Política de Tratamiento de Datos Personales

Versión: 1.1
Fecha de actualización de esta copia web: 11 de octubre de 2026
Responsable del Tratamiento: Santiago Castaño Patiño
Contacto para consultas y reclamos: info@nerdico.co · WhatsApp +57 320 526 6808

1. Identificación del Responsable del Tratamiento

Nérdico es una persona natural que opera bajo la marca Nérdico y desarrolla actividades de servicios tecnológicos, sistematización, transformación digital, automatización, capacitación y acompañamiento empresarial.

Para efectos de esta política, Nérdico actuará como Responsable del Tratamiento cuando determine las finalidades y los medios del tratamiento de los datos personales.

Información de identificación

La identificación del Responsable se realiza como persona natural. El número de identificación tributaria (NIT) informado para el Responsable es 1053806278-4; su correspondencia con el RUT debe conservarse en los registros internos de identificación.

2. Objeto

La presente Política establece los criterios bajo los cuales Nérdico recolecta, almacena, usa, consulta, organiza, conserva, circula, transmite, transfiere y, cuando corresponda, suprime datos personales.

Su propósito es garantizar que el tratamiento se realice conforme a la Constitución Política, la Ley 1581 de 2012, su reglamentación vigente y las demás normas, instrucciones y criterios aplicables.

La política busca además integrar la protección de datos a la operación real de Nérdico: WEB → CRM → HELPDESK → CLIENTES → PROYECTOS → SOPORTE → AUTOMATIZACIONES → IA → CONTRATOS → AGENTES → DOCUMENTACIÓN.

3. Marco normativo

Esta política se desarrolla principalmente bajo:

• Constitución Política de Colombia, especialmente el artículo 15.
• Ley Estatutaria 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales.
• Decreto 1377 de 2013, en las disposiciones que permanecen vigentes, y sus normas compiladas o modificadas.
• Decreto Único Reglamentario 1074 de 2015, especialmente las disposiciones sobre protección de datos personales y Registro Nacional de Bases de Datos.
• Decreto 090 de 2018 y demás normas que regulen el ámbito y condiciones del Registro Nacional de Bases de Datos (RNBD).
• Decreto 255 de 2022, en lo relacionado con Normas Corporativas Vinculantes y las disposiciones que resulten aplicables.
• Instrucciones, circulares y doctrina vigente de la Superintendencia de Industria y Comercio (SIC).
• Las demás normas que modifiquen, adicionen, sustituyan o reglamenten el régimen aplicable.

La política deberá actualizarse cuando exista un cambio normativo, jurisprudencial o regulatorio relevante.

4. Ámbito de aplicación

Esta política aplica a los datos personales tratados por Nérdico en cualquier medio físico, electrónico, digital, automatizado o no automatizado, incluyendo información tratada mediante terceros cuando Nérdico sea Responsable o cuando las obligaciones contractuales y legales aplicables le correspondan como Encargado.

Puede comprender, entre otros:

• prospectos y contactos comerciales;
• clientes y sus representantes, administradores, colaboradores o contactos;
• proveedores y aliados;
• contratistas y colaboradores;
• candidatos, cuando corresponda;
• usuarios y visitantes de sitios web y canales digitales;
• personas que contacten a Nérdico por correo, WhatsApp, teléfono, formularios u otros canales;
• usuarios de CRM y Helpdesk;
• personas relacionadas con proyectos de implementación, soporte, mantenimiento y capacitación;
• información contenida en documentos, archivos y sistemas administrados por Nérdico;
• información tratada mediante automatizaciones, integraciones y herramientas de inteligencia artificial;
• datos personales a los que Nérdico acceda por cuenta de un cliente cuando actúe como Encargado.

El tratamiento deberá analizarse de acuerdo con la finalidad y con el rol jurídico de Nérdico en cada proceso.

5. Definiciones principales

Para esta política se adoptan, entre otras, las definiciones legales aplicables:

Dato personal: cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable.

Titular: persona natural cuyos datos personales sean objeto de Tratamiento.

Tratamiento: cualquier operación o conjunto de operaciones sobre datos personales, como recolección, almacenamiento, uso, circulación o supresión.

Responsable del Tratamiento: quien decide sobre la base de datos y/o el Tratamiento.

Encargado del Tratamiento: quien realiza el Tratamiento por cuenta del Responsable.

Autorización: consentimiento previo, expreso e informado del Titular para realizar el Tratamiento, salvo las excepciones legales.

Dato sensible: dato que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación, incluyendo, entre otros, datos relativos a salud, vida sexual, datos biométricos, origen racial o étnico, orientación política, convicciones religiosas o filosóficas y pertenencia sindical.

Transferencia: comunicación de datos a otro Responsable del Tratamiento.

Transmisión: comunicación de datos para que un Encargado realice el tratamiento por cuenta del Responsable.

Estas definiciones se interpretarán de acuerdo con la legislación vigente.

6. Roles de Nérdico: Responsable y Encargado

Nérdico no asumirá automáticamente el mismo rol jurídico en todos sus servicios.

6.1. Nérdico como Responsable

Nérdico será Responsable cuando determine las finalidades y los medios del tratamiento. Esto puede ocurrir, por ejemplo, respecto de información propia de:

• prospectos;
• clientes;
• proveedores;
• colaboradores;
• contactos comerciales;
• usuarios de sus canales;
• gestión administrativa;
• facturación;
• seguridad;
• relación comercial;
• comunicaciones empresariales.

6.2. Nérdico como Encargado

Nérdico podrá actuar como Encargado cuando trate datos personales por cuenta de un cliente u otro Responsable, siguiendo sus instrucciones.

Esto puede ocurrir en servicios de:

• soporte tecnológico;
• administración de sistemas;
• CRM;
• Helpdesk;
• POS;
• migración de información;
• automatizaciones;
• integraciones;
• almacenamiento;
• mantenimiento;
• implementación de soluciones;
• herramientas de IA;
• otros servicios en los que Nérdico acceda a datos del cliente por cuenta de este.

En estos casos, el tratamiento deberá limitarse a las instrucciones, finalidades y alcance autorizados por el Responsable, además de las obligaciones legales y contractuales aplicables.

7. Principios de tratamiento

Nérdico aplicará los principios establecidos por el régimen colombiano de protección de datos personales:

7.1. Legalidad

El Tratamiento estará sujeto a las disposiciones legales aplicables.

7.2. Finalidad

Los datos serán tratados para finalidades legítimas, determinadas, explícitas y previamente informadas cuando corresponda.

7.3. Libertad

Salvo las excepciones legales, el tratamiento requerirá autorización previa, expresa e informada del Titular.

7.4. Veracidad o calidad

La información deberá ser veraz, completa, exacta, actualizada, comprobable y comprensible.

7.5. Transparencia

El Titular podrá solicitar información sobre la existencia de datos que le conciernan y sobre el uso que se les haya dado, conforme a la ley.

7.6. Acceso y circulación restringida

El acceso estará limitado a personas autorizadas, a los terceros legalmente habilitados y a quienes lo necesiten para una finalidad legítima.

7.7. Seguridad

Nérdico adoptará medidas técnicas, humanas y administrativas razonables y proporcionales al riesgo para evitar adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

7.8. Confidencialidad

Quienes intervengan en el Tratamiento deberán mantener la reserva de la información personal que no tenga naturaleza pública, incluso después de terminada su relación con Nérdico cuando corresponda.

7.9. Necesidad y minimización

Como criterio operativo de Nérdico, no se recolectarán datos personales por el solo hecho de que una herramienta permita almacenarlos.

Antes de crear un campo, formulario o registro deberá evaluarse:

1. qué dato se necesita;
2. para qué finalidad;
3. quién necesita acceder;
4. durante cuánto tiempo;
5. dónde se almacenará;
6. qué riesgo implica su exposición;
7. si la finalidad puede cumplirse con menos información.

8. Finalidades del Tratamiento

Las finalidades aplicables dependerán del tipo de Titular, del servicio y del rol de Nérdico.

Entre las finalidades que pueden resultar aplicables se encuentran:

8.1. Relación comercial

• atender solicitudes de información;
• gestionar prospectos y oportunidades;
• realizar procesos de descubrimiento y diagnóstico;
• preparar propuestas;
• gestionar negociaciones y cierres;
• mantener la relación comercial;
• gestionar renovaciones y necesidades futuras;
• realizar comunicaciones relacionadas con la relación comercial;
• gestionar referidos cuando corresponda.

8.2. Prestación de servicios

• ejecutar contratos;
• coordinar proyectos;
• realizar implementaciones;
• prestar soporte y mantenimiento;
• gestionar tickets;
• administrar usuarios y permisos;
• realizar capacitaciones;
• documentar entregas;
• verificar funcionamiento;
• atender garantías e incidencias;
• prestar servicios de automatización, integración, sistematización e IA.

8.3. Administración y gestión empresarial

• facturación y cartera;
• gestión contable y financiera;
• administración de proveedores y aliados;
• gestión contractual;
• gestión de colaboradores y contratistas;
• seguridad de la información;
• prevención y atención de incidentes;
• auditoría;
• gestión de riesgos;
• cumplimiento de obligaciones legales.

8.4. Prospección y comunicaciones comerciales

Nérdico podrá gestionar prospectos y realizar prospección comercial para ofrecer sus servicios tecnológicos, de sistematización, transformación digital, automatización, capacitación y acompañamiento empresarial, siempre que el tratamiento de los datos personales tenga una condición jurídica válida y respete las finalidades informadas, los derechos del Titular y las normas aplicables a cada canal.

Para recolectar datos personales directamente —por ejemplo, mediante formularios web, eventos, referidos o conversaciones— Nérdico informará las finalidades e identificará el mecanismo de autorización cuando esta sea exigible. La autorización para tratar datos con fines comerciales deberá permitir identificar de forma clara esa finalidad y conservar prueba verificable. Cuando sea viable, se solicitará una elección separada y no premarcada para comunicaciones promocionales, sin condicionarla a la contratación de un servicio cuando no sea necesaria para prestarlo.

Nérdico podrá tratar datos que sean verdaderamente públicos dentro de los límites legales; sin embargo, que un dato de una persona natural aparezca en internet, en un directorio, en una red profesional o en una página empresarial no autoriza por sí solo cualquier reutilización ni una campaña indiscriminada. Antes de añadirlo a una base de prospección, se documentarán la fuente, la naturaleza pública del dato, la finalidad, la necesidad y la condición que habilita el uso comercial. Cuando la ley o el criterio aplicable exijan autorización para marketing directo, deberá obtenerse antes de enviar la comunicación.

Los datos de contacto puramente corporativos de una persona jurídica pueden recibir un tratamiento distinto de los datos personales de una persona natural. Si un correo, número o dato permite identificar o contactar a una persona natural, se evaluará su naturaleza y régimen aplicable, sin asumir que por llevar un dominio empresarial deja de ser dato personal.

Para SMS, mensajería por aplicaciones o web, correo electrónico y llamadas telefónicas de carácter comercial o publicitario, Nérdico cumplirá las reglas aplicables de la Ley 2300 de 2023, la regulación del Registro de Números Excluidos (RNE) y las demás disposiciones vigentes. Antes de contactar se verificará, según corresponda, que el canal pueda utilizarse, que el destinatario no haya ejercido una exclusión aplicable y que el contacto se realice dentro de los horarios legales. Como regla operativa conservadora, las campañas no se enviarán domingos ni festivos y se respetarán los horarios previstos en el artículo 3 de la Ley 2300 de 2023, en cuanto resulten aplicables al contacto comercial.

Todo mensaje comercial deberá identificar razonablemente a Nérdico, tener un propósito legítimo y ofrecer un mecanismo sencillo, accesible y eficaz para dejar de recibir futuras comunicaciones por ese canal. Las solicitudes de oposición, retiro, revocatoria o exclusión se registrarán y aplicarán sin demora indebida en los sistemas y listas correspondientes. No se utilizará un canal alternativo para eludir la decisión del Titular de no recibir comunicaciones.

La autorización para el tratamiento de datos y la posibilidad de contactar por un canal son controles relacionados pero distintos: contar con datos de contacto o con una autorización general no elimina la obligación de verificar las restricciones del canal, la finalidad, las exclusiones y las reglas aplicables.

8.5. Analítica y mejora

Podrán tratarse datos para:

• mejorar procesos;
• medir desempeño;
• analizar utilización de servicios;
• identificar problemas recurrentes;
• mejorar productos y servicios;
• generar estadísticas;
• desarrollar aprendizajes operativos.

Cuando sea posible, se preferirán datos agregados, anonimizados o seudonimizados.

8.6. Seguridad y trazabilidad

Los datos podrán ser utilizados para:

• controlar accesos;
• investigar incidentes;
• mantener trazabilidad;
• proteger sistemas;
• detectar usos indebidos;
• preservar evidencia necesaria para la defensa de derechos.

9. Categorías de Titulares

Dependiendo de sus actividades, Nérdico podrá tratar datos de:

• prospectos;
• clientes;
• usuarios;
• representantes legales;
• administradores;
• empleados y colaboradores;
• contratistas;
• candidatos;
• proveedores;
• aliados;
• contactos empresariales;
• personas que presenten consultas, reclamos o solicitudes;
• personas cuyos datos sean tratados por Nérdico por cuenta de un cliente.

No todas estas categorías estarán presentes en todas las bases de datos.

10. Categorías de datos tratados

Nérdico podrá tratar, cuando sean pertinentes para una finalidad concreta:

• datos de identificación;
• datos de contacto;
• información laboral o profesional;
• información empresarial asociada a una persona natural;
• información contractual;
• información comercial;
• información de facturación y cartera;
• información de uso de servicios;
• información técnica necesaria para prestar o asegurar un servicio;
• información contenida en solicitudes, tickets y comunicaciones;
• registros de acceso y seguridad;
• información necesaria para ejecutar proyectos.

Nérdico aplicará el principio de minimización y evitará recolectar información que no sea pertinente para la finalidad.

11. Datos sensibles

Nérdico evitará recolectar o tratar datos sensibles salvo que exista una necesidad legítima y una condición de tratamiento permitida por la ley.

Cuando sea necesario tratar datos sensibles:

• se informará al Titular de su carácter sensible;
• se informará cuando la respuesta sea facultativa;
• se solicitará la autorización explícita cuando sea legalmente necesaria;
• se limitará el acceso;
• se aplicarán controles de seguridad reforzados;
• se documentará la finalidad y justificación del tratamiento.

No deberán solicitarse datos sensibles por conveniencia en formularios, WhatsApp, correo, CRM, Helpdesk o herramientas de IA.

12. Niños, niñas y adolescentes

Nérdico evitará tratar datos personales de niños, niñas y adolescentes cuando no sean necesarios para sus actividades.

Cuando un servicio requiera tratar información de menores de edad, el proceso deberá ser evaluado específicamente antes de su implementación y deberá respetar el interés superior del menor, sus derechos fundamentales y las reglas legales aplicables.

No se incorporarán datos de menores a sistemas, campañas, automatizaciones o herramientas de IA por simple conveniencia.

13. Autorización del Titular

Cuando la ley exija autorización, Nérdico deberá obtenerla antes o a más tardar al momento de la recolección, mediante un mecanismo que permita conservar prueba posterior. El registro deberá permitir demostrar qué persona autorizó, cuándo, por qué medio, qué texto o versión aceptó y cuáles finalidades y canales estaban incluidos.

La autorización deberá ser previa, expresa e informada y otorgarse mediante una conducta inequívoca; no se presumirá por el silencio, la falta de respuesta, la mera existencia de un dato de contacto ni la continuación de una relación que no requiera ese consentimiento.

Antes de solicitarla, Nérdico informará, según corresponda:

• el tratamiento;
• las finalidades específicas;
• los derechos del Titular;
• la identificación y datos de contacto del Responsable;
• el carácter facultativo de las preguntas sobre datos sensibles o de niños, niñas y adolescentes;
• los canales comerciales que el Titular puede elegir o excluir, cuando aplique;
• el mecanismo para retirar la autorización o dejar de recibir comunicaciones comerciales.

Para las finalidades comerciales, Nérdico deberá diferenciar la gestión de una solicitud que el Titular inició o pidió —como responder una cotización— de las campañas promocionales posteriores. Una solicitud de información puede justificar responder esa solicitud en su contexto, pero no se interpretará automáticamente como autorización general, indefinida o multicanal para futuras campañas.

Nérdico conservará prueba de las autorizaciones obtenidas cuando corresponda y mantendrá un registro de revocatorias, oposiciones, exclusiones y preferencias de contacto.

La autorización no será exigida en los casos en que la ley expresamente permita el tratamiento sin ella; sin embargo, la existencia de una excepción a la autorización no elimina las demás obligaciones del régimen de protección de datos ni las reglas específicas sobre comunicaciones comerciales.

14. Datos provenientes de fuentes de acceso público

Nérdico podrá tratar datos que tengan naturaleza pública dentro de los límites establecidos por la ley y siempre que el dato sea realmente público por su naturaleza y no solo porque resulte visible o accesible en internet.

El hecho de que una información esté en una página web, una red social, un directorio, una plataforma comercial o un documento accesible no convierte automáticamente todos sus datos en públicos ni autoriza cualquier finalidad, reutilización, perfilamiento o comunicación. Los datos personales privados, semiprivados o sensibles no se convierten en datos públicos por estar publicados o haber sido obtenidos por un tercero.

Antes de incorporar información a procesos comerciales, CRM, automatizaciones o campañas, Nérdico deberá verificar y registrar la fuente, naturaleza del dato, contexto en que fue publicado, finalidad original conocida, pertinencia, proporcionalidad, condición jurídica del tratamiento y reglas del canal. Si no puede establecerse razonablemente que el dato es público o que existe una condición válida para el uso comercial propuesto, no se incorporará a la base de prospección ni se utilizará para contactar con fines publicitarios hasta aclarar la habilitación aplicable.

Las fuentes de acceso público no se utilizarán como mecanismo para eludir la autorización cuando esta sea necesaria para marketing directo.

15. Tratamiento de datos de clientes

Cuando Nérdico trate datos personales de un cliente como parte de la prestación de un servicio:

1. se identificará la finalidad del acceso;
2. se determinará el rol de Nérdico como Responsable o Encargado;
3. se limitará el acceso a la información necesaria;
4. se evitarán copias innecesarias;
5. no se reutilizarán datos del cliente para finalidades propias incompatibles con las autorizadas;
6. se mantendrá la confidencialidad;
7. se documentarán las instrucciones relevantes;
8. se establecerán, cuando corresponda, reglas de devolución, supresión, conservación y respaldo;
9. se identificarán los terceros que puedan intervenir en el tratamiento;
10. se gestionarán los incidentes conforme al contrato y a la ley.

16. Proveedores, aliados y terceros

Antes de incorporar un tercero que trate datos personales, Nérdico deberá evaluar, según el riesgo:

• qué datos recibirá;
• para qué finalidad;
• bajo qué rol actuará;
• dónde serán tratados;
• durante cuánto tiempo;
• quién tendrá acceso;
• qué subcontratistas intervienen;
• qué medidas de seguridad ofrece;
• cómo se gestionan los incidentes;
• qué mecanismos de eliminación o devolución existen;
• qué condiciones contractuales aplican;
• si existen transferencias o transmisiones internacionales.

Cuando Nérdico actúe como Responsable y un tercero como Encargado, se procurará formalizar las condiciones del tratamiento mediante contrato o instrumento equivalente cuando sea necesario.

17. Transferencias y transmisiones internacionales

Nérdico podrá utilizar proveedores tecnológicos ubicados fuera de Colombia, incluyendo proveedores de almacenamiento, comunicaciones, CRM, automatización, analítica o inteligencia artificial.

La utilización de un proveedor extranjero deberá analizarse jurídicamente para determinar si existe:

• una transferencia internacional a otro Responsable; o
• una transmisión internacional a un Encargado que trate los datos por cuenta de Nérdico.

Las transferencias internacionales deberán cumplir las reglas de la Ley 1581 de 2012 y las disposiciones aplicables sobre países con nivel adecuado de protección y excepciones.

Las transmisiones internacionales entre Responsable y Encargado podrán realizarse conforme a las reglas legales aplicables y a las condiciones contractuales exigidas.

Nérdico no enviará datos personales a un tercero extranjero únicamente por conveniencia técnica sin evaluar previamente la operación.

18. Inteligencia artificial

Por la naturaleza tecnológica de Nérdico, el tratamiento mediante sistemas de inteligencia artificial constituye un área de control especial.

Como regla institucional:

Tener acceso a un dato no significa tener autorización para introducirlo en cualquier herramienta de IA.

Antes de utilizar datos personales reales en una herramienta de IA deberá evaluarse, según el caso:

• finalidad;
• necesidad;
• tipo de dato;
• rol jurídico de Nérdico;
• proveedor;
• ubicación del tratamiento;
• transmisión o transferencia internacional;
• uso secundario de los datos;
• retención;
• configuración de privacidad;
• seguridad;
• controles de acceso;
• condiciones contractuales;
• posibilidad de anonimización o seudonimización.

Cuando sea posible se preferirán datos:

• anonimizados;
• ficticios;
• agregados;
• mínimos;
• desprovistos de identificadores innecesarios.

Cuando Nérdico actúe como Encargado, no utilizará datos del cliente para entrenar, mejorar o desarrollar sistemas propios de IA salvo que exista autorización, instrucción o fundamento jurídico suficiente para hacerlo.

19. CRM, Helpdesk y automatizaciones

Los sistemas comerciales y operativos de Nérdico deberán incorporar protección de datos desde su diseño.

Como mínimo deberán contemplar, cuando sea técnicamente posible:

• control de acceso por rol;
• mínimo privilegio;
• identificación del origen de la información;
• trazabilidad;
• gestión de solicitudes de Titulares;
• actualización y rectificación;
• supresión cuando corresponda;
• control de integraciones;
• gestión de terceros;
• reducción de duplicidades;
• conservación conforme a criterios definidos;
• protección de respaldos;
• registro de la finalidad comercial, fuente y evidencia de autorización cuando aplique;
• registro de canales preferidos/permitidos y de exclusiones de contacto;
• lista de supresión o mecanismo equivalente para impedir reactivación accidental de contactos que solicitaron no recibir publicidad.

Las automatizaciones no podrán convertir un dato personal en una autorización para ejecutar cualquier acción. Toda campaña debe comprobar las condiciones de uso, preferencias y exclusiones aplicables antes de ejecutarse.

20. Sitio web y formularios

Los formularios, landing pages y canales digitales de Nérdico deberán recolectar únicamente la información necesaria para la finalidad informada.

Cuando un formulario tenga como finalidad generar prospectos o nutrir una base de mercadeo, deberá indicarlo de forma visible antes de recoger los datos y explicar que Nérdico podrá contactar al titular con fines comerciales. El mecanismo deberá diferenciar, cuando corresponda, la solicitud puntual del usuario de la aceptación de comunicaciones promocionales futuras, e identificar los canales autorizados o las preferencias que se recojan. La casilla de aceptación comercial no deberá estar premarcada; el acceso al servicio o a la respuesta solicitada no se condicionará a aceptar publicidad futura cuando esta no sea necesaria para dicha gestión.

Antes de poner un formulario en producción deberá verificarse, según corresponda:

• aviso de privacidad;
• política de tratamiento;
• mecanismo de autorización y evidencia;
• finalidades específicas y canales;
• campos solicitados;
• tratamiento de datos sensibles;
• herramientas de terceros;
• cookies y tecnologías similares;
• analítica;
• almacenamiento;
• transferencias o transmisiones;
• canal para ejercer derechos;
• mecanismo simple para retirar la autorización comercial o dejar de recibir mensajes.

La política de tratamiento deberá permanecer disponible para consulta.

21. Cookies y tecnologías de seguimiento

Cuando el sitio web utilice cookies, píxeles, herramientas analíticas, publicidad comportamental u otras tecnologías que involucren datos personales, Nérdico deberá determinar las obligaciones de información, consentimiento y configuración que resulten aplicables.

La implementación técnica deberá corresponder con los textos jurídicos publicados.

Cuando una herramienta de terceros recolecte información, deberá evaluarse previamente su finalidad y tratamiento.

22. Conservación de los datos

Nérdico no conservará datos personales indefinidamente por simple conveniencia.

La conservación dependerá de:

• finalidad;
• vigencia de la relación;
• obligaciones legales;
• obligaciones contractuales;
• necesidades de defensa de derechos;
• requerimientos de autoridades;
• respaldos;
• rol de Nérdico como Responsable o Encargado.

Los periodos concretos deberán quedar documentados en una Matriz de Conservación y Eliminación de Datos.

Mientras dicha matriz se completa, las áreas no deberán establecer periodos arbitrarios de conservación ni eliminar información cuando exista una obligación legal, contractual o probatoria de conservarla.

23. Supresión y eliminación

Cuando termine la finalidad y no exista obligación legal, contractual o probatoria que justifique la conservación, Nérdico deberá evaluar la supresión, anonimización o eliminación segura.

La eliminación deberá considerar:

• bases principales;
• archivos;
• copias;
• respaldos;
• sistemas de terceros;
• dispositivos;
• documentación;
• información tratada por Encargados.

Cuando Nérdico actúe como Encargado, la devolución o eliminación deberá atender las instrucciones del Responsable y las condiciones contractuales aplicables.

24. Derechos de los Titulares

Los Titulares podrán ejercer, de conformidad con la ley:

1. conocer, actualizar y rectificar sus datos;
2. solicitar prueba de la autorización, cuando esta sea exigible;
3. solicitar información sobre el uso dado a sus datos;
4. presentar quejas ante la Superintendencia de Industria y Comercio, una vez agotado el trámite previo correspondiente;
5. solicitar revocatoria de la autorización y/o supresión cuando proceda legalmente;
6. acceder gratuitamente a sus datos personales en los términos legales.

Estos derechos también se ejercerán conforme a las excepciones y limitaciones establecidas por la legislación aplicable.

25. Procedimiento para consultas y reclamos

Los Titulares podrán presentar solicitudes de consulta, reclamo, actualización, rectificación, supresión o revocatoria mediante info@nerdico.co o el WhatsApp +57 320 526 6808. Estos son los canales oficiales publicados para este fin; actualmente no existe un formulario web específico. Nérdico deberá registrar la fecha de recepción, el canal, el tipo de solicitud, el responsable de tramitarla y el plazo legal aplicable; confirmar la recepción cuando sea razonable y verificar la identidad de forma proporcional, sin exigir datos o documentos innecesarios.

25.1. La solicitud deberá permitir, como mínimo

• identificar al Titular;
• identificar el derecho que desea ejercer;
• describir la solicitud;
• aportar información que permita localizar los datos;
• suministrar una dirección física o electrónica o un medio de contacto para recibir respuesta;
• aportar documentos cuando sean necesarios.

Cuando actúe un representante, Nérdico podrá solicitar los soportes necesarios para verificar la representación.

25.2. Consultas

Las consultas serán atendidas dentro del término máximo legal aplicable.

Bajo el régimen general de la Ley 1581 de 2012, el término es de diez (10) días hábiles contados desde el recibo. Cuando no sea posible responder dentro de ese término, se informarán los motivos y la fecha de respuesta, que no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. (Ley 1581 de 2012, artículos 14 y 15).

25.3. Reclamos

Los reclamos deberán atenderse conforme al procedimiento legal.

Si el reclamo está incompleto, se requerirá al interesado para que subsane las fallas dentro de los cinco (5) días siguientes a su recepción. Si transcurren dos (2) meses desde el requerimiento sin que el solicitante aporte la información, se entenderá desistido el reclamo, conforme al artículo 15 de la Ley 1581 de 2012.

Una vez recibido el reclamo completo, se incorporará en la base de datos la leyenda "reclamo en trámite" y el motivo, dentro de un término no mayor a dos (2) días hábiles, y se mantendrá hasta que el reclamo sea decidido, conforme al artículo 15 de la Ley 1581 de 2012.

El término máximo general para resolver un reclamo es de quince (15) días hábiles contados a partir del día siguiente a su recepción, con la posibilidad de una prórroga de hasta ocho (8) días hábiles cuando se informe oportunamente la causa y la nueva fecha de respuesta. (Ley 1581 de 2012, artículo 15). (Ley 1581 de 2012, artículos 14 y 15).

25.4. Traslado

Si Nérdico recibe un reclamo para cuya resolución no sea competente, deberá trasladarlo a quien corresponda dentro de un máximo de dos (2) días hábiles e informar de ello al interesado, conforme al artículo 15 de la Ley 1581 de 2012.

25.5. Gratuidad

El ejercicio de los derechos se realizará en las condiciones de gratuidad establecidas por la normativa aplicable.

26. Revocatoria y supresión

El Titular podrá solicitar la revocatoria de la autorización y/o la supresión de sus datos cuando proceda legalmente.

Estas solicitudes no procederán cuando exista un deber legal o contractual de permanecer en la base de datos o cuando exista otra condición jurídica que justifique la conservación.

Nérdico dispondrá mecanismos de fácil acceso para estas solicitudes.

27. Seguridad de la información

Nérdico aplicará medidas razonables y proporcionales al riesgo, considerando la naturaleza de los datos y de las operaciones realizadas.

Los controles podrán incluir:

• contraseñas robustas;
• autenticación multifactor cuando sea apropiada;
• mínimo privilegio;
• control de permisos;
• revisión de accesos;
• actualización de software;
• protección de dispositivos;
• copias de seguridad;
• cifrado cuando resulte apropiado;
• registros y trazabilidad;
• separación de cuentas personales y corporativas;
• revocación de accesos al terminar una relación;
• gestión de proveedores;
• procedimientos de respuesta a incidentes.

La seguridad no se limitará a herramientas técnicas: también comprenderá controles humanos, administrativos y contractuales.

28. Credenciales, secretos y datos de acceso

Las contraseñas, tokens, claves API, llaves privadas, códigos de recuperación y demás secretos:

• no forman parte de la memoria institucional ordinaria;
• no deberán almacenarse en esta política;
• no deberán incorporarse a documentación pública;
• no deberán enviarse por canales inseguros cuando exista una alternativa razonable;
• deberán protegerse mediante mecanismos apropiados;
• deberán revocarse o rotarse cuando exista sospecha de exposición.

29. Incidentes de seguridad

Nérdico deberá contar con un procedimiento interno para gestionar incidentes que puedan comprometer datos personales.

El procedimiento deberá contemplar, según el caso:

1. detección;
2. contención;
3. evaluación;
4. identificación del alcance;
5. documentación;
6. preservación de evidencia;
7. comunicación interna;
8. evaluación de obligaciones de notificación;
9. comunicación a clientes o Titulares cuando corresponda;
10. recuperación;
11. acciones correctivas;
12. prevención de recurrencia.

Cuando Nérdico actúe como Encargado, deberá informar al Responsable de acuerdo con el contrato y con los tiempos necesarios para que este pueda cumplir sus obligaciones legales.

30. Confidencialidad

Toda persona que intervenga en el Tratamiento de datos personales no públicos deberá mantener la reserva correspondiente.

Esta obligación se extiende, según corresponda, a:

• colaboradores;
• contratistas;
• agentes de IA;
• proveedores;
• aliados;
• Encargados;
• subcontratistas autorizados.

El acceso a la información deberá estar vinculado a una necesidad legítima y al rol asignado.

31. Responsabilidad demostrada

Nérdico adoptará una aproximación de responsabilidad demostrada: no basta con declarar que protege los datos; deberá procurar contar con evidencia de que sus medidas y procedimientos son implementados.

La documentación de cumplimiento podrá incluir:

• política;
• avisos;
• autorizaciones;
• contratos;
• matriz de tratamientos;
• matriz de Responsable/Encargado;
• inventario de proveedores;
• registros de solicitudes;
• registros de incidentes;
• evidencias de capacitación;
• controles de acceso;
• evaluaciones de herramientas;
• registros de decisiones;
• revisiones periódicas.

32. Registro de Tratamientos

Nérdico deberá construir y mantener un Registro de Tratamientos que permita identificar, como mínimo:

• proceso;
• base o sistema;
• categoría de Titulares;
• categorías de datos;
• finalidad;
• rol de Nérdico;
• fuente;
• autorización o condición jurídica;
• usuarios autorizados;
• Encargados;
• proveedores;
• transferencias o transmisiones;
• ubicación del tratamiento;
• medidas de seguridad;
• conservación;
• supresión;
• riesgos;
• responsable interno del proceso.

El registro deberá evolucionar junto con el negocio.

33. Registro Nacional de Bases de Datos (RNBD)

Nérdico deberá determinar y documentar si se encuentra dentro de los sujetos obligados a inscribir bases de datos en el RNBD, de acuerdo con sus características jurídicas, económicas y las reglas vigentes.

La obligación no se presumirá ni se descartará únicamente por el tamaño comercial de Nérdico.

La SIC administra el RNBD como directorio público de las bases de datos sujetas a tratamiento y el régimen aplicable se encuentra desarrollado en el capítulo 26 del Decreto 1074 de 2015 y normas relacionadas. Para información oficial, consulte el Registro Nacional de Bases de Datos de la SIC.

34. Gestión de terceros tecnológicos

Antes de integrar una nueva herramienta que trate datos personales, Nérdico deberá evaluar, según el riesgo:

• proveedor;
• rol jurídico;
• datos involucrados;
• finalidades;
• ubicación;
• transferencia o transmisión;
• retención;
• eliminación;
• seguridad;
• subproveedores;
• uso secundario;
• condiciones contractuales.

Esto aplica especialmente a:

• CRM;
• Helpdesk;
• correo;
• mensajería;
• almacenamiento;
• analítica;
• automatización;
• plataformas web;
• herramientas de IA;
• proveedores de infraestructura.

35. Privacidad desde el diseño

La protección de datos deberá incorporarse desde el diseño de nuevos procesos y sistemas.

Antes de implementar una nueva solución que trate datos personales deberá preguntarse:

1. ¿Qué datos necesita?
2. ¿Cuál es la finalidad?
3. ¿Cuál es el rol jurídico de Nérdico?
4. ¿Qué condición habilita el tratamiento?
5. ¿Qué Titulares están involucrados?
6. ¿Quién tendrá acceso?
7. ¿Qué terceros intervendrán?
8. ¿Habrá tratamiento internacional?
9. ¿Cuánto tiempo se conservarán los datos?
10. ¿Cómo se eliminarán?
11. ¿Qué riesgos existen?
12. ¿Puede reducirse la cantidad de información?

36. Tratamiento de información de prospectos

La metodología comercial de Nérdico contempla información como:

• empresa;
• sector;
• ubicación;
• contacto;
• rol;
• fuente;
• señal de oportunidad;
• necesidad potencial;
• servicio potencial;
• prioridad;
• estado comercial;
• último contacto;
• próxima acción;
• observaciones.

Estos datos deberán gestionarse respetando finalidad, minimización, transparencia y las condiciones jurídicas aplicables. En el CRM se registrarán también la procedencia del contacto, la fecha de obtención, la finalidad habilitada, la evidencia o referencia de autorización cuando corresponda, los canales permitidos, las preferencias, la última interacción, las solicitudes de no contacto y la fecha o criterio de revisión/eliminación.

Nérdico podrá usar datos comerciales de una persona jurídica para una relación B2B dentro de límites razonables; si los datos identifican a una persona natural (por ejemplo, nombre, correo nominativo, celular personal o datos de un empresario individual), se aplicará el análisis de datos personales pertinente. No se comprarán, extraerán masivamente ni enriquecerán bases con datos personales para campañas sin verificar antes su origen, finalidad y condición de uso. La existencia de una cuenta empresarial no sanea una captación ilícita de datos personales.

Antes de cargar una lista obtenida de terceros, importar una base al CRM o activar una campaña automática, deberá verificarse su fuente, la evidencia de habilitación para la finalidad comercial, el estado de exclusiones y las restricciones de uso/transferencia. Si falta evidencia suficiente, la lista quedará en cuarentena y no podrá activarse para publicidad hasta resolverlo.

La información comercial no deberá convertirse automáticamente en información disponible para todos los agentes, colaboradores o proveedores.

37. Uso por agentes de IA y colaboradores

Los agentes y colaboradores de Nérdico deberán seguir el principio:

El acceso técnico no equivale a autorización jurídica.

Antes de utilizar información personal deberán conocer:

• la finalidad;
• su rol;
• el nivel de acceso;
• las restricciones;
• las condiciones de confidencialidad;
• los límites para compartir o reutilizar información.

Los agentes no podrán:

• inventar autorizaciones;
• asumir que un dato puede utilizarse para cualquier finalidad;
• compartir datos personales sin necesidad;
• introducir datos sensibles en herramientas no autorizadas;
• utilizar información de clientes para fines propios sin habilitación;
• conservar información indefinidamente;
• iniciar campañas de prospección con bases que no tengan fuente y habilitación verificadas;
• omitir exclusiones, oposiciones, revocatorias o solicitudes de no contacto;
• suponer que una autorización genérica permite cualquier canal, periodicidad o contenido comercial.

Los agentes podrán clasificar prospectos, preparar borradores y proponer contactos conforme al flujo comercial, pero la ejecución de campañas deberá sujetarse a reglas validadas, evidencia, canales permitidos, horarios aplicables y controles de exclusión; no podrán inventar o registrar una autorización inexistente.

38. Publicación y disponibilidad de la política

La presente política deberá estar disponible para los Titulares en medio físico o electrónico, mediante un lenguaje claro y sencillo.

La versión pública deberá incluir la identificación y datos de contacto completos del Responsable y el canal oficial para el ejercicio de derechos.

Cuando se realicen cambios sustanciales, Nérdico deberá comunicarlos de manera eficiente y con la anticipación exigida por la normativa aplicable.

39. Vigencia

La presente versión 1.1 entra en vigor en la fecha de su aprobación formal por el Responsable del Tratamiento. No se atribuyen efectos retroactivos a esta versión.

Fecha de aprobación formal y entrada en vigor de la versión 1.1: 12 de octubre de 2026.

La política tendrá vigencia mientras subsistan los tratamientos a los que resulte aplicable. Las bases de datos tendrán una vigencia igual al período en que se mantengan las finalidades del tratamiento en cada base de datos, o al período que corresponda por una causa legal, contractual o jurisprudencial específica, sin perjuicio de las actualizaciones y obligaciones de conservación que resulten aplicables.

La revisión deberá realizarse como mínimo cuando:

• cambie la legislación;
• cambien las instrucciones de la SIC;
• cambien sustancialmente los servicios;
• se incorporen nuevos sistemas;
• se incorporen nuevos proveedores relevantes;
• se incorporen nuevos tratamientos de IA;
• cambien las finalidades;
• ocurra un incidente relevante;
• se identifique un riesgo jurídico significativo.

Referencias normativas oficiales

• Ley 1581 de 2012 — Gestor Normativo de Función Pública: https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=49981

• Decreto 1377 de 2013 — Gestor Normativo de Función Pública: https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=53646

• Registro Nacional de Bases de Datos — Superintendencia de Industria y Comercio: https://www.sic.gov.co/registro-nacional-de-bases-de-datos

• Decreto 255 de 2022 — SUIN Juriscol: https://www.suin-juriscol.gov.co/viewDocument.asp?id=30043921

• Ley 2300 de 2023 — Gestor Normativo de Función Pública: https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=213990

• Registro de Números Excluidos (RNE) — Comisión de Regulación de Comunicaciones: https://www.crcom.gov.co/es/micrositios/comunicados-como-es/registro-numeros-excluidos

• SIC — ámbito de aplicación de la Ley 1581 de 2012 en datos corporativos: https://sedeelectronica.sic.gov.co/boletin-juridico/conceptos/ambito-de-aplicacion-de-la-ley-1581-de-2012-en-datos-corporativos