Tabla contenido

 

 

 

 

Introducción

 

1.1. Ámbito de aplicación

 

1.2. Marco legal

 

1.3. Objeto

 

1.4. Alcance

 

1.5. Registro Nacional de Bases de Datos

 

1.6. Definiciones

 

2. 1.Principios

 

2.2. Derechos de los titulares

 

2.3. Personas facultadas para ejercer los derechos

 

3. Deberes  y prohibiciones de la Gobernación de Santander

 

3.1. Deberes del responsable

 

3.2. Deberes del encargado

 

3.3. Prohibiciones

 

4. Finalidad del tratamiento

 

5. Autorización

 

5.1. Casos en que no se requiere autorización

 

5.2. Mecanismos para otorgar la autorización

 

5.3. Prueba autorización

 

5.4. Autorización datos sensibles 

 

5.5. Revocatoria autorización

 

5.6. Datos recolectados  antes de la expedición de la ley

 

6. Aviso de privacidad

 

7.  Ejercicio de los derechos por parte de  los titulares

 

7.1. Consulta

 

7.2. Reclamos

 

7.3.. Rectificación  , actualización   & supresión de datos

 

7.4. Prueba de la autorización

 

8. Canales de comunicación

 

9. Medidas de seguridad

 

10. Bases de datos identificadas

 

 

Introducción

 

 

A partir de la expedición de la constitución política de 1991, el estado colombiano estableció como eje fundamental el respeto a la dignidad humana; de esta forma elevo a rango el derecho fundamental  a la intimidad personal y familiar, el buen nombre ,  otorgando herramientas para su protección, reconociendo adicionalmente otras prerrogativas como el derecho conocer, actualizar y rectificar  los datos  obtenidos, que se encuentren almacenados en bases de datos , imponiendo desde aquella fecha  una restricción a su circulación y tratamiento especial.

 

El órgano legislativo nacional, acatando lo dispuesto  en la carta magna, expide la ley 1266 de 2008  para establecer unas reglas frente al manejo de datos dentro del sistema financiero, dejando un vacío para el tratamiento de datos personales en  las demás entidades; por tal razón, se profiere la ley 1581 de 2012, que regulo en forma general la protección del dato personal.

 

La citada ley 1581 en sus artículos 17 literales k) y 18 literal f)  pregona  como uno de los deberes del encargado  y responsable, adoptar un manual interno de políticas  y procedimiento para el tratamiento de datos personales, permitiéndole de esta forma al titular ejercer sus derechos, consultas   y reclamos.

 

Posteriormente el legislativo expide el decreto 1377 de 2013, que reglamenta la ley 1581  de 2012, y  establece los mecanismos para facilitar la implementación de los postulados mencionados en la citada ley 1581 dejando claro el contenido mínimo de la política para la protección de datos personales, la cual se desarrolla a través del presente manual, otorgándole a los titulares de los datos que tienen relación con COLSERVICO & SUMINISTROS S.A.S, la certeza del cumplimiento de los postulados legales y la forma para hacer efectivos sus derechos; es por esto, que COLSERVICO & SUMINISTROS S.A.S atendiendo al mandato legal y jurisprudencial, adopta el presente manual interno de políticas y procedimiento para el tratamiento de datos personales, el cual será la base para regular la relación entre los titulares de los datos y la compañía

 

 

1.1. Ámbito de aplicación

 

Las políticas y procedimientos consagrados en el presente manual se aplicarán a todos los datos personales que se registren en las bases de datos que se encuentre bajo la custodia, administración o que lleguen hacer de conocimiento de COLSERVICO & SUMINISTROS S.A.S, en virtud del desarrollo de su objeto social o de las relaciones con clientes, contratistas, proveedores, aspirantes, trabajadores, accionistas y demás partes interesadas. Este manual, será aplicado para el tratamiento de los datos dentro del territorio nacional e inclusive a un receptor internacional, a quien se le exigirá el cumplimiento de las normas sobre tratamiento de datos personales; en el remoto evento que se requiere compartir datos por fuera del territorio nacional.

 

 

1.2. Marco legal

 

El presente manual  de políticas y procedimientos de protección de datos personales, para su implementación e interpretación, estará  basado en la siguiente legislación aplicable

 

5. Articulo 15 constitución política de Colombia

 

5. Ley 1266 de 2008

 

5. Ley 1273 de 2009

 

5. Ley 1581 de 2012

 

5. Decreto 1727 de 2009

 

5. Decreto 2952 de 2010

 

5. Decreto 1377 de 2013

 

5. Decreto 886 de 2014

 

5. Decreto 1074 de 2015

 

5. Decreto 090 de 2018

 

5. Sentencia C-1011 de 2008

 

5. Sentencia C- 748 de 2011

 

5. Circular externa 02 del 03 de noviembre de 2015 & circular externa 001 del 8 de noviembre de 2016 emitida por la Superintendencia de Industria y Comercio

 

5. Circular externa 008 del 18 de agosto de 2020 emitida por la Superintendencia de Industria y Comercio

 

 

1.3. Objeto

 

Las políticas y procedimientos establecidos en el presente manual, tienen como finalidad el cumplimiento de la normatividad vigente que protege los datos personales de los titulares, además del ejercicio del derecho a la consulta, y la facultad de presentar reclamos.

 

 

1.4. Alcance

 

Las disposiciones legales y las establecidas en el presente manual, serán de obligatorio cumplimiento para COLSERVICO & SUMINISTROS S.A.S frente a todos los datos personales registrados en las bases de datos de la compañía, por consiguiente será su deber socializarla en debida forma el contenido del manual o dar a conocer el aviso de privacidad; en todo caso, será su deber instruir a los titulares en los derechos, deberes y obligaciones legales que les asiste frente al tratamiento de datos personales

 

De igual forma, se exigirá su cumplimiento a proveedores, contratistas, clientes, trabajadores, accionistas, bien sean personas naturales o jurídicas, aspirante, aprendices y demás terceros interesados que por razones comerciales o del objeto social de COLSERVICO & SUMINISTROS S.A.S, lleguen a tener acceso a las bases de datos.

 

Este manual se publicará en la página web de COLSERVICO & SUMINISTROS S.A.S y podrá ser consultado gratuitamente por cualquier persona.

 

 

1.5. Registro de bases de datos

 

COLSERVICO & SUMINISTROS S.A.S., al tenor de lo dispuesto en el decreto 090 de 2018, artículo primero, no posee activos totales superiores a 100.000 UVT, por consiguiente, no está obligada a efectuar la inscripción de sus bases de datos en el RNBD

 

 

1.6. Definiciones

 

Para efectos del desarrollo del presente manual de políticas y tratamiento de datos personales, ajustándose de conformidad con la normatividad aplicable a la materia se adoptan las siguientes definiciones contenidas en la ley 1266 de 2008, ley 1581 de 2012 y el capítulo 25 del Decreto 1074 de 2015:

 

Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el tratamiento de datos personales.

 

Agencia de información comercial: Es toda empresa legalmente constituida que tenga como actividad principal la recolección, validación y procesamiento de información comercial sobre las empresas y comerciantes específicamente solicitadas por sus clientes, entendiéndose por información comercial aquella información histórica y actual relativa a la situación financiera, patrimonial, de mercado, administrativa, operativa, sobre el cumplimiento de obligaciones y demás información relevante para analizar la situación integral de una empresa. Para los efectos de la presente ley, las agencias de información comercial son operadores de información y fuentes de información.

 

Aviso de privacidad: Comunicación verbal o escrita generada por el Responsable, dirigida al Titular para el Tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de Tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los datos personales

 

Base de datos: Conjunto organizado de datos personales que sea objeto de tratamiento.

 

Causahabiente: Persona que ha sucedido a otra por causa del fallecimiento de ésta (heredero).

 

Dato personal: Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen de protección de datos de la presente ley. Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal. Los datos personales pueden ser públicos, semiprivado o privados

 

Dato privado: Es el dato que por su naturaleza intima o reservada sólo es relevante para su Titular.

 

Dato semiprivado: Son datos que no tienen una naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no solo a su Titular sino a un grupo de personas o a la sociedad en general. Para su tratamiento se requiere la autorización expresa del Titular de la información (ejemplo: dato financiero y crediticio).

 

Dato público:  Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las persona

 

Datos sensibles: Se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías. Igualmente hacen parte de esta categoría los datos biométricos, a la vida sexual y los relativos a la salud.

 

Datos de las niñas, niños y adolescentes: Estos datos podrán ser tratados en la medida en que dicho tratamiento responda y respete el interés superior de las niñas, niños y adolescentes y se asegure el respeto a sus derechos fundamentales, para lo cual el representante legal del menor de edad, (quien ejerza la patria potestad), otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado.

 

Encargado del tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros realice el tratamiento de datos personales por cuenta del Responsable del tratamiento.

 

Fuente de información: Es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un operador de información, el que a su vez los entregará al usuario final. Si la fuente entrega la información directamente a los usuarios y no, a través de un operador, aquella tendrá la doble condición de fuente y operador y asumirá los deberes y responsabilidades de ambos. La fuente de la información responde por la calidad de los datos suministrados al operador la cual, en cuanto tiene acceso y suministra información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstas para garantizar la protección de los derechos del titular de los datos

 

Habeas data: Es el derecho de cualquier persona de conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en el banco de datos y en archivos de entidades públicas y privadas.

 

Registro Nacional de bases de datos: El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país.

 

Responsable del tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros decida sobre la base de datos y/o el tratamiento de los datos.

 

Titular: Es la persona natural o jurídica a quien se refiere la información que reposa en un banco de datos y sujeto del derecho de hábeas data y demás derechos y garantías a que se refiere la presente ley;

 

Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.

Transferencia: La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.

 

Transmisión: Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable.

 

Usuario: El usuario es la persona natural o jurídica que, en los términos y circunstancias previstos en la presente ley, puede acceder a información personal de uno o varios titulares de la información suministrada por el operador o por la fuente, o directamente por el titular de la información. El usuario, en cuanto tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos. En el caso en que el usuario a su vez entregue la información directamente a un operador, aquella tendrá la doble condición de usuario y fuente, y asumirá los deberes y responsabilidades de ambos

 

 

2.1. Principios Generales para el tratamiento de datos personales

 

Los principios aplicables a la recolección, uso, manejo  y tratamiento son los siguientes:

Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas  en la ley.

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la ley.

Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.

 Principio de finalidad: La administración de datos personales debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley. La finalidad debe informársele al titular de la información previa o concomitantemente con el otorgamiento de la autorización, cuando ella sea necesaria o en general siempre que el titular solicite información al respecto.

Principio de interpretación integral de derechos constitucionales:  Al momento de realizar la interpretación esta se hará de manera que  se amparen adecuadamente los derechos constitucionales, como son el hábeas data, el derecho al buen nombre, el derecho a la honra, el derecho a la intimidad y el derecho a la información. Los derechos de los titulares se interpretarán en armonía y en un plano de equilibrio con el derecho a la información previsto en el artículo 20 de la Constitución y con los demás derechos constitucionales aplicables

Principio de legalidad en materia de Tratamiento de datos: El Tratamiento a que se refiere la presente ley es una actividad reglada que debe sujetarse a lo establecido en ella y en las demás disposiciones que la desarrollen;

Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Principio de temporalidad de la información: La información del titular no podrá ser suministrada a usuarios o terceros cuando deje de servir para la finalidad del banco de datos

 Principio de transparencia: En el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan;

Principio de veracidad o calidad: La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error

 

2.2. Derechos de los titulares de  los datos personales

 

De acuerdo con lo expuesto en el marco legal, los titulares de los datos de carácter personal contenidos en las bases de datos  tienen los siguientes derechos:

 

Derecho de acceso: este derecho comprende la facultad del titular de los datos a tener acceso gratuito y de obtener toda la información respecto a sus propios datos personales, sean parciales o completos y del tratamiento aplicado a los mismos, de la finalidad del tratamiento y la ubicación de las bases de datos que contienen sus datos personales.

 

Derecho de actualización: el titular tiene el derecho de realizar actualizaciones de sus datos personales cuando éstos hayan tenido alguna variación.

 

Derecho de rectificación: el titular de los datos personales tiene la facultad de solicitar la rectificación de los datos que resulten inexactos, incompletos o inexistentes.

 

Derecho de cancelación: el titular de los datos tiene el derecho de cancelar sus datos personales o suprimirlos cuando sean excesivos, no pertinentes o el tratamiento sea contrario a las normas, salvo en aquellos casos contemplados como excepciones por la ley o contractualmente pactados en contrario.

 

Derecho a la revocatoria del consentimiento: el titular de los datos personales tiene derecho de revocar el consentimiento o la autorización que habilita la gobernación de Santander, para un tratamiento con determinada finalidad, salvo en aquellos casos contemplados como excepciones por la ley o contractualmente pactados en contrario.

 

Derecho de oposición: comprende la facultad del titular de los datos de oponerse al tratamiento de sus datos personales, salvo los casos en que tal derecho no proceda por disposición legal o por vulnerar intereses generales superiores al interés particular.

 

Derecho a presentar quejas y reclamos o a ejercer acciones: el titular de los datos personales tiene derecho a presentar ante la superintendencia de industria y comercio o ante la entidad que fuera competente, quejas y reclamos, así como las acciones que resultaren pertinentes para la protección de sus datos.

 

Derecho a otorgar autorización para el tratamiento de datos: en desarrollo del principio del consentimiento informado el titular del dato tiene derecho a otorgar su autorización, por cualquier medio que pueda ser objeto de consulta posterior, para tratar sus datos personales en  la gobernación de Santander. De manera excepcional esta autorización no será requerida en los siguientes casos: cuando sea requerida por entidad pública o administrativa en cumplimiento de sus funciones legales o por orden judicial, cuando se trate de datos de naturaleza pública, en casos de emergencia médica o sanitaria, cuando sea tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos y cuando se trate de datos personales relacionados con el registro civil de las personas. En estos casos, si bien no se requiere de la autorización del titular, sí tendrán aplicación los demás principios y disposiciones legales sobre protección de datos personales.

 

Derechos de los niños, niñas y adolescentes: los derechos de los niños, niñas o adolescentes se ejercerán por las personas que estén facultadas para representarlos. en el tratamiento se asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes. Queda proscrito el tratamiento de los datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública. Es tarea del estado y de las entidades educativas de todo tipo proveer información y capacitar a los representantes legales y tutores sobre los eventuales riesgos a los que se enfrentan los niños, niñas y adolescentes respecto del tratamiento indebido de sus datos personales, y proveer de conocimiento acerca del uso responsable y seguro por parte de niños, niñas y adolescentes de sus datos personales, su derecho a la privacidad y protección de su información personal y la de los demás.

 

 

2.3. Personas facultadas para ejercer los derechos

 

Se encuentran facultadas  para ejercer los derechos como titulares de los datos personales las personas que a continuación se relacionan:

 

5. El Titular, quien deberá acreditar su identidad en forma suficiente por los distintos medios que le ponga a disposición el Responsable.
5. El representante y/o apoderado del Titular, previa acreditación de la representación o apoderamiento.
5. El que por medio de estipulación o autorización debidamente  autenticada ante notaria  solicite información
5. Los herederos o causahabientes  del titular o causante que acrediten su calidad a través del registro civil de nacimiento  y registro civil de defunción del titular o causante

 

 

3. Deberes y prohibiciones de COLSERVICO & SUMINISTROS S.A.S

 

3.1. Deberes del responsable  de la protección de datos personales

 

En virtud del artículo 17 de la ley 1581 de 2012, son deberes del responsable los siguientes:

a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;

b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;

d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

e) Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible;

f) Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada;

g) Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento;

h) Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la presente ley;

i) Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular;

j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley;

k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;

l) Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo;

m) Informar a solicitud del Titular sobre el uso dado a sus datos;

n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.

o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

 

3.2. Deberes del encargado de la protección de datos personales

 

En virtud del artículo 18 de la ley 1581 de 2012, son deberes del encargado, los siguientes:

a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;

b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

c) Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la presente ley;

d) Actualizar la información reportada por los Responsables del Tratamiento dentro de los cinco (5) días hábiles contados a partir de su recibo;

e) Tramitar las consultas y los reclamos formulados por los Titulares en los términos señalados en la presente ley;

f) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atención de consultas y reclamos por parte de los Titulares;

g) Registrar en la base de datos las leyenda “reclamo en trámite” en la forma en que se regula en la presente ley;

h) Insertar en la base de datos la leyenda “información en discusión judicial” una vez notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal;

i) Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio;

j) Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella;

k) Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares;

l) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

PARÁGRAFO. En el evento en que concurran las calidades de Responsable del Tratamiento y Encargado del Tratamiento en la misma persona, le será exigible el cumplimiento de los deberes previstos para cada uno.

3.3. Prohibiciones

Le esta rotundamente prohibido a COLSERVICO & SUMINISTROS S.A.S

a) Abstenerse de dar trámite a las peticiones, consultas, quejas y/o reclamos

b) Exigir requisitos o solemnidades que no se encuentren consagrados en la ley

c) Exceder los términos señalados en la ley o en el presente manual frente al trámite de las peticiones, consultas, quejas  y/o reclamos

 

4. Finalidad del tratamiento

COLSERVICO & SUMINISTROS S.A.S  como entidad garante del derecho a la intimidad, y conocedora del alcance que la ley le ha otorgado al manejo y administración de los datos personales; por consiguiente es necesario que el titular conozca que la compañía recolecta, y registra sus datos personales, para el propósito o finalidad consagrada en la autorización de tratamiento de datos personales que el titular deberá diligenciar.

Por regla general, los datos recolectados, serán utilizados por la compañía para: a) el desarrollo de su objeto social, de acuerdo con la misión y visión institucional, b) ofrecer productos y servicios a los posibles clientes, c)enviar información a las entidades gubernamentales ,d) realizar consulta en las listas de verificación ( procuraduría, policía, CIFIN, REDAM, delitos sexuales contraloría entre otros, e) soportar procesos de auditorías internas y externas , f) para cumplir con las obligaciones laborales señaladas en la ley ,g) para la verificación de experiencia de aspirantes , proveedores, contratistas y clientes, h)para garantizar a los accionistas los derechos establecidos en la ley, i) reportar a la DIAN y demás entidades del orden nacional, departamental o municipal las retenciones , impuestos y demás información requerida por ley

Los datos de los aspirantes, trabajadores y ex trabajadores, serán tratados únicamente para dar cumplimiento a las obligaciones señaladas en la ley. Para el caso de los aspirantes, el Jefe de Talento Humano deberá informar al interesado del proceso de selección que su información será analizada con el objetivo  de efectuar verificaciones para determinar su idoneidad ,y competencia para ejercer el cargo ofertado. En caso que el aspirante no resulte seleccionado, la compañía retendrá los documentos por un término de 06 meses, en caso tal de que resulte la necesidad de suplir el cargo para el cual aplico. Para el caso de los trabajadores, sus datos serán destinados, sin limitarse a efectuar las afiliaciones y pagos al SGSS, realizar pago de nomina, implementar y desarrollar el SGSST, implementar y desarrollar el SIG, llevar un control socio demográfico de los trabajadores, analizar y almacenar  los resultados de los exámenes médicos ocupacionales de ingreso, periódico y egreso, realizar y reportar los ingresos  y retenciones, expedir certificaciones laborales, reportar incidentes y accidentes de trabajo, enviar información a las entidades gubernamentales, utilizarla en procesos judiciales o ante entidades gubernamentales (DIAN, Ministerios, UGPP, Consejo Nacional de Ingenieros, Superintendencias etc..)

Los datos personales de los proveedores y contratistas obtenidos en desarrollo de la relación contractual – contrato de prestación de servicios o suministros- serán utilizados, sin limitarse para las siguientes finalidades: a) reportar a la DIAN toda la información requerida, b) realizar todas las retenciones y deducciones que la ley impone , c) verificar el cumplimiento del pago de aportes a seguridad social integral ,d) verificar el cumplimiento de la normatividad laboral y del SGSST , en caso que tenga empleados, e) mantener un listado al interior de la compañía en caso de requerir nuevamente el servicio o producto ofrecido

Los datos de los clientes o contratantes obtenidos en virtud del contrato civil o comercial, serán utilizados, sin limitarse: a) verificar el cumplimiento del desarrollo del objeto contractual, b) realizar el cobro de los servicios ofertados, c) remitir la información que por ley se debe suministrar a la DIAN, d) publicar la pagina web de Colservico como casos de éxito

Los datos de los accionistas, recolectados en virtud de la compra de acciones o consituticion de la sociedad serán utilizados sin limitarse a : a) enviar citación a reuniones ordinarias y extraordinarias de junta directiva o asamblea general de accionistas, b) elaborar actas de junta directiva o asamblea general de accionistas, c) mantener actualizados la información de los libros de accionistas y demás libros de la sociedad

5. Autorización

Salvo las excepciones establecidas por la ley, COLSERVICO & SUMINISTROS S.A.S solicitara la autorización para el tratamiento de datos personales en la forma establecida en el presente manual.

5.1. Casos en que no se requiere autorización

No será necesaria autorización para el tratamiento de los datos personales, tal como lo señala el artículo 10 de la ley 1581 de 2012, que a su tenor literal reza:

a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial;

b) Datos de naturaleza pública;

c) Casos de urgencia médica o sanitaria;

d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos;

e) Datos relacionados con el Registro Civil de las Personas.

5.2. Mecanismos para otorgar la autorización

La autorización para el tratamiento de datos personales deberá ser suscrita por el titular o la persona que lo represente o acredite legalmente facultad para comprometer al titular. Esta autorización podrá constar por escrito, en correo electrónico, mediante grabación, conversación telefónica, videoconferencia o cualquier otro mecanismo que permita obtener el consentimiento claro, expreso e informado por parte del titular.

5.3. Prueba de la autorización

COLSERVICO & SUMINISTROS S.A.S adoptara los medios y la infraestructura física, técnica o tecnológica, idóneas para mantener los registros de las autorizaciones impartidas por los titulares de los datos.

5.4. Autorización para el tratamiento de datos sensibles

El tratamiento de datos sensibles está prohibido, excepto en los siguientes casos: a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización; b) el Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización.; c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular.; d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial. y e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares.

5.5. Revocatoria de la autorización

La revocatoria de la autorización para el tratamiento de datos personales, se podrá solicitar en cualquier momento, salvo las excepciones que aquí se establezcan, y deberá ser adelantada por el titular o la persona autorizada legalmente para tal fin, su procedimiento será el establecido en el numeral séptimo del presente manual

 

La potestad para ejercer este derecho no es absoluta, pues la misma se restringe en los siguientes casos: a) los trabajadores no podrán solicitar la revocatoria mientras esté vigente la relación laboral, b) los clientes, contratistas y proveedores, no podrán solicitar la revocatoria mientras este vigente la relación contractual y c) los accionistas no podrán solicitar la revocatoria mientras ostenten dicha calidad en la sociedad

 

5.6. Datos antes de la expedición de la ley

COLSERVICO & SUMINISTROS S.A.S, en los casos que haya recolectado datos antes de la expedición de la ley, dará cumplimiento al siguiente trámite

a) Se solicitará por escrito la autorización al titular, enviando adjunto a la comunicación, el formulario de autorización de para el tratamiento de datos personales, poniendo de presente su política para el tratamiento y la forma para ejercer sus derechos.

b) La información mencionada en el literal anterior será enviada la última dirección  registrada en la entidad, ya sea física o correo electrónico. De la comunicación enviada junto con sus anexos se guardara copia para el registro y seguimiento.

c) Pasados quince días hábiles, sin que el titular haya respondido a la comunicación o que resulta imposible ubicar al titular, se procederá a implementar mecanismos alternos tales como diarios de amplia circulación nacional, diarios locales o revistas, páginas de Internet del responsable, carteles informativos, entre otros, e informar al respecto a la Superintendencia de Industria y Comercio, dentro de los cinco (5) días siguientes a su implementación.

 

6. Aviso de privacidad

El aviso de privacidad, es el documento elaborado por los responsables a través del cual informaran al titular sobre la existencia de políticas de tratamiento de datos personales y la forma de acceder a las mismas.

 

La difusión del aviso de privacidad y de la política de tratamiento de la información, el responsable podrá valerse de documentos, formatos electrónicos, medios verbales o cualquier otra tecnología, siempre y cuando garantice y cumpla con el deber de informar al titular.

 

El aviso de privacidad, como mínimo, deberá contener la siguiente información:

 

1. Nombre o razón social y datos de contacto del responsable del tratamiento.

 

2. El Tratamiento al cual serán sometidos los datos y la finalidad del mismo.

 

3. Los derechos que le asisten al titular.

 

4. Los mecanismos dispuestos por el responsable para que el titular conozca la política de Tratamiento de la información y los cambios sustanciales que se produzcan en ella o en el Aviso de Privacidad correspondiente. En todos los casos, debe informar al Titular cómo acceder o consultar la política de Tratamiento de información.

 

5. cuando se recolecten datos personales sensibles, el aviso de privacidad deberá señalar expresamente el carácter facultativo de la respuesta a las preguntas que versen sobre este tipo de datos.

 

7. Ejercicio de los derechos por parte de los titulares

7.1. Consultas

En desarrollo del derecho de acceso consagrado en el artículo 21 del decreto 1377 de 2013, COLSERVICO & SUMINISTROS S.A.S en todo momento garantizará al titular o la persona que lo represente legalmente el derecho a acceder y conocer la información personal suministrada al responsable del tratamiento de los datos personales.

El procedimiento para las consultas, será el reglamentado en el artículo 14 de la ley 1581 de 2012, que dispone: Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado. El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular.

La consulta se formulará por el medio habilitado por el Responsable del Tratamiento o Encargado del Tratamiento, siempre y cuando se pueda mantener prueba de esta.

La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

7.2. Reclamos

El procedimiento para los reclamos, será el reglamentado en el artículo 15 de la ley 1581 de 2012, que dispone: El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas:

1. El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.

En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.

2. Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido.

3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

El Titular o causahabiente sólo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el Responsable del Tratamiento o Encargado del Tratamiento

7.3. Rectificación, actualización, supresión & Revocatoria de datos

COLSERVICO & SUMINISTROS S.A.S tiene la obligación de atender las solicitudes de rectificación, actualización, supresión y revocatoria de datos. Este trámite podrá ser adelantado por el titular, su apoderado, los causahabientes o el representante legal de la persona jurídica   y deberá contener:

 

a) La identificación del peticionario (nombre completo, documento de identificación) dirección de notificación  y teléfono de contacto

 

b) La especificación del trámite (Rectificación, actualización, supresión  &  Revocatoria  de datos)

 

c) Los hechos que motiven  la solicitud del trámite

 

d) Los  documentos que identifiquen al peticionario

 

Frente a la solicitud de revocatoria de datos, la misma se podrá negarse entre otros por los siguientes argumentos:

 

a) La existencia de  una obligación contractual de permanecer en la base de datos

b) La existencia de los móviles o motivos mencionados en la finalidad del tratamiento

c) Si con la eliminación de los datos se  limite o impida  adelantar acciones judiciales o administrativas adelantadas por los órganos de control

 

COLSERVICO & SUMINISTROS S.A.S dispondrá de un término de 15 días hábiles para dar respuesta a esta petición; en caso que no se pueda dar respuesta a la petición dentro del término previamente señalado, deberá obrar de conformidad con lo dispuesto en la ley 1755 de 2015 o la norma que la adicione, modifique o suprima

 

 

 

7.4. Prueba de la autorización

 

Cuando el titular lo requiera, podrá solicitar copia de la autorización del tratamiento de datos personales, enviando comunicación escrita  la  dirección mencionada en el numeral 7.2. del siguiente manual, allegando copia de su cedula de ciudadanía o el poder otorgado al apoderado.

 

COLSERVICO & SUMINISTROS S.A.S dispondrá de un término de 15 días hábiles para dar respuesta a esta petición; en caso que no se pueda dar respuesta a la petición dentro del término previamente señalado, deberá obrar de conformidad con lo dispuesto  en la ley 1755 de 2015 o la norma que la  adicione, modifique  o suprima

 

8. Canales de comunicación

 

Los canales de comunicación habilitados por COLSERVICO & SUMINISTROS S.A.S son los siguientes

 

 

Medio	Descripción
Dirección	Carrera 29 # 45-64 del municipio de Bucaramanga
Horario presencial	9:00 AM- 12 :00 medio día y de 2:00 PM  a 5:00 PM
Correo electrónico
Página Web

 

 

9. Medidas de seguridad

 

COLSERVICO & SUMINISTROS S.A.S  dando cumplimiento al principio de seguridad en el tratamiento de datos personales y de acuerdo con la normatividad legal vigente, proporcionará medidas técnicas, humanas y administrativas para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

    

COLSERVICO & SUMINISTROS S.A.S hará extensiva estas medidas a sus funcionarios proveedores, clientes o contratantes y demás destinatarios de estas políticas, adecuando para tal fin los documentos contractuales, incluyendo cláusulas que determinen el uso, acceso manejo y privacidad de la información.

 

COLSERVICO & SUMINISTROS S.A.S tiene como obligación y responsabilidad disponer de los medios decuados para la protección de bases de datos personales, pero no se extiende ni garantiza la seguridad de la totalidad de la información, ni se hace responsable por las consecuencias derivadas de fallas técnicas o del ingreso indebido de tercero a la base de datos o archivos donde reposan los datos personales recolectados.

 

Las medidas de seguridad, estarán sujetas a lo dispuesto en el manual de seguridad y privacidad de la información de COLSERVICO & SUMINISTROS S.A.S y a las mejoras continuas que para tal fin implemente

                                                                                     

 

10. Bases de datos identificadas

 

 

COLSERVICO & SUMINISTROS S.A.S, será el responsable del tratamiento de los datos personales

 

El proceso será manejado por el Gerente, quienes serán el área encargada del tratamiento y manejo de las bases de datos donde se recolectan los datos personales por cuenta de. COLSERVICO & SUMINISTROS S.A.S, a quien se le suministrará información de cada empleado, proveedor, cliente o socio, y en general de cualquier persona natural o jurídica de quien se haya recolectado información personal y que repose en una base de datos.

 

El Gerente se encargará de gestionar y administrar las bases de datos de clientes, proveedores, contratistas y accionistas

 

El Gerente se encargara de gestionar y administrar las bases de datos de los aspirantes y trabajadores

 

 

11. Transferencia de datos personales  a terceros países

 

En virtud del giro ordinario de los negocios, COLSERVICO & SUMINISTROS S.A.S podrá enviar o transferir datos personales a otros países, siempre y cuando, de manera obligatoria exista autorización clara y expresa por parte del titular, además se deberá verificar si el país hacia el cual se envía o transfiere la información hace parte del listado de países seguros mencionados en la circular 005 de 2017 o la norma que la sustituya, modifique o adicione

 

Si el país no se encuentra en el listado de países seguros, se deberá revisar si la transferencia se encuentra en las excepciones mencionadas en el artículo 26 de la ley 1581 de 2012.

 

Si el país tampoco se encuentra en el listado de excepciones, deberá revisar si el país cuenta con los requisitos del numeral 3.1 de la circular 005 de 2017.

 

Si no se cumple con la reglamentación antes mencionada, COLSERVICO & SUMINISTROS S.A.S, deberá solicitar declaración de conformidad ante la Superintendencia de Industria y Comercio. o en su defecto, suscribir con el titular de los datos un contrato de transferencia de datos personales que deberá contar por lo menos con los requisitos