Política de Tratamiento de Datos Personales

Versión 1.0. Vigente desde el 7 de noviembre de 2026.

REVISAR: fecha de entrada en vigencia; ajustarla al día de publicación.

1. Presentación

GRUPO ILLERA S.A.S. (en adelante, «Grupo Illera» o «la firma») es una firma de abogados y consultores que presta servicios jurídicos, contables, tributarios, de comercio exterior y migratorios. Para atender consultas y prestar esos servicios necesita recolectar y tratar datos personales de clientes, de personas que la contactan y de otras personas relacionadas con su actividad.

Esta Política de Tratamiento de Datos Personales (la «Política») explica qué datos trata la firma, con qué finalidades, cuáles son los derechos de sus titulares y cómo pueden ejercerlos. Se adopta en cumplimiento del artículo 15 de la Constitución Política, de la Ley Estatutaria 1581 de 2012 y del Decreto 1377 de 2013, hoy compilado en el Decreto 1074 de 2015 (Decreto Único Reglamentario del Sector Comercio, Industria y Turismo). Reemplaza cualquier texto anterior sobre la materia publicado en el sitio web.

2. Responsable del tratamiento

3. Ámbito de aplicación

Esta Política se aplica a todas las bases de datos y archivos, físicos o digitales, que contengan datos personales tratados por Grupo Illera, incluidos los que se recogen por el sitio web, el formulario de contacto, WhatsApp, el correo electrónico, el teléfono, la oficina y el portal de clientes. Es de obligatorio cumplimiento para los socios, abogados, contadores, consultores, empleados y contratistas de la firma, y para los terceros que traten datos por su cuenta.

Cuando, en desarrollo de un servicio contable, tributario, de nómina o de comercio exterior, la firma trate datos personales cuyo responsable es el cliente (por ejemplo, datos de sus trabajadores, proveedores o clientes), actuará como encargado del tratamiento: los tratará solo para prestar el servicio contratado, según las instrucciones del cliente y con las medidas de seguridad de esta Política. En esos casos, corresponde al cliente, como responsable, contar con la autorización de los titulares.

4. Definiciones

Para efectos de esta Política, y de acuerdo con la Ley 1581 de 2012 y el Decreto 1074 de 2015, se entiende por:

  • Autorización: consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de sus datos personales.
  • Aviso de privacidad: comunicación verbal o escrita dirigida al titular, mediante la cual se le informa sobre la existencia de esta Política, la forma de acceder a ella y las finalidades del tratamiento.
  • Base de datos: conjunto organizado de datos personales que sea objeto de tratamiento.
  • Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
  • Dato público: el dato que no es semiprivado, privado ni sensible, como los relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Puede estar contenido, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales ejecutoriadas que no estén sometidas a reserva.
  • Dato semiprivado: el que no tiene naturaleza íntima, reservada ni pública y cuyo conocimiento puede interesar no solo a su titular sino a cierto sector o a la sociedad en general, como el dato financiero y crediticio.
  • Dato privado: el que, por su naturaleza íntima o reservada, solo es relevante para su titular.
  • Dato sensible: el que afecta la intimidad del titular o cuyo uso indebido puede generar su discriminación, en los términos del numeral 9 de esta Política.
  • Encargado del tratamiento: persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros realiza el tratamiento de datos personales por cuenta del responsable.
  • Responsable del tratamiento: persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros decide sobre la base de datos o el tratamiento de los datos.
  • Titular: persona natural cuyos datos personales son objeto de tratamiento.
  • Tratamiento: cualquier operación sobre datos personales, como la recolección, el almacenamiento, el uso, la circulación o la supresión.
  • Transferencia: envío de datos personales por parte del responsable o del encargado, ubicado en Colombia, a un receptor que a su vez es responsable del tratamiento y que se encuentra dentro o fuera del país.
  • Transmisión: comunicación de datos personales, dentro o fuera de Colombia, para que un encargado realice el tratamiento por cuenta del responsable.

5. Principios

La firma aplica los principios del artículo 4 de la Ley 1581 de 2012:

  • Legalidad: el tratamiento es una actividad reglada que se sujeta a la ley.
  • Finalidad: el tratamiento obedece a finalidades legítimas que se informan al titular.
  • Libertad: el tratamiento solo se realiza con el consentimiento previo, expreso e informado del titular, salvo mandato legal o judicial que releve el consentimiento.
  • Veracidad o calidad: la información debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. No se tratan datos parciales, incompletos, fraccionados o que induzcan a error.
  • Transparencia: el titular puede obtener en cualquier momento, y sin restricciones, información sobre la existencia de los datos que le conciernen.
  • Acceso y circulación restringida: los datos solo son accesibles a las personas autorizadas y no se publican en internet ni en medios masivos, salvo que el acceso esté técnicamente controlado para darlo únicamente al titular o a terceros autorizados.
  • Seguridad: se aplican medidas técnicas, humanas y administrativas para evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
  • Confidencialidad: todas las personas que intervienen en el tratamiento guardan reserva sobre la información, incluso después de terminada su relación con la firma.

Además, la firma aplica el principio de responsabilidad demostrada: adopta medidas apropiadas y efectivas para cumplir la ley y está en capacidad de demostrarlo ante la Superintendencia de Industria y Comercio.

6. Datos personales que trata la firma

Según la relación que cada persona tenga con la firma, Grupo Illera puede tratar los siguientes datos:

  • Personas que consultan por el sitio web o por WhatsApp: nombre, teléfono o número de WhatsApp, correo electrónico, área de interés, descripción del caso y la información o los documentos que decidan compartir. En WhatsApp, además, el nombre y la foto de perfil que la persona tenga configurados.
  • Clientes: datos de identificación (nombre, tipo y número de documento, nacionalidad, fecha de nacimiento y estado civil), datos de contacto, datos laborales, académicos y familiares, información patrimonial, financiera, contable y tributaria (por ejemplo, RUT, ingresos, bienes y declaraciones), información sobre los procesos y trámites encomendados y los documentos que aporten. En los trámites migratorios, también pasaporte, historial migratorio, fotografías y datos de los beneficiarios.
  • Terceros relacionados con los asuntos: datos de contrapartes, apoderados, testigos, familiares, socios, beneficiarios y demás personas cuya información sea necesaria para atender el asunto.
  • Proveedores y aliados profesionales: datos de identificación, contacto, bancarios y tributarios de las personas naturales, o de los representantes y contactos de las personas jurídicas.
  • Colaboradores y candidatos: hoja de vida, datos de contacto, formación, experiencia, datos de seguridad social y bancarios, y los demás necesarios para la relación laboral o contractual.
  • Visitantes del sitio web: datos técnicos de navegación, como la dirección IP y el tipo de navegador, que se tratan según la Política de Cookies.

REVISAR: si la oficina tiene videovigilancia o registro de visitantes, añadir esa categoría de datos y su finalidad.

7. Finalidades del tratamiento

Los datos personales se tratan para las siguientes finalidades:

7.1 Atención de consultas

  • Recibir y responder las consultas enviadas por el formulario de contacto, WhatsApp, correo electrónico, teléfono o en la oficina.
  • Contactar a la persona para ampliar la información, hacer una evaluación preliminar del caso, agendar citas y enviarle propuestas de servicios y de honorarios.
  • Verificar que no exista conflicto de interés antes de aceptar un encargo.

7.2 Prestación de servicios

  • Celebrar y ejecutar los contratos de prestación de servicios y los poderes que se otorguen a la firma o a sus profesionales.
  • Asesorar y representar a los clientes ante autoridades judiciales y administrativas, notarías, cámaras de comercio, la DIAN y otras autoridades tributarias y aduaneras, Migración Colombia, el Ministerio de Relaciones Exteriores, consulados y entidades privadas.
  • Elaborar conceptos, contratos, demandas, contestaciones, recursos, derechos de petición, declaraciones tributarias, estados financieros, solicitudes de visa y los demás documentos propios del servicio.
  • Llevar la contabilidad y atender las obligaciones tributarias y de comercio exterior del cliente cuando ese sea el servicio contratado.

7.3 Gestión de procesos y expedientes

  • Conformar, custodiar y actualizar el expediente de cada asunto.
  • Hacer seguimiento a procesos, trámites, audiencias y términos, y consultar los sistemas de información de la Rama Judicial y de otras autoridades.
  • Coordinar el trabajo con peritos, traductores oficiales, notarías, corresponsales y otros profesionales que intervengan en el asunto.

7.4 Facturación, pagos y obligaciones legales

  • Expedir facturas electrónicas, recibir pagos, gestionar la cartera y cobrar los honorarios pactados.
  • Cumplir las obligaciones contables, tributarias y de conservación de documentos de la firma.
  • Atender requerimientos de autoridades administrativas o judiciales y cumplir las normas de prevención del lavado de activos y de la financiación del terrorismo que resulten aplicables, incluida la consulta de listas restrictivas. REVISAR: confirmar si la firma consulta listas restrictivas o tiene un sistema de prevención de LA/FT; si no, ajustar este punto.

7.5 Portal de clientes

  • Publicar en el portal de clientes (portal.grupoillera.com) el estado y las actuaciones del proceso o trámite de cada cliente, para que pueda consultarlo.

7.6 Comunicaciones

  • Informar a los clientes sobre el avance de sus asuntos, audiencias, vencimientos, documentos pendientes y pagos, por correo electrónico, teléfono, WhatsApp o el portal de clientes.
  • Enviar boletines, novedades normativas, invitaciones a eventos e información sobre los servicios de la firma, solo a quienes lo hayan autorizado de forma separada. Quien reciba estas comunicaciones puede dejar de recibirlas en cualquier momento.
  • Conocer la opinión de los clientes sobre los servicios prestados.

7.7 Proveedores, colaboradores y candidatos

  • Seleccionar, contratar y pagar a proveedores y aliados profesionales, y cumplir las obligaciones derivadas de esos contratos.
  • Adelantar procesos de selección, celebrar y ejecutar contratos de trabajo o de prestación de servicios, pagar salarios, honorarios y aportes a seguridad social, y cumplir las demás obligaciones laborales.
  • Publicar en el sitio web el nombre, el cargo, el perfil profesional y la fotografía de los miembros del equipo que lo hayan autorizado. REVISAR: conservar la autorización escrita de cada miembro del equipo cuya foto y perfil aparecen en el sitio.

7.8 Seguridad y defensa de derechos

  • Proteger la seguridad del sitio web, del portal de clientes y de los sistemas de información de la firma, y prevenir fraudes.
  • Atender peticiones, quejas y reclamos, y ejercer o defender los derechos de la firma ante las autoridades.

Grupo Illera no vende datos personales, no los cede a terceros con fines comerciales y no los usa para elaborar perfiles publicitarios. Si necesitara tratarlos para una finalidad distinta de las aquí descritas, pedirá una nueva autorización.

8. Autorización

La firma solicita la autorización previa, expresa e informada del titular, a más tardar al momento de recolectar sus datos. La autorización puede constar por escrito, en medio electrónico (como la casilla del formulario de contacto, que no viene marcada), de forma oral o mediante conductas inequívocas del titular que permitan concluir razonablemente que la otorgó, como continuar una conversación por WhatsApp después de recibir el aviso de privacidad. La firma conserva prueba de las autorizaciones.

Al pedir la autorización, la firma informa al titular el tratamiento y la finalidad, el carácter facultativo de las respuestas sobre datos sensibles o de niñas, niños y adolescentes, sus derechos y los canales de contacto del responsable. Los textos de autorización que usa la firma están en el anexo de esta Política.

Según el artículo 10 de la Ley 1581 de 2012, no se requiere autorización cuando se trate de:

  • información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial;
  • datos de naturaleza pública;
  • casos de urgencia médica o sanitaria;
  • tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos;
  • datos relacionados con el Registro Civil de las Personas.

Aun en esos casos, la firma cumple las demás disposiciones de la ley y de esta Política.

9. Datos sensibles

Son sensibles los datos que afectan la intimidad del titular o cuyo uso indebido puede generar su discriminación, como los que revelan el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, o la pertenencia a sindicatos, organizaciones sociales o de derechos humanos, y los datos relativos a la salud, a la vida sexual y los datos biométricos.

Por la naturaleza de sus servicios, la firma puede recibir datos sensibles que el titular aporta para su caso. Por ejemplo: historias clínicas, incapacidades o dictámenes de pérdida de capacidad laboral en asuntos laborales o de responsabilidad médica; información sobre la vida familiar o sexual en asuntos de familia; fotografías y huellas en trámites migratorios; o convicciones religiosas o políticas en solicitudes de protección internacional. La información sobre antecedentes, investigaciones o procesos penales o disciplinarios recibe la misma protección reforzada, por su potencial discriminatorio.

El tratamiento de estos datos sigue estas reglas:

  • El titular no está obligado a autorizar el tratamiento de sus datos sensibles ni a responder preguntas sobre ellos. Suministrarlos es facultativo.
  • La firma solo trata datos sensibles con la autorización expresa del titular, en la que se le informa cuáles datos son sensibles y para qué se usarán, salvo en las excepciones del artículo 6 de la Ley 1581 de 2012, entre ellas que el tratamiento sea necesario para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
  • La firma no condiciona la atención de consultas ni la prestación de sus servicios a la entrega de datos sensibles. Si en un asunto concreto algún dato sensible es indispensable para ejercer o defender un derecho (por ejemplo, la historia clínica en una reclamación por responsabilidad médica), la firma se lo explicará al titular, quien decidirá libremente si lo aporta.
  • Los datos sensibles solo se usan para el asunto para el que fueron entregados, y solo acceden a ellos los profesionales que lo atienden.
  • La firma recomienda no incluir datos sensibles en el formulario de contacto ni enviar documentos de salud o de antecedentes penales en los primeros mensajes de WhatsApp: basta una descripción general del caso. Esa información puede entregarse después, cuando se formalice el servicio.

10. Datos de niñas, niños y adolescentes

Conforme al artículo 7 de la Ley 1581 de 2012, interpretado por la Corte Constitucional en la sentencia C-748 de 2011, y al Decreto 1074 de 2015, la firma solo trata datos de menores de 18 años cuando el tratamiento responde y respeta su interés superior y asegura el respeto de sus derechos fundamentales. Ocurre, por ejemplo, en asuntos de familia (custodia, alimentos, visitas, filiación o sucesiones) o en trámites migratorios en los que el menor es beneficiario.

La autorización la otorga el representante legal del menor, después de que este haya ejercido su derecho a ser escuchado, opinión que se valora según su madurez, autonomía y capacidad para entender el asunto. Quien suministra datos de un menor declara ser su representante legal o estar facultado para hacerlo. Suministrar datos de menores, y en especial sus datos sensibles, es facultativo.

11. Datos de terceros aportados por el cliente

Para prestar sus servicios, la firma recibe con frecuencia datos de personas distintas del cliente, como contrapartes, testigos o familiares. El cliente declara que los obtuvo de manera lícita y que puede compartirlos con la firma. Grupo Illera usa esos datos solo para atender el asunto encomendado, ejercer o defender los derechos del cliente y cumplir sus deberes legales, con las mismas medidas de seguridad y reserva que aplica a los datos de sus clientes.

12. Derechos de los titulares

De acuerdo con el artículo 8 de la Ley 1581 de 2012, el titular de los datos tiene derecho a:

  1. Conocer, actualizar y rectificar sus datos personales frente a la firma o a sus encargados, en especial frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error o cuyo tratamiento esté prohibido o no haya sido autorizado.
  2. Solicitar prueba de la autorización otorgada, salvo cuando la ley no la exige.
  3. Ser informado, previa solicitud, del uso que se ha dado a sus datos personales.
  4. Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante la firma.
  5. Revocar la autorización y solicitar la supresión de sus datos, en los términos del numeral 16.
  6. Acceder en forma gratuita a sus datos personales objeto de tratamiento.

Pueden ejercer estos derechos:

  • el titular, acreditando su identidad;
  • sus causahabientes, acreditando esa calidad;
  • su representante o apoderado, acreditando la representación o el apoderamiento;
  • otra persona, por estipulación a favor de otro o para otro;
  • en el caso de niñas, niños y adolescentes, las personas facultadas para representarlos.

13. Área responsable de consultas y reclamos

La Gerencia de Grupo Illera es el área responsable de atender las consultas, reclamos y demás solicitudes de los titulares. REVISAR: confirmar que la Gerencia es el área responsable o indicar la persona designada como oficial de protección de datos.

Canales de atención:

  • Correo electrónico: gerencia@grupoillera.com, con el asunto «Datos personales».
  • Comunicación escrita radicada en la oficina: Calle 64i #86-53, Of. 201, Bogotá D.C.
  • Teléfono y WhatsApp: +57 314 486 6026, para orientación. Para que quede constancia de la fecha de recibo, se recomienda presentar las consultas y los reclamos por correo electrónico o por escrito.

Horario de atención: lunes a viernes, de 8:00 a.m. a 5:00 p.m., en días hábiles. REVISAR: horario de atención de la oficina.

14. Procedimiento para consultas

El titular o las personas legitimadas pueden consultar la información personal del titular que repose en las bases de datos de la firma. La consulta debe indicar el nombre del titular, los datos que permitan identificarlo, el medio para recibir la respuesta y lo que desea conocer.

  1. La consulta se presenta por los canales del numeral 13.
  2. La firma verifica la identidad del solicitante o su legitimación.
  3. La consulta se atiende en un término máximo de diez (10) días hábiles, contados a partir de la fecha de su recibo.
  4. Si no es posible atenderla en ese término, la firma informará al interesado los motivos de la demora y la fecha en que la atenderá, que en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

El titular puede consultar sus datos de forma gratuita al menos una vez cada mes calendario y cada vez que haya modificaciones sustanciales de esta Política que motiven nuevas consultas. Para consultas más frecuentes, la firma solo podrá cobrar los gastos de envío, reproducción y, en su caso, certificación de documentos.

15. Procedimiento para reclamos

El titular o las personas legitimadas que consideren que la información contenida en una base de datos de la firma debe corregirse, actualizarse o suprimirse, o que adviertan un presunto incumplimiento de la ley o de esta Política, pueden presentar un reclamo, que se tramita así:

  1. El reclamo se dirige a la firma por los canales del numeral 13 e incluye la identificación del titular, la descripción de los hechos que lo motivan, la dirección o el medio para recibir respuesta y los documentos que se quieran hacer valer.
  2. Si el reclamo está incompleto, la firma requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas. Si pasan dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá que desistió del reclamo.
  3. Si la firma no es competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de ello al interesado.
  4. Recibido el reclamo completo, la firma incluirá en la base de datos, en un término no mayor a dos (2) días hábiles, una leyenda que diga «reclamo en trámite» y el motivo, y la mantendrá hasta que el reclamo se decida.
  5. El reclamo se atiende en un término máximo de quince (15) días hábiles, contados a partir del día siguiente a la fecha de su recibo. Si no es posible atenderlo en ese término, la firma informará al interesado los motivos de la demora y la fecha en que lo atenderá, que en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

Requisito de procedibilidad. El titular o su causahabiente solo pueden elevar una queja ante la Superintendencia de Industria y Comercio (www.sic.gov.co) después de haber agotado el trámite de consulta o reclamo ante la firma.

16. Revocatoria de la autorización y supresión de datos

El titular puede revocar en cualquier momento, total o parcialmente, la autorización otorgada y pedir la supresión de sus datos, mediante un reclamo presentado según el numeral 15. La revocatoria parcial puede referirse solo a alguna finalidad, por ejemplo, el envío de boletines; en ese caso, las demás finalidades se mantienen.

La revocatoria y la supresión no proceden cuando el titular tenga un deber legal o contractual de permanecer en la base de datos. Por eso, la firma podrá conservar la información necesaria para ejecutar un contrato vigente, cumplir sus obligaciones legales de conservación de documentos, conservar el soporte de la gestión profesional realizada y ejercer o defender derechos en procesos judiciales, administrativos o disciplinarios. En esos casos, limitará el uso de los datos a esas finalidades.

Si, vencido el término legal, la firma no ha suprimido los datos cuando correspondía hacerlo, el titular puede pedir a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización o la supresión de los datos.

17. Transmisión y transferencia de datos

17.1 Transmisión a encargados

La firma se apoya en proveedores que tratan datos personales por su cuenta, como encargados, únicamente para prestarle sus servicios:

Encargado Servicio Datos que trata
Proveedor de alojamiento web (hosting) Alojamiento del sitio web, del portal de clientes, de sus bases de datos y de sus copias de seguridad Mensajes del formulario de contacto, contenido del portal y datos técnicos de navegación
Proveedor de correo electrónico Correo corporativo con dominio grupoillera.com Mensajes, archivos adjuntos y datos de contacto
WhatsApp (Meta) Mensajería con clientes y con personas que consultan Número de teléfono, nombre de perfil, mensajes y archivos
Proveedores de almacenamiento en la nube, software contable y facturación electrónica Gestión documental, contabilidad y expedición de facturas electrónicas Documentos de los asuntos, datos contables y de facturación

REVISAR: nombre de cada proveedor (hosting, correo, nube, software contable, facturación electrónica), país donde están sus servidores y si se usa WhatsApp Business. Si algún servidor está fuera de Colombia, verificar que el contrato o los términos del proveedor contengan las obligaciones del contrato de transmisión del Decreto 1074 de 2015.

Algunos de estos proveedores pueden tener sus servidores fuera de Colombia. En esos casos, la transmisión internacional se ampara en un contrato de transmisión de datos personales, o en cláusulas equivalentes incluidas en las condiciones del proveedor, por las que el encargado se obliga a tratar los datos solo según las instrucciones de la firma, aplicar medidas de seguridad, guardar confidencialidad y respetar esta Política, conforme al Decreto 1074 de 2015. El uso de WhatsApp se sujeta, además, a las condiciones y a la política de privacidad de ese servicio.

17.2 Transferencias

Para prestar sus servicios, la firma puede transferir datos personales a terceros que los tratan como responsables, siempre dentro de las finalidades de esta Política: autoridades judiciales y administrativas, notarías, cámaras de comercio, la DIAN, Migración Colombia, el Ministerio de Relaciones Exteriores, consulados y embajadas, contrapartes y sus apoderados en el marco del asunto, peritos, traductores oficiales, entidades financieras, y abogados o consultores aliados que intervengan en el asunto con conocimiento del cliente.

Cuando un asunto exija enviar datos a otro país (por ejemplo, a un consulado o a una autoridad extranjera en un trámite migratorio o de comercio exterior), la transferencia se hará a países con un nivel adecuado de protección de datos o, en su defecto, en los casos que permite el artículo 26 de la Ley 1581 de 2012. Entre ellos, cuando el titular la haya autorizado de forma expresa e inequívoca, cuando sea necesaria para ejecutar el contrato con el titular o cuando sea necesaria para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.

18. Seguridad de la información

La firma aplica medidas técnicas, humanas y administrativas razonables para proteger los datos personales contra la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, entre ellas:

  • conexión cifrada (HTTPS) en el sitio web y en el portal de clientes;
  • acceso a la información limitado a las personas que la necesitan para su trabajo, con usuarios y contraseñas individuales;
  • copias de seguridad periódicas;
  • compromisos de confidencialidad con colaboradores y encargados.

REVISAR: confirmar cada medida. Además, hoy el portal de clientes muestra los expedientes (con datos de procesos penales, de familia y de salud) sin contraseña y los lista en su buscador: confirmar que esa publicación es compatible con la Ley 1581 de 2012 (datos sensibles) y con el secreto profesional, o protegerla.

Ningún sistema es completamente invulnerable. Si se presenta un incidente de seguridad que ponga en riesgo los datos personales, la firma adoptará las medidas necesarias para contenerlo, lo informará a la Superintendencia de Industria y Comercio en los términos de la ley y, cuando corresponda, avisará a los titulares afectados.

19. Secreto profesional y confidencialidad

Además de lo previsto en esta Política, la información que los clientes confían a la firma está protegida por el secreto profesional, que el artículo 74 de la Constitución Política declara inviolable. Los abogados de la firma tienen el deber de guardarlo incluso después de terminada la prestación del servicio (artículo 28 de la Ley 1123 de 2007, Código Disciplinario del Abogado), y los contadores públicos están sujetos a la reserva profesional que establece la Ley 43 de 1990.

La firma trata con reserva la información recibida en consultas preliminares, aunque no llegue a formalizarse la prestación de un servicio. Solo revelará información amparada por el secreto profesional con autorización del cliente o en los casos en que la ley lo permita o lo exija. Cuando un tercero pida acceso a datos suyos que hagan parte del expediente de un cliente, la firma atenderá su solicitud sin revelar información amparada por el secreto profesional.

20. Conservación de los datos y vigencia de las bases de datos

Los datos se conservan solo durante el tiempo necesario para cumplir las finalidades para las que se recolectaron y las obligaciones legales de la firma:

  • Consultas que no se convierten en un servicio: hasta dos (2) años desde el último contacto. Después se suprimen, salvo los datos mínimos necesarios para verificar conflictos de interés.
  • Clientes y expedientes: durante la relación profesional y, después de terminada, durante el plazo de diez (10) años de conservación de los libros y papeles del comerciante (artículo 60 del Código de Comercio, modificado por el artículo 28 de la Ley 962 de 2005) o el mayor que exijan otras normas o el ejercicio o la defensa de derechos.
  • Proveedores y colaboradores: durante la relación y, después de ella, durante los plazos que exijan las normas laborales, contables y tributarias.
  • Candidatos no seleccionados: hasta seis (6) meses después de terminado el proceso de selección, salvo que autoricen un plazo mayor.

REVISAR: confirmar los plazos de conservación (2 años para consultas, 10 años para expedientes y 6 meses para candidatos) según la práctica de la firma.

Las bases de datos de Grupo Illera estarán vigentes mientras la sociedad desarrolle su objeto social y se mantengan las finalidades descritas en esta Política.

REVISAR: si los activos totales de la sociedad superan 100.000 UVT, inscribir las bases de datos en el Registro Nacional de Bases de Datos (RNBD) de la SIC y mantener el registro actualizado.

21. Cambios a esta Política

Los cambios sustanciales a esta Política, en especial los referidos a la identificación del responsable o a las finalidades del tratamiento, se comunicarán a los titulares antes de aplicarse o, a más tardar, al momento de implementarlos, mediante su publicación en el sitio web y, cuando sea posible, por correo electrónico. Si el cambio se refiere a las finalidades del tratamiento, la firma pedirá una nueva autorización.

22. Vigencia

Esta Política rige desde el 7 de noviembre de 2026 (versión 1.0).

Anexo. Textos de autorización

Casilla del formulario de contacto

El formulario de contacto incluye una casilla obligatoria, que no viene marcada, con este texto:

Autorizo a GRUPO ILLERA S.A.S. a tratar mis datos para responder mi consulta, contactarme por teléfono, WhatsApp o correo electrónico y, si contrato sus servicios, prestarlos, según su Política de Tratamiento de Datos Personales. Si incluyo datos sensibles (por ejemplo, de salud o antecedentes penales) o datos de menores de edad que represento, autorizo expresamente su tratamiento solo para analizar mi caso, y sé que suministrarlos es facultativo. Puedo conocer, actualizar, rectificar y suprimir mis datos o revocar esta autorización escribiendo a gerencia@grupoillera.com.

REVISAR: configurar el formulario para que no se envíe sin marcar la casilla y para que guarde la fecha, la hora y el texto aceptado como prueba de la autorización.

Mensaje automático de WhatsApp

Al recibir el primer mensaje de una persona, la línea de WhatsApp de la firma responde con este aviso:

Hola, gracias por escribir a Grupo Illera. Si continúas la conversación, nos autorizas a tratar tus datos para atender tu consulta, según nuestra Política de Tratamiento de Datos Personales: https://grupoillera.com/politica-de-privacidad/. Por ahora no envíes documentos de salud ni de antecedentes penales; si llegan a ser necesarios, te lo diremos. Puedes consultar, corregir o suprimir tus datos escribiendo a gerencia@grupoillera.com.

REVISAR: configurar este mensaje de bienvenida en WhatsApp Business.