Actualizamos nuestra Política de Tratamiento de Datos Personales: la versión 1.3 rige desde el 17 de noviembre de 2026 e incorpora cookies con consentimiento por categoría, medición con Google Analytics solo si la aceptas y una casilla opcional de atribución en el formulario.

ColCiber S.A.S.
Agendar 15 minDiagnóstico sin costo
Legal · Habeas Data

Política de Tratamiento de Datos Personales

COLCIBER S.A.S.

Versión 1.3 — Aprobada por la Dirección de COLCIBER S.A.S. Vigente desde el 17 de noviembre de 2026.

1. Identificación del responsable del tratamiento

Campo Información
Razón social COLCIBER S.A.S.
NIT 900.859.705-6
Domicilio principal Cota (Cundinamarca), Colombia
Dirección de notificación y correspondencia física Lt San Francisco Of B 21 Et 1, Cota (Cundinamarca)
Correo electrónico para protección de datos protecciondedatos@colciber.co
Teléfonos de atención general 601 024 2802 – 300 234 6219
Sitio web https://colciber.co

La dirección indicada es la dirección de notificación y correspondencia física de COLCIBER. Toda solicitud relacionada con la protección de datos personales se atiende por los canales señalados en la sección 12 de esta política: el correo electrónico protecciondedatos@colciber.co o comunicación escrita dirigida a la dirección de notificación. Los teléfonos publicados son un canal de atención general; las solicitudes formuladas verbalmente por ese medio se documentarán por escrito y se tramitarán en los mismos términos y plazos previstos en la sección 12.

2. Presentación y marco normativo

COLCIBER S.A.S. (en adelante, “COLCIBER”), sociedad dedicada a la prestación de servicios de ciberseguridad, en cumplimiento del artículo 15 de la Constitución Política, la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto Único 1074 de 2015) y las instrucciones de la Superintendencia de Industria y Comercio (SIC), adopta la presente Política de Tratamiento de Datos Personales.

Esta política aplica igualmente lo dispuesto en la Ley 2300 de 2023 y sus normas reglamentarias en materia de canales, días y horarios de contacto comercial. En lo pertinente, se aplican también la Ley 1266 de 2008 y la jurisprudencia constitucional en materia de habeas data.

3. Alcance y ámbito de aplicación

Esta política aplica a los datos personales tratados por COLCIBER en cualquiera de los dos roles que puede asumir conforme a la Ley 1581 de 2012:

  1. Como responsable del tratamiento, respecto de las bases de datos sobre las cuales COLCIBER decide las finalidades y los medios del tratamiento: datos de las personas de contacto de sus clientes, prospectos comerciales, empleados, excolaboradores, candidatos, proveedores y contratistas, visitantes de sus instalaciones y usuarios de su sitio web. A estas bases de datos se les aplica la totalidad de esta política.

  2. Como encargado del tratamiento, respecto de los datos personales que COLCIBER trata por cuenta de sus clientes al operar y administrar las plataformas y servicios de ciberseguridad contratados. En ese rol el responsable es el cliente y el tratamiento se rige por el contrato de servicios y por el contrato de transmisión correspondiente, en los términos de la sección 9 de esta política.

Esta política vincula a todos los colaboradores y contratistas de COLCIBER y se hace exigible contractualmente a los encargados que tratan datos por cuenta de COLCIBER.

4. Definiciones

Para efectos de esta política se aplican las definiciones de la Ley 1581 de 2012, el Decreto 1377 de 2013 y, en lo pertinente, la Ley 1266 de 2008 y la jurisprudencia constitucional:

  • Autorización: consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de datos personales.
  • Aviso de privacidad: comunicación verbal o escrita, dirigida al titular, mediante la cual se le informa la existencia de esta política, la forma de acceder a ella y las finalidades del tratamiento, cuando no es posible poner la política completa a su disposición en el momento de la recolección.
  • Base de datos: conjunto organizado de datos personales que sea objeto de tratamiento.
  • Causahabiente: persona que, por causa de muerte del titular, sucede en sus derechos y puede ejercerlos en su nombre.
  • Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
  • Dato privado: dato que por su naturaleza íntima o reservada solo interesa al titular; su tratamiento requiere siempre su autorización (por ejemplo, la información contenida en su hoja de vida no divulgada).
  • Dato público: dato calificado como tal según la Constitución o la ley, no semiprivado, privado o sensible (por ejemplo, el estado civil, la profesión u oficio y los datos contenidos en registros públicos).
  • Dato semiprivado: dato que no es íntimo ni público y cuyo conocimiento interesa al titular y a un grupo determinado de personas o a la sociedad en general (por ejemplo, la información financiera y crediticia).
  • Dato sensible: aquel que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación: origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos u organizaciones sociales o de derechos humanos, datos relativos a la salud, a la vida sexual y los datos biométricos.
  • Encargado del tratamiento: persona natural o jurídica que realiza el tratamiento de datos personales por cuenta del responsable.
  • Responsable del tratamiento: persona natural o jurídica que decide sobre la base de datos y/o el tratamiento de los datos.
  • Titular: persona natural cuyos datos personales son objeto de tratamiento.
  • Transferencia: envío de datos personales a un receptor que actúa como responsable del tratamiento, dentro o fuera del país.
  • Transmisión: comunicación de datos personales a un encargado para su tratamiento por cuenta del responsable, dentro o fuera del territorio nacional.
  • Tratamiento: cualquier operación sobre datos personales: recolección, almacenamiento, uso, circulación o supresión.

5. Principios rectores

COLCIBER aplica los principios del artículo 4 de la Ley 1581 de 2012: legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.

6. Autorización y consentimiento

El tratamiento de datos personales requiere la autorización previa, expresa e informada del titular. La autorización puede constar:

  • por escrito, en documento físico o electrónico;
  • de forma oral, siempre que quede documentada; o
  • mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización.

En ningún caso el silencio, la inacción o la ausencia de respuesta del titular se asimilan a la autorización. Las casillas de aceptación en formularios electrónicos nunca se presentan premarcadas.

El tratamiento de datos sensibles requiere el consentimiento explícito del titular, salvo los casos en que la ley exceptúa la autorización, en los términos de la sección 10.

Consentimiento granular para finalidades comerciales. La autorización para finalidades comerciales, publicitarias o de mercadeo se solicita mediante una casilla separada, opcional e independiente de la autorización necesaria para atender la solicitud del titular o para ejecutar la relación contractual. No aceptar las comunicaciones comerciales no impide que la solicitud del titular sea atendida ni afecta la prestación de los servicios contratados.

COLCIBER conserva prueba de la autorización otorgada y del texto de la política o del aviso de privacidad vigente en el momento en que fue otorgada (sección 23).

No se requiere autorización en los casos del artículo 10 de la Ley 1581 de 2012: información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; datos de naturaleza pública; casos de urgencia médica o sanitaria; tratamiento autorizado por la ley para fines históricos, estadísticos o científicos; y datos relacionados con el Registro Civil de las Personas.

7. Datos tratados y finalidades, por grupo de titulares

Esta sección describe los tratamientos en los que COLCIBER actúa como responsable. Los datos que COLCIBER trata por cuenta de sus clientes se rigen por la sección 9.

7.1. Personas de contacto de clientes

Datos: nombre, documento de identificación, cargo, correo electrónico corporativo y teléfono de los representantes legales y de las personas designadas por el cliente como contacto comercial, técnico, administrativo o de facturación; información contractual y de facturación asociada a la relación con el cliente.

Finalidades:

  1. Celebrar y ejecutar la relación contractual con el cliente.
  2. Gestionar la interlocución operativa del servicio: soporte, mesa de ayuda, notificaciones técnicas y de disponibilidad, y comunicación de incidentes.
  3. Facturar, gestionar cartera y realizar la gestión contable y tributaria.
  4. Enviar comunicaciones de renovación y de servicio relacionadas con los contratos vigentes.
  5. Enviar información comercial sobre otros servicios de ciberseguridad de COLCIBER, únicamente cuando el contacto haya otorgado la autorización granular y separada prevista en la sección 6, y respetando los canales, días y horarios permitidos por la Ley 2300 de 2023.
  6. Cumplir obligaciones legales, contractuales y de auditoría.
  7. Las demás finalidades informadas de manera expresa y previa al titular en el momento de la recolección, respecto de las cuales se haya obtenido autorización.

7.2. Prospectos comerciales (leads)

Datos: Nombre, correo electrónico, teléfono, empresa, cargo y necesidad manifestada, obtenidos por los canales informados. Cuando exista autorización para atribución comercial, se podrán asociar a la solicitud los parámetros de campaña permitidos, la página de llegada y el sitio de procedencia, previamente depurados. El identificador de clic publicitario no se incorporará al registro de la solicitud ni se utilizará; su eventual uso requerirá herramientas publicitarias informadas, aceptación de Publicidad y autorización para esa finalidad, previa actualización de esta política.

Finalidades:

  1. Atender la solicitud de contacto, información o cotización.
  2. Gestionar la relación precontractual y el seguimiento en el CRM de COLCIBER.
  3. Enviar información comercial sobre servicios de ciberseguridad, previa autorización granular y separada del titular.
  4. Evaluar los canales y campañas que originan solicitudes y elaborar estadísticas comerciales internas a partir de datos obtenidos conforme a las autorizaciones aplicables. La atención de una solicitud no estará condicionada a aceptar atribución o comunicaciones comerciales opcionales.
  5. Las demás finalidades informadas de manera expresa y previa al titular en el momento de la recolección, respecto de las cuales se haya obtenido autorización.

Contacto comercial conforme a la Ley 2300 de 2023. COLCIBER contacta al titular únicamente por los canales que este haya autorizado, de lunes a viernes entre las 7:00 y las 19:00 y los sábados entre las 8:00 y las 15:00, nunca domingos ni festivos, conforme a la Ley 2300 de 2023 y sus normas reglamentarias. El titular puede solicitar en cualquier momento su exclusión de las comunicaciones comerciales por el mismo canal por el que fue contactado, y toda comunicación comercial de COLCIBER incluye un enlace o mecanismo directo de baja y de revocatoria de la autorización, conforme a la sección 12.

Antes de remitir comunicaciones comerciales por cualquier canal, COLCIBER consulta el Registro de Números Excluidos (RNE) (Resolución CRC 7356 de 2024), que cubre llamadas, mensajes de texto, correo electrónico y aplicaciones de mensajería, conserva evidencia de cada consulta y se abstiene de contactar los números y cuentas inscritos, salvo que el titular haya otorgado su autorización con posterioridad a la inscripción en el registro. COLCIBER respeta igualmente los límites de frecuencia y periodicidad de contacto previstos en la Ley 2300 de 2023 y sus normas reglamentarias.

Datos no obtenidos directamente del titular. COLCIBER no contacta a personas cuyos datos provengan de referidos, campañas conjuntas u otras fuentes distintas del propio titular, salvo que: (i) exista prueba verificable de que el titular otorgó directamente su autorización previa, expresa e informada para ese contacto —por ejemplo, la autorización recolectada por el aliado o la campaña, con constancia trasladada a COLCIBER—; (ii) resulte aplicable una de las excepciones del artículo 10 de la Ley 1581 de 2012; o (iii) sea el propio titular quien inicie el contacto. Los datos recibidos sin esa autorización no se incorporan a las bases de datos de COLCIBER, no se utilizan para contacto alguno y se suprimen.

7.3. Empleados, excolaboradores y candidatos

Datos: identificación, contacto, información académica y laboral, información de seguridad social, salud ocupacional y nómina; para candidatos, la información de identificación, contacto, formación y experiencia aportada en los procesos de selección.

Finalidades:

  1. Gestionar la relación laboral y cumplir las obligaciones legales del empleador en materia laboral, de seguridad social y de seguridad y salud en el trabajo.
  2. Administrar la nómina, las prestaciones y los beneficios.
  3. Adelantar los procesos de selección y contratación, en el caso de los candidatos.
  4. Atender requerimientos de autoridades administrativas y judiciales.
  5. Las demás finalidades informadas de manera expresa y previa al titular en el momento de la recolección, respecto de las cuales se haya obtenido autorización.

La información de salud y de seguridad social constituye dato sensible y se trata conforme a la sección 10. Respecto de los empleados, cuando su tratamiento sea necesario para cumplir las obligaciones laborales, de seguridad social y de seguridad y salud en el trabajo a cargo de COLCIBER como empleador, el tratamiento se ampara en la excepción del artículo 6, literal a, de la Ley 1581 de 2012 —que releva de la autorización cuando la ley así lo dispone—, sin perjuicio de los deberes de información, de limitación a la finalidad específica y de seguridad. Ese amparo es estricto y no constituye un acceso general a la información de salud: COLCIBER accede únicamente al certificado de aptitud laboral y a las restricciones y recomendaciones ocupacionales estrictamente necesarias; la historia clínica ocupacional es reservada y permanece bajo la custodia del médico o de la institución de seguridad y salud en el trabajo que la genera (Resolución 2346 de 2007). COLCIBER no recolecta diagnósticos, historias clínicas ni resultados clínicos de los candidatos. Las evaluaciones médicas preocupacionales son realizadas por el prestador autorizado de seguridad y salud en el trabajo, que comunica a COLCIBER únicamente el certificado de aptitud, las restricciones y las recomendaciones laborales permitidas por la ley (Resolución 2346 de 2007).

La hoja de vida y demás información de los candidatos no seleccionados se conserva por un término máximo de seis (6) meses, salvo autorización expresa del titular para participar en futuros procesos de selección, en cuyo caso se aplica el término indicado en la sección 18.

7.4. Proveedores y contratistas

Datos: identificación y contacto de personas naturales, representantes legales y personal asignado, información tributaria, bancaria y contractual.

Finalidades:

  1. Selección, evaluación, vinculación y gestión de la relación contractual.
  2. Gestión de pagos y de la información tributaria y contable.
  3. Control de acceso a instalaciones y a sistemas de información, cuando aplique.
  4. Cumplimiento de obligaciones legales, contables y tributarias.
  5. Las demás finalidades informadas de manera expresa y previa al titular en el momento de la recolección, respecto de las cuales se haya obtenido autorización.

7.5. Visitantes y videovigilancia

Datos: registro de ingreso a instalaciones (nombre, empresa y hora de entrada y salida; el documento de identidad se verifica visualmente y no se almacena su número completo) e imágenes captadas por el sistema de videovigilancia.

Finalidades: seguridad de las personas, de las instalaciones y de los activos de información; control de acceso; atención de requerimientos de autoridad competente.

Condiciones del tratamiento por videovigilancia:

  1. En los accesos y en las áreas videovigiladas se instala un aviso visible que informa la existencia del sistema, la identificación de COLCIBER como responsable, la finalidad de seguridad de personas e instalaciones y la forma de consultar esta política.
  2. Las grabaciones se conservan por treinta (30) días calendario, salvo que las imágenes se requieran para la investigación de un incidente o por requerimiento de autoridad competente, caso en el cual se conservan hasta la conclusión del trámite.
  3. El acceso a las grabaciones está restringido al personal expresamente autorizado por COLCIBER, bajo compromiso de confidencialidad y con registro de los accesos.
  4. El sistema no capta audio.
  5. Si en el control de acceso se emplean datos biométricos, estos se tratan como datos sensibles conforme a la sección 10, con consentimiento explícito y una alternativa de acceso que no requiera su entrega.

7.6. Usuarios del sitio web

Datos: datos de navegación, dirección IP, identificadores de cookies y tecnologías similares, tipo de dispositivo y navegador, páginas visitadas y origen de la visita.

Finalidades: Garantizar el funcionamiento y seguridad del sitio y realizar medición de uso. Actualmente no se realiza medición publicitaria; su incorporación requerirá actualizar esta política conforme a la sección 17. Las herramientas opcionales se activarán únicamente con autorización por categoría conforme a la sección 17. La ausencia de cookies no excluye por sí sola la aplicación de las reglas sobre datos personales. Los flujos internacionales se regirán por la sección 15 según el papel efectivo del destinatario.

8. Deberes de COLCIBER como responsable

COLCIBER cumplirá los deberes del artículo 17 de la Ley 1581 de 2012: garantizar al titular el ejercicio pleno y efectivo de sus derechos; solicitar y conservar copia de la autorización otorgada; informar debidamente al titular la finalidad de la recolección y sus derechos; conservar la información bajo las condiciones de seguridad necesarias; garantizar que la información sea veraz, completa, exacta, actualizada, comprobable y comprensible; actualizar, rectificar o suprimir los datos cuando corresponda; tramitar las consultas y reclamos en los términos legales; adoptar esta política y velar por su cumplimiento; informar al encargado cuando determinada información se encuentre en discusión por el titular; informar a solicitud del titular sobre el uso dado a sus datos; e informar a la SIC las violaciones a los códigos de seguridad y los riesgos en la administración de la información de los titulares.

9. Tratamiento por cuenta de terceros — COLCIBER como encargado

En la operación y administración de las plataformas y servicios de ciberseguridad de sus clientes, COLCIBER trata datos personales que no le pertenecen y sobre cuyas finalidades no decide. Estos tratamientos comprenden la telemetría de las plataformas administradas, los registros de eventos (logs), los inventarios de dispositivos, las cuentas de usuario de los sistemas del cliente y la información asociada a eventos e incidentes de seguridad, y los demás datos que el cliente determine en el contrato.

Rol de las partes. Respecto de estos datos, el cliente es el responsable del tratamiento y COLCIBER actúa como encargado. COLCIBER trata esos datos únicamente conforme a las instrucciones documentadas del cliente y para las finalidades definidas por este en el contrato. COLCIBER no utiliza estos datos para finalidades propias distintas de las instruidas por el cliente; cualquier uso con fines estadísticos, de analítica o de inteligencia de amenazas se realiza únicamente sobre información agregada o anonimizada de forma irreversible, o con el acuerdo expreso y documentado del cliente responsable.

Marco contractual. El tratamiento se rige por el contrato de prestación de servicios y por el contrato de transmisión de datos personales suscrito con cada cliente, conforme a los artículos 24 y 25 del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015). Como práctica de COLCIBER, dicho contrato se suscribe también para las transmisiones que se realizan dentro del territorio nacional y precisa el alcance y la finalidad del tratamiento, las actividades autorizadas, las obligaciones de las partes y las condiciones de seguridad y confidencialidad aplicables.

Deberes de COLCIBER como encargado. COLCIBER asume los deberes del artículo 18 de la Ley 1581 de 2012, en particular:

  1. Garantizar al titular, en todo tiempo, el ejercicio del derecho de hábeas data en coordinación con el responsable.
  2. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
  3. Realizar oportunamente la actualización, rectificación o supresión de los datos conforme a las instrucciones del responsable.
  4. Actualizar la información reportada por el responsable dentro de los cinco (5) días hábiles siguientes a su recibo.
  5. Tramitar las consultas y reclamos formulados por los titulares conforme a las instrucciones del responsable y en los términos de la sección 12.
  6. Registrar en la base de datos la leyenda “reclamo en trámite” en la forma prevista en la sección 12.
  7. Abstenerse de circular información que esté siendo controvertida por el titular y cuyo bloqueo haya ordenado la SIC.
  8. Permitir el acceso a la información únicamente a las personas autorizadas por el responsable y mantener la confidencialidad, incluso después de terminada la relación contractual.
  9. Informar al responsable y a la SIC, cuando corresponda, las violaciones a los códigos de seguridad y los riesgos en la administración de la información.
  10. Cumplir las instrucciones que imparta la SIC.

Ejercicio de derechos por los titulares. Los titulares de estos datos —por ejemplo, los empleados o usuarios de los sistemas del cliente— pueden dirigir sus consultas, reclamos y solicitudes de supresión o revocatoria directamente al cliente en su condición de responsable del tratamiento, a quien corresponde decidir sobre ellas. Si las presentan ante COLCIBER, esta las trasladará al responsable dentro de los dos (2) días hábiles siguientes a su recibo, informará de ello al solicitante y colaborará con el responsable en la preparación y el trámite de la respuesta, conforme al contrato y al artículo 18 de la Ley 1581 de 2012.

Devolución y supresión. Terminado el contrato, COLCIBER devolverá o suprimirá los datos personales tratados por cuenta del cliente, según lo que este instruya y conforme a los términos pactados, salvo que exista un deber legal de conservación.

10. Datos sensibles y datos de menores de edad

Datos sensibles. COLCIBER limita el tratamiento de datos sensibles al mínimo necesario. Su tratamiento se enmarca en uno de los dos supuestos siguientes:

a. Datos sensibles de entrega facultativa. Cuando la recolección sea indispensable y su entrega dependa de la voluntad del titular, COLCIBER informará al titular, de manera previa y expresa:

  1. cuáles de los datos solicitados tienen carácter sensible;
  2. la finalidad específica de su tratamiento;
  3. que no está obligado a autorizar el tratamiento de datos sensibles y que su respuesta es facultativa; y
  4. la forma de ejercer sus derechos.

En estos casos se obtendrá el consentimiento explícito del titular. Esta regla se aplica, entre otros supuestos, a los datos biométricos que llegaren a emplearse en el control de acceso (sección 7.5).

b. Datos sensibles cuyo tratamiento la ley exceptúa de autorización. Cuando el tratamiento de datos sensibles —en particular los datos de salud y de seguridad social de los empleados— sea necesario para cumplir las obligaciones laborales, de seguridad social y de seguridad y salud en el trabajo a cargo de COLCIBER como empleador, el tratamiento se ampara en la excepción del artículo 6, literal a, de la Ley 1581 de 2012, que releva de la autorización cuando la ley así lo dispone. En estos casos no resulta aplicable el aviso sobre el carácter facultativo de la respuesta, y el tratamiento se limita a lo estrictamente necesario para cumplir la obligación legal, con sujeción a los deberes de información, seguridad y confidencialidad de esta política. El alcance de este supuesto respecto de la información de salud de los empleados es el descrito en la sección 7.3: certificado de aptitud, restricciones y recomendaciones ocupacionales, nunca la historia clínica ocupacional, cuya custodia corresponde al médico o a la institución competente.

Ninguna actividad de COLCIBER se condiciona a que el titular entregue datos sensibles.

Menores de edad. Los formularios web y los servicios de COLCIBER están dirigidos exclusivamente a personas mayores de dieciocho (18) años. COLCIBER no recolecta de manera intencional datos de menores de edad a través de sus canales digitales. Cuando excepcionalmente sea necesario tratar datos de niñas, niños y adolescentes —por ejemplo, los datos de los beneficiarios de empleados—, el tratamiento:

  1. se realizará únicamente con la autorización previa del representante legal del menor;
  2. responderá al respeto del interés superior del menor y al aseguramiento de sus derechos fundamentales; y
  3. tendrá en cuenta la opinión del menor, respetando su derecho a ser escuchado, valorada según su madurez, autonomía y capacidad para entender el asunto (artículo 7 de la Ley 1581 de 2012 y artículo 12 del Decreto 1377 de 2013).

Si COLCIBER advierte que ha recolectado datos de un menor sin la autorización de su representante legal, los suprimirá.

11. Derechos de los titulares

Conforme al artículo 8 de la Ley 1581 de 2012, el titular tiene derecho a:

  1. Conocer, actualizar y rectificar sus datos personales frente a COLCIBER, en su condición de responsable o de encargado del tratamiento. Este derecho se ejerce, en especial, frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté expresamente prohibido o no haya sido autorizado. Cuando COLCIBER actúa como encargado, recibe la solicitud, la traslada al responsable y colabora con este en su respuesta, en los términos de la sección 9.
  2. Solicitar prueba de la autorización otorgada a COLCIBER, salvo cuando la ley señale que la autorización no es necesaria.
  3. Ser informado, previa solicitud, respecto del uso que COLCIBER le ha dado a sus datos personales.
  4. Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones al régimen de protección de datos personales.
  5. Revocar la autorización y/o solicitar la supresión de sus datos cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales, o cuando así lo decida, en los términos de la sección 12.
  6. Acceder en forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

Legitimados para ejercer los derechos (artículo 20 del Decreto 1377 de 2013): el titular, acreditando su identidad; sus causahabientes, acreditando tal calidad; el representante o apoderado del titular; y quienes actúen por estipulación a favor de otro o para otro.

Gratuidad (artículo 21 del Decreto 1377 de 2013): la consulta de los datos personales es gratuita al menos una vez cada mes calendario y cada vez que existan modificaciones sustanciales de esta política que motiven nuevas consultas. Cuando se realicen consultas adicionales dentro del mismo mes calendario, COLCIBER podrá cobrar únicamente los costos de envío, reproducción y certificación de documentos, sin que la expedición de la copia pueda dar lugar a un cobro adicional.

12. Procedimiento de consultas, reclamos, supresión y revocatoria

Canales de atención: correo electrónico protecciondedatos@colciber.co, o comunicación escrita dirigida a la dirección de notificación indicada en la sección 1. Las solicitudes recibidas verbalmente se documentan y se tramitan en los mismos términos.

Verificación de identidad. Antes de atender una solicitud que implique revelar, corregir o suprimir datos personales, COLCIBER verifica de manera proporcional la identidad y la legitimación del solicitante: al titular se le confrontan sus datos de identificación o se valida que la solicitud provenga del canal de contacto registrado en la base de datos; a los causahabientes, representantes y apoderados se les solicitan los documentos que acrediten esa calidad (artículo 20 del Decreto 1377 de 2013). Para solicitudes de alto impacto —copia integral de los datos, información financiera o sensible, cambio del correo o teléfono de contacto registrado, o supresión total—, COLCIBER aplica una verificación adicional proporcional, conforme a su procedimiento interno de atención de titulares. La verificación nunca se emplea para obstaculizar el ejercicio de los derechos.

Cómputo de términos: el término para atender las consultas se cuenta a partir de la fecha de recibo de la consulta, conforme al artículo 14 de la Ley 1581 de 2012. El término para decidir los reclamos se cuenta a partir del día siguiente a la fecha de recibo del reclamo completo, conforme al artículo 15 de la Ley 1581 de 2012; los demás términos del trámite del reclamo se computan según se indica en cada numeral siguiente.

Consultas (artículo 14 de la Ley 1581 de 2012): se atenderán en un término máximo de diez (10) días hábiles. Cuando no sea posible atender la consulta dentro de dicho término, se informará al interesado antes de su vencimiento, expresando los motivos de la demora y la fecha en que se atenderá, la cual en ningún caso superará los cinco (5) días hábiles siguientes al vencimiento del primer término.

Reclamos (artículo 15 de la Ley 1581 de 2012): el titular o sus causahabientes que consideren que la información debe ser corregida, actualizada o suprimida, o que adviertan un presunto incumplimiento del régimen, pueden presentar un reclamo que debe contener la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la dirección de contacto y los documentos que se quieran hacer valer. El trámite es el siguiente:

  1. Reclamo incompleto: se requerirá al interesado dentro de los cinco (5) días siguientes a su recibo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.
  2. Falta de competencia: si quien recibe el reclamo no es competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de ello al interesado.
  3. Leyenda “reclamo en trámite”: una vez recibido el reclamo completo, se incluirá en la base de datos la leyenda “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda se mantendrá hasta que el reclamo sea decidido.
  4. Término de decisión: el reclamo se atenderá en un término máximo de quince (15) días hábiles. Cuando no sea posible atenderlo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá, la cual en ningún caso superará los ocho (8) días hábiles siguientes al vencimiento del primer término.

Forma de la respuesta: la respuesta se emite por el mismo medio por el que se recibió la solicitud o por el que el titular indique expresamente. Las correcciones, actualizaciones o supresiones a que haya lugar se materializan en las bases de datos junto con la respuesta al titular, y no después.

Supresión y revocatoria de la autorización. El titular puede en cualquier momento solicitar la supresión de sus datos y revocar la autorización otorgada. La revocatoria puede ser:

  • total, cuando el titular retira la autorización para todas las finalidades; o
  • parcial, cuando el titular la retira solo respecto de algunas finalidades. Por ejemplo, el titular puede revocar la autorización para el envío de comunicaciones comerciales y de mercadeo, manteniendo el tratamiento necesario para ejecutar la relación contractual vigente.

Los mecanismos para solicitar la supresión y revocar la autorización son gratuitos y al menos tan sencillos como el mecanismo mediante el cual se otorgó la autorización:

  1. el mismo correo electrónico o canal por el que se otorgó la autorización, y en todo caso protecciondedatos@colciber.co;
  2. un enlace o mecanismo directo de baja y de revocatoria de la autorización, incluido en toda comunicación comercial que COLCIBER envíe a cualquier titular, que no exige justificación ni trámites adicionales.

Límite: la supresión y la revocatoria proceden salvo cuando el titular tenga un deber legal o contractual de permanecer en la base de datos, o cuando exista una obligación legal de conservación a cargo de COLCIBER (artículo 9 del Decreto 1377 de 2013). En esos casos COLCIBER informará al titular el fundamento de la negativa, suprimirá los datos cuya conservación no sea obligatoria y cesará los tratamientos que no estén amparados por ese deber, en particular los de finalidad comercial.

Requisito de procedibilidad: el agotamiento previo del trámite de consulta o reclamo ante COLCIBER es requisito únicamente para presentar queja ante la SIC (artículo 16 de la Ley 1581 de 2012). Este requisito no limita el ejercicio de la acción de tutela ni de las demás acciones judiciales, ni las actuaciones que la autoridad de protección de datos adelante de oficio.

13. Área responsable de la atención

La Dirección Administrativa de COLCIBER, a través del buzón protecciondedatos@colciber.co, es la responsable de la atención de peticiones, consultas y reclamos de los titulares para el ejercicio de sus derechos.

14. Aviso de privacidad y formularios de recolección

Cuando no sea posible poner a disposición del titular esta política en el momento de la recolección, COLCIBER utilizará un aviso de privacidad con el contenido mínimo del artículo 15 del Decreto 1377 de 2013:

  1. identificación, dirección física o electrónica y teléfono de COLCIBER como responsable;
  2. el tratamiento al cual serán sometidos los datos y su finalidad;
  3. los derechos que asisten al titular;
  4. los mecanismos dispuestos para conocer esta política y sus cambios sustanciales, indicando el medio de acceso.

COLCIBER conserva el modelo del aviso de privacidad utilizado, mientras se traten los datos personales recolectados con base en él y perduren las obligaciones derivadas de ese tratamiento (artículo 16 del Decreto 1377 de 2013).

Los formularios de recolección de COLCIBER, físicos y electrónicos, indican de forma clara cuáles campos son obligatorios y cuáles facultativos, e incluyen un enlace permanente a esta política y las casillas de autorización previstas en la sección 6.

15. Transmisión a encargados y transferencia internacional

Transmisión a encargados. COLCIBER transmite datos personales a terceros que los tratan por su cuenta, en las siguientes categorías: proveedores de infraestructura tecnológica y servicios de computación en la nube; proveedores de correo electrónico y herramientas de productividad; y proveedores de CRM, hosting y herramientas de mercadeo digital. Como práctica de COLCIBER, toda transmisión —nacional o internacional— se ampara en un contrato de transmisión celebrado conforme a los artículos 24 y 25 del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015), que precisa el alcance y la finalidad del tratamiento, las actividades que el encargado realizará por cuenta de COLCIBER, las obligaciones del encargado frente al titular y frente a COLCIBER, y el deber de aplicar medidas de seguridad y de confidencialidad. El contrato obliga al encargado a garantizar una protección equivalente a la exigida por la ley colombiana y a permitir a COLCIBER verificar su cumplimiento.

Transferencia internacional. La transferencia de datos personales a receptores ubicados fuera de Colombia que actúen como responsables se realiza únicamente cuando se cumple alguna de las siguientes condiciones:

  1. el país receptor proporciona un nivel adecuado de protección de datos, conforme a los estándares fijados por la SIC en la circular correspondiente;
  2. el titular ha otorgado su autorización expresa e inequívoca para la transferencia;
  3. la SIC ha emitido una declaración de conformidad sobre la transferencia; o
  4. se configura alguna de las demás excepciones del artículo 26 de la Ley 1581 de 2012 (intercambio de datos de carácter médico por razones de salud o higiene pública, transferencias bancarias o bursátiles conforme a la legislación aplicable, transferencias acordadas en tratados internacionales de los que Colombia sea parte, transferencias necesarias para la ejecución de un contrato entre el titular y COLCIBER, y transferencias legalmente exigidas para la salvaguardia del interés público o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial).

COLCIBER utiliza los proveedores identificados en esta política y en su inventario vigente. Cuando traten datos por su cuenta, verificará las condiciones de transmisión, instrucciones y obligaciones contractuales aplicables. Cuando actúen como responsables, comprobará las condiciones de transferencia internacional e informará el tratamiento correspondiente. Se identificarán las entidades contratantes y los destinos efectivos antes de habilitar cada servicio. La aceptación de una categoría no sustituye estas verificaciones.

En el sitio web, el proveedor digital de medición es Google, para Google Analytics 4 y Google Tag Manager. Vercel interviene únicamente como proveedor de alojamiento del sitio (encargado de alojamiento) y no presta servicios de medición.

16. Medidas de seguridad

COLCIBER implementa y mantiene medidas de seguridad técnicas, humanas y administrativas apropiadas y proporcionales al riesgo del tratamiento y a la naturaleza de los datos, conforme a las buenas prácticas de la industria, orientadas a evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de la información. Estas medidas se revisan periódicamente y se actualizan en función de la evolución del riesgo y del estado de la técnica.

La seguridad de la información es el objeto social de COLCIBER, y la compañía procura aplicar internamente las buenas prácticas de seguridad propias de su industria. Lo anterior constituye una obligación de medios, orientada al cumplimiento del principio de seguridad del artículo 4 de la Ley 1581 de 2012, y no una garantía de resultado ni de inviolabilidad absoluta de la información.

La obligación de confidencialidad se extiende contractualmente a colaboradores, contratistas y encargados, y subsiste después de terminada la relación respectiva.

17. Cookies y tecnologías similares

Herramientas y categorías. COLCIBER utiliza almacenamiento local para recordar preferencias y herramientas opcionales de medición. El inventario describe el uso real y se actualiza antes de incorporar nuevas tecnologías.

Categoría Tecnología o servicio Finalidad Activación y duración
Necesarias Almacenamiento local colciber_consent, administrado por COLCIBER. Recordar y aplicar preferencias. Limitado a esta función. La elección guardada caduca a los doce (12) meses y el aviso vuelve a preguntar. La evidencia de la elección (categorías, fecha y versión) se conserva en el dispositivo el mismo plazo.
Medición Google Analytics 4; cookies _ga y _ga_<identificador>. Medir visitas e interacciones consentidas. Previa aceptación; duración configurada por verificar, con referencia predeterminada de hasta 24 meses y límites del navegador.
Medición Google Tag Manager, gestor de etiquetas. Cargar las herramientas autorizadas. Carga posterior a la aceptación de Medición; no se presenta como una cookie.

Publicidad. Actualmente no hay herramientas publicitarias activas y el aviso de cookies no ofrece esa categoría. Su incorporación requerirá inventario, información y consentimiento correspondientes.

Elección. El aviso ofrecerá «Solo necesarias», «Elegir categorías» y «Aceptar todas» con acceso equivalente. Las categorías opcionales estarán desactivadas por defecto. Cerrar el aviso, guardar silencio o navegar no constituirá aceptación. La información pertinente estará disponible antes de decidir.

Alcance de la medición. Se medirán las interacciones autorizadas. No se enviarán a GA4 nombres, correos, teléfonos ni contenidos identificativos del formulario, ni esos datos mediante URL, títulos, referencias o parámetros. COLCIBER no cruzará datos de GA4 con el CRM ni utilizará identificadores comunes para identificar personas. Esta restricción debe comprobarse también en funciones automáticas y exportaciones.

Configuración. Google Signals, User-ID y personalización publicitaria permanecerán desactivados en el diseño aprobado. Las vinculaciones y opciones de compartir datos deberán respetar estos límites. La desactivación de funciones no convierte por sí sola todos los datos restantes en anónimos.

Origen en CRM. Los datos de campaña se incorporarán al CRM al enviar el formulario únicamente cuando el titular haya marcado la autorización opcional de atribución de la sección 7.2. Esta afirmación se refiere al registro comercial y no excluye la recepción técnica de la dirección solicitada por los servicios de alojamiento. El identificador de clic publicitario no se incorporará al CRM. No se conservarán identificadores para finalidades opcionales rechazadas.

Cambio y retiro. «Preferencias de cookies» permitirá cambiar o retirar autorizaciones. Se detendrán los eventos futuros de las categorías retiradas y se gestionarán las cookies bajo control de COLCIBER. El titular podrá solicitar supresión conforme al procedimiento de derechos, salvo fundamento de conservación aplicable. El retiro no afecta la licitud del tratamiento anterior únicamente cuando este haya sido válidamente autorizado.

Prueba y revisión. Se conservará evidencia proporcionada de la elección, su fecha y la versión informada, sin exigir identificar nominalmente a visitantes ni recoger IP solo para demostrar consentimiento. La elección se volverá a solicitar a los doce (12) meses y ante cambios relevantes; ese plazo es interno y no se presenta como plazo legal obligatorio.

18. Conservación de los datos

Los datos personales se conservan durante el tiempo necesario para cumplir las finalidades que motivaron su recolección y las obligaciones legales, contables y tributarias aplicables, conforme a los siguientes términos:

Categoría de datos Término de conservación
Prospectos comerciales (leads) sin relación comercial concretada Veinticuatro (24) meses desde la última interacción del titular, cuando no se concreta relación comercial
Datos con relevancia contractual, contable o tributaria (clientes, proveedores, facturación) Diez (10) años, conforme al artículo 28 de la Ley 962 de 2005 y al artículo 60 del Código de Comercio, y a las normas tributarias sobre conservación de soportes
Hojas de vida de candidatos no seleccionados Seis (6) meses, salvo autorización expresa del titular para participar en futuros procesos de selección, caso en el cual se conservan por veinticuatro (24) meses
Datos de empleados y excolaboradores Durante la relación laboral y, terminada esta, por los términos de prescripción y de conservación exigidos por la normativa laboral, de seguridad social y tributaria
Grabaciones de videovigilancia Treinta (30) días calendario, salvo que las imágenes se requieran para la investigación de un incidente o por requerimiento de autoridad
Registro de ingreso de visitantes Doce (12) meses
Cookies GA4 Según duración y actualización efectivamente configuradas; respetando retiro y límites del navegador.
Usuarios y eventos GA4 sujetos al control de retención 14 meses, sin reinicio del plazo de usuario por nueva actividad; eliminación conforme al proceso periódico del proveedor.
Informes agregados Conservación sujeta a finalidad y evaluación de anonimización; no declararlos anónimos por su nombre.
Atribución asociada a prospectos 24 meses desde la última interacción del titular, con supresión junto con el registro del prospecto.
Preferencias y evidencia La elección guardada caduca a los doce (12) meses y el aviso vuelve a preguntar. La evidencia de la elección (categorías, fecha y versión) se conserva en el dispositivo el mismo plazo.
Telemetría, logs, cuentas de usuario y eventos de seguridad tratados como encargado Según lo instruido por cada cliente responsable en el contrato de servicios y en el contrato de transmisión (sección 9)

Los 14 meses de GA4 no cubren automáticamente informes estándar, exportaciones, otras cuentas o copias.

El término de diez (10) años aplica a los documentos y soportes que la ley ordena conservar, no a la totalidad de los datos del titular: los datos que no formen parte de esos soportes se depuran conforme a la fila que les corresponda en esta tabla. Cumplido el término aplicable, los datos se suprimen o se anonimizan de forma segura e irreversible. La Dirección Administrativa (sección 13) es responsable de ejecutar la depuración periódica y de dejar constancia de la supresión o anonimización realizada.

19. Registro Nacional de Bases de Datos (RNBD) y reporte de incidentes de seguridad

RNBD. COLCIBER verificará si se encuentra obligada a inscribir sus bases de datos en el Registro Nacional de Bases de Datos administrado por la SIC (artículo 25 de la Ley 1581 de 2012 y Decreto 090 de 2018, que limita la obligación a las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT). De resultar obligada, inscribirá sus bases de datos, las mantendrá actualizadas y reportará por ese canal los reclamos de los titulares.

Reporte de incidentes de seguridad. La obligación de reportar a la SIC los incidentes de seguridad que afecten datos personales aplica con independencia de la obligación de inscripción en el RNBD. Si COLCIBER se encuentra inscrita en el RNBD, el reporte se realiza a través de ese registro; si no está obligada a inscribirse, o cuando actúe como encargado del tratamiento, el reporte se realiza a través del aplicativo de reporte de incidentes dispuesto por la SIC. En todos los casos, el reporte se efectúa dentro de los quince (15) días hábiles siguientes a la detección del incidente y su conocimiento por el área responsable (sección 13), para lo cual COLCIBER aplica internamente términos de escalamiento más cortos que aseguran el cumplimiento de ese plazo. Cuando el incidente afecte datos tratados por cuenta de un cliente, COLCIBER lo informará además al cliente responsable, conforme a la sección 9.

20. Modificaciones a la política

COLCIBER podrá modificar esta política. Los cambios sustanciales —entre ellos los que afecten las finalidades del tratamiento, la identificación del responsable, los canales de atención o el ejercicio de los derechos de los titulares— se comunicarán de manera eficiente antes de su implementación, mediante:

  1. la publicación de la nueva versión y de un aviso destacado en el sitio web https://colciber.co, y
  2. el envío de una comunicación por correo electrónico a los titulares registrados en las bases de datos de COLCIBER.

Cuando la modificación implique un cambio en las finalidades del tratamiento, COLCIBER solicitará una nueva autorización a los titulares antes de aplicar la nueva finalidad. Toda versión indica su fecha de entrada en vigencia y queda registrada en el control de versiones de la sección 23.

21. Vigencia de la política y de las bases de datos

La política general rige desde el 1 de agosto de 2026. La versión 1.3 se publicó el 2 de noviembre de 2026 y entra en vigor el 17 de noviembre de 2026, después del cumplimiento de la comunicación previa aplicable de la sección 20. Los cambios se implementarán después de esa comunicación y únicamente con las autorizaciones necesarias. Ninguna fecha ni publicación ampliará retroactivamente autorizaciones anteriores.

Las bases de datos administradas por COLCIBER permanecerán vigentes mientras subsistan las finalidades que justificaron su recolección y, vencidas estas, por el tiempo adicional que impongan los términos legales de conservación aplicables, conforme a la tabla de la sección 18. Cumplidos ambos, los datos se suprimen o se anonimizan.

22. Aceptación

El titular declara que ha leído esta política y que autoriza el tratamiento de sus datos personales únicamente para las finalidades que haya consentido mediante la casilla o el mecanismo de autorización correspondiente en cada canal de recolección. La aceptación de esta política no constituye una autorización global ni se extiende a finalidades no consentidas: las finalidades comerciales, publicitarias o de mercadeo requieren siempre la casilla separada e independiente prevista en la sección 6.

23. Control de versiones

COLCIBER conserva las versiones anteriores de esta política, con el fin de acreditar el texto que regía en el momento en que cada titular otorgó su autorización. Las versiones anteriores están disponibles a solicitud del titular a través del canal indicado en la sección 12.

Versión Fecha de vigencia Cambios principales
0.1 No publicada Borrador inicial de estructura y contenido mínimo (artículo 13 del Decreto 1377 de 2013).
0.2 No publicada Delimitación de los roles de responsable y encargado; sección de tratamiento por cuenta de terceros; ampliación de derechos, supresión y revocatoria; tabla de conservación; videovigilancia; menores y datos sensibles; cookies y usuarios del sitio web; transmisión y transferencia internacional; RNBD; aviso de privacidad; control de versiones.
0.3 No publicada Correcciones de re-juicio: citas normativas, consistencia entre secciones y valores operativos.
0.4 No publicada Régimen de datos sensibles reorganizado en dos supuestos (artículo 6, literal a, de la Ley 1581 de 2012); cómputo de términos de reclamos precisado; alcance universal del mecanismo de baja; fuentes normativas alineadas.
0.5 No publicada Revisión externa: prohibición de contacto a referidos sin autorización previa verificable; reporte de incidentes independiente del RNBD (aplicativo SIC, 15 días hábiles); consulta previa al RNE y periodicidad (Ley 2300 de 2023, Resolución CRC 7356 de 2024); alcance estricto de salud laboral (certificado de aptitud, Resolución 2346 de 2007); verificación de identidad del solicitante; alcance de la retención de 10 años; compromiso de no reutilización como encargado.
0.6 No publicada Segunda revisión externa: sin recolección de información clínica de candidatos (evaluaciones preocupacionales por el prestador SST); verificación adicional para solicitudes de alto impacto; minimización del registro de visitantes (sin número completo del documento).
1.0 1 de agosto de 2026 Versión oficial aprobada por la Dirección. Domicilio principal corregido a Cota (Cundinamarca) conforme al registro mercantil verificado en el RUES.
1.1 2 de agosto de 2026 Corrección de las secciones 7.6, 17 y 18: redacción condicional del aviso de cookies. El sitio no utiliza actualmente cookies sujetas a consentimiento; el aviso será exigible cuando se utilicen.
1.2 20 de octubre de 2026 Sección 1: la línea fija de atención general 601 300 4446 se reemplaza por 601 024 2802. Sin cambios en finalidades, derechos ni procedimientos.
1.3 17 de noviembre de 2026 Cambios en las secciones 7.2, 7.6, 15, 17, 18 y ajustes de vigencia (sección 21): consentimiento por categorías (Necesarias y Medición), medición solo con Google Analytics 4, carga de Google Tag Manager posterior a la aceptación, atribución opcional e inventario efectivo, sin herramientas publicitarias activas.

Versión 1.3 — Vigente desde el 17 de noviembre de 2026.