POLÍTICA DE
TRATAMIENTO DE
DATOS PERSONALES

1.1. OBJETO DE LA POLÍTICA

El objeto del presente documento es el desarrollo de políticas y procedimientos que aborden de manera suficiente el derecho constitucional al hábeas data de todos los titulares de los datos personales que sean recolectados, administrados, o conservados por la Compañía.

1.2. ALCANCE Y ÁMBITO DE APLICACIÓN DE LA POLÍTICA

La Política será aplicable a las bases de datos que se encuentren bajo la administración de la Compañía, y cuando recolecte directamente la información actuará como responsable de los datos personales, y en el caso que dichas bases de datos le sean suministradas por terceros, actuará como encargada de los datos.

Todos los funcionarios y colaboradores de la Compañía quedan obligados a cumplir con la política aquí implementada, y la Compañía adelantará las labores de difusión necesarias para que las áreas que tienen un mayor nivel de interacción con la administración de las bases de datos personales, conozcan la regulación sobre estos aspectos, así como la presente política.

1.3. PRINCIPIOS RECTORES DEL TRATAMIENTO DE LA INFORMACIÓN PERSONAL

1. Principio de legalidad: el tratamiento de los datos personales es una actividad reglada que debe sujetarse a lo establecido en la Ley 1581 de 2012 y en las demás disposiciones que la desarrollen.
2. Principio de finalidad: el tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al titular de los datos personales.
3. Principio de libertad: el tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular de los datos personales. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.
4. Principio de veracidad o calidad: la información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.
5. Principio de transparencia: en el tratamiento de los datos personales se deberá garantizar el derecho del titular a obtener del responsable del tratamiento o del encargado del tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.
6. Principio de acceso y circulación restringida: el tratamiento de los datos personales se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la Ley 1581 de 2012 y la Constitución. En este sentido, el tratamiento sólo podrá hacerse por personas autorizadas por el titular de los datos personales y/o por las personas previstas en la Ley 1581 de 2012 y demás normas concordantes.
   
   Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la Ley 1581 de 2012 y demás normas concordantes.
7. Principio de seguridad: la información sujeta a tratamiento por el responsable del tratamiento o encargado del tratamiento a que se refiere la Ley 1581 de 2012 se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
8. Principio de confidencialidad: todas las personas que intervengan en el tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información.

1.4. DEBERES DE LA COMPAÑÍA COMO RESPONSABLE DEL TRATAMIENTO DE LOS DATOS PERSONALES

Conforme al Artículo 18 de la Ley 1581 de 2012, la Compañía, en el evento de actuar como Responsable del Tratamiento, deberá cumplir especialmente con los siguientes deberes:

1. Garantizar al titular de los datos personales, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
2. Solicitar y conservar, en las condiciones previstas en la Ley 1581 de 2012, copia de la respectiva autorización otorgada por el titular, para el tratamiento de sus datos.
3. Informar debidamente al titular de los datos personales, sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.
4. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
5. Garantizar que la información que se suministre al encargado del tratamiento, en caso de ser procedente, sea veraz, completa, exacta, actualizada, comprobable y comprensible.
6. Actualizar la información, comunicando de forma oportuna al encargado del tratamiento, en caso de ser procedente, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada.
7. Cuando sea procedente, rectificar la información cuando sea incorrecta y comunicar lo pertinente al encargado del tratamiento.
8. Suministrar al encargado del tratamiento, según el caso, únicamente datos cuyo tratamiento esté previamente autorizado de conformidad con lo previsto en la Ley 1581 de 2012.
9. Exigir al encargado del tratamiento, en caso de ser procedente, en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del titular de la información personal.
10. Tramitar las consultas y reclamos formulados en los términos señalados en la Ley 1581 de 2012.
11. Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley 1581 de 2012 y en especial, para la atención de consultas y reclamos.
12. Informar al encargado del tratamiento cuando determinada información se encuentra en discusión por parte del titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo.
13. Informar a solicitud del titular sobre el uso dado a sus datos.
14. Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares de la información.
15. Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

1.5. DEBERES DE LA COMPAÑÍA COMO ENCARGADA DEL TRATAMIENTO DE LOS DATOS PERSONALES

Conforme al Artículo 18 de la Ley 1581 de 2012, la Compañía, en el evento de actuar como Encargada del Tratamiento, deberá cumplir especialmente con los siguientes deberes:

1. Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
2. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
3. Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la Ley 1581 de 2012.
4. Actualizar la información reportada por los Responsables del Tratamiento dentro de los cinco (5) días hábiles contados a partir de su recibo.
5. Tramitar las consultas y los reclamos formulados por los Titulares en los términos señalados en la Ley 1581 de 2012.
6. Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley 1581 de 2012 y, en especial, para la atención de consultas y reclamos por parte de los Titulares.
7. Registrar en la base de datos la leyenda "reclamo en trámite" en la forma en que se regula en la Ley 1581 de 2012.
8. Insertar en la base de datos la leyenda "información en discusión judicial" una vez notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal.
9. Abstenerse de circular información que esté siendo controvertida por el titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio.
10. Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella.
11. Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares.
12. Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

1.6. DERECHOS DE LOS TITULARES DE LOS DATOS PERSONALES

Los titulares podrán ejercer los siguientes derechos, frente a la Compañía:

1. Conocer, actualizar y rectificar sus datos personales, y que hagan parte de las bases de datos de la Compañía. Este derecho se podrá ejercer, entre otros, frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté expresamente prohibido o no haya sido autorizado.
2. Solicitar prueba de la autorización otorgada a la Compañía, salvo cuando expresamente se exceptúe como requisito para el tratamiento, de conformidad con lo previsto en el artículo 10 de la Ley 1581 de 2012 y demás normas concordantes.
3. Ser informado por la Compañía, previa solicitud, respecto del uso que les han dado a sus datos personales.
4. Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la ley.
5. Revocar la autorización y/o solicitar la supresión de sus datos personales, siempre que sea legalmente procedente.
6. Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento.

Parágrafo 1°: la Compañía podrá realizar el tratamiento de datos personales de niños, niñas y adolescentes, siempre y cuando estén previamente autorizados por sus representantes legales. En todo caso, en el tratamiento de los datos personales realizado por la Compañía siempre prevalecerá el interés superior de los niños, niñas y adolescentes, y la Compañía se asegurará del respeto de sus derechos fundamentales.

Parágrafo 2°: en las solicitudes que sean elevadas a la Compañía, es necesario que el titular de los datos personales se identifique plenamente, indicando, nombre completo, número de cédula, y datos de contacto para ponernos en comunicación con este. En caso de que la solicitud no sea completa será contactado el titular o quien esté requiriendo la solicitud, para así continuar con el proceso en el momento en el que se presente la solicitud completa o para informarle que el requerimiento no tuvo un proceso exitoso. Adicionalmente, y en desarrollo del Artículo 14 de la Ley 1581 de 2012, los titulares o sus causahabientes podrán consultar la información que de estos reposen en las bases de datos administradas por la Compañía, y estos deberán acreditar su identidad de la siguiente manera, exhibiendo o anexando una copia de su documento de identidad válido. Los sucesores y/o causahabientes deberán acreditar el parentesco adjuntando copia de los respectivos registros civiles de defunción y nacimiento, y copia de los respectivos documentos de identidad válidos.

1.7. CANALES DE ATENCIÓN A LOS TITULARES DE LOS DATOS PERSONALES

La Compañía ha establecido los siguientes canales de atención para cualquier solicitud de los titulares de datos personales, bien sean consultas, quejas, reclamos, etc., los cuales serán atendidos en los términos de ley, y por el área encargada al interior de la Compañía:

1.8. BASES DE DATOS Y FINALIDADES DEL TRATAMIENTO DE LOS DATOS PERSONALES

La Compañía dará tratamiento a los datos personales de los titulares de la información, para el correcto desarrollo de su objeto social y la debida prestación de los servicios que presta en el mercado. La Compañía ha organizado las bases de datos de acuerdo con el grupo de interés al que pertenecen los titulares de los datos recolectados, así:

Clientes: el tratamiento de los datos se realizará por parte de la Compañía, con la finalidad de prestar los servicios que comercializan en el mercado, así mismo serán usados para fines administrativos y comerciales con el fin de mantener informados y actualizados a los clientes en asuntos de interés. De igual manera, para desarrollar las actividades propias de la relación comercial, precontractual o contractual, entre ellas, la recolección y el envío de información relevante en cada etapa.

Proveedores, contratistas y asesores: se realizará con el fin de contactar con los proveedores para poder realizar trámites de los productos y servicios con el que se tiene relación, para así poder continuar con el funcionamiento natural la operación.

Empleados: se realizará para fines relacionados con el empleo, como contratación, y ejecución durante el tiempo en que los terceros estén empleados con la Compañía.

Parágrafo 1°: con base en las autorizaciones individuales que para cada caso se recolecten por parte de los titulares de los datos personales y sin perjuicio de las demás finalidades que se consignen en dichos documentos, la Compañía podrá:

1. Consultar y acceder a la información almacenada sobre los titulares, para suministrarla a una entidad que lo requiera, entidades como central de riesgos, central financiera o entidades judiciales o administrativas y demás entes del Estado que, en ejercicio de sus funciones, soliciten dicha información.
2. Evaluar la información suministrada por titulares.
3. Almacenar, conocer y procesar la información suministrada por cada titular, en la base de datos.
4. Analizar y utilizar la información suministrada por los titulares para el mejoramiento de las condiciones mercantiles que la Compañía requiere.
5. Clasificar y organizar la información de la manera más correcta según lo disponga la Compañía.
6. Datos Sensibles: el titular tiene derecho a optar por no responder cualquier información sensible solicitada por la Compañía; estos datos se encuentran en el Artículo 5 de la Ley Estatutaria 1581 de 2012.

1.9. SEGURIDAD DE LOS DATOS PERSONALES Y DE LA INFORMACIÓN

La Compañía maneja medidas de seguridad para que los datos de los titulares no sean copiados, divulgados o que tengan modificaciones sin autorización.

El acceso a los datos personales se restringe a personal y representantes de la Compañía, en la medida que deban llevar a cabo sus actividades ordinarias en razón de su vínculo con la Compañía, y por ende necesiten conocer los datos brindados por el titular de la información.

1.10. LEGISLACIÓN APLICABLE

Esta política se encuentra subordinada a las regulaciones de hábeas data establecidas en la Ley 1581 de 2012, y demás normas vigentes que la complementen, modifiquen o adicionen.

1.11. TRATAMIENTO DE DATOS PERSONALES MEDIANTE HERRAMIENTAS DE INTELIGENCIA ARTIFICIAL

La Compañía utiliza herramientas de inteligencia artificial (en adelante "IA") como apoyo en sus procesos administrativos, comerciales y de gestión interna. En consecuencia, se informa a los Titulares lo siguiente:

1. Finalidad del tratamiento mediante IA: los datos personales que sean procesados por herramientas de IA se usarán exclusivamente para las mismas finalidades descritas en el numeral 1.8 de esta Política (relación comercial, precontractual, contractual, administrativa y de gestión de proveedores), nunca para finalidades adicionales o distintas.
2. Encargados del tratamiento: cuando la Compañía utilice proveedores de IA para el procesamiento de datos personales, dichos proveedores actuarán como Encargados del Tratamiento en los términos del Artículo 18 de la Ley 1581 de 2012, y estarán sujetos contractualmente a las mismas obligaciones de seguridad y confidencialidad exigidas a la Compañía.
3. Transferencia internacional de datos: algunos proveedores de inteligencia artificial utilizados por la Compañía pueden procesar información en servidores ubicados fuera de Colombia. La Compañía adoptará las medidas necesarias para incluir esta autorización en los formularios de recolección de datos vigentes, en los términos del Artículo 26, literal a) de la Ley 1581 de 2012.
4. Decisión humana: ninguna decisión que afecte de manera significativa a un Titular (aprobación o rechazo de una relación comercial, contractual o laboral) se tomará de forma exclusivamente automatizada por un sistema de IA. Toda recomendación generada por IA está sujeta a revisión y decisión final por parte de una persona natural responsable dentro de la Compañía.
5. Medidas de seguridad adicionales: la información sujeta a tratamiento por IA se maneja bajo las mismas medidas de seguridad descritas en el numeral 1.9, restringiendo su acceso a herramientas de IA expresamente autorizadas por la Compañía, y prohibiendo su ingreso a herramientas de IA no autorizadas o de uso personal no corporativo.