Política de Tratamiento de la Información

[RAZÓN SOCIAL], NIT [NIT], con domicilio en [DIRECCIÓN], [CIUDAD], Colombia. Teléfono [TELÉFONO]. Correo para asuntos de protección de datos: [CORREO DE PROTECCIÓN DE DATOS].

El área responsable de atender las peticiones, consultas y reclamos es [ÁREA RESPONSABLE].

Somos Responsables de los datos de las personas que usan Rubbro: quienes se registran, los usuarios que un Administrador invita a su empresa y quienes nos escriben.

Somos Encargados de los datos que cada empresa cliente carga en la plataforma sobre sus proveedores y sobre las personas de contacto de esos proveedores. Ahí el Responsable es la empresa cliente: es ella quien decide para qué los usa y quien debe contar con la autorización del titular. Nosotros los tratamos únicamente siguiendo sus instrucciones y para prestarle el servicio.

Si usted es proveedor de una empresa que usa Rubbro y quiere saber por qué tienen sus datos, la petición se dirige a esa empresa. Si nos escribe a nosotros, le indicaremos a quién dirigirse y daremos aviso a nuestro cliente.

Como Responsable tratamos, de los usuarios de la plataforma:

• Identificación y contacto —nombre, correo electrónico, teléfono, empresa a la que pertenece y rol asignado—, para crear y administrar su cuenta, autenticarlo y comunicarnos con usted sobre el servicio.
• Registros de actividad —qué acciones realizó en la plataforma y cuándo—, para efectos de seguridad, auditoría y trazabilidad de las aprobaciones de compra. La trazabilidad es parte del servicio: una orden de compra tiene que poder decir quién la aprobó.
• Datos técnicos —dirección IP, tipo de navegador, fechas de acceso—, para operar el servicio, prevenir fraude y diagnosticar fallas.
• Identificador de Telegram, únicamente si usted vincula voluntariamente esa cuenta, para enviarle notificaciones por ese canal.

Como Encargado tratamos los datos de contacto de proveedores que la empresa cliente registra —nombre, cargo, correo, teléfono— con la única finalidad de que esa empresa pueda enviarles invitaciones a cotizar y órdenes de compra a través de la plataforma.

No vendemos datos personales ni los usamos para publicidad de terceros.

El tratamiento se sustenta en la autorización previa, expresa e informada del titular (artículo 9 de la Ley 1581 de 2012), que usted otorga al registrarse y aceptar esta política.

El artículo 10 de la misma ley exceptúa del requisito de autorización, entre otros, los datos requeridos por una entidad pública en ejercicio de sus funciones o por orden judicial, los datos de naturaleza pública y los casos de urgencia médica o sanitaria.

Rubbro no solicita datos sensibles —los que afectan la intimidad o cuyo uso indebido puede generar discriminación, según el artículo 5 de la Ley 1581 de 2012— ni datos de niñas, niños y adolescentes. La plataforma es una herramienta de trabajo y no está dirigida a menores de edad.

Si usted carga datos de esa naturaleza en un campo de texto libre, lo hace bajo su responsabilidad como Responsable del Tratamiento.

De acuerdo con el artículo 8 de la Ley 1581 de 2012, usted tiene derecho a:

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización que otorgó, salvo cuando la ley no la exija.
• Ser informado, previa solicitud, sobre el uso que se les ha dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, una vez agotado el trámite ante nosotros.
• Revocar la autorización y solicitar la supresión de sus datos, cuando no exista un deber legal o contractual que lo impida.
• Acceder de forma gratuita a sus datos personales.

Escriba a [CORREO DE PROTECCIÓN DE DATOS] indicando su nombre, un medio de contacto, lo que solicita y los documentos que quiera hacer valer.

Consultas (artículo 14 de la Ley 1581 de 2012): las atendemos en un máximo de diez (10) días hábiles. Si no es posible, le informaremos los motivos y la fecha en que la atenderemos, que no superará los cinco (5) días hábiles siguientes al vencimiento del primer plazo.

Reclamos (artículo 15): si el reclamo está incompleto le pediremos completarlo dentro de los cinco (5) días siguientes; si no lo hace en dos meses, se entiende desistido. El reclamo se resuelve en un máximo de quince (15) días hábiles contados desde el día siguiente a su recibo, prorrogables por ocho (8) días hábiles más, informándole los motivos y la nueva fecha.

La queja ante la Superintendencia de Industria y Comercio solo procede una vez agotado este trámite ante nosotros.

Para operar usamos proveedores de infraestructura que actúan como Encargados nuestros y solo pueden tratar los datos para prestarnos su servicio:

• Supabase — base de datos, autenticación y almacenamiento de archivos.
• Vercel — alojamiento y ejecución de la aplicación.
• Resend — envío de los correos de la plataforma.
• Telegram — notificaciones, únicamente para quienes vinculan su cuenta.

Fuera de estos, no compartimos datos personales con terceros, salvo requerimiento de autoridad competente.

Los servidores donde se alojan los datos están ubicados en Estados Unidos. El artículo 26 de la Ley 1581 de 2012 prohíbe transferir datos a países que no ofrezcan niveles adecuados de protección, y mediante la Circular Externa 005 de 2017 la Superintendencia de Industria y Comercio declaró a Estados Unidos como país con nivel adecuado de protección de datos personales.

Si en el futuro cambiamos de proveedor o de región, actualizaremos esta política antes de hacerlo.

Aplicamos medidas técnicas y administrativas razonables: cifrado en tránsito, control de acceso por rol, aislamiento de la información de cada empresa a nivel de base de datos, enlaces firmados y con vencimiento para los documentos, y registro de auditoría de las operaciones sensibles.

Ninguna medida es infalible. Si ocurre un incidente que afecte sus datos personales, lo informaremos a la Superintendencia de Industria y Comercio y a los titulares afectados, conforme a la normativa vigente.

Conservamos los datos mientras la cuenta esté activa y, después de terminada la relación, durante [PERIODO DE CONSERVACIÓN], o el plazo mayor que exija una obligación legal —contable, tributaria o probatoria—. Cumplido ese periodo, los eliminamos o los anonimizamos.

El Decreto 090 de 2018 limitó la obligación de inscribir bases de datos en el Registro Nacional de Bases de Datos (RNBD) de la Superintendencia de Industria y Comercio a las sociedades y entidades sin ánimo de lucro con activos totales iguales o superiores a 100.000 UVT, y a las personas jurídicas de naturaleza pública.

A la fecha, [RAZÓN SOCIAL] [ESTÁ / NO ESTÁ] obligada a ese registro. Esta condición se revisa cada año, porque depende del valor de los activos y de la UVT vigente.

Esta política rige desde el [FECHA]. Las bases de datos se mantendrán vigentes mientras se cumplan las finalidades descritas y mientras exista la relación comercial, sin perjuicio de los plazos legales de conservación.

Podemos modificarla. Cuando el cambio sea sustancial, se lo comunicaremos por correo electrónico o dentro de la plataforma antes de que entre en vigencia.

Nota para revisión: el Gobierno radicó en agosto de 2025 un proyecto de ley estatutaria que modifica la Ley 1581 de 2012 —nuevos derechos, definiciones y sanciones—. A la fecha de este borrador no ha sido sancionado. Cuando lo sea, esta política deberá revisarse.