CITRINO CAPITAL S.A.S. – Versión 2 – Vigente desde el 12 de noviembre de 2026

1. Responsable del tratamiento y datos de contacto

CITRINO CAPITAL S.A.S. (en adelante, «Citrino Capital»), sociedad colombiana identificada con NIT 901.111.539-2, es responsable del tratamiento de los datos personales que recolecta, almacena, usa, circula o suprime en desarrollo de su objeto social.

• Razón social: CITRINO CAPITAL S.A.S.
• NIT: 901.111.539-2
• Domicilio: Bogotá D.C., Colombia
• Dirección: Carrera 19B No. 84-31, piso 6, Edificio El Almirante, Bogotá D.C.
• Correo electrónico para protección de datos personales: datospersonales@citrinocapital.co
• Teléfono y WhatsApp: +57 310 694 0751
• Sitio web: https://citrinocapital.co

2. Objeto, alcance y marco normativo

Esta Política establece las reglas con las que Citrino Capital trata datos personales como responsable y las que aplica cuando actúa como encargado por cuenta de sus clientes. Es de obligatorio cumplimiento para sus administradores, empleados, contratistas y encargados.

Aplica a los datos personales recolectados o tratados por cualquier medio (sitio web, formularios, correo electrónico, mensajería, llamadas, reuniones presenciales o virtuales, redes sociales, eventos, documentos físicos y herramientas tecnológicas), incluso cuando la recolección la realice un tercero por cuenta de Citrino Capital.

La información de personas jurídicas (estados financieros, estrategias, contratos, modelos y demás información empresarial) no constituye dato personal y se protege mediante los acuerdos de confidencialidad aplicables. Los datos de personas naturales contenidos en esa información sí se rigen por esta Política.

Marco normativo principal:

• Constitución Política de Colombia, artículos 15 y 20.
• Ley Estatutaria 1581 de 2012, régimen general de protección de datos personales.
• Decreto 1074 de 2015, Capítulo 25 del Título 2 de la Parte 2 del Libro 2 (que compiló el Decreto 1377 de 2013) y Capítulo 26 (Registro Nacional de Bases de Datos).
• Ley 2300 de 2023, sobre canales, horarios y periodicidad de las comunicaciones comerciales y publicitarias.
• Circular Única de la Superintendencia de Industria y Comercio (SIC), Título V, y Circular Externa 002 de 2024 de la SIC, sobre tratamiento de datos personales en sistemas de inteligencia artificial.

Cuando Citrino Capital trate datos de titulares ubicados fuera de Colombia y resulte aplicable una norma extranjera de protección de datos, cumplirá las disposiciones obligatorias de esa jurisdicción para el tratamiento específico, sin perjuicio de la aplicación de la ley colombiana.

3. Definiciones

Los siguientes términos tienen el significado previsto en el artículo 3 de la Ley 1581 de 2012 y en el artículo 2.2.2.25.1.3 del Decreto 1074 de 2015:

• Autorización: consentimiento previo, expreso e informado del titular para el tratamiento de sus datos personales.
• Aviso de privacidad: comunicación verbal o escrita que informa al titular sobre la existencia de esta Política, la forma de acceder a ella y las finalidades del tratamiento.
• Base de datos: conjunto organizado de datos personales objeto de tratamiento.
• Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato público: dato que no es semiprivado, privado ni sensible, como los relativos al estado civil, la profesión u oficio o la calidad de comerciante o de servidor público, y los contenidos en registros públicos, documentos públicos, gacetas y sentencias judiciales ejecutoriadas no sometidas a reserva.
• Dato sensible: dato que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación, como el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos u organizaciones sociales o de derechos humanos, los datos de salud, de la vida sexual y los datos biométricos.
• Encargado del tratamiento: persona natural o jurídica que trata datos personales por cuenta del responsable.
• Responsable del tratamiento: persona natural o jurídica que decide sobre la base de datos o el tratamiento.
• Titular: persona natural cuyos datos personales son objeto de tratamiento.
• Tratamiento: cualquier operación sobre datos personales, como recolección, almacenamiento, uso, circulación o supresión.
• Transferencia: envío de datos personales por el responsable o encargado ubicado en Colombia a un receptor que es responsable del tratamiento, dentro o fuera del país.
• Transmisión: comunicación de datos personales, dentro o fuera de Colombia, para que un encargado realice el tratamiento por cuenta del responsable.
• Sistema de inteligencia artificial (definición propia de esta Política): herramienta tecnológica que procesa información para generar análisis, contenidos, predicciones o recomendaciones.

4. Principios

Citrino Capital aplica los principios del artículo 4 de la Ley 1581 de 2012 y el de responsabilidad demostrada del artículo 2.2.2.25.6.1 del Decreto 1074 de 2015:

• Legalidad: el tratamiento se sujeta a la ley y a esta Política.
• Finalidad: el tratamiento obedece a finalidades legítimas, informadas al titular.
• Libertad: el tratamiento requiere autorización previa, expresa e informada, salvo las excepciones legales.
• Veracidad o calidad: los datos tratados deben ser veraces, completos, exactos y actualizados.
• Transparencia: el titular puede obtener información sobre la existencia de sus datos en cualquier momento.
• Acceso y circulación restringida: los datos solo son accesibles por personas autorizadas y no se publican en internet sin control de acceso, salvo que sean públicos.
• Seguridad: se aplican medidas técnicas, humanas y administrativas para proteger los datos.
• Confidencialidad: quienes intervienen en el tratamiento guardan reserva, incluso después de terminada su relación con Citrino Capital.
• Responsabilidad demostrada: Citrino Capital documenta las medidas que adopta para cumplir esta Política y puede acreditarlas ante la SIC.

Adicionalmente, Citrino Capital recolecta únicamente los datos pertinentes y adecuados para cada finalidad.

5. Autorización y casos en que no se requiere

Citrino Capital solicita la autorización del titular a más tardar al momento de la recolección de sus datos, conforme al artículo 9 de la Ley 1581 de 2012. La autorización puede otorgarse por escrito, de forma oral o mediante conductas inequívocas del titular que permitan concluir razonablemente que la otorgó (artículo 2.2.2.25.2.4 del Decreto 1074 de 2015). El silencio no constituye autorización.

Al solicitar la autorización, Citrino Capital informa al titular, conforme al artículo 12 de la Ley 1581 de 2012: (i) el tratamiento y su finalidad; (ii) el carácter facultativo de las respuestas sobre datos sensibles o de niños, niñas y adolescentes; (iii) sus derechos; y (iv) la identificación y los datos de contacto del responsable.

Citrino Capital conserva prueba de cada autorización (registro del formulario con fecha y hora, casilla aceptada, confirmación de correo, documento firmado o grabación, según el canal).

No se requiere autorización, conforme al artículo 10 de la Ley 1581 de 2012, cuando se trate de:

• Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial.
• Datos de naturaleza pública.
• Casos de urgencia médica o sanitaria.
• Tratamiento autorizado por la ley para fines históricos, estadísticos o científicos.
• Datos relacionados con el Registro Civil de las Personas.

La ejecución de un contrato o el cumplimiento de una obligación legal no eximen a Citrino Capital del deber de informar al titular la finalidad del tratamiento.

El titular puede revocar su autorización en cualquier momento. La revocatoria y la supresión no proceden cuando el titular tenga un deber legal o contractual de permanecer en la base de datos (artículo 2.2.2.25.2.6 del Decreto 1074 de 2015). La revocatoria para fines de mercadeo no afecta el tratamiento necesario para la relación contractual vigente.

6. Titulares y categorías de datos

Citrino Capital trata datos de los siguientes grupos de titulares:

• Visitantes del sitio web y usuarios de formularios, chat y recursos descargables.
• Prospectos y contactos comerciales, incluidos los obtenidos en eventos, por referidos, en redes profesionales o en fuentes de acceso público.
• Clientes personas naturales y representantes legales, accionistas, administradores, empleados y contactos de clientes personas jurídicas.
• Terceros cuyos datos entregan los clientes para la prestación del servicio, como sus empleados, proveedores, clientes, deudores o beneficiarios.
• Candidatos a empleo y a prácticas.
• Empleados, exempleados y sus beneficiarios.
• Contratistas, consultores independientes, aliados y profesionales que integran equipos de trabajo en propuestas y licitaciones.
• Proveedores personas naturales y contactos de proveedores.
• Participantes en eventos, seminarios, cursos y piezas audiovisuales.
• Usuarios que interactúan con Citrino Capital en redes sociales y servicios de mensajería.
• Contrapartes y terceros vinculados a procesos de fusiones y adquisiciones, valoración, peritaje, estructuración de proyectos y contratación pública.

Según la relación con el titular, Citrino Capital puede tratar las siguientes categorías de datos:

• Identificación: nombre, tipo y número de documento, fecha de nacimiento, nacionalidad y firma.
• Contacto: correo electrónico, teléfono, dirección, ciudad y país.
• Profesionales y laborales: empresa, cargo, hoja de vida, formación, experiencia, certificaciones, referencias y evaluaciones de desempeño.
• Económicos y tributarios: salario y prestaciones, información bancaria para pagos, datos de facturación y retenciones, e información patrimonial cuando el servicio lo exija.
• Navegación y uso de herramientas: dirección IP, identificadores de dispositivo, navegador, páginas visitadas, cookies y registros de acceso.
• Imagen, voz y video: fotografías, grabaciones de reuniones y eventos, y piezas audiovisuales.
• Comunicaciones: mensajes, correos, actas, transcripciones y soportes generados en la relación.
• Verificación: resultados de consultas en listas restrictivas nacionales e internacionales y en registros oficiales de antecedentes disciplinarios, fiscales, judiciales y de medidas correctivas, cuando la relación o la ley lo exijan.
• Datos sensibles y de niños, niñas y adolescentes, únicamente en los casos de la sección 7.

Citrino Capital no solicita datos sensibles a través de su sitio web.

7. Datos sensibles y de niños, niñas y adolescentes

Citrino Capital trata datos sensibles solo en los casos del artículo 6 de la Ley 1581 de 2012, principalmente con autorización explícita del titular o cuando el tratamiento sea necesario para cumplir una obligación legal. Al solicitarlos informa que el titular no está obligado a suministrarlos, cuáles datos son sensibles y la finalidad específica, y no condiciona ninguna actividad a su entrega (artículo 2.2.2.25.2.3 del Decreto 1074 de 2015).

Casos en que puede tratar datos sensibles:

• Empleados: datos de salud estrictamente necesarios para incapacidades, licencias, afiliación al Sistema de Seguridad Social y el Sistema de Gestión de Seguridad y Salud en el Trabajo. Citrino Capital no accede a historias clínicas; recibe únicamente los conceptos y soportes que la ley permite al empleador.
• Afiliación sindical, cuando el empleado la informe para efectos legales.
• Imagen y voz en fotografías, videos y grabaciones institucionales, con autorización previa y específica de la persona.
• Datos sensibles contenidos en información de clientes, cuando Citrino Capital actúe como encargado, bajo las instrucciones del cliente y con acceso restringido.

Citrino Capital no recolecta ni almacena plantillas biométricas. El desbloqueo por huella o reconocimiento facial de dispositivos corporativos lo procesa el propio dispositivo y su fabricante, sin que Citrino Capital acceda a esos datos.

Citrino Capital no crea voces, imágenes ni avatares sintéticos a partir de la voz o la imagen de una persona identificable sin su autorización previa, expresa y específica para ese uso.

Citrino Capital no dirige sus servicios a menores de edad. Solo trata datos de niños, niñas y adolescentes cuando la ley lo exija o lo permita, como en la afiliación de beneficiarios de empleados al Sistema de Seguridad Social y a cajas de compensación familiar. En esos casos respeta el interés superior del menor y sus derechos fundamentales, y obtiene la autorización de su representante legal (artículo 7 de la Ley 1581 de 2012 y artículo 2.2.2.25.2.9 del Decreto 1074 de 2015).

8. Finalidades por tipo de titular

Citrino Capital trata los datos personales únicamente para las finalidades informadas al titular. A continuación se describen por grupo.

8.1 Visitantes del sitio web y usuarios de formularios

• Registrar al usuario, validar su correo mediante confirmación (doble verificación) y entregar los recursos descargables solicitados.
• Atender solicitudes, peticiones, quejas, reclamos y comentarios recibidos por formularios, chat, correo o mensajería.
• Agendar diagnósticos, reuniones y demostraciones solicitadas por el usuario.
• Medir el uso del sitio para mejorar contenidos, usabilidad, seguridad y desempeño.
• Prevenir fraude, accesos no autorizados y abuso del sitio.
• Enviar comunicaciones comerciales, boletines e invitaciones, solo con autorización para esa finalidad.

8.2 Prospectos y contactos comerciales

• Registrar y gestionar la relación comercial en el sistema de gestión de clientes (CRM) de Citrino Capital.
• Contactar al prospecto para presentar servicios, preparar propuestas y hacer seguimiento.
• Cuando los datos de contacto profesional provengan de redes profesionales, referidos o fuentes de acceso público, Citrino Capital informará en el primer contacto la fuente de los datos, la finalidad y la forma de oponerse, y solo continuará el tratamiento comercial si el titular lo autoriza. Si el titular no lo autoriza o no responde, sus datos se suprimen conforme a la sección 14.

8.3 Clientes y sus representantes, accionistas, administradores y contactos

• Verificar identidad, facultades de representación y consultar listas restrictivas, como medida de prevención de lavado de activos, financiación del terrorismo, corrupción y sanciones internacionales.
• Celebrar y ejecutar el contrato: coordinación de actividades, comités financieros, diagnósticos, modelos, tableros de inteligencia de negocios, informes y demás entregables.
• Administrar credenciales y accesos a las herramientas usadas en el proyecto.
• Grabar y transcribir reuniones, con aviso previo a los participantes, para documentar decisiones y compromisos.
• Facturar electrónicamente, gestionar pagos y cartera, y cumplir obligaciones contables y tributarias.
• Medir la satisfacción, enviar información sobre nuevos servicios y extender invitaciones a eventos.

8.4 Terceros cuyos datos entregan los clientes

• Ejecutar exclusivamente el servicio contratado por el cliente, conforme a la sección 9.

8.5 Candidatos

• Adelantar el proceso de selección: análisis de hoja de vida, entrevistas, pruebas y verificación de formación, experiencia y referencias.
• Conservar la hoja de vida para procesos futuros, solo con autorización del candidato.

8.6 Empleados, exempleados y beneficiarios

• Celebrar, ejecutar y terminar el contrato de trabajo; liquidar y pagar nómina, prestaciones y beneficios.
• Afiliar al empleado y a sus beneficiarios al Sistema de Seguridad Social y a la caja de compensación familiar, y cumplir el Sistema de Gestión de Seguridad y Salud en el Trabajo.
• Gestionar evaluación de desempeño, formación, bienestar y procesos disciplinarios.
• Asignar cuentas, dispositivos y herramientas corporativas, y supervisar razonablemente su uso con fines de seguridad de la información, cumplimiento y productividad, incluidas las herramientas de inteligencia artificial. Esta supervisión se limita a recursos corporativos y no incluye cuentas ni comunicaciones personales.
• Usar la imagen, el nombre y el cargo del empleado en materiales institucionales y comerciales, solo con su autorización.
• Expedir certificaciones laborales y atender requerimientos de autoridades, incluso después de terminada la relación.

8.7 Contratistas, aliados y profesionales de equipos de trabajo

• Celebrar y ejecutar contratos, pagar honorarios y practicar retenciones.
• Verificar inhabilidades, incompatibilidades y antecedentes en fuentes oficiales cuando la contratación lo exija.
• Incluir la hoja de vida, títulos, certificaciones y experiencia del profesional en propuestas a entidades públicas o privadas, con su autorización específica para cada proceso. El titular queda informado de que las propuestas presentadas en procesos de contratación pública pueden publicarse en el Sistema Electrónico de Contratación Pública (SECOP).

8.8 Proveedores

• Seleccionar, contratar, evaluar y pagar al proveedor, y cumplir obligaciones contables y tributarias.

8.9 Participantes en eventos, cursos y redes sociales

• Gestionar inscripciones, asistencia, certificados y encuestas.
• Registrar el evento en fotografía, audio o video, con aviso previo, y difundirlo en canales institucionales.
• Responder mensajes e interacciones recibidos en redes sociales y mensajería.

8.10 Finalidades transversales

• Cumplir obligaciones legales y atender requerimientos de autoridades competentes.
• Ejercer o defender derechos en actuaciones administrativas, judiciales o arbitrales, incluida la elaboración de dictámenes periciales ordenados por autoridad.
• Elaborar estadísticas e informes internos con datos agregados o anonimizados.

9. Citrino Capital como encargado del tratamiento

Cuando presta servicios de gerencia financiera, inteligencia de negocios, valoración, fusiones y adquisiciones, estructuración de proyectos, licitaciones o peritajes, Citrino Capital puede recibir datos personales de los que el cliente es responsable. En esos casos actúa como encargado y cumple los deberes del artículo 18 de la Ley 1581 de 2012.

El cliente, como responsable, garantiza que cuenta con la autorización de los titulares o con otra causa legal para entregar los datos, y que les informó las finalidades. La relación se rige por el contrato de servicios y su acuerdo de transmisión de datos (artículo 2.2.2.25.5.2 del Decreto 1074 de 2015).

En su calidad de encargado, Citrino Capital se obliga a:

• Tratar los datos solo para ejecutar el servicio y conforme a las instrucciones documentadas del cliente.
• No usar los datos para fines propios, comerciales ni para entrenar modelos de inteligencia artificial.
• Mantener separada la información de cada cliente, con accesos asignados por proyecto, y no combinarla con la de otros clientes.
• Limitar el acceso a las personas del equipo que lo requieran, sujetas a deberes de confidencialidad.
• Vincular a otros encargados solo con obligaciones equivalentes a las de esta sección.
• Informar al cliente, sin dilación injustificada, cualquier incidente de seguridad que afecte sus datos.
• Trasladar al cliente, dentro de los dos (2) días hábiles siguientes a su recibo, las consultas y reclamos de titulares que correspondan a este como responsable, e informar de ello al titular.
• Devolver o suprimir los datos al terminar el servicio, dentro de los treinta (30) días calendario siguientes, salvo instrucción distinta del cliente o deber legal de conservación.

10. Sitio web, cookies, redes sociales y mercadeo

10.1 Cookies y tecnologías similares

El sitio web usa cookies propias y de terceros, como Google Tag Manager y el píxel de Meta, en tres categorías:

• Necesarias: permiten el funcionamiento y la seguridad del sitio. Se activan siempre.
• Analíticas: miden visitas y comportamiento de navegación para mejorar el sitio.
• Publicitarias: permiten medir campañas y mostrar anuncios de Citrino Capital en otras plataformas.

Las cookies analíticas y publicitarias se activan solo cuando el usuario las acepta en el banner de cookies. El usuario puede retirar su aceptación en cualquier momento desde ese mismo banner o desde la configuración de su navegador. El bloqueo de cookies puede afectar algunas funciones del sitio.

10.2 Redes sociales y formularios de terceros

Citrino Capital tiene presencia en LinkedIn, Instagram, Facebook, TikTok y YouTube, y atiende por WhatsApp. Esas plataformas tratan los datos de sus usuarios bajo sus propias políticas. Los datos que Citrino Capital obtenga de sus formularios, mensajes o interacciones se rigen por esta Política.

10.3 Comunicaciones comerciales y mercadeo

• Citrino Capital envía comunicaciones comerciales por correo electrónico, WhatsApp, mensajes de texto o llamadas solo a titulares que lo hayan autorizado, y por los canales que estos hayan autorizado.
• Conforme a la Ley 2300 de 2023, las llamadas y mensajes comerciales se realizan de lunes a viernes entre 7:00 a.m. y 7:00 p.m. y los sábados entre 8:00 a.m. y 3:00 p.m. No se realizan los domingos ni los días festivos.
• Cada comunicación incluye un mecanismo sencillo para dejar de recibirlas. La solicitud se aplica sin costo y sin necesidad de justificación.
• Citrino Capital puede cargar listas de contactos en plataformas publicitarias para crear audiencias o medir campañas, solo respecto de titulares que hayan autorizado fines de mercadeo, y usando los mecanismos de cifrado que ofrezcan esas plataformas.
• Las pruebas de mensajes, piezas y campañas se miden con datos agregados. Citrino Capital no elabora perfiles individuales con fines de mercadeo sin autorización del titular.

11. Herramientas tecnológicas e inteligencia artificial

Citrino Capital usa servicios en la nube, herramientas de productividad, inteligencia de negocios, automatización e inteligencia artificial para analizar información, redactar documentos, transcribir reuniones, preparar entregables y gestionar su operación. Al hacerlo aplica la Circular Externa 002 de 2024 de la SIC y las siguientes reglas:

• Usa herramientas cuyas condiciones contractuales excluyan el uso de la información para entrenar modelos de terceros, o activa esa exclusión cuando la herramienta lo permita.
• Incorpora a estas herramientas solo los datos necesarios para la tarea y, cuando sea posible, los anonimiza o seudonimiza.
• No incorpora datos de clientes en herramientas no autorizadas contractualmente por estos, ni datos sensibles sin evaluación previa del riesgo.
• Evalúa el riesgo de cada herramienta antes de usarla con datos personales y documenta esa evaluación.
• Todo resultado generado con inteligencia artificial es revisado por una persona antes de entregarse o usarse.
• Citrino Capital no adopta decisiones que produzcan efectos jurídicos o afecten de forma significativa a un titular con base únicamente en el tratamiento automatizado de sus datos.
• El titular puede solicitar información sobre el uso de sus datos en estas herramientas por los canales de la sección 16.

12. Transmisiones y transferencias, incluidas las internacionales

Citrino Capital no vende datos personales ni los entrega a terceros para fines propios de estos, salvo autorización del titular o deber legal.

12.1 Transmisión a encargados

Citrino Capital transmite datos a proveedores que los tratan por su cuenta, en las siguientes categorías: nube, correo y productividad; alojamiento del sitio web y del CRM; analítica y publicidad digital; mensajería; inteligencia artificial; firma electrónica; facturación electrónica; contabilidad y nómina; y procesamiento de pagos. Cada transmisión se rige por un contrato que obliga al encargado a tratar los datos solo según instrucciones, guardar confidencialidad, aplicar medidas de seguridad y no usarlos para fines propios (artículo 2.2.2.25.5.2 del Decreto 1074 de 2015).

12.2 Transferencia a terceros responsables

Citrino Capital puede transferir datos, con autorización del titular o cuando la ley lo permita, a:

• Entidades públicas y privadas destinatarias de propuestas, en los términos de la sección 8.7.
• Aliados con los que preste servicios conjuntos, informados al titular.
• Contrapartes de operaciones de fusiones y adquisiciones o financiación, por instrucción del cliente y bajo acuerdos de confidencialidad.
• Autoridades administrativas o judiciales que los requieran en ejercicio de sus funciones.
• Sociedades vinculadas a Citrino Capital, en Colombia o en el exterior, que se obliguen a cumplir esta Política.
• El adquirente o sucesor de Citrino Capital en caso de fusión, escisión, venta o reorganización empresarial.

12.3 Transferencias y transmisiones internacionales

Algunos proveedores de Citrino Capital almacenan o procesan datos fuera de Colombia, principalmente en Estados Unidos de América y en países de la Unión Europea. Citrino Capital solo transfiere datos a países que ofrecen un nivel adecuado de protección según la SIC, o en los casos exceptuados por el artículo 26 de la Ley 1581 de 2012, o con declaración de conformidad de la SIC. Las transmisiones internacionales a encargados se rigen por el contrato descrito en el numeral 12.1. El titular puede solicitar la relación de países de destino por los canales de la sección 16.

13. Seguridad de la información e incidentes

Citrino Capital aplica medidas técnicas, humanas y administrativas razonables, tomando como referencia buenas prácticas reconocidas de seguridad de la información, entre ellas:

• Autenticación multifactor obligatoria para todas las cuentas corporativas.
• Accesos asignados por rol y por proyecto, con revisión periódica de permisos.
• Separación de la información de cada cliente en espacios independientes.
• Restricción del registro de aplicaciones y de la conexión de herramientas externas a los administradores de la plataforma.
• Copias de seguridad, registro de actividad cuando la herramienta lo permite y cifrado ofrecido por los proveedores.
• Acuerdos de confidencialidad con empleados, contratistas y proveedores, y capacitación periódica.

Ninguna transmisión por internet es completamente segura. Ante un incidente que comprometa datos personales, Citrino Capital activará su procedimiento de respuesta, contendrá el incidente, informará a la SIC conforme al literal n) del artículo 17 de la Ley 1581 de 2012 y comunicará a los titulares afectados cuando exista riesgo para sus derechos. Cuando actúe como encargado, informará sin dilación al cliente responsable y a la SIC, conforme al literal k) del artículo 18 de la misma ley.

14. Conservación y supresión

Citrino Capital conserva los datos solo durante el tiempo necesario para la finalidad que justificó su recolección y para cumplir obligaciones legales o contractuales:

• Usuarios del sitio web y prospectos: hasta que el titular revoque su autorización o, a falta de interacción, durante veinticuatro (24) meses contados desde el último contacto. Los prospectos contactados conforme al numeral 8.2 que no autoricen el tratamiento se suprimen dentro de los treinta (30) días calendario siguientes al primer contacto, conservando solo el registro necesario para no volver a contactarlos.
• Candidatos no seleccionados: se suprimen dentro de los tres (3) meses siguientes al cierre del proceso de selección. Si el candidato autoriza conservar su hoja de vida para procesos futuros, se conserva hasta por doce (12) meses.
• Clientes, contratistas y proveedores: durante la relación y, después, por diez (10) años, término de conservación de libros y papeles del comerciante (artículo 60 del Código de Comercio y artículo 28 de la Ley 962 de 2005), o por el término mayor que exija una norma especial o la atención de una reclamación.
• Grabaciones y transcripciones de reuniones: hasta doce (12) meses después de terminado el proyecto, salvo que sean necesarias como soporte de una reclamación o de un deber legal.
• Empleados y exempleados: durante el tiempo necesario para atender obligaciones laborales, pensionales y de seguridad social. Los registros del Sistema de Gestión de Seguridad y Salud en el Trabajo se conservan durante veinte (20) años contados desde la terminación de la relación (artículo 2.2.4.6.13 del Decreto 1072 de 2015).
• Datos tratados como encargado: según la sección 9.
• Cookies: según la duración de cada cookie informada en el banner del sitio.

Cumplido el término, los datos se suprimen o anonimizan de forma segura.

Período de vigencia de las bases de datos: las bases de datos de Citrino Capital permanecerán vigentes mientras la sociedad desarrolle su objeto social y subsistan las finalidades descritas, sin perjuicio de los términos anteriores para cada dato.

15. Derechos de los titulares

Conforme al artículo 8 de la Ley 1581 de 2012, el titular tiene derecho a:

• Conocer, actualizar y rectificar sus datos, incluso frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error o cuyo tratamiento esté prohibido o no autorizado.
• Solicitar prueba de la autorización otorgada, salvo en los casos exceptuados por la ley.
• Ser informado, previa solicitud, sobre el uso dado a sus datos.
• Presentar quejas ante la SIC por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante Citrino Capital (artículo 16 de la Ley 1581 de 2012).
• Revocar la autorización o solicitar la supresión de sus datos cuando no se respeten los principios, derechos y garantías legales, y siempre que no exista un deber legal o contractual de conservarlos.
• Acceder gratuitamente a sus datos al menos una vez cada mes calendario y cada vez que existan modificaciones sustanciales de esta Política (artículo 2.2.2.25.4.2 del Decreto 1074 de 2015).
• No responder preguntas sobre datos sensibles o sobre datos de niños, niñas y adolescentes.
• Oponerse en cualquier momento al envío de comunicaciones comerciales.

Pueden ejercer estos derechos, conforme al artículo 2.2.2.25.4.1 del Decreto 1074 de 2015: el titular, acreditando su identidad; sus causahabientes, acreditando esa calidad; su representante o apoderado, acreditando la representación o el apoderamiento; y quien actúe por estipulación a favor de otro. Los derechos de niños, niñas y adolescentes se ejercen por quienes estén facultados para representarlos.

16. Área responsable y procedimiento de consultas y reclamos

La Gerencia General de Citrino Capital es el área responsable de atender peticiones, consultas y reclamos sobre datos personales, y designa internamente a un Oficial de Protección de Datos Personales que gestiona su trámite (artículo 2.2.2.25.4.4 del Decreto 1074 de 2015).

Canales de atención:

• Correo electrónico: datospersonales@citrinocapital.co
• Comunicación escrita radicada en Carrera 19B No. 84-31, piso 6, Edificio El Almirante, Bogotá D.C.

Las solicitudes sobre datos personales que lleguen por otros canales de Citrino Capital serán remitidas al área responsable para su trámite.

El trámite es gratuito. La solicitud debe permitir verificar la identidad del solicitante o su calidad para actuar.

16.1 Consultas (artículo 14 de la Ley 1581 de 2012)

El titular puede consultar la información personal que repose en las bases de datos de Citrino Capital. La consulta se atenderá en un máximo de diez (10) días hábiles contados desde su recibo. Si no es posible atenderla en ese término, se informarán al interesado los motivos y la nueva fecha, que no superará cinco (5) días hábiles adicionales.

16.2 Reclamos (artículo 15 de la Ley 1581 de 2012)

El titular que considere que su información debe ser corregida, actualizada o suprimida, o que advierta un presunto incumplimiento, puede presentar un reclamo que contenga:

• Identificación del titular.
• Descripción de los hechos que dan lugar al reclamo.
• Dirección o correo electrónico de notificación.
• Documentos que pretenda hacer valer.

Si el reclamo está incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recibo para que subsane las fallas. Si transcurridos dos (2) meses desde el requerimiento no presenta la información, se entenderá que desistió del reclamo.

Si Citrino Capital no es competente para resolverlo, dará traslado a quien corresponda en un máximo de dos (2) días hábiles e informará de ello al interesado.

Recibido el reclamo completo, Citrino Capital incluirá en la base de datos la leyenda «reclamo en trámite» y el motivo, en un término no mayor a dos (2) días hábiles, y la mantendrá hasta que el reclamo se decida.

El reclamo se atenderá en un máximo de quince (15) días hábiles contados desde el día siguiente a su recibo. Si no es posible atenderlo en ese término, se informarán los motivos y la nueva fecha, que no superará ocho (8) días hábiles adicionales.

16.3 Queja ante la SIC

Agotado el trámite ante Citrino Capital, el titular puede acudir a la Superintendencia de Industria y Comercio.

17. Vigencia

Citrino Capital puede modificar esta Política por cambios normativos, operativos o tecnológicos. Los cambios sustanciales relativos a la identificación del responsable o a las finalidades del tratamiento se comunicarán a los titulares por correo electrónico o aviso en el sitio web antes de implementarse o, a más tardar, al momento de hacerlo (artículo 2.2.2.25.2.2 del Decreto 1074 de 2015). Cuando el cambio se refiera a la finalidad, Citrino Capital solicitará una nueva autorización.

• Versión: 2.
• Fecha de entrada en vigencia: 12 de noviembre de 2026.
• Esta versión sustituye la versión de enero de 2026.