Política de tratamiento de datos personales

1. Quiénes somos y cómo contactarnos

SÁNCHEZ & GARCÍA L&B S.A.S. BIC (en adelante "la Firma") es una sociedad por acciones simplificada de beneficio e interés colectivo, domiciliada en Cali (Valle del Cauca), que presta servicios jurídicos y de gestión de negocios. La Firma es responsable del tratamiento de los datos personales descritos en esta política.

Esta política se publica de forma permanente en www.sanchezgarcia.co/proteccion-de-datos y está disponible en las oficinas de la Firma.

2. Para qué sirve esta política y a quién se aplica

Esta política desarrolla el derecho fundamental del artículo 15 de la Constitución Política y da cumplimiento a la Ley 1581 de 2012, al Capítulo 25 del Título 2 de la Parte 2 del Libro 2 del Decreto 1074 de 2015 y a las instrucciones de la Superintendencia de Industria y Comercio contenidas en el Título V de su Circular Única.

Se aplica a todas las bases de datos y archivos, físicos o digitales, que contengan datos personales de personas naturales y respecto de los cuales la Firma decida las finalidades y los medios del tratamiento, es decir, aquellos en los que actúa como responsable.

Esta política no se aplica cuando la Firma actúa como encargada. Cuando un cliente entrega a la Firma bases de datos personales para que las trate siguiendo sus instrucciones y para las finalidades que ese cliente define, quien responde por esas finalidades es el cliente, y la Firma se somete a la política de tratamiento de ese cliente y al contrato de encargo suscrito entre las dos partes. La delimitación entre uno y otro papel, asunto por asunto, está en el documento interno de delimitación de roles que forma parte del Programa Integral de Gestión de Datos Personales de la Firma.

Tampoco sustituye el secreto profesional. La información que la Firma conoce en ejercicio de la profesión de abogado está amparada además por los artículos 28 numeral 9 y 34 literal f de la Ley 1123 de 2007. Cuando el régimen de protección de datos y el secreto profesional se crucen, se aplica el más estricto de los dos.

3. Definiciones

Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Dato sensible: el que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación, como el que revela origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos u organizaciones sociales o de derechos humanos, así como los datos de salud, de vida sexual y los biométricos.

Titular: la persona natural cuyos datos son objeto de tratamiento.

Responsable del tratamiento: quien decide sobre la base de datos, sobre el tratamiento, o sobre los fines y condiciones del tratamiento.

Encargado del tratamiento: quien trata datos personales por cuenta de un responsable y siguiendo sus instrucciones.

Tratamiento: cualquier operación sobre datos personales, como la recolección, el almacenamiento, el uso, la circulación o la supresión.

Transmisión: la comunicación de datos personales a un encargado, dentro o fuera de Colombia, para que los trate por cuenta del responsable.

Transferencia: el envío de datos personales a un receptor que a su vez es responsable del tratamiento, dentro o fuera de Colombia.

Autorización: el consentimiento previo, expreso e informado del titular para el tratamiento de sus datos.

Aviso de privacidad: la comunicación que informa al titular la existencia de esta política, cómo acceder a ella y las finalidades del tratamiento.

4. Principios

La Firma aplica de manera armónica los principios del artículo 4 de la Ley 1581 de 2012: legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.

Sobre el principio de finalidad, la Firma adopta una regla adicional propia: no recolecta datos personales que no necesite para el asunto que tiene entre manos, y en particular no pide datos sensibles cuando el asunto no los exige.

5. De quiénes tratamos datos

1. Clientes personas naturales, y personas naturales que actúan en nombre de clientes personas jurídicas: representantes legales, gerentes jurídicos, contactos operativos, firmantes, usuarios del portal.
2. Personas que nos contactan por el sitio web, por correo, por WhatsApp, por teléfono o en un evento, sin ser todavía clientes.
3. Terceros cuyos datos constan en un asunto: contrapartes, sus apoderados, testigos, trabajadores del cliente, beneficiarios, socios, proveedores del cliente y cualquier persona mencionada en los documentos del expediente.
4. Candidatos a vacantes y a prácticas.
5. Trabajadores actuales y anteriores, y sus familias y beneficiarios.
6. Contratistas, proveedores, abogados externos, corresponsales y peritos, cuando son personas naturales o cuando son personas jurídicas cuyos contactos son personas naturales.
7. Accionistas de la Firma.
8. Visitantes de las oficinas y del sitio web.

6. Para qué tratamos los datos

6.1 Finalidades comunes a todas las categorías

• Identificar al titular y verificar su identidad.
• Cumplir obligaciones legales, contables, tributarias y de reporte a autoridades.
• Atender requerimientos de autoridades administrativas y judiciales.
• Atender consultas, peticiones, quejas y reclamos.
• Conservar la evidencia del cumplimiento de esta política.
• Gestionar la seguridad de la información y de las instalaciones.
• Adelantar auditorías internas y externas.

6.2 Clientes y contactos de clientes

• Evaluar si la Firma puede aceptar el asunto, lo que incluye la verificación de conflictos de interés contra la lista de clientes y de contrapartes de la Firma.
• Adelantar la debida diligencia de conocimiento del cliente, incluida la consulta en listas restrictivas y de personas expuestas políticamente, y el cumplimiento de las obligaciones de prevención de lavado de activos y financiación del terrorismo que le resulten aplicables.
• Formalizar la relación: propuesta, contrato de prestación de servicios, poderes y actas.
• Prestar el servicio contratado y comunicarse sobre el asunto por los canales acordados.
• Facturar, recaudar, gestionar la cartera y llevar la contabilidad.
• Administrar el acceso al portal de cliente y a los expedientes electrónicos.
• Evaluar la calidad del servicio, incluida la medición de satisfacción al cierre de cada asunto.
• Conservar el expediente durante el término legal y profesional, y usarlo para la defensa de la Firma frente a reclamaciones, procesos disciplinarios o judiciales.

6.3 Personas que nos contactan sin ser clientes

• Responder la solicitud y decir si el asunto es de los que la Firma atiende.
• Elaborar y enviar una propuesta de servicios.
• Verificar conflictos de interés antes de sostener cualquier conversación sustantiva.
• Enviar comunicaciones comerciales y de contenido, únicamente si el titular lo autoriza de forma separada y en los términos de la Ley 2300 de 2023.

6.4 Terceros cuyos datos constan en un asunto

• Prestar el servicio jurídico contratado, lo que incluye estudiar, analizar, citar y aportar la información del asunto ante autoridades y contrapartes.
• Ejercer la defensa y la representación del cliente.
• Cumplir cargas procesales y probatorias.

El tratamiento de estos datos se apoya en la ejecución del encargo profesional y en el ejercicio de un derecho en actuaciones judiciales o administrativas. La Firma lo limita a lo estrictamente necesario para el asunto, no lo usa para ninguna otra finalidad y no incorpora a estas personas a sus bases comerciales.

6.5 Candidatos

• Adelantar el proceso de selección: recepción de hojas de vida, entrevistas, pruebas, calificación y verificación de referencias.
• Verificar antecedentes y la vigencia de la tarjeta profesional cuando el cargo lo exija.
• Conservar la hoja de vida para procesos futuros, solo si el candidato lo autoriza de forma separada.
• Documentar el proceso y su resultado.

6.6 Trabajadores

• Ejecutar el contrato de trabajo y cumplir las obligaciones laborales y de seguridad social.
• Liquidar y pagar nómina, prestaciones y beneficios.
• Afiliar al sistema de seguridad social al trabajador y a sus beneficiarios.
• Gestionar la seguridad y salud en el trabajo, incluidos exámenes ocupacionales e incapacidades.
• Ejercer la potestad disciplinaria del empleador.
• Administrar los accesos a los sistemas de la Firma y controlar su uso.
• Emitir certificaciones laborales y atender requerimientos sobre la relación laboral.

6.7 Contratistas, proveedores, abogados externos y corresponsales

• Contratar, ejecutar y liquidar la relación.
• Verificar idoneidad, tarjeta profesional, pólizas y afiliaciones.
• Verificar conflictos de interés cuando intervengan en un asunto.
• Procesar pagos, retenciones y obligaciones tributarias.

6.8 Accionistas

• Ejercer y proteger los derechos derivados de la calidad de accionista.
• Convocar y celebrar asambleas, llevar el libro de accionistas y pagar dividendos.
• Cumplir obligaciones societarias, cambiarias y tributarias.

6.9 Visitantes

• Controlar y registrar el ingreso a las oficinas.
• Garantizar la seguridad de las personas y de la información que reposa en las instalaciones.
• Medir el uso del sitio web mediante cookies y herramientas analíticas.

7. Datos sensibles

La Firma trata datos sensibles en cuatro situaciones y en ninguna otra:

1. Imagen y voz. Fotografía de perfil e imagen del trabajador y del contratista; imagen captada por las cámaras de seguridad de las oficinas; y voz, cuando se graban reuniones o llamadas con autorización previa.
2. Salud de trabajadores. Exámenes médicos ocupacionales, incapacidades, restricciones laborales y afiliaciones, en lo estrictamente necesario para cumplir la ley laboral y de seguridad social.
3. Datos sensibles contenidos en los asuntos de los clientes, cuando el asunto los exige. Ocurre de manera típica en asuntos laborales del empleador, donde el expediente puede contener historias clínicas, calificaciones de pérdida de capacidad laboral, afiliación sindical o información sobre condiciones de salud de trabajadores del cliente.
4. Datos biométricos de autenticación, si la Firma los llega a implementar para el acceso a sus sistemas.

Reglas que la Firma aplica a los datos sensibles:

• El titular no está obligado a autorizar su tratamiento. Así se le informa de manera expresa en cada formato de autorización, y la negativa no impide la prestación del servicio salvo que el dato sea indispensable para el asunto, caso en el cual se le explica por qué.
• La autorización es expresa, previa, informada y separada de la autorización general, y le indica al titular cuáles de los datos recolectados son sensibles.
• No se condiciona ninguna actividad a que el titular entregue datos sensibles que no sean estrictamente necesarios.
• Los datos sensibles se tratan con medidas de seguridad reforzadas, se identifican en el archivo y se separan del resto del expediente cuando es materialmente posible.
• Los datos sensibles que llegan dentro del asunto de un cliente no se incorporan a ninguna base comercial, no se usan para perfilamiento y no se transfieren a terceros por fuera de lo que el asunto exige.

8. Datos de niñas, niños y adolescentes

La Firma solo trata datos de menores cuando el tratamiento responde y respeta su interés superior y asegura sus derechos fundamentales, y previa autorización del representante legal, oída la opinión del menor cuando su madurez lo permita. Ocurre en dos casos: beneficiarios de trabajadores para efectos de seguridad social y beneficios, y menores mencionados en asuntos de clientes.

9. Datos financieros y de información tributaria

La Firma trata información económica, financiera y tributaria de clientes, contratistas y trabajadores para facturar, pagar, retener y cumplir obligaciones contables y fiscales. Esta información no es un dato sensible en los términos de la ley, pero es la que mayor daño causa si se divulga, y por eso la Firma la clasifica internamente en el nivel más alto de seguridad junto con los datos sensibles.

La Firma no reporta ni consulta información a operadores de bancos de datos de información financiera y crediticia, por lo que la Ley 1266 de 2008 no le resulta aplicable. Si en el futuro la Firma decide hacerlo, lo informará previamente a los titulares y ajustará esta política.

10. De dónde obtenemos los datos

• Directamente del titular, cuando nos escribe, nos llama, llena un formulario, firma un contrato o entrega documentos.
• De nuestros clientes, cuando entregan información de sus trabajadores, contrapartes, socios o terceros dentro de un asunto.
• De fuentes públicas y registros públicos: Registro Único Empresarial y Social, certificados de cámara de comercio, registros de instrumentos públicos, expedientes judiciales, registro de marcas, gacetas y boletines oficiales, así como perfiles profesionales publicados por el propio titular.
• De listas públicas de control, para la debida diligencia de conocimiento del cliente.
• Automáticamente, cuando se navega el sitio web, mediante cookies y herramientas analíticas que registran dirección IP, tipo de navegador, páginas visitadas y origen de la visita. El titular puede deshabilitar las cookies desde su navegador, con el efecto de que algunas funciones del sitio dejen de operar.

11. Autorización

La Firma solicita autorización previa, expresa e informada antes de tratar datos personales, salvo en los casos del artículo 10 de la Ley 1581 de 2012, que son: información requerida por una entidad pública en ejercicio de sus funciones o por orden judicial, datos de naturaleza pública, casos de urgencia médica o sanitaria, tratamiento autorizado por la ley para fines históricos, estadísticos o científicos, y datos relacionados con el Registro Civil de las personas.

Advertencia que la Firma hace expresamente, porque es donde más se equivocan los programas de cumplimiento en Colombia: la simple necesidad de ejecutar un contrato no es, por sí sola, una causal que exima de pedir autorización. Esa figura pertenece a otros ordenamientos. En Colombia la regla es la autorización, con las excepciones taxativas del artículo 10.

La autorización puede constar por escrito, en medio físico o electrónico, de forma oral, o mediante conductas inequívocas de las que se concluya que el titular consintió. La Firma conserva prueba de todas las autorizaciones que recibe y puede exhibirla a solicitud del titular o de la autoridad.

La autorización se pide una sola vez por titular y por finalidad. Si la Firma decide dar a los datos una finalidad nueva y distinta, pedirá una autorización nueva.

12. Derechos del titular

Todo titular tiene derecho a:

1. Conocer, actualizar y rectificar sus datos personales, de forma gratuita.
2. Solicitar prueba de la autorización que otorgó, salvo cuando la ley no la exija.
3. Ser informado sobre el uso que se le ha dado a sus datos.
4. Revocar la autorización o solicitar la supresión de sus datos, cuando no exista un deber legal o contractual que lo impida.
5. Acceder gratuitamente a sus datos, al menos una vez cada mes calendario y cada vez que haya cambios sustanciales en esta política.
6. Presentar quejas ante la Superintendencia de Industria y Comercio, una vez agotado el trámite de consulta o reclamo ante la Firma, como lo exige el artículo 16 de la Ley 1581 de 2012.

Estos derechos los ejerce el titular, sus causahabientes, su representante o apoderado, o quien esté legitimado por estipulación a favor de otro, acreditando en todos los casos su identidad o su representación.

Límite propio de una firma de abogados. El derecho de acceso y de supresión no permite a un tercero obtener, por esa vía, información amparada por el secreto profesional o que pertenezca al expediente de un cliente. Cuando una solicitud de un titular recaiga sobre información de esa naturaleza, la Firma responderá dentro de los términos de ley explicando qué parte de la solicitud atiende y cuál no puede atender, y por qué.

13. Cómo ejercer los derechos

Canales:

• Correo electrónico: protecciondedatos@sanchezgarcia.co, preferiblemente con el asunto "habeas data".
• Comunicación escrita radicada en la dirección de la Firma indicada en el numeral 1.

Consultas. La Firma responde dentro de los diez (10) días hábiles siguientes a la recepción. Si no le es posible, informa al interesado los motivos y la fecha en que atenderá la consulta, que en ningún caso supera los cinco (5) días hábiles siguientes al vencimiento del primer término.

Reclamos. El reclamo debe contener el nombre y la identificación del titular, la descripción de los hechos que lo motivan, la pretensión, y la dirección de contacto, acompañado de los documentos que se quieran hacer valer. Si está incompleto, la Firma requiere al interesado dentro de los cinco (5) días hábiles siguientes para que lo corrija; transcurridos dos (2) meses sin respuesta, se entiende que desistió. Una vez recibido el reclamo completo, la Firma incluye en la base de datos, dentro de los dos (2) días hábiles siguientes, la leyenda "reclamo en trámite" y el motivo, que se mantiene hasta que el reclamo se decida. La Firma responde dentro de los quince (15) días hábiles siguientes; si no le es posible, informa los motivos y la fecha de respuesta, que no supera los ocho (8) días hábiles siguientes al vencimiento del primer término.

Revocatoria y supresión. Se tramitan por el mismo procedimiento del reclamo. La revocatoria puede ser total o parcial: si el titular revoca solo para finalidades comerciales, la Firma deja de usar sus datos para eso y continúa el tratamiento para las demás finalidades autorizadas o exigidas por la ley.

Cuándo la supresión no procede. Cuando exista un deber legal o contractual de conservar el dato, cuando la supresión obstaculice actuaciones judiciales o administrativas, cuando el dato sea necesario para proteger intereses jurídicamente tutelados del titular, o cuando se requiera para el cumplimiento de una obligación legalmente adquirida. En el caso de la Firma, la conservación del expediente por deber profesional y para su propia defensa es una de esas causales, y así se le explica al titular cuando ocurre.

14. Encargados y transmisión de datos

La Firma se apoya en proveedores que tratan datos personales por su cuenta, entre ellos servicios de correo y ofimática en la nube, alojamiento e infraestructura, plataformas de gestión de asuntos, firma electrónica, envío de correo transaccional, contabilidad y nómina, y pasarelas de pago.

Con cada uno de ellos la Firma suscribe un contrato de transmisión de datos personales o incorpora un anexo de tratamiento que, como mínimo, obliga al encargado a tratar los datos solo para el servicio contratado y siguiendo instrucciones de la Firma, a guardar confidencialidad, a adoptar medidas de seguridad adecuadas, a no subcontratar sin autorización previa y escrita, a informar cualquier incidente de seguridad y cualquier solicitud de un titular, y a devolver o destruir los datos al terminar la relación.

La Firma mantiene un registro actualizado de sus encargados y subencargados.

15. Transferencia y transmisión internacional

La Firma envía datos personales fuera de Colombia en dos situaciones:

Primera, a sus proveedores de tecnología, cuyos servidores pueden estar ubicados en el exterior. Esos envíos son transmisiones a encargados y se rigen por los contratos descritos en el numeral anterior.

Segunda, a firmas de abogados y corresponsales en el exterior, señaladamente a ALGO Law Firm, con sede en Florida, Estados Unidos, con quien la Firma mantiene una relación de alianza, y a otros corresponsales cuando el asunto lo requiere. Esos envíos son transferencias a un tercero que actúa como responsable.

La Firma aplica el artículo 26 de la Ley 1581 de 2012 y las instrucciones de la Superintendencia de Industria y Comercio sobre transferencia internacional. En consecuencia, cada transferencia se ampara en uno de estos supuestos y así queda documentado en el expediente:

• El país de destino ha sido declarado por la Superintendencia como país que ofrece un nivel adecuado de protección.
• El titular ha otorgado su autorización expresa e inequívoca para la transferencia.
• La transferencia es necesaria para la ejecución de un contrato entre el titular y la Firma.
• La transferencia es legalmente exigida para salvaguardar el interés público, o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
• La Firma ha obtenido una declaración de conformidad de la Superintendencia sobre la transferencia.

Estados Unidos no figura en la lista de países declarados con nivel adecuado. Por eso la transferencia de datos personales hacia ALGO Law Firm y hacia corresponsales en ese país se apoya en la autorización expresa del titular, que la Firma recoge en el contrato de prestación de servicios y en el formato de autorización correspondiente, o en la necesidad de ejecutar el contrato con el titular, según el caso.

16. Uso de inteligencia artificial

La Firma usa herramientas de inteligencia artificial para apoyar su trabajo. Lo hace con las siguientes reglas, que desarrolla en detalle su política interna de uso de inteligencia artificial, adoptada conforme a los lineamientos de la Circular Externa 002 de 2024 de la Superintendencia de Industria y Comercio:

• Ningún dato personal se entrega a un proveedor de inteligencia artificial que no se haya obligado por escrito a no usarlo para entrenar sus modelos y a tratarlo como encargado bajo instrucciones de la Firma.
• La decisión jurídica es siempre humana. Ninguna herramienta automatizada decide sobre un asunto ni emite criterio jurídico frente a un titular o a un prospecto.
• Cuando la Firma atiende por canales automatizados, lo informa al titular y le indica que un abogado responderá su consulta.
• La información amparada por el secreto profesional solo se procesa en herramientas que cumplan las condiciones anteriores, y en el nivel de reserva que corresponda al asunto.
• El titular puede solicitar información sobre el uso de estas herramientas en el tratamiento de sus datos por los canales del numeral 13.

17. Seguridad de la información

La Firma adopta medidas técnicas, humanas y administrativas para otorgar seguridad a los datos personales y evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Entre ellas, control de acceso por usuario y contraseña con segundo factor, cifrado en tránsito, niveles de visibilidad por asunto, copias de respaldo, acuerdos de confidencialidad con todo el personal y los contratistas, archivo bajo llave de los documentos físicos, y un procedimiento documentado de gestión de incidentes.

La obligación de la Firma en materia de seguridad es una obligación de medio: se compromete a adoptar y mantener medidas adecuadas y proporcionales al riesgo, y a revisarlas periódicamente. La Firma no se exonera de responsabilidad por el incumplimiento de ese deber.

Si ocurre un incidente que afecte datos personales, la Firma lo registra, adopta las medidas correctivas, informa a los titulares afectados cuando el incidente pueda comprometer sus derechos, e informa a la autoridad cuando esté obligada a hacerlo.

18. Conservación de los datos

Los datos se conservan mientras dure la finalidad que justificó su recolección y, después, durante los términos que impongan la ley y el ejercicio profesional. En particular, los expedientes de los asuntos se conservan por el término de prescripción de las acciones que puedan derivarse de ellos y de las acciones de responsabilidad profesional, y los documentos contables y tributarios por los términos del Código de Comercio y del Estatuto Tributario. Cumplidos esos plazos, los datos se suprimen o se anonimizan de forma segura, conforme a la política interna de retención y supresión de la Firma.

19. Vigencia y cambios

Esta política rige desde el 29 de septiembre de 2026 y las bases de datos de la Firma tienen vigencia indefinida mientras subsistan las finalidades descritas y los deberes legales de conservación.

Los cambios no sustanciales se publican en el sitio web. Los cambios que afecten la identificación del responsable, las finalidades del tratamiento o los canales para el ejercicio de los derechos se comunican al titular antes de su implementación o a más tardar al momento de implementarlos, por el sitio web, por correo electrónico o por cualquier otro medio disponible. Cuando el cambio se refiera a la finalidad, la Firma pedirá una nueva autorización.

20. Normas aplicables

Artículo 15 de la Constitución Política · Ley 1581 de 2012 · Sentencia C-748 de 2011 de la Corte Constitucional · Decreto 1074 de 2015, Libro 2, Parte 2, Título 2, Capítulo 25, que compiló los decretos 1377 de 2013 y 886 de 2014 · Título V de la Circular Única de la Superintendencia de Industria y Comercio · Circular Externa 002 de 2024 de la misma entidad · Ley 1123 de 2007 · Ley 1273 de 2009 · Ley 2300 de 2023 · y las demás normas que las modifiquen, adicionen o sustituyan.