Política de tratamiento de datos personales

1. Identificación del responsable

LEXY S.A.S. (en adelante, «Lexy») actúa como responsable del tratamiento de los datos personales que recoge por su sitio web, sus formularios, su correo electrónico, su plataforma, la consola y las cuentas de acceso de su ERP, y en el desarrollo de sus servicios profesionales.

2. Ámbito de aplicación y los dos papeles de Lexy

2.1 Lexy como responsable

Esta política se aplica a los datos personales que Lexy trata en Colombia como responsable, incluidos los de:

• Personas que diligencian los formularios del sitio web
• Clientes actuales y anteriores de los servicios jurídicos, y sus representantes y contactos
• Vendedores, compradores e inversionistas registrados en la vitrina de oportunidades
• Proveedores, aliados y contratistas
• Candidatos en procesos de selección
• Suscriptores del boletín
• Usuarios registrados en la plataforma de Lexy y personas responsables de los agentes de software que se conectan a ella
• Usuarios de las cuentas de acceso al ERP de Lexy, incluidas las personas invitadas por una empresa cliente, en lo que se refiere a los datos de la cuenta: identificación, credenciales, sesiones, registros de acceso y soporte
• Representantes, administradores y contactos de facturación de las empresas que contratan el ERP
• Personas que solicitan información o una demostración del ERP

2.2 Lexy como encargada: los datos que cada cliente guarda en su ERP

Cuando una empresa contrata el ERP en la modalidad alojada por Lexy, los datos personales que esa empresa registra en él —por ejemplo, de sus empleados, clientes, proveedores, contadores o asesores— son de su responsabilidad. La empresa cliente decide sobre esa base de datos y su tratamiento, y es el responsable en los términos del artículo 3, literal e, de la Ley 1581 de 2012.

Lexy trata esos datos por cuenta de la empresa cliente, como encargada del tratamiento (Ley 1581 de 2012, art. 3, literal d), y solo para prestar el servicio contratado, según el contrato de transmisión de datos personales que firma con cada cliente (Decreto 1074 de 2015, art. 2.2.2.25.5.2). En ese papel, Lexy aplica la política de tratamiento del cliente y no esta.

Quien quiera ejercer sus derechos sobre datos que una empresa guarda en su ERP debe dirigirse a esa empresa. Si la solicitud llega a Lexy, Lexy la trasladará a la empresa conforme a la sección 9.

2.3 ERP instalado en el servidor del cliente

Cuando el ERP se instala en un servidor del cliente, Lexy no guarda la base de datos del cliente. Solo accede a ella cuando el cliente lo autoriza para dar soporte, y en ese acceso actúa como encargada, en los términos del contrato que firmen.

3. Definiciones

• Titular: persona natural cuyos datos personales son objeto de tratamiento.
• Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Tratamiento: cualquier operación o conjunto de operaciones sobre datos personales, como la recolección, el almacenamiento, el uso, la circulación o la supresión.
• Responsable: quien, por sí mismo o en asocio con otros, decide sobre la base de datos o el tratamiento.
• Encargado: quien, por sí mismo o en asocio con otros, realiza el tratamiento por cuenta del responsable.
• Autorización: consentimiento previo, expreso e informado del titular.
• Dato sensible: el que afecta la intimidad del titular o cuyo uso indebido puede generar su discriminación, como los relativos a la salud, la vida sexual, los datos biométricos, el origen racial o étnico, la orientación política o las convicciones religiosas.
• Transferencia: envío de datos por un responsable o encargado ubicado en Colombia a un receptor que, a su vez, es responsable y está dentro o fuera del país.
• Transmisión: comunicación de datos dentro o fuera de Colombia para que un encargado los trate por cuenta del responsable.
• Aviso de privacidad: comunicación del responsable al titular que le informa sobre la existencia de esta política, la forma de acceder a ella y las finalidades del tratamiento.

(Ley 1581 de 2012, arts. 3 y 5; Decreto 1074 de 2015, art. 2.2.2.25.1.3.)

4. Principios

Lexy trata los datos personales conforme a los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad (Ley 1581 de 2012, art. 4). Solo recoge los datos pertinentes y adecuados para la finalidad para la que los pide (Decreto 1074 de 2015, art. 2.2.2.25.2.1).

5. Finalidades del tratamiento

Lexy trata los datos únicamente para las finalidades siguientes:

Datos que se tratan, por categoría. Identificación (nombre, documento cuando se pide), contacto (correo, teléfono, dirección), datos de la cuenta (rol, empresas a las que pertenece, contraseña transformada de forma irreversible), registros técnicos (fecha y hora, dirección IP, navegador, intentos de acceso), datos contractuales y de facturación, y el contenido de las solicitudes que el titular envíe.

Comunicaciones comerciales. Lexy solo envía publicidad o boletines a quien lo haya autorizado por separado. Negarse no impide usar ningún servicio.

Lo que Lexy no hace con los datos: no los vende, no los cede con fines publicitarios de terceros y no los usa para finalidades distintas de las autorizadas. Si quisiera usarlos para algo diferente, pedirá una autorización nueva (Decreto 1074 de 2015, art. 2.2.2.25.2.2). Los datos que cada empresa cliente guarda en su ERP solo se usan para prestarle el servicio: Lexy no los usa para fines propios. La única excepción es que la empresa cliente lo autorice por separado y de forma voluntaria, en el anexo de su contrato previsto para ello: en ese caso Lexy puede usar datos anonimizados, que no permiten identificar a ninguna persona, para mejorar los agentes del ERP.

6. Datos sensibles y de menores

Por la naturaleza de sus servicios, en algunos casos Lexy puede recibir datos sensibles —por ejemplo, información de salud en un caso laboral o datos biométricos en un trámite—. En esos casos:

• Informará expresamente cuáles de los datos son sensibles y para qué se piden
• Informará que el titular no está obligado a autorizar su tratamiento
• Pedirá autorización expresa, específica y por separado
• Los tratará solo para la finalidad concreta del caso

Ninguna actividad se condiciona a que el titular entregue datos sensibles (Ley 1581 de 2012, arts. 5, 6 y 12; Decreto 1074 de 2015, art. 2.2.2.25.2.3).

El ERP no pide datos sensibles. Si una empresa cliente decide registrar datos sensibles en su ERP, lo hace como responsable y bajo su propia autorización.

Respecto de niñas, niños y adolescentes, Lexy solo trata sus datos cuando es necesario para un asunto jurídico que los involucra, con autorización de su representante legal, previo ejercicio del derecho del menor a ser escuchado y atendiendo su interés superior (Ley 1581 de 2012, art. 7; Decreto 1074 de 2015, art. 2.2.2.25.2.9).

7. Derechos del titular

La ley reconoce al titular estos derechos frente a Lexy (Ley 1581 de 2012, art. 8):

• Conocer, actualizar y rectificar sus datos, incluso frente a datos parciales, inexactos, incompletos, fraccionados o que induzcan a error
• Solicitar prueba de la autorización otorgada
• Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos
• Presentar quejas ante la Superintendencia de Industria y Comercio, una vez agotado el trámite de consulta o reclamo ante Lexy (art. 16)
• Revocar la autorización o solicitar la supresión de sus datos. No procede cuando el titular tiene un deber legal o contractual de permanecer en la base de datos (Decreto 1074 de 2015, art. 2.2.2.25.2.6)
• Acceder en forma gratuita a sus datos. La consulta es gratuita al menos una vez cada mes calendario y cada vez que haya modificaciones sustanciales de esta política (Decreto 1074 de 2015, art. 2.2.2.25.4.2)

Quién puede ejercerlos (Decreto 1074 de 2015, art. 2.2.2.25.4.1): el titular, acreditando su identidad; sus causahabientes, acreditando esa calidad; su representante o apoderado, acreditando la representación; y quien actúe por estipulación a favor de otro. Los derechos de niñas, niños y adolescentes se ejercen por quienes estén facultados para representarlos.

8. Autorización

Lexy pide la autorización a más tardar al momento de recoger los datos, informando cuáles se recogen y para qué finalidades (Decreto 1074 de 2015, art. 2.2.2.25.2.2). La autorización puede constar por escrito, de forma oral o mediante conductas inequívocas del titular. El silencio nunca se entiende como autorización (art. 2.2.2.25.2.4). Los medios habituales son:

• Casilla de aceptación en los formularios del sitio y de la plataforma, que no viene marcada por defecto
• Cláusula específica en los contratos de prestación de servicios
• Aceptación escrita o por medio electrónico con constancia

De cada autorización se conserva registro con fecha, hora, versión del texto aceptado, dirección IP y navegador, que es la forma de acreditarla (Ley 1581 de 2012, arts. 9 y 12, parágrafo; Decreto 1074 de 2015, art. 2.2.2.25.2.5).

En la plataforma y en el ERP. Sin la aceptación no se crea la cuenta. La persona invitada al ERP por una empresa cliente recibe un correo con un enlace; al poner su contraseña por primera vez se le muestra el texto de autorización con una casilla sin marcar, y la cuenta no se activa sin esa aceptación. Si la invitación vence sin ser aceptada, el nombre y el correo registrados por la empresa se suprimen de la base de cuentas de Lexy a los 30 días de enviada la invitación (decisión de Jhonatan del 03-10-2026).

Casos en que la ley no exige autorización (Ley 1581 de 2012, art. 10): información requerida por una entidad pública en ejercicio de sus funciones o por orden judicial; datos de naturaleza pública; urgencia médica o sanitaria; tratamiento autorizado por la ley para fines históricos, estadísticos o científicos; y datos del registro civil.

9. Consultas y reclamos

9.1 Canales

• Correo: asesoria@lexy.com.co, con el asunto «Protección de datos»
• Escrito radicado en Calle 52 C # 85 H - 26, oficina 202, Bogotá D.C.

Los canales permiten, por lo menos, ejercer los derechos por el mismo medio por el que se recogieron los datos, dejando constancia de la recepción y el trámite (Decreto 1074 de 2015, art. 2.2.2.26.2.4). Atiende las solicitudes el área de gerencia de Lexy (art. 2.2.2.25.4.4).

9.2 Qué debe contener la solicitud

• Nombre completo y documento de identidad del titular, o la prueba de su legitimación (sección 7)
• Qué solicita: consulta, actualización, rectificación, supresión o revocatoria
• En un reclamo: la descripción de los hechos, la dirección del titular y los documentos que quiera hacer valer (Ley 1581 de 2012, art. 15, num. 1)
• Un correo o dirección para responder

9.3 Plazos

(Ley 1581 de 2012, arts. 14 y 15.)

Si el reclamo llega incompleto, Lexy pedirá corregirlo dentro de los 5 días siguientes a su recepción. Si pasan dos meses desde ese requerimiento sin que se complete, se entenderá desistido. Recibido el reclamo completo, en no más de 2 días hábiles se incluirá en la base de datos la leyenda «reclamo en trámite» y su motivo, hasta que se decida (art. 15, nums. 1 y 2).

9.4 Solicitudes sobre datos que son de un cliente del ERP

Si la solicitud versa sobre datos que una empresa cliente guarda en su ERP, Lexy no es competente para resolverla: la trasladará a esa empresa en un término máximo de 2 días hábiles e informará de ello al titular (Ley 1581 de 2012, art. 15, num. 1, inciso segundo), y le prestará a la empresa el apoyo técnico que necesite para responder.

10. Transferencias y transmisiones de datos

Lexy opera en Colombia, Estados Unidos y Brasil. Cuando la prestación del servicio lo exija, puede transferir o transmitir datos a:

• Abogados, contadores y corresponsales en el país donde se ejecute la operación
• Autoridades, cuando la ley lo obligue
• Proveedores tecnológicos que le prestan servicios de correo, alojamiento, almacenamiento y gestión de clientes

Alojamiento de la plataforma, del ERP y del sitio web. Los datos que trata Lexy se alojan en dos servidores de Hostinger ubicados en Estados Unidos: un servidor privado virtual en Boston, donde corren la plataforma de Lexy y la modalidad alojada del ERP, y el alojamiento del sitio lexy.com.co, donde se reciben los formularios. La cuenta de Hostinger está a nombre de ELENST S.A.S., sociedad aliada de Lexy, que pone ese alojamiento a disposición de Lexy y actúa como su encargada; Hostinger actúa como subencargado. Respecto de los datos de los clientes del ERP, Elenst y Hostinger son subencargados autorizados por cada cliente en su contrato de transmisión. Las copias de respaldo se guardan además en un equipo propio ubicado en Colombia.

Estados Unidos figura entre los países que la Superintendencia de Industria y Comercio reconoce con nivel adecuado de protección (Circular Única de la SIC, Título V, numeral 3.2, vigente a la fecha de esta política), y a esos países se pueden transmitir datos en los términos que rigen la transferencia (mismo numeral, parágrafo cuarto). Además, las transmisiones internacionales a un encargado no necesitan informarse al titular ni contar con su consentimiento cuando existe el contrato que exige la ley (Decreto 1074 de 2015, arts. 2.2.2.25.5.1, num. 2, y 2.2.2.25.5.2). Lexy exige ese contrato a sus encargados y lo firma con cada cliente del ERP.

Las transferencias internacionales, es decir, a un tercero que decide por su cuenta sobre los datos, se hacen solo en los casos que permite el artículo 26 de la Ley 1581 de 2012.

11. Encargados del tratamiento

Lexy se apoya en proveedores que tratan datos por su cuenta y bajo sus instrucciones, principalmente de correo electrónico, alojamiento web y de servidores, gestión de formularios, base de datos de clientes y envío de boletines. Todos están obligados contractualmente a proteger la información, a guardar confidencialidad y a usarla solo para lo que Lexy les indica. Lexy vela porque cumplan esta política (Decreto 1074 de 2015, art. 2.2.2.25.3.1, inciso primero).

12. Seguridad de la información

Lexy aplica medidas técnicas, humanas y administrativas razonables para proteger los datos (Ley 1581 de 2012, art. 4, lit. g): control de acceso por perfiles, cifrado en tránsito, copias de respaldo, acuerdos de confidencialidad con su equipo y registro de accesos a la información sensible de cada operación.

En la plataforma y en el ERP, además:

• No se guarda la contraseña, sino una transformación de ella de la que no se puede volver a la contraseña
• Tras varios intentos fallidos de inicio de sesión, el acceso se bloquea temporalmente
• Cerrar sesión o cambiar la contraseña invalida las sesiones abiertas
• Cada operación queda en un registro que no se puede modificar ni borrar, y que no contiene el nombre ni el correo del usuario
• La base de datos tiene copia de respaldo diaria
• Los datos de cada empresa cliente del ERP se guardan en una base de datos separada de la de las demás

Ninguna medida de seguridad es infalible.

13. Incidentes de seguridad

Si ocurre un incidente que afecte datos personales —violación de los códigos de seguridad, o pérdida, robo o acceso no autorizado a una base de datos—, Lexy lo atenderá conforme a su protocolo interno y:

• Lo reportará a la Superintendencia de Industria y Comercio dentro de los 15 días hábiles siguientes al momento en que se detecte y se ponga en conocimiento de la persona o área encargada de atenderlo (Ley 1581 de 2012, arts. 17, lit. n, y 18, lit. k; Circular Única de la SIC, Título V, numeral 2.1, lit. f, ii)
• Informará a los titulares afectados cuando el incidente les cree un riesgo, para que puedan protegerse
• Si el incidente afecta datos que un cliente guarda en su ERP, avisará también a ese cliente en el plazo que fija el contrato de transmisión

14. Conservación de los datos

Lexy conserva los datos mientras sea razonable y necesario para las finalidades que justificaron el tratamiento y, después, durante los plazos que la obligan (Decreto 1074 de 2015, art. 2.2.2.25.2.8):

• Expedientes de clientes: por el término de prescripción de las acciones derivadas del servicio
• Soportes contables y tributarios: según el Código de Comercio y el Estatuto Tributario
• Datos de contacto para fines comerciales: hasta que se revoque la autorización
• Registros de intentos de acceso a la plataforma y al ERP: un año
• Cuentas de la plataforma y del ERP dadas de baja: lo visible para otros usuarios se retira de inmediato; el resto de los datos de la cuenta se suprime a los dos años, salvo lo que la ley obligue a conservar
• Datos de una empresa cliente del ERP cuando termina el contrato: se le entregan en un archivo y se conservan en los servidores de Lexy durante tres meses, prorrogables a solicitud y con cargo del cliente; luego se suprimen de los servidores de Lexy, y de sus copias de respaldo a medida que roten, en los plazos del contrato de transmisión, salvo lo que la ley obligue a conservar

15. Datos en la vitrina de oportunidades

La vitrina tiene reglas propias, porque en ella confluyen datos de vendedores y de interesados:

• Las oportunidades se publican de forma anónima por defecto: sector, cifras y ubicación general, sin datos identificables
• La identidad del vendedor solo se revela al interesado que firma acuerdo de confidencialidad
• El vendedor decide el nivel de exposición al publicar: autorizada, autorizada reservada o no autorizada
• Los datos de los interesados se comparten con el vendedor únicamente en lo necesario para evaluar la operación
• Cuando el vendedor publica datos de terceros —empleados, clientes, proveedores— declara que cuenta con facultad para hacerlo y responde por ello

16. Agentes de software

La plataforma de Lexy y el ERP admiten agentes de software: programas que actúan en nombre de un usuario. Para proteger a quien interactúa con ellos:

• Todo agente pertenece a un usuario registrado, que responde por lo que el agente haga. Si esa cuenta se suspende, el agente deja de funcionar.
• Cada agente tiene permisos limitados y un número máximo de acciones diarias.
• Un agente nunca puede aprobar ni publicar oportunidades, firmar documentos ni hacer pagos.
• La plataforma identifica cuándo se interactúa con un agente y cuándo con una persona.
• Se admiten agentes de terceros, previa validación de seguridad por parte de Lexy: quién responde por el agente, para qué se conecta, qué permisos concretos recibe y cuántas acciones diarias puede hacer. Lexy puede revocarlos en cualquier momento, y toda su actividad queda registrada.

17. Vigencia y cambios

Esta versión 3.0 se publicó el 5 de octubre de 2026 y rige desde el 12 de octubre de 2026; hasta esa fecha rige la versión 2.1. La versión 2.1 rigió desde el 15 de septiembre de 2026 y la 2.0 desde el 20 de agosto de 2026.

Las bases de datos de Lexy estarán vigentes mientras subsistan las finalidades descritas en la sección 5 y, después, durante los plazos de conservación de la sección 14 (Decreto 1074 de 2015, art. 2.2.2.25.3.1, num. 6).

Los cambios sustanciales de esta política se comunicarán a los titulares por el sitio web y, cuando corresponda, por correo, antes de aplicarse. Si el cambio se refiere a la finalidad del tratamiento, se pedirá una autorización nueva (Decreto 1074 de 2015, arts. 2.2.2.25.2.2 y 2.2.2.25.3.1). La versión vigente será siempre la publicada en lexy.com.co/tratamiento-de-datos/.

Preguntas

Escríbanos a asesoria@lexy.com.co, con el asunto «Protección de datos». Ver también nuestros términos y condiciones.