Política de tratamiento de datos personales
FYA LEGAL SAS — Plataforma FIA+
NIT: 900565803-7
Domicilio y dirección: calle 127 No. 14-54, Bogotá, Colombia
Teléfono: 3106519379
Canal de protección de datos: soluciones@fyalegal.com
Versión: 1.0, aprobada por el propietario el 21 de octubre de 2026
Disponibilidad: versión aprobada disponible en FIA+ desde el 21 de octubre de 2026 y publicada en Internet en https://fia.fyalegal.com/politica-de-datos/ el 14 de noviembre de 2026.
1. Objeto y alcance
Esta política establece las reglas para recolectar, almacenar, usar, circular, actualizar y suprimir datos personales tratados por FYA LEGAL SAS en sus servicios jurídico-laborales y en FIA+. Comprende información en medios físicos y electrónicos de clientes personas naturales, representantes y contactos de empresas, trabajadores, candidatos, contratistas, proveedores y personas vinculadas a asuntos jurídicos.
Se fundamenta en el artículo 15 de la Constitución, la Ley 1581 de 2012 y su reglamentación incorporada en el Decreto 1074 de 2015. Su aplicación respeta también el secreto profesional, la reserva de expedientes y las reglas especiales de información clínica.
2. Responsable y encargados
FYA LEGAL SAS es responsable cuando decide las finalidades y medios del tratamiento. El canal encargado de recibir y coordinar consultas y reclamos será soluciones@fyalegal.com, bajo supervisión de la gerencia. También podrán presentarse solicitudes escritas en la dirección indicada.
Cuando FYA LEGAL SAS trate información por cuenta de una empresa cliente, actuará como encargado dentro de las instrucciones documentadas y del contrato aplicable. La empresa cliente conserva las obligaciones que le correspondan como responsable. Los roles se determinarán por la operación efectivamente realizada; no por una denominación genérica del contrato.
3. Principios y categorías de información
El tratamiento deberá tener una finalidad legítima, informada y específica; limitarse a datos necesarios, pertinentes y exactos; permitir el ejercicio de derechos; y sujetarse a acceso restringido, seguridad y confidencialidad. La información no pública no podrá quedar disponible indiscriminadamente en Internet.
Podrán tratarse datos de identificación y contacto; representación y vinculación contractual; cargo, remuneración, aportes y antecedentes del asunto laboral; solicitudes, documentos, actuaciones y evidencias necesarias para la gestión jurídica; registros de acceso y trazabilidad; y datos administrativos de la relación con la firma. Esta enumeración no autoriza a recolectar información que no sea necesaria para un caso concreto.
4. Finalidades
Según el servicio solicitado y la habilitación legal correspondiente, los datos se utilizarán para:
- Identificar al solicitante, verificar su legitimación y gestionar el vínculo contractual con la firma.
- Recibir, radicar, asignar y atender solicitudes; elaborar y revisar conceptos, contratos, respuestas, auditorías y actuaciones jurídicas.
- Gestionar asuntos judiciales y administrativos, consultar sus fuentes oficiales y comunicar actuaciones relevantes a las personas autorizadas.
- Coordinar citas, vencimientos y entregas; conservar evidencias del trabajo y del cumplimiento de obligaciones.
- Prestar capacitación y registrar inscripciones, evaluaciones y constancias cuando el servicio lo requiera.
- Atender solicitudes de protección de datos, obligaciones legales y requerimientos válidos de autoridades competentes.
- Proteger los sistemas, prevenir accesos no autorizados y mantener trazabilidad de las operaciones.
La publicidad, el envío de promociones o el uso de testimonios e imágenes requerirán una habilitación separada cuando corresponda. La autorización para atender un asunto no equivale a aceptar publicidad ni a divulgar el caso.
5. Autorización y procedencia
Antes de recolectar datos que requieran autorización, se informarán el responsable, las finalidades, los derechos, el canal de atención y el carácter facultativo de aportar datos sensibles. La autorización deberá ser previa, expresa e informada y quedar disponible para consulta posterior. No se presumirá del silencio ni de casillas premarcadas.
Los registros electrónicos deberán conservar el texto o versión aceptada, la fecha y la identidad del otorgante. Si se invoca una excepción legal a la autorización, deberá documentarse su fundamento, alcance y necesidad; no se utilizará como habilitación general para todo el expediente.
Quien aporte datos de otra persona deberá acreditar su representación, autorización o fundamento legal cuando sea requerido. La declaración de un empleador o usuario no sustituye automáticamente el consentimiento del trabajador. FYA LEGAL SAS solicitará soportes y limitará el tratamiento cuando no exista legitimación suficiente.
6. Datos sensibles y de salud
Los datos de salud, afiliación sindical, biométricos y otras categorías sensibles tendrán protección reforzada. Su suministro es facultativo y no se condicionará una actividad a aportarlos de manera indiscriminada. Podrá pedirse orientación inicial sin incluirlos; si un análisis concreto necesita información adicional, se explicará su necesidad y se determinará una vía legal y proporcional para obtenerla.
Cuando el tratamiento se base en consentimiento, se solicitará autorización expresa y separada, indicando la categoría sensible y su finalidad. Para salud, FIA+ deberá diferenciar esta aceptación de la autorización general. Si se emplea otra habilitación legal, su aplicación requerirá valoración documentada del profesional responsable.
Se priorizarán conceptos de aptitud, restricciones y soportes estrictamente pertinentes. No se solicitarán historias clínicas completas mediante formularios generales. Su eventual acceso deberá respetar las reglas de custodia, reserva y legitimación aplicables; esta política no autoriza al empleador a acceder libremente a ellas.
El acceso se limitará al personal autorizado que lo necesite para el caso. No se utilizarán estos datos para publicidad, discriminación, entrenamiento general de modelos de inteligencia artificial ni decisiones laborales automáticas.
7. Niñas, niños y adolescentes
Su tratamiento será excepcional y deberá respetar su interés superior y sus derechos fundamentales. Se verificará la legitimación de su representante y se garantizará el derecho del menor a ser escuchado según su madurez y autonomía. No se habilita su carga rutinaria en FIA+ ni su uso comercial por esta política.
8. Derechos de los titulares
Los titulares podrán conocer, actualizar y rectificar sus datos; acceder gratuitamente a ellos en los términos legales; solicitar prueba de autorización e información sobre el uso; presentar quejas ante la Superintendencia de Industria y Comercio; y solicitar revocatoria o supresión cuando proceda.
La supresión o revocatoria no procederá respecto de información que deba mantenerse por una obligación legal o contractual aplicable. Toda negativa deberá explicarse y limitarse a los datos y finalidades que justifiquen conservarla.
9. Consultas, reclamos y solicitudes de supresión
Escribir a soluciones@fyalegal.com, preferiblemente con el asunto “Protección de datos personales”, o presentar escrito en calle 127 No. 14-54, Bogotá. Incluir nombre, medio de respuesta, solicitud concreta y datos suficientes para localizar la información. Si actúa un representante, acreditar su calidad. La verificación de identidad será proporcional; no se solicitarán datos sensibles innecesarios para resolver el trámite.
Consultas: se atenderán en máximo diez días hábiles desde su recepción. Si no es posible, antes del vencimiento se explicarán los motivos y la nueva fecha, que no podrá superar cinco días hábiles adicionales.
Reclamos: se atenderán en máximo quince días hábiles desde el día siguiente al recibo. Una ampliación justificada, informada antes del vencimiento, no podrá superar ocho días hábiles adicionales. Si el reclamo está incompleto, se requerirá su corrección dentro de los cinco días siguientes a su recepción. Transcurridos dos meses desde el requerimiento sin aportar lo solicitado, se entenderá desistido. Si quien lo recibe no es competente, dará traslado en máximo dos días hábiles e informará al interesado. Una vez completo, se registrará “reclamo en trámite” y su motivo en máximo dos días hábiles, hasta resolverlo.
Antes de acudir a la SIC mediante queja, el titular deberá agotar el trámite de consulta o reclamo ante el responsable o encargado, según corresponda. No se cobrarán tarifas de planes FIA+ por ejercer estos derechos.
10. Proveedores, circulación e información internacional
La información solo se compartirá con personal autorizado, proveedores necesarios sujetos a obligaciones de protección, destinatarios legitimados o autoridades competentes dentro del fundamento aplicable. La firma no venderá bases de datos personales.
El uso de almacenamiento, correo, calendarios o servicios de nube —incluidos servicios de Google cuando estén habilitados— requerirá verificar el proveedor, las condiciones contractuales, los accesos y la ubicación o circulación internacional de la información. La transmisión a un encargado deberá estar amparada por el contrato y las obligaciones exigibles; una transferencia a otro responsable requerirá cumplir las condiciones legales correspondientes. Una autorización general no reemplaza estos controles.
Las invitaciones de calendario deberán limitarse a datos mínimos de coordinación; no incluirán diagnósticos, historias clínicas ni detalles del conflicto. Los anexos reservados se compartirán por medios autorizados con acceso restringido.
11. Inteligencia artificial y revisión profesional
Antes de remitir datos a un proveedor de IA se evaluarán su necesidad, habilitación, confidencialidad, conservación y condiciones contractuales. Se priorizarán datos anonimizados y se excluirá información innecesaria. La integración de agentes no queda autorizada por la sola aceptación de esta política.
Los resultados jurídicos deberán ser revisados por un profesional. No se adoptarán decisiones laborales o de acceso a servicios exclusivamente mediante automatización basada en datos sensibles. Este texto no afirma que FIA+ tenga conectados agentes o proveedores de IA.
12. Seguridad e incidentes
La sociedad deberá aplicar controles proporcionales al riesgo: acceso por empresa y caso, mínimo privilegio, autenticación adecuada, confidencialidad contractual, protección de comunicaciones y respaldos, trazabilidad y gestión de incidentes. Su implementación deberá verificarse antes de habilitar datos reales en cada servicio.
Ante un incidente se deberá contener el acceso indebido, preservar evidencia, evaluar el impacto y realizar los reportes a autoridades y comunicaciones a afectados que resulten exigibles. Los usuarios podrán reportar incidentes al canal de protección de datos. No se promete seguridad absoluta ni certificaciones no verificadas.
13. Conservación y eliminación
Los datos se conservarán durante el tiempo necesario para las finalidades informadas, el servicio, las obligaciones legales y contractuales y la defensa legítima de derechos. La firma deberá mantener una tabla de retención por categoría, con fundamento y responsable; no habrá conservación indefinida por conveniencia.
Cumplidos esos plazos, se eliminarán o anonimizarán de forma segura, salvo deber de conservación documentado. Las copias de respaldo estarán sujetas a ciclos de eliminación y acceso restringido. La cancelación de una cuenta no implica borrar inmediatamente evidencias cuya conservación sea obligatoria.
14. Vigencia y cambios
La política fue aprobada el 21 de octubre de 2026. Su entrada en vigor frente a los titulares se producirá con su publicación y puesta a disposición; la fecha de publicación deberá registrarse. Las bases permanecerán vigentes solo mientras subsistan finalidades y obligaciones legítimas de tratamiento.
Los cambios sustanciales se comunicarán oportunamente por los canales habilitados. Si se modifican las finalidades de manera que requiera nueva autorización, esta se obtendrá antes del tratamiento adicional. Las versiones anteriores y sus autorizaciones se conservarán para trazabilidad.