Política de privacidad y tratamiento de datos personales

01Responsable del tratamiento

Damorus Projects, estudio de ingeniería, ciencia e inteligencia artificial que ejerce sus actividades desde Bogotá D.C. (Colombia) y Berlín (Alemania), es responsable del tratamiento de los datos personales regulado por la presente Política de privacidad (la «Política»).

El canal de atención para los asuntos relacionados con la Política y con el ejercicio de los derechos de los titulares es el correo electrónico alejandro@damorus.com.

02Ámbito de aplicación

La Política se aplica a los datos que Damorus Projects trata como responsable a través de su sitio web y páginas asociadas (el «Sitio»), formularios, mensajes y reuniones, y en sus relaciones precontractuales y contractuales con clientes, proveedores y sus personas de contacto.

No se aplica al tratamiento que Damorus Projects realice como encargado por cuenta de sus clientes, regido por las instrucciones de estos y por el acuerdo de tratamiento correspondiente, ni a los sitios o servicios de terceros enlazados desde el Sitio.

03Definiciones

Para efectos de la Política, y sin perjuicio de las definiciones legales, se entiende por:

• ▸Titular: persona natural cuyos datos personales son objeto de tratamiento («interesado», en el Reglamento (UE) 2016/679, en adelante el «RGPD»).
• ▸Dato personal: información vinculada o que pueda asociarse a una persona natural identificada o identificable.
• ▸Tratamiento: operación sobre datos personales, como su recolección, almacenamiento, uso, circulación o supresión.
• ▸Responsable y encargado: quien decide sobre los fines y los medios del tratamiento y quien lo realiza por cuenta de aquel, respectivamente.
• ▸Autorización: consentimiento previo, expreso e informado del titular para el tratamiento de sus datos.
• ▸Transferencia y transmisión: envío de datos personales a un receptor que actúa como responsable o a un encargado que los trata por cuenta de este, respectivamente.

04Categorías de datos personales

El suministro de datos es voluntario, pero sin los necesarios no es posible atender la solicitud ni contratar. Damorus Projects no solicita datos sensibles, y el titular debe abstenerse de incluirlos en la información que remita.

Se tratan datos adecuados, pertinentes y limitados a lo necesario, de las siguientes categorías:

• ▸Identificación: nombre y, en su caso, organización que el titular representa.
• ▸Contacto: correo electrónico y número de teléfono o de servicio de mensajería.
• ▸Información del proyecto: descripción de la necesidad, plan o servicio de interés, plazo estimado y materiales que el titular suministre.
• ▸Facturación: número de identificación, domicilio fiscal y datos de pagos, cuando exista relación contractual.
• ▸Comunicaciones: contenido de los mensajes intercambiados y fecha, hora y zona horaria de las reuniones.
• ▸Datos técnicos: dirección IP, navegador, dispositivo, fecha y hora de acceso y página de origen de las solicitudes, estrictamente necesarios para el funcionamiento y la seguridad del Sitio, e información de navegación agregada que no identifica al titular. La medición propia del Sitio, sin dirección IP, registra además la zona horaria y la hora local del navegador y, cuando el enlace la trae, la campaña de origen (parámetros utm).
• ▸Datos de lectura: para saber qué partes de cada página se leen, se mide de forma anónima hasta dónde se desplaza la persona, cuánto tiempo la lee y qué secciones alcanza, sin asociarlo a su identidad.

05Finalidades del tratamiento

Damorus Projects no vende ni alquila datos personales. Los datos se tratan exclusivamente para:

• ▸Atender solicitudes y mensajes, programar reuniones y elaborar propuestas, bocetos y cotizaciones.
• ▸Celebrar, ejecutar y administrar contratos, incluidos la garantía, el soporte y las mejoras.
• ▸Facturar, gestionar cobros y pagos, llevar la contabilidad y cumplir obligaciones legales y tributarias.
• ▸Enviar comunicaciones sobre la solicitud o el proyecto y, con autorización cuando la ley la exija, información sobre servicios propios.
• ▸Proteger la seguridad y el funcionamiento del Sitio y prevenir fraudes y usos no autorizados.
• ▸Atender requerimientos de autoridades y formular, ejercer o defender reclamaciones.

06Bases jurídicas del tratamiento

Según el caso y la normativa aplicable, el tratamiento se fundamenta en:

• ▸El consentimiento o autorización del titular, otorgado por escrito, oralmente o mediante conductas inequívocas, como el envío voluntario de un formulario o mensaje tras poder consultar la Política.
• ▸La aplicación de medidas precontractuales solicitadas por el titular o la ejecución del contrato en que este es parte.
• ▸El cumplimiento de obligaciones legales, en particular mercantiles, contables y tributarias.
• ▸El interés legítimo en la seguridad del Sitio, la gestión de relaciones con personas de contacto de clientes y proveedores y la defensa de derechos, cuando no prevalezcan los derechos del titular.

07Marco normativo aplicable

Según la ubicación del titular, el tratamiento se sujeta, en particular, a:

• ▸Colombia: Ley Estatutaria 1581 de 2012 y Decreto 1377 de 2013, compilado en el Decreto Único Reglamentario 1074 de 2015, y las normas que los modifiquen o sustituyan.
• ▸Unión Europea y Alemania: Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (Reglamento general de protección de datos), y Bundesdatenschutzgesetz (BDSG). En el RGPD, las bases jurídicas indicadas corresponden al artículo 6, apartado 1, letras a), b), c) y f).
• ▸Estados Unidos, estado de California: California Consumer Privacy Act of 2018, modificada por la California Privacy Rights Act of 2020, cuando se cumplan sus presupuestos de aplicación.

08Derechos del titular

En los términos y con los límites de la normativa aplicable, el titular tiene derecho a:

• ▸Conocer y acceder gratuitamente a sus datos y ser informado sobre su uso.
• ▸Rectificar y actualizar datos inexactos o incompletos.
• ▸Solicitar la supresión de sus datos.
• ▸Oponerse al tratamiento basado en el interés legítimo o con fines comerciales.
• ▸Solicitar la limitación del tratamiento.
• ▸Recibir los datos facilitados en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable (portabilidad).
• ▸Revocar la autorización o retirar el consentimiento, sin afectar la licitud del tratamiento anterior.
• ▸Solicitar prueba de la autorización otorgada.
• ▸Presentar quejas ante la Superintendencia de Industria y Comercio (Colombia) o ante la autoridad de control competente de la Unión Europea, como la Berliner Beauftragte für Datenschutz und Informationsfreiheit.

09Límites de los derechos

La supresión y la revocatoria no proceden cuando el titular tenga un deber legal o contractual de permanecer en la base de datos. En Colombia, la queja ante la Superintendencia de Industria y Comercio requiere agotar antes el trámite de consulta o reclamo ante el responsable, requisito que no existe en la Unión Europea.

Bajo la normativa de California, el ejercicio de los derechos no dará lugar a trato discriminatorio. Damorus Projects no vende ni comparte datos personales en el sentido de dicha normativa.

10Procedimiento y plazos de respuesta

Las solicitudes se dirigirán a alejandro@damorus.com con la identificación del titular o de su representante o causahabiente, con prueba de esa calidad, la descripción de lo solicitado, la dirección de notificación y los documentos de soporte. Podrá requerirse información adicional razonable para verificar la identidad del solicitante, y las solicitudes manifiestamente infundadas o excesivas podrán rechazarse conforme a la ley. Los plazos de respuesta son:

• ▸Colombia: consultas, diez (10) días hábiles desde su recibo, prorrogables hasta por cinco (5) días hábiles; reclamos, quince (15) días hábiles desde el día siguiente a su recibo, prorrogables hasta por ocho (8) días hábiles, en ambos casos con aviso motivado de la prórroga. Si el reclamo está incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que lo subsane, y se entenderá desistido si pasan dos (2) meses sin respuesta.
• ▸Unión Europea: sin dilación indebida y, a más tardar, en un (1) mes desde la recepción, prorrogable por dos (2) meses según la complejidad y el número de solicitudes, lo que se informará dentro del primer mes.
• ▸California, cuando aplique: cuarenta y cinco (45) días calendario, prorrogables por un período igual cuando sea razonablemente necesario, con aviso al solicitante.

11Conservación de los datos

Los datos se conservan durante el tiempo necesario para sus finalidades y luego se suprimen o anonimizan, salvo obligación legal de conservarlos, caso en el cual permanecen bloqueados. Criterios aplicables:

• ▸Solicitudes que no den lugar a una relación contractual: hasta doce (12) meses desde la última comunicación con el titular.
• ▸Relaciones contractuales: durante su vigencia y, después, durante los plazos de las normas mercantiles, contables y tributarias y de prescripción de las acciones derivadas.
• ▸Datos técnicos de seguridad: durante períodos breves, salvo que se requieran para investigar incidentes o atender requerimientos de autoridades.

12Encargados y destinatarios

Los datos pueden comunicarse a entidades financieras y de pago, asesores profesionales sujetos a confidencialidad y autoridades, cuando lo exijan el contrato o la ley. Los servicios de mensajería y agenda de terceros que el titular elija utilizar pueden tratar sus datos como responsables independientes.

También pueden comunicarse a encargados del tratamiento sujetos a obligaciones de confidencialidad y seguridad, de las siguientes categorías:

• ▸Alojamiento web, infraestructura en la nube y seguridad.
• ▸Correo electrónico y envío de correo transaccional.
• ▸Agenda de reuniones y videoconferencia.
• ▸Mensajería instantánea.
• ▸Productividad, almacenamiento de archivos y desarrollo de software, incluidas herramientas de inteligencia artificial.

13Transferencias y transmisiones internacionales

Como Damorus Projects opera desde Colombia y Alemania y algunos de sus proveedores se ubican en otros países, incluidos los Estados Unidos de América, pueden producirse transferencias y transmisiones internacionales de datos.

En Colombia, las transmisiones se amparan en la autorización del titular o en contratos de transmisión, y las transferencias se dirigen a países con un nivel adecuado de protección o se realizan en los supuestos exceptuados por la ley. Bajo el RGPD, las transferencias a terceros países se basan en decisiones de adecuación, cláusulas contractuales tipo u otras garantías adecuadas o, cuando proceda, en las excepciones para situaciones específicas, sobre las cuales el titular puede solicitar información.

14Medidas de seguridad

Damorus Projects adopta medidas técnicas, humanas y administrativas proporcionales al riesgo para proteger los datos contra su pérdida, alteración y acceso o uso no autorizado, tales como cifrado de las comunicaciones, control de accesos, autenticación reforzada cuando está disponible, copias de respaldo y deberes de confidencialidad.

Ningún sistema es invulnerable y no se garantiza una seguridad absoluta. Ante un incidente que afecte datos personales, Damorus Projects adoptará medidas de contención y efectuará las notificaciones que exija la normativa aplicable.

15Menores de edad

El Sitio y los servicios se dirigen a personas mayores de edad y a organizaciones. Damorus Projects no recolecta deliberadamente datos de menores y suprimirá los recibidos sin autorización de su representante legal, quien podrá solicitar su supresión por el canal de atención.

16Decisiones automatizadas

Damorus Projects no adopta decisiones basadas únicamente en tratamientos automatizados, incluida la elaboración de perfiles, que produzcan efectos jurídicos sobre el titular o le afecten significativamente de modo similar. Las herramientas de software empleadas como apoyo operan con intervención humana.

17Modificaciones

Damorus Projects podrá modificar la Política para adaptarla a cambios normativos, técnicos u operativos y publicará la versión vigente en el Sitio con su fecha de actualización. Los cambios sustanciales se comunicarán antes de su implementación cuando la ley lo exija y, si afectan la finalidad del tratamiento, se solicitará nueva autorización cuando sea necesaria.

18Vigencia

La Política rige desde el 16 de septiembre de 2026 y sustituye las versiones anteriores. Las bases de datos permanecerán vigentes mientras subsistan las finalidades del tratamiento y los plazos de conservación aplicables.