Datos de clientes y normas · Para dueños de negocio
Política de tratamiento de datos personales: modelo para tu negocio
Una plantilla de política de tratamiento de datos para barberías, salones, spas y consultorios, con los seis contenidos mínimos de la norma, un aviso de privacidad corto y las reglas para publicarla y cambiarla.
Por Equipo de Tecnotics · · 7 min de lectura
En 30 segundos
- Obligatoria para todo responsable del tratamiento, en medio físico o electrónico y en lenguaje claro (Decreto 1074 de 2015, art. 2.2.2.25.3.1).
- Seis contenidos mínimos: identificación y contacto, tratamiento y finalidad, derechos, área que atiende, procedimiento y vigencia.
- Aviso de privacidad: versión corta para cuando no puedes mostrar la política en el momento; no la reemplaza (arts. 2.2.2.25.3.2 y 2.2.2.25.3.3).
- Cambios sustanciales (responsable o finalidad) se comunican antes de aplicarlos; si cambia la finalidad, se pide nueva autorización.
- Proporcional al tamaño: la SIC mira medidas apropiadas según si eres micro, pequeña, mediana o gran empresa (art. 2.2.2.25.6.1).
¿Qué es la política de tratamiento y quién la necesita?
Es el documento con las reglas que tu negocio sigue para manejar los datos de sus clientes. La Ley 1581 de 2012 obliga al responsable a adoptar un manual interno de políticas y procedimientos (art. 17, lit. k), y el Decreto 1074 de 2015 dice qué debe contener como mínimo la política que se da a conocer a los titulares.
La necesita todo responsable: la barbería persona natural, el spa, el consultorio y el centro deportivo. No depende del tamaño ni de si te inscribes en el Registro Nacional de Bases de Datos. La visión completa de tus obligaciones está en la guía de protección de datos de clientes.
¿Qué debe contener como mínimo?
El art. 2.2.2.25.3.1 del Decreto 1074 enumera seis contenidos:
| # | Contenido mínimo | Ejemplo en un negocio con cita |
|---|---|---|
| 1 | Nombre o razón social, domicilio, dirección, correo y teléfono del responsable | «Spa Brisa S.A.S., NIT…, Calle…, Cali» |
| 2 | Tratamiento y finalidad, si no se informaron en el aviso de privacidad | Agendar, confirmar y recordar citas, facturar, promociones con autorización |
| 3 | Derechos del titular | Conocer, actualizar, rectificar, suprimir, revocar, quejarse ante la SIC |
| 4 | Persona o área que atiende peticiones, consultas y reclamos | «La administradora, en el correo…» |
| 5 | Procedimiento para ejercer los derechos | Canal, datos que debe enviar el cliente, plazos de respuesta |
| 6 | Fecha de vigencia de la política y periodo de vigencia de la base | «Rige desde el…; los datos se conservan mientras…» |
Además, el procedimiento de acceso, actualización, supresión, rectificación y revocatoria debe estar incluido en la política y ser fácil de encontrar (art. 2.2.2.25.3.6).
Plantilla de política para un negocio con cita
Cambia lo que está entre corchetes. Bórralo si no aplica, en lugar de dejarlo en blanco.
Política de tratamiento de datos personales de [nombre del negocio]
1. Responsable. [Nombre o razón social], [NIT o cédula], con domicilio en [ciudad], dirección [dirección], correo [correo] y teléfono [teléfono].
2. Datos que tratamos. Nombre, tipo y número de documento, correo, celular, historial de citas, servicios tomados y pagos. [Si aplica: datos sensibles como alergias o condiciones de salud, solo con autorización explícita y para la finalidad indicada.]
3. Finalidades. (a) Agendar, confirmar, recordar y cancelar citas; (b) prestar y facturar los servicios; (c) atender peticiones, quejas y reclamos; (d) cumplir obligaciones legales; (e) solo con autorización aparte, enviar promociones y novedades por [canales].
4. Derechos del titular. Conocer, actualizar y rectificar tus datos; pedir prueba de la autorización; saber qué uso les hemos dado; presentar quejas ante la Superintendencia de Industria y Comercio; revocar la autorización o pedir la supresión cuando proceda; y acceder gratis a tus datos.
5. Área responsable. [Cargo o persona] atiende las solicitudes en [correo] o [WhatsApp o teléfono], y en el local, en [dirección].
6. Procedimiento. Envía tu solicitud con tu nombre, documento, lo que pides y cómo contactarte. Respondemos consultas en máximo 10 días hábiles, prorrogables hasta 5 más, y reclamos en máximo 15 días hábiles, prorrogables hasta 8 más. Si el reclamo está incompleto, te pediremos completarlo dentro de los 5 días siguientes.
7. Encargados. Usamos proveedores que tratan datos por nuestra cuenta, como [software de agenda, contador, servicio de correo], obligados a cumplir esta política.
8. Seguridad. Acceso por usuario y rol, contraseñas personales y [otras medidas reales].
9. Conservación. Guardamos los datos mientras haya relación con el cliente y durante el tiempo que exijan nuestras obligaciones legales; luego los suprimimos.
10. Vigencia. Esta política rige desde [fecha]. Los cambios sustanciales se informarán antes de aplicarlos.
Los plazos del punto 6 vienen de los arts. 14 y 15 de la Ley 1581. Cómo atender cada solicitud en la práctica está en un cliente pide que borres sus datos.
¿Qué es el aviso de privacidad y cuándo se usa?
Es una comunicación verbal o escrita que informa al cliente que existe la política, cómo consultarla y para qué se usarán sus datos. Se usa cuando no es posible poner la política a su disposición en el momento de recoger los datos (art. 2.2.2.25.3.2), por ejemplo en una ficha de papel o en un mensaje corto de WhatsApp.
Su contenido mínimo (art. 2.2.2.25.3.3):
- Nombre o razón social y datos de contacto del responsable.
- El tratamiento y su finalidad.
- Los derechos del titular.
- Cómo conocer la política y sus cambios.
Si recoges datos sensibles, el aviso debe decir expresamente que responder esas preguntas es facultativo. Y debes conservar el modelo de aviso que usaste mientras trates datos con él (art. 2.2.2.25.3.4).
Modelo corto:
[Negocio], [contacto], tratará tus datos para gestionar tus citas y facturar. Puedes conocer, actualizar, rectificar y suprimir tus datos. Consulta nuestra política en [enlace o lugar].
El aviso suele ir junto a la autorización. Hay modelos para cada canal en autorización de tratamiento de datos.
¿Dónde publicar la política?
El Decreto 1074 permite usar documentos, formatos electrónicos, medios verbales o cualquier otra tecnología, siempre que cumplas el deber de informar (art. 2.2.2.25.3.5). Opciones prácticas:
- un enlace visible en tu página de reservas, junto a la casilla de autorización;
- un enlace en la biografía de Instagram o en el mensaje de bienvenida de WhatsApp;
- una copia impresa en recepción, para quien la pida;
- un archivo PDF que puedas enviar por correo.
¿Qué pasa cuando cambias la política?
Los cambios sustanciales, los que tocan la identificación del responsable o la finalidad, se comunican a los titulares antes de implementarlos o a más tardar al hacerlo. Si cambia la finalidad, debes pedir una nueva autorización (Decreto 1074, art. 2.2.2.25.2.2). La política también debe avisarse «de una manera eficiente, antes de implementar las nuevas políticas» (art. 2.2.2.25.3.1).
Ejemplos de cambio sustancial en un negocio con cita: pasar de persona natural a S.A.S., vender el negocio o empezar a usar los datos para publicidad.
Ejemplo: la política de un consultorio de fisioterapia
Situación ilustrativa.
Supuestos: consultorio de Medellín, persona natural, 2 fisioterapeutas, agenda en línea y una recepcionista.
- En el punto 2 aclara que la agenda guarda nombre, contacto y tipo de sesión, y que los datos clínicos van en la historia clínica, con su propio régimen.
- En el punto 3 deja las promociones como finalidad aparte y opcional.
- En el punto 5 nombra a la recepcionista como encargada de recibir solicitudes y al fisioterapeuta titular como quien decide.
- En el punto 8 describe solo lo que hace: usuarios separados y contraseñas personales.
- Publica el enlace en su página de reservas y deja una copia impresa en recepción.
La SIC pide poder demostrar medidas apropiadas, proporcionales al tamaño, a la naturaleza de los datos y a los riesgos (art. 2.2.2.25.6.1). Un consultorio pequeño no necesita un manual de cien páginas, pero sí uno que cumpla lo mínimo y que de verdad aplique.
Ten una página de reservas propia donde enlazar tu política, con acceso por usuario para cada persona del equipo. Prueba MiTurno un mes gratis, sin tarjeta.
Fuentes
- Ley 1581 de 2012, Secretaría del Senado (consultada el 26/10/2026)
- Decreto 1074 de 2015, caps. 2.2.2.25 y 2.2.2.26, Función Pública (consultada el 26/10/2026)
- Decreto 1377 de 2013, Función Pública (consultada el 26/10/2026)
Verificado el 26/10/2026.
Preguntas frecuentes
¿La política tiene que estar en una página web?
No necesariamente. El Decreto 1074 de 2015 pide que la política conste en medio físico o electrónico, en lenguaje claro y sencillo, y que se ponga en conocimiento de los titulares. Puede estar en tu página, en un documento enlazado desde tu página de reservas o impresa en el local. Lo importante es que el cliente pueda consultarla.
¿Puedo copiar la política de otra empresa?
Puedes usarla de referencia, pero no copiarla tal cual. La política debe describir tu tratamiento real: tus datos de contacto, las finalidades que tú usas, tu procedimiento y el área que atiende. Una política copiada que no corresponde a lo que haces no te ayuda a demostrar cumplimiento ante la SIC y puede confundir a tus clientes.
¿Cada cuánto debo actualizar la política?
La norma no fija una periodicidad, pero sí obliga a comunicar los cambios sustanciales antes de aplicarlos, es decir, los referidos a la identificación del responsable o a la finalidad del tratamiento. Revísala al menos cuando cambies de razón social, abras otra sede, empieces a enviar promociones o cambies de proveedor de software.
¿La política debe registrarse en algún lado?
Solo si estás obligado a inscribir tus bases en el Registro Nacional de Bases de Datos, que aplica a sociedades y entidades sin ánimo de lucro con activos de más de 100.000 UVT y a entidades públicas. Aun así, la inscripción no te exime de dar a conocer la política a tus clientes (Decreto 1074 de 2015, art. 2.2.2.26.2.7).