Política de Tratamiento de Datos Personales

PENDIENTE — Completar NIT, domicilio, correo, teléfono y fecha de vigencia, y designar formalmente el área o la persona responsable de atender peticiones, consultas y reclamos de los titulares (artículo 2.2.2.25.4.4 del Decreto 1074 de 2015).

Abogados.work conecta a personas y empresas que enfrentan una necesidad jurídica —de crisis o de construcción— con abogados independientes verificados. Esta Política explica cómo se tratan los datos personales de quienes participan en esa conexión.

La información que circula en Abogados.work es especialmente delicada: describe problemas personales, familiares, laborales y empresariales de las personas. Por eso la protección de esos datos no es un requisito accesorio de la Plataforma, sino una condición de la confianza que la sostiene.

1. Marco normativo

La presente Política de Tratamiento de Datos Personales (“la Política”) se expide en cumplimiento de la Constitución Política de Colombia (artículo 15), la Ley Estatutaria 1581 de 2012, el Decreto 1377 de 2013 (hoy compilado en el Decreto 1074 de 2015, Título 2, Capítulo 25), el Decreto 90 de 2018 (Registro Nacional de Bases de Datos — RNBD), y demás normas que los modifiquen, adicionen o reglamenten, incluyendo la Circular Externa 002 de 2015, la Circular Externa 005 de 2017 sobre transferencias internacionales de datos y demás lineamientos de la Superintendencia de Industria y Comercio (“SIC”) como autoridad de control en materia de protección de datos personales en Colombia.

Esta Política regula el tratamiento de datos personales tanto de clientes como de abogados que utilizan la plataforma Abogados.work, diferenciando en cada caso los datos recolectados y las finalidades aplicables.

2. Responsable del tratamiento

2.1. Identificación. El responsable del tratamiento es Quadratum S.A.S., identificada con los datos que aparecen al inicio de esta Política.

2.2. Relación con la marca Abogados.work. Abogados.work es una marca y establecimiento de comercio operado por Quadratum S.A.S. Todo tratamiento de datos personales realizado a través de la plataforma tiene como responsable a Quadratum S.A.S., incluso cuando el titular interactúa exclusivamente con la marca Abogados.work.

2.3. Área responsable de atender a los titulares. Quadratum designará un área o persona responsable de atender las peticiones, consultas y reclamos de los titulares y de velar por el cumplimiento de esta Política, conforme al artículo 9 del Decreto 1377 de 2013.

2.4. Futura sociedad. Si Quadratum transfiere la operación de Abogados.work a una sociedad constituida para ese fin, esa sociedad asumirá la calidad de responsable del tratamiento. El cambio se informará previamente a los titulares, quienes podrán ejercer sus derechos frente al nuevo responsable.

3. Ámbito de aplicación

Esta Política aplica al tratamiento de los datos personales de las siguientes personas:

1. (a) Clientes que son personas naturales;
2. (b) representantes legales y Usuarios Autorizados de los Clientes que son personas jurídicas;
3. (c) Abogados admitidos en la Plataforma;
4. (d) abogados postulantes que no fueron admitidos;
5. (e) terceros cuyos datos aporta un Cliente para el estudio de su caso, como contrapartes, familiares, testigos o menores de edad;
6. (f) personas referidas por un Cliente o que reciben Millas como regalo;
7. (g) visitantes del sitio web y de la aplicación;
8. (h) contactos de proveedores y aliados.

El tratamiento de datos asociado a la participación en Grupo ONE se regula en un documento independiente de Política de Privacidad de Grupo ONE, y no hace parte del alcance de este documento.

4. Definiciones

Los demás términos con mayúscula inicial tienen el significado que les dan los Términos y Condiciones para Clientes y para Abogados.

5. Principios rectores

Quadratum S.A.S. aplica los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad, conforme al artículo 4 de la Ley 1581 de 2012. En la operación de la Plataforma, estos principios se traducen en las siguientes reglas:

1. (a) Minimización: solo se piden los datos necesarios para cada etapa. El KYC simplificado basta para una Consulta; el KYC ampliado solo se pide para Trabajos de fondo.
2. (b) Acceso por necesidad: cada Abogado accede únicamente a los Casos que atiende, y el equipo de Quadratum solo a la información que requiere su función.
3. (c) Protección desde el diseño: las funcionalidades nuevas se evalúan desde la perspectiva de protección de datos antes de lanzarse, en particular las que usan inteligencia artificial o graban información.
4. (d) Separación de bases de datos: la información de Clientes, de Abogados y de Grupo ONE se administra en bases de datos separadas.
5. (e) Trazabilidad: las autorizaciones, los accesos relevantes y las acciones administrativas quedan registradas.

6. Tratamiento de datos de Clientes

6.1. Datos que se recolectan. Se recolectan los siguientes datos de los Clientes:

1. (a) Identificación y contacto: nombre completo, documento de identidad, correo electrónico, teléfono, dirección y ciudad.
2. (b) KYC simplificado (consultas por horas o medias horas): identificación básica y aceptación de esta Política y de los Términos y Condiciones.
3. (c) KYC ampliado (trabajos de fondo): información adicional del caso jurídico y documentos aportados para su estudio.
4. (d) Datos de la relación jurídica: descripción del caso, documentos legales relacionados, historial de casos y consultas, comunicaciones con el abogado.
5. (e) Datos transaccionales: historial de recargas, saldo, consumos, devoluciones y redención de millas, y la confirmación de los pagos (ver sección 11).
6. (f) Datos bancarios para devoluciones: número de cuenta y titular, cuando el Cliente solicita el reembolso de su Saldo a una cuenta bancaria.
7. (g) Datos de interacción con Sabi: preguntas formuladas (máximo 5 por cliente).
8. (h) Datos de videollamadas: metadatos de conexión y, solo si llega a habilitarse y el titular lo autoriza, grabación o transcripción.
9. (i) Reseñas: calificaciones y comentarios que el Cliente publica sobre los Abogados.
10. (j) Programa de Millas: Millas acumuladas, redimidas, regaladas o recibidas, y datos de las personas referidas.
11. (k) Usuarios Autorizados: nombre, cargo y datos de contacto de las personas que usan la cuenta de un Cliente que es persona jurídica.
12. (l) Datos de navegación: los descritos en la Política de Cookies.

6.2. Datos sensibles. En el curso del servicio, el cliente podrá aportar datos sensibles (salud, procesos penales, datos de menores en casos de familia, entre otros). El titular no está obligado a autorizarlos, pero su suministro puede ser indispensable para prestar el servicio solicitado. Se tratarán exclusivamente para el caso concreto y con los abogados que intervienen en él. Antes de tratarlos, la Plataforma solicitará una autorización específica y diferenciada, en la que informará cuáles datos sensibles se tratarán y para qué finalidad.

6.3. Finalidades. Los datos de los Clientes se tratan para:

1. (a) crear y administrar la cuenta del cliente;
2. (b) gestionar el KYC simplificado o ampliado según el servicio, y verificar la identidad del Cliente antes de operaciones sensibles;
3. (c) conectar al cliente con el abogado seleccionado y facilitar la prestación del servicio;
4. (d) procesar recargas, administrar el Saldo y recibir, a nombre de los Abogados, los pagos de sus servicios;
5. (e) tramitar devoluciones, retractos y reversiones de pagos;
6. (f) administrar el programa de millas, incluidos los referidos y los regalos de Millas;
7. (g) habilitar y trazar videollamadas entre cliente y abogado;
8. (h) habilitar y gestionar el Expediente de cada Caso;
9. (i) permitir el uso de Sabi dentro del límite asignado;
10. (j) publicar y moderar Reseñas;
11. (k) atender peticiones, quejas y reclamos, y mediar en los reclamos entre Clientes y Abogados;
12. (l) enviar comunicaciones del servicio, contenido jurídico, invitaciones a eventos y newsletters (estos tres últimos, salvo oposición del titular);
13. (m) cumplir obligaciones legales, contables, tributarias y regulatorias;
14. (n) prevenir fraude, controlar calidad y atender reclamaciones;
15. (o) realizar analítica interna, de forma agregada o anonimizada cuando sea posible.

7. Datos de terceros aportados por el Cliente

7.1. Garantía del Cliente. Cuando el Cliente aporte datos de terceros para el estudio de su caso (por ejemplo, de una contraparte, un empleador, un familiar o un testigo), declara que está legitimado para suministrarlos y que lo hace únicamente para obtener asesoría o representación jurídica.

7.2. Uso limitado. Esos datos se tratarán únicamente dentro del Caso correspondiente, por el Abogado que lo atiende y en la medida necesaria para la prestación del servicio jurídico. No se usarán con fines comerciales ni se incorporarán a otras bases de datos de la Plataforma.

7.3. Ejercicio de derechos por terceros. Los terceros cuyos datos obren en un Expediente podrán ejercer sus derechos ante Quadratum. Su ejercicio se armonizará con el derecho de defensa del Cliente, el secreto profesional del Abogado y los deberes de conservación aplicables.

8. Tratamiento de datos de Abogados

8.1. Datos que se recolectan. Se recolectan los siguientes datos de los Abogados y de los postulantes:

1. (a) Postulación: cédula, nombre, dirección, teléfono, universidad de graduación, motivo de interés, aceptación de Términos y Condiciones.
2. (b) Acreditación profesional: Tarjeta Profesional, cédula, declaración juramentada sobre ausencia de sanciones del Consejo Superior de la Judicatura, antecedentes penales o disciplinarios.
3. (c) Experiencia: años de ejercicio (categoría Conocedor / Experto / Platino / Máster), hoja de vida, especialidades.
4. (d) Perfil público: nombre, fotografía, especialidades, experiencia profesional, formación, tarifa, disponibilidad, presentación narrativa y Reseñas.
5. (e) Suscripción: plan contratado (Básico / VIP / Premium), historial de pagos, facturación.
6. (f) Datos operativos: historial de casos atendidos, consumo de videollamadas, interacción con SIRIS, documentos elaborados o cargados, indicadores de cumplimiento.
7. (g) Datos financieros y tributarios: tarifa fijada libremente, valores recaudados a su nombre, histórico de comisiones (40% consultas, 10% trabajos de fondo), retenciones, giros, estado de cuenta, RUT y cuenta bancaria para recibir los giros.
8. (h) Régimen disciplinario interno: procedimientos, descargos y decisiones del Comité de Sanciones.
9. (i) Verificación ampliada: información adicional de antecedentes, cuando el Abogado contrate ese servicio.
10. (j) Datos de videollamadas: metadatos y, solo si llega a habilitarse y el titular lo autoriza, grabación o transcripción.

8.2. Datos sensibles. La verificación de antecedentes penales y disciplinarios constituye tratamiento de dato sensible. Es indispensable para validar la idoneidad profesional como condición de ingreso, y se realiza con autorización expresa y específica del abogado durante la postulación.

8.3. Finalidades. Los datos de los Abogados se tratan para:

1. (a) evaluar y validar la postulación, incluida la verificación de Tarjeta Profesional y antecedentes;
2. (b) repetir la verificación periódicamente durante la vinculación;
3. (c) administrar la clasificación por categoría de experiencia y por plan de suscripción;
4. (d) publicar el Perfil y conectar al abogado con clientes, y facilitar la prestación de sus servicios;
5. (e) administrar el uso de videollamadas, SIRIS y demás herramientas del plan;
6. (f) recaudar a su nombre los pagos de los Clientes, descontar la comisión, practicar retenciones, girarle los valores y generar estados de cuenta y certificaciones;
7. (g) verificar cumplimiento del Reglamento Interno y del régimen disciplinario, y adelantar los procedimientos del Comité de Sanciones;
8. (h) generar reputación y calificaciones visibles en el perfil público;
9. (i) enviar comunicaciones operativas, comerciales y de eventos;
10. (j) cumplir obligaciones legales, contables, tributarias y regulatorias, incluidos los reportes a autoridades disciplinarias cuando la ley lo exija.

8.4. Datos que no se muestran al Cliente. La Categoría de experiencia, el Plan de suscripción, el estado de cuenta, los antecedentes verificados y los procedimientos disciplinarios internos no se muestran a los Clientes.

8.5. Postulantes no admitidos. Los datos de los postulantes no admitidos se conservarán por el plazo previsto en la sección 23 para atender eventuales reclamos y nuevas postulaciones, y luego se suprimirán. Los antecedentes penales y disciplinarios de estos postulantes no se usarán para ninguna otra finalidad.

9. Tratamiento de datos mediante inteligencia artificial

Abogados.work utiliza sistemas de inteligencia artificial como parte esencial de su operación. Esta sección aplica tanto a clientes como a abogados.

9.1. Sabi (asistente general de clientes). Sabi procesa las preguntas formuladas por el cliente (hasta un máximo de 5) para orientarlo en la identificación de su necesidad jurídica. Sabi no presta asesoría legal ni sustituye el criterio de un abogado; su función es orientativa y de enrutamiento hacia el profesional adecuado. Las preguntas y respuestas generadas quedan registradas en la cuenta del cliente para efectos de trazabilidad y mejora del servicio. La Plataforma recomienda al Cliente no incluir datos sensibles en sus preguntas a Sabi.

9.2. SIRIS (agentes especialistas para abogados). Los abogados con plan VIP o Premium tienen acceso a SIRIS, agentes de IA entrenados por área de práctica (laboral, tributario, familia, penal, comercial). SIRIS procesa la información que el abogado le suministra (normativa, conceptos, jurisprudencia, consultas sobre el caso) para asistir al abogado en su trabajo. El uso de SIRIS es una herramienta de apoyo: la responsabilidad profesional del servicio prestado al cliente sigue siendo del abogado, quien debe validar cualquier insumo generado por IA antes de utilizarlo frente al cliente o ante autoridades. El Abogado debe incluir en SIRIS solo la información del Cliente que sea necesaria y preferir información anonimizada.

9.3. Procesamiento de imágenes y documentos. La Plataforma utiliza el motor de IA de DeepSeek para la lectura y extracción de información de imágenes y documentos cargados por clientes y abogados (por ejemplo, fotografías de la Tarjeta Profesional, la cédula, o documentos del caso). Este proveedor actúa como encargado del tratamiento por instrucción de Quadratum S.A.S., bajo obligaciones contractuales de confidencialidad y seguridad, y únicamente procesa la información para la finalidad específica de extracción de datos, sin usarla para entrenar modelos de terceros ajenos a la relación contractual, salvo que se informe lo contrario.

9.4. Exclusión de datos sensibles. Los documentos que contengan datos sensibles o datos de menores de edad no se enviarán al motor de DeepSeek. Cuando un documento de un Caso contenga este tipo de información, su procesamiento se hará sin ese motor.

PENDIENTE — Implementar el control técnico que impida enviar a DeepSeek documentos con datos sensibles o de menores (por ejemplo, una casilla que el usuario marque al cargar el documento, o una clasificación previa). Sin ese control, la regla de la sección 9.4 no se puede cumplir.

9.5. Transferencia internacional derivada del uso de IA. Según su propia política de privacidad, DeepSeek almacena la información en servidores ubicados en la República Popular China, país que no figura entre los que la SIC reconoce con un nivel adecuado de protección de datos. Por ello, conforme al artículo 26 de la Ley 1581 de 2012, la información solo se enviará a ese motor con la autorización expresa e inequívoca del titular para esa transferencia internacional, solicitada de forma separada (ver sección 13 y texto de autorización en la sección 28). Si el titular no la otorga, sus documentos se procesarán por otros medios, incluida la revisión manual, sin que ello le impida usar la Plataforma.

PENDIENTE — Confirmar el lugar de almacenamiento de los datos enviados por la API de DeepSeek y las condiciones contractuales disponibles (confidencialidad, no uso para entrenamiento, plazos de conservación). Revisar también si DeepSeek procesa la información como encargado o como responsable, porque si la trata para sus propios fines sería una transferencia a un responsable y no una transmisión a un encargado. Analizar igualmente la ubicación de servidores de Metered, de las pasarelas de pago, del proveedor de correo y del alojamiento de la Plataforma.

9.6. Ausencia de decisiones enteramente automatizadas con efectos jurídicos. Ningún sistema de IA de la plataforma toma, por sí solo, decisiones que generen efectos jurídicos definitivos sobre el titular (por ejemplo, la admisión o rechazo de un abogado postulante siempre involucra revisión humana). Esto se declara expresamente para efectos de transparencia frente al titular.

10. Almacenamiento de documentos y acceso de Abogados a la información del Cliente

Toda la información y documentos que el cliente aporte para el estudio o desarrollo de su caso quedarán almacenados en la plataforma, asociados a un número único de cliente y de caso.

El abogado que atiende al cliente tendrá acceso únicamente a la información del caso o casos que le hayan sido asignados, y no a la totalidad de la base de datos de clientes de la plataforma. Este acceso se otorga con la finalidad exclusiva de prestar el servicio jurídico contratado.

Cuando un cliente contrate a más de un abogado (en distintos momentos o para distintos casos), cada abogado accederá solamente a la información del caso que le corresponde, salvo que el cliente autorice expresamente compartir información entre ambos.

Cuando termina la relación con un Abogado, este conserva el acceso al Expediente solo durante el plazo necesario para cerrar el Caso y descargar los documentos que deba conservar por sus deberes profesionales.

Quadratum S.A.S. conservará el histórico de documentos y comunicaciones del caso como mecanismo de trazabilidad, control de calidad y eventual soporte probatorio, incluso después de finalizado el servicio, durante los términos legales de conservación aplicables (ver sección 23).

11. Pagos y plataformas de terceros

Los pagos realizados en Abogados.work (recargas de clientes, pago de suscripciones de abogados, entre otros) se procesan a través de pasarelas de pago de terceros (ej. PSE, procesadores de tarjeta u otros medios que se habiliten).

Quadratum S.A.S. no almacena directamente los datos completos de tarjetas de crédito o débito ni las claves de acceso a plataformas bancarias de los titulares; dicha información es procesada directamente por la pasarela de pago correspondiente, que actúa como encargado del tratamiento independiente y está sujeta a sus propios estándares de seguridad (incluyendo, cuando aplique, el estándar PCI-DSS).

Quadratum S.A.S. únicamente recibe y almacena la confirmación de la transacción (monto, fecha, estado de la operación, y un identificador de referencia), necesaria para efectos contables, de facturación y de generación de millas.

Como Quadratum recibe los pagos de los Clientes a nombre de los Abogados, trata también los datos necesarios para ese recaudo y para los giros: identificación de las partes de cada transacción, valores, comisiones, retenciones y la cuenta bancaria del Abogado. Los datos bancarios de los Clientes solo se piden cuando solicitan una devolución a una cuenta bancaria.

12. Videollamadas, grabaciones y transcripciones

12.1. Regla general. Las videollamadas entre cliente y abogado no se graban ni se transcriben por defecto. La Plataforma registra únicamente metadatos (hora de inicio y de finalización, conexión de cada parte) para trazabilidad, control de consumo del plan, soporte y resolución de reclamos.

12.2. Si se habilita la grabación. Si la plataforma habilita grabación o transcripción, esto se informará expresamente a ambas partes antes del inicio de la llamada, solicitando autorización específica, dado que dicho contenido puede incluir información sensible del caso. Esa autorización no queda cubierta por la autorización general otorgada en el registro, y la llamada podrá realizarse sin grabación si alguna de las partes no la otorga.

PENDIENTE — Sigue abierta la decisión de producto sobre grabación y transcripción. Si se activa, deben definirse además la finalidad, quién accede a la grabación, el plazo de conservación y si la transcripción usará un motor de IA (y en qué país).

12.3. Grabaciones por las partes. Ni el Cliente ni el Abogado pueden grabar la Videollamada por sus propios medios sin el consentimiento previo de la otra parte.

13. Autorización y trazabilidad del consentimiento

13.1. Autorización previa. Ningún cliente ni abogado podrá acceder de forma habilitada a la plataforma sin haber otorgado previamente autorización expresa para el tratamiento de sus datos, mediante un mecanismo de aceptación activa (click específico) en el momento del registro.

13.2. Autorizaciones separadas. Además de la autorización general, la Plataforma solicitará autorizaciones específicas y separadas, que el titular puede otorgar o no de forma independiente, para:

1. (a) el tratamiento de datos sensibles del Cliente en su Caso;
2. (b) la verificación de antecedentes penales y disciplinarios del Abogado;
3. (c) la transferencia internacional de documentos al motor de lectura de DeepSeek (sección 9.5);
4. (d) la grabación o transcripción de videollamadas, si llega a habilitarse;
5. (e) el envío de comunicaciones comerciales, newsletters e invitaciones a eventos;
6. (f) el tratamiento de datos de menores de edad por parte de su representante.

13.3. Registro. Quadratum S.A.S. dejará trazabilidad de cada autorización otorgada, registrando como mínimo: fecha, hora, identificación del titular, versión de la Política aceptada e IP o medio desde el cual se otorgó, de manera que pueda certificarse ante autoridad judicial o administrativa si es requerido.

13.4. Revocatoria. El titular puede revocar sus autorizaciones en cualquier momento, salvo cuando exista un deber legal o contractual de conservar los datos. La revocatoria de una autorización específica no afecta las demás.

14. Comunicaciones comerciales

Las newsletters, el contenido jurídico, las promociones y las invitaciones a eventos se enviarán solo a los titulares que lo hayan autorizado. Cada comunicación incluirá un mecanismo sencillo para dejar de recibirlas. Las comunicaciones necesarias para la prestación del servicio, como confirmaciones, recordatorios o avisos de vencimiento de Millas, no dependen de esta autorización.

15. Derechos de los titulares

Todo titular (cliente o abogado) tiene derecho a:

1. (a) conocer, actualizar y rectificar sus datos personales;
2. (b) solicitar prueba de la autorización otorgada;
3. (c) ser informado sobre el uso que se ha dado a sus datos personales;
4. (d) presentar quejas ante la Superintendencia de Industria y Comercio;
5. (e) revocar la autorización y/o solicitar la supresión del dato, cuando no exista un deber legal o contractual que impida eliminarlo;
6. (f) acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento;
7. (g) abstenerse de responder preguntas sobre datos sensibles o sobre datos de niños, niñas y adolescentes.

Estos derechos pueden ejercerlos el titular, sus causahabientes, su representante o su apoderado, acreditando su calidad, y el representante del menor de edad respecto de los datos de este.

16. Deberes de Quadratum S.A.S. como responsable

Quadratum S.A.S. cumplirá los deberes previstos en el artículo 17 de la Ley 1581 de 2012, entre ellos: garantizar el ejercicio del derecho de Habeas Data; conservar copia de la autorización; informar la finalidad del tratamiento; conservar la información bajo condiciones de seguridad adecuadas; tramitar consultas y reclamos dentro de los términos legales; registrar la base de datos ante el RNBD de la SIC cuando corresponda; exigir a los encargados el respeto de las condiciones de seguridad y privacidad; informar a la SIC las violaciones a los códigos de seguridad; y conservar evidencia de la verificación de Tarjeta Profesional y antecedentes de los abogados como soporte de debida diligencia.

17. Procedimiento para consultas y reclamos

17.1. Canales. El titular podrá elevar consultas o reclamos al correo [PENDIENTE: confirmar] o a través de la sección de soporte de la Plataforma.

17.2. Consultas. Las consultas se atenderán en un término máximo de diez (10) días hábiles contados desde su recibo, prorrogable por cinco (5) días hábiles adicionales, informando al titular los motivos de la demora.

17.3. Reclamos. Los reclamos para corregir, actualizar o suprimir datos, o por un presunto incumplimiento de esta Política, deberán contener la identificación del titular, la descripción de los hechos, la dirección de respuesta y los documentos que se quieran hacer valer. Si el reclamo está incompleto, se requerirá al interesado dentro de los cinco (5) días hábiles siguientes para que lo complete; si no lo hace dentro de los dos (2) meses siguientes, se entenderá que desistió. Una vez recibido el reclamo completo, se incluirá en la base de datos la leyenda «reclamo en trámite» y se atenderá en un término máximo de quince (15) días hábiles contados desde el día siguiente a la fecha de recibo, prorrogable por ocho (8) días hábiles adicionales, conforme al artículo 15 de la Ley 1581 de 2012.

17.4. Requisito ante la SIC. El titular solo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante Quadratum.

18. Transmisión y transferencia a terceros

Quadratum S.A.S. podrá compartir datos personales con:

1. (a) los abogados o clientes según corresponda a la relación de servicio;
2. (b) proveedores tecnológicos que actúan como encargados del tratamiento, como Metered (videollamadas), DeepSeek (lectura de documentos, con autorización específica), las pasarelas de pago, y los proveedores de alojamiento y correo electrónico;
3. (c) asesores contables, tributarios y jurídicos de Quadratum, bajo deber de confidencialidad;
4. (d) aseguradoras, en caso de gestionarse pólizas de responsabilidad civil profesional;
5. (e) la sociedad que se constituya para operar Abogados.work, conforme a la sección 2.4;
6. (f) autoridades judiciales, administrativas o disciplinarias, cuando exista requerimiento legal.

Quadratum S.A.S. no venderá ni comercializará datos personales a terceros para fines distintos a los aquí descritos. Las transmisiones a encargados se regirán por contratos de transmisión que impongan obligaciones de confidencialidad y seguridad. Las transferencias internacionales a países sin nivel adecuado de protección solo se realizarán en los casos previstos en el artículo 26 de la Ley 1581 de 2012.

19. Seguridad de la información

Quadratum S.A.S. implementará medidas técnicas, humanas y administrativas razonables para proteger los datos personales, incluyendo:

1. (a) controles de acceso basados en roles y en la necesidad de conocer;
2. (b) autenticación robusta para el equipo interno y verificaciones adicionales para operaciones sensibles de los usuarios;
3. (c) cifrado en tránsito y, para los datos sensibles y los documentos de los Expedientes, cifrado en reposo;
4. (d) segmentación entre bases de datos de clientes y de abogados;
5. (e) restricción de acceso al equipo encargado de validar postulaciones y antecedentes;
6. (f) registros de acceso y de acciones administrativas;
7. (g) copias de respaldo;
8. (h) acuerdos de confidencialidad con el equipo y los proveedores, y capacitación del equipo.

PENDIENTE — Validar con el equipo de desarrollo cuáles de estas medidas ya están implementadas (en especial, el cifrado en reposo de los Expedientes y los registros de acceso) antes de publicar la Política.

20. Gestión de incidentes de seguridad

Quadratum S.A.S. adoptará medidas técnicas, humanas y administrativas razonables, conforme al estado de la técnica y a su capacidad operativa, para prevenir el acceso no autorizado, la pérdida, alteración o uso indebido de los datos personales tratados dentro de la Plataforma. Estas medidas constituyen una obligación de medio y no de resultado, sin que ello exima a Quadratum S.A.S. del deber de actuar con la diligencia debida ante un incidente.

Ante un incidente de seguridad que comprometa la confidencialidad, integridad o disponibilidad de datos personales tratados en la Plataforma, Quadratum S.A.S.: (i) investigará el incidente y adoptará medidas de contención en el menor tiempo razonablemente posible; (ii) informará a los Titulares afectados y a la Superintendencia de Industria y Comercio, a través del Registro Nacional de Bases de Datos y dentro de los quince (15) días hábiles siguientes a su detección, conforme a las instrucciones de esa entidad; y (iii) documentará el incidente, sus causas y las medidas correctivas adoptadas, como soporte de su gestión diligente frente a eventuales requerimientos de la autoridad.

PENDIENTE — Falta adoptar el protocolo interno detallado de respuesta a incidentes (plazos internos de escalamiento, responsables por rol, formato de registro), referenciado aquí solo a nivel de principio.

21. Límite de responsabilidad frente a encargados y terceros

Los proveedores tecnológicos que actúan como Encargados del tratamiento (incluyendo, entre otros, Metered para videollamadas, DeepSeek para procesamiento de imágenes y documentos, y las pasarelas de pago descritas en la sección 11) son seleccionados por Quadratum S.A.S. con base en sus propios estándares de seguridad y condiciones contractuales de confidencialidad. Quadratum S.A.S. exigirá contractualmente a dichos Encargados el cumplimiento de obligaciones razonables de seguridad y confidencialidad, pero no garantiza ni asume responsabilidad por fallas de seguridad, indisponibilidad o incumplimientos que se originen exclusivamente en la infraestructura, sistemas o conducta de dichos terceros, sin perjuicio de las acciones que Quadratum S.A.S. pueda ejercer en su contra conforme a los contratos respectivos.

22. Independencia del tratamiento realizado por el Abogado

Quadratum S.A.S. actúa como Responsable del tratamiento respecto de los datos personales que se recolectan, almacenan y procesan dentro de la infraestructura tecnológica de la Plataforma. Sin embargo, una vez el Abogado accede a la información de un Cliente para efectos de prestar el servicio jurídico contratado, dicho Abogado se convierte en Responsable independiente del tratamiento posterior que realice sobre esa información —incluyendo su uso, análisis, elaboración de conceptos, almacenamiento en sus propios sistemas o archivo físico, y cualquier otro tratamiento que exceda la infraestructura de la Plataforma—, conforme a sus propios deberes bajo la Ley 1581 de 2012, y sin perjuicio del deber de reserva y secreto profesional que rige el ejercicio de la abogacía en Colombia (Decreto Ley 196 de 1971 y Ley 1123 de 2007).

En consecuencia, la responsabilidad de Quadratum S.A.S. como Responsable del tratamiento se circunscribe a la seguridad, trazabilidad y control de acceso de la información dentro de la Plataforma, conforme a la sección 19, y no se extiende al tratamiento que cada Abogado realice de manera autónoma sobre la información del Cliente por fuera de dicha infraestructura, ni a los riesgos derivados de dicho tratamiento independiente, del cual el Abogado es el único responsable frente al Titular y frente a la autoridad competente.

23. Conservación y supresión de los datos

Los datos se conservarán durante el tiempo necesario para cumplir las finalidades descritas y los términos legales de conservación documental, contable y probatoria aplicables. Tras cumplida la finalidad y vencidos dichos términos, los datos serán suprimidos o anonimizados, salvo obligación legal de conservación. Se proponen los siguientes plazos:

PENDIENTE — Los plazos de esta tabla son una propuesta y deben validarse jurídicamente, en particular el de los Expedientes, que debe armonizarse con los deberes de conservación del Abogado y con los términos de prescripción de las acciones de responsabilidad.

24. Menores de edad

En casos jurídicos que involucren menores (ej. asuntos de familia), el tratamiento de sus datos se hará solo con autorización de sus padres, representantes o tutores, bajo el interés superior del menor, limitando la información a la estrictamente necesaria. Los menores de edad no pueden registrarse como Clientes. No aplica a abogados, dado que la inscripción exige mayoría de edad y tarjeta profesional vigente.

PENDIENTE — Definir el procedimiento para verificar que quien actúa en nombre del menor es efectivamente su representante legal.

25. Política de Cookies

El uso de cookies y tecnologías similares se rige por la Política de Cookies de Abogados.work, disponible en [PENDIENTE: enlace].

26. Registro Nacional de Bases de Datos

Quadratum S.A.S. inscribirá en el Registro Nacional de Bases de Datos de la SIC las bases de datos de Abogados.work cuando le sea exigible, y mantendrá actualizada su información.

PENDIENTE — Elaborar el inventario de bases de datos (Clientes, Abogados, postulantes, Expedientes, transacciones, comunicaciones comerciales) y confirmar si Quadratum está obligada al registro según sus activos totales.

27. Manual Interno de Políticas y Procedimientos

Quadratum S.A.S. adoptará un Manual Interno de Políticas y Procedimientos para el tratamiento de datos personales, conforme al literal (k) del artículo 17 de la Ley 1581 de 2012, que desarrollará internamente los procedimientos aquí descritos (atención de consultas y reclamos, gestión de incidentes, verificación de antecedentes de Abogados, y demás obligaciones de este documento). Dicho Manual es un documento interno de aplicación operativa y no sustituye ni modifica los derechos de los Titulares reconocidos en esta Política.

PENDIENTE — El Manual Interno de Políticas y Procedimientos aún no ha sido redactado; es un documento operativo distinto de esta Política, priorizado en el roadmap legal pre-lanzamiento.

28. Textos de autorización

Sin perjuicio de la trazabilidad descrita en la sección 13, los mecanismos de aceptación activa mostrados al Titular incorporarán, como mínimo, los siguientes textos:

28.1. Autorización general (registro). «He leído y acepto la Política de Tratamiento de Datos Personales de Abogados.work. Autorizo de manera previa, expresa e informada a Quadratum S.A.S. para tratar mis datos personales conforme a las finalidades allí descritas. Entiendo que, si mi caso involucra datos sensibles, se me solicitará una autorización adicional y específica antes de tratarlos.»

28.2. Datos sensibles del Cliente. «Autorizo a Quadratum S.A.S. y al abogado que contrate a tratar los datos sensibles que incluya en mi caso (por ejemplo, información de salud, de procesos penales o de menores de edad), únicamente para la prestación del servicio jurídico que solicito. Entiendo que no estoy obligado a autorizar el tratamiento de datos sensibles.»

28.3. Antecedentes del Abogado. «Autorizo a Quadratum S.A.S. a consultar y conservar mis antecedentes penales y disciplinarios y la vigencia de mi Tarjeta Profesional, para verificar mi idoneidad como condición de ingreso y durante mi vinculación a Abogados.work. Entiendo que esta información es sensible y que no estoy obligado a autorizar su tratamiento, aunque sin ella no es posible completar mi admisión.»

28.4. Transferencia internacional a DeepSeek. «Autorizo de manera expresa e inequívoca que los documentos que cargue en Abogados.work, que no contengan datos sensibles ni datos de menores de edad, sean procesados por el motor de lectura de documentos de DeepSeek, que almacena la información en servidores ubicados en la República Popular China, país que no cuenta con un nivel de protección de datos reconocido como adecuado por la Superintendencia de Industria y Comercio. Entiendo que puedo no otorgar esta autorización y que, en ese caso, mis documentos se procesarán por otros medios.»

28.5. Comunicaciones comerciales. «Autorizo a Quadratum S.A.S. a enviarme newsletters, contenido jurídico, promociones e invitaciones a eventos de Abogados.work. Puedo retirar esta autorización en cualquier momento.»

PENDIENTE — Textos sujetos a revisión final antes de implementación. Faltan el texto para la grabación de videollamadas (si se habilita) y el texto para la actuación del representante de un menor de edad.

29. Modificaciones a la Política

Quadratum S.A.S. podrá modificar esta Política en cualquier momento. Los cambios sustanciales serán comunicados a los titulares a través de la plataforma o del correo electrónico registrado, con anterioridad a su entrada en vigencia. Cuando el cambio se refiera a las finalidades del tratamiento, se solicitará una nueva autorización.

30. Vigencia

Esta Política rige a partir de [PENDIENTE: confirmar fecha] y sustituye la versión 1.0. Las bases de datos estarán vigentes mientras se mantengan las finalidades descritas.

31. Autoridad de control

La Superintendencia de Industria y Comercio (SIC) es la autoridad nacional de protección de datos personales ante la cual el titular puede presentar quejas relacionadas con el tratamiento de sus datos.