Política de privacidad y tratamiento de datos personales del Buscador de Estados

Versión 1.0 · Vigente desde el 26 de septiembre de 2026

1. Quiénes somos y qué cubre esta Política

1.1 La Editora y el Servicio

Hoyos & Associates P.C. («H&A» o la «Editora»), firma de abogados constituida como Professional Corporation en el Estado de Nueva York, con domicilio en 15 MetroTech Center, piso 7, Brooklyn, Nueva York 11201, Estados Unidos, correo mateo@hoyos.law y teléfono +1 646-527-1232, desarrolla, publica y opera el Buscador de Estados (el «Servicio»): una aplicación web privada, en https://buscador-estados.tail1c476b.ts.net, con la que abogados y firmas de abogados vigilan sus procesos judiciales colombianos, reciben avisos y trabajan el expediente. Solo entra quien tiene una cuenta creada por el Administrador de la plataforma, por un Administrador de firma o, si es cliente, por invitación de su abogado; el acceso se pide con el formulario «Solicitar acceso».

1.2 Qué es este documento

Es la política de tratamiento de datos personales que exigen la Ley Estatutaria 1581 de 2012 y el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, y el aviso de privacidad para los usuarios en los Estados Unidos. Esta Política se aplica al Tratamiento de Datos Personales hecho en el Servicio o por medio de él. La Ley 1581 de 2012 y sus normas reglamentarias rigen el Tratamiento efectuado en territorio colombiano —donde está el servidor— y los demás casos de su artículo 2. Que el servidor esté en Colombia no excluye las normas imperativas de otras jurisdicciones respecto de determinados Titulares, accesos o incidentes; para los Estados Unidos, ver las secciones 11, 13.4 y 14.3. Es la primera versión; la Declaración de Privacidad de Hoyos & Associates para su sitio web es un documento aparte.

1.3 A quién se aplica

A los usuarios (abogados, firmas de abogados, su personal y los clientes que un abogado invita), a quien pide acceso o reporta un problema, y a las personas cuyos datos están en los expedientes vigilados: partes, apoderados, terceros y clientes de los abogados.

1.4 El Servicio no presta servicios legales

Los servicios que presta esta aplicación no son servicios legales, y respecto de ellos no existe la protección de una relación cliente-abogado. La aplicación no presta asesoría legal. Todos los plazos procesales, los resúmenes generados con inteligencia artificial y la información de expedientes que se suministran tienen fines exclusivamente informativos, deben ser verificados y confirmados por el usuario, por sus propios medios, y no constituyen evaluaciones jurídicas profesionales.

Para los efectos de la Regla 5.7 de las Reglas de Conducta Profesional de Nueva York (22 NYCRR Parte 1200), el aviso se da en español y en inglés; este es su texto en inglés:

The services provided by this application are not legal services, and the protection of a client-lawyer relationship does not exist with respect to these services. The application does not provide legal advice. All procedural deadlines, AI-generated summaries, or docket information provided are for informational purposes only, must be independently verified and confirmed by the user, and do not constitute professional legal evaluations.

Esta advertencia se da por escrito antes del primer uso y antes de cargar datos: en una línea —la primera frase de la advertencia de arriba, en español, que es el idioma de la interfaz, con enlace a la sección 3 de los Términos de servicio— en el formulario «Solicitar acceso» y en la pantalla de aceptación, y entera, en los dos idiomas, en los Términos de servicio y en esta Política. Se refiere a las funciones del Servicio: no elimina ni reduce las obligaciones de un contrato separado de servicios legales que el usuario o su cliente tenga con H&A.

El Servicio puede tener errores: verifique siempre dos veces lo que le muestre.

Usar el Servicio no crea una relación abogado-cliente con la Editora. Cada abogado conserva la responsabilidad profesional por sus decisiones y por verificar plazos, fuentes y documentos; eso no limita las obligaciones de la Editora sobre la operación, la seguridad y el Tratamiento de datos del Servicio.

1.5 Idiomas

Las dos versiones dicen lo mismo. Si discrepan, prevalece la española, que es la que el Servicio presenta al aceptar; ninguna limita derechos irrenunciables.

2. Definiciones

En el sentido del artículo 3 de la Ley 1581 de 2012 y del artículo 2.2.2.25.1.3 del Decreto 1074 de 2015:

• Datos Personales: información vinculada o que pueda asociarse a personas naturales determinadas o determinables. Titular: la persona natural a quien se refieren.
• Tratamiento: cualquier operación sobre Datos Personales, como recolectarlos, guardarlos, usarlos, circularlos o suprimirlos.
• Responsable del Tratamiento («Responsable»): quien decide sobre la base de datos o sobre el Tratamiento. Encargado del Tratamiento («Encargado»): quien trata Datos Personales por cuenta del Responsable.
• Datos Sensibles: los que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, como los que revelan el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas o la pertenencia a sindicatos u organizaciones sociales o de derechos humanos, los relativos a la salud y a la vida sexual, y los datos biométricos (artículo 5 de la Ley 1581 de 2012).
• Transferencia: el envío de Datos Personales a otro Responsable. Transmisión: su comunicación a un Encargado para que los trate por cuenta del Responsable.
• Firma usuaria: la firma de abogados, o el abogado que trabaja sin firma, que usa el Servicio. Administrador de la plataforma: el abogado de la Editora que administra el Servicio. Administrador de firma: quien administra las cuentas y los procesos de su Firma usuaria.

3. Quién responde de cada dato

La función de la Editora depende de la actividad:

1. Responsable. La Editora es Responsable de las cuentas, las solicitudes de acceso, la autenticación, los registros de acceso y de seguridad, el soporte y los reportes de problemas, el cobro, las constancias de aceptación, la prevención de abusos y los Tratamientos que haga para cumplir sus propias obligaciones legales o defender sus derechos.
2. Encargada. Es Encargada del contenido de los expedientes —documentos, correos, notas, plazos, honorarios y lo obtenido de las fuentes públicas para los radicados de la firma— que cada Firma usuaria le encomienda tratar solo para prestarle el Servicio y según sus instrucciones documentadas: los Términos de servicio, su anexo «Condiciones de tratamiento de datos por cuenta del Usuario» (el «Anexo») y lo que sus usuarios ordenan en el panel.
3. Finalidades propias. Si la Editora decidiera alguna vez una finalidad propia sobre información de expedientes, sería Responsable de ese Tratamiento y lo informaría aquí con su fundamento.

La calificación sigue a las funciones que de verdad se ejercen.

La Firma usuaria responde ante sus clientes y ante los terceros de tener la autorización o el fundamento legal para tratar los datos de sus expedientes (sección 5), y responde por las integraciones que activa con sus propias cuentas (sección 7.1). La Editora responde por seleccionar y vigilar razonablemente a los proveedores que ella incorpora a la infraestructura del Servicio (sección 7.2).

El Anexo es el contrato de transmisión de datos entre la Firma usuaria y la Editora (artículos 2.2.2.25.5.1 y 2.2.2.25.5.2 del Decreto 1074 de 2015): fija el alcance del Tratamiento, las actividades, las instrucciones, la confidencialidad y la seguridad, la atención de derechos, los incidentes, los subencargados y la supresión o devolución de los datos. El Anexo se celebra cuando lo acepta el representante legal de la Firma usuaria o una persona con autorización suficiente para obligarla (Términos de servicio, sección 4.2); la aceptación de los demás usuarios vale para su propio uso. A solicitud de la firma, la Editora le entrega una contraparte documental firmada del mismo contrato, para constancia; esa firma adicional no es condición de su eficacia.

4. Qué datos tratamos, de quién y de dónde

4.1 Cuentas

Usuario, nombre, correo, rol (Administrador de la plataforma, Administrador de firma, senior, junior o cliente), firma, huella de la contraseña (scrypt con sal; la contraseña no se guarda en claro), estado, periodos de actividad, llave del calendario privado, apariencia y preferencias de inteligencia artificial; de un cliente, además, el abogado que lo invitó. Los da el usuario o quien crea su cuenta con su conocimiento. Cuando un Administrador de firma, el Administrador de la plataforma o el abogado que invita a su cliente crea una cuenta para otra persona, solo registra los datos necesarios para abrirla: el nombre de usuario, el nombre, el correo (si lo da), el rol y la firma —o, para un cliente, el abogado que lo invita—, además de la huella de la contraseña temporal y la fecha de alta. Quien crea una cuenta para otra persona declara tener su autorización para registrar esos datos; el correo de bienvenida lleva el enlace a esta Política, y esa persona da su propia autorización en su primer ingreso, antes de usar el Servicio. Desde que se crea la cuenta, el Servicio puede enviarle a su correo el mensaje de bienvenida (con el usuario, la dirección del Servicio y la contraseña temporal —salvo en las cuentas de clientes: al crearlas, la contraseña temporal solo la ve el abogado que invita al cliente, y al restablecerla, solo quien la restablece, ese abogado o el Administrador de la plataforma—), repartirle procesos y enviarle avisos.

4.2 Solicitudes, accesos y aceptación

• Solicitudes de acceso: el nombre, el correo, la firma y el mensaje de quien usa «Solicitar acceso», y la dirección IP desde la que escribe. Antes de enviar el formulario, el solicitante ve un aviso de privacidad con la identidad y los datos de contacto de la Editora, la finalidad, los datos que se piden, cuánto se conservan, sus derechos del artículo 8 de la Ley 1581 de 2012 y el enlace a esta Política, y autoriza el Tratamiento con una casilla que no viene marcada. Estos datos solo sirven para decidir la solicitud y crear la cuenta. Las solicitudes ya decididas —rechazadas o aprobadas— se suprimen a los noventa (90) días de la decisión, y las que no se deciden, a los noventa (90) días de su llegada; la constancia de cada solicitud (fecha, correo y dirección IP) queda en el registro de accesos durante su plazo de cinco (5) años, y la autorización del aviso de privacidad se guarda en la solicitud con su fecha y hora.
• Accesos y eventos de cuenta: la fecha y la hora, el evento (entrada, salida, intento fallido de entrada, alta, baja, reactivación, cambio de contraseña, de rol o de firma, aceptación de estos textos, solicitud de acceso, reporte de un problema, conexión de Lexius —con el correo de esa cuenta—, supresión de una cuenta, leyenda de reclamo, mantenimiento y cada correo que envían el panel o las revisiones automáticas de los procesos —con su destinatario y su asunto—), el usuario y, en las entradas, salidas, intentos fallidos, solicitudes y aceptaciones, la dirección IP.
• Aceptación: la versión aceptada de esta Política y de los Términos de servicio, la fecha y la hora, la dirección IP y la huella SHA-256 completa de cada texto aceptado (el pie de cada página publicada enseña sus doce primeros caracteres; sección 17).

4.3 Datos de los portales judiciales

Por cada proceso vigilado, el Servicio consulta los sistemas públicos de información judicial: la Consulta de Procesos, el portal de publicaciones procesales y SAMAI de la Rama Judicial, la Corte Constitucional y la Corte Suprema de Justicia. Consulta también el sitio del juzgado, cuando este publica fuera del portal, y el documento guardado en OneDrive o SharePoint al que remita una publicación del portal. Toma el radicado, el despacho, la clase de proceso, las partes y sus apoderados (sus nombres; su calidad en el proceso, como demandante, demandado o apoderado; si una parte fue emplazada, y, cuando el portal la publique, su identificación), las actuaciones y los documentos, estados y traslados publicados. Guarda los estados y traslados de los despachos vigilados para buscar en ellos los radicados; los abogados que siguen un proceso de ese despacho pueden abrirlos en el panel, y resumirlos con su propia inteligencia artificial (sección 9), solo para identificar o verificar las notificaciones de los procesos que su firma vigila o agregue después. De los antiguos que no mencionan ningún proceso vigilado borra el archivo tras leerlo y conserva su texto como archivo oculto en el servidor —que no entra en los respaldos de la base ni en las copias de los usuarios, y que esos mismos abogados pueden abrir en el panel con el enlace «Texto», con esa misma finalidad— para cotejar los procesos que se agreguen después: los estados y traslados son boletines oficiales que los despachos publican para notificar a las partes, y la Editora los guarda por cuenta de las Firmas usuarias que vigilan ese despacho, cuya instrucción es encontrar en ellos las notificaciones de sus procesos, también de los que agreguen después, y solo para ese fin. Se conservan con el plazo de la sección 12.

4.4 Lo que cada abogado carga, conecta o registra

• Documentos: los que sube o trae de una carpeta ligada de su Google Drive (sección 8) o de su computador, con su texto extraído, incluido el de los escaneos.
• Buzón: si lo conecta, el Servicio lee en modo de solo lectura los correos de los últimos días y guarda solo los que parecen judiciales (remitente, asunto, cuerpo, adjuntos y mensaje original); de los demás guarda solo su identificador técnico, para no volver a leerlos. Los que cruzan con un proceso entran al expediente.
• Su trabajo: plazos, avisos, notas, a quién representa y el nombre de su cliente, borradores, jurisprudencia guardada, conversaciones con la inteligencia artificial y sus resultados, lo que enseña a su cliente y sus ajustes.
• Honorarios: el plan de cobro, las cuotas, los pagos (con su referencia), los datos de quien paga (nombre, número de identificación tributaria o cédula y correo), la forma de cobro y de facturación que escribe el abogado y el contrato, que pueden contener información económica de su cliente. El Servicio no tiene campos para números de tarjeta ni para claves; lo que el abogado escriba en «Forma de cobro» o suba con el contrato —por ejemplo, una cuenta bancaria— queda guardado.
• Credenciales: las de su buzón (contraseña de aplicación), su cuenta de inteligencia artificial (Claude, de Anthropic, o ChatGPT, de OpenAI), su Google Drive (con el correo de esa cuenta) y su Lexius, si los conecta. Se guardan como dice la sección 11.1.

4.5 Datos de terceros

Los expedientes contienen datos de personas que no usan el Servicio: partes, apoderados, testigos, peritos, funcionarios y clientes de los abogados. La Editora no busca por su cuenta datos de terceros fuera de los expedientes: el Servicio solo hace las búsquedas que un usuario autorizado le pide para localizar o agregar un proceso. Tampoco usa los datos de esas personas para nada distinto de prestar el Servicio, salvo los Tratamientos del numeral 1 de la sección 3 (seguridad, cumplimiento de sus obligaciones legales y defensa de sus derechos).

4.6 Reportes de problemas

El usuario, el texto, las capturas de pantalla adjuntas, y la pantalla y el navegador desde los que se reporta. Una captura puede mostrar datos de expedientes.

4.7 Registros técnicos

Las rutas pedidas y los errores del servidor, y el historial de fases, errores y avisos de cada revisión. Los registros técnicos pueden contener radicados, nombres de archivos y lo que se busca en el panel, porque la búsqueda viaja en la dirección de la página.

4.8 Copias y base de conocimiento

• Respaldos: una copia diaria de la base de datos, en el mismo servidor, y las copias puntuales que el Administrador de la plataforma hace antes de un despliegue o de una supresión, que se borran a los catorce (14) días.
• Copia de cada abogado («Mi cuenta» → «Tu copia de seguridad»): un archivo con su propia información (base de datos filtrada, hojas de cálculo y documentos) que él descarga; queda en el servidor hasta que genera el siguiente.
• Copia del Administrador de la plataforma: su equipo recibe cada 15 minutos sus propios procesos y documentos; los documentos y una copia diaria de su base de datos filtrada quedan en una carpeta de Apple iCloud Drive.
• Base de conocimiento: notas jurídicas del Administrador de la plataforma (doctrina, normas y jurisprudencia) que los abogados y sus funciones de inteligencia artificial pueden consultar, salvo sus notas de sesión. En ella solo se escriben las notas y bitácoras de los procesos que él lleva.

La copia de cada abogado se limita a los expedientes y datos a los que él tiene acceso; no incluye datos privados de otros abogados ni expedientes de otras firmas.

4.9 Datos Sensibles y datos de menores

La Editora no pide Datos Sensibles ni datos de menores para abrir una cuenta, y responder preguntas sobre ellos es facultativo. Los expedientes sí pueden contener Datos Sensibles, como los de salud en una tutela. Se tratan como parte del expediente, por cuenta de la Firma usuaria, para prestarle el Servicio y con las restricciones de la sección 6. La ley permite tratar los Datos Sensibles necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial (artículo 6, literal d), de la Ley 1581 de 2012).

El Servicio no admite cuentas de menores de 18 años, pero puede tratar datos sobre niños, niñas y adolescentes contenidos en los expedientes (familia, tutelas). La Firma usuaria solo puede encomendar ese Tratamiento cuando es necesario para una finalidad legítima del proceso, respeta el interés superior y los derechos prevalentes del menor, cuenta con la autorización de su representante legal o con una excepción legal, y tiene en cuenta su opinión según su madurez cuando corresponde (artículo 7 de la Ley 1581 de 2012 y artículo 2.2.2.25.2.9 del Decreto 1074 de 2015). La Editora aplica acceso restringido y las instrucciones documentadas de la firma.

5. Para qué usamos los datos

1. Vigilar los procesos, normalmente dos veces al día y cuando el usuario lo pide, sujeto a la disponibilidad de los sistemas consultados, y buscar sus radicados en lo publicado.
2. Avisar de novedades y vencimientos en el panel, por correo y en el calendario privado de cada abogado.
3. Guardar y trabajar el expediente.
4. Prestar las funciones de inteligencia artificial que el abogado pide (sección 9).
5. Administrar las cuentas y cobrar el Servicio, con los periodos de actividad de cada cuenta de abogado y el informe mensual de cobro de cada firma.
6. Proteger la seguridad: controlar el acceso, frenar intentos de entrada no autorizados e investigar incidentes y abusos.
7. Dar soporte y verificar que el Servicio funcione.
8. Cumplir la ley y defender derechos.

Para los datos de los que la Editora es Responsable, la base del Tratamiento es la autorización que el Titular da al aceptar esta Política o, en una solicitud de acceso, con la casilla del formulario (artículo 9 de la Ley 1581 de 2012), cuya prueba se conserva (artículo 2.2.2.25.2.5 del Decreto 1074 de 2015); para los expedientes, la autorización o el fundamento legal de la Firma usuaria, en los términos de los párrafos siguientes; y para las personas en los Estados Unidos, este aviso.

Los datos de los portales judiciales son datos accesibles en sistemas públicos de información judicial. Que sean accesibles al público no los vuelve, por sí solo, datos de naturaleza pública (Circular Externa 002 de 2024 de la SIC, instrucción IX). La Editora los trata por cuenta de la Firma usuaria que vigila ese proceso y bajo las instrucciones de su abogado, para ese proceso y con las salvedades de la sección 3, y no los publica ni los difunde.

La Firma usuaria, como Responsable, identifica y documenta el fundamento de cada dato que carga o conecta: la autorización previa, expresa e informada del Titular o una de las excepciones del artículo 10 de la Ley 1581 de 2012, y da la información del artículo 12 cuando corresponde. El artículo 6, literal d), de esa ley cubre solo el Tratamiento de Datos Sensibles necesario para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial, y el artículo 26, literal f), solo ciertas transferencias internacionales. El mandato del abogado explica la finalidad del Tratamiento; no sustituye esos fundamentos.

Antes de cargar o conectar datos de terceros, la Firma usuaria documenta la autorización o la excepción, informa lo que exige el artículo 12, limita los datos a los necesarios para su proceso y comunica a la Editora las restricciones y las novedades (rectificaciones, datos en discusión por un reclamo). La Editora los trata conforme al Anexo y a esas instrucciones, con las salvedades de la sección 3; colabora en la atención de derechos y se abstiene de ejecutar una instrucción manifiestamente contraria a la ley hasta que la firma la aclare.

Sin los datos de la cuenta no se puede usar el Servicio; conectar el buzón, Google Drive, la inteligencia artificial, Lexius o el calendario es voluntario. La Editora no vende Datos Personales, no los usa para publicidad ni para perfilar a nadie y no entrena con ellos modelos de inteligencia artificial. El Servicio no toma decisiones automatizadas con efectos jurídicos sobre las personas: propone y avisa; el abogado decide.

6. Quién ve los datos

6.1 El muro entre firmas

Cada Firma usuaria es una unidad de trabajo. El Servicio está diseñado para que nadie de otra firma vea los datos de la suya, ni siquiera que sigue el mismo proceso; esa separación no limita el acceso administrativo de la sección 6.4. Si dos firmas siguen el mismo radicado, lo público del proceso es común y lo privado de cada una queda aparte.

6.2 Dentro de la firma

Los abogados de una firma ven y trabajan entre sí los procesos de la firma, que se reparten del Administrador de firma al senior y al junior. En un proceso compartido ven los plazos, los documentos, los borradores y la jurisprudencia que se registran en él. Los honorarios y su contrato, el buzón (los correos que cruzan con un proceso entran a su expediente), las conversaciones con la inteligencia artificial, la bandeja de avisos y las notas de cada abogado no los ven sus compañeros de firma. La excepción es el Administrador de firma, que ve en «Mi firma» los totales de los honorarios de su firma (su cartera) y los descarga en Excel: por cada proceso y cada abogado de la firma, también de una cuenta desactivada, lo pactado sin IVA, lo cobrado, lo pendiente, lo que está en mora y el saldo y el vencimiento de la próxima cuota, con totales por moneda. No ve las cuotas una a una, los pagos, quién paga, la forma de cobro o de facturación, las notas, el historial del cobro ni el contrato. Ese acceso existe solo para que la firma administre su cartera, por instrucción de la Firma usuaria, que responde de que su Administrador de firma esté autorizado para conocerla y de lo que haga con ella y con lo que descargue (Términos, secciones 6.7 y 25.10).

6.3 El cliente del abogado

Entra con su propia cuenta a un portal de solo lectura y ve únicamente lo que su abogado decide enseñarle, campo por campo. Los cambios de esa vista quedan registrados.

6.4 El Administrador de la plataforma

Es un abogado de la Editora con acceso técnico a todos los datos del Servicio: el panel con rango de administrador, el servidor y la base de datos completa. Él, y quien la Editora autorice por escrito con el mismo deber de reserva, usan ese acceso solo para administrar el Servicio, dar soporte, verificar su funcionamiento, proteger su seguridad, cumplir la ley y defender derechos. En el panel, el Administrador de la plataforma no ve los honorarios ni sus contratos, salvo los totales de los honorarios de su propia firma, con el alcance del Administrador de firma (sección 6.2); y los datos de Google Drive tienen además las reglas de la sección 8.

La Editora es una firma de abogados que litiga y puede representar a la contraparte en un proceso que un usuario vigila. Por eso no usa los datos del Servicio en la representación de ningún cliente propio, no los comunica al equipo jurídico que intervenga en un asunto adverso, y solo los comunica a los usuarios que la firma autoriza (secciones 6.2 y 6.3), a los destinatarios de las secciones 7 a 9 —los proveedores de la Editora y los que el abogado activa—, al personal autorizado de esta sección y a las autoridades, en los casos de la sección 6.5.

Si H&A o uno de sus abogados representa a una parte cuyos intereses son adversos a los de un cliente de una Firma usuaria en un asunto que esa firma vigila con el Servicio, el abogado que interviene en esa representación no accede al contenido de esa firma sobre el asunto ni participa en la administración de su cuenta: la administración se asigna a otra persona autorizada de la Editora, con las restricciones de acceso que correspondan, y la Firma usuaria puede terminar la relación sin penalidad (sección 9.3 de los Términos de servicio). Esta medida opera sin perjuicio de las obligaciones profesionales aplicables y no decide por contrato si existe o no un conflicto.

6.5 Autoridades

La Editora entrega datos a una entidad pública o administrativa cuando esta actúa en ejercicio de sus funciones legales o por orden judicial (artículo 13 de la Ley 1581 de 2012); verifica la competencia, el alcance y la validez de la solicitud, entrega solo lo pedido y, cuando la ley lo permite, avisa a la Firma usuaria afectada.

7. A dónde salen los datos

La base de datos y los archivos principales del Servicio se alojan en un servidor de Oracle Cloud Infrastructure en Bogotá (Colombia); algunos datos, copias o comunicaciones también se guardan fuera de Colombia en los casos de las secciones 7, 8, 9 y 15. Los datos salen del servidor hacia los destinos de esta sección y, además, se consultan desde donde esté cada usuario autorizado: quien entra al panel, descarga su copia, recibe una alerta por correo o abre su calendario desde otro país —incluidos los Estados Unidos— accede a ellos desde allí, y el personal autorizado de la Editora accede por conexión cifrada desde Colombia o desde los Estados Unidos. El acceso desde fuera de Colombia es circulación internacional de los datos; es una Transmisión internacional solo cuando quien accede trata los datos por cuenta de otro —por ejemplo, el personal de la Editora por cuenta de una Firma usuaria—, y entonces se rige por el Anexo.

7.1 Por decisión de cada abogado, con su propia cuenta

La Firma usuaria decide estos envíos y responde de ellos; la Editora los ejecuta por su cuenta, y cada proveedor trata lo que recibe bajo los términos de la cuenta del abogado.

7.2 Proveedores de la Editora

La Editora contrata a cada proveedor bajo sus condiciones de servicio, solo le encarga la función de la tabla y sigue respondiendo ante la Firma usuaria por lo que delega en ellos, sin perjuicio de las defensas y limitaciones válidamente aplicables. La cuenta de inteligencia artificial de la Editora es una suscripción Claude Max de Anthropic, que se rige por las condiciones de Anthropic para consumidores y no incluye un acuerdo de tratamiento de datos. La Editora tiene desactivado en ella el uso de las conversaciones para entrenar los modelos de Anthropic; aun así, según esas condiciones, Anthropic puede conservar lo que recibe y revisarlo, y usar para entrenar sus modelos lo que marque para una revisión de seguridad o lo que la Editora le envíe como comentario sobre una respuesta.

7.3 Consultas a fuentes públicas

Para vigilar, el Servicio envía radicados y números de proceso a los sistemas de la sección 4.3 y a los servicios que alojan sus archivos (como Microsoft Azure y Google). Para encontrar un proceso que quiere agregar, el abogado puede buscar en la Consulta de Procesos por el nombre de una parte: el Servicio envía ese nombre a la Rama Judicial, muestra los resultados y solo guarda el proceso que el abogado agrega. Las búsquedas de jurisprudencia y normas envían lo que escribe el usuario a las relatorías de las altas cortes, a la Cámara de Comercio de Bogotá (laudos arbitrales) y al Gestor Normativo de Función Pública. La calculadora de intereses consulta cada semana tasas públicas (Superintendencia Financiera, datos.gov.co, DANE, Banco de la República y FRED), sin Datos Personales. La página «Directorio de correos» muestra, dentro del panel, el directorio oficial de la Rama Judicial, publicado en Microsoft Power BI: al abrirla, el navegador del usuario se conecta a Microsoft, que recibe su dirección IP y los datos técnicos del navegador y puede usar sus propias cookies; el panel no le envía datos de los procesos.

Esta descripción se refiere solo al Tratamiento de datos y no afirma que las condiciones de uso de esos sistemas permitan consultas automatizadas; los riesgos del acceso a fuentes externas están en los Términos de servicio (sección 11).

8. Google Drive

• Voluntario: cada abogado conecta su propia cuenta de Google en «Mi cuenta», y Google informa al Servicio la identidad de esa cuenta.
• Solo lectura: el Servicio pide el ámbito «drive.readonly» y no escribe, cambia ni borra nada en Drive.
• Solo las carpetas ligadas: los archivos de las carpetas que el abogado liga a cada caso se copian al expediente de ese proceso, a su nombre, para leerlos y vigilarlos. Lo que desaparece de su Drive se marca como ausente.
• Qué guarda: el permiso de Google, cifrado, y el correo de la cuenta conectada.
• Uso limitado a funciones visibles: mostrar esos documentos en el expediente del abogado, leerlos, buscar en ellos y, cuando él o un compañero de firma que lleva el proceso usa una función de inteligencia artificial en ese proceso, enviarlos a la cuenta de inteligencia artificial que indica la sección 9. Con ellos no se construye ninguna otra base de datos, y no se usan para publicidad, para evaluar crédito ni para crear, entrenar o mejorar modelos de inteligencia artificial. No se venden ni se transfieren a corredores de datos; solo se comunican a los destinatarios descritos en esta Política cuando es necesario para una función que el abogado pidió, por seguridad o por obligación legal.
• Personas: el personal de la Editora no accede al contenido obtenido de Google Drive, salvo (i) con el consentimiento afirmativo del abogado para archivos concretos y con el fin de prestarle soporte; (ii) cuando sea necesario para investigar un error, un abuso, un fraude o un incidente de seguridad; o (iii) cuando lo exija la ley. Para operaciones internas no se usa contenido identificable fuera de esos casos. Salvo por seguridad o por obligación legal, los datos de Google solo se transfieren cuando es necesario para una función visible que el abogado pidió (copiar sus archivos al expediente y, cuando él o un compañero de firma que lleva el proceso usa una función de inteligencia artificial, enviarlos a la cuenta de inteligencia artificial que indica la sección 9), nunca para publicidad, venta, crédito ni entrenamiento de modelos.
• Duración: la copia se conserva mientras el abogado siga ese proceso. Quitar un documento lo saca del expediente y de lo que ve la inteligencia artificial, pero no borra su archivo: el archivo se suprime, pasando por la papelera de la sección 12, cuando el abogado desliga la carpeta de Google Drive del proceso (se suprime del expediente lo traído de ella, con su texto y su análisis; en Google Drive no se toca nada, y si se vuelve a ligar, se trae otra vez), cuando deja de seguir el proceso, cuando el proceso se borra o cuando se suprimen los datos de su cuenta. Un documento traído de una carpeta de Google Drive que sigue ligada vuelve en la siguiente sincronización mientras siga en esa carpeta: para que no vuelva, sáquelo de la carpeta en Drive o desligue la carpeta. Desconectar Google Drive en «Mi cuenta» borra el permiso guardado y pide a Google revocarlo; lo ya traído sigue en los procesos hasta una de esas cuatro cosas.
• Revocar: al desconectar Google Drive en «Mi cuenta», el Servicio borra el permiso guardado y pide a Google revocarlo. También puede revocarse en https://myaccount.google.com/permissions.
• Cambios: si cambia el uso de los datos de Google, se avisará y se pedirá aceptar una nueva versión de esta Política antes de usarlos de otra forma.

El uso que el Buscador de Estados hace de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, se ajusta a la Google API Services User Data Policy, incluidos los requisitos de Uso Limitado (Limited Use).

Declaraciones exigidas por Google, en su texto original:

Buscador de Estados' use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

The use of information received from Google Workspace scopes will adhere to the Google User Data Policy, including the Limited Use requirements.

En español, esta última: el uso de la información recibida de los ámbitos (scopes) de Google Workspace se ajustará a la Política de datos de usuario de Google, incluidos los requisitos de uso limitado.

9. Inteligencia artificial

Aplicando los criterios de idoneidad, necesidad, razonabilidad y proporcionalidad de la Circular Externa 002 de 2024 de la SIC, el Servicio usa la inteligencia artificial así:

• Solo cuando se pide: los datos van a un proveedor de inteligencia artificial solo cuando un usuario pulsa una de estas funciones: conversación, próximos pasos, informe, resumen, análisis de documentos, borrador de memorial o consulta a Lexius («Responder» o «A fondo», que siempre pasan por Claude), y en las revisiones del propio Servicio que describe la viñeta siguiente.
• Con la cuenta de cada abogado: la de Claude (Anthropic) o de ChatGPT (OpenAI) que conecta en «Mi cuenta». Mientras no conecte una, esas funciones no están disponibles para él, y la Editora no se las presta con la suya. La cuenta de inteligencia artificial de la Editora (Anthropic) solo se usa en los procesos y las consultas de H&A —los procesos que llevan el Administrador de la plataforma o un abogado de su firma, y las consultas jurídicas que el propio Administrador de la plataforma hace sin atarlas a un proceso— y para revisar, mantener y depurar el propio Servicio; nunca para hacer el trabajo de abogados de otras firmas sobre sus procesos, documentos o datos (si una revisión del Servicio tiene que mirar registros o tablas en que aparecen datos de sus expedientes, esos datos se usan solo para revisar el Servicio: sección 7.2). Ninguna tarea automática del Servicio envía datos a un proveedor de inteligencia artificial: el análisis automático de documentos está apagado y, si alguna vez se encendiera, esta Política se cambiaría antes. Las funciones que actúan sobre un documento o un correo concretos («Analizar», «Resumir») solo pueden usarse sobre los documentos de quien las pulsa o de los abogados de su firma que llevan el proceso, sobre los correos de su propio buzón y sobre los documentos públicos del juzgado.
• Qué se envía: las funciones que responden sobre un proceso (el chat, los próximos pasos, el informe, las consultas con Lexius y los borradores) envían al proveedor elegido la pregunta y el expediente del proceso tal como lo ve el abogado que las invoca, armado por el Servicio con reglas fijas: las actuaciones y el texto de los documentos del juzgado más recientes, los resúmenes de los documentos aportados que ya se analizaron (en un borrador de memorial, su texto), los plazos y las notas, recortados a un tamaño máximo, más los extractos de la base de conocimiento de la sección 4.8 que mejor casan con la pregunta; no envían el expediente de otros procesos. «Resumir» y «Analizar» envían solo el texto del documento o del correo que se resume o analiza, recortado a un tamaño máximo. Una consulta jurídica que el propio Administrador de la plataforma hace sin atarla a un proceso (con Lexius, desde la página de Jurisprudencia) envía solo su pregunta. El abogado decide cuándo invocar cada función, qué pregunta hace y qué documentos aportados quedan en el expediente (puede quitarlos antes, aunque uno traído de una carpeta de Google Drive que sigue ligada vuelve al sincronizarla, sección 8; los del juzgado forman parte del expediente), y la Firma usuaria se abstiene de enviar Datos Sensibles, datos de menores o de terceros que no sean necesarios para la tarea. El botón «Analizar N documento(s)» de la ficha analiza los documentos pendientes de quien lo pulsa y de los compañeros de firma que llevan el proceso, cada uno con la cuenta de inteligencia artificial de su dueño; nunca los contratos de honorarios. Los datos de los portales judiciales conservan las reglas de la sección 5.
• Qué hace el proveedor: trata lo que recibe bajo los términos de la cuenta del abogado. Si conserva los datos o entrena con ellos sus modelos depende del plan y de la configuración de esa cuenta, no de la Editora. Antes de conectar su inteligencia artificial, el abogado revisa en la configuración de privacidad de su cuenta si el proveedor conserva sus conversaciones o entrena con ellas, y lo desactiva si va a enviar datos de clientes o de terceros; si no puede desactivarlo, no los envía. La Editora no entrena modelos con los datos del Servicio.
• Seguridad: la sesión de cada abogado corre con su propia configuración y sin herramientas que lean o escriban en el servidor; con ChatGPT, además, dentro de un aislamiento del sistema; se aplican las medidas de la sección 11.
• Precauciones: los informes y los borradores de memoriales salen marcados como borrador, con una etiqueta de certeza por afirmación que genera el propio modelo —no es una probabilidad calibrada ni la valida un abogado de la Editora—; en todas las funciones, las fechas que no aparecen literalmente en el expediente se señalan en rojo. Son ayudas técnicas que pueden fallar: el abogado verifica fuentes, fechas, citas y conclusiones. Los resultados automatizados no son asesoría legal. Cuando H&A represente jurídicamente a alguien en un asunto separado, esta advertencia no limita los deberes profesionales de esa representación.
• Información: cualquier Titular puede pedir información sobre el Tratamiento de sus datos en estas funciones por los canales de la sección 13.3.

10. Cookies y almacenamiento en el navegador

• Dos cookies propias, estrictamente necesarias: en la versión vigente, el dominio del Servicio usa «be_sesion», que mantiene la sesión (lleva el usuario, la caducidad y una firma HMAC; dura 12 horas, o 30 días si se marca «Recordarme»), y «session», firmada, que solo lleva los mensajes de confirmación del panel de una pantalla a la siguiente y, mientras se conecta Google Drive, el estado y el código de verificación de esa conexión (como máximo diez minutos), y se borra al cerrar el navegador. Las dos son HttpOnly, Secure y SameSite=Lax.
• Almacenamiento local: en «localStorage», el tema, la letra, la lista de trabajos en curso y qué secciones dejó abiertas o cerradas; en «sessionStorage», los resultados de los trabajos largos de la pestaña y la pestaña abierta de cada proceso; en «IndexedDB» (Chrome y Edge), la referencia a la carpeta del computador que el abogado ligó a un caso.
• Nada más: ni cookies de terceros, ni analítica, ni publicidad, ni píxeles, ni fuentes externas, salvo la página de la sección 7.3. Como no hay rastreo publicitario, actualmente el Servicio no cambia su comportamiento ante las señales «Do Not Track», salvo que una norma aplicable exija lo contrario.

Estos datos pueden borrarse desde el navegador; sin la cookie de sesión hay que volver a entrar.

11. Seguridad

11.1 Medidas

Conforme al principio de seguridad del artículo 4, literal g), de la Ley 1581 de 2012, la Editora mantiene un programa de seguridad de la información proporcional a su tamaño y a la sensibilidad de los datos, concebido para cumplir la N.Y. General Business Law § 899-bb y descrito en su manual interno de políticas y procedimientos: salvaguardas administrativas (una persona a cargo del programa, el Administrador de la plataforma; revisión de los riesgos al cambiar el Servicio y tras cada incidente; personal autorizado por escrito y con deber de reserva; selección de proveedores con salvaguardas propias, contratados bajo sus condiciones de servicio (sección 7.2); supresión segura cuando los datos dejan de ser necesarios), técnicas (las de esta sección) y físicas (las del centro de datos de Oracle en Bogotá y las del equipo desde el que se administra). Las medidas técnicas son estas:

• Tránsito: cifrado en tránsito (TLS hasta el servidor de la Editora). La conexión cifrada termina en el propio servidor, el relé de Tailscale no puede descifrarla y el panel solo escucha dentro del servidor, detrás de ese túnel.
• Reposo: Oracle cifra el disco del servidor con AES de 256 bits.
• Contraseñas: solo se guarda su huella scrypt con sal; la contraseña temporal se muestra una sola vez a quien crea la cuenta o restablece su contraseña y, si la cuenta tiene correo, se envía además a ese correo, junto con el usuario (salvo en las cuentas de clientes: al crearlas, la contraseña temporal solo la ve el abogado que invita al cliente, y al restablecerla, solo quien la restablece, ese abogado o el Administrador de la plataforma); sirve solo para el primer ingreso después de expedida y para cambiarla; hay un freno de intentos por usuario y por dirección IP; y cambiar la contraseña cierra las sesiones abiertas.
• Credenciales de conexión: las claves de los buzones, el token de Claude, el permiso de Google Drive y el usuario y la contraseña de Lexius se guardan cifrados (Fernet), fuera de la carpeta del programa; la sesión de ChatGPT (Codex) y la sesión abierta de Lexius, que el programa de cada proveedor tiene que leer de su propio archivo, se guardan sin cifrar en esa misma carpeta, con acceso solo para el Servicio, y mientras dura una consulta a Lexius su usuario y su contraseña se escriben en un archivo temporal que se borra al terminar. La llave está en el mismo servidor, así que el cifrado protege frente a la exposición de copias, archivos y registros, no frente a quien entre al servidor o a la cuenta del Administrador de la plataforma.
• Navegador: dos cookies propias, firmadas y protegidas (sección 10), y una política de seguridad de contenidos con un número único por respuesta, que solo ejecuta los guiones del Servicio e impide incrustarlo en otras páginas o enviar sus formularios a otros sitios.
• Acceso: el muro entre firmas, los permisos por rol, el acceso restringido de la sección 6.4 y las sesiones de inteligencia artificial aisladas.
• Copias y trazabilidad: los respaldos de la base de datos (sección 12), el registro de accesos y los registros técnicos.

11.2 Límites del modelo de seguridad

El Servicio no tiene verificación en dos pasos. Entre el Administrador de la plataforma y los datos no hay una barrera técnica: él tiene acceso técnico a todo (sección 6.4). La llave que protege las credenciales está en el mismo servidor (sección 11.1). Y no hay una copia completa fuera del servidor: los respaldos están en él, y fuera de él solo existen la copia que cada abogado descarga y la del Administrador de la plataforma con sus propios procesos (sección 4.8).

Las medidas reducen riesgos, no los eliminan: ningún sistema conectado a internet es invulnerable, y la Editora no puede garantizar que la información esté completamente a salvo de intrusiones. La Editora revisa periódicamente la necesidad de controles adicionales —autenticación reforzada, separación de privilegios, copias fuera del servidor— y cada abogado valora si el Servicio es apropiado para la información que decide encomendarle; para eso esta Política dice dónde están los datos, quién accede a ellos, cómo se cifran y cómo se borran.

11.3 Lo que le pedimos a usted

Use una contraseña larga y exclusiva y no la comparta; no marque «Recordarme» en equipos compartidos; trate el enlace de su calendario privado como una contraseña, porque quien lo tenga ve sus vencimientos; guarde con cuidado su copia de seguridad; y revise la configuración de su cuenta de inteligencia artificial (sección 9). Los avisos salen de una cuenta de correo del dominio hoyos.law, y el Servicio no le pedirá su contraseña por correo. Si alguien pudo conocer su contraseña, cámbiela y avise de inmediato a mateo@hoyos.law con el asunto «URGENTE — incidente de seguridad» y por «Reportar un problema» (el cliente invitado, por correo), sin incluir más Datos Personales de los necesarios.

12. Conservación

Los datos se conservan el tiempo razonable y necesario para sus finalidades y luego se suprimen, salvo que la ley obligue a conservarlos (artículo 2.2.2.25.2.8 del Decreto 1074 de 2015). Las bases de datos del Servicio están vigentes mientras la Editora preste el Servicio, y cada categoría de datos se conserva solo el plazo de esta tabla.

Al terminar la relación con una firma, los respaldos, el registro de accesos, el historial de revisiones, lo público de los procesos que ya nadie sigue y lo que la ley obligue a conservar siguen su propio plazo. Lo que un usuario borra en el panel sale de la base de datos de inmediato y de los respaldos en catorce (14) días, cuando rotan las copias diarias y se borran las puntuales. Lo que el Servicio borra de su disco —los archivos de un proceso que se borra, los de un abogado que deja de seguir un proceso, lo traído de una carpeta de Google Drive que se desliga y los de una cuenta cuyos datos se suprimen— pasa a una papelera del servidor, fuera del panel y de las copias de los usuarios, durante catorce (14) días, por si se borró por error; después se suprime. El Servicio no mueve ni borra archivos fuera de su propia carpeta de documentos (no toca la carpeta del caso en el computador del abogado ni su Google Drive), salvo la nota que él mismo escribe sobre un proceso en la base de conocimiento del Administrador de la plataforma, que se borra con el proceso; tampoco borra un archivo que otro registro todavía usa; los estados y traslados guardados de los portales siguen su propio plazo (esta tabla).

Quitar un documento del expediente lo saca del expediente y de lo que ve la inteligencia artificial, pero no borra su archivo del servidor: ese archivo se suprime, pasando por la papelera, cuando el abogado deja de seguir el proceso, cuando el proceso se borra, cuando desliga la carpeta de Google Drive de la que vino o cuando se suprimen los datos de su cuenta; un documento traído de una carpeta de Google Drive que sigue ligada vuelve en la siguiente sincronización mientras siga en esa carpeta: para que no vuelva, sáquelo de la carpeta en Drive o desligue la carpeta. Si un abogado borra un proceso que otro abogado también sigue, deja de seguirlo: se suprime todo lo suyo de ese proceso —plazos, avisos, notas, conversaciones con la inteligencia artificial y sus próximos pasos, resúmenes que pidió de sus documentos, borradores, honorarios con su contrato, informes, documentos y lo que enseñaba a su cliente— y sus archivos pasan a la papelera; su jurisprudencia guardada se conserva, desligada del proceso, y los correos de su buzón siguen en su página de correos; lo público del proceso y lo de los demás abogados no cambia. Si lo borra el único abogado que lo sigue, o el Administrador de la plataforma para todos, el proceso se suprime entero: sus actuaciones, partes, documentos, estados y providencias descargados de los portales, y todo lo de cada abogado que lo seguía; sus archivos pasan a la papelera; se conservan los correos que el buzón de un abogado había archivado en él, que vuelven a su página de correos sin proceso, y la jurisprudencia guardada, desligada. Quitar una delegación saca el proceso del panel del abogado delegado y borra sus avisos de ese proceso, pero no el resto de lo suyo (plazos, notas, documentos, honorarios, informe) ni sus archivos: se conserva para la firma y vuelve si se le delega otra vez (aunque ya nadie siga el proceso: ver la tabla de esta sección), y sus plazos pendientes pasan a los abogados de su firma que siguen el proceso. Sacar un proceso de vigilancia (archivarlo) no borra nada.

A solicitud del Administrador de su firma —o del Titular, cuando se trata solo de sus datos de cuenta o la cuenta no pertenece a ninguna firma—, y con la cuenta ya desactivada, el Administrador de la plataforma suprime los datos de la cuenta: deja de seguir todos sus procesos —los que solo ella seguía sin archivar dejan de vigilarse, lo público de ellos se conserva sin vínculo con la cuenta, con el plazo de la tabla, y el Administrador de la plataforma recibe un aviso con cuáles—; se borran todas sus filas en la base de datos (plazos, avisos, notas, borradores, documentos, jurisprudencia guardada, correos de sus buzones, honorarios, informes, resúmenes, conversaciones con la inteligencia artificial y lo que enseñaba a sus clientes y, si es la cuenta de un cliente, sus accesos a los portales), sus credenciales (las de sus buzones, su inteligencia artificial, su Google Drive —a Google se le pide revocar el permiso—, su Lexius y ChatGPT), su copia de seguridad y sus reportes de problemas; sus archivos pasan a la papelera. De la cuenta queda solo lo que el cobro necesita, con el plazo de la tabla: el usuario, la firma, el rol y los periodos en que estuvo activa, sin nombre, correo, contraseña, preferencias ni constancias de aceptación (la prueba de las aceptaciones sigue en el registro de accesos). Siguen su propio plazo las líneas del registro de accesos (cinco años) y los respaldos del servidor (14 días), y se conserva lo que otros usuarios anotaron con ese usuario en sus propios registros. No se suprimen con ella las cuentas de los clientes que el abogado invitó.

La solicitud de supresión se resuelve en los plazos legales (sección 13.3). Si procede, los datos salen de los sistemas activos dentro del término del reclamo (quince (15) días hábiles, prorrogables hasta por ocho (8), artículo 15 de la Ley 1581 de 2012); en las copias de respaldo, se eliminan al rotar, en catorce (14) días. No procede mientras exista un deber legal o contractual de conservarlos, mientras sean necesarios para formular o defender una reclamación, o si la supresión afecta derechos de terceros. Una solicitud del Titular no autoriza por sí sola a borrar el contenido de los expedientes del que la Firma usuaria es Responsable: la Editora la traslada a la firma (sección 13.3) y sigue su instrucción.

13. Derechos de los Titulares y cómo ejercerlos

13.1 Derechos

Conforme al artículo 8 de la Ley 1581 de 2012, el Titular puede:

• Conocer, actualizar y rectificar sus datos frente al Responsable o al Encargado.
• Pedir prueba de su autorización, salvo cuando la ley no la exige.
• Ser informado, previa solicitud, del uso que se ha dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio («SIC») después de agotar la consulta o el reclamo (artículo 16 de la Ley 1581 de 2012).
• Revocar la autorización o pedir la supresión de sus datos, salvo que tenga un deber legal o contractual de permanecer en la base de datos (artículo 2.2.2.25.2.6 del Decreto 1074 de 2015).
• Acceder gratis a sus datos, al menos una vez cada mes calendario y cada vez que esta Política cambie de forma sustancial (artículo 2.2.2.25.4.2 del Decreto 1074 de 2015).

La Editora atiende estos derechos respecto de los datos de los que es Responsable; respecto de los que trata como Encargada, recibe la solicitud, la traslada a la Firma usuaria dentro de los dos (2) días hábiles siguientes e informa de ello al Titular, y colabora con la firma. Aplica el mismo procedimiento a quien esté fuera de Colombia, sin perjuicio de los derechos que le dé la ley de su residencia (sección 13.4).

13.2 Lo que cada usuario puede hacer en el panel

• Cada abogado: editar su correo y su apariencia; cambiar su contraseña; conectar y desconectar su buzón, su inteligencia artificial y Google Drive; borrar sus plazos, borradores, jurisprudencia guardada y conversaciones con la inteligencia artificial («Vaciar»); quitar documentos del expediente; archivar o borrar un proceso (si otro abogado lo sigue, borrarlo solo hace que él deje de seguirlo); descargar su copia de seguridad; y reportar un problema.
• Un cliente: ver su portal y cambiar su contraseña.
• Desactivar una cuenta corresponde al Administrador de la plataforma o al Administrador de firma: la cuenta deja de entrar y de recibir avisos, sus plazos pendientes pasan a los abogados de su firma que siguen cada proceso, y quien la desactiva recibe un aviso con los procesos que llevaba sola. Sus datos no se borran solos (sección 12); la supresión de una cuenta y de su contenido se pide por los canales de la sección 13.3.

13.3 Consultas y reclamos

• Canales: el correo mateo@hoyos.law y, dentro del Servicio, «Reportar un problema» o el Administrador de la plataforma.
• Quién atiende: Mateo Hoyos, Chief Executive Officer de la Editora, designado para atender las peticiones, consultas y reclamos (artículos 2.2.2.25.4.4 y 2.2.2.25.3.1, numeral 4, del Decreto 1074 de 2015).
• Quién puede pedir: el Titular, acreditando su identidad; sus causahabientes; su representante o apoderado; o quien actúe por estipulación a favor de otro (artículo 2.2.2.25.4.1 del Decreto 1074 de 2015). Por los menores de edad actúan sus representantes.
• Consultas (artículo 14 de la Ley 1581 de 2012): se responden en un máximo de diez (10) días hábiles desde su recibo. Si no es posible, se informan el motivo y la nueva fecha, que no superará los cinco (5) días hábiles siguientes al vencimiento del primer término.
• Reclamos (artículo 15 de la Ley 1581 de 2012): deben traer la identificación del Titular, los hechos, la dirección y los documentos que se quieran hacer valer. Si están incompletos, se pide completarlos dentro de los cinco (5) días siguientes a su recibo; si pasan dos (2) meses sin respuesta, se entiende que el interesado desistió. El Administrador de la plataforma registra la leyenda «reclamo en trámite» y su motivo, solo en el espacio de la Firma usuaria Responsable a la que corresponde el reclamo, dentro de los dos (2) días hábiles siguientes al recibo del reclamo completo; la ficha del proceso la muestra a los abogados de esa firma que lo siguen —también a quien de esa firma se sume mientras dure— y a cada uno le llega como alerta, nunca a otras firmas que sigan el mismo proceso; se retira cuando se decide el reclamo, y se avisa. La alerta llega en la bandeja del panel y en el correo de avisos a cada abogado de esa firma con cuenta activa que sigue ese proceso sin haberlo archivado (si no hay ninguno, al registrar la leyenda el sistema se lo informa al Administrador de la plataforma), con la fecha del registro y la indicación de no circular los datos objeto del reclamo mientras dure, y cada registro deja una línea en el registro de accesos. El Administrador de la plataforma registra del mismo modo la leyenda «información en discusión judicial», solo para esa firma, cuando una autoridad le notifique un proceso sobre la calidad del dato, y la mantiene hasta la decisión definitiva (Ley 1581 de 2012, artículo 18, literales g) y h)). Se responde en un máximo de quince (15) días hábiles desde el día siguiente a su recibo; si no es posible, se informan el motivo y la nueva fecha, que no superará los ocho (8) días hábiles siguientes al vencimiento del primer término.
• Traslados: si quien recibe un reclamo no es competente para resolverlo, lo traslada a quien corresponda dentro de los dos (2) días hábiles siguientes e informa al interesado (artículo 15 de la Ley 1581 de 2012). Así procede la Editora con las solicitudes sobre datos que trata por cuenta de una Firma usuaria: las traslada a esa firma y colabora con ella para que se respondan en los plazos de la ley.
• Datos que vienen de un portal judicial: la Editora puede corregir o suprimir la copia que guarda el Servicio, no el registro de origen, cuya rectificación se pide al despacho o a la entidad que lo publica.
• Costo: atender consultas y reclamos es gratuito en los casos que exige la ley (artículo 2.2.2.25.4.2 del Decreto 1074 de 2015); si un Titular pide lo mismo más de una vez en el mismo mes calendario, la Editora puede cobrar solo los costos de envío, reproducción o certificación, sin exceder lo que le cuesten y avisándolo antes.

13.4 Estados Unidos y otras jurisdicciones

Cuando una ley de privacidad de otra jurisdicción —incluida la de un estado de los Estados Unidos— resulte aplicable, la Editora atiende los derechos que esa ley prevea por los canales de la sección 13.3 y en sus plazos. La Editora no discrimina a nadie por ejercer sus derechos de privacidad.

14. Incidentes de seguridad

Esta sección dice qué hace la Editora si conoce un incidente que comprometa Datos Personales del Servicio, y cómo avisarle de uno.

14.1 Aviso a la Firma usuaria

La Editora avisa al Administrador de firma de la Firma usuaria afectada, o al abogado que trabaja sin firma, sin dilación indebida y, en todo caso, dentro de las setenta y dos (72) horas siguientes a tener conocimiento razonable del incidente, con lo que se sepa (qué ocurrió, qué datos y Titulares pueden estar afectados, qué se hizo y quién es el contacto); el aviso inicial puede ser preliminar y se completa a medida que se sabe más, y el Anexo fija el contenido del primer aviso.

14.2 Aviso a la Superintendencia de Industria y Comercio

La Editora reporta a la Superintendencia de Industria y Comercio las violaciones a los códigos de seguridad y los riesgos en la administración de la información de los Titulares (artículos 17, literal n), y 18, literal k), de la Ley 1581 de 2012) por el canal, con el contenido y en el plazo que fijen la Circular Única y las instrucciones de la SIC vigentes al momento del incidente.

14.3 Residentes del Estado de Nueva York

Cuando un incidente pueda constituir una violación de la seguridad del sistema («breach of the security of the system») respecto de «información privada» de residentes del Estado de Nueva York en el sentido de la N.Y. General Business Law § 899-aa —como un nombre u otro identificador junto con un número de seguridad social, de licencia de conducir o de identificación, un número de cuenta o de tarjeta con su clave, datos biométricos, información médica o de seguro de salud, o un usuario o correo con su contraseña o su pregunta de seguridad—, la Editora hace las determinaciones que exige esa ley y, si la violación debe notificarse, hace o facilita los avisos que correspondan:

• si mantiene esa información por cuenta de una Firma usuaria, que es su propietaria o licenciataria, avisa a la firma de inmediato, dentro del plazo de setenta y dos (72) horas de la sección 14.1, que es más corto que el máximo de treinta (30) días de esa ley, y colabora con ella en las notificaciones que le correspondan;
• si la propietaria o licenciataria es la Editora (como con los datos de las cuentas), avisa a los afectados de la forma más expedita posible y sin demora injustificada, y en todo caso a más tardar treinta (30) días después del descubrimiento (salvo la demora que pida una autoridad por una investigación penal); avisa también a las autoridades estatales que esa ley señala —el Fiscal General, el Departamento de Estado y la Policía del Estado de Nueva York (y al Departamento de Servicios Financieros de Nueva York solo si la Editora fuera una entidad regulada por él)— y a las agencias de informes de crédito si afecta a más de cinco mil (5.000) residentes.

14.4 Otras jurisdicciones

La Editora cumple las demás leyes de notificación de incidentes aplicables según la residencia de los afectados.

14.5 Cómo avisar de un incidente

Quien sospeche un incidente debe avisarlo de inmediato a mateo@hoyos.law con el asunto «URGENTE — incidente de seguridad» y por «Reportar un problema» (el cliente invitado, por correo), sin incluir más Datos Personales de los necesarios.

15. Transferencias y transmisiones internacionales

La base de datos y los archivos principales del Servicio se alojan en un servidor de Oracle Cloud Infrastructure en Bogotá (Colombia); algunos datos, copias o comunicaciones también se guardan fuera de Colombia en los casos de las secciones 7, 8, 9 y 15. Los datos salen del servidor hacia los Estados Unidos y otros países, o se consultan desde ellos, en los casos de la sección 7:

1. Por decisión del abogado y con su propia cuenta (sección 7.1). La Firma usuaria, como Responsable, decide esos envíos y responde de su fundamento legal; la Editora los ejecuta por su cuenta.
2. Por los proveedores de la sección 7.2. Google, Tailscale y Apple tratan los datos por cuenta de la Editora, bajo sus condiciones de servicio: son transmisiones a Encargados (artículos 2.2.2.25.5.1 y 2.2.2.25.5.2 del Decreto 1074 de 2015). Anthropic, que la Editora usa con una suscripción de consumidor sin acuerdo de tratamiento de datos, recibe los datos de los procesos y las consultas de H&A y, en las revisiones del Servicio, los que aparezcan en los registros o tablas revisados; como sus condiciones le permiten usar parte de lo que recibe para sus propios fines, esos envíos se tratan como transferencias a los Estados Unidos, país con nivel adecuado de protección según la SIC, y la Editora los reduce a lo necesario para cada tarea.
3. Por el acceso remoto de los usuarios autorizados y del personal autorizado de la Editora (introducción de la sección 7). El acceso desde fuera de Colombia es circulación internacional de los datos; es una Transmisión internacional solo cuando quien accede trata los datos por cuenta de otro —por ejemplo, el personal de la Editora por cuenta de una Firma usuaria—, y entonces se rige por el Anexo.

Las transferencias internacionales se hacen a países con nivel adecuado de protección —los Estados Unidos de América figuran en la lista de la SIC: Circular Externa 005 de 2017, Título V, Capítulo Tercero, numeral 3.2 de la Circular Única, modificada por la Circular Externa 008 de 2017— o con una excepción del artículo 26 de la Ley 1581 de 2012. La autorización del artículo 26, literal a), que cada usuario da al aceptar esta Política cubre solo los datos de su propia cuenta. Las transmisiones internacionales a los subencargados se hacen conforme al Anexo, que los autoriza, y bajo las condiciones de servicio de cada uno (sección 7.2). De los datos de los expedientes responde la Firma usuaria: documenta el fundamento de cada envío que ordena a los proveedores de la sección 7.1 y determina si es una Transmisión (el proveedor trata por cuenta de la firma) o una Transferencia (el proveedor decide finalidades propias). Frente a sus propios clientes, los procesos de la Editora se rigen también por la Declaración de Privacidad de Hoyos & Associates.

16. Menores de edad

El Servicio es solo para mayores de 18 años: si el cliente de un abogado es menor de edad, se invita a su representante legal. La Editora no crea cuentas para menores ni les pide datos, aunque sí puede tratar datos sobre ellos contenidos en expedientes, como dice la sección 4.9. Si un padre, una madre o un representante legal cree que un menor abrió una cuenta o entregó datos al Servicio, puede escribir al correo de la sección 18 para que se supriman.

17. Cambios y aceptación

• Aceptación: en su primer ingreso, antes de usar el Servicio, cada usuario marca una casilla —que no viene marcada— con la que acepta los Términos de servicio, incluido su Anexo, y autoriza el tratamiento de los datos de su cuenta conforme a esta Política, y pulsa «Aceptar y continuar». El Servicio registra en la cuenta y en el registro de accesos la versión, la fecha y la hora, la dirección IP y la huella SHA-256 completa de cada texto aceptado (el pie de cada página publicada enseña sus doce primeros caracteres). Esa aceptación es la autorización del Titular para los datos de los que la Editora es Responsable (artículo 9 de la Ley 1581 de 2012 y artículos 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto 1074 de 2015). Antes de eso, quien pide acceso autoriza con la casilla del formulario «Solicitar acceso» (sección 4.2), y de quien recibe una cuenta creada por otra persona solo se registran los datos que indica la sección 4.1.
• Integraciones: aceptar esta Política no activa ninguna integración. Cada una (buzón, Google Drive, inteligencia artificial, Lexius, calendario) se conecta con una acción separada del usuario en «Mi cuenta» —Google pide además su propio consentimiento en pantalla—, y las secciones 7 a 9 dicen qué recibe cada proveedor.
• Publicación: esta Política está publicada en español y en inglés en https://buscador-estados.tail1c476b.ts.net/privacidad, con los doce primeros caracteres de la huella SHA-256 de su texto en los dos idiomas, y su texto fuente se puede descargar en https://buscador-estados.tail1c476b.ts.net/privacidad.md.
• Cambios: cada versión nueva lleva su número y su fecha de vigencia y se anuncia antes de aplicarse por correo a cada cuenta y, al entrar, en la pantalla de aceptación, donde se vuelve a marcar la casilla. Cuando un cambio introduzca una finalidad, una categoría de datos o una divulgación nuevas, o un Tratamiento que requiera autorización, la Editora pide esa autorización por separado, además de la casilla, antes de aplicarlo al Titular; los cambios aclaratorios o exigidos por la ley se comunican sin pedir una autorización nueva cuando esta no es jurídicamente necesaria. Seguir usando el Servicio no equivale a aceptar un cambio sustancial, como uno en la identidad del Responsable, en las finalidades, en los datos que se recogen, en sus destinos o en los derechos de los Titulares (artículos 2.2.2.25.2.2 y 2.2.2.25.3.1 del Decreto 1074 de 2015). Quien no acepte una versión puede dejar de usar el Servicio y pedir la supresión de sus datos (sección 13.3).

18. Contacto y autoridades

• Atención de peticiones, consultas y reclamos: Mateo Hoyos, Chief Executive Officer, Hoyos & Associates P.C., correo mateo@hoyos.law, teléfono +1 646-527-1232, 15 MetroTech Center, piso 7, Brooklyn, Nueva York 11201, Estados Unidos.
• Dentro del Servicio: «Reportar un problema» y el Administrador de la plataforma.
• Colombia: Superintendencia de Industria y Comercio, Delegatura para la Protección de Datos Personales (https://www.sic.gov.co), una vez agotada la consulta o el reclamo ante el Responsable o el Encargado.
• Otros lugares: la autoridad de protección de datos de su lugar de residencia, si la ley aplicable le permite acudir a ella.

Privacy Policy and Personal Data Processing Policy of Buscador de Estados

Versión en español

Version 1.0 · Effective 26 September 2026

1. Who We Are and What This Policy Covers

1.1 The Publisher and the Service

Hoyos & Associates P.C. (“H&A” or the “Publisher”), a law firm organized as a Professional Corporation in the State of New York, with offices at 15 MetroTech Center, 7th Floor, Brooklyn, New York 11201, United States, e-mail mateo@hoyos.law, and telephone +1 646-527-1232, develops, publishes, and operates Buscador de Estados (the “Service”): a private web application, at https://buscador-estados.tail1c476b.ts.net, that lawyers and law firms use to monitor their Colombian court proceedings, receive alerts, and work on the case file. Only holders of an account created by the Platform Administrator, by a Firm Administrator or, for clients, by invitation of their lawyer, can sign in; access is requested through the “Solicitar acceso” (Request access) form.

1.2 What This Document Is

It is the personal data processing policy required by Colombian Statutory Law 1581 of 2012 and Article 2.2.2.25.3.1 of Decree 1074 of 2015, and the privacy notice for users in the United States. This Policy applies to the Processing of Personal Data carried out in or through the Service. Law 1581 of 2012 and its implementing regulations govern Processing carried out in Colombian territory, where the server is located, and the other cases set out in its Article 2. The server's location in Colombia does not exclude the mandatory rules of other jurisdictions with respect to certain Data Subjects, access, or incidents; for the United States, see Sections 11, 13.4, and 14.3. This is the first version; the Hoyos & Associates Privacy Statement for its website is a separate document.

1.3 Who It Applies To

Users (lawyers, law firms, their staff, and the clients a lawyer invites); anyone who requests access or reports a problem; and the individuals whose data appear in the monitored case files: parties, counsel, third parties, and the lawyers' clients.

1.4 The Service Does Not Provide Legal Services

The services provided by this application are not legal services, and the protection of a client-lawyer relationship does not exist with respect to these services. The application does not provide legal advice. All procedural deadlines, AI-generated summaries, or docket information provided are for informational purposes only, must be independently verified and confirmed by the user, and do not constitute professional legal evaluations.

For purposes of Rule 5.7 of the New York Rules of Professional Conduct (22 NYCRR Part 1200), the notice is given in Spanish and in English; its Spanish text is:

Los servicios que presta esta aplicación no son servicios legales, y respecto de ellos no existe la protección de una relación cliente-abogado. La aplicación no presta asesoría legal. Todos los plazos procesales, los resúmenes generados con inteligencia artificial y la información de expedientes que se suministran tienen fines exclusivamente informativos, deben ser verificados y confirmados por el usuario, por sus propios medios, y no constituyen evaluaciones jurídicas profesionales.

This statement is given in writing before first use and before any data are uploaded: in one line—the first sentence of the Spanish text of the statement set forth above, Spanish being the language of the interface, with a link to Section 3 of the Terms of Service—in the “Solicitar acceso” (Request access) form and on the acceptance screen, and in full, in both languages, in the Terms of Service and in this Policy. It refers to the Service's functions: it does not eliminate or reduce the obligations under a separate legal services agreement that the user or the user's client has with H&A.

The Service may contain errors: always double-check what it shows you.

Using the Service does not create an attorney-client relationship with the Publisher. Each lawyer retains professional responsibility for the lawyer's decisions and for verifying deadlines, sources, and documents; this does not limit the Publisher's obligations regarding the operation, security, and data Processing of the Service.

1.5 Languages

Both versions say the same thing. If they differ, the Spanish version prevails, since it is the version the Service presents for acceptance; neither version limits rights that cannot be waived.

2. Definitions

As used in Article 3 of Law 1581 of 2012 and Article 2.2.2.25.1.3 of Decree 1074 of 2015:

• Personal Data: information linked, or that may be associated, with identified or identifiable natural persons. Data Subject (Titular): the natural person to whom it relates.
• Processing (Tratamiento): any operation on Personal Data, such as collecting, storing, using, circulating, or deleting them.
• Data Controller (Responsable del Tratamiento, the “Controller”): whoever decides on the database or on the Processing. Data Processor (Encargado del Tratamiento, the “Processor”): whoever processes Personal Data on behalf of the Controller.
• Sensitive Data: data that affect the Data Subject's privacy or whose misuse may lead to the Data Subject's discrimination, such as data revealing racial or ethnic origin, political orientation, religious or philosophical beliefs, or membership in trade unions or in social or human rights organizations, data concerning health and sex life, and biometric data (Article 5 of Law 1581 of 2012).
• Transfer (Transferencia): sending Personal Data to another Controller. Transmission (Transmisión): communicating them to a Processor so that it processes them on behalf of the Controller.
• User Firm: the law firm, or the lawyer practicing without a firm, that uses the Service. Platform Administrator: the Publisher's lawyer who administers the Service. Firm Administrator: the person who administers the accounts and proceedings of a User Firm.

3. Who Is Responsible for Each Type of Data

The Publisher's role depends on the activity:

1. Controller. The Publisher is the Controller of accounts, access requests, authentication, access and security logs, support and problem reports, billing, records of acceptance, abuse prevention, and any Processing it carries out to comply with its own legal obligations or to defend its rights.
2. Processor. It is the Processor of the content of case files—documents, e-mails, notes, deadlines, fees, and what is obtained from public sources for the firm's case numbers—that each User Firm entrusts it to process solely to provide the Service to that firm and according to the firm's documented instructions: the Terms of Service, their annex “Condiciones de tratamiento de datos por cuenta del Usuario” (Conditions for Processing Data on Behalf of the User, the “Annex”), and what the firm's users order in the panel.
3. Its own purposes. If the Publisher were ever to determine a purpose of its own for case file information, it would be the Controller of that Processing and would disclose it here, together with its legal basis.

This classification follows the functions actually performed.

The User Firm is responsible to its clients and to third parties for having the authorization or legal basis to process the data in its case files (Section 5), and it is responsible for the integrations it activates with its own accounts (Section 7.1). The Publisher is responsible for reasonably selecting and overseeing the providers it incorporates into the Service's infrastructure (Section 7.2).

The Annex is the data transmission agreement between the User Firm and the Publisher (Articles 2.2.2.25.5.1 and 2.2.2.25.5.2 of Decree 1074 of 2015): it sets the scope of the Processing, the activities, the instructions, confidentiality and security, the handling of Data Subject rights, incidents, sub-processors, and the deletion or return of the data. The Annex is formed when it is accepted by the User Firm's legal representative or by a person with sufficient authority to bind it (Terms of Service, Section 4.2); other users' acceptance applies to their own use. At the firm's request, the Publisher provides a signed counterpart of the same agreement, for the record; that additional signature is not a condition of the agreement's effectiveness.

4. What Data We Process, About Whom, and From Where

4.1 Accounts

Username, name, e-mail, role (Platform Administrator, Firm Administrator, senior, junior, or client), firm, password hash (scrypt with salt; the password itself is not stored in clear text), status, activity periods, private calendar key, display preferences, and artificial intelligence preferences; for a client, also the lawyer who invited the client. These data are provided by the user or by whoever creates the account with the user's knowledge. When a Firm Administrator, the Platform Administrator, or a lawyer inviting a client creates an account for another person, only the data needed to open it are recorded: the username, the name, the e-mail address (if provided), the role, and the firm (or, for a client, the inviting lawyer), plus the hash of the temporary password and the account creation date. Whoever creates an account for another person represents having that person's authorization to register those data; the welcome e-mail includes the link to this Policy, and that person gives their own authorization at first sign-in, before using the Service. From the moment the account is created, the Service may send the welcome message to that person's e-mail address (with the username, the Service's address, and the temporary password—except for client accounts: when they are created, the temporary password is seen only by the lawyer inviting the client, and when it is reset, only by whoever resets it, that lawyer or the Platform Administrator), assign proceedings to that person, and send that person alerts.

4.2 Access Requests, Logins, and Acceptance

• Access requests: the name, e-mail, firm, and message of anyone who uses “Solicitar acceso” (Request access), and the IP address from which they write. Before submitting the form, the requester sees a privacy notice with the Publisher's identity and contact details, the purpose, the data requested, how long they are kept, the requester's rights under Article 8 of Law 1581 of 2012, and the link to this Policy, and authorizes the Processing by checking a box that is not pre-checked. These data are used only to decide the request and to create the account. Requests already decided—rejected or approved—are deleted ninety (90) days after the decision, and those not decided, ninety (90) days after their arrival; the record of each request (date, e-mail, and IP address) remains in the access log for its five (5)-year period, and the authorization given in the privacy notice is stored with the request, with its date and time.
• Logins and account events: date and time, event (sign-in, sign-out, failed sign-in, account creation, deactivation, reactivation, password, role, or firm change, acceptance of these texts, access request, problem report, Lexius connection (with that account's e-mail address), account deletion, claim legend, maintenance, and each e-mail sent by the panel or by the automatic reviews of the proceedings, with its recipient and subject), the user and, for sign-ins, sign-outs, failed sign-ins, requests, and acceptances, the IP address.
• Acceptance: the accepted version of this Policy and of the Terms of Service, the date and time, the IP address, and the full SHA-256 hash of each accepted text (the footer of each published page shows its first twelve characters; Section 17).

4.3 Data From Court Portals

For each monitored proceeding, the Service queries the public judicial information systems: the Rama Judicial's Consulta de Procesos, court publications portal, and SAMAI; the Constitutional Court; and the Supreme Court of Justice. It also queries a court's own site, when the court publishes outside the portal, and the document stored in OneDrive or SharePoint to which a portal publication points. It collects the case number (radicado), the court, the type of proceeding, the parties and their counsel (their names; their roles in the proceeding, such as plaintiff, defendant, or counsel; whether a party was summoned by publication; and, where the portal publishes it, their identification), the docket entries, and the documents, docket notices (estados), and notices of filings (traslados) published. It keeps the docket notices and notices of filings of the monitored courts in order to search them for case numbers; lawyers who follow a proceeding before that court can open them in the panel, and summarize them with their own artificial intelligence (Section 9), only to identify or verify the notifications of the proceedings their firm monitors or adds later. For older ones that do not mention any monitored proceeding, it deletes the file after reading it and keeps its text as a hidden file on the server—not included in the database backups or in users' copies, and which those same lawyers can open in the panel through the “Texto” (Text) link for that same purpose—to check proceedings added later: docket notices and notices of filings are official bulletins that courts publish to notify the parties, and the Publisher keeps them on behalf of the User Firms that monitor that court, whose instruction is to find in them the notifications of their proceedings, including those added later, and only for that purpose. They are kept for the period in Section 12.

4.4 What Each Lawyer Uploads, Connects, or Records

• Documents: those the lawyer uploads or brings from a linked folder in the lawyer's Google Drive (Section 8) or computer, with their extracted text, including text from scans.
• Mailbox: if connected, the Service reads, in read-only mode, the e-mails of the last few days and keeps only those that appear to be court-related (sender, subject, body, attachments, and original message); of the others it keeps only their technical identifier, so as not to read them again. Those that match a proceeding are added to the case file.
• The lawyer's work: deadlines, alerts, notes, whom the lawyer represents and the client's name, drafts, saved case law, conversations with artificial intelligence and their outputs, what the lawyer shows the client, and the lawyer's settings.
• Fees: the billing plan, installments, payments (with their reference), the payer's details (name, tax or identity number, and e-mail), the billing and invoicing method the lawyer writes, and the fee agreement, which may contain economic information about the lawyer's client. The Service has no fields for card numbers or passwords; whatever the lawyer writes in “Forma de cobro” (Billing method) or uploads with the agreement—for example, a bank account—is stored.
• Credentials: those for the lawyer's mailbox (app password), artificial intelligence account (Claude, by Anthropic, or ChatGPT, by OpenAI), Google Drive (with that account's e-mail address), and Lexius, if connected. They are stored as described in Section 11.1.

4.5 Third-Party Data

Case files contain data of people who do not use the Service: parties, counsel, witnesses, experts, public officials, and the lawyers' clients. The Publisher does not, on its own initiative, search for third parties' data outside the case files: the Service performs only the searches that an authorized user requests to locate or add a proceeding. Nor does it use those persons' data for anything other than providing the Service, except for the Processing described in item 1 of Section 3 (security, compliance with its legal obligations, and defense of its rights).

4.6 Problem Reports

The user, the text, the attached screenshots, and the screen and browser from which the report is sent. A screenshot may show case file data.

4.7 Technical Logs

Requested paths and server errors, and the log of phases, errors, and warnings of each review. Technical logs may contain case numbers, file names, and what is searched for in the panel, because the search travels in the page address.

4.8 Copies and Knowledge Base

• Backups: one daily copy of the database, on the same server, and the one-off copies the Platform Administrator makes before a deployment or a deletion, which are deleted after fourteen (14) days.
• Each lawyer's copy (“Mi cuenta” → “Tu copia de seguridad”, My account → Your backup): a file with the lawyer's own information (filtered database, spreadsheets, and documents) that the lawyer downloads; it remains on the server until the lawyer generates the next one.
• The Platform Administrator's copy: the administrator's computer receives, every 15 minutes, the administrator's own proceedings and documents; the documents and a daily copy of the administrator's filtered database are kept in an Apple iCloud Drive folder.
• Knowledge base: legal notes of the Platform Administrator (doctrine, statutes, and case law) that lawyers and their artificial intelligence functions may consult, except the administrator's session notes. Only the notes and drafting logs of the proceedings the administrator handles are written to it.

Each lawyer's copy is limited to the case files and data the lawyer has access to; it does not include other lawyers' private data or other firms' case files.

4.9 Sensitive Data and Minors' Data

The Publisher does not ask for Sensitive Data or minors' data to open an account, and answering any question about them is optional. Case files, however, may contain Sensitive Data, such as health data in a tutela (constitutional protection action). They are processed as part of the case file, on behalf of the User Firm, to provide the Service to that firm and subject to the restrictions in Section 6. The law permits the Processing of Sensitive Data necessary for the recognition, exercise, or defense of a right in judicial proceedings (Article 6(d) of Law 1581 of 2012).

The Service does not accept accounts for persons under 18, but it may process data about children and adolescents contained in case files (family law proceedings, tutelas). The User Firm may entrust that Processing only when it is necessary for a legitimate purpose of the proceeding, respects the best interests and prevailing rights of the minor, is backed by the authorization of the minor's legal representative or by a legal exception, and takes into account the minor's views according to the minor's maturity where appropriate (Article 7 of Law 1581 of 2012 and Article 2.2.2.25.2.9 of Decree 1074 of 2015). The Publisher applies restricted access and the firm's documented instructions.

5. How We Use the Data

1. Monitor proceedings, normally twice a day and whenever the user requests it, subject to the availability of the systems consulted, and search for their case numbers in what is published.
2. Alert users to new developments and deadlines in the panel, by e-mail, and in each lawyer's private calendar.
3. Store and work on the case file.
4. Provide the artificial intelligence functions the lawyer requests (Section 9).
5. Administer accounts and bill for the Service, using the activity periods of each lawyer account and each firm's monthly billing report.
6. Protect security: control access, curb unauthorized sign-in attempts, and investigate incidents and abuse.
7. Provide support and verify that the Service works.
8. Comply with the law and defend rights.

For data of which the Publisher is Controller, the basis for Processing is the authorization the Data Subject gives by accepting this Policy or, in an access request, by checking the box on the form (Article 9 of Law 1581 of 2012), proof of which is retained (Article 2.2.2.25.2.5 of Decree 1074 of 2015); for case files, the authorization or legal basis of the User Firm, as described in the following paragraphs; and for individuals in the United States, this notice.

Data from court portals are data accessible in public judicial information systems. Being accessible to the public does not, in itself, make them data of a public nature (SIC External Circular 002 of 2024, instruction IX). The Publisher processes them on behalf of the User Firm that monitors that proceeding and under the instructions of its lawyer, for that proceeding and subject to the qualifications in Section 3, and does not publish or disseminate them.

The User Firm, as Controller, identifies and documents the legal basis for each item of data it uploads or connects: the prior, express, and informed authorization of the Data Subject or one of the exceptions in Article 10 of Law 1581 of 2012, and it provides the information required by Article 12 where applicable. Article 6(d) of that Law covers only the Processing of Sensitive Data necessary for the recognition, exercise, or defense of a right in judicial proceedings, and Article 26(f) covers only certain international transfers. The lawyer's mandate explains the purpose of the Processing; it does not replace those legal bases.

Before uploading or connecting third-party data, the User Firm documents the authorization or the exception, provides the information required by Article 12, limits the data to what is necessary for its proceeding, and informs the Publisher of any restrictions and updates (rectifications, data disputed in a claim). The Publisher processes them in accordance with the Annex and those instructions, subject to the qualifications in Section 3; it cooperates in handling Data Subject rights and refrains from carrying out an instruction that is manifestly contrary to law until the firm clarifies it.

The Service cannot be used without account data; connecting a mailbox, Google Drive, artificial intelligence, Lexius, or the calendar is voluntary. The Publisher does not sell Personal Data, does not use them for advertising or to profile anyone, and does not use them to train artificial intelligence models. The Service does not make automated decisions with legal effects on individuals: it suggests and alerts; the lawyer decides.

6. Who Sees the Data

6.1 The Wall Between Firms

Each User Firm is a separate work unit. The Service is designed so that no one from another firm sees a firm's data, not even the fact that it follows the same proceeding; that separation does not limit the administrative access described in Section 6.4. If two firms follow the same case number, the public part of the proceeding is shared and each firm's private data remain separate.

6.2 Within a Firm

Lawyers of the same firm see and work on the firm's proceedings together, which are assigned from the Firm Administrator to seniors and juniors. In a shared proceeding, they see the deadlines, documents, drafts, and case law recorded in it. Each lawyer's fees and fee agreement, mailbox (e-mails that match a proceeding enter its case file), conversations with artificial intelligence, alert inbox, and notes are not visible to the lawyer's colleagues at the firm. The exception is the Firm Administrator, who sees the totals of the firm's fees (its receivables) in “Mi firma” (My firm) and downloads them in Excel: for each proceeding and each lawyer of the firm, including a deactivated account, the amount agreed without VAT, the amount collected, the amount outstanding, the amount in arrears, and the balance and due date of the next installment, with totals by currency. The Firm Administrator does not see the individual installments, the payments, who pays, the method of collection or invoicing, the notes, the collection history, or the agreement. That access exists only so that the firm can manage its receivables, on the instruction of the User Firm, which is responsible for its Firm Administrator being authorized to know them and for what that administrator does with them and with anything downloaded (Terms, Sections 6.7 and 25.10).

6.3 The Lawyer's Client

The client signs in with the client's own account to a read-only portal and sees only what the lawyer chooses to show, field by field. Changes to that view are logged.

6.4 The Platform Administrator

The Platform Administrator is a lawyer of the Publisher with technical access to all data in the Service: the panel with administrator rights, the server, and the complete database. The administrator, and anyone the Publisher authorizes in writing under the same duty of confidentiality, use that access solely to administer the Service, provide support, verify that it works, protect its security, comply with the law, and defend rights. In the panel, the Platform Administrator does not see fees or fee agreements, except the fee totals of the Platform Administrator's own firm, within the Firm Administrator's scope (Section 6.2); and data from Google Drive are also subject to the rules in Section 8.

The Publisher is a law firm that litigates and may represent the opposing party in a proceeding a user monitors. For that reason, it does not use the Service's data in representing any of its own clients, does not share them with the legal team working on an adverse matter, and shares them only with the users the firm authorizes (Sections 6.2 and 6.3), with the recipients described in Sections 7 to 9 (the Publisher's providers and those the lawyer activates), with the authorized personnel described in this section, and with authorities, in the cases described in Section 6.5.

If H&A or one of its lawyers represents a party whose interests are adverse to those of a client of a User Firm in a matter that the firm monitors with the Service, the lawyer involved in that representation does not access that firm's content on the matter or take part in administering its account: administration is assigned to another authorized person at the Publisher, with the appropriate access restrictions, and the User Firm may end the relationship without penalty (Section 9.3 of the Terms of Service). This measure applies without prejudice to the applicable professional obligations and does not determine by contract whether or not a conflict exists.

6.5 Authorities

The Publisher discloses data to a public or administrative entity acting in the exercise of its legal functions, or under a court order (Article 13 of Law 1581 of 2012); it verifies the competence, scope, and validity of the request, discloses only what is requested and, where the law permits, notifies the affected User Firm.

7. Where the Data Goes

The Service's database and main files are hosted on an Oracle Cloud Infrastructure server in Bogotá (Colombia); some data, copies, or communications are also stored outside Colombia in the cases in Sections 7, 8, 9, and 15. Data leave the server for the destinations described in this section and are also accessed from wherever each authorized user is: anyone who signs in to the panel, downloads a copy, receives an e-mail alert, or opens their calendar from another country, including the United States, accesses them from there, and the Publisher's authorized personnel access them over an encrypted connection from Colombia or from the United States. Access from outside Colombia is international circulation of the data; it is an international Transmission only when whoever accesses the data processes them on another's behalf—for example, the Publisher's personnel on behalf of a User Firm—and it is then governed by the Annex.

7.1 By Each Lawyer's Decision, With the Lawyer's Own Account

The User Firm decides these transmissions and is responsible for them; the Publisher carries them out on its behalf, and each provider processes what it receives under the terms of the lawyer's account.

7.2 The Publisher's Providers

The Publisher engages each provider under its terms of service, entrusts it only with the function in the table, and remains responsible to the User Firm for what it delegates to them, without prejudice to the defenses and limitations that validly apply. The Publisher's artificial intelligence account is an Anthropic Claude Max subscription, governed by Anthropic's consumer terms, which do not include a data processing agreement. The Publisher has disabled in it the use of conversations to train Anthropic's models; even so, under those terms, Anthropic may retain and review what it receives, and may use to train its models what it flags for a safety review or what the Publisher sends it as feedback on a response.

7.3 Queries to Public Sources

To monitor proceedings, the Service sends case numbers to the systems in Section 4.3 and to the services that host their files (such as Microsoft Azure and Google). To find a proceeding the lawyer wants to add, the lawyer may search the Consulta de Procesos by the name of a party: the Service sends that name to the Rama Judicial, displays the results, and stores only the proceeding the lawyer adds. Case law and statute searches send what the user types to the case law databases (relatorías) of the high courts, the Bogotá Chamber of Commerce (arbitral awards), and the Gestor Normativo of Función Pública. The interest calculator queries public rates every week (Superintendencia Financiera, datos.gov.co, DANE, Banco de la República, and FRED), without Personal Data. The “Directorio de correos” (E-mail directory) page shows, inside the panel, the Judicial Branch's official directory published on Microsoft Power BI: when it is opened, the user's browser connects to Microsoft, which receives the IP address and the browser's technical data and may use its own cookies; the panel sends it no proceeding data.

This description refers only to data Processing and does not assert that the terms of use of those systems permit automated queries; the risks of accessing external sources are addressed in the Terms of Service (Section 11).

8. Google Drive

• Voluntary: each lawyer connects the lawyer's own Google account in “Mi cuenta” (My account), and Google informs the Service of that account's identity.
• Read-only: the Service requests the “drive.readonly” scope and does not write, change, or delete anything in Drive.
• Linked folders only: files in the folders the lawyer links to each case are copied to that proceeding's case file, in the lawyer's name, to be read and monitored. Anything that disappears from the lawyer's Drive is marked as missing.
• What is stored: Google's authorization, encrypted, and the e-mail address of the connected account.
• Use limited to visible features: displaying those documents in the lawyer's case file, reading them, searching them and, when the lawyer or a firm colleague who handles the proceeding uses an artificial intelligence function in that proceeding, sending them to the artificial intelligence account indicated in Section 9. No other database is built with them, and they are not used for advertising, to assess creditworthiness, or to create, train, or improve artificial intelligence models. They are not sold or transferred to data brokers; they are shared only with the recipients described in this Policy when necessary for a function the lawyer requested, for security purposes, or to comply with a legal obligation.
• People: the Publisher's personnel do not access content obtained from Google Drive except (i) with the lawyer's affirmative consent for specific files and for the purpose of providing support to the lawyer; (ii) when necessary to investigate a bug, abuse, fraud, or a security incident; or (iii) when required by law. Outside those cases, no identifiable content is used for internal operations. Except for security purposes or to comply with a legal obligation, Google data are transferred only when necessary for a visible function the lawyer requested (copying the lawyer's files to the case file and, when the lawyer or a firm colleague who handles the proceeding uses an artificial intelligence function, sending them to the artificial intelligence account indicated in Section 9), never for advertising, sale, credit, or model training.
• Duration: the copy is kept while the lawyer follows that proceeding. Removing a document takes it out of the case file and out of what the artificial intelligence sees, but does not delete its file: the file is deleted, through the trash described in Section 12, when the lawyer unlinks the Google Drive folder from the proceeding (what was brought from it is removed from the case file, with its text and analysis; nothing is touched in Google Drive, and if the folder is linked again, its files are brought again), when the lawyer stops following the proceeding, when the proceeding is deleted, or when the data of the lawyer's account are deleted. A document brought from a Google Drive folder that is still linked returns at the next synchronization for as long as it remains in that folder: to keep it out, remove it from the folder in Drive or unlink the folder. Disconnecting Google Drive in “Mi cuenta” (My account) deletes the stored authorization and asks Google to revoke it; what was already brought stays in the proceedings until one of those four things happens.
• Revocation: when the lawyer disconnects Google Drive in “Mi cuenta” (My account), the Service deletes the stored authorization and asks Google to revoke it. It can also be revoked at https://myaccount.google.com/permissions.
• Changes: if the use of Google data changes, users will be notified and asked to accept a new version of this Policy before the data are used in a different way.

Buscador de Estados' use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Statement required by Google for Google Workspace scopes, in its original text:

The use of information received from Google Workspace scopes will adhere to the Google User Data Policy, including the Limited Use requirements.

In Spanish: el uso de la información recibida de los ámbitos (scopes) de Google Workspace se ajustará a la Política de datos de usuario de Google, incluidos los requisitos de uso limitado.

9. Artificial Intelligence

Applying the criteria of suitability, necessity, reasonableness, and proportionality in SIC External Circular 002 of 2024, the Service uses artificial intelligence as follows:

• Only on request: data are sent to an artificial intelligence provider only when a user triggers one of these functions: conversation, next steps, report, summary, document analysis, draft filing, or a Lexius query (“Responder”, Answer, or “A fondo”, In depth, which always go through Claude), and in the reviews of the Service itself described in the next item.
• With each lawyer's own account: the Claude (Anthropic) or ChatGPT (OpenAI) account the lawyer connects in “Mi cuenta” (My account). Until the lawyer connects one, those functions are not available to the lawyer, and the Publisher does not provide them with its own account. The Publisher's artificial intelligence account (Anthropic) is used only in H&A's proceedings and consultations—the proceedings handled by the Platform Administrator or by a lawyer of the Administrator's firm, and the legal consultations the Platform Administrator makes without tying them to a proceeding—and to review, maintain, and debug the Service itself; never to do the work of lawyers of other firms on their proceedings, documents, or data (if a review of the Service needs to look at logs or tables in which data from their case files appear, those data are used only to review the Service: Section 7.2). No automated task of the Service sends data to an artificial intelligence provider: automatic document analysis is turned off and, should it ever be turned on, this Policy would be changed beforehand. Functions that act on a specific document or e-mail (“Analizar”, Analyze; “Resumir”, Summarize) can be used only on the documents of whoever clicks them or of the lawyers of that person's firm who handle the proceeding, on the e-mails of that person's own mailbox, and on the court's public documents.
• What is sent: the functions that answer about a proceeding (the chat, next steps, the report, Lexius consultations, and draft filings) send the chosen provider the question and the proceeding's case file as seen by the lawyer who invokes them, assembled by the Service under fixed rules: the most recent docket entries and court documents' text, the summaries of the contributed documents already analyzed (in a draft filing, their text), deadlines, and notes, trimmed to a maximum size, plus the excerpts from the knowledge base in Section 4.8 that best match the question; they do not send the case files of other proceedings. “Resumir” (Summarize) and “Analizar” (Analyze) send only the text of the document or e-mail being summarized or analyzed, trimmed to a maximum size. A legal consultation that the Platform Administrator makes without tying it to a proceeding (with Lexius, from the case law page) sends only the question. The lawyer decides when to invoke each function, what question to ask, and which contributed documents remain in the case file (and may remove them beforehand, although one brought from a Google Drive folder that is still linked returns when the folder is synchronized, Section 8; the court's documents are part of the case file), and the User Firm refrains from sending Sensitive Data, minors' data, or third-party data that are not necessary for the task. The “Analizar N documento(s)” (Analyze N documents) button on the case page analyzes the pending documents of whoever clicks it and of the firm colleagues who handle the proceeding, each with its owner's artificial intelligence account; never fee agreements. Data from court portals remain subject to the rules in Section 5.
• What the provider does: it processes what it receives under the terms of the lawyer's account. Whether it retains the data or uses them to train its models depends on that account's plan and settings, not on the Publisher. Before connecting an artificial intelligence account, the lawyer checks its privacy settings to see whether the provider retains conversations or trains on them, and disables that use if the lawyer will send clients' or third parties' data; if it cannot be disabled, the lawyer does not send such data. The Publisher does not train models with the Service's data.
• Security: each lawyer's session runs with its own configuration and no tools that read or write on the server; with ChatGPT, also inside a system sandbox; the measures in Section 11 apply.
• Precautions: reports and draft filings are marked as drafts, with a certainty label for each statement generated by the model itself (it is not a calibrated probability, and no lawyer of the Publisher validates it); in every function, dates that do not appear verbatim in the case file are flagged in red. These are technical aids that can fail: the lawyer verifies sources, dates, citations, and conclusions. Automated outputs are not legal advice. Where H&A legally represents someone in a separate matter, this disclaimer does not limit the professional duties of that representation.
• Information: any Data Subject may request information about the Processing of their data in these functions through the channels in Section 13.3.

10. Cookies and Browser Storage

• Two strictly necessary first-party cookies: in the current version, the Service's domain uses “be_sesion”, which keeps the session (it carries the user, the expiry, and an HMAC signature; it lasts 12 hours, or 30 days if “Recordarme” (Remember me) is checked), and “session”, signed, which only carries the panel's confirmation messages from one screen to the next and, while Google Drive is being connected, that connection's state and verification code (for at most ten minutes), and is deleted when the browser is closed. Both are HttpOnly, Secure, and SameSite=Lax.
• Local storage: in “localStorage”, the theme, the font, the list of jobs in progress, and which sections were left open or closed; in “sessionStorage”, the results of the tab's long-running jobs and the open tab of each proceeding; in “IndexedDB” (Chrome and Edge), the reference to the computer folder the lawyer linked to a case.
• Nothing else: no third-party cookies, analytics, advertising, pixels, or external fonts, except the page described in Section 7.3. Because there is no advertising tracking, the Service currently does not change its behavior in response to “Do Not Track” signals, unless an applicable rule requires otherwise.

These data can be cleared from the browser; without the session cookie, the user must sign in again.

11. Security

11.1 Measures

Consistent with the security principle in Article 4(g) of Law 1581 of 2012, the Publisher maintains an information security program proportionate to its size and to the sensitivity of the data, designed to comply with N.Y. General Business Law § 899-bb and described in its internal manual of policies and procedures: administrative safeguards (a person in charge of the program, the Platform Administrator; risk review when the Service changes and after each incident; personnel authorized in writing and bound by confidentiality; selection of providers with their own safeguards, engaged under their terms of service (Section 7.2); secure deletion when data are no longer needed), technical safeguards (those in this section), and physical safeguards (those of Oracle's data center in Bogotá and of the equipment from which the Service is administered). The technical measures are these:

• In transit: encryption in transit (TLS up to the Publisher's server). The encrypted connection terminates on the server itself, the Tailscale relay cannot decrypt it, and the panel listens only inside the server, behind that tunnel.
• At rest: Oracle encrypts the server's disk with 256-bit AES.
• Passwords: only their scrypt hash with salt is stored; the temporary password is shown once to whoever creates the account or resets its password and, if the account has an e-mail address, is also sent to that address together with the username (except for client accounts: when they are created, the temporary password is seen only by the lawyer inviting the client, and when it is reset, only by whoever resets it, that lawyer or the Platform Administrator); it only serves for the first sign-in after it is issued and to change it; sign-in attempts are throttled by user and by IP address; and changing the password ends open sessions.
• Connection credentials: mailbox passwords, the Claude token, the Google Drive authorization, and the Lexius username and password are stored encrypted (Fernet), outside the program folder; the ChatGPT (Codex) session and the open Lexius session, which each provider's program must read from its own file, are stored unencrypted in that same folder, accessible only to the Service, and while a Lexius query runs its username and password are written to a temporary file that is deleted at the end. The key is on the same server, so encryption protects against exposure of copies, files, and logs, not against someone who gets into the server or into the Platform Administrator's account.
• Browser: two signed and protected first-party cookies (Section 10), and a content security policy with a unique number per response, which runs only the Service's own scripts and prevents embedding it in other pages or sending its forms to other sites.
• Access: the wall between firms, role-based permissions, the restricted access described in Section 6.4, and isolated artificial intelligence sessions.
• Copies and traceability: the database backups (Section 12), the access log, and technical logs.

11.2 Limits of the Security Model

The Service does not have two-step verification. There is no technical barrier between the Platform Administrator and the data: the administrator has technical access to everything (Section 6.4). The key that protects credentials is on the same server (Section 11.1). And there is no complete copy outside the server: backups are on it, and the only copies outside it are the one each lawyer downloads and the Platform Administrator's copy of the administrator's own proceedings (Section 4.8).

The measures reduce risks; they do not eliminate them: no system connected to the Internet is invulnerable, and the Publisher cannot guarantee that information is completely safe from intrusion. The Publisher periodically reviews the need for additional controls (stronger authentication, separation of privileges, copies outside the server), and each lawyer assesses whether the Service is appropriate for the information the lawyer decides to entrust to it; that is why this Policy states where the data are, who accesses them, how they are encrypted, and how they are deleted.

11.3 What We Ask of You

Use a long, unique password and do not share it; do not check “Recordarme” (Remember me) on shared devices; treat your private calendar link like a password, because whoever has it sees your deadlines; keep your backup copy safe; and review your artificial intelligence account settings (Section 9). Alerts come from an e-mail account in the hoyos.law domain, and the Service will not ask for your password by e-mail. If someone may have learned your password, change it and report it immediately to mateo@hoyos.law with the subject line “URGENTE — incidente de seguridad” or “URGENT — security incident” and through “Reportar un problema” (Report a problem; an invited client, by e-mail), without including more Personal Data than necessary.

12. Retention

Data are kept for the time that is reasonable and necessary for their purposes and then deleted, unless the law requires keeping them (Article 2.2.2.25.2.8 of Decree 1074 of 2015). The Service's databases remain in force for as long as the Publisher provides the Service, and each category of data is kept only for the period in this table.

When the relationship with a firm ends, backups, the access log, the review history, the public part of proceedings no one follows any longer, and whatever the law requires to be kept follow their own periods. What a user deletes in the panel leaves the database immediately and leaves the backups within fourteen (14) days, when the daily copies rotate and the one-off copies are deleted. What the Service deletes from its disk—the files of a proceeding that is deleted, those of a lawyer who stops following a proceeding, what was brought from a Google Drive folder that is unlinked, and those of an account whose data are deleted—goes to a trash folder on the server, outside the panel and the users' copies, for fourteen (14) days, in case it was deleted by mistake; after that it is deleted. The Service does not move or delete files outside its own documents folder (it does not touch the case folder on the lawyer's computer or the lawyer's Google Drive), except the note it writes itself about a proceeding in the Platform Administrator's knowledge base, which is deleted with the proceeding; nor does it delete a file that another record still uses; the docket notices and notices of filings saved from the portals follow their own period (this table).

Removing a document from the case file takes it out of the case file and out of what the artificial intelligence sees, but does not delete its file from the server: that file is deleted, through the trash, when the lawyer stops following the proceeding, when the proceeding is deleted, when the lawyer unlinks the Google Drive folder it came from, or when the data of the lawyer's account are deleted; a document brought from a Google Drive folder that is still linked returns at the next synchronization for as long as it remains in that folder: to keep it out, remove it from the folder in Drive or unlink the folder. If a lawyer deletes a proceeding that another lawyer also follows, the lawyer stops following it: everything of that lawyer in that proceeding is deleted—deadlines, alerts, notes, artificial intelligence conversations and next steps, summaries requested of its documents, drafts, fees with their agreement, reports, documents, and what was shown to the client—and the lawyer's files go to the trash; the lawyer's saved case law is kept, unlinked from the proceeding, and the e-mails from the lawyer's mailbox remain on the lawyer's e-mail page; the public part of the proceeding and the other lawyers' work do not change. If the only lawyer who follows it deletes it, or the Platform Administrator deletes it for everyone, the proceeding is deleted entirely: its docket entries, parties, documents, docket notices and decisions downloaded from the portals, and everything of each lawyer who followed it; its files go to the trash; the e-mails that a lawyer's mailbox had filed under it are kept and return to that lawyer's e-mail page without a proceeding, as is the saved case law, unlinked. Removing a delegation takes the proceeding out of the delegated lawyer's panel and deletes that lawyer's alerts for it, but not the rest of that lawyer's work (deadlines, notes, documents, fees, report) or files: it is kept for the firm and returns if the proceeding is delegated again (even if no one follows the proceeding any longer: see the table in this Section), and the lawyer's pending deadlines pass to the lawyers of the same firm who follow the proceeding. Taking a proceeding out of monitoring (archiving it) deletes nothing.

At the request of the firm's Firm Administrator—or of the Data Subject, when only the account data are concerned or the account belongs to no firm—and once the account is deactivated, the Platform Administrator deletes the account's data: the account stops following all its proceedings (those that only it followed without archiving stop being monitored, their public part is kept without any link to the account, for the period in the table, and the Platform Administrator receives a notice listing them); all its rows in the database are deleted (deadlines, alerts, notes, drafts, documents, saved case law, e-mails from its mailboxes, fees, reports, summaries, artificial intelligence conversations, and what it showed to its clients and, for a client's account, its portal accesses), together with its credentials (those of its mailboxes, its artificial intelligence, its Google Drive—Google is asked to revoke the permission—, its Lexius, and ChatGPT), its backup copy, and its problem reports; its files go to the trash. Of the account only what billing needs remains, for the period in the table: the username, the firm, the role, and the periods in which it was active, without name, e-mail, password, preferences, or acceptance records (the proof of acceptances remains in the access log). The access-log lines (five years) and the server backups (14 days) follow their own periods, and what other users recorded with that username in their own records is kept. The accounts of the clients the lawyer invited are not deleted with it.

A deletion request is resolved within the legal time limits (Section 13.3). If deletion is appropriate, the data leave active systems within the claim period (fifteen (15) business days, extendable by up to eight (8), Article 15 of Law 1581 of 2012); in the backup copies, they are deleted as the copies rotate, within fourteen (14) days. Deletion is not appropriate while there is a legal or contractual duty to keep the data, while they are needed to bring or defend a claim, or if deletion would affect third parties' rights. A Data Subject's request does not, by itself, authorize deleting case file content for which the User Firm is the Controller: the Publisher forwards it to the firm (Section 13.3) and follows its instruction.

13. Data Subject Rights and How to Exercise Them

13.1 Rights

Under Article 8 of Law 1581 of 2012, the Data Subject may:

• Know, update, and rectify their data vis-à-vis the Controller or the Processor.
• Request proof of their authorization, except where the law does not require it.
• Be informed, upon request, of the use made of their data.
• File complaints with the Superintendence of Industry and Commerce (Superintendencia de Industria y Comercio, “SIC”) after exhausting the consultation or claim procedure (Article 16 of Law 1581 of 2012).
• Revoke the authorization or request deletion of their data, unless they have a legal or contractual duty to remain in the database (Article 2.2.2.25.2.6 of Decree 1074 of 2015).
• Access their data free of charge, at least once every calendar month and whenever this Policy changes substantially (Article 2.2.2.25.4.2 of Decree 1074 of 2015).

The Publisher handles these rights for data of which it is the Controller; for data it processes as Processor, it receives the request, forwards it to the User Firm within two (2) business days, informs the Data Subject accordingly, and cooperates with the firm. It applies the same procedure to anyone outside Colombia, without prejudice to the rights granted by the law of their place of residence (Section 13.4).

13.2 What Each User Can Do in the Panel

• Each lawyer: edit the e-mail address and display preferences; change the password; connect and disconnect the mailbox, artificial intelligence, and Google Drive; delete the lawyer's deadlines, drafts, saved case law, and conversations with artificial intelligence (“Vaciar”, Clear); remove documents from the case file; archive or delete a proceeding (if another lawyer follows it, deleting it only makes the lawyer stop following it); download the lawyer's backup copy; and report a problem.
• A client: view the portal and change the password.
• Deactivating an account is done by the Platform Administrator or the Firm Administrator: the account can no longer sign in or receive alerts, its pending deadlines pass to the lawyers of its firm who follow each proceeding, and whoever deactivates it receives a notice listing the proceedings it handled alone. Its data are not deleted automatically (Section 12); deletion of an account and its content is requested through the channels in Section 13.3.

13.3 Consultations and Claims

• Channels: e-mail to mateo@hoyos.law and, within the Service, “Reportar un problema” (Report a problem) or the Platform Administrator.
• Who handles requests: Mateo Hoyos, Chief Executive Officer of the Publisher, designated to handle petitions, consultations, and claims (Articles 2.2.2.25.4.4 and 2.2.2.25.3.1, item 4, of Decree 1074 of 2015).
• Who may submit: the Data Subject, upon proof of identity; their successors; their representative or attorney-in-fact; or anyone acting under a stipulation for the benefit of another (Article 2.2.2.25.4.1 of Decree 1074 of 2015). Minors act through their representatives.
• Consultations (Article 14 of Law 1581 of 2012): answered within a maximum of ten (10) business days from receipt. If that is not possible, the requester is told the reason and the new date, which will not exceed five (5) business days after the first term expires.
• Claims (Article 15 of Law 1581 of 2012): must include the Data Subject's identification, the facts, the address, and any supporting documents. If a claim is incomplete, the requester is asked to complete it within five (5) days of receipt; if two (2) months pass without a response, the claim is deemed withdrawn. The Platform Administrator records the legend “reclamo en trámite” (claim in process) and its grounds, only in the space of the User Firm that is the Controller to which the claim relates, within two (2) business days after receipt of the complete claim; the proceeding's page shows it to that firm's lawyers who follow the proceeding—including anyone from that firm who joins while it lasts—and each of them receives it as an alert, never to other firms that follow the same proceeding; it is withdrawn when the claim is decided, and notice is given. The alert reaches, in the panel inbox and in the alert e-mail, every lawyer of that firm with an active account who follows that proceeding without having archived it (if there is none, the system informs the Platform Administrator of that when the legend is registered), with the date of the record and the instruction not to circulate the data covered by the claim while it lasts, and each record leaves a line in the access log. The Platform Administrator records the legend “información en discusión judicial” (information under judicial dispute) in the same way, for that firm only, when an authority notifies the Publisher of a proceeding concerning the quality of the data, and keeps it until the final decision (Law 1581 of 2012, Article 18, subsections g) and h)). The claim is answered within a maximum of fifteen (15) business days from the day after receipt; if that is not possible, the requester is told the reason and the new date, which will not exceed eight (8) business days after the first term expires.
• Forwarding: if whoever receives a claim is not competent to resolve it, they forward it to the appropriate party within two (2) business days and inform the requester (Article 15 of Law 1581 of 2012). The Publisher proceeds this way with requests about data it processes on behalf of a User Firm: it forwards them to that firm and cooperates with it so that they are answered within the legal deadlines.
• Data from a court portal: the Publisher can correct or delete the copy kept by the Service, not the source record, whose rectification must be requested from the court or entity that publishes it.
• Cost: consultations and claims are handled free of charge in the cases required by law (Article 2.2.2.25.4.2 of Decree 1074 of 2015); if a Data Subject makes the same request more than once in the same calendar month, the Publisher may charge only shipping, reproduction, or certification costs, not exceeding its actual costs and with prior notice.

13.4 The United States and Other Jurisdictions

Where a privacy law of another jurisdiction, including that of a U.S. state, applies, the Publisher handles the rights that law provides through the channels in Section 13.3 and within its time limits. The Publisher does not discriminate against anyone for exercising their privacy rights.

14. Security Incidents

This section describes what the Publisher does if it becomes aware of an incident that compromises Personal Data in the Service, and how to report one to it.

14.1 Notice to the User Firm

The Publisher notifies the Firm Administrator of the affected User Firm, or the lawyer practicing without a firm, without undue delay and, in any event, within seventy-two (72) hours after becoming reasonably aware of the incident, with the information then available (what happened, which data and Data Subjects may be affected, what was done, and who the contact person is); the initial notice may be preliminary and is supplemented as more becomes known, and the Annex sets the content of the first notice.

14.2 Notice to the Superintendence of Industry and Commerce

The Publisher reports to the Superintendence of Industry and Commerce violations of security codes and risks in the management of Data Subjects' information (Articles 17(n) and 18(k) of Law 1581 of 2012) through the channel, with the content, and within the time limit set by the Circular Única and the SIC's instructions in force at the time of the incident.

14.3 New York State Residents

Where an incident may constitute a breach of the security of the system with respect to “private information” of New York State residents within the meaning of N.Y. General Business Law § 899-aa—such as a name or other identifier combined with a Social Security number, a driver's license or identification card number, an account or card number with its access code, biometric data, medical or health insurance information, or a username or e-mail address with its password or security question—the Publisher makes the determinations that law requires and, if the breach must be notified, gives or facilitates the corresponding notices:

• if it maintains that information on behalf of a User Firm, which owns or licenses it, it notifies the firm immediately, within the seventy-two (72)-hour period in Section 14.1, which is shorter than the thirty (30)-day maximum under that law, and cooperates with the firm in the notifications that fall to it;
• if the Publisher owns or licenses the information (as with account data), it notifies the affected individuals in the most expedient time possible and without unreasonable delay, and in any event no later than thirty (30) days after discovery (except for any delay requested by a law enforcement agency for a criminal investigation); it also notifies the state authorities that the law designates—the New York Attorney General, Department of State, and Division of State Police (and the Department of Financial Services only if the Publisher were an entity it regulates)—and, if more than five thousand (5,000) residents are affected, the consumer reporting agencies.

14.4 Other Jurisdictions

The Publisher complies with other applicable incident notification laws based on the residence of the affected individuals.

14.5 How to Report an Incident

Anyone who suspects an incident should report it immediately to mateo@hoyos.law with the subject line “URGENTE — incidente de seguridad” or “URGENT — security incident” and through “Reportar un problema” (Report a problem; an invited client, by e-mail), without including more Personal Data than necessary.

15. International Transfers and Transmissions

The Service's database and main files are hosted on an Oracle Cloud Infrastructure server in Bogotá (Colombia); some data, copies, or communications are also stored outside Colombia in the cases in Sections 7, 8, 9, and 15. Data leave the server for the United States and other countries, or are accessed from them, in the cases described in Section 7:

1. By the lawyer's decision and with the lawyer's own account (Section 7.1). The User Firm, as Controller, decides those transmissions and is responsible for their legal basis; the Publisher carries them out on its behalf.
2. Through the providers in Section 7.2. Google, Tailscale, and Apple process the data on the Publisher's behalf, under their terms of service: these are Transmissions to Processors (Articles 2.2.2.25.5.1 and 2.2.2.25.5.2 of Decree 1074 of 2015). Anthropic, which the Publisher uses through a consumer subscription without a data processing agreement, receives the data of H&A's proceedings and consultations and, in reviews of the Service, the data appearing in the logs or tables reviewed; since its terms allow it to use part of what it receives for its own purposes, those disclosures are treated as Transfers to the United States, a country with an adequate level of protection according to the SIC, and the Publisher limits them to what each task needs.
3. Through remote access by authorized users and by the Publisher's authorized personnel (introduction to Section 7). Access from outside Colombia is international circulation of the data; it is an international Transmission only when whoever accesses the data processes them on another's behalf—for example, the Publisher's personnel on behalf of a User Firm—and it is then governed by the Annex.

International transfers are made to countries with an adequate level of protection (the United States of America is on the SIC's list: SIC External Circular 005 of 2017, Title V, Chapter Three, item 3.2 of the Circular Única, as amended by External Circular 008 of 2017) or under an exception in Article 26 of Law 1581 of 2012. The authorization under Article 26(a) that each user gives by accepting this Policy covers only the data of that user's own account. International Transmissions to sub-processors are made in accordance with the Annex, which authorizes them, and under the terms of service of each of them (Section 7.2). The User Firm is responsible for the data in its case files: it documents the legal basis for each disclosure it directs to the providers in Section 7.1 and determines whether it is a Transmission (the provider processes on the firm's behalf) or a Transfer (the provider determines its own purposes). With respect to its own clients, the Publisher's proceedings are also governed by the Hoyos & Associates Privacy Statement.

16. Minors

The Service is only for persons 18 years of age or older: if a lawyer's client is a minor, the minor's legal representative is invited. The Publisher does not create accounts for minors or ask them for data, although it may process data about them contained in case files, as described in Section 4.9. If a parent or legal guardian believes that a minor opened an account or provided data to the Service, they may write to the e-mail address in Section 18 to have the data deleted.

17. Changes and Acceptance

• Acceptance: upon first sign-in, before using the Service, each user checks a box—not pre-checked—by which the user accepts the Terms of Service, including their Annex, and authorizes the Processing of the user's account data in accordance with this Policy, and clicks “Aceptar y continuar” (Accept and continue). The Service records in the account and in the access log the version, the date and time, the IP address, and the full SHA-256 hash of each accepted text (the footer of each published page shows its first twelve characters). That acceptance is the Data Subject's authorization for the data of which the Publisher is Controller (Article 9 of Law 1581 of 2012 and Articles 2.2.2.25.2.4 and 2.2.2.25.2.5 of Decree 1074 of 2015). Before that, anyone requesting access gives authorization by checking the box on the “Solicitar acceso” (Request access) form (Section 4.2), and for anyone whose account is created by another person, only the data described in Section 4.1 are recorded.
• Integrations: accepting this Policy does not activate any integration. Each one (mailbox, Google Drive, artificial intelligence, Lexius, calendar) is connected through a separate action by the user in “Mi cuenta” (My account)—Google also asks for its own on-screen consent—and Sections 7 to 9 state what each provider receives.
• Publication: this Policy is published in Spanish and English at https://buscador-estados.tail1c476b.ts.net/privacidad, with the first twelve characters of the SHA-256 hash of its text in both languages, and its source text can be downloaded at https://buscador-estados.tail1c476b.ts.net/privacidad.md.
• Changes: each new version carries its number and effective date and is announced before it applies by e-mail to each account and, at sign-in, on the acceptance screen, where the box must be checked again. Where a change introduces a new purpose, a new category of data, a new disclosure, or Processing that requires authorization, the Publisher requests that authorization separately, in addition to the box, before applying the change to the Data Subject; clarifying changes and changes required by law are communicated without requesting a new authorization where one is not legally necessary. Continued use of the Service does not constitute acceptance of a substantial change, such as a change in the identity of the Controller, the purposes, the data collected, their destinations, or Data Subjects' rights (Articles 2.2.2.25.2.2 and 2.2.2.25.3.1 of Decree 1074 of 2015). Anyone who does not accept a version may stop using the Service and request deletion of their data (Section 13.3).

18. Contact and Authorities

• Handling of petitions, consultations, and claims: Mateo Hoyos, Chief Executive Officer, Hoyos & Associates P.C., e-mail mateo@hoyos.law, telephone +1 646-527-1232, 15 MetroTech Center, 7th Floor, Brooklyn, New York 11201, United States.
• Within the Service: “Reportar un problema” (Report a problem) and the Platform Administrator.
• Colombia: Superintendence of Industry and Commerce, Deputy Superintendence for Personal Data Protection (https://www.sic.gov.co), once the consultation or claim procedure before the Controller or the Processor has been exhausted.
• Elsewhere: the data protection authority of your place of residence, if applicable law allows you to go to it.