La Ley de Protección de Datos Personales reconoce el derecho de toda persona a conocer, actualizar, rectificar y suprimir la información que se haya recogido sobre ella en bases de datos de entidades públicas o privadas.

En cumplimiento de la Ley Estatutaria 1581 de 2012 y del Decreto 1377 de 2013, MENTIS CONSULTANTS S.A.S., en su calidad de Responsable del Tratamiento, pone a disposición de los Titulares el siguiente Aviso de Privacidad y el texto completo de su Política de Tratamiento de Datos Personales. Ambos aplican igualmente a la información recolectada bajo su marca comercial SUMMVALUE.

1. OBJETO Y ÁMBITO DE APLICACIÓN

La presente Política de Tratamiento de Datos Personales ("la Política") desarrolla los principios, reglas y procedimientos que MENTIS CONSULTANTS S.A.S. ("MENTIS") aplica al Tratamiento de los datos personales que recolecta, usa, almacena, circula o suprime en el desarrollo de su objeto social, incluyendo los que recolecta bajo su marca comercial SUMMVALUE.

Esta Política cubre a todos los titulares de datos personales con los que MENTIS entra en contacto en el desarrollo de cualquiera de sus líneas de servicio, y no solo a los candidatos que se postulan a una vacante:

• Candidatos y postulantes, propios o entregados por un cliente contratante, en cualquiera de las líneas de servicio del portafolio (selección, headhunting, valoración, assessment, coaching, orientación vocacional, acompañamiento psicológico, y los demás servicios del portafolio de MENTIS y de SUMMVALUE).
• Empleados de clientes que son remitidos a MENTIS por su empleador para procesos de valoración, ajuste al cargo, potencial, liderazgo, clima organizacional o servicios similares, sin que ellos mismos hayan iniciado la relación.
• Clientes contratantes, sus representantes y las personas de contacto que designen.
• Proveedores, contratistas y sus dependientes, incluyendo los Encargados tecnológicos que MENTIS utiliza para prestar sus servicios (plataformas de reclutamiento, de evaluación psicotécnica, de estudios de seguridad, de inteligencia artificial y similares).
• Colaboradores de MENTIS, en lo que corresponda y sin perjuicio de las normas laborales aplicables.

Esta obligación se proyecta hacia el futuro: ninguna plataforma, herramienta tecnológica, proveedor o línea de servicio nueva podrá entrar en operación en MENTIS sin haber surtido previamente la regla de entrada prevista en el numeral 11 de esta Política.

2. MARCO NORMATIVO

Esta Política se expide en cumplimiento de:

• El artículo 15 de la Constitución Política de Colombia.
• La Ley Estatutaria 1581 de 2012.
• El Decreto 1377 de 2013 (hoy compilado, junto con sus modificaciones, en el Título 2, Capítulo 25 del Decreto Único Reglamentario 1074 de 2015 del sector Comercio, Industria y Turismo).
• El Título V de la Circular Única de la Superintendencia de Industria y Comercio (SIC), incluyendo su Capítulo Segundo (Registro Nacional de Bases de Datos — RNBD) y su Capítulo Tercero (transferencia internacional de datos personales y listado de países con nivel adecuado de protección).
• La Circular Externa 002 de 2024 de la SIC, sobre tratamiento de datos personales en sistemas de Inteligencia Artificial.
• La Circular Externa 001 de 2025 de la SIC, del 18 de septiembre de 2025, que adopta las Cláusulas Contractuales Tipo de la Red Iberoamericana de Protección de Datos como mecanismo de responsabilidad demostrada para la transferencia y transmisión internacional de datos personales.
• Las demás normas que las adicionen, modifiquen, sustituyan o reglamenten. MENTIS mantiene una revisión permanente de su marco normativo, con el fin de garantizar que esta Política se ajuste en todo momento a la legislación vigente en materia de protección de datos personales.

3. DEFINICIONES

Para efectos de esta Política se adoptan las siguientes definiciones, tomadas de la Ley 1581 de 2012 y el Decreto 1377 de 2013, y complementadas donde la operación de MENTIS lo requiere:

• Autorización: consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de sus datos personales.
• Aviso de Privacidad: comunicación verbal o escrita generada por el Responsable, dirigida al Titular, para informarle sobre la existencia de esta Política, la forma de acceder a ella y las finalidades del Tratamiento que se pretende dar a sus datos personales, cuando no sea posible poner a su disposición la Política completa de forma previa.
• Base de Datos: conjunto organizado de datos personales que sea objeto de Tratamiento.
• Dato Personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato Público: el que no es semiprivado, privado o sensible (datos relativos al estado civil, profesión u oficio, calidad de comerciante o servidor público, entre otros de naturaleza pública por mandato legal).
• Dato Sensible: aquel que afecta la intimidad del Titular o cuyo uso indebido puede generar su discriminación, entre otros los que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o partidos políticos, así como los datos relativos a la salud, a la vida sexual y los datos biométricos.
• Encargado del Tratamiento: persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta de MENTIS.
• Responsable del Tratamiento: persona natural o jurídica, pública o privada, que decide sobre la base de datos y/o el Tratamiento de los datos. MENTIS actúa como Responsable frente a los candidatos y postulantes que gestiona por su propia cuenta.
• Sub-encargado: Encargado adicional que un Encargado del Tratamiento subcontrata para el desarrollo de sus actividades, y que también tiene acceso a los datos personales.
• Titular: persona natural cuyos datos personales sean objeto de Tratamiento.
• Tratamiento: cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
• Transferencia: envío de datos personales por parte del Responsable o el Encargado a un receptor que a su vez sea Responsable del Tratamiento y se encuentre dentro o fuera del país.
• Transmisión: Tratamiento de datos personales que implica su comunicación dentro o fuera del territorio de la República de Colombia, cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable.
• Tratamiento automatizado / Inteligencia Artificial (IA): cualquier procesamiento de datos personales realizado, total o parcialmente, por medios automatizados o sistemas de aprendizaje de máquina, incluyendo el apoyo a la evaluación, calificación, estructuración o análisis de información de un Titular. En MENTIS, el Tratamiento con apoyo de IA nunca sustituye la decisión humana frente a un Titular, en los términos del numeral 10 de esta Política.
• Registro Nacional de Bases de Datos (RNBD): directorio público de las bases de datos sujetas a Tratamiento que operan en el país, administrado por la SIC.

4. PRINCIPIOS RECTORES DEL TRATAMIENTO

MENTIS aplica, en toda operación de Tratamiento de datos personales, los principios de:

• Legalidad: el Tratamiento se sujeta a lo establecido en la ley y las demás disposiciones que la desarrollen.
• Finalidad: el Tratamiento obedece a una finalidad legítima, informada al Titular.
• Libertad: el Tratamiento solo se ejerce con el consentimiento previo, expreso e informado del Titular. Los datos personales no pueden ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.
• Veracidad o Calidad: la información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.
• Transparencia: se garantiza el derecho del Titular a obtener del Responsable o del Encargado, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.
• Acceso y Circulación Restringida: el Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la ley y la Constitución. Los datos personales, salvo la información pública, no estarán disponibles en internet u otros medios de divulgación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido a los Titulares o terceros autorizados.
• Seguridad: la información sujeta a Tratamiento se maneja con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
• Confidencialidad: todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento.
• Necesidad: solo se recogen los datos personales que sean pertinentes y adecuados para la(s) finalidad(es) para la(s) cual(es) fueron previstos. MENTIS revisa periódicamente si un dato que recolecta hoy sigue siendo necesario.
• Responsabilidad Demostrada (Accountability): conforme al artículo 2.2.2.25.6.1 del Decreto 1074 de 2015 y a la Circular Externa 002 de 2024 de la SIC, MENTIS adopta medidas internas, apropiadas, efectivas y verificables, proporcionales a su naturaleza jurídica y a su tamaño empresarial, encaminadas a la aplicación efectiva de los principios y obligaciones de esta Política, y está en capacidad de demostrarlo ante el Titular y ante la Superintendencia de Industria y Comercio.

5. RESPONSABLE DEL TRATAMIENTO

Razón social	MENTIS CONSULTANTS S.A.S.
NIT	900.164.460-3
Domicilio	Medellín, Colombia
Dirección	Carrera 48A No. 16 Sur – 86, Oficina 611, Edificio Plex Corporativo, Medellín
Sitio web	www.mentis.com.co
Teléfono	311 333 2224
Canal de protección de datos	leyhabeasdata@mentis.com.co
Marca comercial	SUMMVALUE — summvalue.com.co · summvalue@mentis.com.co
Representante Legal	Leidy Yohana Giraldo González

SUMMVALUE no es una sociedad distinta de MENTIS. Es una marca comercial bajo la cual MENTIS opera de cara al mercado en el segmento de talento táctico y operativo. Toda contratación y facturación se realiza a nombre de MENTIS CONSULTANTS S.A.S., que es quien responde como Responsable del Tratamiento frente a los Titulares que interactúan con cualquiera de las dos marcas. El sitio summvalue.com.co debe publicar un enlace visible a esta Política y no puede operar sin él.

6. INFORMACIÓN RECOLECTADA Y TITULARES DE LOS DATOS

MENTIS recolecta datos personales según el tipo de relación que tiene con el Titular. Esta segmentación existe para que cada Titular sepa exactamente qué datos se le piden y con qué base jurídica:

6.1 Candidatos y postulantes a una vacante o proceso de selección

Datos de identificación y contacto, formación académica, experiencia laboral, pretensión salarial e historia salarial, referencias personales y laborales, resultados de pruebas de conocimiento e idiomas, resultados de pruebas psicotécnicas y conductuales, grabaciones de voz e imagen en entrevistas cuando se autoricen específicamente, y, solo cuando el proceso lo exija y medie autorización específica, datos sensibles como resultados de estudios de seguridad (incluida poligrafía) y datos biométricos.

6.2 Empleados de un cliente entregados para valoración

Datos de identificación, información sobre su cargo, competencias, desempeño, potencial y resultados de evaluación, entregados por el cliente contratante o recolectados directamente por MENTIS con ocasión del servicio contratado. MENTIS advierte expresamente en el numeral 7.2 que la autorización de este Titular debe ser suya, personal y libre. Su empleador no puede autorizar en su nombre.

6.3 Personas naturales que contratan un servicio directamente para sí mismas (línea Personal)

Es la línea de servicio que MENTIS identifica internamente como "B2C" (del inglés business to consumer, "de negocio a consumidor"): a diferencia de los numerales 6.1 y 6.2, donde el Titular llega a MENTIS por intermedio de una empresa cliente, en esta línea es la propia persona natural quien contrata y paga el servicio para sí misma, sin que exista una empresa contratante de por medio.

Datos de identificación y contacto, e información asociada al servicio específico contratado (valoración individual, plan de desarrollo, orientación vocacional, acompañamiento psicológico).

6.4 Clientes contratantes y sus personas de contacto

Datos de identificación de la persona natural o jurídica contratante, y de las personas naturales que actúan como contacto, firmantes o interlocutores del servicio.

6.5 Proveedores, contratistas y Encargados tecnológicos

Datos de identificación de la persona natural o de los representantes y contactos de la persona jurídica proveedora, cuando sea necesario para la relación contractual.

6.6 Colaboradores de MENTIS

Datos de identificación, contacto, laborales y los demás que correspondan según la normativa laboral y de seguridad social, tratados conforme a esta Política en lo que le sea aplicable.

7. FINALIDADES DEL TRATAMIENTO

7.1 Finalidades generales, aplicables a todo Titular

• Cumplir las obligaciones que se deriven de la relación existente con MENTIS.
• Dar cumplimiento a obligaciones legales, contractuales, tributarias, contables y de seguridad social.
• Comunicarse con el Titular por cualquier medio para fines administrativos, operativos o comerciales relacionados con la relación existente.
• Realizar estudios internos, estadísticas, encuestas y análisis de tendencias de mercado, sin identificar individualmente al Titular en los resultados que se divulguen.
• Conservar evidencia documental (física y digital) de la relación, conforme al numeral 18 de esta Política.

7.2 Finalidades específicas — candidatos y postulantes

• Adelantar procesos de reclutamiento, selección, headhunting, evaluación y valoración de talento.
• Verificar referencias laborales y personales, y contrastar la información suministrada por el candidato.
• Aplicar pruebas de conocimiento, idiomas, psicotécnicas, conductuales y, cuando el proceso lo requiera y medie autorización específica, estudios de seguridad.
• Transmitir y, cuando corresponda, transferir los datos del candidato al cliente contratante que adelanta el proceso, identificándolo expresamente en la autorización específica de cada proceso.
• Cuando el cliente contratante exija reserva de su identidad frente al mercado (confidencialidad reforzada), MENTIS aplica el mecanismo de revelación escalonada descrito en el numeral 7.9 de esta Política y en el numeral 4 de la Autorización Marco: durante la etapa inicial del proceso, el candidato es informado de que evalúa para un cliente confidencial, descrito en términos genéricos (sector, tipo de cargo); antes de transmitir su hoja de vida, resultados o informe a ese cliente, MENTIS le revela su identidad y obtiene la autorización específica correspondiente, reforzando en ese mismo momento el compromiso de reserva del candidato. Este mecanismo prioriza la protección de la confidencialidad del cliente contratante por encima de una revelación temprana e innecesaria de su identidad.
• Conservar el perfil del candidato en el banco de talento propio de MENTIS, únicamente si el candidato otorga la autorización específica e independiente correspondiente (Anexo C de la Autorización Marco), para ser considerado y presentado por iniciativa de MENTIS a distintos clientes contratantes, actuales y prospectivos, en la medida en que su perfil se ajuste a procesos futuros — que es la forma en que opera el negocio de intermediación laboral de MENTIS.
• Grabar y transcribir entrevistas con apoyo de herramientas tecnológicas, únicamente con autorización específica previa (Anexo B de la Autorización Marco) y con las garantías descritas en el numeral 10.

7.3 Finalidades específicas — empleados de un cliente entregados para valoración

• Adelantar el servicio de valoración, evaluación de ajuste al cargo, potencial, liderazgo, clima organizacional o similar, contratado por el cliente.
• Entregar al cliente contratante los resultados agregados o individuales de la valoración, según lo pactado y autorizado.
• MENTIS no ejecuta este servicio sin la autorización personal y libre del empleado evaluado, obtenida directamente por MENTIS o verificablemente por el cliente bajo condiciones que MENTIS revisa previamente (ver numeral 11.3).

7.4 Finalidades específicas — personas naturales (línea Personal)

• Prestar el servicio específico contratado (valoración individual, plan de desarrollo, orientación vocacional, acompañamiento psicológico).
• Cuando el Titular sea menor de edad (orientación vocacional), aplicar el régimen especial del numeral 9 de esta Política.
• En acompañamiento psicológico, MENTIS no presta un servicio clínico ni lleva historia clínica; sus notas de sesión se limitan al alcance del acompañamiento contratado, conforme se define en el documento interno de alcance del servicio.

7.5 Finalidades específicas — clientes, proveedores y Encargados

• Ejecutar la relación contractual y las obligaciones que de ella se deriven.
• Evaluar, contratar y administrar proveedores y Encargados tecnológicos, incluyendo la verificación previa que exige el numeral 11 de esta Política.

7.6 Uso de plataformas tecnológicas y proveedores

MENTIS presta sus servicios apoyada en plataformas tecnológicas de terceros (entre otras, sistemas de gestión de candidatos, herramientas de evaluación psicotécnica y conductual, y firmas de estudios de seguridad). El detalle de cada Encargado vigente, su ubicación, y el instrumento contractual que lo ampara, se mantiene actualizado en el inventario que exige el numeral 11.

7.7 Transferencia internacional

MENTIS atrae y evalúa talento para clientes ubicados en Colombia, en otros países de Latinoamérica, en Estados Unidos y en otras jurisdicciones, y para ello envía hojas de vida, resultados de evaluación e informes de candidatos colombianos fuera del país. Esta finalidad se declara expresamente aquí y se desarrolla en el numeral 12.

7.8 Contacto proactivo de personas que no se han postulado (sourcing)

Parte del negocio de MENTIS consiste en identificar y contactar directamente a personas que no han iniciado por su cuenta una relación con MENTIS, para ofrecerles una oportunidad o para presentarlas a un cliente contratante o prospectivo (por ejemplo, en los servicios de sourcing y de investigación de mercado de talento del portafolio). Frente a estas personas, MENTIS aplica las siguientes reglas:

• Que un dato sea accesible en internet o en una red social no lo convierte en Dato Público, y no exime a MENTIS de contar con autorización. Conforme al numeral IX de la Circular Externa 002 de 2024 de la SIC, la información personal accesible al público (por ejemplo, un perfil profesional visible en una red social) no es, por sí sola, de naturaleza pública para efectos de la Ley 1581 de 2012. En consecuencia, el único uso que MENTIS hace de esa información sin autorización previa es el estrictamente necesario para identificar a la persona y hacerle un primer contacto (nombre, cargo actual, medio de contacto); cualquier Tratamiento adicional —analizarla, calificarla, conservarla o presentarla a un cliente— requiere la autorización previa, expresa e informada del Titular.
• A partir del momento en que la persona responde y manifiesta interés, MENTIS le informa la finalidad del contacto y le solicita la Autorización Marco antes de seguir tratando su información o de presentarla a un cliente contratante o prospectivo.
• Si la persona no responde o declina, MENTIS no conserva ni sigue tratando la información recopilada para el primer contacto más allá del plazo estrictamente necesario para descartar el intento, conforme al principio de necesidad (numeral 4.i de esta Política).
• MENTIS no entrega a un cliente, contratante o prospectivo, datos como historia salarial, información sociodemográfica detallada u otra información no pública de una persona que no haya autorizado su Tratamiento, así el cliente la solicite como parte de un estudio de mercado de talento. Cuando un servicio del portafolio de MENTIS requiera ese tipo de información agregada sobre el mercado, se estructura de forma que no identifique individualmente a las personas concernidas, salvo que cada una de ellas haya otorgado su autorización.

7.9 Mecanismo de revelación escalonada de la identidad del cliente contratante

Cuando un cliente contratante exija confidencialidad reforzada sobre su identidad frente al mercado (situación frecuente en procesos de headhunting ejecutivo), MENTIS aplica el siguiente mecanismo, que prioriza la protección de esa confidencialidad y que se documenta en el Formulario de autorización específica de cada proceso:

• Etapa de postulación y preselección: el candidato es informado de que el proceso corresponde a un cliente cuya identidad se mantiene confidencial en esta etapa, con una descripción general suficiente para entender la naturaleza del cargo (sector, tipo de compañía, ubicación aproximada). Desde este mismo momento, el candidato asume un compromiso de reserva sobre el proceso frente a terceros, que rige exista o no todavía revelación del nombre del cliente.
• Etapa previa a la transmisión de información al cliente (antes de enviarle la hoja de vida, resultados o informe del candidato — nunca después): MENTIS revela al candidato la identidad del cliente contratante y obtiene su autorización específica e informada para transmitirle sus datos, reforzando en ese mismo acto el compromiso de reserva ya asumido en la etapa anterior, que se vuelve entonces un compromiso concreto sobre una identidad ya conocida.
• Este mecanismo cumple, en el momento exigido por la ley y por cualquier cliente contratante, el deber de informar al candidato quién recibirá sus datos (numeral 13 de esta Política), sin exponer innecesariamente la identidad del cliente durante las etapas iniciales del proceso, que es cuando el riesgo de filtración al mercado es mayor.

8. TRATAMIENTO DE DATOS SENSIBLES

MENTIS trata datos sensibles cuando la naturaleza del servicio contratado lo exige, dentro de las siguientes categorías identificadas hoy en su operación:

• Datos biométricos (por ejemplo, huella dactilar, en el marco de estudios de seguridad).
• Resultados de pruebas psicotécnicas y conductuales, cuando por su contenido puedan revelar rasgos de personalidad, convicciones o características que la ley protege como sensibles.
• Información recogida en estudios de seguridad (incluida poligrafía), incluyendo datos relativos a antecedentes, entorno familiar y vida personal del Titular y, cuando la visita domiciliaria lo implique, de terceros relacionados con él.
• Información de salud mental o notas de sesión, en la medida en que el servicio de acompañamiento psicológico las genere.

Reglas aplicables:

• El Tratamiento de datos sensibles requiere el consentimiento explícito y previo del Titular, obtenido mediante un formulario específico e independiente del formulario general (ver Anexo A de la Autorización Marco).
• MENTIS informa siempre y de forma expresa al Titular que no está obligado a autorizar el Tratamiento de sus datos sensibles, y que ninguna etapa del proceso puede condicionarse a que los suministre, salvo cuando la naturaleza misma del servicio contratado (por ejemplo, un estudio de seguridad expresamente solicitado por el cliente y aceptado por el candidato como parte del proceso al que voluntariamente se postuló) haga que la negativa implique la imposibilidad de continuar en esa etapa específica — circunstancia que se informa igualmente de manera previa y explícita.
• Cuando un tercero (por ejemplo, un proveedor de estudios de seguridad) recoja directamente datos sensibles del Titular, MENTIS exige contractualmente que ese tercero identifique a MENTIS como Responsable o corresponsable frente al Titular, y que no remita el ejercicio de derechos exclusivamente a su propio canal (ver numeral 11.2).
• MENTIS trata datos sensibles cuando la naturaleza del servicio contratado lo exige (estudios de seguridad, pruebas psicotécnicas y conductuales, datos biométricos), siempre bajo las reglas de este numeral: consentimiento explícito e informado, y carácter facultativo salvo las excepciones aquí mismo previstas.

9. TRATAMIENTO DE DATOS DE NIÑOS, NIÑAS Y ADOLESCENTES

El Tratamiento de datos de niños, niñas y adolescentes está proscrito, salvo que se trate de datos de naturaleza pública, y en todo caso cuando:

• Responda y respete el interés superior del niño, niña o adolescente.
• Se asegure el respeto de sus derechos fundamentales.

Cumplidos los anteriores requisitos, el representante legal del menor otorga la autorización, previo el ejercicio del derecho del menor a ser escuchado, opinión que se valorará teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto.

Esta regla aplica en particular al servicio de Orientación Vocacional del portafolio de MENTIS cuando su Titular sea menor de edad: la autorización se obtiene siempre mediante el doble consentimiento del representante legal y la constancia de que el menor de edad fue escuchado, conforme al formulario de autorización específica para menores de edad, antes de iniciar cualquier Tratamiento de sus datos personales.

10. USO DE TECNOLOGÍA Y DE INTELIGENCIA ARTIFICIAL

MENTIS emplea herramientas tecnológicas, incluidas herramientas con componentes de Inteligencia Artificial, como apoyo en sus procesos de selección, evaluación y análisis de información. Este numeral desarrolla, para el caso concreto de MENTIS, los lineamientos de la Circular Externa 002 de 2024 de la Superintendencia de Industria y Comercio, dirigida a quienes tratan datos personales mediante sistemas de Inteligencia Artificial. Frente a los Titulares, MENTIS garantiza:

• Ponderación previa de idoneidad, necesidad, razonabilidad y proporcionalidad (numeral I de la Circular 002 de 2024): antes de usar una herramienta de IA sobre datos de un Titular, MENTIS evalúa que sea apta para el fin buscado, que no exista un medio menos invasivo igual de eficaz, que persiga una finalidad legítima y que sus ventajas no sean superadas por el riesgo que genera para los derechos del Titular.
• Principio de precaución (numeral II): cuando exista incertidumbre real sobre el daño potencial de un uso concreto de IA sobre los datos de un Titular, MENTIS se abstiene de realizarlo o adopta medidas adicionales de mitigación antes de continuar.
• Evaluación de impacto de privacidad (numeral IV): cuando el uso de una herramienta de IA implique un riesgo probablemente alto para los Titulares (por ejemplo, calificación automatizada de pruebas psicotécnicas o de entrevistas), MENTIS documenta una evaluación de impacto que describe el tratamiento, los riesgos identificados y las medidas de seguridad adoptadas, antes de ponerla en producción.
• La IA apoya, no decide. Ninguna decisión que afecte a un Titular (avance o descarte en un proceso, calificación final, recomendación a un cliente) se toma exclusivamente por un sistema automatizado. Siempre interviene una persona del equipo de MENTIS antes de que la decisión se comunique o produzca efectos. Esta garantía excede el piso mínimo de la Circular 002 de 2024 (que no exige expresamente intervención humana), y MENTIS la asume como estándar propio.
• Derecho a saber y a pedir revisión humana. El Titular tiene derecho a conocer, en cualquier momento y sin restricciones (numeral VII de la Circular 002 de 2024), que en su proceso se usó una herramienta con apoyo de IA, a expresar su punto de vista y a solicitar que un ser humano revise cualquier resultado que le haya sido comunicado.
• Privacidad diferencial y anonimización en la analítica (numeral VI): cuando MENTIS o sus Encargados realicen analítica agregada sobre datos de candidatos (por ejemplo, estadísticas de un proceso), se aplican técnicas que impidan identificar individualmente a los Titulares a partir de esos resultados.
• No se usa información de Titulares para entrenar modelos de terceros. MENTIS configura sus herramientas de IA (incluidas las de uso interno del equipo) para que la información que allí se introduzca no se use para entrenar o mejorar modelos de terceros ajenos a MENTIS.
• Seguridad multidimensional y auditable (numeral VIII): las medidas de seguridad frente a un Tratamiento con IA son tecnológicas, humanas, administrativas, físicas y contractuales, y deben poder auditarse — no basta con que existan, MENTIS debe poder demostrar que funcionan.
• Confidencialidad de la información de clientes. Ninguna información confidencial de un cliente contratante, ni datos identificables de un candidato o Titular, se introduce en una herramienta de IA de acceso público o no autorizada por MENTIS. El uso permitido de herramientas de IA por el equipo de MENTIS, y las que están prohibidas, se regula en la política interna de uso de IA (documento independiente del alcance de este Grupo 1).
• Transparencia sobre los proveedores. El inventario del numeral 11 identifica qué proveedores de tecnología usados por MENTIS emplean IA en el procesamiento de los datos, y en qué consiste ese procesamiento.

Las garantías de este numeral rigen, por defecto, todos los procesos de MENTIS. Cuando un cliente contratante exija contractualmente la exclusión total de herramientas de Inteligencia Artificial para un proceso específico —una restricción más estricta que la de este numeral, propia de ese contrato puntual y no de la operación general de MENTIS—, esa exclusión prevalece únicamente para ese proceso, se ejecuta de forma manual conforme lo exija el cliente, y se documenta en el protocolo específico y en el Formato de plataformas autorizadas propios de ese proceso, sin que ello modifique esta Política general.

11. ENCARGADOS DEL TRATAMIENTO, PLATAFORMAS Y PROVEEDORES

11.1 Regla general

MENTIS puede apoyarse en Encargados del Tratamiento (plataformas tecnológicas, proveedores de evaluación, firmas de estudios de seguridad, y similares) para prestar sus servicios. En todos los casos, MENTIS exige por escrito, mediante el instrumento contractual correspondiente (contrato de transmisión de datos o "encargo del tratamiento", conforme al artículo 25 del Decreto 1377 de 2013), como mínimo:

• Los alcances del Tratamiento autorizado y las actividades que el Encargado realizará por cuenta de MENTIS.
• El deber del Encargado de dar Tratamiento a los datos únicamente conforme a las instrucciones de MENTIS y a la finalidad autorizada por el Titular, sin usarlos para fines propios (incluido mercadeo propio del Encargado) ni comunicarlos a terceros no autorizados.
• El deber de confidencialidad del Encargado, aun después de terminada la relación contractual.
• Las medidas de seguridad técnicas, humanas y administrativas que el Encargado debe mantener.
• La obligación de notificar a MENTIS cualquier incidente de seguridad que afecte los datos, en un plazo razonable y en todo caso no mayor al que MENTIS haya pactado con su propio cliente para el proceso correspondiente.
• El deber de identificar a MENTIS ante el Titular como el Responsable del Tratamiento (o corresponsable, según el caso), sin remitir el ejercicio de sus derechos exclusivamente al canal propio del Encargado.
• La aprobación previa y por escrito de MENTIS antes de que el Encargado subcontrate a un sub-encargado, con copia del contrato de subcontratación correspondiente.
• El destino de los datos al terminar la relación (devolución o eliminación certificada), y el plazo para ello.
• Cuando el Encargado esté ubicado fuera de Colombia o transmita los datos fuera del país, el reconocimiento expreso de que la transmisión se rige por la Ley 1581 de 2012 y el Decreto 1377 de 2013, sin perjuicio de que el Encargado también deba cumplir su normativa local.

11.2 Regla de entrada para toda plataforma o herramienta nueva

Antes de conectar cualquier plataforma, aplicación o herramienta nueva a un proceso que trate datos personales, MENTIS verifica y documenta:

• Quién es el proveedor (razón social completa, identificación fiscal, país de constitución) y dónde están ubicados sus servidores.
• Qué categorías de datos personales tratará, si incluyen datos sensibles, y con qué finalidad.
• Si existe un instrumento contractual que cumpla el numeral 11.1 de esta Política, firmado antes de iniciar el Tratamiento.
• Si el flujo de autorización de la herramienta nombra a MENTIS como Responsable y enlaza esta Política, o si, por el contrario, remite al Titular únicamente al proveedor — en cuyo caso la herramienta no se habilita hasta corregir ese flujo.
• Si la herramienta implica transferencia o transmisión internacional, aplicando el numeral 12.
• Si la herramienta usa Inteligencia Artificial, aplicando el numeral 10.
• Qué plazo de retención y qué mecanismo de eliminación ofrece, y si es compatible con el numeral 18 de esta Política.

Ninguna de estas siete verificaciones puede quedar pendiente después de que la herramienta ya esté en uso. El resultado de esta verificación se documenta en el inventario de plataformas y Encargados que MENTIS mantiene actualizado internamente.

11.3 Regla específica — empleados entregados por un cliente

Cuando un cliente contratante entregue a MENTIS los datos de uno de sus propios empleados para un servicio de valoración, MENTIS verifica, antes de tratar esos datos, que la autorización del empleado sea personal, libre y verificable, y no una autorización genérica dada por el empleador en nombre de su trabajador. MENTIS puede exigir evidencia de esa autorización o recogerla directamente del empleado antes de iniciar el servicio.

12. TRANSFERENCIA Y TRANSMISIÓN INTERNACIONAL DE DATOS

MENTIS declara expresamente que, en el desarrollo de su actividad de atracción y evaluación de talento para clientes en Colombia y en el exterior (incluyendo países de Latinoamérica, Estados Unidos y otras jurisdicciones), transfiere y transmite datos personales de candidatos y Titulares colombianos fuera del territorio nacional.

MENTIS también puede apoyarse en Encargados tecnológicos con servidores fuera de Colombia.

Reglas aplicables:

• Toda transferencia internacional (envío de datos a un tercero que actúa como Responsable independiente, por ejemplo, el cliente contratante en el exterior) requiere: (i) autorización expresa e inequívoca del Titular, informándole el país o países de destino, o (ii) que el país de destino esté incluido en el listado de países con nivel adecuado de protección que publica y mantiene actualizado la SIC (Capítulo 3, Título V de su Circular Única), o (iii) que se configure alguna de las demás excepciones del artículo 26 de la Ley 1581 de 2012 (datos médicos por razones de salud o higiene pública, transferencias bancarias o bursátiles, tratados internacionales con reciprocidad, ejecución de un contrato entre el Titular y MENTIS, o exigencia legal para salvaguardar el interés público o un proceso judicial).
• MENTIS verifica el listado vigente de la SIC antes de cada transferencia relevante, y no asume que un país sigue siendo adecuado de una vez para siempre. A la fecha de esta Política, ese listado incluye, entre otros y en lo que concierne particularmente a la operación de MENTIS, a Estados Unidos, México, Perú y Costa Rica (los cuatro países de América reconocidos) y a numerosos países europeos — lo que cubre buena parte de los destinos reales de MENTIS (Estados Unidos y varios países de Latinoamérica), sin perjuicio de que MENTIS opera también con clientes en países que pueden no estar en ese listado, caso en el cual aplican las reglas 1 y 4 de este numeral.
• Cuando el país de destino no esté en el listado de nivel adecuado y no se cuente con autorización expresa del Titular ni aplique otra excepción del artículo 26, MENTIS puede ampararse en Cláusulas Contractuales Tipo u otro instrumento equivalente, conforme a los lineamientos de la Circular Externa 001 de 2025 de la SIC, o gestionar ante la SIC la declaración de conformidad correspondiente, antes de realizar la transferencia.
• Toda transmisión internacional (envío de datos a un Encargado que trata los datos por cuenta de MENTIS, por ejemplo, una plataforma tecnológica con servidores en el exterior) se ampara en el contrato de transmisión que exige el numeral 11.1 de esta Política, sin que se requiera autorización adicional del Titular distinta de la ya otorgada para el Tratamiento, conforme al artículo 24 del Decreto 1377 de 2013, hoy compilado, junto con el resto del Decreto 1377, en el Título 2, Capítulo 25 del Decreto Único Reglamentario 1074 de 2015.
• La autorización específica de cada proceso (por ejemplo, el Formulario de autorización de un proceso de headhunting para un cliente en el exterior) informa expresamente al candidato el país o países de destino de sus datos.

13. DEBERES DE MENTIS COMO RESPONSABLE DEL TRATAMIENTO

MENTIS, como Responsable, se obliga a:

• Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio de sus derechos.
• Solicitar y conservar copia de la respectiva autorización otorgada por el Titular.
• Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten.
• Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
• Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible.
• Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento todas las novedades respecto de los datos que le hubiere suministrado, y adoptar las medidas para que la información se mantenga actualizada.
• Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento.
• Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado.
• Exigir al Encargado del Tratamiento el respeto a las condiciones de seguridad y privacidad de la información del Titular.
• Tramitar las consultas y los reclamos formulados en los términos de esta Política.
• Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la ley y, en especial, para la atención de consultas y reclamos.
• Informar a la SIC cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.
• Cumplir las instrucciones y requerimientos que imparta la SIC.
• Registrarse en el Registro Nacional de Bases de Datos (RNBD) cuando corresponda. Conforme al Decreto 090 de 2018 (que redujo el universo de obligados) y al Capítulo Segundo, Título V de la Circular Única de la SIC, están obligadas a inscribir y actualizar anualmente sus bases de datos en el RNBD las sociedades y entidades sin ánimo de lucro cuyo total de activos sea igual o superior a 100.000 UVT (cifra que se actualiza cada año conforme a la UVT vigente), además de las entidades públicas. Las micro y pequeñas empresas y las personas naturales no están obligadas a registrarse, con independencia de su número de empleados. MENTIS debe verificar, con su área contable, si sus activos totales superan ese umbral en el año fiscal correspondiente. Si no lo superan, MENTIS queda exceptuada del registro obligatorio en el RNBD, sin que ello la exima de ninguna otra obligación de la Ley 1581 de 2012 ni de esta Política. Si lo supera, MENTIS realiza la inscripción y la actualización anual (entre el 2 de enero y el 31 de marzo de cada año) en la plataforma de la SIC.

14. DERECHOS DE LOS TITULARES

Todo Titular tiene derecho a:

• Conocer, actualizar y rectificar sus datos personales frente a MENTIS.
• Solicitar prueba de la autorización otorgada, salvo cuando expresamente se exceptúe como requisito para el Tratamiento.
• Ser informado por MENTIS, previa solicitud, respecto del uso que le ha dado a sus datos personales.
• Presentar ante la SIC quejas por infracciones a la ley, una vez haya agotado el trámite de consulta o reclamo ante MENTIS.
• Revocar la autorización y/o solicitar la supresión del dato, cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales, o cuando así lo requiera por cualquier otra razón legítima.
• Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento, al menos una vez al mes, y cada vez que existan modificaciones sustanciales de esta Política.
• Conocer, de forma previa y oportuna, cualquier modificación sustancial a esta Política.

Los derechos aquí descritos pueden ejercerse por: el propio Titular, quien debe acreditar su identidad; sus causahabientes, quienes deben acreditar tal calidad; el representante o apoderado del Titular, previa acreditación de la representación o apoderamiento; o por estipulación a favor de otro o para otro. Los menores de edad ejercen estos derechos personalmente o a través de quienes ejerzan su patria potestad, sin perjuicio del régimen especial descrito en el numeral 9 respecto del Tratamiento de sus propios datos.

15. PROCEDIMIENTO PARA CONSULTAS Y RECLAMOS

15.1 Consultas

El Titular o sus causahabientes pueden consultar la información personal del Titular a través del canal descrito en el numeral 16. MENTIS atiende la consulta en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo. Cuando no fuere posible atenderla dentro de dicho término, se informará al interesado, antes del vencimiento del plazo, los motivos de la demora y la fecha en que se atenderá su consulta, la cual en ningún caso puede superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

15.2 Reclamos

El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o adviertan el presunto incumplimiento de cualquiera de los deberes de esta Política, pueden presentar un reclamo ante MENTIS, con:

• La identificación del Titular.
• La descripción de los hechos que dan lugar al reclamo.
• La dirección física o electrónica para recibir la respuesta.
• Los documentos que se quiera hacer valer.

Si el reclamo resulta incompleto, MENTIS requerirá al interesado dentro de los cinco (5) días hábiles siguientes a su recepción para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.

En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.

Una vez recibido el reclamo completo, se incluirá en la base de datos correspondiente una leyenda que diga "reclamo en trámite" y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda se mantendrá hasta que el reclamo sea decidido.

El término máximo para atender el reclamo es de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atenderlo dentro de dicho término, se informará al interesado, antes del vencimiento del plazo, los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso puede superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

15.3 Requisito de procedibilidad

El Titular solo puede elevar queja ante la SIC una vez haya agotado el trámite de consulta o reclamo ante MENTIS.

16. PERSONA RESPONSABLE ANTE LOS TITULARES

Conforme al artículo 23 del Decreto 1377 de 2013, MENTIS designa como responsable de la función de protección de datos personales, y de dar trámite a las solicitudes de los Titulares, a quien ejerce en cada momento la Representante Legal de MENTIS CONSULTANTS S.A.S. — hoy, Leidy Yohana Giraldo González. No se trata de un cargo o grado adicional dentro de la organización, sino de una función que la Representante Legal asume directamente, en ejercicio de su propia representación de la sociedad, conforme se detalla en el Acuerdo interno de manejo de procesos (documento independiente de este Grupo 1).

Correo electrónico	leyhabeasdata@mentis.com.co
Dirección física	Carrera 48A No. 16 Sur – 86, Oficina 611, Edificio Plex Corporativo, Medellín
Teléfono	311 333 2224

Este canal es, para todos los efectos, el punto de entrada de cualquier Titular que quiera ejercer sus derechos frente a MENTIS, incluyendo cuando el dato fue recolectado por un Encargado o proveedor tecnológico de MENTIS. Ningún Encargado puede remitir al Titular exclusivamente a su propio canal de atención (ver numeral 11.1.6).

17. SEGURIDAD DE LA INFORMACIÓN

MENTIS mantiene medidas técnicas, humanas y administrativas para proteger los datos personales que trata, de acuerdo con la naturaleza de los datos, los riesgos identificados y su tamaño empresarial. El desarrollo detallado de estas medidas —control de acceso, cifrado, gestión de incidentes, gestión documental, y las reglas específicas por tipo de dato que resulten del diccionario de datos de MENTIS— consta en la Política Interna de Seguridad de la Información, documento formal e independiente que esta Política invoca y del cual constituye el complemento operativo obligatorio.

18. CONSERVACIÓN, ACTUALIZACIÓN Y ELIMINACIÓN DE LA INFORMACIÓN

MENTIS conserva los datos personales durante el tiempo que sea necesario para cumplir la finalidad que justificó su recolección, conforme al principio de finalidad (numeral 4.b) y sin perjuicio del derecho del Titular a revocar su autorización o a solicitar la supresión de sus datos en cualquier momento (numeral 14.5). Dentro de ese marco, uno de los fines legítimos e informados de MENTIS —declarado expresamente en el numeral 7.2 y documentado en el Anexo C de la Autorización Marco— es mantener una base de datos propia y actualizada de las personas que han participado en sus procesos, para poder seguir contactándolas y considerándolas frente a oportunidades futuras. Por eso la conservación prolongada de un dato no es una excepción a evitar, sino el resultado normal de una autorización específica, informada y vigente para ese fin. Estas son las reglas generales que rigen la conservación y la eliminación, y que reemplazan las distintas cifras de retención que coexistían hasta la fecha en los documentos de MENTIS y de sus proveedores:

• Datos de candidatos y postulantes en un proceso activo: se conservan durante toda la vigencia del proceso y hasta veinticuatro (24) meses después de finalizado, salvo que antes el Titular autorice su conservación en el banco de talento propio de MENTIS (numeral 2 siguiente) o revoque su autorización.
• Banco de talento propio (Anexo C de la Autorización Marco): cuando el Titular otorgue esta autorización específica e independiente, MENTIS conserva sus datos por tiempo indefinido, mientras esa autorización esté vigente, para presentarlo por iniciativa propia a distintos clientes contratantes, actuales y prospectivos, frente a procesos futuros que se ajusten a su perfil. Esta conservación está sujeta a dos condiciones permanentes: (i) el Titular puede revocarla en cualquier momento y sin costo, a través del canal del numeral 16, con el efecto de eliminación descrito en el numeral 5 siguiente; y (ii) MENTIS invita al Titular a confirmar la vigencia y actualidad de su información al menos cada tres (3) años, o cada vez que vuelva a considerarlo para un proceso, en aplicación del principio de veracidad o calidad (numeral 4.d). La falta de respuesta a esa invitación no equivale a revocación: mientras el Titular no revoque expresamente su autorización, MENTIS puede seguir conservando el dato.
• Datos sensibles (biométricos, resultados de estudios de seguridad, resultados de pruebas psicotécnicas o conductuales, notas de acompañamiento psicológico): se eliminan al cierre del proceso específico para el que se recolectaron, salvo autorización expresa, independiente y por finalidad distinta que justifique un plazo mayor.
• Documentación asociada a la relación contractual con clientes y proveedores: se conserva por el término que exijan las normas tributarias, contables, comerciales y laborales aplicables.
• Cuando se cumpla el supuesto de eliminación que corresponda según los numerales anteriores —vencimiento del plazo sin autorización de banco de talento, revocación, cierre del proceso para datos sensibles, o solicitud del Titular—, MENTIS elimina la información de forma segura en todos los repositorios en los que exista (archivo físico, archivo digital propio y los repositorios de sus Encargados), conforme al procedimiento descrito en el Manual general de atención de PQR y borrado seguro.

19. MODIFICACIONES A LA POLÍTICA

Cualquier cambio sustancial en las políticas de Tratamiento de MENTIS se comunicará de forma oportuna a los Titulares afectados, antes de o a más tardar al momento de implementar las nuevas políticas, a través de los canales de contacto disponibles. Se entiende por cambio sustancial cualquier modificación que afecte el contenido de esta Política y no simples actualizaciones formales o de redacción.

20. VIGENCIA

Esta Política entra en vigencia el 1 de septiembre de 2026 y reemplaza en su totalidad a la "Política General de Tratamiento de la Información" vigente desde el 27 de junio de 2013 (última revisión formal en noviembre de 2024). Las bases de datos administradas por MENTIS a la fecha de esta Política tendrán una vigencia igual al tiempo en que se mantenga y utilice la información con alguna de las finalidades aquí descritas, conforme al numeral 18.