Política de Tratamiento de Datos Personales — Lumbral
Versión 1.0 · Vigente desde la fecha de su publicación en https://lumbral.app/privacidad
Ley 1581 de 2012 · Decreto 1074 de 2015 (que compiló el Decreto 1377 de 2013) · Ley 1266 de 2008
Estado: borrador pendiente de revisión legal.
1. Responsable del tratamiento
| Responsable | CARLOS LEONARDO ARCE ACOSTA, persona natural, bajo el nombre comercial LUMBRAL |
| Domicilio y dirección | Calle 34 #69B-24, Edificio Arce, Cali, Valle del Cauca, Colombia |
| Correo para ejercer derechos | contacto@lumbral.app |
| Teléfono | +57 312 831 9424 |
El correo anterior es el canal para consultas y reclamos. Una política sin un canal donde ejercer el derecho es una política incumplida.
2. Lumbral tiene dos roles distintos, y esto decide todo lo demás
Esta es la distinción más importante del documento. No es formal: determina ante quién responde cada parte frente a la Superintendencia de Industria y Comercio.
| Datos | Rol de Lumbral | Quién es el responsable |
|---|---|---|
| De nuestros clientes — quien contrata el servicio, sus administradores: nombre, correo, teléfono, documento, datos de facturación, registros de uso | Responsable | Lumbral |
| De los arrendatarios de nuestros clientes — nombre, cédula, contacto, contratos, estados de cuenta, pagos, comprobantes | Encargado | El cliente (la organización arrendadora) |
Consecuencia práctica. Si usted es arrendatario de un inmueble administrado con Lumbral, su responsable no es Lumbral: es la organización que le arrienda. Esa organización decide para qué se usan sus datos, publica su propia política y atiende sus solicitudes. Lumbral únicamente ejecuta el tratamiento por instrucción suya y no usa esos datos para ninguna finalidad propia.
Si usted dirige una solicitud a Lumbral sobre datos de los que somos encargados, la trasladaremos a la organización responsable y le informaremos a quién, dentro de los cinco (5) días hábiles siguientes.
3. Qué datos tratamos
3.1 Como responsable (datos de nuestros clientes)
- Nombre y apellidos, o razón social
- Tipo y número de documento de identificación
- Correo electrónico y teléfono
- Dirección
- Identificador de la fuente de pago entregado por la pasarela
- Registros de uso: fechas de acceso, direcciones IP, acciones realizadas en la plataforma
- Comunicaciones sostenidas con Lumbral
No tratamos datos sensibles en los términos del artículo 5 de la Ley 1581, ni datos de menores de edad, en esta categoría.
No almacenamos datos de tarjetas. La captura ocurre en la interfaz de la pasarela de pagos; Lumbral recibe únicamente un identificador que permite originar cobros. El número completo, la fecha de vencimiento y el código de seguridad nunca llegan a nuestros sistemas.
3.2 Como encargado (datos de los arrendatarios de nuestros clientes)
Los que cada cliente decida cargar, que típicamente son: nombre, documento, contacto, dirección fiscal, contrato de arrendamiento, estados de cuenta, pagos, comprobantes e historial de cobro. Las finalidades las define el cliente, no Lumbral.
4. Para qué usamos los datos de nuestros clientes
- Crear y administrar la cuenta y las organizaciones asociadas
- Prestar, operar, mantener y asegurar el servicio
- Cobrar la suscripción y emitir los soportes correspondientes
- Comunicar avisos operativos, de seguridad, de facturación y cambios contractuales
- Prestar soporte
- Cumplir obligaciones legales, contables y tributarias
- Elaborar estadísticas agregadas y anonimizadas sobre el uso del servicio
No vendemos, cedemos ni comercializamos datos personales, ni los usamos para publicidad de terceros.
5. Encargados, y salida de los datos del país
El artículo 26 de la Ley 1581 exige informar al titular cuando sus datos salen del país. Salen. Lumbral se apoya en los siguientes proveedores:
| Proveedor | Qué procesa | Dónde |
|---|---|---|
| Supabase | Base de datos y almacenamiento: la totalidad del registro contractual y contable | Fuera de Colombia (Estados Unidos) |
| Cloudflare | Tráfico web, direcciones IP, ejecución de la aplicación | Red global |
| Resend | Correo saliente: destinatario, asunto y contenido | Fuera de Colombia |
| Wompi (Bancolombia S.A.) | Datos de pago y del pagador | Colombia |
Cada uno trata los datos únicamente por instrucción de Lumbral y bajo obligación de confidencialidad y seguridad. Esta lista se mantiene actualizada en esta misma página; su modificación se informará conforme a la sección 10.
6. Sus derechos como titular
De acuerdo con el artículo 8 de la Ley 1581, usted puede:
- Conocer los datos que tenemos sobre usted, gratuitamente
- Actualizarlos y rectificarlos cuando sean parciales, inexactos o induzcan a error
- Solicitar prueba de la autorización otorgada
- Ser informado sobre el uso que se les ha dado
- Presentar quejas ante la Superintendencia de Industria y Comercio
- Revocar la autorización y solicitar la supresión, cuando no medie un deber legal o contractual de conservar
- Acceder gratuitamente a sus datos
6.1 Cómo ejercerlos, y en cuánto respondemos
Escriba a contacto@lumbral.app indicando su nombre, su documento y qué solicita. Una solicitud es válida por cualquier canal —correo, WhatsApp, en papel— y el plazo corre desde que se recibe, no desde que se registra en el sistema.
| Solicitud | Plazo | Prórroga |
|---|---|---|
| Consulta — «¿qué datos tienen sobre mí?» | 10 días hábiles | 5 días hábiles más, informándolo antes del vencimiento |
| Reclamo — actualización, rectificación, supresión, revocatoria | 15 días hábiles | 8 días hábiles más, en las mismas condiciones |
El sistema calcula el vencimiento descontando sábados y domingos. No descuenta festivos, de modo que la fecha que muestra es anterior a la que la ley concede — deliberadamente, en la dirección que no incumple.
7. Cuánto tiempo conservamos los datos
Ningún dato se conserva indefinidamente.
| Categoría | Período | Cuenta desde | Fundamento |
|---|---|---|---|
| Contrato de suscripción y sus anexos | 10 años | Terminación | Art. 28 Código de Comercio; cubre con margen la prescripción ordinaria de 5 años del art. 2536 C.C. |
| Soportes de cobro y pagos de la suscripción | 10 años | Fecha del documento | Soporte contable y tributario |
| Datos de la cuenta de un cliente que terminó | 30 días disponibles para exportación, luego supresión | Terminación | Cláusula 11.4 de los Términos |
| Registro de correos enviados | 2 años | Fecha de envío | Prueba de notificación |
| Datos de quien consultó y no contrató | 1 año | Último contacto | No hay relación contractual que justifique más |
| Registro de solicitudes de habeas data | 10 años, sin los datos identificatorios del titular | Resolución | Es la prueba de que la obligación se cumplió |
Los datos tratados como encargado se conservan conforme a las instrucciones y a los deberes legales del cliente responsable, y se suprimen o devuelven al terminar su contrato.
8. Qué significa «supresión»
El artículo 5 del Decreto 1377 de 2013 condiciona el derecho: no procede cuando un deber legal o contractual obliga a conservar el dato. Por lo tanto:
Se suprime — nombre y apellidos, documento, teléfono, correo, dirección, y las copias que la traza de auditoría conservó de esos campos.
Se conserva, desvinculado de la identidad — los registros contables y tributarios y el identificador interno, que ya no nombra a nadie y sin el cual el registro no cuadra.
Al responder indicaremos qué se conservó y bajo qué norma. Una negativa sin motivar es una negativa incumplida.
9. Seguridad
Lumbral adopta medidas técnicas, humanas y administrativas razonables: cifrado en tránsito y en reposo, control de acceso por organización aplicado en la base de datos, registro de auditoría de las modificaciones, separación de credenciales por entorno y copias de seguridad.
Ningún sistema es infalible. Ante un incidente de seguridad que afecte datos personales, Lumbral informará sin demora injustificada a los clientes afectados y, cuando proceda, a la Superintendencia de Industria y Comercio.
10. Vigencia y modificaciones
Esta política rige desde su publicación. Las modificaciones sustanciales —en particular un cambio de finalidad o la incorporación de un nuevo encargado— se comunicarán al correo registrado y mediante aviso en la plataforma con no menos de treinta (30) días de anticipación. Las versiones anteriores se conservarán accesibles con su fecha de vigencia.
Las bases de datos se conservarán mientras subsistan las finalidades descritas y los plazos de la sección 7.