Política de Tratamiento de Datos Personales

§1Identificación del responsable

El numeral 1 del artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, que compiló el artículo 13 del Decreto 1377 de 2013, exige identificar al responsable con cinco elementos: nombre o razón social, domicilio, dirección, correo electrónico y teléfono. La enumeración es copulativa: la disyunción está solo en el primer par, que distingue persona natural de persona jurídica.

Lo que la norma no exige y por eso no aparece aquí. El numeral 1 no menciona el NIT ni el nombre del representante legal, y esta política no los publica. Quien necesite verificar la existencia y la representación de Impactia SAS lo hace en el certificado de existencia y representación legal de la Cámara de Comercio, que es el documento idóneo para eso y es público. Publicar el nombre de una persona natural en un documento cuyo objeto es proteger datos personales, sin que la norma lo pida, contradice el principio de minimización.

Lo que sí designa esta política. El numeral 4 del mismo artículo exige señalar la persona o área que atiende peticiones, consultas y reclamos, y el artículo 2.2.2.25.4.4 del Decreto 1074 de 2015 obliga a todo responsable y a todo encargado a designar a alguien con esa función. Ese cargo no es el representante legal: es un rol funcional. Mientras Impactia SAS no tenga área independiente, la función la asume la Dirección General, y el canal único es el correo de la tabla anterior. La designación formal por parte de la representación legal es uno de los puntos abiertos del checklist de adopción.

§2Alcance y ámbito de aplicación

Esta política aplica a todo tratamiento de datos personales de personas naturales que Impactia SAS realice en desarrollo de la operación de Legios, en Colombia o desde Colombia, con independencia del soporte (formularios web, hojas de cálculo, correo electrónico, bases de datos de la plataforma) y del proveedor de infraestructura que se utilice.

Impactia SAS opera hoy con un doble rol frente al régimen de habeas data, y los deberes son distintos en cada uno. La distinción no es formal: define quién responde ante la Superintendencia de Industria y Comercio si algo sale mal.

Queda fuera de esta política: el tratamiento de datos que cada firma clienta realice como responsable dentro de su propia operación, que se rige por la política de tratamiento de esa firma. Impactia SAS no define las finalidades de los datos contenidos en los expedientes: los trata únicamente por cuenta y bajo instrucciones de la firma que los cargó, en los términos del contrato de encargo y transmisión. Tampoco cubre esta política la Ley 1266 de 2008 (habeas data financiero), porque Legios no trata datos con fines de cálculo de riesgo crediticio ni reporta a operadores de información financiera.

2.1 Qué significa esto para el cliente de una firma

Si usted es cliente, contraparte, testigo o tercero mencionado en un proceso que un abogado lleva usando Legios, sus datos están en el expediente de esa firma, y la firma es la responsable de ellos. Impactia SAS no decidió recogerlos, no define para qué se usan, no los usa para nada propio y no los cede a nadie. Los custodia por cuenta de la firma, con las medidas de seguridad de la sección 12 de esta política.

La consecuencia práctica es que el titular de esos datos ejerce sus derechos ante la firma de abogados, no ante Impactia SAS. Es la firma la que sabe por qué está tratando esa información, qué autorización tiene, qué deberes de conservación pesan sobre el proceso y qué puede entregarse. Impactia SAS no lo sabe y no puede averiguarlo sin entrar al expediente, que es precisamente lo que no debe hacer.

2.2 Qué hace Impactia SAS si un tercero le escribe directamente

Ser encargado no autoriza a ignorar a nadie. El artículo 15 de la Ley 1581 de 2012 permite dirigir el reclamo indistintamente al responsable o al encargado, y el artículo 18 impone al encargado deberes propios de atención. Por eso Impactia SAS no responde no somos nosotros y cierra: aplica un procedimiento reglado, en estos pasos y en este orden.

El paso 4 es la parte que más se malinterpreta, así que conviene decirlo sin rodeos: el traslado es un acto positivo y documentado, no una omisión. Una respuesta del tipo eso no nos corresponde, sin traslado y sin constancia, deja al titular sin trámite, le abre la puerta a la queja ante la Superintendencia por la vía del artículo 16, y es justo el escenario en el que la autoridad entra a examinar quién decidía de verdad sobre esa base de datos.

2.3 Los límites de esta separación, dichos con franqueza

Esta política delimita responsabilidades; no las elimina. Tres precisiones que Impactia SAS asume por escrito porque son ciertas y ocultarlas no protegería a nadie:

• La calidad de encargado no es un escudo. Los artículos 22 y 23 de la Ley 1581 de 2012 facultan a la Superintendencia de Industria y Comercio para adoptar medidas e imponer sanciones tanto al responsable como al encargado. Impactia SAS responde por sus propios deberes: seguridad de la información, control de accesos, atención y traslado de solicitudes, reporte de incidentes y cumplimiento de los requerimientos de la autoridad.
• La calificación se decide por los hechos, no por el nombre. El artículo 3 de la Ley 1581 de 2012 define al responsable como quien decide sobre la base de datos y/o el tratamiento. Si Impactia SAS decidiera por su cuenta finalidades, retención, accesos o reutilización del contenido de los expedientes, sería responsable de hecho por más que este documento diga otra cosa. Por eso las instrucciones de cada firma se documentan en el contrato de transmisión, y por eso Impactia SAS no usa el contenido de los expedientes para ningún fin propio, incluido el entrenamiento de modelos.
• El contrato es lo que hace oponible esta separación. El artículo 2.2.2.25.5.2 del Decreto 1074 de 2015 fija el contenido mínimo del contrato entre responsable y encargado: alcance del tratamiento, actividades que el encargado ejecuta por cuenta del responsable, obligaciones frente al titular y frente al responsable, y los compromisos de tratar conforme a los principios, salvaguardar la seguridad y guardar confidencialidad. Ninguna firma debe cargar un expediente en Legios antes de firmarlo.

§3Definiciones

Los términos que siguen se usan en el sentido que les dan el artículo 3 de la Ley 1581 de 2012, el artículo 3 del Decreto 1377 de 2013 y la Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio.

§4Principios que rigen el tratamiento

El artículo 4 de la Ley 1581 de 2012 fija ocho principios de aplicación obligatoria. Estos son los criterios con los que Impactia SAS declara querer operar y contra los cuales el abogado revisor debe contrastar la operación real.

§5Finalidades del tratamiento por tipo de titular

El artículo 13 numeral 2 del Decreto 1377 de 2013 exige declarar el tratamiento al cual serán sometidos los datos y su finalidad. La tabla separa las finalidades por tipo de titular porque los deberes, la base de la autorización y los plazos de conservación son distintos en cada caso.

5.1 Prospectos captados en la landing de Legios

Rol de Impactia SAS: responsable del tratamiento. Datos tratados: nombre, cargo, nombre de la firma, tamaño de la firma, correo electrónico, teléfono o WhatsApp y las respuestas abiertas que el prospecto decida escribir en el formulario.

Lo que Impactia SAS declara que no hace con estos datos: no los incorpora a listas de correo masivo ni a campañas publicitarias distintas del seguimiento de la demo solicitada, no los vende, no los cede a terceros con fines comerciales y no los usa para entrenar modelos de inteligencia artificial. Cualquiera de esas actividades exigiría una autorización nueva y específica del titular.

5.2 Personas entrevistadas en el proceso de descubrimiento F0

Rol de Impactia SAS: responsable del tratamiento. Datos tratados: nombre, cargo, firma a la que pertenece, correo, teléfono y las respuestas dadas durante la entrevista, incluidas notas del entrevistador y, cuando el entrevistado lo autorice expresamente, la grabación de audio o video.

La grabación es siempre facultativa y su negativa no impide participar en la entrevista. Si el entrevistado no autoriza la grabación, se toman notas escritas y así se le informa. El texto de autorización que se lee al inicio de la sesión está en el Anexo B2.

5.3 Usuarios de la plataforma Legios

Rol de Impactia SAS: responsable del tratamiento respecto de los datos de cuenta de las personas que usan el software. Datos tratados: nombre, correo corporativo, cargo o rol dentro de la firma, credenciales de acceso en forma cifrada, registros de actividad y datos técnicos de conexión (dirección IP, dispositivo, fecha y hora).

5.4 Datos de terceros contenidos en los expedientes: rol de encargado

Cuando una firma clienta carga expedientes en Legios, esos expedientes contienen datos de personas que nunca tuvieron relación con Impactia SAS: clientes de la firma, contrapartes, testigos, peritos, apoderados y, en materias de familia, penal o laboral, con alta probabilidad menores de edad y datos sensibles.

5.5 Proveedores, contratistas y aspirantes

Rol de Impactia SAS: responsable del tratamiento. Datos tratados: nombre, documento de identidad, datos de contacto, información bancaria de pago y hoja de vida en el caso de aspirantes. Finalidades: gestionar la relación contractual, efectuar pagos, cumplir obligaciones tributarias y contables, y adelantar procesos de selección. La hoja de vida de un aspirante no seleccionado se conserva por un máximo de un año y luego se suprime, salvo autorización expresa del titular para conservarla más tiempo.

§6Datos sensibles y datos de menores

El artículo 6 de la Ley 1581 de 2012 prohíbe el tratamiento de datos sensibles, con excepciones taxativas. El artículo 6 del Decreto 1377 de 2013 añade tres reglas que aplican a toda recolección de datos sensibles: informar al titular que no está obligado a autorizar su tratamiento, informar cuáles de los datos solicitados son sensibles y por qué se tratan, y obtener el consentimiento explícito y previo. Además, prohíbe condicionar cualquier actividad al suministro de datos sensibles.

En el rol de responsable

Impactia SAS no recoge datos sensibles de prospectos, entrevistados ni usuarios de la plataforma. Los formularios de captación no incluyen campos de salud, origen étnico, orientación política, convicciones religiosas, vida sexual ni datos biométricos, y no deben incluirlos. Si en el futuro alguna funcionalidad lo exigiera, se requerirá autorización explícita, separada y previa, con la advertencia expresa de que responder es facultativo.

En el rol de encargado

Los expedientes que carguen las firmas contendrán datos sensibles con alta probabilidad. Impactia SAS no decide sobre ellos, pero como encargado debe sostener el estándar de seguridad más alto respecto de esa información: cifrado en reposo y en tránsito, control de acceso por rol, mínimo privilegio para el personal propio, trazabilidad de accesos y prohibición de que datos sensibles aparezcan en registros técnicos, en mensajes de WhatsApp o en cualquier canal no cifrado. La excepción legal que permite tratar datos sensibles en el marco del ejercicio del derecho de defensa ampara a la firma en su calidad de apoderada, no automáticamente a su proveedor de software: esa es precisamente la razón por la cual el contrato de encargo debe delimitar el alcance del tratamiento.

Datos de niñas, niños y adolescentes

El artículo 7 de la Ley 1581 de 2012 y el artículo 12 del Decreto 1377 de 2013 sujetan el tratamiento de datos de menores a que responda al respeto de sus derechos prevalentes, a que se atienda su interés superior y a que se obtenga la autorización del representante legal, previa opinión del menor cuando pueda expresarla. Impactia SAS no recoge datos de menores como responsable. Cuando aparezcan en expedientes, se aplican las reglas del párrafo anterior y la responsabilidad de la base legal corresponde a la firma que los cargó.

§7Derechos de los titulares

El artículo 8 de la Ley 1581 de 2012 reconoce a todo titular los siguientes derechos, que Impactia SAS debe garantizar tanto en su rol de responsable como, en lo que le corresponda, en su rol de encargado.

Estos derechos pueden ejercerlos el titular, sus causahabientes, su representante o apoderado, y quien actúe por estipulación a favor de otro. Impactia SAS puede exigir la identificación del solicitante antes de responder, como medida de seguridad frente a suplantación.

§8Deberes de Impactia SAS

Los artículos 17 y 18 de la Ley 1581 de 2012 separan los deberes según el rol. Esta sección los resume aplicados a la operación de Legios. El listado no sustituye el texto legal.

Como responsable (artículo 17)

Como encargado (artículo 18)

§9Autorización: obtención, prueba y revocatoria

El artículo 9 de la Ley 1581 de 2012 exige autorización previa e informada del titular, obtenida por cualquier medio que pueda ser objeto de consulta posterior. El artículo 7 del Decreto 1377 de 2013 admite que se obtenga por escrito, de forma oral o mediante conductas inequívocas del titular que permitan concluir de manera razonable que otorgó la autorización, y advierte que el silencio nunca puede asimilarse a una conducta inequívoca.

Cómo se obtiene en cada punto de captura

Prueba de la autorización

El artículo 8 del Decreto 1377 de 2013 obliga al responsable a conservar prueba de la autorización otorgada. El artículo 16 del mismo decreto añade el deber de conservar el modelo del aviso de privacidad utilizado, mientras se traten datos conforme a él y perduren las obligaciones derivadas del tratamiento, empleando mecanismos que garanticen su consulta posterior en los términos de la Ley 527 de 1999. Por eso el control de cambios de §14 registra cada versión del texto de autorización con su fecha de entrada en vigor.

Revocatoria y supresión

Conforme al artículo 9 del Decreto 1377 de 2013, el titular puede revocar la autorización en cualquier momento y solicitar la supresión de sus datos, y el responsable debe disponer de mecanismos gratuitos y de fácil acceso para ello. La revocatoria puede ser total, cuando el titular pide que se deje de tratar por completo su información, o parcial, cuando se refiere solo a algunas finalidades. La solicitud se tramita como reclamo por el canal de §10. La supresión no procede cuando exista un deber legal o contractual de conservar el dato.

§10Consultas y reclamos: canal y plazos

Los plazos de esta sección son los que fijan los artículos 14 y 15 de la Ley 1581 de 2012. No son plazos internos de cortesía: su incumplimiento es una infracción sancionable.

Canal de atención

Todas las peticiones, consultas y reclamos se reciben en info@impactia.co, atendidos por la Dirección General de Impactia SAS. La solicitud debe indicar el nombre del titular, una descripción de los hechos, la dirección de notificación y los documentos que se quieran hacer valer.

Consultas (artículo 14)

Reclamos (artículo 15)

El detalle de cada término, incluidos los dos meses que tiene el titular para subsanar un reclamo incompleto y el texto de la leyenda "reclamo en trámite", está en la tabla siguiente.

Si el reclamo se dirige a Impactia SAS pero no es la entidad competente, por tratarse de datos contenidos en un expediente cuya responsable es una firma clienta, Impactia SAS dará traslado a la firma responsable dentro de los dos (2) días hábiles siguientes e informará al titular de la situación, indicándole ante quién quedó radicada su solicitud y en qué fecha. Ambas comunicaciones quedan documentadas. El plazo y el deber son los del inciso final del numeral 1 del artículo 15 de la Ley 1581 de 2012, que ordena a quien recibe un reclamo sin ser competente dar traslado a quien corresponda en un término máximo de dos días hábiles e informar de la situación al interesado.

Ese traslado no es una forma cortés de negarse: es la conducta que la ley manda y es la que protege al titular, que de otro modo quedaría sin trámite. El procedimiento completo, con los seis pasos y sus fundamentos, está en la sección 2.2 de esta política.

Agotado el trámite de consulta o reclamo, el titular puede presentar queja ante la Superintendencia de Industria y Comercio. El artículo 16 de la Ley 1581 de 2012 establece ese agotamiento como requisito de procedibilidad.

§11Transferencias y transmisiones internacionales

La infraestructura de Legios se apoya en proveedores cuyos servidores están fuera de Colombia. Eso implica un flujo transfronterizo de datos que el régimen colombiano regula de forma distinta según quién sea el receptor.

Dónde están los datos, y por qué la operación es viable

La base de datos y el almacenamiento de archivos de Legios están en São Paulo, Brasil, sobre infraestructura de Amazon Web Services contratada por Supabase, Inc. Esta política nombra el país porque el titular tiene derecho a saber a dónde van sus datos, y porque una política que declara un destino equivocado incumple el principio de veracidad del literal d) del artículo 4 de la Ley 1581 de 2012.

El artículo 26 de la Ley 1581 de 2012 prohíbe la transferencia de datos a países que no proporcionen niveles adecuados de protección, con excepciones. El numeral 3.2 del Capítulo Tercero del Título V de la Circular Única de la Superintendencia de Industria y Comercio fija la lista de países con nivel adecuado, y su enumeración termina con una cláusula de remisión: "y los países que han sido declarados con el nivel adecuado de protección por la Comisión Europea". La Comisión Europea declaró adecuado a Brasil mediante la Decisión de Ejecución (UE) 2026/179, del 26 de enero de 2026, para el sector público y el privado, con la exclusión de los tratamientos hechos con fines exclusivos de seguridad pública, defensa, seguridad del Estado y persecución penal, exclusión que no alcanza a esta operación.

Adicionalmente, la Circular 005 de 2017 precisa que la transmisión de datos entre un responsable y un encargado no requiere ser informada al titular ni contar con su consentimiento cuando exista un contrato de transmisión que cumpla el artículo 25 del Decreto 1377 de 2013, es decir, que fije el alcance del tratamiento, las actividades que el encargado realizará por cuenta del responsable y sus obligaciones de protección, seguridad y confidencialidad.

Impactia SAS declara que no realiza transferencias internacionales de datos personales a terceros que actúen como responsables, es decir, no comparte datos con receptores en el exterior que decidan por sí mismos sobre su tratamiento.

§12Seguridad de la información

El principio de seguridad del artículo 4 literal g de la Ley 1581 de 2012 y el deber del artículo 17 literal d obligan a adoptar medidas técnicas, humanas y administrativas para evitar adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. El artículo 26 del Decreto 1377 de 2013 exige, además, que esas medidas sean apropiadas y efectivas frente a la naturaleza de los datos, el tipo de tratamiento y los riesgos potenciales: es el principio de responsabilidad demostrada.

La columna de estado es deliberadamente honesta: varias medidas todavía no existen. Publicar una política que afirme controles inexistentes agrava el riesgo en lugar de reducirlo, porque convierte una brecha operativa en una declaración inexacta ante los titulares y ante la autoridad.

§13Vigencia de la política y de las bases de datos

13.1 Vigencia de la política

El numeral 6 del artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, que compiló el artículo 13 del Decreto 1377 de 2013, exige que la política indique su fecha de entrada en vigencia y el periodo de vigencia de las bases de datos. Esta política rige desde el 1 de septiembre de 2026, fecha en que la representación legal de Impactia SAS la adopta, previa revisión jurídica de Juan Pablo Velandia. El periodo de vigencia de cada base de datos está en 13.2.

La política se publica antes de esa fecha, en la dirección /politica-de-datos del sitio de Legios, para que quien autorice el tratamiento pueda leerla antes de decidir. Lo que se recoja entre la publicación y el 1 de septiembre se rige por esta misma política: se publica antes precisamente para no pedir consentimiento contra un documento que nadie puede ver.

Cuando se introduzcan cambios sustanciales en las finalidades del tratamiento, Impactia SAS los comunicará a los titulares antes de implementarlos y, si el cambio afecta el alcance de la autorización, solicitará una nueva, conforme al artículo 5 del Decreto 1377 de 2013.

13.2 Vigencia de las bases de datos

Los plazos de esta tabla son una propuesta que debe validar el abogado revisor. Vencido el periodo de vigencia y cumplida la finalidad, los datos se suprimen o se anonimizan de forma irreversible, salvo deber legal o contractual de conservación.

13.3 Registro Nacional de Bases de Datos

El Decreto 090 de 2018 modificó el universo de obligados al Registro Nacional de Bases de Datos que administra la Superintendencia de Industria y Comercio. Conforme al concepto publicado por la propia SIC, hoy deben inscribir sus bases de datos las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y las personas jurídicas de naturaleza pública. Los establecimientos de comercio y las sucursales están expresamente excluidos.

Para 2026, 100.000 UVT equivalen aproximadamente a COP 5.237 millones. Impactia SAS está muy por debajo de ese umbral, de modo que hoy no le corresponde inscribir sus bases en el RNBD. Ese es el único punto en el que la sociedad queda relevada: el mismo concepto de la SIC aclara que quienes no están obligados a registrar siguen sujetos a todos los demás deberes de la Ley 1581 de 2012, incluidos política de tratamiento, aviso de privacidad, autorización, seguridad y atención de consultas y reclamos.

El umbral se verifica contra los activos totales al cierre de cada ejercicio. Si Impactia SAS lo supera, por ejemplo tras una ronda de inversión, nacen obligaciones adicionales con calendario propio: inscripción de las bases dentro de los dos meses siguientes a su creación, actualización anual entre el 2 de enero y el 31 de marzo, reporte de cambios sustanciales dentro de los diez primeros días hábiles del mes siguiente a su ocurrencia, reporte semestral de reclamos de titulares (con vencimientos en febrero y agosto) y reporte de incidentes de seguridad dentro de los quince días hábiles siguientes a su detección. La verificación anual del umbral queda incorporada al calendario societario, según el checklist de §15.

§14Control de cambios

Regla de actualización: esta política se revisa al menos una vez al año y, en todo caso, cuando ocurra cualquiera de estos eventos: entrada en vigencia de una reforma al régimen de protección de datos personales, cambio de proveedor o de región de alojamiento, incorporación de un subencargado nuevo, apertura de una finalidad de tratamiento no declarada en §5, cierre contable que acerque los activos al umbral del RNBD, o incidente de seguridad. La versión vigente y sus versiones anteriores se conservan, junto con los modelos de aviso de privacidad y los textos de autorización usados en cada periodo, conforme al artículo 16 del Decreto 1377 de 2013.

Nota sobre la reforma en curso: en agosto de 2025 el Gobierno radicó ante el Congreso un proyecto de ley para actualizar el régimen de protección de datos personales, con figuras como el interés legítimo, la portabilidad, las evaluaciones de impacto y el reporte de incidentes. El estado se verificó de nuevo el 28 de agosto de 2026, antes de adoptar esta política, en el sistema de la Cámara de Representantes: el proyecto 274 de 2025 C fue radicado el 27 de agosto de 2025, aprobado en primer debate el 28 de octubre de 2025, acumulado con el 214 de 2025 C por el artículo 151 de la Ley 5 de 1992 y finalmente archivado por el artículo 190 de la misma ley, sin llegar a plenaria ni a sanción presidencial. Por lo tanto el régimen aplicable sigue siendo la Ley 1581 de 2012 con sus decretos reglamentarios. Si el Gobierno vuelve a radicar la reforma, esta política se revisa por la regla de actualización de arriba.

Anexo AAviso de privacidad

Versión corta que se entrega al titular en el momento de la recolección o antes. Cumple la función de los artículos 14 y 15 del Decreto 1377 de 2013: informar la existencia de esta política, cómo acceder a ella, el tratamiento y su finalidad, y los derechos del titular. Se conserva el modelo de cada versión utilizada, conforme al artículo 16 del mismo decreto.