, aun cuando Arrubla Devis no esté obligada a inscribir sus bases de datos, y documentar el incidente y las medidas correctivas. El procedimiento se rige por el Protocolo de Respuesta a Incidentes de Datos Personales AD 2026 (AD-PRO-010).

18.2 Auditorías anuales. Arrubla Devis debe realizar auditorías anuales de protección de datos para verificar la implementación de controles de seguridad, el cumplimiento de los principios de tratamiento, la respuesta oportuna a solicitudes y la identificación de áreas de mejora.

18.3 Régimen aplicable. El incumplimiento de esta política por empleados se tramita conforme al régimen disciplinario del Reglamento Interno de Trabajo. Sin perjuicio de lo anterior, el incumplimiento que cause perjuicio a un titular o a un tercero puede generar responsabilidad civil, disciplinaria o penal.

19. Modificaciones y vigencia

19.1 Facultad de modificación. Arrubla Devis puede modificar esta política en cualquier momento para ajustarse a cambios normativos, jurisprudenciales u organizacionales. Cuando los cambios sean sustanciales y puedan afectar los derechos de los titulares, deben informarse antes de su implementación mediante publicación en la página web de Arrubla Devis y comunicación directa al titular por los medios registrados. Cuando el cambio se refiera a la finalidad del tratamiento, Arrubla Devis debe obtener del titular una nueva autorización, conforme al inciso tercero del artículo 2.2.2.25.2.2 del Decreto 1074 de 2015.

19.2 Entrada en vigencia. Esta política (v. 4.0) entra en vigencia el 13 de octubre de 2026, fecha de su publicación en el sitio web de Arrubla Devis. Sustituye la v. 3.0, vigente desde el 27 de junio de 2025.