Política de tratamiento de datos personales

Capitolio Legal (en adelante, «Capitolio») es la responsable del tratamiento de los datos personales que se recogen a través de este sitio y de la plataforma, en los términos de esta política. Canal de atención para consultas y reclamos: capitoliolegal.co/contacto.

a) Datos de contacto y de cuenta (nombre, correo, teléfono, organización, credenciales): para crear y administrar tu cuenta, prestar el servicio, dar soporte, enviarte comunicaciones operativas (por ejemplo, recuperación de contraseña o alertas que tu firma configure) y, con tu autorización, información comercial sobre el producto.

b) Datos de uso del sitio y la plataforma: métricas de producto de primera parte (PostHog) bajo interés legítimo, para entender y mejorar el servicio. Las cookies de publicidad (Meta, Google) solo se activan si las aceptas en el aviso de cookies; puedes rechazarlas y el sitio funciona igual. Ver la sección de cookies abajo.

c) Datos que los clientes cargan en la plataforma (por ejemplo, información de contrapartes, socios o representantes en procesos de debida diligencia): respecto de ellos, el responsable es la firma o empresa cliente que los recolecta, y Capitolio actúa como encargado del tratamiento, procesándolos únicamente para prestar el servicio contratado y según las instrucciones del cliente. Los formularios de intake incluyen la autorización de habeas data que la contraparte otorga a la firma responsable.

Como titular de datos personales puedes, en cualquier momento:

• Conocer, actualizar y rectificar tus datos.
• Solicitar prueba de la autorización otorgada.
• Ser informado sobre el uso que se ha dado a tus datos.
• Revocar la autorización y/o solicitar la supresión, cuando no exista un deber legal o contractual de conservarlos.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC).

Para ejercerlos, escríbenos por el canal de contacto. Respondemos consultas en máximo 10 días hábiles y reclamos en máximo 15, conforme a la ley.

Usamos analítica de producto de primera parte (PostHog, sin grabación de sesión) para medir el uso del sitio y del producto. Las cookies de publicidad y medición de campañas (Meta Pixel, Google Tag Manager) son opt-in: solo se cargan si las aceptas en el aviso, y nuestras conversiones hacia esas plataformas respetan esa decisión también del lado del servidor. Una cookie técnica registra la atribución de campaña (utm) y otra tu decisión de consentimiento.

Para operar la plataforma usamos proveedores de infraestructura y servicio que pueden procesar datos en el exterior (principalmente Estados Unidos), bajo sus propios marcos de seguridad: alojamiento y base de datos (Railway), almacenamiento de documentos (Cloudflare), correo transaccional (Resend), analítica de producto (PostHog), procesamiento de pagos (Stripe), publicidad con datos seudonimizados/hasheados (Meta, solo con tu consentimiento) e inteligencia artificial para funciones de extracción y análisis (Anthropic). Solo compartimos lo necesario para cada función y no vendemos datos personales.

En particular, los documentos que se cargan a la plataforma se almacenan con Cloudflare, Inc. (Estados Unidos), que actúa como encargado de almacenamiento bajo un contrato que cumple los requisitos del contrato de transmisión internacional de datos personales de un responsable a un encargado (artículo 2.2.2.25.5.2 del Decreto 1074 de 2015): Cloudflare solo almacena la información siguiendo nuestras instrucciones, con cifrado en tránsito y en reposo, deberes de confidencialidad, seguridad certificada por auditores independientes y borrado o devolución al terminar el servicio. Como cobertura adicional, Estados Unidos figura en el listado de países con nivel adecuado de protección fijado por la SIC (Circular Externa 008 de 2017). Esta operación no altera tus derechos: puedes ejercer el habeas data en todo momento ante Capitolio (o ante la firma o empresa responsable, cuando ella recolectó tus datos), como se describe en la sección 3.

Aplicamos medidas técnicas y organizativas: cifrado en tránsito, contraseñas con hash, aislamiento por cliente (multi-tenant), control de acceso por roles y registro de auditoría de las operaciones. Los datos se conservan mientras la cuenta esté activa o mientras exista un deber legal de conservación (por ejemplo, los soportes de debida diligencia que la normativa SAGRILAFT exige retener), y luego se suprimen o anonimizan.

Publicaremos aquí cualquier cambio sustancial. El uso del sitio o de la plataforma después de un cambio implica la aceptación de la versión vigente.