Política de privacidad, tratamiento de datos personales y hábeas data

1. Responsables y canales de atención

Los responsables del tratamiento son Luis Felipe Torres Muñoz, teléfono +57 316 730 4014, y Juliana Arboleda Palacio, teléfono +57 315 638 2503, personas naturales que desarrollan su actividad bajo el nombre Torres Arboleda. Esta denominación no identifica, en esta política, una sociedad distinta de las personas señaladas.

Domicilio: Manizales, Caldas, Colombia. Dirección para correspondencia y ejercicio de derechos: Carrera 7A #10-14, Manizales, Caldas, Colombia. Correo: contabilidad@torresarboleda.com.

Ambos responsables tienen a su cargo la atención de consultas y reclamos de protección de datos. Puede dirigirse a cualquiera de ellos por los canales anteriores. Se coordinará una respuesta integral cuando la solicitud comprenda información gestionada por ambos. No necesita tener una cuenta, contratar servicios ni aceptar publicidad para ejercer sus derechos. Estos datos de contacto cumplen la identificación exigida por el artículo 12, literal d), de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1, numerales 1 y 4, del Decreto 1074 de 2015.

2. Objeto, ámbito y reglas aplicables

Esta política explica la recolección, almacenamiento, consulta, uso, comunicación, actualización y supresión de datos de personas naturales en el sitio web, el portal de clientes y la gestión de servicios de Torres Arboleda. Comprende visitantes, personas que contactan la firma, usuarios, profesionales, clientes personas naturales y representantes o contactos de clientes empresariales. Los datos de una persona jurídica no se convierten por ello en datos personales, pero sí lo son los que identifican a sus representantes, empleados o contactos naturales.

Se fundamenta en los artículos 15 y 20 de la Constitución Política; la Ley Estatutaria 1581 de 2012; y el capítulo 25 del título 2 de la parte 2 del libro 2 del Decreto 1074 de 2015. La reserva profesional se rige además por el artículo 74 de la Constitución y, para la contaduría pública, por la Ley 43 de 1990. Las fuentes y artículos específicos se relacionan al final del documento.

La existencia de información bancaria o de cobros no significa que toda la base esté sometida al régimen especial de la Ley 1266 de 2008. Si un tratamiento queda comprendido en ese régimen se aplicarán sus reglas especiales y las modificaciones pertinentes, incluida la Ley 2157 de 2021. Esta política no habilita reportes a centrales de riesgo. El sistema revisado no contiene esa integración. Tampoco declara aplicable de manera general el RGPD europeo a la operación colombiana.

3. Cómo se determinan las responsabilidades

Responsable es quien decide para qué y cómo se tratan los datos. Encargado es quien los trata por cuenta de un responsable. Titular es la persona natural a quien se refieren los datos. Estas distciones corresponden al artículo 3, literales c) a g), de la Ley 1581 de 2012.

Los responsables identificados en la sección 1 deciden sobre los datos de su operación: contactos comerciales, usuarios del portal, contratación, cobros y administración de sus servicios. Si un cliente encomienda tratar datos de sus empleados, compradores u otros terceros para contabilidad, marketing, desarrollo u otro servicio, el contrato debe identificar al responsable de esa base, las instrucciones, los destinatarios, las medidas y las condiciones de devolución o eliminación. Torres Arboleda actuará como encargado en lo que efectivamente realice por cuenta de ese cliente. Si decide fines propios sobre una información, asumirá los deberes de responsable respecto de esa decisión.

La autorización del representante de una empresa sobre sus propios datos no reemplaza la de los demás titulares. El cliente debe acreditar el origen lícito y la habilitación para comunicar los datos que encomienda, y Torres Arboleda debe verificar las condiciones del encargo. No se trasladan al cliente las obligaciones que la ley impone a los responsables y encargados (artículos 17 y 18, incluido su parágrafo, de la Ley 1581 de 2012).

4. Datos y finalidades concretas

• Contacto: nombre, correo, teléfono opcional, asunto, mensaje, fecha y dirección IP de origen; atender y dar seguimiento a la consulta, preparar la propuesta solicitada y verificar el envío y su autorización. La IP se utiliza para trazabilidad del mensaje y revisión de posibles abusos, sin convertirla en un perfil publicitario.
• Usuarios del portal: documento, nombre, usuario, contraseña almacenada como hash, correo, celular, WhatsApp, rol y asociaciones con clientes; crear y administrar el acceso, autenticar, recuperar la operación de la cuenta y delimitar la información que puede consultar.
• Perfil profesional: profesiones, tarjetas profesionales y fotografía, cuando se aporten; identificar al profesional en la prestación del servicio. La fotografía de perfil no constituye autorización para utilizar su imagen en campañas o testimonios.
• Clientes: documento o NIT, nombre, tipo de persona, régimen, representante y su identificación, dirección, ubicación, correos, teléfonos, software contable, actividades y responsabilidades tributarias; identificar al contratante y organizar el servicio contratado. Un dato publicado en internet no se considera automáticamente un dato público.
• Contratación y cobros: servicios, profesional, precios, descuentos, retenciones, fechas, estado contractual, cuentas de cobro, referencias y fechas de pago, cuentas bancarias del profesional e historial de actuaciones; ejecutar el servicio, emitir y consultar documentos de cobro, identificar a quién pagar, conciliar pagos y conservar el soporte que corresponda. Los datos de pago que aparecen en una cuenta de cobro son visibles para su destinatario autorizado.
• Credenciales DIAN: usuario y clave que el cliente entregue específicamente para una gestión autorizada; custodiar y utilizar esa información únicamente dentro del encargo. No se utilizan para marketing, ni se publican, ni se solicitan por el formulario abierto de contacto.
• Contenido editorial: nombre del autor, textos e imágenes autorizados; identificar la autoría y publicar el material aprobado. El nombre del autor y los contenidos públicos pueden ser consultados e indexados por buscadores. No se publican datos de clientes, fotografías identificables ni testimonios para promoción sin verificar la autorización correspondiente.
• Seguridad y evidencia: identificadores de sesión, registros de intentos de acceso, accesos a credenciales y eventos de contratación o cobro; controlar accesos, investigar incidentes y acreditar operaciones. El contador de lecturas del blog registra vistas agregadas; no es, por sí mismo, una herramienta de publicidad personalizada.

Solo se recogen datos pertinentes para cada finalidad. El formulario de contacto no solicita copias de documentos, claves DIAN, datos bancarios ni información de salud. No los incluya en el mensaje. Los datos obligatorios de un proceso se señalan al recogerlos; la imposibilidad de ejecutar un trámite sin un dato necesario debe explicarse para ese trámite, sin condicionar otros servicios a finalidades opcionales. Se aplican los principios de legalidad, finalidad, libertad, calidad, transparencia, circulación restringida, seguridad y confidencialidad del artículo 4 de la Ley 1581 de 2012.

5. Autorización y límites de uso

Salvo excepción legal acreditada, se solicitará autorización previa, expresa e informada, conservando una prueba consultable. El aviso identificará a los responsables, los datos y fines, los derechos y el acceso a esta política. En el contacto web se utiliza una casilla desmarcada y se conserva el texto informado, la versión de la política, la manifestación de autorización y la fecha de registro. En los demás procesos deben utilizarse los instrumentos de autorización correspondientes; esta página no demuestra que ya se hayan obtenido.

No se considera autorización el silencio, la simple navegación ni la mera publicación de esta política. Un contrato no constituye por sí solo una excepción general al consentimiento. Si se invoca una excepción, se documentará el supuesto concreto del artículo 10 de la Ley 1581 de 2012; el acceso por una autoridad debe corresponder a sus funciones legales o a una orden judicial y respetar las reservas aplicables. Continúan siendo exigibles los demás deberes de protección.

La base normativa es la Ley 1581 de 2012, artículos 9, 10 y 12, incluido el parágrafo de este último, y el Decreto 1074 de 2015, artículos 2.2.2.25.2.1 a 2.2.2.25.2.5. No se venderán bases de datos ni se reutilizarán datos del portal para fines ajenos a los informados.

6. Publicidad y comunicaciones de servicio

Enviar una consulta, registrarse o contratar no autoriza campañas publicitarias. El contacto solicitado, la respuesta a una consulta, las comunicaciones del servicio y las novedades tributarias mostradas dentro del portal se limitarán a su propósito. El filtrado de circulares por régimen o responsabilidades tributarias busca presentar información pertinente al cliente; no habilita reutilizar sus datos en audiencias de anuncios.

Antes de enviar publicidad por correo, llamadas, SMS o mensajería se debe obtener una autorización opcional y diferenciada e implementar un mecanismo sencillo para dejar de recibirla. Cuando corresponda, se observarán los canales, horarios, periodicidad y exclusiones de la Ley 2300 de 2023, artículos 2 a 5, incluido el parágrafo 2 del artículo 5. Negarse a publicidad no impide acceder al servicio contratado ni ejercer hábeas data.

7. Datos sensibles y menores de edad

Los datos sensibles comprenden, entre otros, salud, vida sexual, datos biométricos, origen étnico, convicciones religiosas u orientación política. Una clave DIAN exige protección reforzada por su riesgo, pero no se clasifica automáticamente como dato sensible por esa sola condición. El sistema no tiene una función de identificación biométrica; una fotografía puede contener información sensible según su contenido y uso.

No se solicitan datos sensibles ni datos de menores por el formulario de contacto. Si un servicio exige su tratamiento, deberá evaluarse y documentarse antes de recogerlos. Para datos sensibles se informará su carácter, la finalidad y el derecho a no suministrarlos; se obtendrá autorización explícita salvo excepción legal. Ninguna actividad se condicionará al suministro de datos sensibles. Para menores se protegerán su interés superior y derechos fundamentales, se verificará la representación y se escuchará al menor según su madurez y capacidad. No basta una autorización genérica del adulto ni afirmar que todos los datos de menores pueden tratarse libremente.

Fuentes: Ley 1581 de 2012, artículos 5, 6 y 7; Decreto 1074 de 2015, artículos 2.2.2.25.2.3 y 2.2.2.25.2.9. No existe en esta política un consentimiento anticipado para tratamientos sensibles futuros.

8. Acceso, proveedores y comunicación a terceros

El acceso administrativo corresponde a las personas autorizadas para gestionar el negocio. Las cuentas de cliente consultan la información que se les asigne dentro del portal. La asignación de un profesional a un servicio no implica que exista una separación técnica completa entre los dos administradores. El acceso administrativo se debe limitar a las necesidades de sus funciones y al deber de reserva.

Los proveedores que alojen, mantengan o respalden información solo podrán tratarla dentro del servicio y de instrucciones documentadas, con obligaciones de seguridad y confidencialidad. Cuando actúen como encargados se deben pactar el alcance, las actividades, los deberes y las condiciones de retorno o supresión. No se autoriza que utilicen los datos para sus propios anuncios o para entrenar sistemas de inteligencia artificial. La ley no permite divulgar información a cualquier tercero por el solo hecho de llamarlo aliado comercial.

El suministro a titulares, representantes, autoridades o terceros autorizados debe respetar el artículo 13 de la Ley 1581 de 2012. Para datos que Torres Arboleda trate por encargo se observarán además las instrucciones lícitas del responsable del cliente.

9. Tratamientos internacionales y enlaces externos

Una transferencia comunica datos a otro responsable; una transmisión permite a un encargado tratarlos por cuenta del responsable. Si se pretende utilizar infraestructura o proveedores en otro país, se identificará al receptor, su función, ubicación y servicios antes de comunicar información. Esta política no afirma que el alojamiento o las copias estén en Colombia: la revisión realizada corresponde al entorno local y no acredita la infraestructura de producción.

Las transferencias internacionales deben cumplir el artículo 26 de la Ley 1581 de 2012, incluidas sus excepciones y el mecanismo que proceda en el caso concreto. Las transmisiones internacionales se sujetan a los artículos 2.2.2.25.5.1 y 2.2.2.25.5.2 del Decreto 1074 de 2015; su regla contractual no es una autorización para que el receptor decida usos propios. Antes de migrar a alojamiento externo se debe documentar el mecanismo aplicable y actualizar la información sobre los destinatarios efectivos.

Los enlaces a WhatsApp y los botones para compartir abren servicios de terceros por decisión del visitante. Al utilizarlos, esos servicios pueden tratar datos bajo sus propias condiciones. No se envían automáticamente documentos privados a través de esos botones. No incluya información reservada en mensajes externos. La intervención de un tercero no elimina las obligaciones de Torres Arboleda respecto de sus propias decisiones de tratamiento.

10. Cookies y navegación

La aplicación utiliza la cookie propia de sesión ta_session para asociar las solicitudes con una sesión, proteger formularios y sostener la autenticación. No contiene la contraseña. Su configuración es de sesión, sin una fecha persistente de expiración; la restauración del navegador puede conservar sesiones. El portal invalida la autenticación tras 30 minutos de inactividad. La caducidad del acceso no equivale al borrado de todos los registros del servidor.

En el código propio revisado no se encontraron integraciones de Google Analytics, Meta Pixel ni cookies publicitarias. Las fuentes y bibliotecas principales se sirven localmente. Esta descripción no certifica scripts futuros, contenido editorial añadido ni servicios del alojamiento. Antes de introducir rastreadores que recojan datos personales debe informarse su proveedor, finalidad y duración y obtenerse la habilitación correspondiente. No se presenta una supuesta exención general de autorización por llamar técnica a una cookie. El tratamiento se sujeta a los artículos 4, 9 y 12 de la Ley 1581 de 2012.

11. Seguridad, credenciales y reserva profesional

El código incorpora contraseñas del portal como hash, controles de acceso y de formularios, y cifrado de credenciales DIAN. Los responsables deben mantener medidas humanas, administrativas y técnicas proporcionales al riesgo, controlar quién accede, revisar los permisos y asegurar las copias y la operación en producción. Estos controles no equivalen a una garantía de invulnerabilidad ni a una certificación integral de seguridad.

La entrega de una clave DIAN no otorga facultades ilimitadas ni sustituye un poder o la habilitación exigida para cada actuación. Se documentarán el encargo, los actos permitidos y su terminación. Al finalizar o revocarse el encargo se retirará el acceso y se eliminará la copia de la credencial que ya no deba usarse; conservar soportes contables no justifica retener indefinidamente una contraseña operativa.

Los datos conocidos en el ejercicio contable están sujetos a reserva profesional. Esta continúa después de finalizar la relación y debe extenderse al personal y a quienes presten asistencia. Se aplican los artículos 63 a 67 de la Ley 43 de 1990 y los artículos 17 y 18 de la Ley 1581 de 2012. No se enviarán datos de clientes a herramientas externas de IA sin evaluar previamente la habilitación, la reserva y las condiciones del proveedor.

12. Conservación y finalización del tratamiento

Las bases permanecerán activas mientras subsistan sus finalidades y las obligaciones de conservación identificadas. No hay una autorización de permanencia perpetua. Cada cierre debe registrar si procede suprimir, anonimizar de forma irreversible, devolver al cliente o conservar información restringida con una causa legal concreta. Se aplican las limitaciones temporales del artículo 2.2.2.25.2.8 del Decreto 1074 de 2015.

• Contactos sin contratación: al cerrar la consulta y el seguimiento solicitado se suprimirán los datos operativos, salvo que exista una obligación o controversia documentada que justifique conservar información específica. La evidencia de autorización se someterá a su regla de conservación indicada abajo. Los contactos no pasarán automáticamente a una lista publicitaria.
• Cuentas y perfiles: al terminar la relación se revocará el acceso y se revisarán los datos operativos. La información incluida en documentos que deban conservarse seguirá restringida a esa finalidad.
• Libros y papeles de comercio: el artículo 28 de la Ley 962 de 2005 establece diez años desde el último asiento, documento o comprobante, dentro de su ámbito de aplicación, incluidas las personas no comerciantes legalmente obligadas a conservar esa información y sin perjuicio de términos menores de normas especiales. No se aplica ese plazo indiscriminadamente a todo contacto, fotografía o contraseña.
• Papeles de trabajo del contador: el parágrafo del artículo 9 de la Ley 43 de 1990 exige un mínimo de cinco años desde su elaboración. No se confunden con la totalidad de los datos del portal ni se desconocen obligaciones concurrentes.
• Soportes tributarios: se determinará la obligación concreta de conservación conforme al artículo 632 del Estatuto Tributario y al artículo 46 de la Ley 962 de 2005. No se anuncia un plazo único de cinco años para toda información tributaria; deben examinarse el tipo de soporte, la declaración y su firmeza.
• Evidencias de autorización, solicitudes e incidentes: se conservarán ligadas al tratamiento y a las obligaciones que deban acreditarse, con la causa y revisión de conservación registradas. Una disputa requiere identificar los documentos afectados; no habilita retener toda la base.

Los registros técnicos y las copias deben tener un calendario documentado de depuración y expiración. Esta política no afirma que exista hoy un borrado automático ni un ciclo de copias ya validado. Una supresión concedida debe trasladarse a los encargados y a las restauraciones para evitar reactivar datos eliminados; cualquier conservación residual deberá documentarse y mantenerse fuera del uso ordinario.

13. Derechos del titular

Puede conocer sus datos, actualizarlos o rectificarlos; pedir prueba de la autorización cuando sea exigible; conocer el uso dado a su información; acceder gratuitamente; solicitar supresión o revocar la autorización; y presentar queja ante la Superintendencia de Industria y Comercio, previo agotamiento del trámite correspondiente ante el responsable o encargado. No necesita una decisión previa de la SIC para presentar una solicitud de revocatoria o supresión a Torres Arboleda.

La supresión y revocatoria no proceden respecto de información que deba mantenerse por un deber legal o contractual. En tal caso se explicarán el dato retenido, la obligación concreta, el propósito restringido y la condición que pone fin a su conservación; la negativa no se extenderá a finalidades opcionales. Bases: Ley 1581 de 2012, artículos 8 y 16; Decreto 1074 de 2015, artículos 2.2.2.25.2.6 y 2.2.2.25.4.1 a 2.2.2.25.4.4.

14. Cómo presentar una solicitud

Escriba a contabilidad@torresarboleda.com, envíe correspondencia a Carrera 7A #10-14, Manizales, Caldas, Colombia, o contacte a los responsables en +57 316 730 4014 o +57 315 638 2503 para dejar registrada su solicitud. Puede indicar como asunto Hábeas data, sin que utilizar esa expresión sea obligatorio. No se exige iniciar sesión ni completar el formulario comercial.

Indique su nombre e identificación, el medio para responder, los datos o relación que permitan localizar la información y lo que solicita. En un reclamo describa los hechos y aporte los documentos que quiera hacer valer. Si actúa por otra persona, acredite representación, poder o la calidad de causahabiente. La identidad se verificará de manera suficiente y proporcional; no se solicitarán contraseñas DIAN ni claves bancarias para tramitar hábeas data, ni se impondrá autenticación notarial como requisito general.

Las solicitudes se registrarán con fecha de recepción y seguimiento. La verificación de identidad no se utilizará para reiniciar arbitrariamente los plazos. La respuesta se entregará por un canal que proteja la información de terceros. El ejercicio de estos derechos ante Torres Arboleda es gratuito.

15. Consultas: acceso e información

Las consultas se responderán en un máximo de diez días hábiles desde su recepción. Si no es posible, se informarán antes del vencimiento las razones y la fecha de respuesta; la ampliación no superará cinco días hábiles siguientes al término inicial. Se suministrará la información personal del solicitante que obre en los registros, protegiendo datos de otros titulares. Fuente: artículo 14 de la Ley 1581 de 2012, incluido su parágrafo sobre términos especiales inferiores.

16. Reclamos: corrección, supresión, revocatoria e incumplimientos

• Si el reclamo está incompleto, se requerirá subsanarlo dentro de los cinco días siguientes a su recepción. Si transcurren dos meses desde el requerimiento sin aportar la información requerida, se entenderá desistido.
• Si quien lo recibe no es competente, dará traslado a quien corresponda en un máximo de dos días hábiles e informará al solicitante.
• Recibido el reclamo completo, se incorporarán en la base afectada la leyenda reclamo en trámite y su motivo en un máximo de dos días hábiles, hasta que se decida. Se informará al encargado cuando corresponda.
• Se responderá en un máximo de quince días hábiles contados desde el día siguiente al recibo. Si no es posible, antes de vencer ese término se informarán los motivos y la fecha de respuesta, que no podrá superar ocho días hábiles siguientes al término inicial.

Estos términos corresponden al artículo 15, numerales 1 a 3, de la Ley 1581 de 2012. La respuesta debe resolver la solicitud y explicar lo efectuado o la causa específica de negativa. No se exige que el titular renuncie a otros derechos para tramitarla.

17. Autoridad de protección de datos

Agotada la consulta o el reclamo ante el responsable o encargado, puede acudir a la Superintendencia de Industria y Comercio, Delegatura para la Protección de Datos Personales, mediante sus canales oficiales. Bases: artículos 16 y 19 de la Ley 1581 de 2012. Lo anterior no limita las demás acciones constitucionales o legales que resulten procedentes.

18. Incidentes y responsabilidad

Los responsables deben registrar, contener y evaluar los incidentes; preservar evidencia sin exponer secretos; gestionar la corrección y las comunicaciones que correspondan. Los incidentes sujetos a reporte ante la SIC se informarán dentro de los quince días hábiles siguientes a su detección y puesta en conocimiento de la persona o área encargada, por el canal aplicable según exista o no obligación de inscripción en el RNBD. No estar obligado a inscribir bases no elimina el deber de reporte. Este plazo no significa que se pueda esperar quince días para contener un incidente.

Las obligaciones provienen de los artículos 17, literal n), y 18, literal k), de la Ley 1581 de 2012 y las instrucciones de la SIC sobre reporte. Se evaluará e informará a los titulares afectados cuando corresponda conforme a las instrucciones aplicables y las medidas necesarias para protegerlos, sin atribuir a la ley colombiana un plazo general de 72 horas tomado de otro régimen.

Esta política no exonera a los responsables o encargados de incumplimientos ni hace que el titular asuma todos los riesgos. El uso de servicios externos, la intervención de un cliente o la aceptación de una casilla no constituyen renuncia a derechos fundamentales.

19. Vigencia y cambios

Versión 1.0, emitida el 27 de octubre de 2026 para esta implementación. Rige desde su puesta a disposición efectiva en el sitio y los procesos respectivos. La fecha de creación local no acredita una publicación anterior en el dominio de producción. Las bases tendrán la vigencia descrita en la sección 12; el fin de la actividad no extingue automáticamente obligaciones de reserva y conservación.

Los cambios sustanciales se comunicarán antes de implementarlos; si se modifica la finalidad se solicitará una nueva autorización. Se conservará el historial de versiones y las evidencias del aviso, sin legitimar retroactivamente recolecciones que carecieran de habilitación. Bases: Decreto 1074 de 2015, artículos 2.2.2.25.2.2, 2.2.2.25.3.1 y 2.2.2.25.3.4. Una ampliación futura a nómina, menores, biometría, campañas o nuevos proveedores exige evaluar y actualizar su cobertura antes de utilizar esos datos.

20. Fuentes oficiales y alcance de las referencias

• Constitución Política de Colombia: artículos 15, 20 y 74; intimidad, hábeas data, información y secreto profesional.
• Ley Estatutaria 1581 de 2012: artículos 2 a 19 y 26, según las materias precisadas en cada sección; en especial el parágrafo del artículo 12 y los numerales del artículo 15.
• Decreto 1074 de 2015, capítulo 25, secciones 1 a 4: artículos 2.2.2.25.1.3, 2.2.2.25.2.1 a 2.2.2.25.2.9, 2.2.2.25.3.1 a 2.2.2.25.3.7 y 2.2.2.25.4.1. La regla histórica del artículo 2.2.2.25.2.7 sobre datos anteriores a junio de 2013 no es una autorización por silencio para el sistema actual.
• Decreto 1074 de 2015, secciones 4 a 6 y RNBD: artículos 2.2.2.25.4.2 a 2.2.2.25.6.2; para determinar inscripción, artículo 2.2.2.26.1.2 modificado por el Decreto 90 de 2018. No se afirma una inscripción no verificada.
• Ley 43 de 1990: artículo 9, parágrafo, y artículos 63 a 67; papeles de trabajo y reserva contable.
• Ley 962 de 2005, artículo 28 y artículo 46: conservación comercial y relación con soportes tributarios. Deben aplicarse al documento concreto.
• Estatuto Tributario, artículo 632: deber de conservar informaciones y pruebas, en relación con el artículo 46 de la Ley 962 de 2005; debe evaluarse la firmeza de la declaración soportada.
• Ley 1266 de 2008, artículos 2 y 3, y Ley 2157 de 2021, artículo 1: delimitación del régimen especial y su reforma, sin habilitar reportes a operadores de información.
• Ley 2300 de 2023: artículos 2 a 5, sus parágrafos pertinentes y artículo 8; comunicaciones con consumidores dentro de su ámbito.
• SIC: cumplimiento del reporte de incidentes de seguridad: explicación oficial del plazo de quince días hábiles y canales según la obligación de RNBD; las instrucciones de la Circular Única prevalecen sobre explicaciones informativas.

Las referencias explican el fundamento de cada regla; no convierten decisiones operativas de Torres Arboleda en obligaciones que la ley no establece. La publicación debe acompañarse de autorizaciones, procedimientos, contratos y medidas efectivamente aplicados.