Política de Tratamiento de Datos Personales
El Arte de Nicolás · Vigente desde el 18 de septiembre de 2026 · Actualizada el 9 de octubre de 2026: el nombre de quien pide una cotización, para qué se usa y cuándo se borra (secciones 2.6, 3 y 7). Actualizada el 6 de octubre de 2026: los datos de los planners aliados y para qué se tratan (secciones 2.2, 2.5 y 3). Actualizada el 29 de septiembre de 2026: la dirección del domicilio del Responsable (sección 1), y a quien reserva se le piden además su documento de identidad y su dirección de residencia, que van en la cuenta de cobro (sección 2.1). Revisada el 28 de septiembre de 2026: se retiraron notas de redacción, sin cambiar el tratamiento de los datos
1. Identificación del Responsable del Tratamiento
Exigido por el art. 2.2.2.25.3.1 numeral 1 del Decreto 1074 de 2015 y por el art. 12 literal d) de la Ley 1581 de 2012.
- Responsable: Ubaldo Nicolás Herrera de Ávila, persona natural, identificado con cédula de ciudadanía n.º 73.111.757.
- Domicilio: Barrio Torices, Cl. 41, Ed. Gaviotas del Lago, apto. 201, Cartagena de Indias, Bolívar, Colombia.
- Correo electrónico para asuntos de datos personales: datos@elartedenicolas.com
- Teléfono: +57 324 661 7899
- Sitio web: https://elartedenicolas.com
Persona responsable de la atención de peticiones, consultas y reclamos: el propio Responsable, a través del correo indicado.
El art. 2.2.2.25.4.4 del Decreto 1074 de 2015 dispone que «todo Responsable y Encargado deberá designar a una persona o área que asuma la función de protección de datos personales». No establece umbral: aplica también a una persona natural.
2. Datos que se recogen y de quién
2.1. De quien reserva
Nombre completo, correo electrónico, teléfono, tipo y número de documento de identidad, dirección de residencia, dirección del lugar del evento, ciudad, y las notas que decida escribir.
El documento de identidad y la dirección de residencia se piden porque la cuenta de cobro se emite a nombre de quien reserva y los lleva (finalidades 5 y 7 de la sección 3).
2.2. De terceros — el caso del planner
Cuando quien reserva es un wedding planner u otro intermediario y entrega datos de su cliente, esos datos son de un tercero. La autorización de ese tercero no se presume. Quien entrega los datos declara contar con autorización para hacerlo, y el sistema exige registrar la constancia de ese consentimiento antes de tratarlos.
2.3. Datos de pago
El Responsable no recibe ni almacena números de tarjeta. El pago se procesa íntegramente en la pasarela Wompi (Bancolombia). El Responsable conserva únicamente el identificador de la transacción, el monto, el estado y la fecha.
2.4. Datos sensibles: no se solicitan
El art. 5 de la Ley 1581 de 2012 define como sensibles «aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos […] así como los datos relativos a la salud, a la vida sexual y los datos biométricos».
Ningún campo del formulario solicita datos sensibles, y el Responsable no los requiere para prestar el servicio.
⚠️ Advertencia sobre el campo libre de notas. Ese campo es de texto libre y podría recibir, por iniciativa de quien escribe, información sobre salud, restricciones alimentarias de origen religioso o creencias. Se solicita expresamente no incluir ese tipo de información.
El art. 2.2.2.25.2.3 del Decreto 1074 de 2015 exige, cuando se traten datos sensibles, informar que «no está obligado a autorizar su Tratamiento», señalar cuáles lo son y obtener consentimiento expreso, y establece que «ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles».
2.5. De los planners aliados
Nombre comercial y, si la tiene, razón social; nombre, correo y teléfono de contacto; ciudad y dirección; tipo y número de documento de identidad o NIT; y la cuenta a la que se le transfieren sus comisiones. El documento se pide para respaldar el pago de cada comisión (finalidades 7 y 8 de la sección 3).
2.6. De quien pide una cotización
Solo el nombre con el que la pide, para que la cotización diga a quién va dirigida. El teléfono, el correo y los demás datos se piden únicamente si contrata (sección 2.1).
3. Finalidades del Tratamiento
Exigido por el art. 2.2.2.25.3.1 numeral 2 del Decreto 1074 de 2015 y por el art. 12 literal a) de la Ley 1581 de 2012.
Los datos se tratan únicamente para:
- Gestionar la reserva: verificar disponibilidad, apartar la fecha y registrar el acuerdo.
- Cobrar y conciliar el anticipo y el saldo a través de la pasarela de pagos.
- Comunicar el estado de la reserva: confirmación, enlace de pago, recibo, recordatorio del evento, cancelación o reembolso.
- Ejecutar el servicio contratado: coordinar el traslado, el montaje y la ejecución de la obra en el lugar y la fecha acordados.
- Emitir los documentos de cobro y conservarlos por el término legal.
- Atender peticiones, consultas y reclamos, incluidos los relativos a estos mismos datos.
- Cumplir obligaciones legales, tributarias y contables.
- Gestionar la relación con los planners aliados: registrar las reservas que traen, calcular y pagar sus comisiones, y conservar el registro de cada pago.
- Preparar y enviar las cotizaciones que se piden, y, si la persona acepta una, convertirla en reserva.
No se usan para publicidad de terceros, no se venden, no se ceden con fines comerciales, y no se usan para elaborar perfiles ni para decisiones automatizadas.
El art. 2.2.2.25.2.1 del Decreto 1074 de 2015 establece que «la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados» y que «no se podrán utilizar medios engañosos o fraudulentos».
4. Autorización
Exigido por los arts. 9 y 12 de la Ley 1581 de 2012 y por los arts. 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto 1074 de 2015.
La autorización se solicita en el momento mismo de la recolección, mediante una casilla de verificación que el Titular debe marcar de forma activa.
El silencio no equivale a autorización. La casilla no viene premarcada.
El art. 2.2.2.25.2.4 del Decreto 1074 de 2015 admite la autorización «por escrito, de forma oral o mediante conductas inequívocas», y cierra: «En ningún caso el silencio podrá asimilarse a una conducta inequívoca».
Prueba de la autorización. Al momento de aceptar se registra: el texto exacto aceptado (mediante una huella criptográfica que permite demostrar cuál versión se aceptó), la fecha y hora, y la dirección IP desde la que se otorgó. Esa constancia se conserva mientras dure el tratamiento y se entrega al Titular si la solicita.
El art. 12 parágrafo de la Ley 1581 de 2012: «El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta».
5. Derechos del Titular
Art. 8 de la Ley 1581 de 2012, literales a) a f). Exigido como contenido de la política por el art. 2.2.2.25.3.1 numeral 3 del Decreto 1074 de 2015.
Quien entrega sus datos tiene derecho a:
- Conocer, actualizar y rectificar sus datos. Procede especialmente sobre datos parciales, inexactos, incompletos, fraccionados o que induzcan a error.
- Solicitar prueba de la autorización otorgada, salvo cuando la ley exima de ella.
- Ser informado del uso que se ha dado a sus datos, previa solicitud.
- Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones.
- Revocar la autorización y/o solicitar la supresión del dato.
- Acceder de forma gratuita a sus datos que hayan sido objeto de tratamiento.
⚠️ Dos precisiones, transcritas de la norma:
- Sobre el derecho 5: la ley condiciona una parte de él. Art. 8 literal e): «La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución».
- La revocatoria o supresión no procede cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos (art. 2.2.2.25.2.6 del Decreto 1074 de 2015). En la práctica: los datos asociados a una reserva pagada deben conservarse por obligaciones contables y tributarias, aun si se revoca la autorización para otros fines.
La consulta es gratuita. El art. 2.2.2.25.4.2 del Decreto 1074 de 2015 permite al Titular consultar gratuitamente sus datos al menos una vez cada mes calendario, y los mecanismos para ejercer los derechos deben ser gratuitos y de fácil acceso (art. 2.2.2.25.2.6).
6. Procedimiento para ejercer los derechos
Exigido por el art. 2.2.2.25.3.1 numerales 4 y 5 del Decreto 1074 de 2015. Los plazos son los de los arts. 14 y 15 de la Ley 1581 de 2012 y no son negociables.
Canal único: datos@elartedenicolas.com
Indicar: nombre completo, un dato que permita ubicar la reserva (el código AN-AAAA-NNNN o el
correo con el que se reservó), qué se solicita, y un correo o dirección para la respuesta.
6.1. Consultas — hasta 10 días hábiles
Para conocer los datos, su origen o el uso que se les ha dado.
| Plazo | Regla |
|---|---|
| 10 días hábiles | término máximo para atender, desde la fecha de recibo |
| +5 días hábiles | si no fuera posible atenderla en el primer término, se informa el motivo y la nueva fecha, que no puede superar los 5 días hábiles siguientes al vencimiento |
6.2. Reclamos — hasta 15 días hábiles
Para corregir, actualizar, suprimir o denunciar un presunto incumplimiento.
| Plazo | Regla |
|---|---|
| 2 días hábiles | se marca el registro con la leyenda «reclamo en trámite» y el motivo, y se mantiene hasta que se decida |
| 5 días | si el reclamo está incompleto, se requiere al interesado para que subsane |
| 2 meses | si no subsana en ese lapso desde el requerimiento, se entiende que desistió |
| 2 días hábiles | si quien recibe no es competente, traslada a quien corresponda e informa al interesado |
| 15 días hábiles | término máximo para atender, desde el día siguiente al recibo |
| +8 días hábiles | prórroga máxima, informando motivo y nueva fecha |
6.3. Antes de acudir a la Superintendencia
Art. 16 de la Ley 1581 de 2012: «El Titular o causahabiente sólo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el Responsable del Tratamiento o Encargado del Tratamiento».
7. Vigencia de la política y de las bases de datos
Exigido por el art. 2.2.2.25.3.1 numeral 6 del Decreto 1074 de 2015.
- Entrada en vigencia de esta política: 18 de septiembre de 2026.
- Vigencia de las bases de datos: los datos se conservan mientras subsista la finalidad que justificó su recolección y, después, durante los términos que impongan las obligaciones legales, contables y tributarias aplicables. Cumplidos esos términos, se suprimen.
- Cotizaciones que no se contratan: el nombre se borra seis meses después de que la cotización vence. Se conservan los valores cotizados, sin el nombre.
El art. 2.2.2.25.2.8 del Decreto 1074 de 2015 ordena conservar los datos «durante el tiempo que sea razonable y necesario», atendiendo «aspectos administrativos, contables, fiscales, jurídicos e históricos», y suprimirlos cumplida la finalidad, salvo obligación legal o contractual.
Cambios a esta política. Cualquier cambio sustancial se comunicará a los Titulares antes de implementarlo. Si el cambio se refiere a la finalidad del tratamiento, se solicitará una nueva autorización (art. 2.2.2.25.2.2 del Decreto 1074 de 2015).
8. Seguridad e incidentes
El Responsable adopta medidas técnicas y administrativas para proteger la información: cifrado en tránsito, control de acceso por roles, registro de auditoría de las operaciones sobre reservas y pagos, y identificadores de acceso aleatorios y no adivinables para las páginas que exponen datos de una reserva.
Esta última medida responde al art. 4 literal f) de la Ley 1581 de 2012, que prohíbe que los datos personales «estén disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable».
Reporte de incidentes a la Superintendencia. Ante la violación de los códigos de seguridad, o la pérdida, robo o acceso no autorizado a la información, el Responsable reportará el incidente a la Superintendencia de Industria y Comercio dentro de los quince (15) días hábiles siguientes a su detección.
Circular Única de la SIC, Título V, Capítulo Segundo, numeral 2.1 literal f) (ii), en su versión vigente a enero de 2026. Ese numeral cubre expresamente a «los Responsables del Tratamiento que no se encuentren obligados a registrar sus bases de datos en el RNBD», que es el caso acá (ver sección 10). Concuerda con el art. 17 literal n) de la Ley 1581 de 2012.
9. Proveedores y datos fuera de Colombia
Para prestar el servicio, el Responsable se apoya en proveedores que tratan datos por su cuenta y siguiendo sus instrucciones (Encargados del Tratamiento):
| Proveedor | Para qué | Qué recibe |
|---|---|---|
| Wompi (Bancolombia, Colombia) | procesar los pagos | nombre, correo, monto, referencia |
| Neon | base de datos | los datos de la reserva |
| Vercel | alojamiento del sitio | los datos en tránsito de cada solicitud |
| Resend | envío de correos | nombre, correo y el contenido del mensaje |
La figura aplicable es transmisión, no transferencia
El art. 2.2.2.25.5.1 numeral 2 del Decreto 1074 de 2015: «Las transmisiones internacionales de datos personales que se efectúen entre un Responsable y un Encargado para permitir que el encargado realice el tratamiento por cuenta del responsable, no requerirán ser informadas al Titular ni contar con su consentimiento cuando exista un contrato en los términos del artículo 2.2.2.25.5.2».
Ese contrato debe imponer al Encargado tres obligaciones mínimas: tratar los datos conforme a los principios de la ley, salvaguardar la seguridad de las bases y guardar confidencialidad (art. 2.2.2.25.5.2).
Sobre el país de alojamiento
El art. 26 de la Ley 1581 de 2012 prohíbe la transferencia «a países que no proporcionen niveles adecuados de protección», y exceptúa, entre otros casos, el literal c) «transferencias bancarias o bursátiles» y el literal e) «transferencias necesarias para la ejecución de un contrato entre el Titular y el Responsable».
La Superintendencia publicó la lista de países con nivel adecuado en el numeral 3.2 del Capítulo Tercero del Título V de su Circular Única (adicionado por la Circular Externa 005 del 10 de agosto de 2017 y modificado por las Circulares Externas 008 de 2017 y 002 de 2018). Estados Unidos de América figura en esa lista.
La base de datos (Neon) y el sitio (Vercel) están alojados en Estados Unidos, que figura en esa lista de nivel adecuado.
Wompi opera en Colombia, de modo que respecto de la pasarela no se activa el art. 26; y en todo caso el literal c) cubre las transferencias bancarias.
10. Registro Nacional de Bases de Datos (RNBD)
El Responsable, por ser persona natural, NO está obligado a inscribir sus bases de datos en el RNBD.
Decreto 090 del 18 de enero de 2018 (Ministerio de Comercio, Industria y Turismo, Diario Oficial 50.480), que modificó el art. 2.2.2.26.1.2 del Decreto 1074 de 2015. Quedan obligados solo: «a) Sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT)» y «b) Personas jurídicas de naturaleza pública». Los considerandos son explícitos: «Igualmente, serán excluidas las personas naturales».
⚠️ Y lo que esa exclusión NO significa, en palabras del propio decreto:
«La limitación del universo de vigilados frente al deber de registrar sus bases de datos no implica de ninguna manera que las personas jurídicas y naturales que se exceptúan […] queden relevadas del cumplimiento de los demás deberes […] siguen sujetas al cumplimiento de las disposiciones contenidas en la Ley 1581 de 2012».
11. Inteligencia artificial
El Responsable no utiliza sistemas de inteligencia artificial para tratar los datos personales de sus clientes, ni para perfilamiento, ni para decisiones automatizadas.
Si en el futuro llegara a hacerlo, deberá observar la Circular Externa 002 del 21 de agosto de 2024 de la Superintendencia de Industria y Comercio (Diario Oficial 52.856), «Lineamientos sobre el Tratamiento de Datos personales en Sistemas de Inteligencia Artificial», que exige ponderar idoneidad, necesidad, razonabilidad y proporcionalidad en sentido estricto, y aplicar el principio de precaución:
«En caso de presentarse falta de certeza frente a los potenciales daños que puede causar el Tratamiento de Datos personales, y con miras a evitar que se cause un daño grave e irreversible, los Administradores de Datos personales deberán abstenerse de realizar dicho Tratamiento o adoptar medidas precautorias o preventivas».
Fundamento normativo
Esta Política se apoya en las siguientes normas:
| Norma | Qué aporta |
|---|---|
| Ley Estatutaria 1581 de 2012 (D.O. 48587) | arts. 4 (principios), 5 y 6 (sensibles), 8 (derechos), 9 y 12 (autorización), 14 a 16 (consultas, reclamos, procedibilidad), 17 (deberes), 23 (sanciones), 26 (transferencia) |
| Decreto 1074 de 2015, L.2 P.2 T.2 Cap. 25 | 2.2.2.25.2.1 a 2.2.2.25.2.8 (autorización), 2.2.2.25.3.1 a 2.2.2.25.3.4 (política y aviso), 2.2.2.25.4.2 y 2.2.2.25.4.4, 2.2.2.25.5.1 y 5.2 (transmisión), 2.2.2.25.6.1 y 6.2 |
| Decreto 090 de 2018 (D.O. 50.480) | excluye a las personas naturales del RNBD |
| Circular Única SIC, Título V, Cap. 2 num. 2.1 lit. f) (ii) | reporte de incidentes en 15 días hábiles |
| Circular Única SIC, Título V, Cap. 3 num. 3.2 | lista de países con nivel adecuado |
| Circular Externa 002 de 2024 (D.O. 52.856) | inteligencia artificial |