Política de Tratamiento
de Datos Personales

1. Identificación del Responsable del Tratamiento

CCM Consultores & Abogados S.A.S., sociedad comercial constituida y domiciliada en la República de Colombia, que opera bajo la marca comercial CCR Legal (en adelante, "CCR Legal", "la Firma" o "el Responsable"), en su condición de Responsable del Tratamiento de datos personales, establece la presente Política de Tratamiento de Datos Personales (en adelante, la "Política") con el propósito de garantizar el cumplimiento de la normatividad vigente en materia de protección de datos personales.

Razón social	CCM Consultores & Abogados S.A.S.
Marca comercial	CCR Legal
Domicilio	Bogotá D.C., Colombia
Correo electrónico para datos personales	datospersonales@ccrlegal.co
Área responsable	Dirección Administrativa y de Cumplimiento

2. Marco normativo

La presente Política se fundamenta en las siguientes disposiciones del ordenamiento jurídico colombiano:

• Artículos 15 y 20 de la Constitución Política de Colombia, que consagran los derechos fundamentales a la intimidad, al buen nombre y al habeas data.
• Ley Estatutaria 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales.
• Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2012, compilado en el Decreto 1074 de 2015 (Decreto Único Reglamentario del Sector Comercio, Industria y Turismo).
• Ley 1266 de 2008, por la cual se dictan las disposiciones generales del habeas data financiero.
• Título V de la Circular Única de la Superintendencia de Industria y Comercio.
• Ley 2300 de 2023, por medio de la cual se establecen medidas para la protección del derecho a la intimidad de los consumidores.
• Las demás normas concordantes y reglamentarias que resulten aplicables.

3. Ámbito de aplicación

La presente Política se aplica al tratamiento de datos personales que CCR Legal realice en territorio colombiano, sobre cualquier base de datos que se encuentre bajo su custodia, ya sea en calidad de Responsable o de Encargado del Tratamiento, según corresponda.

Las disposiciones contenidas en esta Política vinculan a todos los socios, empleados, contratistas y colaboradores de CCR Legal que, en razón de sus funciones, tengan acceso a datos personales administrados por la Firma.

Quedan excluidos del ámbito de aplicación de esta Política los datos contenidos en bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico, así como aquellos que por disposición legal tengan un régimen especial de protección.

4. Definiciones

Para los efectos de la presente Política y de conformidad con lo establecido en la Ley 1581 de 2012 y el Decreto 1074 de 2015, se adoptan las siguientes definiciones:

• Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de sus datos personales.
• Base de Datos: Conjunto organizado de datos personales que es objeto de Tratamiento, ya sea automatizado o físico.
• Dato Personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato Personal Sensible: Dato que afecta la intimidad del Titular o cuyo uso indebido puede generar su discriminación. Incluye datos relativos al origen racial o étnico, orientación política, convicciones religiosas, pertenencia a sindicatos, salud, vida sexual y datos biométricos.
• Dato Público: Dato calificado como tal por la ley o la Constitución, o que no es semiprivado, privado ni sensible. Son considerados públicos, entre otros, los contenidos en documentos públicos, sentencias judiciales y registros públicos.
• Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el Tratamiento de datos personales por cuenta del Responsable del Tratamiento.
• Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la Base de Datos y el Tratamiento de los datos personales.
• Titular: Persona natural cuyos datos personales sean objeto de Tratamiento.
• Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
• Transferencia: La Transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales envía la información a otro Responsable del Tratamiento que se encuentra dentro o fuera del país.
• Transmisión: Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia, cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable.
• Oficial de Protección de Datos Personales (OPDP): Persona o área designada al interior de CCR Legal encargada de velar por la implementación efectiva de las políticas y procedimientos de protección de datos personales, y de tramitar las solicitudes de los Titulares.

5. Principios rectores

El Tratamiento de datos personales por parte de CCR Legal se regirá por los siguientes principios, los cuales serán interpretados de forma armónica e integral:

• Legalidad: El Tratamiento es una actividad reglada que debe sujetarse a la Constitución y a la ley.
• Finalidad: El Tratamiento debe obedecer a una finalidad legítima, la cual debe ser informada al Titular de manera previa, precisa y concreta.
• Libertad: El Tratamiento solo puede ejercerse con el consentimiento previo, expreso e informado del Titular, salvo las excepciones legales.
• Veracidad: La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.
• Transparencia: Debe garantizarse al Titular el derecho a obtener información acerca de la existencia de datos que le conciernan, en cualquier momento y sin restricciones.
• Acceso y circulación restringida: Los datos personales no estarán disponibles en internet u otros medios de divulgación masiva, salvo que el acceso sea técnicamente controlable.
• Seguridad: La información será manejada con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros.
• Confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales están obligadas a garantizar la reserva de la información, incluso después de finalizada su vinculación con la Firma.
• Temporalidad: Los datos personales se conservarán únicamente durante el tiempo necesario para cumplir las finalidades que justificaron su Tratamiento, salvo disposición legal en contrario.

6. Tipos de datos personales tratados

En desarrollo de su objeto social, CCR Legal podrá tratar, entre otras, las siguientes categorías de datos personales:

• Datos de identificación: Nombre completo, número de documento de identidad, lugar y fecha de nacimiento, estado civil, nacionalidad.
• Datos de contacto: Dirección de domicilio, dirección de correo electrónico, números telefónicos.
• Datos profesionales y laborales: Cargo, empresa, historial laboral, referencias laborales.
• Datos académicos: Títulos obtenidos, instituciones educativas, certificaciones profesionales.
• Datos financieros y tributarios: Información bancaria para pagos, datos de facturación, RUT.
• Datos sensibles: Solo cuando resulte estrictamente necesario y cuente con autorización expresa del Titular o exista habilitación legal.
• Datos biométricos: Registros de ingreso a instalaciones mediante sistemas de identificación dactilar o de reconocimiento, grabaciones de circuito cerrado de televisión (CCTV).

7. Finalidades del tratamiento

CCR Legal tratará los datos personales únicamente para las finalidades que hayan sido informadas al Titular al momento de la recolección de los datos y que estén incluidas en la correspondiente Autorización. Las finalidades se segmentan según la relación con el Titular, así:

7.1. Clientes y usuarios de servicios legales

• Prestar los servicios profesionales contratados y gestionar la relación contractual.
• Cumplir con las obligaciones legales, contables y tributarias derivadas de la relación contractual.
• Gestionar la facturación y, en caso de ser necesario, adelantar gestiones de cobro.
• Realizar seguimiento a la calidad del servicio profesional prestado.
• Enviar comunicaciones de interés relacionadas con los servicios contratados, novedades jurídicas y actualizaciones normativas, previa autorización del Titular.

7.2. Proveedores y contratistas

• Gestionar la relación contractual con proveedores y contratistas.
• Realizar pagos y cumplir obligaciones contables y tributarias.
• Verificar antecedentes y referencias.
• Generar órdenes de compra y correspondencia.

7.3. Empleados y colaboradores

• Dar cumplimiento al contrato laboral o de prestación de servicios y a las obligaciones legales derivadas del mismo.
• Realizar afiliaciones al sistema de seguridad social integral.
• Gestionar nómina, prestaciones sociales y aportes parafiscales.
• Custodiar el historial académico y laboral.
• Mantener canales de contacto con el empleado y, cuando resulte necesario, con sus familiares.
• Conservar información de exempleados para efectos de requerimientos legales o referencias.

7.4. Candidatos a vacantes

• Evaluar la idoneidad del candidato para las posiciones disponibles.
• Conservar la hoja de vida por un periodo razonable para futuras oportunidades, previa autorización.

8. Derechos de los titulares

De conformidad con el artículo 8 de la Ley 1581 de 2012, los Titulares de los datos personales tienen los siguientes derechos, los cuales podrán ser ejercidos directamente o por medio de apoderado debidamente acreditado:

• Conocer, actualizar y rectificar sus datos personales frente a CCR Legal.
• Solicitar prueba de la Autorización otorgada, salvo cuando la ley exceptué dicho requisito.
• Ser informado, previa solicitud, respecto del uso que CCR Legal ha dado a sus datos personales.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la normatividad vigente, una vez agotado el trámite previo ante CCR Legal.
• Revocar la Autorización y/o solicitar la supresión de sus datos cuando en el Tratamiento no se respeten los principios, derechos y garantías legales y constitucionales.
• Acceder de forma gratuita a sus datos personales que hayan sido objeto de Tratamiento.

9. Deberes del Responsable y del Encargado

CCR Legal, en su condición de Responsable del Tratamiento, dará cumplimiento a los deberes previstos en los artículos 17 y 18 de la Ley 1581 de 2012, así como a aquellos establecidos en el Decreto 1074 de 2015 y las instrucciones impartidas por la SIC.

Cuando CCR Legal actúe como Encargado del Tratamiento por cuenta de un tercero, cumplirá las obligaciones propias de dicha condición, incluyendo el deber de actuar conforme a las instrucciones del Responsable y de garantizar las condiciones de seguridad de la información.

10. Procedimiento para el ejercicio de derechos

Los Titulares podrán ejercer sus derechos mediante solicitud escrita dirigida a CCR Legal a través del canal indicado en la sección 11 de la presente Política. La solicitud deberá contener, como mínimo:

• Identificación completa del Titular (nombre y documento de identidad) y, de ser el caso, de su apoderado.
• Descripción precisa de los hechos que fundamentan la solicitud y el derecho que se pretende ejercer.
• Dirección física o electrónica para notificaciones.
• Documentos soporte de la solicitud, si los hubiere.

10.1. Consultas

Las consultas serán atendidas en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la solicitud. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado antes del vencimiento de los diez (10) días, expresando los motivos de la demora y señalando la fecha en que se atenderá, la cual no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término (artículo 14 de la Ley 1581 de 2012).

10.2. Reclamos

Los reclamos serán atendidos en un término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá, la cual no podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término (artículo 15 de la Ley 1581 de 2012).

En caso de que la solicitud resulte incompleta, CCR Legal requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las faltas. Si transcurren dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.

11. Canal de atención

CCR Legal ha designado el siguiente canal para la recepción de consultas, peticiones y reclamos en ejercicio de los derechos de los Titulares:

Correo electrónico: datospersonales@ccrlegal.co

Cualquier cambio en el canal de atención será informado oportunamente a los Titulares a través de los medios dispuestos por la Firma.

12. Autorización para el tratamiento

CCR Legal obtendrá la Autorización previa, expresa e informada de los Titulares antes de realizar cualquier Tratamiento de datos personales, salvo en los casos expresamente exceptuados por la ley (artículo 10 de la Ley 1581 de 2012).

La Autorización podrá obtenerse por cualquier medio que permita ser consultada con posterioridad, incluyendo medios físicos, electrónicos o verbales. Al momento de solicitar la Autorización, CCR Legal informará al Titular, de manera clara y expresa:

• El Tratamiento al cual serán sometidos sus datos personales y las finalidades del mismo.
• El carácter facultativo de la respuesta a las preguntas que le sean formuladas, cuando estas versen sobre datos sensibles o datos de niños, niñas y adolescentes.
• Los derechos que le asisten como Titular.
• La identificación y datos de contacto del Responsable del Tratamiento.

CCR Legal conservará copia o evidencia de la Autorización otorgada por cada Titular.

13. Tratamiento de datos sensibles

CCR Legal podrá tratar datos sensibles únicamente cuando:

• El Titular haya dado su Autorización explícita, previa información al Titular del carácter facultativo de la entrega de dichos datos.
• El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado.
• El Tratamiento sea realizado en el curso de actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro.
• El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
• El Tratamiento tenga una finalidad histórica, estadística o científica, en cuyo caso deberán adoptarse medidas conducentes a la supresión de identidad de los Titulares.

Ningún Titular estará obligado a suministrar datos sensibles. La negativa a proporcionarlos no podrá ser motivo para condicionar la prestación de los servicios de la Firma, salvo que dichos datos resulten estrictamente necesarios para la finalidad del Tratamiento.

14. Tratamiento de datos de menores de edad

CCR Legal, como regla general, se abstiene de tratar datos personales de niños, niñas y adolescentes. No obstante, cuando dicho Tratamiento resulte indispensable, se llevará a cabo atendiendo las siguientes condiciones:

• La Autorización será otorgada por el representante legal del menor, quien será previamente informado sobre el Tratamiento y sus finalidades.
• Se respetarán los derechos prevalentes de los niños, niñas y adolescentes reconocidos por la Constitución Política.
• El Tratamiento responderá al interés superior de los niños, niñas y adolescentes y al respeto de sus derechos fundamentales.

15. Transferencia y transmisión internacional de datos

CCR Legal podrá realizar transferencias y transmisiones internacionales de datos personales únicamente en los siguientes supuestos:

• Cuando el país receptor ofrezca niveles adecuados de protección de datos, de conformidad con los estándares fijados por la SIC.
• Cuando exista Autorización expresa e inequívoca del Titular.
• Cuando se trate de los demás casos exceptuados por el artículo 26 de la Ley 1581 de 2012.

En los casos de Transmisión de datos a Encargados ubicados fuera del país, CCR Legal suscribirá los correspondientes acuerdos de transmisión de datos, garantizando que el Encargado se comprometa a observar niveles adecuados de seguridad y confidencialidad.

16. Medidas de seguridad

CCR Legal adoptará las medidas técnicas, humanas y administrativas que resulten necesarias para otorgar seguridad a los datos personales bajo su custodia, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Entre otras, la Firma implementará:

• Controles de acceso lógico y físico a las bases de datos y a los sistemas de información.
• Protocolos de cifrado para la transmisión de datos sensibles.
• Cláusulas de confidencialidad en los contratos laborales y de prestación de servicios.
• Capacitaciones periódicas al personal sobre buenas prácticas en materia de protección de datos personales.
• Procedimientos de respaldo y recuperación de la información.

17. Incidentes de seguridad

En caso de que se presente un incidente de seguridad que comprometa la confidencialidad, integridad o disponibilidad de datos personales, CCR Legal:

• Activará de manera inmediata los protocolos internos de respuesta a incidentes.
• Documentará el incidente, sus causas, efectos y las medidas correctivas adoptadas.
• Reportará el incidente a la Delegatura para la Protección de Datos Personales de la SIC dentro de los quince (15) días hábiles siguientes a su detección, de conformidad con el Titulo V de la Circular Única de la SIC.
• Informará a los Titulares afectados cuando el incidente pueda generar un riesgo significativo para sus derechos y libertades.

18. Temporalidad de los datos

Los datos personales serán conservados únicamente durante el tiempo razonablemente necesario para cumplir la finalidad para la cual fueron recolectados. Una vez agotada dicha finalidad, CCR Legal procederá a su supresión, salvo que exista una obligación legal o contractual que requiera su conservación por un período determinado, en cuyo caso los datos se mantendrán bajo medidas de seguridad reforzadas y con acceso restringido.

19. Prohibiciones

En el marco de la presente Política, CCR Legal establece las siguientes prohibiciones:

• Queda prohibido el Tratamiento de datos personales sensibles sin la Autorización explícita del Titular, salvo las excepciones legales.
• Queda prohibida la cesión, comunicación o circulación de datos personales a terceros sin el consentimiento previo, expreso e informado del Titular o sin habilitación legal.
• Queda prohibida la Transferencia internacional de datos personales a países que no ofrezcan niveles adecuados de protección, salvo las excepciones previstas en la ley.
• Queda prohibido el uso de datos personales para finalidades distintas a las autorizadas por el Titular.

20. Procedimiento de quejas ante la SIC

El Titular o sus causahabientes podrán elevar queja ante la Superintendencia de Industria y Comercio únicamente una vez hayan agotado el trámite de consulta o reclamo directamente ante CCR Legal, de conformidad con lo previsto en el artículo 16 de la Ley 1581 de 2012 y el procedimiento establecido en la sección 10 de la presente Política.

21. Modificaciones a la política

CCR Legal se reserva el derecho de modificar la presente Política en cualquier momento, con el fin de adecuarla a cambios legislativos, jurisprudenciales, operativos o de políticas internas. Las modificaciones sustanciales serán comunicadas a los Titulares a través de los medios habituales de comunicación dispuestos por la Firma y publicadas en su sitio web.

22. Vigencia

La presente Política de Tratamiento de Datos Personales fue aprobada por CCR Legal y entra en vigencia a partir de su fecha de publicación. La Política tendrá vigencia indefinida hasta que sea sustituida o derogada por una nueva versión.